專利名稱：鑒權(quán)和認(rèn)證方法及系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及通信領(lǐng)域，尤其涉及鑒權(quán)和認(rèn)證方法及系統(tǒng)。
背景技術(shù)：
操作維護(hù)中心(operation maintenance center，簡稱為0MC)由于采用客戶端和 服務(wù)端架構(gòu)而導(dǎo)致OMC系統(tǒng)可能受到以下的安全威脅偽裝，一個實體偽裝成一個OMC的客 戶端來進(jìn)行操作請求；偷聽，安全數(shù)據(jù)被竊聽；未授權(quán)訪問，服務(wù)器的資源被客戶端未授權(quán) 的任意訪問；丟失或損壞，傳遞的大批量數(shù)據(jù)丟失或是損壞；否認(rèn)，用戶否認(rèn)其進(jìn)行過某項 操作；以及偽造和拒絕服務(wù)。此外，攻擊可能來自網(wǎng)絡(luò)內(nèi)部如不滿的職員，也可能來自網(wǎng)絡(luò) 外部如黑客。在目前的OMC系統(tǒng)中，對于偽裝，未授權(quán)訪問還是不能非常好地進(jìn)行控制，主要原 因是在OMC中，用戶在登錄時通過服務(wù)器認(rèn)證得到用戶的權(quán)限，然后緩存在客戶端，如果 用戶的權(quán)限發(fā)生了改變，則進(jìn)行廣播通知更新客戶端相應(yīng)的權(quán)限。此后，用戶鑒權(quán)就是在客 戶端來完成的。此時，如果有人開發(fā)出自己的一個客戶端，繞過客戶端的鑒權(quán)，直接發(fā)起本 來沒有權(quán)限發(fā)起的操作，是完全是可以做到的。目前OMC的權(quán)限模型主要結(jié)構(gòu)是用戶組(UserGroup)與分別網(wǎng)元(Domain)(網(wǎng)元 可以是無線網(wǎng)絡(luò)控制器(RNC)、N0DEB節(jié)點等)用戶(User)相關(guān)聯(lián)，然后操作(Operation) 與用戶組(UserGroup)相關(guān)聯(lián)。雖然這種模型結(jié)構(gòu)處理起來比較方便，但在有些情景下處理得并不是很好，例如 用戶組G管理的Domain中包含RNCl和RNC2，同時針對RNC的操作有OPl和0P2，用戶組G 中有用戶Ul和U2，如果用戶Ul對RNCl的可發(fā)起的操作有OP 1和0P2，U2對RNC2的操作 只能是OP1。目前在OMC V3中，權(quán)限的基本實現(xiàn)方式是先確定用戶組管理的網(wǎng)元，然后確定用 戶組針對RNC的操作，最后將用戶分配到用戶組。在確認(rèn)一個用戶的權(quán)限時，先查到用戶組，然后確定用戶可以發(fā)起的操作以及管 理的網(wǎng)元類型。這個過程主要在用戶登錄的時候完成，之后將該用戶的信息緩存在客戶端， 大部分的操作以后僅僅在客戶端鑒權(quán)。從上可以看出，現(xiàn)有技術(shù)存在以下缺點細(xì)粒度的權(quán)限處理的不充分；服務(wù)器端 沒有做相應(yīng)的安全校驗，安全性不夠，用戶可以不通過運營商提供的客戶端而和運營商提 供的服務(wù)端進(jìn)行通信，這樣就繞過了客戶端的安全檢驗。

因此，需要能夠完支持細(xì)粒度的權(quán)限控制并能夠完成服務(wù)器端的認(rèn)證和鑒權(quán)的方 法和系統(tǒng)。

發(fā)明內(nèi)容
考慮到上述問題而做出本發(fā)明。根據(jù)本發(fā)明的一個方面，提供了一種鑒權(quán)和認(rèn)證方法，包括預(yù)先配置權(quán)限模型和配置文件，其中，權(quán)限模型用于定義權(quán)限數(shù)據(jù)存儲；以及當(dāng)客戶端調(diào)用服務(wù)器端的業(yè)務(wù)方法 時，服務(wù)器根據(jù)權(quán)限模型和配置文件進(jìn)行認(rèn)證和鑒權(quán)處理。此外，所述認(rèn)證和鑒權(quán)處理包括客戶端發(fā)起對服務(wù)器端的業(yè)務(wù)方法的調(diào)用請求； 服務(wù)器端的面向方面的編程切面攔截調(diào)用請求；面向方面的編程切面調(diào)用認(rèn)證管理器，以 確定是否能夠通過認(rèn)證；在通過認(rèn)證的情況下，面向方面的編程切面調(diào)用授權(quán)管理器，以確 定是否能夠通過授權(quán)；以及在通過授權(quán)的情況下，服務(wù)器允許客戶端對業(yè)務(wù)方法進(jìn)行調(diào)用。
另外，認(rèn)證管理器中的處理包括接收認(rèn)證請求；調(diào)用根據(jù)配置文件決定的認(rèn)證 管理器的認(rèn)證方法以及統(tǒng)計認(rèn)證管理器列表中的每個認(rèn)證器的返回值來確定是否通過認(rèn) 證。另外，授權(quán)管理器中的處理包括接收授權(quán)請求；調(diào)用根據(jù)配置文件決定的訪問 決策管理器的決策方法；以及統(tǒng)計訪問決策管理器的列表中的每個訪問決策投票器的返回 值來確定是否通過授權(quán)。優(yōu)選地，在一個業(yè)務(wù)方法可能被多個操作調(diào)用的情況下，利用授權(quán)管理器中設(shè)置 的訪問決策調(diào)用回叫接口來決定用戶是否有權(quán)調(diào)用該業(yè)務(wù)方法。優(yōu)選地，將權(quán)限模型配置為用戶與用戶組關(guān)聯(lián)，用戶組與權(quán)限關(guān)聯(lián)，權(quán)限與網(wǎng)元 和操作關(guān)聯(lián)。優(yōu)選地，將權(quán)限模型配置為用戶與用戶組關(guān)聯(lián)，用戶組與權(quán)限關(guān)聯(lián)，權(quán)限與網(wǎng)元 組和操作組關(guān)聯(lián)，網(wǎng)元與網(wǎng)元組關(guān)聯(lián)，以及操作與操作組關(guān)聯(lián)。優(yōu)選地，配置文件配置一個安全服務(wù)器對象，在安全服務(wù)器對象上設(shè)置認(rèn)證方式、 授權(quán)方式，同時設(shè)置各種統(tǒng)計策略、緩存策略、加密策略等。優(yōu)選地，配置文件提供了操作和業(yè)務(wù)方法的映射關(guān)系。根據(jù)本發(fā)明的另一方面，提供了一種鑒權(quán)和認(rèn)證系統(tǒng)，包括權(quán)限模型配置裝置， 用于預(yù)先配置權(quán)限模型，權(quán)限模型用于定義權(quán)限數(shù)據(jù)存儲；配置文件配置裝置，用于預(yù)先配 置配置文件；客戶端，用于調(diào)用服務(wù)器端的業(yè)務(wù)方法；以及服務(wù)器，用于當(dāng)客戶端調(diào)用業(yè)務(wù) 方法時，根據(jù)權(quán)限模型和配置文件進(jìn)行認(rèn)證和鑒權(quán)處理。此外，服務(wù)器還包括調(diào)用請求接收裝置，用于接收由客戶端發(fā)起的對服務(wù)器端的 業(yè)務(wù)方法的調(diào)用請求；服務(wù)器端的面向方面的編程切面，攔截調(diào)用請求；認(rèn)證管理器，面向 方面的編程切面調(diào)用認(rèn)證管理器，以確定是否能夠通過認(rèn)證；授權(quán)管理器，用于在通過認(rèn)證 的情況下，面向方面的編程切面調(diào)用授權(quán)管理器，以確定是否能夠通過授權(quán)；以及業(yè)務(wù)方法 返回裝置，用于在通過授權(quán)的情況下，客戶端調(diào)用所要求的業(yè)務(wù)方法。另外，認(rèn)證管理器中還包括認(rèn)證請求接收裝置，用于接收認(rèn)證請求；調(diào)用裝置， 調(diào)用根據(jù)配置文件決定的認(rèn)證管理器的認(rèn)證方法；以及統(tǒng)計裝置，統(tǒng)計認(rèn)證管理器列表中 的每個認(rèn)證器的返回值來確定是否通過認(rèn)證。另外，授權(quán)管理器還包括授權(quán)請求接收裝置，接收授權(quán)請求；調(diào)用裝置，調(diào)用根 據(jù)配置文件決定的訪問決策管理器的決策方法；以及統(tǒng)計裝置，統(tǒng)計訪問決策管理器的列 表中的每個訪問決策投票器的返回值來確定是否通過授權(quán)。優(yōu)選地，在一個業(yè)務(wù)方法可能被多個操作調(diào)用的情況下，利用授權(quán)管理器中設(shè)置 的訪問決策調(diào)用回叫接口來決定用戶是否有權(quán)調(diào)用該業(yè)務(wù)方法。優(yōu)選地，將權(quán)限模型配置為用戶與用戶組關(guān)聯(lián)，用戶組與權(quán)限關(guān)聯(lián)，權(quán)限與網(wǎng)元和操作關(guān)聯(lián)。優(yōu)選地，將權(quán)限模型配置為用戶與用戶組關(guān)聯(lián)，用戶組與權(quán)限關(guān)聯(lián)，權(quán)限與網(wǎng)元組和操作組關(guān)聯(lián)，網(wǎng)元與網(wǎng)元組關(guān)聯(lián)，以及操作與操作組關(guān)聯(lián)。優(yōu)選地，配置文件配置一個安全服務(wù)器對象，在安全服務(wù)器對象上設(shè)置認(rèn)證方式、 授權(quán)方式，同時設(shè)置各種統(tǒng)計策略、緩存策略、加密策略等。優(yōu)選地，配置文件提供了操作和業(yè)務(wù)方法的映射關(guān)系。通過本發(fā)明的技術(shù)方案，能夠支持細(xì)粒度的權(quán)限控制，同時能夠在服務(wù)器端以AOP 的方式實現(xiàn)可插拔的權(quán)限控制。本發(fā)明的其它特征和優(yōu)點將在隨后的說明書中闡述，并且，部分地從說明書中變 得顯而易見，或者通過實施本發(fā)明而了解。本發(fā)明的目的和其他優(yōu)點可通過在所寫的說明 書、權(quán)利要求書、以及附圖中所特別指出的結(jié)構(gòu)來實現(xiàn)和獲得。


此處所說明的附圖用來提供對本發(fā)明的進(jìn)一步理解，構(gòu)成本申請的一部分，本發(fā) 明的示意性實施例及其說明用于解釋本發(fā)明，并不構(gòu)成對本發(fā)明的不當(dāng)限定。在附圖中圖1是示出現(xiàn)有技術(shù)中的OMC的權(quán)限模型的結(jié)構(gòu)的示圖；圖2是示出根據(jù)本發(fā)明的鑒權(quán)和認(rèn)證方法的流程圖；圖3是示出根據(jù)本發(fā)明的鑒權(quán)和認(rèn)證系統(tǒng)的結(jié)構(gòu)框圖；圖4是示出根據(jù)本發(fā)明實施例的OMC的權(quán)限模型的結(jié)構(gòu)的示圖；圖5是示出根據(jù)本發(fā)明另一實施例的OMC的權(quán)限模型的結(jié)構(gòu)的示圖；圖6是示出根據(jù)本發(fā)明實施例的鑒權(quán)和認(rèn)證方法的具體流程圖；圖7是示出根據(jù)本發(fā)明實施例的認(rèn)證管理器中的調(diào)用過程的示圖；以及圖8是示出根據(jù)本發(fā)明實施例的授權(quán)管理器中的調(diào)用過程的示圖。
具體實施例方式下面將結(jié)合附圖來詳細(xì)說明本發(fā)明的實施例。圖2是示出根據(jù)本發(fā)明的鑒權(quán)和認(rèn)證方法的流程圖。參照圖2，根據(jù)本發(fā)明的鑒權(quán)和認(rèn)證方法包括步驟S202，預(yù)先配置權(quán)限模型和配 置文件，其中，權(quán)限模型用于定義權(quán)限數(shù)據(jù)存儲；步驟S204，當(dāng)客戶端調(diào)用服務(wù)器端的業(yè)務(wù) 方法時，服務(wù)器根據(jù)權(quán)限模型和配置文件進(jìn)行認(rèn)證和鑒權(quán)處理。圖3是示出根據(jù)本發(fā)明的鑒權(quán)和認(rèn)證系統(tǒng)的結(jié)構(gòu)框圖。參照圖3，根據(jù)本發(fā)明的鑒權(quán)和認(rèn)證系統(tǒng)30包括權(quán)限模型配置裝置302，用于預(yù) 先配置權(quán)限模型，權(quán)限模型用于定義權(quán)限數(shù)據(jù)存儲；配置文件配置裝置304，用于預(yù)先配置 配置文件；客戶端306，用于調(diào)用服務(wù)器端的業(yè)務(wù)方法；以及服務(wù)器308，用于當(dāng)客戶端306 調(diào)用業(yè)務(wù)方法時，根據(jù)權(quán)限模型和配置文件進(jìn)行認(rèn)證和鑒權(quán)處理。下面參照圖4至圖8對本發(fā)明的實施例進(jìn)行具體描述。本發(fā)明主要是以O(shè)MC安全為基礎(chǔ)的，中心思想就是能夠根據(jù)建立的安全模型完成 較細(xì)粒度的安全控制，同時根據(jù)建立的安全框架能夠完成服務(wù)器端的認(rèn)證和鑒權(quán)。因此，首先需要考慮如何建立細(xì)粒度控制的安全模型。
圖4是示出根據(jù)本發(fā)明實施例的OMC的權(quán)限模型的結(jié)構(gòu)的示圖。參照圖4，將模型配置為權(quán)限分別與用戶組、網(wǎng)元和操作相關(guān)聯(lián)，用戶與用戶組 相關(guān)聯(lián)，以及網(wǎng)元與表示用戶是否能操作網(wǎng)元的條件相關(guān)聯(lián)。 具體地，圖中各類的含義如下=User指的是系統(tǒng)中的用戶；UserGroup是指用戶 組，權(quán)限是分配在用戶組上的，用戶組中的用戶擁有該用戶組上分配的權(quán)限，一個用戶組可 以包含多個用戶，一個用戶也可以屬于多個用戶組；Domain指的是OMC中的網(wǎng)元，如RNC， NODEB等；Operation 代表一個操作；Perminssion 代表一個權(quán)限，表示在Domain上的一 個Operation形成一個Perminssion ；Properties是設(shè)置在Domain上的條件，可用于在進(jìn) 行業(yè)務(wù)操作時進(jìn)行更細(xì)粒度的判斷用戶是否能操作Domain。將該模型與現(xiàn)有模型相比，該模型中Domain并沒有分配在用戶組上，而是和 Perminssion 關(guān)聯(lián)，Perminssion 再禾口 UserGroup 關(guān)聯(lián)，同時 Perminssion 還禾口 Operation 關(guān)聯(lián)，這樣就能解決上面例舉的問題，即，用戶組G管理的Domain中包含RNCl和RNC2，同時 針對RNC的操作有OP 1和0P2，用戶組G中有用戶Ul和U2，如果用戶Ul對RNCl的可發(fā)起 的操作有OPl和0P2，U2對RNC2發(fā)起的操作只能是OP 1。例如，對于這種問題，可以將對RNC 1和RNC2的操作OPl和0P2，組裝成4個 permission,即RNC 1 和 OP 1 設(shè)為 Pl，RNC 1 和 0P2 設(shè)為 P2，RNC2 和 OPl 設(shè)為 P3，RNC2 和 0P2設(shè)為P4。同時，可以建立用戶組G1，將Pl和P2權(quán)限分配給G1，且Gl中包含用戶U1，這 樣Ul就具有對RNCl發(fā)起的操作OPl和0P2 ；同理，可以建立用戶組G2，將P3設(shè)置到用戶組 G2中，G2中包含用戶U2，這樣U2對RNC2發(fā)起的操作就是OP 1。圖5是示出根據(jù)本發(fā)明另一實施例的OMC的權(quán)限模型的結(jié)構(gòu)的示圖。參照圖5，將權(quán)限模型配置為權(quán)限分別與用戶組、網(wǎng)元組和操作組相關(guān)聯(lián)，用戶 與用戶組相關(guān)聯(lián)，操作與操作組相關(guān)聯(lián)，網(wǎng)元與網(wǎng)元組相關(guān)聯(lián)，以及網(wǎng)元與表示用戶是否能 操作網(wǎng)元的條件相關(guān)聯(lián)。具體地，如果考慮界面用戶人員使用方便可以在該模型上擴(kuò)展，設(shè)置Role (包含 一組操作)和DomainSet (包含一組網(wǎng)元)，在Permission中設(shè)置操作組和網(wǎng)元組的關(guān)系。 該結(jié)構(gòu)實質(zhì)上只是在圖4的基礎(chǔ)上將Operation和Domain分組，方便用戶在界面上的權(quán)限 分配，能和圖4 一樣達(dá)到細(xì)粒度的權(quán)限控制的目的。圖6是示出根據(jù)本發(fā)明實施例的鑒權(quán)和認(rèn)證方法的具體流程圖。在配置完權(quán)限模型之后，客戶端在調(diào)用服務(wù)器端的業(yè)務(wù)方法的時候，安全AOP切 面可以使用該權(quán)限模型向服務(wù)器端要求進(jìn)行鑒權(quán)認(rèn)證。服務(wù)器的權(quán)限控制是以IOC(依賴注入，目的就是解耦對象之間的依賴)和AOP的 思想為基礎(chǔ)的。光有細(xì)粒度的權(quán)限處理還是不夠的，如上所述，尤其是在c/s(客戶端/服 務(wù)器)系統(tǒng)中，如果僅在客戶端做權(quán)限校驗是存在弊端的。因此，服務(wù)器端的權(quán)限方案，應(yīng)該能夠達(dá)到以下兩個要求1)不能為了實現(xiàn)服務(wù)器的權(quán)限，改變服務(wù)器的業(yè)務(wù)接口，也就是不能將安全需要 用到的信息在接口傳遞。因為如果這樣做的話，會使安全和業(yè)務(wù)混在一起，從而不方便以后 的維護(hù)，并且其安全沒有統(tǒng)一地被管理。因此，為了實現(xiàn)該目的，可以使用AOP的實現(xiàn)，安全 本質(zhì)上就是系統(tǒng)中可以抽出來進(jìn)行公共處理的一個方面，這剛好符合AOP的使用場景；2)應(yīng)該可插拔，也就是說能夠方便更換用戶的認(rèn)證方式、更換用戶的授權(quán)方式、更換用戶的加密算法、緩存方式等，因此用IOC的思想來實現(xiàn)最合適不過了。具體地，參照圖6，根據(jù)事先配置的配置文件(稍后進(jìn)行詳細(xì)描述)確定是否向服 務(wù)器調(diào)用業(yè)務(wù)方法，調(diào)用過程如下首先，客戶端發(fā)起請求；接下來，AOP切面攔截該請求； 此后，AOP切面在服務(wù)器端調(diào)用認(rèn)證管理器組件，如果不能通過就會提示用戶認(rèn)證失敗；如 果通過認(rèn)證，則AOP切面就會在服務(wù)器端調(diào)用授權(quán)管理器組件，如果不能通過就會提示用 戶授權(quán)失??；如果通過授權(quán)，則調(diào)用業(yè)務(wù)方法得到返回值。以下參照圖7和圖8分別描述認(rèn)證管理器和授權(quán)管理器中的調(diào)用過程的示圖。參照圖7，認(rèn)證管理器中的調(diào)用過程如下首先，接收認(rèn)證請求；

然后，調(diào)用AuthenticationManager實現(xiàn)類的認(rèn)證方法，提供默認(rèn)實現(xiàn)類 Proν i derManager ；其中，在 ProviderManager 中包含一個集合 List<AuthenticationProvider>， AuthenticationProvider— ^hiAilE authenticate JJ 法’ @ jlfc,
在調(diào)用ProviderManager的認(rèn)證authenti cate時，會委托到該類中的集合 List<AuthenticationProvider> 白勺每個 AuthenticationProvider 白勺實 見類中 的方法authenticate，然后統(tǒng)計(可根據(jù)需要設(shè)置統(tǒng)計策略)該List中的每個 AuthenticationProvider ^iEJfei^ProviderManager ^lAilE authenticate i否ffl 過。注意，具體是哪個實現(xiàn)類需要根據(jù)配置文件來決定，下文將對配置文件進(jìn)行詳細(xì) 描述。參照圖8，授權(quán)管理器中的調(diào)用過程如下首先，接收授權(quán)請求；然后，調(diào)用AccessDecisionManager實現(xiàn)類的決策decide方法，提供默認(rèn)實現(xiàn)類 BasedDecisionManager ；其中，在 BasedDecisionManager 中提供了一 個實現(xiàn) AccessDecisionVoter 的集合，并且AccessDecisionVoter接口定義了 decide方法，與上述認(rèn)證過程類似， AccessDecisionManager WStXiii^^iE；^W List<AccessDecisionVoter> Jft^ j^^jplflig List<AccessDecisionVoter> 巾白勺AccessDecisionVoter 31(^11，Lit (可根據(jù)需要設(shè)置統(tǒng)計策略)授權(quán)是否通過。類似地，具體是哪個實現(xiàn)類也需要根據(jù)配置文件來決定。下面詳細(xì)描述上文提到的配置文件?！N配置文件就是將以上所有處理組合一起協(xié)調(diào)工作的方法，其可以配置一個安 全服務(wù)器對象，在該對象上配置好認(rèn)證方式、授權(quán)方式，同時設(shè)置好各種統(tǒng)計策略、緩存策 略、加密策略等。該安全服務(wù)器對象最后被提供給安全AOP切面使用，安全AOP切面也配置在配置 文件中，該切面描述(支持通配符，正則表達(dá)式的描述)了在調(diào)用那些業(yè)務(wù)方法時需要進(jìn)入 到AOP切面中進(jìn)行安全的處理，然后就會進(jìn)入圖6的流程，這樣使得所有的安全控制都集中 到AOP切面中，而不用在每個業(yè)務(wù)方法中調(diào)用安全的API。另外一種配置文件為表明界面操作對應(yīng)的后臺業(yè)務(wù)方法是哪一個的配置文件，因為用戶分配權(quán)限時分配的是操作而不是業(yè)務(wù)方法，所以需要提供一個操作和業(yè)務(wù)方法映射 的配置文件。當(dāng)用戶調(diào)用某業(yè)務(wù)方法時，根據(jù)配置文件找到該業(yè)務(wù)方法對應(yīng)的操作，然后再 根據(jù)圖1、圖4或圖5設(shè)計的結(jié)構(gòu)，判斷用戶是否有權(quán)執(zhí)行該操作，從而在安全AOP切面中， 判斷用戶是否有權(quán)執(zhí)行該業(yè)務(wù)方法。其中，用戶的信息在用戶登錄系統(tǒng)時，已經(jīng)保存在服務(wù) 器端。注意，一個業(yè)務(wù)方法可能被多個操作調(diào)用，如果僅僅使用以上方案還有不足，所以在 圖8的授權(quán)管理器中還提供了一個AccessDecisionCallback接口，由用戶實現(xiàn)該接口，從 而在該特殊情況下來決定用戶是否有權(quán)調(diào)用某業(yè)務(wù)方法。如上所述，在本發(fā)明的技術(shù)方案中，通過建立新的權(quán)限模型，使得權(quán)限分配更加細(xì) 粒度，此外還為OMC提供了更加強(qiáng)健的安全性。因此，本發(fā)明能夠支持細(xì)粒度的權(quán)限控制， 同時能夠在服務(wù)器端以AOP的方式實現(xiàn)可插拔的權(quán)限控制。 以上所述僅為本發(fā)明的優(yōu)選實施例而已，并不用于限制本發(fā)明，對于本領(lǐng)域的技 術(shù)人員來說，本發(fā)明可以有各種更改和變化。凡在本發(fā)明的精神和原則之內(nèi)，所作的任何修 改、等同替換、改進(jìn)等，均應(yīng)包含在本發(fā)明的保護(hù)范圍之內(nèi)。
權(quán)利要求
1.一種鑒權(quán)和認(rèn)證方法，其特征在于，所述方法包括預(yù)先配置權(quán)限模型和配置文件，其中，所述權(quán)限模型用于定義權(quán)限數(shù)據(jù)存儲；以及 當(dāng)客戶端調(diào)用服務(wù)器端的業(yè)務(wù)方法時，服務(wù)器根據(jù)所述權(quán)限模型和所述配置文件進(jìn)行 認(rèn)證和鑒權(quán)處理。
2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述認(rèn)證和鑒權(quán)處理包括 所述客戶端發(fā)起對服務(wù)器端的所述業(yè)務(wù)方法的調(diào)用請求；服務(wù)器端的面向方面的編程切面攔截所述調(diào)用請求； 所述面向方面的編程切面調(diào)用認(rèn)證管理器，以確定是否能夠通過認(rèn)證； 在通過認(rèn)證的情況下，所述面向方面的編程切面調(diào)用授權(quán)管理器，以確定是否能夠通 過授權(quán)；以及在通過授權(quán)的情況下，所述服務(wù)器允許所述客戶端對所述業(yè)務(wù)方法進(jìn)行調(diào)用。
3.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述認(rèn)證管理器中的處理包括 接收認(rèn)證請求；調(diào)用根據(jù)所述配置文件決定的認(rèn)證管理器的認(rèn)證方法，以及 統(tǒng)計所述認(rèn)證管理器列表中的每個認(rèn)證器的返回值來確定是否通過認(rèn)證。
4.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述授權(quán)管理器中的處理包括 接收授權(quán)請求；調(diào)用根據(jù)所述配置文件決定的訪問決策管理器的決策方法；以及 統(tǒng)計所述訪問決策管理器的列表中的每個訪問決策投票器的返回值來確定是否通過 授權(quán)。
5.根據(jù)權(quán)利要求4所述的方法，其特征在于，在一個業(yè)務(wù)方法可能被多個操作調(diào)用的 情況下，利用所述授權(quán)管理器中設(shè)置的訪問決策投票器回叫接口來決定用戶是否有權(quán)調(diào)用 該業(yè)務(wù)方法。
6.根據(jù)權(quán)利要求1至5中任一項所述的方法，其特征在于，將所述權(quán)限模型配置為用 戶與用戶組關(guān)聯(lián)，所述用戶組與權(quán)限關(guān)聯(lián)，所述權(quán)限與網(wǎng)元和操作關(guān)聯(lián)。
7.根據(jù)權(quán)利要求1至5中任一項所述的方法，其特征在于，將所述權(quán)限模型配置為用 戶與用戶組關(guān)聯(lián)，所述用戶組與權(quán)限關(guān)聯(lián)，所述權(quán)限與網(wǎng)元組和操作組關(guān)聯(lián)，網(wǎng)元與所述網(wǎng) 元組關(guān)聯(lián)，以及操作與所述操作組關(guān)聯(lián)。
8.根據(jù)權(quán)利要求1至5中任一項所述的方法，其特征在于，所述配置文件配置一個安全 服務(wù)器對象，在所述安全服務(wù)器對象上設(shè)置認(rèn)證方式、授權(quán)方式，同時設(shè)置各種統(tǒng)計策略、 緩存策略、加密策略等。
9.根據(jù)權(quán)利要求1至5中任一項所述的方法，其特征在于，所述配置文件提供了操作和 業(yè)務(wù)方法的映射關(guān)系。
10.一種鑒權(quán)和認(rèn)證系統(tǒng)，其特征在于，所述系統(tǒng)包括權(quán)限模型配置裝置，用于預(yù)先配置權(quán)限模型，所述權(quán)限模型用于定義權(quán)限數(shù)據(jù)存儲； 配置文件配置裝置，用于預(yù)先配置配置文件； 客戶端，用于調(diào)用服務(wù)器端的業(yè)務(wù)方法；以及服務(wù)器，用于當(dāng)所述客戶端調(diào)用所述業(yè)務(wù)方法時，根據(jù)所述權(quán)限模型和所述配置文件 進(jìn)行認(rèn)證和鑒權(quán)處理。
11.根據(jù)權(quán)利要求10所述的系統(tǒng)，其特征在于，所述服務(wù)器還包括調(diào)用請求接收裝置，用于接收由所述客戶端發(fā)起的對服務(wù)器端的業(yè)務(wù)方法的調(diào)用請求；服務(wù)器端的面向方面的編程切面，攔截所述調(diào)用請求；認(rèn)證管理器，所述面向方面的編程切面調(diào)用所述認(rèn)證管理器，以確定是否能夠通過認(rèn)證；授權(quán)管理器，用于在通過認(rèn)證的情況下，所述面向方面的編程切面調(diào)用授權(quán)管理器，以 確定是否能夠通過授權(quán)；以及業(yè)務(wù)方法返回裝置，用于在通過授權(quán)的情況下，所述客戶端調(diào)用所要求的業(yè)務(wù)方法。
12.根據(jù)權(quán)利要求11所述的系統(tǒng)，其特征在于，所述認(rèn)證管理器中還包括 認(rèn)證請求接收裝置，用于接收認(rèn)證請求；調(diào)用裝置，調(diào)用根據(jù)所述配置文件決定的認(rèn)證管理器的認(rèn)證方法；以及 統(tǒng)計裝置，統(tǒng)計所述認(rèn)證管理器列表中的每個認(rèn)證器的返回值來確定是否通過認(rèn)證。
13.根據(jù)權(quán)利要求11所述的系統(tǒng)，其特征在于，所述授權(quán)管理器還包括 授權(quán)請求接收裝置，接收授權(quán)請求；調(diào)用裝置，調(diào)用根據(jù)所述配置文件決定的訪問決策管理器的決策方法；以及 統(tǒng)計裝置，統(tǒng)計所述訪問決策管理器的列表中的每個訪問決策投票器的返回值來確定 是否通過授權(quán)。
14.根據(jù)權(quán)利要求13所述的系統(tǒng)，其特征在于，在一個業(yè)務(wù)方法可能被多個操作調(diào)用 的情況下，利用所述授權(quán)管理器中設(shè)置的訪問決策投票器回叫接口來決定用戶是否有權(quán)調(diào) 用該業(yè)務(wù)方法。
15.根據(jù)權(quán)利要求10至14中任一項所述的系統(tǒng)，其特征在于，將所述權(quán)限模型配置為 用戶與用戶組關(guān)聯(lián)，所述用戶組與權(quán)限關(guān)聯(lián)，所述權(quán)限與網(wǎng)元和操作關(guān)聯(lián)。
16.根據(jù)權(quán)利要求10至14中任一項所述的系統(tǒng)，其特征在于，將所述權(quán)限模型配置為 用戶與用戶組關(guān)聯(lián)，所述用戶組與權(quán)限關(guān)聯(lián)，所述權(quán)限與網(wǎng)元組和操作組關(guān)聯(lián)，網(wǎng)元與所述 網(wǎng)元組關(guān)聯(lián)，以及操作與所述操作組關(guān)聯(lián)。
17.根據(jù)權(quán)利要求10至14中任一項所述的系統(tǒng)，其特征在于，所述配置文件配置一個 安全服務(wù)器對象，在所述安全服務(wù)器對象上設(shè)置認(rèn)證方式、授權(quán)方式，同時設(shè)置各種統(tǒng)計策 略、緩存策略、加密策略等。
18.根據(jù)權(quán)利要求10至14中任一項所述的系統(tǒng)，其特征在于，所述配置文件提供了操 作和業(yè)務(wù)方法的映射關(guān)系。
全文摘要
本發(fā)明公開了鑒權(quán)和認(rèn)證方法及系統(tǒng)，包括預(yù)先配置權(quán)限模型和配置文件，其中，權(quán)限模型用于定義權(quán)限數(shù)據(jù)存儲；以及當(dāng)客戶端調(diào)用服務(wù)器端的業(yè)務(wù)方法時，服務(wù)器根據(jù)權(quán)限模型和配置文件進(jìn)行認(rèn)證和鑒權(quán)處理。通過本發(fā)明的技術(shù)方案，能夠支持細(xì)粒度的權(quán)限控制，同時能夠在服務(wù)器端以AOP的方式實現(xiàn)可插拔的權(quán)限控制。
文檔編號H04L29/06GK102130894SQ201010034040
公開日2011年7月20日 申請日期2010年1月12日 優(yōu)先權(quán)日2010年1月12日
發(fā)明者宋志剛, 廖軍, 林藝 申請人:上海大唐移動通信設(shè)備有限公司, 大唐移動通信設(shè)備有限公司