[发明专利]基于数据库协议代理的前置式数据库访问控制方法和系统

说明书

技术领域

本发明涉及一种数据库访问控制方法和系统，具体是一种基于数据库协议 代理方式，对客户端和服务器完全透明，独立于数据库管理系统之外，并前置 于数据库管理系统的访问控制方法和系统。

背景技术

数据库已成为现代计算机系统的必备部件，几乎所有的行业都将业务运营 的关键数据存储在数据库之上。当前的数据库访问控制方法通过数据库管理系 统(DBMS)中的访问控制器(包括身份认证过程和访问策略控制过程)来实现。

参见图1，其是当前流行数据库管理系统结构示意图。侦听器110、访问控 制器120和执行器130作为数据库管理系统密不可分的模块，每一次客户端的 正常或异常访问，都会引起侦听器110、访问控制器120和执行器130的动作， 消耗系统资源，并且不可预期。在极端的情况下，恶意攻击访问控制认证器120， 会导致整个数据库服务器宕机。一些特殊的访问控制要求，也只能用访问控制 器120特定的处理方式来完成。例如，需要限制某个用户只能在特定的时间窗 口(例如工作日的早上9:00到下午17:00)通过特定的IP访问数据库，需要 编写特定的程序来实现。当前主流商业数据库管理系统的密码处理算法基本被 公开，再加上用户身份认证丢失、保管不善、使用随意等状况普遍存在，如果 要求在访问控制器120上实现基于动态密码(例如60秒自动变更密码的令牌方 式)的访问控制也是目前数据库管理系统所不能轻易胜任的一个复杂过程。在 访问控制器120存在漏洞时，还会严重威胁数据库安全。一项由商业数据库厂 商委托第三方的调查显示，利用访问控制器120实现最基本的访问监视功能也 实际上被用户放弃，缘由就是不能接受不可预期的性能开销。不难推断，当前 不安全也不实用的数据库访问控制方法是一系列数据泄密、数据篡改以及数据 捣毁事件根源。

发明内容

本发明的目的是在不改造现有客户端和数据库结构的前提下提供一种全新 的数据库访问控制方法和系统，以解决当前数据库访问控制的缺陷。本发明提 供了一种基于数据库协议代理的前置式数据库访问控制方法和系统。其技术方 案包括：

一种基于数据库协议代理的前置式数据库访问控制方法，包括：

a、数据库协议代理侦听网络上的数据库协议包，通过协议解析，进行身份 认证以及访问控制策略判定，若判定为真，则执行步骤b，若判定为假，则执行 步骤c；

b、数据库协议代理依据数据库策略动作对数据库协议包重组后发送给数据 库，由数据库进行后续处理并给数据库协议代理返回结果信息，再由数据库协 议代理依据客户端策略动作对数据库协议包重组后返回客户端，执行步骤a或 结束；

c、将错误信息封装成数据库协议包返回客户端，执行步骤a或结束。

步骤a所述协议解析是指识别出数据库操作符和操作串，数据库操作符包括： 数据库连接操作符和数据库访问操作符。数据库连接操作符的操作串是一个五 元组：(数据库名称，IP地址，TCP端口，用户名，密码)。该操作串被用于身 份认证以及访问策略控制。数据库访问操作符的操作串是一个二元组：(SQL或 其扩展语句，绑定参数向量)。该操作串被用于访问策略控制。

步骤b所述数据库策略动作是指如何修改发送给数据库的数据库协议包的动 作定义，进一步包括数据库连接操作串和数据库访问操作串的修改要求。

步骤b所述客户端策略动作是指如何修改发送给客户端的数据库协议包的动 作定义，进一步包括返回码和返回串的修改要求。

步骤b、c所述执行步骤a或结束，由访问控制动作来定义，对于执行步骤a 意味着客户端与数据库协议代理、数据库协议代理与数据库仍然保持连接，而 对于结束，意味着客户端与数据库协议代理、数据库协议代理与客户端的连接 关闭。所述访问控制动作，包括继续执行、停止执行、修改后执行、放弃执行。 其中继续执行、修改后执行和放弃执行会导致步骤a，停止执行会导致结束。

所述数据库进行后续处理，进一步包括：侦听器110、控制器120和执行器 130的处理。从而认定前置式数据库访问控制方法实际上是一种双重数据库访问 方法。在实际应用时，访问控制可侧重于加载在数据库协议代理之上，避免不 必要的数据库后续处理开销。

进一步，可控制数据库协议代理的起停状态实现客户端的可用控制，而无需 起停数据库。