CN111339560B

CN111339560B - 一种数据隔离方法、装置及系统

Info

Publication number: CN111339560B
Application number: CN202010118932.1A
Authority: CN
Inventors: 郝冰; 蔡苗; 陈震宇; 刘国华
Original assignee: Postal Savings Bank of China Ltd
Current assignee: Postal Savings Bank of China Ltd
Priority date: 2020-02-26
Filing date: 2020-02-26
Publication date: 2023-06-13
Anticipated expiration: 2040-02-26
Also published as: CN111339560A

Abstract

本申请实施例公开了一种数据隔离方法，所述方法包括：接收到目标用户的查询请求时，根据预先建立的数据组与用户的关联关系，确定所述目标用户所属的目标数据组；根据预设的数据组与隔离标识字段的对应关系确定所述目标数据组对应的目标隔离标识字段；根据所述查询请求和所述目标隔离标识字段生成新的查询请求并发送至数据库。相比现有技术，本申请在不依赖数据库软件权限控制的情况下，实现数据库中的数据隔离。

Description

一种数据隔离方法、装置及系统

技术领域

本发明涉及计算机信息处理领域，具体涉及一种数据隔离方法、装置及系统。

背景技术

数据库指的是以一定方式储存在一起、能为多个用户共享、具有尽可能小的冗余度、与应用程序彼此独立的数据集合。当需要进行数据隔离时，最简单的方法是采用不同的数据库装载数据，不同用户只能访问对应数据库的数据，以此来实现数据隔离，但采用不同的数据库装载数据会增加成本。

现有技术中同一个数据库中实现数据隔离，主要通过数据库软件来完成，利用数据库软件所提供的的权限控制，为用户划分不同权限，实现数据在用户间的隔离，划分权限必须具有数据库管理权限的账户来进行权限设置，操作起来较为繁琐；另外由于依赖数据库软件的权限控制，应用软件与数据库软件的耦合程度较高，不利于软件的可维护性。

发明内容

本申请提供了一种数据隔离方法、装置及系统，在不依赖数据库软件权限控制的情况下，实现数据库中的数据隔离。

本申请提供了如下方案：

第一方面提供一种数据隔离方法，所述方法包括：

接收到目标用户的查询请求时，根据预先建立的数据组与用户的关联关系，确定所述目标用户所属的目标数据组；

根据预设的数据组与隔离标识字段的对应关系确定所述目标数据组对应的目标隔离标识字段；

根据所述查询请求和所述目标隔离标识字段生成新的查询请求并发送至数据库。

优选的，根据预设的数据组与隔离标识字段的对应关系确定所述目标数据组对应的目标隔离标识字段包括：

根据目标用户的查询请求得到查询请求所要查询的目标数据表；

根据预设的数据组与数据表中隔离标识字段的对应关系确定所述目标数据组对应的目标隔离标识字段，所述目标隔离标识字段为目标数据组设定能够访问的数据范围。

优选的，所述目标隔离标识字段为目标数据组设定能够访问的数据范围包括：

利用目标隔离标识字段设置过滤条件来限定目标数据组能够访问的数据范围。

优选的，根据所述查询请求和所述目标隔离标识字段生成新的查询请求并发送至数据库包括：

将利用目标隔离标识字段设置的过滤条件增加到所述查询请求中生成新的查询请求并发送至数据库。

优选的，将利用目标隔离标识字段设置的过滤条件增加到所述查询请求中生成新的查询请求并发送至数据库包括：

根据查询请求的语句类型获取对应格式的目标隔离标识字段设置的过滤条件。

优选的，所述查询请求为SQL语句。

优选的，所述SQL语句的语句类型包括查询语句、插入语句和修改语句。

优选的，所述隔离标识字段能够唯一标识出数据表中的每条记录。

本申请第二方面提供一种数据隔离装置，所述装置包括：

确定数据组单元，用于接收到目标用户的查询请求时，根据预先建立的数据组与用户的关联关系，确定所述目标用户所属的目标数据组；

确定隔离标识字段单元，用于根据预设的数据组与隔离标识字段的对应关系确定所述目标数据组对应的目标隔离标识字段；

请求单元，用于根据所述查询请求和所述目标隔离标识字段生成新的查询请求并发送至数据库。

本申请第三方面提供一种计算机系统，包括：

一个或多个处理器；以及

与所述一个或多个处理器关联的存储器，所述存储器用于存储程序指令,所述程序指令在被所述一个或多个处理器读取执行时，执行如上所述的操作。

根据本申请提供的具体实施例，本申请公开了以下技术效果：

本申请接收查询请求时根据数据组与用户的关联关系确定目标数据组，再根据预设的数据组与隔离标识字段的对应关系确定目标隔离标识字段，根据所述查询请求和所述目标隔离标识字段生成新的查询请求并发送至数据库，以此来访问限定了数据范围的数据，从而实现数据库中的数据隔离。解决了必须具有数据库管理权限的账户来进行权限设置所导致的操作繁琐问题，本申请可以快速为多个用户完成数据访问范围的设置，以及解决了由于依赖数据库软件的权限控制，应用软件与数据库软件的耦合程度较高问题，本申请减少了应用软件与数据库软件的耦合程度，有利于软件的可维护性，降低维护成本，更容易适配多种数据库软件。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本申请实施例1方法流程图；

图2是本申请实施例2装置结构图；

图3是计算机系统结构图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员所获得的所有其他实施例，都属于本申请保护的范围。

如背景技术所述，现有技术中同一个数据库中实现数据隔离，主要通过数据库软件来完成，利用数据库软件所提供的的权限控制，为用户划分不同权限，实现数据在用户间的隔离，划分权限必须具有数据库管理权限的账户来进行权限设置，操作起来较为繁琐；另外由于依赖数据库软件的权限控制，应用软件与数据库软件的耦合程度较高，不利于软件的可维护性。

为此本申请实施例1提出一种数据隔离方法，预先创建数据组，将数据组与用户关联，在数据表中增加隔离标识字段并与数据组关联，隔离标识字段限定了数据组能够访问的数据范围，接收到目标用户的查询请求时，用户所属的目标数据组对应有目标隔离标识字段，将查询请求和所述目标隔离标识字段生成新的查询请求并发送至数据库。

数据组为一组数据范围的集合，用户可以关联到数据组，通过数据组可以快速的将指定范围的数据提供给用户使用，数据组的数据范围是由隔离标识字段来限定的。

隔离标识字段是预设在需要进行数据隔离的数据表中，利用隔离标识字段设置过滤条件来对数据库中的数据进行过滤，从而限定数据组能够访问的数据范围。

查询请求具体指的是SQL语句，SQL语句类型主要包括查询语句、插入语句和修改语句，目标数据表中利用隔离标识字段设置的过滤条件的格式必须与SQL语句类型相对应，否则过滤条件不生效，因此本申请中会根据SQL语句类型获取对应格式的隔离标识字段设置的过滤条件，确定数据组能够访问的数据范围。

新的查询请求由用户发送的查询请求和目标隔离标识字段生成，具体讲，是将利用目标隔离标识字段设置的过滤条件添加至用户发送的查询请求中，新的查询请求访问数据库的数据范围因此被限定，实现了数据库中的数据隔离。

综上所述，本申请的实施例1如下：

实施例1

如图1所示，一种数据隔离方法，所述方法包括：

S11、接收到目标用户的查询请求时，根据预先建立的数据组与用户的关联关系，确定所述目标用户所属的目标数据组；

首先创建数据组，比如创建数据组1、数据组2和数据组3，并将数据组1、数据组2和数据组3分别与用户1、用户2和用户3对应关联，用户1、用户2和用户3可以具体指一类群体，如用户1指研发组，数据组1能够访问的数据范围就限定在研发组所需要用到的数据，在接收到研发组人员即用户1发来的查询请求时，会根据用户与数据组的关联关系确定用户1所属的目标数据组为数据组1。

S12、根据预设的数据组与隔离标识字段的对应关系确定所述目标数据组对应的目标隔离标识字段；

在需要进行数据隔离的数据表中增加隔离标识字段，如隔离标识字段1、隔离标识字段2和隔离标识字段3，将隔离标识字段1、隔离标识字段2和隔离标识字段3分别与数据组1、数据组2和数据组3对应关联，当确定用户1所属的目标数据组为数据组1时，根据数据组与隔离标识字段的对应关系，确定目标隔离标识字段为隔离标识字段1。

S13、根据所述查询请求和所述目标隔离标识字段生成新的查询请求并发送至数据库。

确定目标隔离标识字段为隔离标识字段1后，将利用隔离标识字段1设置的过滤条件添加至用户发送的查询请求中生成新的查询请求，该过滤条件可以从数据库中筛选出用户组1所需要用到的数据，也就是限定了用户组1所属的数据组1能够访问的数据范围，新的查询请求访问数据库的数据范围因此被限定，实现数据库中的数据隔离。

根据预设的数据组与隔离标识字段的对应关系确定所述目标数据组对应的目标隔离标识字段包括：

数据库中有很多数据表，根据查询请求会得到所要查询的目标数据表，目标数据表中会设置有目标隔离标识字段，已确定目标数据组为数据组1，根据预设的数据组与数据表中隔离标识字段的对应关系确定数据组1对应的隔离标识字段为隔离标识字段1，隔离标识字段1为数据组1设定能够访问的数据范围。

所述目标隔离标识字段为目标数据组设定能够访问的数据范围包括：

目标隔离标识字段为目标数据组设定能够访问的数据范围的具体方法是，利用目标隔离标识字段设置过滤条件，通过设置过滤条件来筛选数据库中的数据，从而实现限定数据组能够访问的数据范围，如已确定目标隔离标识字段为隔离标识字段1，则利用隔离标识字段1设置过滤条件，保证根据过滤条件筛选后的数据是研发组所需要用到的数据。

根据所述查询请求和所述目标隔离标识字段生成新的查询请求并发送至数据库包括：

新的查询请求由用户发送的查询请求和目标隔离标识字段生成，具体讲，是将利用目标隔离标识字段设置的过滤条件添加至用户发送的查询请求中生成新的查询请求，这样新的查询请求就会根据过滤条件对数据库中的数据进行筛选，限定访问范围。

将利用目标隔离标识字段设置的过滤条件增加到所述查询请求中生成新的查询请求并发送至数据库包括：

所述查询请求为SQL语句。

所述SQL语句的语句类型包括查询语句、插入语句和修改语句。

用户执行的SQL语句类型主要包括查询语句、插入语句和修改语句，根据SQL语句得到SQL语句所要查询的目标数据表和SQL语句类型，目标数据表中利用隔离标识字段设置的过滤条件的格式必须与SQL语句类型相对应，否则过滤条件不生效，比如根据SQL语句得到的语句类型为查询语句，获取与查询语句对应格式的过滤条件。

所述隔离标识字段能够唯一标识出数据表中的每条记录。

隔离标识字段能够标识出数据表中的每条记录，从而实现记录级别的数据隔离。

上述方法具体可用在一些使用数据的场景中，例如在数据分析中，通常会有一批用户，这批用户需要访问同样的数据范围，因此可以将这批用户定义为用户a，创建数据组a，将用户a与数据组a相关联，在需要进行数据隔离的数据表a中增加隔离标识字段a，隔离标识字段a限定数据组a能够访问的数据范围，将数据组a与隔离标识字段a相关联，当接收到用户a发来的请求时，根据用户a与数据组a的关联关系确定用户a所属的数据组为数据组a，先根据用户a的查询请求判断出用户a所要查询的目标数据表a，再根据数据组a与目标数据表a中隔离标识字段a的关联关系确定目标隔离标识字段为隔离标识字段a，将利用隔离标识字段a设置的过滤条件添加到用户发送的查询请求中生成新的查询请求，该过滤条件可以从数据库中筛选出用户组a所需要访问的数据，实现同一个数据库下的数据隔离。

实施例2

对应上述方法，如图2所示，本申请实施例2提供一种数据隔离装置，所述装置包括：

确定数据组单元21，用于接收到目标用户的查询请求时，根据预先建立的数据组与用户的关联关系，确定所述目标用户所属的目标数据组；

确定数据组单元21在接收到研发组人员即用户1发来的查询请求时，会根据用户与数据组的关联关系确定用户1所属的目标数据组为数据组1。

确定隔离标识字段单元22，用于根据预设的数据组与隔离标识字段的对应关系确定所述目标数据组对应的目标隔离标识字段；

确定用户1所属的目标数据组为数据组1时，确定隔离标识字段单元22根据数据组与隔离标识字段的对应关系，确定目标隔离标识字段为隔离标识字段1。

请求单元23，用于根据所述查询请求和所述目标隔离标识字段生成新的查询请求并发送至数据库。

确定目标隔离标识字段为隔离标识字段1后，请求单元23将利用隔离标识字段1设置的过滤条件添加至用户发送的查询请求中生成新的查询请求，该过滤条件可以从数据库中筛选出用户组1所需要用到的数据，也就是限定了用户组1所属的数据组1能够访问的数据范围，新的查询请求访问数据库的数据范围因此被限定，实现数据库中的数据隔离。

确定隔离标识字段单元22，具体用于：

其中，所述目标隔离标识字段为目标数据组设定能够访问的数据范围包括：

请求单元23，具体用于：

新的查询请求由用户发送的查询请求和目标隔离标识字段生成，具体讲，是请求单元23将利用目标隔离标识字段设置的过滤条件添加至用户发送的查询请求中生成新的查询请求，这样新的查询请求就会根据过滤条件对数据库中的数据进行筛选，限定访问范围。

其中，将利用目标隔离标识字段设置的过滤条件增加到所述查询请求中生成新的查询请求并发送至数据库包括：

所述查询请求为SQL语句。

用户执行的SQL语句类型主要包括查询语句、插入语句和修改语句，根据SQL语句会得到SQL语句所要查询的目标数据表和SQL语句类型，目标数据表中利用隔离标识字段设置的过滤条件的格式必须与SQL语句类型相对应，否则过滤条件不生效，比如根据SQL语句得到的语句类型为查询语句，会获取与查询语句对应格式的过滤条件，请求单元将过滤条件添加至用户发送的查询请求中生成新的查询请求。

实施例3

对应上述方法和装置，本申请实施例3提供一种计算机系统，包括：

一个或多个处理器；以及

与所述一个或多个处理器关联的存储器，所述存储器用于存储程序指令,所述程序指令在被所述一个或多个处理器读取执行时，执行实施例一的方法步骤，如执行以下操作：

其中，图3示例性的展示出了计算机系统的架构，具体可以包括处理器1510，视频显示适配器1511，磁盘驱动器1512，输入/输出接口1513，网络接口1514，以及存储器1520。上述处理器1510、视频显示适配器1511、磁盘驱动器1512、输入/输出接口1513、网络接口1514，与存储器1520之间可以通过通信总线1530进行通信连接。

其中，处理器1510可以采用通用的CPU(Central Processing Unit，中央处理器)、微处理器、应用专用集成电路(Application Specific Integrated Circuit，ASIC)、或者一个或多个集成电路等方式实现，用于执行相关程序，以实现本申请所提供的技术方案。

存储器1520可以采用ROM(Read Only Memory，只读存储器)、RAM(Random AccessMemory，随机存取存储器)、静态存储设备，动态存储设备等形式实现。存储器1520可以存储用于控制计算机系统1500运行的操作系统1521，用于控制计算机系统1500的低级别操作的基本输入输出系统(BIOS)。另外，还可以存储网页浏览器1523，数据存储管理系统1524，以及图标字体处理系统1525等等。上述图标字体处理系统1525就可以是本申请实施例中具体实现前述各步骤操作的应用程序。总之，在通过软件或者固件来实现本申请所提供的技术方案时，相关的程序代码保存在存储器1520中，并由处理器1510来调用执行。

输入/输出接口1513用于连接输入/输出模块，以实现信息输入及输出。输入输出/模块可以作为组件配置在设备中(图中未示出)，也可以外接于设备以提供相应功能。其中输入设备可以包括键盘、鼠标、触摸屏、麦克风、各类传感器等，输出设备可以包括显示器、扬声器、振动器、指示灯等。

网络接口1514用于连接通信模块(图中未示出)，以实现本设备与其他设备的通信交互。其中通信模块可以通过有线方式(例如USB、网线等)实现通信，也可以通过无线方式(例如移动网络、WIFI、蓝牙等)实现通信。

总线1530包括一通路，在设备的各个组件(例如处理器1510、视频显示适配器1511、磁盘驱动器1512、输入/输出接口1513、网络接口1514，与存储器1520)之间传输信息。

另外，该计算机系统1500还可以从虚拟资源对象领取条件信息数据库1541中获得具体领取条件的信息，以用于进行条件判断，等等。

需要说明的是，尽管上述设备仅示出了处理器1510、视频显示适配器1511、磁盘驱动器1512、输入/输出接口1513、网络接口1514，存储器1520，总线1530等，但是在具体实施过程中，该设备还可以包括实现正常运行所必需的其他组件。此外，本领域的技术人员可以理解的是，上述设备中也可以仅包含实现本申请方案所必需的组件，而不必包含图中所示的全部组件。

通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本申请可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，云服务器，或者网络设备等)执行本申请各个实施例或者实施例的某些部分所述的方法。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统或系统实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的系统及系统实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上对本申请所提供的数据隔离方法、装置及系统，进行了详细介绍，本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处。综上所述，本说明书内容不应理解为对本申请的限制。

Claims

1.一种数据隔离方法，其特征在于，所述方法包括：

根据预设的数据组与数据表中隔离标识字段的对应关系确定所述目标数据组对应的目标隔离标识字段，所述目标隔离标识字段为目标数据组设定能够访问的数据范围；

2.如权利要求1所述的数据隔离方法，其特征在于，所述目标隔离标识字段为目标数据组设定能够访问的数据范围包括：

3.如权利要求1或2所述的数据隔离方法，其特征在于，根据所述查询请求和所述目标隔离标识字段生成新的查询请求并发送至数据库包括：

4.如权利要求3所述的数据隔离方法，其特征在于，将利用目标隔离标识字段设置的过滤条件增加到所述查询请求中生成新的查询请求并发送至数据库包括：

5.如权利要求4所述的数据隔离方法，其特征在于：

所述查询请求为SQL语句。

6.如权利要求5所述的数据隔离方法，其特征在于：

7.如权利要求1所述的数据隔离方法，其特征在于：所述隔离标识字段能够唯一标识出数据表中的每条记录。

8.一种数据隔离装置，其特征在于，所述装置包括：

确定隔离标识字段单元，用于根据目标用户的查询请求得到查询请求所要查询的目标数据表；以及用于根据预设的数据组与数据表中隔离标识字段的对应关系确定所述目标数据组对应的目标隔离标识字段，所述目标隔离标识字段为目标数据组设定能够访问的数据范围；

9.一种计算机系统，其特征在于，所述系统包括：

一个或多个处理器；以及

与所述一个或多个处理器关联的存储器，所述存储器用于存储程序指令,所述程序指令在被所述一个或多个处理器读取执行时，执行如权利要求1-7任一项所述的方法。