CN111966994B

CN111966994B - 基于数据库的区块链鉴权方法、系统及存储介质

Info

Publication number: CN111966994B
Application number: CN202010652233.5A
Authority: CN
Inventors: 谢天明
Original assignee: Xiamen Dachengmei Network Technology Co ltd
Current assignee: Xiamen Dachengmei Network Technology Co ltd
Priority date: 2020-07-08
Filing date: 2020-07-08
Publication date: 2022-07-26
Anticipated expiration: 2040-07-08
Also published as: CN111966994A

Abstract

本发明公开了一种基于数据库的区块链鉴权方法、系统及存储介质，其通过利用已有的合约接口，设置一个扩展合约接口；在更新用户的权限数据时，通过调用所述扩展合约接口将权限数据冗余的更新到区块链底层的权限数据库中；区块链底层执行鉴权时，通过读取所述权限数据库获取用户的权限数据进行鉴权；本发明直接通过读取权限数据库的方式获取用户的各项权限数据，实现了角色权限数据的快速数据库鉴权操作，从而避免了权限合约的调用，加快了鉴权速度，从而加速了交易的执行，有效避免了基于合约鉴权的速度慢的缺点。

Description

基于数据库的区块链鉴权方法、系统及存储介质

技术领域

本发明涉及区块链技术领域，特别是一种基于数据库的区块链鉴权方法及其应用该方法的基于数据库的区块链鉴权系统及计算机可读存储介质。

背景技术

区块链是点对点传输、分布式数据存储、多种共识机制和加密算法等计算机技术融合而成的去中心化的账本系统。区块链系统以区块的前后链接形成完整账本，每一个区块通常包含了多个交易。每一个交易的内容通常包含交易发起方地址from、待访问的目标账户to，以及包含待访问目标合约接口的hash值及其详细的访问参数的data字段。

权限管理是区块链系统的核心内容，由于区块链系统用户数量巨大、区块数量众多，相关技术中的权限管理技术存在资源消耗大、权限控制效率低、安全性较低的问题。例如：

1.访问列表控制方法（Accesscontrollist，ACL）通过列表进行权限管理，一个简单的访问列表是一个由用户与资源构成的数组，当数据量巨大时，权限管理效率低下，且容易被篡改；

2.强制访问控制方法（Mandatory Access Control，MAC）中，一旦系统建立，用户行为的访问控制强制执行，用户无法改变安全级别或对象的安全属性，资源消耗大、权限控制效率低；

3.基于角色的权限访问控制(Role-Based Access Control，RBAC)借助于角色这个主体，使得用户通过角色访问资源，虽然能够减少授权管理的复杂性，降低管理开销，但由于是采用将权限数据写入合约，再通过访问权限合约进行鉴权，仍然存在合约执行速度慢制约交易的执行速度的弊端。

发明内容

本发明的主要目的在于提供了一种基于数据库的区块链鉴权方法、系统及存储介质，旨在解决现有的角色鉴权方法的鉴权效率低的技术问题。

为实现上述目的，本发明提供了一种基于数据库的区块链鉴权方法，其包括以下步骤：

利用已有的合约接口，设置一个扩展合约接口；

在更新用户的权限数据时，通过调用所述扩展合约接口将权限数据冗余的更新到区块链底层的权限数据库中；

区块链底层执行鉴权时，通过读取所述权限数据库获取用户的权限数据进行鉴权。

优选的，所述的更新用户的权限数据，是通过在用户合约、角色合约、权限合约中的任意一种以上合约中添加对所述扩展合约接口的调用。

优选的，所述的将权限数据冗余的更新到区块链底层的权限数据库中，是指在用户权限数据发生改变时，通过所述扩展合约接口向区块链底层同步权限数据，并使区块链底层的权限数据库中的权限数据与权限合约中的权限数据一致。

优选的，所述扩展合约接口采用writedb函数：

writedb：function writedb(string _name, string _key, string _value)public constant returns(uint _ret)；

其中，name表示指令，key表示需要更新的目标，value表示需要更新的值。

优选的，所述的区块链底层执行鉴权，是在区块链底层交易执行之前，通过解析交易扩展字段得到权限校验附加信息，如果角色权限管理指定为db校验方式，则执行基于数据库的快速权限校验。

其中，所述的基于数据库的快速权限校验，进一步包括以下步骤：

查询目标合约信息；

从所述权限数据库中查询用户的角色列表，并查询角色下的接口列表；

遍历所述接口列表，并判断所述接口列表中的待鉴权接口与待访问接口的接口指纹是否匹配；

根据匹配结果返回校验结果，若匹配则判定为有权。

进一步的，查询用户的角色列表之前，还预先进行以下条件的查询，若满足任一条件则直接返回校验结果，并判定为有权：

查询用户是否为管理员；

查询模块或合约的鉴权开关是否关闭；

查询开放权限接口集合，并判断目标接口是否属于开放权限接口。

优选的，在区块链新增节点时，是通过将指定的已有节点的权限数据同步至所述新增节点；具体包括以下步骤：

所述新增节点向指定的已有节点请求权限数据；

所述指定节点执行所述权限数据的导出操作；

将导出的权限数据以XML或JSON的格式加密压缩后发送至所述新增节点；

所述新增节点解压解密后载入所述权限数据。

优选的，所述合约包括一个以上的权限校验合约，且所述一个以上的权限校验合约具有统一的权限校验接口；利用所述的统一的权限校验接口，设置所述扩展合约接口。

此外，为实现上述目的，本发明还提供一种系统，所述系统包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的基于数据库的区块链鉴权程序，所述基于数据库的区块链鉴权程序被所述处理器执行时实现如上文所述的基于数据库的区块链鉴权方法的步骤。

此外，为实现上述目的，本发明还提供一种计算机可读存储介质，所述计算机可读存储介质上存储有基于数据库的区块链鉴权程序，所述基于数据库的区块链鉴权程序被处理器执行时实现如上文所述的基于数据库的区块链鉴权方法的步骤。

本发明的有益效果是：

（1）本发明通过利用已有的合约接口设置一扩展合约接口，在合约中更新权限数据时，通过调用扩展合约接口将权限数据冗余的更新到区块链底层的权限数据库中，区块链底层执行鉴权时，直接通过读取权限数据库的方式获取用户的各项权限数据，从而避免了权限合约的调用，加快了鉴权速度，从而加速了交易的执行；

（2）本发明通过扩展合约接口，底层解析该自定义合约接口，以及底层基于LevelDB的数据库的快速读写，实现了角色权限数据的快速数据库鉴权操作，有效避免了基于合约鉴权的速度慢的缺点；

（3）本发明的扩展合约接口采用writedb函数，使得在用户权限数据发生改变时，通过所述扩展合约接口向区块链底层同步权限数据的，达到区块链底层数据库中的权限数据与权限合约中的权限数据一致的目的；

（4）本发明通过对一个以上的权限校验合约设置统一的权限校验接口，并利用所述的统一的权限校验接口，设置所述扩展合约接口，从而形成统一的鉴权模型，提供了后期扩展新的鉴权方式的可能，并通过所述统一的权限校验接口和所述扩展合约接口，实现新权限校验方式的无限扩展。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本发明的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1为本发明具体实施例例的基于数据库的区块链鉴权方法的流程简图；

图2为本发明权限校验链的结构示意图；

图3为本发明基于数据库的区块链鉴权系统的框架图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明的一种基于数据库的区块链鉴权方法，其包括以下步骤：

利用已有的合约接口，设置一个扩展合约接口；

本实施例中，所述扩展合约接口采用writedb函数；本实施例利用已有的合约接口扩展writedb函数，在合约中每当更新权限数据时，通过调用writedb函数将权限数据冗余的更新到区块链底层的权限数据库（本实施例采用LevelDB数据库）中。区块链底层执行鉴权时，直接通过读取LevelDB数据库的方式，获取用户的各项权限数据，从而避免了权限合约的调用，加快了鉴权速度，从而加速了交易的执行。

所述的更新用户的权限数据，是通过在用户合约、角色合约、权限合约中的任意一种以上合约中添加对所述扩展合约接口的调用。例如在添加新用户、修改用户的角色列表、角色定义和修改、设置接口权限、设置关闭或开放调用接口等时，通过调用所述writedb函数，向底层的权限数据库写入对应的权限数据。

所述的将权限数据冗余的更新到区块链底层的权限数据库中，是指在用户权限数据发生改变时，通过所述扩展合约接口向区块链底层同步权限数据，并使区块链底层的权限数据库中的权限数据与权限合约中的权限数据一致。

本实施例中，所述扩展合约接口采用函数接口，具体是采用writedb函数：

其中，_name表示指令，如userInfo|update表示需要更新用户信息；_key表示需要更新的目标，如目标用户地址；_value表示需要更新的值，表示为一个json字符串。通过所述writedb函数，使得在用户权限数据发生改变时，通过合约向区块链底层同步权限数据的，达到区块链底层数据库中的权限数据与权限合约中的权限数据一致的目的。

所述的区块链底层执行鉴权，是在区块链底层交易执行之前，通过解析交易扩展字段得到权限校验附加信息，如果角色权限管理指定为db校验方式，则执行基于数据库的快速权限校验。其中，如图1所示，所述的基于数据库的快速权限校验，进一步包括以下步骤：

查询目标合约信息，如所属模块等；

根据匹配结果返回校验结果，若匹配则判定为有权。

并且，本实施例中查询用户的角色列表之前，还预先进行以下条件的查询，若满足任一条件则直接返回校验结果，并判定为有权：

查询用户是否为管理员，若from是管理员，则判定为有权；

查询模块或合约的鉴权开关是否关闭，若模块或合约是不鉴权，则判定为有权；

查询开放权限接口集合，并判断目标接口是否属于开放权限接口，若目标接口是开放权限的，则判定为有权。

若以上条件均为否，则进一步查询用户的角色列表并遍历所有角色，对角色下的待鉴权接口与待访问接口进行匹配。

在区块链新增节点时，是通过将指定的已有节点的权限数据同步至所述新增节点；具体包括以下步骤：

所述新增节点向指定的已有节点请求权限数据；

所述指定节点执行所述权限数据的导出操作；

所述新增节点解压解密后载入所述权限数据，从而达到新增节点的权限数据快速同步的目的。

本实施例中，如图2所示，所述合约包括一个以上的权限校验合约，形成权限校验链；且所述一个以上的权限校验合约具有统一的权限校验接口；不同的合约代表了不同的权限校验模式或更为细分的校验规则，相同点是都必须实现一个统一的权限校验接口。所有权限合约均注册到链管理器，由链管理器进行统一注册和释放管理，以及提供对外的权限链校验接口。底层区块链系统在调用链校验接口时，逐个遍历各个权限校验合约，执行其统一的权限校验接口，进行不同形式的权限校验，如果遇到鉴权失败的即终止链校验，返回权限校验失败，以及校验失败的详情（由哪个合约鉴权失败，以及具体的失败原因），最终全部校验通过，则返回链校验成功。

与权限校验链校验形式相匹配的交易内容可以扩展为：

{

"data" : "0x6203f0220000000000000000000......",

"from" : "0x4084808d6e2c8d911112eef158d2c5d1815852db",

"to" : "0x1000000000000000000000000000000000000012",

"extra" : "role:db;oth:ignore"

}

其中extra为扩展字段，用于规范当前交易在权限校验链中的特定校验行为，如role:db表示采用数据库鉴权而非角色合约鉴权的方式进行基于角色的权限校验；oth:ignore表示跳过其他鉴权Filter，结合role:db就是仅进行基于数据库的角色权限校验。

本实施例中，利用所述的统一的权限校验接口，设置所述扩展合约接口；即，将所述扩展合约接口作为所述统一的权限校验接口，或者，在所述统一的权限校验接口的基础上新增一扩展合约接口。从而提供了一个统一的权限校验模型，后期可以根据需要扩展其他鉴权模块，前提是只要实现了统一模型规定的统一鉴权接口。

需要说明的是，本发明的鉴权方法所适用的区块链网络的类型，可以包括公有区块链网络、私有区块链网络和联盟区块链网络。

另外，本发明还对应提供一种基于数据库的区块链鉴权系统，其包括：所述系统包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的基于数据库的区块链鉴权程序，所述基于数据库的区块链鉴权程序被所述处理器执行时实现如上文所述的基于数据库的区块链鉴权方法的步骤。

如图3所示，本实施例所述的区块链鉴权系统中，基于角色的权限模型是权限校验链（AuthorizeFilters）的一个鉴权成员，由合约RoleFilter完成向链管理合约的注册，注册时向AuthorizeFilters传输RoleFilter的元数据信息，包括RoleFilter的合约地址、id、名称、鉴权开关、合约有效性状态以及版本等信息。

需要说明的是，所述角色系统中，一个角色包含多个接口权限，一个用户包含多个角色，不同用户包含不同的角色组合，从而使用户获得不同的接口权限。由RoleFilter提供用户权限数据的读写接口，通常是将新增应用模块时生成的接口集合、角色集合、菜单集合等权限数据写入到不同的权限合约，以及在进行角色权限校验时，查询用户角色集合，依次匹配各个角色包含的接口集合，从而校验用户是否有访问目标接口的权限。

新增业务模块时，则将新业务合约的权限数据写入到权限模型中。具体是通过定义新业务合约的各个权限接口列表，新建若干个角色，将不同的接口分配到不同的角色中；最后再将所述新增业务模块注册到RoleFilter时，由模块基类进行角色数据的注册写入，完成新增业务权限数据的写入。

所述系统包括能够作为节点参与至区块链网络中的任何适当的计算设备，所述计算设备包括但不限于服务器、台式计算机、膝上型计算机、平板计算设备和智能电话等智能终端。所述计算设备可包括存储器、处理器、输入单元、显示单元、电源等部件。

本发明实施例还提供了一种计算机可读存储介质，所述计算机可读存储介质上存储有基于数据库的区块链鉴权程序，所述基于数据库的区块链鉴权程序被处理器执行时实现如上文所述的基于数据库的区块链鉴权方法的步骤。所述计算机可读存储介质包括一个以上，并耦接到一个或多个处理器；当所述程序由一个或多个处理器执行时，所述程序促使所述一个或多个处理器根据本文提供的方法的实施方式执行操作。

所述计算机可读存储介质可以是上述实施例中的存储器中所包含的计算机可读存储介质；也可以是单独存在，未装配入系统中的计算机可读存储介质。该计算机可读存储介质中存储有至少一条指令，所述指令由处理器加载并执行以实现图1所示的基于数据库的区块链鉴权方法。所述计算机可读存储介质可以是只读存储器，磁盘或光盘等。

需要说明的是，本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。对于系统实施例及存储介质实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

并且，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者系统不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者系统所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者系统中还存在另外的相同要素。

上述说明示出并描述了本发明的优选实施例，应当理解本发明并非局限于本文所披露的形式，不应看作是对其他实施例的排除，而可用于各种其他组合、修改和环境，并能够在本文发明构想范围内，通过上述教导或相关领域的技术或知识进行改动。而本领域人员所进行的改动和变化不脱离本发明的精神和范围，则都应在本发明所附权利要求的保护范围内。

Claims

1.一种基于数据库的区块链鉴权方法，其特征在于，包括以下步骤：

利用已有的合约接口，设置一个扩展合约接口；所述合约包括一个以上的权限校验合约，且所述一个以上的权限校验合约具有统一的权限校验接口；利用所述的统一的权限校验接口，设置所述扩展合约接口；一个角色包含多个接口权限，一个用户包含多个角色，不同用户包含不同的角色组合，从而使用户获得不同的接口权限；

区块链底层执行鉴权时，通过读取所述权限数据库获取用户的权限数据进行鉴权；

其中，所述的将权限数据冗余的更新到区块链底层的权限数据库中，是指在用户权限数据发生改变时，通过所述扩展合约接口向区块链底层同步权限数据，并使区块链底层的权限数据库中的权限数据与权限合约中的权限数据一致；

所述的区块链底层执行鉴权，是在区块链底层交易执行之前，通过解析交易扩展字段得到权限校验附加信息，如果角色权限管理指定为db校验方式，则执行基于数据库的快速权限校验；所述的基于数据库的快速权限校验，进一步包括以下步骤：

查询目标合约信息；

根据匹配结果返回校验结果，若匹配则判定为有权。

2.根据权利要求1所述的一种基于数据库的区块链鉴权方法，其特征在于，所述的更新用户的权限数据，是通过在用户合约、角色合约、权限合约中的任意一种以上合约中添加对所述扩展合约接口的调用。

3.根据权利要求1所述的一种基于数据库的区块链鉴权方法，其特征在于，所述扩展合约接口采用writedb函数：

writedb：function writedb(string _name, string _key, string _value) publicconstant returns(uint _ret)；

4.根据权利要求1所述的一种基于数据库的区块链鉴权方法，其特征在于，查询用户的角色列表之前，还预先进行以下条件的查询，若满足任一条件则直接返回校验结果，并判定为有权：

查询用户是否为管理员；

查询模块或合约的鉴权开关是否关闭；

5.根据权利要求1至4任一项所述的一种基于数据库的区块链鉴权方法，其特征在于，在区块链新增节点时，是通过将指定的已有节点的权限数据同步至所述新增节点；具体包括以下步骤：

所述新增节点向指定的已有节点请求权限数据；

所述指定节点执行所述权限数据的导出操作；

所述新增节点解压解密后载入所述权限数据。

6.一种基于数据库的区块链鉴权系统，其特征在于，所述系统包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的基于数据库的区块链鉴权程序，所述基于数据库的区块链鉴权程序被所述处理器执行时实现如权利要求1至5任一项所述的基于数据库的区块链鉴权方法的步骤。

7.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有基于数据库的区块链鉴权程序，所述基于数据库的区块链鉴权程序被处理器执行时实现如权利要求1至5任一项所述的基于数据库的区块链鉴权方法的步骤。