CN110968858B - 一种用户权限控制方法及系统 - Google Patents

Abstract

本发明提供一种用户权限控制方法及系统，通过基于预先建立的用户所属应用的用户权限与租户权限集合的所属关系，并确定用户的用户权限，进一步基于用户权限确定用户是否对当前的应用操作具有操作权限。其中，租户权限集合包括租户权限子集、任一用户对应的角色权限子集和任一用户对应的功能包权限子集。本发明基于用户权限与租户权限集合中的租户权限子集、角色权限子集和功能包权限子集的所属关系，确定用户是否对当前的应用操作具有操作权限，实现了对用户权限的区分，提高了用户权限控制的准确性。

Description

一种用户权限控制方法及系统

技术领域

本发明涉及互联网技术领域，尤其涉及一种用户权限控制方法及系统。

背景技术

随着互联网技术的高速进步，众多的中小企业依托于互联网实现快速发展。其中，软件即服务(Software as a Service，SaaS)作为一种新型应用模式，它将软件的各个功能以租凭的方式出售给用户，用户只需以较低的成本就能获得自己所需的软件服务，减轻了用户的经济负担，深受大部分中小企业欢迎。在软件即服务应用模式中，其核心优势便是多租户的使用。进一步的，为了满足不同租户的使用需求，软件即服务需要根据不同租户的使用权限划分功能，以及为不同租户配置对应的业务服务。

目前，大多数软件即服务平台采用的都是基于角色的访问控制模型的权限控制方法。在该方法中，权限与角色相关联，用户通过成为适当的角色的成员而获得这些角色所对应的权限。然而，用户执行该角色权限所对应的操作中，会涉及到其它功能模块的权限，而该方法无法区分任一用户所拥有功能模块的权限，从而无法判断该用户是否具有操作该功能的权限。由此可知，现有技术缺乏对用户权限的区分，降低了用户权限控制的准确性。

发明内容

有鉴于此，本发明实施例提供一种用户权限控制方法及系统，以实现对用户权限的区分，提高用户权限控制的准确性。

为实现上述目的，本发明实施例提供如下技术方案：

本发明实施例第一方面公开了一种用户权限控制方法，该用户权限控制方法包括：

当用户执行任一应用操作时，基于预先建立的所述用户所属应用的用户权限与租户权限集合的所属关系，确定所述用户的用户权限，所述用户属于所述租户，所述租户权限集合由租户权限子集、任一所述用户对应的角色权限子集和任一所述用户对应的功能包权限子集构成；

若基于所述用户权限确定所述用户对所述应用操作具有操作权限，则执行所述应用操作。

优选的，在上述用户权限控制方法中，所述基于预先建立的所述用户所属应用的用户权限与租户权限集合的所属关系的过程，包括：

建立租户所属的应用，所述租户包括不同的用户；

基于所述租户所属的应用，生成所述租户对应的租户权限子集，所述租户具有所述应用对应的所有操作权限；

基于分配给任一用户的不同角色，生成任一所述用户对应的角色权限子集，每一所述角色具有不同应用，且每一所述角色对应一类操作权限；

基于分配给任一所述用户的不同应用所对应的功能包，生成任一所述用户对应的功能包权限子集，每一所述功能包对应一类操作权限；

集合所述租户权限子集、任一所述用户对应的角色权限子集和任一所述用户对应的功能包权限子集，生成所述租户的租户权限集合；

建立任一所述用户所属应用的用户权限与所述租户权限集合的所属关系，所述用户权限包括角色权限子集和功能包权限子集。

优选的，在上述用户权限控制方法中，所述基于所述用户权限确定所述用户对所述应用操作具有操作权限，包括：

获取预先建立的所述用户所属应用的用户权限与所述租户权限集合的所属关系，所述所属关系为所述用户权限属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集的交集；

查询当前所述用户执行的所述应用操作的用户权限是否属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集的交集；

若属于，则确定所述用户对所述应用操作具有操作权限；

若不属于，则确定所述用户对所述应用操作不具有操作权限。

优选的，在上述用户权限控制方法中，所述基于所述用户权限确定所述用户对所述应用操作具有操作权限，包括：

获取预先建立的所述用户所属应用的用户权限与所述租户权限集合的所属关系，所述所属关系为所述用户权限属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集之间任一两个子集的交集；

查询当前所述用户执行的所述应用操作的用户权限是否属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集之间任一两个子集的交集；

若属于，则确定所述用户对所述应用操作具有操作权限；

若不属于，则确定所述用户对所述应用操作不具有操作权限。

优选的，在上述用户权限控制方法中，还包括：

若确定所述用户所属应用的用户权限不属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集；

判断所述用户权限是否分配有特定的功能权限，所述特定的功能权限为分配给所述用户的特定操作接口；

若是，则确定所述用户基于所述特定的功能权限执行所述应用操作。

本发明实施例第二方面公开了一种用户权限控制系统，该用户权限控制系统包括：

确定单元，用于当用户执行任一应用操作时，基于预先建立的所述用户所属应用的用户权限与租户权限集合的所属关系，确定所述用户的用户权限，所述用户属于所述租户，所述租户权限集合由租户权限子集、任一所述用户对应的角色权限子集和任一所述用户对应的功能包权限子集构成；

第一执行单元，用于若基于所述用户权限确定所述用户对所述应用操作具有操作权限，则执行所述应用操作。

优选的，在上述用户权限控制系统中，所述确定单元，包括：

建立模块，用于建立租户所属的应用，所述租户包括不同的用户；

第一权限子集生成模块，用于基于所述租户所属的应用，生成所述租户对应的租户权限子集，所述租户具有所述应用对应的所有操作权限；

第二权限子集生成模块，用于基于分配给任一用户的不同角色，生成任一所述用户对应的角色权限子集，每一所述角色具有不同应用，且每一所述角色对应一类操作权限；

第三权限子集生成模块，用于基于分配给任一所述用户的不同应用所对应的功能包，生成任一所述用户对应的功能包权限子集，每一所述功能包对应一类操作权限；

权限集合生成模块，用于集合所述租户权限子集、任一所述用户对应的角色权限子集和任一所述用户对应的功能包权限子集，生成所述租户的租户权限集合；

关系构建模块，用于建立任一所述用户所属应用的用户权限与所述租户权限集合的所属关系，所述用户权限包括角色权限子集和功能包权限子集。

优选的，在上述用户权限控制系统中，还包括：

第二执行单元，用于若确定所述用户所属应用的用户权限不属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集；判断所述用户权限是否分配有特定的功能权限，所述特定的功能权限为分配给所述用户的特定操作接口；若是，则确定所述用户基于所述特定的功能权限执行所述应用操作。

本发明实施例第三方面公开了一种存储介质，所述存储介质包括存储的程序，其中，在所述程序运行时控制所述存储介质所在设备执行如上述本发明实施例第一方面公开的用户权限控制方法。

本发明实施例第四方面公开了一种处理器，所述处理器用于运行程序，其中，所述程序运行时执行如上述本发明实施例第一方面公开的用户权限控制方法。

基于上述本发明实施例提供的一种用户权限控制方法、系统、存储介质及处理器，通过基于预先建立的所述用户所属应用的用户权限与租户权限集合的所属关系，并确定所述用户的用户权限，进一步基于所述用户权限确定所述用户是否对当前的应用操作具有操作权限。其中，所述租户权限集合包括所述租户权限子集、任一所述用户对应的角色权限子集和任一所述用户对应的功能包权限子集。本发明实施例基于用户权限与所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集的所属关系，确定所述用户是否对当前的应用操作具有操作权限，实现了对用户权限的区分，提高了用户权限控制的准确性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本发明实施例提供的一种用户权限控制方法的流程示意图；

图2为本发明实施例提供的另一种用户权限控制方法的流程示意图；

图3a为本发明实施例提供的另一种用户权限控制方法的流程示意图；

图3b为本发明实施例提供的一种所属关系的示意图；

图4a为本发明实施例提供的另一种用户权限控制方法的流程示意图；

图4b为本发明实施例提供的另一种所属关系的示意图；

图4c为本发明实施例提供的另一种所属关系的示意图；

图4d为本发明实施例提供的另一种所属关系的示意图；

图5a为本发明实施例提供的另一种用户权限控制方法的流程示意图；

图5b为本发明实施例提供的另一种所属关系的示意图；

图6为本发明实施例提供的一种用户权限控制系统的结构示意图；

图7为本发明实施例提供的另一种用户权限控制系统的结构示意图；

图8为本发明实施例提供的另一种用户权限控制系统的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在本申请中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

如图1所示，为本发明实施例提供的一种用户权限控制方法的流程示意图，包括如下步骤：

S101：当用户执行任一应用操作时，基于预先建立的所述用户所属应用的用户权限与租户权限集合的所属关系，确定所述用户的用户权限。

在S101中，所述用户属于所述租户，所述租户可以包括多个用户。此外，不同的租户对应不同的应用，可选的，所述应用可以为体验版、标准版、增强版、定制版等预先设计的应用。

需要说明的是，所述租户权限集合由租户权限子集、任一所述用户对应的角色权限子集和任一所述用户对应的功能包权限子集构成，所述用户权限与租户权限集合的所属关系也有所不同。

优选的，上述具体实现S101的过程，如图2所示，包括如下步骤：

S201：建立租户所属的应用。

在S201中，所述租户包括不同的用户，不同的租户对应建立不同的应用。

S202：基于所述租户所属的应用，生成所述租户对应的租户权限子集。

在S202中，所述租户具有所述应用对应的所有操作权限，也就是说，所述租户权限子集包括所述应用对应的所有操作权限。

S203：基于分配给任一用户的不同角色，生成任一所述用户对应的角色权限子集。

在S203中，每一所述角色具有不同应用，且每一所述角色对应一类操作权限，也就是说，所述角色权限子集包括多个角色对应的操作权限。

S204：基于分配给任一所述用户的不同应用所对应的功能包，生成任一所述用户对应的功能包权限子集。

在S204中，每一所述功能包对应一类操作权限，也就是说所述功能包权限子集包括多个功能包对应的操作权限。

S205：集合所述租户权限子集、任一所述用户对应的角色权限子集和任一所述用户对应的功能包权限子集，生成所述租户的租户权限集合。

在S205中，所述租户权限集合包括属于所述租户内的所有用户对应的角色权限子集、属于所述租户内的所有用户对应的功能包权限子集、以及属于所述租户内的单个应用对应的租户权限子集。

S206：建立任一所述用户所属应用的用户权限与所述租户权限集合的所属关系。

在S206中，所述用户权限包括角色权限子集和功能包权限子集。

S102：若基于所述用户权限确定所述用户对所述应用操作具有操作权限，则执行所述应用操作。

在S102中，所述用户权限与对应的所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集具有所属关系，则所述用户对所述应用操作具有操作权限，从而可执行所述应用操作。

需要说明的是，根据所述用户权限与上述示出的租户权限集合中各个权限子集的所属关系，判断所述用户权限是否与对应的各个权限子集具有从属关系，若所述用户与对应的各个权限子集具有从属关系，则所述用户对所述应用操作具有操作权限，所述用户可执行所述应用操作，否则所述用户对所述应用操作不具有操作权限。

进一步需要说明的是，由于所述租户权限集合中包括不同的权限子集，故所述用户与对应的各个权限子集之间的从属关系也会有所不同。本发明通过以下实施例进行详细说明。

优选的，结合上述图2示出的S201至S206，如图3a所示，基于所述用户权限确定所述用户是否对所述应用操作具有操作权限的一种具体实现方式，包括如下步骤：

S301：获取预先建立的所述用户所属应用的用户权限与所述租户权限集合的所属关系，所述所属关系为所述用户权限属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集的交集。

在S301中，所述用户所属应用的用户权限既属于所述租户权限子集，也属于所述角色权限子集，并且还属于所述功能包权限子集。

可选的，所述所属关系为所述用户权限属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集的交集的具体原理结构，如图3b所示。

S302：查询当前所述用户执行的所述应用操作的用户权限是否属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集的交集。

在S302中，若当前所述用户执行的所述应用操作的用户权限属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集的交集，则确定所述用户对所述应用操作具有操作权限，否则确定所述用户对所述应用操作不具有操作权限。

为了方便理解上述图3b示出的所述所属关系为所述用户权限属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集的交集的具体实现方式，下面进行举例说明。

可选的，现有一自动化营销中心应用模块，有一用户欲执行“创建营销活动”的操作。

首先，获取预先建立的所述用户所属应用的用户权限与所述租户权限集合的所属关系。其中，角色权限子集为{R₁,R₂,R₆,R₇,R₈}，功能包权限子集为{R₁,R₂,R₃,R₄,R₅}，租户权限子集为{R₁,R₂,R₃,R₄,R₅}，所述用户所属自动化营销中心应用的用户权限为{R₁,R₂}。

然后，查询当前所述用户执行的所述应用操作的用户权限是否属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集的交集。因“创建营销活动”的应用操作对应的权限为R₁，所述权限R₁既属于角色权限子集{R₁,R₂,R₆,R₇,R₈}，又属于功能包权限子集为{R₁,R₂,R₃,R₄,R₅}，并且还属于租户权限子集{R₁,R₂,R₃,R₄,R₅}。因此，所述用户对“创建营销活动”具有操作权限。

优选的，结合上述图2示出的S201至S206，如图4a所示，基于所述用户权限确定所述用户是否对所述应用操作具有操作权限的另一种具体实现方式，包括如下步骤：

S401：获取预先建立的所述用户所属应用的用户权限与所述租户权限集合的所属关系，所述所属关系为所述用户权限属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集之间任一两个子集的交集。

在S401中，所述用户所属应用的用户权限属于所述租户权限子集，并且还属于所述角色权限子集和所述功能包权限子集之间任何一个或两个权限子集。

可选的，所述所属关系为所述用户所属应用的用户权限属于所述租户权限子集，并且还属于所述角色权限子集的具体原理结构，如图4b所示。

可选的，所述所属关系为所述用户所属应用的用户权限属于所述租户权限子集，并且还属于所述功能包权限子集的具体原理结构，如图4c所示。

可选的，所述所属关系为所述用户所属应用的用户权限属于所述租户权限子集，并且还属于所述角色权限子集或者所述功能包权限子集的具体原理结构，如图4d所示。

S402：查询当前所述用户执行的所述应用操作的用户权限是否属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集之间任一两个子集的交集。

在S402中，若当前所述用户执行的所述应用操作的用户权限属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集之间任一两个子集的交集，则确定所述用户对所述应用操作具有操作权限，否则确定所述用户对所述应用操作不具有操作权限。

可选的，若所述用户所属应用的用户权限属于所述租户权限子集，并且还属于所述角色权限子集，则确定所述用户对所述应用操作具有操作权限。

可选的，若所述用户所属应用的用户权限属于所述租户权限子集，并且还属于所述功能包权限子集，则确定所述用户对所述应用操作具有操作权限。

可选的，若所述用户所属应用的用户权限属于所述租户权限子集，并且还属于所述角色权限子集或者所述功能包权限子集，则确定所述用户对所述应用操作具有操作权限。

为了方便理解上述图4b示出的所述所属关系为所述用户所属应用的用户权限属于所述租户权限子集，并且还属于所述角色权限子集的具体实现方式，下面进行举例说明。

可选的，现有一标签管理应用模块，有一用户欲执行“标签排序”的操作。

首先，获取预先建立的所述用户所属应用的用户权限与所述租户权限集合的所属关系。其中，所述角色权限子集为{R₁,R₂,R₆,R₇,R₈}，所述功能包权限子集为{R₁,R₂,R₃,R₄,R₅}，所述租户权限子集为{R₁,R₂,R₃,R₄,R₅,R₆,R₇,R₈}，所述用户所属标签管理应用的用户权限为{R₁,R₆}。

然后，查询当前所述用户执行的所述应用操作的用户权限是否属于所述租户权限子集和所述角色权限子集的交集。因“标签排序”的应用操作对应的权限为R₆，所述权限R₆既属于角色权限子集{R₁,R₂,R₆,R₇,R₈}，又属于租户权限子集{R₁,R₂,R₃,R₄,R₅,R₆,R₇,R₈}。因此，所述用户对“标签排序”具有操作权限。

为了方便理解上述图4c示出的所述所属关系为所述用户所属应用的用户权限属于所述租户权限子集，并且还属于所述功能包权限子集的具体实现方式，下面进行举例说明。

可选的，现有一系统通知应用模块，有一用户欲执行“系统消息查看”的操作。

首先，获取预先建立的所述用户所属应用的用户权限与所述租户权限集合的所属关系。其中，所述角色权限子集为{R₁,R₂,R₆,R₇,R₈}，所述功能包权限子集为{R₁,R₂,R₃,R₄,R₅}，所述租户权限子集为{R₁,R₂,R₃,R₄,R₅,R₆,R₇,R₈}，所述用户所属系统通知应用的用户权限为{R₁,R₃}。

然后，查询当前所述用户执行的所述应用操作的用户权限是否属于所述租户权限子集和所述功能包权限子集的交集。因“系统消息查看”的应用操作对应的权限为R₃，所述权限R₃既属于功能包权限子集{R₁,R₂,R₃,R₄,R₅}，又属于租户权限子集{R₁,R₂,R₃,R₄,R₅,R₆,R₇,R₈}。因此，所述用户对“系统消息查看”具有操作权限。

为了方便理解上述图4d示出的所述所属关系为所述用户所属应用的用户权限属于所述租户权限子集，并且还属于所述角色权限子集或者所述功能包权限子集的具体实现方式，下面进行举例说明。

可选的，现有一多公众号消息管理应用模块，有一用户欲执行“消息筛选”的操作。

首先，获取预先建立的所述用户所属应用的用户权限与所述租户权限集合的所属关系。其中，所述角色权限子集为{R₁,R₂,R₆,R₇,R₈}或者{R₁,R₂,R₄,R₆,R₇,R₈}，所述功能包权限子集为{R₁,R₂,R₃,R₄,R₅}，所述租户权限子集为{R₁,R₂,R₃,R₄,R₅,R₆,R₇,R₈}，所述用户所属多公众号消息管理应用的用户权限为{R₁,R₄}。

然后，查询当前所述用户执行的所述应用操作的用户权限是否属于所述租户权限子集和所述功能包权限子集的交集，或者是否属于所述租户权限子集和所述角色权限子集的交集。因“消息筛选”的应用操作对应的权限为R₄，所述权限R₄既属于功能包权限子集{R₁,R₂,R₃,R₄,R₅}，又属于租户权限子集{R₁,R₂,R₃,R₄,R₅,R₆,R₇,R₈}，且有可能属于所述角色权限子集{R₁,R₂,R₄,R₆,R₇,R₈}。因此，所述用户对“消息筛选”具有操作权限。

在本发明实施例中，通过基于预先建立的所述用户所属应用的用户权限与租户权限集合的所属关系，并确定所述用户的用户权限，进一步基于所述用户权限确定所述用户是否对当前的应用操作具有操作权限。其中，所述租户权限集合包括所述租户权限子集、任一所述用户对应的角色权限子集和任一所述用户对应的功能包权限子集。本发明实施例基于用户权限与所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集的所属关系，确定所述用户是否对当前的应用操作具有操作权限，实现了对用户权限的区分，提高了用户权限控制的准确性。

优选的，在上述图1示出的方法中，若所述用户所属应用的用户权限不属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集，虽然所述用户对所述应用操作不具有操作权限，但是应用系统中还是会让所述用户具有少些基础操作权限从而提高用户的操作体验，故所述用户还可以具有特定的功能权限，所述特定的功能权限为预先分配给所述用户的特定操作接口。

优选的，如图5a所示，为本发明实施例提供的另一种用户权限控制方法的流程示意图，包括如下步骤：

S501：当用户执行任一应用操作时，基于预先建立的所述用户所属应用的用户权限与租户权限集合的所属关系，确定所述用户的用户权限。

在S501中，步骤S501的具体执行过程和实现原理与上述图1示出的步骤S101的具体执行过程和实现原理一致，可参见，这里不再赘述。

S502：若基于所述用户权限确定所述用户对所述应用操作具有操作权限，则执行所述应用操作。

在S502中，步骤S502的具体执行过程和实现原理与上述图1示出的步骤S102的具体执行过程和实现原理一致，可参见，这里不再赘述。

S503：若确定所述用户所属应用的用户权限不属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集。

在S503中，所述用户所属应用的用户权限既不属于所述租户权限子集，也不属于所述角色权限子集，并且不属于所述功能包权限子集。

可选的，所述所属关系为所述用户权限不属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集的具体原理结构，如图5b所示。

S504：判断所述用户权限是否分配有特定的功能权限。

在S504中，所述特定的功能权限为分配给所述用户的特定操作接口。在本发明实施中，可选的，所述特定操作接口可以为登出应用、关闭应用等预先分配的特定操作接口。若所述用户权限分配有所述特定的功能权限，则执行步骤S505。

S505：确定所述用户基于所述特定的功能权限执行所述应用操作。

在S505中，所述用户分配有所述特定的功能权限，所述特定的功能权限对应特定的应用操作，则所述用户具有执行所述特定的应用操作的操作权限。

为了方便理解上述图5b示出的所述所属关系为所述用户权限不属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集的具体实现方式，下面进行举例说明。

可选的，现有一系统登出应用模块，有一用户欲执行“系统登出”的操作。

首先，获取预先建立的所述用户所属应用的用户权限与所述租户权限集合的所属关系。其中，所述角色权限子集为{R₁,R₂,R₆,R₇,R₈}，所述功能包权限子集为{R₁,R₂,R₃,R₄,R₅}，所述租户权限子集为{R₁,R₂,R₃,R₄,R₅,R₆,R₇,R₈}，所述用户所属系统登出应用的用户权限为{R₁₀,R₁₁}。

然后，查询当前所述用户执行的所述应用操作的用户权限是否不属于所述租户权限子集、所述角色权限子集和所述功能包权限子集。因“系统登出”的应用操作对应的权限为R₁₀，所述权限R₁₀既不属于功能包权限子集{R₁,R₂,R₃,R₄,R₅}，又不属于租户权限子集{R₁,R₂,R₃,R₄,R₅,R₆,R₇,R₈}，并且不属于所述角色权限子集{R₁,R₂,R₆,R₇,R₈}。然而，所述权限R₁₀和所述权限R₁₁是应用系统分配用户的特定的操作接口，即所述用户权限分配有特定的功能权限。因此，所述用户对“系统登出”具有操作权限。

在本发明实施例中，通过基于预先建立的所述用户所属应用的用户权限与租户权限集合的所属关系，并确定所述用户的用户权限，进一步基于所述用户权限确定所述用户是否对当前的应用操作具有操作权限。其中，所述租户权限集合包括所述租户权限子集、任一所述用户对应的角色权限子集和任一所述用户对应的功能包权限子集。本发明实施例基于用户权限与所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集的所属关系，确定所述用户是否对当前的应用操作具有操作权限，实现了对用户权限的区分，提高了用户权限控制的准确性。

基于上述本发明实施例提供的用户权限控制方法，本发明实施例还对应提供了一种用户权限控制系统，如图6所示，所述用户权限控制系统包括：

确定单元601，用于当用户执行任一应用操作时，基于预先建立的所述用户所属应用的用户权限与租户权限集合的所属关系，确定所述用户的用户权限，所述用户属于所述租户，所述用户属于所述租户，所述租户权限集合由租户权限子集、任一所述用户对应的角色权限子集和任一所述用户对应的功能包权限子集构成。

第一执行单元602，用于若基于所述用户权限确定所述用户对所述应用操作具有操作权限，则执行所述应用操作。

在本发明实施例中，通过基于预先建立的所述用户所属应用的用户权限与租户权限集合的所属关系，并确定所述用户的用户权限，进一步基于所述用户权限确定所述用户是否对当前的应用操作具有操作权限。本发明实施例基于用户权限与所述租户权限集合的所属关系，确定所述用户是否对当前的应用操作具有操作权限，实现了对用户权限的区分，提高了用户权限控制的准确性。

优选的，结合图6示出的用户权限控制系统，参考图7，所述确定单元包括：

建立模块701，用于建立租户所属的应用，所述租户包括不同的用户。

第一权限子集生成模块702，用于基于所述租户所属的应用，生成所述租户对应的租户权限子集，所述租户具有所述应用对应的所有操作权限。

第二权限子集生成模块703，用于基于分配给任一用户的不同角色，生成任一所述用户对应的角色权限子集，每一所述角色具有不同应用，且每一所述角色对应一类操作权限。

第三权限子集生成模块704，用于基于分配给任一所述用户的不同应用所对应的功能包，生成任一所述用户对应的功能包权限子集，每一所述功能包对应一类操作权限。

权限集合生成模块705，用于集合所述租户权限子集、任一所述用户对应的角色权限子集和任一所述用户对应的功能包权限子集，生成所述租户的租户权限集合。

关系构建模块706，用于建立任一所述用户所属应用的用户权限与所述租户权限集合的所属关系，所述用户权限包括角色权限子集和功能包权限子集。

在本发明实施例中，通过基于预先建立的所述用户所属应用的用户权限与租户权限集合的所属关系，并确定所述用户的用户权限，进一步基于所述用户权限确定所述用户是否对当前的应用操作具有操作权限。其中，所述租户权限集合包括所述租户权限子集、任一所述用户对应的角色权限子集和任一所述用户对应的功能包权限子集。本发明实施例基于用户权限与所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集的所属关系，确定所述用户是否对当前的应用操作具有操作权限，实现了对用户权限的区分，提高了用户权限控制的准确性。

优选的，结合上述本发明实施例示出的用户权限控制方法，本发明实施例还提供了另一种用户权限控制系统，如图8所示，该用户权限控制系统包括：

确定单元801，用于当用户执行任一应用操作时，基于预先建立的所述用户所属应用的用户权限与租户权限集合的所属关系，确定所述用户的用户权限，所述用户属于所述租户，所述用户属于所述租户，所述租户权限集合由租户权限子集、任一所述用户对应的角色权限子集和任一所述用户对应的功能包权限子集构成。

第一执行单元802，用于若基于所述用户权限确定所述用户对所述应用操作具有操作权限，则执行所述应用操作。

第二执行单元803，用于若确定所述用户所属应用的用户权限不属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集；判断所述用户权限是否分配有特定的功能权限，所述特定的功能权限为分配给所述用户的特定操作接口；若是，则确定所述用户基于所述特定的功能权限执行所述应用操作。

在本发明实施例中，通过基于预先建立的所述用户所属应用的用户权限与租户权限集合的所属关系，并确定所述用户的用户权限，进一步基于所述用户权限确定所述用户是否对当前的应用操作具有操作权限。其中，所述租户权限集合包括所述租户权限子集、任一所述用户对应的角色权限子集和任一所述用户对应的功能包权限子集。本发明实施例基于用户权限与所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集的所属关系，确定所述用户是否对当前的应用操作具有操作权限，实现了对用户权限的区分，提高了用户权限控制的准确性。

基于上述本发明实施例公开的用户权限控制系统，上述各个模块可以通过一种由处理器和存储器构成的硬件设备实现。具体为：上述各个模块作为程序单元存储于存储器中，由处理器执行存储在存储器中的上述程序单元来实现用户权限控制。

其中，处理器中包含内核，由内核去存储器中调取相应的程序单元。内核可以设置一个或以上，通过调整内核参数来实现用户权限控制。

存储器可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)，存储器包括至少一个存储芯片。

进一步的，本发明实施例提供了一种处理器，所述处理器用于运行程序，其中，所述程序运行时执行用户权限控制方法。

进一步的，本发明实施例提供了一种设备，该设备包括处理器、存储器及存储在存储器上并可在处理器上运行的程序，处理器执行程序时实现以下步骤：当用户执行任一应用操作时，基于预先建立的所述用户所属应用的用户权限与租户权限集合的所属关系，确定所述用户的用户权限，所述用户属于所述租户，所述租户权限集合由租户权限子集、任一所述用户对应的角色权限子集和任一所述用户对应的功能包权限子集构成；若基于所述用户权限确定所述用户对所述应用操作具有操作权限，则执行所述应用操作。

其中，所述基于预先建立的所述用户所属应用的用户权限与租户权限集合的所属关系的过程，包括：建立租户所属的应用，所述租户包括不同的用户；基于所述租户所属的应用，生成所述租户对应的租户权限子集，所述租户具有所述应用对应的所有操作权限；基于分配给任一用户的不同角色，生成任一所述用户对应的角色权限子集，每一所述角色具有不同应用，且每一所述角色对应一类操作权限；基于分配给任一所述用户的不同应用所对应的功能包，生成任一所述用户对应的功能包权限子集，每一所述功能包对应一类操作权限；集合所述租户权限子集、任一所述用户对应的角色权限子集和任一所述用户对应的功能包权限子集，生成所述租户的租户权限集合；建立任一所述用户所属应用的用户权限与所述租户权限集合的所属关系，所述用户权限包括角色权限子集和功能包权限子集。

其中，所述基于所述用户权限确定所述用户对所述应用操作具有操作权限，包括：获取预先建立的所述用户所属应用的用户权限与所述租户权限集合的所属关系，所述所属关系为所述用户权限属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集的交集；查询当前所述用户执行的所述应用操作的用户权限是否属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集的交集；若属于，则确定所述用户对所述应用操作具有操作权限；若不属于，则确定所述用户对所述应用操作不具有操作权限。获取预先建立的所述用户所属应用的用户权限与所述租户权限集合的所属关系，所述所属关系为所述用户权限属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集之间任一两个子集的交集；查询当前所述用户执行的所述应用操作的用户权限是否属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集之间任一两个子集的交集；若属于，则确定所述用户对所述应用操作具有操作权限；若不属于，则确定所述用户对所述应用操作不具有操作权限。

进一步的，若确定所述用户所属应用的用户权限不属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集；判断所述用户权限是否分配有特定的功能权限，所述特定的功能权限为分配给所述用户的特定操作接口；若是，则确定所述用户基于所述特定的功能权限执行所述应用操作。

本发明实施例中公开的设备可以是PC、PAD、手机等。

进一步的，本发明实施例还提供了一种存储介质，其上存储有程序，该程序被处理器执行时实现用户权限控制。

本申请还提供了一种计算机程序产品，当在数据处理设备上执行时，适于执行初始化有如下方法步骤的程序：

当用户执行任一应用操作时，基于预先建立的所述用户所属应用的用户权限与租户权限集合的所属关系，确定所述用户的用户权限，所述用户属于所述租户，所述租户权限集合由租户权限子集、任一所述用户对应的角色权限子集和任一所述用户对应的功能包权限子集构成；若基于所述用户权限确定所述用户对所述应用操作具有操作权限，则执行所述应用操作。

其中，所述基于预先建立的所述用户所属应用的用户权限与租户权限集合的所属关系的过程，包括：建立租户所属的应用，所述租户包括不同的用户；基于所述租户所属的应用，生成所述租户对应的租户权限子集，所述租户具有所述应用对应的所有操作权限；基于分配给任一用户的不同角色，生成任一所述用户对应的角色权限子集，每一所述角色具有不同应用，且每一所述角色对应一类操作权限；基于分配给任一所述用户的不同应用所对应的功能包，生成任一所述用户对应的功能包权限子集，每一所述功能包对应一类操作权限；集合所述租户权限子集、任一所述用户对应的角色权限子集和任一所述用户对应的功能包权限子集，生成所述租户的租户权限集合；建立任一所述用户所属应用的用户权限与所述租户权限集合的所属关系，所述用户权限包括角色权限子集和功能包权限子集。

其中，所述基于所述用户权限确定所述用户对所述应用操作具有操作权限，包括：获取预先建立的所述用户所属应用的用户权限与所述租户权限集合的所属关系，所述所属关系为所述用户权限属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集的交集；查询当前所述用户执行的所述应用操作的用户权限是否属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集的交集；若属于，则确定所述用户对所述应用操作具有操作权限；若不属于，则确定所述用户对所述应用操作不具有操作权限。获取预先建立的所述用户所属应用的用户权限与所述租户权限集合的所属关系，所述所属关系为所述用户权限属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集之间任一两个子集的交集；查询当前所述用户执行的所述应用操作的用户权限是否属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集之间任一两个子集的交集；若属于，则确定所述用户对所述应用操作具有操作权限；若不属于，则确定所述用户对所述应用操作不具有操作权限。

进一步的，若确定所述用户所属应用的用户权限不属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集；判断所述用户权限是否分配有特定的功能权限，所述特定的功能权限为分配给所述用户的特定操作接口；若是，则确定所述用户基于所述特定的功能权限执行所述应用操作。

本领域内的技术人员应明白，本申请的实施例可提供为方法、装置、客户端、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

存储器可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。存储器是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统或系统实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的系统及系统实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (8)

1.一种用户权限控制方法，其特征在于，所述方法包括：

当用户执行任一应用操作时，基于预先建立的所述用户所属应用的用户权限与租户权限集合的所属关系，确定所述用户的用户权限，所述用户属于所述租户，所述租户权限集合由租户权限子集、任一所述用户对应的角色权限子集和任一所述用户对应的功能包权限子集构成；

若基于所述用户权限确定所述用户对所述应用操作具有操作权限，则执行所述应用操作；

所述基于预先建立的所述用户所属应用的用户权限与租户权限集合的所属关系的过程，包括：

建立租户所属的应用，所述租户包括不同的用户；

基于所述租户所属的应用，生成所述租户对应的租户权限子集，所述租户具有所述应用对应的所有操作权限；

基于分配给任一用户的不同角色，生成任一所述用户对应的角色权限子集，每一所述角色具有不同应用，且每一所述角色对应一类操作权限；

基于分配给任一所述用户的不同应用所对应的功能包，生成任一所述用户对应的功能包权限子集，每一所述功能包对应一类操作权限；

集合所述租户权限子集、任一所述用户对应的角色权限子集和任一所述用户对应的功能包权限子集，生成所述租户的租户权限集合；所述租户权限集合包括属于所述租户内的所有用户对应的角色权限子集、属于所述租户内的所有用户对应的功能包权限子集、以及属于所述租户内的单个应用对应的租户权限子集；

建立任一所述用户所属应用的用户权限与所述租户权限集合的所属关系，所述用户权限包括角色权限子集和功能包权限子集。

2.根据权利要求1所述的方法，其特征在于，所述基于所述用户权限确定所述用户对所述应用操作具有操作权限，包括：

获取预先建立的所述用户所属应用的用户权限与所述租户权限集合的所属关系，所述所属关系为所述用户权限属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集的交集；

查询当前所述用户执行的所述应用操作的用户权限是否属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集的交集；

若属于，则确定所述用户对所述应用操作具有操作权限；

若不属于，则确定所述用户对所述应用操作不具有操作权限。

3.根据权利要求1所述的方法，其特征在于，所述基于所述用户权限确定所述用户对所述应用操作具有操作权限，包括：

获取预先建立的所述用户所属应用的用户权限与所述租户权限集合的所属关系，所述所属关系为所述用户权限属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集之间任一两个子集的交集；

查询当前所述用户执行的所述应用操作的用户权限是否属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集之间任一两个子集的交集；

若属于，则确定所述用户对所述应用操作具有操作权限；

若不属于，则确定所述用户对所述应用操作不具有操作权限。

4.根据权利要求1所述的方法，其特征在于，还包括：

若确定所述用户所属应用的用户权限不属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集；

判断所述用户权限是否分配有特定的功能权限，所述特定的功能权限为分配给所述用户的特定操作接口；

若是，则确定所述用户基于所述特定的功能权限执行所述应用操作。

5.一种用户权限控制系统，其特征在于，包括：

确定单元，用于当用户执行任一应用操作时，基于预先建立的所述用户所属应用的用户权限与租户权限集合的所属关系，确定所述用户的用户权限，所述用户属于所述租户，所述租户权限集合由租户权限子集、任一所述用户对应的角色权限子集和任一所述用户对应的功能包权限子集构成；

第一执行单元，用于若基于所述用户权限确定所述用户对所述应用操作具有操作权限，则执行所述应用操作；

所述确定单元，包括：

建立模块，用于建立租户所属的应用，所述租户包括不同的用户；

第一权限子集生成模块，用于基于所述租户所属的应用，生成所述租户对应的租户权限子集，所述租户具有所述应用对应的所有操作权限；

第二权限子集生成模块，用于基于分配给任一用户的不同角色，生成任一所述用户对应的角色权限子集，每一所述角色具有不同应用，且每一所述角色对应一类操作权限；

第三权限子集生成模块，用于基于分配给任一所述用户的不同应用所对应的功能包，生成任一所述用户对应的功能包权限子集，每一所述功能包对应一类操作权限；

权限集合生成模块，用于集合所述租户权限子集、任一所述用户对应的角色权限子集和任一所述用户对应的功能包权限子集，生成所述租户的租户权限集合；所述租户权限集合包括属于所述租户内的所有用户对应的角色权限子集、属于所述租户内的所有用户对应的功能包权限子集、以及属于所述租户内的单个应用对应的租户权限子集；

关系构建模块，用于建立任一所述用户所属应用的用户权限与所述租户权限集合的所属关系，所述用户权限包括角色权限子集和功能包权限子集。

6.根据权利要求5所述的系统，其特征在于，还包括：

第二执行单元，用于若确定所述用户所属应用的用户权限不属于所述租户权限集合中的所述租户权限子集、所述角色权限子集和所述功能包权限子集；判断所述用户权限是否分配有特定的功能权限，所述特定的功能权限为分配给所述用户的特定操作接口；若是，则确定所述用户基于所述特定的功能权限执行所述应用操作。

7.一种存储介质，其特征在于，所述存储介质包括存储的程序，其中，在所述程序运行时控制所述存储介质所在设备执行如权利要求1-4中任一项所述的用户权限控制方法。

8.一种处理器，其特征在于，所述处理器用于运行程序，其中，所述程序运行时执行如权利要求1-4中任一项所述的用户权限控制方法。

Images