CN110290112A - 权限控制方法、装置、计算机设备及存储介质 - Google Patents

Abstract

本发明公开了一种权限控制方法、装置、计算机设备及存储介质。所述方法包括：若接收到权限更新指令，则获取地址权限表、角色权限表和待更新的权限数据表；从地址权限表中选取第一对应关系，从角色权限表中选取第二对应关系，并在地址权限表中和角色权限表中，对选取出的第一对应关系和第二对应关系进行权限类型的等值关联，得到待确认地址和对应的待确认角色；根据待确认角色和待确认地址，按照目标标识信息，对权限数据表中的映射关系进行更新；若接收到用户对目标地址的访问请求，则根据权限数据表确定用户对目标地址的访问权限，并根据访问权限响应访问请求。本发明的技术方案有效提高权限控制的处理效率，同时降低优化成本。

Description

权限控制方法、装置、计算机设备及存储介质

技术领域

本发明涉及数据处理技术领域，尤其涉及一种权限控制方法、装置、计算机设备及存储介质。

背景技术

在实际网络应用中，为了防止用户在没有访问某一功能的角色权限的情况下，通过直接在浏览器中输入该功能的访问地址，而绕过角色权限的限制进行访问，常常会设置对访问地址的访问拦截。

现有技术中，通常使用角色权限关系表配置用户角色和可访问地址之间的对应关系，并在对访问地址进行访问拦截时，根据该角色权限关系表判断用户是否具有对访问地址的访问权限。

但是，由于用户角色和可访问地址之间可以是一对一、一对多、多对一、多对多等各种对应关系，并且对于复杂的业务系统，其用户角色本身也往往包含多个层级，因此角色权限关系表中的对应关系复杂，并且会包含大量重复数据，当需要新增用户角色、或者对已有用户角色的访问权限扩大或者缩小，需要对角色权限关系表进行更新时，每次更新都需要对角色权限关系表中庞大复杂的对应关系进行查找和梳理，导致对角色权限关系表的处理操作繁琐，处理效率低。

发明内容

本发明实施例提供一种权限控制方法、装置、计算机设备及存储介质，以解决目前对访问地址的用户权限控制的处理效率低问题。

一种权限控制方法，包括：

若接收到权限更新指令，则获取地址权限表、角色权限表和待更新的权限数据表，其中，所述权限数据表包含用户角色和可访问地址之间的映射关系，所述地址权限表包含权限类型和所述可访问地址之间的第一对应关系，所述角色权限表包含所述用户角色和所述权限类型之间的第二对应关系，所述第一对应关系和所述第二对应关系均包含状态标识；

从所述地址权限表中选取所述状态标识为预设的目标标识信息的所述第一对应关系，从所述角色权限表中选取所述状态标识为所述预设的目标标识信息的所述第二对应关系，并在所述地址权限表中和所述角色权限表中，对选取出的所述第一对应关系和所述第二对应关系进行所述权限类型的等值关联，得到待确认地址和所述待确认地址对应的待确认角色；

根据所述待确认角色和所述待确认地址，按照所述目标标识信息，对所述权限数据表中的所述映射关系进行更新，并对所述角色权限表中所述状态标识为所述目标标识信息的所述第二对应关系的所述状态标识进行更新，以及对所述地址权限表中所述状态标识为所述目标标识信息的所述第一对应关系的所述状态标识进行更新；

若接收到用户对目标地址的访问请求，则根据所述权限数据表确定所述用户对所述目标地址的访问权限，并根据所述访问权限响应所述访问请求。

一种权限控制装置，包括：

获取模块，用于若接收到权限更新指令，则获取地址权限表、角色权限表和待更新的权限数据表，其中，所述权限数据表包含用户角色和可访问地址之间的映射关系，所述地址权限表包含权限类型和所述可访问地址之间的第一对应关系，所述角色权限表包含所述用户角色和所述权限类型之间的第二对应关系，所述第一对应关系和所述第二对应关系均包含状态标识；

关联模块，用于从所述地址权限表中选取所述状态标识为预设的目标标识信息的所述第一对应关系，从所述角色权限表中选取所述状态标识为所述预设的目标标识信息的所述第二对应关系，并在所述地址权限表中和所述角色权限表中，对选取出的所述第一对应关系和所述第二对应关系进行所述权限类型的等值关联，得到待确认地址和所述待确认地址对应的待确认角色；

更新模块，用于根据所述待确认角色和所述待确认地址，按照所述目标标识信息，对所述权限数据表中的所述映射关系进行更新，并对所述角色权限表中所述状态标识为所述目标标识信息的所述第二对应关系的所述状态标识进行更新，以及对所述地址权限表中所述状态标识为所述目标标识信息的所述第一对应关系的所述状态标识进行更新；

响应模块，用于若接收到用户对目标地址的访问请求，则根据所述权限数据表确定所述用户对所述目标地址的访问权限，并根据所述访问权限响应所述访问请求。

一种计算机设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现上述权限控制方法的步骤。

一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行时实现上述权限控制方法的步骤。

上述权限控制方法、装置、计算机设备及存储介质中，若接收到权限更新指令，则获取地址权限表、角色权限表和待更新的权限数据表，从地址权限表中选取状态标识为目标标识信息的第一对应关系，并从角色权限表中选取状态标识为目标标识信息的第二对应关系，然后在地址权限表中和角色权限表中，对选取出的第一对应关系和第二对应关系进行权限类型的等值关联，得到待确认地址及其对应的待确认角色，之后根据待确认角色和待确认地址，按照目标标识信息，对权限数据表中的映射关系进行更新，并对第一对应关系和第二对应关系中的状态标识进行同步更新；当接收到用户对目标地址的访问请求时，根据权限数据表确定用户对目标地址的访问权限，并根据访问权限响应访问请求。通过引用地址权限表和角色权限表，分别定义权限类型和可访问地址之间的第一对应关系，以及用户角色和权限类型之间的第二对应关系，使得对用户角色和可访问地址的配置更新能够分离开，无需每次更新时对权限数据表中的复杂数据进行查询和梳理，只需更新地址权限表或角色权限表，并根据权限类型的等值关联，将需要更新的数据同步到权限数据表，有效提高权限控制的处理效率，同时，保留原始的权限数据表，能够在提高权限控制的处理效率的同时，避免对涉及权限数据表的业务逻辑的影响，从而降低优化成本。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对本发明实施例的描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本发明一实施例中权限控制方法的一应用环境示意图；

图2是本发明一实施例中权限控制方法的一流程图；

图3是本发明一实施例中权限控制方法的步骤S3的一流程图；

图4是本发明一实施例中权限控制方法的步骤S3的另一流程图；

图5是本发明一实施例中权限控制方法的步骤S4的一流程图；

图6是本发明一实施例中权限控制装置的一示意图；

图7是本发明一实施例中计算机设备的一示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本申请提供的权限控制方法，可应用在如图1所示的应用环境中，该应用环境包括服务端和客户端，其中，服务端和应用客户端之间通过网络进行连接，该网络可以是有线网络或者无线网络，客户端具体包括但不限于各种个人计算机、笔记本电脑、智能手机和平板电脑和便携式可穿戴设备，服务端具体可以用独立的服务器或者多个服务器组成的服务器集群实现。服务端根据权限更新指令完成对权限数据表的更新，并在接收到客户端发送的用户对目标地址的访问请求时，根据权限数据表确定用户的访问权限，并响应访问请求。

在一实施例中，如图2所示，提供一种权限控制方法，以该方法应用在图1中的服务端为例进行说明，具体包括步骤S1至步骤S4，详述如下：

S1：若接收到权限更新指令，则获取地址权限表、角色权限表和待更新的权限数据表，其中，权限数据表包含用户角色和可访问地址之间的映射关系，地址权限表包含权限类型和可访问地址之间的第一对应关系，角色权限表包含用户角色和权限类型之间的第二对应关系，第一对应关系和第二对应关系均包含状态标识。

在本实施例中，权限数据表定义了用户角色和可访问地址之间的映射关系，地址权限表定义了权限类型和可访问地址之间的第一对应关系，角色权限表定义了用户角色和权限类型之间的第二对应关系。

其中，用户角色为登录用户所拥有的机构角色，例如，属于同一个部门的用户具有该部门的成员角色。可访问地址为允许用户访问的统一资源定位符(Uniform ResourceLocator，URL)地址。权限类型为具体的控制权限，例如，业务申请记录查看权限。

第一对应关系和第二对应关系均包含状态标识，状态标识用于标识第一对应关系和第二对应关系的当前状态，例如，状态标识包括但不限于新增标识、删除标识、历史标识等。当新增用户角色时，需要新建该用户角色和权限类型之间的第二对应关系，此时，该第二对应关系包含的状态标识可以被设置为新增标识，用于标识该第二对应关系为新建的对应关系。

权限更新指令用于对权限数据表进行更新，当新增用户角色，或者对已有的用户角色的权限扩大或者缩小时，角色权限表会被修改，同时地址权限表可能被修改，此时触发权限更新指令，以通知服务端对权限数据表进行更新。

具体地，服务端接收到权限更新指令，获取地址权限表、角色权限表和权限数据表。

S2：从地址权限表中选取状态标识为预设的目标标识信息的第一对应关系，从角色权限表中选取状态标识为预设的目标标识信息的第二对应关系，并在地址权限表中和角色权限表中，对选取出的第一对应关系和第二对应关系进行权限类型的等值关联，得到待确认地址和待确认地址对应的待确认角色。

具体地，服务端对地址权限表中第一对应关系包含的状态标识进行遍历，获取状态标识为预设的目标标识信息的第一对应关系，并将该第一对应关系中的可访问地址作为地址权限表中的待确认地址，将该第一对应关系中的权限类型作为第一目标类型，同时，服务端对角色权限表中第二对应关系包含的状态标识进行遍历，获取状态标识为预设的目标标识信息的第二对应关系，并将该第二对应关系中的用户角色作为角色权限表中的待确认角色，将该第二对应关系中的权限类型作为第二目标类型。

服务端根据在地址权限表中得到的第一目标类型，在角色权限表中获取第一目标类型对应的用户角色，得到地址权限表中的待确认地址对应的待确认角色，服务端将该待确认地址和该待确认角色对应存储在第一关系集合中；

同时，服务端根据在角色权限表中得到的第二目标类型，在地址权限表中获取第二目标类型对应的可访问地址，得到角色权限表中的待确认角色对应的待确认地址，服务端将该待确认角色和该待确认地址对应存储在第二关系集合中；

服务端对第一关系集合和第二关系集合进行并集计算，即删除第一关系集合和第二关系集合中相同的对应关系，得到的并集集合中包含每个待确认地址和该待确认地址对应的待确认角色。

其中，预设的目标标识信息为状态标识的可选取值中的一个或多个，例如，目标标识信息可以是新增标识或删除标识等。

S3：根据待确认角色和待确认地址，按照目标标识信息，对权限数据表中的映射关系进行更新，并对角色权限表中状态标识为目标标识信息的第二对应关系的状态标识进行更新，以及对地址权限表中状态标识为目标标识信息的第一对应关系的状态标识进行更新。

具体地，服务端根据步骤S2确定的待确认地址及其对应的待确认角色，对权限数据表中用户角色和可访问地址之间的映射关系进行更新，具体更新方式依赖于目标标识信息，若目标标识信息为新增标识，则将步骤S2确定的待确认地址及其对应的待确认角色作为新的映射关系添加到权限数据表中，若目标标识信息为删除标识，则将步骤S2确定的待确认地址及其对应的待确认角色之间的映射关系从权限数据表中删除。

服务端完成对权限数据表的更新处理后，将角色权限表中状态标识为目标标识信息的第二对应关系的状态标识的取值进行同步更新，以及将地址权限表中状态标识为目标标识信息的第一对应关系的状态标识的取值进行同步更新，以使得在下一次根据权限更新指令进行权限更新时，对本次已经更新的权限不再重复处理。例如，若第二对应关系的状态标识为新增权限，则可以将该状态标识更新为历史标识，若第二对应关系的状态标识为删除权限，则可以将该状态标识更新为空。

S4：若接收到用户对目标地址的访问请求，则根据权限数据表确定用户对目标地址的访问权限，并根据访问权限响应访问请求。

具体地，当服务端接收到用户对目标地址的访问请求，则对该访问请求进行拦截，并根据权限数据表中用户角色和可访问地址之间的映射关系，确定该用户是否具有对目标地址的访问权限，若该用户具有对目标地址的访问权限，则允许用户访问该目标地址，服务端继续响应访问请求，并向用户返回响应数据，若该用户不具有对目标地址的访问权限，则拒绝该用户的访问请求。

本实施例中，若接收到权限更新指令，则获取地址权限表、角色权限表和待更新的权限数据表，从地址权限表中选取状态标识为目标标识信息的第一对应关系，并从角色权限表中选取状态标识为目标标识信息的第二对应关系，然后在地址权限表中和角色权限表中，对选取出的第一对应关系和第二对应关系进行权限类型的等值关联，得到待确认地址及其对应的待确认角色，之后根据待确认角色和待确认地址，按照目标标识信息，对权限数据表中的映射关系进行更新，并对第一对应关系和第二对应关系中的状态标识进行同步更新；当接收到用户对目标地址的访问请求时，根据权限数据表确定用户对目标地址的访问权限，并根据访问权限响应访问请求。通过引用地址权限表和角色权限表，分别定义权限类型和可访问地址之间的第一对应关系，以及用户角色和权限类型之间的第二对应关系，使得对用户角色和可访问地址的配置更新能够分离开，无需每次更新时对权限数据表中的复杂数据进行查询和梳理，只需更新地址权限表或角色权限表，并根据权限类型的等值关联，将需要更新的数据同步到权限数据表，有效提高权限控制的处理效率，同时，保留原始的权限数据表，能够在提高权限控制的处理效率的同时，避免对涉及权限数据表的业务逻辑的影响，从而降低优化成本。

在一实施例中，预设的目标标识信息包括新增标识，新增标识用于标识第一对应关系或者第二对应关系为新增的对应关系。当新增可访问地址或者新增用户角色时，可以在地址权限表或者角色权限表中新增对应的第一对应关系或者第二对应关系，并将对应的状态标识设置为新增标识。

进一步地，如图3所示，在步骤S3中，根据待确认角色和待确认地址，按照目标标识信息，对权限数据表中的映射关系进行更新，并对角色权限表中状态标识为目标标识信息的第二对应关系的状态标识进行更新，以及对地址权限表中状态标识为目标标识信息的第一对应关系的状态标识进行更新，具体包括步骤S311至步骤S316，详述如下：

S311：若目标标识信息为新增标识，则在权限数据表的可访问地址中查询待确认地址，得到查询结果。

具体地，若目标标识信息为新增标识，则服务端根据步骤S2确定的待确认地址，在权限数据表的可访问地址中查询该待确认地址，得到的查询结果包括可访问地址中存在该待确认地址和可访问地址中不存在该待确认地址。

若可访问地址中存在该待确认地址，则继续执行步骤S312，若可访问地址中不存在该待确认地址，则流程跳转到步骤S314继续执行。

S312：若查询结果为可访问地址中存在待确认地址，则根据映射关系获取待确认地址对应的用户角色，得到有效角色串。

具体地，若服务端在步骤S311中得到的查询结果为可访问地址中存在待确认地址，则根据权限数据表中的映射关系，获取该待确定地址对应的用户角色，得到由用户角色构成的有效角色串。

S313：若有效角色串中未包含待确认角色，则将待确认角色增加到有效角色串中。

具体地，服务端在步骤S312得到的有效角色串中查询待确认地址对应的待确认角色，若未查询到该待确认角色，则将该待确认角色添加到有效角色串中，即在权限数据表中增加待确认地址与该待确认角色之间的映射关系，流程跳转到步骤S315继续执行。

若服务端在有效角色串中查询到待确认地址对应的待确认角色，则说明在权限数据表中已经存在该待确认地址与该待确认角色之间的映射关系，服务端将不再继续执行后续的步骤。

S314：若查询结果为可访问地址中不存在待确认地址，则新建待确认地址和待确认角色之间的映射关系，并将新建的映射关系添加到权限数据表中。

具体地，若服务端在步骤S311中得到的查询结果为可访问地址中不存在待确认地址，则说明该待确认地址为新增的可访问地址，服务端在权限数据表中新增该待确认地址与该待确认地址对应的待确认角色之间的映射关系。

S315：在角色权限表中，获取标识状态为新增标识的第二对应关系，并将获取到的第二对应关系的状态标识更新为预设空闲标识。

具体地，在步骤S313或者在步骤S314之后，服务端获取角色权限表中标识状态为新增标识的第二对应关系，并将获取到的第二对应关系的状态标识变更为预设空闲标识。

其中，预设空闲标识为状态标识的可选取值中的一个，其具体为预先设置是用于标识非当次需要更新的第二对应关系的标识信息，例如，预设空闲标识可以是历史标识，还可以是空等。

S316：在地址权限表中，获取标识状态为新增标识的第一对应关系，并将获取到的第一对应关系的状态标识更新为预设空闲标识。

具体地，服务端获取地址权限表中标识状态为新增标识的第一对应关系，并将获取到的第一对应关系的状态标识变更为预设空闲标识。

需要说明的是，步骤S315和步骤S316之间没有必然的先后执行顺序，其还可以是并列执行的关系，此处不做限制。

本实施例中，当目标标识信息为新增标识时，在权限数据表的可访问地址中查询待确认地址，若查询到，则根据权限数据表中的映射关系获取该待确认地址对应的有效角色串，并且在有效角色串不包含该待确认地址对应的待确认角色的情况下，将该待确认角色添加到该有效角色串中；若在权限数据表的可访问地址中未查询到待确认地址，则在权限数据表中新增待确认地址和待确认角色之间的映射关系，从而实现了在新增用户角色或者可访问地址时，只需根据待确认角色和待确认地址，将需要更新的数据同步到权限数据表，不需要对权限数据表中全部复杂数据进行查询和梳理，有效提高权限控制的处理效率。同时，在角色权限表和地址权限表中将对应的状态标识更新为预设空闲标识，以避免下一次更新时被重复处理。

在一实施例中，目标标识信息还包括删除标识，删除标识用于标识第一对应关系或者第二对应关系为需要删除的对应关系。当删除可访问地址或者删除用户角色时，可以在地址权限表或者角色权限表中删除对应的第一对应关系或者第二对应关系，并将对应的状态标识设置为删除标识。

进一步地，如图4所示，在步骤S3中，根据待确认角色和待确认地址，按照目标标识信息，对权限数据表中的映射关系进行更新，并对角色权限表中状态标识为目标标识信息的第二对应关系的状态标识进行更新，以及对地址权限表中状态标识为目标标识信息的第一对应关系的状态标识进行更新，具体还包括步骤S321至步骤S325，详述如下：

S321：若目标标识信息为删除标识，则在权限数据表中，根据映射关系获取待确认地址对应的用户角色，得到有效角色串。

具体地，若目标标识信息为新增标识，则服务端使用步骤S2确定的待确认地址，根据权限数据表中的映射关系，获取该待确定地址对应的用户角色，得到由用户角色构成的有效角色串。

S322：若有效角色串中包含待确认角色，则将待确认角色从有效角色串中删除，得到更新后的有效角色串。

具体地，服务端对步骤S321得到的有效角色串中的用户角色进行遍历，在该有效角色串中查询待确认地址对应的待确认角色，若查询到，则将该待确认角色从有效角色串中删除，得到更新后的有效角色串。

需要说明的是，若服务端在对有效角色串遍历完成后仍然没有查询到待确认地址对应的待确认角色，则说明在权限数据表中已经不存在该待确认角色与该待确认地址之间的映射关系，服务端将不再继续执行后续的步骤。

S323：若更新后的有效角色串为空，则删除权限数据表中包含待确认地址的映射关系。

具体地，服务端判断步骤S322得到的更新后的有效角色串是否为空，若为空，则说明待确认地址已经没有用户角色与之对应，因此，服务端将权限数据表中包含待确认地址的映射关系删除。

S324：在角色权限表中，删除标识状态为删除标识的第二对应关系。

具体地，服务端获取角色权限表中标识状态为删除标识的第二对应关系，并删除获取到的第二对应关系。

S325：在地址权限表中，删除标识状态为删除标识的第一对应关系。

具体地，服务端获取地址权限表中标识状态为删除标识的第一对应关系，并删除获取到的第一对应关系。

需要说明的是，步骤S324和步骤S325之间没有必然的先后执行顺序，其还可以是并列执行的关系，此处不做限制。

本实施例中，当目标标识信息为删除标识时，在权限数据表中获取待确认地址对应的用户角色，得到有效角色串，若有效角色串中包含待确认角色，则将待确认角色从有效角色串中删除，得到更新后的有效角色串，若更新后的有效角色串为空，则删除权限数据表中包含待确认地址的映射关系，实现了在删除用户角色或者可访问地址时，只需根据待确认角色和待确认地址，在权限数据表中进行同步更新，不需要对权限数据表中全部复杂数据进行查询和梳理，有效提高权限控制的处理效率。同时，在角色权限表和地址权限表中将标识状态为删除标识的第二对应关系和第一对应关系均删除，以避免下一次更新时被重复处理。

在一实施例中，如图5所示，在步骤S4中，根据权限数据表确定用户对目标地址的访问权限，并根据访问权限响应访问请求，具体包括步骤S41至步骤S44，详述如下：

S61：获取用户的角色信息。

具体地，服务端拦截用户对目标地址的访问请求，并从该访问请求对应的会话控制(session)中获取用户的角色信息，即用户的用户角色。

S62：从权限数据表中获取角色信息对应的可访问地址，并将获取到的可访问地址与目标地址进行匹配，得到匹配结果。

具体地，服务端根据权限数据表中的映射关系，获取用户的角色信息对应的可访问地址，即允许该用户访问的地址列表。服务端将目标地址与该地址列表进行匹配，在该地址列表中查询目标地址，若查询成功，则匹配结果为可访问地址中包含目标地址，并执行步骤S63，若查询失败，则匹配结果为可访问地址中未包含目标地址，流程跳转到步骤S64继续执行。

S63：若匹配结果为可访问地址中包含目标地址，则允许用户访问目标地址，从目标地址获取响应数据，并将响应数据发送给用户所在的客户端。

具体地，若步骤S62得到的匹配结果为可访问地址中包含目标地址，则说明用户具有对目标地址的访问权限，服务端响应用户的访问请求，从目标地址获取响应数据，并将该响应数据发送给用户所在的客户端，实现用户对目标地址的访问。

S64：若匹配结果为可访问地址中未包含目标地址，则拒绝用户对目标地址的访问请求，并将拒绝访问的提示信息发送给客户端。

具体地，若步骤S62得到的匹配结果为可访问地址中未包含目标地址，则说明用户不具有对目标地址的访问权限，服务端将拒绝用户的访问请求，从将拒绝访问的提示信息反馈给客户端。

其中，拒绝访问的提示信息可以包括拒绝访问的目标地址，以及拒绝访问的原因等。

本实施例中，通过直接使用用户的角色信息，根据权限数据表的映射关系，确定用户的角色信息对应的可访问地址中是否包含目标地址，以判断用户是否具有对目标地址的访问权限，并在具有该访问权限的情况下才允许用户访问目标地址，否则返回拒绝访问的提示信息。实现了对原始权限数据表及其业务逻辑的保留，降低优化成本。

在一实施例中，该权限控制方法还包括对权限数据表的定期数据校验，详述如下：

每隔预定的时间间隔，根据地址权限表和角色权限表，对权限数据表进行数据校验。

具体地，服务端每间隔预定的时间间隔，启动对权限数据表的数据校验。具体校验过程如下：

a1)在地址权限表中，将状态标识为非预设的目标标识信息的第一对应关系中的每个可访问地址作为待校验地址，并根据第一对应关系，获取每个待校验地址对应的权限类型，得到目标类型；

a2)在角色权限表中，根据状态标识为非预设的目标标识信息的第二对应关系，获取目标类型对应的用户角色，得到待校验地址对应的待校验角色串；

a3)在权限数据表的可访问地址中查询待校验地址，若查询成功，则根据映射关系获取待校验地址对应的用户角色，得到用户角色串；

a4)对用户角色串和待校验角色串进行匹配，若两者不一致，则校验失败，若两者一致，则进一步判断在权限数据表的可访问地址中是否还包含除待校验地址之外的其他可访问地址，若在权限数据表的可访问地址中不包含除待校验地址之外的其他可访问地址，则校验成功，若在权限数据表的可访问地址中还包含除待校验地址之外的其他可访问地址，则校验失败。

a5)若校验失败，则服务端将校验失败的提示信息和校验失败的相关数据发送给预设的运维平台，由该运维平台的运维人员进行进一步的人工分析和修改。

本实施例中，通过定期对权限数据表进行数据校验，使得权限数据表中的数据能够与地址权限表和角色权限表中的数据保持一致，从而避免由于引入引用地址权限表和角色权限表而可能导致的权限数据表涉及的业务逻辑的执行错误，确保业务的稳定性和安全性。

应理解，上述实施例中各步骤的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本发明实施例的实施过程构成任何限定。

在一实施例中，提供一种权限控制装置，该权限控制装置与上述实施例中权限控制方法一一对应。如图6所示，该权限控制装置包括：获取模块10、关联模块20、更新模块30和响应模块40。各功能模块详细说明如下：

获取模块10，用于若接收到权限更新指令，则获取地址权限表、角色权限表和待更新的权限数据表，其中，权限数据表包含用户角色和可访问地址之间的映射关系，地址权限表包含权限类型和可访问地址之间的第一对应关系，角色权限表包含用户角色和权限类型之间的第二对应关系，第一对应关系和第二对应关系均包含状态标识；

关联模块20，用于从地址权限表中选取状态标识为预设的目标标识信息的第一对应关系，从角色权限表中选取状态标识为预设的目标标识信息的第二对应关系，并在地址权限表中和角色权限表中，对选取出的第一对应关系和第二对应关系进行权限类型的等值关联，得到待确认地址和待确认地址对应的待确认角色；

更新模块30，用于根据待确认角色和待确认地址，按照目标标识信息，对权限数据表中的映射关系进行更新，并对角色权限表中状态标识为目标标识信息的第二对应关系的状态标识进行更新，以及对地址权限表中状态标识为目标标识信息的第一对应关系的状态标识进行更新；

响应模块40，用于若接收到用户对目标地址的访问请求，则根据权限数据表确定用户对目标地址的访问权限，并根据访问权限响应访问请求。

进一步地，目标标识信息包括新增标识，更新模块30包括：

地址查询子模块311，用于若目标标识信息为新增标识，则在权限数据表的可访问地址中查询待确认地址，得到查询结果；

角色获取子模块312，用于若查询结果为可访问地址中存在待确认地址，则根据映射关系获取待确认地址对应的用户角色，得到有效角色串；

角色增加子模块313，用于若有效角色串中未包含待确认角色，则将待确认角色增加到有效角色串中；

查询失败子模块314，用于若查询结果为可访问地址中不存在待确认地址，则新建待确认地址和待确认角色之间的映射关系，并将新建的映射关系添加到权限数据表中；

角色关系更新子模块315，用于在角色权限表中，获取标识状态为新增标识的第二对应关系，并将获取到的第二对应关系的状态标识更新为预设空闲标识；

地址关系更新子模块316，用于在地址权限表中，获取标识状态为新增标识的第一对应关系，并将获取到的第一对应关系的状态标识更新为预设空闲标识。

进一步地，目标标识信息还包括删除标识，更新模块30还包括：

角色查询子模块321，用于若目标标识信息为删除标识，则在权限数据表中，根据映射关系获取待确认地址对应的用户角色，得到有效角色串；

角色删除子模块322，用于若有效角色串中包含待确认角色，则将待确认角色从有效角色串中删除，得到更新后的有效角色串；

关系删除子模块323，用于若更新后的有效角色串为空，则删除权限数据表中包含待确认地址的映射关系；

角色关系删除子模块324，用于在角色权限表中，删除标识状态为删除标识的第二对应关系；

地址关系删除子模块325，用于在地址权限表中，删除标识状态为删除标识的第一对应关系。

进一步地，响应模块40包括：

信息获取子模块401，用于获取用户的角色信息；

地址匹配子模块402，用于从权限数据表中获取角色信息对应的可访问地址，并将获取到的可访问地址与目标地址进行匹配，得到匹配结果；

匹配成功子模块403，用于若匹配结果为可访问地址中包含目标地址，则允许用户访问目标地址，从目标地址获取响应数据，并将响应数据发送给用户所在的客户端；

匹配失败子模块404，用于若匹配结果为可访问地址中未包含目标地址，则拒绝用户对述目标地址的访问请求，并将拒绝访问的提示信息发送给客户端。

进一步地，该权限控制装置还包括：

校验模块50，用于每隔预定的时间间隔，根据地址权限表和角色权限表，对权限数据表进行数据校验。

关于权限控制装置的具体限定可以参见上文中对于权限控制方法的限定，在此不再赘述。上述权限控制装置中的各个模块可全部或部分通过软件、硬件及其组合来实现。上述各模块可以硬件形式内嵌于或独立于计算机设备中的处理器中，也可以以软件形式存储于计算机设备中的存储器中，以便于处理器调用执行以上各个模块对应的操作。

在一实施例中，提供了一种计算机设备，该计算机设备可以是服务器，其内部结构图可以如图7所示。该计算机设备包括通过系统总线连接的处理器、存储器、网络接口和数据库。其中，该计算机设备的处理器用于提供计算和控制能力。该计算机设备的存储器包括非易失性存储介质、内存储器。该非易失性存储介质存储有操作系统、计算机程序和数据库。该内存储器为非易失性存储介质中的操作系统和计算机程序的运行提供环境。该计算机设备的网络接口用于与外部的终端通过网络连接通信。该计算机程序被处理器执行时以实现一种权限控制方法。

在一实施例中，提供了一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，处理器执行计算机程序时实现上述实施例中权限控制方法的步骤，例如图2所示的步骤S1至步骤S4。或者，处理器执行计算机程序时实现上述实施例中权限控制装置的各模块/单元的功能，例如图6所示模块10至模块40的功能。为避免重复，此处不再赘述。

在一实施例中，提供了一种计算机可读存储介质，其上存储有计算机程序，计算机程序被处理器执行时实现上述方法实施例中权限控制方法，或者，该计算机程序被处理器执行时实现上述装置实施例中权限控制装置中各模块/单元的功能。为避免重复，此处不再赘述。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一非易失性计算机可读取存储介质中，该计算机程序在执行时，可包括如上述各方法的实施例的流程。其中，本申请所提供的各实施例中所使用的对存储器、存储、数据库或其它介质的任何引用，均可包括非易失性和/或易失性存储器。非易失性存储器可包括只读存储器(ROM)、可编程ROM(PROM)、电可编程ROM(EPROM)、电可擦除可编程ROM(EEPROM)或闪存。易失性存储器可包括随机存取存储器(RAM)或者外部高速缓冲存储器。作为说明而非局限，RAM以多种形式可得，诸如静态RAM(SRAM)、动态RAM(DRAM)、同步DRAM(SDRAM)、双数据率SDRAM(DDRSDRAM)、增强型SDRAM(ESDRAM)、同步链路(Synchlink)DRAM(SLDRAM)、存储器总线(Rambus)直接RAM(RDRAM)、直接存储器总线动态RAM(DRDRAM)、以及存储器总线动态RAM(RDRAM)等。

所属领域的技术人员可以清楚地了解到，为了描述的方便和简洁，仅以上述各功能单元、模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能单元、模块完成，即将所述装置的内部结构划分成不同的功能单元或模块，以完成以上描述的全部或者部分功能。

以上所述实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围，均应包含在本发明的保护范围之内。

Claims (10)

1.一种权限控制方法，其特征在于，所述权限控制方法包括：

若接收到权限更新指令，则获取地址权限表、角色权限表和待更新的权限数据表，其中，所述权限数据表包含用户角色和可访问地址之间的映射关系，所述地址权限表包含权限类型和所述可访问地址之间的第一对应关系，所述角色权限表包含所述用户角色和所述权限类型之间的第二对应关系，所述第一对应关系和所述第二对应关系均包含状态标识；

从所述地址权限表中选取所述状态标识为预设的目标标识信息的所述第一对应关系，从所述角色权限表中选取所述状态标识为所述预设的目标标识信息的所述第二对应关系，并在所述地址权限表中和所述角色权限表中，对选取出的所述第一对应关系和所述第二对应关系进行所述权限类型的等值关联，得到待确认地址和所述待确认地址对应的待确认角色；

根据所述待确认角色和所述待确认地址，按照所述目标标识信息，对所述权限数据表中的所述映射关系进行更新，并对所述角色权限表中所述状态标识为所述目标标识信息的所述第二对应关系的所述状态标识进行更新，以及对所述地址权限表中所述状态标识为所述目标标识信息的所述第一对应关系的所述状态标识进行更新；

若接收到用户对目标地址的访问请求，则根据所述权限数据表确定所述用户对所述目标地址的访问权限，并根据所述访问权限响应所述访问请求。

2.如权利要求1所述的权限控制方法，其特征在于，所述目标标识信息包括新增标识，所述根据所述待确认角色和所述待确认地址，按照所述目标标识信息，对所述权限数据表中的所述映射关系进行更新，并对所述角色权限表中所述状态标识为所述目标标识信息的所述第二对应关系的所述状态标识进行更新，以及对所述地址权限表中所述状态标识为所述目标标识信息的所述第一对应关系的所述状态标识进行更新包括：

若所述目标标识信息为所述新增标识，则在所述权限数据表的可访问地址中查询所述待确认地址，得到查询结果；

若所述查询结果为所述可访问地址中存在所述待确认地址，则根据所述映射关系获取所述待确认地址对应的用户角色，得到有效角色串；

若所述有效角色串中未包含所述待确认角色，则将所述待确认角色增加到所述有效角色串中；

若所述查询结果为所述可访问地址中不存在所述待确认地址，则新建所述待确认地址和所述待确认角色之间的映射关系，并将新建的所述映射关系添加到所述权限数据表中；

在所述角色权限表中，获取所述标识状态为所述新增标识的所述第二对应关系，并将获取到的所述第二对应关系的所述状态标识更新为预设空闲标识；

在所述地址权限表中，获取所述标识状态为所述新增标识的所述第一对应关系，并将获取到的所述第一对应关系的所述状态标识更新为所述预设空闲标识。

3.如权利要求1所述的权限控制方法，其特征在于，所述目标标识信息还包括删除标识，所述根据所述待确认角色和所述待确认地址，按照所述目标标识信息，对所述权限数据表中的所述映射关系进行更新，并对所述角色权限表中所述状态标识为所述目标标识信息的所述第二对应关系的所述状态标识进行更新，以及对所述地址权限表中所述状态标识为所述目标标识信息的所述第一对应关系的所述状态标识进行更新还包括：

若所述目标标识信息为所述删除标识，则在所述权限数据表中，根据所述映射关系获取所述待确认地址对应的用户角色，得到所述有效角色串；

若所述有效角色串中包含所述待确认角色，则将所述待确认角色从所述有效角色串中删除，得到更新后的所述有效角色串；

若更新后的所述有效角色串为空，则删除所述权限数据表中包含所述待确认地址的所述映射关系；

在所述角色权限表中，删除所述标识状态为所述删除标识的所述第二对应关系；

在所述地址权限表中，删除所述标识状态为所述删除标识的所述第一对应关系。

4.如权利要求1所述的权限控制方法，其特征在于，所述根据所述权限数据表确定所述用户对所述目标地址的访问权限，并根据所述访问权限响应所述访问请求包括：

获取所述用户的角色信息；

从所述权限数据表中获取所述角色信息对应的所述可访问地址，并将获取到的所述可访问地址与所述目标地址进行匹配，得到匹配结果；

若所述匹配结果为所述可访问地址中包含所述目标地址，则允许所述用户访问所述目标地址，从所述目标地址获取响应数据，并将所述响应数据发送给所述用户所在的客户端；

若所述匹配结果为所述可访问地址中未包含所述目标地址，则拒绝所述用户对所述目标地址的访问请求，并将拒绝访问的提示信息发送给所述客户端。

5.如权利要求1至4任一项所述的权限控制方法，其特征在于，所述所述权限控制方法还包括：

每隔预定的时间间隔，根据所述地址权限表和所述角色权限表，对所述权限数据表进行数据校验。

6.一种权限控制装置，其特征在于，所述权限控制装置包括：

获取模块，用于若接收到权限更新指令，则获取地址权限表、角色权限表和待更新的权限数据表，其中，所述权限数据表包含用户角色和可访问地址之间的映射关系，所述地址权限表包含权限类型和所述可访问地址之间的第一对应关系，所述角色权限表包含所述用户角色和所述权限类型之间的第二对应关系，所述第一对应关系和所述第二对应关系均包含状态标识；

关联模块，用于从所述地址权限表中选取所述状态标识为预设的目标标识信息的所述第一对应关系，从所述角色权限表中选取所述状态标识为所述预设的目标标识信息的所述第二对应关系，并在所述地址权限表中和所述角色权限表中，对选取出的所述第一对应关系和所述第二对应关系进行所述权限类型的等值关联，得到待确认地址和所述待确认地址对应的待确认角色；

更新模块，用于根据所述待确认角色和所述待确认地址，按照所述目标标识信息，对所述权限数据表中的所述映射关系进行更新，并对所述角色权限表中所述状态标识为所述目标标识信息的所述第二对应关系的所述状态标识进行更新，以及对所述地址权限表中所述状态标识为所述目标标识信息的所述第一对应关系的所述状态标识进行更新；

响应模块，用于若接收到用户对目标地址的访问请求，则根据所述权限数据表确定所述用户对所述目标地址的访问权限，并根据所述访问权限响应所述访问请求。

7.如权利要求6所述的权限控制装置，其特征在于，所述目标标识信息包括新增标识，所述更新模块包括：

地址查询子模块，用于若所述目标标识信息为所述新增标识，则在所述权限数据表的可访问地址中查询所述待确认地址，得到查询结果；

角色获取子模块，用于若所述查询结果为所述可访问地址中存在所述待确认地址，则根据所述映射关系获取所述待确认地址对应的用户角色，得到有效角色串；

角色增加子模块，用于若所述有效角色串中未包含所述待确认角色，则将所述待确认角色增加到所述有效角色串中；

查询失败子模块，用于若所述查询结果为所述可访问地址中不存在所述待确认地址，则新建所述待确认地址和所述待确认角色之间的映射关系，并将新建的所述映射关系添加到所述权限数据表中；

角色关系更新子模块，用于在所述角色权限表中，获取所述标识状态为所述新增标识的所述第二对应关系，并将获取到的所述第二对应关系的所述状态标识更新为预设空闲标识；

地址关系更新子模块，用于在所述地址权限表中，获取所述标识状态为所述新增标识的所述第一对应关系，并将获取到的所述第一对应关系的所述状态标识更新为所述预设空闲标识。

8.如权利要求6所述的权限控制装置，其特征在于，所述目标标识信息还包括删除标识，所述更新模块还包括：

角色查询子模块，用于若所述目标标识信息为所述删除标识，则在所述权限数据表中，根据所述映射关系获取所述待确认地址对应的用户角色，得到所述有效角色串；

角色删除子模块，用于若所述有效角色串中包含所述待确认角色，则将所述待确认角色从所述有效角色串中删除，得到更新后的所述有效角色串；

关系删除子模块，用于若更新后的所述有效角色串为空，则删除所述权限数据表中包含所述待确认地址的所述映射关系；

角色关系删除子模块，用于在所述角色权限表中，删除所述标识状态为所述删除标识的所述第二对应关系；

地址关系删除子模块，用于在所述地址权限表中，删除所述标识状态为所述删除标识的所述第一对应关系。

9.一种计算机设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1至5任一项所述的权限控制方法。

10.一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1至5任一项所述的权限控制方法。