业务逻辑处理权限控制方法和装置.pdf

本发明公开了一种业务逻辑处理权限控制方法和装置。它是把业务逻辑处理权限划分为空间域和时间域上的处理权限；空间域上是基于角色的处理权限，时间域上是基于阶段的处理权限；业务逻辑处理权限是空间域处理权限和时间域处理权限与运算的结果。该方法和装置使得权限的定义更加灵活和简捷，并且能够大幅减少权限定义数据，节省存储空间。

1、  一种业务逻辑处理权限控制方法，它是把业务逻辑处理权限划分为空间域和时间域上的处理权限；空间域上是基于角色的处理权限，时间域上是基于阶段的处理权限；业务逻辑处理权限是空间域处理权限和时间域处理权限与运算的结果。

2、  如权利要求1所述业务逻辑处理权限控制方法，其特征是所述空间域上的处理权限分为宏观处理权限和微观处理权限；宏观处理权限控制整个业务逻辑的处理权限；微观处理权限控制业务逻辑每个属性的处理权限；宏观处理权限向下约束微观处理权限，微观处理权限向上覆盖宏观处理权限。

3、  如权利要求1所述业务逻辑处理权限控制方法，其特征是所述时间域上的处理权限要求把业务逻辑的处理划分为多个阶段，每个阶段上定义业务逻辑的宏观处理权限和微观处理权限。

4、  如权利要求1所述业务逻辑处理权限控制方法，其特征是每项空间域处理权限是一个二元组<O，R>，表示角色R有执行O操作的权限。

5、  如权利要求1所述业务逻辑处理权限控制方法，其特征是每项时间域处理权限是一个二元组<O，P>，表示阶段P有执行O操作的权限。

6、  如权利要求1～5所述任一业务逻辑处理权限控制方法，其特征是整个业务逻辑的权限是空间域处理权限和时间域处理权限的集合，运算规则如下：
设有两项权限<O₁，P>和<O₂，R>，<O₁，P>表示在阶段P有执行O₁操作的权限，<O₂，R>表示角色R有执行O₂操作的权限，如果O₁和O₂之间的关系为O₁≥O₂，则最终的处理权限为<O₂，P，R>，即角色R在阶段P有执行O₁操作的权限；如果O₁和O₂之间的关系为O₁＜O₂，则最终的处理权限为<O₁，P，R>。

7、  一种业务逻辑处理权限控制装置，它包括空间域处理权限定义单元，时间域处理权限定义单元，权限读取单元和权限运算单元；所述空间域处理权限定义单元是基于角色的处理权限；所述时间域处理权限定义单元是是基于阶段的处理权限；权限读取单元负责读取待处理业务逻辑的空间域处理权限和时间域处理权限；权限运算单元用于对空间域处理权限定义单元和时间域处理权限定义单元进行与运算。

8、  如权利要求7所述业务逻辑处理权限控制装置，其特征在于空间域权限定义单元为每类业务逻辑定义空间域上的宏观和微观处理权限，时间域权限定义单元为每类业务逻辑划分阶段并定义每个阶段内的宏观和微观处理权限。

9、  如权利要求7所述业务逻辑处理权限控制装置，其特征在于所述每项空间域处理权限单元是一个二元组<O，R>，表示角色R有执行O操作的权限；每项时间域处理权限是一个二元组<O，P>，表示阶段P有执行O操作的权限。

10、  如权利要求7～9所述任一业务逻辑处理权限控制装置，其特征在于权限运算单元的运算规则如下：
设有两项权限<O₁，P>和<O₂，R>，<O₁，P>表示在阶段P有执行O₁操作的权限，<O₂，R>表示角色R有执行O₂操作的权限，如果O₁和O₂之间的关系为O₁≥O₂，则最终的处理权限为<O₂，P，R>，即角色R在阶段P有执行O₁操作的权限；如果O₁和O₂之间的关系为O₁＜O₂，则最终的处理权限为<O₁，P，R>。

业务逻辑处理权限控制方法和装置
技术领域
本发明属于计算机系统数据处理领域，特别涉及一种业务逻辑处理权限控制的方法。
背景技术
业务逻辑处理权限的控制是现代企业信息系统中非常重要的一项技术，它是用户能够且只能够处理自己职责范围内的业务逻辑的保障。这是保障企业信息系统安全、正确和有序运行的重要措施。
当前业务逻辑处理权限的控制都是完全基于角色的，预先定义好每个角色对每类业务逻辑的处理权限，如果业务逻辑处理存在阶段性，则定义每个阶段内的每个角色的处理权限。例如，一项业务BO，为其定义了查询(Q)，更新(U)，删除(D)和新建(N)等四项操作(Operation)，并把BO划分了P₀，P₁和P₂等三个处理阶段(Phase)，系统中定义了R₀，R₁，......，R_n等n个角色(Role)，假设用一张权限控制表定义权限，那么这张权限表实际上是一个三元组的集合，每个三元组是任意操作，阶段和角色的组合，比如组合<Q，P₀，R₂>表示角色R₂在阶段P₀有查询BO的权限。这种方法存在两个缺点：一是权限定义数据较多，需要更多的存储空间，对于有s项操作及m个阶段的业务，假设系统中有n个角色，则需要s×m×n个三元组；二是权限定义不方便且难以维护，需要为每个角色在每个阶段内定义权限，这是一项很耗时且易出错的工作。
发明内容
本发明的目的在于提供一种新的业务逻辑处理权限控制方法以及实现业务逻辑处理权限控制装置；以解决上述问题。
实现本发明目的之一的业务逻辑处理权限控制方法是：业务逻辑处理权限控制方法，它是把业务逻辑处理权限划分为空间域和时间域上的处理权限；空间域上是基于角色的处理权限，时间域上是基于阶段的处理权限；业务逻辑处理权限是空间域处理权限和时间域处理权限与运算的结果。
实现本发明目的之二的是业务逻辑处理权限控制装置，它包括空间域处理权限定义单元，时间域处理权限定义单元，权限读取单元和权限运算单元；所述空间域处理权限定义单元是基于角色的处理权限；所述时间域处理权限定义单元是是基于阶段的处理权限；权限读取单元负责读取待处理业务逻辑的空间域处理权限和时间域处理权限；权限运算单元用于对空间域处理权限定义单元和时间域处理权限定义单元进行与运算。
业务逻辑处理权限控制方法，把业务逻辑处理权限划分为空间域(Space Domain)和时间域(Time Domain)上的处理权限。空间域上是基于角色(Role)的处理权限，时间域上是基于阶段(Phase)的处理权限。空间域上的处理权限分为宏观处理权限(MacroProperty)和微观处理权限(Micro Property)。宏观处理权限控制对整个业务逻辑的处理权限；微观处理权限控制对业务逻辑每个属性的处理权限。宏观处理权限约束微观处理权限。时间域上的处理权限要求把业务逻辑的处理划分为多个阶段，每个阶段上定义业务逻辑的宏观处理权限和微观处理权限。
每项空间域处理权限是一个二元组<O，R>，表示角色R有执行O操作的权限；每项时间域处理权限也是一个二元组<O，P>，表示阶段P有执行O操作的权限。整个业务逻辑的权限是空间域处理权限和时间域处理权限的集合，也即二元组的集合。
定义权限中的每个操作之间的偏序关系，业务逻辑的最终处理权限是空间域处理权限和时间域处理权限与运算的结果。运算规则如下：
设有两项权限<O₁，P>和<O₂，R>，<O₁，P>表示在阶段P有执行O₁操作的权限，<O₂，R>表示角色R有执行O₂操作的权限，如果O₁和O₂之间的关系为O₁≥O₂，则最终的处理权限为<O₂，P，R>，即角色R在阶段P有执行O₁操作的权限。如果O₁和O₂之间的关系为O₁＜O₂，则最终的处理权限为<O₁，P，R>。
与传统的方法比较，本方法可在以下两个方面获得益处：
节省了权限定义数据。例如，一项业务有s项操作和m个处理阶段，假设系统中有n个角色，则对这项业务的权限定义，传统方法需要(s ×m×n)个三元组，而本方法需要((s+m)×n)个二元组。假设一个元组的每个分量需要1个单位的存储空间，则传统方法需要(3×s×m×n)个单位存储空间，本方法需要(2×(s+m)×n)个单位存储空间，在s和m为大于1的情况下(这是绝大部分情况)，显然有(3×s×m×n)＞(2×(s+m)×n)。
方便了权限定义。现在只需要在空间域上定义操作和角色关系二元组，在时间域上定义操作和阶段关系二元组，比原来定义操作，阶段和角色关系三元组简单得多。
该方法和装置使得权限的定义更加灵活和简捷，并且能够大幅减少权限定义数据，节省存储空间。
附图说明
图1是本发明实施例定义空间域上的权限的流程图。
图2是本发明实施例定义时间域上的权限的流程图。
图3是本发明实施例最终权限生成的流程图。
图4是本发明实施例业务逻辑处理权限控制装置结构图。
具体实施方式
为使本发明的目的、特征和优点能够更加明显易懂，下面结合附图和实施例对本发明作进一步的详细说明。
1.定义空间域上的处理权限，参照图1：
101：给每类业务逻辑关联角色，即定义哪些角色可能处理哪些业务逻辑。例如，对“订单”这项业务逻辑，关联角色“甲”，“乙”和“丙”，说明“甲”，“乙”和“丙”可能处理“订单”这项业务逻辑。
102：对关联的每个角色，分配宏观处理权限，例如，对“订单”这项业务逻辑，角色“甲”，“乙”和“丙”分别分配如表1所示的更新，删除，创建和查询等宏观处理权限。更新，删除，创建和查询操作的关系为：更新＝删除＝创建＞查询。
103：对关联的每个角色，分配处理业务逻辑的每个属性的微观处理权限。例如，对“订单”这项业务逻辑，假设它有“订单编号”，“下单时间”，“订单状态”，“截止时间”和“订单责任人”等属性，可给角色“甲”，“乙”和“丙”分别分配如表2所示的不可见，可读和可写等微观处理权限。不可见，可读和可写的关系为：可写＞可读＞不可见。
2.定义时间域上的处理权限，参照图2：
201：给每类业务逻辑划分阶段。例如，对“订单”这项业务逻辑，划分为“阶段1”，“阶段2”和“阶段3”等3个阶段。对不需要分阶段处理的业务逻辑，只有阶段1。
202：对每个阶段，定义该阶段上的宏观处理权限。例如，对“订单”这项业务逻辑的各个阶段，可定义如表3所示的宏观处理权限。
203：对每个阶段，定义该阶段上处理业务逻辑的每个属性的微观处理权限。例如，对“订单”这项业务逻辑的各个阶段，可以定义如表4所示的微观处理权限。
3.通过与运算生成最终处理权限，参照图3：
301：读取业务逻辑关联的空间域处理权限，包括宏观处理权限和微观处理权限；
302：读取业务逻辑关联的时间域处理权限，包括宏观处理权限和微观处理权限；
303：对宏观处理权限，执行空间域处理权限和时间域处理权限的与运算，生成最终的宏观处理权限；
304：对微观处理权限，执行空间域处理权限和时间域处理权限的与运算，生成最终的微观处理权限。
举例说明，对上述“订单”业务逻辑，按上述的举例定义了空间域和时间域的宏观和微观处理权限，如表1，表2，表3和表4所示，则“订单”这项业务逻辑的各阶段的最终处理权限如表5和表6所示。
下面结合附图和实施例对本发明所涉及的业务逻辑处理权限控制装置作进一步的说明。参照图4：
空间域处理权限定义单元401，为每类业务逻辑定义空间域上的处理权限。对每类业务逻辑，给相关角色分配宏观处理权限，同时分配角色对每个属性的微观处理权限。
时间域处理权限定义单元402，为每类业务逻辑划分阶段并定义每个阶段内的处理权限。对每类业务逻辑划分阶段，定义每个阶段的宏观处理权限，同时定义每个属性的微观处理权限。
权限读取单元403，负责读取待处理业务逻辑的空间域处理权
限和时间域处理权限。
权限运算单元404，将读取的两个域上的处理权限按上述运算规则进行与运算生成最后的处理权限。
表1