CN110895537A - 自由查询权限控制的方法及装置 - Google Patents

Abstract

本发明提供了一种自由查询权限控制的方法及装置。所述方法包括：获取用户提交的SQL语句，根据语法及词法分析所述SQL语句中涉及的访问对象名称及访问字段名称；根据所述访问对象名称及所述访问字段名称匹配用户权限，确定用户权限范围；根据预设权限设置，动态控制所述用户权限范围。本发明实现对自由查询执行的权限控制，针对用户提交执行的语句进行权限验证，只返回权限范围内的查询，控制生产数据的使用范围，同时解决数据权限管理过程中的各类权限管理、分配、回收，灵活适用各种权限使用的场景。

Description

自由查询权限控制的方法及装置

技术领域

本发明涉及权限控制技术领域，尤指一种自由查询权限控制的方法及装置。

背景技术

当前各类数据仓库系统包含数据量越来越大，使用系统的用户也逐渐从专业开发人员至业务人员直接使用过渡。与数据仓库相应的BI(Business Intelligence)系统也从传统CS(Client/Server)结构逐步转向BS(Brower/Serve)架构。在BI前端功能中，用户在日常数据查询中需要对各类数据进行灵活查询，此时一般采用预定义查询及编写sql语句的方式来实现，sql语法简单、用法自由灵活，大大提高了数据获取的效率、降低获取数据的开发难度。针对此类系统上进行的自定义sql操作称为自由查询。在使用BI系统时，用户使用自由查询的方式对数据库中的表与视图进行读取时，需要对当前用户的权限进行判别及控制。目前现有的权限控制一般对对象的识别为关键字查询，无法保证准确性，对权限的控制同样是通过关键字的替换来实现，无法满足精细化的控制表、视图、字段的目的。

发明内容

为了解决上述问题，本发明实施例提供一种自由查询权限控制的方法，所述方法包括：

获取用户提交的SQL语句，根据语法及词法分析所述SQL语句中涉及的访问对象名称及访问字段名称；

根据所述访问对象名称及所述访问字段名称匹配用户权限，确定用户权限范围；

根据预设权限设置，动态控制所述用户权限范围。

可选的，在本发明一实施例中，所述方法还包括：对所述SQL语句进行异常检测。

可选的，在本发明一实施例中，所述根据预设权限设置，动态控制所述用户权限范围包括：根据预设权限设置，判断所述用户权限范围针对对象访问是否属于对象部分权限；若所述用户权限范围属于对象部分权限，则动态修改针对相应对象的访问权限，以控制所述用户权限范围。

可选的，在本发明一实施例中，所述根据预设权限设置，动态控制所述用户权限范围包括：根据预设权限设置，判断所述用户权限范围针对字段访问是否属于字段部分权限；若所述用户权限范围属于字段部分权限，则动态修改针对相应字段的访问权限，以控制所述用户权限范围。

本发明实施例还提供一种自由查询权限控制的装置，所述装置包括：

语句获取模块，用于获取用户提交的SQL语句，根据语法及词法分析所述SQL语句中涉及的访问对象名称及访问字段名称；

权限范围模块，用于根据所述访问对象名称及所述访问字段名称匹配用户权限，确定用户权限范围；

权限控制模块，用于根据预设权限设置，动态控制所述用户权限范围。

可选的，在本发明一实施例中，所述装置还包括：异常检测模块，用于对所述SQL语句进行异常检测。

可选的，在本发明一实施例中，所述权限控制模块包括：第一判断单元，用于根据预设权限设置，判断所述用户权限范围针对对象访问是否属于对象部分权限；第一权限控制单元，用于若所述用户权限范围属于对象部分权限，则动态修改针对相应对象的访问权限，以控制所述用户权限范围。

可选的，在本发明一实施例中，所述权限控制模块包括：第二判断单元，用于根据预设权限设置，判断所述用户权限范围针对字段访问是否属于字段部分权限；第二权限控制单元，用于若所述用户权限范围属于字段部分权限，则动态修改针对相应字段的访问权限，以控制所述用户权限范围。

本发明实施例还提供一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现以下步骤：

获取用户提交的SQL语句，根据语法及词法分析所述SQL语句中涉及的访问对象名称及访问字段名称；

根据所述访问对象名称及所述访问字段名称匹配用户权限，确定用户权限范围；

根据预设权限设置，动态控制所述用户权限范围。

本发明实施例还提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现以下步骤：

获取用户提交的SQL语句，根据语法及词法分析所述SQL语句中涉及的访问对象名称及访问字段名称；

根据所述访问对象名称及所述访问字段名称匹配用户权限，确定用户权限范围；

根据预设权限设置，动态控制所述用户权限范围。

本发明实现对自由查询执行的权限控制，针对用户提交执行的语句进行权限验证，返回权限范围内的查询，实现了数据权限管理过程中的各类权限管理、分配、回收，灵活适用各种权限使用的场景。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例一种自由查询权限控制的方法的流程图；

图2为本发明一具体实施例中权限控制流程图；

图3为本发明实施例一种自由查询权限控制的方装置的结构示意图。

具体实施方式

本发明实施例提供一种自由查询权限控制的方法及装置。

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

现有实现技术均是对SQL的关键字进行替换，不能有效识别SQL语句中包含的表、视图、字段信息，而且在SQL语句包含子查询的情况下识别能力较差。在需要控制用户只能访问表或视图的一部分数据时，现有关键字替换实现方案无法对SQL语句进行表内的数据范围进行有效控制，增加了维护的复杂度。并且现有实现技术一般不对用户访问字段进行控制与过滤，无法灵活控制所有数据的使用范围，现有实现技术不对异常语句进行检测与控制。

如图1所示为本发明实施例一种自由查询权限控制的方法的流程图，图中所示方法包括：

步骤S1，获取用户提交的SQL语句，根据语法及词法分析所述SQL语句中涉及的访问对象名称及访问字段名称；

步骤S2，根据所述访问对象名称及所述访问字段名称匹配用户权限，确定用户权限范围；

步骤S3，根据预设权限设置，动态控制所述用户权限范围。

在本实施例中，通过对用户提交执行的sql语句的词法语法解析识别用户访问对象的范围，根据管理员授权情况对用户资源权限配置情况进行权限过滤，拒绝访问权限范围外的资源。对权限范围内的表或视图，进行权限验证及权限校正，控制表、视图的访问权限及表内数据及字段的访问范围。

作为本发明的一个实施例，方法还包括对所述SQL语句进行异常检测。其中，SQL语句是否包含异常语句如：笛卡尔积、大表left Join、敏感词等，若有则直接拒绝。其中，大表定义为记录数大于指定值或占用存储大于打指定值表或视图。

作为本发明的一个实施例，根据预设权限设置，动态控制所述用户权限范围包括：根据预设权限设置，判断所述用户权限范围针对对象访问是否属于对象部分权限；若所述用户权限范围属于对象部分权限，则动态修改针对相应对象的访问权限，以控制所述用户权限范围。

作为本发明的一个实施例，根据预设权限设置，动态控制所述用户权限范围包括：根据预设权限设置，判断所述用户权限范围针对字段访问是否属于字段部分权限；若所述用户权限范围属于字段部分权限，则动态修改针对相应字段的访问权限，以控制所述用户权限范围。

本发明通过对SQL语句进行语法解析实现表、视图等对象访问的权限控制。通过自动根据配置对象访问的权限范围控制用户查询的粒度。此操作对用户透明，用户只需按照正常逻辑编写SQL脚本即可，应用本发明方法的系统可自动识别并生成控制语句提交至数据库服务器执行。

本发明主要针对Gbase语句进行解析并可扩展支持mysql等其它各类数据库，且可用于客户端与数据库服务器间的权限控制。此外，本发明中权限管理会针对用户(包括)管理员创建、删除的表自动维护相应权限，对已有的表访问权限由管理员赋予相应的组或角色，控制用户访问表或视图的范围。并且针对表内数据使用指定字段进行数据表中范围缩放。全面管控用户访问数据的范围。同时全面支持数据表创建、删除、修改过程中权限控制及数据内容查询、插入、删除的控制。同时还支持对创建存储过程、数据库管理等语句的解析，权限控制覆盖范围更加全面。

本发明的权限控制方法可以解决表、视图级权限控制的同时管理其中表内数据的权限范围控制，防止用户访问期权限之外的数据，如限制指定用户只能访问指定省行数据。此外，还解决了用户执行查询时自动过滤敏感字段或将包含字段脱敏，如禁止查询客户表身份证号字段但可查询其它字段。并实现了控制前端用户提交异常SQL语句，避免异常查询如笛卡尔积等查询影响服务器性能。可实现在应用本发明方法的系统中建立一种灵活的权限管理方式，满足对权限的灵活控制与管理。

在本发明一具体实施例中，如用户提交查询select*from customer，首先解析SQL中涉及对象customer，根据管理员配置若用户无customer表权限则拒绝其查询，若存在权限，根据当前所属的用户组与角色的权限设置近一步确认是全表权限还是部分权限，如可按省行设置组(江苏审计)权限为只可查看江苏省行数据。若为其中指定客户省行为江苏的权限，则自动修改SQL为：

select*from customer where省行＝’江苏’

之后验证字段权限，是否存在限制访问字段，若其中证件号为不允许访问数据，则自动删除查询字段中的证件号字段,优化语句为：

Select cus_no,cus_name from customer where省行＝’江苏’

此外，对用户提交的sql进行异常检测，如select*from a,b此类的无条件查询会导致服务器笛卡尔积关联，会快速消耗服务器资源，影响服务器性能。通过拒绝异常的大表关联、敏感字查询等保证服务器性能。以上所有控制过程后台自动执行，用户无感，使用友好。

在本发明一具体实施例中，如图2所示，自由查询权限控制的方法具体流程包括：1、用户提交自由查询sql语句。2、执行语句前对sql进行词法与语法分析、进行正确性检验。3、解析出sql中涉及的表、视图及相应的字段等对象信息。4、查询用户权限，验证sql中否涉及无权限的对象。若有则拒绝查询。5、SQL语句是否包含异常语句如：笛卡尔积、大表leftJoin、敏感词等，若有则直接拒绝，其中，大表定义为记录数大于指定值或占用存储大于打指定值表或视图。6、查询对象权限范围，动态修改语句缩小数据查询数据范围至权限范围。包括数据范围(行级)、字段范围(列级)。如将“select*”替换为“select column1,column2…”。7、提交至数据库服务器。8、返回执行结果。

其中，本发明方法中的重要步骤包括：获取用户提交SQL，通过语法、词法分析获取语句中涉及访问的对象名称、字段名称；根据对象名称匹配用户的权限，判断用户是否有权限及权限的范围，若用户在某个对象上只有部分权限，则对语句中涉及该对象的访问进行动态修改，控制权限至用户的权限范围；根据管理员对该用户的权限设置，动态控制其访问表的范围，避免不当的字段使用，如将其中*转换为表中所有的有权限访问字段；异常SQL检测；权限范围自动缩放。

此外，对于执行语句动态控制步骤，为提升稳定性与安全性，并不影响系统整体的流程功能。对于动态控制返回时间，设置查询超时时间，当超过指定时间未完成查询时会将查询放入后台继续执行直至成功或超过最大执行时间，提升用户体验。

在本发明一具体实施例中，应用本发明自由查询权限控制方法的系统可包括：权限设置模块，系统管理员向指定组、角色、人分配表或视图的权限，同时设置表或视图访问的数据范围与字段范围。自由查询解析与执行模块，解析自由查询中SQL的语法的正确性及涉及的查询类型，如select,create table,create view,create procedure等，分别调用不同的执行方法执行并返回结果。其中，系统对用户提交的SQL进行解析后，识别SQL语句中访问的数据对象及字段范围。根据管理员对用户的权限设置进行权限检测，是否进行拒绝请求或动态权限修正。

本发明增加了权限控制的配置化，可实现自定义的基于配置的权限管理。还增加了异常语句检测，设置语句执行策略检查，拒绝执行大表的去重、排序等，避免用户提交异常语句影响系统资源使用。此外，还增加了查询调度，控制查询请求的并发数，保证系统的稳定服务能力，以及查询超时中止，超过指定时间的查询请求自动中止，保证系统服务能力。并且，数据获取能力增加，流式读取读取、减少系统与数据库服务器压力。

基于本发明，BI系统在对用户提供服务时，可针对不同用户配置不同的数据权限，用户在使用系统时可正常提交sql执行，系统后台自动进行权限的验证及权限的缩放，用户不需要关心所访问表的数据范围。此外，系统对用户级的语句控制可拒绝异常SQL的提交，保证系统的稳定性与安全性，保证与提升用户体验。

本发明实现对自由查询执行的权限控制，针对用户提交执行的语句进行权限验证，只返回权限范围内的查询，控制生产数据的使用范围，同时解决数据权限管理过程中的各类权限管理、分配、回收，灵活适用各种权限使用的场景。

如图3所示为本发明实施例一种自由查询权限控制的方装置的结构示意图，图中所示装置包括：

语句获取模块10，用于获取用户提交的SQL语句，根据语法及词法分析所述SQL语句中涉及的访问对象名称及访问字段名称；

权限范围模块20，用于根据所述访问对象名称及所述访问字段名称匹配用户权限，确定用户权限范围；

权限控制模块30，用于根据预设权限设置，动态控制所述用户权限范围。

作为本发明的一个实施例，装置还包括：异常检测模块，用于对所述SQL语句进行异常检测。

作为本发明的一个实施例，权限控制模块包括：第一判断单元，用于根据预设权限设置，判断所述用户权限范围针对对象访问是否属于对象部分权限；第一权限控制单元，用于若所述用户权限范围属于对象部分权限，则动态修改针对相应对象的访问权限，以控制所述用户权限范围。

作为本发明的一个实施例，权限控制模块包括：第二判断单元，用于根据预设权限设置，判断所述用户权限范围针对字段访问是否属于字段部分权限；第二权限控制单元，用于若所述用户权限范围属于字段部分权限，则动态修改针对相应字段的访问权限，以控制所述用户权限范围。

基于与上述一种自由查询权限控制的方法相同的申请构思，本发明还提供了上述一种自由查询权限控制的装置。由于该一种自由查询权限控制的装置解决问题的原理与一种自由查询权限控制的方法相似，因此该一种自由查询权限控制的装置的实施可以参见一种自由查询权限控制的方法的实施，重复之处不再赘述。

本发明实现对自由查询执行的权限控制，针对用户提交执行的语句进行权限验证，只返回权限范围内的查询，控制生产数据的使用范围，同时解决数据权限管理过程中的各类权限管理、分配、回收，灵活适用各种权限使用的场景。

本发明实施例还提供一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现以下步骤：

获取用户提交的SQL语句，根据语法及词法分析所述SQL语句中涉及的访问对象名称及访问字段名称；

根据所述访问对象名称及所述访问字段名称匹配用户权限，确定用户权限范围；

根据预设权限设置，动态控制所述用户权限范围。

本发明实施例还提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现以下步骤：

获取用户提交的SQL语句，根据语法及词法分析所述SQL语句中涉及的访问对象名称及访问字段名称；

根据所述访问对象名称及所述访问字段名称匹配用户权限，确定用户权限范围；

根据预设权限设置，动态控制所述用户权限范围。

基于与上述一种自由查询权限控制的方法相同的申请构思，本发明还提供了上述一种计算机设备及一种计算机可读存储介质。由于该一种计算机设备及一种计算机可读存储介质解决问题的原理与一种自由查询权限控制的方法相似，因此该一种计算机设备及一种计算机可读存储介质的实施可以参见一种自由查询权限控制的方法的实施，重复之处不再赘述。

本发明实现对自由查询执行的权限控制，针对用户提交执行的语句进行权限验证，只返回权限范围内的查询，控制生产数据的使用范围，同时解决数据权限管理过程中的各类权限管理、分配、回收，灵活适用各种权限使用的场景。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

本发明中应用了具体实施例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (10)

1.一种自由查询权限控制的方法，其特征在于，所述方法包括：

获取用户提交的SQL语句，根据语法及词法分析所述SQL语句中涉及的访问对象名称及访问字段名称；

根据所述访问对象名称及所述访问字段名称匹配用户权限，确定用户权限范围；

根据预设权限设置，动态控制所述用户权限范围。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：对所述SQL语句进行异常检测。

3.根据权利要求1所述的方法，其特征在于，所述根据预设权限设置，动态控制所述用户权限范围包括：

根据预设权限设置，判断所述用户权限范围针对对象访问是否属于对象部分权限；

若所述用户权限范围属于对象部分权限，则动态修改针对相应对象的访问权限，以控制所述用户权限范围。

4.根据权利要求1所述的方法，其特征在于，所述根据预设权限设置，动态控制所述用户权限范围包括：

根据预设权限设置，判断所述用户权限范围针对字段访问是否属于字段部分权限；

若所述用户权限范围属于字段部分权限，则动态修改针对相应字段的访问权限，以控制所述用户权限范围。

5.一种自由查询权限控制的装置，其特征在于，所述装置包括：

语句获取模块，用于获取用户提交的SQL语句，根据语法及词法分析所述SQL语句中涉及的访问对象名称及访问字段名称；

权限范围模块，用于根据所述访问对象名称及所述访问字段名称匹配用户权限，确定用户权限范围；

权限控制模块，用于根据预设权限设置，动态控制所述用户权限范围。

6.根据权利要求5所述的装置，其特征在于，所述装置还包括：异常检测模块，用于对所述SQL语句进行异常检测。

7.根据权利要求5所述的装置，其特征在于，所述权限控制模块包括：

第一判断单元，用于根据预设权限设置，判断所述用户权限范围针对对象访问是否属于对象部分权限；

第一权限控制单元，用于若所述用户权限范围属于对象部分权限，则动态修改针对相应对象的访问权限，以控制所述用户权限范围。

8.根据权利要求5所述的装置，其特征在于，所述权限控制模块包括：

第二判断单元，用于根据预设权限设置，判断所述用户权限范围针对字段访问是否属于字段部分权限；

第二权限控制单元，用于若所述用户权限范围属于字段部分权限，则动态修改针对相应字段的访问权限，以控制所述用户权限范围。

9.一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现以下步骤：

获取用户提交的SQL语句，根据语法及词法分析所述SQL语句中涉及的访问对象名称及访问字段名称；

根据所述访问对象名称及所述访问字段名称匹配用户权限，确定用户权限范围；

根据预设权限设置，动态控制所述用户权限范围。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现以下步骤：

获取用户提交的SQL语句，根据语法及词法分析所述SQL语句中涉及的访问对象名称及访问字段名称；

根据所述访问对象名称及所述访问字段名称匹配用户权限，确定用户权限范围；

根据预设权限设置，动态控制所述用户权限范围。

Images