CN111683041B - 一种数据库关联访问方法 - Google Patents

Abstract

本发明提出了一种数据库关联访问方法，涉及数据库访问领域。包含如下步骤：在应用系统中添加代理程序，所述代理程序拦截所述应用系统发送到所述应用程序的数据包；所述代理程序从所述数据包中解析出所述应用系统的URL，进而得到当前会话的用户标识；所述代理程序将所述URL附上时间戳并通过TCP通信方式发送给数据库防火墙；所述数据库防火墙将所述URL存放在堆栈，并发送确认消息到所述代理程序。本发明通过数据库防火墙确认URL的用户标识，从而发送对应的数据包以对应处理，解决了需要改变应用程序的配置才能访问数据库的问题。

Description

一种数据库关联访问方法

技术领域

本发明涉及数据库访问领域，具体而言，涉及一种数据库关联访问方法。

背景技术

对数据库的数据进行访问一般是通过JDBC驱动，JDBC(Java Data BaseConnectivity，java数据库连接)是一种用于执行SQL语句的Java API，可以为多种关系数据库提供统一访问，它由一组用Java语言编写的类和接口组成。JDBC提供了一种基准，据此可以构建更高级的工具和接口，使数据库开发人员能够编写数据库应用程序。但是，JDBC在使用时需要修改WEB 应用的配置以适应不同用户访问，因此不便于操作和使用。目前需要一种能够不需要改变应用程序配置的方式，来获取应用系统的信息的数据库访问方法。

发明内容

本发明的目的在于提供一种数据库关联访问方法，其能够基于不同的 WEB应用系统的访问需求，对访问数据库的应用程序进行控制，不用修改 WEB应用系统的配置。

本发明的实施例是这样实现的：

本申请实施例提供一种数据库关联访问方法，包含如下步骤：在应用系统中添加代理程序，上述代理程序拦截上述应用系统发送到应用程序的数据包；上述代理程序从上述数据包中解析出上述应用系统的URL，进而得到当前会话的用户标识；上述代理程序将上述URL附上时间戳并通过TCP 通信方式发送给数据库防火墙；上述数据库防火墙将上述URL存放在堆栈，并发送确认消息到上述代理程序；上述代理程序接收上述确认消息后将上述数据包发送给应用程序，以通过上述应用程序将上述数据包发送给上述数据库防火墙。

在本发明的一些实施例中，数据库防火墙接收到上述数据包后，执行如下步骤：判断上述堆栈中是否存在上述URL，如果不存在则加入上述URL。

在本发明的一些实施例中，如果存在上述URL，则根据上述时间戳判断接收时间是否超过1秒，如果超过1秒则清空堆栈并加入上述URL。

在本发明的一些实施例中，如果上述堆栈中不存在上述URL，且接收时间未超过1秒，则清空上述堆栈。

在本发明的一些实施例中，判断上述堆栈中的所有上述URL的上述用户标识是否相同，且当不相同时清空上述堆栈。

在本发明的一些实施例中，上述代理程序判断上述URL是否需要请求后端数据库操作，且当需要时发送上述数据包到上述数据库防火墙。

在本发明的一些实施例中，根据上述堆栈中上述URL统计上述数据包的匹配次数。

在本发明的一些实施例中，当上述匹配次数超过预设阈值时，上述数据库防火墙根据上述匹配次数计算上述URL的概率。

在本发明的一些实施例中，根据贝叶斯定理利用上述URL的概率计算上述数据包的概率。

在本发明的一些实施例中，根据上述URL的上述用户标识设置不同上述用户标识对应上述数据库防火墙的使用权限。

相对于现有技术，本发明的实施例至少具有如下优点或有益效果：

本发明一种数据库关联访问方法，通过在应用系统中添加代理程序，从而利用代理程序拦截应用系统将要发送给数据库防火墙的数据包，通过数据包解析出URL以识别当前会话的用户身份；并附上时间戳以发送给数据库防火墙；数据库防火墙根据时间戳将URL保存到堆栈并向代理程序发送确认消息，确保数据库防火墙收到URL后才会收到SQL请求，从而利用代理程序解析的用户标识实现了应用程序不需要改变配置就可以获得应用系统的信息。根据不同用户的多个URL请求对应的数据包，实现数据库三层关联关系，以便于管理用户对数据库的访问权限、规律和记录。

具体实施方式

为使本申请实施例的目的、技术方案和优点更加清楚，下面将对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。通常在实施例中描述的本申请实施例的组件可以以各种不同的配置来布置和设计。

因此，以下对提供的本申请的实施例的详细描述并非旨在限制要求保护的本申请的范围，而是仅仅表示本申请的选定实施例。基于本申请中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

需要说明的是，术语“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包含一系列要素的过程、方法、物品或者设备不仅包含那些要素，而且还包含没有明确列出的其他要素，或者是还包含为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包含……”限定的要素，并不排除在包含上述要素的过程、方法、物品或者设备中还存在另外的相同要素。

在本申请的描述中，还需要说明的是，除非另有明确的规定和限定，术语“设置”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本申请中的具体含义。

下面对本申请的一些实施方式作详细说明。在不冲突的情况下，下述的各个实施例及实施例中的各个特征可以相互组合。

实施例

本申请实施例提供的数据库关联访问方法的流程示意图，实施例数据库关联访问方法，包含如下步骤：在应用系统中添加代理程序，代理程序拦截应用系统发送到应用程序的数据包；代理程序从数据包中解析出应用系统的URL，进而得到当前会话的用户标识；代理程序将URL附上时间戳并通过TCP通信方式发送给数据库防火墙；数据库防火墙将URL存放在堆栈，并发送确认消息到代理程序；代理程序接收上述确认消息后将数据包发送给应用程序，以通过应用程序将数据包发送给数据库防火墙。

详细的，代理程序通过应用系统的计算机可存储读取介质添加。代理程序拦截应用系统发送到应用程序的数据包，通过进一步处理后再通过应用程序发送到数据库防火墙。从而数据库防火墙实现后端数据库的调用作用。详细的，代理程序通过对接收的数据包进行解析得到数据包中SQL语句的URL。其中，URL为统一资源定位符(Uniform ResourceLocator，URL) 是对从互联网上得到资源的位置和访问方法的一种简洁的表示，是互联网上标准资源的地址。互联网上的每个文件都有一个唯一的URL，它包含的信息指出文件的位置以及浏览器应该怎么处理它。可选的，通过URL获取的用户标识为当前会话中的session_id。其中，Session用来追踪每个用户的会话，使用服务器生成的session_id进行标识，用以区分用户。Session 存放在服务器的内存中，session_id存放在服务器内存和客户机的Cookie 里面。这样，当用户发出请求时，服务器将用户Cookie里面记录的SessionID 和服务器内存中的session_id进行比对，从而找到这个用户对应的Session 进行操作。而且对于JSP来说，使用URL重写的技术在URL里面附加上 session_id，从而实现用户身份的标识。代理程序将URL附上时间戳并通过TCP通信方式发生给数据库防火墙，从而数据库防火墙通过堆栈依次记录URL，便于根据URL的用户身份和时间对数据包类型进行分析。数据库防火墙在存放URL后发送确认消息到代理程序，从而代理程序根据确认消息再将数据包发送给应用程序放行，从而应用程序将数据包发送给数据库防火墙。实现了代理程序经过确认数据库防火墙收到用户标识后再接收数据包，从而不需要通过改变应用程序配置的方式就可以直接获取应用系统信息。可选的，代理程序发送数据包前，先将数据包解析出SQL语句，再发送SQL语句到防火墙数据库。可选的，数据包或SQL语句通过防火墙数据库发送到后端数据库以访问后端数据库，从而对后端数据库的内容进行调用或修改。可选的，后端数据库通过数据包解析出SQL语句。数据库防火墙通过堆栈保存URL，从而根据堆栈最上面的URL与接收的数据包进行匹配，提高了对数据包响应速度和管理效率。

可以理解，本实施例的流程仅为示意，数据库关联访问方法还可包含比实施例所示更多或者更少的流程、组件，或者具有与实施例描述中不同的配置。本实施例的各流程中的组件可以采用硬件、软件或其组合实现。

在本发明的一些实施例中，数据库防火墙接收到数据包后，执行如下步骤：判断堆栈中是否存在URL，如果不存在则加入URL。

详细的，数据库防火墙在接收到数据包后，通过URL判断堆栈中是否存在与用户标识对应的URL，从而根据对应的URL确认接收应用程序发送的数据包。当不存在时，通过加入URL确认用户对数据库的访问请求建立。其中，可以根据用户标识查找对应的URL。

在本发明的一些实施例中，如果存在URL，则根据时间戳判断接收时间是否超过1秒，如果超过1秒则清空堆栈并加入URL。

其中，接收时间的判断可以根据接收URL的时间戳和接收数据包或SQL 语句的时间进行计算。并且，可选的，接收数据包或SQL语句的时间通过代理程序或应用程序附上时间戳而设置，也可以通过数据库防火墙接收数据包或SQL语句的时间进行记录。详细的，当超过1秒时说明URL已经超过时效，此时清空堆栈，提高不同用户对数据的访问反馈速度和安全性。

在本发明的一些实施例中，如果堆栈中不存在URL，且接收时间未超过 1秒，则清空上述堆栈。

详细的，当判断堆栈中不存在对应用户标识的URL时，且接收时间未超过1秒时，说明有多个数据包并发的操作，此时清空堆栈中保存的所有URL。用户通过应用系统使用时每次可能会并发多个URL请求，而每个URL 请求也可能对应多个数据包的SQL请求，因而可以根据时效和用户对数据库访问进行分别管理和控制，提高后端数据库的响应速度和数据访问的安全性。

在本发明的一些实施例中，判断堆栈中的所有URL的用户标识是否相同，且当不相同时清空堆栈。

详细的，通过数据库防火墙判断堆栈中保存的所有URL的用户标识是否相同，从而当堆栈中的用户不同时清空堆栈，保证一个用户通过数据包发出的所有SQL请求根据URL进行处理。

在本发明的一些实施例中，代理程序判断URL是否需要请求后端数据库操作，且当需要时发送数据包到数据库防火墙。

详细的，根据接收数据包中的SQL请求，或者直接接收的SQL请求判断URL的数据包是否需要对后端数据库进行访问或操作，从而通过数据库防火墙将数据包或SQL语句发送到后端数据库。

在本发明的一些实施例中，根据堆栈中URL统计数据包的匹配次数。

通过统计堆栈中与用户标识匹配的所有URL的匹配次数，便于对匹配次数进行管理，并且分析同一用户或不同用户匹配次数的规律。可选的，创建统计表，并将数据包或SQL语句、URL或用户标识进行关联，以通过统计表记录匹配次数。

在本发明的一些实施例中，当匹配次数超过预设阈值时，数据库防火墙根据匹配次数计算URL的概率。

详细的，同一用户通过多个会话发出的数据包或SQL语句在同样的匹配次数下通过接受时间判断URL的出现概率，从而分析用户在不同时段下对数据包的请求规律，从而监督用户对数据库的使用频率。

在本发明的一些实施例中，根据贝叶斯定理利用URL的概率计算数据包的概率。其中，设H[,1],H[,2]…互斥且构成一个完全事件，已知它们的概率P(H[,i],i＝1,2,…，现观察到某事件A与H[,1],H[,2]…相伴随而出现，且已知条件概率P(A/H[,i])，求P(H[,i]/A)，这就是贝叶斯定律。

可选的，通过贝叶斯定理计算在给定SQL(i)的情况下可以计算出URL (i)的概率，其中i指的是数据库防火墙收到数据包或SQL语句的请求个数，即匹配次数。P(URLi)的概率是根据当前堆栈中的数据获得的，可以视作等概率。P(SQLi)的概率跟URLi无关，可以忽略，所以P(URLi|SQLi)正比于：P(SQLi|URLi)。当i为1时：

P(URLi|SQLi)＝(P(SQLi|URL_i)P(URLi))/(P(SQLi))。

创建统计表，并将数据包或SQL语句、URL或用户标识进行关联，以通过统计表记录匹配次数。假设当前堆栈有3个URL,分别是(URL_01，URL_02， URL_03)。统计表如下所示，

SQL	URL	PATCH_COUNT
			SQL_010	URL_01	20
SQL_011	URL_01	20
			SQL_012	URL_01	20
SQL_010	URL_02	2
			SQL_030	URL_03	30

通过查表可以计算P(SQLi|URLi)，即：

P(SQL_010|URL_01)的概率为20/(20+2)＝90％；

P(SQL_010|URL_02)的概率为2/(20+2)＝9％；

P(SQL_010|URL_03)的概率为2/(20+2)＝9％。

在本发明的一些实施例中，根据URL的用户标识设置不同用户标识对应数据库防火墙的使用权限。

详细的，通过URL确定消息后，得到URL对应的用户标识，从而判断出该数据包或SQL语句属于哪个用户，进而给数据库防火墙做权限判定提供依据，提高了数据库访问和使用的安全性。

在本发明的一些实施例中，一种基于数据库关联访问方法的装置，包含拦截模块、解析模块、时间模块和确认模块。其中，拦截模块用于在应用系统中添加代理程序，以拦截应用系统将要通过应用程序发送到数据库防火墙的数据包。解析模块与拦截模块连接以从数据包中解析出应用系统的URL，进而得到当前会话的用户标识。时间模块与解析模块连接以将URL 附上时间戳以生成URL请求通过TCP通信方式发送给数据库防火墙。确认模块与数据库防火墙连接，以根据数据库防火墙接收到URL请求发送确认消息给应用系统，从而应用系统通过确认消息将数据包或数据包中解析出的SQL语句发送到数据库防火墙。从而通过数据库防火墙发送给后端数据库，以根据数据包或SQL语句的SQL请求对后端数据库进行操作。可选的，解析模块将数据包解析出SQL语句，并生产SQL请求以发送给数据库防火墙实现对后端数据库的访问。

本实施例数据库关联访问方法通过添加代理程序对应用程序的数据包进行处理，从而解析出应用系统的URL，通过URL获取当前会话的用户标识，从而识别不同用户发出的数据库访问请求；代理程序通过将URL附上时间戳并发送给数据库防火墙，从而根据时间顺序处理多个请求；数据库防火墙通过堆栈存放URL，并发送确认消息到代理程序，从而经接收URL后再确认数据包中的SQL语句，实现了不用修改应用系统的配置就可以通过URL 识别并处理用户的数据包，达到了便于操作和使用的目的，并且提高了数据库访问的效率和安全性。

在本申请所提供的实施例中，应该理解到，所揭露的装置和方法，也可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，本实施例描述的流程和原理根据本申请的多个实施例的装置、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，每个组件可以代表一个模块、程序段或代码的一部分，上述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现方式中，实施例中所描述的功能也可以以不同于实施例中所描述的顺序发生。例如，两个连续的组件或步骤实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，流程中的每个模块、以及模块的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

另外，在本申请各个实施例中的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。

上述功能如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包含若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例上述方法的全部或部分步骤。而前述的存储介质包含：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

以上上述仅为本申请的优选实施例而已，并不用于限制本申请，对于本领域的技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。

对于本领域技术人员而言，显然本申请不限于上述示范性实施例的细节，而且在不背离本申请的精神或基本特征的情况下，能够以其它的具体形式实现本申请。因此，无论从哪一点来看，均应将实施例看作是示范性的，而且是非限制性的，本申请的范围由所附权利要求而不是上述说明限定，因此旨在将落在权利要求的等同要件的含义和范围内的所有变化囊括在本申请内。

Claims (3)

1.一种数据库关联访问方法，其特征在于，包含如下步骤：在应用系统中添加代理程序，所述代理程序拦截所述应用系统发送到应用程序的数据包；所述代理程序从所述数据包中解析出所述应用系统的URL，进而得到当前会话的用户标识；所述代理程序将所述URL附上时间戳并通过TCP通信方式发送给数据库防火墙；所述数据库防火墙将所述URL存放在堆栈，并发送确认消息到所述代理程序；所述代理程序接收所述确认消息后将所述数据包发送给应用程序，以通过所述应用程序将所述数据包发送给所述数据库防火墙；

如果存在所述URL，则根据所述时间戳判断接收时间是否超过1秒，如果超过1秒则清空堆栈并加入所述URL；

判断所述堆栈中的所有所述URL的所述用户标识是否相同，且当不相同时清空所述堆栈；

所述代理程序判断所述URL是否需要请求后端数据库操作，且当需要时发送所述数据包到所述数据库防火墙；

根据所述堆栈中所述URL统计所述数据包的匹配次数。

2.如权利要求1所述的一种数据库关联访问方法，其特征在于，当所述匹配次数超过预设阈值时，所述数据库防火墙根据所述匹配次数计算所述URL的概率。

3.如权利要求1所述的一种数据库关联访问方法，其特征在于，根据所述URL的所述用户标识设置不同所述用户标识对应所述数据库防火墙的使用权限。