CN110602050A - 区块链访问的鉴权方法和装置、存储介质、电子装置 - Google Patents

Abstract

本发明公开了一种区块链访问的鉴权方法和装置、存储介质、电子装置。其中，该方法包括：控制中心获取第一账号发送的请求对区块链数据进行访问的访问请求，验证访问请求中携带的用户证书，向索引系统获取第一账号的权限信息在区块链中的位置，将权限信息在区块链中的位置发送给权限管理智能合约，权限管理智能合约读取权限信息在区块链中的位置处的第一账号的权限信息，使用权限信息对第一账号所要访问的第一功能进行鉴权，并将得到的鉴权结果发送给控制中心，控制中心根据鉴权结果允许第一账号访问第一功能或者控制中心根据鉴权结果拒绝第一账号访问第一功能。本发明解决了相关技术中的权限数据的安全性较低的技术问题。

Description

区块链访问的鉴权方法和装置、存储介质、电子装置

本案为申请号为2018104047452，申请日为2018年4月28日，发明名称为“区块链访问的健全方法和装置、存储介质、电子装置”的申请的分案。

技术领域

本发明涉及互联网领域，具体而言，涉及一种区块链访问的鉴权方法和装置、存储介质、电子装置。

背景技术

自比特币系统推出以来，以比特币及其衍生竞争币为代表的去中心化加密货币受到了广泛关注。该货币类系统的特点是基于区块链构建分布式共享总账，从而保证系统运行的安全、可靠、去中心化特性。区块链是指通过去中心化和去信任的方式集体维护一个可靠数据库的技术方案。该技术方案主要让参与系统中的任意多个节点，通过一串使用密码学方法相关联产生的数据块，每个数据块中包含了一定时间内的系统全部信息交流数据，并且生成数据指纹用于验证其信息的有效性和链接下一个数据库块。

权限管理是区块链系统的核心内容，由于区块链系统用户数量巨大、区块数量众多，相关技术中的权限管理技术存在资源消耗大、权限控制效率低、安全性较低的问题，如访问列表控制方法通过列表进行权限管理，一个简单的访问列表是一个由用户与资源构成的数组，当数据量巨大时，权限管理效率低下，且容易被篡改；强制访问控制方法中，一旦系统建立，用户行为的访问控制强制执行，用户无法改变安全级别或对象的安全属性，资源消耗大、权限控制效率低。

针对上述的问题，目前尚未提出有效的解决方案。

发明内容

本发明实施例提供了一种区块链访问的鉴权方法和装置、存储介质、电子装置，以至少解决相关技术中的权限数据的安全性较低的技术问题。

根据本发明实施例的一个方面，提供了一种区块链访问的鉴权方法，包括：获取第一帐号的访问请求，其中，访问请求用于第一帐号请求对业务区块链节点进行访问；响应于访问请求，基于目标区块链节点上保存的权限数据确定第一帐号所属的角色的第一访问权限，其中，目标区块链节点的数据写入权限在写入保存的权限数据后关闭；在第一访问权限指示允许第一帐号对业务区块链节点进行访问的情况下，将业务区块链节点的状态设置为允许第一帐号访问。

作为一种可选的示例，基于目标区块链节点上保存的权限数据确定所述第一帐号所属的角色的第一访问权限包括：通过所述访问请求中的数字签名对所述第一帐号进行鉴权；在所述第一帐号通过鉴权的情况下，根据所述目标区块链节点的权限数据确定所述第一帐号所属的角色的所述第一访问权限。

作为一种可选的示例，根据所述目标区块链节点的权限数据确定所述第一帐号所属的角色的所述第一访问权限包括：通过权限管理智能合约，从索引列表中查询到第五区块链节点，其中，所述第五区块链节点为所述目标区块链节中保存有所述第一帐号的访问权限的区块链节点；从所述第五区块链节点中查找与所述第一帐号的角色匹配的所述第一访问权限。

作为一种可选的示例，在通过所述访问请求中的数字签名对所述第一帐号进行鉴权之前，所述方法还包括：在接收到所述第一帐号的证书请求的情况下，通过数字认证中心为所述第一帐号颁发数字证书，其中，所述数字证书用于进行数字签名。

根据本发明实施例的一个方面，还提供了一种区块链访问的鉴权方法，包括：控制中心获取第一账号发送的请求对区块链数据进行访问的访问请求，其中，所述访问请求中包括所述第一账号所要访问的第一功能与所述第一账号的用户证书；所述控制中心验证所述访问请求中携带的用户证书；在所述用户证书验证成功的情况下，所述控制中心向索引系统获取所述第一账号的权限信息在所述区块链中的位置；所述控制中心将所述权限信息在所述区块链中的位置发送给权限管理职能合约；所述权限管理智能合约读取所述权限信息在所述区块链中的位置处的所述第一账号的所述权限信息；所述权限管理智能合约使用所述权限信息对所述第一账号所要访问的第一功能进行鉴权，并将得到的鉴权结果发送给所述控制中心；所述控制中心根据所述鉴权结果允许所述第一账号访问所述第一功能或者所述控制中心根据所述鉴权结果拒绝所述第一账号访问所述第一功能。

根据本发明实施例的另一方面，还提供了一种区块链访问的鉴权装置，包括：获取单元，用于获取第一帐号的访问请求，其中，访问请求用于第一帐号请求对业务区块链节点进行访问；鉴权单元，用于响应于访问请求，基于目标区块链节点上保存的权限数据确定第一帐号所属的角色的第一访问权限，其中，目标区块链节点的数据写入权限在写入保存的权限数据后关闭；设置单元，用于在第一访问权限指示允许第一帐号对业务区块链节点进行访问的情况下，将业务区块链节点的状态设置为允许第一帐号访问。

根据本发明实施例的一个方面，还提供了一种区块链访问的鉴权系统，包括：控制中心，用于获取第一账号发送的请求对区块链数据进行访问的访问请求，其中，所述访问请求中包括所述第一账号所要访问的第一功能与所述第一账号的用户证书；所述控制中心还用于验证所述访问请求中携带的用户证书；所述控制中心还用于在所述用户证书验证成功的情况下，向索引系统获取所述第一账号的权限信息在所述区块链中的位置；所述控制中心还用于将所述权限信息在所述区块链中的位置发送给权限管理职能合约；所述权限管理智能合约用于读取所述权限信息在所述区块链中的位置处的所述第一账号的所述权限信息；所述权限管理智能合约还用于使用所述权限信息对所述第一账号所要访问的第一功能进行鉴权，并将得到的鉴权结果发送给所述控制中心；所述控制中心还用于根据所述鉴权结果允许所述第一账号访问所述第一功能或者所述控制中心根据所述鉴权结果拒绝所述第一账号访问所述第一功能。

根据本发明实施例的另一方面，还提供了一种存储介质，该存储介质包括存储的程序，程序运行时执行上述的方法。

根据本发明实施例的另一方面，还提供了一种电子装置，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，处理器通过计算机程序执行上述的方法。

在本发明实施例中，在获取到第一帐号的访问请求时，基于目标区块链节点上保存的权限数据确定第一帐号所属的角色的第一访问权限，在第一访问权限指示允许第一帐号对业务区块链节点进行访问的情况下，将业务区块链节点的状态设置为允许第一帐号访问，前述目标区块链节点的数据写入权限在写入保存的权限数据后关闭，也即本申请基于区块链技术进行权限数据保存，保证了权限数据上链后的不可篡改性和可追溯性，可以解决相关技术中的权限数据的安全性较低的技术问题，进而达到提高系统的安全性和可靠性的技术效果。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是根据本发明实施例的区块链访问的鉴权方法的硬件环境的示意图；

图2是根据本发明实施例的一种可选的区块链访问的鉴权方法的流程图；

图3是根据本发明实施例的一种可选的权限管理模型的示意图；

图4是根据本发明实施例的一种可选的权限管理模型的示意图；

图5是根据本发明实施例的一种可选的权限管理模型的示意图；

图6是根据本发明实施例的一种可选的权限管理模型的示意图；

图7是根据本发明实施例的一种可选的区块链访问的鉴权方法的流程图；

图8是根据本发明实施例的一种可选的区块链访问的鉴权方法的示意图；

图9是根据本发明实施例的一种可选的区块链访问的鉴权装置的示意图；

图10是根据本发明实施例的一种可选的区块链访问的鉴权装置的示意图；

图11是根据本发明实施例的一种可选的区块链访问的鉴权装置的示意图；

图12是根据本发明实施例的一种终端的结构框图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

首先，在对本发明实施例进行描述的过程中出现的部分名词或者术语适用于如下解释：

CA：Certificate Authority，数字证书认证机构，也称为电子商务认证中心、电子商务认证授权机构，是负责发放和管理数字证书的权威机构，并作为电子商务交易中受信任的第三方，承担公钥体系中公钥的合法性检验的责任。

MSP：Membership Service Provider，成员服务提供者MSP是一个提供抽象化成员操作框架的组件，MSP将数字证书颁发与校验，以及用户认证背后的所有密码学机制与协议都抽象了出来，一个MSP可以自己定义身份，以及身份的管理(身份验证)与认证(生成与验证签名)规则。

ACL：Access Control List，访问控制表，又称存取控制串列，是使用以访问控制矩阵为基础的访问控制表，每一个对象对应一个串列主体，访问控制表描述用户或系统进程对每个对象的访问控制权限。

RBAC：Role-based access control，以角色为基础的访问控制，是资讯安全领域中，一种广为使用的访问控制机制，其不同于强制访问控制以及自由选定访问控制直接赋予使用者权限，而是将权限赋予角色。

ABAC：Attribute-based access control，基于属性的访问控制，是一种为解决行业分布式应用可信关系访问控制模型，它利用相关实体(如主体、客体、环境)的属性作为授权的基础来进行访问控制。基于这样的目的,可将实体的属性分为主体属性、客体属性和环境属性。

“背书”这个词源来自银行票据业务，是指票据转让时原持有人在票据背面加盖自己的签名或印鉴，以证明该票据的真实有效，而区块链中所指的背书(endorse)是对某个提案或者交易进行允诺和保证，即认可和支持，提高事物的可信度，借此在一定范围内达成共识，最终认可这个提案或交易。

根据本发明实施例的一方面，提供了一种区块链访问的鉴权方法的方法实施例。

可选地，在本实施例中，上述区块链访问的鉴权方法可以应用于如图 1所示的由服务器101和终端103所构成的硬件环境中。如图1所示，服务器101通过网络与终端103进行连接，可用于为终端或终端上安装的客户端提供服务(如游戏服务、应用服务、视频服务、鉴权服务等)，可在服务器上或独立于服务器设置鉴权用的区块链节点105(也即目标区块链节点)，用于为服务器101提供权限数据存储服务，上述网络包括但不限于：广域网、城域网或局域网，终端103并不限定于PC、手机、平板电脑等。

本发明实施例的区块链访问的鉴权方法可以由服务器101来执行。图 2是根据本发明实施例的一种可选的区块链访问的鉴权方法的流程图，如图2所示，该方法可以包括以下步骤：

步骤S202，服务器获取第一帐号的访问请求，访问请求用于第一帐号请求对业务区块链节点进行访问。

可选地，上述第一帐号即在终端103上使用的帐号，用户可通过终端 103来请求对业务区块链节点进行访问。

步骤S204，响应于访问请求，服务器基于目标区块链节点上保存的权限数据确定第一帐号所属的角色的第一访问权限，目标区块链节点的数据写入权限在写入保存的权限数据后关闭，权限数据中配置有不同角色的访问权限，换言之，这些角色的访问权限是可以变化的，如在业务区块链提供的业务上线时或者业务运行过程中，均可以进行角色的访问权限的配置。

步骤S206，在第一访问权限指示允许第一帐号对业务区块链节点进行访问的情况下，将业务区块链节点的状态设置为允许第一帐号访问。

上述实施例以本申请的区块链访问的鉴权方法由服务器101来执行为例进行说明，本申请的区块链访问的鉴权方法也可由服务器101和终端 103共同执行，如终端向服务器发起请求，服务器接收到请求后执行本申请的方法。

通过上述步骤S202至步骤S206，在获取到第一帐号的访问请求时，基于目标区块链节点上保存的权限数据确定第一帐号所属的角色的第一访问权限，在第一访问权限指示允许第一帐号对业务区块链节点进行访问的情况下，将业务区块链节点的状态设置为允许第一帐号访问，前述目标区块链节点的数据写入权限在写入保存的权限数据后关闭，也即本申请基于区块链技术进行权限数据保存，保证了权限数据上链后的不可篡改性和可追溯性，可以解决相关技术中的权限数据的安全性较低的技术问题，进而达到提高系统的安全性和可靠性的技术效果。

在本申请的实施例中，提供了一种可选的实施例，如图3所示，采用以MSP为基础的权限管理模型，在这套模型中，MSP通过结合CA实现了证书的颁发、证书管理、身份验证、权限定义等功能，MSP与其它部件的结合如图3所示。

权限管理和共识机制介于业务层(包括链码、通道等)和基础层(包括P2P网络、节点、存储、加密等)之间，可依赖于静态模型提供的底层技术实现，静态模型提供了管理者Admin和成员Member两种角色，而角色和权限的管理基于CA签发的证书进行验证，其整体思路为事先预设的方案，即提前预先定义好权限模型，然后业务系统根据权限模型来访问，由于是预置权限模型，因此权限的管理和控制不可能深度介入业务逻辑的设计中，而是业务模型依照提前设置好的权限模型进行访问控制。

上述联盟链提供了一种静态的、不接入具体上层业务逻辑细节设计的权限管理系统，而此系统强依赖于CA、P2P网络等基础设施，具备如下一定的缺陷，针对这一技术方案中的局限，本申请提供了又一种可选的实施例，通过基于区块链的智能合约，构建上层应用级别的权限/角色管理结构，可完善整个区块链访问控制体系，可以克服其缺陷，下文结合图2所示的步骤进行说明。

在前面的第一个实施例中，采用以MSP为基础的权限管理，静态模型在使用过程中不能做出较大的角色和权限调整，需要提前规划好预案，如果用户的权限发生变化，对上层的业务系统冲击较大，需要对业务逻辑和业务设计做出改变，特别是联盟链系统不支持角色的定义，意味业务系统要提前规划好角色和角色与具体用户的权限对应关系；权限的管理模式中有ACL、权限管理表、角色控制等几种方式，由于权限的管理和底层代码耦合度较高，联盟链只能选择其中的一种作为自身的控制模式，无法做出插拔式设计。

可选地，为了克服上述缺陷，在图2所示的实施例中，在执行步骤 S202提供的实施例之前，即在获取第一帐号的访问请求之前，可通过动态模型为目标业务配置用于保存权限数据的目标区块链节点，目标业务的业务数据保存在业务区块链节点上。

可选地，在为目标业务配置用于保存权限数据的目标区块链节点可包括以下两种形式：在创建目标业务时，为目标业务配置第一区块链节点，其中，目标区块链节包括第一区块链节点；在目标业务运行的过程中，为目标业务配置第二区块链节点，其中，目标区块链节包括第二区块链节点。

利用本申请提供的一种动态模型，可根据上层业务场景，动态调整权限控制模式，不局限于底层所构建的权限模型。由于是基于智能合约的权限模式，因此可塑性更强，可通过编程的方式，将权限控制通过智能合约来进行操作；同时由于智能合约的灵活性，可实现权限模型的可插拔式更换；由于权限定义存储于链上的数据中，因此可根据场景，动态、快速、便捷的实现权限重新定义和更改，从而克服了上述缺陷。

采用以MSP为基础的权限管理，无法参与业务逻辑的权限管理，区块链系统内嵌的权限管理机制，是提前预置好的权限管操作模式，无法参与到具体的业务逻辑的开发和设计中，但在很多场景中存在大量的诉求，需要权限模型与业务系统进行紧密的结合，而联盟链作为提前规划好的预设的模型，不能满足这一要求；而智能合约中业务逻辑的权限控制，由于和用户后期开发的代码相耦合，因此上述区块链系统更是无能为力。

可选地，为了克服上述缺陷，在为目标业务配置用于保存权限数据的目标区块链节点的过程中，业务提供者可参与业务逻辑的设计和整合，创建目标区块链节点，在区块链系统中，业务模型的部分商业逻辑就是通过智能合约来实现的，而权限控制部分的智能合约可以与业务逻辑的智能合约之间可以相互调用，并进行设计上的整合，通过参与业务逻辑的规划和设计，可以实现更加丰富、贴近业务需求的权限管理。

采用以MSP为基础的权限管理，采用粗粒度权限管理模式，联盟链为了适配所有的业务场景和用户需求，需要做出通用的设计，因此控制模型、定义机制较为粗犷和单一，这些模型中，缺少对各类子系统、子模块或某一功能的细粒度的权限控制，特别是针对读、写的能力，且联盟链的控制还不完备；

另外，采用以MSP为基础的权限管理强依赖于底层模型的能力，区块链系统提供什么样的能力，使用者只能依据这样的模型进行开发，无法超越，例如系统如果只提供几种较为简单的角色，那么使用者就不能完成精细化的细粒度对区块链中众多的属性Attributes进行控制；

且采用以MSP为基础的权限管理无法提供与底层解耦的管理模式，如果使用者除了使用区块链内嵌的权限模式外，还需要在逻辑层实现一套脱离底层控制的权限管理模式，目前的方案还无法提供这样的能力。

为了克服上述缺陷，在本申请的技术方案中，在为目标业务配置第一区块链节点时，可以将在静态模型中配置好的角色的访问权限作为第一角色的访问权限保存至第一区块链节点的权限数据中，静态模型用于提供配置好的角色与访问权限的管理模型，以实现对静态模型的兼容；还可将第三角色的访问权限作为第一角色的访问权限保存至第一区块链节点的权限数据中，第三角色的访问权限为目标业务的业务提供者创建的。

可选地，将第三角色的访问权限作为第一角色的访问权限保存至第一区块链节点的权限数据中之前，业务提供者可以按照如下方式创建角色权限：

1)业务提供者可以业务为单位进行权限的管理，此时可获取业务提供者创建的第三角色的第一访问权限，第一访问权限用于指示第三角色对多种业务的访问权限，在第一访问权限指示允许第三角色对多种业务中的第一业务进行访问的情况下，用于保存第一业务的业务数据的所有区块链节点的状态均被设置为允许第三角色访问，换言之，只要配置了某个角色可以访问某个业务，那么该业务的所有数据均对其可访问，第一业务为多种业务中的任意一种、且多种业务包括目标业务；

2)业务提供者可以业务区块链节点为单位进行权限的管理，此时可获取业务提供者创建的第三角色的第二访问权限，第二访问权限用于指示第三角色对所有区块链节点的访问权限，在第二访问权限指示允许第三角色对所有区块链节点中的第三区块链节点进行访问的情况下，第三区块链的状态被设置为允许第三角色访问；

3)业务提供者可以业务数据类型为单位进行权限的管理，此时可获取业务提供者创建的第三角色的第三访问权限，第三访问权限用于指示第三角色对多种业务数据的访问权限，在第三访问权限指示允许第三角色对第一业务数据进行访问的情况下，区块链节点上第一业务数据的状态被设置为允许第三角色访问，第一业务数据为多种业务数据中的任意一种，多种业务数据为多种业务的业务数据，此处还可以结合上述的第一种或第二方案，如，指定某种业务，然后配置该业务下允许访问的数据种类，或者指定业务区块链节点，然后配置该业务区块链节点下允许访问的数据种类；

4)业务提供者可以对特定业务数据进行权限的管理，此时可获取业务提供者创建的第三角色的第四访问权限，第四访问权限用于指示第三角色对第二业务数据的访问权限，在第四访问权限指示允许第三角色对第二业务数据进行访问的情况下，区块链节点上第二业务数据的状态被设置为允许第三角色访问，第二业务数据为多种业务的业务数据中业务提供者指定的业务数据；

5)另外，业务提供者可以对业务区块链节点的写入权限进行管理，此时可获取业务提供者创建的第三角色的第五访问权限，第五访问权限用于指示第三角色对第四区块链节点的访问权限，在第五访问权限指示允许第三角色对第四区块链节点进行访问的情况下，第四区块链的状态被设置为允许第三角色写入数据。

从上述本申请的技术方案可以看出，能够实现细粒度的权限控制，如以业务为单位进行管理、以区块链为单位进行管理、以数据类型为单位进行管理等，可将权限定义保存在区块链上，或存储于状态数据库中，通过智能合约，并配合区块链已有内嵌权限管理，可实现细粒度的权限/角色定义，例如：区块链底层的权限模型是无法对上层应用侧的业务代码智能合约进行权限控制，但本申请的技术可根据业务场景的划分针对不同的功能、不同的模块定义读写权限；

且实现了与底层技术松耦合，由于控制逻辑完全基于智能合约，而权限的定义存储于链上或数据库中，本申请可以不依赖已有的权限控制能力，可实现完全基于应用层进行的权限设计，如对数据种类、指定数据的访问权限进行管理，实现了与底层技术实现松耦合，由于联盟链或公有链的权限模型尚不完善，因此底层控制能力的限制，或者底层权限模型的改变，通过采用本申请的技术方案，就不会影响到上层应用侧的逻辑。

上述以为目标业务配置第一区块链节点为例进行说明，在为目标业务配置第二区块链节点的过程中，如在第一区块链节点的权限数据中的第一角色的权限发生变更的情况下，将对第一角色的权限进行变更后的权限数据保存在第二区块链节点中；以及当需要在第一区块链节点的权限数据中增加第二角色的权限的情况下，将增加第二角色的权限的权限数据保存在第二区块链中，“将对第一角色的权限进行变更后的权限数据保存在第二区块链节点中”和“将增加第二角色的权限的权限数据保存在第二区块链中”均可以按照与上述类似的方式来实现权限管理。

需要说明的是，本申请可以取代上述区块链系统中内嵌的权限管理模式，也可作为上述区块链系统中内嵌的权限管理模式的有益补充，和该系统进行有机的结合，提供更完善的、更灵活的权限/角色管理模型，为用户的业务系统提供更好的服务能力。

可选地，在为目标业务配置用于保存权限数据的目标区块链节点的同时或之后，可为目标业务创建索引列表，配置权限时由于区块链的不可篡改特性，故可以创建索引列表，用于保存区块链上权限数据的版本，利用索引列表查找最新创建的目标区块链节点，可便于索引角色的访问权限。

在步骤S204提供的技术方案中，服务器基于目标区块链节点上保存的权限数据确定第一帐号所属的角色的第一访问权限，目标区块链节点的数据写入权限在写入保存的权限数据后关闭。

可选地，基于目标区块链节点上保存的权限数据确定第一帐号所属的角色的第一访问权限可包括如下两个步骤：

步骤1，通过访问请求中的数字签名对第一帐号进行鉴权。

可选地，在通过访问请求中的数字签名对第一帐号进行鉴权之前，可在接收到第一帐号的证书请求的情况下，通过数字认证中心为第一帐号颁发数字证书，在发送访问请求时，可利用数字证书对访问请求进行数字签名。

可选地，通过访问请求中的数字签名对第一帐号进行鉴权可包括以下几个方面：其一是判断数字签名与本地证书是否一致，其二是判断第一帐号的帐号信息与本地的帐号信息是否一致，其三是判断所使用的数字证书是否过期，若均为是则通过鉴权，否则不通过。

步骤2，在第一帐号通过鉴权的情况下，根据目标区块链节点的权限数据确定第一帐号所属角色的第一访问权限。

可选地，根据目标区块链节点的权限数据确定第一帐号的第一访问权限可包括：通过权限管理智能合约，从索引列表中查询到第五区块链节点，其中，第五区块链节点为目标区块链节中保存有第一帐号的访问权限的区块链节点；从第五区块链节点中查找与第一帐号的角色匹配的第一访问权限。

在步骤S206提供的技术方案中，在第一访问权限指示允许第一帐号对业务区块链节点进行访问的情况下，将业务区块链节点的状态设置为允许第一帐号访问。

相关技术中的区块链系统中要么对权限和角色管理较为弱化或缺失，例如公有链，链上的用户采用平权对等模式，任何人都可加入到链中，采用对等模式加入到区块链系统的用户，理论上权限能力是相同的；要么权限和角色的控制过度依赖于区块链底层已有的权限控制模型，例如联盟链和私有链，联盟链虽然有权限控制的能力，但受限于底层平台的能力，一方面这种控制模型较为静态，很难根据业务系统需要，动态的调整权限和角色的控制，特别是在一些需要临时调整控制权限的场合中，很难快速的积极做出响应，另一方面现有联盟链为了符合普遍适用的需求，权限/角色控制能力较为笼统和简单，很难适应业务系统中复杂的权限管理模型，因此需要在区块链系统中采用更加的灵活控制模式。

本申请通过整合智能合约、数字证书颁发，索引管理、权限数据保存等技术，实现区块链系统上的动态权限和角色管理模型，不仅补齐了公有链上的权限定义能力，而且能够与现有联盟链的静态权限控制整合后，更加完备了控制能力，针对应用层，提供了更加丰富的管理模型。同时通过提供这种动态权限控制能力，将底层平台能力开发和上层业务系统相隔离，改善了整个应用系统开发过程。

作为一种可选的实施例，下面结合具体的实施方式详述本申请的技术方案。

如图4和图5所示，如果业务应用如果需要访问业务系统的智能合约或其它功能项，可以通过基于区块链的权限管理系统(即应用本申请的方法实现的系统)进行管控，对于联盟链，因为可以存在多链或多通道Channel结构，因此可以使用单独链来保存这些权限/角色定义数据，即权限数据保存在“系统”链上；对于公有链，通常只有一条链的存在，因此权限/角色的定义和业务数据都保存在同一个链上，或保存在侧链上，则该“系统”链，通过索引系统来模拟一条虚拟的用来保存访问控制权限的逻辑链，用户的权限访问，只有经过基于区块链的权限管理系统的校验，才能访问业务系统中的功能。而权限管理系统的内部细节如下：

基于区块链的权限管理系统主要由控制中心(可以承载在服务器上)、 CA证书管理中心、索引系统、智能合约和区块链等部分组成。

智能合约：其中权限的管理以智能合约为核心(即权限管理智能合约)，控制逻辑、控制规则由智能合约来进行管理。权限管理的智能合约，可以由一个或多个智能合约程序组成，完成权限数据区块链上权限/角色规则的定义、权限/角色的写入、权限/角色的检查等功能。与实现应用的业务逻辑的业务智能合约不同，权限管理的智能合约属于“系统”智能合约，它是为业务智能合约进行服务的，提供权限、角色的管理功能。

控制中心：是协调、通信和管理的枢纽，作为权限的管理系统的核心部件，起到承上启下的作用，对外提供对应用侧的接口，负责权限查询与校验；对内负责调用权限管理的智能合约，实现权限的校验和管理，控制中心还可处理用户权限的申请请求，控制中心结合申请管理模块，对合法的用户颁发数字证书。

权限数据区块链：保存权限/角色定义、以及权限与用户关系对照表等数据的区块链，权限管理的智能合约通过访问区块链上的数据，再结合规则引擎来实现权限的管理，如进行鉴权、确定合约状态和合约值，在权限管理中，可以存在ACL、基于角色的权限访问控制RBAC、分布式应用可信关系访问控制模型ABAC等模式，由于区块链上的数据保存具备开放性，即可以用诸多灵活模式对数据进行保存，例如json格式，这样可以引入不同的权限控制模型到系统中创造了条件，本方案并不限定采用任何权限模型，系统开发者可根据自身的情况来进行选择。下面仅以最简单的访问控制列表ACL为例进行说明：

索引系统：由于权限/角色的定义数据保存在权限数据区块链上，而区块链的数据具有不可篡改性，因此当权限/角色的定义发生变更时，不能像传统数据库那样进行更新操作，故本申请引入了版本的概念，当需要“更新”权限/角色定义时，新的定义作为新区块追加到权限定义的“系统”区块链上，并形成该规则新的版本，同时将该权限规则的新版本号和新定义的数据位置记录到索引系统中，系统进行权限检查时，可索引到权限规则的最新版本，并读出规则定义数据。

CA中心：如图6所示，证书的管理体系CA中心可独立于权限管理系统，二者可为两套完全不同的体系，这样可给区块链系统提供更安全、更完善的服务，与权限管理系统一起共同协作，CA中心负责应用侧用户证书的请求、创建、颁发、回收等工作，由于区块链系统中，用户的认证和交易的验证，通常依赖于数字证书体系，因此可引入CA的管理，由控制中心结合用户权限申请管理模块，对用户证书的申请、颁发、回收等进行管理。

对于新的用户，提出证书申请请求，控制中心会将这一请求推送到数字证书申请管理系统，进行核验，对于合法的用户，则创建新的数字证书，并通过控制中心将证书颁发给用户；对于已有证书的用户，发送请求中的信息可携带自己的签名，通过控制中心中保存的用户证书进行验签，通过验证后，再对其操作通过区块链权限管理系统来进行权限核验，完成两个系统的协作，实现安全级别更好的双保险检验机制。

权限管理的流程如图7所示：

步骤S702，客户端向控制中心发起请求，控制中心验证用户证书；请求信息中带有用户的基本元数据(如用户ID等)、用户签名和需要访问的功能项目等；

步骤S704，若数字证书验证失败(如用户非法或证书过期)，则返回验证失败的提示；

步骤S706，若验证成功，则通过控制中心向索引系统发起请求，根据用户的ID查询该用户权限信息在区块链上的位置；

步骤S708，若索引查询失败，则返回失败信息；

步骤S710，若索引查询成功，则将索引数据发送给权限管理智能合约，智能合约通过索引访问区块链上的数据，读入所对应的权限明细；

步骤S712，权限管理智能合约根据权限规则引擎，利用权限区块链对用户所要访问的功能项进行鉴权；

步骤S714，返回校验的结果给控制中心；

步骤S716，控制中心根据校验的结果来决定用户是否具有访问权限，如果具备权限，则可以访问相应的功能模块。

采用本申请的实施例，可以和业务系统进行共同协作，即根据开发的业务系统的功能，来有针对性的进行权限设定，因此实现了动态的、可扩展的权限/角色管理模型，补齐了公有链所不具备的权限管理模式，完备了联盟链所不具备的细粒度控制；同时，基于区块链技术进行权限数据保存，可以实现权限数据上链后的不可篡改性和可追溯性，提高了系统的安全性和可靠性。

需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明并不受所描述的动作顺序的限制，因为依据本发明，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本发明所必须的。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到根据上述实施例的方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如 ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

根据本发明实施例的另一个方面，还提供了一种区块链访问的鉴权方法，如图8所示，上述方法包括：

S802，控制中心获取第一账号发送的请求对区块链数据进行访问的访问请求，其中，所述访问请求中包括所述第一账号所要访问的第一功能与所述第一账号的用户证书；

S804，所述控制中心验证所述访问请求中携带的用户证书；

S806，在所述用户证书验证成功的情况下，所述控制中心向索引系统获取所述第一账号的权限信息在所述区块链中的位置；

S808，所述控制中心将所述权限信息在所述区块链中的位置发送给权限管理职能合约；

S812，所述权限管理智能合约读取所述权限信息在所述区块链中的位置处的所述第一账号的所述权限信息；

S814，所述权限管理智能合约使用所述权限信息对所述第一账号所要访问的第一功能进行鉴权，并将得到的鉴权结果发送给所述控制中心；

S816，所述控制中心根据所述鉴权结果允许所述第一账号访问所述第一功能或者所述控制中心根据所述鉴权结果拒绝所述第一账号访问所述第一功能。

可选地，本方案的实施过程可以如图7所示的步骤S702到步骤S716 所示。步骤S702，客户端向控制中心发起请求，控制中心验证用户证书；请求信息中带有用户的基本元数据(如用户ID等)、用户签名和需要访问的功能项目等；

步骤S704，若数字证书验证失败(如用户非法或证书过期)，则返回验证失败的提示；

步骤S706，若验证成功，则通过控制中心向索引系统发起请求，根据用户的ID查询该用户权限信息在区块链上的位置；

步骤S708，若索引查询失败，则返回失败信息；

步骤S710，若索引查询成功，则将索引数据发送给权限管理智能合约，智能合约通过索引访问区块链上的数据，读入所对应的权限明细；

步骤S712，权限管理智能合约根据权限规则引擎，利用权限区块链对用户所要访问的功能项进行鉴权；

步骤S714，返回校验的结果给控制中心；

步骤S716，控制中心根据校验的结果来决定用户是否具有访问权限，如果具备权限，则可以访问相应的功能模块。

采用本申请的实施例，可以和业务系统进行共同协作，即根据开发的业务系统的功能，来有针对性的进行权限设定，因此实现了动态的、可扩展的权限/角色管理模型，补齐了公有链所不具备的权限管理模式，完备了联盟链所不具备的细粒度控制；同时，基于区块链技术进行权限数据保存，可以实现权限数据上链后的不可篡改性和可追溯性，提高了系统的安全性和可靠性。

本方案中的其他实施方式可以参照上述实施例中记载的内容，在此不做赘述。

根据本发明实施例的一个方面，还提供了一种用于实施上述区块链访问的鉴权方法的区块链访问的鉴权装置。图9是根据本发明实施例的一种可选的区块链访问的鉴权装置的示意图，如图9所示，该装置可以包括：

获取单元901，用于获取第一帐号的访问请求，其中，访问请求用于第一帐号请求对业务区块链节点进行访问；

鉴权单元903，用于响应于访问请求，基于目标区块链节点上保存的权限数据确定第一帐号所属的角色的第一访问权限，其中，目标区块链节点的数据写入权限在写入保存的权限数据后关闭，权限数据中配置有不同角色的访问权限；

设置单元905，用于在第一访问权限指示允许第一帐号对业务区块链节点进行访问的情况下，将业务区块链节点的状态设置为允许第一帐号访问。

需要说明的是，该实施例中的获取单元901可以用于执行本申请实施例中的步骤S202，该实施例中的鉴权单元903可以用于执行本申请实施例中的步骤S204，该实施例中的设置单元905可以用于执行本申请实施例中的步骤S206。

此处需要说明的是，上述模块与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例所公开的内容。需要说明的是，上述模块作为装置的一部分可以运行在如图1所示的硬件环境中，可以通过软件实现，也可以通过硬件实现。

通过上述模块，在获取到第一帐号的访问请求时，基于目标区块链节点上保存的权限数据确定第一帐号所属的角色的第一访问权限，在第一访问权限指示允许第一帐号对业务区块链节点进行访问的情况下，将业务区块链节点的状态设置为允许第一帐号访问，前述目标区块链节点的数据写入权限在写入保存的权限数据后关闭，也即本申请基于区块链技术进行权限数据保存，保证了权限数据上链后的不可篡改性和可追溯性，可以解决相关技术中的权限数据的安全性较低的技术问题，进而达到提高系统的安全性和可靠性的技术效果。

可选地，如图10所示，本申请的装置还可包括：配置单元907，用于在获取第一帐号的访问请求之前，为目标业务配置用于保存权限数据的目标区块链节点，其中，目标业务的业务数据保存在业务区块链节点上。

上述配置单元包括：第一配置模块，用于在创建目标业务时，为目标业务配置第一区块链节点，其中，目标区块链节包括第一区块链节点；第二配置模块，用于在目标业务运行的过程中，为目标业务配置第二区块链节点，其中，目标区块链节包括第二区块链节点。

可选地，第二配置模块还可包括：第一配置子模块，用于在第一区块链节点的权限数据中的第一角色的权限发生变更的情况下，将对第一角色的权限进行变更后的权限数据保存在第二区块链节点中；第二配置子模块，用于当需要在第一区块链节点的权限数据中增加第二角色的权限的情况下，将增加第二角色的权限的权限数据保存在第二区块链中。

可选地，第一配置模块可包括：第三配置子模块，用于将在静态模型中配置好的角色的访问权限作为第一角色的访问权限保存至第一区块链节点的权限数据中，其中，静态模型用于提供配置好的角色与访问权限的管理模型；第四配置子模块，用于将第三角色的访问权限作为第一角色的访问权限保存至第一区块链节点的权限数据中，其中，第三角色的访问权限为目标业务的业务提供者创建的。

第四配置子模块，还可用于在将第三角色的访问权限作为第一角色的访问权限保存至第一区块链节点的权限数据中之前，执行以下至少之一：

获取业务提供者创建的第三角色的第一访问权限，其中，第一访问权限用于指示第三角色对多种业务的访问权限，在第一访问权限指示允许第三角色对多种业务中的第一业务进行访问的情况下，用于保存第一业务的业务数据的所有区块链节点的状态被设置为允许第三角色访问，第一业务为多种业务中的任意一种、且多种业务包括目标业务；

获取业务提供者创建的第三角色的第二访问权限，其中，第二访问权限用于指示第三角色对所有区块链节点的访问权限，在第二访问权限指示允许第三角色对所有区块链节点中的第三区块链节点进行访问的情况下，第三区块链的状态被设置为允许第三角色访问；

获取业务提供者创建的第三角色的第三访问权限，其中，第三访问权限用于指示第三角色对多种业务数据的访问权限，在第三访问权限指示允许第三角色对第一业务数据进行访问的情况下，区块链节点上第一业务数据的状态被设置为允许第三角色访问，第一业务数据为多种业务数据中的任意一种，多种业务数据为多种业务的业务数据；

获取业务提供者创建的第三角色的第四访问权限，其中，第四访问权限用于指示第三角色对第二业务数据的访问权限，在第四访问权限指示允许第三角色对第二业务数据进行访问的情况下，区块链节点上第二业务数据的状态被设置为允许第三角色访问，第二业务数据为多种业务的业务数据中业务提供者指定的业务数据；

获取业务提供者创建的第三角色的第五访问权限，其中，第五访问权限用于指示第三角色对第四区块链节点的访问权限，在第五访问权限指示允许第三角色对第四区块链节点进行访问的情况下，第四区块链的状态被设置为允许第三角色写入数据。

可选地，本申请的装置还可包括，创建单元，用于在为目标业务配置用于保存权限数据的目标区块链节点的同时或之后，为目标业务创建索引列表，其中，索引列表指示通过最新创建的目标区块链节点来索引角色的访问权限。

可选地，鉴权单元可包括：鉴权模块，用于通过访问请求中的数字签名对第一帐号进行鉴权；确定模块，用于在第一帐号通过鉴权的情况下，根据目标区块链节点的权限数据确定第一帐号的第一访问权限。

上述确定模块还可以：通过权限管理智能合约，从索引列表中查询到第五区块链节点，其中，第五区块链节点为目标区块链节中保存有第一帐号的访问权限的区块链节点；从第五区块链节点中查找与第一帐号的角色匹配的第一访问权限。

本申请的装置还可包括，证书申请单元，用于在通过访问请求中的数字签名对第一帐号进行鉴权之前，在接收到第一帐号的证书请求的情况下，通过数字认证中心为第一帐号颁发数字证书，其中，数字证书用于进行数字签名。

采用本申请的实施例，可以和业务系统进行共同协作，即根据开发的业务系统的功能，来有针对性的进行权限设定，因此实现了动态的、可扩展的权限/角色管理模型，补齐了公有链所不具备的权限管理模式，完备了联盟链所不具备的细粒度控制；同时，基于区块链技术进行权限数据保存，可以实现权限数据上链后的不可篡改性和可追溯性，提高了系统的安全性和可靠性。

此处需要说明的是，上述模块与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例所公开的内容。需要说明的是，上述模块作为装置的一部分可以运行在如图1所示的硬件环境中，可以通过软件实现，也可以通过硬件实现，其中，硬件环境包括网络环境。

根据本发明实施例的一个方面，还提供了一种区块链访问的鉴权系统，如图11所示，上述鉴权系统包括：

控制中心1102，用于获取第一账号发送的请求对区块链数据进行访问的访问请求，其中，所述访问请求中包括所述第一账号所要访问的第一功能与所述第一账号的用户证书；

所述控制中心1102还用于验证所述访问请求中携带的用户证书；

所述控制中心1102还用于在所述用户证书验证成功的情况下，向索引系统获取所述第一账号的权限信息在所述区块链中的位置；

所述控制中心1102还用于将所述权限信息在所述区块链中的位置发送给权限管理职能合约1104；

所述权限管理智能合约1104用于读取所述权限信息在所述区块链中的位置处的所述第一账号的所述权限信息；

所述权限管理智能合约1104还用于使用所述权限信息对所述第一账号所要访问的第一功能进行鉴权，并将得到的鉴权结果发送给所述控制中心；

所述控制中心1102还用于根据所述鉴权结果允许所述第一账号访问所述第一功能或者所述控制中心根据所述鉴权结果拒绝所述第一账号访问所述第一功能。

可选地，本方案的实施过程可以如图7所示的步骤S702到步骤S716 所示。步骤S702，客户端向控制中心发起请求，控制中心验证用户证书；请求信息中带有用户的基本元数据(如用户ID等)、用户签名和需要访问的功能项目等；

步骤S704，若数字证书验证失败(如用户非法或证书过期)，则返回验证失败的提示；

步骤S706，若验证成功，则通过控制中心向索引系统发起请求，根据用户的ID查询该用户权限信息在区块链上的位置；

步骤S708，若索引查询失败，则返回失败信息；

步骤S710，若索引查询成功，则将索引数据发送给权限管理智能合约，智能合约通过索引访问区块链上的数据，读入所对应的权限明细；

步骤S712，权限管理智能合约根据权限规则引擎，利用权限区块链对用户所要访问的功能项进行鉴权；

步骤S714，返回校验的结果给控制中心；

步骤S716，控制中心根据校验的结果来决定用户是否具有访问权限，如果具备权限，则可以访问相应的功能模块。

采用本申请的实施例，可以和业务系统进行共同协作，即根据开发的业务系统的功能，来有针对性的进行权限设定，因此实现了动态的、可扩展的权限/角色管理模型，补齐了公有链所不具备的权限管理模式，完备了联盟链所不具备的细粒度控制；同时，基于区块链技术进行权限数据保存，可以实现权限数据上链后的不可篡改性和可追溯性，提高了系统的安全性和可靠性。

本方案中的其他实施方式可以参照上述实施例中记载的内容，在此不做赘述。

根据本发明实施例的另一个方面，还提供了一种用于实施上述区块链访问的鉴权方法的服务器或终端。

图12是根据本发明实施例的一种终端的结构框图，如图12所示，该终端可以包括：一个或多个(图12中仅示出一个)处理器1201、存储器 1203、以及传输装置1205(如上述实施例中的发送装置)，如图12所示，该终端还可以包括输入输出设备1207。

其中，存储器1203可用于存储软件程序以及模块，如本发明实施例中的区块链访问的鉴权方法和装置对应的程序指令/模块，处理器1201通过运行存储在存储器1203内的软件程序以及模块，从而执行各种功能应用以及数据处理，即实现上述的区块链访问的鉴权方法。存储器1203可包括高速随机存储器，还可以包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器 1203可进一步包括相对于处理器1201远程设置的存储器，这些远程存储器可以通过网络连接至终端。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

上述的传输装置1205用于经由一个网络接收或者发送数据，还可以用于处理器与存储器之间的数据传输。上述的网络具体实例可包括有线网络及无线网络。在一个实例中，传输装置1205包括一个网络适配器 (Network Interface Controller，NIC)，其可通过网线与其他网络设备与路由器相连从而可与互联网或局域网进行通讯。在一个实例中，传输装置 1205为射频(Radio Frequency，RF)模块，其用于通过无线方式与互联网进行通讯。

其中，具体地，存储器1203用于存储应用程序。

处理器1201可以通过传输装置1205调用存储器1203存储的应用程序，以执行下述步骤：

获取第一帐号的访问请求，其中，访问请求用于第一帐号请求对业务区块链节点进行访问；

响应于访问请求，基于目标区块链节点上保存的权限数据确定第一帐号所属的角色的第一访问权限，其中，目标区块链节点的数据写入权限在写入保存的权限数据后关闭；

在第一访问权限指示允许第一帐号对业务区块链节点进行访问的情况下，将业务区块链节点的状态设置为允许第一帐号访问。

处理器1201还用于执行下述步骤：

获取业务提供者创建的第三角色的第一访问权限，其中，第一访问权限用于指示第三角色对多种业务的访问权限，在第一访问权限指示允许第三角色对多种业务中的第一业务进行访问的情况下，用于保存第一业务的业务数据的所有区块链节点的状态被设置为允许第三角色访问，第一业务为多种业务中的任意一种、且多种业务包括目标业务；

获取业务提供者创建的第三角色的第二访问权限，其中，第二访问权限用于指示第三角色对所有区块链节点的访问权限，在第二访问权限指示允许第三角色对所有区块链节点中的第三区块链节点进行访问的情况下，第三区块链的状态被设置为允许第三角色访问；

获取业务提供者创建的第三角色的第三访问权限，其中，第三访问权限用于指示第三角色对多种业务数据的访问权限，在第三访问权限指示允许第三角色对第一业务数据进行访问的情况下，区块链节点上第一业务数据的状态被设置为允许第三角色访问，第一业务数据为多种业务数据中的任意一种，多种业务数据为多种业务的业务数据；

获取业务提供者创建的第三角色的第四访问权限，其中，第四访问权限用于指示第三角色对第二业务数据的访问权限，在第四访问权限指示允许第三角色对第二业务数据进行访问的情况下，区块链节点上第二业务数据的状态被设置为允许第三角色访问，第二业务数据为多种业务的业务数据中业务提供者指定的业务数据；

获取业务提供者创建的第三角色的第五访问权限，其中，第五访问权限用于指示第三角色对第四区块链节点的访问权限，在第五访问权限指示允许第三角色对第四区块链节点进行访问的情况下，第四区块链的状态被设置为允许第三角色写入数据。

采用本发明实施例，在获取到第一帐号的访问请求时，基于目标区块链节点上保存的权限数据确定第一帐号所属的角色的第一访问权限，在第一访问权限指示允许第一帐号对业务区块链节点进行访问的情况下，将业务区块链节点的状态设置为允许第一帐号访问，前述目标区块链节点的数据写入权限在写入保存的权限数据后关闭，也即本申请基于区块链技术进行权限数据保存，保证了权限数据上链后的不可篡改性和可追溯性，可以解决相关技术中的权限数据的安全性较低的技术问题，进而达到提高系统的安全性和可靠性的技术效果。

可选地，本实施例中的具体示例可以参考上述实施例中所描述的示例，本实施例在此不再赘述。

本领域普通技术人员可以理解，图12所示的结构仅为示意，终端可以是智能手机(如Android手机、iOS手机等)、平板电脑、掌上电脑以及移动互联网设备(Mobile InternetDevices，MID)、PAD等终端设备。图 12其并不对上述电子装置的结构造成限定。例如，终端还可包括比图12 中所示更多或者更少的组件(如网络接口、显示装置等)，或者具有与图12所示不同的配置。

本领域普通技术人员可以理解上述实施例的各种方法中的全部或部分步骤是可以通过程序来指令终端设备相关的硬件来完成，该程序可以存储于一计算机可读存储介质中，存储介质可以包括：闪存盘、只读存储器 (Read-Only Memory，ROM)、随机存取器(Random Access Memory，RAM)、磁盘或光盘等。

本发明的实施例还提供了一种存储介质。可选地，在本实施例中，上述存储介质可以用于执行区块链访问的鉴权方法的程序代码。

可选地，在本实施例中，上述存储介质可以位于上述实施例所示的网络中的多个网络设备中的至少一个网络设备上。

可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：

S11，获取第一帐号的访问请求，其中，访问请求用于第一帐号请求对业务区块链节点进行访问；

S12，响应于访问请求，基于目标区块链节点上保存的权限数据确定第一帐号所属的角色的第一访问权限，其中，目标区块链节点的数据写入权限在写入保存的权限数据后关闭；

S13，在第一访问权限指示允许第一帐号对业务区块链节点进行访问的情况下，将业务区块链节点的状态设置为允许第一帐号访问。

可选地，存储介质还被设置为存储用于执行以下步骤的程序代码：

S21，获取业务提供者创建的第三角色的第一访问权限，其中，第一访问权限用于指示第三角色对多种业务的访问权限，在第一访问权限指示允许第三角色对多种业务中的第一业务进行访问的情况下，用于保存第一业务的业务数据的所有区块链节点的状态被设置为允许第三角色访问，第一业务为多种业务中的任意一种、且多种业务包括目标业务；

S22，获取业务提供者创建的第三角色的第二访问权限，其中，第二访问权限用于指示第三角色对所有区块链节点的访问权限，在第二访问权限指示允许第三角色对所有区块链节点中的第三区块链节点进行访问的情况下，第三区块链的状态被设置为允许第三角色访问；

S23，获取业务提供者创建的第三角色的第三访问权限，其中，第三访问权限用于指示第三角色对多种业务数据的访问权限，在第三访问权限指示允许第三角色对第一业务数据进行访问的情况下，区块链节点上第一业务数据的状态被设置为允许第三角色访问，第一业务数据为多种业务数据中的任意一种，多种业务数据为多种业务的业务数据；

S24，获取业务提供者创建的第三角色的第四访问权限，其中，第四访问权限用于指示第三角色对第二业务数据的访问权限，在第四访问权限指示允许第三角色对第二业务数据进行访问的情况下，区块链节点上第二业务数据的状态被设置为允许第三角色访问，第二业务数据为多种业务的业务数据中业务提供者指定的业务数据；

S25，获取业务提供者创建的第三角色的第五访问权限，其中，第五访问权限用于指示第三角色对第四区块链节点的访问权限，在第五访问权限指示允许第三角色对第四区块链节点进行访问的情况下，第四区块链的状态被设置为允许第三角色写入数据。

可选地，本实施例中的具体示例可以参考上述实施例中所描述的示例，本实施例在此不再赘述。

可选地，在本实施例中，上述存储介质可以包括但不限于：U盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

上述实施例中的集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在上述计算机可读取的存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在存储介质中，包括若干指令用以使得一台或多台计算机设备(可为个人计算机、服务器或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。

在本发明的上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

在本申请所提供的几个实施例中，应该理解到，所揭露的客户端，可通过其它的方式实现。其中，以上所描述的装置实施例仅仅是示意性的，例如所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，单元或模块的间接耦合或通信连接，可以是电性或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (14)

1.一种区块链访问的鉴权方法，其特征在于，包括：

控制中心获取第一账号发送的请求对区块链数据进行访问的访问请求，其中，所述访问请求中包括所述第一账号所要访问的第一功能与所述第一账号的用户证书；

所述控制中心验证所述访问请求中携带的用户证书；

在所述用户证书验证成功的情况下，所述控制中心向索引系统获取所述第一账号的权限信息在所述区块链中的位置；

所述控制中心将所述权限信息在所述区块链中的位置发送给权限管理智能合约；

所述权限管理智能合约读取所述权限信息在所述区块链中的位置处的所述第一账号的所述权限信息；

所述权限管理智能合约使用所述权限信息对所述第一账号所要访问的第一功能进行鉴权，并将得到的鉴权结果发送给所述控制中心；

所述控制中心根据所述鉴权结果允许所述第一账号访问所述第一功能或者所述控制中心根据所述鉴权结果拒绝所述第一账号访问所述第一功能。

2.根据权利要求1所述的方法，其特征在于，在所述控制中心验证所述访问请求中携带的用户证书之后，还包括：

在所述用户证书验证失败的情况下，所述控制中心向所述第一账号发送第一消息，其中，所述第一消息用于指示所述用户证书非法或过期。

3.根据权利要求1所述的方法，其特征在于，所述访问请求中还携带有所述第一账号的账号ID，在所述用户证书验证成功的情况下，所述控制中心向索引系统获取所述第一账号的权限信息在所述区块链中的位置包括：

所述控制中心将所述账号ID发送给所述索引系统；

在索引查询成功的情况下，所述控制中心接收所述索引系统返回的所述第一账号的权限信息在所述区块链中的位置。

4.根据权利要求3所述的方法，其特征在于，在所述控制中心将所述账号ID发送给所述索引系统之后，还包括：

在所述索引查询失败的情况下，所述控制中心接收所述索引系统返回的失败信息。

5.根据权利要求3所述的方法，其特征在于，在所述控制中心将所述账号ID发送给所述索引系统之后，还包括：

所述索引系统使用所述第一账号的账号ID查找所述第一账号的权限信息在所述区块链中的位置；

在查找到所述位置的情况下，确定索引查询成功，在未查找到所述位置的情况下，确定索引查询失败。

6.根据权利要求1-5任意一项所述的方法，其特征在于，所述权限管理智能合约使用所述权限信息对所述第一账号所要访问的第一功能进行鉴权包括：

权限管理智能合约根据权限规则引擎，利用权限区块链对所述第一账号所要访问的所述第一功能进行鉴权。

7.一种区块链访问的鉴权系统，其特征在于，包括：

控制中心，用于获取第一账号发送的请求对区块链数据进行访问的访问请求，其中，所述访问请求中包括所述第一账号所要访问的第一功能与所述第一账号的用户证书；

所述控制中心还用于验证所述访问请求中携带的用户证书；

所述控制中心还用于在所述用户证书验证成功的情况下，向索引系统获取所述第一账号的权限信息在所述区块链中的位置；

所述控制中心还用于将所述权限信息在所述区块链中的位置发送给权限管理职能合约；

所述权限管理智能合约用于读取所述权限信息在所述区块链中的位置处的所述第一账号的所述权限信息；

所述权限管理智能合约还用于使用所述权限信息对所述第一账号所要访问的第一功能进行鉴权，并将得到的鉴权结果发送给所述控制中心；

所述控制中心还用于根据所述鉴权结果允许所述第一账号访问所述第一功能或者所述控制中心根据所述鉴权结果拒绝所述第一账号访问所述第一功能。

8.根据权利要求7所述的系统，其特征在于，

所述控制中心还用于验证所述访问请求中携带的用户证书之后，在所述用户证书验证失败的情况下，向所述第一账号发送第一消息，其中，所述第一消息用于指示所述用户证书非法或过期。

9.根据权利要求7所述的系统，其特征在于，所述访问请求中还携带有所述第一账号的账号ID，

所述控制中心还用于在所述用户证书验证成功的情况下，将所述账号ID发送给所述索引系统；在索引查询成功的情况下，接收所述索引系统返回的所述第一账号的权限信息在所述区块链中的位置。

10.根据权利要求9所述的系统，其特征在于，

所述控制中心还用于在将所述账号ID发送给所述索引系统之后，在所述索引查询失败的情况下，接收所述索引系统返回的失败信息。

11.根据权利要求9所述的系统，其特征在于，

所述索引系统还用于在所述控制中心将所述账号ID发送给所述索引系统之后，使用所述第一账号的账号ID查找所述第一账号的权限信息在所述区块链中的位置，在查找到所述位置的情况下，确定索引查询成功，在未查找到所述位置的情况下，确定索引查询失败。

12.根据权利要求7-11任意一项所述的系统，其特征在于，

所述权限管理智能合约还用于根据权限规则引擎，利用权限区块链对所述第一账号所要访问的所述第一功能进行鉴权。

13.一种存储介质，其特征在于，所述存储介质包括存储的程序，其中，所述程序运行时执行上述权利要求1至6任一项中所述的方法。

14.一种电子装置，包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，其特征在于，所述处理器通过所述计算机程序执行上述权利要求1至6任一项中所述的方法。