CN111930752A

CN111930752A - 一种数据处理方法及相关设备

Info

Publication number: CN111930752A
Application number: CN202010901928.2A
Authority: CN
Inventors: 贺丰源; 韦利东
Original assignee: Shanghai Pan Micro Software Co ltd
Current assignee: Shanghai Pan Micro Software Co ltd
Priority date: 2020-09-01
Filing date: 2020-09-01
Publication date: 2020-11-13
Anticipated expiration: 2040-09-01
Also published as: CN111930752B

Abstract

本申请提供了一种数据处理方法及相关设备，可以降低角色权限配置以及维护的工作。该方法包括：获取所述目标用户对应的目标请求；判断所述目标请求中是否携带有权限安全控制注解；若是，则对所述权限安全控制注解进行解析，得到与所述权限安全控制注解对应的目标配置信息；根据所述目标配置信息校验所述目标用户对应的角色权限；当所述目标用户有权限时，根据所述目标请求执行相应的操作。

Description

一种数据处理方法及相关设备

技术领域

本申请涉及通信领域，尤其涉及一种数据处理方法及相关设备。

背景技术

随着软件即服务(Software-as-a-Service，SaaS)系统的不断发展，公信力的不断提升，越来越多的客户接受将核心数据放在服务器上，除了数据存储的安全，数据操作的安全也愈加受到重视，不同的用户的操作互相不影响，不同的用户可以拥有不同的访问控制，为了确保系统数据的安全性，使用户能放心地将商业数据放在系统上使用，就需要在用户和访问之间加入角色这一层，实现用户和权限的分离，用户只有通过激活角色才能获得访问权限。

通过角色对权限分组，大大简化了用户权限分配表，间接地实现了对用户的分组，提高了权限的分配效率。且加入角色层后，访问控制机制更接近真实世界中的职业分配，便于权限管理，通过配置不同的角色来实现访问控制，访问控制是针对越权使用资源的防御措施，目的是为了限制访问主体(如用户等)对访问客体(如数据库资源等)的访问权限，企业环境中的访问控制策略一般有三种:自主访问控制(DAC)、强制访问控制(MAC)和基于角色的访问控制(RBAC)，前两种由于工作量大，维护困难等缺点，实际商用的不多，基于角色的访问控制是目前公认的解决企业的统一资源访问控制的有效方法，通过灵活的配置角色对应的不同的访问控制来达到权限控制的目的

一般SaaS系统都有一套基本的用户权限设计和一些基本的角色，如平台管理员、租户管理员、租户用户等，不同的产品还会有不同的角色访问控制，用户通过饰演不同的角色获得角色所拥有的权限，一旦某个用户成为某角色的成员，则此用户可以完成该角色所具有的职能，但随着用户对业务的深入了解与使用，在权限分派上提出了更高的灵活性和极细的权限指定粒度的要求。

标准的基于角色的访问控制(Role-Based Access Control，RBAC)，由于权限配置一定是动态的，每一个角色的权限配置都需要针对不同的场景做定制的配置，造成角色权限配置以及维护工作量大。

发明内容

本申请提供了一种数据处理方法及相关设备，可以降低角色权限配置以及维护的工作量。

本申请第一方面提供了一种数据处理方法，包括：

获取所述目标用户对应的目标请求；

判断所述目标请求中是否携带有权限安全控制注解；

若是，则对所述权限安全控制注解进行解析，得到与所述权限安全控制注解对应的目标配置信息；

根据所述目标配置信息校验所述目标用户对应的角色权限；

当所述目标用户有权限时，根据所述目标请求执行相应的操作。

可选地，所述目标配置信息包括所述权限安全控制注解对应的权限模块、类型、方法以及角色，所述根据所述目标配置信息校验所述目标用户对应的角色权限包括：

根据所述权限安全控制注解对应的模块、类型以及方法校验所述目标用户对应的角色权限。

可选地，所述判断所述目标请求中是否携带有权限安全控制注解包括：

通过目标拦截器判断所述目标请求中是否包含有所述权限安全控制注解，所述目标拦截器为数据库中存储的与所述目标请求对应的权限信息对应的拦截器，所述数据库中存储有包括所述目标拦截器在内的多个拦截器。

可选地，所述方法还包括：

当所述目标请求中未携带有所述权限安全控制注解时或当所述目标用户没有权限时，拒绝所述目标请求的访问。

本申请第二方面提供了一种数据处理装置，包括：

获取单元，用于获取所述目标用户对应的目标请求；

判断单元，用于判断所述目标请求中是否携带有权限安全控制注解；

解析单元，用于当所述目标请求中携带有所述权限安全控制注解时，对所述权限安全控制注解进行解析，得到与所述权限安全控制注解对应的目标配置信息；

校验单元，用于根据所述目标配置信息校验所述目标用户对应的角色权限；

执行单元，用于当所述目标用户有权限时，根据所述目标请求执行相应的操作。

可选地，所述目标配置信息包括所述权限安全控制注解对应的权限模块、类型、方法以及角色，所述校验单元具体用于：

可选地，所述判断单元具体用于：

可选地，所述执行单元还用于：

本申请第三方面提供了一种计算机装置，包括：至少一个连接的处理器、存储器和收发器；所述存储器用于存储程序代码，所述程序代码由所述处理器加载并执行以实现上述第一方面所述的数据处理方法的步骤。

本申请第四方面提供了一种计算机可读存储介质，包括指令，当所述指令在计算机上运行时，使得计算机执行上述第一方面所述的数据处理方法的步骤。

综上所述，可以看出，本申请提供的实施例中，通过获取目标用户对应的目标请求；判断目标请求中是否携带有权限安全控制注解；若是，则对权限安全控制注解进行解析，得到与权限安全控制注解对应的目标配置信息；根据目标配置信息校验目标用户对应的角色权限；当目标用户有权限时，根据目标请求执行相应的操作。这样在需要控制权限的方法上，直接通过自定义配置权限安全控制注解，该自定义配置权限安全控制注解包括定义好控制方法的模块，需要控制的类型，控制的方法名以及自定义角色，可以降低角色权限配置以及维护的工作量。

附图说明

图1为本申请实施例提供的数据处理方法的技术流程示意图；

图2为本申请年实施例提供的数据处理装置的虚拟结构示意图；

图3为本申请实施例提供的服务器的硬件结构示意图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。

本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的实施例能够以除了在这里图示或描述的内容以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或模块的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或模块，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或模块，本申请中所出现的模块的划分，仅仅是一种逻辑上的划分，实际应用中实现时可以有另外的划分方式，例如多个模块可以结合成或集成在另一个系统中，或一些特征向量可以忽略，或不执行，另外，所显示的或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，模块之间的间接耦合或通信连接可以是电性或其他类似的形式，本申请中均不作限定。并且，作为分离部件说明的模块或子模块可以是也可以不是物理上的分离，可以是也可以不是物理模块，或者可以分布到多个电路模块中，可以根据实际的需要选择其中的部分或全部模块来实现本申请方案的目的。

下面对本申请涉及的名词进行说明：

Saas系统：SaaS是Software-as-a-Service(软件即服务)的简称，像以前用的OA系统都是安装在企业的服务器中，数据存储在本地，通过局域网或者互联网进行访问，但是现在打开浏览器输入网站就可以登录到公司的OA系统了，数据也被存储在服务器中，这个服务器就是软件服务提供商所提供的，这个系统就是SaaS。

注解：java注解(Annotation)，又称java标识，可以看作是对一个类/方法的一个扩展的模版，每个类/方法按照注解类中的规则，来为类/方法注解不同的参数，在用到的地方可以得到不同的类/方法中注解的各种参数与值。

自定义注解：在创建注解的时候，需要使用一些注解来描述自己创建的注解，就是写在@interface上面的那些注解，这些注解被称为元注解，如在Override中看到的@Target、@Retention等。

反射：JAVA反射机制是在运行状态中，对于任意一个类，都能够知道这个类的所有属性和方法；对于任意一个对象，都能够调用它的任意一个方法和属性；这种动态获取的信息以及动态调用对象的方法的功能称为java语言的反射机制。

拦截器：java里的拦截器是动态拦截Action调用的对象，它提供了一种机制可以使开发者在一个Action执行的前后执行一段代码，也可以在一个Action执行前阻止其执行，同时也提供了一种可以提取Action中可重用部分代码的方式。在AOP中，拦截器用于在某个方法或者字段被访问之前，进行拦截，然后再之前或者之后加入某些操作。

本申请提供的数据处理方法，可以在数据库构建角色权限控制数据库表，用以保存包括目标用户在内的多个用户的角色权限配置数据，服务端在程序里自定义一个权限安全控制注解；定义好控制方法的模块、需要控制的类型、控制的方法名以及自定义角色；并对拦截器进行自定义，该数据库中存储有多个角色对应的拦截器，用于拦截用户发出到服务端的请求，拦截器中可以增加根据对应的角色、模块等权限校验过滤规则，为了提高性能，增加缓存机制，同时还可以在该拦截器中增加日志记录，可以理解的是，在定义好拦截器之后，可以将该拦截器注册到拦截器链里，在需要控制的方法上添加自定义注解，配置权限控制模块等信息；当用户在前端执行操作，拦截器拦截到当前请求后，通过反射获取到请求方法上的注解，如果包含了权限安全控制注解，则根据注解上配置的模块、类型、方法等调用权限安全控制接口来完成控制。

下面从数据处理装置的角度对本申请实施例提供的数据处理方法进行说明，该数据处理装置可以为服务器，也可以为服务器中的服务单元具体不做限定。

请参阅图1，图1为本申请实施例提供的数据处理方法的技术流程示意图，包括：

101、获取目标用户对应的目标请求。

本实施例中，数据处理装置可以获取目标用户对应的目标请求，此处数据处理装置可以通过拦截器拦截目标用户发出的到服务端的目标请求，当然也还可以通过其他的方式获取，具体不做限定。

102、判断目标请求中是否携带有权限安全控制注解，若是，则执行步骤103，若否，则执行步骤106。

本实施例中，数据处理装置在获取到目标请求之后，可以判断目标请求中是否携带有权限安全控制注解，具体的，可以通过目标拦截器判断述目标请求中是否包含有权限安全控制注解，目标拦截器为数据库中存储的与目标请求对应的拦截器，数据库中存储有包括目标拦截器在内的多个拦截器，若通过目标拦截器判断该目标请求中包括权限安全控制注解，则执行步骤103，若否，则执行步骤106。

103、若目标请求中携带有权限安全控制注解，则对权限安全控制注解进行解析，得到与权限安全控制注解对应的目标配置信息。

本实施例中，数据处理装置在确定目标请求中携带有权限安全控制注解时，可以通过对该权限安全控制注解进行解析，得到目标配置信息，该目标配置信息中包括权限安全控制注解对应的权限模块、类型、方法以及角色。

104、根据目标配置信息校验目标用户对应的角色权限。

本实施例中，数据处理装置在对权限安全控制注解进行解析得到与权限安全控制注解对应的目标配置信息之后，可以根据该目标配置信息校验目标用户对应的角色权限，例如该目标用户对应的角色是否有权限执行与目标请求对应的调用方法，该方法上添加有权限安全控制注解，通过将方法上的权限安全控制注解进行解析，并与解析得到的目标配置信息进行匹配来校验目标用户对应的角色权限。

一个实施例中，目标配置信息包括权限安全控制注解对应的权限模块、类型、方法以及角色，根据所述目标配置信息校验目标用户对应的角色权限包括：

根据权限安全控制注解对应的模块、类型以及方法校验目标用户对应的角色权限。

本实施例中，数据处理装置在通过目标拦截器获取到目标用户对应的自定义权限安全控制注解后，根据该目标用户对应的自定义权限安全控制注解对目标用户的权限进行校验，具体的，可以根据权限安全控制注解配置的所属模块，权限的所属类型，权限控制对应的方法，来分类逐层校验目标用户对应的角色所拥有的权限。

下面对权限安全控制注解@PermissionAcl的设置以及目标拦截器的注册及目标拦截器对权限安全控制注解的解析进行说明。

一、权限安全控制注解包括：

1)权限所属模块；

2)权限对应的类型；

3)权限控制对应的方法；

具体的，可以通过如下代码进行实现：

/**

*公共权限控制(系统管理员、模块管理员、自定义角色等)

*/

@Retention(RetentionPolicy.RUNTIME)

@Target({ElementType.TYPE，ElementType.METHOD})

public@interface PermissionAcl{

//权限所属模块

String module()default""；

//权限的类型

PermissionAclType[]permission()default PermissionAclType.blank；

//权限控制对应的方法

ActionMethodType method()default ActionMethodType.blank；

}。

二、目标拦截器；

该目标拦截器可以通过权限校验过滤规则对目标请求进行拦截，并解析，还可以增加缓存日志以及异常信息，可以理解的是，该目标拦截器可以基于Struts2框架以及springMVC框架，具体不做限定，下面分别进行说明：

1、Struts2框架：

自定义一个java类CommonPermissionInterceptor4Struts，继承AbstractInterceptor，重写intercept方法，通过ActionInvocation(action调度者，action是获得前端数据再去处理的类)反射获取到目标请求到的action的具体方法，并判断是否该目标请求中包含了权限安全控制注解，如果没有包含，则继续执行其他操作，如果该目标请求中包含有权限安全控制注解PermissionAcl，则解析该权限安全控制注解的配置信息(该权限安全控制注解的配置信息包括所属模块、控制的类型、方法以及其对应的自定义权限等)，并根据所获取到的配置信息来进行权限校验。

2、springMVC框架:

自定义一个java类CommonPermissionInterceptor，继承(extend)HandlerIntercepterAdapter(Spring MVC提供的org.springframework.web.servlet.handler.HandlerInterceptorAdapter这个适配器，继承此类，可以实现自己的拦截器)，重写perHandle方法(preHandle在业务处理器处理请求之前被调用。预处理，可以进行编码、安全控制等处理)，通过反射获取到目标请求，判断该目标请求中是否包含了权限安全控制注解，如果没有包含，则程序继续往后执行，如果含有自定义权限安全控制注解PermissionAcl，则解析该自定义注解的配置信息(所属模块，控制的类型，方法，自定义权限等)，并根据所获取到的配置信息来进行权限校验。

3、注册目标拦截器，以实现方法级的安全权限控制；在需要控制的方法上添加权限安全控制注解，配置权限控制模块等信息，下面通过代码目标拦截器的注册进行说明，通过springMVC框架注册目标拦截器，通过Struts2框架将目标拦截器添加至拦截器链路中，在实际使用过程中，可以从多个拦截器中指定使用哪个拦截器来进行拦截：

springMVC框架：

在springMVC配置文件里面，通过<mvc:interceptors>标签将自定义的权限安全控制注解添加到目标拦截器里，并配置需要拦截的请求匹配路径，具体代码如下：

Struts2框架：

在Struts.xml配置文件里面将自定义角色权限拦截器(也即上述注册得到的目标拦截器)添加到struts2的拦截器链里，需要注意拦截顺序。

<！--基于restDefaultStack，增加角色权限控制interceptor-->

<！--拦截器链中增加角色权限控制拦截器-->

<！--指定使用哪一个拦截器-->

<interceptor-ref name＝"commonPermission"/>

</interceptors>。

需要说明的是，为了实现用户角色权限的配置，还需要在调用的方法上进行配置，在需要控制角色权限的方法上，添加自定义的权限安全控制注解，配置自定义的权限控制：

@PermissionAcl：自定义注解，Module:模块控制，permission：权限控制的类型；具体代码如下：

@PermissionAcl(module＝"hr"，permission＝{PermissionAclType.ADMIN，PermissionAclType.MODULE_ADMIN，PermissionAclType.ORG_AUTHORITY})

105、当目标用户有权限时，根据目标请求执行相应的操作。

本实施例中，数据处理装置在确定目标用户有权限时，则根据目标请求执行相应的操作。

106、执行其他操作。

本实施例中，数据处理装置在目标请求中未携带有权限安全控制注解时或当目标用户没有权限时，拒绝目标请求的访问。

上面从数据处理方法的角度对本申请进行说明，下面从数据处理装置的角度对本申请进行说明。

请参阅图2，图2为本申请实施例提供的数据处理装置的虚拟结构示意图，包括：

获取单元201，用于获取所述目标用户对应的目标请求；

判断单元202，用于判断所述目标请求中是否携带有权限安全控制注解；

解析单元203，用于当所述目标请求中携带有所述权限安全控制注解时，对所述权限安全控制注解进行解析，得到与所述权限安全控制注解对应的目标配置信息；

校验单元204，用于根据所述目标配置信息校验所述目标用户对应的角色权限；

执行单元205，用于当所述目标用户有权限时，根据所述目标请求执行相应的操作。

可选地，所述目标配置信息包括所述权限安全控制注解对应的权限模块、类型、方法以及角色，所述校验单元204具体用于：

可选地，所述判断单元202具体用于：

可选地，所述执行单元205还用于：

图3是本申请实施例提供的一种服务器结构示意图，该服务器300可因配置或性能不同而产生比较大的差异，可以包括一个或一个以上中央处理器(central processingunits，CPU)322(例如，一个或一个以上处理器)和存储器332，一个或一个以上存储应用程序342或数据344的存储介质330(例如一个或一个以上海量存储设备)。其中，存储器332和存储介质330可以是短暂存储或持久存储。存储在存储介质330的程序可以包括一个或一个以上模块(图示没标出)，每个模块可以包括对服务器中的一系列指令操作。更进一步地，中央处理器322可以设置为与存储介质330通信，在服务器300上执行存储介质330中的一系列指令操作。

服务器300还可以包括一个或一个以上电源326，一个或一个以上有线或无线网络接口350，一个或一个以上输入输出接口358，和/或，一个或一个以上操作系统341，例如Windows ServerTM，Mac OS XTM，UnixTM，LinuxTM，FreeBSDTM等等。

上述实施例中由数据处理装置所执行的步骤可以基于该图3所示的服务器结构。

本申请实施例还提供了一种计算机可读存储介质，其上存储有程序，该程序被处理器执行时实现上述所述数据处理方法的步骤。

本申请实施例还提供了一种处理器，所述处理器用于运行程序，其中，所述程序运行时执行上述所述数据处理方法的步骤。

本申请实施例还提供了一种终端设备，设备包括处理器、存储器及存储在存储器上并可在处理器上运行的程序，所述程序代码由所述处理器加载并执行以实现上述所述数据处理方法的步骤。

本申请还提供了一种计算机程序产品，当在数据处理设备上执行时，适于执行上述所述数据处理方法的步骤。

在上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统，装置和模块的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

存储器可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。存储器是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、商品或者设备中还存在另外的相同要素。

本领域技术人员应明白，本申请的实施例可提供为方法、系统或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

以上仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims

1.一种数据处理方法，其特征在于，包括：

获取所述目标用户对应的目标请求；

判断所述目标请求中是否携带有权限安全控制注解；

根据所述目标配置信息校验所述目标用户对应的角色权限；

2.根据权利要求1所述的方法，其特征在于，所述目标配置信息包括所述权限安全控制注解对应的权限模块、类型、方法以及角色，所述根据所述目标配置信息校验所述目标用户对应的角色权限包括：

3.根据权利要求1或2所述的方法，其特征在于，所述判断所述目标请求中是否携带有权限安全控制注解包括：

4.根据权利要求1或2所述的方法，其特征在于，所述方法还包括：

5.一种数据处理装置，其特征在于，包括：

获取单元，用于获取所述目标用户对应的目标请求；

6.根据权利要求5所述的装置，其特征在于，所述目标配置信息包括所述权限安全控制注解对应的权限模块、类型、方法以及角色，所述校验单元具体用于：

7.根据权利要求5或6所述的装置，其特征在于，所述判断单元具体用于：

8.根据权利要求5或6所述的装置，其特征在于，所述执行单元还用于：

9.一种计算机装置，其特征在于，包括：

至少一个连接的处理器、存储器和收发器；

所述存储器用于存储程序代码，所述程序代码由所述处理器加载并执行以实现上述权利要求1至4中任一项所述的数据处理方法的步骤。

10.一种计算机可读存储介质，其特征在于，包括指令，当所述指令在计算机上运行时，使得计算机执行上述权利要求1至4中任一项所述的数据处理方法的步骤。