[发明专利]网络文档权限控制方法、装置及系统

说明书

技术领域

本发明涉及权限控制领域，具体而言，涉及一种网络文档权限控制方法、装置及系统。

背景技术

随着互联网技术的不断发展，B/S架构的Web应用程序因其易于开发部署、易于访问、易于使用、维护简便等优点而成为众多企业应用的首选。通过浏览器，用户可以轻松访问Web应用中的各类电子数据和电子文档，并可导出下载到本地计算机上。然而Web应用中的一些电子文档涉及企业重要经营信息和知识产权，如：企业战略规划、市场营销策划、财务报表、经营分析、合同文书、工程建设文档、设计图纸等，一旦被非法使用或窃取就会造成信息泄漏，给企业带来不可挽回的损失。因此亟需加强对Web应用系统中电子文档的使用防护。

对于Web应用系统中的电子文档，目前通常的保护措施是在身份认证的基础上，设置访问控制列表（即ACL）进行文档在线访问控制，使得非法用户无法访问受保护电子文档的URL地址。现有技术的具体实现方案主要包括两类：（1）在Web应用系统中设置ACL，并在Web应用系统的业务逻辑中根据当前用户的身份和ACL，判断用户是否有对指定URL地址的访问权限；（2）在Web应用系统前加装访问控制网关，在网关中设置ACL，由网关根据当前用户的身份和ACL，判断用户是否有对指定URL地址的访问权限。

上述访问控制机制可以防止非法人员直接访问Web应用系统中的重要电子文档，而电子文档一旦被合法用户下载保存到本地计算机，则明文方式的电子文档在使用上将不再受控，用户可以任意发送给内部或外部不相关人员，同时也无法进行追踪审计。因此，Web应用系统中下载的文档缺少应有的保护措施，使用风险不可控，极易造成有意或无意的信息泄漏。

针对现有技术中Web应用系统中下载文档缺少保护措施，无法控制下载文档的使用风险，从而导致信息泄漏的问题，目前尚未提出有效的解决方案。

发明内容

针对相关技术中Web应用系统中下载文档缺少保护措施，无法控制下载文档的使用风险，从而导致信息泄漏的问题，目前尚未提出有效的解决方案，为此，本发明的主要目的在于提供一种网络文档权限控制方法、装置及系统，以解决上述问题。

为了实现上述目的，根据本发明的一个方面，提供了一种网络文档权限控制方法，该方法包括：接收终端的文档下载请求；获取与文档下载请求相对应的代理IP地址；将与文档下载请求对应的网络数据包转存至代理IP地址对应的代理空间；在代理空间对网络数据包进行加密处理，得到加密数据包；根据终端的登录信息为终端用户授予操作权限；将加密数据包下载至终端；根据操作权限控制终端用户对加密数据包的操作。

进一步地，对网络数据包进行加密处理，得到加密数据包的步骤包括：检测文档下载请求是否为指定下载请求；在文档下载请求为指定下载请求的情况下，检测网络数据包是否为指定数据；在网络数据包为指定数据的情况下，获取终端的终端IP地址；通过终端IP地址检测终端上的用户是否已经登录；在用户已经登录的情况下，对网络数据包进行加密处理，得到加密数据包。

进一步地，获取与文档下载请求相对应的代理IP地址的步骤包括：解析网络数据包，以获取网络数据包的目的IP地址；将目的IP地址修改为代理IP地址。

进一步地，根据终端的登录信息为终端用户授予操作权限的步骤包括：在用户已经登录的情况下，根据预设的权限策略对该终端用户授予操作权限；在加密数据包中添加密文文档标识。

进一步地，根据操作权限控制终端用户对加密数据包的操作的步骤包括：获取操作加密数据包的操作请求；根据操作请求获取密文文档标识和从代理空间中获取权限列表，其中，权限列表中保存有操作权限；使用密文文档标识在权限列表中查询操作权限；控制终端用户在操作权限的范围内对加密数据包操作。

进一步地，检测网络数据包是否为指定数据的步骤包括：检测文档下载请求的响应头中是否包含默认文件名；在响应头中包含默认文件名的情况下，从默认文件名的值中解析出文件名的值；检测文件名的值中是否包含指定的文档后缀名；在文件名的值中包含指定的文档后缀名的情况下，确定网络数据包为指定数据；在文件名的值中不包含指定的文档后缀名的情况下，确定网络数据包不是指定数据。