[发明专利]一种基于运行时HOOK的WEB系统行列细粒度访问控制方法

说明书

本发明涉及一种基于运行时HOOK的WEB系统行列细粒度访问控制方法，属于访问控制领域。本发明实现相同角色不同用户执行相同的SQL语句，随配置标签属性变化而具备不同的访问权限，从数据行、数据列两维度动态完成数据的最小权限原则落地，进面获取符合既定安全策略的数据集，避免数据越权导致数据泄露。行级访问控制特性将数据库表访问控制精确到数据表行级别，使数据库达到行级访问控制的能力。列级访问控制特性将数据库表访问控制精确到数据表列级别，基于标签的安全策略，实现对列级别敏感数据的访问，使用数据库达到列级访问控制的能力，不同用户执行相同的SQL查询操作，读取到的结果集列信息是不同的。

技术领域

本发明属于访问控制领域，具体涉及一种基于运行时HOOK的WEB系统行列细粒度访问控制方法，特别涉及运行时环境注入技术，并基于配置形成的主客体标签，将数据库访问控制精确到数据行级别、列级别。

背景技术

数据库访问控制，用于防止非法用户进入系统及合法用户对系统资源的非法使用，它保证主体对客体的所有直接访问都是经过授权的。通俗说访问控制机制就是决定用户及代表一定用户利益的程序能做什么。安全访问控制的三要素包括主体(一个能够访问对象的实体，如通常为进程或用户)、客体(被访问的对象，如文件，数据库、表、元组、属性等)、访问权限(是指主体对客体可进行的特定访问操作。如读、写、执行等)，目前应用系统主要采用基于RBAC模型的访问控制，RBAC在用户和权限之间引入了“角色(Role)”的概念，每个用户关联一个或多个角色，每个角色关联一个或多个权限。

RBAC一般用于粗粒度的权限控制，每个角色都被分配了一系列的权限和限制，不需要跟踪每个系统用户以及相关属性，只需要更新相应的角色，将角色分配给用户，或者删除分配，RBAC具有固定的访问权限，没有规定短暂的权限，也没有考虑位置、时间或设备等属性。

随着业务系统复杂度的增加，需要在相对固定的角色机制下，通过简单、便利的方式，动态调整相同角色下的不同用户可访问、可操作的数据集。安全标签组件是一种数据库对象，表示用于确定用户是否应该访问数据块的条件。例如，条件可以是用户是否在特定部门中或他们是否在完成特定项目。安全策略描述的是用来确定哪些用户能够访问哪些数据的条件。安全策略包含一个或多个安全标签组件。对于任何一个表，只能使用一个安全策略来保护它，但不同的表可以由不同的安全策略保护。

一旦创建安全标签，就可以使其与各个表列和表行相关联以保护存放在那些位置中的数据。受安全标签保护的数据称为受保护数据。通过将安全标签授予用户来允许该用户访问受保护数据。当用户尝试访问受保护数据时，该用户的安全标签将与用于保护该数据的安全标签进行比较。用于进行保护的标签将阻塞一部分安全标签。

发明内容

(一)要解决的技术问题

本发明要解决的技术问题是如何提供一种基于运行时HOOK的WEB系统行列细粒度访问控制方法，以解决如何利用第三方技术手段，在不改变应用程序代码的前提下，实现相同角色不同用户执行相同的SQL语句，随配置标签属性变化而具备不同的访问权限的问题。

(二)技术方案

为了解决上述技术问题，本发明提出一种基于运行时HOOK的WEB系统行列细粒度访问控制系统，该系统包括服务端、客户端两部分，服务端包括元数据维护模块、RPC数据通讯模块和策略配置模块，客户端端包括RPCClient、JavaAgent和策略判断引擎；

元数据维护模块：WEB侧提供三种方式用于获取业务系统库、表、列相关元数据以及业务系统用户信息，用户元数据作为主体存在，库、表、列元数据作为客体存在，主体即业务系统中的用户，客体即即业务系统中数据库表、列相关名称；

RPC数据通讯模块：服务端支持若干业务系统行列访问控制，以心跳线程、策略线程为基准，区分不同业务系统的同时完成数据信息的下发以及回传数据的接收；