CN109992619A

CN109992619A - 一种数据查询方法、系统、电子设备及存储介质

Info

Publication number: CN109992619A
Application number: CN201910242163.3A
Authority: CN
Inventors: 郑祥学; 王宏勇
Original assignee: Hangzhou Yunyi Network Technology Co Ltd
Current assignee: Hangzhou Yunyi Network Technology Co Ltd
Priority date: 2019-03-28
Filing date: 2019-03-28
Publication date: 2019-07-09

Abstract

本发明涉及计算机应用领域，尤其涉及一种数据查询方法、系统、电子设备及存储介质，该方法包括以下步骤：S1：将业务系统数据库中的表划分为若干个密级，在权限控制服务平台上创建若干个与不同密级的表一一对应的用户组，并在每个用户组里添加对应的操作人员；S2：操作人员在用户终端发起SQL查询请求，请求发送到权限控制服务平台上，权限控制服务平台对操作人员的权限进行判断。通过使用本发明，可以实现以下效果：根据操作人员所在用户组的密级以及授权审批记录，对操作人员的权限进行判断。通过使用本发明，可以实现以下效果：极大的减少了审批人员的审批操作；避免了操作人员与数据库账号、秘钥的接触而导致泄密的可能；有利于后续责任的追溯。

Description

一种数据查询方法、系统、电子设备及存储介质

技术领域

本发明涉及计算机应用领域，尤其涉及一种数据查询方法、系统、电子设备及存储介质。

背景技术

现有技术中，IT系统运维人员(如运维工程师(Operations)，负责维护并确保整个服务的高可用性，同时不断优化系统架构提升部署效率、优化资源利用率提高整体的ROI.)查询生产环境的业务系统的数据库普遍使用PLSQL、Navicat等三方工具，可以通过工具随意查询当前登录用户有权限的数据库表。

由于运维人员在日常运维过程中，需要一些数据库表查询权限的时候，需要口头、邮件或者电话等方式向领导申请权限，领导审批通过后，需要再邮件或者电话等方式告诉数据库管理员，最后数据库管理员根据申请要求，手工调整用户权限，效率很低，而且容易出错；针对一部分运维主力人员，他们拥有数据库最高访问权限(等同于数据库管理员的权限)，这可能会存在一定的数据库的账号、秘钥泄露的隐患。

发明内容

为解决上述问题，本发明提出一种可控权限、可追溯的数据查询方法、系统、电子设备及存储介质。

一种数据查询方法，包括以下步骤：

S1：将业务系统数据库中的表划分为若干个密级，在权限控制服务平台上创建若干个与不同密级的表一一对应的用户组，并在每个用户组里添加对应的操作人员；

S2：操作人员在用户终端发起SQL查询请求，请求发送到权限控制服务平台上，权限控制服务平台对操作人员的权限进行判断：

若操作人员所在用户组的密级>＝SQL查询请求中业务数据库中表的密级，则判为有权限并存储授权审批记录，SQL查询请求转发至查询代理执行服务平台上执行数据查询获取表中的数据，并返回数据查询结果到用户终端；

若操作人员所在用户组的密级<SQL查询请求中业务数据库中表的密级,则判为无权限，SQL查询请求不转发至查询代理执行服务平台上执行数据查询。

优选地，还包括：

S3：当操作人员所在用户组的密级<SQL查询请求中业务数据库中表的密级时，权限控制服务平台对该操作人员对业务数据库中该表查询请求的授权审批记录是否存在进行判断，根据判断结果对操作人员的权限进行判断。

优选地，所述根据判断结果对操作人员的权限进行判断包括：

若存在授权审批记录，则判为有权限并存储查询日志，SQL查询请求转发至查询代理执行服务平台上执行查询，并返回数据查询结果到用户终端；

若不存在授权审批记录，则SQL查询请求不转发至查询代理执行服务平台上执行数据查询。

优选地，所述权限控制服务平台包括：开启自动审批模式和不开启自动审批模式，

在开启自动审批模式时，若权限控制服务平台针对该SQL查询请求没有查找到对应的授权审批记录，则根据自动审批规则进行自动审批；

在不开启自动审批模式时，则进行人工电子化审批。

优选地，所述人工电子化审批包括：

权限控制服务平台通知审批人员；

当审批人员同意授权审批时，审批人员在权限控制服务平台上提高操作人员所在用户组的密级直到>＝SQL查询请求中业务数据库中表的密级，权限控制服务平台判为有权限并存储授权审批记录，SQL查询请求转发至查询代理执行服务平台上执行查询，并返回数据查询结果到用户终端；

当审批人员不同意授权审批时，返回不同意授权审批原因到用户终端。

一种数据查询系统，包括：

用户终端，用于发送SQL查询请求；

业务系统数据库，用于存储记录数据的表

权限控制数据库，用于存放授权审批记录；

权限控制服务平台，用于将业务系统数据库中的表划分为若干个密级，并创建若干个与不同密级的表一一对应的用户组，在每个用户组里添加对应的操作人员，对操作人员的权限进行判断；

查询代理执行服务平台，用于根据SQL查询请求获取业务系统数据库中的表中的数据查询结果。

优选地，所述对操作人员的权限进行判断包括：

优选地，所述对操作人员的权限进行判断还包括：

在不开启自动审批模式时，则进行人工电子化审批。

优选地，所述人工电子化审批包括：

权限控制服务平台通知审批人员；

一种电子设备，包括：

处理器；以及

存储器，用于存储所述处理器的可执行指令；

其中，所述处理器配置为经由执行所述可执行指令来执行权利要求1至5任一项所述数据查询方法的步骤。

一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行根据权利要求1至5任一项所述数据查询方法的步骤。

通过使用本发明，可以实现以下效果：

根据操作人员所在用户组的密级以及授权审批记录，对操作人员的权限进行判断，极大的减少了审批人员的审批操作，以及用电子化流程代理线下资质审批的模式；

查询代理执行服务平台上执行数据查询获取表中的数据，并返回数据查询结果到用户终端，避免了操作人员与数据库账号、秘钥的接触而导致泄密的可能；

对查询日志和授权审批记录进行存储，有利于后续责任的追溯。

附图说明

下面结合附图和具体实施方式对本发明作进一步详细的说明。

图1是本发明实施例的流程框图；

图2是本发明实施例中步骤S1的流程示意图；

图3是本发明实施例的整体流程示意图；

图4是本发明实施例的整体结构示意图；

图5是本发明实施例中电子设备的结构示意图。

具体实施方式

以下结合附图，对本发明的技术方案作进一步的描述，但本发明并不限于这些实施例。

本发明的基本思想是根据操作人员所在用户组的密级以及授权审批记录，对操作人员的权限进行判断，极大的减少了审批人员的审批操作；查询代理执行服务平台上执行数据查询获取表中的数据，并返回数据查询结果到用户终端，避免了操作人员与数据库账号、秘钥的接触而导致泄密的可能；对授权审批记录进行存储，有利于后续责任的追溯。

结合附图1，本实施例一种数据查询方法，包括以下步骤：

S1：将业务系统数据库中的表划分为若干个密级，在权限控制服务平台上创建若干个与不同密级的表一一对应的用户组，每个用户组里添加对应的操作人员。

记录数据的表存储于业务系统数据库中，不同表中记录的数据的重要程度不同。针对业务系统数据库中的表，大致可以根据存储数据的重要程度划分成:高密、中密，低密三个密级级别。需要说明的是，密级级别可以根据需要自由划分。对应不同密级级别的表，在权限控制服务平台上创建对应的用户组，比如高密组，中密组，低密组。在每个用户组里添加对应的操作人员，在本实施例中，操作人员为系统的运维人员。

步骤S1的目的是在数据查询前建立不同密级的表、用户组以及操作人员之间的对应关系。具体流程如图2所示，在权限控制服务平台上，新增针对数据库表各个密级的用户组；维护业务数据库中表的密级划分，即表与密级的对应关系；维护用户组与密级的对应关系，即用户组所拥有的密级权限；在权限控制服务平台上，根据用户的实际权限，把用户加入到对应的用户组中。

S2：操作人员在用户终端发起SQL查询请求，请求发送到权限控制服务平台上，权限控制服务平台对操作人员的权限进行判断。

结构化查询语言(Structured Query Language)简称SQL，是一种数据库查询和程序设计语言，用于存取数据以及查询、更新和管理关系数据库系统。

用户终端包括计算机、手机等智能设备。操作人员在用户终端提交SQL查询请求以及申请原因，SQL查询请求中包括操作人员所在用户组的信息以及所要查询的表，用户组的信息包括用户组的密级等，表是由表名、表中的字段和表的记录三个部分组成的。该SQL查询请求会通过无线或有线通信的方式发送到权限控制服务平台。权限控制服务平台根据表名确定该表的密级，并通过操作人员所在用户组的密级与SQL查询请求中业务数据库中表的密级来判断该操作人员是否有权限获取该表中的数据。

若操作人员所在用户组的密级>＝SQL查询请求中业务数据库中表的密级，则判为有权限并存储授权审批记录。授权审批记录的存储有助于后续责任追溯，同时也有利于接下来的步骤中权限的判断。SQL查询请求转发至查询代理执行服务平台上，查询代理执行服务平台根据SQL查询请求中的表的信息获取该表中的数据，并将数据查询结果发送到用户终端，在用户终端对数据进行展示；

若该操作人员有权限获取该表中的数据，则通过用户终端对数据进行接收。在操作人员数据获取的过程中，并没有对数据库账号、秘钥进行接触，避免了数据库账号、秘钥的泄露。

根据判断结果对操作人员的权限进行判断包括：

权限控制服务平台根据SQL查询请求在权限控制数据库中查询是否存在该用户组对该表的授权审批记录；

也就是说，该操作人员所在用户组的密级<SQL查询请求中业务数据库中表的密级，但是在业务数据库中存储有针对该表的授权审批记录，则该操作人员具有获取该表数据的权限。

针对有些表的特殊性，具有权限的操作人员只有在某段时间内能够获取该表的数据，这种情况下根据授权审批记录可以重复获取该表的数据，而在其他时间不能根据授权审批记录直接获取该表的数据。该时间段的设置可以是工作时间和下班时间。

基于上述情况，权限控制服务平台包括：开启自动审批模式和不开启自动审批模式。在开启自动审批模式的情况下，操作人员根据授权审批记录可以重复获取该表的数据；在不开启自动审批模式的情况下，操作人员不能根据授权审批记录获取该表的数据。

具体的：

在开启自动审批模式时，如果权限控制服务平台针对此次查询处理没有查找到授权审批记录，就根据自动审批规则进行自动审批。自动审批规则说明：权限控制服务平台在历史授权审批记录中找到该操作人员加入过密级大于等于查询目标表密级的用户组的记录，或找到指定查询目标表开放给该操作人员访问的记录，即再次自动进行同类型的授权，生成一条新的有效的审批记录(所有审批记录都是带有效期限的，到达到期时间即时失效)。如果没有找到符合的历史审批记录，则自动审批失败，需要人工电子化审批；

在不开启自动审批模式时，权限控制服务平台不对该操作人员进行历史授权审批记录的查找、以及根据查找结果进行自动再授权的处理。此时，需要进行人工电子化审批。

权限控制服务平台以短信或邮件等方式通知审批人员进行人工审批；

当审批人员同意授权审批时，审批人员可以选择以下2种方式进行额外授权：1、在权限控制服务平台上，在一段时间内把该操作人员加入到密级>＝SQL查询目标表的密级的用户组中，权限控制服务平台判为有权限并存储授权审批记录，SQL查询请求转发至查询代理执行服务平台上执行查询，并返回数据查询结果到用户终端；2、指定开放查询目标表供该操作人员在一段时间内访问，权限控制服务平台判为有权限并存储授权审批记录，SQL查询请求转发至查询代理执行服务平台上执行查询，并返回数据查询结果到用户终端；

当审批人员不同意授权审批时，返回不同意授权审批原因到用户终端，用户终端展示不同意授权审批原因。

图3是本实施例的具体流程示意图。首先，操作人员在用户终端发起SQL查询请，权限控制服务平台对操作人员的权限进行判断。若操作人员所在用户组的密级>＝SQL查询请求中业务数据库中表的密级，则SQL查询请求转发至查询代理执行服务平台上执行数据查询获取表中的数据，并返回数据查询结果到用户终端；若操作人员所在用户组的密级＜SQL查询请求中业务数据库中表的密级，则权限控制服务平台对该操作人员对业务数据库中该表查询请求的授权审批记录是否存在进行判断，若存在，则SQL查询请求转发至查询代理执行服务平台上执行数据查询获取表中的数据，并返回数据查询结果到用户终端；若不存在，则判断是否开启自动审批，若开启自动审批，则判断是否存在授权审批记录，若存在授权审批记录，则SQL查询请求转发至查询代理执行服务平台上执行数据查询获取表中的数据，并返回数据查询结果到用户终端；若不存在授权审批记录，则人工电子化审批；若不开启自动审批，则人工电子化审批；若审批人员同意授权审批，则SQL查询请求转发至查询代理执行服务平台上执行数据查询获取表中的数据，并返回数据查询结果到用户终端，则正常结束，若审批人员不同意授权审批，则失败结束。

为了避免DBA(数据库管理员)频繁的手工修改数据库用户的查询权限来让用户拥有访问高密数据。通过本发明采用电子化在线授权或自动授权的方式，可以极大的减少DBA(数据库管理员)的日常修改数据库用户访问权限的工作量。同时，通过本发明可以规范日常运维的权限申请工作流程，减少口头、电话等不易留档的申请方式，做到日常工作流程电子化，可控可查。

基于一种数据查询方法，本发明实施例还提供一种数据查询系统。如图4所示，该系统包括：

用户终端，用于发送SQL查询请求；

业务系统数据库，用于存储记录数据的表；

权限控制数据库，用于存放授权审批记录、用户组信息、用户人员信息、密级分类信息、业务系统数据库的表与密级的对应关系信息，用户组与密级的对应关系信息等；

所述对操作人员的权限进行判断包括：

若操作人员所在用户组的密级>＝SQL查询请求中业务数据库中表的密级，则判为有权限并存储授权审批记录。

所述权限控制服务平台包括：开启自动审批模式和不开启自动审批模式，

在开启自动审批模式的情况下，操作人员根据授权审批记录可以重复获取该表的数据；在不开启自动审批模式的情况下，操作人员不能根据授权审批记录获取该表的数据。

所述人工电子化审批包括：

权限控制服务平台通知审批人员；

需要说明的是，上述用户终端、业务系统数据库、权限控制数据库、权限控制服务平台、查询代理执行服务平台的具体功能实现已在方法实施例中详细说明，本实施例中不再赘述。

本示例实施方式中，还提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现上述任一实施例中数据查询方法的步骤。数据查询方法的具体步骤可参考前述实施例中关于上述数据查询各步骤的详细描述，此处不再赘述。所述计算机可读存储介质可以是ROM、随机存取存储器(RAM)、CD-ROM、磁带、软盘和光数据存储设备等。

本示例实施方式中，还提供一种电子设备，该电子设备可以包括处理器以及用于存储所述处理器的可执行指令的存储器。其中，所述处理器配置为经由执行所述可执行指令来执行上述任一实施例中数据查询方法的步骤。该数据查询方法的步骤可参考前述方法实施例中的详细描述，此处不再赘述。

通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本公开实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、触控终端、或者网络设备等)执行根据本公开实施方式的方法。

图5示出根据本公开示例实施方式中一种电子设备的示意图。例如，电子设备可以被提供为一服务器或客户端。参照图5，电子设备包括处理组件，其进一步包括一个或多个处理器，以及由存储器所代表的存储器资源，用于存储可由处理组件执行的指令，例如应用程序。存储器中存储的应用程序可以包括一个或一个以上的每一个对应于一组指令的模块。此外，处理组件被配置为执行指令，以执行上述方法。

电子设备还可以包括一个电源组件被配置为执行电子设备的电源管理，一个有线或无线网络接口被配置为将电子设备连接到网络，和一个输入输出(I/O)接口。电子设备可以操作基于存储在存储器的操作系统，例如Windows Server TM，Mac OS XTM，Unix TM、Linux TM，FreeBSDTM或类似。

本发明所属技术领域的技术人员可以对所描述的具体实施例做各种各样的修改或补充或采用类似的方式替代，但并不会偏离本发明的精神或者超越所附权利要求书所定义的范围。

Claims

1.一种数据查询方法，其特征在于，包括以下步骤：

2.根据权利要求1所述的数据安全方法，其特征在于，还包括：

3.根据权利要求2所述的数据查询方法，其特征在于，所述根据判断结果对操作人员的权限进行判断包括：

4.根据权利要求2所述的数据查询方法，其特征在于，所述权限控制服务平台包括：开启自动审批模式和不开启自动审批模式，

在不开启自动审批模式时，则进行人工电子化审批。

5.根据权利要求4所述的数据查询方法，其特征在于，所述人工电子化审批包括：

权限控制服务平台通知审批人员；

6.一种数据查询系统，其特征在于，包括：

用户终端，用于发送SQL查询请求；

业务系统数据库，用于存储记录数据的表

权限控制数据库，用于存放授权审批记录；

7.根据权利要求6中的数据查询系统，其特征在于，所述对操作人员的权限进行判断包括：

8.根据权利要求7中的数据查询系统，其特征在于，所述对操作人员的权限进行判断还包括：

9.一种电子设备，其特征在于，包括：

处理器；以及

存储器，用于存储所述处理器的可执行指令；

10.一种计算机可读存储介质，其特征在于，其上存储有计算机程序，所述计算机程序被处理器执行根据权利要求1至5任一项所述数据查询方法的步骤。