[發(fā)明專利]基于過濾器的動態(tài)權限控制方法和系統(tǒng)

在審

• 申請?zhí)枺?/td>: 202111495491.8
• 申請日: 2021-12-08
• 公開（公告）號: CN114139190A
• 公開（公告）日: 2022-03-04
• 發(fā)明（設計）人: 池萬泱
• 申請（專利權）人: 興業(yè)銀行股份有限公司
• 主分類號: G06F21/60
• 分類號: G06F21/60;G06F21/33
• 代理公司: 上海段和段律師事務所 31334
• 代理人: 施嘉薇

1.一種基于過濾器的動態(tài)權限控制方法，其特征在于，包括：在請求分發(fā)到具體業(yè)務接口前，通過過濾器解析包括請求的用戶、當前用戶擁有的角色以及所訪問接口需要的角色；基于解析的請求的用戶、當前用戶擁有的角色以及所訪問接口需要的角色，通過決策器判斷當前用戶是否可以訪問對應接口，從而實現(xiàn)動態(tài)權限控制的目的。

2.根據(jù)權利要求1所述的基于過濾器的動態(tài)權限控制方法，其特征在于，包括

步驟S1：通過添加包括用戶表、機構表、角色表、資源表、控制項表、用戶機構關聯(lián)表、用戶角色關聯(lián)表、機構角色關聯(lián)表、控制項資源關聯(lián)表以及控制項角色關聯(lián)表擴展RBAC權限模型；

步驟S2：獲取請求頭中的token,通過加解密算法解密token；當成功解密token時，則和用戶表里的信息匹配；匹配成功時，則認證成功，并獲取請求的用戶信息，并將用戶標識存儲到請求頭中；否則認證失敗，結束請求；

步驟S3：獲取請求頭中的用戶標識，根據(jù)擴展的RBAC權限模型查詢用戶擁有的所有角色，并存儲到線程變量中；

步驟S4：獲取請求的目標地址，并根據(jù)擴展的RBAC權限模型，獲取當前目標地址資源對應的所有角色，并存儲到線程變量中；

步驟S5：判斷用戶擁有的角色和訪問地址資源需要的角色是否滿足決策條件，當滿足時，則鑒權成功，并根據(jù)擴展的RBAC權限模型，查詢出用戶擁有的所有數(shù)據(jù)權限資源，并存儲到請求頭中，繼續(xù)請求，否則鑒權失敗，結束請求。

3.根據(jù)權利要求2所述的基于過濾器的動態(tài)權限控制方法，其特征在于，所述步驟S3采用：

步驟S3.1：查詢用戶角色關聯(lián)表，獲取當前用戶直接關聯(lián)的角色；

步驟S3.2：若用戶繼承機構權限，則通過查詢用戶機構關聯(lián)表獲取當前用戶對應的機構，再通過查詢機構角色表，獲取機構對應的所有角色；

步驟S3.3：若用戶繼承機構權限，則通過查詢用戶機構關聯(lián)表獲取當前用戶對應的機構的所有上級機構，再通過查詢機構角色表，獲取上級機構中被子孫機構繼承的所有角色；

步驟S3.4：將獲取的所有角色去重合并后，得到用戶擁有的所有角色。

4.根據(jù)權利要求2所述的基于過濾器的動態(tài)權限控制方法，其特征在于，所述步驟S4采用：

步驟S4.1：獲取請求中的目標URL值以及請求METHOD，通過資源表，獲取訪問的資源對象；

步驟S4.2：通過控制項資源關系表，獲取當前資源所述的所有控制項；

步驟S4.3：通過控制項角色關系表，獲取控制項需要的角色。

5.根據(jù)權利要求2所述的基于過濾器的動態(tài)權限控制方法，其特征在于，所述步驟S5采用：

步驟S5.1：從線程變量中獲取用戶擁有的所有角色及訪問資源需要的所有角色；

步驟S5.2：判斷用戶擁有的角色中，是否存在任一角色和訪問資源需要的任一角色匹配，當匹配時，則鑒權成功；否則結束請求；

步驟S5.3：根據(jù)控制項角色關聯(lián)表，查詢用戶擁有的所有控制項；

步驟S5.4：根據(jù)控制項資源關聯(lián)表，查詢用戶擁有的所有數(shù)據(jù)權限資源，并將資源信息存儲到請求頭中。

6.一種基于過濾器的動態(tài)權限控制系統(tǒng)，其特征在于，包括：在請求分發(fā)到具體業(yè)務接口前，通過過濾器解析包括請求的用戶、當前用戶擁有的角色以及所訪問接口需要的角色；基于解析的請求的用戶、當前用戶擁有的角色以及所訪問接口需要的角色，通過決策器判斷當前用戶是否可以訪問對應接口，從而實現(xiàn)動態(tài)權限控制的目的。