CN112765627A - 一种基于双层权限控制的业务报表数据权限控制方法 - Google Patents

Abstract

本发明公开了一种基于双层权限控制的业务报表数据权限控制方法，获取业务报表数据权限组成的多种基本元素，并对所述基本元素赋予对应的密钥，其中，所述基本元素包括部门、角色和人员；基于外层权限算法计算出对应的授权人员范围，并将构建的外层权限集合存储至联盟链；计算所述授权人员范围和获取的业务报表的查看范围的交集，完成内层权限集合的构建，并在私有链中进行存储；获取用户信息和对应的密钥，并分别与所述外层权限集合和所述内层权限集合求取交集，对业务报表进行控制显示，实现不同人在相同数据项下查看不同数据范围。

Description

一种基于双层权限控制的业务报表数据权限控制方法

技术领域

本发明涉及数据权限系统开发技术领域，尤其涉及一种基于双层权限控制的业务报表数据权限控制方法。

背景技术

数据时代，原始数据经过后端技术或者大数据技术处理后就能够以业务报表的方式呈现出来，可以是统计表格的方式，也可以是统计图形的方式，用户可以依据图表呈现的数据来指导管理和帮助决策。

目前市面上有通过监控账号登录做权限管理，也有根据不同角色赋予不同权限，或者通过硬件方式做到最细粒度的个人权限管理，但是仅在登录侧做权限管理较为粗放，精细到每一个人后开发工作量很大，人员变换角色后调整权限相对困难，这些权限控制也仅限于功能层面即有查看权限的用户都能看到一样的数据内容，达不到控制不同人看到不同数据项范围的效果。而实际业务报表数据存在数据查看范围要求，即不同的人看到相同的数据项但是数据值范围不同，实际场景中的业务报表很多时候会根据管辖权限的不同而对数据做区分，目前市面上还没有一种对业务报表数据实现不同人在相同数据项下查看不同数据范围的权限控制方法。

发明内容

本发明的目的在于提供一种基于双层权限控制的业务报表数据权限控制方法，实现不同人在相同数据项下查看不同数据范围。

为实现上述目的，本发明提供了一种基于双层权限控制的业务报表数据权限控制方法，包括以下步骤：

获取业务报表数据权限组成的多种基本元素，并对所述基本元素赋予对应的密钥，其中，所述基本元素包括部门、角色和人员；

基于外层权限算法计算出对应的授权人员范围，并将构建的外层权限集合存储至联盟链；

计算所述授权人员范围和获取的查看范围的交集，完成内层权限集合的构建；

获取用户信息和对应的密钥，并分别与所述外层权限集合和所述内层权限集合求取交集，对业务报表进行控制显示。

其中，基于外层权限算法计算出对应的授权人员范围，并将构建的外层权限集合存储至联盟链，包括：

计算所述部门集合与所述角色集合的交集，并将交集的结果与所述人员集合求并集，得到对应的授权人员范围；

将所述授权人员范围作为外层权限集合，传输至联盟链进行存储。

其中，计算所述授权人员范围和获取的查看范围的交集，完成内层权限集合的构建，包括：

计算所述授权人员范围和获取的查看范围的交集，并将得到的内层权限集合赋值于对应的业务报表上。

其中，计算所述授权人员范围和获取的查看范围的交集，完成内层权限集合的构建之前，所述方法还包括：

基于所述密钥，获取加密上传至私有链的所述业务报表；

根据所述业务报表中的数据项，计算出对应的所述查看范围。

其中，根据所述业务报表中的数据项，计算出对应的所述查看范围，包括：

获取所述业务报表中的所有数据项，根据所述数据项的查看等级，对所述数据项进行划分，得到对应的所述查看范围。

其中，获取业务报表数据权限组成的多种基本元素，并对所述基本元素赋予对应的密钥之前，所述方法还包括：

获取所有人员的用户信息，并根据所述用户信息划分出三种所述基本元素。

本发明的一种基于双层权限控制的业务报表数据权限控制方法，获取业务报表数据权限组成的多种基本元素，并对所述基本元素赋予对应的密钥，其中，所述基本元素包括部门、角色和人员；基于外层权限算法计算出对应的授权人员范围，并将构建的外层权限集合存储至联盟链；计算所述授权人员范围和获取的业务报表的查看范围的交集，完成内层权限集合的构建，并在私有链中进行存储；获取用户信息和对应的密钥，并分别与所述外层权限集合和所述内层权限集合求取交集，对业务报表进行控制显示，实现不同人在相同数据项下查看不同数据范围。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明第一实施例提供的一种基于双层权限控制的业务报表数据权限控制方法的步骤示意图。

图2是本发明提供的一种基于双层权限控制的业务报表数据权限控制方法的流程示意图。

图3是本发明第二实施例提供的一种基于双层权限控制的业务报表数据权限控制方法的步骤示意图。

图4是本发明第三实施例提供的一种基于双层权限控制的业务报表数据权限控制方法的步骤示意图。

具体实施方式

下面详细描述本发明的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，旨在用于解释本发明，而不能理解为对本发明的限制。

在本发明的描述中，“多个”的含义是两个或两个以上，除非另有明确具体的限定。

请参阅图1和图2，本发明第一实施例提供一种基于双层权限控制的业务报表数据权限控制方法，包括以下步骤：

S101、获取业务报表数据权限组成的多种基本元素，并对所述基本元素赋予对应的密钥，其中，所述基本元素包括部门、角色和人员。

具体的，获取所有人员的用户信息，并根据所述用户信息划分出三种所述基本元素，其中，所述用户信息包括部门、角色和对应的姓名等信息，然后将所述用户信息进行划分，得到业务报表数据权限组成的多种基本元素，分别为：部门、角色和人员(员工姓名)，然后根据获取的业务报表数据权限组成的多种基本元素，对所述基本元素赋予对应的密钥，即分别对部门、角色、人员赋予对应的密钥，其中，部门的密钥较为公开，可以命名为一级密钥，角色的密钥等级较一级密钥较高，命名为二级密钥，而人员的密钥最为保密，设定为三级密钥，部门使用企业或者团体的组织机构，角色为人员管理功能集合，人员为企业或团队在系统上的注册用户。

S102、基于外层权限算法计算出对应的授权人员范围，并将构建的外层权限集合存储至联盟链。

具体的，计算所述部门集合与所述角色集合的交集，并将交集的结果与所述人员集合求并集，得到对应的授权人员范围；将所述授权人员范围作为外层权限集合，传输至联盟链进行存储，利用区块链对构建的业务报表的双层权限进行存储，增加权限控制的安全性和私密性，对业务报表数据做外层权限控制，控制要求是功能级别的，拥有外层权限可以查看能看到的业务报表的全量数据，没有外层全权限的用户无法查看业务报表数据，外层数据权限(Oauthority)逻辑表达式：((部门集合)∩(角色集合))∪(人员集合)。

S103、计算所述授权人员范围和获取的查看范围的交集，完成内层权限集合的构建。

具体的，基于所述密钥，获取加密上传至私有链的所述业务报表；然后，所述业务报表中的所有数据项，根据所述数据项的查看等级，对所述数据项进行划分，得到对应的所述查看范围；计算所述授权人员范围和获取的查看范围的交集，并将得到的内层权限集合赋值于对应的业务报表上，因此，所述内层权限集合也存储于所述私有链上，进一步增加业务报表双重控制权限的安全性，保证在安全的前提下，对所述业务报表进行双层权限控制，能够对业务报表数据实现不同人在相同数据项下查看不同数据范围。内层数据权限(Iauthority)逻辑表达式：(((部门集合)∩(角色集合))∪(人员集合))∩(数据项)。

详细的流程为：首先将需要限定查看范围的所有的业务报表上传至私有链中进行存储，在上传的过程中，利用对应的密钥对所述业务报表进行加密传输，然后获取所述业务报表中的所有的数据项，根据所述数据项的查看等级或者是重要性等级，将所述数据项进行等级划分，将等级程度按照升序进行排列，依次增加数据项的查看范围，直至所有数据全部显示，限定了不同等级下，查看的数据范围，即等级越高，查看的数据范围越广，计算所述授权人员范围和获取的查看范围的交集，得到的内层权限集合，所述内层权限集合包括不同等级下的对应的授权人员的数据查看范围的合集，将此内层权限集合赋值于对应的所述业务报表上，即对所述业务报表进行再次加密或者对所述业务报表进行文件封装，便于对所述业务报表进行管理。

S104、获取用户信息和对应的密钥，并分别与所述外层权限集合和所述内层权限集合求取交集，对业务报表进行控制显示。

具体的，获取登录的用户信息，将所述用户信息与所述外层权限集合求取交集，若所述用户信息与所述外层权限集合的交集非空，则将所述私有链上的所述内层权限集合展示给对应的用户看，并获取所述用户信息对应的所述密钥，判断用户是否可以进入所述私有链；若所述用户信息与所述外层权限集合是空集，则对应的登录用户不能看见对应的所述业务报表。

若不能登录进所述私有链，则对应的登录用户不能查看详细的业务报表数据，若所述密钥能登录进所述私有链，则将所述用户信息与所述内层权限集合求取交集，若所述用户信息与所述内层权限集合的交集为空集，则对应的所述登录用户不能查看所述业务报表对应的数据项，若所述用户信息与所述内层权限集合的交集为非空，则根据是交集的结果，向所述登录用户展示对应的业务报表的数据项，通过内外两层权限来共同决定用户的数据查看范围，外层权限控制用户是否可见数据，内层权限控制可见业务报表的用户能够查看的数据范围。该方法的突出优点是能够对业务报表数据实现不同人在相同数据项下查看不同数据范围。

登录人员信息User：(User)∩(Oauthority)非空则用户存在外层数据权限，反之没有，(User)∩(Iauthority)非空则用户存在外内层数据权限，反之没有。

请参阅图2和图3，本发明第二实施例提供一种基于双层权限控制的业务报表数据权限控制方法，包括以下步骤：

S201的具体实施方式中所描述的内容与本发明第一实施例中的S101的具体实施方式中所描述的内容一致，此处不在赘述。

S202、对所述人员集合进行权限划分，并基于设定的公钥对区块链登录入口进行加密。

具体的，首先，根据所述人员集合中的对应的所述角色，将所述人员集合中的每一个数据划分出对应的操作权限，其中，所述操作权限包括查看、上传、下载和删除四种操作权限，其中，所述查看权限和所述下载权限包含整个所述人员集合，所述上传权限可以根据所述角色，划分出一个或者两个对应的所述人员进行业务报表上传，所述删除权限则根据所述角色，设定除具有所述上传权限的所述人员外的其他所述人员集合中的任一个所述人员，将所述删除权限和所述上传权限的操作者进行分离，避免在上传或者删除的过程中出现遗漏或重复上传或删除，导致数据的缺失、重复或错误。

然后，根据划分出的不同所述操作权限，分别给对应的人员添加不同的操作私钥，所述操作私钥包括查看私钥、上传私钥、下载私钥和删除私钥；其中，对于具有所述上传权限的所述人员，对所述人员对应的所述三级密钥中增加上传私钥；对于具有所述删除权限的所述人员，对所述人员对应的所述三级密钥中增加删除私钥；对于具有所述查看权限的所述人员，对所述人员对应的所述三级密钥中增加查看私钥；对于具有所述下载权限的所述人员，对所述人员对应的所述三级密钥中增加下载私钥；同时，为了保证四种所述私钥的安全性和保密性，将所述上传私钥和所述删除私钥在设定的时间间隔内进行随机的更新，如一天或者一周，通过在设定的时间间隔内对所述上传私钥和所述删除私钥进行随机的更新替换，避免所述上传私钥和所述删除私钥的泄露，造成所述业务报表的数据的错误。

最后，利用插值法将所述部门对应的所述密钥填充至设定字符长度，得到公钥和解密私钥，并利用所述公钥对区块链的登录入口进行加密，具体为：利用末位插值法将一级密钥填充至第一设定字符长度，得到所述公钥，利用间距插值法将所述一级密钥等间距填充至第二设定字符长度，得到所述解密私钥；即：利用任意填充数字在所述部门对应的所述一级密钥进行差值填充，并在填充至第一设定字符长度后，将填充后的所述一级密钥作为公钥对区块链的登录入口进行加密，利用所述填充数字对所述一级密钥进行等间距填充，得到所述解密私钥，等间距填充可以为：间隔一个所述一级密钥字符或者间隔多个所述一级密钥字符填充一个或多个所述填充数字；这样的好处是只有本部门或者本公司的员工才知道，并且进一步保证区块链的安全性。

S203、基于智能合约对所述区块链的读写操作进行改进，并利用对应的解密私钥和所述密钥将所述业务报表上传至私有链。

具体的，首先，利用智能合约对所述区块链的读写操作进行改进，并在改进完成后，利用解密私钥对所述公钥进行解密，进入所述区块链；获取需要上传的所有所述业务报表，并基于上传私钥和所述三级密钥对所述业务报表进行加密，并将加密后的所述业务报表上传至私有链，同时将所述上传私钥和所述三级密钥作为所述私有链的判断公钥对所述私有链进行加密，进一步保证所述业务报表数据的安全。

S204的具体实施方式中所描述的内容与本发明第一实施例中的S102的具体实施方式中所描述的内容一致，此处不在赘述。

S205、计算所述授权人员范围和获取的查看范围的交集，完成内层权限集合的构建。

具体的，基于三种所述密钥和所述查看私钥，获取加密上传至私有链的所述业务报表；然后，所述业务报表中的所有数据项，根据所述数据项的查看等级，对所述数据项进行划分，得到对应的所述查看范围；计算所述授权人员范围和获取的查看范围的交集，并将得到的内层权限集合赋值于对应的业务报表上，因此，所述内层权限集合也存储于所述私有链上，进一步增加业务报表双重控制权限的安全性，保证在安全的前提下，对所述业务报表进行双层权限控制，能够对业务报表数据实现不同人在相同数据项下查看不同数据范围。内层数据权限(Iauthority)逻辑表达式：(((部门集合)∩(角色集合))∪(人员集合))∩(数据项)。

详细的流程为：首先将需要限定查看范围的所有的业务报表上传至私有链中进行存储，在上传的过程中，利用对应的上传私钥和所述三级密钥对所述业务报表进行加密传输，然后获取所述业务报表中的所有的数据项，根据所述数据项的查看等级或者是重要性等级，将所述数据项进行等级划分，将等级程度按照升序进行排列，依次增加数据项的查看范围，直至所有数据全部显示，限定了不同等级下，查看的数据范围，即等级越高，查看的数据范围越广，计算所述授权人员范围和获取的查看范围的交集，得到的内层权限集合，所述内层权限集合包括不同等级下的对应的授权人员的数据查看范围的合集，将此内层权限集合赋值于对应的所述业务报表上，即对所述业务报表进行再次加密或者对所述业务报表进行文件封装，便于对所述业务报表进行管理。

S206、获取用户信息和对应的密钥，并分别与所述外层权限集合和所述内层权限集合求取交集，对业务报表进行控制显示。

具体的，利用所述解密私钥对所述公钥进行解密，进入所述区块链，然后，获取登录的用户信息，将所述用户信息与所述外层权限集合求取交集，若所述用户信息与所述外层权限集合的交集非空，则将所述私有链上的所述内层权限集合展示给对应的用户看，并获取所述用户信息对应的三种所述密钥和对应的操作私钥，如查看私钥和下载私钥，判断用户是否可以进入所述私有链；若所述用户信息与所述外层权限集合是空集，则对应的登录用户不能看见对应的所述业务报表。

若不能登录进所述私有链，则对应的登录用户不能查看详细的业务报表数据，若能登录进所述私有链，即所述用户信息对应的三种所述密钥和对应的操作私钥能对所述判断公钥进行解密，则将所述用户信息与所述内层权限集合求取交集，若所述用户信息与所述内层权限集合的交集为空集，则对应的所述登录用户不能查看所述业务报表对应的数据项，若所述用户信息与所述内层权限集合的交集为非空，则根据是交集的结果，向所述登录用户展示对应的业务报表的数据项，通过内外两层权限来共同决定用户的数据查看范围，外层权限控制用户是否可见数据，内层权限控制可见业务报表的用户能够查看的数据范围。该方法的突出优点是能够对业务报表数据实现不同人在相同数据项下查看不同数据范围。

请参阅图2和图4，本发明第三实施例提供一种基于双层权限控制的业务报表数据权限控制方法，包括以下步骤：

S301-S306的具体实施方式中所描述的内容与本发明第二实施例中的S201-S206的具体实施方式中所描述的内容一致，此处不在赘述。

S307、若当前登录用户不能查看所述业务报表，判断所述登录用户是否是新用户，并进行对应的权限更新。

具体的，若当前登录用户不能对所述公钥进行解密进入所述区块链，判断所述登录用户是否是新用户或者是外部入侵者，若是新用户，下发对应的所述解密私钥，若为外部入侵者，则获取入侵地址，并对所述入侵地址进行存储和冻结，避免再次入侵；

若所述用户信息与所述外层权限集合为空集，判断所述用户信息是否为新用户，若为新用户，则对所述登录用户赋予对应的操作权限以及对应的操作私钥；然后对所述外层权限集合和所述内层权限集合进行更新。

S308、判断所述业务报表是否需要进行更新，并对所述业务报表、所述外层权限集合和所述内层权限集合进行更新和存储。

具体的，判断所述业务报表是否需要更新，若需要更新，则判断需要增加或删除对应的所述业务报表，若需要新增所述业务报表，则获取新增业务报表，利用对应的所述上传私钥和所述三级密钥将所述新增业务报表加密上传至所述私有链，并获取所述新增业务报表的数据项，根据所述数据项等级对所述数据项进行等级划分后，与所述外层权限集合求取交集，对所述内层权限集合进行更新，同时对所述外层权限集合进行更新，保存更新后的所述外层权限集合和所述内存权限集合。

若需要删除对应的所述业务报表，则利用所述解密私钥对所述公钥进行解密进入所述区块链，然后利用所述删除私钥和对应的所述三级密钥进入所述私有链后，对对应的所述业务报表进行删除，同时删除所述内层权限集合中对应的数据查看范围中的对应数据项，并更新所述内层权限集合。

若所述业务报表不需要更新，则保存原始所述外层权限集合和所述内存权限集合。

本发明通过对部门、角色和人员以及数据项的双层逻辑运算，计算出业务报表数据的授权人员范围和数据查看范围，提出了一种新的业务报表的数据权限控制方法，实现不同人员在相同数据项下可以查看不同的数据范围。

本发明与现有方法不同的地方：

1.业务报表数据的数据权限控制；

2.双层数据权限控制方法，数据授权人员范围和数据查看范围；

3.数据授权范围的逻辑运算((部门集合)∩(角色集合))∪(人员集合)，数据查看范围的逻辑运算方法(((部门集合)∩(角色集合))∪(人员集合))∩(数据项)；

4.登录系统人员信息与内外层权限交集，通过交集结果自动匹配对应人员的数据权限。

本发明的一种基于双层权限控制的业务报表数据权限控制方法，获取业务报表数据权限组成的多种基本元素，并对所述基本元素赋予对应的密钥，其中，所述基本元素包括部门、角色和人员；基于外层权限算法计算出对应的授权人员范围，并将构建的外层权限集合存储至联盟链；计算所述授权人员范围和获取的业务报表的查看范围的交集，完成内层权限集合的构建，并在私有链中进行存储；获取用户信息和对应的密钥，并分别与所述外层权限集合和所述内层权限集合求取交集，对业务报表进行控制显示，实现不同人在相同数据项下查看不同数据范围。

以上所揭露的仅为本发明一种较佳实施例而已，当然不能以此来限定本发明之权利范围，本领域普通技术人员可以理解实现上述实施例的全部或部分流程，并依本发明权利要求所作的等同变化，仍属于发明所涵盖的范围。

Claims (6)

1.一种基于双层权限控制的业务报表数据权限控制方法，其特征在于，包括以下步骤：

获取业务报表数据权限组成的多种基本元素，并对所述基本元素赋予对应的密钥，其中，所述基本元素包括部门、角色和人员；

基于外层权限算法计算出对应的授权人员范围，并将构建的外层权限集合存储至联盟链；

计算所述授权人员范围和获取的查看范围的交集，完成内层权限集合的构建；

获取用户信息和对应的密钥，并分别与所述外层权限集合和所述内层权限集合求取交集，对业务报表进行控制显示。

2.如权利要求1所述的基于双层权限控制的业务报表数据权限控制方法，其特征在于，基于外层权限算法计算出对应的授权人员范围，并将构建的外层权限集合存储至联盟链，包括：

计算所述部门集合与所述角色集合的交集，并将交集的结果与所述人员集合求并集，得到对应的授权人员范围；

将所述授权人员范围作为外层权限集合，传输至联盟链进行存储。

3.如权利要求1所述的基于双层权限控制的业务报表数据权限控制方法，其特征在于，计算所述授权人员范围和获取的查看范围的交集，完成内层权限集合的构建，包括：

计算所述授权人员范围和获取的查看范围的交集，并将得到的内层权限集合赋值于对应的业务报表上。

4.如权利要求1所述的基于双层权限控制的业务报表数据权限控制方法，其特征在于，计算所述授权人员范围和获取的查看范围的交集，完成内层权限集合的构建之前，所述方法还包括：

基于所述密钥，获取加密上传至私有链的所述业务报表；

根据所述业务报表中的数据项，计算出对应的所述查看范围。

5.如权利要求4所述的基于双层权限控制的业务报表数据权限控制方法，其特征在于，根据所述业务报表中的数据项，计算出对应的所述查看范围，包括：

获取所述业务报表中的所有数据项，根据所述数据项的查看等级，对所述数据项进行划分，得到对应的所述查看范围。

6.如权利要求1所述的基于双层权限控制的业务报表数据权限控制方法，其特征在于，获取业务报表数据权限组成的多种基本元素，并对所述基本元素赋予对应的密钥之前，所述方法还包括：

获取所有人员的用户信息，并根据所述用户信息划分出三种所述基本元素。

Images