CN113128200B - 用于处理信息的方法和装置 - Google Patents

Abstract

本公开实施例公开了用于处理信息的方法和装置。该方法的一具体实施方式包括：根据接收的访问请求生成四元组，其中，上述四元组包括主语、宾语、环境和第一谓语；根据上述第一谓语和预先建立的语法树集合中的语法树对应的第二谓语，从上述语法树集合中确定目标语法树，其中，语法树是基于预先设定的访问控制规则的表达式生成的，访问控制规则为包括表达式、第二谓语和主张的三元组；根据上述目标语法树以及上述访问请求所包括的主语、宾语和环境，确定表达式匹配结果；根据上述表达式匹配结果和上述目标语法树对应的主张，确定上述访问请求是否具有访问权限，得到访问权限确定结果。该实施方式简化了访问控制的复杂度，降低了成本。

Description

用于处理信息的方法和装置

技术领域

本公开实施例涉及计算机技术领域，具体涉及用于处理信息的方法和装置。

背景技术

在公共网络环境(例如因特网)中，存在着很多恶意用户，访问控制对于数据和系统的安全防护至关重要。在可信的网络环境(例如公司内网)中，为了防止误操作，亦或是为了保护公司机密数据，访问控制也有着不可或缺的作用。现阶段，可以根据具体的应用场景来开发对应的访问控制服务。举例来说，对于公司的企业资源计划(Enterprise ResourcePlanning，ERP)系统，用户登陆后，会获取到自己的身份信息。当用户在系统中进行操作时，系统会从数据库中加载预设的规则，并根据规则对每个操作进行权限检查(例如，老板身份可以查看所有员工的薪资信息，而员工身份只能查看自己的薪资信息)，这样就能达到访问控制的目的。由于访问控制的规则变化多端，应用场景也非常复杂，针对每个应用场景单独开发访问控制服务成本巨大，也容易造成冗余。

发明内容

本公开实施例提出了用于处理信息的方法和装置。

第一方面，本公开实施例提供了一种用于处理信息的方法，该方法包括：根据接收的访问请求生成四元组，其中，上述四元组包括主语、宾语、环境和第一谓语；根据上述第一谓语和预先建立的语法树集合中的语法树对应的第二谓语，从上述语法树集合中确定目标语法树，其中，语法树是基于预先设定的访问控制规则的表达式生成的，访问控制规则为包括表达式、第二谓语和主张的三元组；根据上述目标语法树以及上述访问请求所包括的主语、宾语和环境，确定表达式匹配结果；根据上述表达式匹配结果和上述目标语法树对应的主张，确定上述访问请求是否具有访问权限，得到访问权限确定结果。

在一些实施例中，上述方法还包括：将上述访问权限确定结果进行发送，以供接收方根据上述访问权限确定结果确定是否针对上述访问请求开放访问权限。

在一些实施例中，上述方法还包括：接收访问控制规则，以及根据接收的访问控制规则生成语法树存储到上述语法树集合。

在一些实施例中，上述根据上述目标语法树以及上述访问请求所包括的主语、宾语和环境，确定表达式匹配结果，包括：分别根据上述访问请求中的主语、宾语和环境生成键值对；根据生成的键值对和上述目标语法树，确定表达式匹配结果。

在一些实施例中，上述根据生成的键值对和上述目标语法树，确定表达式匹配结果，包括：后序遍历上述目标语法树，将遍历到的第一节点作为当前节点，执行以下计算步骤：响应于确定当前节点为叶子节点，将当前节点所存储数据的数据类别确定为目标数据类别，以及确定上述目标数据类别是否为主语、宾语或者环境，如果是，则从生成的键值对中获取与当前节点所存储数据相同的键对应的值，并将获取的值存储到预先建立的栈中；如果不是，则将当前节点所存储的数据存储到上述栈中；响应于确定当前节点不为叶子节点，从上述栈中读取数据并判断读取的数据是否满足当前节点的运算规则，如果满足，则进行相应的运算，并将运算结果存储到上述栈中；如果不满足，则生成为假的声明，终止遍历；判断当前节点是否为遍历到的最后一个节点；如果是，则将上述栈中栈顶存储的数据确定为表达式匹配结果；如果不是，则将遍历到的当前节点的下一个节点作为当前节点，继续执行上述计算步骤。

第二方面，本公开实施例提供了一种用于处理信息的装置，装置包括：生成单元，被配置成根据接收的访问请求生成四元组，其中，上述四元组包括主语、宾语、环境和第一谓语；第一确定单元，被配置成根据上述第一谓语和预先建立的语法树集合中的语法树对应的第二谓语，从上述语法树集合中确定目标语法树，其中，语法树是基于预先设定的访问控制规则的表达式生成的，访问控制规则为包括表达式、第二谓语和主张的三元组；第二确定单元，被配置成根据上述目标语法树以及上述访问请求所包括的主语、宾语和环境，确定表达式匹配结果；第三确定单元，被配置成根据上述表达式匹配结果和上述目标语法树对应的主张，确定上述访问请求是否具有访问权限，得到访问权限确定结果。

在一些实施例中，上述装置还包括：发送单元，被配置成将上述访问权限确定结果进行发送，以供接收方根据上述访问权限确定结果确定是否针对上述访问请求开放访问权限。

在一些实施例中，上述装置还包括：存储单元，被配置成接收访问控制规则，以及根据接收的访问控制规则生成语法树存储到上述语法树集合。

在一些实施例中，上述第二确定单元包括：键值对生成单元，被配置成分别根据上述访问请求中的主语、宾语和环境生成键值对；结果确定单元，被配置成根据生成的键值对和上述目标语法树，确定表达式匹配结果。

在一些实施例中，上述结果确定单元进一步被配置成：后序遍历上述目标语法树，将遍历到的第一节点作为当前节点，执行以下计算步骤：响应于确定当前节点为叶子节点，将当前节点所存储数据的数据类别确定为目标数据类别，以及确定上述目标数据类别是否为主语、宾语或者环境，如果是，则从生成的键值对中获取与当前节点所存储数据相同的键对应的值，并将获取的值存储到预先建立的栈中；如果不是，则将当前节点所存储的数据存储到上述栈中；响应于确定当前节点不为叶子节点，从上述栈中读取数据并判断读取的数据是否满足当前节点的运算规则，如果满足，则进行相应的运算，并将运算结果存储到上述栈中；如果不满足，则生成为假的声明，终止遍历；判断当前节点是否为遍历到的最后一个节点；如果是，则将上述栈中栈顶存储的数据确定为表达式匹配结果；如果不是，则将遍历到的当前节点的下一个节点作为当前节点，继续执行上述计算步骤。

第三方面，本公开实施例提供了一种设备，该设备包括：一个或多个处理器；存储装置，其上存储有一个或多个程序，当上述一个或多个程序被上述一个或多个处理器执行时，使得上述一个或多个处理器实现如第一方面中任一实现方式描述的方法。

第四方面，本公开实施例提供了一种计算机可读介质，其上存储有计算机程序，其中，该计算机程序被处理器执行时实现如第一方面中任一实现方式描述的方法。

本公开实施例提供的用于处理信息的方法和装置，首先根据接收的访问请求生成四元组。之后，根据四元组的第一谓语和语法树集合中的语法树对应的第二谓语，从语法树集合中确定目标语法树。然后，根据目标语法树以及访问请求所包括的主语、宾语和环境确定表达式匹配结果。最后，根据表达式匹配结果和目标语法树对应的主张，确定访问请求是否具有访问权限，得到访问权限确定结果。从而利用基于访问控制规则生成的语法树就可以实现对访问请求的访问权限的控制，不需要针对每个应用场景单独开发访问控制服务，从而简化了访问控制的复杂度，降低了成本。

附图说明

通过阅读参照以下附图所作的对非限制性实施例所作的详细描述，本公开的其它特征、目的和优点将会变得更明显：

图1是本公开的一个实施例可以应用于其中的示例性系统架构图；

图2是根据本公开的用于处理信息的方法的一个实施例的流程图；

图3是根据访问控制规则的表达式生成的语法树的示意图；

图4是根据本公开的用于处理信息的方法的一个应用场景的示意图；

图5是根据本公开的用于处理信息的方法的又一个实施例的流程图；

图6是根据本公开的用于处理信息的装置的一个实施例的结构示意图；

图7是适于用来实现本公开实施例的电子设备的计算机系统的结构示意图。

具体实施方式

下面结合附图和实施例对本公开作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释相关发明，而非对该发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与有关发明相关的部分。

需要说明的是，在不冲突的情况下，本公开中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本公开。

图1示出了可以应用本公开实施例的用于处理信息的方法或用于处理信息的装置的示例性系统架构100。

如图1所示，系统架构100可以包括终端设备101、102、103，网络104和服务器105。网络104用以在终端设备101、102、103和服务器105之间提供通信链路的介质。网络104可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。

用户可以使用终端设备101、102、103通过网络104与服务器105交互，以接收或发送消息等。终端设备101、102、103上可以安装有各种通讯客户端应用，例如网页浏览器应用、购物类应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件等。

终端设备101、102、103可以是硬件，也可以是软件。当终端设备101、102、103为硬件时，可以是支持信息(例如访问请求)发送的各种电子设备，包括但不限于智能手机、平板电脑、电子书阅读器、MP3播放器(Moving Picture Experts Group Audio Layer III，动态影像专家压缩标准音频层面3)、MP4(Moving Picture Experts Group Audio Layer IV，动态影像专家压缩标准音频层面4)播放器、膝上型便携计算机和台式计算机等等。当终端设备101、102、103为软件时，可以安装在上述所列举的电子设备中。其可以实现成多个软件或软件模块(例如用来提供分布式服务)，也可以实现成单个软件或软件模块。在此不做具体限定。

服务器105可以是提供各种服务的服务器，例如对终端设备101、102、103发送的访问请求进行分析的后台服务器。后台服务器可以对接收到的访问请求等数据进行分析等处理，并将处理结果(例如是否具有访问权限)反馈给终端设备。

需要说明的是，服务器105可以是硬件，也可以是软件。当服务器105为硬件时，可以实现成多个服务器组成的分布式服务器集群，也可以实现成单个服务器。当服务器105为软件时，可以实现成多个软件或软件模块(例如用来提供分布式服务)，也可以实现成单个软件或软件模块。在此不做具体限定。

应该理解，图1中的终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。

需要说明的是，本公开实施例所提供的用于处理信息的方法可以由终端设备101、102、103执行，也可以由服务器105执行。相应地，用于处理信息的装置可以设置于终端设备101、102、103中，也可以设置于服务器105中。

继续参考图2，示出了根据本公开的用于处理信息的方法的一个实施例的流程200。该用于处理信息的方法，包括以下步骤：

步骤201，根据接收的访问请求生成四元组。

在本实施例中，用于处理信息的方法的执行主体(例如图1所示的终端设备101、102、103或者服务器105)首先可以接收访问请求。举例来说，当执行主体为终端设备时，执行主体可以接收用户发送的访问请求。当执行主体为服务器时，执行主体可以从用户所使用的终端接收访问请求。实践中，针对不同的应用场景，访问请求可以包括不同信息。以使用ID卡(Identification Card，身份识别卡)的门禁系统为例，访问请求可以包括ID卡的卡号、访问时间、所访问设备的设备号等等。之后，执行主体可以根据访问请求生成四元组，例如，执行主体可以对访问请求中包括的信息进行分析处理，从而得到四元组。这里，四元组可以包括主语、宾语、环境和第一谓语。其中，主语可以是指提出访问请求的请求方，是某一操作动作的发起者。作为示例，主语(Subject)可以是某一个用户，也可以是用户启动的进程、服务和设备等等。宾语(Objective)可以是指被访问资源的实体，被操作的信息、资源、对象等等都可以是宾语，作为示例，宾语可以是信息、文件、记录等，也可以是网络上的硬件设施、终端等等。环境(Environment)可以是指发送访问请求时的环境信息，例如，访问请求的发送时间。第一谓语(Action)可以是指请求要执行的操作动作。

结合上述描述，访问请求对应的四元组可以如下表示：<Subject，Objective，Environment，Action>。为了更清楚的对访问请求的四元组进行解释，下面例举了几个访问请求的示例：

示例一，name＝‘zhangsan’的用户想要登陆系统，其中，name表示名称。该访问请求对应的四元组可以表示为：

<subject.name＝‘zhangsan’,null，null，login>。其中，null表示为空，即不提供该元素信息。

示例二，id＝‘deviceA’的设备想要连接id＝‘deviceB’的设备。该访问请求对应的四元组可以表示为：

<subject.id＝‘deviceA’,objective.id＝‘deviceB’，null，connect>，其中，connect可以表示连接。

示例三，test(测试)账户想要登陆生产环境。该访问请求对应的四元组可以表示为：

<subject.tag＝’test’,null,environment.type＝’prod’,login>，其中，subject.tag＝’test’可以表示主语标签为测试，environment.type＝’prod’可以表示环境的类型为生产环境，login可以表示登录。

步骤202，根据第一谓语和预先建立的语法树集合中的语法树对应的第二谓语，从语法树集合中确定目标语法树。

在本实施例中，执行主体内部可以预先存储有语法树集合，该语法树集合中的语法树可以是基于预先设定的访问控制规则的表达式生成的。这里，访问控制规则可以是包括表达式(Expression)、第二谓语(Action)和主张(Proposition)的三元组。其中，表达式可以是指定义的规则的表达式。第二谓语可以是指操作动作。主张可以是指在满足表达式的条件下，对是否执行第二谓语对应的操作动作的主张，主张可以包括允许(allow)和(deny)拒绝。实践中，访问控制规则对应的三元组可以表示为：<Expression，Action，Proposition>。为了更清楚的对访问控制规则进行解释，下面例举了几个访问控制规则的示例：

示例一，所有员工可以访问自己的员工信息。该访问控制规则对应的三元组可以表示为：

<”subject.name＝＝objective.name”,requestInfo,allow>。其中，requestInfo可以表示请求信息。

示例二，禁止设备A连接设备C。该访问控制规则对应的三元组可以表示为：

<“subject.id＝＝‘deviceA’&&objective.id＝＝‘deviceC’”,connect,deny>。

示例三，标记为’test’的账号只允许登陆test环境，该访问控制规则对应的三元组可以表示为：

<”subject.tag＝＝‘test’&&environment.type＝＝‘test’”,login,allow>。

这里，执行主体可以采用各种方法根据访问控制规则中的表达式生成语法树。举例来说，首先可以将访问控制规则中的表达式转化为程序可以计算的形式，作为示例，可以使用预先定义的基于属性的访问控制表达式语言来描述表达式。此处，基于属性的访问控制表达式可以包含Subject、Objective、Environment等等元素，上述元素均为属性集合，形式为键值对(KV)，其中，Value可以为基本类型：Boolean、String、Number等。基于属性的访问控制表达式语言的语法形式可以与JavaScript的表达式类似，支持多种操作符。之后，可以采用javaCC(Java Compiler Compiler)来构建上述基于属性的访问控制表达式语言的语法树。javaCC可以根据定义好的语法，自动生成程序代码，来将一段表达式转化为树形结构的语法树形式。作为示例，以访问控制规则：设备id为A的设备可以连接设备B，以及对应的三元组<“subject.id＝＝‘deviceA’&&objective.id＝＝‘deviceB’”,connect,allow>中的表达式：subject.id＝＝‘deviceA’&&objective.id＝＝‘deviceB’为例，可以得到如图3所示的语法树，其中，语法树的叶子节点node4、node5、node6和node7可以用于存储数据，非叶子节点node2、node3和node1可以用于存储运算的运算规则，即运算的操作符。可以理解的是，本例中根据需要只涉及了“＝＝”和“&&”两种操作符，而非对操作符的限定。实践中，可以根据具体情况设置其他操作符，例如“+”，“-”等。

执行主体可以根据第一谓语和语法树集合中的各语法树对应的第二谓语，从语法树集合中选取语法树作为目标语法树。举例来说，执行主体可以选取语法树集合中的、所对应第二谓语与第一谓语相同的语法数作为目标语法树。

步骤203，根据目标语法树以及访问请求所包括的主语、宾语和环境，确定表达式匹配结果。

在本实施例中，执行主体可以根据上述目标语法树以及上述访问请求所包括的主语、宾语和环境，确定表达式匹配结果。作为示例，表达式匹配结果可以包括匹配和不匹配。具体的，执行主体可以通过遍历目标语法树来判断访问请求所包括的主语、宾语和环境是否与访问控制规则的表达式相匹配。

在本实施例的一些可选的实现方式中，上述步骤203可以具体包括以下内容：

步骤S1，分别根据访问请求中的主语、宾语和环境生成键值对。

在本实现方式中，访问请求中的主语、宾语和环境可以包括数据类别和数据值。这样，执行主体可以分别根据访问请求中的主语、宾语和环境生成键值对。作为一个示例，执行主体可以将数据类别作为键，将数据值作为值，生成键值对。作为另一个示例，执行主体可以将数据类别的哈希值作为键，将数据值作为值，生成键值对。具体的，执行主体可以将访问请求中的主语、宾语和环境中的信息转化为Map(将键映射到值的对象)。

举例来说，以访问请求“设备A请求连接设备B”为例，该请求对应的四元组为：<subject.id＝’deviceA’，objective.id＝’deviceB’，null，connect>，该访问请求的主语、宾语和环境分别可以转化为：subject＝Map(“id”,”deviceA”)，objective＝Map(“id”,”deviceB”)，environment＝Map()。以访问请求“设备A请求连接设备C”为例，该访问请求所对应的四元组可以为：<subject.id＝’deviceA’，objective.id＝’deviceC’，null，connect>，该访问请求的主语、宾语和环境分别可以转化为：subject＝Map(“id”,”deviceA”)，objective＝Map(“id”，”deviceC”)，environment＝Map()。

步骤S2，根据生成的键值对和目标语法树，确定表达式匹配结果。

在本实现方式中，执行主体可以根据步骤S1生成的键值对和目标语法树，确定表达式匹配结果。作为示例，执行主体可以通过遍历目标语法树和查找键值对来判断访问请求是否与访问控制规则的表达式相匹配。

在一些可选的实现方式中，上述步骤S2可以具体如下进行：

首先，后序遍历目标语法树，将遍历到的第一节点作为当前节点，执行以下计算步骤：响应于确定当前节点为叶子节点，将当前节点所存储数据的数据类别确定为目标数据类别，以及确定目标数据类别是否为主语、宾语或者环境，如果是，则从生成的键值对中获取与当前节点所存储数据相同的键对应的值，并将获取的值存储到预先建立的栈中；如果不是，则将当前节点所存储的数据存储到栈中；响应于确定当前节点不为叶子节点，从栈中读取数据并判断读取的数据是否满足当前节点的运算规则，如果满足，则进行相应的运算，并将运算结果存储到栈中；如果不满足，则生成为假的声明，终止遍历，即上述计算步骤结束；将运算结果存储到栈中后，判断当前节点是否为遍历到的最后一个节点；如果是，则将栈中栈顶存储的数据确定为表达式匹配结果，即上述计算步骤结束；

然后，如果不是，则将遍历到的当前节点的下一个节点作为当前节点，继续执行计算步骤。

在本实现方式中，以访问请求为“设备A请求连接设备B”，访问控制规则为“设备id为A的设备可以连接设备B”为例，该访问请求对应的四元组为：<subject.id＝’deviceA’，objective.id＝’deviceB’，null，connect>，该访问请求的主语、宾语和环境分别可以转化为：subject＝Map(“id”,”deviceA”)，objective＝Map(“id”,”deviceB”)，environment＝Map()。该访问控制规则对应的三元组<“subject.id＝＝‘deviceA’&&objective.id＝＝‘deviceB’”,connect,allow>中的表达式：subject.id＝＝‘deviceA’&&objective.id＝＝‘deviceB’对应的语法树如图3所示。

执行主体可以定义一个栈，stack＝Stack()。而后，对图3中的语法树进行后序遍历：

1)访问节点node4。node4是一个叶子节点，获取到其存储数据的数据类别为主语(Subject)，获取到其存储数据的值为’id’，则从subject的Map中查询key为’id’的value，得到value为”deviceA”。将”deviceA”推入到stack。此时，stack＝Stack(“deviceA”)

2)访问节点node5。node5是一个叶子节点，获取到其存储数据的数据类别为String，获取到其存储数据的值为’deviceA’。将”deviceA”推入到stack。此时，stack＝Stack(“deviceA”,”deviceA”)。

3)访问节点node2。node2是非叶子节点，获取到其存储的数据为”＝＝”，按照“＝＝”的运算规则，将stack pop一个值出来，得到右操作数right＝”deviceA”。这里，由于是后序遍历，因此先pop出来的是右操作数。再pop一个，得到左操作数left＝”deviceA”。由于left和right类型都是String，因此，判断读取的数据满足当前节点的运算规则。之后，按照String的“＝＝”运算规则进行相应的运算，即，逐字符判断两个字符是否相等。这里，判断结果为相等，将true推入stack，此时stack＝Stack(true)。

4)访问节点node6。和步骤1)中访问节点node4类似。将Objective中‘id’对应的value“deviceB”推入stack，此时，stack＝Stack(true,“deviceB”)

5)访问节点node7，和步骤2)中访问节点node5类似。将节点node7的值“deviceB”推到stack，此时stack＝Stack(true,“deviceB”,“deviceB”)。

6)访问节点node3，和步骤3)中访问节点node2类似。右操作数right＝stack.pop()＝”deviceB”，左操作数left＝stack.pop()＝”deviceB”。可以看到left＝＝right。因此，将结果true推到stack，此时stack＝Stack(true,true)。

7)访问节点node1。node1是非叶子节点，其存储的数据为”&&”，即，布尔表达式的“与”操作。同样，获取右操作数rigth＝stack.pop()＝true，左操作数left＝stack.pop()＝true。可以看到，left和right“与”操作的结果为true。将结果推入stack,此时stack＝Stack(true)。

8)此时，语法树遍历完成，将stack的结果pop出来：result＝stack.pop()＝true。即“true”为本例的表达式匹配结果。

步骤204，根据表达式匹配结果和目标语法树对应的主张，确定访问请求是否具有访问权限，得到访问权限确定结果。

在本实施例中，执行主体可以根据步骤203得到的表达式匹配结果和目标语法树对应的主张，确定上述访问请求是否具有访问权限，从而得到访问权限确定结果。作为一个示例，当上述表达式匹配结果为匹配时，可以将目标语法数据对应的主张确定为访问权限确定结果。当上述表达式匹配结果为不匹配时，可以将与目标语法数据对应的主张相反的主张，作为访问权限确定结果。

在本实施例的一些可选的实现方式中，上述用于处理信息的方法还可以包括以下内容：接收访问控制规则，以及根据接收的访问控制规则生成语法树存储到语法树集合。

在本实施例中，执行主体还可以接收访问控制规则，并根据接收到的访问控制规则生成语法树存储到上述语法树集合。实践中，访问控制规则的管理者可以向执行主体发送增、删、改、查操作指令，从而实现对访问控制规则的管理。在本实现方式中，管理者通过发送访问控制规则就可以方便、快捷的实现对访问控制规则的配置，从而使执行主体可以提供相应的访问控制服务。

继续参见图4，图4是根据本实施例的用于处理信息的方法的应用场景的一个示意图。在图4的应用场景中，服务器401首先，根据接收的访问请求“设备A请求连接设备B”生成四元组<subject.id＝’deviceA’，objective.id＝’deviceB’，null，connect>，其中，四元组包括主语、宾语、环境和第一谓语。之后，服务器401根据第一谓语“connect”和预先建立的语法树集合中的语法树对应的第二谓语，从语法树集合中确定目标语法树402，其中，语法树是基于预先设定的访问控制规则的表达式生成的，访问控制规则为包括表达式、第二谓语和主张的三元组。这里，目标语法树402是基于访问控制规则<“subject.id＝＝‘deviceA’&&objective.id＝＝‘deviceB’”,connect,allow>生成的。然后，服务器401根据目标语法树402以及访问请求所包括的主语、宾语和环境，确定表达式匹配结果为“true”。然后，服务器401根据表达式匹配结果“true”和目标语法树402对应的主张“allow”，确定访问请求具有访问权限，得到访问权限确定结果“allow”。

本公开的上述实施例提供的方法首先可以基于访问控制规则生成语法树，而后基于访问请求的四元组和语法树集合实现访问权限的控制，从而利用基于访问控制规则生成的语法树就可以实现对访问请求的访问权限的控制，不需要针对每个应用场景单独开发访问控制服务，从而简化了访问控制的复杂度，降低了成本。

进一步参考图5，其示出了用于处理信息的方法的又一个实施例的流程500。该用于处理信息的方法的流程500，包括以下步骤：

步骤501，根据接收的访问请求生成四元组。

在本实施例中，步骤501与图2所示实施例的步骤201类似，此处不再赘述。

步骤502，根据第一谓语和预先建立的语法树集合中的语法树对应的第二谓语，从语法树集合中确定目标语法树。

在本实施例中，步骤502与图2所示实施例的步骤202类似，此处不再赘述。

步骤503，根据目标语法树以及访问请求所包括的主语、宾语和环境，确定表达式匹配结果。

在本实施例中，步骤503与图2所示实施例的步骤203类似，此处不再赘述。

步骤504，根据表达式匹配结果和目标语法树对应的主张，确定访问请求是否具有访问权限，得到访问权限确定结果。

在本实施例中，步骤504与图2所示实施例的步骤204类似，此处不再赘述。

步骤505，将访问权限确定结果进行发送，以供接收方根据访问权限确定结果确定是否针对访问请求开放访问权限。

在本实施例中，执行主体可以将步骤504中得到的访问权限确定结果进行发送，发送给接收方。这样，接收方可以根据访问权限确定结果确定是否针对上述访问请求开放访问权限。

从图5中可以看出，与图2对应的实施例相比，本实施例中的用于处理信息的方法的流程500突出了将访问权限确定结果进行发送，以供接收方确定是否针对访问请求开放访问权限的步骤。由此，本实施例描述的方案中的接收方可以获取针对访问请求的访问权限确定结果，从而实现了远程过程调用的应用场景下的访问权限控制。

进一步参考图6，作为对上述各图所示方法的实现，本公开提供了一种用于处理信息的装置的一个实施例，该装置实施例与图2所示的方法实施例相对应，该装置具体可以应用于各种电子设备中。

如图6所示，本实施例的用于处理信息的装置600包括：生成单元601、第一确定单元602、第二确定单元603和第三确定单元604。其中，生成单元601被配置成根据接收的访问请求生成四元组，其中，上述四元组包括主语、宾语、环境和第一谓语；第一确定单元602被配置成根据上述第一谓语和预先建立的语法树集合中的语法树对应的第二谓语，从上述语法树集合中确定目标语法树，其中，语法树是基于预先设定的访问控制规则的表达式生成的，访问控制规则为包括表达式、第二谓语和主张的三元组；第二确定单元603被配置成根据上述目标语法树以及上述访问请求所包括的主语、宾语和环境，确定表达式匹配结果；第三确定单元604被配置成根据上述表达式匹配结果和上述目标语法树对应的主张，确定上述访问请求是否具有访问权限，得到访问权限确定结果。

在本实施例中，用于处理信息的装置600的生成单元601、第一确定单元602、第二确定单元603和第三确定单元604的具体处理及其所带来的技术效果可分别参考图2对应实施例中步骤201、步骤202、步骤203和步骤204的相关说明，在此不再赘述。

在本实施例的一些可选的实现方式中，上述装置600还包括：发送单元(图中未示出)，被配置成将上述访问权限确定结果进行发送，以供接收方根据上述访问权限确定结果确定是否针对上述访问请求开放访问权限。

在本实施例的一些可选的实现方式中，上述装置600还包括：存储单元(图中未示出)，被配置成接收访问控制规则，以及根据接收的访问控制规则生成语法树存储到上述语法树集合。

在本实施例的一些可选的实现方式中，上述第二确定单元603包括：键值对生成单元(图中未示出)，被配置成分别根据上述访问请求中的主语、宾语和环境生成键值对；结果确定单元(图中未示出)，被配置成根据生成的键值对和上述目标语法树，确定表达式匹配结果。

在本实施例的一些可选的实现方式中，上述结果确定单元进一步被配置成：后序遍历上述目标语法树，将遍历到的第一节点作为当前节点，执行以下计算步骤：响应于确定当前节点为叶子节点，将当前节点所存储数据的数据类别确定为目标数据类别，以及确定上述目标数据类别是否为主语、宾语或者环境，如果是，则从生成的键值对中获取与当前节点所存储数据相同的键对应的值，并将获取的值存储到预先建立的栈中；如果不是，则将当前节点所存储的数据存储到上述栈中；响应于确定当前节点不为叶子节点，从上述栈中读取数据并判断读取的数据是否满足当前节点的运算规则，如果满足，则进行相应的运算，并将运算结果存储到上述栈中；如果不满足，则生成为假的声明，终止遍历；判断当前节点是否为遍历到的最后一个节点；如果是，则将上述栈中栈顶存储的数据确定为表达式匹配结果；如果不是，则将遍历到的当前节点的下一个节点作为当前节点，继续执行上述计算步骤。

下面参考图7，其示出了适于用来实现本公开的实施例的电子设备(例如图1中的服务器或终端设备)700的结构示意图。图7示出的电子设备仅仅是一个示例，不应对本公开的实施例的功能和使用范围带来任何限制。

如图7所示，电子设备700可以包括处理装置(例如中央处理器、图形处理器等)701，其可以根据存储在只读存储器(ROM)702中的程序或者从存储装置708加载到随机访问存储器(RAM)703中的程序而执行各种适当的动作和处理。在RAM 703中，还存储有电子设备700操作所需的各种程序和数据。处理装置701、ROM 702以及RAM 703通过总线704彼此相连。输入/输出(I/O)接口705也连接至总线704。

通常，以下装置可以连接至I/O接口705：包括例如触摸屏、触摸板、键盘、鼠标、摄像头、麦克风、加速度计、陀螺仪等的输入装置706；包括例如液晶显示器(LCD)、扬声器、振动器等的输出装置707；包括例如磁带、硬盘等的存储装置708；以及通信装置709。通信装置709可以允许电子设备700与其他设备进行无线或有线通信以交换数据。虽然图7示出了具有各种装置的电子设备700，但是应理解的是，并不要求实施或具备所有示出的装置。可以替代地实施或具备更多或更少的装置。图7中示出的每个方框可以代表一个装置，也可以根据需要代表多个装置。

特别地，根据本公开的实施例，上文参考流程图描述的过程可以被实现为计算机软件程序。例如，本公开的实施例包括一种计算机程序产品，其包括承载在计算机可读介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信装置709从网络上被下载和安装，或者从存储装置708被安装，或者从ROM 702被安装。在该计算机程序被处理装置701执行时，执行本公开的实施例的方法中限定的上述功能。

需要说明的是，本公开的实施例所述的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开的实施例中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本公开的实施例中，计算机可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读信号介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：电线、光缆、RF(射频)等等，或者上述的任意合适的组合。

上述计算机可读介质可以是上述电子设备中所包含的；也可以是单独存在，而未装配入该电子设备中。上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被该电子设备执行时，使得该电子设备：根据接收的访问请求生成四元组，其中，上述四元组包括主语、宾语、环境和第一谓语；根据上述第一谓语和预先建立的语法树集合中的语法树对应的第二谓语，从上述语法树集合中确定目标语法树，其中，语法树是基于预先设定的访问控制规则的表达式生成的，访问控制规则为包括表达式、第二谓语和主张的三元组；根据上述目标语法树以及上述访问请求所包括的主语、宾语和环境，确定表达式匹配结果；根据上述表达式匹配结果和上述目标语法树对应的主张，确定上述访问请求是否具有访问权限，得到访问权限确定结果。

可以以一种或多种程序设计语言或其组合来编写用于执行本公开的实施例的操作的计算机程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、Smalltalk、C++，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络——包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。

附图中的流程图和框图，图示了按照本公开各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，该模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

描述于本公开的实施例中所涉及到的单元可以通过软件的方式实现，也可以通过硬件的方式来实现。所描述的单元也可以设置在处理器中，例如，可以描述为：一种处理器包括生成单元、第一确定单元、第二确定单元和第三确定单元。其中，这些单元的名称在某种情况下并不构成对该单元本身的限定，例如，生成单元还可以被描述为“根据接收的访问请求生成四元组的单元”。

以上描述仅为本公开的较佳实施例以及对所运用技术原理的说明。本领域技术人员应当理解，本公开的实施例中所涉及的发明范围，并不限于上述技术特征的特定组合而成的技术方案，同时也应涵盖在不脱离上述发明构思的情况下，由上述技术特征或其等同特征进行任意组合而形成的其它技术方案。例如上述特征与本公开的实施例中公开的(但不限于)具有类似功能的技术特征进行互相替换而形成的技术方案。

Claims (10)

1.一种用于处理信息的方法，包括：

根据接收的访问请求生成四元组，其中，所述四元组包括主语、宾语、环境和第一谓语，所述主语指提出所述访问请求的请求方，宾语指被访问资源的实体，所述环境指发送所述访问请求时的环境信息，所述第一谓语指请求要执行的操作动作；

根据所述第一谓语和预先建立的语法树集合中的语法树对应的第二谓语，从所述语法树集合中确定目标语法树，其中，语法树是基于预先设定的访问控制规则的表达式生成的，访问控制规则为包括表达式、第二谓语和主张的三元组，所述主张指在满足所述表达式的条件下，对是否执行所述第二谓语对应的操作动作的主张，所述语法树的叶子节点用于存储数据，非叶子节点用于存储运算的运算规则；

根据所述目标语法树以及所述访问请求所包括的主语、宾语和环境，确定表达式匹配结果；

根据所述表达式匹配结果和所述目标语法树对应的主张，确定所述访问请求是否具有访问权限，得到访问权限确定结果；

其中，所述目标语法树以及所述访问请求所包括的主语、宾语和环境，确定表达式匹配结果，包括：

分别根据所述访问请求中的主语、宾语和环境生成键值对；

根据生成的键值对和所述目标语法树，确定表达式匹配结果。

2.根据权利要求1所述的方法，其中，所述方法还包括：

将所述访问权限确定结果进行发送，以供接收方根据所述访问权限确定结果确定是否针对所述访问请求开放访问权限。

3.根据权利要求1所述的方法，其中，所述方法还包括：

接收访问控制规则，以及根据接收的访问控制规则生成语法树存储到所述语法树集合。

4.根据权利要求1所述的方法，其中，所述根据生成的键值对和所述目标语法树，确定表达式匹配结果，包括：

后序遍历所述目标语法树，将遍历到的第一节点作为当前节点，执行以下计算步骤：响应于确定当前节点为叶子节点，将当前节点所存储数据的数据类别确定为目标数据类别，以及确定所述目标数据类别是否为主语、宾语或者环境，如果是，则从生成的键值对中获取与当前节点所存储数据相同的键对应的值，并将获取的值存储到预先建立的栈中；如果不是，则将当前节点所存储的数据存储到所述栈中；响应于确定当前节点不为叶子节点，从所述栈中读取数据并判断读取的数据是否满足当前节点的运算规则，如果满足，则进行相应的运算，并将运算结果存储到所述栈中；如果不满足，则生成为假的声明，终止遍历；判断当前节点是否为遍历到的最后一个节点；如果是，则将所述栈中栈顶存储的数据确定为表达式匹配结果；

如果不是，则将遍历到的当前节点的下一个节点作为当前节点，继续执行所述计算步骤。

5.一种用于处理信息的装置，包括：

生成单元，被配置成根据接收的访问请求生成四元组，其中，所述四元组包括主语、宾语、环境和第一谓语，所述主语指提出所述访问请求的请求方，宾语指被访问资源的实体，所述环境指发送所述访问请求时的环境信息，所述第一谓语指请求要执行的操作动作；

第一确定单元，被配置成根据所述第一谓语和预先建立的语法树集合中的语法树对应的第二谓语，从所述语法树集合中确定目标语法树，其中，语法树是基于预先设定的访问控制规则的表达式生成的，访问控制规则为包括表达式、第二谓语和主张的三元组，所述主张指在满足所述表达式的条件下，对是否执行所述第二谓语对应的操作动作的主张，所述语法树的叶子节点用于存储数据，非叶子节点用于存储运算的运算规则；

第二确定单元，被配置成根据所述目标语法树以及所述访问请求所包括的主语、宾语和环境，确定表达式匹配结果；

第三确定单元，被配置成根据所述表达式匹配结果和所述目标语法树对应的主张，确定所述访问请求是否具有访问权限，得到访问权限确定结果；

其中，所述第二确定单元包括：

键值对生成单元，被配置成分别根据所述访问请求中的主语、宾语和环境生成键值对；

结果确定单元，被配置成根据生成的键值对和所述目标语法树，确定表达式匹配结果。

6.根据权利要求5所述的装置，其中，所述装置还包括：

发送单元，被配置成将所述访问权限确定结果进行发送，以供接收方根据所述访问权限确定结果确定是否针对所述访问请求开放访问权限。

7.根据权利要求5所述的装置，其中，所述装置还包括：

存储单元，被配置成接收访问控制规则，以及根据接收的访问控制规则生成语法树存储到所述语法树集合。

8.根据权利要求5所述的装置，其中，所述结果确定单元进一步被配置成：

后序遍历所述目标语法树，将遍历到的第一节点作为当前节点，执行以下计算步骤：响应于确定当前节点为叶子节点，将当前节点所存储数据的数据类别确定为目标数据类别，以及确定所述目标数据类别是否为主语、宾语或者环境，如果是，则从生成的键值对中获取与当前节点所存储数据相同的键对应的值，并将获取的值存储到预先建立的栈中；如果不是，则将当前节点所存储的数据存储到所述栈中；响应于确定当前节点不为叶子节点，从所述栈中读取数据并判断读取的数据是否满足当前节点的运算规则，如果满足，则进行相应的运算，并将运算结果存储到所述栈中；如果不满足，则生成为假的声明，终止遍历；判断当前节点是否为遍历到的最后一个节点；如果是，则将所述栈中栈顶存储的数据确定为表达式匹配结果；

如果不是，则将遍历到的当前节点的下一个节点作为当前节点，继续执行所述计算步骤。

9.一种设备，包括：

一个或多个处理器；

存储装置，其上存储有一个或多个程序，

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如权利要求1-4中任一所述的方法。

10.一种计算机可读介质，其上存储有计算机程序，其中，所述程序被处理器执行时实现如权利要求1-4中任一所述的方法。