CN112910852A - 一种基于r树的分布式授权方法、设备及存储介质 - Google Patents

Abstract

本发明公开了一种基于R树的分布式授权方法、设备及存储介质，该方法由构成R树的各个授权节点对用户进行授权，授权节点获取用户端发送的授权请求后，根据授权请求指定的授权节点标识，进行R树的搜索操作，以搜索到授权节点标识对应的地址信息；再根据搜索到的地址信息，访问相应授权节点，以从授权节点获取与所述用户标识相匹配的授权信息；然后，将获取到的授权信息发送给所述用户端，以实现授权。因此，本发明通过构建R树的授权架构，不仅能实现分层分布式授权，彻底解决中心化授权存在的单点失效问题，还能够满足不同服务提供方对细粒度业务授权的管理要求。

Description

一种基于R树的分布式授权方法、设备及存储介质

技术领域

本发明涉及授权管理技术，尤其涉及一种基于R树的分布式授权方法、设备及存储介质。

背景技术

目前，针对服务进行授权方式通常是由服务提供方对服务使用方进行服务授权，而这种授权方式，一旦服务提供方的授权系统失效，将影响所有服务使用方的服务授权。例如，物联网场景下的服务授权，由于服务使用方的数量巨大，将对服务提供方产生海量的访问，从而对服务提供方造成访问压力和运行负担。

中国专利申请CN109088857A公开了一种在物联网场景下的分布式授权管理方法，其采用区块链技术来实现资源服务的授权，彻底解决了单点失效问题；但是，该方法通过在区块链网络上的节点运行资源访问的智能合约，实现对资源使用者申请资源服务的授权；实际上，在物联网场景下，由于服务使用方的数量巨大，仍然会对区块链网络上的节点产生海量的访问，将给区块链网络上的节点的实际运行带来极大的负担。

发明内容

鉴于以上所述现有技术的不足，本发明的目的在于：提供一种基于R树的分布式授权方法，通过构建R树的授权架构，不仅能够满足不同服务提供方对细粒度业务授权的管理要求，还能实现分层分布式授权，彻底解决中心化授权存在的单点失效问题。

为实现上述发明目的，本发明提供以下技术方案：

一种基于R树的分布式授权方法，其应用于构成R树的各个授权节点，所述方法包括：

接收用户端发送的授权请求，所述授权请求包括用户标识和指定的授权节点标识；

根据所述授权请求指定的授权节点标识，进行R树的搜索操作，以搜索到所述授权节点标识对应的地址信息；

根据搜索到的地址信息，访问相应授权节点，以从所述授权节点获取与所述用户标识相匹配的授权信息；以及，将获取到的所述授权信息发送给所述用户端，以实现授权。

根据一种具体的实施方式，本发明基于R树的分布式授权方法中，所述授权节点标识具有多段标识编码，用于指示授权节点在R树中的层次关系。

进一步地，所述地址信息包括：授权节点标识、IP地址，以及对应的签名摘要。

再进一步地，所述授权信息包括：服务提供方标识、授权节点标识、授权用户信息以及对应的签名摘要；其中，所述授权用户信息用于指示被授权的用户标识；而且，若所述授权信息中的授权用户信息指示的被授权的用户标识包含所述授权请求的用户标识，则所述授权信息与所述用户标识相匹配。

根据一种具体的实施方式，本发明基于R树的分布式授权方法中，获取到所述授权信息后，将所述授权信息发送给缓存节点进行缓存；若接收到用户标识与所述授权信息相匹配的授权请求时，则通过所述缓存节点将其缓存的所述授权信息发送给对应的用户端。

根据一种具体的实施方式，本发明基于R树的分布式授权方法中，获取到所述授权信息后，由授权节点本地缓存所述授权信息；而且，若其它授权节点接收到用户标识与所述授权信息相匹配的授权请求，且对应的R树的搜索操作搜索至所述授权节点时，则将所述授权节点本地缓存的所述授权信息发送给接收到所述授权请求的授权节点。

进一步地，所述授权信息还包括授权方式信息，用于指示授权属性为一次性授权或时限授权，以及指示授权属性为时限授权时的有效时间；

而且，根据所述授权信息中的授权方式信息指示的授权属性，若授权属性为一次性授权，则禁止缓存所述授权信息，若授权属性为时限授权，则允许缓存所述授权信息，并根据所述授权方式信息指示的有效时间，判断缓存的所述授权信息是否失效；若所述授权信息失效，则对缓存的所述授权信息进行失效处理。

根据一种具体的实施方式，本发明基于R树的分布式授权方法中，接收到用户端发送的授权请求后，根据所述授权请求的用户标识，判断是否具备代理关系，若具备所述代理关系，则响应所述授权请求，否则，拒绝响应所述授权请求；其中，所述代理关系根据负载均衡而配置至各个授权节点，用于指示授权节点允许响应的授权请求所包括的用户标识。

根据一种具体的实施方式，本发明基于R树的分布式授权方法中，每个所述授权节点均配置有一对公钥与私钥；其中，所述授权节点的私钥用于对其管理的授权信息进行签名与加密，所述授权节点的公钥用于进行相关的验签与加密。

根据一种具体的实施方式，本发明基于R树的分布式授权方法中，采用非面向连接的多点通信协议实现授权节点之间的数据交互。

本发明的另一方面，还提供一种授权节点设备，其包括：

存储器，其存储有程序指令；以及，

处理器，所述程序指令在由所述处理器执行时，实现本发明基于R树的分布式授权方法。

本发明的另一方面，还提供一种计算机可读存储介质，其存储有程序指令，所述程序指令被执行时，用于实现本发明基于R树的分布式授权方法。

与现有技术相比，本发明的有益效果：

1、本发明基于R树的分布式授权方法，由构成R树的各个授权节点对用户进行授权，授权节点获取用户端发送的授权请求后，根据授权请求指定的授权节点标识，进行R树的搜索操作，以搜索到授权节点标识对应的地址信息；再根据搜索到的地址信息，访问相应授权节点，以从授权节点获取与所述用户标识相匹配的授权信息；然后，将获取到的授权信息发送给所述用户端，以实现授权。因此，本发明通过构建R树的授权架构，不仅能实现分层分布式授权，彻底解决中心化授权存在的单点失效问题，还能够满足不同服务提供方对细粒度业务授权的管理要求。

2、本发明基于R树的分布式授权方法，将各个授权节点构成的R树作为可信域，用户使用的用户端作为非可信域，用户必须通过可信域中的授权节点来发出授权请求，以获得授权。在此基础上，建立授权节点的代理关系，同时根据负载均衡而配置代理关系，使授权节点仅响应具备代理关系的授权请求，从而避免对授权节点造成拥堵。

3、本发明基于R树的分布式授权方法，在非可信域中为授权节点配置相应的缓存节点，由缓存节点缓存授权节点获取到的授权信息，避免授权节点频繁的响应用户的授权请求，减轻授权节点的工作负担。

4、本发明基于R树的分布式授权方法，授权节点能够本地缓存其获取到的授权信息，其它授权节点接收到用户标识与该授权信息相匹配的授权请求，且对应的R树的搜索操作搜索至该授权节点时，该授权节点可直接返回其缓存的授权信息，从而缩短获取授权信息的路径，能够减轻整个R树结构中授权节点的工作负担。

附图说明

图1为本发明的授权流程示意图；

图2为本发明授权节点构成R树的架构示意图；

图3为本发明在第一实施例中的授权流程示意图；

图4为本发明在第二实施例中的授权流程示意图。

具体实施方式

以下通过特定的具体实例说明本发明的实施方式，本领域技术人员可由本说明书所揭露的内容轻易地了解本发明的其他优点与功效。本发明还可以通过另外不同的具体实施方式加以实施或应用，本说明书中的各项细节也可以基于不同观点与应用，在没有背离本发明的精神下进行各种修饰或改变。

本发明基于R树的分布式授权方法，其应用于构成R树的各个授权节点，该方法包括：

接收用户端发送的授权请求，所述授权请求包括用户标识和指定的授权节点标识；

根据所述授权请求指定的授权节点标识，进行R树的搜索操作，以搜索到所述授权节点标识对应的地址信息；

根据搜索到的地址信息，访问相应授权节点，以从所述授权节点获取与所述用户标识相匹配的授权信息；以及，将获取到的所述授权信息发送给所述用户端，以实现授权。

如图1所示，以由根授权节点100、一级授权节点101、一级授权节点102、二级授权节点103、二级授权节点104以及二级授权节点105构成的R树为例。当然，在实际应用时，R树的结构、R树的层级以及R树中授权节点的数量，均可根据实际需求而调整。

在第一个授权过程中，用户端1发送授权请求1至二级授权节点103。由于授权请求1包括用户端1提供的用户标识和指定的授权节点标识为二级授权节点104的授权节点标识，那么，二级授权节点103根据授权请求1指定的授权节点标识，进行R树的搜索操作。

搜索操作过程为：首先，由二级授权节点103搜索其本地是否存储有该授权节点标识对应的地址信息，即二级授权节点104的地址信息，但是二级授权节点103未存储有二级授权节点104的地址信息，故而需要继续搜索操作。

由于二级授权节点103的父节点为一级授权节点101，因此在一级授权节点101上继续搜索操作，由于一级授权节点101也是二级授权节点104的父节点，必然存储有二级授权节点104的地址信息，因此，在一级授权节点101上搜索到该授权节点标识对应的地址信息。

二级授权节点103获得地址信息反馈后，根据该地址信息，访问二级授权节点104，并从二级授权节点104中获取与授权请求1提供的用户标识相匹配的授权信息。而当二级授权节点103获取到授权信息后，将该授权信息发送给用户端1，以实现对用户端1的授权。

在第二个授权过程中，用户端2发送授权请求2至二级授权节点105。由于授权请求2包括用户端2提供的用户标识和指定的授权节点标识为二级授权节点104的授权节点标识，那么，二级授权节点105根据授权请求2指定的授权节点标识，进行R树的搜索操作。

搜索操作过程为：首先，由二级授权节点105搜索其本地是否存储有该授权节点标识对应的地址信息，即二级授权节点104的地址信息，但是二级授权节点105未存储有二级授权节点104的地址信息，故而需要继续搜索操作。

由于二级授权节点105的父节点为一级授权节点102，因此在一级授权节点102上继续搜索操作，但是一级授权节点102也未存储有二级授权节点104的地址信息，故而还是需要继续搜索操作。

由于一级授权节点102的父节点为根授权节点100，同时，根授权节点100也是一级授权节点101的父节点，所以，根授权节点100存储有一级授权节点102以及一级授权节点101存储的地址信息，而且一级授权节点101也是二级授权节点104的父节点，必然存储有二级授权节点104的地址信息，那么，根授权节点100也必然存储有二级授权节点104的地址信息。因此，在根授权节点100上搜索到该授权节点标识对应的地址信息。

二级授权节点105获得地址信息反馈后，根据该地址信息，访问二级授权节点104，并从二级授权节点104中获取与授权请求2提供的用户标识相匹配的授权信息。二级授权节点105获取到授权信息后，将该授权信息发送给用户端2，以实现对用户端2的授权。

因此，本发明通过构建R树的授权架构，不仅能实现分层分布式授权，彻底解决中心化授权存在的单点失效问题，还能够满足不同服务提供方对细粒度业务授权的管理要求。

本发明中，采用非面向连接的多点通信协议实现授权节点之间的数据交互，能够缩短授权节点之间数据传递的路径，进而减轻整个R树结构中授权节点的工作负担。

如图2所示，本发明构建的R树授权架构中每个授权节点均设有管理配置接口，通过授权节点的管理配置接口，服务提供方可对各个授权节点进行管理配置，例如，管理授权节点标识、管理授权节点的授权信息、增加扩展授权节点或者调整R树授权架构等。

在实施时，授权节点标识具有多段标识编码，用于指示授权节点在R树中的层次关系。例如，二级授权节点103的授权节点标识为<oa，svc，mrray>，对应地，一级授权节点101的授权节点标识为<svc，mrray>。

在一些实施例中，每个授权节点均配置有一对公钥与私钥。而且，授权节点的公钥用于进行相关的验签与加密，同时授权节点的公钥均发布至根授权节点100，而授权节点的私钥用于对管理的授权信息进行签名与加密。具体的，授权节点之间数据交互通过签名与加密，能够保证数据的传递的安全。

本发明中，授权信息包括：服务提供方标识、授权节点标识、授权用户信息以及对应的签名摘要；其中，所述授权用户信息用于指示被授权的用户标识；在实施时，授权信息还可以包括授权范围信息，用于指示被授权的服务范围；通过设定授权范围，能够进一步实现细粒度的授权管理。

以图1所示的第一个授权过程为例，当二级授权节点103获取二级授权节点104管理的授权信息后，二级授权节点103通过访问根节点100获取二级授权节点104的公钥，并利用该公钥对二级授权节点104管理的授权信息的签名摘要进行验签，从而保证授权信息的安全性。

另外，以图1所示的第一个授权过程为例，说明从授权节点获取与用户标识相匹配的授权信息的具体过程。那么，从二级授权节点104获取授权信息的过程为：在二级授权节点103根据地址信息，访问二级授权节点104时，还提供授权请求1的用户标识，若二级授权节点104所管理的授权信息中的授权用户信息指示的被授权的用户标识包含授权请求1的用户标识，则授权信息与授权请求1的用户标识相匹配，即可从授权节点104中获取与授权请求1的用户标识相匹配的授权信息。而如果二级授权节点104所管理的授权信息中的授权用户信息指示的被授权的用户标识不包含授权请求1的用户标识，则表示该授权请求1是违规的，不能被授权。

而且，图1所示的两个授权过程中二级授权节点104所管理的授权信息中的授权用户信息指示的被授权的用户标识既包含授权请求1的用户标识，又包含授权请求2的用户标识。换言之，授权节点管理的授权信息可以多个用户进行授权。

在一些实施例中，授权节点的地址信息包括：授权节点标识、IP地址，以及对应的签名摘要。而且，每个授权节点的地址信息按照R树的数据结构，逐级上传，直至根授权节点。如此，接收到授权请求的授权节点可直接根据授权请求所指定的授权节点标识，进行R树的搜索操作，以获取该授权节点标识对应的地址信息。

本发明基于R树的分布式授权方法，将各个授权节点构成的R树作为可信域，用户使用的用户端作为非可信域，用户必须通过可信域中的授权节点来发出授权请求，以获得授权。在此基础上，建立授权节点的代理关系，即授权节点接收到用户端发送的授权请求后，根据授权请求的用户标识，判断是否具备代理关系，若具备所述代理关系，则响应所述授权请求，否则，拒绝响应所述授权请求。

在实施时，根据负载均衡而设置代理关系，且代理关系用于指示授权节点允许响应的授权请求所包括的用户标识，授权节点配置对应的代理关系后，授权节点仅响应具备代理关系的授权请求，从而避免对授权节点造成拥堵。具体的，授权节点的代理关系的配置通过其管理配置接口来完成。

在一些实施例中，本发明基于R树的分布式授权方法中，授权节点获取到所述授权信息后，将所述授权信息发送给缓存节点进行缓存；若接收到用户标识与所述授权信息相匹配的授权请求时，则通过所述缓存节点将其缓存的所述授权信息发送给对应的用户端。

如图3所示，在非可信域中设置缓存节点201，二级授权节点103与缓存节点201相关联，结合图1所示的第一个授权过程，二级授权节点103获取到二级授权节点104管理的授权信息后，将该授权信息发送给缓存节点201。而当用户端N发送授权请求N至二级授权节点103时，首先二级授权节点根据授权请求N的用户标识，确定是否具备代理关系，若具备代理关系，则响应授权请求N。而且，如果二级授权节点103发送给缓存节点201的授权信息与授权用户N的用户标识相匹配，则通过缓存节点201将授权信息发送给用户端N，以完成对用户端N的授权。在实施时，缓存节点201配置为只读，保证缓存的授权信息不被修改。

在一些实施例中，本发明基于R树的分布式授权方法中，当授权节点获取到所述授权信息后，由授权节点本地缓存所述授权信息；而且，若其它授权节点接收到用户标识与所述授权信息相匹配的授权请求，且对应的R树的搜索操作搜索至所述授权节点时，则将所述授权节点本地缓存的所述授权信息发送给接收到所述授权请求的授权节点。

如图4所示，用户端1发送授权请求1至一级授权节点102。由于授权请求1包括用户端1提供的用户标识和指定的授权节点标识为二级授权节点104的授权节点标识，那么，一级授权节点102根据授权请求1指定的授权节点标识，进行R树的搜索操作。

搜索操作过程为：首先，由一级授权节点102搜索其本地是否存储有该授权节点标识对应的地址信息，即二级授权节点104的地址信息，但是一级授权节点102未存储有二级授权节点104的地址信息，故而需要继续搜索操作。

由于一级授权节点102的父节点为根授权节点100，因此在一级授权节点100上继续搜索操作，根授权节点100必然存储有二级授权节点104的地址信息。因此，在根授权节点100上搜索到该授权节点标识对应的地址信息。

一级授权节点102获得地址信息反馈后，根据该地址信息，访问二级授权节点104，并从二级授权节点104中获取与授权请求1提供的用户标识相匹配的授权信息。而当二级授权节点103获取到授权信息后，将该授权信息发送给用户端1，以实现对用户端1的授权。而且，一级授权节点102获得授权信息后，在本地缓存从二级授权节点104中获取的授权信息。

然后，当用户端N发送授权请求N至二级授权节点105，由于授权请求N中包括用户端N提供的用户标识和指定的授权节点标识为二级授权节点104的授权节点标识，那么，二级授权节点105根据授权请求N指定的授权节点标识，进行R树的搜索操作。

搜索操作过程为：首先，由二级授权节点105搜索其本地是否存储有该授权节点标识对应的地址信息，即二级授权节点104的地址信息，但是二级授权节点105未存储有二级授权节点104的地址信息，故而需要继续搜索操作。

由于二级授权节点105的父节点为一级授权节点102，因此在一级授权节点102上继续搜索操作，但是由于一级授权节点102在本地缓存从二级授权节点104中获取的授权信息，同时，二级授权节点104的授权信息中的授权用户信息指示的被授权的用户标识包含授权请求N的用户标识，即一级授权节点102本地缓存的授权信息与授权请求N的用户标识相匹配，此时，一级授权节点102不再继续搜索操作，而将其本地缓存的授权信息发送给二级授权节点105，再由二级授权节点105将授权信息发送给用户端N，以完成对用户端N的授权。

因此，本发明中，授权节点能够本地缓存其获取到的授权信息，其它授权节点接收到用户标识与该授权信息相匹配的授权请求，且对应的R树的搜索操作搜索至该授权节点时，该授权节点可直接返回其缓存的授权信息，从而缩短获取授权信息的路径，进而减轻整个R树结构中授权节点的工作负担。

在一些实施例中，本发明中，授权信息还包括授权方式信息，用于指示授权属性为一次性授权或时限授权，以及指示授权属性为时限授权时的有效时间。而且，根据所述授权信息中的授权方式信息指示的授权属性，若授权属性为一次性授权，则禁止缓存所述授权信息，若授权属性为时限授权，则允许缓存所述授权信息，并根据所述授权方式信息指示的有效时间，判断缓存的所述授权信息是否失效；若所述授权信息失效，则对缓存的所述授权信息进行失效处理。因此，本发明通过上述方式，能够对缓存节点或授权节点缓存的授权信息进行管控，避免授权信息的被滥用。

在一些实施例中，本发明还提供一种授权节点设备，其包括：

存储器，其存储有程序指令；以及，

处理器，所述程序指令在由所述处理器执行时，实现本发明的基于R树的分布式授权方法。

在一些实施例中，本发明还提供一种计算机可读存储介质，所述计算机可读存储介质存储有程序指令，所述程序指令被执行时，用于实现本发明的基于R树的分布式授权方法。

应该理解到，本发明所揭露的系统或设备，可通过其它的方式实现。例如所述模块的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，模块之间的通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性或其它的形式。

另外，在本发明各个实施例中的各功能模块可以集成在一个处理单元中，也可以是各个模块单独物理存在，也可以两个或两个以上模块集成在一个处理单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可为个人计算机、服务器或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。

Claims (12)

1.一种基于R树的分布式授权方法，其特征在于，应用于构成R树的各个授权节点，所述方法包括：

接收用户端发送的授权请求，所述授权请求包括用户标识和指定的授权节点标识；

根据所述授权请求指定的授权节点标识，进行R树的搜索操作，以搜索到所述授权节点标识对应的地址信息；

根据搜索到的地址信息，访问相应授权节点，以从所述授权节点获取与所述用户标识相匹配的授权信息；以及，将获取到的所述授权信息发送给所述用户端，以实现授权。

2.如权利要求1所述的基于R树的分布式授权方法，其特征在于，所述授权节点标识具有多段标识编码，用于指示授权节点在R树中的层次关系。

3.如权利要求1所述的基于R树的分布式授权方法，其特征在于，所述地址信息包括：授权节点标识、IP地址，以及对应的签名摘要。

4.如权利要求1所述的基于R树的分布式授权方法，其特征在于，所述授权信息包括：服务提供方标识、授权节点标识、授权用户信息以及对应的签名摘要；其中，所述授权用户信息用于指示被授权的用户标识；而且，若所述授权信息中的授权用户信息指示的被授权的用户标识包含所述授权请求的用户标识，则所述授权信息与所述用户标识相匹配。

5.如权利要求4所述的基于R树的分布式授权方法，其特征在于，获取到所述授权信息后，将所述授权信息发送给缓存节点进行缓存；若接收到用户标识与所述授权信息相匹配的授权请求时，则通过所述缓存节点将其缓存的所述授权信息发送给对应的用户端。

6.如权利要求4所述的基于R树的分布式授权方法，其特征在于，获取到所述授权信息后，由授权节点本地缓存所述授权信息；而且，若其它授权节点接收到用户标识与所述授权信息相匹配的授权请求，且对应的R树的搜索操作搜索至所述授权节点时，则将所述授权节点本地缓存的所述授权信息发送给接收到所述授权请求的授权节点。

7.如权利要求5或6所述的基于R树的分布式授权方法，其特征在于，所述授权信息还包括授权方式信息，用于指示授权属性为一次性授权或时限授权，以及指示授权属性为时限授权时的有效时间；

而且，根据所述授权信息中的授权方式信息指示的授权属性，若授权属性为一次性授权，则禁止缓存所述授权信息，若授权属性为时限授权，则允许缓存所述授权信息，并根据所述授权方式信息指示的有效时间，判断缓存的所述授权信息是否失效；若所述授权信息失效，则对缓存的所述授权信息进行失效处理。

8.如权利要求1～6任一项所述的基于R树的分布式授权方法，其特征在于，接收到用户端发送的授权请求后，根据所述授权请求的用户标识，判断是否具备代理关系，若具备所述代理关系，则响应所述授权请求，否则，拒绝响应所述授权请求；其中，所述代理关系根据负载均衡而配置至各个授权节点，用于指示授权节点允许响应的授权请求所包括的用户标识。

9.如权利要求1～6任一项所述的基于R树的分布式授权方法，其特征在于，每个所述授权节点均配置有一对公钥与私钥；其中，所述授权节点的私钥用于对其管理的授权信息进行签名与加密，所述授权节点的公钥用于进行相关的验签与加密。

10.如权利要求1～6任一项所述的基于R树的分布式授权方法，其特征在于，采用非面向连接的多点通信协议实现授权节点之间的数据交互。

11.一种授权节点设备，其特征在于，包括：

存储器，其存储有程序指令；以及，

处理器，所述程序指令在由所述处理器执行时，实现如权利要求1～10任一项所述的基于R树的分布式授权方法。

12.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有程序指令，所述程序指令被执行时，用于实现如权利要求1～10任一项所述的基于R树的分布式授权方法。

Images