CN113886888A - 用于对数据资产进行管控的方法、装置及系统 - Google Patents

Abstract

本说明书实施例提供了用于对数据资产进行管控的方法、装置及系统。该方法由数据服务系统来执行，该数据服务系统待提供的数据资产包括数据和对应的数据标签。在该方法中，接收业务系统通过调用接口发送的数据请求，该数据请求包括数据请求方的身份信息和所请求的目标数据资产对应的目标数据标签；根据接口、身份信息和目标数据标签验证数据请求方对目标数据资产的访问权限；以及在确定数据请求方具有访问权限时，将目标数据标签对应的目标数据资产反馈给业务系统。

Description

用于对数据资产进行管控的方法、装置及系统

技术领域

本说明书实施例涉及计算机技术领域，具体地，涉及用于对数据资产进行管控的方法、装置及系统。

背景技术

数据资产是以数据形式存在的一类资产，通过对数据的抽取、转化、加载而形成的具备业务语义的数据生成资料。数据资产可以由数据服务系统进行统一管控，数据服务系统对数据资产的管控是基于接口级别的管控，数据服务系统对外提供访问数据资产的接口。当设备调用数据资产对应的接口时，数据服务系统可以将该接口对应的所有数据资产提供给该设备，以使该设备访问到接口对应的数据资产。

发明内容

鉴于上述，本说明书实施例提供了用于对数据资产进行管控的方法、装置及系统。通过本说明书实施例提供的技术方案，利用数据标签来实现对数据资产的细粒度管控，业务系统仅能访问到目标数据标签对应的数据资产，从而避免业务系统访问接口对应的所有数据资产，从而实现了数据资产的最小够用原则。

根据本说明书实施例的一个方面，提供了一种用于对数据资产进行管控的方法，所述方法由数据服务系统来执行，所述数据服务系统待提供的数据资产包括数据和对应的数据标签，所述方法包括：接收业务系统通过调用接口发送的数据请求，所述数据请求包括数据请求方的身份信息和所请求的目标数据资产对应的目标数据标签；根据所述接口、所述身份信息和所述目标数据标签验证所述数据请求方对所述目标数据资产的访问权限；以及在确定所述数据请求方具有所述访问权限时，将所述目标数据标签对应的所述目标数据资产反馈给所述业务系统。

根据本说明书实施例的另一方面，还提供一种用于对数据资产进行管控的方法，包括：响应于业务系统通过调用接口发送数据请求，在所述业务系统与数据服务系统之间的网络层中拦截所述数据请求，所述数据请求携带有数据请求方的身份信息和所请求的目标数据资产对应的目标数据标签，所述数据服务系统待提供的数据资产包括数据和对应的数据标签，所述网络层与所述数据服务系统的接入层连接；在所述网络层中对所述数据请求进行反序列化处理；在所述网络层中根据经过反序列化处理后的所述身份信息、所述目标数据标签和所述接口验证所述数据请求方对所述目标数据资产的访问权限；在所述数据服务系统的接入层中接收所述数据请求和所述访问权限的验证结果；以及在确定所述数据请求方具有所述访问权限时，将所述目标数据标签对应的所述目标数据资产反馈给所述业务系统。

根据本说明书实施例的另一方面，还提供一种用于对数据资产进行管控的装置，所述装置应用于数据服务系统，所述数据服务系统待提供的数据资产包括数据和对应的数据标签，所述装置包括：请求接收单元，被配置为接收业务系统通过调用接口发送的数据请求，所述数据请求包括数据请求方的身份信息和所请求的目标数据资产对应的目标数据标签；权限验证单元，被配置为根据所述接口、所述身份信息和所述目标数据标签验证所述数据请求方对所述目标数据资产的访问权限；以及数据资产反馈单元，被配置为在确定所述数据请求方具有所述访问权限时，将所述目标数据标签对应的所述目标数据资产反馈给所述业务系统。

根据本说明书实施例的另一方面，还提供一种用于对数据资产进行管控的系统，包括网络层设备和数据服务系统，所述网络层设备配置在业务系统与所述数据服务系统之间的网络层中，所述网络层设备，被配置为响应于所述业务系统通过调用接口发送数据请求，在所述网络层中拦截所述数据请求，所述数据请求携带有数据请求方的身份信息和所请求的目标数据资产对应的目标数据标签，所述数据服务系统待提供的数据资产包括数据和对应的数据标签，所述网络层与所述数据服务系统的接入层连接；在所述网络层中对所述数据请求进行反序列化处理；以及在所述网络层中根据经过反序列化处理后的所述身份信息、所述目标数据标签和所述接口验证所述数据请求方对所述目标数据资产的访问权限；所述数据服务系统，被配置为在所述数据服务系统的接入层中接收所述数据请求和所述访问权限的验证结果；以及在确定所述数据请求方具有所述访问权限时，将所述目标数据标签对应的所述目标数据资产反馈给所述业务系统。

根据本说明书实施例的另一方面，还提供一种电子设备，包括：至少一个处理器，与所述至少一个处理器耦合的存储器，以及存储在所述存储器上的计算机程序，所述至少一个处理器执行所述计算机程序来实现任一所述的用于对数据资产进行管控的方法。

根据本说明书实施例的另一方面，还提供一种计算机可读存储介质，其存储有计算机程序，所述计算机程序被处理器执行时实现如上所述的用于对数据资产进行管控的方法。

根据本说明书实施例的另一方面，还提供一种计算机程序产品，包括计算机程序，所述计算机程序被处理器执行时实现如上任一所述的用于对数据资产进行管控的方法。

附图说明

通过参照下面的附图，可以实现对于本说明书实施例内容的本质和优点的进一步理解。在附图中，类似组件或特征可以具有相同的附图标记。

图1示出了根据本说明书实施例的用于对数据资产进行管控的方法的一个示例的流程图。

图2示出了本说明书实施例的用于对数据资产进行管控的方法的另一个示例的流程图

图3示出了根据本说明书实施例的数据服务系统的应用场景的一个示例的示意图。

图4示出了根据本说明书实施例的数据服务系统的应用架构的一个示例的示意图。

图5示出了根据本说明书的另一实施例的用于对数据资产进行管控的方法的一个示例的流程图。

图6示出了根据本说明书实施例的数据服务系统的应用场景的另一个示例的示意图。

图7示出了根据本说明书实施例的用于对数据资产进行管控的装置的一个示例的方框图。

图8示出了根据本说明书实施例的用于对数据资产进行管控的系统的一个示例的示意图。

图9示出了本说明书实施例的用于实现数据资产管控方法的电子设备的方框图。

具体实施方式

以下将参考示例实施方式讨论本文描述的主题。应该理解，讨论这些实施方式只是为了使得本领域技术人员能够更好地理解从而实现本文描述的主题，并非是对权利要求书中所阐述的保护范围、适用性或者示例的限制。可以在不脱离本说明书实施例内容的保护范围的情况下，对所讨论的元素的功能和排列进行改变。各个示例可以根据需要，省略、替代或者添加各种过程或组件。另外，相对一些示例所描述的特征在其它例子中也可以进行组合。

如本文中使用的，术语“包括”及其变型表示开放的术语，含义是“包括但不限于”。术语“基于”表示“至少部分地基于”。术语“一个实施例”和“一实施例”表示“至少一个实施例”。术语“另一个实施例”表示“至少一个其他实施例”。术语“第一”、“第二”等可以指代不同的或相同的对象。下面可以包括其他的定义，无论是明确的还是隐含的。除非上下文中明确地指明，否则一个术语的定义在整个说明书中是一致的。

数据资产是以数据形式存在的一类资产，通过对数据的抽取、转化、加载而形成的具备业务语义的数据生成资料。数据资产可以由数据服务系统进行统一管控，数据服务系统对数据资产的管控是基于接口级别的管控，数据服务系统对外提供访问数据资产的接口。当设备调用数据资产对应的接口时，数据服务系统可以将该接口对应的所有数据资产提供给该设备，以使该设备访问到接口对应的数据资产。

然而，每个接口对应的所有数据资产并非都授权给调用该接口的设备访问，因此，存在过渡授权的问题。此外，数据资产隐私安全管控的主要原则是最小够用，而接口级别的管控提供的接口对应的所有数据资产，这也不符合数据资产最小够用的原则。

鉴于上述，本说明书实施例提供了用于对数据资产进行管控的方法、装置及系统。该方法可以由数据服务系统来执行，数据服务系统待提供的数据资产包括数据和对应的数据标签。在该方法中，接收业务系统通过调用接口发送的数据请求，数据请求携带有数据请求方的身份信息和所请求的目标数据资产对应的目标数据标签；根据接口、身份信息和目标数据标签验证数据请求方对目标数据资产的访问权限；以及在确定数据请求方具有访问权限时，将目标数据标签对应的目标数据资产反馈给业务系统。通过本说明书实施例提供的技术方案，利用数据标签来实现对数据资产的细粒度管控，业务系统仅能访问到目标数据标签对应的数据资产，从而避免业务系统访问接口对应的所有数据资产，从而实现了数据资产的最小够用原则。

下面结合附图对本说明书实施例提供的用于对数据资产进行管控的方法、装置及系统进行详细说明。

图1示出了根据本说明书实施例的用于对数据资产进行管控的方法的一个示例100的流程图。

图1示出的方法可以由数据服务系统来执行。数据服务系统可以用于为其他设备提供数据服务，数据服务系统提供的用于数据服务的数据资产可以来自于数据服务系统的本地数据库中存储的数据资产，还可以来自于数据服务系统通过调用获得的其他设备处的数据资产。

在本说明书实施例中，数据服务系统待提供的数据资产可以包括数据和对应的数据标签，数据和数据标签可以一一对应，每个数据的数据标签具备该数据的业务语义，可以用于表征该数据。例如，数据标签可以包括用户标签、大盘指标、用户特征等多种标签类型。

如图1所示，在110，接收业务系统通过调用接口发送的数据请求。

在本说明书实施例中，业务系统可以是数据请求方执行操作的系统，数据请求方通过业务系统来向数据服务系统请求数据服务。业务系统可以执行不同类型的业务，从而可以请求不同类型的数据服务，数据服务的类型可以根据数据标签的类型来区分。例如，用户标签类型对应的是针对用户标签类型的数据服务，大盘指标类型对应的是针对大盘指标类型的数据服务，用户特征类型对应的是针对用户特征类型的数据服务。

业务系统请求数据服务的方式可以包括接口调用的方式。在该方式中，不同的接口对应的数据服务不同，不同的数据服务对应的数据资产不同。基于此，业务系统所调用的接口与所请求的数据服务对应。各个接口对应调用的数据资产可以包括多个，各个接口与对应的数据资产的调用关系可以预设。

在本说明书实施例中，数据请求可以包括数据请求方的身份信息和所请求的目标数据资产对应的目标数据标签。

数据请求方的身份信息可以包括名称、标识、特征信息等中的至少一种。在身份信息的一种来源方式中，可以是数据请求方在业务系统中输入的身份信息，业务系统在生成数据请求时将所输入的身份信息包括在该数据请求中。

在另一种来源方式中，业务系统可以从身份认证系统中获取数据请求方的身份信息。身份认证系统中可以存储有各方的身份信息，身份认证系统中的身份信息可以是经过校验和认证过的身份信息，以确保身份信息的真实性和准确性。在一个示例中，身份认证系统中的身份信息可以是标准化的信息，每条身份信息包括指定的字段类型，比如，名称、标识、特征等。

在一个示例中，身份认证系统可以对身份信息进行整理，整理的方式可以包括信息纠正、关键信息提取等。信息纠正可以包括对身份信息中的明显错误进行纠正，比如，当身份信息中标识的位数少于正常标识的位数时，可以通过信息纠正的方式将该标识的位数进行纠正，以确保标识的准确性。关键信息提取是对身份认证系统所获取的初始身份信息进行关键信息提取，以从初始身份信息中提取所需的关键信息。在一个示例中，所提取的关键信息是指定的字段类型的信息，比如，名称、标识、特征等，以简化身份认证系统中的身份信息，从而可以更高效地利用简化的关键身份信息进行身份认证。

在另一个示例中，身份认证系统可以利用存储的且经过认证的身份信息进行身份验证，身份认证系统的身份验证功能可以供数据服务系统调用，以便于数据服务系统对发起数据请求的数据请求方进行身份验证，以避免数据请求方的身份造假。

在本说明书实施例中，目标数据资产是数据请求方请求的数据资产，目标数据资产中包括的标签是目标数据标签。每个目标数据资产中包括至少一个目标数据标签，每个目标数据标签对应一个目标数据资产。

接着，在120，可以根据接口、身份信息和目标数据标签来验证数据请求方对目标数据资产的访问权限。

在确定数据请求方具有访问权限时，可以执行130的操作。在确定数据请求方不具有访问权限时，数据服务系统可以不再获取目标数据标签对应的目标数据资产，也可以不向业务系统反馈目标数据资产。在一个示例中，数据服务系统可以向业务系统反馈访问失败的消息，以通知业务系统不具备目标数据标签对应的数据资产的访问权限。

在本说明书实施例中，身份信息可以用于确定数据请求方的身份，接口和目标数据标签可以用于确定目标数据资产。在本说明书实施例的一个示例中，访问权限可以是预先通过授权方式赋予数据请求方访问目标数据资产的权限。在经过授权后，数据请求方具有访问目标数据资产的访问权限。在一个示例中，数据服务系统可以记录经过授权的访问权限，访问权限记录的方式可以是键值对的方式，其中，访问权限中的数据请求方的身份信息可以作为key值，访问权限中针对的目标数据资产的接口和目标数据标签可以作为value值。

在另一个示例中，数据服务系统可以调用数据权限引擎来根据接口、身份信息和目标数据标签来验证数据请求方对目标数据资产的访问权限。数据权限引擎可以实现授权、鉴权和权限回收等功能。

针对授权功能，数据权限引擎可以用于为数据请求方授权，以使该数据请求方具有访问目标数据资产的访问权限。在一个示例中，数据请求方可以向隐私安全枢纽门户提交针对目标数据资产的访问申请，访问申请中可以携带目标数据资产对应的目标数据标签，该目标数据标签用来确定数据请求方所申请访问的数据资产。隐私安全枢纽门户可以用于控制数据资产的隐私和安全，比如，控制数据资产的访问权限。隐私安全枢纽门户接收到数据请求方的访问申请后，可以创建针对该访问申请的审批流，该审批流可以包括针对数据提供方的审批和安全合规的审批。

在审批通过时，数据权限引擎可以为数据请求方授权，授权数据请求方具有访问目标数据资产的访问权限。在审批不通过时，数据权限引擎不会为数据请求方授权，从而数据请求方也没有权限访问目标数据资产。

在一个示例中，经过授权的访问权限可以对应设置权限期限，该访问权限仅在对应的权限期限内有效，当超出该权限期限时，访问权限失效。其中，权限期限可以自定义设定，还可以根据数据请求方的当前授权数量来确定。例如，在数据请求方的当前授权数量较小时，可以设置较长的权限期限；在数据请求方的当前授权数量较多时，可以设置较短的权限期限。

在另一个示例中，经过授权的访问权限可以对应设置访问次数限制，用以限制数据请求方对目标数据资产的访问次数。当数据请求方的访问次数达到所限制的访问次数阈值时，数据请求方的访问权限失效。

针对鉴权功能，数据权限引擎中可以记录授权的访问权限，从而数据权限引擎可以根据所记录的访问权限来进行鉴权，鉴权包括验证访问权限。基于数据权限引擎的鉴权功能，数据服务系统可以调用数据权限引擎来进行鉴权，数据权限引擎响应于调用操作进行鉴权操作，并向数据服务系统反馈鉴权结果。

针对权限回收功能，数据权限引擎可以将已授权的访问权限回收，从而使得访问权限失效。数据权限引擎可以根据访问权限的权限期限和/或访问次数限制来对访问权限进行回收处理，还可以根据具有访问权限的数据请求方的当前授权数量来对访问权限进行回收处理。例如，当数据请求方的当前授权数量超过预设的数量阈值时，可以将该数据请求方所具有的访问权限进行回收。此外，数据权限引擎还可以根据针对访问权限的审计结果来进行回收处理，当针对访问权限的审计结果包括该访问权限不合规或者该访问权限的授权过程不合规，则数据权限引擎可以将该访问权限回收。

数据权限引擎在回收访问权限后，可以向具有该访问权限的数据请求方发送权限回收消息，以通知该数据请求方不再具有该访问权限。

在本说明书实施例的另一个示例中，目标数据资产可以是由数据请求方生成或者关联的数据资产。当数据资产由数据请求方生成时，即该数据资产来源于该数据请求方，此时，可以无需经过授权，该数据请求方可以自动获得该数据资产的访问权限。此外，当数据资产与该数据请求方关联时，尤其是，当数据资产与数据请求方强关联时，也可以无需经过授权，该数据请求方可以自动获得该数据资产的访问权限。例如，目标数据资产是数据请求方的个人信息(比如，名字、身份证号、人脸特征图像等)，该个人信息对于数据请求方来说具有唯一性，该个人信息与该数据请求方是强关联关系，因此，该数据请求方可以自动获得该个人信息的访问权限。

在一个示例中，数据请求还可以包括业务系统的设备标识，该设备标识可以表征业务系统。在一个示例中，该设备标识可以是业务系统的唯一标识。

可以根据接口、身份信息、目标数据标签以及业务系统的设备标识来验证数据请求方对目标数据资产的访问权限。

在该示例中，访问权限可以由数据请求方、业务系统和目标数据资产三部分构成，数据请求方需要在使用业务系统的情况下才具有访问目标数据资产的访问权限。其中，身份信息用于确定数据请求方，设备标识用于确定业务系统，接口和目标数据标签用于确定目标数据资产。

在该示例中，数据请求方对目标数据资产的访问权限在授权时，授权的对象是数据请求方和业务系统，两者缺一不可，否则仅任一方都不具有访问权限。

通过上述示例，将数据请求方对目标数据资产的访问权限限制在身份信息对应的数据请求方以及设备标识对应的业务系统，提高了数据资产访问的安全性。

图2示出了本说明书实施例的用于对数据资产进行管控的方法的另一个示例200的流程图。

如图2所示，在执行120的操作之前，可以先执行115的操作。在115，可以对数据请求方的身份信息进行验证，以确保数据请求方的身份的真实性。在身份验证通过时，可以再执行120的操作；在身份验证不通过时，则可以终止数据请求方的访问。在一个示例中，在身份验证不通过时，数据服务系统可以向业务系统反馈身份验证失败的消息，以通知数据请求方身份验证失败。

在一种验证方式中，可以由数据服务系统自身对身份信息进行验证。在该验证方式中，数据服务系统可以集成有用于验证身份信息的身份验证模块，该身份验证模块执行身份验证操作后可以生成身份验证结果，从而数据服务系统可以直接获取到身份验证结果。

在另一种验证方式中，数据服务系统可以调用身份认证系统对身份信息进行验证，该身份认证系统可以是为业务系统提供身份信息的设备。在数据服务系统调用身份认证系统时，身份认证系统响应于数据服务系统的调用请求，该调用请求可以携带有待验证的身份信息，身份认证系统对待验证的身份信息进行验证，并向数据服务系统反馈验证结果。

在该验证方式中，数据服务系统通过调用身份认证系统来执行验证操作，对于数据服务系统来说仅接收验证结果，减少了数据服务系统的内存消耗和处理器消耗，从而降低了数据服务系统的负载压力。

回到图1，在130，可以将目标数据标签对应的目标数据资产反馈给业务系统。

数据服务系统在确定数据请求方具有访问权限时，可以根据目标数据标签启动数据服务以查询数据资产，将包括目标数据标签的数据资产确定为对应的目标数据资产。

在一个示例中，数据服务系统响应于确定数据请求方具有访问权限，可以发起数据服务的线程，通过执行该线程来根据目标数据标签查询对应的目标数据资产，并向数据服务系统反馈查询到的目标数据资产。

数据服务系统可以同时响应业务系统的多个数据请求，还可以同时响应多个业务系统的数据请求。在上述两种情况下，在数据服务系统中，每个数据请求可以对应发起一个数据服务的线程，此时，多个线程可以并发执行，提高了数据服务系统中数据服务的效率。

在一个示例中，数据服务可以包括多种类型，比如，用户标签服务类型、大盘指标服务类型和用户特征服务类型等。数据资产的存储方式可以是按照标签类型分别进行存储，比如，用户标签类型的数据资产、大盘指标类型的数据资产以及用户特征类型的数据资产分别存储在不同的数据库中。

在该示例中，数据服务系统可以响应各种类型的数据服务，针对不同类型的数据服务可以发起不同的线程，所发起的线程可以是根据数据服务的类型确定的。数据服务系统中运行的线程在对应类型的数据资产所在的存储中查询目标数据资产，例如，发起的线程是响应用户标签服务类型的数据服务，该用户标签服务类型的数据服务对应用户标签类型的数据资产，则该线程在用户标签类型的数据资产中查询目标数据资产。

在一个示例中，在数据服务系统完成对数据资产的数据服务后，可以对该数据服务进行审计，以确保数据服务的合规性。

针对数据资产的审计可以包括数据流转审计、鉴权审计和访问权限审计等。在数据流转审计中，可以获取在数据服务的整个过程中的数据资产的流转路径，并对数据资产的流转路径进行审计，以确保数据资产流转的合规性。在鉴权审计中，可以回溯访问权限验证的完整过程，以确保访问权限验证的合规性。在访问权限审计中，可以对数据请求方对目标数据资产的访问权限进行审计，还可以回溯访问权限的授权过程，并对授权过程进行审计，以确保访问权限以及访问权限的授权过程的合规性。在一个示例中，针对数据服务的审计可以由审计机构来执行。

图3示出了根据本说明书实施例的数据服务系统的应用场景的一个示例的示意图。

如图3所示，数据服务系统中可以配置有远程过程调用过滤器(RPC Filter)，远程过程调用过滤器可以用于验证访问权限。远程过程调用过滤器中可以配置有可信安全网关，用以提高远程过程调用过滤器的安全性能，进而提高数据服务系统的安全性能。

在一个示例中，远程过程调用过滤器可以作为中间件配置在数据服务系统中，作为中间件的远程过程调用过滤器用于连接业务系统与针对数据资产的数据服务。

在一个示例中，远程过程调用过滤器可以拦截业务系统的数据请求，所拦截的数据请求可以传输至远程过程调用过滤器中的可信安全网关，可信安全网关可以对数据请求进行解析，以从数据请求中提取出身份信息和目标数据标签。然后，可信安全网关可以根据接口、身份信息和目标数据标签来验证数据请求方对目标数据资产的访问权限。

通过上述示例，将远程过程调用过滤器作为中间件的方式配置在数据服务系统中，可以实现无感接入，提高了数据服务系统的用户体验。

在一个示例中，远程过程调用过滤器可以通过代码注入的方式配置在数据服务系统的字节码操控框架(比如，ASM)中。

字节码操控框架可以用于在数据服务系统中动态生成类文件。远程过程调用过滤器的代码可以注入到字节码操控框架中，注入字节码操控框架中的远程过程调用过滤器的代码可以实现远程过程调用过滤器的功能。

字节码操控框架中的代码可以以JAR的格式存在，字节码操控框架可以对其中的JAR进行热更新，热更新的内容可以包括修改名称、属性以及方法等。

在一个示例中，响应于远程过程调用过滤器存在更新，可以在字节码操控框架中对远程过程调用过滤器进行热更新。

在该示例中，热更新可以用于更新远程过程调用过滤器中配置的权限验证策略以及访问权限验证的要素等，其中，访问权限验证的要素可以包括数据服务类型、数据请求来源应用和访问权限验证的客体等，数据服务类型可以包括标签、大盘指标等，权限验证策略的更新包括数据资产类型的更新。例如，在数据服务系统中，当前的数据服务类型仅包括针对用户标签的访问权限验证服务，需要增加针对大盘指标的访问权限验证服务，则可以在字节码操控框架中对远程过程调用过滤器进行热更新，以增加针对大盘指标的访问权限验证服务。经过热更新后的远程过程调用过滤器可以提供针对用户标签和大盘指标的访问权限验证服务。

通过上述示例，远程过程调用过滤器注入字节码操控框架中，字节码操控框架可以实现对远程过程调用过滤器的热更新，数据服务系统无需专门对远程过程调用过滤器进行更新，提高了远程过程调用过滤器的更新效率。此外，字节码操控框架中的热更新对于数据服务系统来说是无感更新，提升了数据服务系统的用户体验。

图4示出了根据本说明书实施例的数据服务系统的应用架构的一个示例的示意图。

如图4所示，数据服务系统的应用架构可以包括接入层、拦截层、数据服务层和数据资产层。

接入层可以作为数据服务系统的入口，用于连接业务系统与数据服务系统中的拦截层。接入层可以用于对数据服务系统中的各个中间件进行配置，例如，RPC(RemoteProcedure Call，远程过程调用)、HTTP(Hyper Text Transfer Protocol，超文本传输协议)、GRPC等。接入层可配置的内容可以包括各个中间件的协议等。

通过设置接入层对中间件进行配置，在数据服务系统中需要对中间件进行扩展或修改更新时，仅需对接入层进行相应的设置即可，提升了配置中间件的便利性。

拦截层位于接入层的下层，拦截层可以用于进行身份认证、访问权限验证、请求解析等处理。拦截层可以构建在字节码操控框架中。

数据服务层和数据资产层均位于拦截层的下层。数据服务层用于提供不同类型的数据服务，比如，用户标签类型的数据服务，大盘指标类型的数据服务，以及用户特征类型的数据服务等。数据资产层用于提供不同类型的数据资产，比如，用户标签类型的数据资产，大盘指标类型的数据资产，以及用户特征类型的数据资产等。

数据服务层与数据资产层之间相互关联，数据服务层中提供的每一种数据服务都需要数据资产层中提供对应的数据资产。

图5示出了根据本说明书的另一实施例的用于对数据资产进行管控的方法的一个示例500的流程图。

如图5所示，在510，响应于业务系统通过调用接口发送数据请求，在业务系统与数据服务系统之间的网络层中拦截数据请求。

其中，数据请求携带有数据请求方的身份信息和所请求的目标数据资产对应的目标数据标签，数据服务系统待提供的数据资产包括数据和对应的数据标签，网络层与数据服务系统的接入层连接。

在本说明书的实施例中，网络层的应用架构包括有拦截层，该拦截层可以用于拦截请求、解析请求、身份认证、访问权限验证等处理。拦截层可以构建在字节码操控框架中。

在520，在网络层中对数据请求进行反序列化处理。

网络层中传输的是字节序列，通过反序列化可以将数据请求的字节序列转换成Java对象。

在530，在网络层中根据经过反序列化处理后的身份信息、目标数据标签和接口验证数据请求方对目标数据资产的访问权限。在验证数据请求方具有访问权限时，执行540的操作；在验证数据请求方不具有访问权限时，则结束。

在540，在数据服务系统的接入层中接收数据请求和访问权限的验证结果。验证结果可以是数据请求方具有访问权限，此时可以执行550的操作。验证结果还可以是数据请求方不具有访问权限，此时可以结束针对数据请求方的数据服务。

在550，在确定数据请求方具有访问权限时，将目标数据标签对应的目标数据资产反馈给业务系统。

在本实施例中，510至550的操作可以参考上述实施例中的操作，在此不再描述。

图6示出了根据本说明书实施例的数据服务系统的应用场景的另一个示例的示意图。

如图6所示，业务系统与数据服务系统之间的网络层的应用架构包括有拦截层，当业务系统发送数据请求时，在网络层中，拦截层可以拦截该数据请求，并对数据请求进行反序列化处理。再对经过反序列化处理的数据请求进行解析处理，以提取数据请求中的身份信息和目标数据标签。然后可以对身份信息进行验证，还可以根据身份信息、目标数据标签和接口验证访问权限，并得到访问权限的验证结果。网络层将验证结果和数据请求传输给数据服务系统的接入层。

数据服务系统的接入层接收所述数据请求和所述访问权限的验证结果，在确定数据请求方具有访问权限时，数据服务系统的数据服务层和数据资产层提供相应的数据服务，将目标数据标签对应的目标数据资产反馈给业务系统。

图7示出了根据本说明书实施例的用于对数据资产进行管控的装置(以下称为数据资产管控装置700)的一个示例的方框图。

该数据资产管控装置700可以应用于数据服务系统，数据服务系统待提供的数据资产包括数据和对应的数据标签。

如图7所示，数据资产管控装置700包括请求接收单元710、权限验证单元720和数据资产反馈单元730。

请求接收单元710，被配置为接收业务系统通过调用接口发送的数据请求，该数据请求包括数据请求方的身份信息和所请求的目标数据资产对应的目标数据标签。

权限验证单元720，被配置为根据接口、身份信息和目标数据标签验证数据请求方对目标数据资产的访问权限。

数据资产反馈单元730，被配置为在确定数据请求方具有访问权限时，将目标数据标签对应的目标数据资产反馈给业务系统。

在一个示例中，数据资产管控装置700还可以包括身份验证单元，该身份验证单元被配置为对身份信息进行验证。在验证通过时，触发权限验证单元720执行相应的操作。

在一个示例中，身份验证单元还可以被配置为调用身份认证系统对身份信息进行验证，身份认证系统用于为业务系统提供身份信息。

在一个示例中，权限验证单元720，可以被配置为根据接口、身份信息、目标数据标签和设备标识来验证数据请求方对目标数据资产的访问权限。

在一个示例中，数据资产管控装置700还可以包括热更新单元，该热更新单元可以被配置为：响应于远程过程调用过滤器存在更新，在字节码操控框架下对远程过程调用过滤器进行热更新。

图8示出了根据本说明书实施例的用于对数据资产进行管控的系统(以下称为数据资产管控系统800)的一个示例的示意图。

如图8所示，数据资产管控系统800可以包括网络层设备810和数据服务系统820，网络层设备810配置在业务系统与数据服务系统820之间的网络层中，

网络层设备810，被配置为响应于业务系统通过调用接口发送数据请求，在网络层中拦截数据请求，数据请求携带有数据请求方的身份信息和所请求的目标数据资产对应的目标数据标签，数据服务系统待提供的数据资产包括数据和对应的数据标签，网络层与数据服务系统的接入层连接；在网络层中对数据请求进行反序列化处理；以及在网络层中根据经过反序列化处理后的身份信息、目标数据标签和接口验证数据请求方对目标数据资产的访问权限。

数据服务系统820，被配置为在数据服务系统的接入层中接收数据请求和访问权限的验证结果；以及在确定数据请求方具有访问权限时，将目标数据标签对应的目标数据资产反馈给业务系统。

以上参照图1到图8，对根据本说明书实施例的用于对数据资产进行管控的方法、装置及系统的实施例进行了描述。

本说明书实施例的用于对数据资产进行管控的装置可以采用硬件实现，也可以采用软件或者硬件和软件的组合来实现。以软件实现为例，作为一个逻辑意义上的装置，是通过其所在设备的处理器将存储器中对应的计算机程序指令读取到内存中运行形成的。在本说明书实施例中，用于对数据资产进行管控的装置例如可以利用电子设备实现。

图9示出了本说明书实施例的用于实现数据资产管控方法的电子设备900的方框图。

如图9所示，电子设备900可以包括至少一个处理器910、存储器(例如，非易失性存储器)920、内存930和通信接口940，并且至少一个处理器910、存储器920、内存930和通信接口940经由总线950连接在一起。至少一个处理器910执行在存储器中存储或编码的至少一个计算机可读指令(即，上述以软件形式实现的元素)。

在一个实施例中，在存储器中存储计算机可执行指令，其当执行时使得至少一个处理器910：接收业务系统通过调用接口发送的数据请求，数据请求包括数据请求方的身份信息和所请求的目标数据资产对应的目标数据标签；根据接口、身份信息和目标数据标签验证数据请求方对目标数据资产的访问权限；以及在确定数据请求方具有访问权限时，将目标数据标签对应的目标数据资产反馈给业务系统。

应该理解，在存储器中存储的计算机可执行指令当执行时使得至少一个处理器910进行本说明书的各个实施例中以上结合图1-8描述的各种操作和功能。

根据一个实施例，提供了一种例如机器可读介质的程序产品。机器可读介质可以具有指令(即，上述以软件形式实现的元素)，该指令当被机器执行时，使得机器执行本说明书的各个实施例中以上结合图1-8描述的各种操作和功能。

具体地，可以提供配有可读存储介质的系统或者装置，在该可读存储介质上存储着实现上述实施例中任一实施例的功能的软件程序代码，且使该系统或者装置的计算机或处理器读出并执行存储在该可读存储介质中的指令。

在这种情况下，从可读介质读取的程序代码本身可实现上述实施例中任何一项实施例的功能，因此机器可读代码和存储机器可读代码的可读存储介质构成了本发明的一部分。

本说明书各部分操作所需的计算机程序代码可以用任意一种或多种程序语言编写，包括面向对象编程语言，如Java、Scala、Smalltalk、Eiffel、JADE、Emerald、C++、C#、VB、NET以及Python等，常规程序化编程语言如C语言、Visual Basic 2003、Perl、COBOL 2002、PHP以及ABAP，动态编程语言如Python、Ruby和Groovy，或者其他编程语言等。该程序编码可以在用户计算机上运行，或者作为独立的软件包在用户计算机上运行，或者部分在用户计算机上运行另一部分在远程计算机运行，或者全部在远程计算机或服务器上运行。在后一种情况下，远程计算机可以通过任何网络形式与用户计算机连接，比如局域网(LAN)或广域网(WAN)，或连接至外部计算机(例如通过因特网)，或者在云计算环境中，或者作为服务使用，比如软件即服务(SaaS)。

可读存储介质的实施例包括软盘、硬盘、磁光盘、光盘(如CD-ROM、CD-R、CD-RW、DVD-ROM、DVD-RAM、DVD-RW、DVD-RW)、磁带、非易失性存储卡和ROM。可选择地，可以由通信网络从服务器计算机上或云上下载程序代码。

上述对本说明书特定实施例进行了描述。其它实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。

上述各流程和各系统结构图中不是所有的步骤和单元都是必须的，可以根据实际的需要忽略某些步骤或单元。各步骤的执行顺序不是固定的，可以根据需要进行确定。上述各实施例中描述的装置结构可以是物理结构，也可以是逻辑结构，即，有些单元可能由同一物理实体实现，或者，有些单元可能分由多个物理实体实现，或者，可以由多个独立设备中的某些部件共同实现。

在整个本说明书中使用的术语“示例性”意味着“用作示例、实例或例示”，并不意味着比其它实施例“优选”或“具有优势”。出于提供对所描述技术的理解的目的，具体实施方式包括具体细节。然而，可以在没有这些具体细节的情况下实施这些技术。在一些实例中，为了避免对所描述的实施例的概念造成难以理解，公知的结构和装置以框图形式示出。

以上结合附图详细描述了本说明书的实施例的可选实施方式，但是，本说明书的实施例并不限于上述实施方式中的具体细节，在本说明书的实施例的技术构思范围内，可以对本说明书的实施例的技术方案进行多种简单变型，这些简单变型均属于本说明书的实施例的保护范围。

本说明书内容的上述描述被提供来使得本领域任何普通技术人员能够实现或者使用本说明书内容。对于本领域普通技术人员来说，对本说明书内容进行的各种修改是显而易见的，并且，也可以在不脱离本说明书内容的保护范围的情况下，将本文所定义的一般性原理应用于其它变型。因此，本说明书内容并不限于本文所描述的示例和设计，而是与符合本文公开的原理和新颖性特征的最广范围相一致。

Claims (15)

1.一种用于对数据资产进行管控的方法，所述方法由数据服务系统来执行，所述数据服务系统待提供的数据资产包括数据和对应的数据标签，

所述方法包括：

接收业务系统通过调用接口发送的数据请求，所述数据请求包括数据请求方的身份信息和所请求的目标数据资产对应的目标数据标签；

根据所述接口、所述身份信息和所述目标数据标签验证所述数据请求方对所述目标数据资产的访问权限；以及

在确定所述数据请求方具有所述访问权限时，将所述目标数据标签对应的所述目标数据资产反馈给所述业务系统。

2.如权利要求1所述的方法，还包括：

对所述身份信息进行验证；以及

在验证通过时，执行根据所述接口、所述身份信息和所述目标数据标签验证所述数据请求方对所述目标数据资产的访问权限的操作。

3.如权利要求2所述的方法，其中，对所述身份信息进行验证包括：

调用身份认证系统对所述身份信息进行验证，所述身份认证系统用于为所述业务系统提供所述身份信息。

4.如权利要求1所述的方法，其中，所述访问权限是预先通过授权方式赋予所述数据请求方访问所述目标数据资产的权限。

5.如权利要求1所述的方法，其中，所述数据请求还包括所述业务系统的设备标识，

根据所述接口、所述身份信息和所述目标数据标签验证所述数据请求方对所述目标数据资产的访问权限包括：

根据所述接口、所述身份信息、所述目标数据标签和所述设备标识来验证所述数据请求方对所述目标数据资产的访问权限。

6.如权利要求1所述的方法，其中，远程过程调用过滤器作为中间件配置在所述数据服务系统中，

根据所述接口、所述身份信息和所述目标数据标签验证所述数据请求方对所述目标数据资产的访问权限包括：

所述远程过程调用过滤器拦截所述数据请求；以及

通过所述远程过程调用过滤器中的可信安全网关根据所述接口、所述身份信息和所述目标数据标签验证所述数据请求方对所述目标数据资产的访问权限。

7.如权利要求6所述的方法，其中，所述远程过程调用过滤器通过代码注入的方式配置在所述数据服务系统的字节码操控框架中。

8.如权利要求7所述的方法，还包括：

响应于所述远程过程调用过滤器存在更新，在所述字节码操控框架下对所述远程过程调用过滤器进行热更新。

9.如权利要求6所述的方法，其中，所述数据服务系统的接入层用于配置各个中间件，所述接入层用于连接所述业务系统和用于验证访问权限的拦截层。

10.一种用于对数据资产进行管控的方法，包括：

响应于业务系统通过调用接口发送数据请求，在所述业务系统与数据服务系统之间的网络层中拦截所述数据请求，所述数据请求携带有数据请求方的身份信息和所请求的目标数据资产对应的目标数据标签，所述数据服务系统待提供的数据资产包括数据和对应的数据标签，所述网络层与所述数据服务系统的接入层连接；

在所述网络层中对所述数据请求进行反序列化处理；

在所述网络层中根据经过反序列化处理后的所述身份信息、所述目标数据标签和所述接口验证所述数据请求方对所述目标数据资产的访问权限；

在所述数据服务系统的接入层中接收所述数据请求和所述访问权限的验证结果；以及

在确定所述数据请求方具有所述访问权限时，将所述目标数据标签对应的所述目标数据资产反馈给所述业务系统。

11.一种用于对数据资产进行管控的装置，所述装置应用于数据服务系统，所述数据服务系统待提供的数据资产包括数据和对应的数据标签，

所述装置包括：

请求接收单元，被配置为接收业务系统通过调用接口发送的数据请求，所述数据请求包括数据请求方的身份信息和所请求的目标数据资产对应的目标数据标签；

权限验证单元，被配置为根据所述接口、所述身份信息和所述目标数据标签验证所述数据请求方对所述目标数据资产的访问权限；以及

数据资产反馈单元，被配置为在确定所述数据请求方具有所述访问权限时，将所述目标数据标签对应的所述目标数据资产反馈给所述业务系统。

12.一种用于对数据资产进行管控的系统，包括网络层设备和数据服务系统，所述网络层设备配置在业务系统与所述数据服务系统之间的网络层中，

所述网络层设备，被配置为响应于所述业务系统通过调用接口发送数据请求，在所述网络层中拦截所述数据请求，所述数据请求携带有数据请求方的身份信息和所请求的目标数据资产对应的目标数据标签，所述数据服务系统待提供的数据资产包括数据和对应的数据标签，所述网络层与所述数据服务系统的接入层连接；在所述网络层中对所述数据请求进行反序列化处理；以及在所述网络层中根据经过反序列化处理后的所述身份信息、所述目标数据标签和所述接口验证所述数据请求方对所述目标数据资产的访问权限；

所述数据服务系统，被配置为在所述数据服务系统的接入层中接收所述数据请求和所述访问权限的验证结果；以及在确定所述数据请求方具有所述访问权限时，将所述目标数据标签对应的所述目标数据资产反馈给所述业务系统。

13.一种电子设备，包括：至少一个处理器，与所述至少一个处理器耦合的存储器，以及存储在所述存储器上的计算机程序，所述至少一个处理器执行所述计算机程序来实现如权利要求1-9中任一所述的方法。

14.一种计算机可读存储介质，其存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1-9中任一所述的方法。

15.一种计算机程序产品，包括计算机程序，所述计算机程序被处理器执行时实现如权利要求1-9中任一所述的方法。

Images