CN111310141B - 鉴权管理方法、装置、计算机设备及存储介质 - Google Patents

Abstract

本发明涉及权限管理领域，公开了一种鉴权管理方法、装置、计算机设备及存储介质，其方法包括：接收机构创建指令，以在鉴权服务系统创建机构目录，机构目录包括机构信息和机构识别号；接收客户端发送的用于注册机构目录的配置信息，配置信息包括机构识别号；向鉴权规则数据库获取与配置信息匹配的鉴权规则；将鉴权规则存储在与机构识别号关联的存储位置，以完成机构目录的鉴权服务的注册。本发明可以提高应用程序鉴权管理的效率。

Description

鉴权管理方法、装置、计算机设备及存储介质

技术领域

本发明涉及权限管理领域，尤其涉及一种鉴权管理方法、装置、计算机设备及存储介质。

背景技术

目前，带有鉴权功能的框架产品主要有两种，包括Spring security和ApacheShiro。Spring security功能强大，使用Spring security几乎可以开发出绝大多数与授权安全相关的需求实现。但Spring security的学习成本高，理解起来复杂，搭建成本高。其提供的很多范式，需要较高的熟练度才能正确使用。并且，它对Spring mvc框架的支持较好，而对非Spring mvc框架的支持不佳。Apache Shiro的复杂度大为降低，但功能性存在一定性的欠缺。

然而，无论是Spring security，还是Apache Shiro，它们提供的仅仅是降低了配套权限代码的开发量，并无法实现零代码开发。

发明内容

基于此，有必要针对上述技术问题，提供一种鉴权管理方法、装置、计算机设备及存储介质，以提高鉴权管理的效率。

一种鉴权管理方法，包括：

接收机构创建指令，以在鉴权服务系统创建机构目录，所述机构目录包括机构信息和机构识别号；

接收客户端发送的用于注册所述机构目录的配置信息，所述配置信息包括所述机构识别号；

向鉴权规则数据库获取与所述配置信息匹配的鉴权规则；

将所述鉴权规则存储在与所述机构识别号关联的存储位置，以完成所述机构目录的鉴权服务的注册。

一种鉴权管理装置，包括：

创建机构模块，用于接收机构创建指令，以在鉴权服务系统创建机构目录，所述机构目录包括机构信息和机构识别号；

接收配置信息模块，用于接收客户端发送的用于注册所述机构目录的配置信息，所述配置信息包括所述机构识别号；

获取鉴权规则模块，用于向鉴权规则数据库获取与所述配置信息匹配的鉴权规则；

注册服务模块，用于将所述鉴权规则存储在与所述机构识别号关联的存储位置，以完成所述机构目录的鉴权服务的注册。

一种计算机设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现上述鉴权管理方法。

一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行时实现上述鉴权管理方法。

上述鉴权管理方法、装置、计算机设备及存储介质，通过鉴权服务系统统一管理多个应用程序的鉴权服务，单一的应用程序仅需简单地配置即可完成鉴权设置，大大减少程序开发在鉴权管理部分的工作量，提高应用程序鉴权管理的效率。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对本发明实施例的描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本发明一实施例中鉴权管理方法的一应用环境示意图；

图2是本发明一实施例中鉴权管理方法的一流程示意图；

图3是本发明一实施例中鉴权管理方法的一流程示意图；

图4是本发明一实施例中鉴权管理方法的一流程示意图；

图5是本发明一实施例中鉴权管理方法的一流程示意图；

图6是本发明一实施例中鉴权管理方法的一流程示意图；

图7是本发明一实施例中鉴权管理装置的一结构示意图；

图8是本发明一实施例中计算机设备的一示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本实施例提供的鉴权管理方法，可应用在如图1的应用环境中，其中，客户端通过网络与服务端进行通信。其中，客户端包括但不限于各种个人计算机、笔记本电脑、智能手机、平板电脑和便携式可穿戴设备。服务端可以用独立的服务器或者是多个服务器组成的服务器集群来实现。在客户端上设置有鉴权客户端和用户程序请求入口。鉴权客户端可以是鉴权工具包。应用访问者可以通过用户程序请求入口访问鉴权客户端提供的数据资源。服务端用于向客户端提供鉴权服务。当客户端上存在鉴权需求时，客户端可向服务端发送鉴权请求，并由服务端返回鉴权结果。服务端还提供了管理站点接口，管理员可通过该接口实现对用户权限的配置。服务端还可以与缓存(cache)、鉴权规则数据库连接。缓存可以存储服务端在提供鉴权服务过程中产生的数据。鉴权规则数据库则可以向服务端提供鉴权规则，实现对鉴权规则的统一管理。

在一实施例中，如图2所示，提供一种鉴权管理方法，以该方法应用在图1中的服务端为例进行说明，包括如下步骤：

S10、接收机构创建指令，以在鉴权服务系统创建机构目录，所述机构目录包括机构信息和机构识别号；

S20、接收客户端发送的用于注册所述机构目录的配置信息，所述配置信息包括所述机构识别号；

S30、向鉴权规则数据库获取与所述配置信息匹配的鉴权规则；

S40、将所述鉴权规则存储在与所述机构识别号关联的存储位置，以完成所述机构目录的鉴权服务的注册。

本实施例中，服务端设置有鉴权服务系统。管理员可通过管理站点的接口访问鉴权服务系统，并根据需要在鉴权服务系统创建机构目录。创建机构目录时会生成一个唯一的字符串，作为应用程序注册时的凭证。该字符串即为机构识别号。机构目录下包括至少一个的机构。一个机构与一个或多个应用程序对应。不同机构(比如企业，或商户)，可以共用一个机构识别号，以实现应用程序之间的资源共享和鉴权服务统一管理。在一些情况下，相同机构识别号还允许分配跨应用的授权策略。机构信息指的是机构目录包含的机构的信息。在一些情况下，机构信息包括了机构名称和应用程序名称。

应用访问者可以指需要调用应用程序的用户。应用访问者的访问权限，受到管理员在鉴权服务系统的权限设置影响。只有当管理员配置了该应用访问者在指定资源上的访问权限，应用访问者才被允许访问上述指定资源。应用访问者可以通过客户端向鉴权服务系统发送用于注册机构目录的配置信息。

配置信息包括机构识别号和资源访问路径。配置信息可以通过鉴权客户端上的鉴权工件包进行解析，在客户端上加载与配置信息匹配的资源。配置信息仅包含了机构识别号和若干资源访问路径，总行数在20行以内。配置信息实现了对应用程序的权限配置，大大降低了程序权限开发的难度。

与配置信息匹配的鉴权规则指的是，与资源路径关联的鉴权规则。鉴权规则数据库中记录了大量的鉴权规则。不同的资源路径，其关联的鉴权规则也是不同的。可以通过修改鉴权规则数据库中的某一个鉴权规则，实现对多个应用程序的鉴权管理进行修改，大大提高了鉴权管理的处理效率。在另一些情况下，若仅需要对单独一个应用程序的鉴权规则进行修改，此时，仅需要修改配置信息中的资源路径。这样大大降低了程序开发的难度，鉴权管理更加便捷和灵活。

在获取到需要的鉴权规则后，可以将该鉴权规则存储在与机构识别号关联的存储位置以完成机构目录的鉴权服务的注册。在此处，存储位置可以指专门用于存储机构目录鉴权规则的数据库。

可选的，如图3所示，步骤S10之后，还包括：

S11、接收角色创建指令，以在所述机构目录下创建角色；

S12、接收用户创建指令，以在所述角色下创建用户。

在管理员通过管理站点接口创建好机构目录后，可以在机构目录下创建角色，然后为每个角色创建或分配若干个用户。在一些应用程序管理用户中，也可以管理不同角色下的其他用户。

在建立角色和用户后，管理员还可以对用户的权限进行管理，以赋予用户访问指定资源路径的权限。

可选的，如图4所示，步骤S20之前，还包括：

S21、在所述客户端接收用户输入所述配置信息；

S22、在所述客户端通过所述客户端的鉴权工具包获取与所述配置信息匹配的资源路径。

本实施例中，用户可以在客户端的用户程序请求入口输入配置信息。鉴权工具包识别并读取配置信息中的机构识别码和资源路径，然后将资源路径下的资源加载到应用程序中。

具体的，鉴权工具包通过配置信息在POM项目(项目对象模型)中添加依赖，然后根据配置信息的请求链接和资源路径向鉴权服务系统注册应用程序。在一些情况下，资源路径可以表示为：*/app/**。*表示任何资源，**表示某路径下所有子集。鉴权客户端将会强制拦截与资源路径匹配的访问请求，并确认当前用户的登录状态，以及判断当前用户是否具有该资源路径的访问权限求，通过远程询问鉴权服务系统。只有鉴权服务系统返回“鉴权通过”，才会放行该用户对于资源路径下的资源的访问。否则将会返回“无权限”状态的HTTP请求码及提示。

可选的，如图5所示，步骤S40之后，还包括：

S41、接收所述客户端发送的指定用户的登录信息；

S42、在所述登录信息验证通过后，读取所述指定用户所对应的用户角色；

S43、加载所述用户角色拥有权限的资源列表至缓存。

本实施例中，在完成应用程序的注册之后，指定用户可以在浏览器进行登录。登录的指定用户必须是在应用程序上注册账户后的用户。鉴权客户端可以提供登录接口。在根据登录信息验证指定用户为合法账户后，鉴权服务系统读取指定用户所对应的用户角色。指定用户可以包括一个或多个用户角色。鉴权服务系统加载指定用户所拥有的角色下具有权限的资源列表至缓存。然后根据这些资源列表拼装返回报文给客户端。客户端可以根据这些返回报文生成token，并存储在本地cookie中。token具有一定的时效性，如可以是半个小时。若半个小时后，客户端无新的操作，token将失效。

可选的，如图6所示，步骤S43之后，还包括

S44、接收所述客户端发送的远程鉴权请求；

S45、获取所述远程鉴权请求的用户信息，并将与所述用户信息匹配的资源列表反序列化至本地Set集合；

S46、判断所述远程鉴权请求的请求地址是否存在于所述本地Set集合；

S47、若所述远程鉴权请求的请求地址存在于所述本地Set集合，则向所述客户端返回鉴权通过信息。

本实施例中，用户在登录之后，若在客户端上执行需要鉴权的操作，则需要向鉴权服务系统发送的远程鉴权请求。远程鉴权请求可以包括上一请求中的token。鉴权服务系统读取token中的用户信息，然后将与用户信息匹配的资源列表反序列化至本地Set集合，在本地Set集合得到用户可访问的请求地址数据。判断远程鉴权请求的请求地址是否存在于上述用户可访问的请求地址数据。若存在，说明用户的操作是合法的，此时向客户端返回鉴权通过信息。此时，用户当前的操作被允许执行，可以进行其他的操作。若远程鉴权请求的请求地址不存在于上述用户可访问的请求地址数据，则用户的操作是非法的。此时，在客户端上，可以根据预先的设置跳转到相应的提示页面。用户可以根据提示页面提供的信息了解当前的操作已经被拒绝。

应理解，上述实施例中各步骤的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本发明实施例的实施过程构成任何限定。

在一实施例中，提供一种鉴权管理装置，该鉴权管理装置与上述实施例中鉴权管理方法一一对应。如图7所示，该鉴权管理装置包括创建机构模块10、接收配置信息模块20、获取鉴权规则模块30和注册服务模块40。各功能模块详细说明如下：

创建机构模块10，用于接收机构创建指令，以在鉴权服务系统创建机构目录，所述机构目录包括机构信息和机构识别号；

接收配置信息模块20，用于接收客户端发送的用于注册所述机构目录的配置信息，所述配置信息包括所述机构识别号；

获取鉴权规则模块30，用于向鉴权规则数据库获取与所述配置信息匹配的鉴权规则；

注册服务模块40，用于将所述鉴权规则存储在与所述机构识别号关联的存储位置，以完成所述机构目录的鉴权服务的注册。

可选的，鉴权管理装置还包括：

创建角色模块，用于接收角色创建指令，以在所述机构目录下创建角色；

创建用户模块，用于接收用户创建指令，以在所述角色下创建用户。

可选的，鉴权管理装置还包括：

输入配置信息模块，用于在所述客户端接收用户输入所述配置信息；

获取资源路径模块，用于在所述客户端通过所述客户端的鉴权工具包获取与所述配置信息匹配的资源路径。

可选的，鉴权管理装置还包括：

登录模块，用于接收所述客户端发送的指定用户的登录信息；

读取角色模块，用于在所述登录信息验证通过后，读取所述指定用户所对应的用户角色；

缓存加载模块，用于加载所述用户角色拥有权限的资源列表至缓存。

可选的，鉴权管理装置还包括：

鉴权请求模块，用于接收所述客户端发送的远程鉴权请求；

反序列化模块，用于获取所述远程鉴权请求的用户信息，并将与所述用户信息匹配的资源列表反序列化至本地Set集合；

鉴权判定模块，用于判断所述远程鉴权请求的请求地址是否存在于所述本地Set集合；

鉴权通过模块，用于若所述远程鉴权请求的请求地址存在于所述本地Set集合，则向所述客户端返回鉴权通过信息。

关于鉴权管理装置的具体限定可以参见上文中对于鉴权管理方法的限定，在此不再赘述。上述鉴权管理装置中的各个模块可全部或部分通过软件、硬件及其组合来实现。上述各模块可以硬件形式内嵌于或独立于计算机设备中的处理器中，也可以以软件形式存储于计算机设备中的存储器中，以便于处理器调用执行以上各个模块对应的操作。

在一个实施例中，提供了一种计算机设备，该计算机设备可以是服务器，其内部结构图可以如图8所示。该计算机设备包括通过系统总线连接的处理器、存储器、网络接口和数据库。其中，该计算机设备的处理器用于提供计算和控制能力。该计算机设备的存储器包括非易失性存储介质、内存储器。该非易失性存储介质存储有操作系统、计算机程序和数据库。该内存储器为非易失性存储介质中的操作系统和计算机程序的运行提供环境。该计算机设备的数据库用于存储鉴权管理方法所涉及的数据。该计算机设备的网络接口用于与外部的终端通过网络连接通信。该计算机程序被处理器执行时以实现一种鉴权管理方法。

在一个实施例中，提供了一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，处理器执行计算机程序时实现以下步骤：

接收机构创建指令，以在鉴权服务系统创建机构目录，所述机构目录包括机构信息和机构识别号；

接收客户端发送的用于注册所述机构目录的配置信息，所述配置信息包括所述机构识别号；

向鉴权规则数据库获取与所述配置信息匹配的鉴权规则；

将所述鉴权规则存储在与所述机构识别号关联的存储位置，以完成所述机构目录的鉴权服务的注册。

在一个实施例中，提供了一种计算机可读存储介质，其上存储有计算机程序，计算机程序被处理器执行时实现以下步骤：

接收机构创建指令，以在鉴权服务系统创建机构目录，所述机构目录包括机构信息和机构识别号；

接收客户端发送的用于注册所述机构目录的配置信息，所述配置信息包括所述机构识别号；

向鉴权规则数据库获取与所述配置信息匹配的鉴权规则；

将所述鉴权规则存储在与所述机构识别号关联的存储位置，以完成所述机构目录的鉴权服务的注册。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一非易失性计算机可读取存储介质中，该计算机程序在执行时，可包括如上述各方法的实施例的流程。其中，本申请所提供的各实施例中所使用的对存储器、存储、数据库或其它介质的任何引用，均可包括非易失性和/或易失性存储器。非易失性存储器可包括只读存储器(ROM)、可编程ROM(PROM)、电可编程ROM(EPROM)、电可擦除可编程ROM(EEPROM)或闪存。易失性存储器可包括随机存取存储器(RAM)或者外部高速缓冲存储器。作为说明而非局限，RAM以多种形式可得，诸如静态RAM(SRAM)、动态RAM(DRAM)、同步DRAM(SDRAM)、双数据率SDRAM(DDRSDRAM)、增强型SDRAM(ESDRAM)、同步链路(Synchlink)DRAM(SLDRAM)、存储器总线(Rambus)直接RAM(RDRAM)、直接存储器总线动态RAM(DRDRAM)、以及存储器总线动态RAM(RDRAM)等。

所属领域的技术人员可以清楚地了解到，为了描述的方便和简洁，仅以上述各功能单元、模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能单元、模块完成，即将所述装置的内部结构划分成不同的功能单元或模块，以完成以上描述的全部或者部分功能。

以上所述实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围，均应包含在本发明的保护范围之内。

Claims (8)

1.一种鉴权管理方法，其特征在于，包括：

接收机构创建指令，以在鉴权服务系统创建机构目录，所述机构目录包括机构信息和机构识别号；

接收客户端发送的用于注册所述机构目录的配置信息，所述配置信息包括所述机构识别号；

向鉴权规则数据库获取与所述配置信息匹配的鉴权规则，与所述配置信息匹配的鉴权规则指的是，与资源路径关联的鉴权规则；

将所述鉴权规则存储在与所述机构识别号关联的存储位置，以完成所述机构目录的鉴权服务的注册；

所述接收客户端发送的用于注册所述机构目录的配置信息之前，还包括：

用户在客户端的用户程序请求入口输入配置信息，所述客户端中的鉴权工具包识别并读取配置信息中的机构识别码和资源路径，然后将资源路径下的资源加载到应用程序中。

2.如权利要求1所述的鉴权管理方法，其特征在于，所述接收机构创建指令，以在鉴权服务系统创建机构目录，所述机构目录包括机构信息和机构识别号之后，还包括：

接收角色创建指令，以在所述机构目录下创建角色；

接收用户创建指令，以在所述角色下创建用户。

3.如权利要求1所述的鉴权管理方法，其特征在于，所述将所述鉴权规则存储在与所述机构识别号关联的存储位置，以完成所述机构目录的鉴权服务的注册之后，还包括：

接收所述客户端发送的指定用户的登录信息；

在所述登录信息验证通过后，读取所述指定用户所对应的用户角色；

加载所述用户角色拥有权限的资源列表至缓存。

4.如权利要求3所述的鉴权管理方法，其特征在于，所述加载与所述用户角色匹配的资源列表至缓存之后，还包括

接收所述客户端发送的远程鉴权请求；

获取所述远程鉴权请求的用户信息，并将与所述用户信息匹配的资源列表反序列化至本地Set集合；

判断所述远程鉴权请求的请求地址是否存在于所述本地Set集合；

若所述远程鉴权请求的请求地址存在于所述本地Set集合，则向所述客户端返回鉴权通过信息。

5.一种鉴权管理装置，其特征在于，包括：

创建机构模块，用于接收机构创建指令，以在鉴权服务系统创建机构目录，所述机构目录包括机构信息和机构识别号；

接收配置信息模块，用于接收客户端发送的用于注册所述机构目录的配置信息，所述配置信息包括所述机构识别号；

获取鉴权规则模块，用于向鉴权规则数据库获取与所述配置信息匹配的鉴权规则，与所述配置信息匹配的鉴权规则指的是，与资源路径关联的鉴权规则；

注册服务模块，用于将所述鉴权规则存储在与所述机构识别号关联的存储位置，以完成所述机构目录的鉴权服务的注册；

其中，所述接收客户端发送的用于注册所述机构目录的配置信息，所述配置信息包括所述机构识别号之前，还包括：

用户在客户端的用户程序请求入口输入配置信息，所述客户端中的鉴权工具包识别并读取配置信息中的机构识别码和资源路径，然后将资源路径下的资源加载到应用程序中。

6.如权利要求5所述的鉴权管理装置，其特征在于，还包括：

创建角色模块，用于接收角色创建指令，以在所述机构目录下创建角色；

创建用户模块，用于接收用户创建指令，以在所述角色下创建用户。

7.一种计算机设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1至4中任一项所述鉴权管理方法。

8.一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1至4中任一项所述鉴权管理方法。

Images