CN112069541B - 权限管理、查询方法和装置 - Google Patents

Abstract

本申请涉及图像领域，公开了权限管理、查询方法和装置：通过基于资源与资源之间的关系，生成包括多个资源节点的资源关系图，然后通过RBAC模型记录资源关系图中每个资源节点对应的直接权限关系，最后基于资源关系图中每个资源节点对应的直接权限关系和每个资源节点对应的权限传递方式，管理资源关系图中每个资源节点包括的权限关系，不仅能够实现管理某一类型资源的权限关系，还能实现管理每一个具体资源的权限关系，不需要记录每一个具体资源的权限关系，避免了权限关系组过于庞大的问题，节省存储资源，提高了权限关系管理效率。

Description

权限管理、查询方法和装置

技术领域

本申请涉及计算机技术领域，具体涉及图像领域，尤其涉及一种权限管理、查询方法和装置。

背景技术

在智能办公系统中，存在着各种各样的公司资源，例如文件、项目、会议等等，这些资源通常只允许拥有权限的用户访问。这些资源的数量通常很大，例如，文件系统中可能存储有上百亿的文件，每个文件可能允许上万的用户访问，而且不同的用户还需要频繁的新建和删除文件。

传统的权限模型主要是基于RBAC模型(Role Based Access Control)实现，通过定义<用户、角色、操作>之间的三元关系来控制权限访问。这个RBAC模型可以解决某一类型的资源的权限控制问题，但由于RBAC模型里没有加入具体的资源上下文，因此对于某一类型的资源中包括的具体某个资源的访问控制很难实现，例如，同样是文件，精细化的权限控制需要保证用户U对文件A有访问权限，但对文件B没有访问权限，若使用传统的RBAC模型定义这类权限会导致权限关系组过于庞大，系统存储压力大。

发明内容

本申请实施例提供了一种权限管理、查询方法、装置、设备以及存储介质。

第一方面，本申请实施例提供了一种权限管理方法，该方法包括：基于资源与资源之间的关系，生成包括多个资源节点的资源关系图；通过RBAC模型记录资源关系图中每个资源节点对应的直接权限关系；基于资源关系图中每个资源节点对应的直接权限关系和每个资源节点对应的权限传递方式，管理资源关系图中每个资源节点包括的权限关系。

在一些实施例中，该方法还包括：确定资源关系图中的每个资源节点对应的权限传递方式。

在一些实施例中，确定资源关系图中的每个资源节点对应的权限传递方式，包括：获取资源关系图中每个资源节点对应的属性信息；基于每个资源节点的属性信息，确定每个资源节点对应的权限传递方式。

第二方面，本申请实施例提供了一种权限查询方法，该方法包括：响应于接收到对当前资源包括的权限关系的查询请求，在资源关系图中查找当前资源节点对应的资源父节点；基于资源父节点对应的权限传递方式和资源父节点包括的权限关系，确定资源父节点传递给当前资源节点的传递权限关系；通过RBAC模型获取当前资源节点对应的直接权限关系，并基于当前资源节点对应的直接权限关系和当前资源节点的传递权限关系，查询到当前资源节点包括的权限关系。

在一些实施例中，资源父节点包括多个资源父节点；以及基于资源父节点对应的权限传递方式和资源父节点包括的权限关系，确定资源父节点传递给当前资源节点的传递权限关系，包括：查询每个资源父节点包括的权限关系；基于每个资源父节点对应的权限传递方式和每个资源父节点包括的权限关系，确定当前资源节点的传递权限关系。

在一些实施例中，基于每个资源父节点对应的权限传递方式和每个资源父节点包括的权限关系，确定当前资源节点的传递权限关系，包括：基于每个资源父节点对应的权限传递方式和每个资源父节点包括的权限关系，获取每个资源父节点传递的权限关系；基于权限合并策略和每个资源父节点传递的权限关系，确定当前资源节点的传递权限关系。

第三方面，本申请实施例提供了一种权限管理装置，该装置包括：生成模块，被配置成基于资源与资源之间的关系，生成包括多个资源节点的资源关系图；记录模块，被配置成通过RBAC模型记录资源关系图中每个资源节点对应的直接权限关系；管理模块，被配置成基于资源关系图中每个资源节点对应的直接权限关系和每个资源节点对应的权限传递方式，管理资源关系图中每个资源节点包括的权限关系。

在一些实施例中，确定模块，被配置成：确定资源关系图中的每个资源节点对应的权限传递方式。

在一些实施例中，确定模块，进一步被配置成：获取资源关系图中每个资源节点对应的属性信息；基于每个资源节点的属性信息，确定每个资源节点对应的权限传递方式。

第四方面，本申请实施例提供了一种权限查询装置，该装置包括：查找模块，被配置成响应于接收到对当前资源包括的权限关系的查询请求，在资源关系图中查找当前资源节点对应的资源父节点；确定模块，被配置成基于资源父节点对应的权限传递方式和资源父节点包括的权限关系，确定资源父节点传递给当前资源节点的传递权限关系；查询模块，被配置成通过RBAC模型获取资源节点对应的直接权限关系，并基于当前资源节点对应的直接权限关系和当前资源节点的传递权限关系，查询到当前资源节点包括的权限关系。

在一些实施例中，资源父节点包括多个资源父节点；以及确定模块，包括：查询单元，被配置成查询每个资源父节点包括的权限关系；确定单元，被配置成基于每个资源父节点对应的权限传递方式和每个资源父节点包括的权限关系，确定当前资源节点的传递权限关系。

在一些实施例中，确定单元，进一步被配置成：基于每个资源父节点对应的权限传递方式和每个资源父节点包括的权限关系，获取每个资源父节点传递的权限关系；基于权限合并策略和每个资源父节点传递的权限关系，确定当前资源节点的传递权限关系。

第五方面，本申请实施例提供了一种电子设备，该电子设备包括一个或多个处理器；存储装置，其上存储有一个或多个程序，当一个或多个程序被该一个或多个处理器执行，使得一个或多个处理器实现如第一方面或第二方面的任一实施例的方法。

第六方面，本申请实施例提供了一种计算机可读介质，其上存储有计算机程序，该程序被处理器执行时实现如第一方面或第二方面的任一实施例的方法。

本申请通过基于资源与资源之间的关系，生成包括多个资源节点的资源关系图，然后通过RBAC模型记录资源关系图中每个资源节点对应的直接权限关系，最后基于资源关系图中每个资源节点对应的直接权限关系和每个资源节点对应的权限传递方式，管理资源关系图中每个资源节点包括的权限关系，不仅能够实现管理某一类型资源的权限关系，还能实现管理每一个具体资源的权限关系，不需要记录每一个具体资源的权限关系，避免了权限关系组过于庞大的问题，节省存储资源，提高了权限关系管理效率。

应当理解，本部分所描述的内容并非旨在标识本公开的实施例的关键或重要特征，也不用于限制本公开的范围。本公开的其他特征将通过以下的说明书而变得容易理解。

附图说明

附图用于更好地理解本方案，不构成对本申请的限定。其中：

图1是本申请可以应用于其中的示例性系统架构图；

图2是根据本申请的权限管理方法的一个实施例的流程图；

图3是根据本申请的权限管理方法的一个应用场景的示意图；

图4是根据本申请的权限管理方法的另一个实施例的流程图；

图5是根据本申请的权限查询方法的一个实施例的流程图；

图6是根据本申请的确定资源节点的传递权限关系的一个实施例的流程图；

图7是根据本申请的权限管理装置的一个实施例的示意图；

图8是根据本申请的权限查询装置的一个实施例的示意图；

图9是适于用来实现本申请实施例的服务器的计算机系统的结构示意图。

具体实施方式

以下结合附图对本申请的示范性实施例做出说明，其中包括本申请实施例的各种细节以助于理解，应当将它们认为仅仅是示范性的。因此，本领域普通技术人员应当认识到，可以对这里描述的实施例做出各种改变和修改，而不会背离本申请的范围和精神。同样，为了清楚和简明，以下的描述中省略了对公知功能和结构的描述。

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本申请。

图1示出了可以应用本申请的权限管理方法、权限查询方法的实施例的示例性系统架构100。

如图1所示，系统架构100可以包括终端设备104、105，网络106，服务器101、102、103。网络106用以在终端设备104、105与服务器101、102、103之间提供通信链路的介质。网络106可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。

用户可以通过终端设备104、105通过网络106与服务器101、102、103交互，以接收或发送信息等。终端设备104、105上可以安装有各种应用，例如数据处理应用、即时通信工具、社交平台软件、搜索类应用、购物类应用等。

终端设备104、105可以是硬件，也可以是软件。当终端设备为硬件时，可以是具有显示屏并且支持与服务器通信的各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等等。当终端设备为软件时，可以安装在上述所列举的电子设备中。其可以实现成多个软件或软件模块，也可以实现成单个软件或软件模块。在此不做具体限定。

终端设备104、105可以接收用户对某个资源，如文件的权限关系查询请求，然后终端设备104、105可以将该查询请求通过网络106发送给服务器101、102、103，并接收到服务器101、102、103基于该查询请求返回的权限关系，以使用户了解该用户具备的对当前资源的权限关系。

服务器101、102、103可以是提供各种服务的服务器，例如对与其建立通信连接的终端设备发送的请求进行接收的后台服务器。后台服务器可以根据终端设备发送的请求进行接收、查询和分析等处理，并生成处理结果。

服务器101、102、103可以对存储的各类资源进行资源管理，根据资源之间的关系生成资源关系图，对资源的关联存储来实现资源管理。并且能够利用RBAC模型记录每个具体资源的<用户、角色、权限>关系，但只记录每个具体资源的直接权限关系，不记录间接权限关系。然后根据资源关系图中每个资源之间的关系设定每个资源的权限传递方式，可以包括完全传递、完全不传递、部分传递、衰减传递等。服务器101、102、103可以根据每个资源在资源关系图中的位置确定出对应的资源父节点，并进一步确定出资源父节点能够传递给当前资源的传递权限关系，从而可以根据资源父节点能够传递给当前资源的传递权限关系和当前资源的直接权限关系，确定当前资源包括的权限关系，能够实现对每个资源的权限关系的管理。以及，在对某个资源的权限关系进行查询时，则可以基于这个资源的资源父节点获取这个资源的传递权限关系，然后根据这个资源的传递权限关系和直接权限关系，确定出这个资源包括的权限关系，实现了对具体资源的权限关系的查询。

需要说明的是，服务器可以是硬件，也可以是软件。当服务器为硬件时，可以是为终端设备提供各种服务的各种电子设备。当服务器为软件时，可以实现成为为终端设备提供各种服务的多个软件或软件模块，也可以实现成为为终端设备提供各种服务的单个软件或软件模块。在此不做具体限定。

需要说明的是，本公开的实施例所提供的权限管理方法、权限查询方法可以由服务器101、102、103执行。相应地，权限管理装置、权限查询装置可以设置于服务器101、102、103中。

应该理解，图1中的终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。

参考图2，图2示出了可以应用于本申请的权限管理方法的实施例的流程示意图200。该权限管理方法包括以下步骤：

步骤210，基于资源与资源之间的关系，生成包括多个资源节点的资源关系图。

在本实施例中，执行主体(例如图1中的服务器101、102、103)可以在本地读取或通过向终端获取到大量的资源，例如项目数据、文件数据、会议数据等等。然后上述执行主体可以根据获取到的资源，分析各个资源之间的关系，确定出各个资源之间的关系，各个资源之间的关系可以包括父子关系、从属关系、包含关系、并列关系等等，例如，文件系统中目录和子目录之间属于父子关系、目录和文件之间属于从属关系、项目和项目文件之间属于包含关系、项目A和项目B之间属于并列关系等等。最后上述执行主体将每个资源作为资源节点，资源与资源之间的关系作为资源节点与资源节点之间的边，生成资源关系图，该资源关系图中包括多个资源节点和各个资源节点之间的关系，以及各个资源节点之间的关系通常是单向的，不能组成环，从而该资源关系图是一张有向无环图DAG。

步骤220，通过RBAC模型记录资源关系图中每个资源节点对应的直接权限关系。

在本实施例中，RBAC模型通常通过定义某一类资源的<用户、角色、操作>之间的三元关系来记录这类资源的权限关系，而上述执行主体得到资源关系图后，可以通过RBAC模型记录资源关系图中每个资源节点的<用户、角色、操作>之间的三元关系，不是记录某类资源的三元关系，并且上述执行主体通过RBAC模型记录每个资源节点的直接权限关系，不记录间接权限关系，该直接权限关系是系统或者管理员主动在这个资源上给用户配置的权限关系，例如，系统或者管理员给用户设置了某个目录的读权限，RBAC模型记录用户对这个目录的读权限，但是不记录用户对这个目录下的子文件的读权限。

步骤230，基于资源关系图中每个资源节点对应的直接权限关系和每个资源节点对应的权限传递方式，管理资源关系图中每个资源节点包括的权限关系。

在本实施例中，上述执行主体通过RBAC模型记录了资源关系图中每个资源节点对应的直接权限关系，以及资源关系图中每个资源节点设置有对应的权限传递方式，该权限传递方式用于基于资源节点与资源节点之间的关系，将上一个节点的权限关系传递给下一个节点，该权限传递方式可以包括完全传递、完全不传递、部分传递、衰减传递等传递方式，本申请不做具体限定。上述执行主体可以根据资源关系图中每个资源节点的直接权限关系和每个资源节点的权限传递方式，对这些资源的权限关系进行管理，实现了管理资源关系图中每个资源节点包括的权限关系。

继续参见图3，图3是根据本实施例的权限管理方法的应用场景的一个示意图。

在图3的应用场景中，服务器301获取到的资源包括项目P，项目P中包括目录D1，目录D1包括文件F1和文件F2，服务器301确定出项目P与目录D1之间属于包含关系，目录D1与文件F1之间属于从属关系，目录D1与文件F2之间属于从属关系，文件F1与文件F2之间属于并列关系。服务器301将项目P、目录D1、文件F1和文件F2分别作为节点，项目P与目录D1之间的包含关系，目录D1与文件F1之间的从属关系，目录D1与文件F2之间的从属关系，文件F1与文件F2之间的并列关系作为边，生成资源关系图。然后服务器301通过RBAC模型记录用户U对资源节点的直接权限关系，即记录用户U对项目P的读权限和写权限，并记录用户U对文件F1的写权限。服务器301根据资源的属性信息确定出每个资源的权限传递方式，即项目P对目录D1的权限传递方式是完全传递，目录D1对文件F1和文件F2的权限传递方式是完全传递，文件F1和文件F2之间不存在权限传递方式。最后服务器301能够根据资源关系图、每个资源节点的直接权限关系和每个资源的权限传递方式，管理项目P中每个资源的权限关系。

本公开的实施例提供的权限管理方法，通过基于资源与资源之间的关系，生成包括多个资源节点的资源关系图，然后通过RBAC模型记录资源关系图中每个资源节点对应的直接权限关系，最后基于资源关系图中每个资源节点对应的直接权限关系和每个资源节点对应的权限传递方式，管理资源关系图中每个资源节点包括的权限关系，不仅能够实现管理某一类型资源的权限关系，还能实现管理每一个具体资源的权限关系，不需要记录每一个具体资源的权限关系，避免了权限关系组过于庞大的问题，节省存储资源，提高了权限关系管理效率。

进一步参考图4，其示出了权限管理方法的另一个实施例的流程400。本实施例的权限管理方法的流程400，可以包括以下步骤：

步骤410，基于资源与资源之间的关系，生成包括多个资源节点的资源关系图。

在本步骤中，步骤410的实现细节和技术效果，可以参考对步骤210的描述，在此不再赘述。

步骤420，通过RBAC模型记录资源关系图中每个资源节点对应的直接权限关系。

在本步骤中，步骤420的实现细节和技术效果，可以参考对步骤220的描述，在此不再赘述。

步骤430，确定资源关系图中的每个资源节点对应的权限传递方式。

在本步骤中，上述执行主体在得到资源关系图，且对每个资源节点的直接权限关系进行记录后，可以确定每个资源节点的权限传递方式，以确定能够传递给下一个资源节点的权限关系。

作为一个可选实现方式，上述执行主体可以基于以下步骤实现步骤430，确定资源关系图中的每个资源节点对应的权限传递方式：

第一步，获取资源关系图中每个资源节点对应的属性信息。

在本步骤中，上述执行主体可以针对资源关系图中的每个资源节点，对每个资源节点的内容进行分析，确定出每个资源节点对应的属性信息，该属性信息仅与资源相关，与具体用户无关，该属性信息可以包括以下至少一项：资源类型、直接权限关系的类型、资源对应的业务逻辑等等。

第二步，基于每个资源节点的属性信息，确定每个资源节点对应的权限传递方式。

在本步骤中，上述执行主体获取到资源关系图中每个资源节点的属性信息后，根据得到的属性信息确定出每个资源节点对应的权限传递方式。作为示例，上述执行主体获取到当前资源节点为目录资源，则确定当前资源节点的权限传递方式为完全传递，即子目录资源可以完全继承父目录资源的权限。

在本实现方式中，每个资源节点的权限传递方式能够依据资源的属性信息确定，保证了每个资源节点的权限传递方式与资源的属性信息相关，从而提高了每个资源节点的权限传递方式的准确性。

步骤440，基于资源关系图中每个资源节点对应的直接权限关系和每个资源节点对应的权限传递方式，管理资源关系图中每个资源节点包括的权限关系。

在本步骤中，步骤440的实现细节和技术效果，可以参考对步骤230的描述，在此不再赘述。

从图4中可以看出，本实施例中权限管理方法的流程400体现了确定每个资源节点的权限传递方式，保证了每个资源节点的权限传递方式与资源的属性信息的相关性，不仅提高了每个资源节点的权限传递方式的准确性，还节省了存储资源，提高了权限关系管理效率。

参考图5，图5示出了可以应用于本申请的权限查询方法的实施例的流程示意图500。该权限查询方法包括以下步骤：

步骤510，响应于接收到对当前资源包括的权限关系的查询请求，在资源关系图中查找当前资源节点对应的资源父节点。

在本步骤中，用户可以通过终端发起对当前资源包括的权限关系的查询请求，终端可以将该查询请求发送给上述执行主体。上述执行主体接收到对当前资源包括的权限关系的查询请求后，在资源关系图中进行查找，确定出当前资源所在的当前资源节点。然后上述执行主体在资源关系图中根据资源节点与资源节点之间的关系，对当前资源节点的资源父节点进行查找，确定出当前资源节点的资源父节点。

步骤520，基于资源父节点对应的权限传递方式和资源父节点包括的权限关系，确定资源父节点传递给当前资源节点的传递权限关系。

在本步骤中，上述执行主体查找到资源父节点对应的权限传递方式后，可以进一步获取该资源父节点包括的权限关系，其中，该资源父节点包括的权限关系可以包括该资源父节点的直接权限关系和该资源父节点的资源父节点传递的权限关系，也可以只包括该资源父节点的直接权限关系。

上述执行主体可以确定出该资源父节点的资源父节点，并确定出其传递给该资源父节点的权限关系。然后上述执行主体还可以通过RBAC模型获取到该资源父节点的直接权限关系，然后将传递给该资源父节点的权限关系和该资源父节点的直接权限关系作为该资源父节点包括的权限关系。最后上述执行主体根据该资源父节点包括的权限关系和对应的权限传递方式，确定资源父节点传递给当前资源节点的传递权限关系。

或者，上述执行主体可以通过RBAC模型获取到该资源父节点的直接权限关系，然后根据该资源父节点的直接权限关系和对应的权限传递方式，确定资源父节点传递给当前资源节点的传递权限关系。

步骤530，通过RBAC模型获取当前资源节点对应的直接权限关系，并基于当前资源节点对应的直接权限关系和当前资源节点的传递权限关系，查询到当前资源节点包括的权限关系。

在本步骤中，上述执行主体在得到资源父节点传递给当前资源节点的传递权限关系后，可以通过RBAC模型获取到当前资源节点对应的直接权限关系。上述执行主体可以对当前资源节点的传递权限关系和直接权限关系进行分析，判断当前资源节点的传递权限关系和直接权限关系之间是否存在重复的权限关系，若不存在重复的权限关系，则上述执行主体可以将当前资源节点的传递权限关系和直接权限关系的并集作为当前资源节点包括的权限关系。若存在重复的权限关系，则上述执行主体可以将当前资源节点的传递权限关系和直接权限关系的合集作为当前资源节点包括的权限关系。

本公开的实施例提供的权限查询方法，通过响应于接收到对当前资源包括的权限关系的查询请求，在资源关系图中查找当前资源节点对应的资源父节点，然后基于资源父节点对应的权限传递方式和资源父节点包括的权限关系，确定资源父节点传递给当前资源节点的传递权限关系，最后通过RBAC模型获取当前资源节点对应的直接权限关系，并基于当前资源节点对应的直接权限关系和当前资源节点的传递权限关系，查询到当前资源节点包括的权限关系，能够利用资源关系表查找到各个资源节点之间的权限传递关系，能够在大量的资源节点中快速查询当前资源节点的权限关系，且各个资源节点的权限关系不需要单独进行存储，仅需要获取到对应资源节点的直接权限关系以及通过查询资源关系图中的权限传递方式，即可查询到具体资源的权限关系，节省了存储资源，提高了权限关系查询效率。

进一步参考图6，其示出了确定当前资源节点的传递权限关系的一个实施例的流程600。该流程600，可以包括以下步骤：

步骤610，查询每个资源父节点包括的权限关系。

在本步骤中，上述执行主体在资源关系图中查找出当前资源的资源父节点，确定出资源父节点有多个，且多个资源父节点之间存在遗传父子关系，如确定出资源父节点包括资源父节点A、资源父节点B、资源父节点C，且资源父节点A是当前资源节点的资源父节点，资源父节点B是资源父节点A的资源父节点，资源父节点C是资源父节点B的资源父节点。上述执行主体可以通过RBAC模型获取到每个资源父节点的直接权限关系。

步骤620，基于每个资源父节点对应的权限传递方式和每个资源父节点包括的权限关系，确定当前资源节点的传递权限关系。

在本步骤中，上述执行主体在确定出资源父节点有多个后，可以根据每个资源父节点对应的权限传递方式和每个资源父节点包括的权限关系，确定出当前资源节点的传递权限关系。

具体地，上述执行主体可以先查询第一层资源父节点包括的权限关系，第一层资源父节点不存在资源父节点，则不存在传递权限关系，通过RBAC模型获取第一层资源父节点的直接权限关系，然后确定第一层资源父节点的权限传递方式，根据第一层资源父节点的直接权限关系和权限传递方式，确定出第一层资源父节点传递给第二层资源父节点的传递权限关系。然后上述执行主体可以确定出第二层资源父节点的传递权限关系，并通过RBAC模型获取第二层资源父节点的直接权限关系，将第二层资源父节点的传递权限关系和直接权限关系作为第二层资源父节点包括的权限关系，根据第二层资源父节点包括的权限关系和权限传递方式，确定出第二层资源父节点传递给第三层资源父节点的传递权限关系，直至确定出当前资源节点的资源父节点传递给当前资源节点的传递权限关系。

在本实现方式中，通过递归查询多个资源父节点的权限关系，能够快速确定出当前资源节点的传递权限关系，保证了当前资源节点的传递权限关系的准确性，从而提高了查询当前资源节点的权限关系的准确性和效率。

作为一个可选实现方式，上述执行主体可以基于以下步骤实现步骤620，基于每个资源父节点对应的权限传递方式和每个资源父节点包括的权限关系，确定当前资源节点的传递权限关系：

第一步，基于每个资源父节点对应的权限传递方式和每个资源父节点包括的权限关系，获取每个资源父节点传递的权限关系。

在本步骤中，上述执行主体可以确定出每个资源父节点对应的权限传递方式，并通过查询确定出每个资源父节点包括的权限关系，从而根据每个资源父节点对应的权限传递方式和每个资源父节点包括的权限关系，确定出每个资源父节点传递的权限关系。

第二步，基于权限合并策略和每个资源父节点传递的权限关系，确定当前资源节点的传递权限关系。

在本步骤中，上述执行主体可以分别确定出每一层资源父节点传递给下一层资源父节点的传递权限关系，然后可以对每一层资源父节点得到的传递权限关系和每一层资源父节点的直接权限关系进行分析，利用权限合并策略进行权限合并，该权限合并策略用于对存在冲突或存在包含关系的权限关系进行合并，该权限合并策略可以包括取最大、取最小、取交集、取并集等，具体的合并策略可以根据业务来定，本申请不做具体限定。然后上述执行主体可以将合并后得到权限关系作为当前资源节点的传递权限关系。

具体地，上述执行主体可以先根据第一层资源父节点的直接权限关系和权限传递方式，确定出第一层资源父节点传递给第二层资源父节点的传递权限关系。然后上述执行主体可以对第二层资源父节点的传递权限关系和第二层资源父节点的直接权限关系进行分析，利用权限合并策略，将第二层资源父节点的传递权限关系和直接权限关系合并后的权限关系作为第二层资源父节点包括的权限关系，之后根据第二层资源父节点包括的权限关系和权限传递方式，确定出第二层资源父节点传递给第三层资源父节点的传递权限关系，直至确定出当前资源节点的资源父节点的传递权限关系，对当前资源节点的资源父节点的传递权限关系和当前资源节点的资源父节点的直接权限关系进行分析，利用权限合并策略，将当前资源节点的资源父节点的传递权限关系和直接权限关系合并后的权限关系作为当前资源节点的资源父节点包括的权限关系，并根据当前资源节点的资源父节点包括的权限关系和权限传递方式，确定出传递给当前资源节点的传递权限关系。

在本实现方式中，通过对每一层资源节点的权限关系进行合并，保证了得到的权限关系之间不存在冲突或包含等问题，提高了当前资源节点的传递权限关系的准确性，从而提高了当前资源节点的权限关系的准确性。

进一步参考图7，作为对上述各图所示方法的实现，本申请提供了一种权限管理装置的一个实施例，该装置实施例与图2所示的方法实施例相对应，该装置具体可以应用于各种电子设备中。

如图7所示，本实施例的权限管理装置700包括：生成模块710、记录模块720、管理模块730。

其中，生成模块710，被配置成基于资源与资源之间的关系，生成包括多个资源节点的资源关系图；

记录模块720，被配置成通过RBAC模型记录所述资源关系图中每个资源节点对应的直接权限关系；

管理模块730，被配置成基于所述资源关系图中每个资源节点对应的直接权限关系和每个资源节点对应的权限传递方式，管理所述资源关系图中每个资源节点包括的权限关系。

在本实施例的一些可选的方式中，该装置还包括：确定模块，被配置成：确定所述资源关系图中的每个资源节点对应的权限传递方式。

在本实施例的一些可选的方式中，确定模块，进一步被配置成：获取所述资源关系图中每个资源节点对应的属性信息；基于每个资源节点的属性信息，确定每个资源节点对应的权限传递方式。

本公开的实施例提供的权限管理装置，通过基于资源与资源之间的关系，生成包括多个资源节点的资源关系图，然后通过RBAC模型记录资源关系图中每个资源节点对应的直接权限关系，最后基于资源关系图中每个资源节点对应的直接权限关系和每个资源节点对应的权限传递方式，管理资源关系图中每个资源节点包括的权限关系，不仅能够实现管理某一类型资源的权限关系，还能实现管理每一个具体资源的权限关系，不需要记录每一个具体资源的权限关系，避免了权限关系组过于庞大的问题，节省存储资源，提高了权限关系管理效率。

进一步参考图8，作为对上述各图所示方法的实现，本申请提供了一种权限查询装置的一个实施例，该装置实施例与图5所示的方法实施例相对应，该装置具体可以应用于各种电子设备中。

如图8所示，本实施例的权限查询装置800包括：查找模块810、确定模块820、查询模块830。

其中，查找模块810，被配置成响应于接收到对当前资源包括的权限关系的查询请求，在资源关系图中查找当前资源节点对应的资源父节点；

确定模块820，被配置成基于所述资源父节点对应的权限传递方式和所述资源父节点包括的权限关系，确定所述资源父节点传递给所述当前资源节点的传递权限关系；

查询模块830，被配置成通过RBAC模型获取所述当前资源节点对应的直接权限关系，并基于所述当前资源节点对应的直接权限关系和所述当前资源节点的传递权限关系，查询到所述当前资源节点包括的权限关系。

在本实施例的一些可选的方式中，资源父节点包括多个资源父节点；以及所述确定模块，包括：查询单元，被配置成查询每个资源父节点包括的权限关系；确定单元，被配置成基于每个资源父节点对应的权限传递方式和每个资源父节点包括的权限关系，确定所述当前资源节点的传递权限关系。

在本实施例的一些可选的方式中，确定单元，进一步被配置成：基于每个资源父节点对应的权限传递方式和每个资源父节点包括的权限关系，获取每个资源父节点传递的权限关系；基于权限合并策略和每个资源父节点传递的权限关系，确定所述当前资源节点的传递权限关系。

本公开的实施例提供的权限查询装置，通过响应于接收到对当前资源包括的权限关系的查询请求，在资源关系图中查找当前资源节点对应的资源父节点，然后基于资源父节点对应的权限传递方式和资源父节点包括的权限关系，确定资源父节点传递给当前资源节点的传递权限关系，最后通过RBAC模型获取当前资源节点对应的直接权限关系，并基于当前资源节点对应的直接权限关系和当前资源节点的传递权限关系，查询到当前资源节点包括的权限关系，能够利用资源关系表查找到各个资源节点之间的权限传递关系，能够在大量的资源节点中快速查询当前资源节点的权限关系，且各个资源节点的权限关系不需要单独进行存储，仅需要获取到对应资源节点的直接权限关系以及通过查询资源关系图中的权限传递方式，即可查询到具体资源的权限关系，节省了存储资源，提高了权限关系查询效率。

根据本申请的实施例，本申请还提供了一种电子设备和一种可读存储介质。

如图9所示，是根据本申请实施例的权限管理方法、权限查询方法的电子设备的框图。电子设备旨在表示各种形式的数字计算机，诸如，膝上型计算机、台式计算机、工作台、个人数字助理、服务器、刀片式服务器、大型计算机、和其它适合的计算机。电子设备还可以表示各种形式的移动装置，诸如，个人数字处理、蜂窝电话、智能电话、可穿戴设备和其它类似的计算装置。本文所示的部件、它们的连接和关系、以及它们的功能仅仅作为示例，并且不意在限制本文中描述的和/或者要求的本申请的实现。

如图9所示，该电子设备包括：一个或多个处理器901、存储器902，以及用于连接各部件的接口，包括高速接口和低速接口。各个部件利用不同的总线互相连接，并且可以被安装在公共主板上或者根据需要以其它方式安装。处理器可以对在电子设备内执行的指令进行处理，包括存储在存储器中或者存储器上以在外部输入/输出装置(诸如，耦合至接口的显示设备)上显示GUI的图形信息的指令。在其它实施方式中，若需要，可以将多个处理器和/或多条总线与多个存储器和多个存储器一起使用。同样，可以连接多个电子设备，各个设备提供部分必要的操作(例如，作为服务器阵列、一组刀片式服务器、或者多处理器系统)。图9中以一个处理器901为例。

存储器902即为本申请所提供的非瞬时计算机可读存储介质。其中，所述存储器存储有可由至少一个处理器执行的指令，以使所述至少一个处理器执行本申请所提供的数据推送方法。本申请的非瞬时计算机可读存储介质存储计算机指令，该计算机指令用于使计算机执行本申请所提供的权限管理方法、权限查询方法。

存储器902作为一种非瞬时计算机可读存储介质，可用于存储非瞬时软件程序、非瞬时计算机可执行程序以及模块，如本申请实施例中的权限管理方法、权限查询方法对应的程序指令/模块(例如附图7所示的生成模块710、记录模块720和管理模块730，或者附图8所示的查找模块810、确定模块820和查询模块830)。处理器901通过运行存储在存储器902中的非瞬时软件程序、指令以及模块，从而执行服务器的各种功能应用以及数据处理，即实现上述方法实施例中的权限管理方法、权限查询方法。

存储器902可以包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需要的应用程序；存储数据区可存储根据数据推送的电子设备的使用所创建的数据等。此外，存储器902可以包括高速随机存取存储器，还可以包括非瞬时存储器，例如至少一个磁盘存储器件、闪存器件、或其他非瞬时固态存储器件。在一些实施例中，存储器902可选包括相对于处理器901远程设置的存储器，这些远程存储器可以通过网络连接至数据推送的电子设备。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

数据推送方法的电子设备还可以包括：输入装置903和输出装置904。处理器901、存储器902、输入装置903和输出装置904可以通过总线或者其他方式连接，图9中以通过总线连接为例。

输入装置903可接收输入的数字或字符信息，以及产生与查询权限的电子设备的用户设置以及功能控制有关的键信号输入，例如触摸屏、小键盘、鼠标、轨迹板、触摸板、指示杆、一个或者多个鼠标按钮、轨迹球、操纵杆等输入装置。输出装置904可以包括显示设备、辅助照明装置(例如，LED)和触觉反馈装置(例如，振动电机)等。该显示设备可以包括但不限于，液晶显示器(LCD)、发光二极管(LED)显示器和等离子体显示器。在一些实施方式中，显示设备可以是触摸屏。

此处描述的系统和技术的各种实施方式可以在数字电子电路系统、集成电路系统、专用ASIC(专用集成电路)、计算机硬件、固件、软件、和/或它们的组合中实现。这些各种实施方式可以包括：实施在一个或者多个计算机程序中，该一个或者多个计算机程序可在包括至少一个可编程处理器的可编程系统上执行和/或解释，该可编程处理器可以是专用或者通用可编程处理器，可以从存储系统、至少一个输入装置、和至少一个输出装置接收数据和指令，并且将数据和指令传输至该存储系统、该至少一个输入装置、和该至少一个输出装置。

这些计算程序(也称作程序、软件、软件应用、或者代码)包括可编程处理器的机器指令，并且可以利用高级过程和/或面向对象的编程语言、和/或汇编/机器语言来实施这些计算程序。如本文使用的，术语“机器可读介质”和“计算机可读介质”指的是用于将机器指令和/或数据提供给可编程处理器的任何计算机程序产品、设备、和/或装置(例如，磁盘、光盘、存储器、可编程逻辑装置(PLD))，包括，接收作为机器可读信号的机器指令的机器可读介质。术语“机器可读信号”指的是用于将机器指令和/或数据提供给可编程处理器的任何信号。

为了提供与用户的交互，可以在计算机上实施此处描述的系统和技术，该计算机具有：用于向用户显示信息的显示装置(例如，CRT(阴极射线管)或者LCD(液晶显示器)监视器)；以及键盘和指向装置(例如，鼠标或者轨迹球)，用户可以通过该键盘和该指向装置来将输入提供给计算机。其它种类的装置还可以用于提供与用户的交互；例如，提供给用户的反馈可以是任何形式的传感反馈(例如，视觉反馈、听觉反馈、或者触觉反馈)；并且可以用任何形式(包括声输入、语音输入或者、触觉输入)来接收来自用户的输入。

可以将此处描述的系统和技术实施在包括后台部件的计算系统(例如，作为数据服务器)、或者包括中间件部件的计算系统(例如，应用服务器)、或者包括前端部件的计算系统(例如，具有图形用户界面或者网络浏览器的用户计算机，用户可以通过该图形用户界面或者该网络浏览器来与此处描述的系统和技术的实施方式交互)、或者包括这种后台部件、中间件部件、或者前端部件的任何组合的计算系统中。可以通过任何形式或者介质的数字数据通信(例如，通信网络)来将系统的部件相互连接。通信网络的示例包括：局域网(LAN)、广域网(WAN)和互联网。

计算机系统可以包括客户端和服务器。客户端和服务器一般远离彼此并且通常通过通信网络进行交互。通过在相应的计算机上运行并且彼此具有客户端-服务器关系的计算机程序来产生客户端和服务器的关系。

根据本申请实施例的技术方案，通过基于资源与资源之间的关系，生成包括多个资源节点的资源关系图，然后通过RBAC模型记录资源关系图中每个资源节点对应的直接权限关系，最后基于资源关系图中每个资源节点对应的直接权限关系和每个资源节点对应的权限传递方式，管理资源关系图中每个资源节点包括的权限关系，不仅能够实现管理某一类型资源的权限关系，还能实现管理每一个具体资源的权限关系，不需要记录每一个具体资源的权限关系，避免了权限关系组过于庞大的问题，节省存储资源，提高了权限关系管理效率。

或者，根据本申请实施例的技术方案，通过响应于接收到对当前资源包括的权限关系的查询请求，在资源关系图中查找当前资源节点对应的资源父节点，然后基于资源父节点对应的权限传递方式和资源父节点包括的权限关系，确定资源父节点传递给当前资源节点的传递权限关系，最后通过RBAC模型获取当前资源节点对应的直接权限关系，并基于当前资源节点对应的直接权限关系和当前资源节点的传递权限关系，查询到当前资源节点包括的权限关系，能够利用资源关系表查找到各个资源节点之间的权限传递关系，能够在大量的资源节点中快速查询当前资源节点的权限关系，且各个资源节点的权限关系不需要单独进行存储，仅需要获取到对应资源节点的直接权限关系以及通过查询资源关系图中的权限传递方式，即可查询到具体资源的权限关系，节省了存储资源，提高了权限关系查询效率。

应该理解，可以使用上面所示的各种形式的流程，重新排序、增加或删除步骤。例如，本发申请中记载的各步骤可以并行地执行也可以顺序地执行也可以不同的次序执行，只要能够实现本申请公开的技术方案所期望的结果，本文在此不进行限制。

上述具体实施方式，并不构成对本申请保护范围的限制。本领域技术人员应该明白的是，根据设计要求和其他因素，可以进行各种修改、组合、子组合和替代。任何在本申请的精神和原则之内所作的修改、等同替换和改进等，均应包含在本申请保护范围之内。

Claims (12)

1.一种权限管理方法，包括：

基于资源与资源之间的关系，生成包括多个资源节点的资源关系图，所述资源关系图是一张有向无环图；

通过RBAC模型记录所述资源关系图中每个资源节点对应的直接权限关系；

确定所述资源关系图中的每个资源节点对应的权限传递方式，所述权限传递方式用于基于资源节点与资源节点之间的关系，将上一个资源节点的权限关系传递给下一个资源节点，所述权限传递方式包括衰减传递；

基于所述资源关系图中每个资源节点对应的直接权限关系和每个资源节点对应的权限传递方式，通过对每一层资源节点的权限关系进行合并，管理所述资源关系图中每个资源节点包括的权限关系。

2.根据权利要求1所述的方法，其中，所述确定资源关系图中的每个资源节点对应的权限传递方式，包括：

获取所述资源关系图中每个资源节点对应的属性信息；

基于每个资源节点的属性信息，确定每个资源节点对应的权限传递方式。

3.一种权限查询方法，包括：

响应于接收到对当前资源包括的权限关系的查询请求，在资源关系图中查找当前资源节点对应的资源父节点，所述资源关系图是一张有向无环图；

确定所述资源父节点对应的权限传递方式，所述权限传递方式用于基于资源节点与资源节点之间的关系，将上一个资源节点的权限关系传递给下一个资源节点，所述权限传递方式包括衰减传递；

基于所述资源父节点对应的权限传递方式和所述资源父节点包括的权限关系，确定所述资源父节点传递给所述当前资源节点的传递权限关系；

通过RBAC模型获取所述当前资源节点对应的直接权限关系，并基于所述当前资源节点对应的直接权限关系和所述当前资源节点的传递权限关系，查询到所述当前资源节点包括的权限关系。

4.根据权利要求3所述的方法，其中，所述资源父节点包括多个资源父节点；以及

所述基于所述资源父节点对应的权限传递方式和所述资源父节点包括的权限关系，确定所述资源父节点传递给所述当前资源节点的传递权限关系，包括：

查询每个资源父节点包括的权限关系；

基于每个资源父节点对应的权限传递方式和每个资源父节点包括的权限关系，确定所述当前资源节点的传递权限关系。

5.根据权利要求4所述的方法，其中，所述基于每个资源父节点对应的权限传递方式和每个资源父节点包括的权限关系，确定所述当前资源节点的传递权限关系，包括：

基于每个资源父节点对应的权限传递方式和每个资源父节点包括的权限关系，获取每个资源父节点传递的权限关系；

基于权限合并策略和每个资源父节点传递的权限关系，确定所述当前资源节点的传递权限关系。

6.一种权限管理装置，包括：

生成模块，被配置成基于资源与资源之间的关系，生成包括多个资源节点的资源关系图，所述资源关系图是一张有向无环图；

记录模块，被配置成通过RBAC模型记录所述资源关系图中每个资源节点对应的直接权限关系；

确定模块，被配置成确定所述资源关系图中的每个资源节点对应的权限传递方式，所述权限传递方式用于基于资源节点与资源节点之间的关系，将上一个资源节点的权限关系传递给下一个资源节点，所述权限传递方式包括衰减传递；

管理模块，被配置成基于所述资源关系图中每个资源节点对应的直接权限关系和每个资源节点对应的权限传递方式，通过对每一层资源节点的权限关系进行合并，管理所述资源关系图中每个资源节点包括的权限关系。

7.根据权利要求6所述的装置，其中，所述确定模块，进一步被配置成：

获取所述资源关系图中每个资源节点对应的属性信息；

基于每个资源节点的属性信息，确定每个资源节点对应的权限传递方式。

8.一种权限查询装置，包括：

查找模块，被配置成响应于接收到对当前资源包括的权限关系的查询请求，在资源关系图中查找当前资源节点对应的资源父节点，所述资源关系图是一张有向无环图；

确定模块，被配置成确定所述资源父节点对应的权限传递方式，所述权限传递方式用于基于资源节点与资源节点之间的关系，将上一个资源节点的权限关系传递给下一个资源节点，所述权限传递方式包括衰减传递；基于所述资源父节点对应的权限传递方式和所述资源父节点包括的权限关系，确定所述资源父节点传递给所述当前资源节点的传递权限关系；

查询模块，被配置成通过RBAC模型获取所述当前资源节点对应的直接权限关系，并基于所述当前资源节点对应的直接权限关系和所述当前资源节点的传递权限关系，查询到所述当前资源节点包括的权限关系。

9.根据权利要求8所述的装置，其中，所述资源父节点包括多个资源父节点；以及

所述确定模块，包括：

查询单元，被配置成查询每个资源父节点包括的权限关系；

确定单元，被配置成基于每个资源父节点对应的权限传递方式和每个资源父节点包括的权限关系，确定所述当前资源节点的传递权限关系。

10.根据权利要求9所述的装置，其中，所述确定单元，进一步被配置成：

基于每个资源父节点对应的权限传递方式和每个资源父节点包括的权限关系，获取每个资源父节点传递的权限关系；

基于权限合并策略和每个资源父节点传递的权限关系，确定所述当前资源节点的传递权限关系。

11.一种电子设备，其特征在于，包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求1-2、3-5中任一项所述的方法。

12.一种存储有计算机指令的非瞬时计算机可读存储介质，其特征在于，所述计算机指令用于使所述计算机执行权利要求1-2、3-5中任一项所述的方法。