CN116401692A - 运营数据权限管理方法、系统、计算机设备及存储介质 - Google Patents

Abstract

本发明涉及数据管理领域，公开了一种运营数据权限管理方法、系统、计算机设备及存储介质，该方法包括：当接收到用户发起的数据调用命令时，拦截所述用户的调用命令，并获取对应的用户信息；根据所述用户信息获取所述用户的数据权限表，从所述数据权限表中获取对应的数据权限字段以及过滤规则表达式；根据所述数据权限字段和所述过滤规则表达式，对所述调用命令进行修改，根据修改后的调用命令从数据库中进行查询以得到查询结果，并将所述查询结果发送给所述用户。从而不依赖权限菜单进行权限控制，不会产生菜单量级扩大的问题，减少了工作量。

Description

运营数据权限管理方法、系统、计算机设备及存储介质

技术领域

本发明涉及数据管理领域，尤其涉及一种运营数据权限管理方法、系统、计算机设备及存储介质。

背景技术

常规的各种运营端系统，运营管理时都会有功能或者数据权限控制的需求，对于现有的多数系统而言，普遍的做法都是通过授予用户权限控制用户能访问的菜单，以此来控制数据权限，一部分系统是通过在业务系统硬编码的方式来过滤用户所能访问的数据权限，以此来达到访问数据权限的效果，但是这样会存在一些弊端：

通过功能菜单权限来控制时，由于部分用户在功能操作上权限相似，只是在查看数据权限上略有差别，这样通过拆分成不同菜单展示不同权限数据时，会导致页面复杂，权限数量扩大，管理难度增加。

通过硬编码方式过滤不同用户数据访问权限时，会导致系统复杂度增加，维护难度增加，对数据权限控制的灵活度也很低。当权限发生调整时，维护代价会随着系统复杂度增加而急剧增加。

发明内容

第一方面，本申请提供一种运营数据权限管理方法，包括：

当用户发起数据调用时，拦截所述用户的调用命令，并获取所述用户信息；

根据所述用户信息获取所述用户的数据权限表，从所述数据权限表中获取所述用户的数据权限字段；所述数据权限表内保存了所述用户的数据权限字段；

根据所述数据权限字段，对所述调用命令进行修改，根据修改后的调用命令从数据库中查询数据得到查询结果，并将所述查询结果发送给所述用户。

进一步的，所述拦截所述用户的调用命令，并获取所述用户信息，包括：

通过数据拦截器对所述调用命令进行拦截，从而和获取所述调用命令，并从所述用户发起数据调用时的数据包中获取所述用户的用户信息。

进一步的，所述根据所述用户信息获取所述用户的数据权限表，包括：

根据所述用户信息，从数据库中进行匹配，获取所述用户信息对应的数据权限表。

进一步的，所述根据所述数据权限字段，对所述调用命令进行修改，包括：

将所述数据权限表中的数据权限字段作为筛选条件，写入所述调用命令中，得到修改后的调用命令。

进一步的，所述方法还包括：

当需要配置任意用户的数据权限时，根据需要配置用户的用户信息，从数据库中查询到对应的数据权限表；

读取写入所述数据权限表中的数据权限字段，所述数据权限字段与所述数据库中的数据种类绑定。

第二方面，本申请提供一种运营数据权限管理系统，包括：拦截器、权限配置管理器和权限控制器；

所述拦截器用于当用户发起数据调用时，拦截所述用户的调用命令，并获取所述用户信息，并将所述调用命令和所述用户信息发送给所述权限配置管理器；

所述权限配置管理器用于根据所述用户信息获取所述用户的数据权限表，从所述数据权限表中获取所述用户的数据权限字段，将所述数据权限字段和所述调用命令发送给所述权限控制器；所述数据权限表内保存了所述用户的数据权限字段；

所述权限控制器用于根据所述数据权限字段，对所述调用命令进行修改，将修改后的调用命令返回给所述拦截器，所述拦截器根据修改后的调用命令从所述数据库中进行查询操作，得到查询结果，再将所述查询结果发送给所述用户。

进一步的，所述系统还包括数据权限配置模块；

所述数据权限配置模块用于当需要配置任意用户的数据权限时，根据需要配置用户的用户信息，从数据库中查询到对应的数据权限表；

读取写入所述数据权限表中的数据权限字段，将修改后的数据权限表存入数据库中，所述数据权限字段与所述数据库中的数据种类绑定。

进一步的，所述根据所述数据权限字段，对所述调用命令进行修改，包括：

所述权限控制器将所述数据权限表中的数据权限字段作为筛选条件，写入所述调用命令中，得到修改该后的调用命令。

第三方面，本申请提供一种计算机设备，包括处理器和存储器，所述存储器存储有计算机程序，所述计算机程序在所述处理器上运行时执行所述的运营数据权限管理方法，以及所述的运营数据权限管理系统。

第四方面，本申请提供一种可读存储介质，其存储有计算机程序，所述计算机程序在处理器上运行时执行所述的运营数据权限管理方法，以及所述的运营数据权限管理系统。

本发明公开了一种运营数据权限管理方法、系统、计算机设备及存储介质，该方法包括：当用户发起数据调用时，拦截所述用户的调用命令，并获取所述用户信息；根据所述用户信息获取所述用户的数据权限表，从所述数据权限表中获取所述用户的数据权限字段；所述数据权限表内保存了所述用户的数据权限字段；根据所述数据权限字段，对所述调用命令进行修改，根据修改后的调用命令从数据库中查询数据得到查询结果，并将所述查询结果发送给所述用户。从而不依赖权限菜单进行权限控制，不会产生菜单量级扩大的问题，减少了工作量。同时使数据权限控制灵活度大大提升，通过该方法，使得开发人员无需将数据权限控制逻辑硬编码嵌套在各个业务功能里，可以使得每需要调整一个数据权限规则使只需要在运营端选择对应需要控制的权限就行，无需像硬编码那样需要通过大范围调整权限控制代码才能做到。使得权限控制更加方便、灵活、维护成本的代价也会大大降低。

附图说明

为了更清楚地说明本发明的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本发明的某些实施例，因此不应被看作是对本发明保护范围的限定。在各个附图中，类似的构成部分采用类似的编号。

图1示出了本申请实施例一种运营数据权限管理方法流程示意图；

图2示出了本申请实施例又一种运营数据权限管理方法流程示意图；

图3示出了本申请实施例一种运营数据权限管理系统结构示意图；

图4示出了本申请实施例一种运营数据权限管理系统交互示意图。

具体实施方式

下面将结合本发明实施例中附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。

通常在此处附图中描述和示出的本发明实施例的组件可以以各种不同的配置来布置和设计。因此，以下对在附图中提供的本发明的实施例的详细描述并非旨在限制要求保护的本发明的范围，而是仅仅表示本发明的选定实施例。基于本发明的实施例，本领域技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

在下文中，可在本发明的各种实施例中使用的术语“包括”、“具有”及其同源词仅意在表示特定特征、数字、步骤、操作、元件、组件或前述项的组合，并且不应被理解为首先排除一个或更多个其它特征、数字、步骤、操作、元件、组件或前述项的组合的存在或增加一个或更多个特征、数字、步骤、操作、元件、组件或前述项的组合的可能性。

此外，术语“第一”、“第二”、“第三”等仅用于区分描述，而不能理解为指示或暗示相对重要性。

除非另有限定，否则在这里使用的所有术语(包括技术术语和科学术语)具有与本发明的各种实施例所属领域普通技术人员通常理解的含义相同的含义。所述术语(诸如在一般使用的词典中限定的术语)将被解释为具有与在相关技术领域中的语境含义相同的含义并且将不被解释为具有理想化的含义或过于正式的含义，除非在本发明的各种实施例中被清楚地限定。

本申请的技术方案应用于运营端的数据权限管理，本申请通过针对每个用户设置一个数据权限表，数据权限表中存有数据权限字段，当用户进行数据库数据查询操作时，会通过拦截器拦截操作时的数据库指令以及用户信息，然后从数据库中调取该用户的权限表，根据权限表中的数据权限字段对查询指令进行修改，然后再根据修改后的查询指令，返回相应的查询数据，实现用户查询数据的权限管理。

接下来以具体实施例说明本申请的技术方案。

实施例1

如图1所示，本实施例的运营数据权限管理方法包括：

步骤S100，当用户发起数据调用时，拦截所述用户的调用命令，并获取所述用户信息。

数据调用操作就是用户通过其操作页面，对数据库中的数据进行有针对性的调取和查询，反映到计算机内部的具体操作就是对数据库中的数据进行查询操作。例如业务员需要查询某个用户的征信情况，则会像数据库请求相应的数据。

可以理解，用户进行上述的查询操作时，通常都是在查询页面上进行的操作，而不是像开发人员那样可以直接接入后台数据库，通过自己编写sql（Structured QueryLanguage，数据库查询语句）等数据库查询语句，所以用户的这种操作，实际上就是前台系统向后台服务器发起一次数据请求，该数据请求会携带用户信息以及系统根据用户输入的关键字所自动生成的查询指令。

本实施例中，会对该数据请求进行拦截，获取其中的用户信息和调用命令，具体的，可以通过mybatis拦截器进行拦截，或者其他拦截器进行拦截，只要在数据请求抵达数据库正式开始查询操作之前拦截到上述的数据查询即可。

其中，本实施例的用户特质运营端的工作人员，例如银行中的柜台员工或者经理等管理者。

步骤S200，根据所述用户信息获取所述用户的数据权限表，从所述数据权限表中获取对应的数据权限字段以及过滤规则表达式。

拦截到用户信息和调用命令后，及可以根据该用户信息，从数据库中获取该用户对应的数据权限表。

其中，该数据权限表中保存的时该用户的数据权限字段。数据权限字段可以认为是代表数据库中数据的关键字，例如针对一个银行储户来讲，其有众多属于该储户的数据种类，如身份证信息、存款信息、贷款信息、征信信息等，而对于银行的工作人员来讲，不同职级的人其拥有的权限不同，所以其所能查看的用户信息也会有所不同，如柜台办事员可能只能查看储户的存款信息和征信信息，而对于银行经理等高级别管理员来讲，就可以查询储户的存款信息、身份证信息甚至密码信息等更加隐私的数据。

而为了确保不同职级甚至不同的工作人员所能查看的数据范围不同，从而划定他们的权限，本实施例是通过对各个工作人员绑定一个数据权限表来实现，数据权限表中通过存储数据权限字段以及过滤规则表达式，以划定该工作人员所能查看的数据范围，该数据权限字段可以是数据种类，例如身份证信息、存款信息、贷款信息、征信信息等，也可以是对某些数据进行分类后的一个上位字段，例如存款信息、贷款信息和征信信息可以被统称为业务信息，然后以业务信息来表示该工作人员可以查询这三种信息。而过滤规则表达式则和上述的数据权限字段相互绑定，用于表示相应数据权限字段的限定范围。

例如数据库中的数据都是以表的形式存储的，表中存在多种字段，这些字段作为数据权限字段存储与数据权限表中，而过滤规则用于限定在该字段中更进一步的显示范围，例如前十条，或者大于某个阈值的数据等。

数据权限表存储与数据库中，该数据库可以是专门用于存储权限数据表的权限数据库，也可以是和存储其他用户数据一样的数据库，具体使用何种数据库进行数据权限表的保存，本实施例不做特别限定。

步骤S300，根据所述数据权限字段和所述过滤规则表达式，对所述调用命令进行修改，根据修改后的调用命令从数据库中进行查询以得到查询结果，并将所述查询结果发送给所述用户。

获取了权限数据表就得到了权限数据表中的数据权限字段，如上述步骤所述，数据权限字段和数据库中的数据种类挂钩，在数据权限表中，数据权限字段又和过滤规则表达式相关，通过数据权限字段，可以在表中匹配到对应的过滤规则表达式。

同时调用命令实际上是数据库的查询语言，因此可以根据该语言的预定格式，结合过滤规则表达式以及数据权限字段，生成一段该语言下的命令语句，通过将该命令语句作为查询的限制条件插入其中，这样所得到的修改后的调用命令就会根据这些数据权限字段进行查询。

例如，用户要查询储户张三的信息，因此其会在搜索框中输入张三的名字，由此得到的调用命令是针对张三这个名称在数据库中进行数据查询和调取，而该用户是银行的一级柜员，所以不能查询过于隐私的数据，因此和该用户绑定的数据权限表中，会限定其能查询的数据权限字段。所以该用户的调用命令中会被加入这些调用字段，例如原本的查询语句是select * from table1 where name like“张三”。

而该用户的权限数据表中的数据权限字段中的数据权限字段有“存款信息、贷款信息、征信信息”，同时又限制只能看最近一周的信息，则会对上述语句进行修改，变成select TOP 7 |“存款信息” “贷款信息” “征信信息” from table1 where name like“张三”。

上述修改后的语句就变成了只查找table1中，名称为张三的储户头七天的“存款信息”、“贷款信息”和“征信信息”，其余该柜员没有权限查看的数据就不会被数据库反馈给前台，由此就实现了对用户的权限控制。

此外，本实施例还提供了对权限的管理设置方法，如图2所示，包括：

步骤S400，当需要配置任意用户的数据权限时，根据所述用户的用户信息，从数据库中查询到对应的数据权限表。

本实施例中，提供了对用户数据权限的配置方法，因为每个用户都有一个数据权限表绑定，且根据前述步骤可知，用户获得的数据回合数据权限表中的数据权限字段以及过滤规则表达式高度相关，因此只需要对数据权限表进行编辑，就可以完成对用户的数据权限操作。

为此，当需要配置任意用户的数据权限时，必然是知道该用户的用户信息的，因此可以直接根据用户信息，获取其对应的数据权限表。

步骤S500，读取预先写入所述数据权限表中的数据权限字段和过滤规则表达式，将修改后的数据权限表存入数据库中。

针对数据权限的配置为添加删除数据权限字段，以及添加删除甚至修改这些数据权限字段相关的过滤规则表达式，因此在读取输入到数据权限表中的数据权限字段和过滤规则表达式后，只需要将该数据权限表存入数据库中即可，当用户进行查询时，就会按照上述步骤S100到S300进行该数据权限表的调用，以限制用户所能查看的数据范围。

本实施例的运营数据权限管理方法，通过对各个用户绑定对应的数据权限表，以管理各个用户的权限范围，同时通过拦截器对查询语句的拦截，再查询相应的数据权限表，根据数据权限表修改调用的数据范围，是的返回的数据符合权限范围，以完成整套权限管理。从权限的配置角度讲，因为实际可以影响到权限管理的是各个用户的数据权限表，所以对各个用户的权限管理简单，而且数据权限字段和数据库内的数据字段关联，所以数据权限字段的量级有限，不会像权限菜单一样无限制扩张，并且因为是通过数据权限字段控制，所以数据权限粒度控制更加细粒化，通过该方法，可以让数据权限控制粒度更加细粒化，用户可以任意选择每个数据控制单元，使用不同组合来达到更加细粒的数据控制范围，做到菜单权限控制做不到的功能。此外的实际的权限控制实现过程里，是通过拦截数据然后对调用语句进行修改实现数据的过滤和筛查，将所有的权限控制集中在这一步上，实际大大减轻了计算机设备的工作量，增加了效率，并且能够使业务数据展示权限控制与常规业务逻辑代码解耦，开发人员在开发时，无需关注每一个功能数据权限范围控制的问题，只需专注于业务逻辑的开发，而数据权限控制的权力交于业务管理人员。使得权限控制更加方便、灵活、维护成本的代价也会大大降低。

实施例2

本实施例还提供一种运营数据权限管理系统，如图3所示，包括：拦截器100、权限配置管理器200和权限控制器300；

所述拦截器100用于当用户发起数据调用时，拦截所述用户的调用命令，并获取所述用户信息，并将所述调用命令和所述用户信息发送给所述权限配置管理器200。

所述权限配置管理器200用于根据所述用户信息获取所述用户的数据权限表，从所述数据权限表中获取所述用户的数据权限字段和过滤规则表达式，将所述数据权限字段和所述调用命令发送给所述权限控制器300；所述数据权限表内保存了所述用户的数据权限字段；

所述权限控制器300用于根据所述数据权限字段，对所述调用命令进行修改，将修改后的调用命令返回给所述拦截器100，所述拦截器100根据修改后的调用命令从所述数据库中进行查询操作，得到查询结果，再将所述查询结果发送给所述用户。

同时为了进行数据权限的配置，该系统还包括数据权限配置模块400；

所述数据权限配置模块400用于当需要配置任意用户的数据权限时，根据需要配置用户的用户信息，从数据库中查询到对应的数据权限表；

读取写入所述数据权限表中的数据权限字段，将修改后的数据权限表存入数据库中，所述数据权限字段与所述数据库中的数据种类绑定。

其中，具体的交互过程如图4所示。

图4中的用户可以是普通的工作人员，也可以是管理人员，当是管理人员时，可以进行数据权限的配置，因此在进行数据权限配置时，可以通过数据权限配置模块进行数据权限表的处理，处理后再将数据权限表存入数据库500中。

当用户进行数据查询时，其因为查询操作产生的查询数据包会被拦截器100拦截，拦截器100拦截后，将拦截得到的用户信息和调用语句传输给后方的权限配置管理器200，权限配置管理器会根据用户信息，向数据库调取该用户的数据权限表，然后再将数据权限表以及调用语句传输给权限控制器300。

权限控制器300则会根据得到的数据权限表中的数据权限字段和过滤规则表达式，对调用语句进行修改，然后将修改后的调用语句返回给拦截器100，由拦截器100执行修改好的调用语句，以进行相应的数据库查询，此时可以理解，修改后的调用语句是添加了数据权限字段的调用语句，所以此时进行查询后，所得到的数据是符合数据权限表中的数据的，因此此时数据库根据该修改后的调用语句直接对用户进行数据反馈，就可以反馈回用户符合内部权限要求的数据。

本申请提供一种计算机设备，包括处理器和存储器，所述存储器存储有计算机程序，所述计算机程序在所述处理器上运行时执行所述的运营数据权限管理方法，以及所述的运营数据权限管理系统。

本申请提供一种可读存储介质，其存储有计算机程序，所述计算机程序在处理器上运行时执行所述的运营数据权限管理方法，以及所述的运营数据权限管理系统。

在本申请所提供的几个实施例中，应该理解到，所揭露的装置和方法，也可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，附图中的流程图和结构图显示了根据本发明的多个实施例的装置、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在作为替换的实现方式中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，结构图和/或流程图中的每个方框、以及结构图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

另外，在本发明各个实施例中的各功能模块或单元可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或更多个模块集成形成一个独立的部分。

所述功能如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备（可以是智能手机、个人计算机、服务器、或者网络设备等）执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器（ROM，Read-Only Memory）、随机存取存储器（RAM，Random Access Memory）、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。

Claims (10)

1.一种运营数据权限管理方法，其特征在于，包括：

当接收到用户发起的数据调用命令时，拦截所述用户的调用命令，并获取对应的用户信息；

根据所述用户信息获取所述用户的数据权限表，从所述数据权限表中获取对应的数据权限字段以及过滤规则表达式；

根据所述数据权限字段和所述过滤规则表达式，对所述调用命令进行修改，根据修改后的调用命令从数据库中进行查询以得到查询结果，并将所述查询结果发送给所述用户。

2.根据权利要求1所述的运营数据权限管理方法，其特征在于，所述拦截所述用户的调用命令，并获取对应的用户信息，包括：

通过数据拦截器对所述调用命令进行拦截，获取所述调用命令，并从所述用户发起数据调用命令中获取所述用户的用户信息。

3.根据权利要求1所述的运营数据权限管理方法，其特征在于，所述根据所述数据权限字段和所述过滤规则表达式，对所述调用命令进行修改，包括：

从所述调用命令中，确定相关的数据权限字段，根据所述数据权限字段查询到对应的过滤规则表达式，将所述过滤规则表达式和所述权限字段组合成命令语句，将所述命令语句写入所述调用命令中得到修改后的调用命令。

4.根据权利要求3所述的运营数据权限管理方法，其特征在于，所述将所述过滤规则表达式和所述权限字段组合成命令语句，将所述命令语句写入所述调用命令中得到修改后的调用命令，包括：

确定所述调用命令的语言种类，通过对应语言种类的条件限定语句和所述过滤规则表达式与所述数据权限字段结合对应的命令语句，然后将所述命令语句追加至所述调用命令中。

5.根据权利要求1所述的运营数据权限管理方法，其特征在于，还包括：

当需要配置任意用户的数据权限时，根据所述用户的用户信息，从数据库中查询到对应的数据权限表；

读取预先写入所述数据权限表中的数据权限字段和过滤规则表达式，将修改后的数据权限表存入数据库中，所述数据权限字段与所述数据库中的数据种类绑定。

6.一种运营数据权限管理系统，其特征在于，包括：拦截器、权限配置管理器和权限控制器；

所述拦截器用于当接收到用户发起的数据调用命令时，拦截所述用户的调用命令，获取对应的用户信息，并将所述调用命令和所述用户信息发送给所述权限配置管理器；

所述权限配置管理器用于根据所述用户信息获取所述用户的数据权限表，从所述数据权限表中获取所述用户的数据权限字段和过滤规则表达式，将所述数据权限字段和所述调用命令发送给所述权限控制器；所述数据权限表内保存了所述用户的数据权限字段；

所述权限控制器用于根据所述数据权限字段，对所述调用命令进行修改，将修改后的调用命令返回给所述拦截器，所述拦截器根据修改后的调用命令从数据库中进行查询操作，得到查询结果，再将所述查询结果发送给所述用户。

7.根据权利要求6所述的运营数据权限管理系统，其特征在于，还包括数据权限配置模块；

所述数据权限配置模块用于当需要配置任意用户的数据权限时，根据需要配置用户的用户信息，从数据库中查询到对应的数据权限表；

读取写入所述数据权限表中的数据权限字段和所述过滤规则表达式，将修改后的数据权限表存入数据库中，所述数据权限字段与所述数据库中的数据种类绑定。

8.根据权利要求6所述的运营数据权限管理系统，其特征在于，所述根据所述数据权限字段，对所述调用命令进行修改，包括：

所述权限控制器将所述数据权限表中的数据权限字段作为筛选条件，将所述数据权限字段写入所述调用命令中，得到修改后的调用命令。

9.一种计算机设备，其特征在于，包括处理器和存储器，所述存储器存储有计算机程序，所述计算机程序在所述处理器上运行时执行权利要求1至5中任一项所述的运营数据权限管理方法或权利要求6至8中任一项所述的运营数据权限管理系统。

10.一种可读存储介质，其特征在于，其存储有计算机程序，所述计算机程序在处理器上运行时执行权利要求1至5中任一项所述的运营数据权限管理方法或权利要求6至8中任一项所述的运营数据权限管理系统。

Images