[發(fā)明專利]一種關(guān)系型數(shù)據(jù)庫(kù)行安全訪問控制方法及系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 201910324803.5
• 申請(qǐng)日: 2019-04-22
• 公開（公告）號(hào): CN110046205B
• 公開（公告）日: 2021-04-09
• 發(fā)明（設(shè)計(jì)）人: 李鵬;陳澤;范翊;盧健
• 申請(qǐng)（專利權(quán)）人: 瀚高基礎(chǔ)軟件股份有限公司
• 主分類號(hào): G06F16/28
• 分類號(hào): G06F16/28;G06F21/31;G06F21/62
• 代理公司: 濟(jì)南圣達(dá)知識(shí)產(chǎn)權(quán)代理有限公司 37221
• 代理人: 黃海麗

本發(fā)明公開了一種關(guān)系型數(shù)據(jù)庫(kù)行安全訪問控制方法及系統(tǒng)，所述方法包括：創(chuàng)建每個(gè)數(shù)據(jù)表文件時(shí)，均生成一個(gè)隱藏的屬性列，用于標(biāo)記每一條數(shù)據(jù)記錄的安全等級(jí)；對(duì)于每個(gè)用戶均設(shè)有安全等級(jí)信息；當(dāng)用戶向數(shù)據(jù)庫(kù)表文件寫入數(shù)據(jù)時(shí)，獲取所述用戶相應(yīng)的安全等級(jí)，映射至相應(yīng)數(shù)據(jù)記錄對(duì)應(yīng)的隱藏屬性列中；基于所述屬性列中的安全等級(jí)信息進(jìn)行訪問控制。本發(fā)明通過系統(tǒng)創(chuàng)建隱藏的安全等級(jí)屬性列的方式，杜絕了安全等級(jí)信息被任意篡改的可能性，實(shí)現(xiàn)了強(qiáng)制訪問控制。

技術(shù)領(lǐng)域

本發(fā)明屬于數(shù)據(jù)庫(kù)安全訪問控制技術(shù)領(lǐng)域，尤其涉及一種關(guān)系型數(shù)據(jù)庫(kù)行安全訪問控制方法及系統(tǒng)。

背景技術(shù)

安全標(biāo)記及強(qiáng)制訪問控制是安全數(shù)據(jù)庫(kù)中的重要機(jī)制，可以針對(duì)特定主體的允許或禁止訪問，該特定主體可以是特定的用戶或自定義的用戶組，并且，訪問控制可以是表級(jí)、列級(jí)，和行級(jí)。

其中，在實(shí)施行級(jí)數(shù)據(jù)訪問控制時(shí)，通常針對(duì)需要進(jìn)行訪問控制的數(shù)據(jù)表建立有關(guān)行的訪問權(quán)限等級(jí)文件，以及用戶的訪問權(quán)限等級(jí)文件，為了在這些文件之間建立關(guān)聯(lián)，這些文件中均需創(chuàng)建主鍵，用戶執(zhí)行對(duì)某個(gè)數(shù)據(jù)表的查詢時(shí)，系統(tǒng)需要找到與該數(shù)據(jù)表關(guān)聯(lián)的有關(guān)行的等級(jí)文件，以及該用戶的等級(jí)，執(zhí)行查詢的運(yùn)算復(fù)雜度較高，且數(shù)據(jù)表較多，維護(hù)復(fù)雜。為了降低復(fù)雜度，技術(shù)人員將安全標(biāo)記信息引入了要進(jìn)行訪問控制表中，例如，添加屬性列，寫入每條記錄對(duì)應(yīng)的安全等級(jí)，根據(jù)該列中的安全等級(jí)進(jìn)行訪問控制，但是，發(fā)明人發(fā)現(xiàn)，這種方法還存在以下問題：

1、需要額外的表來記錄行級(jí)訪問控制策略信息，該表記錄著用戶和用戶的權(quán)限等信息，囊括了行級(jí)安全策略相關(guān)的全部信息，需要額外對(duì)這個(gè)表進(jìn)行嚴(yán)密的權(quán)限保護(hù)和安全保護(hù)。如果這個(gè)表的數(shù)據(jù)發(fā)生損壞，整個(gè)行安全機(jī)制就會(huì)失效。

2、數(shù)據(jù)表中的普通數(shù)據(jù)與安全等級(jí)數(shù)據(jù)之間沒有有效隔離，都可以進(jìn)行人為修改，數(shù)據(jù)；對(duì)于安全等級(jí)列，缺乏有效的保護(hù)措施，表的擁有者或者管理員可以修改表結(jié)構(gòu)刪除安全標(biāo)記列，無法起到強(qiáng)制訪問控制的要求；

3、維護(hù)困難。行級(jí)安全控制機(jī)制不能自動(dòng)觸發(fā)，需要人為設(shè)置和維護(hù)，效率低且容易出現(xiàn)失誤。

4、讀寫效率低。對(duì)于多個(gè)采用訪問控制策略的數(shù)據(jù)表，若在創(chuàng)建安全等級(jí)屬性列后，修改某個(gè)用戶的等級(jí)信息，需要對(duì)每個(gè)數(shù)據(jù)表均要進(jìn)行相應(yīng)的人為修改，操作復(fù)雜。

5、破壞了用戶的自有數(shù)據(jù)。用戶數(shù)據(jù)包括用戶創(chuàng)建的對(duì)象(比如表)以及用戶存放在數(shù)據(jù)庫(kù)中的數(shù)據(jù)信息。前述方法，修改了用戶創(chuàng)建的表的模式，破壞了用戶原有的數(shù)據(jù)，帶來了數(shù)據(jù)一致性方面的問題。

發(fā)明內(nèi)容

為克服上述現(xiàn)有技術(shù)的不足，本發(fā)明提供了一種關(guān)系型數(shù)據(jù)庫(kù)行安全訪問控制方法及系統(tǒng)，通過系統(tǒng)創(chuàng)建隱藏的訪問權(quán)限屬性列的方式，杜絕了訪問權(quán)限被用戶任意篡改的可能性，實(shí)現(xiàn)了強(qiáng)制訪問控制。

為實(shí)現(xiàn)上述目的，本發(fā)明的一個(gè)或多個(gè)實(shí)施例提供了如下技術(shù)方案：

一種關(guān)系型數(shù)據(jù)庫(kù)行安全訪問控制方法，包括：

創(chuàng)建每個(gè)數(shù)據(jù)表文件時(shí)，均生成一個(gè)隱藏的屬性列，用于標(biāo)記每一條數(shù)據(jù)記錄的安全等級(jí)；對(duì)于每個(gè)用戶均設(shè)有安全等級(jí)信息；

當(dāng)用戶向數(shù)據(jù)庫(kù)表文件寫入數(shù)據(jù)時(shí)，獲取所述用戶相應(yīng)的安全等級(jí)，映射至相應(yīng)數(shù)據(jù)記錄對(duì)應(yīng)的隱藏屬性列中；

基于所述屬性列中的安全等級(jí)信息進(jìn)行訪問控制。

一個(gè)或多個(gè)實(shí)施例提供了一種服務(wù)器，包括：

用戶信息管理模塊，用于管理用戶的基本信息和安全等級(jí)信息；

數(shù)據(jù)表文件管理模塊，用于管理數(shù)據(jù)表文件，每一個(gè)數(shù)據(jù)表文件中，均創(chuàng)建了一個(gè)隱藏的屬性列，用于標(biāo)記每一條數(shù)據(jù)記錄的安全等級(jí)；

以及，接收用戶向數(shù)據(jù)庫(kù)表文件寫入的數(shù)據(jù)信息，同時(shí)獲取該用戶的信息，根據(jù)用戶信息管理模塊查找相應(yīng)安全等級(jí)，映射至該數(shù)據(jù)表文件的隱藏?cái)?shù)據(jù)列中。