CN110401618A - 区块链数据访问控制的方法及装置 - Google Patents

Abstract

本发明实施例提供了一种区块链数据访问控制的方法及装置，该方法中在智能合约执行时，提取发起访问请求的用户终端对应的用户属性，根据数据查找对应的访问控制模板，并根据该访问控制模板来控制用户终端访问区块链数据的操作。从而对于用户终端仅能进行其规定权限内的数据访问操作，实现了对于交易数据的访问控制与格力，有效避免不必要的数据信息外漏，提高区块链交易的安全性。

Description

区块链数据访问控制的方法及装置

技术领域

本发明实施例涉及计算机技术领域，具体涉及一种区块链数据访问控制的方法及装置。

背景技术

区块链技术是一种新型的分布式协议，能安全的存储交易数据，信息不可伪造篡改。区块链网络能够通过算法实现自我约束，任何恶意的欺骗行为都会被网络中其它节点排斥。在现有的区块链平台中，通常会在智能合约、交易保护、通道隔离等方面进行访问控制和数据隔离。

现有的区块链平台通过访问控制列表、背书策略对智能合约进行访问控制。通过对交易的加密，实现了隐私的保护，实现了交易的访问控制与数据隔离。通过加以通道对智能合约、参与方可以有效的进行数据隔离。

然而，在实现发明创造的过程中，发明人发现，现有的区块链平台在执行智能合约时对于交易的主体并没有做相应的访问控制，可能会造成一些不必要的信息泄露。

发明内容

本发明实施例提供一种用于区块链数据访问控制的方法及装置。

第一方面，本发明实施例提供一种区块链数据访问控制的方法，包括：

在智能合约执行时，若接收到用户访问区块链数据的请求，则从所述用户对应的用户证书中提取用户属性；所述用户属性用于指示该用户的访问权限；

根据所述用户属性在预设的若干个访问控制模板中获取对应的访问控制模板；

利用所述访问控制模板对所述用户的访问进行控制。

第二方面，本发明实施例提供一种区块链数据访问控制的装置，包括：

用户属性获取单元，用于在智能合约执行时，若接收到用户访问区块链数据的请求，则从所述用户对应的用户证书中提取用户属性；所述用户属性用于指示该用户的访问权限；

控制模板获取单元，用于根据所述用户属性在预设的若干个访问控制模板中获取对应的访问控制模板；

访问控制单元，用于利用所述访问控制模板对所述用户的访问进行控制。

第三方面，本发明的又一实施例提供了一种计算机设备，包括存储器、处理器以及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如第一方面所述方法的步骤。

第四方面，本发明的又一实施例提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如第一方面所述方法的步骤。

本发明实施例提供了一种区块链数据访问控制的方法及装置，该方法中在智能合约执行时，提取发起访问请求的用户对应的用户属性，根据数据查找对应的访问控制模板，并根据该访问控制模板来控制用户访问区块链数据的操作。从而对于用户仅能进行其规定权限内的数据访问操作，实现了对于交易数据的访问控制与格力，有效避免不必要的数据信息外漏，提高区块链交易的安全性。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1是本发明实施例提供的一种区块链数据访问控制的方法流程图；

图2是本发明实施例提供的一种具体的区块链数据访问控制的方法流程图；

图3是本发明提供的一种区块链数据访问控制的装置实施例结构示意图；

图4是本发明提供的一种网络侧设备实施例结构框图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

为便于理解，首先介绍一下区块链以及智能合约的概念。

区块链(Block chain)是分布式数据存储、点对点传输、共识机制、加密算法等计算机技术的新型应用模式。通俗一点地说，区块链是一个收录所有历史交易的总账，每个区块中包含若干笔交易记录。如果说区块链是账本，那么区块就是账本的每一页。交易的细节都被记录在一个网络里任何人都可以看得到的公开账簿上。

区块链技术能使得交易数据完全公开透明，并可以提供完整的信息流。这样我们就可以清楚的看到在这其中是否存在了问题。其次，区块链的数据具有无法篡改的特性。当出现纠纷时，便可以进行举证与追责。

区块链技术为智能合约提供了运行的平台。智能合约实际上是在另一个物体的行动上发挥功能的电脑程序。和普通电脑程序一样，智能合约也是一种“如果-然后”功能，也即当满足触发条件时，会立刻触发执行相应的操作。区块链技术实现了这些“合约”的自动填写，无需人工介入。具体来说，基于区块链的智能合约构建及执行分为如下几步：

1、多方用户共同参与制定一份智能合约；

2、合约通过P2P网络扩散并存入区块链；

3、区块链构建的智能合约自动执行。

基于此，第一方面，本发明实施例提供了一种区块链数据访问控制的方法，如图1所示，包括：

S101、在智能合约执行时，若接收到用户终端访问区块链数据的请求，则从所述用户终端对应的用户证书中提取用户属性；所述用户属性用于指示该用户终端的访问权限；

S102、根据所述用户属性在预设的若干个访问控制模板中获取对应的访问控制模板；

S103、利用所述访问控制模板对所述用户终端的访问进行控制。

本发明实施例提供了一种区块链数据访问控制的方法，该方法中在智能合约执行时，提取发起访问请求的用户对应的用户属性，根据数据查找对应的访问控制模板，并根据该访问控制模板来控制用户访问区块链数据的操作。从而对于用户仅能进行其规定权限内的数据访问操作，实现了对于交易数据的访问控制与格力，有效避免不必要的数据信息外漏，提高区块链交易的安全性。

其中，这里的用于说明用户的访问权限的用户属性可以通过多种方式来表示。例如可以直接说明用户的身份(如超级用户admin，普通用户user)；也可以说明用户的访问权限级别，不同的级别对应不同的访问权限(如0级可以访问所有数据，1级仅可以访问指定的数据)。

这里的用户证书可以通过如下方式来获得：在初始化配置时，基于现有的用户终端信息，对每一个用户终端的用户证书进行扩展，并将该用户终端对应的用户属性添加到扩展字段中。例如，可以定义两种类型的用户终端属性，超级用户和普通用户。对于超级用户，在证书中增加用户属性信息user_type＝admin；对于普通用户，在证书中增加属性信息user_type＝user。

此外，这里的访问控制模板可以通过如下方式来获得：在智能合约实例化时，接收不同属性用户终端的访问控制策略对应的实例化参数；根据所述实例化参数生成不同的访问控制模板。

例如，假设区块链的数据中有一个实体OneObject，该实体有三个字段，分别是field1、field2、field3；预设有两种类型的用户终端，第一种用户(admin)可以访问全部的字段，第二种用户(user)可以访问field1和field2，field3不能访问。

那么在访问控制策略中，可以做如下的定义

【访问控制策略】：

那么在智能合约实例化之后，对于实体OneObject，可以根据用户的类型，生成两个访问控制的模版，一种是针对于admin用户的模板，一种是针对于user用户的模版。以下即为智能合约实例化后的访问控制模板。

【访问控制模板】：

从而通过上述方式可以定义不同类型用户的访问权限。

在生成了不同的访问控制模板后，本发明实施例提供的方法还可以将生成的不同访问控制模板分发到区块链中的各个节点中。这样做的好处时能够充分利用区块链技术的去中心化的优势，具有更高的防篡改能力。

在一些实施方式中，这里的访问区块链数据的请求可以为对区块链数据进行查询的请求或对区块链数据进行写入的请求。对于不同的访问请求，本发明实施例提供的方法可以采取不同的访问控制。

具体来说，在用户终端访问区块链数据的请求为用户终端写入数据实体信息的请求时，可以根据所述访问控制模板定义的该用户终端对应的访问权限，去除用户终端无权操作的实体字段，再接收用户终端对于有权操作的字段写入的数据实体信息。还以前文中的例子为例，假设用户类型是”user”的用户，该用户要更新OneObject实体。如果如现有技术中对数据不做加工，那么该用户在智能合约中查询到的以及能够操作的就是field1-field3字段的全部信息。然而实际上该用户是没有权限操作field3字段的，这时可以利用本发明实施例提供的方法根据访问控制模版对该用户访问的数据进行加工和清洗。首先，根据该用户的用户证书确定他为user类型用户，接着在存储的模板中找到user类型用户对应的访问控制模板。如前文中所述，user类型的控制模版中是不含有field3字段的。因此在使用该访问控制模板对数据进行清洗和加工之后就不会包含field3字段的信息，那么在后续的智能合约中，该用户就不会对field3字段做任何的改变。

在用户终端访问区块链数据的请求为用户查询数据实体信息的请求时，可以根据访问控制模板定义的该用户终端对应的访问权限，将用户终端有权查看的字段返回给用户终端。也即在用户终端查询数据实体信息时，根据访问控制模板定义的权限，去除掉无权查看的字段后，将实体信息返回给用户。例如admin类型的用户要查询OneObject实体，那么根据前文中admin用户类型访问控制模板定义的权限，正常返回field1-field3字段。如果user类型的用户要查询OneObject实体，那么根据前文中user用户类型访问控制模板定义的权限，只返回field1以及field2字段。

图2示出了本发明实施例提供的一种具体的区块链数据访问控制方法的实施例。由于前文中已经对各个步骤进行了详细说明，在此不再赘述。通过本发明实施例提供的方法能够实现对于区块链数据的字段级别的访问控制和隔离，提高交易的安全性。

第二方面，本发明实施例提供了又一种区块链数据访问控制的装置，如图3所示，包括：

用户属性获取单元301，用于在智能合约执行时，若接收到用户终端访问区块链数据的请求，则从所述用户终端对应的用户证书中提取用户属性；所述用户属性用于指示该用户终端的访问权限；

控制模板获取单元302，用于根据所述用户属性在预设的若干个访问控制模板中获取对应的访问控制模板；

访问控制单元303，用于利用所述访问控制模板对所述用户终端的访问进行控制。

在一些实施方式中，在所述用户终端访问区块链数据的请求为用户终端写入数据实体信息的请求时，所述访问控制单元303，利用所述访问控制模板对所述用户终端的访问进行控制，包括：

根据所述访问控制模板定义的该用户终端对应的访问权限，去除用户终端无权操作的实体字段，接收用户终端对于有权操作的字段写入的数据实体信息；

在所述用户终端访问区块链数据的请求为用户终端查询数据实体信息的请求时，所述访问控制单元，利用所述访问控制模板对所述用户终端的访问进行控制，包括：

根据所述访问控制模板定义的该用户终端对应的访问权限，将用户终端有权查看的字段返回给用户终端。

在一些实施方式中，所述用户证书是通过如下步骤获得的：

在初始化配置时，基于现有的用户信息，对每一个用户终端的用户证书进行扩展，并将该用户对应的用户属性添加到扩展字段中。

在一些实施方式中，所述访问控制模板是通过如下步骤获得的：

在智能合约实例化时，接收不同属性用户终端的访问控制策略对应的实例化参数；

根据所述实例化参数生成不同的访问控制模板。

在一些实施方式中，所述装置还包括：模板分发模块304，用于在生成不同的访问控制模板后，将所述访问控制模板分发到区块链中的各个节点中。

由于第二方面所介绍的区块链数据访问控制的装置为可以执行本发明实施例中的区块链数据访问控制的方法的装置，故而基于本发明实施例中所介绍的区块链数据访问控制的方法，本领域所属技术人员能够了解本实施例的区块链数据访问控制的装置的具体实施方式以及其各种变化形式，所以在此对于该区块链数据访问控制的装置如何实现本发明实施例中的区块链数据访问控制的方法不再详细介绍。只要本领域所属技术人员实施本发明实施例中区块链数据访问控制的方法所采用的装置，都属于本申请所欲保护的范围。

图4示出本发明实施例提供的网络侧设备的结构框图。

参照图4，该网络侧设备，包括：处理器(processor)401、存储器(memory)402以及总线403；

其中，所述处理器401以及存储器402通过所述总线403完成相互间的通信。

所述处理器401用于调用所述存储器402中的程序指令，以执行第一方面实施例所提供的方法。

本发明实施例还公开一种计算机程序产品，所述计算机程序产品包括存储在非暂态计算机可读存储介质上的计算机程序，所述计算机程序包括程序指令，当所述程序指令被计算机执行时，计算机能够执行上述第一方面实施例所提供的方法。

本发明实施例还提供一种非暂态计算机可读存储介质，所述非暂态计算机可读存储介质存储计算机指令，所述计算机指令使所述计算机执行上述第一方面实施例所提供的方法。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。

本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。

此外，本领域的技术人员能够理解，尽管在此的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

本发明的某些部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例的网关、代理服务器、系统中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

Claims (10)

1.一种区块链数据访问控制的方法，其特征在于，包括：

在智能合约执行时，若接收到用户终端访问区块链数据的请求，则从所述用户终端对应的用户证书中提取用户属性；所述用户属性用于指示该用户终端的访问权限；

根据所述用户属性在预设的若干个访问控制模板中获取对应的访问控制模板；

利用所述访问控制模板对所述用户终端的访问进行控制。

2.根据权利要求1所述的方法，其特征在于，在所述用户终端访问区块链数据的请求为用户终端写入数据实体信息的请求时，所述利用所述访问控制模板对所述用户终端的访问进行控制，包括：

根据所述访问控制模板定义的该用户终端对应的访问权限，去除用户终端无权操作的实体字段，接收用户终端对于有权操作的字段写入的数据实体信息；

在所述用户终端访问区块链数据的请求为用户终端查询数据实体信息的请求时，所述利用所述访问控制模板对所述用户终端的访问进行控制，包括：

根据所述访问控制模板定义的该用户终端对应的访问权限，将用户终端有权查看的字段返回给用户终端。

3.根据权利要求1或2所述的方法，其特征在于，所述用户证书是通过如下步骤获得的：

在初始化配置时，基于现有的用户终端信息，对每一个用户终端的用户证书进行扩展，并将该用户终端对应的用户属性添加到扩展字段中。

4.根据权利要求1或2所述的方法，其特征在于，所述访问控制模板是通过如下步骤获得的：

在智能合约实例化时，接收不同属性用户终端的访问控制策略对应的实例化参数；

根据所述实例化参数生成不同的访问控制模板。

5.根据权利要求4所述的方法，其特征在于，所述方法还包括：在生成不同的访问控制模板后，将所述访问控制模板分发到区块链中的各个节点中。

6.一种区块链数据访问控制的装置，其特征在于，包括：

用户属性获取单元，用于在智能合约执行时，若接收到用户终端访问区块链数据的请求，则从所述用户终端对应的用户证书中提取用户属性；所述用户属性用于指示该用户终端的访问权限；

控制模板获取单元，用于根据所述用户属性在预设的若干个访问控制模板中获取对应的访问控制模板；

访问控制单元，用于利用所述访问控制模板对所述用户终端的访问进行控制。

7.根据权利要求6所述的装置，其特征在于，在所述用户终端访问区块链数据的请求为用户写入数据实体信息的请求时，所述访问控制单元，利用所述访问控制模板对所述用户终端的访问进行控制，包括：

根据所述访问控制模板定义的该用户终端对应的访问权限，去除用户终端无权操作的实体字段，接收用户终端对于有权操作的字段写入的数据实体信息；

在所述用户终端访问区块链数据的请求为用户查询数据实体信息的请求时，所述访问控制单元，利用所述访问控制模板对所述用户终端的访问进行控制，包括：

根据所述访问控制模板定义的该用户终端对应的访问权限，将用户终端有权查看的字段返回给用户终端。

8.根据权利要求6或7所述的装置，其特征在于，所述用户证书是通过如下步骤获得的：

在初始化配置时，基于现有的用户终端信息，对每一个用户终端的用户证书进行扩展，并将该用户对应的用户属性添加到扩展字段中。

9.一种计算机设备，包括存储器、处理器以及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1-5任一所述方法的步骤。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1-5任一所述方法的步骤。