CN110457932A - 确定资源访问权限的方法、装置、设备及介质 - Google Patents

Abstract

一种确定资源访问权限的方法，包括：S1，建立目标资源信息库，所述目标资源信息库包括多种资源；S2，建立学生学籍信息库；S3，响应于访客访问请求，根据所述学生学籍信息库验证访问所述目标资源信息库的访客身份；以及S4，判断所述身份是否合法，若合法则允许所述访客访问所述目标资源信息库中的资源，否则，拒绝访问。本公开还提供了一种确定资源访问权限的装置、一种电子设备以及一种计算机可读存储介质。

Description

确定资源访问权限的方法、装置、设备及介质

技术领域

本公开涉及认证技术领域，尤其涉及一种确定资源访问权限的方法、装置、设备及介质。

背景技术

数字化校园是以数字化信息和网络为基础，在计算机和网络技术上建立起来的对教学、科研、管理、技术服务、生活服务等校园信息进行收集、处理、整合、存储、传输和应用，使数字资源得到充分优化利用的一种虚拟教育环境。数字化校园建设与发展过程中，校园内部各种各样的信息化资源层出不穷，并且形式多样，包括公告新闻、教育管理信息、校园社区活动等丰富多样的数字化信息资源。

在大量的信息资源中不乏需要限定访问的资源，比如学术文献、特定社区活动、学工信息等。为了保障在校生合理使用信息资源，维护校园信息资源的安全性、私密性，对符合条件的学生提供便利，对不符合条件的访客予以防范，故在访问信息资源前对访客的身份进行认证，尤其是对学生用户人群的学籍认证显得尤为重要。

发明内容

(一)要解决的技术问题

本公开提供了一种确定资源访问权限的方法、装置、设备及介质，至少解决以上技术问题。

(二)技术方案

本公开第一方面提供了一种确定资源访问权限的方法，包括：S1，建立目标资源信息库，所述目标资源信息库包括多种资源；S2，建立学生学籍信息库；S3，响应于访客访问请求，根据所述学生学籍信息库验证访问所述目标资源信息库的访客身份；以及S4，判断所述身份是否合法，若合法则允许所述访客访问所述目标资源信息库中的资源，否则，拒绝访问。

可选地，所述步骤S2具体为：根据学信网学籍信息或教育网身份信息建立学生学籍信息库。

可选地，所述步骤S3具体为：根据所述学生学籍信息库验证访问所述目标资源信息库的访客是否为在校生，若是，则所述访客身份合法，否则，所述访客身份不合法。

可选地，所述目标资源信息库中的每一资源包括ID号，资源名称，域名，IP地址，版本信息，内容简介，访问范围中的至少一种，其中，ID号用于标识所述资源，资源名称用于描述所述资源的名称，域名用于记录该资源访问的域名信息，IP地址用于记录所述域名对应的IP地址信息，版本信息用于描述所述资源的版本，内容简介用于描述所述资源包括的简要内容及功能作用，访问范围用于确定可访问所述资源的访客身份。

可选地，所述学生学籍信息包括ID号，学生类别，学号，入学日期，学制，应毕业日期，学籍状态，院系所，专业中的至少一种。

可选地，所述方法还包括：记录不合法访客的身份信息、IP地址、访问时间、学籍认证结果、所请求防问的目标资源中的至少一种。

本公开第二方面提供了一种确定资源访问权限的装置，包括：第一建立模块，用于建立目标资源信息库，所述目标资源信息库包括多种资源；第二建立模块，用于建立学生学籍信息库；验证模块，用于响应于访客访问请求，根据所述学生学籍信息库验证访问所述目标资源信息库的访客身份；判断模块，用于判断所述身份是否合法，若合法则允许所述访客访问所述目标资源信息库中的资源，否则，拒绝访问。

可选地，所述装置还包括：记录模块，用于记录不合法访客的身份信息、IP地址、访问时间、学籍认证结果、所请求访问的目标资源中的至少一种。

本公开第三方面提供了一种电子设备，包括：处理器；以及存储器，其上存储有计算机可读指令，所述指令被处理器执行时使得处理器执行上述的方法。

本公开第四方面提供了一种计算机可读存储介质，其上存储有计算机可读指令，所述指令被处理器执行时使得处理器执行上述的方法。

(三)有益效果

本公开提供了一种确定资源访问权限的方法、装置、设备及介质，该方法基于学信网学籍信息或教育网身份信息建立学生学籍信息库，用于学生当前学籍状态判定依据；然后在教育主干网可对邮箱、资源IP地址进行监听，依据学籍信息进行认证是否为在校生，从而判定是否有访问目标资源的权限。最终记录监听结果信息，作为资源访问的审计依据。

附图说明

图1示意性示出了根据本公开实施例的用于确定资源访问权限的方法的应用场景的示意图；

图2示意性示出了根据本公开实施例的用于确定资源访问权限的方法的流程图；

图3示意性示出了根据本公开实施例的学籍认证的流程图；

图4示意性示出了根据本公开实施例的确定资源访问权限的装置的框图；以及

图5示意性示出了根据本公开实施例的电子设备的框图。

具体实施方式

以下，将参照附图来描述本公开的实施例。但是应该理解，这些描述只是示例性的，而并非要限制本公开的范围。在下面的详细描述中，为便于解释，阐述了许多具体的细节以提供对本公开实施例的全面理解。然而，明显地，一个或多个实施例在没有这些具体细节的情况下也可以被实施。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本公开的概念。

在此使用的术语仅仅是为了描述具体实施例，而并非意在限制本公开。在此使用的术语“包括”、“包含”等表明了所述特征、步骤、操作和/或部件的存在，但是并不排除存在或添加一个或多个其他特征、步骤、操作或部件。

在此使用的所有术语(包括技术和科学术语)具有本领域技术人员通常所理解的含义，除非另外定义。应注意，这里使用的术语应解释为具有与本说明书的上下文相一致的含义，而不应以理想化或过于刻板的方式来解释。

在使用类似于“A、B和C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B和C中至少一个的系统”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的系统等)。在使用类似于“A、B或C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B或C中至少一个的系统”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的系统等)。

附图中示出了一些方框图和/或流程图。应理解，方框图和/或流程图中的一些方框或其组合可以由计算机程序指令来实现。这些计算机程序指令可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器，从而这些指令在由该处理器执行时可以创建用于实现这些方框图和/或流程图中所说明的功能/操作的装置。本公开的技术可以硬件和/或软件(包括固件、微代码等)的形式来实现。另外，本公开的技术可以采取存储有指令的计算机可读存储介质上的计算机程序产品的形式，该计算机程序产品可供指令执行系统使用或者结合指令执行系统使用。

本公开的实施例提供了一种用于确定在校生访问资源权限的方法，包括：建立目标资源信息库，目标资源信息库包括多种资源；建立学生学籍信息库；响应于访客访问请求，根据学生学籍信息库验证访问目标资源信息库的访客身份；以及判断身份是否合法，若合法则允许访客访问目标资源信息库中的资源，否则，拒绝访问。

图1示意性示出了根据本公开实施例的用于确定资源访问权限的方法的应用场景的示意图。本领域技术人员可以理解，图1所示仅为可以应用本公开实施例的场景的示例，以帮助本领域技术人员理解本公开的技术内容，但并不意味着本公开实施例不可以用于其他设备、系统、环境或场景。

如图1所示，访客通过终端设备110对数据中心130中的目标资源进行访问，例如通过教育主干网120将访问请求发送至数据中心130，教育主干网120拦截该访问请求，并对该访客的身份进行验证。例如可以根据学信网学籍信息或教育网身份信息对该访客的身份进行验证，判断该访客是否为在校生，若是在校生则允许其访问数据中心130中的目标资源，若判断该访客不是在校生，则不允许其访问数据中心130中的目标资源。同时可以通过服务器140记录被拒绝访客的身份信息、IP地址、访问时间、学籍认证结果、所请求访问的目标资源中的至少一种。

例如，终端设备110可以为用户可视化操作的设备，实现人机交互，接收用户操作指令，执行相应操作，其可以为手机终端、PC终端、PAD终端等。

数据中心130内预设有目标资源，该目标资源针对不同身份的访客具有不同的权限。每一目标资源包括ID号，资源名称，域名，IP地址，版本信息，内容简介，访问范围中的至少一种，其中，ID号用于标识资源，资源名称用于描述资源的名称，域名用于记录该资源访问的域名信息，IP地址用于记录域名对应的IP地址信息，版本信息用于描述资源的版本，内容简介用于描述资源包括的简要内容及功能作用，访问范围用于确定可访问资源的访客身份。

教育主干网120用于验证访客的身份信息。例如可以调用学信网或教育网中的预存的访客信息，根据该预存的访客信息判断当前访客是否符合数据中心130中预存的目标资源对应的访客条件。

服务器140用于存储被拒绝访客的信息。例如，访客的身份信息、IP地址、访问时间、学籍认证结果、所请求访问的目标资源等。

应该理解的是，图1中的各终端、服务器和网络设备的种类和数量仅仅是示意性的。根据实际需要，可以选择任意数量和种类的终端、服务器和网络设备。

图2示意性示出了根据本公开实施例的用于确定资源访问权限的方法的流程图。

如图2所示，该方法可以包括操作S210～S240。

在操作S210，建立目标资源信息库，该目标资源信息库包括多种资源。

在操作S220，建立学生学籍信息库。

在操作S230，响应于访客访问请求，根据上述学生学籍信息库验证访问目标资源信息库的访客身份。

在操作S240，判断上述身份是否合法，若合法则允许该访客访问目标资源信息库中的资源，否则，拒绝访问。

下面结合具体实施例对上述方法进行详细说明。

在操作S210，建立目标资源信息库，该目标资源信息库包括多种资源。

例如，可以在数据中心或中央数据库等处将需要监管的资源信息进行处理，建立目标资源信息库。该目标资源信息库中的信息均可以为特定身份的访客可以访问。该目标资源信息库中的每一资源包括ID号，资源名称，域名，IP地址，版本信息，内容简介，访问范围中的至少一种，其中，ID号用于标识资源；资源名称用于描述资源的名称；域名用于记录该资源访问的域名信息；IP地址用于记录域名对应的IP地址信息；版本信息用于描述资源的版本；内容简介用于描述资源包括的简要内容及功能作用；访问范围用于确定可访问资源的访客身份。

在操作S220，建立学生学籍信息库。

例如，可以基于学信网学籍信息或教育网身份信息建立学生学籍信息库。该学生学籍信息库用于判定当前学生的学籍状态。在校学生可以分为很多种，例如，本科生、硕士生研究生、博士研究生、留学生等。各类身份学生的学籍状态比较复杂，大部分正常在籍，同时也存在学籍异动的情况，例如，保留入学资格、转院系、转专业、开除学籍、休学、退学、提前毕业、延期毕业、死亡等等。综合起来校园内的学籍管理起来是有压力的。而且各类身份的学生学籍信息存在于不同管理部门或不同的教育管理系统中。所以把这些分散的信息进行采集，也可从学信网学籍信息中获取，并对采集的学籍信息进行加密处理，防止学籍信息泄露和被篡改，生成学生学籍信息库。此方案可减轻在不同系统中做学籍认证的接口开发压力，为学生访问信息资源提供便利。学生学籍信息库中的每一学生学籍信息包括ID号，学生类别，学号，入学日期，学制，应毕业日期，学籍状态，院系所，专业中的至少一种。其中，ID号用于标识学生学籍信息。学生类别用于标识学生的身份类别。例如，本科生、硕士研究生、博士研究生、留学生等。学号用于记录该学生入学注册学籍的编号。入学日期用于记录该学生开始入校学校的日期。学制用于记录该学生需要入校学习的时长。应毕业日期用于记录该学生结束在校学习的日期。学籍状态用于记录该学生当前学籍的状态。例如，保留入学资格、转院系、转专业、开除学籍、休学、退学、提前毕业、延期毕业、死亡等等。院系所用于记录该学生所就读的院系所信息。专业用于记录该学生所就读的专业信息。

在操作S230，响应于访客访问请求，根据上述学生学籍信息库验证访问目标资源信息库的访客身份。

例如，可以根据学生学籍信息库验证访问目标资源信息库的访客是否为在校生，若是，则访客身份合法，否则，访客身份不合法。

在教育主干网上可以对目标资源IP进行监听。当有访客对目标资源发送访问请求后，拦截该访问请求，对学生的学籍信息进行学籍认证，判定其学籍状态是否正常，若正常则可以访问目标资源。

图3示意性示出了根据本公开实施例的学籍认证的流程图。

例如，参见图3，可以根据访客的学号在学生学籍数据库中检索，判断是否存在，即判断该学生学籍是否已经注册为本校学生。

若根据学号判定其为本校学生，则根据入学日期判断其是否已经入学，若当前日期早于入学日期，则为未入学，学籍验证失败；若当前日期晚于入学日期则为已入学，进行下一步认证。

根据入学日期和学制判断其是否在就读期间内。若入学日期到当前日期的时长大于学制，则不再就读期间内，学籍验证失败；若入学日期到当前日期的时长小于或等于学制，则在就读期间内，进入下一认证步骤。

根据记录的应毕业日期判断是否已毕业。可以通过入学日期和学制推算出理应毕业日期，与应毕业日期进行比较，若一致则与当前日期比较，若应毕业日期早于当前日期，则为已毕业，学籍认证失败，若应毕业日期晚于当前日期，则认证成功。若不一致则查看学籍状态是否有异动记录，若学籍状态为开除学籍、退学、提前毕业、死亡等此类已结束在校学习的状态，则学籍认证失败；若学籍状态为休学，且当前日期在休学期间则学籍认证失败；若学籍状态为复学、延期毕业且当前日期早于应毕业日期则学籍认证成功。

在操作S240，判断上述身份是否合法，若合法则允许该访客访问目标资源信息库中的资源，否则，拒绝访问。

通过学籍验证成功的访客的身份为合法，允许此类访客访问目标资源信息库中的资源。若学籍验证失败，则拒绝该访客访问目标资源信息库中的资源。

若学籍验证失败，该方法还可以包括：

S250，记录不合法访客的身份信息、IP地址、访问时间、学籍认证结果、所请求访问的目标资源中的至少一种。依据此信息可追溯不良访客身份信息、来源地址信息等，作为学籍认证系统的审计数据。

本公开实施例的方法基于学信网学籍信息或教育网身份信息建立学生学籍信息库，用于学生当前学籍状态判定依据；然后在教育主干网可对邮箱、资源IP地址进行监听，依据学籍信息进行认证是否为在校生，从而判定是否有访问目标资源的权限。最终记录监听结果信息，作为资源访问的审计依据。

基于同一发明构思，本公开实施例还提供了一种确定资源访问权限的装置，下面结合图4对本公开实施例的确定资源访问权限的装置进行介绍。

图4示意性示出了根据本公开实施例的确定资源防问权限的装置400的框图。

如图4所示，确定资源访问权限的装置400包括第一建立模块410、第二建立模块420、验证模块430以及判断模块440。该资源访问权限的装置400可以执行上文参考图1～图3描述的各种方法。

第一建立模块410例如执行参考上文图2描述的操作S210，用于建立目标资源信息库，目标资源信息库包括多种资源。

第二建立模块420例如执行参考上文图2描述的操作S220，用于建立学生学籍信息库。

验证模块430例如执行参考上文图2描述的操作S230，用于响应于访客访问请求，根据学生学籍信息库验证访问所述目标资源信息库的访客身份。

判断模块440例如执行参考上文图2描述的操作S240，用于判断身份是否合法，若合法则允许访客访问目标资源信息库中的资源，否则，拒绝访问。

该确定资源访问权限的装置400还包括记录模块450，用于记录不合法访客的身份信息、IP地址、访问时间、学籍认证结果、所请求访问的目标资源中的至少一种。

根据本公开的实施例，第一建立模块410、第二建立模块420、验证模块430以及判断模块440中的多个模块可以合并在一个模块中实现，或者其中的任意一个模块可以被拆分成多个模块。或者，这些模块中的一个或多个模块的至少部分功能可以与其他模块的至少部分功能相结合，并在一个模块中实现。根据本公开的实施例，第一建立模块410、第二建立模块420、验证模块430以及判断模块440中的至少一个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式等硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，第一建立模块410、第二建立模块420、验证模块430以及判断模块440中的至少一个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。

图5示意性示出了根据本公开实施例的适于实现上文描述的方法的电子设备的方框图。图5示出的电子设备仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。

如图5所示，本发明提供了一种电子设备500，包括处理器501以及存储器502，该电子设备500可以执行根据本发明实施例的方法。

具体的，处理器501例如可以包括通用微处理器、指令集处理器和/或相关芯片组和/或专用微处理器(例如，专用集成电路(ASIC))，等等。处理器501还可以包括用于缓存用途的板载存储器。处理器501可以是用于执行根据本发明实施例的方法流程的不同动作的单一处理单元或者是多个处理单元。

存储器502，例如可以是能够包含、存储、传送、传播或传输指令的任意介质。例如，可读存储介质可以包括但不限于电、磁、光、电磁、红外或半导体系统、装置、器件或传播介质。可读存储介质的具体示例包括：磁存储装置，如磁带或硬盘(HDD)；光存储装置，如光盘(CD-ROM)；存储器，如随机存取存储器(RAM)或闪存；和/或有线/无线通信链路。

存储器502可以包括计算机程序5021，该计算机程序5021可以包括代码/计算机可执行指令，其在由处理器501执行时使得处理器501执行例如上面本发明实施例的方法流程及其任何变形。

计算机程序5021可被配置为具有例如包括计算机程序模块的计算机程序代码。例如，在示例实施例中，计算机程序5021中的代码可以包括一个或多个程序模块，例如包括5021A、模块5021B、……。应当注意，模块的划分方式和个数并不是固定的，本领域技术人员可以根据实际情况使用合适的程序模块或程序模块组合，当这些程序模块组合被处理器501执行时，使得处理器501可以执行例如上面结合本发明实施例的方法流程及其任何变形。

本公开还提供了一种计算机可读介质，该计算机可读介质可以是上述实施例中描述的设备/装置/系统中所包含的；也可以是单独存在，而未装配入该设备/装置/系统中。上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被执行时，实现根据本申请实施例的方法。

根据本申请的实施例，计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本申请中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本申请中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、有线、光缆、射频信号等等，或者上述的任意合适的组合。

以上所述的具体实施例，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施例而已，并不用于限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种确定资源访问权限的方法，包括：

S1，建立目标资源信息库，所述目标资源信息库包括多种资源；

S2，建立学生学籍信息库；

S3，响应于访客访问请求，根据所述学生学籍信息库验证访问所述目标资源信息库的访客身份；以及

S4，判断所述身份是否合法，若合法则允许所述访客访问所述目标资源信息库中的资源，否则，拒绝访问。

2.根据权利要求1所述的方法，所述步骤S2具体为：

根据学信网学籍信息或教育网身份信息建立学生学籍信息库。

3.根据权利要求1所述的方法，所述步骤S3具体为：

根据所述学生学籍信息库验证访问所述目标资源信息库的访客是否为在校生，若是，则所述访客身份合法，否则，所述访客身份不合法。

4.根据权利要求1所述的方法，所述目标资源信息库中的每一资源包括ID号，资源名称，域名，IP地址，版本信息，内容简介，访问范围中的至少一种，其中，ID号用于标识所述资源，资源名称用于描述所述资源的名称，域名用于记录该资源访问的域名信息，IP地址用于记录所述域名对应的IP地址信息，版本信息用于描述所述资源的版本，内容简介用于描述所述资源包括的简要内容及功能作用，访问范围用于确定可访问所述资源的访客身份。

5.根据权利要求1所述的方法，所述学生学籍信息包括ID号，学生类别，学号，入学日期，学制，应毕业日期，学籍状态，院系所，专业中的至少一种。

6.根据权利要求1所述的方法，还包括：

记录不合法访客的身份信息、IP地址、访问时间、学籍认证结果、所请求访问的目标资源中的至少一种。

7.一种确定资源访问权限的装置，包括：

第一建立模块，用于建立目标资源信息库，所述目标资源信息库包括多种资源；

第二建立模块，用于建立学生学籍信息库；

验证模块，用于响应于访客访问请求，根据所述学生学籍信息库验证访问所述目标资源信息库的访客身份；

判断模块，用于判断所述身份是否合法，若合法则允许所述访客访问所述目标资源信息库中的资源，否则，拒绝访问。

8.根据权利要求7所述的装置，还包括：

记录模块，用于记录不合法访客的身份信息、IP地址、访问时间、学籍认证结果、所请求访问的目标资源中的至少一种。

9.一种电子设备，包括：

处理器；以及

存储器，其上存储有计算机可读指令，所述指令被处理器执行时使得处理器执行权利要求1～6中任意一项所述的方法。

10.一种计算机可读存储介质，其上存储有计算机可读指令，所述指令被处理器执行时使得处理器执行权利要求1～6中任意一项所述的方法。