CN110826027B

CN110826027B - 一种计算机软件用户权限分配方法和系统

Info

Publication number: CN110826027B
Application number: CN201910936891.4A
Authority: CN
Inventors: 王若舟
Original assignee: Fiberhome Telecommunication Technologies Co Ltd
Current assignee: Fiberhome Telecommunication Technologies Co Ltd
Priority date: 2019-09-29
Filing date: 2019-09-29
Publication date: 2021-11-09
Anticipated expiration: 2039-09-29
Also published as: CN110826027A

Abstract

本发明属于计算机软件安全技术领域，公开了一种计算机软件权限分配方法和系统，按照各界面元素之间的依赖关系为软件的界面元素构建树状的界面元素模型，将每个界面元素依赖的API接口绑定到该模型的节点上；为某角色授权时，将界面元素模型中的非树根节点的若干节点关联到该角色；根据该角色关联的直接权限节点推导出间接权限节点并关联到该角色；该角色关联的所有直接权限节点和间接权限节点的并集作为该角色的界面元素权限；根据该角色关联的所有直接权限节点和间接权限节点生成API接口权限；当接收到用户使用软件的请求，依照用户角色的界面元素权限，只展示用户有权看见的界面元素；向服务端发起请求时，服务端依照用户角色的API接口权限进行认证。

Description

一种计算机软件用户权限分配方法和系统

技术领域

本发明属于计算机软件安全技术领域，公开了一种计算机软件用户权限分配方法和系统。

背景技术

计算机软件尤其是管理型软件通常需要针对不同用户角色分配不同的权限。权限一般包括两类：一类是界面元素的可见性权限，例如针对不同的角色，可以看见界面上不同的操作按钮；另一类是API接口访问权限，例如在Web网站中不同角色有权调用的HTTP/HTTPS接口不同；这里API接口是指客户端向服务器发起的数据请求，在Web系统中，指从浏览器向Web服务器发起的HTTP(S)请求；在桌面软件中指从应用程序向服务器后台发起的请求；在移动端中指从手机APP向服务器后台发起的请求。

在现有方法对计算机软件权限的分配和控制方式包括：

1、通过配置角色和界面元素的对应关系，针对界面元素进行权限分配和控制；这种方式的缺陷在于仅在界面层保护了软件资源不被无权用户使用，但是无法防范用户绕过页面，通过直接发送服务器请求的方式(例如使用postman等工具)获取数据，安全性较弱。

2、针对API接口进行权限分配和控制，当不具备某API接口权限的用户操作界面时，给出权限不足响应；这种方法尽管满足了安全性，但将用户本来无权使用的界面元素暴露给用户，不够友好。

3、分别对界面元素可见性和API接口进行权限分配。这种方式的缺陷在于需要独立做两次授权，大大增加了软件管理员为角色指派权限的工作量，易用性差，且软件实现复杂度高。

发明内容

针对现有技术的以上缺陷或改进需求，本发明提供了一种计算机软件用户权限分配方法和系统，其目的在于通过一次权限设置同时完成界面元素可见性权限和API接口权限分配。

为实现上述目的，按照本发明的一个方面，提供了计算机软件用户权限分配方法，包括：

(1)按照各界面元素之间的依赖关系为软件的界面元素构建树状的界面元素模型，每个界面元素都是树状的界面元素模型中的一个节点；

(2)将每个界面元素依赖的API接口绑定到树状的界面元素模型的节点上；

(3)为某角色授权时，将该界面元素模型中的非树根节点的若干节点关联到该角色，这些节点称为直接权限节点；

(4)根据该角色关联的每个直接权限节点推导出间接权限节点，并将这些间接权限节点也关联到该角色；该角色关联的所有直接权限节点和间接权限节点的并集作为该角色的界面元素权限；

(5)根据该角色关联的所有直接权限节点和间接权限节点生成API接口权限；具体是将每个节点绑定的API接口做并集，合并重复出现的API接口，得出该角色的API权限列表；

(6)当用户使用软件时，依照用户角色拥有的界面元素权限，只展示用户有权看见的界面元素；当向服务端发起请求时，服务端依照用户角色拥有的API接口权限进行认证。

优选地，上述计算机软件用户权限分配方法，判断界面元素与API接口是否“依赖”的原则为：如果呈现该界面元素需要通过API接口获取必要数据，则判定为界面元素依赖此API接口；如果用户和界面元素进行交互会触发API接口，也判定为依赖此API接口。

优选地，上述计算机软件用户权限分配方法，不依赖API接口的界面元素不绑定API接口；需要依赖多个API接口的界面元素绑定多个API接口。

优选地，上述计算机软件用户权限分配方法，间接权限节点的推导方法包括：

(a)北向推导；从模型根节点到该直接权限节点路径上的所有节点均作为间接权限节点；

和(b)南向推导；以直接权限节点为根，向下深度或广度遍历至所有末梢节点形成的子树上的所有节点都作为间接权限节点。

为实现本发明目的，按照本发明的另一个方面，提供了一种计算机软件用户权限分配系统，包括：

模型构建模块，用于建立界面元素和API接口关联模型；

权限生成模块，用于为角色分配节点权限、生成具体的界面元素权限和API接口权限；

权限控制模块，用于依照权限生成模块最终生成的界面元素权限和API接口权限在用户使用时进行校验。

优选的，上述计算机软件用户权限分配系统，其模型构建模块包括：

界面元素树构建子模块，用于依照界面元素层次关系生成具有单根节点、不限深度的界面元素关系树；

以及API接口绑定子模块，用于依照界面元素对API接口的依赖关系，将一个或者多个API接口绑定到树状模型的节点上。

优选的，上述计算机软件用户权限分配系统，其权限生成模块包括：

角色配置子模块，提供给软件管理员为角色关联模型中的节点，这些节点即为直接权限节点；

界面元素权限生成子模块，用于找到所有间接权限节点，并汇总生成角色的界面元素可见性权限；

以及API接口权限生成子模块，通过API接口和节点的绑定关系汇总生成角色的API接口权限。

优选的，上述计算机软件用户权限分配系统，其权限控制模块包括：

界面元素权限控制子模块；用于依照用户角色的最终界面元素权限列表展示有权的界面元素，无权可见的界面元素则不展示；

以及API接口权限控制子模块；用于在服务端收到来自于用户的API接口调用请求时，根据该API接口是否在用户角色的API接口权限列表中来确定拒绝该请求还是放行该请求。

总体而言，通过本发明所构思的以上技术方案与现有技术相比，能够取得下列有益效果：

(1)本发明提供的计算机软件用户权限分配方法及系统通过API接口和界面元素的绑定，只需要对角色赋予界面元素树中节点权限就能自动推导出角色的界面元素权限和API接口权限，克服了现有技术分两次单独为界面元素和API接口授权的繁琐。

(2)本发明提供的计算机软件用户权限分配方法及系统，基于界面元素模型，能按照任意粒度(在树状的界面元素模型中不同层级上)定义界面元素可见权限。

(3)通过本发明提供的计算机软件用户权限分配方法及系统，只需要选取界面元素树上部分节点关联的角色，通过北向推导和南向推导，就能自动找到所有关联的间接权限节点并和角色绑定，降低了给角色授权的操作复杂度。

(4)本发明提供的计算机软件用户权限分配方法及系统，将软件管理员更容易理解的界面元素权限暴露给管理员进行分配，而隐藏了软件管理员不易理解的API接口权限，提升了软件的易用性。

附图说明

图1是本发明实施例中树状的界面元素模型的结构示意图；

图2是实施例中的界面元素与依赖的API接口绑定到模型节点的示意图；

图3是实施例中北向推导间接权限节点的示意图；

图4是实施例中南向推导间接权限节点的示意图；

图5是实施例提供的计算机软件用户权限分配系统的架构示意图；

图6是实例中的软件界面示意图；

图7是对图6所示意的软件构建界面元素模型的流程示意图；

图8是对图6所示意的软件构建树状模型的第一层节点的示意图；

图9是对图6所示意的软件构建树状模型的第二层节点的示意图；

图10是对图6所示意的软件构建树状模型的第三层节点的示意图；

图11是对图6所示意的软件构建树状模型的第四层节点的示意图；

图12是对图6所示意的软件构建的界面元素树状模型(绑定API接口后)的示意图；

图13是实例中对某角色进行授权的流程示意图；

图14是实例中角色的最终界面元素权限示意图；

图15是实例中软件判断用户权限的流程示意图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。此外，下面所描述的本发明各个实施方式中所涉及到的技术特征只要彼此之间未构成冲突就可以相互组合。

本发明实施例提供的计算机软件用户权限分配方法包括：

(1)按照各个界面元素之间的依赖关系为软件中的界面元素构建树状的界面元素模型，每个界面元素都是树状的界面元素模型中的一个节点。例如参照图1，第一层节点是软件导航菜单的功能链接；第二层节点是进入某功能页面后呈现的表格、Tab页签、按钮；第三层是点击某按钮，弹出对话框中呈现的表单、确认按钮；以此类推直至完成树状界面元素模型的构建。

(2)将每一个界面元素依赖的API接口绑定到树状界面元素模型的节点上。在一个优选实施例中，判断是否“依赖”的原则是：如果呈现该界面元素需要通过API接口获取必要数据，则判定为依赖此API接口；如果该用户和界面元素进行交互譬如点击按钮会触发API接口，也判定为依赖此API接口；具体绑定关系参照图2。在一个优选实施例中，对于不依赖API接口的界面元素譬如静态数据界面可以不绑定API接口；对于需要依赖多个API接口的界面元素，可以绑定多个API接口。

(3)为某角色授权时，将上述树状界面元素模型中的若干节点(不含树根节点)关联到该角色，这些节点称为直接权限节点；

(4)根据该角色关联的每个直接权限节点推导出间接权限节点，并将这些间接权限节点也关联到该角色；在优选实施例中，间接权限节点的推导方式包括以下两种：

(a)北向推导；从模型根节点到该直接权限节点路径上的所有节点均视为间接权限节点；参照图3示意的，将界面要素H节点关联到某角色时，H节点为直接权限节点，从树根到H节点之间路径上的B、F节点均视为间接权限节点；

(b)南向推导；以该直接权限节点为根，向下深度或广度遍历至所有末梢节点形成的子树上的所有节点都视为间接权限节点，参照图4示意的，将F节点关联到某角色时，F节点为直接权限节点，以F节点为根节点向下遍历生成的子树上所有节点H、I、J、K均为间接权限节点。

(5)该角色关联的所有直接权限节点和间接权限节点的并集即为该角色的界面元素权限。

(6)根据该角色关联的所有直接权限节点和间接权限节点生成API接口权限；生成方式是：将每一个节点绑定的API接口做并集，合并重复出现的API接口，得出该角色的API权限列表，具体公式如下：

最终API权限＝{所有直接权限节点绑定的API权限}∪{所有间接权限节点绑定的API权限}；

(7)当用户使用软件时，软件依照用户角色拥有的界面元素权限，只展示用户有权看见的界面元素。

(8)当从界面或其它手段(利用借助postman等工具)向服务端(服务器后台)发起请求时，服务端依照用户角色拥有的API接口权限进行认证。

参照图5，实施例提供的计算机软件用户权限分配系统包括：

模型构建模块，用于建立界面元素和API接口关联模型；

在一个优选实施例中，模型构建模块包括两个子模块：

界面元素树构建子模块，用于依照界面元素层次关系生成具有单根节点、不限深度的界面元素关系树。

API接口绑定子模块，用于依照界面元素对API接口的依赖关系，将一个或者多个API接口绑定到树状模型的节点上。

在一个优选实施例中，权限生成模块包括三个子模块：

角色配置子模块，用于软件管理员为角色关联模型中的节点权限。

界面元素权限生成子模块，通过北向推导方法和南向推导方法，找到所有的间接权限节点，并汇总生成角色的最终界面元素可见性权限。

API接口权限生成子模块，通过API接口和节点的绑定关系汇总生成角色的最终API接口权限。

在一个优选实施例中，权限控制模块包括两个子模块：

界面元素权限控制子模块；软件依照用户角色的最终界面元素权限列表展示有权的界面元素，无权可见的界面元素则不展示。

API接口权限控制子模块；当服务端收到来自于用户的API接口调用请求时，如果该API接口不在用户角色的最终API接口权限列表中，则拒绝此请求，反之放行。

以下结合对图6所示意的软件进行界面元素和API接口授权的具体实例对本发明的具体实施方案作进一步说明。

(1)将界面元素拆解为树状模型并注册到界面元素模型构建子模块；对构建界面元素模型的流程参照图7，包括：

S101：将软件一级功能页面即左侧导航树对应的页面作为树状模型的第一层节点构建界面元素模型，参照图8；

S102：以“存储卷管理”为例，将此功能页面通过三个Tab页签做进一步拆分，作为构建的界面元素模型的第二层节点，参照图9；

S103：以其中的“信息Tab页”为例，针对包含的界面元素进行进一步拆分并填充到树状模型中，形成界面元素模型的第三层节点，参照图10；

S104：以“创建对话框”为例，将“创建对话框”中的界面元素剔除纯界面静态元素后进一步拆分，形成界面元素模型的第四层节点，参照图11；本实施例中拆分到此即为最底层的界面元素，在更复杂的软件场景下，可以进一步进行拆分。

S105：将树状模型中每一个界面元素节点依赖的API接口绑定到节点上；至此，完成界面元素树状模型的构建，参照图12。

(2)对某角色进行授权，流程参照图13，包括：

S201：将信息Tab页(树中M节点)授权给该角色；M节点即为“直接权限节点”。

S202：进行北向推导，从界面元素模型树的根节点到M节点的之间的所有节点均是“间接权限节点”，即包括B节点。

S203：进行南向推导，以M节点为根节点向下遍历获得的子树上的所有节点均为“间接权限节点”，即包括O、P、Q、R、S节点。

S204：将上述步骤获得的所有“直接权限节点”和“间接权限节点”取并集获得该角色的最终界面元素权限：{M}∪{B}∪{O,P,Q,R,S}。

S205：参照图14，通过该角色的最终界面元素权限找到每一个节点绑定的API接口，然后求并集获得该角色的最终API接口权限：{a}∪{b}∪{c}∪{d}。

(3)判断用户权限，参照图15所示意的，包括：

S301、当用户登录软件后，软件的界面元素权限控制子模块仅显示用户可见的界面元素{M,B,O,P,Q,R,S}，即只能看见左侧导航树中的“存储卷管理”节点，在点击该节点进入功能页面后，仅可见“信息”Tab页。

S302：当用户发起API接口调用时，API接口权限控制子模块校验用户尝试调用的API接口是否在该角色的最终API接口权限{a,b,c,d}中；例如，如果用户尝试调用日志管理的API接口f，而该API接口f不在该用户的最终API接口权限列表中，则阻止该接口。

本发明提供的计算机软件用户权限分配方法及系统，通过API接口和界面元素的绑定，只需要对角色赋予界面元素树中节点权限，就能自动推导出角色的界面元素权限和API接口权限；这种方式通过一次权限设置，同时完成界面元素可见性权限与API接口权限分配；且这种基于界面元素模型的分配，能达到按照任意粒度来定义界面元素可见权限的效果。

本领域的技术人员容易理解，以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims

1.一种计算机软件用户权限分配方法，其特征在于，包括：

(1)按照各界面元素之间的依赖关系为软件的界面元素构建树状的界面元素模型，每个界面元素都是树状的界面元素模型中的节点；

(2)将每个界面元素依赖的API接口绑定到所述界面元素模型的节点上；

(3)为某角色授权时，将所述界面元素模型中的非树根节点的若干节点关联到该角色，这些节点即为直接权限节点；

(6)当接收到用户使用软件的请求，依照用户角色拥有的界面元素权限，只展示用户有权看见的界面元素；当向服务端发起请求时，服务端依照用户角色拥有的API接口权限进行认证。

2.如权利要求1所述的计算机软件用户权限分配方法，其特征在于，判断界面元素与API接口是否“依赖”的原则为：如果呈现该界面元素需要通过API接口获取必要数据，则判定为界面元素依赖此API接口；如果用户和界面元素进行交互会触发API接口，也判定为界面元素依赖此API接口。

3.如权利要求1或2所述的计算机软件用户权限分配方法，其特征在于，不依赖API接口的界面元素不绑定API接口；需要依赖多个API接口的界面元素绑定多个API接口。

4.如权利要求1或2所述的计算机软件用户权限分配方法，其特征在于，间接权限节点的推导方法包括：

(b)南向推导；以直接权限节点为根，向下深度或广度遍历至所有末梢节点形成的子树上的所有节点都作为间接权限节点。

5.一种计算机软件用户权限分配系统，其特征在于，包括：

模型构建模块，用于建立界面元素和API接口关联模型；

权限控制模块，用于依照权限生成模块最终生成的界面元素权限和API接口权限在用户使用时进行校验；

所述权限生成模块包括：

角色配置子模块，提供给软件管理员为角色关联模型中的节点权限；

6.如权利要求5所述的计算机软件用户权限分配系统，其特征在于，所述模型构建模块包括：

7.如权利要求5或6所述的计算机软件用户权限分配系统，其特征在于，所述权限控制模块包括：

8.一种计算机软件用户权限分配系统，其特征在于，包括处理器、存储器、以及存储在所述存储器中并可在所述处理器上运行的计算机程序；该计算机程序被处理器执行时实现如权利要求1～4任一项所述的方法。