[发明专利]基于关系数据模型的业务平台资源访问控制方法及系统

说明书

本发明公开基于关系数据模型的业务平台资源访问控制方法及系统，该方法包括如下步骤：步骤SS1：建立业务系统的关系数据模型；步骤SS2：定义资源范围表达式的描述语言；步骤SS3：基于所述关系数据模型及描述语言，配置角色访问策略的资源范围表达式；步骤SS4：解析所述步骤SS3获得的资源范围表达式，生成SQL查询对象，执行SQL语句得到结果；步骤SS5：更新资源ID集合查询缓存。本发明通过比较通用的关系数据模型来对资源进行分组管理，能适用于目前大部分业务系统的资源访问控制子系统，具备较强的通用性。

技术领域

本发明涉及一种基于关系数据模型的业务平台资源访问控制方法及系统，属于访问控制设计技术领域。

背景技术

现有的大部分业务系统使用RBAC(基于角色的访问控制)来控制用户对资源的访问权限。RBAC的基本思想是，对资源操作的各种权限不是直接授予具体的用户，而是在用户集合与权限集合之间建立一个角色集合，每一种角色对应一组相应的权限，一旦用户被分配了适当的角色后，该用户就拥有此角色的所有操作权限。需要配置角色的访问策略，即指定角色能访问的资源范围和能对这些资源执行的操作。

目前角色访问策略指定角色能访问的资源范围主要有有以下配置方式：1显示指定资源ID的集合，其缺点是对于在系统运行过程中动态生成的资源，需要管理员手动对访问策略进行频繁的更新，这样不仅效率低下,维护成本也会很高，系统不灵活，可扩展性差；2在条件表达式中指定资源的类型和其他过滤条件，其缺点是需要把所有的资源查询出来然后依次执行条件表达式，才能得到角色能访问到的资源ID集合，这样效率比较低下。为了解决上述问题，需要一种新的资源访问控制方法。

发明内容

本发明的目的在于，克服现有技术存在的技术缺陷，解决上述技术问题，提出一种基于关系数据模型的业务平台资源访问控制方法及系统，提高业务系统中资源访问控制子系统的灵活性、可扩展性和运行效率，降低其维护成本。

本发明具体采用如下技术方案：基于关系数据模型的业务平台资源访问控制方法，包括如下步骤：

步骤SS1：建立业务系统的关系数据模型；

步骤SS2：定义资源范围表达式的描述语言；

步骤SS3：基于所述关系数据模型及描述语言，配置角色访问策略的资源范围表达式；

步骤SS4：解析所述步骤SS3获得的资源范围表达式，生成SQL查询对象，执行SQL语句得到结果；

步骤SS5：更新资源ID集合查询缓存。

作为一种较佳的实施例，所述步骤SS1具体包括：

提取出系统中资源类型和资源分组的类型，建立一张资源分组类型表和一张资源分组实例表，为每种类型的资源单独建一张表；

资源分组类型和资源分组实例之间有一对多的关联关系；

资源分组实例是分层级的，同层级的资源分组实例有相同的资源分组类型，资源分组实例和资源分组实例之间有一对多的关联关系；一些类型的资源和资源分组实例之间有多对多的关联关系；另一些资源和资源之间有一对多的关联关系；用户和资源分组实例之间有多对多的关系。

作为一种较佳的实施例，所述步骤SS2具体包括：所述资源范围表达式的计算结果是一种类型的资源ID集合；所述描述语言定义资源范围表达式的语法和语义，在资源范围表达式中能够表示数据表、字段、关联关系、表连接和过滤条件，以及集合的并、差、交操作。

作为一种较佳的实施例，所述步骤SS3具体包括：在关系数据模型中找到指定类型的资源到用户之间的关联关系的路径，根据这个路径按照定义好的描述语言配置资源范围表达式，配置好后对所述资源范围表达式的语法和语义进行验证。