CN110096857A - 区块链系统的权限管理方法、装置、设备和介质 - Google Patents

Abstract

本发明实施例公开了一种区块链系统的权限管理方法、装置、设备和介质。该方法应用于区块链节点，包括：获取基于基础智能合约而发起的合约账户操作事务请求；根据所述合约账户操作事务请求，确定对所述合约账户需进行的账户操作；根据所述合约账户的权限控制数据，对所述账户操作进行鉴权；如果鉴权通过，则执行所述账户操作。本发明实施例的技术方案强化了区块链中权限管理的系统性、通用性以及易执行性。

Description

区块链系统的权限管理方法、装置、设备和介质

技术领域

本发明实施例涉及系统权限管理技术，尤其涉及一种区块链系统的权限管理方法、装置、设备和介质。

背景技术

现有区块链可大致分为公有链、联盟链和私有链。公有链系统主要有比特币、以太坊和EOS(Enterprise Operation System，商用操作系统)。在区块链系统的权限管理方面，一般不同系统的权限管理方式都不同。

比特币系统中没有设计权限管理系统。以太坊系统中引入了智能合约，以太坊系统对于智能合约没有进行权限控制的手段，需要通过在智能合约内硬编码方式来确定权限控制方案。EOS系统中为智能合约提供了基于RBAC(基于角色的权限访问控制，Role-BasedAccess Control)的权限控制方案。

但是，上述不同区块链系统中的权限管理方案，通用性较差，在去中性化为特点的区块链系统中，权限的配置和升级均不方便。

发明内容

本发明实施例提供一种区块链系统的权限管理方法、装置、设备和介质，以强化区块链中权限管理的系统性、通用性、以及易执行性。

第一方面，本发明实施例提供了一种区块链系统的权限管理方法，应用于区块链节点，所述方法包括：

获取基于基础智能合约而发起的合约账户操作事务请求；

根据所述合约账户操作事务请求，确定对所述合约账户需进行的账户操作；

根据所述合约账户的权限控制数据，对所述账户操作进行鉴权；

如果鉴权通过，则执行所述账户操作。

第二方面，本发明实施例还提供了一种区块链系统的权限管理装置，配置于区块链节点，所述装置包括：

事务请求获取模块，用于获取基于基础智能合约而发起的合约账户操作事务请求；

账户操作确定模块，用于根据所述合约账户操作事务请求，确定对所述合约账户需进行的账户操作；

账户操作鉴权模块，用于根据所述合约账户的权限控制数据，对所述账户操作进行鉴权；

账户操作执行模块，用于在鉴权通过时，执行所述账户操作。

第三方面，本发明实施例还提供了一种电子设备，所述电子设备包括：

一个或多个处理器；

存储器，用于存储一个或多个程序；

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如第一方面实施例所提供的一种区块链系统的权限管理方法。

第四方面，本发明实施例还提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如第一方面实施例提供的一种区块链系统的权限管理方法。

本发明实施例通过引入合约账户的概念，并在对合约账户执行账户操作之前，通过合约账户的权限控制数据，实现对账户操作的鉴权，提高了区块链中权限管理的通用性；在对合约账户需进行的账户操作鉴权时，均采用所属合约账户的权限控制数据作为参照因子，简化了区块链中权限管理的复杂度；通过在区块链中部署基础智能合约，并基于基础智能合约进行合约账户操作事务请求的发起，进而在对合约账户进行权限管理时，与区块链系统中的基础智能合约相关联，强化了区块链中权限管理的系统性。

附图说明

图1A是本发明实施例所采用的一种智能合约账户模型的结构示意图；

图1B是本发明实施例所采用的一种合约账户的结构示意图；

图2是本发明实施例一中的一种区块链系统的权限管理方法的流程图；

图3是本发明实施例二中的一种区块链系统的权限管理方法的流程图；

图4是本发明实施例三中的一种区块链系统的权限管理方法的流程图；

图5是本发明实施例四中的一种区块链系统的权限管理装置的结构图；

图6为本发明实施例五提供的一种电子设备的结构示意图。

具体实施方式

下面结合附图和实施例对本发明作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释本发明，而非对本发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与本发明相关的部分而非全部结构。

为了清楚地介绍本发明各实施例的技术方案，首先参见图1A所示的智能合约账户模型的结构示意图和图1B所示的合约账户的结构示意图，对系统账户、合约账户和用户账户进行详细说明。

系统账户，是为区块链系统对应创建的系统级账户，一般可以在创建区块链时创建，该系统账户绑定有一个基础智能合约(Kernel合约)，是专用于为合约账户生成权限控制数据的智能合约，通常完成系统级别的功能管理。

合约账户，是为智能合约账户模型中的智能合约所分配的合约级账户，由需要部署智能合约的一个或多个用户账户，调用基础智能合约来创建，用于对智能合约进行部署和/或管理。合约账户可以由基础智能合约对其进行管理。

在合约账户中配置有权限控制数据，用于作为对合约账户的账户操作进行鉴权的参照依据；在合约账户中部署有至少一个应用智能合约，用于供用户账户进行调用，以通过执行应用智能合约实现各种所需的具体应用功能；合约账户还可以持有区块链系统中任何应用智能合约发行时的资产，用于在参与应用智能合约时实现账户资产的转移；合约账户中还配置有权限控制表，用于控制用户账户调用应用智能合约中的子程序(method)的调用权限。

用户账户，通常由个人或企业所有，用于作为用户在区块链中的唯一标识。每个用户账户可以分配有非对称的公钥和私钥，由用户管理私钥，可以将公钥作为用户账户的地址。

在智能合约账户模型中，通常包括一个系统账户和至少一个合约账户。本发明各实施例的技术方案基于上述智能合约账户模型加以实现。

实施例一

图2是本发明实施例一中的一种区块链系统的权限管理方法的流程图。本发明实施例适用于对区块链中的智能合约及智能合约的相关数据进行权限管理的情况。该方法由区块链系统的权限管理装置执行，该装置通过软件和/或硬件实现，并具体配置于承载有区块链节点的电子设备中。

如图2所示的一种区块链系统的权限管理方法，包括：

S110、获取基于基础智能合约而发起的合约账户操作事务请求。

其中，合约账户操作事务请求可以理解为对合约账户执行账户操作的事务请求，所执行的账户操作包括下述至少一项：配置所述合约账户的权限控制数据的内容、控制所述合约账户部署的应用智能合约、以及控制所述合约账户的账户资产转移。当然，本领域技术人员可以理解，合约账户的账户操作还可以包括其他对合约账户进行的整体操作、或需要限制权限的操作。

需要说明的是，由于基础智能合约与创建区块链时所创建的系统账户绑定，所以在区块链的整个生命周期中，所发起的合约账户操作事务请求均与系统账户相关联，进而强化了对区块链中的智能合约进行权限管理时的系统性和通用性。

具体的，当具备合约账户操作需求时，基于基础智能合约向区块链网络发起合约账户操作事务请求；区块链节点接收该合约账户操作事务请求，解析并处理该合约账户操作事务请求。

S120、根据所述合约账户操作事务请求，确定对所述合约账户需进行的账户操作。

示例性地，合约账户操作事务请求中包括账户操作信息，用于对不同的账户操作加以区分。相应的，通过解析合约账户操作事务请求获取账户操作信息，并基于账户操作信息确定对合约账户需进行的账户操作。其中，账户操作信息可以是账户操作内容或账户操作标识等。

S130、根据所述合约账户的权限控制数据，对所述账户操作进行鉴权。

其中，权限控制数据包括：成员账户集合和权限控制策略。

其中，成员账户集合中存储有至少一个用户账户的账户地址，用于限定对合约账户具备管理权限的用户账户。可选的，对合约账户具备管理权限的限定可以是肯定性限定，也即成员账户集合中存储的用户账户为具备管理权限的用户账户；或者可选的，对合约账户具备管理权限的限定可以是否定性限定，也即成员账户集合中存储的用户账户为不具备管理权限的用户账户。一般的，对合约账户进行管理的用户账户的数量可少于使用合约账户的用户账户的数量，因此为了减少合约账户中的数据存储量，优选是在成员账户集合中存储具备管理权限的用户账户的账户地址。

权限控制策略用于限定对合约账户的管理操作策略，由合约账户的创建者或所有者根据需要自定义确定，是合约账户创建时所指定的合约账户的属性。

其中，权限控制策略包括下述至少一个：阈值策略，用于根据鉴权通过的成员账户的权重值之和，与设定通过阈值之间的关系，确定整体鉴权通过结果；背书策略，用于根据鉴权通过的成员账户的数量或比例，确定整体鉴权通过结果；固定账户策略，用于根据账户操作的关联账户与预设固定账户之间的关系，确定整体鉴权通过结果。

可选地，根据合约账户的权限控制数据，对账户操作进行鉴权，可以是：获取合约账户操作事务请求中所包含的各待鉴权账户；将各待鉴权账户与成员账户集合中的成员账户进行查找匹配；确定匹配成功的各待鉴权账户的权重值之和；若权重值之和大于设定通过阈值，则账户操作鉴权通过；否则账户操作鉴权不通过。其中，成员账户集合中各成员账户的权重值由定义成员账户集合时，由合约账户的创建者或所有者进行分配。

或者可选地，根据合约账户的权限控制数据，对账户操作进行鉴权，可以是：获取合约账户操作事务请求中所包含的各待鉴权账户；将各待鉴权账户与成员账户集合中的成员账户进行查找匹配；确定匹配成功的各待鉴权账户的数量或比例；若匹配成功的待鉴权账户的数量大于设定数量阈值，或者匹配成功的待鉴权账户的比例大于设定比例阈值，则账户操作鉴权通过；否则账户操作鉴权不通过。

或者可选地，根据合约账户的权限控制数据，对账户操作进行鉴权，可以是：获取合约账户操作事务请求中所包含的各待鉴权账户；将各待鉴权账户与成员账户集合中的预设固定账户进行匹配；若匹配成功，则确定账户操作鉴权通过；否则账户操作鉴权不通过。

或者可选地，根据合约账户的权限控制数据，对账户操作进行鉴权，可以是：获取确定对合约账户需进行的账户操作的关联账户；若关联账户为成员账户集合中预设固定账户的衍生账户或被衍生账户，则确定账户操作鉴权通过；否则账户操作鉴权不通过。其中，预设固定账户的衍生账户可以理解为预设固定账户的子账户，继承有预设固定账户的至少部分操作权限；预设固定账户的被衍生账户可以理解为预设固定账户的父账户，预设固定账户继承有被衍生账户的至少部分操作权限。

S140、如果鉴权通过，则执行所述账户操作。

示例性地，当至少一个用户账户基于基础智能合约发起合约账户操作事务请求，并向区块链网络中发起该合约账户操作事务请求；区块链节点接收合约账户操作事务请求，并根据合约账户的权限控制数据所包含的至少一个权限控制策略，对发起的用户账户的操作权限进行验证；当验证通过后，执行相应的账户操作。

可选地，执行账户操作，可以是处理合约账户操作事务请求，以执行确定的对合约账户需进行的账户操作，并将生成的事务数据上链存储。

其中，所述合约账户的账户操作包括下述至少一项：配置所述合约账户的权限控制数据的内容、控制所述合约账户部署的应用智能合约、以及控制所述合约账户的账户资产转移。

示例性地，若账户操作为配置合约账户的权限控制数据的内容，则执行账户操作包括下述至少一项：增加或删除成员账户集合中的成员账户；增加、删除、或修改权限控制策略。

示例性地，若账户操作为控制合约账户的账户资产转移，则执行账户操作包括下述至少一项：账户资产的转入、转出、不同资产元素的兑换、发行和销毁。

示例性地，若账户操作为控制合约账户部署的应用智能合约，则执行账户操作包括下述至少一项：在区块链节点中部署所述应用智能合约的代码和参数；在区块链节点中变更所述应用智能合约的代码和参数；在区块链节点中为所述应用智能合约配置、变更、删除或查询权限控制表；其中，所述权限控制表用于控制用户账户对所述应用智能合约中子程序的调用权限。

在本发明的一个可选实施方式中，权限控制表记录了应用智能合约中子程序的函数调用权限控制策略，并通过函数调用权限控制策略控制用户账户对应用智能合约中子程序的调用权限。在对应用智能合约中子程序的调用权限鉴权通过时，调用应用智能合约中相应的子程序，得到函数运行结果并上链存储。

其中，函数调用权限控制策略包括下述至少一种：函数调用阈值策略，用于根据函数调用事务请求中所包含的授权账户的权重值之和，与设定调用阈值之间的关系，确定函数调用鉴权通过结果；函数调用背书策略，用于根据函数调用事务请求中所包含的授权账户的数量或比例，确定函数调用鉴权通过结果；固定账户策略，用于函数调用事务请求发起用户与预设授权账户之间的关系，确定函数调用鉴权通过结果。其中，授权账户为具备函数调用权限的用户账户。其中，不同授权账户在部署智能合约后预先设定有相应的函数调用权重值。当然，对于不同的应用智能合约，也可以设置某些子程序是可以供所有用户账户调用的。

可选地，通过函数调用权限控制策略控制用户账户对应用智能合约中子程序的调用权限，可以是接收函数调用事务请求，并获取函数调用事务请求中所包含的授权账户的函数调用权重值；计算函数调用事务请求中所包含的授权账户的函数调用权重值之和；若函数调用权重值之和大于设定函数调用阈值，则函数调用鉴权通过；否则函数调用鉴权不通过。

或者可选地，通过函数调用权限控制策略控制用户账户对应用智能合约中子程序的调用权限，可以是接收函数调用事务请求，并统计函数调用事务请求中所包含的授权账户的数量，或确定函数调用事务请求中所包含的授权账户的比例；若确定的授权账户的数量大于函数调用设定数量阈值，或确定的授权账户的比例大于函数调用设定比例阈值，则函数调用鉴权通过；否则函数调用鉴权不通过。

或者可选地，通过函数调用权限控制策略控制用户账户对应用智能合约中子程序的调用权限，可以是接收函数调用事务请求，并统计函数调用事务请求中所包含的授权账户是否为预设授权账户；若是则函数调用鉴权通过；否则函数调用鉴权不通过。例如，转账智能合约，可识别授权账户是否为待转出资产的用户账户，如果是，则鉴权通过。

本发明实施例通过引入合约账户的概念，并在对合约账户执行权限控制数据内容配置、应用智能合约部署以及账户资产转移控制等账户操作之前，通过合约账户的权限控制数据，实现对账户操作的鉴权，提高了区块链中权限管理的通用性；在对合约账户需进行的账户操作鉴权时，均采用所属合约账户的权限控制数据作为参照因子，简化了区块链中权限管理的复杂度；通过在区块链中部署基础智能合约，并基于基础智能合约进行合约账户操作事务请求的发起，进而在对合约账户进行权限管理时，与区块链系统中的基础智能合约相关联，强化了区块链中权限管理的系统性。基于本发明实施例的技术方案，如果需要对应用智能合约进行各种部署和不同级别的权限控制时，不用改写智能合约的代码本身，而是通过合约级别的合约账户操作就可以实现。

实施例二

图3是本发明实施例二中的一种区块链系统的权限管理方法的流程图。本发明实施例在上述各实施例的技术方案的基础上进行了优化改进。

进一步地，在操作“获取基于基础智能合约而发起的合约账户操作事务请求”之前，追加“获取基于所述基础智能合约而发起的合约账户创建事务请求；根据所述合约账户创建事务请求，确定所述合约账户的密钥信息和权限控制数据，并存储在区块链中，以创建所述合约账户”，以完善合约账户的创建机制。

如图3所示的一种区块链系统的权限管理方法，包括：

S210、获取基于所述基础智能合约而发起的合约账户创建事务请求。

其中，合约账户创建事务请求中包括合约账户的密钥信息和权限控制数据。

示例性地，用户账户在具备合约账户创建需求时，或接收到合约账户创建指令时，将通过区块链节点基于基础智能合约而发起合约账户创建事务请求，并将该合约账户创建事务请求广播至区块链网络中。相应的，区块链节点接收该基于基础智能合约而发起的合约账户创建事务请求。

其中，合约账户的密钥信息可以由合约账户创建事务请求的发起者预先生成或获取，并根据生成或获取的密钥信息基于基础智能合约发起合约账户创建事务请求。示例性地，密钥信息可以基于基础智能合约调用设定的密钥生成接口，基于可信计算环境计算得到，并预先存储在各区块链节点中；还可以由发起者在发起合约账户创建事务请求之前，基于基础智能合约调用设定的密钥生成接口，并基于可信计算环境计算得到。

其中，密钥信息可以是非对称密钥中的公钥，用于在区块链网络中进行传播；相应的非对称密钥中的私钥，由合约账户的所有者保留。

其中，权限控制数据包括成员账户集合和权限控制策略。成员账户集合中存储有至少一个用户账户的账户地址，用于限定对合约账户具备管理权限的用户账户。权限控制策略用于限定对合约账户的管理操作策略，由合约账户的创建者或所有者根据需要自定义确定，是合约账户创建时指定的合约账户的属性。成员账户集合和权限控制策略具体可参见前文表述，在此不再赘述。

需要说明的是，当成员账户集合用于限定具备管理权限的用户账户时，合约账户创建事务请求的发起者账户可以作为合约账户的管理者，也即属于该成员账户集合中的一个集合元素，具备合约账户的管理权限；合约账户创建事务请求的发起者账户也可以作为合约账户的第三方创建者，也即不属于该成员账户集合中的一个集合元素，不具备合约账户的管理权限。

S220、根据所述合约账户创建事务请求，确定所述合约账户的密钥信息和权限控制数据，并存储在区块链中，以创建所述合约账户。

当区块链节点接收到合约账户创建事务请求后，解析合约账户事务请求得到合约账户的密钥信息和权限控制数据，并根据合约账户的密钥信息和权限控制信息创建合约账户，同时将合约账户的密钥信息、权限控制信息以及创建合约账户时相应的事务数据一并存储至区块链中。

在本发明实施例的一个可选实施方式中，合约账户创建事务请求中还可以包括系统功能接口参数；其中系统功能接口参数用于表征合约账户在部署智能合约时允许调用的各个系统接口。相应的，在获取基于基础智能合约而发起的合约账户创建事务请求之后，还可以根据所述合约账户创建事务请求，调用所述基础智能合约中的系统功能接口配置程序，为所述合约账户配置系统功能接口的调用权限数据。

示例性地，解析合约账户创建事务请求，并得到系统功能接口参数；调用基础智能合约中的系统功能接口配置程序，将系统功能接口参数作为系统功能配置接口程序的输入参数，为合约账户配置系统功能接口，以限定在合约账户中部署智能合约时调用的系统功能接口的权限数据。

S230、获取基于基础智能合约而发起的合约账户操作事务请求。

S240、根据所述合约账户操作事务请求，确定对所述合约账户需进行的账户操作。

S250、根据所述合约账户的权限控制数据，对所述账户操作进行鉴权。

S260、如果鉴权通过，则执行所述账户操作。

其中，所述合约账户的账户操作包括下述至少一项：配置所述合约账户的权限控制数据的内容、控制所述合约账户部署的应用智能合约、以及控制所述合约账户的账户资产转移。

本发明实施例通过在获取基于基础智能合约而发起的合约账户操作事务请求之前，追加获取基于基础智能合约而发起的合约账户创建事务请求，并根据合约账户创建事务请求确定合约账户的密钥信息和权限控制数据，并存储在区块链中以创建合约账户，完善了合约账户的创建机制，为基于合约账户对区块链中的权限管理奠定基础。

实施例三

图4是本发明实施例三中的一种区块链系统的权限管理方法的流程图。本发明实施例在上述各实施例的技术方案的基础上进行了优化改进。

进一步地，将操作“获取基于基础智能合约而发起的合约账户操作事务请求”之前，追加“在创建区块链系统时，获取包括所述基础智能合约的部署事务请求；在所述区块链的第一个区块中存储所述基础智能合约，以部署在参与所述区块链系统的区块链节点中”，以完善基础智能合约的部署机制。

如图4所示的一种区块链系统的权限管理方法，包括：

S310、在创建区块链系统时，获取包括所述基础智能合约的部署事务请求。

其中，基础智能合约专用于为合约账户进行管理，例如进行合约账户的创建、系统接口的调用以及系统参数的修改等。

可选地，基于基础智能合约进行合约账户的创建，可以是：基于基础智能合约发起合约账户创建事务请求；区块链节点接收到合约账户创建事务请求后，根据所述合约账户创建事务请求，确定所述合约账户的密钥信息和权限控制数据，并存储在区块链中，以创建所述合约账户。

可选地，基于基础智能合约进行系统接口的调用，可以是：基于基础智能合约发起系统接口调用事务请求；当区块链节点接收到系统接口调用事务请求后，根据系统接口调用事务请求，确定预调用系统接口，以实现对各预调用系统接口的调用。其中，系统接口由区块链系统提供，可以是查询区块链、写入区块链、以及密钥算法等通用功能接口。

可选地，基于基础智能合约进行系统参数的修改，可以是基于基础智能合约发起系统参数修改事务请求；当区块链节点获取到该系统参数修改事务请求后，根据所述系统参数修改事务请求发起共识确认，并在确认通过时，对系统参数进行修改，其中，所述系统参数为所述基础智能合约的运行参数。示例性地，系统参数可以是共识出块时间或者区块大小等。示例性地，共识确认可以是通过设定比例的区块链节点投票通过而达成共识。

其中，部署事务请求中包括基础智能合约的代码和参数。为了保证区块链整个生命周期过程中系统的完整性和一致性，在创建区块链系统时，进行基础智能合约的部署。

S320、在所述区块链的第一个区块中存储所述基础智能合约，以部署在参与所述区块链系统的区块链节点中。

当需要部署基础智能合约时，区块链网络的创建者可以在区块链网络中发起基础智能合约的部署事务请求；各区块链节点接收到部署事务请求后，解析该部署事务请求得到基础智能合约的代码和参数，并处理部署事务请求，以基于基础智能合约的代码和参数完成基础智能合约的部署操作。

为了便于基础智能合约的查找，优选是将基础智能合约存储在第一个区块也即创世区块中，从而实现基础智能合约在区块链系统的区块链节点中的部署。当然，为了减少使用基础智能合约时的数据传输量，区块链节点还可以将部署的基础智能合约同步到节点本地。

S330、获取基于基础智能合约而发起的合约账户操作事务请求。

S340、根据所述合约账户操作事务请求，确定对所述合约账户需进行的账户操作。

S350、根据所述合约账户的权限控制数据，对所述账户操作进行鉴权。

S360、如果鉴权通过，则执行所述账户操作。

其中，所述合约账户的账户操作包括下述至少一项：配置所述合约账户的权限控制数据的内容、控制所述合约账户部署的应用智能合约、以及控制所述合约账户的账户资产转移。

本发明实施例通过在获取基于基础智能合约而发起的合约账户操作事务请求之前，追加在创建区块链系统时，获取包括基础智能合约的部署事务请求；在区块链的第一个区块中存储基础智能合约，以部署在参与区块链系统的区块链节点中，完善了基础智能合约的部署机制，为基于合约账户的创建和管理奠定了基础。

在上述各实施例的技术方案的基础上，在区块链系统中为了有效区分基础智能合约和应用智能合约，强化基础智能合约的系统性，突出基础智能合约的核心地位，优选是将基础智能合约与系统账户进行绑定。示例性地，部署事务请求中还包括系统账户的信息。相应的，在获取基础智能合约的部署事务请求之后，还包括：从所述部署事务请求中确定系统账户，在所述区块链的所述第一个区块中存储所述系统账户的信息，并建立所述系统账户与所述基础智能合约的关联。

实施例四

图5是本发明实施例四中的一种区块链系统的权限管理装置的结构图。本发明实施例适用于对区块链中的智能合约及智能合约的相关数据进行权限管理的情况。该装置通过软件和/或硬件实现，并具体配置于承载有区块链节点的电子设备中。

如图5所示的一种区块链系统的权限管理装置，包括：事务请求获取模块410、账户操作确定模块420、账户操作鉴权模块430以及账户操作执行模块440。

其中，事务请求获取模块410，用于获取基于基础智能合约而发起的合约账户操作事务请求；

账户操作确定模块420，用于根据所述合约账户操作事务请求，确定对所述合约账户需进行的账户操作；

账户操作鉴权模块430，用于根据所述合约账户的权限控制数据，对所述账户操作进行鉴权；

账户操作执行模块440，用于在鉴权通过时，执行所述账户操作。

本发明实施例通过引入合约账户的概念，并采用账户操作确定模块确定对合约账户需进行的账户操作之后，在账户操作执行模块在对合约账户执行权限控制数据内容配置、应用智能合约部署以及账户资产转移控制等账户操作之前，通过账户操作鉴权模块根据合约账户的权限控制数据，实现对账户操作的鉴权，提高了区块链中权限管理的通用性；在账户操作鉴权模块对合约账户需进行的账户操作鉴权时，均采用所属合约账户的权限控制数据作为参照因子，简化了区块链中权限管理的复杂度；通过在区块链中部署基础智能合约，并通过事务请求获取模块基于基础智能合约进行合约账户操作事务请求的发起，进而在对合约账户进行权限管理时，与区块链系统中的基础智能合约相关联，强化了区块链中权限管理的系统性。

进一步地，所述合约账户的账户操作包括下述至少一项：配置所述合约账户的权限控制数据的内容、控制所述合约账户部署的应用智能合约、以及控制所述合约账户的账户资产转移。

进一步地，所述权限控制数据包括：成员账户集合和权限控制策略。

进一步地，所述权限控制策略包括下述至少一个：

阈值策略，用于根据鉴权通过的成员账户的权重值之和，与设定通过阈值之间的关系，确定整体鉴权通过结果；

背书策略，用于根据鉴权通过的成员账户的数量或比例，确定整体鉴权通过结果；

固定账户策略，用于根据账户操作的关联账户与预设固定账户之间的关系，确定整体鉴权通过结果。

进一步地，如果所述账户操作为控制所述合约账户部署的应用智能合约，则

进一步地，账户操作执行模块440在执行所述账户操作时，具体包括下述至少一项：

在区块链节点中部署所述应用智能合约的代码和参数；

在区块链节点中变更所述应用智能合约的代码和参数；

在区块链节点中为所述应用智能合约配置、变更、删除或查询权限控制表；

其中，所述权限控制表用于控制用户账户对所述应用智能合约中子程序的调用权限。

进一步地，该装置还包括，合约账户创建模块，具体用于：

在获取基于基础智能合约而发起的合约账户操作事务请求之前，获取基于所述基础智能合约而发起的合约账户创建事务请求；

根据所述合约账户创建事务请求，确定所述合约账户的密钥信息和权限控制数据，并存储在区块链中，以创建所述合约账户。

进一步地，该装置还包括，调用权限数据配置模块，具体用于：

在获取基于所述基础智能合约而发起的合约账户创建事务请求之后，根据所述合约账户创建事务请求，调用所述基础智能合约中的系统功能接口配置程序，为所述合约账户配置系统功能接口的调用权限数据。

进一步地，该装置还包括，基础智能合约部署模块，具体用于：

在创建区块链系统时，获取包括所述基础智能合约的部署事务请求；

在所述区块链的第一个区块中存储所述基础智能合约，以部署在参与所述区块链系统的区块链节点中。

进一步地，基础智能合约部署模块，在执行获取包括所述基础智能合约的部署事务请求之后，还用于：

从所述部署事务请求中确定系统账户，在所述区块链的所述第一个区块中存储所述系统账户的信息，并建立所述系统账户与所述基础智能合约的关联。

进一步地，该装置还包括，系统参数修改模块，具体用于：

获取基于所述基础智能合约而发起的系统参数修改事务请求；

根据所述系统参数修改事务请求发起共识确认，并在确认通过时，对系统参数进行修改，其中，所述系统参数为所述基础智能合约的运行参数。

本发明实施例所提供的区块链系统的权限管理装置可执行本发明任意实施例所提供的区块链系统的权限管理方法，具备执行区块链系统的权限管理方法相应的功能模块和有益效果。

实施例五

图6为本发明实施例五提供的一种电子设备的结构示意图。图6示出了适于用来实现本发明实施方式的示例性电子设备512的框图。图6显示的电子设备512仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。

如图6所示，电子设备512以通用计算设备的形式表现。电子设备512的组件可以包括但不限于：一个或者多个处理器或者处理单元516，系统存储器528，连接不同系统组件(包括系统存储器528和处理单元516)的总线518。

总线518表示几类总线结构中的一种或多种，包括存储器总线或者存储器控制器，外围总线，图形加速端口，处理器或者使用多种总线结构中的任意总线结构的局域总线。举例来说，这些体系结构包括但不限于工业标准体系结构(ISA)总线，微通道体系结构(MAC)总线，增强型ISA总线、视频电子标准协会(VESA)局域总线以及外围组件互连(PCI)总线。

电子设备512典型地包括多种计算机系统可读介质。这些介质可以是任何能够被电子设备512访问的可用介质，包括易失性和非易失性介质，可移动的和不可移动的介质。

系统存储器528可以包括易失性存储器形式的计算机系统可读介质，例如随机存取存储器(RAM)530和/或高速缓存存储器532。电子设备512可以进一步包括其它可移动/不可移动的、易失性/非易失性计算机系统存储介质。仅作为举例，存储系统534可以用于读写不可移动的、非易失性磁介质(图6未显示，通常称为“硬盘驱动器”)。尽管图6中未示出，可以提供用于对可移动非易失性磁盘(例如“软盘”)读写的磁盘驱动器，以及对可移动非易失性光盘(例如CD-ROM,DVD-ROM或者其它光介质)读写的光盘驱动器。在这些情况下，每个驱动器可以通过一个或者多个数据介质接口与总线518相连。存储器528可以包括至少一个程序产品，该程序产品具有一组(例如至少一个)程序模块，这些程序模块被配置以执行本发明各实施例的功能。

具有一组(至少一个)程序模块542的程序/实用工具540，可以存储在例如存储器528中，这样的程序模块542包括但不限于操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。程序模块542通常执行本发明所描述的实施例中的功能和/或方法。

电子设备512也可以与一个或多个外部设备514(例如键盘、指向设备、显示器524等)通信，还可与一个或者多个使得用户能与该电子设备512交互的设备通信，和/或与使得该电子设备512能与一个或多个其它计算设备进行通信的任何设备(例如网卡，调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口522进行。并且，电子设备512还可以通过网络适配器520与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。如图所示，网络适配器520通过总线518与电子设备512的其它模块通信。应当明白，尽管图中未示出，可以结合电子设备512使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。

处理单元516通过运行存储在系统存储器528中的多个程序中的至少一个程序，从而执行各种功能应用以及数据处理，例如实现本发明实施例所提供的一种区块链系统的权限管理方法。

实施例六

本发明实施例六提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现本发明任一实施例所提供的一种区块链系统的权限管理方法，应用于区块链节点，所述方法包括：获取基于基础智能合约而发起的合约账户操作事务请求；根据所述合约账户操作事务请求，确定对所述合约账户需进行的账户操作；根据所述合约账户的权限控制数据，对所述账户操作进行鉴权；如果鉴权通过，则执行所述账户操作；其中，所述合约账户的账户操作包括下述至少一项：配置所述合约账户的权限控制数据的内容、控制所述合约账户部署的应用智能合约、以及控制所述合约账户的账户资产转移。

本发明实施例的计算机存储介质，可以采用一个或多个计算机可读的介质的任意组合。计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本文件中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。

计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括——但不限于无线、电线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言或其组合来编写用于执行本发明操作的计算机程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、Smalltalk、C++，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络——包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。

注意，上述仅为本发明的较佳实施例及所运用技术原理。本领域技术人员会理解，本发明不限于这里所述的特定实施例，对本领域技术人员来说能够进行各种明显的变化、重新调整和替代而不会脱离本发明的保护范围。因此，虽然通过以上实施例对本发明进行了较为详细的说明，但是本发明不仅仅限于以上实施例，在不脱离本发明构思的情况下，还可以包括更多其他等效实施例，而本发明的范围由所附的权利要求范围决定。

Claims (13)

1.一种区块链系统的权限管理方法，其特征在于，应用于区块链节点，所述方法包括：

获取基于基础智能合约而发起的合约账户操作事务请求；

根据所述合约账户操作事务请求，确定对所述合约账户需进行的账户操作；

根据所述合约账户的权限控制数据，对所述账户操作进行鉴权；

如果鉴权通过，则执行所述账户操作。

2.根据权利要求1所述的方法，其特征在于，所述合约账户的账户操作包括下述至少一项：配置所述合约账户的权限控制数据的内容、控制所述合约账户部署的应用智能合约、以及控制所述合约账户的账户资产转移。

3.根据权利要求1所述的方法，其特征在于，所述权限控制数据包括：成员账户集合和权限控制策略。

4.根据权利要求3所述的方法，其特征在于，所述权限控制策略包括下述至少一个：

阈值策略，用于根据鉴权通过的成员账户的权重值之和，与设定通过阈值之间的关系，确定整体鉴权通过结果；

背书策略，用于根据鉴权通过的成员账户的数量或比例，确定整体鉴权通过结果；

固定账户策略，用于根据账户操作的关联账户与预设固定账户之间的关系，确定整体鉴权通过结果。

5.根据权利要求2所述的方法，其特征在于，如果所述账户操作为控制所述合约账户部署的应用智能合约，则执行所述账户操作包括下述至少一项：

在区块链节点中部署所述应用智能合约的代码和参数；

在区块链节点中变更所述应用智能合约的代码和参数；

在区块链节点中为所述应用智能合约配置、变更、删除或查询权限控制表；

其中，所述权限控制表用于控制用户账户对所述应用智能合约中子程序的调用权限。

6.根据权利要求1或2所述的方法，其特征在于，获取基于基础智能合约而发起的合约账户操作事务请求之前，还包括：

获取基于所述基础智能合约而发起的合约账户创建事务请求；

根据所述合约账户创建事务请求，确定所述合约账户的密钥信息和权限控制数据，并存储在区块链中，以创建所述合约账户。

7.根据权利要求6所述的方法，其特征在于，获取基于所述基础智能合约而发起的合约账户创建事务请求之后，还包括：

根据所述合约账户创建事务请求，调用所述基础智能合约中的系统功能接口配置程序，为所述合约账户配置系统功能接口的调用权限数据。

8.根据权利要求1-4任一所述的方法，其特征在于，还包括：

在创建区块链系统时，获取包括所述基础智能合约的部署事务请求；

在所述区块链的第一个区块中存储所述基础智能合约，以部署在参与所述区块链系统的区块链节点中。

9.根据权利要求8所述的方法，其特征在于，获取包括所述基础智能合约的部署事务请求之后，还包括：

从所述部署事务请求中确定系统账户，在所述区块链的所述第一个区块中存储所述系统账户的信息，并建立所述系统账户与所述基础智能合约的关联。

10.根据权利要求1-4任一所述的方法，其特征在于，还包括：

获取基于所述基础智能合约而发起的系统参数修改事务请求；

根据所述系统参数修改事务请求发起共识确认，并在确认通过时，对系统参数进行修改，其中，所述系统参数为所述基础智能合约的运行参数。

11.一种区块链系统的权限管理装置，其特征在于，配置于区块链节点，所述装置包括：

事务请求获取模块，用于获取基于基础智能合约而发起的合约账户操作事务请求；

账户操作确定模块，用于根据所述合约账户操作事务请求，确定对所述合约账户需进行的账户操作；

账户操作鉴权模块，用于根据所述合约账户的权限控制数据，对所述账户操作进行鉴权；

账户操作执行模块，用于在鉴权通过时，执行所述账户操作。

12.一种电子设备，其特征在于，所述电子设备包括：

一个或多个处理器；

存储器，用于存储一个或多个程序；

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如权利要求1-10任一项所述的一种区块链系统的权限管理方法。

13.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1-10任一项所述的一种区块链系统的权限管理方法。