CN111581633A - 一种基于云计算的功能权限控制方法、设备及介质 - Google Patents

Abstract

本申请公开了一种基于云计算的功能权限控制方法、设备及介质，方法包括：确定预先建立的权限对象关系；接收用户发送的，表示所述用户获取物理资源的获取请求，并确定所述用户对应的角色信息；通过所述权限对象关系，确定所述角色信息是否拥有执行所述物理资源对应的功能操作的权限；若拥有，则允许所述用户执行所述功能操作，以获取所述物理资源。通过预先设置权限对象关系，设置了不同的角色信息所对应着不同的功能操作的权限，可以在接收到用户的获取请求时，快捷便利而且准确的得知该用户所对应的角色是否拥有相应的权限，能够满足云模式下各资源数据的访问控制，而且对新资源控制时，只需要更改权限对象树即可实现，减少了维护系统时的代价。

Description

一种基于云计算的功能权限控制方法、设备及介质

技术领域

本申请涉及权限控制领域，具体涉及一种基于云计算的功能权限控制方法、设备及介质。

背景技术

随着技术的发展，云计算也开始在企业和政府中越发的普及。云计算(cloudcomputing)是分布式计算的一种，指的是通过网络“云”将巨大的数据计算处理程序分解成无数个小程序，然后，通过多部服务器组成的系统进行处理和分析这些小程序得到结果并返回给用户。云计算拥有灵活性高、可靠性高、性价比高等诸多优点。

随着云计算的普及，各企业或政府对应的系统中会暴露各种访问资源，例如：功能入口、功能操作等，而传统的只控制菜单权限根本无法满足云模式下各资源数据的访问控制，而且对新资源控制时是被动的识别处理，这样对系统维护时，需要付出过高的代价。

发明内容

为了解决上述问题，本申请提出了一种基于云计算的功能权限控制方法，包括：确定预先建立的权限对象关系；接收用户发送的，表示所述用户获取物理资源的获取请求，并确定所述用户对应的角色信息；通过所述权限对象关系，确定所述角色信息是否拥有执行所述物理资源对应的功能操作的权限；若拥有，则允许所述用户执行所述功能操作，以获取所述物理资源。

在一个示例中，所述权限对象关系为多层结构的权限对象树；所述权限对象树中包括应用、模块、分组、权限对象、功能操作、物理资源中的至少一种。

在一个示例中，建立所述权限对象树时，所述方法还包括：针对每个角色信息，设置该角色信息所拥有的，用于执行功能操作的权限，并将设置所述权限时的时间戳以及设置人进行记录。

在一个示例中，所述权限包括实关联权限和/或虚关联权限。

在一个示例中，确定所述用户对应的角色信息，包括：根据预先确定的各用户与角色信息之间的对应关系，确定所述用户对应的角色信息，其中，所述角色信息根据所述用户的职务确定。

在一个示例中，所述物理资源包括：菜单、按钮、应用程序接口API、文件、软件交付物中的至少一种。

在一个示例中，接收用户发送的，表示所述用户获取物理资源的获取请求之后，所述方法还包括：确定所述获取请求中所有的物理资源所对应的功能操作，并存储在缓存中。

在一个示例中，所述方法还包括：对所述权限对象树中，所述角色信息与所述功能操作之间的对应关系进行修改，并将修改时的修改人以及时间戳进行记录。

另一方面，本申请还提出了一种基于云计算的功能权限控制设备，包括：至少一个处理器；以及，与所述至少一个处理器通信连接的存储器；其中，所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够：确定预先建立的权限对象关系；接收用户发送的，表示所述用户获取物理资源的获取请求，并确定所述用户对应的角色信息；通过所述权限对象关系，确定所述角色信息是否拥有执行所述物理资源对应的功能操作的权限；若拥有，则允许所述用户执行所述功能操作，以获取所述物理资源。

另一方面，本申请还提出了一种基于云计算的功能权限控制的非易失性计算机存储介质，存储有计算机可执行指令，所述计算机可执行指令设置为：确定预先建立的权限对象关系；接收用户发送的，表示所述用户获取物理资源的获取请求，并确定所述用户对应的角色信息；通过所述权限对象关系，确定所述角色信息是否拥有执行所述物理资源对应的功能操作的权限；若拥有，则允许所述用户执行所述功能操作，以获取所述物理资源。

通过本申请提出的基于云计算的功能权限控制方法能够带来如下有益效果：

通过预先设置权限对象关系，设置了不同的角色信息所对应着不同的功能操作的权限，可以在接收到用户的获取请求时，快捷便利而且准确的得知该用户所对应的角色是否拥有相应的权限，能够满足云模式下各资源数据的访问控制，而且对新资源控制时，只需要更改权限对象树即可实现，减少了维护系统时的代价。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1为本申请实施例中基于云计算的功能权限控制方法的流程示意图；

图2为本申请实施例中基于云计算的功能权限控制设备的示意图；

图3为本申请实施例中权限对象树的结构示意图；

图4为本申请实施例中用户关系示意图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合本申请具体实施例及相应的附图对本申请技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

以下结合附图，详细说明本申请各实施例提供的技术方案。

如图1所示，本申请实施例提供一种基于云计算的功能权限控制方法，方法主要应用在企业或者政府对应的系统中，该系统可以是用于在企业内部或政府内部办理相应业务的业务系统，当然，除了业务系统外，还可用于其他基于云计算的系统，在此不再赘述，本申请实施例中以业务系统为例进行举例说明。

方法包括：

S101、确定预先建立的权限对象关系；

为了能够有效的控制业务系统中的功能权限，可以预先建立相应的权限对象关系。其中，权限对象指的是，需要进行设置权限的各个对象，该对象可以是资源功能入口、功能操作等，在此不再赘述。

具体地，预先建立的权限对象关系可以是多种形式，例如，可以是以表格的形式进行存储，也可以是以树形结构进行存储。当权限对象关系以树形结构进行存储时，权限对象关系可以是权限对象树，权限对象树为多层结构，具体结构可以如图3所示，为应用-模块-分组-权限对象-功能操作-物理资源该多层结构。其中，每层结构下可以对应一个或多个子结构，例如，在应用层级下可以包括一个或多个模块层级，而应用层级本身的数量也可以包括多个，均属于业务系统中。

其中，应用是指在登录业务系统，或修改业务系统中的相关数据时所对应的应用。不同的人在登录业务系统时，可以通过同一个应用，也可以通过不同的应用，例如，内部员工可以有专门的应用来登录业务系统，执行内部的一些业务，而客户则只能通过外部的应用登录业务系统来办理业务。

模块指的是在应用中所对应的各个模块。以内部员工所对应的应用为例，其中可以包含有多个模块，该模块的划分可以是针对应用的，例如，包括登录模块、退出模块、修改个人信息模块、内部业务模块、外部业务模块等，在此不再赘述。

而分组则是指的，在各模块中所对应的业务分组。不管是内部员工，还是管理人员或者客户，在通过相应的应用登录业务系统后，可以在不同的模块中执行相应的业务，此时可以把业务进行分组，分成多个种类，例如，针对内部业务模块来说，所包含的分组可以包括：人事业务、采购业务、财务业务等，在此不再赘述。

权限对象则指的是，在相应的分组下，具体所要执行业务时的权限对象。例如，在人事业务所对应的分组中，权限对象可以是新员工录取、员工岗位调动、员工辞退等权限对象，其他分组中的权限对象不再赘述。

功能操作则是指的，在该权限对象下相应的操作，功能操作是对物理资源的一种抽象，其会关联一个物理资源，表示拥有了该操作就拥有了物理资源。例如在新员工录取中，所对应的功能操作可以有：录入新员工信息、修改新员工信息、删除新员工信息、将新员工信息进行打印等，在此不再赘述。

物理资源指的是在执行了相应的功能操作后所能获取到的物理资源，该物理资源可以是菜单、按钮、程序API、文件、软件交付物等，系统中任何需要进行功能访问控制的对象皆可纳入。例如，在录入新员工信息中，对应的物理资源可以是获取录入信息时相应的菜单和按钮，或者是录入表格所对应的文件。

权限对象本质上是根据业务场景描述的某一功能操作，为了区分不同用户拥有不用的功能操作，可以通过用户拥有各角色信息来进行实现。角色本身存储了该角色拥有的操作信息，系统中角色信息是显示业务活动中用户职务的反应，用户每拥有一个职务，也就拥有一个角色信息，而用户同时拥有多个职务时，也就同时拥有了多个角色信息，而角色信息可以例如，员工、主任、总监等不同的级别，每个级别也可以根据所在的部门不同而不同，在此不再赘述。此时，角色信息可以添加至权限对象关系中，即，将角色信息与功能操作之间对应的关系也添加至权限对象关系中；当然也可以不添加，而是相对独立的设置，并与权限对象关系中的功能操作相关联，在此不做限定。

另外，权限对象树在建立完成后，可以是不变的，也可以是进行修改的，在对权限对象树进行修改后，只需将修改人以及时间戳进行记录即可，在此不再赘述。

S102、接收用户发送的，表示所述用户获取物理资源的获取请求，并确定所述用户对应的角色信息。

在确定了预先建立的权限对象关系系后，若用户想要获取相应的物理资源，则可以向系统发送相应的获取请求，系统在接收到了该获取请求后，可以首先根据该获取请求来确定用户对应的角色信息，这里的角色信息可以由用户的职务来确定，当用户拥有多个职务时，也就拥有了多个角色信息，此时可以确定用户对应的全部角色信息。

S103、通过所述权限对象关系，确定所述角色信息是否拥有执行所述物理资源对应的功能操作的权限。

S104、若拥有，则允许所述用户执行所述功能操作，以获取所述物理资源。

如图4所示，在确定了用户的角色信息后，然后可以通过权限对象关系中所对应的角色信息与功能操作之间的对应关系来确定该角色信息是否拥有执行对应的功能操作的权限，当然，如果角色信息未添加至权限对象关系中，则可以根据权限对象关系中的功能操作，与相对独立设置的角色信息之间的关联来确定。如果该角色信息拥有执行该功能操作的权限，则可以允许该用户执行该功能操作，然后获取相应的物理资源。若是该角色信息未拥有权限，则不允许该用户执行功能操作。当用户拥有多个角色信息时，只需要其中一个角色信息拥有相应的权限，则该用户即可以拥有执行相应的功能操作的权限。

在一个实施例中，在建立权限对象树的过程中，需要针对每个角色信息，来设置其该角色信息所拥有的用于执行功能操作的权限，即，该角色信息所能拥有哪些功能操作权限。而在设置权限时，可以将时间戳以及设置人进行记录，记录的位置可以是记录在权限对象树中，也可以是记录在其他地方，在此不做限定。通过进行记录，可以看到在设置每个角色信息的权限时的时间以及设置人，以便于能够随时的对设置人以及设置时间进行追溯。类似地，在设置每个用户所拥有的角色信息时，也可以记录设置人以及时间戳，在此不再赘述。

在一个实施例中，在权限对象树中设置角色信息所拥有的权限时，权限可以是实关联权限，也可以是虚关联权限。实关联权限指的是，该角色信息与已存在的至少一个具体的功能操作，虚关联权限则是指的，该角色信息可以与默认的一个功能操作进行关联，该默认的功能操作可以是任意一个已存在的功能操作。通过设置实关联权限和虚关联权限，可以根据实际的需求进行设置，如果有角色信息不便于直接设置关联的功能操作，则可以进行虚关联权限，十分便利。

在一个实施例中，在接收到用户发送的获取请求后，对于该获取请求，可以统一调用权限框架的功能权限接口，来判断用户所对应的角色是否拥有该才功能操作的权限，然后决定是否拥有物理资源的访问权限。同时可以支持一次批量获取当前获取请求中所述有的功能操作并进行缓存，避免多次进行访问请求，减轻了服务器的压力。

在一个实施例中，在建立权限对象树时，通常需要定义权限对象(BizObject)，权限对象包含的属性可以有：标识、编号、名称、树信息，具体如下：

在建立权限对象树时，通常需要定义功能操作(Operation)，功能操作包含的属性可以有：标识、编号、名称、隶属的权限对象标识，具体如下：

在建立权限对象树时，通常需要定义物理资源(NeedControledObject)，物理资源包含的属性可以有：标识、编号、名称、关联的功能操作内码，具体如下：

在建立权限对象树时，通常需要定义角色信息与功能操作之间的对应关系(RoleOperation)，该对应关系包含的属性可以有：角色信息内码、功能操作内码、时间戳信息，具体如下：

在建立权限对象树时，通常需要定义用户与角色信息之间的对应关系(UserRole)，该对应关系所包含属性可以有：角色内码、功能操作内码、时间戳信息，具体如下：

如图2所示，本申请实施例还提供一种基于云计算的功能权限控制设备，包括：

至少一个处理器；以及，

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够：

确定预先建立的权限对象关系；

接收用户发送的，表示所述用户获取物理资源的获取请求，并确定所述用户对应的角色信息；

通过所述权限对象关系，确定所述角色信息是否拥有执行所述物理资源对应的功能操作的权限；

若拥有，则允许所述用户执行所述功能操作，以获取所述物理资源。

本申请实施例还提供一种基于云计算的功能权限控制的非易失性计算机存储介质，存储有计算机可执行指令，所述计算机可执行指令设置为：

确定预先建立的权限对象关系；

接收用户发送的，表示所述用户获取物理资源的获取请求，并确定所述用户对应的角色信息；

通过所述权限对象关系，确定所述角色信息是否拥有执行所述物理资源对应的功能操作的权限；

若拥有，则允许所述用户执行所述功能操作，以获取所述物理资源。

本申请中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于设备和介质实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

本申请实施例提供的设备和介质与方法是一一对应的，因此，设备和介质也具有与其对应的方法类似的有益技术效果，由于上面已经对方法的有益技术效果进行了详细说明，因此，这里不再赘述设备和介质的有益技术效果。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

以上所述仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (10)

1.一种基于云计算的功能权限控制方法，其特征在于，包括：

确定预先建立的权限对象关系；

接收用户发送的，表示所述用户获取物理资源的获取请求，并确定所述用户对应的角色信息；

通过所述权限对象关系，确定所述角色信息是否拥有执行所述物理资源对应的功能操作的权限；

若拥有，则允许所述用户执行所述功能操作，以获取所述物理资源。

2.根据权利要求1所述的方法，其特征在于，所述权限对象关系为多层结构的权限对象树；

所述权限对象树中包括应用、模块、分组、权限对象、功能操作、物理资源中的至少一种。

3.根据权利要求2所述的方法，其特征在于，建立所述权限对象树时，所述方法还包括：

针对每个角色信息，设置该角色信息所拥有的，用于执行功能操作的权限，并将设置所述权限时的时间戳以及设置人进行记录。

4.根据权利要求3所述的方法，其特征在于，所述权限包括实关联权限和/或虚关联权限。

5.根据权利要求1所述的方法，其特征在于，确定所述用户对应的角色信息，包括：

根据预先确定的各用户与角色信息之间的对应关系，确定所述用户对应的角色信息，其中，所述角色信息根据所述用户的职务确定。

6.根据权利要求1所述的方法，其特征在于，所述物理资源包括：菜单、按钮、应用程序接口API、文件、软件交付物中的至少一种。

7.根据权利要求1所述的方法，其特征在于，接收用户发送的，表示所述用户获取物理资源的获取请求之后，所述方法还包括：

确定所述获取请求中所有的物理资源所对应的功能操作，并存储在缓存中。

8.根据权利要求1所述的方法，其特征在于，所述方法还包括：

对所述权限对象树中，所述角色信息与所述功能操作之间的对应关系进行修改，并将修改时的修改人以及时间戳进行记录。

9.一种基于云计算的功能权限控制设备，其特征在于，包括：

至少一个处理器；以及，

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够：

确定预先建立的权限对象关系；

接收用户发送的，表示所述用户获取物理资源的获取请求，并确定所述用户对应的角色信息；

通过所述权限对象关系，确定所述角色信息是否拥有执行所述物理资源对应的功能操作的权限；

若拥有，则允许所述用户执行所述功能操作，以获取所述物理资源。

10.一种基于云计算的功能权限控制的非易失性计算机存储介质，存储有计算机可执行指令，其特征在于，所述计算机可执行指令设置为：

确定预先建立的权限对象关系；

接收用户发送的，表示所述用户获取物理资源的获取请求，并确定所述用户对应的角色信息；

通过所述权限对象关系，确定所述角色信息是否拥有执行所述物理资源对应的功能操作的权限；

若拥有，则允许所述用户执行所述功能操作，以获取所述物理资源。

Images