CN110929269A - 系统权限管理方法、装置、介质及电子设备 - Google Patents

Abstract

本公开涉及安全防护领域，揭示了一种系统权限管理方法、装置、介质及电子设备。该方法包括：在用户向管理员端发送的针对目标系统的第一权限获取请求对应的权限中有目标权限满足权限转移规则时，根据目标权限生成第二权限获取请求并将第二权限获取请求转发至与目标权限对应的第一权限代理端；获取与目标权限对应的第二权限代理端；基于第一权限代理端和第二权限代理端，为用户开通与目标系统对应的权限范围为第一权限开通范围的目标权限，以便用户在目标系统上在第一权限开通范围内使用目标权限；在目标权限满足与目标权限对应的权限调整规则时，调整目标权限。此方法下，在保证合理授予目标权限的同时，提高了系统权限管理时的权限分配效率。

Description

系统权限管理方法、装置、介质及电子设备

技术领域

本公开涉及安全防护技术领域，特别涉及一种系统权限管理方法、装置、介质及电子设备。

背景技术

随着软件工程的发展，具有多功能的集成的软件系统越来越多。针对同一软件系统，有时要为不同的用户设置不同的权限，即针对一个软件系统，需要设定一定的规则，使得不同用户在该软件系统上能够操作的功能、有权访问的对象等是不同的。

在现有技术的实现中，通常为一个软件系统设定一个或少量的系统管理员，而对于庞大的系统，常常需要有大量的用户，要为这些用户来设置权限的话要耗费大量的时间，而目前由系统管理员来设定用户的权限的方式，不仅会导致权限的分配效率较低，更会可能因为权限分配不及时导致业务无法运转。

发明内容

在安全防护技术领域，为了解决上述技术问题，本公开的目的在于提供一种系统权限管理方法、装置、介质及电子设备。

根据本申请的一方面，提供了一种系统权限管理方法，所述方法包括：

在目标用户向管理员端发送的针对目标系统的第一权限获取请求对应的权限中有目标权限满足预设的权限转移规则的情况下，根据所述目标权限生成第二权限获取请求并将所述第二权限获取请求转发至与所述目标权限对应的第一权限代理端，其中，所述权限代理端和所述管理员端用于审核并开通所述权限获取请求对应的权限，对于同一权限，所述权限代理端的权限开通范围小于或等于所述管理员端；

获取与所述目标权限对应的第二权限代理端；

基于所述第一权限代理端和所述第二权限代理端，为所述目标用户开通与所述目标系统对应的权限范围为第一权限开通范围的所述目标权限，以便所述目标用户在所述目标系统上在第一权限开通范围内使用所述目标权限；

在所述目标权限满足与所述目标权限对应的权限调整规则的情况下，调整所述目标用户的所述目标权限。

根据本申请的另一方面，提供了一种系统权限管理装置，所述装置包括：

发送模块，被配置为在目标用户向管理员端发送的针对目标系统的第一权限获取请求对应的权限中有目标权限满足预设的权限转移规则的情况下，根据所述目标权限生成第二权限获取请求并将所述第二权限获取请求转发至与所述目标权限对应的第一权限代理端，其中，所述权限代理端和所述管理员端用于审核并开通所述权限获取请求对应的权限，对于同一权限，所述权限代理端的权限开通范围小于或等于所述管理员端；

获取模块，被配置为获取与所述目标权限对应的第二权限代理端；

开通模块，被配置为基于所述第一权限代理端和所述第二权限代理端，为所述目标用户开通与所述目标系统对应的权限范围为第一权限开通范围的所述目标权限，以便所述目标用户在所述目标系统上在第一权限开通范围内使用所述目标权限；

调整模块，被配置为在所述目标权限满足与所述目标权限对应的权限调整规则的情况下，调整所述目标用户的所述目标权限。

根据本申请的另一方面，提供了一种计算机可读程序介质，其存储有计算机程序指令，当所述计算机程序指令被计算机执行时，使计算机执行如前所述的方法。

根据本申请的另一方面，提供了一种电子设备，所述电子设备包括：

处理器；

存储器，所述存储器上存储有计算机可读指令，所述计算机可读指令被所述处理器执行时，实现如前所述的方法。

本发明的实施例提供的技术方案可以包括以下有益效果：

本发明所提供的系统权限管理方法包括如下步骤：在目标用户向管理员端发送的针对目标系统的第一权限获取请求对应的权限中有目标权限满足预设的权限转移规则的情况下，根据所述目标权限生成第二权限获取请求并将所述第二权限获取请求转发至与所述目标权限对应的第一权限代理端，其中，所述权限代理端和所述管理员端用于审核并开通所述权限获取请求对应的权限，对于同一权限，所述权限代理端的权限开通范围小于或等于所述管理员端；获取与所述目标权限对应的第二权限代理端；基于所述第一权限代理端和所述第二权限代理端，为所述目标用户开通与所述目标系统对应的权限范围为第一权限开通范围的所述目标权限，以便所述目标用户在所述目标系统上在第一权限开通范围内使用所述目标权限；在所述目标权限满足与所述目标权限对应的权限调整规则的情况下，调整所述目标用户的所述目标权限。

此方法下，通过在目标权限满足预设的权限转移规则的情况下，将目标权限的分配任务转移给权限代理端进行处理，并可以在目标权限满足对应的权限调整规则时进行目标权限的调整，在保证合理授予目标权限的同时，提高了系统权限管理时的权限分配效率。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性的，并不能限制本发明。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本发明的实施例，并与说明书一起用于解释本发明的原理。

图1是根据一示例性实施例示出的一种系统权限管理方法的系统架构示意图；

图2是根据一示例性实施例示出的一种系统权限管理方法的流程图；

图3是根据图2对应实施例示出的一实施例的权限转移规则的流程图；

图4是根据图2对应实施例示出的一实施例的步骤230的细节流程图；

图5是根据一示例性实施例示出的一种系统权限管理装置的框图；

图6是根据一示例性实施例示出的一种实现上述系统权限管理方法的电子设备示例框图；

图7是根据一示例性实施例示出的一种实现上述系统权限管理方法的计算机可读存储介质。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本发明相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本发明的一些方面相一致的装置和方法的例子。

此外，附图仅为本公开的示意性图解，并非一定是按比例绘制。图中相同的附图标记表示相同或类似的部分，因而将省略对它们的重复描述。附图中所示的一些方框图是功能实体，不一定必须与物理或逻辑上独立的实体相对应。

本公开首先提供了一种系统权限管理方法。此处的系统指软件系统，包括但不限于数据库管理系统、文件存储系统、人机交互系统等各种包含一个或多个功能模块的系统，软件系统可以是应用软件也可以是系统软件，可以是客户端软件也可以是Web应用软件。权限是对软件系统内各种资源或对象的访问的范围，而系统权限管理是指对软件系统中各个权限的设定、修改、取消等管理操作，通过这些操作实现对软件系统内权限的整体管理。所以本公开提供的一种系统权限管理方法即为一种对软件系统内的各权限进行控制的方法。

本公开的实施终端可以是任何具有运算、处理以及通信功能的设备，该设备可与外部设备相连，用于接收或者发出数据，可以是便携移动设备，例如智能手机、平板电脑、笔记本电脑、PDA(Personal Digital Assistant)等，也可以是固定式设备，例如，计算机设备、现场终端、台式电脑、服务器、工作站等，还可以是多个设备的集合，比如服务器集群或者云计算的物理基础设施等。

优选地，本公开的实施终端可以为服务器、服务器集群或者云计算的物理基础设施。

图1是根据一示例性实施例示出的一种系统权限管理方法的系统架构示意图。如图1所示，包括用户终端110、服务器120、与第一权限对应的多个权限代理端130以及与第二权限对应的多个权限代理端140，其中，用户终端以及每一权限代理端分别通过通信链路与服务器120相连，通信链路可以用于发送和接收数据，在本实施例中，服务器120为本公开的实施终端并且为管理员端，服务器120上运行了权限所对应的目标系统。当用户终端110的用户需要获得目标系统上的某个或某些特定的权限时，就可以通过用户终端110向本公开的实施终端(管理员端)——服务器120发送权限获取请求，请求管理员端为用户授予其所请求的目标系统上的权限，通过管理员端(服务器120)上的机器或人工的审核后，即可为用户终端的用户分配相应的权限，在本实施例中，在一定条件下，为用户分配或授予权限的任务可以不由管理员端(服务器120)来执行，而是由与管理员端建立了通信链路连接的一个或多个权限代理端来执行，这样就可以在用户的权限获取请求不能被管理员端及时得到回应，即用户请求开通的目标系统上的权限不能被管理员端及时开通时，通过一个或多个权限代理端来负责完成这种权限的开通任务，从而能够提高为用户分配权限的效率。

值得一提的是，图1仅为本公开的一个实施例。虽然在图1实施例中，本公开的实施终端为服务器，并且本公开的实施终端与管理员端为同一终端，管理员端和权限代理端均为服务器，但在其他实施例或者具体应用中，可以根据需要选择前述的任意一种类型的终端作为本公开的实施终端，并且本公开的实施终端与管理员端可以为不同的终端，无论是管理员端还是权限代理端均可以为前述的本公开实施终端的范围内的任意一种类型的终端，本公开对此不作任何限定，本公开的保护范围也不应因此而受到任何限制。

图2是根据一示例性实施例示出的一种系统权限管理方法的流程图。本实施例可以由图1实施例中的服务器来执行。如图2所示，包括以下步骤：

步骤210，在目标用户向管理员端发送的针对目标系统的第一权限获取请求对应的权限中有目标权限满足预设的权限转移规则的情况下，根据所述目标权限生成第二权限获取请求并将所述第二权限获取请求转发至与所述目标权限对应的第一权限代理端。

其中，所述权限代理端和所述管理员端用于审核并开通所述权限获取请求对应的权限，对于同一权限，所述权限代理端的权限开通范围小于或等于所述管理员端。

如前所述，权限为受控制的访问资源或者对象的范围。比如权限可以为能否对特定的功能模块的操作，例如可以是能否对上传的文件进行访问、删除或者修改、对菜单甚至图片或者按钮的可见性等。权限转移规则是将针对目标系统的第一权限获取请求来开通权限的这一职责由管理员端转移至权限代理端的条件，当有权限满足该权限转移规则时，就可以由权限代理端部分或全部地开通该权限，实现了开通权限这一任务的转移，从而可以使管理员端在繁忙、不可用、故障等情况下，目标用户的权限也可以及时得到开通。

比如，目标系统可以为论坛系统，在论坛系统里，管理员端可以为论坛系统的超级管理员使用的终端，而权限代理端可以为论坛系统的超级版主使用的终端。

第一权限获取请求可以是各种类型的网络请求，比如可以是基于HTTP/HTTPS协议的请求。

所述权限代理端和/或所述管理员端在审核权限获取请求对应的权限时，可以由所述权限代理端和/或所述管理员端的管理人员人工审核，也可以由运行在所述权限代理端和/或所述管理员端上的脚本或者程序自动审核。

在一个实施例中，权限获取请求中包含权限和权限获取请求的发送者的身份，通过预设的规则或条件对权限获取请求的发送者的身份和权限对应进行判断来实现对权限获取请求的审核。

在一个实施例中，本公开的实施终端、管理员端以及权限代理端都安装有权限处理客户端，各终端之间通过权限处理客户端进行通信。

在一个实施例中，各终端在进行通信时是利用socket(套接字)实现的。

在一个实施例中，第一权限获取请求携带了与权限对应的权限标识，根据该权限标识可以确定与第一权限获取请求对应的权限，在根据目标权限生成第二权限获取请求后，通过查询预设的权限标识与第一权限代理端标识对应关系表，确定和与目标权限对应的权限标识对应的第一权限代理端的标识，进而确定出对应的第一权限代理端。

目标权限即为第一权限获取请求对应的权限中满足预设的权限转移规则的权限。

在一个实施例中，第一权限获取请求对应的权限为所述第一权限获取请求包含的权限。

第一权限获取请求是由目标用户向管理员端发送的请求，而第二权限获取请求是由本端向权限代理端发送的请求。

在一个实施例中，本端与管理员端为同一终端，当本端接收到目标用户发送的针对目标系统的第一权限获取请求，由本端判断该第一权限获取请求对应的权限是否满足预设的权限转移规则，并根据满足权限转移规则的权限生成第二权限获取请求，并将该第二权限获取请求发送至第一权限代理端。

在一个实施例中，本端与管理员端为不同终端，当管理员端接收到目标用户发送的针对目标系统的第一权限获取请求后，由管理员端判断第一权限获取请求对应的权限中是否有目标权限满足预设的权限转移规则，并在有目标权限满足预设的权限转移规则时，由管理员端将目标权限发送至本端以提示本端有目标权限满足预设的权限转移规则，本端根据接收到的目标权限生成第二权限获取请求，并将第二权限获取请求转发至第一权限代理端。

在一个实施例中，本端与管理员端为不同终端，当管理员端接收到目标用户发送的针对目标系统的第一权限获取请求后，由管理员端判断第一权限获取请求对应的权限中是否有目标权限满足预设的权限转移规则，并在有目标权限满足预设的权限转移规则时，由管理员端将目标权限发送至用户终端并指示用户终端向本端发送该目标权限，当本端接收到用户终端发来的目标权限，即可确认该目标权限满足预设的权限转移规则，进而根据该目标权限生成第二权限获取请求，并将所述第二权限获取请求转发至第一权限代理端。

在一个实施例中，所述权限转移规则为所述目标用户向管理员端发送第一权限获取请求后，确定所述第一权限获取请求对应的权限中有目标权限在从所述目标用户向管理员端发送第一权限获取请求起预定时间段内没有被开通。

在预定时间段内，第一权限获取请求对应的权限中，可能所有权限都被顺利开通，也可能存在一个或多个权限没有被开通。

在一个实施例中，所述权限转移规则为所述目标用户向管理员端发送第一权限获取请求后，确定所述第一权限获取请求对应的权限中有目标权限在预设的权限转移表中，其中，预设的权限转移表存储在管理员端，管理员端可以自动或者根据管理员的操作手动地进行权限转移表中权限的增删。

在本实施例中，只有在权限转移表中的目标权限的开通任务才可以由权限代理端来执行，并且权限转移表中的权限是可以增添或删除的，使得可以由权限代理端来执行相应的开通任务的目标权限是由管理员端来控制的，提高了权限管理的针对性和可控性。

在一个实施例中，所述权限转移规则可以如图3所示。图3是根据图2对应实施例示出的一实施例的权限转移规则的流程图，参考图3所示，可以包括以下步骤：

步骤310，在所述目标用户向管理员端发送第一权限获取请求后，获取和与所述第一权限获取请求对应的每一权限对应的时间段。

在一个实施例中，获取和与所述第一权限获取请求对应的每一权限对应的时间段是通过查询预设的权限与时间段对应关系表来实现的。

在一个实施例中，所述在所述目标用户向管理员端发送第一权限获取请求后，获取和与所述第一权限获取请求对应的每一权限对应的时间段，包括：

针对与所述第一权限获取请求对应的每一权限，获取该权限的权限开通难度系数；

根据每一权限的权限开通难度系数，获取和与所述第一权限获取请求对应的每一权限对应的时间段。

权限开通难度系数是事先设定的一种衡量开通一个权限时的开通难度的指标，一般情况下，权限开通难度系数越大，权限开通时所耗费的成本越多。

在一个实施例中，所述针对与所述第一权限获取请求对应的每一权限，获取该权限的权限开通难度系数，包括：

针对与所述第一权限获取请求对应的每一权限，确定与该权限对应的权限代理端的数目；

针对与所述第一权限获取请求对应的每一权限，根据针对为该权限确定的所述数目，获取该权限的权限开通难度系数。

在一个实施例中，所述针对与所述第一权限获取请求对应的每一权限，根据针对为该权限确定的所述数目，获取该权限的权限开通难度系数，包括：

针对与所述第一权限获取请求对应的每一权限，获取为该权限确定的所述数目的倒数，作为该权限的权限开通难度系数。

对于任一权限，与该权限对应的权限代理端的数目越多，从与该权限对应的权限代理端中选出适合用来处理目标权限的权限开通任务的权限代理端的难度越低，反之，与一个权限对应的权限代理端的数目越少，从与该权限对应的权限代理端中选出适合用来处理目标权限的权限开通任务的权限代理端的难度越高，所以在一般情况下，权限的开通难度与权限对应的权限代理端的数目呈负相关的关系，在本实施例中，通过将权限对应的权限代理端的数目的倒数作为权限开通难度系数，提高了确定出的权限开通难度系数的准确性。

在一个实施例中，每一权限具有权限覆盖度，所述针对与所述第一权限获取请求对应的每一权限，根据针对为该权限确定的所述数目，获取该权限的权限开通难度系数，包括：

获取与所述第一权限获取请求对应的每一权限的权限覆盖度；

针对与所述第一权限获取请求对应的每一权限，根据针对为该权限确定的所述数目和该权限的权限覆盖度，获取该权限的权限开通难度系数。

权限覆盖度是权限在目标系统中的覆盖范围。权限覆盖度越大，权限开通难度系数越高，比如在目标系统中，包含A区域、B区域和C区域，每一区域包含一定量的数据，其中，C区域的数据量小于B区域，而B区域的数据量小于A区域，假如与访问A、B、C三个区域中数据对应的权限分别是权限A、权限B和权限C，则为权限A、权限B和权限C分别设定的权限覆盖度可以为R(A)>R(B)>R(C),其中，R(X)为权限X的权限覆盖度。

在一个实施例中，权限覆盖度是从预设的权限与权限覆盖度对应关系表中查询得到的。

在一个实施例中，权限与权限覆盖度对应关系表中与每一权限对应的权限覆盖度是根据专家经验人工设定的。

在一个实施例中，目标系统为数据库访问系统，权限与权限覆盖度对应关系表中与每一权限对应的权限覆盖度是根据每一权限所涉及的数据量确定的。

在一个实施例中，所述针对与所述第一权限获取请求对应的每一权限，根据针对为该权限确定的所述数目和该权限的权限覆盖度，获取该权限的权限开通难度系数，包括：

针对与所述第一权限获取请求对应的每一权限，获取为该权限确定的所述数目和该权限的权限覆盖度的乘积，作为该权限的权限开通难度系数。

本实施例的好处在于，同时考虑了为该权限确定的所述数目和该权限的权限覆盖度两方面因素在获取权限开通难度系数中的作用，提高了获取的权限开通难度系数的准确性。

在一个实施例中，所述针对与所述第一权限获取请求对应的每一权限，根据针对为该权限确定的所述数目和该权限的权限覆盖度，获取该权限的权限开通难度系数，包括：

分别权限代理端的数目和权限覆盖度的权重；

利用所述权重，针对与所述第一权限获取请求对应的每一权限，获取针对为该权限确定的所述数目和该权限的权限覆盖度的加权和，作为该权限的权限开通难度系数。

本实施例的好处在于，利用权重对为该权限确定的所述数目和该权限的权限覆盖度两方面因素在获取权限开通难度系数中的作用进行了区分，使得获取的权限开通难度系数更为准确。

在一个实施例中，所述根据每一权限的权限开通难度系数，获取和与所述第一权限获取请求对应的每一权限对应的时间段，包括：

针对与所述第一权限获取请求对应的每一权限，确定该权限的权限开通难度系数与预设的基准权限开通难度系数的比值；

针对与所述第一权限获取请求对应的每一权限，获取针对该权限确定的所述比值与预设的基准时间段的乘积，作为与该权限对应的时间段。

一个权限的权限开通难度系数与预设的基准权限开通难度系数的比值决定了该权限对应的时间段和预设的基准时间段的比值，本实施例的好处在于，使得获取的权限对应的时间段与相应的权限开通难度系数呈现线性关系，提高了获取的权限对应的时间段与权限开通难度系数之间的依赖关系，保证了权限开通难度系数在获取的权限对应的时间段这一环节中的作用。

在一个实施例中，所述根据每一权限的权限开通难度系数，获取和与所述第一权限获取请求对应的每一权限对应的时间段，包括：

将权限开通难度系数划分为预定数目个权限开通难度系数区间，其中，每一权限开通难度系数区间与一个时间段对应；

针对与所述第一权限获取请求对应的每一权限，获取该权限的权限开通难度系数所属的权限开通难度系数区间对应的时间段，作为该权限对应的时间段。

比如有三个权限开通难度系数区间分别是(0,10]，(10,20]，(20,30]，对应的时间段分别为8分钟，12分钟和16分钟，则如果第一权限获取请求对应的一个权限的权限开通难度系数为13，属于(10,20]这个区间，而该区间对应的时间段为12分钟，则在本实施例中获取到的与该权限对应的时间段为12分钟。

由于权限开通难度系数与权限对应的时间段并不一定成绝对的线性关系，如果为较高权限开通难度系数的权限设置较高的时间段，而该权限仅需要不是那么高的时间段，此时还会降低权限管理效率。由此可见，在本实施例中，通过依据一个权限的权限开通难度系数所属的权限开通难度系数区间来获取权限对应的时间段，弱化了权限开通难度系数与获取到的权限对应的时间段的对应关联关系，使得针对具有相近的权限开通难度系数的权限获得的时间段更为接近，可以在一定程度上提高获取的时间段的公平性。

在一个实施例中，所述根据每一权限的权限开通难度系数，获取和与所述第一权限获取请求对应的每一权限对应的时间段，包括：

将与所述第一权限获取请求对应的各权限的权限开通难度系数归一化到[0,1]之间；

基于归一化后的权限开通难度系数，利用如下公式获取和与所述第一权限获取请求对应的每一权限对应的时间段：

T＝A*[1-(x-1)⁴],

其中，A是预设的时间段参数系数，x是归一化后的权限开通难度系数，T是基于归一化后的权限开通难度系数获取的与权限对应的以分钟为单位的时间段。

例如，A为10，x为0.6，则计算出的T为9.744分钟，而在x分别是0.8和0.4的情况下，得到的T分别是9.984分钟和8.704分钟。由此可见，T与x呈正相关的非线性关系，随着x的增加，T的增加幅度越来越小。所以本实施例的好处在于，为权限开通难度系数和权限对应的时间段之间确定了一种非线性的关系，在权限开通难度系数的大小达到一定程度的情况下，使得为各权限获取的时间段都是近似的，在保证了各权限获取的时间段有一定长度的同时，降低了由于个别权限的权限开通难度系数过高导致的获取到的权限对应的时间段过长，从而会降低权限转移效率的可能性，提高了为权限获取的时间段的均衡性。

步骤320，从所述目标用户向管理员端发送第一权限获取请求起，确定所述第一权限获取请求对应的权限中有目标权限没有在该目标权限对应的时间段内开通。

当所述第一权限获取请求对应的权限中有目标权限没有在该目标权限对应的时间段内开通时，说明该目标权限的开通操作不能被管理员端及时处理或者管理员端对权限获取请求的审核没有通过，此时即可视为目标权限满足了权限转移规则，有必要将目标权限的开通任务交由权限代理端来处理。

综上所述，图3对应实施例的好处在于，通过为每一权限设定单独的时限并根据该时限来确定是否进行权限开通任务的转移，准确客观地衡量了权限开通任务的转移的时机，从而为提高权限分配效率提供了保障。

步骤220，获取与所述目标权限对应的第二权限代理端。

在一个实施例中，通过查询预设的权限与权限代理端对应关系表，可以获取与目标权限对应的权限代理端，在所述权限与权限代理端对应关系表中，每一目标权限与多个权限代理端对应，其中，第一权限代理端是在与所述目标权限对应的多个权限代理端中任取的一个权限代理端，第二权限代理端是在与所述目标权限对应的除所述第一权限代理端之外的权限代理端中任取的一个权限代理端。

在一个实施例中，所述获取与所述目标权限对应的第二权限代理端，包括：

获取与所述目标权限对应的除所述第一权限代理端之外的每一权限代理端的CPU使用率；

基于各权限代理端的CPU使用率，获取与所述目标权限对应的第二权限代理端。

在一个实施例中，所述基于各权限代理端的CPU使用率，获取与所述目标权限对应的第二权限代理端，包括：

将CPU使用率最低的权限代理端，作为与所述目标权限对应的第二权限代理端。

本实施例的好处在于，通过将CPU使用率最低的权限代理端作为第二权限代理端来执行权限开通任务，保证了目标权限的权限开通任务能够及时被处理，提高了目标权限的开通和分配效率。

步骤230，基于所述第一权限代理端和所述第二权限代理端，为所述目标用户开通与所述目标系统对应的权限范围为第一权限开通范围的所述目标权限，以便所述目标用户在所述目标系统上在第一权限开通范围内使用所述目标权限。

权限的权限开通范围是对权限的进一步限制，是开通出的权限能够使用的范围。权限开通范围可以是权限中的子权限、权限可使用时间，权限可使用次数，权限开通的条件等。比如一个权限可以包含若干个子权限，权限开通范围是权限中开通的子权限；再比如，开通的权限可以有时间的限制，而权限开通范围可以是开通的权限有效的时间范围；再比如，第一权限代理端针对A权限的权限开通范围包含申请开通A权限的一方具有B权限这一条件，而第二权限代理端针对A权限的权限开通范围不含有申请开通A权限的一方具有B权限这一条件，则第二权限代理端针对A权限的权限开通范围大于第一权限代理端。

在一个实施例中，步骤230可以包括：

将所述第二权限获取请求转发至与所述目标权限对应的第二权限代理端；

确定所述第一权限代理端和所述第一权限代理端中同意开通所述目标权限的权限代理端的权限开通范围的并集作为第一权限开通范围；

为所述目标用户开通与所述目标系统对应的权限范围为所述第一权限开通范围的所述目标权限，以便所述目标用户在所述目标系统上在第一权限开通范围内使用所述目标权限。

在一个实施例中，为所述目标用户开通与所述目标系统对应的所述目标权限的同时还生成了权限开通范围，在步骤230之后，所述方法还可以包括：

生成包含了为所述目标用户开通的与所述目标系统对应的所述目标权限以及对应的权限开通范围的提醒信息并将所述提醒信息向所述管理员端发送。

步骤240，在所述目标权限满足与所述目标权限对应的权限调整规则的情况下，调整所述目标用户的所述目标权限。

权限调整规则是在权限代理端开通所述目标用户的所述目标权限后，是否应该正式授予还是需要调整权限授权范围而设置的条件。通过调整为目标用户开通的目标权限，可以加强对由权限代理端开通的权限的管理。

在一个实施例中，所述权限调整规则包括：管理员端的内存使用率小于预定内存使用率阈值，所述调整所述目标用户的所述目标权限，包括：

将所述第二权限获取请求转发至管理员端，以便所述管理员端根据所述第二权限获取请求重新确定所述目标权限的权限范围，并基于重新确定的所述目标权限的权限范围为所述目标用户配置与所述目标系统对应的所述目标权限。

在一个实施例中，所述权限调整规则包括：接收到目标用户发送的针对所述目标权限的权限调整指令。

在一个实施例中，管理员端与本端为不同的终端，所述权限调整规则包括：接收到管理员端对所述目标权限的权限调整指令。

在一个实施例中，所述权限开通范围包括权限可使用时间和/或权限可使用次数，所述权限调整规则包括：

为所述目标权限开通的权限可使用时间为0和/或权限可使用次数为0。

综上所述，根据图2实施例提供的系统权限管理方法，在保证合理授予目标权限的同时，提高了系统权限管理时的权限分配效率。

图4是根据图2对应实施例示出的一实施例的步骤230的细节流程图。如图4所示，包括以下步骤：

步骤231，将所述第二权限获取请求转发至与所述目标权限对应的第二权限代理端。

就如同第一权限代理端一样，第二权限代理端也可以处理权限分配任务。

步骤232，在所述第一权限代理端和所述第二权限代理端都同意开通所述目标权限的情况下，根据所述第一权限代理端和所述第二权限代理端对所述目标权限的权限开通范围确定第一权限开通范围，并为所述目标用户开通与所述目标系统对应的权限范围为所述第一权限开通范围的所述目标权限，以便所述目标用户在所述目标系统上在第一权限开通范围内使用所述目标权限。

在一个实施例中，步骤232包括：在所述第一权限代理端和所述第二权限代理端都同意开通所述目标权限的情况下，获取所述第一权限代理端和所述第二权限代理端针对所述目标权限的权限开通范围的并集，作为第一权限开通范围；以所述第一权限开通范围作为权限范围为所述目标用户开通与所述目标系统对应的所述目标权限，以便所述目标用户在所述目标系统上在第一权限开通范围内使用所述目标权限。

图4所示实施例的好处在于，通过综合两个权限代理端对目标权限的权限开通范围来最终确定为目标权限开通的权限范围，提高了由权限代理端开通目标权限时的确定的权限开通范围的可控性。

本公开还提供了一种语音识别装置，以下是本公开的装置实施例。

图5是根据一示例性实施例示出的一种系统权限管理装置的框图。如图5所示，装置500包括：

发送模块510，被配置为在目标用户向管理员端发送的针对目标系统的第一权限获取请求对应的权限中有目标权限满足预设的权限转移规则的情况下，根据所述目标权限生成第二权限获取请求并将所述第二权限获取请求转发至与所述目标权限对应的第一权限代理端，其中，所述权限代理端和所述管理员端用于审核并开通所述权限获取请求对应的权限，对于同一权限，所述权限代理端的权限开通范围小于或等于所述管理员端；

获取模块520，被配置为获取与所述目标权限对应的第二权限代理端；

开通模块530，被配置为基于所述第一权限代理端和所述第二权限代理端，为所述目标用户开通与所述目标系统对应的权限范围为第一权限开通范围的所述目标权限，以便所述目标用户在所述目标系统上在第一权限开通范围内使用所述目标权限；

调整模块540，被配置为在所述目标权限满足与所述目标权限对应的权限调整规则的情况下，调整所述目标用户的所述目标权限。

据本公开的第三方面，还提供了一种能够实现上述方法的电子设备。

所属技术领域的技术人员能够理解，本发明的各个方面可以实现为系统、方法或程序产品。因此，本发明的各个方面可以具体实现为以下形式，即：完全的硬件实施方式、完全的软件实施方式(包括固件、微代码等)，或硬件和软件方面结合的实施方式，这里可以统称为“电路”、“模块”或“系统”。

下面参照图6来描述根据本发明的这种实施方式的电子设备600。图6显示的电子设备600仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。

如图6所示，电子设备600以通用计算设备的形式表现。电子设备600的组件可以包括但不限于：上述至少一个处理单元610、上述至少一个存储单元620、连接不同系统组件(包括存储单元620和处理单元610)的总线630。

其中，所述存储单元存储有程序代码，所述程序代码可以被所述处理单元610执行，使得所述处理单元610执行本说明书上述“实施例方法”部分中描述的根据本发明各种示例性实施方式的步骤。

存储单元620可以包括易失性存储单元形式的可读介质，例如随机存取存储单元(RAM)621和/或高速缓存存储单元622，还可以进一步包括只读存储单元(ROM)623。

存储单元620还可以包括具有一组(至少一个)程序模块625的程序/实用工具624，这样的程序模块625包括但不限于：操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。

总线630可以为表示几类总线结构中的一种或多种，包括存储单元总线或者存储单元控制器、外围总线、图形加速端口、处理单元或者使用多种总线结构中的任意总线结构的局域总线。

电子设备600也可以与一个或多个外部设备800(例如键盘、指向设备、蓝牙设备等)通信，还可与一个或者多个使得用户能与该电子设备600交互的设备通信，和/或与使得该电子设备600能与一个或多个其它计算设备进行通信的任何设备(例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口650进行。并且，电子设备600还可以通过网络适配器660与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。如图所示，网络适配器660通过总线630与电子设备600的其它模块通信。应当明白，尽管图中未示出，可以结合电子设备600使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。

通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本公开实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、终端装置、或者网络设备等)执行根据本公开实施方式的方法。

根据本公开的第四方面，还提供了一种计算机可读存储介质，其上存储有能够实现本说明书上述方法的程序产品。在一些可能的实施方式中，本发明的各个方面还可以实现为一种程序产品的形式，其包括程序代码，当所述程序产品在终端设备上运行时，所述程序代码用于使所述终端设备执行本说明书上述“示例性方法”部分中描述的根据本发明各种示例性实施方式的步骤。

参考图7所示，描述了根据本发明的实施方式的用于实现上述方法的程序产品700，其可以采用便携式紧凑盘只读存储器(CD-ROM)并包括程序代码，并可以在终端设备，例如个人电脑上运行。然而，本发明的程序产品不限于此，在本文件中，可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

所述程序产品可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以为但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。

计算机可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读信号介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。

可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言的任意组合来编写用于执行本发明操作的程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。

此外，上述附图仅是根据本发明示例性实施例的方法所包括的处理的示意性说明，而不是限制目的。易于理解，上述附图所示的处理并不表明或限制这些处理的时间顺序。另外，也易于理解，这些处理可以是例如在多个模块中同步或异步执行的。

应当理解的是，本发明并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围执行各种修改和改变。本发明的范围仅由所附的权利要求来限制。

Claims (10)

1.一种系统权限管理方法，其特征在于，所述方法包括：

在目标用户向管理员端发送的针对目标系统的第一权限获取请求对应的权限中有目标权限满足预设的权限转移规则的情况下，根据所述目标权限生成第二权限获取请求并将所述第二权限获取请求转发至与所述目标权限对应的第一权限代理端，其中，所述权限代理端和所述管理员端用于审核并开通所述权限获取请求对应的权限，对于同一权限，所述权限代理端的权限开通范围小于或等于所述管理员端；

获取与所述目标权限对应的第二权限代理端；

基于所述第一权限代理端和所述第二权限代理端，为所述目标用户开通与所述目标系统对应的权限范围为第一权限开通范围的所述目标权限，以便所述目标用户在所述目标系统上在第一权限开通范围内使用所述目标权限；

在所述目标权限满足与所述目标权限对应的权限调整规则的情况下，调整所述目标用户的所述目标权限。

2.根据权利要求1所述的方法，其特征在于，所述权限转移规则包括：

在所述目标用户向管理员端发送第一权限获取请求后，获取和与所述第一权限获取请求对应的每一权限对应的时间段；

从所述目标用户向管理员端发送第一权限获取请求起，确定所述第一权限获取请求对应的权限中有目标权限没有在该目标权限对应的时间段内开通。

3.根据权利要求2所述的方法，其特征在于，所述在所述目标用户向管理员端发送第一权限获取请求后，获取和与所述第一权限获取请求对应的每一权限对应的时间段，包括：

针对与所述第一权限获取请求对应的每一权限，获取该权限的权限开通难度系数；

根据每一权限的权限开通难度系数，获取和与所述第一权限获取请求对应的每一权限对应的时间段。

4.根据权利要求3所述的方法，其特征在于，所述根据每一权限的权限开通难度系数，获取和与所述第一权限获取请求对应的每一权限对应的时间段，包括：

将与所述第一权限获取请求对应的各权限的权限开通难度系数归一化到[0,1]之间；

基于归一化后的权限开通难度系数，利用如下公式获取和与所述第一权限获取请求对应的每一权限对应的时间段：

T＝A*[1-(x-1)⁴],

其中，A是预设的时间段参数系数，x是归一化后的权限开通难度系数，T是基于归一化后的权限开通难度系数获取的与权限对应的以分钟为单位的时间段。

5.根据权利要求1所述的方法，其特征在于，所述基于所述第一权限代理端和所述第二权限代理端，为所述目标用户开通与所述目标系统对应的权限范围为第一权限开通范围的所述目标权限，以便所述目标用户在所述目标系统上在第一权限开通范围内使用所述目标权限，包括：

将所述第二权限获取请求转发至与所述目标权限对应的第二权限代理端；

在所述第一权限代理端和所述第二权限代理端都同意开通所述目标权限的情况下，根据所述第一权限代理端和所述第二权限代理端对所述目标权限的权限开通范围确定第一权限开通范围，并为所述目标用户开通与所述目标系统对应的权限范围为所述第一权限开通范围的所述目标权限，以便所述目标用户在所述目标系统上在第一权限开通范围内使用所述目标权限。

6.根据权利要求1所述的方法，其特征在于，所述权限调整规则包括：管理员端的内存使用率小于预定内存使用率阈值，所述调整所述目标用户的所述目标权限，包括：

将所述第二权限获取请求转发至管理员端，以便所述管理员端根据所述第二权限获取请求重新确定所述目标权限的权限范围，并基于重新确定的所述目标权限的权限范围为所述目标用户配置与所述目标系统对应的所述目标权限。

7.根据权利要求1所述的方法，其特征在于，所述权限开通范围包括权限可使用时间和/或权限可使用次数，所述权限调整规则包括：

为所述目标权限开通的权限可使用时间为0和/或权限可使用次数为0。

8.一种系统权限管理装置，其特征在于，所述装置包括：

发送模块，被配置为在目标用户向管理员端发送的针对目标系统的第一权限获取请求对应的权限中有目标权限满足预设的权限转移规则的情况下，根据所述目标权限生成第二权限获取请求并将所述第二权限获取请求转发至与所述目标权限对应的第一权限代理端，其中，所述权限代理端和所述管理员端用于审核并开通所述权限获取请求对应的权限，对于同一权限，所述权限代理端的权限开通范围小于或等于所述管理员端；

获取模块，被配置为获取与所述目标权限对应的第二权限代理端；

开通模块，被配置为基于所述第一权限代理端和所述第二权限代理端，为所述目标用户开通与所述目标系统对应的权限范围为第一权限开通范围的所述目标权限，以便所述目标用户在所述目标系统上在第一权限开通范围内使用所述目标权限；

调整模块，被配置为在所述目标权限满足与所述目标权限对应的权限调整规则的情况下，调整所述目标用户的所述目标权限。

9.一种计算机可读程序介质，其特征在于，其存储有计算机程序指令，当所述计算机程序指令被计算机执行时，使计算机执行根据权利要求1至7中任一项所述的方法。

10.一种电子设备，其特征在于，所述电子设备包括：

处理器；

存储器，所述存储器上存储有计算机可读指令，所述计算机可读指令被所述处理器执行时，实现如权利要求1至7任一项所述的方法。

Images