CN112069292A - 数据权限校验方法和装置 - Google Patents

Abstract

本发明公开一种数据权限校验方法和装置，其中，数据权限校验方法，包括：响应于所述网关接收到数据请求，解析所述数据请求获取第一字段、第二字段和第三字段；判断所述第一字段是否与预设接口的配置信息中的第一字段匹配；若匹配，读取所述数据请求的第二字段的值，判断所述第二字段的值是否与所述配置信息中的第二字段的值匹配；若匹配，调用所述第三字段中与所述第二字段的值对应的服务。通过结合渠道，从而可以实现用很少的工作量满足多渠道和不同接入方的数据权限校验，大大减少了数据校验的工作量，同时数据权限校验的结果由接入方提供，基本可以满足所有的需求。

Description

数据权限校验方法和装置

技术领域

本发明属于鉴权技术领域，尤其涉及数据权限校验方法和装置。

背景技术

网关(Gateway)又称网间连接器、协议转换器。网关在网络层以上实现网络互连，是复杂的网络互连设备，仅用于两个高层协议不同的网络互连。网关既可以用于广域网互连，也可以用于局域网互连。网关是一种充当转换重任的计算机系统或设备。使用在不同的通信协议、数据格式或语言，甚至体系结构完全不同的两种系统之间，网关是一个翻译器。与网桥只是简单地传达信息不同，网关对收到的信息要重新打包，以适应目的系统的需求。

大家都知道，从一个房间走到另一个房间，必然要经过一扇门。同样，从一个网络向另一个网络发送信，也必须经过一道“关口”，这道关口就是网关。顾名思义，网关(Gateway)就是一个网络连接到另一个网络的“关口”。也就是网络关卡。

默认网关在网络层以上实现网络互连，是最复杂的网络互连设备，仅用于两个高层协议不同的网络互连。网关的结构也和路由器类似，不同的是互连层。网关既可以用于广域网互连，也可以用于局域网互连。

发明内容

本发明实施例提供一种数据权限校验方法及装置，用于至少解决上述技术问题之一。

第一方面，本发明实施例提供一种数据权限校验方法，包括：响应于所述网关接收到数据请求，解析所述数据请求获取第一字段、第二字段和第三字段；判断所述第一字段是否与预设接口的配置信息中的第一字段匹配；若匹配，读取所述数据请求的第二字段的值，判断所述第二字段的值是否与所述配置信息中的第二字段的值匹配；若匹配，调用所述第三字段中与所述第二字段的值对应的服务。

第二方面，本发明实施例提供一种数据权限校验装置，包括：接收解析获取模块，配置为响应于所述网关接收到数据请求，解析所述数据请求获取第一字段、第二字段和第三字段；判断模块，配置为判断所述第一字段是否与预设接口的配置信息中的第一字段匹配；读取判断模块，配置为若匹配，读取所述数据请求的第二字段的值，判断所述第二字段的值是否与所述配置信息中的第二字段的值匹配；调用模块，配置为若匹配，调用所述第三字段中与所述第二字段的值对应的服务。

第三方面，提供一种计算机程序产品，所述计算机程序产品包括存储在非易失性计算机可读存储介质上的计算机程序，所述计算机程序包括程序指令，当所述程序指令被计算机执行时，使所述计算机执行第一方面所述的数据权限校验方法的步骤。

第四方面，本发明实施例还提供一种电子设备，其包括：至少一个处理器，以及与所述至少一个处理器通信连接的存储器，其中，所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行第一方面所述方法的步骤。

本申请实施例提供的方法通过结合渠道，从而可以实现用很少的工作量满足多渠道和不同接入方的数据权限校验，大大减少了数据校验的工作量，同时数据权限校验的结果由接入方提供，基本可以满足所有的需求。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明一实施例提供的一种数据权限校验方法的流程图；

图2为本发明一实施例提供的另一种数据权限校验方法的流程图；

图3为本发明实施例的数据权限校验的方案一具体实施例的网关登记数据框架图；

图4为本发明实施例的数据权限校验的方案一具体实施例的config (配置)字段描述图；

图5为本发明实施例的数据权限校验的方案一具体实施例的 permission(许可)字段描述图；

图6为本发明一实施例提供的一种数据权限校验装置的框图；

图7为本发明一实施例提供的电子设备的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

请参考图1，其示出了本发明的一种数据权限校验方法的一实施例的流程图。

如图1所示，在步骤101中，响应于所述网关接收到数据请求，解析所述数据请求获取第一字段、第二字段和第三字段；

在步骤102中，判断所述第一字段是否与预设接口的配置信息中的第一字段匹配；

在步骤103中，若匹配，读取所述数据请求的第二字段的值，判断所述第二字段的值是否与所述配置信息中的第二字段的值匹配；

在步骤104中，若匹配，调用所述第三字段中与所述第二字段的值对应的服务。

在本实施例中，对于步骤101，数据权限校验装置响应于网关接收到数据请求，解析所述数据请求获取第一字段、第二字段和第三字段，例如，某个接口要做数据权限校验时，要在网关登记数据，网关接收到数据请求后，解析数据请求获取第一字段例如uri(接口的uri)和method (接口的方法)，第二字段例如channel(渠道)和第三字段例如是dataVerifyUrls(数据校验)和permissions(许可)；例如，第一字段可以理解为验证请求是不是访问这个预设接口，第二字段可以理解为判断请求的来源或者说渠道，然后可以根据来源或者渠道采用不同的校验方式，第三字段可以理解为获取请求中的一些必要数据然后校验请求是不是能够通过的。

对于步骤102，数据权限校验装置判断第一字段是否与预设接口的配置信息中的第一字段匹配，例如，当请求到了网关，判断预设接口的配置信息是否与第一字段的uri和method相匹配；

对于步骤103，若判断预设接口的配置信息与第一字段相匹配，读取数据请求的第二字段的值，判断第二字段的值是否与配置信息中的第二字段的值匹配，例如，第二字段中包含渠道，例如，配置信息中的第二字段的值是channel＝dui，那么渠道就是dui，在预设接口的配置信息与第一字段匹配上之后，读取第二字段中的值是否是channel＝dui；

对于步骤104，若第二字段中的渠道与配置信息中的第二字段的值匹配，调用第三字段中与所述第二字段的值对应的服务，例如用第三字段中包含的数据校验和许可来判断数据权限校验是否可以通过。

在本实施例的方案中，通过结合渠道，从而可以实现用很少的工作量满足多渠道和不同接入方的数据权限校验，大大减少了数据校验的工作量。

在上述实施例所述的方法中，在所述判断所述第二字段的值是否与所述配置信息中的第二字段的值匹配之后，所述方法还包括：

若所述数据请求中未配置所述第二字段和/或所述数据请求中的第二字段的值与所述配置信息中的第二字段的值不匹配，调用所述配置信息中的第三字段的默认值对应的服务，其中，所述第三字段中至少包括与所述配置信息中的第二字段的值对应的服务以及默认值对应的服务。

例如，网关根据配置中包含的渠道配置获取渠道，若没有配置渠道或者数据校验和许可中没有配置对应的渠道，就取预设的默认值。

在本实施例的方案中，通过预设默认值，从而可以实现在没有对应的渠道时也可以进行数据权限校验。

在一些可选的实施例中，在所述判断所述第一字段是否与预设接口的配置信息中的第一字段匹配之后，所述方法还包括：若所述第一字段与预设接口的配置信息中的第一字段不匹配，则不进行数据权限校验，例如，在第一字段与预设接口的配置信息中的第一字段不匹配时，直接放行，不进行数据权限校验的流程。

在一些可选的实施例中，所述第三字段包括子字段一和子字段二，其中，所述子字段一由接入方提供，所述子字段二为数组。

例如，第三字段的子字段一是dataVerifyUrl(数据校验)和子字段二permissions(许可)，其中，dataVerifyUrls由接入方提供， permissions为数组。

请参考图2，其示出了本发明一实施例提供的另一种数据权限校验方法的流程图，该流程图主要是针对上述实施例所述的方法进一步限定的步骤的流程图。

如图2所示，在步骤201中，从所述子字段二中取数据给所述子字段一中对应的服务进行数据权限校验，其中，所述子字段二包括一组或多组数据；

在步骤202中，若所述子字段二中包括多组数据，则多次调用所述子字段一中对应的服务进行数据权限校验；

在步骤203中，响应于所述子字段一中对应的服务的返回结果确定所述数据请求是否校验通过，其中，所述多组数据中任一组数据校验通过均确认所述数据请求校验通过，所述多组数据中每一组数据均校验不通过则确认所述数据请求校验不通过。

在本实施例中，对于步骤201，数据权限校验装置从子字段二中取数据给子字段一中对应的服务进行数据权限校验，例如，一个字段描述为：order是请求数据校验名称，from表示获取参数的地方，query表示从queryString中取，body表示从body中取，header表示从http header 中取，path表示从path中取。name表示从发给网关请求中from方式获取的key，key表示网关给dataVerifyUrl请求param中的key；

之后，对于步骤202，若子字段二中包括多组数据，则多次调用子字段一中对应的服务进行数据权限校验，例如，当配了几组数据就发送几次请求来进行数据权限校验；

最后，对于步骤203，数据权限校验装置响应于子字段一中对应的服务的返回结果确定数据请求是否校验通过，其中，多组数据中任一组数据校验通过均确认数据请求校验通过，多组数据中每一组数据均校验不通过则确认数据请求校验不通过，例如，不管配置了多少组数据，只要其中由任何一组数据权限校验通过就视为数据权限校验通过，若其中配置的所有组数据均没有通过数据权限校验，则确认数据请求校验不通过。

在本实施例的方案中，通过通过许可配置，从而可以实现方便网关获取数据，然后拼成请求给数据校验对应的服务。

在上述实施例所述的方法中，所述子字段二中包括以下字段：请求数据校验名称、获取参数的地方、从所述数据请求中通过所述获取参数的地方获取的值以及所述网关给所述子字段一的请求参数中的值。

在一些可选的实施例中，所述第一字段包括所述预设接口的统一资源标识符和所述预设接口的方法，所述第二字段包括渠道，例如，渠道包括：DUI、ba-cctv、sdk-zhiban和aimt-c-xytt等渠道。

需要说明的是，以上实施例中虽然采用了步骤101、步骤102等具有明确先后顺序的数字，限定了步骤的先后顺序，但是在实际的应用场景中，有些步骤是可以并列执行的，有些步骤的先后顺序也不受到以上数字的限定，本申请在此没有限制，在此不再赘述。

下面对通过描述发明人在实现本发明的过程中遇到的一些问题和对最终确定的方案的一个具体实施例进行说明，以使本领域技术人员更好地理解本申请的方案。

发明人在实现本发明的过程中发现这些相似技术的缺陷：

目前市面上的网关数据权限校验功能都比较单一，当有新数据权限校验功能时，网关，服务提供方都要作更改，同时数据权限校验没有一个统一的标准。后期维护成本比较高。

主要是其他平台在网关数据权限校验方面的需求不够强烈，缺少经验的积累。

本发明的技术创新点：

步骤1：当思必驰开放平台针对某个接口要做数据权限校验时，必须要在网关这登记一下，数据字段如图3所示。

其中config字段就是描述的“多渠道数据权限校验配置”，详情描述如图4所示。

当请求到了网关，uri和method跟登记的接口匹配上，如果配置了“channel”字段，就会根据配置拿到channel,如果channel配置成图2中的示例，就会读取queryString中的channel。如果queryString中带了 channel＝dui。那么网关会调http://mscp-data-verify- v3.odcp.svc.cluster.local:8103/verify这个接口，同时permission的配置是[{"order":"UP","data":[{"from":"query","name":"productId","key":"userGroupCode"}]}]。如果queryString没有带channel或者带的channel不是dui，就会到兜底default的配置，网关会调http://mscp-data-verify- v2.odcp.svc.cluster.local:8103/test/verify，同时permission的配置是 [{"order":"UP","data":[{"from":"query","name":"productId","key":"userGrou pCode"}]}]。网关获取dataVerifyUrl和permission的具体过程是，网关根据config中的“channel”配置获取当前请求的channel。如果“channel”没有配置，或者“dataVerifyUrls”和“permissions”中没有配置对应的渠道，就取default值。

步骤2：当网关拿到dataVerifyUrl和permission后，就会调对应的服务。每个数据权限接入方要实现这个服务。dataVerifyUrl是由接入方提供的，其中permission字段描述如图5所示。

“order”是请求数据校验名称，“from”表示获取参数的地方，可以是query表示从queryString中取，body表示从body中取，header表示从 http header中取，path表示从path中取。“name”表示从发给网关请求中“from”方式获取的key。“key”表示网关给dataVerifyUrl请求 param中的key。permission是个数组，当配了几条数据就是发几次请求，只要其中有任何一和数据权限校验通过就视为数据权限校验通过。 Permission配置的作用主要是为了方便网关取数据，然后拼成请求body 体给dataVerifyUrl对应的服务。

dataVerifyUrl的请求的method是post，网关调用dataVerifyUrl时会在httpheader中添加userId字段，当前登录用户的userId。如果配成图3 这种格式的permission，会调两次permission，body体为 {"order":"UP","param":{"productId":"299971712","skill":"123445"}}和 {"order":"US","param":{"skill":"123445"}}。

dataVerifyUrl的返回格式如下{"code":"0","message":"success"}或者 {"code":"201702","message":"校验不通过，原因：产品不存在"}。

发明人在实现本发明的过程中发现达到更深层次的效果：

本方案结合思必驰开放平台，可以用很少的工作量满足多渠道、不同接入方的数据权限校验，大大减少了数据校验的工作量。同时数据权限校验的结果由接入方提供，基本可以满足所有的需求。

请参考图6，其示出了本发明一实施例提供的一种数据权限校验装置的框图。

如图6所示，接收解析获取模块610、判断模块620、读取判断模块 630和调用模块640。

其中，接收解析获取模块610，配置为响应于所述网关接收到数据请求，解析所述数据请求获取第一字段、第二字段和第三字段；判断模块 620，配置为判断所述第一字段是否与预设接口的配置信息中的第一字段匹配；读取判断模块630，配置为若匹配，读取所述数据请求的第二字段的值，判断所述第二字段的值是否与所述配置信息中的第二字段的值匹配；调用模块640，配置为若匹配，调用所述第三字段中与所述第二字段的值对应的服务。

应当理解，图6中记载的诸模块与参考图1和图2中描述的方法中的各个步骤相对应。由此，上文针对方法描述的操作和特征以及相应的技术效果同样适用于图6中的诸模块，在此不再赘述。

值得注意的是，本申请的实施例中的模块并不用于限制本申请的方案，例如接收解析获取模块模块可以描述响应于所述网关接收到数据请求，解析所述数据请求获取第一字段、第二字段和第三字段的模块，另外，还可以通过硬件处理器来实现相关功能模块，例如接收解析获取模块可以用处理器实现，在此不再赘述。

在另一些实施例中，本发明实施例还提供了一种非易失性计算机存储介质，计算机存储介质存储有计算机可执行指令，该计算机可执行指令可执行上述任意方法实施例中的数据权限校验方法；

作为一种实施方式，本发明的非易失性计算机存储介质存储有计算机可执行指令，计算机可执行指令设置为：

响应于所述网关接收到数据请求，解析所述数据请求获取第一字段、第二字段和第三字段；

判断所述第一字段是否与预设接口的配置信息中的第一字段匹配；

若匹配，读取所述数据请求的第二字段的值，判断所述第二字段的值是否与所述配置信息中的第二字段的值匹配；

若匹配，调用所述第三字段中与所述第二字段的值对应的服务。

非易失性计算机可读存储介质可以包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需要的应用程序；存储数据区可存储根据数据权限校验装置的使用所创建的数据等。此外，非易失性计算机可读存储介质可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他非易失性固态存储器件。在一些实施例中，非易失性计算机可读存储介质可选包括相对于处理器远程设置的存储器，这些远程存储器可以通过网络连接至数据权限校验装置。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

本发明实施例还提供一种计算机程序产品，计算机程序产品包括存储在非易失性计算机可读存储介质上的计算机程序，计算机程序包括程序指令，当程序指令被计算机执行时，使计算机执行上述任一项数据权限校验方法。

图7是本发明实施例提供的电子设备的结构示意图，如图7所示，该设备包括：一个或多个处理器710以及存储器720，图7中以一个处理器710为例。用于数据权限校验方法的设备还可以包括：输入装置730 和输出装置740。处理器710、存储器720、输入装置730和输出装置 740可以通过总线或者其他方式连接，图7中以通过总线连接为例。存储器720为上述的非易失性计算机可读存储介质。处理器710通过运行存储在存储器720中的非易失性软件程序、指令以及模块，从而执行服务器的各种功能应用以及数据处理，即实现上述方法实施例用于数据权限校验装置方法。输入装置730可接收输入的数字或字符信息，以及产生与用于数据权限校验装置的用户设置以及功能控制有关的键信号输入。输出装置740可包括显示屏等显示设备。

上述产品可执行本发明实施例所提供的方法，具备执行方法相应的功能模块和有益效果。未在本实施例中详尽描述的技术细节，可参见本发明实施例所提供的方法。

作为一种实施方式，上述电子设备应用于数据权限校验装置中，包括：

至少一个处理器；以及，与至少一个处理器通信连接的存储器；其中，存储器存储有可被至少一个处理器执行的指令，指令被至少一个处理器执行，以使至少一个处理器能够：

响应于所述网关接收到数据请求，解析所述数据请求获取第一字段、第二字段和第三字段；

判断所述第一字段是否与预设接口的配置信息中的第一字段匹配；

若匹配，读取所述数据请求的第二字段的值，判断所述第二字段的值是否与所述配置信息中的第二字段的值匹配；

若匹配，调用所述第三字段中与所述第二字段的值对应的服务。

本申请实施例的电子设备以多种形式存在，包括但不限于：

(1)移动通信设备：这类设备的特点是具备移动通信功能，并且以提供话音、数据通信为主要目标。这类终端包括:智能手机、多媒体手机、功能性手机，以及低端手机等。

(2)超移动个人计算机设备：这类设备属于个人计算机的范畴，有计算和处理功能，一般也具备移动上网特性。这类终端包括：PDA、MID 和UMPC设备等。

(3)便携式娱乐设备：这类设备可以显示和播放多媒体内容。该类设备包括:音频、视频播放器，掌上游戏机，电子书，以及智能玩具和便携式车载导航设备。

(4)服务器:提供计算服务的设备，服务器的构成包括处理器、硬盘、内存、系统总线等，服务器和通用的计算机架构类似，但是由于需要提供高可靠的服务，因此在处理能力、稳定性、可靠性、安全性、可扩展性、可管理性等方面要求较高。

(5)其他具有数据交互功能的电子装置。

以上所描述的装置实施例仅仅是示意性的，其中作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性的劳动的情况下，即可以理解并实施。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (10)

1.一种数据权限校验方法，用于网关，包括：

响应于所述网关接收到数据请求，解析所述数据请求获取第一字段、第二字段和第三字段；

判断所述第一字段是否与预设接口的配置信息中的第一字段匹配；

若匹配，读取所述数据请求的第二字段的值，判断所述第二字段的值是否与所述配置信息中的第二字段的值匹配；

若匹配，调用所述第三字段中与所述第二字段的值对应的服务。

2.根据权利要求1所述的方法，其中，在所述判断所述第二字段的值是否与所述配置信息中的第二字段的值匹配之后，所述方法还包括：

若所述数据请求中未配置所述第二字段和/或所述数据请求中的第二字段的值与所述配置信息中的第二字段的值不匹配，调用所述配置信息中的第三字段的默认值对应的服务，其中，所述第三字段中至少包括与所述配置信息中的第二字段的值对应的服务以及默认值对应的服务。

3.根据权利要求1所述的方法，其中，在所述判断所述第一字段是否与预设接口的配置信息中的第一字段匹配之后，所述方法还包括：

若所述第一字段与预设接口的配置信息中的第一字段不匹配，则不进行数据权限校验。

4.根据权利要求1-3中任一项所述的方法，其中，所述第三字段包括子字段一和子字段二，其中，所述子字段一由接入方提供，所述子字段二为数组。

5.根据权利要求4所述的方法，其中，所述方法还包括：

从所述子字段二中取数据给所述子字段一中对应的服务进行数据权限校验，其中，所述子字段二包括一组或多组数据；

若所述子字段二中包括多组数据，则多次调用所述子字段一中对应的服务进行数据权限校验；

响应于所述子字段一中对应的服务的返回结果确定所述数据请求是否校验通过，其中，所述多组数据中任一组数据校验通过均确认所述数据请求校验通过，所述多组数据中每一组数据均校验不通过则确认所述数据请求校验不通过。

6.根据权利要求5所述的方法，其中，所述子字段二中包括以下字段：请求数据校验名称、获取参数的地方、从所述数据请求中通过所述获取参数的地方获取的值以及所述网关给所述子字段一的请求参数中的值。

7.根据权利要求1-6中任一项所述的方法，其中，所述第一字段包括所述预设接口的统一资源标识符和所述预设接口的方法，所述第二字段包括渠道。

8.一种数据权限校验装置，用于网关，包括：

接收解析获取模块，配置为响应于所述网关接收到数据请求，解析所述数据请求获取第一字段、第二字段和第三字段；

判断模块，配置为判断所述第一字段是否与预设接口的配置信息中的第一字段匹配；

读取判断模块，配置为若匹配，读取所述数据请求的第二字段的值，判断所述第二字段的值是否与所述配置信息中的第二字段的值匹配；

调用模块，配置为若匹配，调用所述第三字段中与所述第二字段的值对应的服务。

9.一种计算机程序产品，所述计算机程序产品包括存储在非易失性计算机可读存储介质上的计算机程序，所述计算机程序包括程序指令，当所述程序指令被计算机执行时，使所述计算机执行权利要求1至7中任一项所述方法的步骤。

10.一种电子设备，其包括：至少一个处理器，以及与所述至少一个处理器通信连接的存储器，其中，所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求1至7中任一项所述方法的步骤。

Images