CN1609826A - 遍历访问控制列表中许可权方法 - Google Patents

Abstract

本发明揭露了一种遍历访问控制列表中许可权方法。当用户要对某个用户文件操作时，则本发明所提供的方法会依其预设的流程首先到一个已配置好的第一高速缓存寻找用户所需的权限设置值，若是查找不到，则转向第二高速缓存进行查询。若于上述内存中均未找到用户所请求的权限设置值，则依其流程会从该用户文件所在下层目录开始，逐层向上查询该用户的权限设置值，直至查询哑元节点，获得所需权限设置值。同时，将查询过程的中间结果组织成第一信息块和第二信息块分别存储于第一高速缓存和第二高速缓存中。

Description

遍历访问控制列表中许可权方法

【技术领域】

本发明涉及档案系统安全领域，特别是一种遍历访问控制列表中许可权方法。

【背景技术】

在一个NAS(Network Attached Storage)架构的文件存储系统中，用户文件的权限设定至关重要。目前涉及用户文件权限设定的方法很多，但涉及用户文件权限设置值快取的方法不是很多，例如中国国家知识产权局于2002年2月5日公开的第“CN1395178A”号专利申请案，名称为“文件使用权限设定系统与方法”。该专利申请案是根据权限设定数据包所包含的使用者识别数据和使用者权限数据来设定一个文件的至少一部分的权限设定数据，并且利用一文件使用权限设定系统中的权限检验模块和权限设定模块来实现上述功能，以便提高用户文件管理流程的效率及文件保护的安全性。该专利申请案所揭露技术的不足在于其虽然解决了用户文件的权限设定问题，但是没有解决如何在访问控制列表中快速获取用户所需的权限设置值。

举例来说，用户对某个文件的存取通常会引发下列动作：首先，检查该用户是否具有操作该用户文件的权限，若有所需的权限，则允许用户对文件进行操作。其中权限设置值检查的过程是：首先从该用户文件所在上层目录开始，逐一向下查询该用户文件所在下层目录的权限设置值，直至查询到该用户文件所在目录。这种查询做法的一个不足之处在于高速缓存每次只能暂存最近一次的查询中间结果，不能利用上一次查询过程的中间结果，当有类似查询发生时，只能重新进行查询，重复上述过程。第二个不足之处在于查询某个用户所需的权限设置值需要花费较多时间，查询效率较低。

【发明内容】

针对上述方法的不足，本发明的主要目的在于提供一种遍历访问控制列表中许可权方法，其能根据暂存于第一高速缓存和第二高速缓存中的权限设置值信息，快速获取用户请求的权限，当用户在第一高速缓存和第二高速缓存中未找到所需权限设置值时，从用户所要访问的文件所在下层目录出发，逐层向上查询其上层目录，直到获取所需的权限设置值。当有类似权限设置值查询动作时，可以从中快速查询并获取用户所需的权限设置值，加快查询速度。

本发明提供一种遍历访问控制列表中许可权方法，其包括一第一高速缓存，是网络附加存储器进行用户权限设置值稽核时最先访问的内存，用于存储多个第一信息块，该多个第一信息块用于记录最近一次访问过的用户权限设置值；一第二高速缓存，是网络附加存储器在第一内存中访问用户权限置值未命中时开始查询的高速缓存，用来存储多个第二信息块，该多个第二信息块用于记录访问过的用户权限设置值的中间计算结果及文件目录的上下关系；一权限查询模块，用于在第一高速缓存和第二高速缓存中查询用户权限设置值，并生成多个第一信息块和第二信息块存储于该第一高速缓存和第二高速缓存中；一权限整合模块，用于根据不同的权限设置值信息将当前权限设置值及继承权限设置值与累计权限设置值进行整合；一信息块生成模块，用于生成第一信息块和第二信息块，并将其分别存储到第一高速缓存和第二高速缓存中。

本发明提供一种遍历访问控制列表中许可权方法，其包括以下步骤：于文件系统的根目录中建立一哑元节点，该哑元节点为一虚拟的访问控制列表的标识符；添加一第一信息块到第一高速缓存中，该第一信息块用于记录最近一次访问过的用户权限设置值；根据用户标识符和当前权限标识符，在第二高速缓存中查询一累计权限标识符和一当前权限设置值；判断是否找到所需的累计权限标识符和当前权限设置值；如果是，则生成第一信息块，如果否，则进行下述步骤：用当前权限设置值与继承权限设置值的整合结果取代该继承权限设置值，并用当前权限标识符取代上次查询的权限标识符，重新开始执行上述步骤；依据累计权限设置值判断用户所请求的操作是否被允许。

【附图说明】

图1是本发明遍历访问控制列表中许可权方法的实施环境。

图2是本发明遍历访问控制列表中许可权方法的功能模块图。

图3是本发明遍历访问控制列表中许可权方法的权限整合计算规则表。

图4是本发明遍历访问控制列表中许可权方法主流程图。

图5是本发明遍历访问控制列表中许可权方法的查询第二高速缓存流程图。

【具体实施方式】

请参阅图1所示，是本发明遍历访问控制列表中许可权方法的实施环境。该实施环境包括网络附加存储器1、第一高速缓存2、第二高速缓存3、网络4和多个用户终端装置5。所述的网络4可以是企业内部网、广域网或电话网，用来连接网络附加存储器1与多个用户终端装置5。网络附加存储器内置第一高速缓存2和第二高速缓存3。所述的多个用户终端装置5，用来对用户文件进行操作，该操作包括读取、写入、删除、修改等。该网络附加存储器1用来存储多个用户文件。

请参阅图2所示，是本发明遍历访问控制列表中许可权方法的功能模块图。该功能模块图包括一网络附加存储器1、一第一高速缓存2和一第二高速缓存3。其中网络附加存储器1通过总线与第一高速缓存2和第二高速缓存3分别单独链接。该网络附加存储器1包括一目录管理模块10、一权限计算模块11、一权限查询模块12、一权限整合模块13和一信息块生成模块14。其中目录管理模块10，用来对目录进行读取、写入，删除，修改等操作。权限计算模块11，用来计算当前权限设置值P_C。权限查询模块12，用来从第一高速缓存2和第二高速缓存3中查询当前访问对象的权限设置值P_C。权限整合模块13，用来根据第一高速缓存2和第二高速缓存3储存的第一信息块20和第二信息块30快速整合出当前用户所访问对象的继承权限设置值P_I。信息块生成模块14，用来生成存储于第一高速缓存2的第一信息块20和第二高速缓存3的第二信息块30。

第一高速缓存2用来存储查询过程的中间结果，该中间结果以第一信息块20的方式被存储，该第一信息块为一长串的文数字码，包含用户标识符U、当前权限标识符I_C、继承权限设置值P_I，合起来以<I_C，U，P_I>表示。其中用户标识符U是用来检验用户身份的标识符，当前权限标识符I_C是一访问控制列表(Access Control List，ACL)代码，该访问控制列表储存有不同用户对当前目录和当前文件的访问权限信息，每个访问控制列表储存有1024个权限信息，例如，管理员对文件“公司信息”的权限为FC(完全控制)，而一般用户甲对该文件的权限为RO(只读)，一般用户乙对该文件的权限为WO(只写)，该权限标识符I_C用来识别当前文件或目录上的权限信息，只要用户不更改文件或目录上的权限设置值，I_C就不会更动。继承权限设置值P_I是当前目录从其上层目录继承的权限设置值，所述的第一高速缓存2每次只能暂存最近一次的查询中间结果。第二高速缓存3，主要用于暂存查询过程的中间结果，该中间结果以第二信息块30的方式被存储，该第二信息块为一长串的文数字码，包含用户标识符U、累计权限标识符I_L、当前权限标识符I_C、当前权限设置值P_C，合起来以<U，I_L，I_C，P_C>表示。其中累计权限标识符I_L是上一次访问文件或目录的权限信息的标识符。当前权限设置值P_C是用户根据当前权限标识符I_C取得文件或目录的权限信息后经过计算所得到的权限设置值。第二高速缓存通常的容量为4KB，每次可存储16个中间结果。

请参阅图3所示，是本发明遍历访问控制列表中许可权方法的权限整合计算规则表。表中所列为当前权限设置值P_C与继承权限设置值P_I的合并规则，具体运算规则为：NA(无法存取)优先于RO(可读取)、WO(可写入)、RW(可擦写)和FC(完全控制)，RO(可读取)与WO(可写入)的合并结果为RW(可擦写)，FC(完全控制)包含RW(可擦写)。另外，目录管理模块10预设目录权限优先等级为下层目录优先于上层目录，即当前权限设置值P_C优先于继承权限设置值P_I。当权限整合模块13进行权限设置值整合时，只要上述权限整合后结果为NA(无法存取)或FC(完全控制)，权限查询模块12就停止上层权限查询，从而可以决定用户所请求的操作是否被允许。

请参阅图4所示，是本发明遍历访问控制列表中许可权方法主流程图。首先，流程开始进行目录的权限稽核(步骤S400)，权限查询模块12以信息块<I_L，I_C，U，P_L>的方式查询当前权限标识符I_C(步骤S401)，在第一高速缓存2中是否存在当前用户的继承权限设置值P_I(步骤S402)。若存在，流程执行下述判断，如果第一高速缓存2中存在当前用户的累计权限标识符I_L，权限整合模块13则将该用户的继承权限设置值P_I和累计权限设置值P_L整合后取代累计权限设置值P_L，其中的权限整合是根据本发明图3所示权限整合计算规则表进行相关权限的整合；若第一高速缓存2中不存在当前用户的累计权限标识符I_L，直接用继承权限设置值P_I取代累计权限设置值P_L(步骤S403)。接着，判断在第二高速缓存3中是否存在当前权限标识符I_C的当前权限设置值P_C(步骤S404)，接着判断该用户的累计权限设置值P_L是否符合用户所请求的权限设置值(步骤S405)，若不符合，则拒绝用户请求的操作(步骤S406)，否则，允许用户执行所请求的操作(步骤S407)。若权限查询模块12于步骤S402中没有找到当前用户的继承权限设置值P_I，进一步以第二信息块<U，I_L，I_C，P_C>的方式在第二高速缓存3中查询该用户的当前权限设置值P_C(步骤S408)，若找到，流程直接执行下述步骤：如果找到当前用户的累计权限识符I_L，权限整合模块13则将该用户的当前权限设置值P_C和累计权限设置值P_L依据图3所示的权限整合计算规则表整合后取代累计权限设置值P_L，否则，直接用当前权限设置值P_C取代累计权限设置值P_L(步骤S410)。若于步骤S408中没有查到当前权限设置值P_C，则进一步计算该用户的当前权限设置值P_C(步骤S409)，接着继续执行步骤S410，然后，权限计算模块11发出询问，是否需要继承权限设置值P_I(步骤S411)，若不需要该继承权限设置值P_I，信息块生成模块14生成第一信息块<I_C，U，P_I>并将其加入到第一高速缓存2中(步骤S413)，流程转向步骤S404，执行回圈流程。若是经过判断还需要继承的权限资料，则由信息块生成模块14生成第二信息块<U，I_L，I_C，P_C>并将其加入到第二高速缓存3中(步骤S412)，并用当前权限标识符I_C取代累计权限标识符I_L(步骤S414)，至此，权限查询模块12发出询问，当前权限标识符I_C是否存在上层管控目录(步骤S415)，若存在，则用上层控制列表信息代码取代当前权限标识符I_C(步骤S416)，该上层控制列表信息代码是目录管理模块10预设的各层目录的权限设置值信息代码，否则，用哑元节点的控制列表信息代码取代当前权限标识符I_C(步骤S417)，该哑元节点的控制列表信息代码是预设的权限设置值代码，其中的哑元节点预设两种类型用户及相应权限设置值设定：管理员拥有用户文件的完全控制权，一般用户可读可写。

请参阅图5所示，是本发明遍历访问控制列表中许可权方法的查询第二高速缓存流程图。流程从主流程进入点开始执行(步骤S51)，将信息块<I_C，P_I>加入到堆栈S中(步骤S52)，判断堆栈S是否为空(步骤S53)，若是，则进入回圈流程，从主流程进入点重新开始执行(步骤S54)。若堆栈S不为空，则由堆栈S中取出一组<I_L，P_C>组件(步骤S55)，然后，以<I_L，U>在第二高速缓存3中尝试找出一组第二信息块<U，I_L，I_C，P_C>，并且从第二高速缓存中移除该第二信息块(步骤S56)。若没有找到该第二信息块<U，I_L，I_C，P_C>，流程则直接转到步骤S53进入回圈流程。若找到该第二信息块<U，I_L，I_C，P_C>，则将信息块<I_C，U，Merge(P_I，P_C)>加入到第一高速缓存2中(步骤S57)，其中的Merge(P_I，P_C)是根据本发明图3所示的权限整合计算规则表将继承权限设置值P_I和当前权限设置值P_C进行整合，整合结果取代继承权限设置值P_I。接着，流程发出询问，当前用户的累计权限标识符I_L是否为有效的控制权限信息代码(步骤S58)，若是，将<I_L，Merge(P_I，P_C)>加入到堆栈S中(步骤S59)，转向步骤S56处开始执行回圈流程。若经过判断I_L为无效的控制权限信息代码，流程则直接转向步骤S56处开始回圈流程。

以上所述仅为本发明的较佳实施例而已，且已达广泛的使用功效，凡其它未脱离本发明所揭示的精神下所完成的均等变化或修饰，均应包含在下述的权利要求范围内。

Claims (9)

1.一种遍历访问控制列表中许可权方法，用来存储网络附加存储器查询过的用户权限设置值，实现相同的权限设置值稽核时，能快取该用户权限设置值，该用户权限设置值是用户终端装置对文件的操作权限，该操作包括读取、写入、删除、修改，其特征在于该遍历访问控制列表中许可权方法包括以下步骤：

于文件系统的根目录中建立一哑元节点，该哑元节点为一虚拟的权限标识符；

以第一信息块在第二高速缓存中查询是否存在继承权限设置值，若存在继承权限设置值，则进一步执行下述判断；

如果第一高速缓存中存在累计权限标识符，则将累计权限设置值和继承权限设置值整合后取代累计权限设置值；

如果第一高速缓存中不存在累计权限标识符，则直接用继承权限设置值取代累计权限设置值；

判断在第二高速缓存中是否存在当前权限设置值，进一步判断累计权限设置值是否符合该用户请求的权限设置值；

若第二高速缓存中不存在继承权限设置值，则以第二信息块进一步在第二高速缓存中查询当前权限设置值，执行下述步骤；

若第二高速缓存中存在当前权限设置值，进一步查询累计权限标识符是否存在，若存在，则将当前权限设置值和累计权限设置值合并后取代累计权限设置值；

若第二高速缓存中不存在累计权限标识符，则直接用当前权限设置值取代累计权限设置值；

若第二高速缓存中不存在当前权限设置值，则计算出该用户的当前权限设置值，重新执行上述步骤；

判断是否需要继承权限设置值；

若需要继承权限设置值，则将第二信息块加入到第二高速缓存中，并用当前权限标识符取代累计权限标识符；

若不需要继承权限设置值，则将第一信息块加入到第一高速缓存中。

2.如权利要求1所述的遍历访问控制列表中许可权方法，其特征在于其还包括下一步骤：将多个第二信息块存储于第二高速缓存中。

3.如权利要求1所述的遍历访问控制列表中许可权方法，其特征在于其中所述的第一信息块包括用户标识符、当前权限标识符、继承权限设置值。

4.如权利要求2所述的遍历访问控制列表中许可权方法，其特征在于其中所述的第二信息块包括用户标识符、累计权限标识符、当前权限标识符、当前权限设置值。

5.如权利要求1所述的遍历访问控制列表中许可权方法，其特征在于其中所述的第二高速缓存通常容量为4KB。

6.如权利要求1所述的遍历访问控制列表中许可权方法，其特征在于其中所述的第二高速缓存每次可存储多达16个中间查询结果。

7.如权利要求1所述的遍历访问控制列表中许可权方法，其特征在于其中的整合是根据一预设的权限整合计算规则表进行权限整合。

8.如权利要求1所述的遍历访问控制列表中许可权方法，其特征在于其中的哑元节点用来在数据结构中简化程序流程。

9.如权利要求1所述的遍历访问控制列表中许可权方法，其特征在于其中的哑元节点预设两种类型用户及相应权限设定：管理员拥有用户文件的完全控制权，一般用户可读可写。

Images