[發明專利]一種數據訪問權限控制方法

有效

• 申請號: 201410375662.7
• 申請日: 2014-08-01
• 公開（公告）號: CN104156640B
• 公開（公告）日: 2017-04-12
• 發明（設計）人: 蔡衛衛;董玉全;魏子重
• 申請（專利權）人: 浪潮軟件股份有限公司
• 主分類號: G06F21/30
• 分類號: G06F21/30
• 代理公司: 濟南信達專利事務所有限公司37100
• 代理人: 姜明

1.一種數據訪問權限控制方法，其特征在于：數據訪問權限與業務邏輯分離，使用代理方式實現，對開發者透明，具體包括以下步驟：

a）建立數據模型

把數據抽象為數據類型和數據對象，所述數據類型描述具有相同屬性的數據的集合；數據對象是數據類型的一個實例，或者數據庫中的一條記錄；

b）建立數據類型之間的繼承體系

首先建立根類型，所有數據類型都直接或間接繼承根類型，然后數據類型之間根據性質不同建立繼承關系；

c）建立用戶模型

所述用戶模型用于描述及限定用戶范圍；?

d）創建數據訪問權限領域專用語言；

e）定義數據訪問權限

使用步驟d中數據訪問權限領域專用語言結合步驟a、步驟b中建立的數據模型及步驟c中建立的用戶模型描述具體的數據訪問權限，并將其持久化；

f）建立數據訪問代理

使用代理模式封裝原有的數據訪問組件，提供和原有數據訪問組件完全一樣的接口及功能，用戶對數據的所有訪問請求都經過該數據訪問代理，數據訪問代理可對所有數據訪問請求進行攔截、監控及修改；

g）進行權限判斷

在數據被用戶訪問時，數據訪問代理首先判斷被訪問的數據的類型；確定類型后查找此類型上的定義的數據訪問權限，若此類型上沒有定義數據訪問權限，則繼續查找其父類型上是否定義了數據訪問權限，直至查詢到跟類型，若沒有定義數據訪問權限則執行原有邏輯；若定義了數據訪問權限，則使用數據訪問權限領域專用語言解析權限，增加數據訪問過濾或判斷用戶是否有權限訪問此數據；

h）將結果通過數據訪問代理返回給用戶。

2.根據權利要求1所述的數據訪問權限控制方法，其特征在于：對不同的數據庫類型或者數據訪問方式，實現不同的數據訪問代理。

3.根據權利要求1或2所述的數據訪問權限控制方法，其特征在于步驟a中，系統中的數據類型為數據庫表、對象實體類型、或虛擬類型。

4.根據權利要求1或2所述的數據訪問權限控制方法，其特征在于步驟b中，根類型的基本屬性包括唯一標識、名稱、代碼和描述。

5.根據權利要求1或2所述的數據訪問權限控制方法，其特征在于步驟c中，所述用戶模型包括用戶、角色、用戶所屬組織和與用戶相關的能夠影響用戶訪問數據的相關對象。

6.根據權利要求1或2所述的數據訪問權限控制方法，其特征在于步驟d中，使用步驟c中建立的用戶模型，結合a、b中建立的數據模型及運算符組成數據訪問權限領域專用語言的表達式語言。

7.根據權利要求1或2所述的數據訪問權限控制方法，其特征在于，步驟e中定義數據訪問控制權限時可以在類型的父類型上定義，并可控制子類型是否能夠使用父類型上設置的權限。

8.根據權利要求1或2所述的數據訪問權限控制方法，其特征在于可擴展的權限上下文。

9.當現有權限上下文中的對象不能滿足描述權限的需要時，可對其進行擴展，使用提供的接口向權限上下文中添加對象。