CN111147470A - 账号授权的方法、装置及电子设备 - Google Patents

Abstract

本发明实施例提供一种账号授权的方法、装置及电子设备。该方法包括：第一客户端接收第二客户端发送的授信请求，所述授信请求中至少包括所述第二客户端的身份信息以及待授信角色；其中，所述待授信角色是所述第一客户端上创建的自有角色，所述自有角色与所述第一客户端的资源的权限相关联；所述第一客户端向所述第二客户端发送授信响应，所述授信响应中包含对所述待授信角色的授信结果。根据本发明实施例，可以避免账号之间的强关联关系，简化账号授权管理操作，从而提升用户体验。

Description

账号授权的方法、装置及电子设备

技术领域

本发明涉及云资源管理技术领域，更具体地，涉及一种账号授权的方法、一种账号授权的装置、一种电子设备以及一种计算机可读存储介质。

背景技术

账号授权是指用户在无需透露账号密码的情况下将账号资源的权限授权给另一个用户使用。现有技术中，跨账号资源管理一般都是基于成员账号机制实现的。比如，A账号想要获得B账号的资源权限，需要对A账号和B账号建立关联关系，即，配置A账号为主账号，配置B账号为A账号的子账号，这样，通过建立主子关系，A账号就拥有了使用B账号资源的权限。

但是，主账号与子账号的关系是单向的，一个子账号同一时间只能绑定一个主账号。如图1所示，主账号M有三个子账号A、B、C，只能主账号M访问或操作子账号A、B、C的资源，子账号A、B、C不能访问主账号M的资源，且子账号A、B、C之间不能相互访问或操作彼此的资源。这会给账号授权的管理带来非常多的不便。因此，有必要针对上述缺陷进行改进。

发明内容

本发明实施例的一个目的是提供一种账号授权的新的技术方案。

根据本发明的第一方面，提供了一种账号授权的方法，所述方法包括：

第一客户端接收第二客户端发送的授信请求，所述授信请求中至少包括所述第二客户端的身份信息以及待授信角色；其中，所述待授信角色是所述第一客户端上创建的自有角色；

所述第一客户端向所述第二客户端发送授信响应，所述授信响应中包含对所述待授信角色的授信结果。

可选地，所述第一客户端接收第二客户端发送的授信请求之前，所述方法还包括：

所述第一客户端为所述第一客户端的每种资源创建对应的操作权限，并将每个资源对应的操作权限与一个自有角色关联。

可选地，所述第一客户端中维护角色与权限的关联关系。

可选地，所述第一客户端向所述第二客户端发送授信响应之前，还包括：

所述第一客户端获取所述授信结果；其中，所述授信结果是根据所述身份信息得出的。

可选地，所述授信结果为同意授信时，所述第一客户端向所述第二客户端发送授信响应，包括：

所述第一客户端为所述待授信角色创建角色副本；

将所述角色副本携带在所述授信响应中发送给所述第二客户端，以使所述第二客户端将所述角色副本添加至所述第二客户端维护的角色与权限的关联关系中。

根据本发明的第二方面，还提供一种账号授权装置，应用于第一客户端，所述装置包括：

接收模块，用于接收第二客户端发送的授信请求，所述授信请求中至少包括所述第二客户端的身份信息以及待授信角色；其中，所述待授信角色是所述第一客户端上创建的自有角色；

发送模块，用于向所述第二客户端发送授信响应，所述授信响应中包含对所述待授信角色的授信结果。

可选地，所述装置还包括：

创建模块，用于为所述第一客户端的每种资源创建对应的操作权限，并将每个资源对应的操作权限与一个自有角色关联。

可选地，所述装置还包括维护模块，用于维护角色与权限的关联关系。

可选地，所述装置还包括获取模块，用于获取所述授信结果；其中，所述授信结果是根据所述身份信息得出的。

可选地，所述授信结果为同意授信时，所述发送模块具体用于：为所述待授信角色创建角色副本；将所述角色副本携带在所述授信响应中发送给所述第二客户端，以使所述第二客户端将所述角色副本添加至所述第二客户端维护的角色与权限的关联关系中。

根据本发明的第三方面，还提供一种电子设备，包括如本发明的第二方面中任一项所述的账号授权装置，或者，所述电子设备包括：

存储器，用于存储可执行命令；

处理器，用于在所述可执行命令的控制下，执行如本发明的第一方面中任一项所述的账号授权方法。

根据本发明的第四方面，还提供一种计算机可读存储介质，存储有可执行指令，所述可执行指令被处理器执行时，执行如本发明的第一方面中任一项所述的账号授权方法。

根据本发明的一个实施例，为账号的每种资源创建对应的自有角色，并为不同的自有角色配置不同的操作权限。这样，操作权限并不会直接与账号建立关联关系，而是与角色建立关联关系，使得账号与操作权限之间的关联关系通过角色实现，从而可以避免账号之间的强关联关系，简化账号授权管理操作，从而提升用户体验。

通过以下参照附图对本发明的示例性实施例的详细描述，本发明的其它特征及其优点将会变得清楚。

附图说明

被结合在说明书中并构成说明书的一部分的附图示出了本发明的实施例，并且连同其说明一起用于解释本发明的原理。

图1是现有技术中主子账号的关联关系示意图；

图2为可以应用根据本发明实施例的账号授权的方法的一种电子设备的组成结构示意图；

图3是本发明实施例的账号授权的方法的示意性流程图；

图4是根据本发明实施例的账号与角色的关系示意图；

图5是根据本发明实施例的账号A操作账号B中的角色实现角色相关功能的示意图；

图6是根据本发明实施例的账号授权装置的原理框图；

图7是根据本发明实施例的电子设备的原理框图。

具体实施方式

现在将参照附图来详细描述本发明的各种示例性实施例。应注意到：除非另外具体说明，否则在这些实施例中阐述的部件和步骤的相对布置、数字表达式和数值不限制本发明的范围。

以下对至少一个示例性实施例的描述实际上仅仅是说明性的，决不作为对本发明及其应用或使用的任何限制。

对于相关领域普通技术人物已知的技术、方法和设备可能不作详细讨论，但在适当情况下，所述技术、方法和设备应当被视为说明书的一部分。

在这里示出和讨论的所有例子中，任何具体值应被解释为仅仅是示例性的，而不是作为限制。因此，示例性实施例的其它例子可以具有不同的值。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步讨论。

<硬件配置>

图2为可以应用根据本发明实施例的账号授权的方法的一种电子设备的组成结构示意图。

如图2所示，本实施例的电子设备1000可以包括处理器1010、存储器1020、接口装置1030、通信装置1040、显示装置1050、输入装置1060、音频输出装置1070、音频输入装置1080，等等。

其中，处理器1010可以是中央处理器CPU、微处理器MCU等。存储器1020例如包括ROM(只读存储器)、RAM(随机存取存储器)、诸如硬盘的非易失性存储器等。接口装置1030例如包括USB接口、耳机接口等。通信装置1040例如能够进行有线或无线通信。显示装置1050例如是液晶显示屏、触摸显示屏等。输入装置1060例如可以包括触摸屏、键盘等。电子设备1000可以通过音频输出装置1070输出音频信息，该音频输出装置1070例如包括扬声器。电子设备1000可以通过音频拾取装置1080拾取用户输入的语音信息，该音频拾取装置1080例如包括麦克风。

电子设备1000可以是智能手机、便携式电脑、台式计算机、平板电脑等可以支持业务系统运行的任意设备。

本实施例中，电子设备1000可以接收第二电子设备发送的授信请求，所述授信请求中包括所述第二电子设备的身份信息以及待授信角色；其中，所述待授信角色是所述第一电子设备上创建的自有角色，该自有角色与该第一电子设备的资源的操作权限相关联；并向所述第二电子设备发送授信响应，所述授信响应中包含对所述待授信角色的授信结果。

在本实施例中，电子设备1000的存储器1020用于存储指令，所述指令用于控制所述处理器1010进行操作以支持实现根据本发明任意实施例的账号授权的方法。技术人员可以根据本发明所公开方案设计指令。指令如何控制处理器进行操作，这是本领域公知，故在此不再详细描述。

本领域技术人员应当理解，尽管在图2中示出了电子设备1000的多个装置，但是，本发明实施例的电子设备1000可以仅涉及其中的部分装置，例如，只涉及处理器1010、存储器1020、显示装置1050、输入装置1060等。

<方法实施例>

本实施例提供了一种账号授权的方法，该方法例如可以由第一客户端执行，该第一客户端例如可以集成在如图2所示的第一电子设备1000中。

如图3所示，该方法包括以下步骤3100～步骤3200：

步骤3100，第一客户端接收第二客户端发送的授信请求，所述授信请求中包括所述第二客户端的身份信息以及待授信角色。

在本实施例中，第一客户端在接收第二客户端发送的授信请求之前，所述第一客户端为所述第一客户端的每种资源创建对应的操作权限，其中，每个资源对应的操作权限与一个自有角色关联。

需要说明的是，自有角色是客户端上创建的角色，授信角色是从其他客户端授权的角色，例如，在第一客户端中登录账号A，为账号A创建不同的角色，并为不同的角色配置不同的操作权限。如图4所示，为账号A创建角色1和角色2，其中，为角色1配置有对账号A的资源进行增加和查询的操作权限，为角色2配置有对账号A的资源进行修改和删除的操作权限。操作权限并不会直接与账号A建立关联关系，而是与角色建立关联关系，即，账号和权限之间的关联关系通过角色实现。在账号A中创建的角色就是该账号A的自有角色，其他账号授权给账号A的角色被称为账号A的授信角色，账号A的授信角色只具有使用权。

在本步骤中，来自第二客户端的授信请求中的待授信角色，即是第一客户端的自有角色，第二客户端通过该授信请求向第一客户端请求该角色的使用权，该第二客户端的身份信息用于使第一客户端根据该身份信息确定是否要将该待授信角色的使用权授权给第二客户端。

步骤3200，所述第一客户端向所述第二客户端发送授信响应，所述授信响应中包含对所述待授信角色的授信结果。

在本步骤之前，所述第一客户端获取所述授信结果；其中，所述授信结果是根据所述身份信息得出的。具体的，该身份信息例如可以是第二客户端中登录的账号信息，第一客户端根据授信请求获取到该账号信息后，通过显示装置显示给用户，由用户判断是否将待授信角色的操作权限授权给该账号，并通过显示装置输入授信结果。该第一客户端根据用户的输入获取该授信结果。

例如，当授信结果为同意授信时，该第一客户端为所述待授信角色创建角色副本；将所述角色副本携带在所述授信响应中发送给所述第二客户端，以使所述第二客户端将所述角色副本添加至所述第二客户端维护的角色与权限的关联关系中。

可以理解的是，当第一客户端想要获取第二客户端中资源的操作权限时，同样也可以向第二客户端发送授信请求，第二客户端可以根据授信请求获得授信结果，并向第一客户端返回授信响应，以使第一客户端获取待授信角色的授信结果。

在一个例子中，如图5所示，第一客户端中登录账号A，第二客户端中登录账号B。为账号A创建两个角色，分别是role_a1和role_a2，并为role_a1分配查看和操作数据库资源的权限，为role_a2分配查看和操作云服务器主机的权限。为账号B创建两个角色，分别是role_b1和role_b2，为role_b1分配下订单的权限，为role_b2分配退货的权限。

当账号A需要操作账号B的下订单的权限购买东西时，第一客户端向第二客户端发送授信请求，该授信请求中包括账号A的身份信息以及待授信角色role_b1。

第二客户端接收到该授信请求后，获取到同意授信的授信结果时，为待授信角色role_b1创建角色副本，然后将该角色副本携带在授信响应中发送给第一客户端，以将角色role_b1的使用权授权给账号A。

账号A在接收到该授信响应后，将角色role_b1的角色副本添加至自身维护的角色与权限的关联关系，此时，账号A的授信角色里就拥有账号B的角色role_b1。这样，用户A需要为用户B下订单时，就可以登录账号A，通过授信角色role_b1完成下订单操作。

同理，如果B账号想拥有操作账号A的数据库的相关操作权限，则账号B可以向账号A发送授信请求，当账号A将数据库相关操作的角色的使用权授信给账号B后，账号B就可以操作账号A的数据库资源了。

以上已结合附图对本实施例的账号授权的方法进行了说明。通过第一客户端接收第二客户端发送的授信请求，所述授信请求中至少包括所述第二客户端的身份信息以及待授信角色；其中，所述待授信角色是所述第二客户端的自有角色；所述第一客户端向所述第二客户端发送授信响应，所述授信响应中包含对所述待授信角色的授信结果。根据本发明实施例，可以避免账号之间的强关联关系，简化账号授权管理操作，从而提升用户体验。

<装置实施例>

本实施例提供一种账号授权装置，该装置例如是图6所示的账号授权装置6000，应用于第一客户端。具体的，该账号授权装置6000可以包括：接收模块6100和发送模块6200。

其中，接收模块6100用于接收第二客户端发送的授信请求，所述授信请求中至少包括所述第二客户端的身份信息以及待授信角色；其中，所述待授信角色是所述第一客户端上创建的自有角色，所述自有角色与所述第一客户端的资源的权限相关联。

发送模块6200用于向所述第二客户端发送授信响应，所述授信响应中包含对所述待授信角色的授信结果。

可选地，所述账号授权装置6000还可以包括创建模块，用于为所述第一客户端的每种资源创建对应的操作权限，其中，每个资源对应的操作权限与一个自有角色关联。

可选地，所述账号授权装置6000还可以包括维护模块，用于维护角色与权限的关联关系。

可选地，所述账号授权装置6000还可以包括获取模块，用于获取所述授信结果；其中，所述授信结果是根据所述身份信息得出的。

可选地，所述授信结果为同意授信时，所述发送模块6200具体可以用于：为所述待授信角色创建角色副本；将所述角色副本携带在所述授信响应中发送给所述第二客户端，以使所述第二客户端将所述角色副本添加至所述第二客户端维护的角色与权限的关联关系中。

本实施例的账号授权装置，可用于执行上述方法实施例的技术方案，其实现原理和技术效果类似，此处不再赘述。

<设备实施例>

本实施例中，还提供一种电子设备，该电子设备包括本发明装置实施例中描述的账号授权装置6000；或者，该电子设备为图7所示的电子设备7000，包括：

存储器7100，用于存储可执行命令。

处理器7200，用于在存储器7100存储的可执行命令的控制下，执行本发明任意方法实施例中描述的方法。

在电子设备根据所执行的方法实施例的实施主体，可以是服务器，也可以是终端设备。

<计算机可读存储介质实施例>

本实施例提供一种计算机可读存储介质，该存储介质中存储有可执行命令，该可执行命令被处理器执行时，执行本发明任意方法实施例中描述的方法。

本发明可以是系统、方法和/或计算机程序产品。计算机程序产品可以包括计算机可读存储介质，其上载有用于使处理器实现本发明的各个方面的计算机可读程序指令。

计算机可读存储介质可以是可以保持和存储由指令执行设备使用的指令的有形设备。计算机可读存储介质例如可以是――但不限于――电存储设备、磁存储设备、光存储设备、电磁存储设备、半导体存储设备或者上述的任意合适的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、静态随机存取存储器(SRAM)、便携式压缩盘只读存储器(CD-ROM)、数字多功能盘(DVD)、记忆棒、软盘、机械编码设备、例如其上存储有指令的打孔卡或凹槽内凸起结构、以及上述的任意合适的组合。这里所使用的计算机可读存储介质不被解释为瞬时信号本身，诸如无线电波或者其他自由传播的电磁波、通过波导或其他传输媒介传播的电磁波(例如，通过光纤电缆的光脉冲)、或者通过电线传输的电信号。

这里所描述的计算机可读程序指令可以从计算机可读存储介质下载到各个计算/处理设备，或者通过网络、例如因特网、局域网、广域网和/或无线网下载到外部计算机或外部存储设备。网络可以包括铜传输电缆、光纤传输、无线传输、路由器、防火墙、交换机、网关计算机和/或边缘服务器。每个计算/处理设备中的网络适配卡或者网络接口从网络接收计算机可读程序指令，并转发该计算机可读程序指令，以供存储在各个计算/处理设备中的计算机可读存储介质中。

用于执行本发明操作的计算机程序指令可以是汇编指令、指令集架构(ISA)指令、机器指令、机器相关指令、微代码、固件指令、状态设置数据、或者以一种或多种编程语言的任意组合编写的源代码或目标代码，编程语言包括面向对象的编程语言—诸如Smalltalk、C++等，以及常规的过程式编程语言—诸如“C”语言或类似的编程语言。计算机可读程序指令可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络—包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。在一些实施例中，通过利用计算机可读程序指令的状态信息来个性化定制电子电路，例如可编程逻辑电路、现场可编程门阵列(FPGA)或可编程逻辑阵列(PLA)，该电子电路可以执行计算机可读程序指令，从而实现本发明的各个方面。

这里参照根据本发明实施例的方法、装置(系统)和计算机程序产品的流程图和/或框图描述了本发明的各个方面。应当理解，流程图和/或框图的每个方框以及流程图和/或框图中各方框的组合，都可以由计算机可读程序指令实现。

这些计算机可读程序指令可以提供给通用计算机、专用计算机或其它可编程数据处理装置的处理器，从而生产出一种机器，使得这些指令在通过计算机或其它可编程数据处理装置的处理器执行时，产生了实现流程图和/或框图中的一个或多个方框中规定的功能/动作的装置。也可以把这些计算机可读程序指令存储在计算机可读存储介质中，这些指令使得计算机、可编程数据处理装置和/或其他设备以特定方式工作，从而，存储有指令的计算机可读介质则包括一个制造品，其包括实现流程图和/或框图中的一个或多个方框中规定的功能/动作的各个方面的指令。

也可以把计算机可读程序指令加载到计算机、其它可编程数据处理装置、或其它设备上，使得在计算机、其它可编程数据处理装置或其它设备上执行一系列操作步骤，以产生计算机实现的过程，从而使得在计算机、其它可编程数据处理装置、或其它设备上执行的指令实现流程图和/或框图中的一个或多个方框中规定的功能/动作。

附图中的流程图和框图显示了根据本发明的多个实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或指令的一部分，模块、程序段或指令的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。对于本领域技术人物来说公知的是，通过硬件方式实现、通过软件方式实现以及通过软件和硬件结合的方式实现都是等价的。

以上已经描述了本发明的各实施例，上述说明是示例性的，并非穷尽性的，并且也不限于所披露的各实施例。在不偏离所说明的各实施例的范围和精神的情况下，对于本技术领域的普通技术人物来说许多修改和变更都是显而易见的。本文中所用术语的选择，旨在最好地解释各实施例的原理、实际应用或对市场中的技术改进，或者使本技术领域的其它普通技术人物能理解本文披露的各实施例。本发明的范围由所附权利要求来限定。

Claims (10)

1.一种账号授权的方法，其特征在于，所述方法包括：

第一客户端接收第二客户端发送的授信请求，所述授信请求中包括所述第二客户端的身份信息以及待授信角色；其中，所述待授信角色是所述第一客户端上创建的自有角色；

所述第一客户端向所述第二客户端发送授信响应，所述授信响应中包含对所述待授信角色的授信结果。

2.根据权利要求1所述的方法，其特征在于，所述第一客户端接收第二客户端发送的授信请求之前，所述方法还包括：

所述第一客户端为所述第一客户端的每种资源创建对应的操作权限，其中，每个资源对应的操作权限与一个自有角色关联。

3.根据权利要求2所述的方法，其特征在于，所述第一客户端中维护角色与权限的关联关系。

4.根据权利要求1所述的方法，其特征在于，所述第一客户端向所述第二客户端发送授信响应之前，还包括：

所述第一客户端获取所述授信结果；其中，所述授信结果是根据所述身份信息得出的。

5.根据权利要求4所述的方法，其特征在于，所述授信结果为同意授信时，所述第一客户端向所述第二客户端发送授信响应，包括：

所述第一客户端为所述待授信角色创建角色副本；

将所述角色副本携带在所述授信响应中发送给所述第二客户端，以使所述第二客户端将所述角色副本添加至所述第二客户端维护的角色与权限的关联关系中。

6.一种账号授权装置，其特征在于，应用于第一客户端，所述装置包括：

接收模块，用于接收第二客户端发送的授信请求，所述授信请求中至少包括所述第二客户端的身份信息以及待授信角色；其中，所述待授信角色是所述第一客户端上创建的自有角色；

发送模块，用于向所述第二客户端发送授信响应，所述授信响应中包含对所述待授信角色的授信结果。

7.根据权利要求6所述的装置，其特征在于，所述装置还包括：

创建模块，用于为所述第一客户端的每种资源创建对应的操作权限，其中，将每个资源对应的操作权限与一个自有角色关联。

8.根据权利要求6所述的装置，其特征在于，所述授信结果为同意授信时，所述发送模块具体用于：为所述待授信角色创建角色副本；将所述角色副本携带在所述授信响应中发送给所述第二客户端，以使所述第二客户端将所述角色副本添加至所述第二客户端维护的角色与权限的关联关系中。

9.一种电子设备，包括如权利要求6-8中任一项所述的账号授权装置，或者，所述电子设备包括：

存储器，用于存储可执行命令；

处理器，用于在所述可执行命令的控制下，执行如权利要求1-5中任一项所述的账号授权方法。

10.一种计算机可读存储介质，存储有可执行指令，所述可执行指令被处理器执行时，执行如权利要求1-5中任一项所述的账号授权方法。

Images