CN113312661B - 用户授权系统、方法、装置及电子设备 - Google Patents

Abstract

本发明实施例涉及互联网技术领域，公开了一种用户授权系统、方法、装置及电子设备。该系统包括主体对象管理模块、媒介体管理模块、客体对象管理模块、用户管理模块和权限管理模块；所述主体对象管理模块，用于对主体对象进行管理，所述主体对象包括多个第一用户属性；所述媒介体管理模块，用于对媒介体进行管理，所述媒介体包括多个第二用户属性；所述客体对象管理模块，用于对客体对象进行管理，所述客体对象包括多个用户权限类型；所述用户管理模块，用于对用户进行管理；所述权限管理模块，用于通过所述第一用户属性和/或所述第二用户属性建立所述用户与所述用户权限类型的映射关系。通过上述方式，本发明实施例提高了用户权限管理的效率。

Description

用户授权系统、方法、装置及电子设备

技术领域

本发明实施例涉及互联网技术领域，具体涉及一种用户授权系统、方法、装置及电子设备。

背景技术

在访问应用时，不同用户权限的用户可以访问不同的资源。为了对用户权限进行管理，需要开发用户授权系统，通过用户授权系统为用户赋予相应的用户权限。

现有技术中，用户授权系统的开发一般基于用户授权模型，常见的用户授权模型包括基于角色的访问控制以及访问控制列表。相关技术中各个应用之间一般需要独立开发相应的用户授权系统，不同应用的用户授权系统之间不兼容，因此不同应用的用户授权系统需要分开维护。随着权限管理需求的不断增多，现有技术中用户权限管理效率较低。

发明内容

鉴于上述问题，本发明实施例提供了一种用户授权系统、方法、装置及电子设备，用于解决现有技术中存在的用户权限管理效率较低的问题。

根据本发明实施例的一个方面，提供了一种用户授权系统，所述系统包括主体对象管理模块、媒介体管理模块、客体对象管理模块、用户管理模块和权限管理模块；

所述主体对象管理模块，用于对主体对象进行管理，所述主体对象包括多个第一用户属性；

所述媒介体管理模块，用于对媒介体进行管理，所述媒介体包括多个第二用户属性；

所述客体对象管理模块，用于对客体对象进行管理，所述客体对象包括多个用户权限类型；

所述用户管理模块，用于对用户进行管理；

所述权限管理模块，用于通过所述第一用户属性和/或所述第二用户属性建立所述用户与所述用户权限类型的映射关系。

在一种可选的方式中，所述权限管理模块用于通过所述第一用户属性建立所述用户与所述用户权限类型的映射关系包括：

所述权限管理模块用于建立所述用户与所述第一用户属性的映射关系，然后建立所述第一用户属性与所述用户权限类型的映射关系；

所述权限管理模块用于通过所述第二用户属性建立所述用户与所述用户权限类型的映射关系包括：

所述权限管理模块用于建立所述用户与所述第二用户属性的映射关系，然后建立所述第二用户属性与所述用户权限类型的映射关系；

所述权限管理模块用于通过所述第一用户属性和所述第二用户属性建立所述用户与所述用户权限类型的映射关系包括：

所述权限管理模块用于建立所述用户与所述第一用户属性的映射关系，然后建立所述第一用户属性与所述第二用户属性的映射关系，再建立所述第二用户属性与所述用户权限类型的映射关系；和/或，

所述权限管理模块用于建立所述用户与所述第二用户属性的映射关系，然后建立所述第二用户属性与所述第一用户属性的映射关系，再建立所述第一用户属性与所述用户权限类型的映射关系。

在一种可选的方式中，所述权限管理模块用于：

获取权限配置信息，根据所述权限配置信息确定用于关联的第一用户属性和用于关联的第二用户属性，通过所述用于关联的第一用户属性和/或所述用于关联的第二用户属性建立所述用户与所述用户权限类型的映射关系。

在一种可选的方式中，所述权限管理模块用于：

获取多个应用的权限配置信息，根据每个应用的权限配置信息分别执行所述确定用于关联的第一用户属性和用于关联的第二用户属性，通过所述用于关联的第一用户属性和/或所述用于关联的第二用户属性建立所述用户与所述用户权限类型的映射关系的步骤。

在一种可选的方式中，所述用户管理模块用于对用户进行管理包括：

所述用户管理模块用于确定所述多个应用的标识，根据每个应用的标识生成对应应用中每个用户的用户标识。

在一种可选的方式中，所述第一用户属性包括用户账号、用户岗位、用户组织机构以及用户部门中的至少一种；所述第二用户属性包括至少一个用户角色，每一用户角色包括至少一个角色组。

根据本发明实施例的另一方面，提供了一种用户授权方法，所述方法包括：

获取多个应用的权限配置信息，根据每个应用的权限配置信息对上述的用户授权系统进行配置，以生成对应于每一个应用的用户授权子系统；

当接收到应用鉴权请求时，确定所述应用鉴权请求所对应的目标用户授权子系统；

根据所述目标用户授权子系统确定鉴权结果。

根据本发明实施例的另一方面，提供了一种用户授权装置，所述装置包括：

生成模块，用于获取多个应用的权限配置信息，根据每个应用的权限配置信息对上述的用户授权系统进行配置，以生成对应于每一个应用的用户授权子系统；

第一确定模块，用于当接收到应用鉴权请求时，确定所述应用鉴权请求所对应的目标用户授权子系统；

第二确定模块，用于根据所述目标用户授权子系统确定鉴权结果。

根据本发明实施例的另一方面，提供了一种电子设备，包括：处理器、存储器、通信接口和通信总线，所述处理器、所述存储器和所述通信接口通过所述通信总线完成相互间的通信；

所述存储器用于存放至少一可执行指令，所述可执行指令使所述处理器执行上述的用户授权方法的操作。

根据本发明实施例的又一方面，提供了一种计算机可读存储介质，所述存储介质中存储有至少一可执行指令，所述可执行指令在电子设备上运行时，使得电子设备执行上述的用户授权方法的操作。

本发明实施例的用户授权系统包括主体对象管理模块、媒介体管理模块、客体对象管理模块、用户管理模块和权限管理模块，主体对象管理模块、媒介体管理模块、客体对象管理模块和用户管理模块分别用于对主体对象、媒介体、客体对象和用户进行管理；主体对象包括多个第一用户属性，媒介体包括多个第二用户属性，客体对象包括多个用户权限类型；权限管理模块可以通过第一用户属性和/或第二用户属性建立用户与用户权限类型的映射关系，使得用户授权系统可以具有多种权限管理方式，延展性较强，能够提高用户权限管理的效率。

上述说明仅是本发明实施例技术方案的概述，为了能够更清楚了解本发明实施例的技术手段，而可依照说明书的内容予以实施，并且为了让本发明实施例的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。

附图说明

附图仅用于示出实施方式，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1示出了本发明实施例提供的用户授权系统的结构示意图；

图2示出了本发明实施例提供的用户授权系统的授权模型示意图；

图3示出了本发明实施例提供的用户授权方法的流程示意图；

图4示出了本发明实施例提供的用户授权装置的结构示意图；

图5示出了本发明实施例提供的电子设备的结构示意图。

具体实施方式

下面将参照附图更详细地描述本发明的示例性实施例。虽然附图中显示了本发明的示例性实施例，然而应当理解，可以以各种形式实现本发明而不应被这里阐述的实施例所限制。

图1示出了本发明实施例提供的用户授权系统的结构示意图。如图1所示，该用户授权系统100包括主体对象管理模块110、媒介体管理模块120、客体对象管理模块130、用户管理模块140和权限管理模块150。

其中，主体对象管理模块110用于对主体对象进行管理，主体对象包括多个第一用户属性，第一用户属性例如可以包括用户账号、用户岗位、用户组织机构以及用户部门中的至少一种。主体对象管理模块110可以对第一用户属性进行添加、删除或者修改第一用户属性的名称。媒介体管理模块120用于对媒介体进行管理，媒介体包括多个第二用户属性。第二用户属性例如可以包括至少一个用户角色，每一用户角色包括至少一个角色组。媒介体管理模块120可以对用户角色进行添加、删除或者修改用户角色的名称，对角色组进行添加、删除或者修改角色组的名称。客体对象管理模块130用于对客体对象进行管理，客体对象包括多个用户权限类型。用户管理模块140用于对用户进行管理。用户管理模块140可以对用户信息进行维护，例如对用户账号进行维护。权限管理模块150用于通过第一用户属性和/或第二用户属性建立用户与用户权限类型的映射关系。用户权限类型可以包括功能权限类型和数据权限类型。

在一种可选的方式中，权限管理模块150通过第一用户属性建立用户与用户权限类型的映射关系时，用于先建立用户与第一用户属性的映射关系，然后建立第一用户属性与用户权限类型的映射关系，从而最终建立用户与用户权限类型的映射关系。

在一种可选的方式中，权限管理模块150通过第二用户属性建立用户与用户权限类型的映射关系时，用于先建立用户与第二用户属性的映射关系，然后建立第二用户属性与用户权限类型的映射关系，从而最终建立用户与用户权限类型的映射关系。

在一种可选的方式中，权限管理模块150通过第一用户属性和第二用户属性建立用户与用户权限类型的映射关系时，用于先建立用户与第一用户属性的映射关系，然后建立第一用户属性与第二用户属性的映射关系，再建立第二用户属性与用户权限类型的映射关系，从而最终建立用户与用户权限类型的映射关系。

在一种可选的方式中，权限管理模块150通过第一用户属性和第二用户属性建立用户与用户权限类型的映射关系时，用于先建立用户与第二用户属性的映射关系，然后建立第二用户属性与第一用户属性的映射关系，再建立第一用户属性与用户权限类型的映射关系，从而最终建立用户与用户权限类型的映射关系。

在一种可选的方式中，权限管理模块150用于获取权限配置信息，根据权限配置信息确定用于关联的第一用户属性和用于关联的第二用户属性，通过用于关联的第一用户属性和/或所述用于关联的第二用户属性建立用户与用户权限类型的映射关系。进一步的，权限管理模块150还用于：获取多个应用的权限配置信息，根据每个应用的权限配置信息分别执行确定用于关联的第一用户属性和用于关联的第二用户属性，通过用于关联的第一用户属性和/或用于关联的第二用户属性建立用户与用户权限类型的映射关系的步骤。用户管理模块140用于对用户进行管理时，可以确定多个应用的标识，根据每个应用的标识生成对应应用中每个用户的用户标识，以使得权限管理模块150根据每个应用的用户标识建立用户与用户权限类型的映射关系。

图2示出了本发明实施例提供的用户授权系统的授权模型示意图。如图2所示，可以将岗位、机构以及部门等设置为第一用户属性，将角色设置为第二用户属性，岗位、机构以及部门等第一用户属性可以根据实际需要开启或关闭。角色等第二用户属性也可以根据实际需要进行设置。进一步的，从用户到角色可以执行正反向授权，即给用户设置某个角色，或者在某个角色下设置用户。可以理解的，还可以将岗位、机构以及部门等设置为第二用户属性，将角色设置为第一用户属性。进一步的，授权模型设置完成之后，还可以动态显示应用授权菜单范围，例如动态显示账号授权、组织授权、岗位授权、群组授权、角色授权以及角色组授权等，在每个授权页都根据授权模型显示用户权限类型。

本发明实施例的用户授权系统包括主体对象管理模块、媒介体管理模块、客体对象管理模块、用户管理模块和权限管理模块，主体对象管理模块、媒介体管理模块、客体对象管理模块和用户管理模块分别用于对主体对象、媒介体、客体对象和用户进行管理；主体对象包括多个第一用户属性，媒介体包括多个第二用户属性，客体对象包括多个用户权限类型；权限管理模块可以通过第一用户属性和/或第二用户属性建立用户与用户权限类型的映射关系，使得用户授权系统可以具有多种权限管理方式，延展性较强，能够提高用户权限管理的效率。

图3示出了本发明实施例用户授权方法的流程图，该方法由电子设备执行。电子设备的存储器用于存放至少一可执行指令，该可执行指令使电子设备的处理器执行上述的用户授权方法的操作。

如图3所示，该方法包括以下步骤：

步骤210：获取多个应用的权限配置信息，根据每个应用的权限配置信息对用户授权系统进行配置，以生成对应于每一个应用的用户授权子系统。

其中，多个应用可以为同一公司内部的多个应用。多个应用中每个应用可以具有不同的权限配置需求，例如有的应用需要基于RBAC(Role Based Access Control，基于角色的访问控制)模型进行权限配置，有的应用需要基于ACL(Access Control List，访问空值表)模型进行权限配置。每个应用的权限配置信息可以表征每个应用的权限配置需求。进一步的，可以根据每个应用的权限配置信息对上述实施例中的用户授权系统进行配置，以生成对应于每一个应用的用户授权子系统。需要说明的是，每一个应用的用户授权子系统是用户授权系统的一部分，即执行部分权限管理功能的用户授权系统。

步骤220：当接收到应用鉴权请求时，确定所述应用鉴权请求所对应的目标用户授权子系统。

其中，当用户通过应用执行操作时，对应的应用会生成应用鉴权请求以确定用户是否具备相应的操作权限。当接收到应用鉴权请求时，可以确定应用鉴权请求所对应的应用标识，进一步确定该应用标识所对应的目标用户授权子系统。

步骤230：根据所述目标用户授权子系统确定鉴权结果。

其中，确定目标用户授权子系统之后，可以根据目标用户授权子系统确定应用鉴权请求对应的授权范围，若判断应用鉴权请求的请求权限在授权范围之内，则鉴权结果为鉴权成功；若判断应用鉴权请求的请求权限在授权范围之外，则鉴权结果为鉴权失败。

在本发明实施例中，根据多个应用中每个应用的权限配置信息可以分别对用户授权系统进行配置，从而分别生成对应于每一个应用的用户授权子系统；每一个应用的用户授权子系统具有多种权限管理方式，当接收到应用鉴权请求时，首先确定应用鉴权请求所对应的目标用户授权子系统，再根据目标用户授权子系统确定授权结果，能够显著提高用户权限管理的效率。

图4示出了本发明实施例用户授权装置的结构示意图。如图4所示，该装置300包括：生成模块310、第一确定模块320和第二确定模块330。

其中，生成模块310用于获取多个应用的权限配置信息，根据每个应用的权限配置信息对用户授权系统进行配置，以生成对应于每一个应用的用户授权子系统；第一确定模块320用于当接收到应用鉴权请求时，确定所述应用鉴权请求所对应的目标用户授权子系统；第二确定模块330用于根据所述目标用户授权子系统确定鉴权结果。

在本发明实施例中，根据多个应用中每个应用的权限配置信息可以分别对用户授权系统进行配置，从而分别生成对应于每一个应用的用户授权子系统；每一个应用的用户授权子系统具有多种权限管理方式，当接收到应用鉴权请求时，首先确定应用鉴权请求所对应的目标用户授权子系统，再根据目标用户授权子系统确定授权结果，能够显著提高用户权限管理的效率。

图5示出了本发明实施例电子设备结构示意图，本发明具体实施例并不对电子设备的具体实现做限定。

如图5所示，该电子设备可以包括：处理器(processor)402、通信接口(Communications Interface)404、存储器(memory)406、以及通信总线408。

其中：处理器402、通信接口404、以及存储器406通过通信总线408完成相互间的通信。通信接口404，用于与其它设备比如客户端或其它服务器等的网元通信。处理器402，用于执行程序410，具体可以执行上述用于用户授权方法实施例中的相关步骤。

具体地，程序410可以包括程序代码，该程序代码包括计算机可执行指令。

处理器402可能是中央处理器CPU，或者是特定集成电路ASIC(ApplicationSpecific Integrated Circuit)，或者是被配置成实施本发明实施例的一个或多个集成电路。电子设备包括的一个或多个处理器，可以是同一类型的处理器，如一个或多个CPU；也可以是不同类型的处理器，如一个或多个CPU以及一个或多个ASIC。

存储器406，用于存放程序410。存储器406可能包含高速RAM存储器，也可能还包括非易失性存储器(non-volatile memory)，例如至少一个磁盘存储器。

程序410具体可以被处理器402调用使电子设备执行以下操作：

获取多个应用的权限配置信息，根据每个应用的权限配置信息对用户授权系统进行配置，以生成对应于每一个应用的用户授权子系统；

当接收到应用鉴权请求时，确定所述应用鉴权请求所对应的目标用户授权子系统；

根据所述目标用户授权子系统确定鉴权结果。

在本发明实施例中，根据多个应用中每个应用的权限配置信息可以分别对用户授权系统进行配置，从而分别生成对应于每一个应用的用户授权子系统；每一个应用的用户授权子系统具有多种权限管理方式，当接收到应用鉴权请求时，首先确定应用鉴权请求所对应的目标用户授权子系统，再根据目标用户授权子系统确定授权结果，能够显著提高用户权限管理的效率。

本发明实施例提供了一种计算机可读存储介质，所述存储介质存储有至少一可执行指令，该可执行指令在电子设备上运行时，使得所述电子设备执行上述任意方法实施例中的用户授权方法。

本发明实施例提供一种用户授权装置，用于执行上述用户授权方法。

本发明实施例提供了一种计算机程序，所述计算机程序可被处理器调用使电子设备执行上述任意方法实施例中的用户授权方法。

本发明实施例提供了一种计算机程序产品，计算机程序产品包括存储在计算机可读存储介质上的计算机程序，计算机程序包括程序指令，当程序指令在计算机上运行时，使得所述计算机执行上述任意方法实施例中的用户授权方法。

在此提供的算法或显示不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述，构造这类系统所要求的结构是显而易见的。此外，本发明实施例也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

类似地，应当理解，为了精简本发明并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明实施例的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。

本领域技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。

应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。上述实施例中的步骤，除有特殊说明外，不应理解为对执行顺序的限定。

Claims (7)

1.一种用户授权系统，其特征在于，所述系统包括主体对象管理模块、媒介体管理模块、客体对象管理模块、用户管理模块和权限管理模块；

所述主体对象管理模块，用于对主体对象进行管理，所述主体对象包括多个第一用户属性；

所述媒介体管理模块，用于对媒介体进行管理，所述媒介体包括多个第二用户属性；

所述客体对象管理模块，用于对客体对象进行管理，所述客体对象包括多个用户权限类型；

所述用户管理模块，用于对用户进行管理；

所述权限管理模块，用于获取多个应用的权限配置信息，根据每个应用的权限配置信息，分别通过所述第一用户属性和/或所述第二用户属性建立所述用户与所述用户权限类型的映射关系，以生成每个应用对应的用户授权子系统，所述用户授权子系统用于对应用鉴权请求进行鉴权；

其中，所述权限管理模块用于通过所述第一用户属性和所述第二用户属性建立所述用户与所述用户权限类型的映射关系包括：

所述权限管理模块用于建立所述用户与所述第二用户属性的映射关系，然后建立所述第二用户属性与所述第一用户属性的映射关系，再建立所述第一用户属性与所述用户权限类型的映射关系；和/或，

所述权限管理模块用于建立所述用户与所述第一用户属性的映射关系，然后建立所述第一用户属性与所述第二用户属性的映射关系，再建立所述第二用户属性与所述用户权限类型的映射关系；

所述第一用户属性包括用户账号、用户岗位、用户组织机构以及用户部门中的至少一种；所述第二用户属性包括至少一个用户角色，每一用户角色包括至少一个角色组。

2.根据权利要求1所述的系统，其特征在于，

所述权限管理模块用于通过所述第一用户属性建立所述用户与所述用户权限类型的映射关系包括：

所述权限管理模块用于建立所述用户与所述第一用户属性的映射关系，然后建立所述第一用户属性与所述用户权限类型的映射关系；

所述权限管理模块用于通过所述第二用户属性建立所述用户与所述用户权限类型的映射关系包括：

所述权限管理模块用于建立所述用户与所述第二用户属性的映射关系，然后建立所述第二用户属性与所述用户权限类型的映射关系。

3.根据权利要求1所述的系统，其特征在于，所述用户管理模块用于对用户进行管理包括：

所述用户管理模块用于确定所述多个应用的标识，根据每个应用的标识生成对应应用中每个用户的用户标识。

4.一种用户授权方法，其特征在于，所述方法包括：

获取多个应用的权限配置信息，根据每个应用的权限配置信息对权利要求1至3任一项所述的用户授权系统进行配置，以生成对应于每一个应用的用户授权子系统；

当接收到应用鉴权请求时，确定所述应用鉴权请求所对应的目标用户授权子系统；

根据所述目标用户授权子系统确定鉴权结果。

5.一种用户授权装置，其特征在于，所述装置包括：

生成模块，用于获取多个应用的权限配置信息，根据每个应用的权限配置信息对权利要求1至3任一项所述的用户授权系统进行配置，以生成对应于每一个应用的用户授权子系统；

第一确定模块，用于当接收到应用鉴权请求时，确定所述应用鉴权请求所对应的目标用户授权子系统；

第二确定模块，用于根据所述目标用户授权子系统确定鉴权结果。

6.一种电子设备，其特征在于，包括：处理器、存储器、通信接口和通信总线，所述处理器、所述存储器和所述通信接口通过所述通信总线完成相互间的通信；

所述存储器用于存放至少一可执行指令，所述可执行指令使所述处理器执行如权利要求4所述的用户授权方法的操作。

7.一种计算机可读存储介质，其特征在于，所述存储介质中存储有至少一可执行指令，所述可执行指令在电子设备上运行时，使得电子设备执行如权利要求4所述的用户授权方法的操作。

Images