[发明专利]安全授权查询

权利要求书

1.一种包括包含授权查询表的安全方案的系统，其中所述授权查询表包括多个字段，每一字段将资源专用操作映射到相关联的授权查询；

其中，所述系统还包括授权引擎，所述安全方案向授权引擎提供所述相关联的授权查询和具有多个断言的断言上下文，所述断言上下文包括多个断言，至少一个断言与所述资源专用操作相关；且其中所述授权引擎结合所述断言上下文对所述相关联的授权查询求值以作出授权决策。

2.如权利要求1所述的系统，其特征在于，所述相关联的授权查询包括含有一个或多个预定空槽的相关联的授权查询模板。

3.如权利要求2所述的系统，其特征在于，所述安全方案通过将与所述资源专用操作有关的实际主体或实际资源中的至少一个代入所述一个或多个预定空槽而将所述授权查询模板转换成所述授权查询。

4.如权利要求1所述的系统，其特征在于，所述安全方案结合具有多个断言的断言上下文来对所述相关联的授权查询求值，所述多个断言中的至少一个断言与所述资源专用操作相关；且其中所述安全方案还包括不允许具有否定元素的任何断言的句法确认器。

5.如权利要求4所述的系统，其特征在于，所述授权查询表包括含有包括否定运算符的授权查询的至少一个字段。

6.如权利要求1所述的系统，其特征在于，所述相关联的授权查询包括多个所断言的事实；且其中所述授权引擎试图将从所述断言上下文推断出的有效断言匹配到所述相关联的授权查询的所断言的事实。

7.如权利要求6所述的系统，其特征在于，所述相关联的授权查询的各个所断言的事实在可从所述断言上下文推断出有效的匹配断言时可用“真”布尔状态来有效地替换，而在不能从所述断言上下文推断出有效匹配断言时可用“假”布尔状态来有效地替换。

8.如权利要求7所述的系统，其特征在于，如果可用“真”布尔状态来有效地替换个别所断言的事实，则所述授权引擎产生能够使所述个别所断言的事实为真的变量代入集。

9.一种在安全方案中有授权查询表的方法，所述方法包括：

向所述授权查询表提供资源专用操作；以及

使用所述授权查询表查明与所述资源专用操作相关联的授权查询；

将(i)从所述资源专用操作得到的断言上下文和(ii)所查明的授权查询应用于求值算法；

将所述断言上下文的有效断言匹配到所查明的授权查询的所断言的事实；

响应于所述匹配，对所查明的授权查询执行真/假替换过程；

在所述执行之后，对所查明的授权查询进行逻辑求值；

如果所查明的授权查询逻辑求值为真，则决定授权所述资源专用操作；以及

如果所查明的授权查询逻辑求值为假，则决定拒绝所述资源专用操作。

10.如权利要求9所述的方法，其特征在于，还包括：

在资源保卫模块处接收代表主体访问标识的资源的请求；以及

在所述资源保卫模块处将所述请求转换成所述资源专用操作；

其中所述提供和所述查明是由安全策略模块实现的。

11.如权利要求10所述的方法，其特征在于，所查明的授权查询包括含有一个或多个预定空槽的授权查询模板；且其中所述方法还包括：

在所述资源保卫模块处通过将所标识的资源和所述主体代入所述一个或多个预定空槽中而将所述授权查询模板转换成所查明的授权查询。