CN113904875A

CN113904875A - 一种基于区块链的多链融合权限管制系统

Info

Publication number: CN113904875A
Application number: CN202111473918.4A
Authority: CN
Inventors: 曹源; 汪大明; 邓罡; 曹宇; 来飞; 付宗波; 陈磊; 曲波; 曹恒; 陈澄; 刘子扬
Original assignee: Hunan Chenhan Information Technology Co ltd
Current assignee: Hunan Chenhan Information Technology Co ltd
Priority date: 2021-12-06
Filing date: 2021-12-06
Publication date: 2022-01-07
Anticipated expiration: 2041-12-06
Also published as: CN113904875B

Abstract

本发明涉及一种基于区块链的多链融合权限管制系统，所述管制系统包括一条权限区块链以及由多个管理节点维护所述权限区块链；所述权限区块链用于处理来自用户的操作请求，判定所述用户在第一对象和第二对象之间是否可以执行操作；其中所述第一对象存储于第一区块链，所述第二对象存储于第二区块边；其中，所述第一区块链以及所述第二区块链都由多个节点共同维护；所述管制系统筛选或促成至少一个所述节点成为代理节点，令所述代理节点满足同时连接所述第一区块链以及所述第二区块链，并且同时具有操作所述第一对象以及所述第二对象的权限；所述管制系统将所述代理节点与所述用户进行通讯耦合，从而满足用户的操作请求。

Description

一种基于区块链的多链融合权限管制系统

技术领域

本发明涉及区块链的权限管理技术领域。具体而言，涉及一种基于区块链的多链融合权限管制系统。

背景技术

目前区块链技术随着数据产业的硬件、平台的高速发展，应用场景也在快速扩展。区块链在低层上理解可以视为一个分布式的数据库。存在于每个区块内的数据信息同时都会被对等网络分享到区块链中的每个节点上。对于信息本身的强一致性、可追溯性都由区块链以及其内部各运行节点进行了有力的强背书。然而在某些应用场景下，并非所有的链上数据以及功能都希望能被每一个节点获取，亦即只针对部分指定的节点进行数据访问的权限开放，因此区块链上针对节点的权限管制问题日益需要解决。

尤其是随着不同业务的需要，以联盟链形式存在的多个组织，以及用于分担公链运行压力的各种侧链的出现，也提出关于链-链之间需要执行数据交互时，发送方、接送方、公证方的各自权限以及角色的问题；目前并没有较为高效而且接受程度高的解决方案给予应用层面。

查阅相关已公开技术方案，公开号为CN107992621（A）的技术方案提出了一种基于区块链多链技术融合的智能电影产业服务系统，通过设置多条联盟链以及公链，将电影产业中各环节以及各功能模块分别布置于不同的区块链上，并通过公证节点以及外部程序接口，实现多链间的数据互联以及权限在多链上的相互验证；CN112800485 （A）中提出一种许可链的权限控制方法及系统，使用该权限控制方法可驱利用许可链中各个节点的管理权限从而确定对应用户的对应的权限，完全基于一种去中心化的模式，由链上的各节点在管理区与用户之间的角色可以调换从而实现权限的控制与授权；公开号为US2021320916 （A1）的技术方案提出一种加入生物特征的权限管理与授权系统，用于对系统内各参与者的权限验证包括使用到各人的生物特征作为验证标准，从而调整相应的权限使用模块。针对现有方式，还可以进一步扩展权限管理的方式，并且进一步发展针对多链环境中对于权限如何在多链中转移的技术。

发明内容

本发明的目的在于，提供一种基于区块链的多链融合权限管制系统；所述管制系统通过将用户与实际执行多链间跨链操作的节点进行动态耦合与分离，从而将权限的分配与权限实施操作的范围监控在目标区块链以及分布式系统内，避免了因为多个用户需要不同权限时，造成角色和权限分配混乱的问题，有利于多链融合过程中权限的合理使用。

本发明采用如下技术方案：

一种基于区块链的多链融合权限管制系统，所述管制系统包括一条权限区块链以及第一管理组织；所述权限区块链用于处理来自用户的操作请求，以便用户在第一对象和第二对象之间执行操作，其中所述第一对象存储于第一区块链，所述第二对象存储于第二区块链；所述第一管理组织包括多个第一管理节点；多个所述第一管理节点共同维护所述权限区块链；

其中，所述第一区块链以及所述第二区块链都由多个一般节点共同维护；所述一般节点已连接所述第一区块链；或者，所述一般节点已连接所述第二区块链；或者，所述一般节点已同时连接所述第一区块链以及所述第二区块链；所述管制系统筛选或促成至少一个所述一般节点成为代理节点，令所述代理节点满足同时连接所述第一区块链以及所述第二区块链，并且同时具有操作所述第一对象以及所述第二对象的权限；所述管制系统建立所述代理节点与用户的通讯通道，令用户通过所述代理节点实现对所述第一对象以及所述第二对象执行已申请的操作；

所述管制系统还包括应用程序接口以及请求处理模块；用户使用客户端通过所述应用程序接口通讯连接所述请求处理模块，由所述请求处理模块记录用户身份，向所述权限区块链验证用户身份的合法性，以及接收用户的操作请求；

所述管制系统将用户的身份信息以及操作请求建立一个请求事件，并将所述请求事件广播到所述权限区块链，并由所述权限区块链进行一致性验证后将所述请求事件写入所述权限区块链的区块中；

所述第一对象以及所述第二对象是数据或数据库；

所述第一区块链、所述第二区块链以及所述权限区块链的区块链账本内包括维护一份权限列表；所述权限列表记录当前所在区块链内的多个角色、权限的描述；所述权限列表还包括记录角色被赋予的权限；所述权限列表还包括记录所述一般节点被赋予的角色；其中所述权限区块链内的所述权限列表为总权限列表；

所述第一区块链以及所述第二区块链上都包括一个第二管理组织；所述第二管理组织包括多个第二管理节点；所述第二管理组织负责管理所在区块链的所述一般节点的角色、权限分配；所述第二管理组织还负责维护所在区块链的所述权限列表的创建、保存和更新；所述第二管理组织通过创建链上的交易对实现对其他所述一般节点进行角色的赋予与收回；

所述第二管理节点定期将所负责区块链的所述权限列表加密后提交到所述第一管理节点，由所述第一管理节点广播到所述权限区块链进行验证后，汇总到所述总权限列表；

所述第一管理节点和所述第二管理节点通过各自所在的区块链进行选举产生；所述第一管理节点和所述第二管理节点在中选后，通过所在区块链的权限管理组织赋予管理员角色；

所述权限区块链包括基于所述第一对象以及所述第二对象的权限限制，拒绝用户的操作请求。

本发明所取得的有益效果是：

1. 本发明的管制系统将用户与当前区块链节点进行动态的耦合匹配，区别于以往将用户直接赋予系统内角色或者权限的模式，使用户通过代理节点进行链内访问和操作，提高了链内数据的安全性；

2. 本发明的管制系统基于区块链账本进行对节点的权限授予和使用进行记录验证，当数据受到侵害后可以有效地进行权限漏洞回溯，有利于为今后优化系统内的权限控制规则提供有效的参考证据；

3. 本发明的管制系统通过多个权限管理节点对权限在各区块链节点中的授予以及收回进行管制，使权限的变更由多个具有管理权限的节点进行信用背书；

4. 本发明的软、硬件布局需求基于模块化设计，可在技术更新和修改阶段方便地进行切换和升级，有利于今后技术方案的优化和升级。

附图说明

从以下结合附图的描述可以进一步理解本发明。图中的部件不一定按比例绘制，而是将重点放在示出实施例的原理上。在不同的视图中，相同的附图标记指定对应的部分。

图1为本发明中用户耦合代理节点在多链中进行操作的示意图；

图2为RBAC权限管理模型的示意图；

图3为本发明中处理用户操作请求的架构示意图；

图4为本发明实施例1的权限管制流程示意图；

图5为本发明实施例2的权限管制流程示意图；

附图编号说明：101-用户；102-请求处理模块；103-第一管理组织；104-权限区块链；105-第一区块链；106-第二区块链；201-代理节点。

具体实施方式

为了使得本发明的目的技术方案及优点更加清楚明白，以下结合其实施例，对本发明进行进一步详细说明；应当理解，此处所描述的具体实施例仅用于解释本发明，并不用于限定本发明。对于本领域技术人员而言，在查阅以下详细描述之后，本实施例的其它系统.方法和/或特征将变得显而易见。旨在所有此类附加的系统、方法、特征和优点都包括在本说明书内.包括在本发明的范围内，并且受所附权利要求书的保护。在以下详细描述描述了所公开的实施例的另外的特征，并且这些特征根据以下将详细描述将是显而易见的。

本发明实施例的附图中相同或相似的标号对应相同或相似的部件；在本发明的描述中，需要理解的是，若有术语“上”、“下”、“左”、“右”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或组件必须具有特定的方位.以特定的方位构造和操作，因此附图中描述位置关系的用语仅用于示例性说明，不能理解为对本专利的限制，对于本领域的普通技术人员而言，可以根据具体情况理解上述术语的具体含义。

实施例一：

所述第一对象以及所述第二对象是数据或数据库；

所述权限区块链包括基于所述第一对象以及所述第二对象的权限限制，拒绝用户的操作请求；

对于权限系统而言，无论是在实体企业中对人员、部门权限的管理，还是在计算机系统中对付网络内多达数千万用户的管理，都一直是管理学界长期研究的课题；在一个权限系统中，通常包括以下几个基本概念：

用户，即发起操作的主体，本实施例中以user-1，user-2……等作为标识；

对象，即操作所针对的客体对象，比如数据、图片、文件等，本实施例以sub-1，sub-2……作为标识

权限，即指主体对某个客体执行某一种操作的权利，例如修改、删除、读取等，本实施例以per-1，per-2……作为标识；

权限列表，即指用来描述权限规刚或用户和权限之间关系的数据表；

最基本的做法，是通过设立各种权限，达到管制对对象的操作的介入程度；通过将权限赋予用户，管制用户对对象的可操作范围和程度；

然而随着系统内的用户、可操作的对象数量的提升，相应的权限规则亦大副增加；当中针对不同用户对不同对象的权限需求亦由于权限的组织形式多样，变得越加细致且逻辑关系复杂，因此也催生了各种不同的权限管理模型，例如基于ACL的权限控制模型、基于RBAC的权限控制模型以及基于ABAC的权限控制模型；以普及程度较高的RBAC（Role-BasedAccess Control，基于角色的访问控制）模型为例，如附图2为该模型实施时的简单示意图；

在 RBAC模型中,包含用户、角色、目标、操作、权限五个基本元素，权限被赋予给角色而不是直接赋予给用户，当一个角色被指定给一个用户时，此用户就拥有了该角色所包含的权限；会话（sessions）是用户与激活的角色集合之间的映射；其中，所述角色，是拥有若干数量权限的集合，本实施例中角色以rol-1，rol-2……作为标识；例如，对于角色rol-1={per-1,per-3,per-5}，则角色rol-1包含了三个权限，对于角色rol-2={per-2,per-3}，则角色rol-2包含了两个权限；角色拥有的权限数量可以为零，或者为系统设置的权限上限；不同的角色之间可以包括重叠的权限，例如角色rol-1和角色rol-2中都包含了权限per-3；

RBAC权限管理引入角色的概念,目的是为了隔离用户与权限；角色作为一个用户与权限的代理，解耦了权限和用户的关系，所有的授权应该给予角色而不是直接给予用户或用户组；由于角色/权限之间的变化比角色/用户关系之间的变化相对要慢得多，减小了授权管理的复杂性，降低管理开销；进一步的，角色和用户、权限的关系为权限管理模型的核心内容，一般称为User assignment(UA)和Permission assignment(PA)；这两层关系的左右两边都是多点对多点的关系；亦就是用户可以有多个角色，同一角色可以被赋予给多个用户；进一步的，通过设置角色这一相对固定的变量，即使系统内的用户不断加入和退出，或者用户拥有的权利在不断更新中，而只要通过赋予用户不同的角色，即可以高效地管理好用户的权限；因此RBAC模型能够灵活地支持大型管理系统的安全策略，并对管理系统中的各个元素的变化有很大的伸缩性；

区块链技术的兴起和发展，产生了大量在多链之间进行数据融合使用的需求；然而目前大量区块链并非公链设计，例如大量企业内部维护的区块链是以联盟链形式布置，并未考虑到外界用户的访问需求；需要进入该类区块链的节点通常需要全链进行身份验证，基于区块链的去中心化原则，每次的验证所需要的时间都较长；同时每个区块链内的权限管理规则因应本身的运行目的和原理，通常亦有所区别，例如对于应用于商品交易的区块链，与应用于数据管理的区块链，其权限管理规刚必然存在差异；

因此，本实施例中提出的技术方案，无需为新增加的用户，特别是短期用户或临时性用户重新建立多个区块链内的节点和经历一系列的验证过程；对于用户可以获得的权限，由所述权限区块链进行最高层次的信用背书，省略了大量由下级多个区块链重新进行一致性背书的操作，节省了大量运算时间，也能得到可信程度高并且高一致度的背书认证；

进一步的，如附图3，所述请求处理模块负责将用户的操作请求写入到所述权限区块链的区块账本后，所述第一管理组织定期获取区块账本中的更新的操作请求，并分析该操作请求需要的、基于所述第一对象以及所述第二对象的一个或以上权限per-1、per-2……per-n，并进一步的，判断符合这些权限的一个或以上的角色rol-1、rol-2……rol-n；进一步的，所述管理组织根据所述总权限列表的记录，确定在所述第一区块链以及在所述第二区块链中，已被赋予上述角色rol-1、rol-2……rol-n的所述一般节点；

如附图1，进一步的，若存在一个或以上所述一般节点，则由所述第一管理组织确定一个所述一般节点作为候选的所述代理节点，并且通过所述权限区块链的全链验证后，赋予所述一般节点的代理节点角色，从而总式成为所述代理节点，负责本次对所述第一对象以及所述第二对象的操作执行；并由所述代理节点在对所述第一对象以及所述第二对象进行用户请求的操作后，向所述管制系统反馈执行操作的最终结果；若成功完成，则将所述请求事件终结，解耦用户与所述代理节点的连接，并将本次操作记录写入到所述权限区块链、所述第一区块链、所述第二区块链的区块链账本中。

实施例二：

本实施例应当理解为至少包含前述任意一个实施例的全部特征，并在其基础上进一步改进；

在一些情况下，所述第一管理组织只能找到至少一个连接到所述第一区块链的所述一般节点peer_k；所述一般节点peer_k被赋予多个角色，从而已经拥有对所述第一对象的多个权限，并且拥有的该部分权限满足用户对所述第一对象的操作请求；然而所述一般节点peer_k并没有连接到所述第二区块链；或者，所述一般节点peer_k连接到所述第二区块链但并没有足够权限没有用户对所述第二对象的操作请求；本实施例包括为所述一般节点peer_k向所述第二区块链的第二管理组织申请足够的权限，以满足用户对所述第二对象的操作请求；

优选地，所述第一区块链根据所述一般节点peer_k的能力值P作出筛选，从而找出作为所述代理节点的至少一个候选节点；能力值的筛选可以包括根据以下条件进行判断：

1.所述一般节点peer_k当前在所述第一区块链中的权限等级的层次值Lev_k₁；例如拥有权限的数量，或者拥有权限的总时长；

2.所述一般节点peer_k过往的信用历史Cred_k，例如执行链上交易的信用值，执行对所述第一对象的操作时的规范值；

3.所述一般节点peer_k在所述第二区块链上的权值层次Lev_k₂；

其余筛选条件可根据实际情况采纳，在此不作详细讨论；

进一步的，对所述一般节点peer_k进行能力值P的求和，即：

，公式1；

在公式1中，p₁、p₂、p₃……为能力权重系数，用于计算各个筛选条件的权重值份量，可以根据需要由所述第一管理组织进行调整；

进一步的，对存在两个或以上的所述一般节点peer_k，对其拥有的能力值P进行排序，优选地选出能力值P最高的所述一般节点peer_k作为所述候选代理节点，并执行所述权限区块链的全链验证；

进一步的，由所述第二区块链的所述第二管理组织，执行在所述第二区块链的全链验证，确认对所述一般节点peer_k赋予适当的角色，以实现足够的权限用于操作所述第二对象，并最终使所述候选代理节点成为合格的所述代理节点，执行用户对所述第一对象以及所述第二对象的操作请求。

实施例三：

在一些情况下，所述第一对象、所述第二对象的其中至少一个需要极高的操作权限，所述第一管理组织在寻找、确认所述候选代理节点的过程中，最终并没有获得一个合格的节点能够成为所述代理节点；

本实施例中，对于处理未能选出所述候选节点的情况，所述第一管理组织可执行的步骤包括：

S101：通过所述请求处理模块，向用户反馈操作申请遇阻的结果，并询问是否更改操作请求；

S102：若用户更改需求，刚重新执行所述代理节点的筛选和验证过程；

S103：若用户不更改需求，则拒绝用户当前的操作请求；

S104：可选地，保留当前用户的操作请求，同时保留所述管制系统与用户的会话；所述管制系统等待一个预定的处理时间，观察是否有新的所述一般节点进行了权限的迭代，并且能够满足用户的操作请求；

以上实施例中，仅提到处理仅包含所述第一对象以及所述第二对象的权限管制情况；在遇到需要处理两个以上对象的权限管制时，可选地，可优选选出其中两个对象，实施以上提到的处理步骤；或者，以类似方式同步处理多个对象，即同时寻找一个所述代理节点，可以同时满足多个对象的操作权限。

在上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述或记载的部分，可以参见其它实施例的相关描述。

虽然上面已经参考各种实施例描述了本发明，但是应当理解，在不脱离本发明的范围的情况下，可以进行许多改变和修改。也就是说上面讨论的方法，系统和设备是示例。各种配置可以适当地省略，替换或添加各种过程或组件。例如，在替代配置中，可以以与所描述的顺序不同的顺序执行方法，和/或可以添加，省略和/或组合各种部件。而且，关于某些配置描述的特征可以以各种其他配置组合，如可以以类似的方式组合配置的不同方面和元素。此外，随着技术发展其中的元素可以更新，即许多元素是示例，并不限制本公开或权利要求的范围。

在说明书中给出了具体细节以提供对包括实现的示例性配置的透彻理解。然而，可以在没有这些具体细节的情况下实践配置例如，已经示出了众所周知的电路，过程，算法，结构和技术而没有不必要的细节，以避免模糊配置。该描述仅提供示例配置，并且不限制权利要求的范围，适用性或配置。相反，前面对配置的描述将为本领域技术人员提供用于实现所描述的技术的使能描述。在不脱离本公开的精神或范围的情况下，可以对元件的功能和布置进行各种改变。

综上，其旨在上述详细描述被认为是例示性的而非限制性的，并且应当理解，以上这些实施例应理解为仅用于说明本发明而不用于限制本发明的保护范围。在阅读了本发明的记载的内容之后，技术人员可以对本发明作各种改动或修改，这些等效变化和修饰同样落入本发明权利要求所限定的范围。

Claims

1.一种基于区块链的多链融合权限管制系统，其特征在于，所述管制系统包括一条权限区块链以及第一管理组织；所述权限区块链用于处理来自用户的操作请求，以便用户在第一对象和第二对象之间执行操作，其中所述第一对象存储于第一区块链，所述第二对象存储于第二区块链；所述第一管理组织包括多个第一管理节点；多个所述第一管理节点共同维护所述权限区块链；

其中，所述第一区块链以及所述第二区块链都由多个一般节点共同维护；所述一般节点已连接所述第一区块链；或者，所述一般节点已连接所述第二区块链；或者，所述一般节点已同时连接所述第一区块链以及所述第二区块链；所述管制系统筛选或促成至少一个所述一般节点成为代理节点，令所述代理节点满足同时连接所述第一区块链以及所述第二区块链，并且同时具有操作所述第一对象以及所述第二对象的权限；所述管制系统建立所述代理节点与用户的通讯通道，令用户通过所述代理节点实现对所述第一对象以及所述第二对象执行已申请的操作。

2.根据权利要求1所述一种基于区块链的多链融合权限管制系统，其特征在于，所述管制系统还包括应用程序接口以及请求处理模块；用户使用客户端通过所述应用程序接口通讯连接所述请求处理模块，由所述请求处理模块记录用户身份，向所述权限区块链验证用户身份的合法性，以及接收用户的操作请求。

3.根据权利要求2所述一种基于区块链的多链融合权限管制系统，其特征在于，所述管制系统将用户的身份信息以及操作请求建立一个请求事件，并将所述请求事件广播到所述权限区块链，并由所述权限区块链进行一致性验证后将所述请求事件写入所述权限区块链的区块中。

4.根据权利要求3所述一种基于区块链的多链融合权限管制系统，其特征在于，所述第一对象以及所述第二对象是数据或数据库。

5.根据权利要求4所述一种基于区块链的多链融合权限管制系统，其特征在于，所述第一区块链、所述第二区块链以及所述权限区块链的区块链账本内包括维护一份权限列表；所述权限列表记录当前所在区块链内的多个角色、权限的描述；所述权限列表还包括记录角色被赋予的权限；所述权限列表还包括记录所述一般节点被赋予的角色；其中所述权限区块链内的所述权限列表为总权限列表。

6.根据权利要求5所述一种基于区块链的多链融合权限管制系统，其特征在于，所述第一区块链以及所述第二区块链上都包括一个第二管理组织；所述第二管理组织包括多个第二管理节点；所述第二管理组织负责管理所在区块链的所述一般节点的角色、权限分配；所述第二管理组织还负责维护所在区块链的所述权限列表的创建、保存和更新；所述第二管理组织通过创建链上的交易对实现对其他所述一般节点进行角色的赋予与收回。

7.根据权利要求6所述一种基于区块链的多链融合权限管制系统，其特征在于，所述第二管理节点定期将所负责区块链的所述权限列表加密后提交到所述第一管理节点，由所述第一管理节点广播到所述权限区块链进行验证后，汇总到所述总权限列表。

8.根据权利要求7所述一种基于区块链的多链融合权限管制系统，其特征在于，所述第一管理节点和所述第二管理节点通过各自所在的区块链进行选举产生；所述第一管理节点和所述第二管理节点在中选后，通过所在区块链的权限管理组织赋予管理员角色。

9.根据权利要求8所述一种基于区块链的多链融合权限管制系统，其特征在于，所述权限区块链包括基于所述第一对象以及所述第二对象的权限限制，拒绝用户的操作请求。