CN111814179A - 用户权限管理和数据控制方法及其相关设备 - Google Patents

Abstract

本申请实施例属于区块链技术领域，涉及一种用户权限管理和数据控制方法，包括创建权限角色，并将权限角色与至少一个菜单或者按钮建立映射关系；将用户名称与至少一个权限角色绑定；将数据库中的数据划分成为不同的资源数据，并使预先建立的分组与资源数据之间形成一一映射关系；在分组下创建至少一个分组角色；根据预设的规则，将用户名称与至少一个分组绑定，将用户名称与分组角色进行绑定。其中，用户的隐私信息可存储于区块链节点中。本申请还提供一种用户权限管理和数据控制装置、计算机设备及存储介质。本申请实现同时控制用户的操作权限和数据的查看范围。

Description

用户权限管理和数据控制方法及其相关设备

技术领域

本申请涉及区块链技术领域，尤其涉及用户权限管理和数据控制方法及其相关设备。

背景技术

计算机应用的范围逐渐增加，深入人们的生活之中。随着各种需求的出现，在后台管理中要求对不同的用户赋予不同的权限，来实现人员对操作权限和数据查看范围更加细致的管理。

目前已有的权限控制是基于权限角色的访问控制(RBAC，Role-Based AccessControl)，通过权限角色与系统权限关联，用户绑定特定权限角色来完成整个后台的权限控制，从而简化对用户权限的管理。但无法满足同时实现对操作权限和数据查看范围的管理。

发明内容

本申请实施例的目的在于提出一种用户权限管理和数据控制方法及其相关设备，以解决现有技术无法满足同时实现控制用户的操作权限和数据的查看范围的问题。

为了解决上述技术问题，本申请实施例提供一种用户权限管理和数据控制方法，采用了如下所述的技术方案：

一种用户权限管理和数据控制方法，包括下述步骤：

创建权限角色，并将所述权限角色与至少一个菜单或者按钮建立映射关系，以使得所述权限角色获得对应操作权限；

将用户名称与至少一个权限角色绑定，以通过权限角色赋予并控制用户的操作权限；

将数据库中的数据划分成为不同的资源数据，并使预先建立的分组与资源数据之间形成一一映射关系；

在每个分组下创建至少一个分组角色，根据预设的规则将用户名称与至少一个分组绑定，并将用户名称与所述分组角色进行绑定，以通过分组角色控制用户对所述分组中的资源数据的查看范围；以及

当检测到用户登录时，获取与登陆用户的用户名称绑定的权限角色和分组，确定在所述分组下与用户绑定的分组角色，将所述分组角色控制的资源数据的查看范围，作为用户对所述分组下的资源数据的查看范围，将与用户名称绑定的权限角色对应的权限，作为用户对与所述分组角色对应的资源数据的操作权限。

进一步的，在所述根据预设的规则将用户名称与至少一个分组绑定的步骤之后，还包括：

将分组角色与至少一个权限角色关联；

所述获取与登陆用户的用户名称绑定的权限角色和分组，确定在所述分组下与用户绑定的分组角色的步骤包括：

获取与登陆用户的用户名称绑定的权限角色和分组，确定在所述分组下与用户绑定的分组角色，并获取分组角色与权限角色之间的关联关系；

所述将与用户名称绑定的权限角色对应的权限，作为用户对所述分组角色对应的资源数据的操作权限的步骤包括：

将同时与用户名称和分组角色关联的权限角色对应的权限，作为用户对与所述分组角色对应的资源数据的操作权限。

进一步的，所述将数据库中的数据划分成为不同的资源数据的步骤包括：

根据数据库中数据的类型不同或根据数据库中数据的来源不同，将所述数据划分成为不同的资源数据。

进一步的，所述根据预设的规则将用户名称与至少一个分组绑定，并将用户名称与所述分组角色进行绑定的步骤包括：

所述分组包括第一分组、第二分组和第三分组，根据预先对用户名称标记的标签类型，将用户名称与分组进行绑定，其中，标签类型包括人员、资产和账目往来，所述人员、资产和账目往来分别与第一分组、第二分组和第三分组相对应；

根据预先对用户名称标记的标签等级，确定用户在所述分组中的分组角色，其中，标签等级包括管理级和普通级，所述标签类型和标签等级为一一对应关系；

将用户名称与所述分组角色进行绑定，其中，分组角色包括第一权限角色和第二权限角色，所述管理级和普通级分别对应第一权限角色和第二权限角色，所述第一权限角色具有查看所述分组中所有资源数据的权限，所述第二权限角色具有查看所述分组中部分资源数据的权限。

进一步的，在所述将用户名称与所述分组角色进行绑定，以通过分组角色控制用户对对应的所述分组中的资源数据的查看范围的步骤之后，还包括：

当接收到用户的操作请求时，获取用户请求的URL，将所述请求的URL与数据库中与权限角色映射的菜单或者按钮的URL进行对比，若请求的URL在所述权限角色范围内，则允许用户接下来操作，否则拒绝请求。

进一步的，所述方法还包括：当检测到用户登录时，根据用户名称对应的权限角色与菜单或者按钮之间的映射关系，控制前端页面中系统菜单和具体页面下按钮的显示情况。

进一步的，所述根据用户名称对应的权限角色与菜单或者按钮之间的映射关系，控制前端页面中系统菜单和具体页面下按钮的显示情况的步骤包括：

根据用户名称对应的权限角色与菜单或者按钮之间的映射关系，将与用户名称关联的权限角色对应的菜单和者按钮显示为预先配置的颜色，将未与所述权限角色存在映射关系的菜单和按钮进行隐藏。

为了解决上述技术问题，本申请实施例还提供一种用户权限管理和数据控制装置，采用了如下所述的技术方案：

一种用户权限管理和数据控制装置，包括：

创建模块，用于创建权限角色，并将所述权限角色与至少一个菜单或者按钮建立映射关系，以使得所述权限角色获得对应操作权限；

绑定模块，用于将用户名称与至少一个权限角色绑定，以通过权限角色赋予并控制用户的操作权限；

划分模块，用于将数据库中的数据划分成为不同的资源数据，并使预先建立的分组与资源数据之间形成一一映射关系；

关联模块，用于在每个分组下创建至少一个分组角色，根据预设的规则将用户名称与至少一个分组绑定，并将用户名称与所述分组角色进行绑定，以通过分组角色控制用户对对应的所述分组中的资源数据的查看范围；以及

确定模块，用于当检测到用户登录时，获取与登陆用户的用户名称绑定的权限角色和分组，确定在所述分组下与用户绑定的分组角色，将所述分组角色控制的资源数据的查看范围，作为用户对所述分组下的资源数据的查看范围，将与用户名称绑定的权限角色对应的权限，作为用户对与所述分组角色对应的资源数据的操作权限。

为了解决上述技术问题，本申请实施例还提供一种计算机设备，采用了如下所述的技术方案：

一种计算机设备，包括存储器和处理器，所述存储器中存储有计算机程序，所述处理器执行所述计算机程序时实现上述的用户权限管理和数据控制方法的步骤。

为了解决上述技术问题，本申请实施例还提供一种计算机可读存储介质，采用了如下所述的技术方案：

一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现上述的用户权限管理和数据控制方法的步骤。

与现有技术相比，本申请实施例主要有以下有益效果：

本申请不仅可以实现常见的后台管理系统对普通操作权限的控制，而且由于体系中权限角色和用户之间的可以相互解耦，可以实现权限系统中更复杂的结构。业务体系通过独立的用户绑定关系，提升了系统对新增权限角色的功能的适配度，使得多业务下一个用户的对应多权限角色的方案通过完整的框架体系即可适配。通过用户在不同的分组下绑定不同的权限角色信息，使得同一用户由于在不同的分组，就可以对不同分组所管控的数据进行不同的权限操作。并且，通过用户与不同分组下的分组角色关联，便于通过分组角色灵活控制用户在不同分组中的资源数据的查看范围。

附图说明

为了更清楚地说明本申请中的方案，下面将对本申请实施例描述中所需要使用的附图作一个简单介绍，显而易见地，下面描述中的附图是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本申请可以应用于其中的示例性系统架构图；

图2是根据本申请的用户权限管理和数据控制方法的一个实施例的流程图；

图3是根据本申请的用户权限管理和数据控制装置的一个实施例的结构示意图；

图4是根据本申请的计算机设备的一个实施例的结构示意图。

附图标记：200、计算机设备；201、存储器；202、处理器；203、网络接口；300、用户权限管理和数据控制装置；301、创建模块；302、绑定模块；303、划分模块；304、关联模块；305、确定模块。

具体实施方式

除非另有定义，本文所使用的所有的技术和科学术语与属于本申请的技术领域的技术人员通常理解的含义相同；本文中在申请的说明书中所使用的术语只是为了描述具体的实施例的目的，不是旨在于限制本申请；本申请的说明书和权利要求书及上述附图说明中的术语“包括”和“具有”以及它们的任何变形，意图在于覆盖不排他的包含。本申请的说明书和权利要求书或上述附图中的术语“第一”、“第二”等是用于区别不同对象，而不是用于描述特定顺序。

在本文中提及“实施例”意味着，结合实施例描述的特定特征、结构或特性可以包含在本申请的至少一个实施例中。在说明书中的各个位置出现该短语并不一定均是指相同的实施例，也不是与其它实施例互斥的独立的或备选的实施例。本领域技术人员显式地和隐式地理解的是，本文所描述的实施例可以与其它实施例相结合。

为了使本技术领域的人员更好地理解本申请方案，下面将结合附图，对本申请实施例中的技术方案进行清楚、完整地描述。

如图1所示，系统架构100可以包括终端设备101、102、103，网络104和服务器105。网络104用以在终端设备101、102、103和服务器105之间提供通信链路的介质。网络104可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。

用户可以使用终端设备101、102、103通过网络104与服务器105交互，以接收或发送消息等。终端设备101、102、103上可以安装有各种通讯客户端应用，例如网页浏览器应用、购物类应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件等。

终端设备101、102、103可以是具有显示屏并且支持网页浏览的各种电子设备，包括但不限于智能手机、平板电脑、电子书阅读器、MP3播放器(Moving Picture ExpertsGroup Audio Layer III，动态影像专家压缩标准音频层面3)、MP4(Moving PictureExperts Group Audio Layer IV，动态影像专家压缩标准音频层面4)播放器、膝上型便携计算机和台式计算机等等。

服务器105可以是提供各种服务的服务器，例如对终端设备101、102、103上显示的页面提供支持的后台服务器。

需要说明的是，本申请实施例所提供的用户权限管理和数据控制方法一般由服务器/终端设备执行，相应地，用户权限管理和数据控制装置一般设置于服务器/终端设备中。

应该理解，图1中的终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。

继续参考图2，示出了根据本申请的用户权限管理和数据控制方法的一个实施例的流程图。所述的用户权限管理和数据控制方法，包括以下步骤：

S1：创建权限角色，并将所述权限角色与至少一个菜单或者按钮建立映射关系，以使得所述权限角色获得对应操作权限。

在本实施例中，权限角色(Role)与系统菜单(Menu)或者按钮(Button)建立映射关系，以控制权限角色与系统的操作点的联系，使得权限角色获得对应的操作权限，在获取到对应的操作权限后，所述系统菜单(Menu)或者按钮(Button)将在用户的使用界面上显示。

S2：将用户名称与至少一个权限角色绑定，以通过权限角色赋予并控制用户的操作权限。

在本实施例中，将不同的用户名称与不同的权限角色绑定，用来确定用户登陆系统后，可以进行的操作权限。用户通过权限角色与系统的操作点建立联系，实现便捷灵活的控制，便于管理。

S3：将数据库中的数据划分成为不同的资源数据，并使预先建立的分组与资源数据之间形成一一映射关系。

在本实施例中，通过建立分组(Group)来对系统的数据来源进行控制，即分组(Group)-资源(Resource)的映射关系。

当然还可以设置为：将预先建立的分组分别与不同的数据库之间建立关联。使得与所述分组绑定的用户名称对应的用户可以查看对应数据库中的数据。

其中，在步骤S3中，即将数据库中的数据划分成为不同的资源数据的步骤包括：根据数据库中数据的来源不同，将数据划分成为不同的资源数据。

在本实施例中，系统的数据的来源包括：用户在使用系统过程中录入的数据和预先对不同的资源进行整合打包，存储在数据库中的数据。

当然还可以，在步骤S3中，即将数据库中的数据划分成为不同的资源数据的步骤包括：根据数据库中数据的类型不同，将数据划分成为不同的资源数据。

在本实施例中，将数据进行标签分类，划分成为不同的类型，如金融数据，人员数据等。

S4：在每个分组下创建至少一个分组角色，根据预设的规则将用户名称与至少一个分组绑定，并将用户名称与所述分组角色进行绑定，以通过分组角色控制用户对对应的所述分组中的资源数据的查看范围。

在本实施例中，资源数据的查看范围为所述分组角色能够查看在该分组下资源数据的范围。本申请通过将用户名称与分组进行绑定，使得该用户能够查看该分组对应的资源数据。在此基础上，在分组下划分出至少一个分组角色。不同的分组角色，能够查看该分组的资源数据的数据量和数据范围不同。再将用户名称与分组角色进行关联，从而实现对用户查看范围的灵活控制。由于分组对数据的划分是依据数据的来源或者类型进行划分，仅仅将用户名称与分组进行绑定，并不能够实现对查看数据的精准控制。若是采用将数据进行更加细致的划分，则容易造成数据划分混乱，提高系统负担。而在分组下加入分组角色，则能够在满足对数据划分的同时，还能够实现对用户查看数据范围的灵活控制。对于同一用户名称来说，可以在不同的分组中关联不同的分组角色。比如：分组角色包括：综合管理员和数据统计员，其中，综合管理员可以查看该分组下的所有数据，数据统计员只能查看该分组下一定范围内的数据。用户在A分组中的分组角色是综合管理员，则用户可以查看A分组下的所有数据，同时该用户在也与B分组绑定，在B分组中的分组角色是数据统计员，则用户可以查看B分组下一定范围内的数据。

其中，在步骤S4中，即所述根据预设的规则将用户名称与至少一个分组绑定，将用户名称与所述分组角色进行绑定的步骤包括：

分组包括第一分组、第二分组和第三分组，根据预先对用户名称标记的标签类型，将用户名称与分组进行绑定，其中，标签类型包括人员、资产和账目往来，所述人员、资产和账目往来分别与第一分组、第二分组和第三分组相对应；

根据预先对用户名称标记的标签等级，确定用户在所述分组中的分组角色，其中，标签等级包括管理级和普通级，所述标签类型和标签等级为一一对应关系；

将用户名称与所述分组角色进行绑定，其中，分组角色包括第一权限角色和第二权限角色，所述管理级和普通级分别对应第一权限角色和第二权限角色，所述第一权限角色具有查看所述分组中所有资源数据的权限，所述第二权限角色具有查看所述分组中部分资源数据的权限。

在本实施例中，在本申请所述第二权限角色具有查看所述分组中部分资源数据的权限，其中，全部的资源数据可以至少划分为第一部分、第二部分和第三部分。第二权限角色具有查看第一部分的权限。其中，分组角色还可以包括第三权限角色、第四权限角色和第五权限角色，第三权限角色具有查看第二部分的权限，第五权限角色具有查看第一部分和第二部分的权限。举例来说，当该分组与人员标签类型相对应时，第一部分可以为工程师人员档案，第二部分可以为行政人员档案，第三部分可以为客户人员档案。通过分组使得数据划分清晰，避免数据冗杂混余，通过分组角色，有效且灵活控制用户在该分组中的数据查看范围。

特别的，本申请中可以根据用户的申请请求，审核请求后，对用户的标签等级进行调整，从而调整用户与分组角色的关联关系，实现用户在该分组中对数据的查看范围。

S5：当检测到用户登录时，获取与登陆用户的用户名称绑定的权限角色和分组，确定在所述分组下与用户绑定的分组角色，将所述分组角色控制的资源数据的查看范围，作为用户对所述分组下的资源数据的查看范围，将与用户名称绑定的权限角色对应的权限，作为用户对与所述分组角色对应的资源数据的操作权限。

在本实施例中，当检测到用户登录后，计算机可以直接获取与登录用户的用户名绑定的权限角色、分组和分组角色。将所述分组角色控制的资源数据的查看范围，作为用户对所述分组下的资源数据的查看范围，将与用户名称绑定的权限角色对应的权限，作为用户对与所述分组角色对应的资源数据的操作权限。也可以先获取与登录用户的用户名绑定的分组，将所述分组显示在一前端页面中，根据用户在所述前端页面中选择进入的分组，计算机再获取用户在该分组下的分组角色信息，进而确定用户可以查看的数据范围。该用户可以查看的数据范围与分组对应的数据范围有关，进一步而言，与分组下分组角色对应的数据范围有关。实现了对同一分组中的数据来说，不同用户具有不同的查看范围权限。对同一用户来说，可以查看不同分组中不同范围的数据，与权限角色相结合，对数据的查看范围和操作权限实现了灵活的管理。

其中，在步骤S4之后，即在所述将用户名称与至少一个分组绑定的步骤之后，还包括：

将分组角色与至少一个权限角色关联；

所述获取与登陆用户的用户名称绑定的权限角色和分组，确定在所述分组下与用户绑定的分组角色的步骤包括：

获取与登陆用户的用户名称绑定的权限角色和分组，确定在所述分组下与用户绑定的分组角色，并获取分组角色与权限角色之间的关联关系；

所述将与用户名称绑定的权限角色对应的权限，作为用户对所述分组角色对应的资源数据的操作权限的步骤包括：

将同时与用户名称和分组角色关联的权限角色对应的权限，作为用户对与所述分组角色对应的资源数据的操作权限。

在本实施例中，通过用户(User)-分组(Group)-分组角色(Role)实现用户与分组的绑定关系，以及在分组下的分组角色信息。实现用户在不同的分组下关联不同的分组角色，并绑定不同的权限角色。其中，分组角色控制数据查看范围，权限角色控制对数据的操作权限。同一用户即使在不同的分组，也可以对不同分组角色所管控的数据进行不同的权限操作。同时实现对用户操作的控制和对用户的数据控制。当用户想对该分组下的数据进行权限操作时，计算机需要先获取用户的关联权限角色都有什么，再判断与该分组角色关联的权限角色有什么。最后将既与该分组角色关联，又与用户名称关联的权限角色，确定为用户对该分组角色对应的资源数据的操作权限。

需要指出的是，本申请注重通过分组对资源的统一管理，这样用户在不同分组下可以有不同权限。其中，用户与分组关联后，能否查看所有数据，及能对数据做哪些操作，由用户在该分组下的分组角色和与该分组角色关联的权限角色确定。

在本实施例的一些可选的实现方式中，步骤S4之后，上述电子设备可以执行以下步骤：

当接收到用户的角色查看请求时，所述查看请求携带有用户名称，通过用户名称确定与用户名称绑定的权限角色、分组和分组角色；并将对应的所述权限角色、分组和分组角色显示在前端页面上。

在本实施例中，通过将对应的权限角色、分组和分组角色显示在前端页面上，使得用户可以通过前端页面查看并了解与用户名称绑定的权限角色、分组和分组角色。

进一步的，当接收到用户的更改请求时，所述更改请求携带有权限角色，将所述更改请求传输至相关人员审批，若相关人员审批通过，则解除与用户名称绑定的权限角色，将用户名称与更改请求携带的权限角色进行绑定；若相关人员驳回，则维持原绑定状态。

同时，还可以，当接收到用户的更改请求时，所述更改请求携带有分组和分组角色，将所述更改请求传输至相关人员审批，若相关人员审批通过，则解除与用户名称绑定的分组和分组下的分组角色，将用户名称与更改请求携带的分组进行绑定，并在所述分组中，将用户名称与所述更改请求携带的分组角色进行绑定；若相关人员驳回，则维持原绑定状态。

在本实施例中，通过相关人员的审批，用户可以灵活申请自己的数据查看范围和权限操作范围，且解耦过程较为简单迅速，不会造成系统混乱。

在本实施例中，用户权限管理和数据控制方法运行于其上的电子设备(例如图1所示的服务器/终端设备)可以通过有线连接方式或者无线连接方式接收用户的角色查看请求或更改请求。需要指出的是，上述无线连接方式可以包括但不限于3G/4G连接、WiFi连接、蓝牙连接、WiMAX连接、Zigbee连接、UWB(ultra wideband)连接、以及其他现在已知或将来开发的无线连接方式。

在本实施例的一些可选的实现方式中，步骤S4之后，上述电子设备可以执行以下步骤：

当检测到用户登录时，根据用户名称对应的权限角色与菜单或者按钮之间的映射关系，控制前端页面中系统菜单和具体页面下按钮的显示情况。

在本实施例中，根据用户(User)-权限角色(Role)-菜单(Menu)/按钮(Button)映射关系，控制前端页面的菜单和按钮的显示情况。结合前端和后端，从而对用户的操作权限进行双重保障，确保整个系统的控制力。

其中，当用户登录系统时，将与用户名称关联的权限角色对应的菜单和者按钮显示为预先配置的颜色，将未与所述权限角色存在映射关系的菜单和按钮的颜色显示为灰色。

在本实施例中，实现在可视化操作上即可明确当前的权限范围，在前端和后端控制进行双重保障。当然还可以：当用户登录系统时，将与用户名称关联的权限角色对应的菜单和者按钮显示为预先配置的颜色，将未与所述权限角色存在映射关系的菜单和按钮进行隐藏(不显示)。

在本实施例的一些可选的实现方式中，步骤S4之后，上述电子设备可以执行以下步骤：

当接收到用户的操作请求时，获取用户请求的URL，将所述请求的URL与数据库中与权限角色映射的菜单或者按钮的URL进行对比，若请求的URL在所述权限角色范围内，则允许用户接下来操作，否则拒绝请求。

在本实施例中，通过User用户-Role权限角色-Menu菜单映射关系，在后台对系统的每个请求就行拦截处理。拦截用户的请求URL,，和数据库中权限角色配置的菜单URL对比，从而实现服务器权限拦截。如果请求的URL在该用户权限角色范围内，则允许用户接下来操作，否则拒绝请求。

本申请不仅可以实现常见的后台管理系统对普通操作权限的控制，而且由于体系中权限角色和用户之间的相互解耦，可以实现权限系统中更复杂的结构。业务体系通过独立的用户绑定关系，提升了系统对新增权限角色的功能的适配度，使得多业务下一个用户的对应多权限角色的方案通过完整的框架体系即可适配。通过用户在不同的分组下绑定不同的权限角色信息，使得同一用户由于在不同的分组，就可以对不同分组所管控的数据进行不同的权限操作。并且，通过用户与不同分组下的分组角色关联，便于通过分组角色灵活控制用户在不同分组中的资源数据的查看范围。

本申请的代码实现简单，可以完美的结合Spring(开放源代码的设计层面框架)的生命周期，在对应的拦截器做适配，效率高，安全指数高。同时可以适配多种语言，如Java、C++、C#、PHP(Hypertext Preprocessor)等。且由于采用映射和绑定的关系，使得耦合度低，提高了容错率。提供更多的容错空间及定制空间。可以根据不同的需求，定制化开发。

需要强调的是，为进一步保证上述用户的相关信息和绑定关系的私密和安全性，上述用户的相关信息和绑定关系还可以存储于一区块链的节点中。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，该计算机程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，前述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)等非易失性存储介质，或随机存储记忆体(Random Access Memory，RAM)等。

应该理解的是，虽然附图的流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，其可以以其他的顺序执行。而且，附图的流程图中的至少一部分步骤可以包括多个子步骤或者多个阶段，这些子步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，其执行顺序也不必然是依次进行，而是可以与其他步骤或者其他步骤的子步骤或者阶段的至少一部分轮流或者交替地执行。

进一步参考图3，作为对上述图2所示方法的实现，本申请提供了一种用户权限管理和数据控制装置的一个实施例，该装置实施例与图2所示的方法实施例相对应，该装置具体可以应用于各种电子设备中。

如图3所示，本实施例所述的用户权限管理和数据控制装置300包括：创建模块301、绑定模块302、划分模块303、关联模块304以及确定模块305。其中：所述创建模块301，用于创建权限角色，并将所述权限角色与至少一个菜单或者按钮建立映射关系，以使得所述权限角色获得对应操作权限；所述绑定模块302，用于将用户名称与至少一个权限角色绑定，以通过权限角色赋予并控制用户的操作权限；所述划分模块303，用于将数据库中的数据划分成为不同的资源数据，并使预先建立的分组与资源数据之间形成一一映射关系；所述关联模块304，用于在每个分组下创建至少一个分组角色，根据预设的规则将用户名称与至少一个分组绑定，并将用户名称与所述分组角色进行绑定，以通过分组角色控制用户对对应的所述分组中的资源数据的查看范围；所述确定模块305，当检测到用户登录时，获取与登陆用户的用户名称绑定的权限角色和分组，确定在所述分组下与用户绑定的分组角色，将所述分组角色控制的资源数据的查看范围，作为用户对所述分组下的资源数据的查看范围，将与用户名称绑定的权限角色对应的权限，作为用户对与所述分组角色对应的资源数据的操作权限。

在本实施例中，可以实现常见的后台管理系统对普通操作权限的控制，而且由于体系中权限角色和用户之间的可以相互解耦，可以实现权限系统中更复杂的结构。业务体系通过独立的用户绑定关系，提升了系统对新增权限角色的功能的适配度，使得多业务下一个用户的对应多权限角色的方案通过完整的框架体系即可适配。通过用户在不同的分组下绑定不同的权限角色信息，使得同一用户由于在不同的分组，就可以对不同分组所管控的数据进行不同的权限操作。并且，通过用户与不同分组下的分组角色关联，便于通过分组角色灵活控制用户在不同分组中的资源数据的查看范围。

在本实施例的一些可选的实现方式中，上述划分模块303进一步用于：根据数据库中数据的来源不同或者数据的类型不同，将数据划分成为不同的资源数据。

所述关联模块304包括第一绑定子模块、确定子模块和第二绑定子模块。其中，所述分组包括第一分组、第二分组和第三分组，所述第一绑定子模块用于根据预先对用户名称标记的标签类型，将用户名称与分组进行绑定，其中，标签类型包括人员、资产和账目往来，所述人员、资产和账目往来分别与第一分组、第二分组和第三分组相对应；所述确定子模块用于根据预先对用户名称标记的标签等级，确定用户在所述分组中的分组角色，其中，标签等级包括管理级和普通级，所述标签类型和标签等级为一一对应关系；所述第二绑定子模块用于将用户名称与所述分组角色进行绑定，其中，分组角色包括第一权限角色和第二权限角色，所述管理级和普通级分别对应第一权限角色和第二权限角色，所述第一权限角色具有查看所述分组中所有资源数据的权限，所述第二权限角色具有查看所述分组中部分资源数据的权限。

在本实施例的一些可选的实现方式中，上述装置300还包括：次关联模块，用于将分组角色与至少一个权限角色关联。所述确定模块还用于获取与登陆用户的用户名称绑定的权限角色和分组，确定在所述分组下与用户绑定的分组角色，并获取分组角色与权限角色之间的关联关系；确定在所述分组下与用户绑定的分组角色，将所述分组角色控制的资源数据的查看范围，作为用户对所述分组下的资源数据的查看范围；将同时与用户名称和分组角色关联的权限角色对应的权限，作为用户对与所述分组角色对应的资源数据的操作权限。

在本实施例的一些可选的实现方式中，上述装置300还包括：管理模块，用于当接收到用户的角色查看请求时，所述查看请求携带有用户名称，通过用户名称确定与用户名称绑定的权限角色、分组和分组角色；并将对应的所述权限角色、分组和分组角色显示在前端页面上。所述管理模块还可以用于当接收到用户的更改请求时，所述更改请求携带有权限角色，将所述更改请求传输至相关人员审批，若相关人员审批通过，则解除与用户名称绑定的权限角色，将用户名称与更改请求携带的权限角色进行绑定；若相关人员驳回，则维持原绑定状态或者当接收到用户的更改请求时，所述更改请求携带有分组和分组角色，将所述更改请求传输至相关人员审批，若相关人员审批通过，则解除与用户名称绑定的分组和分组下的分组角色，将用户名称与更改请求携带的分组进行绑定，并在所述分组中，将用户名称与所述更改请求携带的分组角色进行绑定；若相关人员驳回，则维持原绑定状态。

在本实施例的一些可选的实现方式中，上述装置300还包括：控制模块，用于当检测到用户登录时，根据用户名称对应的权限角色与菜单或者按钮之间的映射关系，控制前端页面中系统菜单和具体页面下按钮的显示情况。所述控制模块还用于当用户登录系统时，将与用户名称关联的权限角色对应的菜单和者按钮显示为预先配置的颜色，将未与所述权限角色存在映射关系的菜单和按钮的颜色显示为灰色或者隐藏。

在本实施例的一些可选的实现方式中，上述装置300还包括：对比模块，用于当接收到用户的操作请求时，获取用户请求的URL，将所述请求的URL与数据库中与权限角色映射的菜单或者按钮的URL进行对比，若请求的URL在所述权限角色范围内，则允许用户接下来操作，否则拒绝请求。

本申请可以实现常见的后台管理系统对普通操作权限的控制，而且由于体系中权限角色和用户之间的相互解耦，可以实现权限系统中更复杂的结构。业务体系通过独立的用户绑定关系，提升了系统对新增权限角色的功能的适配度，使得多业务下一个用户的对应多权限角色的方案通过完整的框架体系即可适配。通过用户在不同的分组下绑定不同的权限角色信息，使得同一用户由于在不同的分组，就可以对不同分组所管控的数据进行不同的权限操作。并且，通过用户与不同分组下的分组角色关联，便于通过分组角色灵活控制用户在不同分组中的资源数据的查看范围。

本申请的代码实现简单，可以完美的结合Spring(开放源代码的设计层面框架)的生命周期，在对应的拦截器做适配，效率高，安全指数高。同时可以适配多种语言，如Java、C++、C#、PHP(Hypertext Preprocessor)等。且由于采用映射和绑定的关系，使得耦合度低，提高了容错率。提供更多的容错空间及定制空间。可以根据不同的需求，定制化开发。

为解决上述技术问题，本申请实施例还提供计算机设备。具体请参阅图4，图4为本实施例计算机设备基本结构框图。

所述计算机设备200包括通过系统总线相互通信连接存储器201、处理器202、网络接口203。需要指出的是，图中仅示出了具有组件201-203的计算机设备200，但是应理解的是，并不要求实施所有示出的组件，可以替代的实施更多或者更少的组件。其中，本技术领域技术人员可以理解，这里的计算机设备是一种能够按照事先设定或存储的指令，自动进行数值计算和/或信息处理的设备，其硬件包括但不限于微处理器、专用集成电路(Application Specific Integrated Circuit，ASIC)、可编程门阵列(Field－Programmable Gate Array，FPGA)、数字处理器(Digital Signal Processor，DSP)、嵌入式设备等。

所述计算机设备可以是桌上型计算机、笔记本、掌上电脑及云端服务器等计算设备。所述计算机设备可以与用户通过键盘、鼠标、遥控器、触摸板或声控设备等方式进行人机交互。

所述存储器201至少包括一种类型的可读存储介质，所述可读存储介质包括闪存、硬盘、多媒体卡、卡型存储器(例如，SD或DX存储器等)、随机访问存储器(RAM)、静态随机访问存储器(SRAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、可编程只读存储器(PROM)、磁性存储器、磁盘、光盘等。在一些实施例中，所述存储器201可以是所述计算机设备200的内部存储单元，例如该计算机设备200的硬盘或内存。在另一些实施例中，所述存储器201也可以是所述计算机设备200的外部存储设备，例如该计算机设备200上配备的插接式硬盘，智能存储卡(Smart Media Card,SMC)，安全数字(Secure Digital,SD)卡，闪存卡(Flash Card)等。当然，所述存储器201还可以既包括所述计算机设备200的内部存储单元也包括其外部存储设备。本实施例中，所述存储器201通常用于存储安装于所述计算机设备200的操作系统和各类应用软件，例如用户权限管理和数据控制方法的程序代码等。此外，所述存储器201还可以用于暂时地存储已经输出或者将要输出的各类数据。

所述处理器202在一些实施例中可以是中央处理器(Central Processing Unit，CPU)、控制器、微控制器、微处理器、或其他数据处理芯片。该处理器202通常用于控制所述计算机设备200的总体操作。本实施例中，所述处理器202用于运行所述存储器201中存储的程序代码或者处理数据，例如运行所述用户权限管理和数据控制方法的程序代码。

所述网络接口203可包括无线网络接口或有线网络接口，该网络接口203通常用于在所述计算机设备200与其他电子设备之间建立通信连接。

在本实施例中，通过用户在不同的分组下绑定不同的权限角色信息，使得同一用户由于在不同的分组，可以对不同分组所管控的数据进行不同的权限操作。通过用户与不同分组下的分组角色关联，便于通过分组角色灵活控制用户在不同分组中的资源数据的查看范围。

本申请还提供了另一种实施方式，即提供一种计算机可读存储介质，所述计算机可读存储介质存储有用户权限管理和数据控制程序，所述用户权限管理和数据控制程序可被至少一个处理器执行，以使所述至少一个处理器执行如上述的用户权限管理和数据控制方法的步骤。

在本实施例中，通过用户在不同的分组下绑定不同的权限角色信息，使得同一用户由于在不同的分组，可以对不同分组所管控的数据进行不同的权限操作。通过用户与不同分组下的分组角色关联，便于通过分组角色灵活控制用户在不同分组中的资源数据的查看范围。

进一步地，所述计算机可读存储介质可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序等；存储数据区可存储根据区块链节点的使用所创建的数据等。

本发明所指区块链是分布式数据存储、点对点传输、共识机制、加密算法等计算机技术的新型应用模式。区块链(Blockchain)，本质上是一个去中心化的数据库，是一串使用密码学方法相关联产生的数据块，每一个数据块中包含了一批次网络交易的信息，用于验证其信息的有效性(防伪)和生成下一个区块。区块链可以包括区块链底层平台、平台产品服务层以及应用服务层等。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，空调器，或者网络设备等)执行本申请各个实施例所述的方法。

显然，以上所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例，附图中给出了本申请的较佳实施例，但并不限制本申请的专利范围。本申请可以以许多不同的形式来实现，相反地，提供这些实施例的目的是使对本申请的公开内容的理解更加透彻全面。尽管参照前述实施例对本申请进行了详细的说明，对于本领域的技术人员来而言，其依然可以对前述各具体实施方式所记载的技术方案进行修改，或者对其中部分技术特征进行等效替换。凡是利用本申请说明书及附图内容所做的等效结构，直接或间接运用在其他相关的技术领域，均同理在本申请专利保护范围之内。

Claims (10)

1.一种用户权限管理和数据控制方法，其特征在于，包括下述步骤：

创建权限角色，并将所述权限角色与至少一个菜单或者按钮建立映射关系，以使得所述权限角色获得对应操作权限；

将用户名称与至少一个权限角色绑定，以通过权限角色赋予并控制用户的操作权限；

将数据库中的数据划分成为不同的资源数据，并使预先建立的分组与资源数据之间形成一一映射关系；

在每个分组下创建至少一个分组角色，根据预设的规则将用户名称与至少一个分组绑定，并将用户名称与所述分组角色进行绑定，以通过分组角色控制用户对对应的所述分组中的资源数据的查看范围；以及

当检测到用户登录时，获取与登陆用户的用户名称绑定的权限角色和分组，确定在所述分组下与用户绑定的分组角色，将所述分组角色控制的资源数据的查看范围，作为用户对所述分组下的资源数据的查看范围，将与用户名称绑定的权限角色对应的权限，作为用户对与所述分组角色对应的资源数据的操作权限。

2.根据权利要求1所述的用户权限管理和数据控制方法，其特征在于，在所述根据预设的规则将用户名称与至少一个分组绑定的步骤之后，还包括：

将分组角色与至少一个权限角色关联；

所述获取与登陆用户的用户名称绑定的权限角色和分组，确定在所述分组下与用户绑定的分组角色的步骤包括：

获取与登陆用户的用户名称绑定的权限角色和分组，确定在所述分组下与用户绑定的分组角色，并获取分组角色与权限角色之间的关联关系；

所述将与用户名称绑定的权限角色对应的权限，作为用户对所述分组角色对应的资源数据的操作权限的步骤包括：

将同时与用户名称和分组角色关联的权限角色对应的权限，作为用户对与所述分组角色对应的资源数据的操作权限。

3.根据权利要求1所述的用户权限管理和数据控制方法，其特征在于，所述将数据库中的数据划分成为不同的资源数据的步骤包括：

根据数据库中数据的类型不同或根据数据库中数据的来源不同，将所述数据划分成为不同的资源数据。

4.根据权利要求1所述的用户权限管理和数据控制方法，其特征在于，所述根据预设的规则将用户名称与至少一个分组绑定，并将用户名称与所述分组角色进行绑定的步骤包括：

所述分组包括第一分组、第二分组和第三分组，根据预先对用户名称标记的标签类型，将用户名称与分组进行绑定，其中，标签类型包括人员、资产和账目往来，所述人员、资产和账目往来分别与第一分组、第二分组和第三分组相对应；

根据预先对用户名称标记的标签等级，确定用户在所述分组中的分组角色，其中，标签等级包括管理级和普通级，所述标签类型和标签等级为一一对应关系；

将用户名称与所述分组角色进行绑定，其中，分组角色包括第一权限角色和第二权限角色，所述管理级和普通级分别对应第一权限角色和第二权限角色，所述第一权限角色具有查看所述分组中所有资源数据的权限，所述第二权限角色具有查看所述分组中部分资源数据的权限。

5.根据权利要求1所述的用户权限管理和数据控制方法，其特征在于，在所述将用户名称与所述分组角色进行绑定，以通过分组角色控制用户对对应的所述分组中的资源数据的查看范围的步骤之后，还包括：

当接收到用户的操作请求时，获取用户请求的URL，将所述请求的URL与数据库中与权限角色映射的菜单或者按钮的URL进行对比，若请求的URL在所述权限角色范围内，则允许用户接下来操作，否则拒绝请求。

6.根据权利要求1至5任意一项所述的用户权限管理和数据控制方法，其特征在于，所述方法还包括：当检测到用户登录时，根据用户名称对应的权限角色与菜单或者按钮之间的映射关系，控制前端页面中系统菜单和具体页面下按钮的显示情况。

7.根据权利要求6所述的用户权限管理和数据控制方法，其特征在于，所述根据用户名称对应的权限角色与菜单或者按钮之间的映射关系，控制前端页面中系统菜单和具体页面下按钮的显示情况的步骤包括：

根据用户名称对应的权限角色与菜单或者按钮之间的映射关系，将与用户名称关联的权限角色对应的菜单和者按钮显示为预先配置的颜色，将未与所述权限角色存在映射关系的菜单和按钮进行隐藏。

8.一种用户权限管理和数据控制装置，其特征在于，包括：

创建模块，用于创建权限角色，并将所述权限角色与至少一个菜单或者按钮建立映射关系，以使得所述权限角色获得对应操作权限；

绑定模块，用于将用户名称与至少一个权限角色绑定，以通过权限角色赋予并控制用户的操作权限；

划分模块，用于将数据库中的数据划分成为不同的资源数据，并使预先建立的分组与资源数据之间形成一一映射关系；

关联模块，用于在每个分组下创建至少一个分组角色，根据预设的规则将用户名称与至少一个分组绑定，并将用户名称与所述分组角色进行绑定，以通过分组角色控制用户对对应的所述分组中的资源数据的查看范围；以及

确定模块，用于当检测到用户登录时，获取与登陆用户的用户名称绑定的权限角色和分组，确定在所述分组下与用户绑定的分组角色，将所述分组角色控制的资源数据的查看范围，作为用户对所述分组下的资源数据的查看范围，将与用户名称绑定的权限角色对应的权限，作为用户对与所述分组角色对应的资源数据的操作权限。

9.一种计算机设备，其特征在于，包括存储器和处理器，所述存储器中存储有计算机程序，所述处理器执行所述计算机程序时实现如权利要求1至7中任一项所述的用户权限管理和数据控制方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至7中任一项所述的用户权限管理和数据控制方法的步骤。

Images