CN110968894A - 一种针对游戏业务数据的细粒度访问控制方案 - Google Patents
一种针对游戏业务数据的细粒度访问控制方案 Download PDFInfo
- Publication number
- CN110968894A CN110968894A CN201911194524.8A CN201911194524A CN110968894A CN 110968894 A CN110968894 A CN 110968894A CN 201911194524 A CN201911194524 A CN 201911194524A CN 110968894 A CN110968894 A CN 110968894A
- Authority
- CN
- China
- Prior art keywords
- data
- authority
- user
- access
- column
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/60—Protecting data
- G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
- G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
-
- A—HUMAN NECESSITIES
- A63—SPORTS; GAMES; AMUSEMENTS
- A63F—CARD, BOARD, OR ROULETTE GAMES; INDOOR GAMES USING SMALL MOVING PLAYING BODIES; VIDEO GAMES; GAMES NOT OTHERWISE PROVIDED FOR
- A63F13/00—Video games, i.e. games using an electronically generated display having two or more dimensions
- A63F13/70—Game security or game management aspects
- A63F13/71—Game security or game management aspects using secure communication between game devices and game servers, e.g. by encrypting game data or authenticating players
-
- A—HUMAN NECESSITIES
- A63—SPORTS; GAMES; AMUSEMENTS
- A63F—CARD, BOARD, OR ROULETTE GAMES; INDOOR GAMES USING SMALL MOVING PLAYING BODIES; VIDEO GAMES; GAMES NOT OTHERWISE PROVIDED FOR
- A63F13/00—Video games, i.e. games using an electronically generated display having two or more dimensions
- A63F13/70—Game security or game management aspects
- A63F13/77—Game security or game management aspects involving data related to game devices or game servers, e.g. configuration data, software version or amount of memory
-
- A—HUMAN NECESSITIES
- A63—SPORTS; GAMES; AMUSEMENTS
- A63F—CARD, BOARD, OR ROULETTE GAMES; INDOOR GAMES USING SMALL MOVING PLAYING BODIES; VIDEO GAMES; GAMES NOT OTHERWISE PROVIDED FOR
- A63F2300/00—Features of games using an electronically generated display having two or more dimensions, e.g. on a television screen, showing representations related to the game
- A63F2300/50—Features of games using an electronically generated display having two or more dimensions, e.g. on a television screen, showing representations related to the game characterized by details of game servers
- A63F2300/53—Features of games using an electronically generated display having two or more dimensions, e.g. on a television screen, showing representations related to the game characterized by details of game servers details of basic data processing
- A63F2300/532—Features of games using an electronically generated display having two or more dimensions, e.g. on a television screen, showing representations related to the game characterized by details of game servers details of basic data processing using secure communication, e.g. by encryption, authentication
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices
-
- Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
- Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
- Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
- Y02D10/00—Energy efficient computing, e.g. low power processors, power management or thermal management
Landscapes
- Engineering & Computer Science (AREA)
- Multimedia (AREA)
- Computer Security & Cryptography (AREA)
- Business, Economics & Management (AREA)
- General Business, Economics & Management (AREA)
- Theoretical Computer Science (AREA)
- General Health & Medical Sciences (AREA)
- Bioethics (AREA)
- Health & Medical Sciences (AREA)
- Computer Hardware Design (AREA)
- Software Systems (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Databases & Information Systems (AREA)
- Storage Device Security (AREA)
- Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
Abstract
本发明提供了一种针对游戏业务数据的细粒度访问控制方案,首先建立基于游戏数据特征的访问控制模型,然后通过对不用数据关系的分析,定义这些关系的通用组织结构,根据组织结构设计符合该组织结构的权限判决算法,模型中涉及的数据特征可以通过数据挖掘和分析的相关方法,充实数据特征库,以达到完善权限判决覆盖范围和出发角度的目的,最后根据定义模型以及权限判决规则进行用户访问时的权限判决。本方案保证了方案无感知加入系统,并且完成了权限控制层级的细化,定义规则配置的形式完成动态数据行的控制,在整个访问控制结构中从数据出发,可利用数据分析的方法进行安全特征的提取,更合理的进行数据的细粒度访问控制。
Description
技术领域
本发明属于大数据安全中的访问控制技术领域,具体涉及一种针对游戏业务数据的细粒度访问控制方案。
背景技术
随着大数据时代的发展,数据成为决定企业间业务竞争的重要条件。为了更好的保护数据的同时能够尽可能地利用数据,需要对数据进行共享和分析,发掘数据的价值。在此过程中,不可避免地需要向特定的群体开放数据权限,为保证数据权限开放的安全,访问控制作为重要的技术之一发挥着极大的作用。目前发展中的访问控制技术整个外部框架已经比较固定,而且针对属性、地域等具体问题已经有了比较好的解决方案,但是从数据本身的角度考虑,特别是针对游戏业务数据事务性强,业务划分明显,数据项细化等特点,为完成访问控制,仅限制表级别是不够的,因此结合游戏业务数据以上特点及业务宽表的现象,为较为合理的管理数据权限,提出一种细粒度的访问控制方法,保证对原始架构保证最小侵入原则,从认识数据的角度优化权限配置,将权限范围细化到数据表行和列。
发明内容
本发明的目的是提出一种针对游戏业务数据的细粒度访问控制方案,解决数据平台中由于业务问题形成的宽表数据在进行共享时,传统方法进行细粒度访问控制方面表现出的管理困难、脱离工作重心、无法发挥数据优势的问题。
本发明所采用的技术方案是,一种针对游戏业务数据的细粒度访问控制方案,首先建立基于游戏数据特征的访问控制模型,然后通过对不同数据关系的分析,定义这些关系的通用组织结构,根据组织结构设计符合该组织结构的权限判决算法,模型中涉及的数据特征可以通过数据挖掘和分析的相关方法,充实游戏数据特征库,以达到完善权限判决覆盖范围的目的,最后根据定义模型以及权限判决规则进行用户访问时的权限判决,包括以下步骤:
步骤1,针对游戏业务数据事务性强,业务划分明显,数据项细化等特点,建立用于进行权限判断的访问控制模型;
步骤2,定义基于不同数据关系的通用组织结构,确定权限判决算法;
步骤3,挖掘游戏数据特征,完善用于鉴权的权限配置;
步骤4,根据定义模型及权限判决规则进行授权;
步骤5,根据定义模型及权限判决规则进行访问控制。
本发明的特点还在于:
步骤1具体步骤为:
步骤1.1:建立概念及关系模型,
根据访问控制需求引入概念;从数据角度出发,给游戏业务数据打上标签对其的属性和特征进行标识;结合权限需求,给主体一个代表可访问游戏业务数据范围的属性和特征的集合,引入安全标签概念;安全标签是一个概念性的标识,需要将安全标签对应的具体含义采用统一的形式组织起来。游戏业务数据所对应的属性和特征采用安全特征和条件元素进行表示,与安全标签一起,统一由安全策略进行管理。
步骤1.2:确定访问控制模型结构
本发明的访问控制主要包括DB操作解析和过滤、原始的访问控制、行列权限策略管理模块。
1.3确定模型执行结构
步骤1.2中各模块进行访问控制时的执行结构包括以下执行过程,
主体发起访问请求,经过平台的处理后得到请求数据的SQL语句,对SQL语句进行验证后解析SQL中包含的信息,包括执行的操作、对象表,对象列,对象行,用户信息等等;将解析后的信息传给访问控制器,在标签管理处得到用户、对象表、对象列、对象行的标签信息发送给访问控制决策;决策从策略管理和组件管理处拿到对应的组件数据类型和策略中的组件组合算法,在决策处进行标签的匹配,将结果发送给访问控制执行处,如果匹配成功,则从数据库进行读取操作,如果匹配不成功可直接拒绝访问。
步骤2的具体步骤为:
步骤2.1:定义列安全特征中元素的关系及权限判断方法
定义三种不同的安全特征种类,来说明针对数据列的安全特征中元素的关系。对应数据结构中名词,分别为ARRAY,SET,TREE。
对于ARRAY类型的安全特征,默认条件元素是存在一定的线性优先级的关系,对于SET类型的安全特征,条件元素决定了一个范围,一个集合确定了一个元素划分,只要被包含在该集合中,就可以被访问;对于TREE类型的安全特征,条件元素之间有“父子兄弟”的关系,权限集合中可以是树中几个节点的集合,如果节点不是叶子节点,按照关系,也将拥有子节点代表权限的访问权。
2.2配置行安全特征中元素的规则
针对数据行的安全特征中元素关系统一规定:安全特征种给类为SET,条件元素设定一定的规则,规则配置格式形如:{filed:字段名,operator:操作符,value:数据值},字段名为数据库表列名,操作符支持包括:=,>,<等,一个配置中操作符只允许存在一种,数据值以列表形式存储[val1,val2,……],操作符与值配对,配对后的表达式之间为或关系。
2.3定义安全策略中安全特征的关系
安全策略中可包含多个安全特征即多个游戏业务数据的属性,安全特征中的元素可以通过安全特征种类进行权限的判断,判断时采取严格模式,即一处权限不允许则拒绝访问。
步骤3中挖掘游戏数据特征,完善用于鉴权的权限配置具体采用对游戏业务数据表中的数据通过聚类等方法,找出潜藏的游戏数据记录项之间的分布关系、序列关系,或者对某一项游戏数据的特征进行具象化评估,完成用于鉴权的权限配置,同时对于新加入的受保护数据范围也可采用关系挖掘快速定位到相应的权限配置。
步骤4中授权分为为游戏业务数据授权和为用户授权,为数据绑定想定的访问权限等级主要针对数据表列。
数据授权时需先将策略与数据表关联,然后数据表中的数据才有可选的数据的访问权限,对于数据表列需要配置权限关系,可表示为Permission={(column,label),column∈Table(columns),label∈Policy(Feature(elements))},表示数据表列与关联的策略下的标签绑定,标签由该策略下的条件元素组成。数据表行的权限由条件元素对应的规则进行配置;
用户权限配置权限关系,可表示为Permission={([user,role],label),label∈Policy(Feature(elements))},其中用户的权限可以是单个用户,也可以是代表某一类权限集合的角色。
步骤5具体步骤为,
步骤5.1:鉴权总流程
鉴权流程是主体拥有的标签与数据标签以及SQL查询条件进行比对的过程,为简化流程可根据判断条件提前结束判决流程,鉴权主流程中判决遵循以下规则:
a.用户标签为空,且所有数据表不受安全策略保护,则允许访问
b.用户标签不为空,数据表受安全策略保护,用户标签解析后不存在对应列的安全特征,说明数据表有访问权限限制而用户没有拥有相应的权限,因此拒绝访问
c.用户标签不为空,数据表受安全策略保护,用户标签解析后不存在对应行的安全特征,说明用户对应行的访问权限缺省,即权限范围为全部行数据,因此允许访问
d.用户标签不为空,数据表受安全策略保护,查询SQL解析后不存在数据列,说明SQL错误,因此拒绝访问;
步骤5.2:列权限校验
在步骤5.1的鉴权流程中包括列权限校验,进行列权限校验的参数为用户标签中的关于列权限信息以及请求获取游戏业务数据表中的列。对于同一个游戏业务属性下的包含的数据列,根据2.1定义的权限判断方法,依次实施以下比对过程,
首先确定列上的特征标签解析出的条件元素属于哪一种特征类型,如果是ARRAY类型,则获取该特征下所有条件元素的线性优先级顺序,将用户拥有的安全标签中解析的该列的条件元素与该数据列本身的特征所解析的条件元素进行优先级比较,如果用户优先级高,则允许访问,反之拒绝访问;如果是SET类型,只需将用户于数据列在对应安全特征下的条件元素集合进行比较,如果用户包含数据,则允许访问,反之拒绝访问;如果是TREE类型,需要获取该特征下所有条件元素的树型结构关系,如果用户中任意一个条件元素与数据特征解析出的条件元素相等或者是数据的父节点,则允许访问,反之拒绝访问。
步骤5.3:行权限校验
在步骤5.1的鉴权流程中包括行权限校验,进行行权限校验需要进行以下操作:
进行行权限校验的参数为SQL查询的WHERE条件,设变量为WHERE_CONDITION,用户标签中解析出的关于游戏业务数据形成的行安全特征的信息,设变量为USER_ROW_COMPONENT。将WHERE_CONDITION转换为析构范式,以OR切分,设变量为EXPS,对每一部分表达式EXP∈EXPS与用户标签中解析出的行规则以及用来表示行条件的列进行判断,会存在以下情况:如果用户标签中行规则解析出的列包含EXP中解析出的列,并且EXP中解析出的列集合是用户标签行规则解析出的列集合的真子集,则说明SQL请求数据的范围比用户权限中对于行数据的权限限制范围大,因此拒绝访问;反之,则进行下一步判断,比对用户与EXP表达式中对应列的条件数值的范围,如果用户所表示范围小于查询表达式的范围,则拒绝访问,否则可继续进行下一个表达式的权限判断,直到所有表达式比对完毕,若不存在拒绝访问的情况则允许访问。
本发明的有益效果是:
本发明提出了一种将数据特征提取与权限判断依据关联,采用规则配置完成对数据表行的访问控制方法。通过对IBM-DB2基于标签的安全模型分析,提出从数据出发,分析数据‘值’的关系,进而挖掘‘值’的组织结构,采用规则配置完成对数据表行和列的访问控制方法,与基于标签的安全模型融合,得到一套完整的细粒度访问控制方案,保证了方案无感知加入系统,并且完成了权限控制层级的细化,定义规则配置的形式完成动态数据行的控制,在整个访问控制结构中从数据出发,可利用数据分析的方法进行安全特征的提取,更合理的进行数据的细粒度访问控制。
附图说明
图1为本发明一种针对游戏业务数据的细粒度访问控制方案的总流程图;
图2为本发明一种针对游戏业务数据的细粒度访问控制方案模型中概念实体的关系模型图;
图3为本发明一种针对游戏业务数据的细粒度访问控制方案的访问控制模型结构图;
图4为本发明一种针对游戏业务数据的细粒度访问控制方案的访问控制模型模块执行结构图;
图5为本发明一种针对游戏业务数据的细粒度访问控制方案的访问控制模型授权示意图;
图6为本发明一种针对游戏业务数据的细粒度访问控制方案访问控制模型鉴权流程图;
图7为本发明一种针对游戏业务数据的细粒度访问控制方案列权限校验示意流程图。
具体实施方式
下面结合附图和具体实施方式对本发明进行详细说明。
本发明一种针对游戏业务数据的细粒度访问控制方案,首先建立基于游戏数据特征的访问控制模型,然后通过对不同数据关系的分析,定义这些关系的通用组织结构,根据组织结构设计符合该组织结构的权限判决算法,模型中涉及的数据特征可以通过数据挖掘和分析的相关方法,充实游戏数据特征库,以达到完善权限判决覆盖范围的目的,最后根据定义模型以及权限判决规则进行用户访问时的权限判决,包括以下步骤:
步骤1,针对游戏业务数据事务性强,业务划分明显,数据项细化等特点,建立用于进行权限判断的访问控制模型;
步骤2,定义基于不同数据关系的通用组织结构,确定权限判决算法;
步骤3,挖掘游戏数据特征,完善用于鉴权的权限配置;
步骤4,根据定义模型及权限判决规则进行授权;
步骤5,根据定义模型及权限判决规则进行访问控制。
步骤1具体步骤为:
步骤1.1:建立概念及关系模型,
根据访问控制需求引入概念;从数据角度出发,给游戏业务数据打上标签对其的属性和特征进行标识;结合权限需求,给主体一个代表可访问游戏业务数据范围的属性和特征的集合,引入安全标签概念;安全标签是一个概念性的标识,需要将安全标签对应的具体含义采用统一的形式组织起来。游戏业务数据所对应的属性和特征采用安全特征和条件元素进行表示,与安全标签一起,统一由安全策略进行管理。
步骤1.2:确定访问控制模型结构
本发明的访问控制主要包括DB操作解析和过滤、原始的访问控制、行列权限策略管理模块。
1.3确定模型执行结构
步骤1.2中各模块进行访问控制时的执行结构包括以下执行过程,
主体发起访问请求,经过平台的处理后得到请求数据的SQL语句,对SQL语句进行验证后解析SQL中包含的信息,包括执行的操作、对象表,对象列,对象行,用户信息等等;将解析后的信息传给访问控制器,在标签管理处得到用户、对象表、对象列、对象行的标签信息发送给访问控制决策;决策从策略管理和组件管理处拿到对应的组件数据类型和策略中的组件组合算法,在决策处进行标签的匹配,将结果发送给访问控制执行处,如果匹配成功,则从数据库进行读取操作,如果匹配不成功可直接拒绝访问。
步骤2的具体步骤为:
步骤2.1:定义列安全特征中元素的关系及权限判断方法
定义三种不同的安全特征种类,来说明针对数据列的安全特征中元素的关系。对应数据结构中名词,分别为ARRAY,SET,TREE。
对于ARRAY类型的安全特征,默认条件元素是存在一定的线性优先级的关系,对于SET类型的安全特征,条件元素决定了一个范围,一个集合确定了一个元素划分,只要被包含在该集合中,就可以被访问;对于TREE类型的安全特征,条件元素之间有“父子兄弟”的关系,权限集合中可以是树中几个节点的集合,如果节点不是叶子节点,按照关系,也将拥有子节点代表权限的访问权。
2.2配置行安全特征中元素的规则
针对数据行的安全特征中元素关系统一规定:安全特征种给类为SET,条件元素设定一定的规则,规则配置格式形如:{filed:字段名,operator:操作符,value:数据值},字段名为数据库表列名,操作符支持包括:=,>,<等,一个配置中操作符只允许存在一种,数据值以列表形式存储[val1,val2,……],操作符与值配对,配对后的表达式之间为或关系。
2.3定义安全策略中安全特征的关系
安全策略中可包含多个安全特征即多个游戏业务数据的属性,安全特征中的元素可以通过安全特征种类进行权限的判断,判断时采取严格模式,即一处权限不允许则拒绝访问。
步骤3中挖掘游戏数据特征,完善用于鉴权的权限配置具体采用对游戏业务数据表中的数据通过聚类等方法,找出潜藏的游戏数据记录项之间的分布关系、序列关系,或者对某一项游戏数据的特征进行具象化评估,完成用于鉴权的权限配置,同时对于新加入的受保护数据范围也可采用关系挖掘快速定位到相应的权限配置。
步骤4中授权分为为游戏业务数据授权和为用户授权,为数据绑定想定的访问权限等级主要针对数据表列。
数据授权时需先将策略与数据表关联,然后数据表中的数据才有可选的数据的访问权限,对于数据表列需要配置权限关系,可表示为Permission={(column,label),column∈Table(columns),label∈Policy(Feature(elements))},表示数据表列与关联的策略下的标签绑定,标签由该策略下的条件元素组成。数据表行的权限由条件元素对应的规则进行配置;
用户权限配置权限关系,可表示为Permission={([user,role],label),label∈Policy(Feature(elements))},其中用户的权限可以是单个用户,也可以是代表某一类权限集合的角色。
步骤5具体步骤为,
步骤5.1:鉴权总流程
鉴权流程是主体拥有的标签与数据标签以及SQL查询条件进行比对的过程,为简化流程可根据判断条件提前结束判决流程,鉴权主流程中判决遵循以下规则:
a.用户标签为空,且所有数据表不受安全策略保护,则允许访问
b.用户标签不为空,数据表受安全策略保护,用户标签解析后不存在对应列的安全特征,说明数据表有访问权限限制而用户没有拥有相应的权限,因此拒绝访问
c.用户标签不为空,数据表受安全策略保护,用户标签解析后不存在对应行的安全特征,说明用户对应行的访问权限缺省,即权限范围为全部行数据,因此允许访问
d.用户标签不为空,数据表受安全策略保护,查询SQL解析后不存在数据列,说明SQL错误,因此拒绝访问;
步骤5.2:列权限校验
在步骤5.1的鉴权流程中包括列权限校验,进行列权限校验的参数为用户标签中的关于列权限信息以及请求获取游戏业务数据表中的列。对于同一个游戏业务属性下的包含的数据列,根据2.1定义的权限判断方法,依次实施以下比对过程,
首先确定列上的特征标签解析出的条件元素属于哪一种特征类型,如果是ARRAY类型,则获取该特征下所有条件元素的线性优先级顺序,将用户拥有的安全标签中解析的该列的条件元素与该数据列本身的特征所解析的条件元素进行优先级比较,如果用户优先级高,则允许访问,反之拒绝访问;如果是SET类型,只需将用户于数据列在对应安全特征下的条件元素集合进行比较,如果用户包含数据,则允许访问,反之拒绝访问;如果是TREE类型,需要获取该特征下所有条件元素的树型结构关系,如果用户中任意一个条件元素与数据特征解析出的条件元素相等或者是数据的父节点,则允许访问,反之拒绝访问。
步骤5.3:行权限校验
在步骤5.1的鉴权流程中包括行权限校验,进行行权限校验需要进行以下操作:
进行行权限校验的参数为SQL查询的WHERE条件,设变量为WHERE_CONDITION,用户标签中解析出的关于游戏业务数据形成的行安全特征的信息,设变量为USER_ROW_COMPONENT。将WHERE_CONDITION转换为析构范式,以OR切分,设变量为EXPS,对每一部分表达式EXP∈EXPS与用户标签中解析出的行规则以及用来表示行条件的列进行判断,会存在以下情况:如果用户标签中行规则解析出的列包含EXP中解析出的列,并且EXP中解析出的列集合是用户标签行规则解析出的列集合的真子集,则说明SQL请求数据的范围比用户权限中对于行数据的权限限制范围大,因此拒绝访问;反之,则进行下一步判断,比对用户与EXP表达式中对应列的条件数值的范围,如果用户所表示范围小于查询表达式的范围,则拒绝访问,否则可继续进行下一个表达式的权限判断,直到所有表达式比对完毕,若不存在拒绝访问的情况则允许访问。
参照图1,本发明面向数据平台的细粒度访问控制模型,首先建立基于数据特征的访问控制模型,然后通过对不用数据关系的分析,定义这些关系的通用组织结构,根据组织结构设计符合该组织结构的权限判决算法,模型中涉及的数据特征可以通过数据挖掘和分析的相关方法,充实数据特征库,以达到完善权限判决覆盖范围和出发角度的目的,最后根据定义模型以及权限判决规则进行用户访问时的权限判决,具体按照以下步骤实施:
步骤1,建立基于数据特征,用于进行权限判断的细粒度访问控制模型;
在步骤1具体步骤包括以下:
1.1建立概念及关系模型,在此步骤中,根据访问控制需求引入概念。从数据角度出发,给数据打上标签对其的属性和特征进行标识;结合权限需求,给主体(用户)一个代表权限范围的属性和特征的集合,引入安全标签概念;安全标签是一个概念性的标识,需要将安全标签对应的具体含义采用统一的形式组织起来。主要包括安全标签中对应的‘值’和‘值’的判断规则,引入条件元素和安全特征概念,判断规则一般存在于有特殊关系的多个值构成的集合中,即一组‘值’中会因为某种关系而存在着比较或判断方法,用条件元素的概念来标识各种关系下的具体值,用安全特征来标识这一组值的判断规则;引入安全标签、条件元素、安全特征的概念后,可以明确表示安全标签具体含义主要关联的就是条件元素(‘值’的集合)。安全标签可关联的‘值’,选取的范围需要明确的说明,并且当多个判断规则同时存在时,需要去说明各个‘值’集合的判断规则之间的组合形式和判决顺序,引入安全策略概念。参照图2,共同协作进行访问控制的各个概念实体之间的关系,安全标签由安全特征和条件元素的配置决定权限范围,安全标签与进行访问的用户和被访问的数据绑定。
1.2确定访问控制模型结构
本发明的访问控制主要包括DB操作解析和过滤、原始的访问控制、行列权限策略管理模块。参照图3。
整体的访问控制模型主要是为了满足细粒度的权限控制,因此不抛弃原来的访问控制方法,两种访问控制模型相互结合,在经过行列权限策略管理模块时,经由原来的访问控制模块对不需要细粒度控制的操作进行过滤,同时在一般情况下确保进行细粒度访问控制的用户和操作是系统允许的。即进入行列权限策略管理模块的用户和操作在平台中合法,需要进一步对权限范围进行判断。
1.3确定模型执行结构
步骤1.2中个模块进行访问控制时的执行结构参照图4,包括以下执行过程。主体发起访问请求,经过平台的处理后得到请求数据的SQL语句,对SQL语句进行验证后解析SQL中包含的信息,包括执行的操作、对象表,对象列,对象行,用户信息等等;将解析后的信息传给访问控制器,在标签管理处得到用户、对象表、对象列、对象行的标签信息发送给访问控制决策;决策从策略管理和组件管理处拿到对应的组件数据类型和策略中的组件组合算法,在决策处进行标签的匹配,将结果发送给访问控制执行处,如果匹配成功,则从数据库进行读取操作,如果匹配不成功可直接拒绝访问。
步骤2,定义基于不同数据关系的通用组织结构,确定权限判决算法;
2.1定义列安全特征中元素的关系及权限判断方法
定义三种不同的安全特征种类,来说明针对数据列的安全特征中元素的关系。对应数据结构中名词,分别为ARRAY,SET,TREE。
对于ARRAY类型的安全特征,默认条件元素是存在一定的线性优先级的关系,比如数据的字段之间可能存在信息的细化关系,越是具体的信息优先级别就越高,需要的权限也就越高。如(“VIP用户”,“已充值1000元”)优先级别顺序可对应为[“已充值1000元”,“VIP用户”]。
对于SET类型的安全特征,条件元素决定了一个范围,一个集合确定了一个元素划分,只要被包含在该集合中,就可以被访问。如(“用户姓名”,“用户性别”,“用户年龄”)可对应权限集合有8个,如果用户拥有这些权限集合,可访问的数据范围如下:
表是SET权限集合说明
对于TREE类型的安全特征,条件元素之间有“父子兄弟”的关系,最常见的是地理位置(“省级”,“市级”,“区级”),各省级之间是兄弟关系,省级下的市级之间是兄弟关系,省级、市级之间是父子关系。权限集合中可以是树中几个节点的集合,如果节点不是叶子节点,按照关系,也将拥有子节点代表权限的访问权。如{“陕西省”,“绵阳市”}则代表可访问位置是陕西省的数据和绵阳市的数据(包括子节点代表的地理位置)。
2.2配置行安全特征中元素的规则
针对数据行的安全特征中元素关系统一规定:安全特征种给类为SET,条件元素设定一定的规则,规则配置格式形如:{filed:字段名,operator:操作符,value:数据值},字段名为数据库表列名,操作符支持包括:=,>,<等,一个配置中操作符只允许存在一种,数据值以列表形式存储[val1,val2,……],操作符与值配对,配对后的表达式之间为或关系。
2.3定义安全策略中安全特征的关系
安全策略中安全特征的关系主要是判决顺序的问题。安全策略中可包含多个安全特征,安全特征中的元素可以通过安全特征种类进行权限的判断,但是当多个条件元素参与权限判决时,安全特征比较的顺序、是否允许模糊值会在很大程度上影响权限控制模型的效率和判决结果。本文为着重说明权限支持的不同情况,采取严格模式判决,即一处权限不通过即拒绝访问。
步骤3,挖掘数据特征,完善可用权限判断数据关系值;
本发明从数据出发,建立步骤1所提到的模型用来管理以数据特征为基础的访问控制方法。对于模型中需配置的权限信息,也是从数据出发,对数据进行分析后,获取存在关联的一组数据,对这一组数据标识的权限范围或者表示的特征进行抽象,将这一组特征的值进行条件元素的划分,得出针对于该特征的权限配置信息。以上对数据进行分析的过程,可以采用数据挖掘中的聚类和分类算法,对数据之间的关系进行挖掘,对于新加入的受保护数据范围也可采用关系挖掘快速定位到相应的权限配置。
步骤4,根据定义模型及权限判决规则进行授权;
授权分为为数据授权和为用户授权,为数据绑定想定的访问权限等级主要针对数据表列。
数据授权时需先将策略与数据表关联,然后数据表中的数据才有可选的数据的访问权限,对于数据表列需要配置权限关系,可表示为Permission={(column,label),column∈Table(columns),label∈Policy(Feature(elements))},表示数据表列与关联的策略下的标签绑定,标签由该策略下的条件元素组成。数据表行的权限由条件元素对应的规则进行配置。
用户权限配置权限关系,可表示为Permission={([user,role],label),label∈Policy(Feature(elements))},其中用户的权限可以是单个用户,也可以是代表某一类权限集合的角色。
由于加入了数据特征作为权限的重要组成部分,在选择授权负责人时,选择数据表负责人作为安全标签授予者,一方面可以减轻集中分配安全标签带来的工作压力,另一方面数据表的负责人能更好的根据安全特征赋予用户与数据恰当的权限标识。参照图5。
步骤5,根据定义模型及权限判决规则进行访问控制;
5.1鉴权总流程
鉴权流程实际上是主体拥有的标签与数据标签以及SQL查询条件进行比对的过程,为简化流程可根据判断条件提前结束判决流程,参照图6。在鉴权主流程中判决遵循以下规则:
a.用户标签为空,且所有数据表不受安全策略保护,则允许访问
b.用户标签不为空,数据表受安全策略保护,用户标签解析后不存在对应列的安全特征,说明数据表有访问权限限制而用户没有拥有相应的权限,因此拒绝访问
c.用户标签不为空,数据表受安全策略保护,用户标签解析后不存在对应行的安全特征,说明用户对应行的访问权限缺省,即权限范围为全部行数据,因此允许访问
d.用户标签不为空,数据表受安全策略保护,查询SQL解析后不存在数据列,说明SQL错误,因此拒绝访问
5.2列权限校验
在步骤5.1的鉴权流程中包括列权限校验,进行列权限校验的具体过程参照图7。进行列权限校验的参数为用户标签中的关于列权限信息以及请求获取信息中的列。对于同一个安全特征下的列,根据2.1定义的权限判断方法,依次实施以下比对过程。首先确定列上的特征标签解析出的条件元素属于哪一种特征类型,如果是ARRAY(数组)类型,则获取该特征下所有条件元素的线性优先级顺序,将用户拥有的安全标签中解析的该列的条件元素与该数据列本身的特征所解析的条件元素进行优先级比较,如果用户优先级高,则允许访问,反之拒绝访问;如果是SET(集合)类型,只需将用户于数据列在对应安全特征下的条件元素集合进行比较,如果用户包含数据,则允许访问,反之拒绝访问;如果是TREE(树)类型,需要获取该特征下所有条件元素的树型结构关系,如果用户中任意一个条件元素与数据特征解析出的条件元素相等或者是数据的父节点,则允许访问,反之拒绝访问。
5.3行权限校验
在步骤5.1的鉴权流程中包括行权限校验,进行行权限校验需要进行以下操作,进行行权限校验的参数为SQL查询的WHERE条件,设变量为WHERE_CONDITION,用户标签中解析出的关于行安全特征的信息,设变量为USER_ROW_COMPONENT。将WHERE_CONDITION转换为析构范式,以OR切分,设变量为EXPS,对每一部分表达式EXP∈EXPS与用户标签中解析出的行规则以及用来表示行条件的列进行判断,会存在以下情况:如果用户标签中行规则解析出的列包含EXP中解析出的列,并且EXP中解析出的列集合是用户标签行规则解析出的列集合的真子集,则说明SQL请求数据的范围比用户权限中对于行数据的权限限制范围大,因此拒绝访问;反之,则进行下一步判断,比对用户与EXP表达式中对应列的条件数值的范围,如果用户所表示范围小于查询表达式的范围,则拒绝访问,否则可继续进行下一个表达式的权限判断,知道所有表达式比对完毕,若不存在拒绝访问的情况则允许访问。
实施例
本发明实施实例以用户拥有的标签与查询SQL为例进行权限支持样例的样例,给出权限判决结果。假设用户拥有某个保护数据表table的权限标签,解析后包含安全特征及条件元素的形式如下:
表用户标签解析信息
首先数据表列赋予数据标签,假设该数据表table包含字段[col1,col2,col3,col4,col5],绑定col1:FEATURE3(E3),col2:FEATURE3(E1),col5:FEATURE3(E2),根据权限判决过程,得出以下部分支持样例判决结果。
表支持样例及判决结果(部分)
本发明提出了一种将数据特征提取与权限判断依据关联,采用规则配置完成对数据表行的访问控制方法。保证了方案无感知加入系统,并且完成了权限控制层级的细化,定义规则配置的形式完成动态数据行的控制,在整个访问控制结构中从数据出发,可利用数据分析的方法进行安全特征的提取,更合理的进行数据的细粒度访问控制。
Claims (6)
1.一种针对游戏业务数据的细粒度访问控制方案,其特征在于,首先建立基于游戏数据特征的访问控制模型,然后通过对不同数据关系的分析,定义这些关系的通用组织结构,根据组织结构设计符合该组织结构的权限判决算法,模型中涉及的数据特征可以通过数据挖掘和分析的相关方法,充实游戏数据特征库,以达到完善权限判决覆盖范围的目的,最后根据定义模型以及权限判决规则进行用户访问时的权限判决;包括以下步骤:
步骤1,针对游戏业务数据事务性强,业务划分明显,数据项细化等特点,建立用于进行权限判断的访问控制模型;
步骤2,定义基于不同数据关系的通用组织结构,确定权限判决算法;
步骤3,挖掘游戏数据特征,完善用于鉴权的权限配置;
步骤4,根据定义模型及权限判决规则进行授权;
步骤5,根据定义模型及权限判决规则进行访问控制。
2.根据权利要求1所述的一种针对游戏业务数据的细粒度访问控制方案,其特征在于,所述步骤1具体步骤为:
步骤1.1:建立概念及关系模型,
根据访问控制需求引入概念;从数据角度出发,给游戏业务数据打上标签对其的属性和特征进行标识;结合权限需求,给主体一个代表可访问游戏业务数据范围的属性和特征的集合,引入安全标签概念;安全标签是一个概念性的标识,需要将安全标签对应的具体含义采用统一的形式组织起来;游戏业务数据所对应的属性和特征采用安全特征和条件元素进行表示,与安全标签一起,统一由安全策略进行管理;
步骤1.2:确定访问控制模型结构
本发明的访问控制主要包括DB操作解析和过滤、原始的访问控制、行列权限策略管理模块;
1.3确定模型执行结构
步骤1.2中各模块进行访问控制时的执行结构包括以下执行过程,
主体发起访问请求,经过平台的处理后得到请求数据的SQL语句,对SQL语句进行验证后解析SQL中包含的信息,包括执行的操作、对象表,对象列,对象行,用户信息等等;将解析后的信息传给访问控制器,在标签管理处得到用户、对象表、对象列、对象行的标签信息发送给访问控制决策;决策从策略管理和组件管理处拿到对应的组件数据类型和策略中的组件组合算法,在决策处进行标签的匹配,将结果发送给访问控制执行处,如果匹配成功,则从数据库进行读取操作,如果匹配不成功可直接拒绝访问。
3.根据权利要求1所述的一种针对游戏业务数据的细粒度访问控制方案,其特征在于,步骤2的具体步骤为:
步骤2.1:定义列安全特征中元素的关系及权限判断方法
定义三种不同的安全特征种类,来说明针对数据列的安全特征中元素的关系,对应数据结构中名词,分别为ARRAY,SET,TREE;
对于ARRAY类型的安全特征,默认条件元素是存在一定的线性优先级的关系,对于SET类型的安全特征,条件元素决定了一个范围,一个集合确定了一个元素划分,只要被包含在该集合中,就可以被访问;对于TREE类型的安全特征,条件元素之间有“父子兄弟”的关系,权限集合中可以是树中几个节点的集合,如果节点不是叶子节点,按照关系,也将拥有子节点代表权限的访问权;
2.2配置行安全特征中元素的规则
针对数据行的安全特征中元素关系统一规定:安全特征种给类为SET,条件元素设定一定的规则,规则配置格式形如:{filed:字段名,operator:操作符,value:数据值},字段名为数据库表列名,操作符支持包括:=,>,<等,一个配置中操作符只允许存在一种,数据值以列表形式存储[val1,val2,……],操作符与值配对,配对后的表达式之间为或关系;
2.3定义安全策略中安全特征的关系
安全策略中可包含多个安全特征即多个游戏业务数据的属性,安全特征中的元素可以通过安全特征种类进行权限的判断,判断时采取严格模式,即一处权限不允许则拒绝访问。
4.根据权利要求1所述的一种针对游戏业务数据的细粒度访问控制方案,其特征在于,步骤3中挖掘游戏数据特征,完善用于鉴权的权限配置具体采用对游戏业务数据表中的数据通过聚类等方法,找出潜藏的游戏数据记录项之间的分布关系、序列关系,或者对某一项游戏数据的特征进行具象化评估,完成用于鉴权的权限配置,同时对于新加入的受保护数据范围也可采用关系挖掘快速定位到相应的权限配置。
5.根据权利要求1所述的一种针对游戏业务数据的细粒度访问控制方案,其特征在于,步骤4中授权分为为游戏业务数据授权和为用户授权,为数据绑定想定的访问权限等级主要针对数据表列;
数据授权时需先将策略与数据表关联,然后数据表中的数据才有可选的数据的访问权限,对于数据表列需要配置权限关系,可表示为Permission={(column,label),column∈Table(columns),label∈Policy(Feature(elements))},表示数据表列与关联的策略下的标签绑定,标签由该策略下的条件元素组成;数据表行的权限由条件元素对应的规则进行配置;
用户权限配置权限关系,可表示为Permission={([user,role],label),label∈Policy(Feature(elements))},其中用户的权限可以是单个用户,也可以是代表某一类权限集合的角色。
6.根据权利要求1所述的一种针对游戏业务数据的细粒度访问控制方案,其特征在于,步骤5具体步骤为,
步骤5.1:鉴权总流程
鉴权流程是主体拥有的标签与数据标签以及SQL查询条件进行比对的过程,为简化流程可根据判断条件提前结束判决流程,鉴权主流程中判决遵循以下规则:
a.用户标签为空,且所有数据表不受安全策略保护,则允许访问
b.用户标签不为空,数据表受安全策略保护,用户标签解析后不存在对应列的安全特征,说明数据表有访问权限限制而用户没有拥有相应的权限,因此拒绝访问
c.用户标签不为空,数据表受安全策略保护,用户标签解析后不存在对应行的安全特征,说明用户对应行的访问权限缺省,即权限范围为全部行数据,因此允许访问
d.用户标签不为空,数据表受安全策略保护,查询SQL解析后不存在数据列,说明SQL错误,因此拒绝访问;
步骤5.2:列权限校验
在步骤5.1的鉴权流程中包括列权限校验,进行列权限校验的参数为用户标签中的关于列权限信息以及请求获取游戏业务数据表中的列;对于同一个游戏业务属性下的包含的数据列,根据2.1定义的权限判断方法,依次实施以下比对过程,
首先确定列上的特征标签解析出的条件元素属于哪一种特征类型,如果是ARRAY类型,则获取该特征下所有条件元素的线性优先级顺序,将用户拥有的安全标签中解析的该列的条件元素与该数据列本身的特征所解析的条件元素进行优先级比较,如果用户优先级高,则允许访问,反之拒绝访问;如果是SET类型,只需将用户于数据列在对应安全特征下的条件元素集合进行比较,如果用户包含数据,则允许访问,反之拒绝访问;如果是TREE类型,需要获取该特征下所有条件元素的树型结构关系,如果用户中任意一个条件元素与数据特征解析出的条件元素相等或者是数据的父节点,则允许访问,反之拒绝访问;
步骤5.3:行权限校验
在步骤5.1的鉴权流程中包括行权限校验,进行行权限校验需要进行以下操作:
进行行权限校验的参数为SQL查询的WHERE条件,设变量为WHERE_CONDITION,用户标签中解析出的关于游戏业务数据形成的行安全特征的信息,设变量为USER_ROW_COMPONENT;将WHERE_CONDITION转换为析构范式,以OR切分,设变量为EXPS,对每一部分表达式EXP∈EXPS与用户标签中解析出的行规则以及用来表示行条件的列进行判断,会存在以下情况:如果用户标签中行规则解析出的列包含EXP中解析出的列,并且EXP中解析出的列集合是用户标签行规则解析出的列集合的真子集,则说明SQL请求数据的范围比用户权限中对于行数据的权限限制范围大,因此拒绝访问;反之,则进行下一步判断,比对用户与EXP表达式中对应列的条件数值的范围,如果用户所表示范围小于查询表达式的范围,则拒绝访问,否则可继续进行下一个表达式的权限判断,直到所有表达式比对完毕,若不存在拒绝访问的情况则允许访问。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201911194524.8A CN110968894B (zh) | 2019-11-28 | 2019-11-28 | 一种针对游戏业务数据的细粒度访问控制方案 |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201911194524.8A CN110968894B (zh) | 2019-11-28 | 2019-11-28 | 一种针对游戏业务数据的细粒度访问控制方案 |
Publications (2)
Publication Number | Publication Date |
---|---|
CN110968894A true CN110968894A (zh) | 2020-04-07 |
CN110968894B CN110968894B (zh) | 2023-05-26 |
Family
ID=70032136
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN201911194524.8A Active CN110968894B (zh) | 2019-11-28 | 2019-11-28 | 一种针对游戏业务数据的细粒度访问控制方案 |
Country Status (1)
Country | Link |
---|---|
CN (1) | CN110968894B (zh) |
Cited By (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN112306687A (zh) * | 2020-10-30 | 2021-02-02 | 平安数字信息科技(深圳)有限公司 | 基于知识图谱的资源分配方法、装置、计算机设备和介质 |
CN112699410A (zh) * | 2020-12-31 | 2021-04-23 | 北京赛思信安技术股份有限公司 | 一种基于安全标签的海量图数据细粒度访问控制方法 |
CN112906029A (zh) * | 2021-03-08 | 2021-06-04 | 国家工业信息安全发展研究中心 | 一种标识解析用户权限控制方法及系统 |
CN113546426A (zh) * | 2021-07-21 | 2021-10-26 | 西安理工大学 | 一种针对游戏业务中数据访问事件的安全策略生成方法 |
Citations (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US20050193196A1 (en) * | 2004-02-26 | 2005-09-01 | Ming-Yuh Huang | Cryptographically enforced, multiple-role, policy-enabled object dissemination control mechanism |
CN104484617A (zh) * | 2014-12-05 | 2015-04-01 | 中国航空工业集团公司第六三一研究所 | 一种基于多策略融合的数据库访问控制方法 |
CN104506514A (zh) * | 2014-12-18 | 2015-04-08 | 华东师范大学 | 一种基于hdfs的云存储访问控制方法 |
CN104683362A (zh) * | 2015-03-27 | 2015-06-03 | 合肥工业大学 | 一种细粒度隐私安全的访问控制系统及其访问控制方法 |
CN108900483A (zh) * | 2018-06-13 | 2018-11-27 | 江苏物联网研究发展中心 | 云存储细粒度访问控制方法、数据上传和数据访问方法 |
-
2019
- 2019-11-28 CN CN201911194524.8A patent/CN110968894B/zh active Active
Patent Citations (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US20050193196A1 (en) * | 2004-02-26 | 2005-09-01 | Ming-Yuh Huang | Cryptographically enforced, multiple-role, policy-enabled object dissemination control mechanism |
CN104484617A (zh) * | 2014-12-05 | 2015-04-01 | 中国航空工业集团公司第六三一研究所 | 一种基于多策略融合的数据库访问控制方法 |
CN104506514A (zh) * | 2014-12-18 | 2015-04-08 | 华东师范大学 | 一种基于hdfs的云存储访问控制方法 |
CN104683362A (zh) * | 2015-03-27 | 2015-06-03 | 合肥工业大学 | 一种细粒度隐私安全的访问控制系统及其访问控制方法 |
CN108900483A (zh) * | 2018-06-13 | 2018-11-27 | 江苏物联网研究发展中心 | 云存储细粒度访问控制方法、数据上传和数据访问方法 |
Non-Patent Citations (2)
Title |
---|
LIN DONG等: "《Research on Hybrid Data Verification Method for Education Data》", 《国际计算机前沿大会会议论文集》 * |
崔迎春: "《DB2数据库基于标签的访问控制研究》", 《中国优秀硕士学位论文全文数据库(信息科技辑)》 * |
Cited By (7)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN112306687A (zh) * | 2020-10-30 | 2021-02-02 | 平安数字信息科技(深圳)有限公司 | 基于知识图谱的资源分配方法、装置、计算机设备和介质 |
CN112699410A (zh) * | 2020-12-31 | 2021-04-23 | 北京赛思信安技术股份有限公司 | 一种基于安全标签的海量图数据细粒度访问控制方法 |
CN112699410B (zh) * | 2020-12-31 | 2021-09-10 | 北京赛思信安技术股份有限公司 | 一种基于安全标签的海量图数据细粒度访问控制方法 |
CN112906029A (zh) * | 2021-03-08 | 2021-06-04 | 国家工业信息安全发展研究中心 | 一种标识解析用户权限控制方法及系统 |
CN112906029B (zh) * | 2021-03-08 | 2021-09-07 | 国家工业信息安全发展研究中心 | 一种标识解析用户权限控制方法及系统 |
CN113546426A (zh) * | 2021-07-21 | 2021-10-26 | 西安理工大学 | 一种针对游戏业务中数据访问事件的安全策略生成方法 |
CN113546426B (zh) * | 2021-07-21 | 2023-08-22 | 西安理工大学 | 一种针对游戏业务中数据访问事件的安全策略生成方法 |
Also Published As
Publication number | Publication date |
---|---|
CN110968894B (zh) | 2023-05-26 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN110968894A (zh) | 一种针对游戏业务数据的细粒度访问控制方案 | |
Strotmann et al. | Author name disambiguation: What difference does it make in author‐based citation analysis? | |
CN107403106B (zh) | 基于终端用户的数据库细粒度访问控制方法 | |
US8930403B2 (en) | Fine-grained relational database access-control policy enforcement using reverse queries | |
CN107239710B (zh) | 一种数据库权限实现方法和系统 | |
CN102968501B (zh) | 一种通用的全文搜索方法 | |
US20060041421A1 (en) | Method and system for processing grammar-based legality expressions | |
US9509722B2 (en) | Provisioning access control using SDDL on the basis of an XACML policy | |
US9111104B2 (en) | Entitlements determination via access control lists | |
CN111966866A (zh) | 一种数据资产管理的方法和装置 | |
US20200097673A1 (en) | Data privilage control method and system | |
CA2461871A1 (en) | An efficient index structure to access hierarchical data in a relational database system | |
CN111680041A (zh) | 面向异构数据的安全高效存取方法 | |
US7159171B2 (en) | Structured document management system, structured document management method, search device and search method | |
CN111177700A (zh) | 行级权限的控制方法及装置 | |
CN116541887B (zh) | 一种大数据平台数据安全保护方法 | |
Blanco et al. | Security policies by design in NoSQL document databases | |
CN117407893A (zh) | 基于api配置的数据权限管理方法、装置、设备和介质 | |
Bellandi et al. | An entity registry: A model for a repository of entities found in a document set | |
Zhu | [Retracted] Interoperability of Multimedia Network Public Opinion Knowledge Base Group Based on Multisource Text Mining | |
CN114444116B (zh) | 基于安全访问控制知识图谱的授权鉴权引擎生成方法 | |
CN114254363B (zh) | 可自定义的多态访问控制模型及其工作方法 | |
CN114650149B (zh) | 一种授权策略处理方法、系统及存储介质 | |
CN114254282A (zh) | 一种智能化数据权限认证方法及装置 | |
CN118656874A (zh) | 一种数据库行列访问控制的实现方法和系统 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
PB01 | Publication | ||
PB01 | Publication | ||
SE01 | Entry into force of request for substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
GR01 | Patent grant | ||
GR01 | Patent grant |