用戶權限安全管理系統及方法
2023-05-19 19:20:21
專利名稱：用戶權限安全管理系統及方法
技術領域：
本發明關於一種保護計算機系統安全性的系統及方法，特別是關於一種通過設置用戶權限來限制用戶存取及操作的系統與方法。
背景技術：
對於任何一種計算機信息系統，系統的安全性都至關重要。現有技術中關於增強計算機信息系統安全性的方法有很多，包括訪問控制表、群組控制、用戶ID及密碼等。各種方法各有其優缺點。訪問控制表方法是將所有權限及用戶所允許的權限列示在一張表中，以此為依據去判斷一用戶存取是否合法。這種方法的弊端是對用戶的權限維護缺乏靈活性。群組控制是先定義各群組權限，然後再根據各用戶的需求將用戶添加至相應群組，這樣雖然較存取訪問控制表相對靈活一些，但是對於群組的設置及用戶權限的分配都由系統管理員進行分配管理。而用戶ID及密碼以未加密形式存儲，容易導緻密碼被竊而致使系統安全性受到威脅。
美國專利商標局2001年9月25日公告的第6,295,605號專利，專利名稱為「多層安全性評估系統及方法」(Method and apparatus formulti-level security evaluation)，提供了一種結合各種單一方法，如上所述的訪問控制表、群組控制等，利用各方法在系統處理速率上的優點提供一種提升安全處理速率的系統及方法，該系統將用戶分成多類，分別擁有不同權限級別；同時將要訪問的系統資源對應用戶類別也分成多類，然後根據一定規則來選擇一適當的方法判斷系統訪問請求是否允許。該專利技術提供了一種對系統資源的訪問控制方法，但是有時系統需求並不僅僅是單一的存取控制，還需要對相應的操作進行權限控制，如對一項目管理系統，需要控制各項目相關操作權限，上述方法從限制系統資源的角度去管控顯得力不從心，因為項目數量會越來越多，一一去定義很繁瑣，靈活性不夠，可擴展性不好。此外，一般的權限管控系統都少有提供用戶密碼保護，這樣用戶密碼在網絡傳輸過程中及資料庫端都很容易被截取和破壞，所以希望能夠在上述用戶權限管控系統中加入用戶密碼保護技術。
發明內容本發明用戶權限安全管理系統及方法，其基於系統操作進行用戶權限管控，保證系統的可擴展性。
本發明用戶權限安全管理系統及方法，其將用戶密碼進行加密，保證密碼在網絡傳輸及存儲過程中的安全性。
本發明提供一種用戶權限安全管理系統，其包括有多臺客戶端計算機，一分布式應用程式伺服器及一資料庫。任一客戶端計算機包括有一交互式用戶界面，用戶可通過其發出操作請求；一SSL加密裝置，用於對用戶輸入的用戶密碼進行SSL加密。分布式應用程式伺服器包括有一操作定義裝置，定義有多種系統操作；一角色定義裝置，定義有至少一種角色，每一種角色是一組操作的集合，包括至少一種操作；一用戶管理裝置，便於新增、修改、刪除用戶ID及為用戶分配角色；一SSL解密裝置，用於將處於SSL狀態的密碼進行解密還原成未加密狀態；一資料庫加密裝置，用於將未加密狀態的密碼進行加密；一用戶驗證裝置，用於驗證用戶身份合法性；一操作驗證裝置，用於驗證用戶操作合法性。資料庫用於存儲上述用戶ID及為用戶分配的角色。客戶端計算機通過網絡與分布式應用程式伺服器相連，分布式應用程式伺服器與資料庫通過一種資料庫連接相連，所述用戶驗證裝置通過將用戶登錄時輸入的密碼與資料庫中存儲的密碼相比較進行驗證用戶身份的合法性，所述操作驗證裝置通過將存儲在資料庫中的用戶角色所定義的操作與用戶請求的操作進行比較來判斷用戶操作的合法性。
本發明還提供一種用戶權限安全管理系統，其包括有多臺客戶端計算機，其提供交互式用戶界面以便於用戶發出操作請求；一分布式應用程式伺服器及一資料庫。該分布式應用程式伺服器包括有一操作定義裝置，定義有多種系統操作；一角色定義裝置，定義有至少一種角色，每一種角色是一組操作的集合，包括至少一種操作；一用戶管理裝置，便於新增、修改、刪除用戶ID及為用戶分配角色；一操作驗證裝置，用於驗證用戶操作的合法性。該資料庫用於存儲上述用戶ID及用戶對應的角色。客戶端計算機通過網絡與分布式應用程式伺服器相連，分布式應用程式伺服器與資料庫通過一種資料庫連接相連，所述操作驗證裝置通過將存儲在資料庫中的用戶角色所定義的操作與用戶請求的操作進行比較來判斷用戶操作的合法性。
本發明還提供一種用戶權限安全管理方法，其包括有提供多臺客戶端計算機，提供一分布式應用程式伺服器，及提供一資料庫。任一客戶端計算機包括有一交互式用戶界面，用戶藉以發出操作請求；一SSL加密裝置，用於對用戶輸入的用戶密碼進行SSL加密。所述分布式應用程式伺服器包括有一操作定義裝置，定義有多種系統操作；一角色定義裝置，定義有至少一種角色，每一種角色是一組操作的集合，包括至少一種操作；一用戶管理裝置，便於新增、修改、刪除用戶ID及為用戶分配角色；一SSL解密裝置，用於將處於SSL狀態的密碼進行解密還原成未加密狀態；一資料庫加密裝置，用於將未加密狀態的密碼進行加密；一用戶驗證裝置，用於驗證用戶身份合法性；一操作驗證裝置，用於驗證用戶操作的合法性。所述資料庫用於存儲上述用戶ID及用戶對應的角色。其中所述用戶驗證裝置通過將用戶登錄時輸入的密碼與資料庫中存儲的密碼相比較進行驗證用戶身份的合法性，所述操作驗證裝置通過將存儲在資料庫中的用戶角色所定義的操作與用戶請求的操作進行比較來判斷用戶操作的合法性。
本發明還提供一種用戶權限安全管理方法，其包括有提供多臺客戶端計算機，其提供交互式用戶界面，用戶藉以發出操作請求；提供一分布式應用程式伺服器，及提供一資料庫。所述分布式應用程式伺服器包括有一操作定義裝置，定義有多種系統操作；一角色定義裝置，定義有至少一種角色，每一種角色是一組操作的集合，包括至少一種操作；一用戶管理裝置，便於新增、修改、刪除用戶ID及為用戶分配角色；一操作驗證裝置，用於驗證用戶操作的合法性。所述資料庫，用於存儲上述用戶ID及用戶對應的角色。其中所述操作驗證裝置通過將存儲在資料庫中的用戶角色所定義的操作與用戶請求的操作進行比較來判斷用戶操作的合法性。
本發明還提供一種用戶權限安全管理方法，其包括有定義多種系統操作；根據所定義的操作定義角色，每一角色對應一種操作或多種操作的集合；為用戶分配角色，並將該分配好的用戶角色存儲至一資料庫；根據用戶所分配角色判斷用戶操作合法性。
通過以上的用戶權限安全管理系統及其方法，從系統操作的角度去定義用戶權限範圍，保證系統可擴展性。此外，將網路傳輸過程中及資料庫存儲狀態中的用戶密碼保持在一種加密狀態，保證用戶密碼安全性。
圖1是本發明用戶權限安全管理系統硬體架構圖。
圖2是本發明用戶權限安全管理系統的功能模塊圖。
圖3是本發明用戶權限安全管理方法的用戶密碼設置流程圖。
圖4是本發明用戶權限安全管理方法的用戶權限維護流程圖。
圖5是本發明用戶權限安全管理方法的驗證流程圖。
具體實施方式如圖1所示，是本發明所述的用戶權限安全管理系統的硬體架構圖。多臺客戶端計算機10通過網絡11與一分布式應用程式伺服器12相連；該分布式應用程式伺服器12通過連接13與資料庫14相連。其中，網絡11是一種電子網絡，其可以是Intranet、Internet或其它類型網絡。連接13是一種資料庫連接，如開放式資料庫連接(Open DatabaseConnectivity，ODBC)，或者Java資料庫連接(Java Database Connectivity，JDBC)等。客戶端計算機10為用戶提供交互式用戶界面，用戶通過其進行用戶ID及密碼、用戶權限設置及發送各種操作請求。分布式應用程式伺服器12存儲有一系列軟體程序裝置(如第二圖所示)，用於對用戶密碼加密解密、用戶身份驗證及用戶操作合法性驗證等。所有設置好的用戶ID及密碼、用戶權限存儲在資料庫14中。用戶登錄系統時輸入用戶ID及密碼，分布式應用程式伺服器12通過查詢資料庫中用戶密碼並將的與登錄時輸入的密碼進行比較來驗證用戶身份的合法性；當用戶發出操作請求時，分布式應用程式伺服器12通過查詢資料庫中用戶權限來判斷該請求的操作是否在設定的權限範圍內來驗證請求操作的合法性。
如圖2所示，是本發明所述的用戶權限安全管理系統的功能模塊圖。客戶端計算機10包括用戶界面101及一SSL加密裝置102。其中用戶界面101為用戶提供一交互式用戶界面，以便於用戶執行相應操作。SSL加密裝置102用於將用戶輸入的密碼進行加密，以保證該密碼通過網絡傳輸時的安全性。分布式應用程式伺服器12包括有權限設置裝置121、安全裝置122及驗證裝置123。其中權限設置裝置121用於設置用戶權限，其包括有操作定義裝置1211、角色定義裝置1212及用戶管理裝置1213。操作定義裝置1211用於定義系統操作，所有系統相關的操作已經由系統設計人員預先定義，並存儲在資料庫14中。該等操作包括有新增用戶、分配用戶角色、項目承辦等。角色定義裝置1212用於定義系統角色。每一個角色都是一組操作的集合，有權限的用戶可通過用戶界面101調用該角色定義裝置1212進行角色定義。用戶管理裝置1213用於新增、修改、刪除用戶及用戶角色。如新增一用戶，需為該用戶設置相應的用戶ID及密碼，同時還需要為該用戶分配一個角色，該角色即決定了該用戶可執行的操作範圍。一個用戶可分配多個角色，其所能執行的操作即為該多個角色所定義的操作集合的併集。安全裝置122用於相關信息的加密及解密，其包括有SSL解密裝置1221及資料庫加密裝置1222。其中SSL解密裝置1221用於對經過SSL加密的用戶密碼進行解密。用戶密碼在客戶端計算機10進行SSL加密之後通過網絡11傳輸至分布式應用程式伺服器12，SSL解密裝置1221將該加密後的密碼進行解密還原成原始狀態，然後將該原始狀態的密碼再通過資料庫加密裝置1222進行加密，並將該加密後的密碼存儲至資料庫14中。這樣，用戶密碼在網絡傳輸狀態及存儲狀態都處於加密狀態，提升了用戶密碼的安全性。驗證裝置123用於對用戶身份的合法性及用戶操作的合法性分別進行驗證，包括有用戶驗證裝置1231及操作驗證裝置1232。其中用戶驗證裝置1231用於對用戶身份的合法性進行驗證。當用戶通過一客戶端計算機登入該系統時，其輸入用戶ID及密碼，其中用戶密碼通過上述SSL加密操作後，與用戶ID通過網絡傳送至分布式應用程式伺服器12。分布式應用程式伺服器12的SSL解密裝置1221將該SSL密碼進行解密，再通過資料庫加密裝置1222進行加密。用戶驗證裝置1231根據該用戶ID查詢資料庫14中對應於該用戶ID的用戶密碼，將上述經資料庫加密裝置1222加密後的密碼與資料庫14中存儲的用戶密碼進行比較，如果相同，則該用戶身份合法；如果不相同，則證明用戶身份不合法，系統拒絕其登入。操作驗證裝置1232用於驗證用戶操作合法性。用戶登入系統後，在客戶端計算機通過相應的操作按鈕發出操作請求，該操作請求通過網絡傳送至分布式應用程式伺服器12。操作驗證裝置1232根據該用戶ID查詢資料庫，獲取該用戶對應的角色，判斷該用戶請求的操作是否在該角色所定義的操作範圍內，如果是，則用戶操作請求認可，用戶進行相應操作；如果不是，則用戶操作請求被拒絕。
如圖3所示，是本發明所述的用戶權限安全管理系統的用戶密碼設置流程圖。首先是密碼設置(步驟S30)。對於每一個用戶，都有唯一的一組用戶ID及密碼，其用戶ID為其在該系統中的身份標識。對於每一新增用戶，都會被賦予一用戶ID及初始密碼，用戶可以通過用戶界面101修改該初始密碼。設置好的密碼通過SSL加密裝置102進行加密(步驟S31)。該加密後的密碼通過網絡11傳送至分布式應用程式伺服器12(步驟S32)，然後通過分布式應用程式伺服器12中的SSL解密裝置1221進行解密還原成初始狀態(步驟S33)。該初始狀態密碼通過資料庫加密裝置1222再度進行加密，以便於存儲在資料庫14中(步驟S34)。最後該設置好的密碼被保存至資料庫14中。
如圖4所示，是本發明所述的用戶權限安全管理系統的用戶權限維護流程圖。首先，進行操作定義(步驟S40)。操作定義是在系統設計過程中完成的。在系統完成時，所有的操作都已經定義完畢。接著進行角色定義(步驟S41)，角色定義由系統管理員完成，每一個角色都是一組操作的集合，系統管理員可根據系統實際需求定義多種角色，還可以對已經定義好的角色進行修改及刪除操作。最後是對用戶角色的維護(步驟S42)。用戶角色的維護包括為用戶分配新角色、修改用戶角色、刪除用戶角色等操作。當新增一用戶時，需為該新用戶分配用戶角色，這樣用戶就擁有了該系統的相關操作權限。當用戶需求變化時，可以通過修改用戶角色、分配新角色給用戶及刪除用戶已有角色來維護用戶角色。用戶與分配給該用戶的角色是多對多的關係，即一個角色可以同時分配給多個用戶，同時，一個用戶可以被分配有多個角色。當刪除一用戶時，該用戶與其角色之間的對應關係也隨之消滅。用戶ID與用戶角色之間的對應關係設置好後保存在資料庫14中。
如圖5所示，是本發明所述的用戶權限安全管理系統的驗證流程圖。在該流程5中，首先，用戶通過客戶端計算機10的用戶界面登錄該系統(步驟S50)，用戶輸入用戶ID及密碼，該密碼通過SSL加密裝置102進行SSL加密，然後通過該用戶ID及加密後的用戶密碼一起通過網絡11傳送至分布式應用程式伺服器12進行用戶身份驗證(步驟S51)。分布式應用程式伺服器12中的SSL解密裝置1221將該處於SSL加密狀態的密碼進行解密還原成原始狀態，然後再通過資料庫加密裝置1222進行加密。同時分布式應用程式伺服器12中的用戶驗證裝置1231根據該用戶ID查詢資料庫中存儲的與該用戶ID相對應的用戶密碼，然後將上述通過資料庫加密裝置1222進行加密後的密碼與該用戶密碼進行比較(步驟S52)，如果相同，則證明用戶身份合法，允許其登入系統；如果不相同，則證明用戶身份不合法，拒絕用戶登入系統。用戶登入系統後，通過用戶界面101發出操作請求(步驟S53)，該操作請求通過網絡11傳送至分布式應用程式伺服器12，進行操作合法性驗證(步驟S54)。操作驗證裝置1232根據用戶ID查詢資料庫14中存儲的用戶角色，然後判斷用戶請求的操作是否屬於該用戶角色所定義的操作範圍(步驟S55)，如果是，則證明該操作合法，允許該操作執行(步驟56)；如果不是，則證明該操作不合法，拒絕該操作執行(步驟57)。該操作執行完畢後或該操作被拒絕後，用戶可根據需要判斷是否發出另一條操作請求(步驟S58)，如果需要，則流程5返回至步驟S53，重複上述操作步驟；如果不需要，則該流程5結束。
權利要求
1.一種用戶權限安全管理系統，其特徵在於包括多臺客戶端計算機，每臺客戶端計算機包括一交互式用戶界面，用戶可通過該交互式用戶界面發出操作請求；一SSL加密裝置，用於對用戶輸入的用戶密碼進行SSL加密；一分布式應用程式伺服器，其包括有一操作定義裝置，定義有多種系統操作；一角色定義裝置，定義有至少一種角色，每一種角色是一組操作的集合，包括至少一種操作；一用戶管理裝置，便於新增、修改、刪除用戶ID及為用戶分配角色；一SSL解密裝置，用於將處於SSL狀態的密碼進行解密還原成未加密狀態；一資料庫加密裝置，用於將未加密狀態的密碼進行加密；一用戶驗證裝置，用於驗證用戶身份合法性；一操作驗證裝置，用於驗證用戶操作的合法性；一資料庫，用於存儲上述用戶ID及用戶對應的角色；客戶端計算機通過網絡與分布式應用程式伺服器相連，分布式應用程式伺服器與資料庫通過一種資料庫連接相連，所述用戶驗證裝置通過將用戶登錄時輸入的密碼與資料庫中存儲的密碼相比較進行驗證用戶身份的合法性，所述操作驗證裝置通過將存儲在資料庫中的用戶角色所定義的操作與用戶請求的操作進行比較來判斷用戶操作的合法性。
2.如權利要求1所述的用戶權限安全管理系統，其特徵在於用戶通過交互式用戶界面調用用戶管理裝置設定用戶密碼，該用戶密碼通過SSL加密裝置進行加密後，並通過網絡傳輸至分布式應用程式伺服器，然後被SSL解密裝置進行解密還原成未加密狀態，再通過資料庫加密裝置進行加密後保存至資料庫。
3.一種用戶權限安全管理系統，其特徵在於包括多臺客戶端計算機，其提供交互式用戶界面以便於用戶發出操作請求；一分布式應用程式伺服器，其包括有一操作定義裝置，定義有多種系統操作；一角色定義裝置，定義有至少一種角色，每一種角色是一組操作的集合，包括至少一種操作；一用戶管理裝置，便於新增、修改、刪除用戶ID及為用戶分配角色；一操作驗證裝置，用於驗證用戶操作的合法性；一資料庫，用於存儲上述用戶ID及用戶對應的角色；客戶端計算機通過網絡與分布式應用程式伺服器相連，分布式應用程式伺服器與資料庫通過一種資料庫連接相連，所述操作驗證裝置通過將存儲在資料庫中的用戶角色所定義的操作與用戶請求的操作進行比較來判斷用戶操作的合法性。
4.一種用戶權限安全管理方法，其特徵在於通過一用戶權限安全管理系統實現如下步驟定義多種系統操作；根據所定義的操作定義角色，每一角色對應一種操作或多種操作的集合；為用戶分配角色，並將該分配好的用戶角色存儲至一資料庫；根據資料庫中存儲的用戶角色判斷用戶操作合法性。
5.如權利要求4所述的用戶權限安全管理方法，其特徵在於其中判斷用戶操作合法性包括如下步驟發出操作請求；查詢資料庫中與用戶對應的用戶角色；判斷該操作請求是否在用戶角色所定義的操作範圍內，如果該操作請求是在用戶角色所定義的操作範圍內，操作合法，被允許執行；如果該操作請求不是在用戶角色所定義的操作範圍內，操作不合法，被拒絕執行。
6.如權利要求4所述的用戶權限安全管理方法，其特徵在於還通過客戶端計算機上存儲之SSL加密裝置、存儲於分布式應用程式伺服器之SSL解密裝置及資料庫加密裝置實現如下步驟通過客戶端計算機設置用戶密碼；SSL加密裝置將用戶密碼進行SSL加密；加密後的密碼通過網絡傳輸至分布式應用程式伺服器通過SSL解密裝置進行SSL解密還原成未加密狀態，該未加密狀態的密碼再被資料庫加密裝置加密成另一種格式後，存儲至資料庫；當用戶登入時，將用戶輸入的密碼與資料庫中存儲的密碼相比較驗證用戶身份合法性。
7.如權利要求6所述的用戶權限安全管理方法，其特徵在於其中驗證用戶身份合法性包括有如下步驟用戶輸入用戶ID及密碼；該密碼被SSL加密後通過網絡傳輸至分布式應用程式伺服器進行SSL解密還原成未加密狀態，該未加密狀態的密碼再被加密成另一種加密狀態；查詢資料庫中存儲的用戶密碼，將該用戶密碼與所述處於另一種加密狀態的密碼進行比較，如果用戶密碼與所述處於另一種加密狀態的密碼一致，則用戶身份合法；如果用戶密碼與所述處於另一種加密狀態的密碼不一致，則用戶身份不合法。
全文摘要
一種用戶權限安全管理系統及方法，其包括有多臺客戶端計算機，一分布式應用程式伺服器及一資料庫。用戶通過客戶端計算機的用戶界面調用分布式應用程式伺服器中的應用程式裝置進行操作定義及角色定義，以及設置用戶ID及密碼、為用戶分配角色等，並將該等信息存儲至資料庫中。用戶通過用戶界面發出操作請求，分布式應用程式伺服器通過查詢資料庫中用戶對應角色來判斷用戶操作的合法性。本發明基於系統操作進行用戶權限管控，保證了系統的可擴展性。此外，用戶密碼通過用戶界面設置後，在客戶端計算機進行SSL加密，再通過網絡傳輸至分布式應用程式伺服器進行SSL解密及資料庫加密後存儲至資料庫，保證了密碼傳輸及存儲的安全性。
文檔編號G06F12/14GK1485746SQ0213486
公開日2004年3月31日 申請日期2002年9月27日 優先權日2002年9月27日
發明者李忠一, 葉建發, 姜志強 申請人:鴻富錦精密工業(深圳)有限公司, 鴻海精密工業股份有限公司