CN114428802A

CN114428802A - 基于用户权限的数据过滤方法及系统

Info

Publication number: CN114428802A
Application number: CN202210336060.5A
Authority: CN
Inventors: 孙宝岳; 闵刚; 姚占龙
Original assignee: Beijing Ruirong Tianxia Technology Co ltd
Current assignee: Beijing Ruirong Tianxia Technology Co ltd
Priority date: 2022-04-01
Filing date: 2022-04-01
Publication date: 2022-05-03

Abstract

本发明公开了一种基于用户权限的数据过滤方法及系统，方法包括：创建权限组织表，用于映射业务系统中具有不同权限的业务组织节点的架构；针对业务数据表添加权限归属维度列，用于描述每行数据的权限所归属的权限组织表中对应的业务组织节点；当前用户在执行数据查询或修改时，根据查询或修改指令生成SQL语句；根据当前用户的业务组织节点，在SQL语句中，增加针对权限归属维度列的过滤条件，过滤条件为限制所要查询或修改的数据为当前用户拥有数据权限归属的数据，并执行修改后的查询或修改指令。通过本发明的技术方案，在降低内存占用的同时，保持了权限控制的细粒度以及更高的灵活性，降低了权限处理与业务逻辑强耦合，避免造成干扰。

Description

基于用户权限的数据过滤方法及系统

技术领域

本发明涉及数据库技术领域，尤其涉及一种基于用户权限的数据过滤方法以及一种基于用户权限的数据过滤系统。

背景技术

目前，市面上常用的关系型数据库提供用户权限管理机制，将拥有不同权限的数据库用户的数据在存储层面实现隔离，或者通过租户的功能实现不同租户在同一数据库的数据对进行隔离。通常由于企业在开发自己的业务系统时，凡是需要存储用户状态的系统，比如需要用户的注册和登陆，都必须实现基于自身业务来指定用户的在本系统的逻辑权限，通过权限系统设计来达到让拥有不同权限的用户权限之内的数据。本发明的方案是基于数据库权限控制层面之上，通过设计和编写服务器端程序的数据结构和数据处理逻辑，来实现更细粒度和更灵活的数据逻辑隔离方案。当前常见的实现方式是通过查询出用户在数据库能访问的所有的数据至内存中，然后编写服务端程序在内存中通过逻辑判断来筛选符合用户的数据反馈给用户，用户权限之外的数据在内存中直接丢弃。

仅通过数据库软件提供的用户权限控制机制，不能满足业务上要求控制到每一张数据表中每一条数据的访问，通过租户功能不够灵活，因为用户权限在系统运行时是动态变化的，通过将用户能访问的所有数据加载至内存然后通过逻辑判断来筛选数据的方式虽然能达到目的，但是也造成了内存浪费，不必要的内存占用所带来的的风险是跟数据规模成正比的，严重的会直接导致内存溢出而导致服务停止。

发明内容

针对上述问题，本发明提供了一种基于用户权限的数据过滤方法及系统，通过合理的数据结构设计和数据逻辑设计，在数据库层面完成数据的权限过滤，在降低内存占用的同时，保持了权限控制的细粒度以及更高的灵活性，降低了权限处理与业务逻辑强耦合，避免造成干扰。

为实现上述目的，本发明提供了一种基于用户权限的数据过滤方法，包括：

创建权限组织表，用于映射业务系统中具有不同权限的业务组织节点的架构；

针对所述业务系统中关系型数据库的业务数据表添加权限归属维度列，用于描述每行数据的权限所归属的所述权限组织表中对应的业务组织节点；

当前用户在执行数据查询或修改时，根据查询或修改指令生成SQL语句；

根据当前用户的业务组织节点，在所述SQL语句中，增加针对所述权限归属维度列的过滤条件，所述过滤条件为限制所要查询或修改的数据为当前用户拥有数据权限归属的数据，并执行修改后的查询或修改指令。

在上述技术方案中，优选地，基于用户权限的数据过滤方法还包括：

在业务节点用户注册或添加业务节点用户过程中，根据当前用户所属的业务组织节点创建系统用户信息表，并为当前用户所属的所述权限组织表中的业务组织节点进行赋值；

在所述业务数据表插入时，将当前用户的数据权限归属赋值至对应的权限归属维度列中。

在上述技术方案中，优选地，所述权限组织表包括组织节点唯一标识、组织节点名称和父级组织机构，所述组织节点唯一标识与所述业务节点用户为一对一或一对多的组织关系。

在上述技术方案中，优选地，所述业务系统根据所述SQL语句，通过数据库驱动连接相对应的数据库服务，将所述SQL语句传输至数据库引擎，所述数据库引擎处理所述SQL语句，并将对应的业务数据返回至所述业务系统。

本发明还提出一种基于用户权限的数据过滤系统，应用如上述技术方案中任一项公开的基于用户权限的数据过滤方法，包括：

组织架构模块，用于创建权限组织表，以映射业务系统中具有不同权限的业务组织节点的架构；

权限归属模块，用于针对所述业务系统中关系型数据库的业务数据表添加权限归属维度列，用于描述每行数据的权限所归属的所述权限组织表中对应的业务组织节点；

SQL生成模块，用于在当前用户在执行数据查询或修改时，根据查询或修改指令生成SQL语句；

数据过滤模块，用于根据当前用户的业务组织节点，在所述SQL语句中，增加针对所述权限归属维度列的过滤条件，所述过滤条件为限制所要查询或修改的数据为当前用户拥有数据权限归属的数据，并执行修改后的查询或修改指令。

在上述技术方案中，优选地，基于用户权限的数据过滤系统还包括：

组织赋值模块，用于在业务节点用户注册或添加业务节点用户过程中，根据当前用户所属的业务组织节点创建系统用户信息表，并为当前用户所属的所述权限组织表中的业务组织节点进行赋值；

权限赋值模块，用于在所述业务数据表插入时，将当前用户的数据权限归属赋值至对应的权限归属维度列中。

与现有技术相比，本发明的有益效果为：通过合理的数据结构设计和数据逻辑设计，在数据库层面完成数据的权限过滤，在降低内存占用的同时，保持了权限控制的细粒度以及更高的灵活性，降低了权限处理与业务逻辑强耦合，避免造成干扰。

附图说明

图1为本发明一种实施例公开的基于用户权限的数据过滤方法的流程示意图；

图2为本发明一种实施例公开的基于用户权限的数据过滤系统的模块示意图。

图中，各组件与附图标记之间的对应关系为：

11.组织架构模块，12.权限归属模块，13.SQL生成模块，14.数据过滤模块，15.组织赋值模块，16.权限赋值模块。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明的一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

下面结合附图对本发明做进一步的详细描述：

如图1所示，根据本发明提供的一种基于用户权限的数据过滤方法，包括：

针对业务系统中关系型数据库的业务数据表添加权限归属维度列，用于描述每行数据的权限所归属的权限组织表中对应的业务组织节点；

根据当前用户的业务组织节点，将SQL语句修改为查询或修改当前用户拥有数据权限归属的数据，并执行修改后的查询或修改指令。

在该实施方式中，通过合理的数据结构设计和数据逻辑设计，在数据库层面完成数据的权限过滤，在降低内存占用的同时，保持了权限控制的细粒度以及更高的灵活性，降低了权限处理与业务逻辑强耦合，避免造成干扰。

具体地，在该实施方式中，数据存储使用关系型数据库。该类型的数据库的数据的逻辑组织结构为表格，一个数据库可以创建多个数据表，每个数据表代表了一组同类数据的集合，每个数据表有多个列，表格中的每一列代表了该类数据的某一个维度的描述，比如商品信息表，设计两个列：product_name和product_price，表示了商品的名称和价格两个维度的信息。在查询过程中，可根据任一纬度的特征取值来检索数据、过滤数据，这种查询规则的语法为SQL，一种关系型数据库通用的数据查询语言，支持丰富的条件查询。

数据库作为独立的程序启动后作为系统服务，通过数据库厂商对外提供的驱动程序来传递数据存取命令和数据，详细过程如下：业务系统根据业务场景生成查询或更新数据的SQL语句，然后业务系统通过数据库驱动连接数据库服务，将SQL传输给数据库引擎，数据库引擎同步处理SQL指令并同步返回给业务系统，业务系统接收到返回数据，然后对结果进行处理返回给页面端呈现给用户。

在上述实施方式中，优选地，基于用户权限的数据过滤方法还包括：

在业务节点用户注册或添加业务节点用户过程中，根据当前用户所属的业务组织节点创建系统用户信息表，并为当前用户所属的权限组织表中的业务组织节点进行赋值；

在业务数据表插入时，将当前用户的数据权限归属赋值至对应的权限归属维度列中。

具体地，系统用户信息表中为业务节点用户以及该用户所属的业务组织节点，与权限组织表相对应，而在权限组织表中的业务组织节点与业务数据表中的权限归属维度列相对应。

也就是说，业务数据表中的数据的查询与修改权限，归属于业务数据表中对应行的权限归属维度列的业务组织节点，归属于该业务组织节点的所有业务节点用户，均可以对该行数据进行查询与修改操作。

在上述实施方式中，优选地，将SQL语句修改为查询或修改当前用户拥有数据权限归属的数据的具体过程为：

在SQL语句中，增加针对权限归属维度列的过滤条件，过滤条件为限制所要查询或修改的数据为当前用户拥有数据权限归属的数据。

在上述实施方式中，优选地，权限组织表包括组织节点唯一标识、组织节点名称和父级组织机构，组织节点唯一标识与业务节点用户为一对一或一对多的组织关系。

在上述实施方式中，优选地，业务系统根据SQL语句，通过数据库驱动连接相对应的数据库服务，将SQL语句传输至数据库引擎，数据库引擎处理SQL语句，并将对应的业务数据返回至业务系统。

在此基础上，该实施方式的数据过滤方法可通过以下步骤进行实现：

步骤1.创建数据库及业务数据表（如果是在已有的业务系统上添加数据权限控制，可跳过此步骤）

步骤2.创建权限组织表

该权限组织表为逻辑意义上的权限组织树，每一个权限树的节点至少需要定义三个维度的列：id（组织节点唯一标识）、name（组织名称）以及pid（父级组织机构id）。该权限组织表是业务上自定义的逻辑权限组，可以是企业职级部门的映射，也可以是系统会员体系的映射。

步骤3.为业务数据表添加权限归属维度列

对于需要控制数据权限的数据表，添加列 org_id，该维度主要用于描述某一行的数据的权限归属，取值对应的是权限组织树的id列。

步骤4.数据存储的权限归属列赋值

对于系统用户信息表，即存储用户登陆凭证的表，org_id 列是在用户注册或者在系统中手动添加用户时完成的赋值；

业务数据表的 org_id则是在插入时自动取当前登录用户的权限归属进行赋值。

步骤5.数据操作鉴权

当前用户在执行数据查询或修改时，业务系统会生成SQL语句发送至数据库引擎执行。鉴权的核心流程在于拦截业务系统生成的SQL语句，根据当前用户的权限归属，对SQL语句添加org_id列的过滤条件。该鉴权操作本质上是修改了数据库引擎要执行的指令，达到数据鉴权的效果。

根据上述步骤，在具体实施过程中，以下列业务数据表为例，对该数据过滤方法进行具体说明：

1.权限组织表 organization数据如下：

2.订单表 order 数据如下：

三个订单数据，org_id 列表示三个订单分别归属的业务组织节点id

3.后台用户 system_user 数据如下：

试验场景：分别登陆User1和User2，查询全部订单，操作只能查看自己所属公司下的订单。

业务系统生成的SQL：select id,goods_name,price,status from order;

经拦截器修改后，实际执行的SQL指令发生变更，其中User1 的实际执行指令为：select id,goods_name,price,status from order where org_id = 1; 查询结果为：

User2的实际执行指令为：select id,goods_name,price,status from orderwhere org_id = 2; 查询结果为：

可见，查询出来的数据已是符合用户权限的数据，实现了基于数据权限的数据过滤。

如图2所示，本发明还提出一种基于用户权限的数据过滤系统，应用如上述实施方式中任一项公开的基于用户权限的数据过滤方法，包括：

组织架构模块11，用于创建权限组织表，以映射业务系统中具有不同权限的业务组织节点的架构；

权限归属模块12，用于针对业务系统中关系型数据库的业务数据表添加权限归属维度列，用于描述每行数据的权限所归属的权限组织表中对应的业务组织节点；

SQL生成模块13，用于在当前用户在执行数据查询或修改时，根据查询或修改指令生成SQL语句；

数据过滤模块14，用于根据当前用户的业务组织节点，将SQL语句修改为查询或修改当前用户拥有数据权限归属的数据，并执行修改后的查询或修改指令。

在上述实施方式中，优选地，基于用户权限的数据过滤系统还包括：

组织赋值模块15，用于在业务节点用户注册或添加业务节点用户过程中，根据当前用户所属的业务组织节点创建系统用户信息表，并为当前用户所属的权限组织表中的业务组织节点进行赋值；

权限赋值模块16，用于在业务数据表插入时，将当前用户的数据权限归属赋值至对应的权限归属维度列中。

在上述实施方式中，各模块所实现的功能分别与上述数据过滤方法中各步骤相对应，具体实施过程参照上述数据过滤方法，在此不再赘述。

在上述实施方式中，优选地，数据过滤模块14将SQL语句修改为查询或修改当前用户拥有数据权限归属的数据的具体过程为：

根据上述实施方式公开的基于用户权限的数据过滤方法及系统，具有以下优点：

1. 实现了更细粒度和更高灵活性的数据权限控制。可以精确的控制到每一行数据的权限归属，可以不修改任何配置不重启任何服务的情况下动态修改当前用户的权限组织所属，已达到用户权限变更的目的。

2. 减少不必要的内存占用。在数据库层实现的数据过滤，相比回查所有数据至内存，通过程序在内存过滤的方案来说，减少了大量的内存占用，尽可能的避免内存溢出导致的程序崩溃。

3. 独立的拦截组件降低系统耦合性。由于业务数据表众多，采用插件化统一拦截机制，可以使业务人员在开发业务系统时不必关注数据权限相关逻辑，避免造成干扰。

以上仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种基于用户权限的数据过滤方法，其特征在于，包括：

2.根据权利要求1所述的基于用户权限的数据过滤方法，其特征在于，还包括：

3.根据权利要求1或2所述的基于用户权限的数据过滤方法，其特征在于，所述权限组织表包括组织节点唯一标识、组织节点名称和父级组织机构，所述组织节点唯一标识与所述业务节点用户为一对一或一对多的组织关系。

4.根据权利要求1所述的基于用户权限的数据过滤方法，其特征在于，所述业务系统根据所述SQL语句，通过数据库驱动连接相对应的数据库服务，将所述SQL语句传输至数据库引擎，所述数据库引擎处理所述SQL语句，并将对应的业务数据返回至所述业务系统。

5.一种基于用户权限的数据过滤系统，其特征在于，应用如权利要求1至4中任一项所述的基于用户权限的数据过滤方法，包括：

6.根据权利要求5所述的基于用户权限的数据过滤系统，其特征在于，还包括：

7.根据权利要求5或6所述的基于用户权限的数据过滤系统，其特征在于，所述权限组织表包括组织节点唯一标识、组织节点名称和父级组织机构，所述组织节点唯一标识与所述业务节点用户为一对一或一对多的组织关系。

8.根据权利要求5所述的基于用户权限的数据过滤系统，其特征在于，所述业务系统根据所述SQL语句，通过数据库驱动连接相对应的数据库服务，将所述SQL语句传输至数据库引擎，所述数据库引擎处理所述SQL语句，并将对应的业务数据返回至所述业务系统。