CN110968894A - 一种针对游戏业务数据的细粒度访问控制方案 - Google Patents

Abstract

本发明提供了一种针对游戏业务数据的细粒度访问控制方案，首先建立基于游戏数据特征的访问控制模型，然后通过对不用数据关系的分析，定义这些关系的通用组织结构，根据组织结构设计符合该组织结构的权限判决算法，模型中涉及的数据特征可以通过数据挖掘和分析的相关方法，充实数据特征库，以达到完善权限判决覆盖范围和出发角度的目的，最后根据定义模型以及权限判决规则进行用户访问时的权限判决。本方案保证了方案无感知加入系统，并且完成了权限控制层级的细化，定义规则配置的形式完成动态数据行的控制，在整个访问控制结构中从数据出发，可利用数据分析的方法进行安全特征的提取，更合理的进行数据的细粒度访问控制。

Description

一种针对游戏业务数据的细粒度访问控制方案

技术领域

本发明属于大数据安全中的访问控制技术领域，具体涉及一种针对游戏业务数据的细粒度访问控制方案。

背景技术

随着大数据时代的发展，数据成为决定企业间业务竞争的重要条件。为了更好的保护数据的同时能够尽可能地利用数据，需要对数据进行共享和分析，发掘数据的价值。在此过程中，不可避免地需要向特定的群体开放数据权限，为保证数据权限开放的安全，访问控制作为重要的技术之一发挥着极大的作用。目前发展中的访问控制技术整个外部框架已经比较固定，而且针对属性、地域等具体问题已经有了比较好的解决方案，但是从数据本身的角度考虑，特别是针对游戏业务数据事务性强，业务划分明显，数据项细化等特点，为完成访问控制，仅限制表级别是不够的，因此结合游戏业务数据以上特点及业务宽表的现象，为较为合理的管理数据权限，提出一种细粒度的访问控制方法，保证对原始架构保证最小侵入原则，从认识数据的角度优化权限配置，将权限范围细化到数据表行和列。

发明内容

本发明的目的是提出一种针对游戏业务数据的细粒度访问控制方案，解决数据平台中由于业务问题形成的宽表数据在进行共享时，传统方法进行细粒度访问控制方面表现出的管理困难、脱离工作重心、无法发挥数据优势的问题。

本发明所采用的技术方案是，一种针对游戏业务数据的细粒度访问控制方案，首先建立基于游戏数据特征的访问控制模型，然后通过对不同数据关系的分析，定义这些关系的通用组织结构，根据组织结构设计符合该组织结构的权限判决算法，模型中涉及的数据特征可以通过数据挖掘和分析的相关方法，充实游戏数据特征库，以达到完善权限判决覆盖范围的目的，最后根据定义模型以及权限判决规则进行用户访问时的权限判决，包括以下步骤：

步骤1，针对游戏业务数据事务性强，业务划分明显，数据项细化等特点，建立用于进行权限判断的访问控制模型；

步骤2，定义基于不同数据关系的通用组织结构，确定权限判决算法；

步骤3，挖掘游戏数据特征，完善用于鉴权的权限配置；

步骤4，根据定义模型及权限判决规则进行授权；

步骤5，根据定义模型及权限判决规则进行访问控制。

本发明的特点还在于：

步骤1具体步骤为：

步骤1.1：建立概念及关系模型，

根据访问控制需求引入概念；从数据角度出发，给游戏业务数据打上标签对其的属性和特征进行标识；结合权限需求，给主体一个代表可访问游戏业务数据范围的属性和特征的集合，引入安全标签概念；安全标签是一个概念性的标识，需要将安全标签对应的具体含义采用统一的形式组织起来。游戏业务数据所对应的属性和特征采用安全特征和条件元素进行表示，与安全标签一起，统一由安全策略进行管理。

步骤1.2：确定访问控制模型结构

本发明的访问控制主要包括DB操作解析和过滤、原始的访问控制、行列权限策略管理模块。

1.3确定模型执行结构

步骤1.2中各模块进行访问控制时的执行结构包括以下执行过程，

主体发起访问请求，经过平台的处理后得到请求数据的SQL语句，对SQL语句进行验证后解析SQL中包含的信息，包括执行的操作、对象表，对象列，对象行，用户信息等等；将解析后的信息传给访问控制器，在标签管理处得到用户、对象表、对象列、对象行的标签信息发送给访问控制决策；决策从策略管理和组件管理处拿到对应的组件数据类型和策略中的组件组合算法，在决策处进行标签的匹配，将结果发送给访问控制执行处，如果匹配成功，则从数据库进行读取操作，如果匹配不成功可直接拒绝访问。

步骤2的具体步骤为：

步骤2.1：定义列安全特征中元素的关系及权限判断方法

定义三种不同的安全特征种类，来说明针对数据列的安全特征中元素的关系。对应数据结构中名词，分别为ARRAY,SET,TREE。

对于ARRAY类型的安全特征，默认条件元素是存在一定的线性优先级的关系，对于SET类型的安全特征，条件元素决定了一个范围，一个集合确定了一个元素划分，只要被包含在该集合中，就可以被访问；对于TREE类型的安全特征，条件元素之间有“父子兄弟”的关系，权限集合中可以是树中几个节点的集合，如果节点不是叶子节点，按照关系，也将拥有子节点代表权限的访问权。

2.2配置行安全特征中元素的规则

针对数据行的安全特征中元素关系统一规定：安全特征种给类为SET，条件元素设定一定的规则，规则配置格式形如：{filed：字段名，operator：操作符，value：数据值}，字段名为数据库表列名，操作符支持包括：＝，>，<等，一个配置中操作符只允许存在一种，数据值以列表形式存储[val1，val2，……]，操作符与值配对，配对后的表达式之间为或关系。

2.3定义安全策略中安全特征的关系

安全策略中可包含多个安全特征即多个游戏业务数据的属性，安全特征中的元素可以通过安全特征种类进行权限的判断，判断时采取严格模式，即一处权限不允许则拒绝访问。

步骤3中挖掘游戏数据特征，完善用于鉴权的权限配置具体采用对游戏业务数据表中的数据通过聚类等方法，找出潜藏的游戏数据记录项之间的分布关系、序列关系，或者对某一项游戏数据的特征进行具象化评估，完成用于鉴权的权限配置，同时对于新加入的受保护数据范围也可采用关系挖掘快速定位到相应的权限配置。

步骤4中授权分为为游戏业务数据授权和为用户授权，为数据绑定想定的访问权限等级主要针对数据表列。

数据授权时需先将策略与数据表关联，然后数据表中的数据才有可选的数据的访问权限，对于数据表列需要配置权限关系，可表示为Permission＝{(column，label)，column∈Table(columns)，label∈Policy(Feature(elements))}，表示数据表列与关联的策略下的标签绑定，标签由该策略下的条件元素组成。数据表行的权限由条件元素对应的规则进行配置；

用户权限配置权限关系，可表示为Permission＝{([user，role]，label)，label∈Policy(Feature(elements))},其中用户的权限可以是单个用户，也可以是代表某一类权限集合的角色。

步骤5具体步骤为，

步骤5.1：鉴权总流程

鉴权流程是主体拥有的标签与数据标签以及SQL查询条件进行比对的过程，为简化流程可根据判断条件提前结束判决流程,鉴权主流程中判决遵循以下规则:

a.用户标签为空，且所有数据表不受安全策略保护，则允许访问

b.用户标签不为空，数据表受安全策略保护，用户标签解析后不存在对应列的安全特征，说明数据表有访问权限限制而用户没有拥有相应的权限，因此拒绝访问

c.用户标签不为空，数据表受安全策略保护，用户标签解析后不存在对应行的安全特征，说明用户对应行的访问权限缺省，即权限范围为全部行数据，因此允许访问

d.用户标签不为空，数据表受安全策略保护，查询SQL解析后不存在数据列，说明SQL错误，因此拒绝访问；

步骤5.2：列权限校验

在步骤5.1的鉴权流程中包括列权限校验，进行列权限校验的参数为用户标签中的关于列权限信息以及请求获取游戏业务数据表中的列。对于同一个游戏业务属性下的包含的数据列，根据2.1定义的权限判断方法，依次实施以下比对过程，

首先确定列上的特征标签解析出的条件元素属于哪一种特征类型，如果是ARRAY类型，则获取该特征下所有条件元素的线性优先级顺序，将用户拥有的安全标签中解析的该列的条件元素与该数据列本身的特征所解析的条件元素进行优先级比较，如果用户优先级高，则允许访问，反之拒绝访问；如果是SET类型，只需将用户于数据列在对应安全特征下的条件元素集合进行比较，如果用户包含数据，则允许访问，反之拒绝访问；如果是TREE类型，需要获取该特征下所有条件元素的树型结构关系，如果用户中任意一个条件元素与数据特征解析出的条件元素相等或者是数据的父节点，则允许访问，反之拒绝访问。

步骤5.3：行权限校验

在步骤5.1的鉴权流程中包括行权限校验，进行行权限校验需要进行以下操作:

进行行权限校验的参数为SQL查询的WHERE条件，设变量为WHERE_CONDITION，用户标签中解析出的关于游戏业务数据形成的行安全特征的信息，设变量为USER_ROW_COMPONENT。将WHERE_CONDITION转换为析构范式，以OR切分，设变量为EXPS，对每一部分表达式EXP∈EXPS与用户标签中解析出的行规则以及用来表示行条件的列进行判断，会存在以下情况：如果用户标签中行规则解析出的列包含EXP中解析出的列，并且EXP中解析出的列集合是用户标签行规则解析出的列集合的真子集，则说明SQL请求数据的范围比用户权限中对于行数据的权限限制范围大，因此拒绝访问；反之，则进行下一步判断，比对用户与EXP表达式中对应列的条件数值的范围，如果用户所表示范围小于查询表达式的范围，则拒绝访问，否则可继续进行下一个表达式的权限判断，直到所有表达式比对完毕，若不存在拒绝访问的情况则允许访问。

本发明的有益效果是：

本发明提出了一种将数据特征提取与权限判断依据关联，采用规则配置完成对数据表行的访问控制方法。通过对IBM-DB2基于标签的安全模型分析，提出从数据出发，分析数据‘值’的关系，进而挖掘‘值’的组织结构，采用规则配置完成对数据表行和列的访问控制方法，与基于标签的安全模型融合，得到一套完整的细粒度访问控制方案，保证了方案无感知加入系统，并且完成了权限控制层级的细化，定义规则配置的形式完成动态数据行的控制，在整个访问控制结构中从数据出发，可利用数据分析的方法进行安全特征的提取，更合理的进行数据的细粒度访问控制。

附图说明

图1为本发明一种针对游戏业务数据的细粒度访问控制方案的总流程图；

图2为本发明一种针对游戏业务数据的细粒度访问控制方案模型中概念实体的关系模型图；

图3为本发明一种针对游戏业务数据的细粒度访问控制方案的访问控制模型结构图；

图4为本发明一种针对游戏业务数据的细粒度访问控制方案的访问控制模型模块执行结构图；

图5为本发明一种针对游戏业务数据的细粒度访问控制方案的访问控制模型授权示意图；

图6为本发明一种针对游戏业务数据的细粒度访问控制方案访问控制模型鉴权流程图；

图7为本发明一种针对游戏业务数据的细粒度访问控制方案列权限校验示意流程图。

具体实施方式

下面结合附图和具体实施方式对本发明进行详细说明。

本发明一种针对游戏业务数据的细粒度访问控制方案，首先建立基于游戏数据特征的访问控制模型，然后通过对不同数据关系的分析，定义这些关系的通用组织结构，根据组织结构设计符合该组织结构的权限判决算法，模型中涉及的数据特征可以通过数据挖掘和分析的相关方法，充实游戏数据特征库，以达到完善权限判决覆盖范围的目的，最后根据定义模型以及权限判决规则进行用户访问时的权限判决，包括以下步骤：

步骤1，针对游戏业务数据事务性强，业务划分明显，数据项细化等特点，建立用于进行权限判断的访问控制模型；

步骤2，定义基于不同数据关系的通用组织结构，确定权限判决算法；

步骤3，挖掘游戏数据特征，完善用于鉴权的权限配置；

步骤4，根据定义模型及权限判决规则进行授权；

步骤5，根据定义模型及权限判决规则进行访问控制。

步骤1具体步骤为：

步骤1.1：建立概念及关系模型，

根据访问控制需求引入概念；从数据角度出发，给游戏业务数据打上标签对其的属性和特征进行标识；结合权限需求，给主体一个代表可访问游戏业务数据范围的属性和特征的集合，引入安全标签概念；安全标签是一个概念性的标识，需要将安全标签对应的具体含义采用统一的形式组织起来。游戏业务数据所对应的属性和特征采用安全特征和条件元素进行表示，与安全标签一起，统一由安全策略进行管理。

步骤1.2：确定访问控制模型结构

本发明的访问控制主要包括DB操作解析和过滤、原始的访问控制、行列权限策略管理模块。

1.3确定模型执行结构

步骤1.2中各模块进行访问控制时的执行结构包括以下执行过程，

主体发起访问请求，经过平台的处理后得到请求数据的SQL语句，对SQL语句进行验证后解析SQL中包含的信息，包括执行的操作、对象表，对象列，对象行，用户信息等等；将解析后的信息传给访问控制器，在标签管理处得到用户、对象表、对象列、对象行的标签信息发送给访问控制决策；决策从策略管理和组件管理处拿到对应的组件数据类型和策略中的组件组合算法，在决策处进行标签的匹配，将结果发送给访问控制执行处，如果匹配成功，则从数据库进行读取操作，如果匹配不成功可直接拒绝访问。

步骤2的具体步骤为：

步骤2.1：定义列安全特征中元素的关系及权限判断方法

定义三种不同的安全特征种类，来说明针对数据列的安全特征中元素的关系。对应数据结构中名词，分别为ARRAY,SET,TREE。

对于ARRAY类型的安全特征，默认条件元素是存在一定的线性优先级的关系，对于SET类型的安全特征，条件元素决定了一个范围，一个集合确定了一个元素划分，只要被包含在该集合中，就可以被访问；对于TREE类型的安全特征，条件元素之间有“父子兄弟”的关系，权限集合中可以是树中几个节点的集合，如果节点不是叶子节点，按照关系，也将拥有子节点代表权限的访问权。

2.2配置行安全特征中元素的规则

针对数据行的安全特征中元素关系统一规定：安全特征种给类为SET，条件元素设定一定的规则，规则配置格式形如：{filed：字段名，operator：操作符，value：数据值}，字段名为数据库表列名，操作符支持包括：＝，>，<等，一个配置中操作符只允许存在一种，数据值以列表形式存储[val1，val2，……]，操作符与值配对，配对后的表达式之间为或关系。

2.3定义安全策略中安全特征的关系

安全策略中可包含多个安全特征即多个游戏业务数据的属性，安全特征中的元素可以通过安全特征种类进行权限的判断，判断时采取严格模式，即一处权限不允许则拒绝访问。

步骤3中挖掘游戏数据特征，完善用于鉴权的权限配置具体采用对游戏业务数据表中的数据通过聚类等方法，找出潜藏的游戏数据记录项之间的分布关系、序列关系，或者对某一项游戏数据的特征进行具象化评估，完成用于鉴权的权限配置，同时对于新加入的受保护数据范围也可采用关系挖掘快速定位到相应的权限配置。

步骤4中授权分为为游戏业务数据授权和为用户授权，为数据绑定想定的访问权限等级主要针对数据表列。

数据授权时需先将策略与数据表关联，然后数据表中的数据才有可选的数据的访问权限，对于数据表列需要配置权限关系，可表示为Permission＝{(column，label)，column∈Table(columns)，label∈Policy(Feature(elements))}，表示数据表列与关联的策略下的标签绑定，标签由该策略下的条件元素组成。数据表行的权限由条件元素对应的规则进行配置；

用户权限配置权限关系，可表示为Permission＝{([user，role]，label)，label∈Policy(Feature(elements))},其中用户的权限可以是单个用户，也可以是代表某一类权限集合的角色。

步骤5具体步骤为，

步骤5.1：鉴权总流程

鉴权流程是主体拥有的标签与数据标签以及SQL查询条件进行比对的过程，为简化流程可根据判断条件提前结束判决流程,鉴权主流程中判决遵循以下规则:

a.用户标签为空，且所有数据表不受安全策略保护，则允许访问

b.用户标签不为空，数据表受安全策略保护，用户标签解析后不存在对应列的安全特征，说明数据表有访问权限限制而用户没有拥有相应的权限，因此拒绝访问

c.用户标签不为空，数据表受安全策略保护，用户标签解析后不存在对应行的安全特征，说明用户对应行的访问权限缺省，即权限范围为全部行数据，因此允许访问

d.用户标签不为空，数据表受安全策略保护，查询SQL解析后不存在数据列，说明SQL错误，因此拒绝访问；

步骤5.2：列权限校验

在步骤5.1的鉴权流程中包括列权限校验，进行列权限校验的参数为用户标签中的关于列权限信息以及请求获取游戏业务数据表中的列。对于同一个游戏业务属性下的包含的数据列，根据2.1定义的权限判断方法，依次实施以下比对过程，

首先确定列上的特征标签解析出的条件元素属于哪一种特征类型，如果是ARRAY类型，则获取该特征下所有条件元素的线性优先级顺序，将用户拥有的安全标签中解析的该列的条件元素与该数据列本身的特征所解析的条件元素进行优先级比较，如果用户优先级高，则允许访问，反之拒绝访问；如果是SET类型，只需将用户于数据列在对应安全特征下的条件元素集合进行比较，如果用户包含数据，则允许访问，反之拒绝访问；如果是TREE类型，需要获取该特征下所有条件元素的树型结构关系，如果用户中任意一个条件元素与数据特征解析出的条件元素相等或者是数据的父节点，则允许访问，反之拒绝访问。

步骤5.3：行权限校验

在步骤5.1的鉴权流程中包括行权限校验，进行行权限校验需要进行以下操作:

进行行权限校验的参数为SQL查询的WHERE条件，设变量为WHERE_CONDITION，用户标签中解析出的关于游戏业务数据形成的行安全特征的信息，设变量为USER_ROW_COMPONENT。将WHERE_CONDITION转换为析构范式，以OR切分，设变量为EXPS，对每一部分表达式EXP∈EXPS与用户标签中解析出的行规则以及用来表示行条件的列进行判断，会存在以下情况：如果用户标签中行规则解析出的列包含EXP中解析出的列，并且EXP中解析出的列集合是用户标签行规则解析出的列集合的真子集，则说明SQL请求数据的范围比用户权限中对于行数据的权限限制范围大，因此拒绝访问；反之，则进行下一步判断，比对用户与EXP表达式中对应列的条件数值的范围，如果用户所表示范围小于查询表达式的范围，则拒绝访问，否则可继续进行下一个表达式的权限判断，直到所有表达式比对完毕，若不存在拒绝访问的情况则允许访问。

参照图1，本发明面向数据平台的细粒度访问控制模型，首先建立基于数据特征的访问控制模型，然后通过对不用数据关系的分析，定义这些关系的通用组织结构，根据组织结构设计符合该组织结构的权限判决算法，模型中涉及的数据特征可以通过数据挖掘和分析的相关方法，充实数据特征库，以达到完善权限判决覆盖范围和出发角度的目的，最后根据定义模型以及权限判决规则进行用户访问时的权限判决，具体按照以下步骤实施：

步骤1，建立基于数据特征，用于进行权限判断的细粒度访问控制模型；

在步骤1具体步骤包括以下：

1.1建立概念及关系模型，在此步骤中，根据访问控制需求引入概念。从数据角度出发，给数据打上标签对其的属性和特征进行标识；结合权限需求，给主体(用户)一个代表权限范围的属性和特征的集合，引入安全标签概念；安全标签是一个概念性的标识，需要将安全标签对应的具体含义采用统一的形式组织起来。主要包括安全标签中对应的‘值’和‘值’的判断规则，引入条件元素和安全特征概念，判断规则一般存在于有特殊关系的多个值构成的集合中，即一组‘值’中会因为某种关系而存在着比较或判断方法，用条件元素的概念来标识各种关系下的具体值，用安全特征来标识这一组值的判断规则；引入安全标签、条件元素、安全特征的概念后，可以明确表示安全标签具体含义主要关联的就是条件元素(‘值’的集合)。安全标签可关联的‘值’，选取的范围需要明确的说明，并且当多个判断规则同时存在时，需要去说明各个‘值’集合的判断规则之间的组合形式和判决顺序，引入安全策略概念。参照图2，共同协作进行访问控制的各个概念实体之间的关系，安全标签由安全特征和条件元素的配置决定权限范围，安全标签与进行访问的用户和被访问的数据绑定。

1.2确定访问控制模型结构

本发明的访问控制主要包括DB操作解析和过滤、原始的访问控制、行列权限策略管理模块。参照图3。

整体的访问控制模型主要是为了满足细粒度的权限控制，因此不抛弃原来的访问控制方法，两种访问控制模型相互结合，在经过行列权限策略管理模块时，经由原来的访问控制模块对不需要细粒度控制的操作进行过滤，同时在一般情况下确保进行细粒度访问控制的用户和操作是系统允许的。即进入行列权限策略管理模块的用户和操作在平台中合法，需要进一步对权限范围进行判断。

1.3确定模型执行结构

步骤1.2中个模块进行访问控制时的执行结构参照图4，包括以下执行过程。主体发起访问请求，经过平台的处理后得到请求数据的SQL语句，对SQL语句进行验证后解析SQL中包含的信息，包括执行的操作、对象表，对象列，对象行，用户信息等等；将解析后的信息传给访问控制器，在标签管理处得到用户、对象表、对象列、对象行的标签信息发送给访问控制决策；决策从策略管理和组件管理处拿到对应的组件数据类型和策略中的组件组合算法，在决策处进行标签的匹配，将结果发送给访问控制执行处，如果匹配成功，则从数据库进行读取操作，如果匹配不成功可直接拒绝访问。

步骤2，定义基于不同数据关系的通用组织结构，确定权限判决算法；

2.1定义列安全特征中元素的关系及权限判断方法

定义三种不同的安全特征种类，来说明针对数据列的安全特征中元素的关系。对应数据结构中名词，分别为ARRAY,SET,TREE。

对于ARRAY类型的安全特征，默认条件元素是存在一定的线性优先级的关系，比如数据的字段之间可能存在信息的细化关系，越是具体的信息优先级别就越高，需要的权限也就越高。如(“VIP用户”，“已充值1000元”)优先级别顺序可对应为[“已充值1000元”，“VIP用户”]。

对于SET类型的安全特征，条件元素决定了一个范围，一个集合确定了一个元素划分，只要被包含在该集合中，就可以被访问。如(“用户姓名”，“用户性别”，“用户年龄”)可对应权限集合有8个，如果用户拥有这些权限集合，可访问的数据范围如下：

表是SET权限集合说明

对于TREE类型的安全特征，条件元素之间有“父子兄弟”的关系，最常见的是地理位置(“省级”，“市级”，“区级”)，各省级之间是兄弟关系，省级下的市级之间是兄弟关系，省级、市级之间是父子关系。权限集合中可以是树中几个节点的集合，如果节点不是叶子节点，按照关系，也将拥有子节点代表权限的访问权。如{“陕西省”，“绵阳市”}则代表可访问位置是陕西省的数据和绵阳市的数据(包括子节点代表的地理位置)。

2.2配置行安全特征中元素的规则

针对数据行的安全特征中元素关系统一规定：安全特征种给类为SET，条件元素设定一定的规则，规则配置格式形如：{filed：字段名，operator：操作符，value：数据值}，字段名为数据库表列名，操作符支持包括：＝，>，<等，一个配置中操作符只允许存在一种，数据值以列表形式存储[val1，val2，……]，操作符与值配对，配对后的表达式之间为或关系。

2.3定义安全策略中安全特征的关系

安全策略中安全特征的关系主要是判决顺序的问题。安全策略中可包含多个安全特征，安全特征中的元素可以通过安全特征种类进行权限的判断，但是当多个条件元素参与权限判决时，安全特征比较的顺序、是否允许模糊值会在很大程度上影响权限控制模型的效率和判决结果。本文为着重说明权限支持的不同情况，采取严格模式判决，即一处权限不通过即拒绝访问。

步骤3，挖掘数据特征，完善可用权限判断数据关系值；

本发明从数据出发，建立步骤1所提到的模型用来管理以数据特征为基础的访问控制方法。对于模型中需配置的权限信息，也是从数据出发，对数据进行分析后，获取存在关联的一组数据，对这一组数据标识的权限范围或者表示的特征进行抽象，将这一组特征的值进行条件元素的划分，得出针对于该特征的权限配置信息。以上对数据进行分析的过程，可以采用数据挖掘中的聚类和分类算法，对数据之间的关系进行挖掘，对于新加入的受保护数据范围也可采用关系挖掘快速定位到相应的权限配置。

步骤4，根据定义模型及权限判决规则进行授权；

授权分为为数据授权和为用户授权，为数据绑定想定的访问权限等级主要针对数据表列。

数据授权时需先将策略与数据表关联，然后数据表中的数据才有可选的数据的访问权限，对于数据表列需要配置权限关系，可表示为Permission＝{(column，label)，column∈Table(columns)，label∈Policy(Feature(elements))}，表示数据表列与关联的策略下的标签绑定，标签由该策略下的条件元素组成。数据表行的权限由条件元素对应的规则进行配置。

用户权限配置权限关系，可表示为Permission＝{([user，role]，label)，label∈Policy(Feature(elements))},其中用户的权限可以是单个用户，也可以是代表某一类权限集合的角色。

由于加入了数据特征作为权限的重要组成部分，在选择授权负责人时，选择数据表负责人作为安全标签授予者，一方面可以减轻集中分配安全标签带来的工作压力，另一方面数据表的负责人能更好的根据安全特征赋予用户与数据恰当的权限标识。参照图5。

步骤5，根据定义模型及权限判决规则进行访问控制；

5.1鉴权总流程

鉴权流程实际上是主体拥有的标签与数据标签以及SQL查询条件进行比对的过程，为简化流程可根据判断条件提前结束判决流程,参照图6。在鉴权主流程中判决遵循以下规则:

a.用户标签为空，且所有数据表不受安全策略保护，则允许访问

b.用户标签不为空，数据表受安全策略保护，用户标签解析后不存在对应列的安全特征，说明数据表有访问权限限制而用户没有拥有相应的权限，因此拒绝访问

c.用户标签不为空，数据表受安全策略保护，用户标签解析后不存在对应行的安全特征，说明用户对应行的访问权限缺省，即权限范围为全部行数据，因此允许访问

d.用户标签不为空，数据表受安全策略保护，查询SQL解析后不存在数据列，说明SQL错误，因此拒绝访问

5.2列权限校验

在步骤5.1的鉴权流程中包括列权限校验，进行列权限校验的具体过程参照图7。进行列权限校验的参数为用户标签中的关于列权限信息以及请求获取信息中的列。对于同一个安全特征下的列，根据2.1定义的权限判断方法，依次实施以下比对过程。首先确定列上的特征标签解析出的条件元素属于哪一种特征类型，如果是ARRAY(数组)类型，则获取该特征下所有条件元素的线性优先级顺序，将用户拥有的安全标签中解析的该列的条件元素与该数据列本身的特征所解析的条件元素进行优先级比较，如果用户优先级高，则允许访问，反之拒绝访问；如果是SET(集合)类型，只需将用户于数据列在对应安全特征下的条件元素集合进行比较，如果用户包含数据，则允许访问，反之拒绝访问；如果是TREE(树)类型，需要获取该特征下所有条件元素的树型结构关系，如果用户中任意一个条件元素与数据特征解析出的条件元素相等或者是数据的父节点，则允许访问，反之拒绝访问。

5.3行权限校验

在步骤5.1的鉴权流程中包括行权限校验，进行行权限校验需要进行以下操作，进行行权限校验的参数为SQL查询的WHERE条件，设变量为WHERE_CONDITION，用户标签中解析出的关于行安全特征的信息，设变量为USER_ROW_COMPONENT。将WHERE_CONDITION转换为析构范式，以OR切分，设变量为EXPS，对每一部分表达式EXP∈EXPS与用户标签中解析出的行规则以及用来表示行条件的列进行判断，会存在以下情况：如果用户标签中行规则解析出的列包含EXP中解析出的列，并且EXP中解析出的列集合是用户标签行规则解析出的列集合的真子集，则说明SQL请求数据的范围比用户权限中对于行数据的权限限制范围大，因此拒绝访问；反之，则进行下一步判断，比对用户与EXP表达式中对应列的条件数值的范围，如果用户所表示范围小于查询表达式的范围，则拒绝访问，否则可继续进行下一个表达式的权限判断，知道所有表达式比对完毕，若不存在拒绝访问的情况则允许访问。

实施例

本发明实施实例以用户拥有的标签与查询SQL为例进行权限支持样例的样例，给出权限判决结果。假设用户拥有某个保护数据表table的权限标签，解析后包含安全特征及条件元素的形式如下：

表用户标签解析信息

首先数据表列赋予数据标签，假设该数据表table包含字段[col1，col2，col3，col4，col5]，绑定col1：FEATURE3(E3)，col2:FEATURE3(E1)，col5:FEATURE3(E2)，根据权限判决过程，得出以下部分支持样例判决结果。

表支持样例及判决结果(部分)

本发明提出了一种将数据特征提取与权限判断依据关联，采用规则配置完成对数据表行的访问控制方法。保证了方案无感知加入系统，并且完成了权限控制层级的细化，定义规则配置的形式完成动态数据行的控制，在整个访问控制结构中从数据出发，可利用数据分析的方法进行安全特征的提取，更合理的进行数据的细粒度访问控制。

Claims (6)

1.一种针对游戏业务数据的细粒度访问控制方案，其特征在于，首先建立基于游戏数据特征的访问控制模型，然后通过对不同数据关系的分析，定义这些关系的通用组织结构，根据组织结构设计符合该组织结构的权限判决算法，模型中涉及的数据特征可以通过数据挖掘和分析的相关方法，充实游戏数据特征库，以达到完善权限判决覆盖范围的目的，最后根据定义模型以及权限判决规则进行用户访问时的权限判决；包括以下步骤：

步骤1，针对游戏业务数据事务性强，业务划分明显，数据项细化等特点，建立用于进行权限判断的访问控制模型；

步骤2，定义基于不同数据关系的通用组织结构，确定权限判决算法；

步骤3，挖掘游戏数据特征，完善用于鉴权的权限配置；

步骤4，根据定义模型及权限判决规则进行授权；

步骤5，根据定义模型及权限判决规则进行访问控制。

2.根据权利要求1所述的一种针对游戏业务数据的细粒度访问控制方案，其特征在于，所述步骤1具体步骤为：

步骤1.1：建立概念及关系模型，

根据访问控制需求引入概念；从数据角度出发，给游戏业务数据打上标签对其的属性和特征进行标识；结合权限需求，给主体一个代表可访问游戏业务数据范围的属性和特征的集合，引入安全标签概念；安全标签是一个概念性的标识，需要将安全标签对应的具体含义采用统一的形式组织起来；游戏业务数据所对应的属性和特征采用安全特征和条件元素进行表示，与安全标签一起，统一由安全策略进行管理；

步骤1.2：确定访问控制模型结构

本发明的访问控制主要包括DB操作解析和过滤、原始的访问控制、行列权限策略管理模块；

1.3确定模型执行结构

步骤1.2中各模块进行访问控制时的执行结构包括以下执行过程，

主体发起访问请求，经过平台的处理后得到请求数据的SQL语句，对SQL语句进行验证后解析SQL中包含的信息，包括执行的操作、对象表，对象列，对象行，用户信息等等；将解析后的信息传给访问控制器，在标签管理处得到用户、对象表、对象列、对象行的标签信息发送给访问控制决策；决策从策略管理和组件管理处拿到对应的组件数据类型和策略中的组件组合算法，在决策处进行标签的匹配，将结果发送给访问控制执行处，如果匹配成功，则从数据库进行读取操作，如果匹配不成功可直接拒绝访问。

3.根据权利要求1所述的一种针对游戏业务数据的细粒度访问控制方案，其特征在于，步骤2的具体步骤为：

步骤2.1：定义列安全特征中元素的关系及权限判断方法

定义三种不同的安全特征种类，来说明针对数据列的安全特征中元素的关系，对应数据结构中名词，分别为ARRAY,SET,TREE；

对于ARRAY类型的安全特征，默认条件元素是存在一定的线性优先级的关系，对于SET类型的安全特征，条件元素决定了一个范围，一个集合确定了一个元素划分，只要被包含在该集合中，就可以被访问；对于TREE类型的安全特征，条件元素之间有“父子兄弟”的关系，权限集合中可以是树中几个节点的集合，如果节点不是叶子节点，按照关系，也将拥有子节点代表权限的访问权；

2.2配置行安全特征中元素的规则

针对数据行的安全特征中元素关系统一规定：安全特征种给类为SET，条件元素设定一定的规则，规则配置格式形如：{filed：字段名，operator：操作符，value：数据值}，字段名为数据库表列名，操作符支持包括：＝，>，<等，一个配置中操作符只允许存在一种，数据值以列表形式存储[val1，val2，……]，操作符与值配对，配对后的表达式之间为或关系；

2.3定义安全策略中安全特征的关系

安全策略中可包含多个安全特征即多个游戏业务数据的属性，安全特征中的元素可以通过安全特征种类进行权限的判断，判断时采取严格模式，即一处权限不允许则拒绝访问。

4.根据权利要求1所述的一种针对游戏业务数据的细粒度访问控制方案，其特征在于，步骤3中挖掘游戏数据特征，完善用于鉴权的权限配置具体采用对游戏业务数据表中的数据通过聚类等方法，找出潜藏的游戏数据记录项之间的分布关系、序列关系，或者对某一项游戏数据的特征进行具象化评估，完成用于鉴权的权限配置，同时对于新加入的受保护数据范围也可采用关系挖掘快速定位到相应的权限配置。

5.根据权利要求1所述的一种针对游戏业务数据的细粒度访问控制方案，其特征在于，步骤4中授权分为为游戏业务数据授权和为用户授权，为数据绑定想定的访问权限等级主要针对数据表列；

数据授权时需先将策略与数据表关联，然后数据表中的数据才有可选的数据的访问权限，对于数据表列需要配置权限关系，可表示为Permission＝{(column，label)，column∈Table(columns)，label∈Policy(Feature(elements))}，表示数据表列与关联的策略下的标签绑定，标签由该策略下的条件元素组成；数据表行的权限由条件元素对应的规则进行配置；

用户权限配置权限关系，可表示为Permission＝{([user，role]，label)，label∈Policy(Feature(elements))},其中用户的权限可以是单个用户，也可以是代表某一类权限集合的角色。

6.根据权利要求1所述的一种针对游戏业务数据的细粒度访问控制方案，其特征在于，步骤5具体步骤为，

步骤5.1：鉴权总流程

鉴权流程是主体拥有的标签与数据标签以及SQL查询条件进行比对的过程，为简化流程可根据判断条件提前结束判决流程,鉴权主流程中判决遵循以下规则:

a.用户标签为空，且所有数据表不受安全策略保护，则允许访问

b.用户标签不为空，数据表受安全策略保护，用户标签解析后不存在对应列的安全特征，说明数据表有访问权限限制而用户没有拥有相应的权限，因此拒绝访问

c.用户标签不为空，数据表受安全策略保护，用户标签解析后不存在对应行的安全特征，说明用户对应行的访问权限缺省，即权限范围为全部行数据，因此允许访问

d.用户标签不为空，数据表受安全策略保护，查询SQL解析后不存在数据列，说明SQL错误，因此拒绝访问；

步骤5.2：列权限校验

在步骤5.1的鉴权流程中包括列权限校验，进行列权限校验的参数为用户标签中的关于列权限信息以及请求获取游戏业务数据表中的列；对于同一个游戏业务属性下的包含的数据列，根据2.1定义的权限判断方法，依次实施以下比对过程，

首先确定列上的特征标签解析出的条件元素属于哪一种特征类型，如果是ARRAY类型，则获取该特征下所有条件元素的线性优先级顺序，将用户拥有的安全标签中解析的该列的条件元素与该数据列本身的特征所解析的条件元素进行优先级比较，如果用户优先级高，则允许访问，反之拒绝访问；如果是SET类型，只需将用户于数据列在对应安全特征下的条件元素集合进行比较，如果用户包含数据，则允许访问，反之拒绝访问；如果是TREE类型，需要获取该特征下所有条件元素的树型结构关系，如果用户中任意一个条件元素与数据特征解析出的条件元素相等或者是数据的父节点，则允许访问，反之拒绝访问；

步骤5.3：行权限校验

在步骤5.1的鉴权流程中包括行权限校验，进行行权限校验需要进行以下操作:

进行行权限校验的参数为SQL查询的WHERE条件，设变量为WHERE_CONDITION，用户标签中解析出的关于游戏业务数据形成的行安全特征的信息，设变量为USER_ROW_COMPONENT；将WHERE_CONDITION转换为析构范式，以OR切分，设变量为EXPS，对每一部分表达式EXP∈EXPS与用户标签中解析出的行规则以及用来表示行条件的列进行判断，会存在以下情况：如果用户标签中行规则解析出的列包含EXP中解析出的列，并且EXP中解析出的列集合是用户标签行规则解析出的列集合的真子集，则说明SQL请求数据的范围比用户权限中对于行数据的权限限制范围大，因此拒绝访问；反之，则进行下一步判断，比对用户与EXP表达式中对应列的条件数值的范围，如果用户所表示范围小于查询表达式的范围，则拒绝访问，否则可继续进行下一个表达式的权限判断，直到所有表达式比对完毕，若不存在拒绝访问的情况则允许访问。

Images