基于区块链的数据库访问权限控制方法及设备

摘要

本发明实施例提供一种基于区块链的数据库访问权限控制方法及设备。该方法包括：区块链的在网节点接收用户终端发送的数据库资源访问请求；区块链的在网节点根据访问权限记录的标识信息查找访问权限记录；若访问权限记录包括用户身份信息、所需访问的数据库资源的标识信息和访问方式，则区块链的在网节点将数据库资源访问请求发送给数据库服务器，以使用户终端从数据库服务器获取所需访问的数据库资源。数据库服务器只存储数据库资源，不存储用户的数据库资源访问权限的信息，避免中心化存储的方式被破坏与篡改而导致数据资源的访问权限可能被完全的泄露，提高了数据库中数据资源的安全性，以及用户终端访问权限的安全性。

权利要求

1.一种基于区块链的数据库访问权限控制方法，其特征在于，包括：区块链的在网节点接收用户终端发送的数据库资源访问请求，所述数据库资源访问请求包括：用户身份信息、访问权限记录的标识信息、所需访问的数据库资源的标识信息和所述用户终端对所述数据库资源的访问方式，其中，所述访问权限记录用于记录已被审核通过的用户对数据库资源的访问权限；

所述区块链的在网节点根据所述用户身份信息对所述用户终端的用户进行身份验证；

若对所述用户进行身份验证成功，则所述区块链的在网节点根据所述访问权限记录的标识信息查找所述访问权限记录，确定所述访问权限记录是否包括所述用户身份信息、所需访问的数据库资源的标识信息和所述访问方式；

若所述访问权限记录包括所述用户身份信息、所需访问的数据库资源的标识信息和所述访问方式，则所述区块链的在网节点将所述数据库资源访问请求发送给数据库服务器，以使所述用户终端从所述数据库服务器获取所需访问的数据库资源；

所述区块链的在网节点接收用户终端发送的数据库资源访问请求之前，还包括：所述区块链的在网节点将所述访问权限记录存储在所述区块链的最后一个区块；

所述区块链的最后一个区块包括前一个区块记录的真实有效的访问权限记录和新生成的访问权限记录。

2.根据权利要求1任一项所述的方法，其特征在于，还包括：

所述区块链的在网节点接收管理服务器发送的权限删除信息，所述权限删除信息用于删除目标用户对数据库资源的访问权限，所述管理服务器用于管理所述数据库服务器中的数据库资源；

所述区块链的在网节点从所述区块链的最后一个区块中删除所述目标用户对应的访问权限记录。

3.根据权利要求1任一项所述的方法，其特征在于，还包括：

所述区块链的在网节点接收管理服务器发送的权限修改信息，所述权限修改信息用于修改目标用户对数据库资源的访问权限，所述管理服务器用于管理所述数据库服务器中的数据库资源；

所述区块链的在网节点修改所述区块链的最后一个区块中所述目标用户对应的访问权限记录。

4.一种区块链的在网节点，其特征在于，包括：

接收模块，用于接收用户终端发送的数据库资源访问请求，所述数据库资源访问请求包括：用户身份信息、访问权限记录的标识信息、所需访问的数据库资源的标识信息和所述用户终端对所述数据库资源的访问方式，其中，所述访问权限记录用于记录已被审核通过的用户对数据库资源的访问权限；

验证模块，用于根据所述用户身份信息对所述用户终端的用户进行身份验证；

确定模块，用于当所述验证模块对所述用户进行身份验证成功时，根据所述访问权限记录的标识信息查找所述访问权限记录，确定所述访问权限记录是否包括所述用户身份信息、所需访问的数据库资源的标识信息和所述访问方式；

发送模块，用于当所述访问权限记录包括所述用户身份信息、所需访问的数据库资源的标识信息和所述访问方式时，将所述数据库资源访问请求发送给数据库服务器，以使所述用户终端从所述数据库服务器获取所需访问的数据库资源；

存储模块，用于在所述接收模块接收用户终端发送的数据库资源访问请求之前，将所述访问权限记录存储在所述区块链的最后一个区块；

所述区块链的最后一个区块包括前一个区块记录的真实有效的访问权限记录和新生成的访问权限记录。

5.根据权利要求4任一项所述的区块链的在网节点，其特征在于，所述接收模块还用于：接收管理服务器发送的权限删除信息，所述权限删除信息用于删除目标用户对数据库资源的访问权限，所述管理服务器用于管理所述数据库服务器中的数据库资源；

所述区块链的在网节点还包括：

删除模块，用于从所述区块链的最后一个区块中删除所述目标用户对应的访问权限记录。

6.根据权利要求4任一项所述的区块链的在网节点，其特征在于，所述接收模块还用于：接收管理服务器发送的权限修改信息，所述权限修改信息用于修改目标用户对数据库资源的访问权限，所述管理服务器用于管理所述数据库服务器中的数据库资源；

所述区块链的在网节点还包括：

修改模块，用于修改所述区块链的最后一个区块中所述目标用户对应的访问权限记录。

说明书

基于区块链的数据库访问权限控制方法及设备

技术领域

[0001] 本发明实施例涉及通信技术领域，尤其涉及一种基于区块链的数据库访问权限控制方法及设备。

背景技术

[0002] 数据库可用于存储各种数据资源,用户终端通过访问数据库访问数据资源,不同的用户终端可以访问的数据资源不同,例如,有些用户终端可以访问某个表,有些用户终端只能访问几个字段。

[0003] 不同用户终端对数据资源的访问权限是由root超级用户授予的,用户终端只有获得了root超级用户授予的访问权限,例如对数据表的访问权限、对CRUD的访问权限或者对字段的访问权限，才能在授予的权利范围内对数据库中的数据资源进行访问。另外,root超级用户还可以管理所有的数据资源。

[0004] 一旦root超级用户的用户名和密码被泄露，则数据库中的数据资源的访问权限可能被完全的泄露，用户终端访问数据资源的权限可能被随意更改，降低了数据库中数据资源的安全性，同时也降低了用户终端访问权限的安全性。

发明内容

[0005] 本发明实施例提供一种基于区块链的数据库访问权限控制方法及设备，以提高数据库中数据资源的安全性，以及用户终端访问权限的安全性。

[0006] 本发明实施例的一个方面是提供一种基于区块链的数据库访问权限控制方法，包括：

[0007] 区块链的在网节点接收用户终端发送的数据库资源访问请求，所述数据库资源访问请求包括：用户身份信息、访问权限记录的标识信息、所需访问的数据库资源的标识信息和所述用户终端对所述数据库资源的访问方式，其中，所述访问权限记录用于记录已被审核通过的用户对数据库资源的访问权限；

[0008] 所述区块链的在网节点根据所述用户身份信息对所述用户终端的用户进行身份验证；

[0009] 若对所述用户进行身份验证成功，则所述区块链的在网节点根据所述访问权限记录的标识信息查找所述访问权限记录，确定所述访问权限记录是否包括所述用户身份信息、所需访问的数据库资源的标识信息和所述访问方式；

[0010] 若所述访问权限记录包括所述用户身份信息、所需访问的数据库资源的标识信息和所述访问方式，则所述区块链的在网节点将所述数据库资源访问请求发送给数据库服务器，以使所述用户终端从所述数据库服务器获取所需访问的数据库资源。

[0011] 本发明实施例的另一个方面是提供一种区块链的在网节点，包括：

[0012] 接收模块，用于接收用户终端发送的数据库资源访问请求，所述数据库资源访问请求包括：用户身份信息、访问权限记录的标识信息、所需访问的数据库资源的标识信息和所述用户终端对所述数据库资源的访问方式，其中，所述访问权限记录用于记录已被审核通过的用户对数据库资源的访问权限；

[0013] 验证模块，用于根据所述用户身份信息对所述用户终端的用户进行身份验证；

[0014] 确定模块，用于当所述验证模块对所述用户进行身份验证成功时，根据所述访问权限记录的标识信息查找所述访问权限记录，确定所述访问权限记录是否包括所述用户身份信息、所需访问的数据库资源的标识信息和所述访问方式；

[0015] 发送模块，用于当所述访问权限记录包括所述用户身份信息、所需访问的数据库资源的标识信息和所述访问方式时，将所述数据库资源访问请求发送给数据库服务器，以使所述用户终端从所述数据库服务器获取所需访问的数据库资源。

[0016] 本发明实施例提供的基于区块链的数据库访问权限控制方法及设备，通过区块链的在网节点对用户终端发送的数据库资源访问请求进行验证，验证通过后，区块链的在网节点将数据库资源访问请求发送给数据库服务器，数据库服务器只存储数据库资源，不存储用户的数据库资源访问权限的信息，避免中心化存储的方式被破坏与篡改而导致数据资源的访问权限可能被完全的泄露，或者用户终端访问数据资源的权限被随意更改，提高了数据库中数据资源的安全性，以及用户终端访问权限的安全性。

附图说明

[0017] 图1为本发明实施例提供的基于区块链的数据库访问权限控制方法流程图；

[0018] 图2为本发明实施例提供的基于区块链的数据库访问权限控制方法适用的网络结构图；

[0019] 图3为本发明另一实施例提供的基于区块链的数据库访问权限控制方法流程图；

[0020] 图4为本发明另一实施例提供的基于区块链的数据库访问权限控制方法流程图；

[0021] 图5为本发明实施例提供的区块链的在网节点的结构图；

[0022] 图6为本发明另一实施例提供的区块链的在网节点的结构图。

具体实施方式

[0023] 图1为本发明实施例提供的基于区块链的数据库访问权限控制方法流程图。本发明实施例针对root超级用户的授权中心化，提供了基于区块链的数据库访问权限控制方法，该方法具体步骤如下：

[0024] 步骤S101、区块链的在网节点接收用户终端发送的数据库资源访问请求，所述数据库资源访问请求包括：用户身份信息、访问权限记录的标识信息、所需访问的数据库资源的标识信息和所述用户终端对所述数据库资源的访问方式，其中，所述访问权限记录用于记录已被审核通过的用户对数据库资源的访问权限。

[0025] 本实施例提供的基于区块链的数据库访问权限控制方法涉及到用户终端、管理服务器、数据库服务器和区块链的在网节点，其中，用户终端相当于数据库资源的申请者，管理服务器相当于数据库资源的拥有者，数据库服务器存储有数据库资源，管理服务器可以对数据库服务器中的数据库资源进行管理。

[0026] 在本实施例中，用户终端对数据库资源的访问权限需要通过管理服务器授予，具体的，用户终端向管理服务器发送权限申请信息，该权限申请信息包括该用户终端对应的用户身份信息、该用户终端所需访问的数据库资源的标识信息和该用户终端对所需访问的数据库资源的访问方式。该管理服务器接收到权限申请信息后，对用户身份信息进行验证，验证该用户身份信息是否真实，如果该用户身份信息真实，则管理服务器对该权限申请信息进行格式化处理，此处的格式化处理具体可以是：管理服务器在该权限申请信息中添加条件信息，该条件信息用于说明管理服务器对权限删除或修改的条件。管理服务器将格式化处理后的权限申请信息广播给区块链的在网节点，在本实施例中，区块链的在网节点可以是多个，也可以是一个，并不限定具体的个数。

[0027] 区块链的在网节点接收到格式化处理后的权限申请信息后，对格式化处理后的权限申请信息的发送方即管理服务器进行身份验证，具体的，采用非对称加密的数据签名对管理服务器进行身份验证，确保该权限申请信息的真实性。

[0028] 所有区块链在网节点将对一段时间内通过验证的权限申请信息进行广播确认。如果大部分在网节点例如51％(在其他实施例中，还可以是其他的比例阈值)的在网节点对该格式化处理后的权限申请信息审核通过，所述区块链的在网节点将所述访问权限记录存储在所述区块链的最后一个区块,如图2所示，该格式化处理后的权限申请信息被记录在新生成的区块即区块链的最后一个区块中，如图2所示，区块包括区块头和区块主体，区块主体包括：用户标识、数据资源编号、访问权限和删除修改条件。另外，区块链在网节点还可以在区块链的最后一个区块中进行访问权限增加、访问权限删除、访问权限修改等操作。

[0029] 在本实施例中，新生成的区块具体可以包括上一区块中记录的真实有效的访问权限记录和新生成的访问权限记录，并且新生成的区块将被连接到区块链的末端，即所述区块链的最后一个区块包括前一个区块记录的真实有效的访问权限记录和新生成的访问权限记录，因此，区块链末端区块可以保存所有用户的数据库资源访问权限的信息。另外，区块链的在网节点可以保存该区块链的副本，以此保证用户访问权限的真实，防止用户权限被篡改。

[0030] 在本实施例中，区块链上每一条访问权限记录包括：用户公钥身份标识、数据库数据资源编号、对应的访问权限。每一条访问权限记录对应有一个标识信息，例如每一条访问权限记录对应有一个编号。

[0031] 当某个用户需要通过用户终端访问数据库资源时，用户终端向区块链的在网节点发送数据库资源访问请求，该数据库资源访问请求包括：用户身份信息、访问权限记录的标识信息、所需访问的数据库资源的标识信息和所述用户终端对所述数据库资源的访问方式，该访问方式包括如下至少一种：读、写、修改等操作。其中，所述访问权限记录用于记录已被审核通过的用户对数据库资源的访问权限。

[0032] 步骤S102、所述区块链的在网节点根据所述用户身份信息对所述用户终端的用户进行身份验证。

[0033] 所述区块链的在网节点接收到该数据库资源访问请求后，根据该数据库资源访问请求中的用户身份信息对所述用户终端的用户进行身份验证，具体的，所述区块链的在网节点通过数字签名的方式验证用户的合法身份。

[0034] 步骤S103、若对所述用户进行身份验证成功，则所述区块链的在网节点根据所述访问权限记录的标识信息查找所述访问权限记录，确定所述访问权限记录是否包括所述用户身份信息、所需访问的数据库资源的标识信息和所述访问方式。

[0035] 如果区块链的在网节点对所述用户终端的用户身份验证成功，则区块链的在网节点根据该数据库资源访问请求中的访问权限记录的标识信息查找所述访问权限记录，由于区块链上每一条访问权限记录包括：用户公钥身份标识、数据库数据资源编号、对应的访问权限，则区块链的在网节点判断其查找到的所述访问权限记录是否包括该数据库资源访问请求中的所述用户身份信息、所需访问的数据库资源的标识信息和所述访问方式。

[0036] 步骤S104、若所述访问权限记录包括所述用户身份信息、所需访问的数据库资源的标识信息和所述访问方式，则所述区块链的在网节点将所述数据库资源访问请求发送给数据库服务器，以使所述用户终端从所述数据库服务器获取所需访问的数据库资源。

[0037] 如果区块链的在网节点查找到的所述访问权限记录包括该数据库资源访问请求中的所述用户身份信息、所需访问的数据库资源的标识信息和所述访问方式,则说明所述区块链的最后一个区块存储有该用户的数据库资源访问权限的信息。进一步的，所述区块链的在网节点将所述数据库资源访问请求发送给数据库服务器，在本实施例中，数据库服务器只存储数据库资源，不存储用户的数据库资源访问权限的信息，数据库服务器接收到区块链的在网节点发送的数据库资源访问请求后，用户终端从所述数据库服务器获取所需访问的数据库资源。如图2所示，用户终端21可访问数据库资源。

[0038] 本发明实施例通过区块链的在网节点对用户终端发送的数据库资源访问请求进行验证，验证通过后，区块链的在网节点将数据库资源访问请求发送给数据库服务器，数据库服务器只存储数据库资源，不存储用户的数据库资源访问权限的信息，避免中心化存储的方式被破坏与篡改而导致数据资源的访问权限可能被完全的泄露，或者用户终端访问数据资源的权限被随意更改，提高了数据库中数据资源的安全性，以及用户终端访问权限的安全性。

[0039] 图3为本发明另一实施例提供的基于区块链的数据库访问权限控制方法流程图。在上述实施例的基础上,基于区块链的数据库访问权限控制方法还包括如下步骤：

[0040] 步骤S301、所述区块链的在网节点接收管理服务器发送的权限删除信息，所述权限删除信息用于删除目标用户对数据库资源的访问权限，所述管理服务器用于管理所述数据库服务器中的数据库资源。

[0041] 如图2所示，每个用户对应的访问权限记录包括删除或修改条件，当目标用户对应的访问权限记录满足删除条件时，管理服务器向区块链的在网节点发送权限删除信息，该权限删除信息用于删除目标用户对数据库资源的访问权限，具体的，删除区块链的最后一个区块中目标用户对应的访问权限记录。

[0042] 步骤S302、所述区块链的在网节点从所述区块链的最后一个区块中删除所述目标用户对应的访问权限记录。

[0043] 区块链的在网节点从所述区块链的最后一个区块中查找到目标用户对应的访问权限记录，并对该目标用户对应的访问权限记录进行删除，当再次生成新的区块时，该新的区块中将不包括该目标用户对应的访问权限记录，从而可以保证新生成的区块一直继承其上一区块中真实有效的访问权限记录。

[0044] 图4为本发明另一实施例提供的基于区块链的数据库访问权限控制方法流程图。在上述实施例的基础上,基于区块链的数据库访问权限控制方法还包括如下步骤：

[0045] 步骤S401、所述区块链的在网节点接收管理服务器发送的权限修改信息，所述权限修改信息用于修改目标用户对数据库资源的访问权限，所述管理服务器用于管理所述数据库服务器中的数据库资源。

[0046] 如图2所示，每个用户对应的访问权限记录包括删除或修改条件，当目标用户对应的访问权限记录满足修改条件时，管理服务器向区块链的在网节点发送权限修改信息，该权限修改信息用于修改目标用户对数据库资源的访问权限，具体的，修改区块链的最后一个区块中目标用户对应的访问权限记录。

[0047] 步骤S402、所述区块链的在网节点修改所述区块链的最后一个区块中所述目标用户对应的访问权限记录。

[0048] 区块链的在网节点从所述区块链的最后一个区块中查找到目标用户对应的访问权限记录，并对该目标用户对应的访问权限记录进行修改，当再次生成新的区块时，该新的区块中将包括修改后的访问权限记录，从而可以保证新生成的区块一直继承其上一区块中真实有效的访问权限记录。

[0049] 图5为本发明实施例提供的区块链的在网节点的结构图。本发明实施例提供的区块链的在网节点可以执行基于区块链的数据库访问权限控制方法实施例提供的处理流程，如图5所示，区块链的在网节点50包括：接收模块51、验证模块52、确定模块53、发送模块54，其中，接收模块51用于接收用户终端发送的数据库资源访问请求，所述数据库资源访问请求包括：用户身份信息、访问权限记录的标识信息、所需访问的数据库资源的标识信息和所述用户终端对所述数据库资源的访问方式，其中，所述访问权限记录用于记录已被审核通过的用户对数据库资源的访问权限；验证模块52用于根据所述用户身份信息对所述用户终端的用户进行身份验证；确定模块53用于当所述验证模块对所述用户进行身份验证成功时，根据所述访问权限记录的标识信息查找所述访问权限记录，确定所述访问权限记录是否包括所述用户身份信息、所需访问的数据库资源的标识信息和所述访问方式；发送模块54用于当所述访问权限记录包括所述用户身份信息、所需访问的数据库资源的标识信息和所述访问方式时，将所述数据库资源访问请求发送给数据库服务器，以使所述用户终端从所述数据库服务器获取所需访问的数据库资源。

[0050] 本发明实施例提供的区块链的在网节点可以具体用于执行上述图1和图2所提供的方法实施例，具体功能此处不再赘述。

[0051] 本发明实施例通过区块链的在网节点对用户终端发送的数据库资源访问请求进行验证，验证通过后，区块链的在网节点将数据库资源访问请求发送给数据库服务器，数据库服务器只存储数据库资源，不存储用户的数据库资源访问权限的信息，避免中心化存储的方式被破坏与篡改而导致数据资源的访问权限可能被完全的泄露，或者用户终端访问数据资源的权限被随意更改，提高了数据库中数据资源的安全性，以及用户终端访问权限的安全性。

[0052] 图6为本发明另一实施例提供的区块链的在网节点的结构图。在上述实施例的基础上，区块链的在网节点50还包括：存储模块55，存储模块55用于在接收模块51接收用户终端发送的数据库资源访问请求之前，将所述访问权限记录存储在所述区块链的最后一个区块。

[0053] 另外，所述区块链的最后一个区块包括前一个区块记录的真实有效的访问权限记录和新生成的访问权限记录。

[0054] 此外，接收模块51还用于：接收管理服务器发送的权限删除信息，所述权限删除信息用于删除目标用户对数据库资源的访问权限，所述管理服务器用于管理所述数据库服务器中的数据库资源；区块链的在网节点50还包括：删除模块56，删除模块56用于从所述区块链的最后一个区块中删除所述目标用户对应的访问权限记录。

[0055] 或者，接收模块51还用于：接收管理服务器发送的权限修改信息，所述权限修改信息用于修改目标用户对数据库资源的访问权限，所述管理服务器用于管理所述数据库服务器中的数据库资源；区块链的在网节点50还包括：修改模块57，修改模块57用于修改所述区块链的最后一个区块中所述目标用户对应的访问权限记录。

[0056] 本发明实施例提供的区块链的在网节点可以具体用于执行上述图3或图4所提供的方法实施例，具体功能此处不再赘述。

[0057] 本发明实施例通过区块链的在网节点对用户终端发送的数据库资源访问请求进行验证，验证通过后，区块链的在网节点将数据库资源访问请求发送给数据库服务器，数据库服务器只存储数据库资源，不存储用户的数据库资源访问权限的信息，避免中心化存储的方式被破坏与篡改而导致数据资源的访问权限可能被完全的泄露，或者用户终端访问数据资源的权限被随意更改，提高了数据库中数据资源的安全性，以及用户终端访问权限的安全性。

[0058] 综上所述，本发明实施例通过区块链的在网节点对用户终端发送的数据库资源访问请求进行验证，验证通过后，区块链的在网节点将数据库资源访问请求发送给数据库服务器，数据库服务器只存储数据库资源，不存储用户的数据库资源访问权限的信息，避免中心化存储的方式被破坏与篡改而导致数据资源的访问权限可能被完全的泄露，或者用户终端访问数据资源的权限被随意更改，提高了数据库中数据资源的安全性，以及用户终端访问权限的安全性。

[0059] 在本发明所提供的几个实施例中，应该理解到，所揭露的装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

[0060] 所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

[0061] 另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用硬件加软件功能单元的形式实现。

[0062] 上述以软件功能单元的形式实现的集成的单元，可以存储在一个计算机可读取存储介质中。上述软件功能单元存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)或处理器(processor)执行本发明各个实施例所述方法的部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

[0063] 本领域技术人员可以清楚地了解到，为描述的方便和简洁，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将装置的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。上述描述的装置的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

[0064] 最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。