CN113704746A - 数据权限处理方法、装置及计算机设备 - Google Patents

Abstract

本申请提出了一种数据权限处理方法、装置及计算机设备，待授权用户在数据层上进行数据权限申请的情况下，服务器响应所接收到的数据权限申请请求过程中，除了获得该待授权用户针对第一数据源的用户权限指纹之外，还会获取与第一数据源关联的待授权展示文件的文件展示权限指纹，由此表示待授权用户在数据层上具有权限的数据源，以及待授权展示文件在数据层上具有权限的数据源，之后，可以依据这两个权限指纹的比较结果，得到待授权用户在待授权展示文件上的数据授权信息，减少了数据权限申请次数，缩短了审批周期，降低了因人为失误而导致数据泄露的风险，提高了数据权限授权效率，且减少了后期运维工作量。

Description

数据权限处理方法、装置及计算机设备

技术领域

本申请主要涉及权限管理应用领域，更具体地说是涉及一种数据权限处理方法、装置及计算机设备。

背景技术

商业智能(Business Intelligence，BI)，又称商业智慧或商务智能，指用现代数据仓库技术、线上分析处理技术、数据挖掘和数据展现技术进行数据分析以实现商业价值，即将企业中现有的数据转化为知识，帮助用户做出明智的业务经营决策。

基于此，目前大部分企业的数据管理系统中，在用户申请某展示文件(如报表)的访问权限过程中，通常需要在数据层以及文件展示层(如报表层)分别进行权限申请，即获取相应文件访问权限以及该展示文件所依赖的若干数据源的数据权限，才能够通过展示文件查看相应的数据源的数据。

可见，这种数据权限处理方式过程繁琐、审批周期长，不仅给用户带来较差的用户体验，且会增加因人为失误而导致数据泄露的概率，后期维护工作量大。

发明内容

有鉴于此，本申请提供了一种数据权限处理方法，所述方法包括：

获取针对数据层的数据权限申请请求；

响应所述数据权限申请请求，确定所述待授权用户在所述数据层上授权的第一数据源，获得所述待授权用户针对所述第一数据源的用户权限指纹；

获取与所述第一数据源关联的待授权展示文件的文件展示权限指纹；其中，所述文件展示权限指纹是在所述待授权展示文件发布过程中，依据所述待授权展示文件被授权的所述数据层中的第二数据源构建的，且所述第二数据源与所述第一数据源之间存在至少一个相同数据源；

对所述用户权限指纹与所述报表权限指纹进行比较，依据比较结果，得到所述待授权用户在所述待授权展示文件上的数据授权信息。

可选的，所述将所述用户权限指纹与所述文件展示权限指纹进行比较，依据比较结果，得到所述待授权用户在所述待授权展示文件上的数据授权信息，包括：

对所述用户权限指纹和所述文件指纹各自包含的字符进行位与运算，得到所述待授权用户在所述待授权展示文件上的数据授权信息。

可选的，所述方法还包括：

接收所述待授权用户的终端针对第一展示文件发送的数据访问请求；

调取针对所述待授权用户对所述第一展示文件的第一数据授权信息；

响应所述数据访问请求，获取符合所述第一数据授权信息的第一文件展示数据；

将所述第一文件展示数据反馈至所述终端进行展示。

可选的，所述方法还包括：

接收所述待授权用户的终端针对第三数据源发送的展示文件查询请求；

从所述待授权用户在不同展示文件上的数据授权信息中，筛选与所述第三数据源关联的第二数据授权信息；

响应所述展示文件查询请求，获取符合任一所述第二数据授权信息的第三数据源文件展示数据；

将所述第三数据源文件展示数据反馈至所述终端进行展示。

可选的，所述方法还包括：

获取所述数据层的权限数据结构的位图字典；其中，所述位图字典是由所述权限数据结构中不同数据源的基础权限字段构成的一维数据结构；所述基础权限字段是指所述权限数据结构中的叶子权限字段；

所述获得所述待授权用户针对所述第一数据源的用户权限指纹，包括：

检测所述位图字典包含的权限字段与所述第一数据源之间是否存在授权管理关系，得到相应权限字段的第一检测结果；

依据所述位图字典包含的各权限字段的所述第一检测结果，生成所述待授权用户针对所述第一数据源的用户权限指纹；

所述文件展示权限指纹的构建过程，包括：

检测所述位图字典包含的权限字段与所述第二数据源之间是否存在授权管理关系，得到相应权限字段的第二检测结果；

依据所述位图字典包含的各权限字段的所述第二检测结果，生成针对所述待授权展示文件的文件展示权限指纹。

可选的，所述依据比较结果，得到所述待授权用户在所述待授权展示文件上的数据授权信息，包括：

获取所述用户权限指纹与所述文件展示权限指纹中，同时表示被授权数据源对应的目标权限字段；

依据所述目标权限字段，生成针对所述待授权用户在所述待授权展示文件上的权限处理逻辑；

将所述权限处理逻辑嵌入所述待授权展示文件的文件展示处理逻辑；所述文件展示处理逻辑用于实现对所述数据访问请求或所述展示文件查询请求的权限验证，在验证通过的情况下，从数据层调取相应的文件展示数据。

可选的，所述依据比较结果，得到所述待授权用户在所述待授权展示文件上的数据授权信息，包括：

获取所述用户权限指纹与所述文件展示权限指纹中，同时表示被授权数据源对应的目标权限字段；

依据所述目标权限字段，配置位于文件展示层与数据层之间权限处理代理层；所述权限代理层用于实现对所述数据访问请求或所述文件查询请求的权限验证，在验证通过的情况下，从数据层调取相应的文件展示数据。

可选的，所述方法还包括：

检测所述数据层的权限数据结构中是否存在名称相同的多个基础权限字段；

若存在，获取名称相同的多个基础权限字段各自被依赖的权限字段，与相应的该基础权限字段之间路径信息；

依据所述数据层包含的各数据源的基础权限字段以及所述路径信息，构建具有一维数据结构的位图字典。

本申请还提出了一种数据权限处理装置，所述装置包括：

数据权限申请请求获取模块，用于获取针对数据层的数据权限申请请求；

用户权限指纹获得模块，用于响应所述数据权限申请请求，确定所述待授权用户在所述数据层上授权的第一数据源，获得所述待授权用户针对所述第一数据源的用户权限指纹；

文件展示权限指纹获取模块，用于获取与所述第一数据源关联的待授权展示文件的文件展示权限指纹；其中，所述文件展示权限指纹是在所述待授权展示文件发布过程中，依据所述待授权展示文件被授权的所述数据层中的第二数据源构建的，且所述第二数据源与所述第一数据源之间存在至少一个相同数据源；

数据授权信息得到模块，用于对所述用户权限指纹与所述文件展示权限指纹进行比较，依据比较结果，得到所述待授权用户在所述待授权展示文件上的数据授权信息。

本申请还提出了一种计算机设备，所述计算机设备包括：至少一个存储器和至少一个处理器，其中：

所述存储器，用于存储如上述的数据权限处理方法的程序；

所述处理器，用于加载并执行所述存储器的所述程序，以实现如上述的数据权限处理方法。

由此可见，本申请提供了一种数据权限处理方法、装置及计算机设备，待授权用户在数据层上进行数据权限申请的情况下，服务器响应所接收到的数据权限申请请求过程中，除了获得该待授权用户针对第一数据源的用户权限指纹之外，还会获取与第一数据源关联的待授权展示文件的文件展示权限指纹，由此表示待授权用户在数据层上具有权限的数据源，以及待授权展示文件在数据层上具有权限的数据源，之后，可以依据这两个权限指纹的比较结果，得到待授权用户在待授权展示文件上的数据授权信息。可见，用户只需要在数据层上进行一次数据权限申请，即可获得其在展示文件上的数据权限，简化了数据权限申请步骤，缩短了审批周期，降低了因人为失误而导致数据泄露的风险，提高了数据权限授权效率，且减少了后期运维工作量。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本申请提出的数据权限处理方法的一可选示例的流程示意图；

图2为本申请提出的数据权限处理方法的又一可选示例的流程示意图；

图3为本申请提出的数据权限处理方法中，数据层的权限数据结构的示意图；

图4为本申请提出的数据权限处理方法中的位图字典的结构示意图；

图5为本申请提出的数据权限处理方法中，获取用户权限指纹的一可选实现方法的流程示意图；

图6为本申请提出的数据权限处理方法中，获取文件展示权限指纹的一可选实现方法的流程示意图；

图7为本申请提出的数据权限处理方法中，目标权限字段的一可选获取方法的流程示意图；

图8为本申请提出的数据权限处理方法的又一可选示例的流程示意图；

图9为本申请提出的数据权限处理方法的又一可选示例的流程示意图；

图10为本申请提出的数据权限处理方法的又一可选示例的流程示意图；

图11为本申请提出的数据权限处理方法的一可选应用场景的示意图；

图12为本申请提出的数据权限处理方法的又一可选应用场景的示意图；

图13为本申请提出的数据权限处理装置的一可选示例的结构示意图；

图14为适用于本申请提出的数据权限处理方法的计算机设备的一可选示例的硬件结构示意图。

具体实施方式

针对背景技术部分描述的内容，目前企业使用的数据管理系统中，由于系统的异构性造成权限方案与数据不互通，如Hadoop(一种分布式系统基础架构)等数据仓库，Qliksense等BI(Business Intelligence，商业智能)工具，两者隶属于不同企业的产品，需要分别申请权限，才能够访问或使用相应产品；另外，虽然BI工具自身计算能力较强，但这也造成了数据权限的断层，在BI工具中，通过import加载的全量数据，不受数据仓库个人权限管控，需要二次管控，要求用户分别对数据仓库和BI工具申请相应的权限，这种数据权限分两次申请对实现方式，会增加人为失误带来的数据泄露风险；审批周期较长，给用户带来极差的体验，且权限冗余，也会降低后续数据访问效率。

为了改善上述问题，本申请提出仅在数据层申请一次权限，就能够直接触发展示文件所在的文件展示层，获得用户能够通过相应文件展示方式查看所需数据源的数据的权限，使得该用户可以在相应展示文件中查看权限范围内的数据，简化了数据权限申请步骤，提高了用户体验，且通过这种端到端的全自动数据权限管理方式，提高了数据权限申请效率，以及后续数据访问应用中的权限验证效率。

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

需要说明的是，为了便于描述，附图中仅示出了与有关发明相关的部分。在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合，本申请并未一一举例详述。

参照图1，为本申请提出的数据权限处理方法的一可选示例的流程示意图，该方法可以适用于计算机设备，该计算机设备可以是服务器或具有一定数据处理能力的终端，本申请实施例以服务器执行该数据权限处理方法为例进行说明。如图1所示，该方法可以包括：

步骤S11，获取针对数据层的数据权限申请请求；

实际应用中，在某用户希望申请查看某展示文件(即待授权展示文件)中某数据源的数据的情况下，可以通过业务终端登录数据权限管理系统，进入数据层的权限申请页面进行操作，生成相应的数据权限申请请求，将该数据权限申请请求发送至服务器。

在本申请一些实施例中，如在用户通过业务终端浏览或查询某一个或多个数据源的相关信息的场景下，服务器验证该用户不具有相应的访问权限，提示该用户是否申请相应的数据权限，用户点击“申请”按钮，可以生成相应的数据权限申请请求，将其发送至服务器等。本申请对上述数据权限申请请求的生成方式不做限制，包括但并不局限于上文描述的实现方法。

可以理解，由于上述数据权限申请请求是针对数据层生成并发送至服务器，如用户直接在系统的数据仓库进行数据权限申请，生成该数据权限申请请求等，为了使服务器了解用户的权限申请需求，该数据权限申请请求可以包括但并不局限于：该用户希望申请权限的待授权展示文件的文件类型、该用户希望查收已授权数据的数据源(为了方便描述，将这类数据源记为第一数据源)的标识等。根据应用需要还可以包含其他信息，本申请不做一一列举。

其中，上述展示文件可以包括各种类型的可视化报表，如纵栏式报表、表格式报表、图文报表(如柱形图，折线图，散点图，雷达图，GIS(Geographic Information System或Geo-Information system，地理信息系统)地图，甘特图等各种样式的图表)、标签报表等，本申请对展示文件的文件类别不做限制可依据应用场景的数据可视化要求确定。

步骤S12，响应该数据权限申请请求，确定待授权用户在数据层上授权的第一数据源，获得待授权用户针对第一数据源的用户权限指纹；

对于用户申请数据权限的系统来说，其所能够提供的各数据源，即数据层对应的多个数据源，以及用于实现各数据源的权限管理配置往往是确定，所以，在服务器(即支持该系统运行的服务设备)通过解析所接收到的数据权限申请请求，可以了解待授权用户本次申请数据权限的需求，首先，可以先确定该待授权用户在该数据层上，是否被授权了第一数据源(其可以表示授权给该待授权用户的一个或多个数据源，本申请对该数据源类别不做限制)。

在确定待授权用户在数据层中授权的第一数据源的情况下，为了使服务器可以识别到待授权用户对数据层对应的哪些第一数据源具有权限，可以结合系统对数据源的权限管理结构，来获取待授权用户针对第一数据源的用户权限指纹，这样，服务器就可以通过该用户权限指纹，得到待授权用户对系统中的哪些数据源具有权限，本申请对用户权限指纹的获取方式及其表示方式不做限制，可视情况而定。

步骤S13，获取与第一数据源关联的待授权展示文件的文件展示权限指纹；

本申请实施例中，文件展示权限指纹可以是在相应的待授权展示文件发布过程中，依据待授权展示文件被授权的数据层中的第二数据源构建的，其可以表示待授权展示文件能够展示数据层中的哪些数据源的数据。通常情况下，待授权展示文件所依赖的第二数据源是在文件配置阶段确定，这样，在构建其文件展示权限指纹阶段，可以结合系统对数据源的权限管理结构确定。本申请对该文件展示权限指纹的构建方法及其表示方式均不做限制，可视情况而定。

应该理解的，本申请上述文件展示权限指纹和用户权限指纹的表示方式一致，以便后续对两个权限指纹进行运算，得到所需的数据授权信息。如这两个权限指纹均可以采用二进制数表示方式，1可以表示待授权用户/待授权展示文件对相应的数据源具有权限；反之，0可以表示待授权用户/待授权展示文件对相应的数据源不具有权限，但并不局限于这种表示方式。

另外，上述第二数据源与第一数据源均表示一类数据源，通常各自都包含多个数据源，且第二数据源与第一数据源之间存在至少一个相同数据源，这样，用户才能够查看相应待授权展示文件中的相应数据，如通过报表方式查看某数据源的授权数据。

步骤S14，对用户权限指纹与报表权限指纹进行比较，依据比较结果，得到待授权用户在待授权展示文件上的数据授权信息。

结合上文对用户权限指纹与报表权限指纹各自表示内容的相关描述，通过比较该用户权限指纹与报表权限指纹，可以确定待授权用户对待授权展示文件所依赖的哪些第二数据源具有权限，即第一数据源和第二数据源都包含的数据源，也可以确定待授权用户对待授权展示文件所依赖的哪些第二数据源不具有权限，后续用户无法查看该待授权展示文件这类数据。

基于此，在用户请求访问待授权展示文件的某第二数据源的数据场景下，为了方便高效且可靠验证该用户是否具有该待授权展示文件中的数据的处理权限，本申请可以依据上文用户权限指纹与报表权限指纹的比较结果，构建待授权用户在待授权展示文件上的数据授权信息，由该数据授权信息表示待授权用户对待授权展示文件上的哪些第二数据源的数据具有处理权限，这样，在上述数据访问场景下，可以依据该数据授权信息进行权限验证。

综上，在本申请实施例中，待授权用户在数据层上进行数据权限申请的情况下，服务器响应所接收到的数据权限申请请求过程中，除了获得该待授权用户针对第一数据源的用户权限指纹之外，还会获取与第一数据源关联的待授权展示文件的文件展示权限指纹，由此表示待授权用户在数据层上具有权限的数据源，以及待授权展示文件在数据层上具有权限的数据源，之后，可以依据这两个权限指纹的比较结果，得到待授权用户在待授权展示文件上的数据授权信息。可见，用户只需要在数据层上进行一次数据权限申请，即可获得其在展示文件上的数据权限，简化了数据权限申请步骤，缩短了审批周期，降低了因人为失误而导致数据泄露的风险，提高了数据权限授权效率，且减少了后期运维工作量。

参照图2，为本申请提出的数据权限处理方法的又一可选示例的流程示意图，本实施例可以是对上文描述的数据权限处理方法的一可选细化实现方法，但并不局限于本实施例描述的细化实现方法。仍以服务器执行该细化实现方法为例进行说明。如图2所示，该数据权限处理方法可以包括：

步骤S21，获取针对数据层的数据权限申请请求；

步骤S22，响应数据权限申请请求，确定待授权用户在数据层上授权的第一数据源；

步骤S23，获取针对数据层的权限数据结构的位图字典；

本申请实施例中，该位图字典可以是由该数据层的数据权限结构中不同数据源的基础权限字段构成的一维数据结构，其中，基础权限字段可以是指数据层的权限数据结构中的叶子权限字段，也就是指不存在所依赖的其他权限字段的一类权限字段。数据权限结构是指依据针对该数据层上各数据源的各权限字段之间的依赖关系，构建的非线性数据结构。

示例性的，如图3所示的树型数结构，为UDS(Unified Diagnostic Services，统一的诊断服务)数据平台的一复杂应用场景，其包含了各种粗细权限粒度交叉场景，如该UDS数据平台下个别字段对不同范围或部门配置了细粒度管控，即配置了不同层级的权限字段之间的依赖关系，如图3中层级越高(即越靠近根节点)，对应权限管控范围越大，或者是权限管控级别越高，其可以实现下一层级子节点的权限管控，所以说，父节点的权限管控范围可以由其包含的各子节点的权限管控范围体现，也可以说父节点依赖于子节点。

基于如图3所示的权限数据结构，将其展开平铺后，可以提取其包含的所有叶子节点，构建一维线性数据结构的位图字典，如图4所示。在叶子节点提取过程中，可以通过递归等树遍历算法，判断权限数据结构中的各节点是否具有叶子节点，若具有叶子节点，可以提取该节点所具有的各叶子节点。

在一些实施例中，本申请可以通过但并不局限于以下代码实现是否具有叶子节点的判断，可以按照时间复杂度实现权限字段排列组合，将时间复杂度(其可以定量表示算法运行时间)控制在O(n)–O(nlogn)，经过验证可以得到O(1)的时间与O(n)的空间复杂度，提高了权限处理效率。

应该理解，在不同场景的数据管理系统中，其数据层对应的权限数据结构往往不同，该权限数据结构包含的各基础权限字段的内容和数量会所有差异，基于这些基础权限字段构建的一维数据结构，即位图字典的内容可能不同，但位图字典的构建方法类似，本申请对不同场景下数据层对应的数据权限结构的位图字典的内容及其构建方法不做限制，可视情况而定，本申请以图4所示的数据仓库的位图字典为例进行说明。且对于上述权限数据结构，包括但并不局限于图3所示的树型结构。

在本申请提出的又一些实施例中，权限数据结构中叶子权限字段的名称可能会相同，这将会影响上述构建的权重指纹的可靠性和准确性，对此，本申请构建位图字典过程中，可以检测数据层的权限数据结构中是否存在名称相同的多个基础权限字段；若不存在，可以按照上文描述的方式构建位图字典；若存在，可以获取名称相同的多个基础权限字段各自被依赖的权限字段(即该基础权限字段的父权限字段)，与相应的该基础权限字段之间路径信息；从而依据该数据层包含的各数据源的基础权限字段以及该路径信息，构建具有一维数据结构的位图字典，这样，在构建权限指纹过程中，不仅需要比对基础权限字段，还需要同时比对其路径信息，即比对其父权限字段，来确定相应位是1或0，实现过程与上文描述的权限指纹构建过程类似，本申请不做详述。

步骤S24，检测该位图字典包含的权限字段与第一数据源之间是否存在授权管理关系，得到相应权限字段的第一检测结果；

步骤S25，依据位图字典包含的各权限字段的第一检测结果，生成待授权用户针对第一数据源的用户权限指纹；

结合上文对权限指纹的相关描述，本申请可以采用二进制数表示用户权限指纹，由1和0分别表示位图字典中各权限字段与第一数据源之间具有授权管理关系、不具有授权管理关系，即分别表示待授权用户对位图字典中各权限字段对应的数据源具有权限、不具有权限。因此，上述第一检测结果可以包括具有授权管理关系和不具有授权管理关系两种。这样，按照位图字典中各权限字段的排序，确定对应的第一检测结果的排序，将第一检测结果的排序结果，由相应的字符(1或0)表示，可以得到待授权用户针对第一数据源的用户权限指纹。

示例性的，仍以上图3所示的权限数据结构和图4所示的位图字典为例进行说明，如图3所示的数据结构，首席执行官CEO可以管控如中国PRC、洛杉矶LA、欧洲、中东和非洲EMEA以及亚太地区AP等各国家地区，该AP可以包括如日本JP、韩国KR、新加坡Singapore等国家；从数据库对象使用的空间集合Segment管控范围看，其可以包括消费者Consumer、中小企业SMB、商业的Commercial；从企业BG范围来看，其可以包括个人电脑及智能设备集团PCSD和数据中心业务集团DCG，该PCSD可以进一步分为笔记本电脑Laptop和桌面Desktop，该Laptop可以包括TP Yoga、TP X以及TP X1型号，该TP X1型号可以包括X1Fold、X1Gen8以及X1Gen9这几个型号。

假设与第一数据源存在授权管理关系的权限字段包括LA、JP、Consumer、TP Yoga、X1Gen8，参照图5所示灰色背景的叶子节点，将其与图4所示的位图字典包含的各权限字段进行顺次比较，若当前位的权限字段不属于这几个权限字段，可以将该位的权限指纹记为0；反之，若当前位的权限字段不属于这几个权限字段，可以将该位的权限指纹记为1，经过比较，可以得到用户权限指纹为“0101001001001000”。

可以理解，由于其他场景下的权限数据结构及其位图字典的内容可能不同，且不同待授权用户被授权的第一数据源的类别可能不同，按照上文描述的处理方式，所得到的相应的用户权限指纹的内容可能会有所改变，本申请不做穷举说明。且对于上述场景下的权限数据结构的内容，包括但并不局限于上文图3所示的内容，可以依据实际场景进行适应性调整。

步骤S26，检测位图字典包含的权限字段与第二数据源之间是否存在授权管理关系，得到相应权限字段的第二检测结果；

步骤S27，依据位图字典包含的各权限字段的第二检测结果，生成针对待授权展示文件的文件展示权限指纹；

关于文件展示权限指纹的获取过程与上文用户权限指纹的获取过程类似，如图6所示，假设与第二数据源存在授权管理关系的权限字段包括PRC、JP、SMB、TP Yoga、X1Gen9，如图6所示灰色背景的叶子节点，将其与位图字典包含的各权限字段进行顺次比较可以得到待授权展示文件的文件展示权限指纹为“1001000101000100”。

需要说明，本申请对上述步骤S24和步骤S25描述的用户权限指纹的构建过程，与步骤S26和步骤S27描述的文件展示权限指纹的构建过程的执行顺序不做限制，可视情况而定。

而且，关于步骤S26和步骤S27描述的文件展示权限指纹的构建过程可以预先实现，如在各展示文件发布阶段，按照上述方式，获取相应文件展示权限指纹并存储。这样，在任一待授权用户发起数据权限申请请求的情况下，可以直接调取预先构建的待授权展示文件的文件展示权限指纹。

步骤S28，对用户权限指纹和文件展示权限指纹各自包含的字符进行位与运算，得到待授权用户在待授权展示文件上的数据授权信息。

参照图7所示的流程示意图，将用户权限指纹和文件展示权限指纹按位进行与运算，再将运算结果字符为1的指纹位置与位图字典进行比对，确定该位置对应的权限字段为目标权限字段，即待授权用户在待授权展示文件下具有权限的权限字段，可以据此确定待授权用户在待授权展示文件上具有权限的数据源，由此构成待授权用户在待授权展示文件上的数据授权信息，本申请对该数据授权信息包含的内容不做限制。

在一些实施例中，若用户或展示文件的授权的数据源、权限数据结构等发生变化，如权限字段进行扩展，可以直接更新权限数据结构，之后，可以按照上述方式更新位图字典，并更新数据授权信息，保证数据权限管理的可靠性和准确性。

综上，本申请利用场景下数据层包含的各数据源的权限数据结构，构建线性的一维结构的位图字典，即数据库位图字典，这样，对于任一待授权用户和任一待授权展示文件，均可以基于该位图字典，自动生成相应的权限指纹，即用户权限指纹、文件展示权限指纹，之后，在用户申请某一展示文件的第一数据源的处理权限的情况下，可以直接将相应的用户权限指纹与该展示文件的文件展示权限指纹进行与运算，查询位图字典，确定该用户在该展示文件下的目标权限字段，由此构成该用户在该展示文件上的数据授权信息。整个权限申请过程，用户只需要在数据层发起一次数据权限申请请求，即可得到相应的数据授权信息，提高了数据权限申请便利性和效率。

而且，本申请提出的基于权限数据结构构建的位图字典，构建的权限指纹，便于权限字段扩展和维护，能够降低出错概率，且有助于提高复杂嵌套与交叉权限性能。能够针对企业所有员工开放，无需人工进行额外配置。

参照图8，为本申请提出的数据权限处理方法的又一可选示例的流程示意图，基于上文实施例描述的用户在任一展示文件上的数据授权信息的获取过程的描述，下面实施例将对如何依据该数据授权信息，获取该展示文件的文件展示数据的过程进行描述，但并不局限于下文实施例描述的实现方式。该方法仍可以由服务器执行，如图8所示，该方法可以包括：

步骤S31，接收用户的终端针对第一展示文件发送的数据访问请求；

本申请实施例中，用户可以作为待授权用户按照上文实施例描述方式完成数据权限申请，得到第一展示文件(即任一类型的可视化文件，如某一地区的某产品销售数据报表等)的数据授权后，在某一应用场景下，需要查看第一展示文件的数据，可以通过其终端向服务器发送针对该第一展示文件的数据访问请求。

其中，上述数据访问请求可以携带终端的设备标识、用户标识、第一展示文件的文件标识、待范文数据源类型等，本申请对数据访问请求包含的内容不做限制，可视情况而定。

步骤S32，调取针对该用户对第一展示文件的第一数据授权信息；

关于用户作为待授权用户对第一展示文件的第一数据授权信息的获取过程，可以参照上文实施例相应部分的描述，本申请在此不做详述。在实际应用中，各数据授权信息可以与相应用户的用户标识、待授权展示文件的文件标识等信息关联存储，这样，在调取第一数据授权信息过程中，可以依据数据访问请求包含的用户标识、文件标识等信息，从存储的各数据授权信息中，选择相关联的数据授权信息为第一数据授权信息，但并不局限于这种调取实现方法。

在本申请提出的又一些实施例中，服务器获取数据访问请求后，也可以调取该授权用户对应的用户权限指纹，以及第一展示文件对应的文件展示权限指纹，在线进行与运算，获得第一数据授权信息。本申请对第一数据授权信息的获取方法不做限制。

步骤S33，响应数据访问请求，获取符合第一数据授权信息的第一文件展示数据；

步骤S34，将第一文件展示数据反馈至该用户的终端进行展示。

结合上文对数据授权信息的相关描述可知，通过第一数据授权信息可以得知该用户对第一展示文件的哪些数据源具有访问权限，可以将具有访问权限的数据源的数据确定为第一文件展示数据，或构建第一文件展示数据，如上述列举的各种报表格式的数据，将其发送至终端，将以第一展示文件的格式进行展示，本申请对第一文件展示数据的展示方式不做限制，可视情况而定。

可见，本申请实施例中，在用户需要查看某一展示文件中的各数据的情况下，可以直接利用预先构建的该用户在该展示文件下的数据授权信息，验证该用户对该展示文件下的哪些数据源数据具有访问权限，确定出具有访问权限的文件展示数据，反馈至用户终端展示，从而使用户能够查看该展示文件中具有访问权限的数据，如用户可以获取报表A中具有访问权限的报表数据，输出的报表A包括具有访问权限的报表数据。无需用户再向文件展示层申请该展示文件的数据处理权限。

参照图9，为本申请提出的数据权限处理方法的又一可选示例的流程示意图，基于上文实施例描述的用户在任一展示文件上的数据授权信息的获取过程的描述，本实施例可以针对用户对某一数据源(记为第三数据源)进行展示文件查询的场景，来说明本申请提出的数据权限处理方法，该方法仍可以由服务器执行，如图9所示，该方法可以包括：

步骤S41，接收用户的终端针对第三数据源发送的展示文件查询请求；

其中，第三数据源可以是数据层上任一个或多个数据源，通常是该用户被授权的某一个或多个数据源，本申请对该数据源的内容不做限制，如某国家地区的某产品销售数据源等。

本申请实施例中，在用户不知道第三数据源对应的展示文件的情况下，可以直接向服务器发送针对该第三数据源发送的展示文件查询请求，以请求可视化展示方式查看该第三数据源的数据。该展示文件查询请求可以包括但并不局限于该用户的用户标识、第三数据源标识等内容。

步骤S42，从该用户在不同展示文件上的数据授权信息中，筛选与第三数据源关联的第二数据授权信息；

关于用户作为待授权用户对展示文件的数据授权信息的获取过程，可以参照上文实施例相应部分的描述，本申请在此不做赘述。服务器解析展示文件查询请求，得到用户标识、第三数据源标识等请求信息后，可以据此从不同展示文件上的数据授权信息中，筛选出与该请求信息相关联的数据授权信息，记为第二数据授权信息，具体筛选实现过程本申请不做限制。

步骤S43，响应展示文件查询请求，获取符合任一第二数据授权信息的第三数据源文件展示数据；

步骤S44，将第三数据源文件展示数据反馈至该用户的终端进行展示。

在实际应用中，对于用户被授权的第三数据源，可能有一个或多个展示文件也具有该第三数据源的处理权限，针对不同的展示文件对应有一个第二数据授权信息，之后，结合上文对文件展示数据的获取方式，可以按照每一第二数据授权信息，来获取相应的第三数据源数据，且该数据的展示方式与相应的展示文件的展示方式一致。因此，本申请获取的多个第三数据源文件展示数据可以具有一种或多种展示方式，本申请对此不做限制，可视情况而定。

之后，服务器将获取的一个或多个第三数据源文件展示数据反馈至用户终端进行展示时，可以采用相应的文件展示方式，展示该第三数据源文件展示数据，如可以采用多种展示方式展示同一内容数据，展示过程本申请不做详述。

基于上文各实施例描述的内容，用户在数据层完成数据权限申请，得到数据层和文件展示层的数据授权信息后，可以将其加载至文件展示层，以便在执行上文实施例的数据访问或查询场景下，文件展示层可以据此调取相应的文件展示数据，实现BI层业务代码无入侵，无感知实现BI权限控制。结合大量BI工具机制，本申请提出了但并不局限于下文实施例描述的实现方法。

参照图10，为本申请提出的数据权限处理方法的又一可选示例的流程示意图，该方法可以由服务器执行，且关于用户权限指纹与文件展示权限指纹的获取过程，可以参照上文实施例相应部分的描述，本实施例不做赘述。如图10所示，该方法可以包括：

步骤S51，获取用户权限指纹与文件展示权限指纹中，同时表示被授权数据源对应的目标权限字段；

步骤S52，依据目标权限字段，生成针对待授权用户在待授权展示文件上的权限处理逻辑；

步骤S53，将权限处理逻辑嵌入待授权展示文件的文件展示处理逻辑。

在本申请实际应用中，对于BI层(即文件展示层)具有权限过滤功能的系统，可以采用内置脚本的方式，如power bi的DAX脚本，将得到的每一用户对各展示文件的数据授权信息，嵌入至相应展示文件的文件展示处理逻辑中。

因此，在按照上述方式获得任一数据授权信息后，可以按照系统要求，将其转换成符合系统要求的权限处理逻辑，之后，将其作为通用SDK(Software Development Kit，软件开发工具包)代码块，嵌入到相应展示文件逻辑中，如图11所示。所以说，该文件展示处理逻辑可以用于实现对数据访问请求或展示文件查询请求的权限验证，在验证通过的情况下，从数据层调取相应的文件展示数据，数据展示实现过程可以参照上文实施例相应部分的描述，本实施例不做赘述。

在本申请提出的又一些实施例中，如图12所示，对于直接用SQL(StructuredQuery Language，结构化查询语言)等编程语言实现的系统，本申请还可以采用流程控制语句，或抽象语法树AST对代码进行编译，保证文件展示层可以依据数据授权信息实现权限验证。

这种情况下，如图12所示，本申请可以在文件展示层与数据层之间增加一权限代理层，用于实现对数据访问请求或文件查询请求的权限验证，在验证通过的情况下，从数据层调取相应的文件展示数据。基于此，服务器在获取用户权限指纹与文件展示权限指纹中，同时表示被授权数据源对应的目标权限字段后，可以依据目标权限字段，配置位于文件展示层与数据层之间权限处理代理层，关于权限处理代理层如何实现权限验证的过程，可以参照上文实施例相应部分的描述，本实施例不做赘述。

参照图13，为本申请提出的数据权限处理装置的一可选示例的结构示意图，该装置可以包括：

数据权限申请请求获取模块11，用于获取针对数据层的数据权限申请请求；

用户权限指纹获得模块12，用于响应所述数据权限申请请求，确定所述待授权用户在所述数据层上授权的第一数据源，获得所述待授权用户针对所述第一数据源的用户权限指纹；

文件展示权限指纹获取模块13，用于获取与所述第一数据源关联的待授权展示文件的文件展示权限指纹；

其中，所述文件展示权限指纹是在所述待授权展示文件发布过程中，依据所述待授权展示文件被授权的所述数据层中的第二数据源构建的，且所述第二数据源与所述第一数据源之间存在至少一个相同数据源；

数据授权信息得到模块14，用于对所述用户权限指纹与所述文件展示权限指纹进行比较，依据比较结果，得到所述待授权用户在所述待授权展示文件上的数据授权信息。

可选的，上述数据授权信息得到模块14可以包括：

与运算单元，用于对所述用户权限指纹和所述文件指纹各自包含的字符进行位与运算，得到所述待授权用户在所述待授权展示文件上的数据授权信息。

在本申请提出的一些实施例中，上述数据权限处理装置还可以包括：

位图字典获取模块，用于获取所述数据层的权限数据结构的位图字典；

其中，所述位图字典是由所述权限数据结构中不同数据源的基础权限字段构成的一维数据结构；所述基础权限字段是指所述权限数据结构中的叶子权限字段。

可选的，上述装置还可以包括：

检测模块，用于检测所述数据层的权限数据结构中是否存在名称相同的多个基础权限字段；

路径信息获取模块，用于在检测模块的检测结果为是的情况下，获取名称相同的多个基础权限字段各自被依赖的权限字段，与相应的该基础权限字段之间路径信息；

位图字典构建模块，用于依据所述数据层包含的各数据源的基础权限字段以及所述路径信息，构建具有一维数据结构的位图字典。

基于此，上述用户权限指纹获得模块12可以包括：

第一检测单元，用于检测所述位图字典包含的权限字段与所述第一数据源之间是否存在授权管理关系，得到相应权限字段的第一检测结果；

用户权限指纹生成单元，用于依据所述位图字典包含的各权限字段的所述第一检测结果，生成所述待授权用户针对所述第一数据源的用户权限指纹；

上述文件展示权限指纹获取模块13可以包括：

第二检测单元，用于检测所述位图字典包含的权限字段与所述第二数据源之间是否存在授权管理关系，得到相应权限字段的第二检测结果；

文件展示权限指纹生成单元，用于依据所述位图字典包含的各权限字段的所述第二检测结果，生成针对所述待授权展示文件的文件展示权限指纹。

在本申请提出的又一些实施例中，上述数据权限处理装置还可以包括：

数据访问请求接收模块，用于接收所述待授权用户的终端针对第一展示文件发送的数据访问请求；

第一数据授权信息调取模块，用于调取针对所述待授权用户对所述第一展示文件的第一数据授权信息；

第一文件展示数据获取模块，用于响应所述数据访问请求，获取符合所述第一数据授权信息的第一文件展示数据；

第一文件展示数据传输模块，用于将所述第一文件展示数据反馈至所述终端进行展示。

在本申请提出的又一些实施例中，上述数据权限处理装置还可以包括：

展示文件查询请求接收模块，用于接收所述待授权用户的终端针对第三数据源发送的展示文件查询请求；

第二数据授权信息筛选模块，用于从所述待授权用户在不同展示文件上的数据授权信息中，筛选与所述第三数据源关联的第二数据授权信息；

第三数据源文件展示数据获取模块，用于响应所述展示文件查询请求，获取符合任一所述第二数据授权信息的第三数据源文件展示数据；

第三数据源文件展示数据传输模块，用于将所述第三数据源文件展示数据反馈至所述终端进行展示。

基于上文实施例的描述，上述数据授权信息得到模块14可以包括：

第一获取单元，用于获取所述用户权限指纹与所述文件展示权限指纹中，同时表示被授权数据源对应的目标权限字段；

权限处理逻辑生成单元，用于依据所述目标权限字段，生成针对所述待授权用户在所述待授权展示文件上的权限处理逻辑；

权限处理逻辑嵌入单元，用于将所述权限处理逻辑嵌入所述待授权展示文件的文件展示处理逻辑；

其中，所述文件展示处理逻辑用于实现对所述数据访问请求或所述展示文件查询请求的权限验证，在验证通过的情况下，从数据层调取相应的文件展示数据。

在又一种可能的实现方式中，上述数据授权信息得到模块14也可以包括：

第二获取单元，用于获取所述用户权限指纹与所述文件展示权限指纹中，同时表示被授权数据源对应的目标权限字段；

配置单元，用于依据所述目标权限字段，配置位于文件展示层与数据层之间权限处理代理层。

其中，权限代理层用于实现对所述数据访问请求或所述文件查询请求的权限验证，在验证通过的情况下，从数据层调取相应的文件展示数据。

需要说明的是，关于上述各装置实施例中的各种模块、单元等，均可以作为程序模块存储在存储器中，由处理器执行存储在存储器中的上述程序模块，以实现相应的功能，关于各程序模块及其组合所实现的功能，以及达到的技术效果，可以参照上述方法实施例相应部分的描述，本实施例不再赘述。

本申请还提供了一种计算可读存储介质，其上可以存储计算机程序，该计算机程序可以被处理器调用并加载，以实现上述实施例描述的数据权限处理方法的各个步骤。

参照图14，为适用于本申请提出的数据权限处理方法的计算机设备的一可选示例的硬件结构示意图，该计算机设备可以是服务器，如独立的物理服务器、多台物理服务器构成的服务器集群，或者是能够实现云计算的云服务器等。在一些实施例中，该计算机设备也可以是具有一定数据处理能够的电子设备，如台式计算机、机器人等。本申请以计算机设备是服务器为例进行说明。如图14所示，该计算机设备可以包括：至少一个存储器21和至少一个处理器22，其中：

存储器21可以用于存储实现上述各方法实施例描述的数据权限处理方法的程序；处理器22可以加载并执行存储器存储的该程序，以实现上述相应方法实施例描述的数据权限处理方法的各个步骤，具体实现过程可以参照上述实施例相应部分的描述，不再赘述。

在实际应用中，存储器21和处理器22可以连接通信总线，通过该通信总线实现相互之间，以及与计算机设备的其他结构组成之间的数据交互，具体可以根据实际需求确定，本申请不做详述。

本申请实施例中，存储器21可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件或其他易失性固态存储器件。处理器22，可以为中央处理器(Central Processing Unit，CPU)、特定应用集成电路(application-specificintegrated circuit，ASIC)、数字信号处理器(DSP)、专用集成电路(ASIC)、现成可编程门阵列(FPGA)或者其他可编程逻辑器件等。本申请对上述存储器21和处理器22的结构及其型号不做限定，可以根据实际需求灵活调整。

应该理解的是，图14所示的计算机设备的结构并不构成对本申请实施例中计算机设备的限定，在实际应用中，计算机设备可以包括比图14所示的更多的部件，或者组合某些部件，本申请在此不做一一列举。

最后，需要说明的是，关于上述各实施例中，除非上下文明确提示例外情形，“一”、“一个”、“一种”和/或“该”等词并非特指单数，也可包括复数。一般说来，术语“包括”与“包含”仅提示包括已明确标识的步骤和元素，而这些步骤和元素不构成一个排它性的罗列，方法或者设备也可能包含其它的步骤或元素。由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、商品或者设备中还存在另外的相同要素。

其中，在本申请实施例的描述中，除非另有说明，“/”表示或的意思，例如，A/B可以表示A或B；本文中的“和/或”仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。另外，在本申请实施例的描述中，“多个”是指两个或多于两个。

本申请涉及到的术语诸如“第一”、“第二”等仅用于描述目的，用来将一个操作、单元或模块与另一个操作、单元或模块区分开来，而不一定要求或者暗示这些单元、操作或模块之间存在任何这种实际的关系或者顺序。且不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量，由此，限定有“第一”、“第二”的特征可以明示或者隐含地包括一个或者更多个该特征。

另外，本说明书中各个实施例采用递进或并列的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置、计算机设备而言，由于其与实施例公开的方法对应，所以描述的比较简单，相关之处参见方法部分说明即可。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本申请。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本申请的精神或范围的情况下，在其它实施例中实现。因此，本申请将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (10)

1.一种数据权限处理方法，所述方法包括：

获取针对数据层的数据权限申请请求；

响应所述数据权限申请请求，确定所述待授权用户在所述数据层上授权的第一数据源，获得所述待授权用户针对所述第一数据源的用户权限指纹；

获取与所述第一数据源关联的待授权展示文件的文件展示权限指纹；其中，所述文件展示权限指纹是在所述待授权展示文件发布过程中，依据所述待授权展示文件被授权的所述数据层中的第二数据源构建的，且所述第二数据源与所述第一数据源之间存在至少一个相同数据源；

对所述用户权限指纹与所述报表权限指纹进行比较，依据比较结果，得到所述待授权用户在所述待授权展示文件上的数据授权信息。

2.根据权利要求1所述的方法，所述将所述用户权限指纹与所述文件展示权限指纹进行比较，依据比较结果，得到所述待授权用户在所述待授权展示文件上的数据授权信息，包括：

对所述用户权限指纹和所述文件指纹各自包含的字符进行位与运算，得到所述待授权用户在所述待授权展示文件上的数据授权信息。

3.根据权利要求1所述的方法，所述方法还包括：

接收所述待授权用户的终端针对第一展示文件发送的数据访问请求；

调取针对所述待授权用户对所述第一展示文件的第一数据授权信息；

响应所述数据访问请求，获取符合所述第一数据授权信息的第一文件展示数据；

将所述第一文件展示数据反馈至所述终端进行展示。

4.根据权利要求1所述的方法，所述方法还包括：

接收所述待授权用户的终端针对第三数据源发送的展示文件查询请求；

从所述待授权用户在不同展示文件上的数据授权信息中，筛选与所述第三数据源关联的第二数据授权信息；

响应所述展示文件查询请求，获取符合任一所述第二数据授权信息的第三数据源文件展示数据；

将所述第三数据源文件展示数据反馈至所述终端进行展示。

5.根据权利要求1或2所述的方法，所述方法还包括：

获取所述数据层的权限数据结构的位图字典；其中，所述位图字典是由所述权限数据结构中不同数据源的基础权限字段构成的一维数据结构；所述基础权限字段是指所述权限数据结构中的叶子权限字段；

所述获得所述待授权用户针对所述第一数据源的用户权限指纹，包括：

检测所述位图字典包含的权限字段与所述第一数据源之间是否存在授权管理关系，得到相应权限字段的第一检测结果；

依据所述位图字典包含的各权限字段的所述第一检测结果，生成所述待授权用户针对所述第一数据源的用户权限指纹；

所述文件展示权限指纹的构建过程，包括：

检测所述位图字典包含的权限字段与所述第二数据源之间是否存在授权管理关系，得到相应权限字段的第二检测结果；

依据所述位图字典包含的各权限字段的所述第二检测结果，生成针对所述待授权展示文件的文件展示权限指纹。

6.根据权利要求3或4所述的方法，所述依据比较结果，得到所述待授权用户在所述待授权展示文件上的数据授权信息，包括：

获取所述用户权限指纹与所述文件展示权限指纹中，同时表示被授权数据源对应的目标权限字段；

依据所述目标权限字段，生成针对所述待授权用户在所述待授权展示文件上的权限处理逻辑；

将所述权限处理逻辑嵌入所述待授权展示文件的文件展示处理逻辑；所述文件展示处理逻辑用于实现对所述数据访问请求或所述展示文件查询请求的权限验证，在验证通过的情况下，从数据层调取相应的文件展示数据。

7.根据权利要求3或4所述的方法，所述依据比较结果，得到所述待授权用户在所述待授权展示文件上的数据授权信息，包括：

获取所述用户权限指纹与所述文件展示权限指纹中，同时表示被授权数据源对应的目标权限字段；

依据所述目标权限字段，配置位于文件展示层与数据层之间权限处理代理层；所述权限代理层用于实现对所述数据访问请求或所述文件查询请求的权限验证，在验证通过的情况下，从数据层调取相应的文件展示数据。

8.根据权利要求5所述的方法，所述方法还包括：

检测所述数据层的权限数据结构中是否存在名称相同的多个基础权限字段；

若存在，获取名称相同的多个基础权限字段各自被依赖的权限字段，与相应的该基础权限字段之间路径信息；

依据所述数据层包含的各数据源的基础权限字段以及所述路径信息，构建具有一维数据结构的位图字典。

9.一种数据权限处理装置，所述装置包括：

数据权限申请请求获取模块，用于获取针对数据层的数据权限申请请求；

用户权限指纹获得模块，用于响应所述数据权限申请请求，确定所述待授权用户在所述数据层上授权的第一数据源，获得所述待授权用户针对所述第一数据源的用户权限指纹；

文件展示权限指纹获取模块，用于获取与所述第一数据源关联的待授权展示文件的文件展示权限指纹；其中，所述文件展示权限指纹是在所述待授权展示文件发布过程中，依据所述待授权展示文件被授权的所述数据层中的第二数据源构建的，且所述第二数据源与所述第一数据源之间存在至少一个相同数据源；

数据授权信息得到模块，用于对所述用户权限指纹与所述文件展示权限指纹进行比较，依据比较结果，得到所述待授权用户在所述待授权展示文件上的数据授权信息。

10.一种计算机设备，所述计算机设备包括：至少一个存储器和至少一个处理器，其中：

所述存储器，用于存储如权利要求1～8任一项所述的数据权限处理方法的程序；

所述处理器，用于加载并执行所述存储器的所述程序，以实现如权利要求1～8任一项所述的数据权限处理方法。

Images