[發明專利]基于終端用戶的數據庫細粒度訪問控制方法

有效

• 申請號: 201710585913.8
• 申請日: 2017-07-18
• 公開（公告）號: CN107403106B
• 公開（公告）日: 2020-06-02
• 發明（設計）人: 沈德峰;石波;吳朝雄;胡佳;謝小明;郭江;沈艷林;孫琦
• 申請（專利權）人: 北京計算機技術及應用研究所
• 主分類號: G06F21/62
• 分類號: G06F21/62
• 代理公司: 中國兵器工業集團公司專利中心 11011
• 代理人: 劉瑞東

1.一種基于終端用戶的數據庫細粒度訪問控制方法，其特征在于，包括以下步驟：

步驟1：配置合法的終端用戶，創建數據庫訪問控制規則

數據庫訪問控制規則用于實現行列級數據的權限控制，根據數據保護方式的不同包括列控制規則、行控制規則和字段數據控制規則，每類規則又包括四部分，即表名、操作權限、保護數據以及防護要求；

步驟2：創建角色，完成基于角色的數據庫訪問控制規則授權

創建不同的角色，并將終端用戶與角色、角色與數據庫訪問控制規則相關聯，完成基于角色的數據庫訪問控制規則授權；

步驟3：攔截數據庫訪問請求，獲得終端用戶身份信息

在應用系統響應終端用戶操作并發起數據庫訪問請求時，攔截應用系統發出的數據庫訪問請求，并獲得該終端用戶身份信息；

步驟4：將獲得的終端用戶身份信息加載到攔截的數據庫訪問請求語句中；

步驟5：解析數據庫訪問請求語句，實現對終端用戶身份信息的提取和數據庫訪問請求語句解析，以便后續基于終端用戶進行數據庫訪問控制規則加載；

步驟6：對提取到的終端用戶身份信息進行合法身份認證，根據身份認證結果確定是否允許繼續訪問，如果身份驗證通過，則放行該數據庫訪問請求，繼續執行步驟7，否則阻止繼續訪問，返回結果；

步驟7：利用步驟2完成的訪問控制規則授權結果根據終端用戶身份信息進行角色查詢，并基于查詢到的角色搜索分配給該角色的數據庫訪問控制規則；

步驟8：根據步驟7查詢到的數據庫訪問控制規則對步驟5成功解析完成的數據庫訪問請求語句進行改寫，加載數據庫訪問控制規則生成新的數據庫訪問請求語句；

步驟9：執行所述新的數據庫訪問請求語句，返回執行結果；

所述數據庫訪問控制規則包括表1的內容：

表1

其中,“TABLE1”表示要保護的數據表；

“SELECT”表示對被保護數據僅有查詢操作權限；

“attr1,attr2”是針對表TABLE1需要進行整列保護的列屬性名，以“，”相隔；

“返回***”表示當未授權終端用戶訪問被保護的數據時，按照防護要求指定的返回形式返回數據，這里返回“***”代替被防護數據；

“key_a,key_b”是針對表TABLE1需要進行整行保護的行數據關鍵字，以“，”相隔；

“attr3:key_c,attr4:key_d”是針對表TABLE1需要進行字段數據保護的配置數據，其中，attr3表示表TABLE1中的列屬性名，key_c表示需要被保護字段數據的行數據關鍵字，attr3:key_c兩者結合起來可確定需要被保護的字段數據，attr4:key_d可確定另一個需要被保護的字段數據，不同字段數據同樣以“，”相隔；

針對可能出現規則沖突的情況，即已配置對表TABLE1的列attr1僅具有SELECT權限，又同時配置對表TABLE1的行key_a僅具有DELETE權限，此時字段數據attr1:key_a既僅有SELECT權限又僅有DELETE權限，出現矛盾，此時通過設置規則優先級來解決，即規定針對列的保護優先于行保護。

2.如權利要求1所述的方法，其特征在于，步驟3中，通過改造應用系統登陸頁面獲得終端用戶對應應用系統的真實的終端用戶信息。

3.如權利要求1所述的方法，其特征在于，步驟4中，終端用戶身份信息采用注釋形式注入到數據庫訪問請求語句中。

4.如權利要求1所述的方法，其特征在于，步驟5中，所述數據庫訪問請求語句解析包括詞法、語法和語義分析。

5.如權利要求1所述的方法，其特征在于，步驟6中，通過與步驟1中配置的合法終端用戶解析比對分析，驗證從步驟5中提取的終端用戶身份信息是否合法。

6.如權利要求1至5中任一項所述的方法，其特征在于，步驟9中，將加載了數據庫訪問控制規則的新的數據庫訪問請求語句發送給數據庫，執行新的數據庫訪問請求語句，并將執行結果返回。