[发明专利]基于数据驱动角色的安全

权利要求书

1.一种方法，包括：

查询(1000)与代表用户身份的至少一个计算设备对计算系统的一个或多个计算对象的潜在访问有关的数据上下文；

所述至少一个计算设备接收(1010)对所述一个或多个计算对象中的至少一个计算对象的访问请求；

基于所述数据上下文来对管理对所述至少一个计算对象的访问的对象的控制表达式进行求值(1020)以形成许可集；以及

如果所述许可集包括对所述访问请求的许可，则授予(1030)对所述至少一个计算对象的访问。

2.如权利要求1所述的方法，其特征在于，所述求值(1020)包括针对所述计算系统的所述一个或多个计算对象的一个或多个当前版本来对程序表达式进行求值。

3.如权利要求1所述的方法，其特征在于，还包括：

如果所述许可集不包括对所述访问请求的许可，则拒绝对所述至少一个计算对象的访问。

4.如权利要求1所述的方法，其特征在于，所述求值(1020)包括基于所述数据上下文来对管理对所述至少一个计算对象的访问的访问控制列表的控制表达式进行求值。

5.如权利要求4所述的方法，其特征在于，所述求值(1020)包括对所述控制表达式进行求值来形成许可列表。

6.如权利要求1所述的方法，其特征在于，所述求值(1020)还包括对管理对所述至少一个计算对象的访问的对象中所包括的静态许可集进行求值。

7.如权利要求1所述的方法，其特征在于，所述查询(1000)包括响应于接收到对所述至少一个计算对象的附加访问请求来查询更新的数据上下文。

8.如权利要求1所述的方法，其特征在于，还包括：

从用户界面接收管理对所述至少一个计算对象的访问的对象的控制表达式的定义，所述定义表达了访问控制和所述计算系统的所述一个或多个计算对象之间的关系。

9.一种计算机实现的系统，包括：

被配置成响应于用户登录来查询对计算系统的数据对象的访问请求的数据上下文的登录组件(550)，所述数据上下文是基于所述数据对象来被检索的；

访问控制组件(560)，所述访问控制组件(560)被配置成响应于对所述数据对象中的至少一个数据对象的访问请求来动态地对控制是否授予访问的访问控制对象的至少一个控制表达式进行求值以确定许可集，并且被配置成基于所述许可集来授予许可。

10.如权利要求9所述的系统，其特征在于，所述访问控制组件(560)被配置成针对所述数据对象的当前版本动态地对程序表达式进行求值。

11.如权利要求9所述的系统，其特征在于，所述访问控制组件(560)还被配置成如果所述许可集不包括对所述访问请求的许可，则拒绝对所述至少一个数据对象的访问。

12.如权利要求9所述的系统，其特征在于，所述访问控制组件(560)被配置成对管理对所述至少一个数据对象的访问的对象中所包括的静态许可集进行求值。

13.如权利要求9所述的系统，其特征在于，所述登录组件(550)被配置成响应于接收到基于标识用户的用户凭证的登录来查询所述数据上下文。

14.如权利要求9所述的系统，其特征在于，所述登录组件(550)被配置成响应于接收到对所述至少一个数据对象的附加访问请求来查询更新的数据上下文。

15.如权利要求9所述的系统，其特征在于，所述登录组件(550)被配置成查询与对表示企业员工的数据对象的访问有关的数据上下文。