CN110472388A - 一种设备管控系统及其用户权限控制方法 - Google Patents

Abstract

本发明的一种设备管控系统及其用户权限控制方法属于访问控制技术领域。所述的设备管控系统，结构有身份识别模块，角色分配模块，操作校验模块，视图呈现模块，方法控制模块，数据存储模块；所述的用户权限控制方法包括：用户登陆、用户角色信息的提取、权限范畴信息的提取、用户设备信息的提取校验、对合法指令进行逻辑处理等步骤。通过本发明，用户可以顺利地进行对设备管理控制的相关操作；系统的管理者，能够方便执行对于用户权限的相关操作。最终实现了设备管理系统的合理权限分配管理，提高了系统的稳定性，安全性，为系统的管理开发和用户的管理控制设备带来的极大的方便。

Description

一种设备管控系统及其用户权限控制方法

技术领域

本发明属于访问控制技术领域，尤其涉及一种设备管控系统中的用户权限控制方法。

背景技术

目前，随着智能化设备的广泛使用，物联网的应用随处可见，而且日益繁多，而对于一个企业，一片区域等集中的单位来说，每个个体对智能设备的不同控制与管理需求变得复杂难以处理，从上层管理者和维护人员的角度来看，更是对于整体设备的运行工作情况难以掌握。一种设备管控系统中的用户权限控制方法可以很好的解决这个问题。

但是传统权限管理系统访问控制方法具有一定的局限性，对于每一个不同身份的用户，根据传统RBAC“用户-角色-权限”的基本模型，通过用户与角色“一对一”关系，以及角色与权限“一对多”关系，实现了用户和系统定义好的权限集合绑定从而实现了针对不同身份的用户系统给予其匹配的操作权限。

但当系统内的用户存在申请修改操作方法的需求时，传统的RBAC模型便出现了局限性，由于其操作单元局限在权限层，而权限层是方法集的集合，因此基于传统RBAC模式构建的权限管理系统无法解决系统内出现的权力变更问题。导致系统的权限管理体系过于固化不会根据用户需求做出调整和变化，进而使用户由于操作不便利体验变差，同时导致管理人员由于角色的权限范畴不合适而定向分配。使系统存在一定的安全隐患。

发明内容

鉴于上述现有技术的不足之处，本发明的目的在于提供一种设备管控系统中的用户权限控制方法，目的在于解决现有的设备权限管理系统在系统用户权限分配方面操作不灵活，用户个性化权限申请撤销等操作需求得不到满足等问题。

为了达到上述目的，本发明采用了以下技术方案：

一种设备管控系统，结构有身份识别模块，角色分配模块，操作校验模块，视图呈现模块，方法控制模块，数据存储模块；

其中，所述的身份识别模块是部署在设备管控系统后台的进行身份识别和信息比对的应用程序；所述的角色分配模块是运行在后台的只能由管理员人员访问的用于对用户、角色、权限数据表进行修改操作的程序；所述的操作校验模块是运行在系统后台的根据地址对指令进行过滤操作的程序；所述的视图呈现模块是存储在后端展现在前端的html界面代码，包括设备的管控界面、查看设备运行界面、查询设备相关信息界面、添加设备信息界面；所述的方法控制模块是部署在后台解析设备指令执行操作的中心逻辑程序；所述的数据存储模块是部署在后台的处理数据库操作的业务逻辑程序。

一种设备管控系统中的用户权限控制方法，有以下步骤：

第一步，用户在系统网站输入登陆信息，进行登陆，系统身份识别模块根据登录用户名在系统后台数据库中查询用户是否存在，如果存在将用户登陆密码进行MD5转换，与该用户信息表中存储的MD5密码进行比对，如果相同则登陆成功，如果不同，则回退到未登录状态；

第二步，系统中的身份识别模块根据成功登陆的用户的UserID字段，在数据表中进行查询匹配，通过查询“用户-角色”关系表将登陆用户的角色信息提取出来；

第三步，操作校验模块根据用户的角色信息，将用户对应的角色从角色权限表中提取登陆用户的权限范畴信息，作为用户操作时进行监督控制的信息依据，指令的控制原理是依据指令的访问地址内容进行管控限制，其中权限范畴信息包括指令类型、设备ID、设备位置信息，这些信息都体现在指令的URL地址上，操作校验模块依据指令类型信息区分系统操作和设备操作指令，依据设备信息使用户精确对所属设备进行管控；

第四步，如果是设备指令，操作校验模块对用户设备信息进行提取，并把管控范畴内的设备信息反馈给用户；如果是系统控制指令，则根据数据库中的“权限-方法”数据表，将实现权限对应的方法集合进行提取，再把指令中的方法名进行比对，如果在权限范畴内则指令合法；

第五步，将合法指令输入到消息处理模块，在MVC编程模式的控制层中进行逻辑处理，实现对应指令的操作功能。

进一步的，在整个指令的执行过程中，数据库中用户基本信息表是由用户注册系统后所完善的个人信息组成的；角色表是由用户管理人员根据实际情况设计的；权限表、方法表是开发人员根据系统指令类型设定的。

进一步的，在角色分配模块中，“用户-角色”映射关系是由用户管理人员进行设计的，“角色-权限”映射关系是由安全管理人员进行设计的。

有益效果：

相较于现有技术，本发明提供的一种设备管控系统中的用户权限控制方法，用户通过浏览器可以对系统进行访问，通过注册账号即可获得用户资格并会获得系统分配角色，通过登陆系统，进行身份验证模块的身份识别与验证，将与用户角色匹配的权限范畴筛选出来，通过服务器MVC编程模式将界面反馈给用户，使用户顺利的进行对设备管理控制的相关操作。对于系统的管理者，系统同样会分配其相应的管理界面，执行对于用户权限的相关操作。最终实现了设备管理系统的合理权限分配管理，提高了系统的稳定性，安全性，为系统的管理开发和用户的管理控制设备带来的极大的方便。

附图说明：

图1为本发明的设备管控系统进行访问控制功能时各模块功能示意图。

图2为本发明涉及的数据表结构图。

图3为面向不同用户系统所呈现的不同操作功能选单界面的实况图。

图4为数据库数据关系表生成示意图。

图5为本用户权限模型系统访问控制方法流程图。

图6为用户管理人员对于权限申请和异常处理控制方法示意图。

具体实施方式

以下实施例仅用于示例性说明，不能理解为对本专利的限制。

实施例1本发明的设备管控系统整体结构

本发明的设备管控系统整体结构如图1所示。整个系统总体采用B/S结构(Browser/Server，浏览器/服务器模式)，包括三部分：系统用户主体，云服务器平台，数据中心。系统用户主体根据系统要求分为普通用户和管理员，通过浏览器发出业务请求和设备的相关管控指令。云服务器平台负责部署系统框架，业务逻辑，数据库，通过部署代码实现对来自用户主体的消息指令进行处理，对系统的数据结构进行修改完善，系统包括身份识别模块、角色分配模块、操作校验模块、视图呈现模块、方法控制模块、数据存储模块六部分。系统数据中心负责存储权限规则，设备信息，用户信息，指令信息，日志信息。

实施例2系统数据中心的设计

系统数据中心的设计，采用MySQL数据库，开发时使用phpMyAdmin数据库管理插件，对数据库进行可视化操作。该插件的优势在于由于phpMyAdmin跟其他PHP程式一样在网页服务器上执行，还可以在任何地方使用这些程式产生的HTML页面，也就是于远端管理MySQL数据库，方便的建立、修改、删除数据库及资料表。对于系统管理人员对于数据故障的排查与操作带来极大的便利。

数据库中的核心表结构包括角色表，权限表，用户表，功能操作表，设备信息表，设备状态统计表，修改变动记录表等数据库表结构，这些表结构及其表间关系，是实现用户智能匹配控制设备的重要的数据结构基础。

其中与访问控制权限相关联的数据表有用户表、角色表、权限表、操作方法表，及其映射出来的用户角色关系表、角色权限关系表、权限操作关系表。这七个表结构中的字段构成如图2所示。在系统人员录入好四个基础表的基础上，由四个基础信息表生成的三个映射表结合起来共同作用便构建好了系统访问控制机制的数据模型，通过定义三个映射关系表的内容便可以将每位个体用户与其绑定的设备和可以操作的指令方法范畴绑定起来了。对其关系表进行修改接口的设计便可以实现访问控制功能的细化和扩展。

实施例3面向不同用户的功能界面设计

面向不同用户系统所呈现的不同操作功能选单界面的实况图如图3所示，本模型基于改进型RBAC原理，对于权限分配模型进行优化，依据MVC编程模式对业务操作前端界面在视图呈现模块进行设计，可以实现面向不同权限的用户系统自动为其分配与其相匹配的角色操控界面。

根据登录用户的角色属性不同，将权限管理系统的访问控制方法分为三类：

第一类用户是操作单台或少量设备的用户，例如一个用户关联的设备只有一台智能空调，那么该用户登录系统后，在系统将自身信息与该智能空调设备绑定成功后，登录系统后即可通过系统所呈现的功能选单，系统自动会提供出可控设备的列表，选择空调后，智能空调操作界面进行实时环境温度的查看，以及空调的操作。

第二类是需要对一个集群的智能设备需要进行整体把握的用户，这类用户通常是现实中体系的设备管理员，他们需要对集体单位的所有设备具有管控监测的权限。当此类用户登录时，系统会根据其角色信息，为其操作界面的功能选单内容替换为查看设备运行概况等相关的管辖范围内所有设备的管控界面。

第三类人员是系统管理者，他们需要为系统的用户角色权限方法联系进行编辑与系统人员的操作记录进行审查。管理员登录系统后，功能选单会替换为系统的角色定义，权限定义，权限审核，用户操作日志等操作选项。

除了以上三类用户以外，还可以通过修改权限表，定义角色表，根据实际的功能需求，为系统扩展更多的角色与权限，使系统面向不同单位的操作具有普适性，对于需求的修改系统调整具有极大的灵活性

实施例4数据库关系表的构建

图4为数据库数据关系表生成示意图，该图描述了系统数据库中“用户-角色-权限-方法”四个集合通过“用户-角色关系表”、“角色-权限关系表”、“权限-方法关系表”三个关系数据表进行关联，上述三个关联表在实际环境中由平台开发人员，人事部门管理人员，用户管理人员进行设计编辑的生成方法。

其中平台开发人员指在系统中负责平台的日常维护以及功能扩展的人员，当有新功能加入时，开发人员以开发程序中的控制方法为单位，根据功能需求，将不同方法集合抽象为权限，并以数据表的形式将两者关系记录下来。

人事部门人员指在在平台中根据公司情况负责进行人事安排组织调度的角色，根据实际环境需求将平台所需角色进行定义，将角色与权限集合的映射进行设计。

用户管理人员是直接面向用户的角色，负责处理审核平台用户注册时所提交的基本信息，而且根据平台应用实际环境的不同，为不同用户分配其相应的角色，同时也负责用户权限申请流程的审批，和异常操作的跟踪监控。

实施例5系统实现访问控制过程

图5为本用户权限模型系统访问控制方法流程图，本发明中用户权限控制方法流程图包括：

用户通过注册好的账号密码在平台上进行登陆，登陆后将用户的核心信息与数据库中用户基本信息进行比对，如果比对成功，则通过访问“用户-角色关系表”提取出与用户的相匹配的角色信息，比对失败则赋予角色普通游客的身份(不具备实际权限的角色)。

根据数据库中“角色-权限关系表”，将用户的角色信息转化为用户的可执行权限集合，根据“权限-方法关系表”，可以将具体权限集转化为用户可执行的方法范畴，对应MVC编程模式的控制层方法，接下来根据用户的操作指令直接与从控制方法表中提取出的方法集进行比较，从而判断用户操作的合理性，也可以根据该方法集为用户生成动态的操作选单，为用户操作带来极大便利性，为系统带来一定的安全性。

实施例6权限申请和异常处理的操作方法

图6为用户管理人员对于权限申请和异常处理控制方法示意图，在本平台上，每位用户所执行的操作具有共性的处理流程，因此，将其共性特征抽象出来，可以总结出来这样一个对权限申请和异常处理加以控制的方法示意图。

当用户在其功能界面进行相关操作时，即对于页面的功能按钮进行触发时，假如是对于设备的一条控制指令，系统首先会检查该操作指令后台数据库中是否存在，如果不存在，则返回到原操作界面并提示用户操作指令无效。如果存在则进行下一步验证。在这一步的验证中主要验证功能指令的合法性。

如果用户的操作不在所属的权限范畴中，那么系统将会把异常信息，包括使用者，操作方法信息，异常时间等具体信息存入到数据库中的异常信息表中。这样用户可以根据异常信息表中的数据分析出异常发生的原因，对于平台潜藏的危险进行预防，也可以通过分析排查原因，根据表中记录对异常状态非法操作进行避免和解决。

当系统用户一段时间内需要一个具体方法的执行权限，但由于系统的复杂性以及传统RBAC模式中角色集合的固定性，添加方法变得复杂，表结构的关系也变得繁琐，因此新型的RBAC结构以实现操作的控制方法为单位能很好地解决这个问题，在系统用户管理员收到权限请求时，确认其合理性后，为用户表中的角色信息中添加需求方法，后台数据库中将在角色表中动态生成一条新的与该用户绑定的角色信息，根据“用户-角色-权限-方法”对应关系，由需求将自动把用户新的方法集与用户绑定，由于单位细化到了方法层，所以对于平台用户操作权限的赋予将不会产生越权，或者不满足权限需求的情况在极大的程度上进行了避免。

在上述模型机制中的角色表中，将由权限申请操作产生的“新角色”加入“合法时间”的限制条件，即可实现平台上用户权限执行有效期进行限制，可以面向更加灵活的权限申请需求，将平台的应用面变得更为广阔。

以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (4)

1.一种设备管控系统，结构有身份识别模块，角色分配模块，操作校验模块，视图呈现模块，方法控制模块，数据存储模块；

其中，所述的身份识别模块是部署在设备管控系统后台的进行身份识别和信息比对的应用程序；所述的角色分配模块是运行在后台的只能由管理员人员访问的用于对用户、角色、权限数据表进行修改操作的程序；所述的操作校验模块是运行在系统后台的根据地址对指令进行过滤操作的程序；所述的视图呈现模块是存储在后端展现在前端的html界面代码，包括设备的管控界面、查看设备运行界面、查询设备相关信息界面、添加设备信息界面；所述的方法控制模块是部署在后台解析设备指令执行操作的中心逻辑程序；所述的数据存储模块是部署在后台的处理数据库操作的业务逻辑程序。

2.一种权利要求1所述的设备管控系统中的用户权限控制方法，有以下步骤：

第一步，用户在系统网站输入登陆信息，进行登陆，系统身份识别模块根据登录用户名在系统后台数据库中查询用户是否存在，如果存在将用户登陆密码进行MD5转换，与该用户信息表中存储的MD5密码进行比对，如果相同则登陆成功，如果不同，则回退到未登录状态；

第二步，系统中的身份识别模块根据成功登陆的用户的UserID字段，在数据表中进行查询匹配，通过查询“用户-角色”关系表将登陆用户的角色信息提取出来；

第三步，操作校验模块根据用户的角色信息，将用户对应的角色从角色权限表中提取登陆用户的权限范畴信息，作为用户操作时进行监督控制的信息依据，指令的控制原理是依据指令的访问地址内容进行管控限制，其中权限范畴信息包括指令类型、设备ID、设备位置信息，这些信息都体现在指令的URL地址上，操作校验模块依据指令类型信息区分系统操作和设备操作指令，依据设备信息使用户精确对所属设备进行管控；

第四步，如果是设备指令，操作校验模块对用户设备信息进行提取，并把管控范畴内的设备信息反馈给用户；如果是系统控制指令，则根据数据库中的“权限-方法”数据表，将实现权限对应的方法集合进行提取，再把指令中的方法名进行比对，如果在权限范畴内则指令合法；

第五步，将合法指令输入到消息处理模块，在MVC编程模式的控制层中进行逻辑处理，实现对应指令的操作功能。

3.根据权利要求2所述的一种设备管控系统中的用户权限控制方法，其特征在于，在整个指令的执行过程中，数据库中用户基本信息表是由用户注册系统后所完善的个人信息组成的；角色表是由用户管理人员根据实际情况设计的；权限表、方法表是开发人员根据系统指令类型设定的。

4.根据权利要求2或3所述的一种设备管控系统中的用户权限控制方法，其特征在于，在角色分配模块中，“用户-角色”映射关系是由用户管理人员进行设计的，“角色-权限”映射关系是由安全管理人员进行设计的。