[发明专利]空间数据库的访问控制方法

说明书

技术领域

本发明涉及计算机信息安全领域，尤其涉及一种空间数据库的访问控制方法。

背景技术

空间遥感和信息技术的发展使得空间数据的应用越来越广泛，空间数据的访问、管理和可视化研究已经走进了日常生活。日前已经有很多公司和组织通过地理信息系统为政府和公司在决策上提供空间数据查询、访问与分析服务。然而，一些敏感地理位置(如军事基地)的暴露给国家带来安全威胁。

现有的授权方法在数据库内部的实现主要包括访问控制列表、访问控制矩阵、查询改写等方式。但对空间数据进行矢量分析很费时间，一旦权限控制规则过多，十分影响查询效率。一般实现的都是粗粒度(文件或图层)的授权方法,而对细粒度(空间实体)考虑不足，而且权限控制的判断和空间数据的检索是分离的。

R+树是R树的一种变体，用空间实体的最小外包矩形来近似表达空间实体，并利用其最小外包矩形建立R+树，可以直接对空间中占据一定范围的空间实体进行索引。如图1所示，典型的R+树包括根节点、中间节点和叶节点。R+树的每一个节点（包括根节点、中间节点和叶节点）都对应着一个区域，即各个节点对应的MBR。根节点和中间节点均包括该节点的所有子节点的区域都在该节点的区域范围之内，并在节点中建立索引项，索引项由子节点的最小外包矩形和指向子节点的指针组成。通常将根节点作为是一种特殊的中间节点。

R+树的每一个节点都对应着一个区域。如果节点是中间节点，则该节点的所有子节点的区域都在该节点的区域范围之内，并在节点中建立索引项，索引项由子节点的最小外包矩形和指向子节点的指针组成。如果节点是叶节点，则该节点包含的空间实体的区域都与该节点的区域范围相交，并在节点中建立数据项，数据项由空间实体的最小外包矩形和该空间实体的ID组成。根节点是特殊的中间节点，对应整个区域。

由于空间数据库数据量庞大，空间数据模型复杂，属性数据和空间数据联合管理等特点，传统数据库的授权方法并不能直接应用于空间数据库的保护，因此需要根据空间数据的表示方法、访问模式、实时性等特点为其建立比较有针对性的授权方法。

发明内容

针对现有技术的不足，本发明提供了一种具有针对性的空间数据库的访问控制方法。

一种空间数据库的访问控制方法，包括：

（1）建立空间数据库的R+树，根据需求构建具有若干条访问规则的访问规则集合；

（2）将所述访问规则集合中的各条访问规则添加至所述R+树中的各个节点中，得到具有访问规则的R+树；

（3）根据访问请求从具有访问规则的R+树的根节点开始，逐层向下搜索，得到所有符合访问请求的数据项，所述的数据项包括该空间实体编号以及该空间实体的最小包围矩形和对应的访问规则；

（4）针对所有符合访问请求的数据项，根据数据项中的空间实体编号访问空间数据库中各个数据项对应的空间实体，针对访问的每一个空间实体，根据访问请求和与该空间实体对应的访问规则对该空间实体进行裁剪，并将经过裁剪后的空间实体返回给用户。

本发明中的访问控制方法中以R+树作为索引树，通过向R+树中添加访问规则实现对空间数据库授权，并根据访问请求对添加有访问规则的R+树进行搜索，根据搜索结果从空间数据库中得到空间实体后，还进一步根据访问请求和相应的访问规则对各个对空间实体进行裁剪，将裁剪后空间实体返回给用户。该控制访问方法不仅支持对空间实体的授权，还支持对实体进行细粒度拆分后的授权，权限控制的最小单位不是空间实体，访问控制规则可以只覆盖空间实体的一部分。同时将访问规则判定和空间检索的两次查询合并为一次，在一次查询中确定用户查询的结果并返回相应的信息，提高了授权查询效率，保障了访问带有权限限制的空间矢量数据时的响应速度。

所述步骤（1）中根据空间实体的敏感程度确定能够访问的用户类型及所需密级，据此构建具有若干条访问规则的访问规则集合，利用多条访问规则，实现敏感数据的授权访问。

所述访问规则包括访问规则编号、非空间过滤条件，以及该访问规则的适用空间范围和权限标签。

各条访问规则的访问规则编号一般在构建访问规则集合时形成，一般在整个过程中不再改变，且各条访问规则的访问规则编号互不相同且是唯一的。

空间数据中空间实体具有多种除空间外的属性，非空间过滤条件是从非空间属性（除空间外的其他属性）的角度对该访问规则的适用范围的限定，该非空间过滤条件可以没有，也可以有多条，不同的访问规则的非空间条件之间独立。