CN111783075A - 基于密钥的权限管理方法、装置、介质及电子设备 - Google Patents

Abstract

本公开涉及身份验证领域，揭示一种权限管理方法、装置、介质及电子设备。该方法包括：接收注册请求；建立账户并授予权限；为账户生成密钥并随机获取加密策略，并将密钥、权限及对应的解密策略对应存储；用加密策略对密钥加密，将加密后密钥发送至访问端；判断收到的登录请求是否包括加密后密钥；如果否，向访问端发送身份验证请求，对访问端用户的身份验证；若验证通过，则通过登录请求并转至发送新密钥步骤，否则转至提醒步骤；若登录请求包括加密后密钥，对密钥校验；若校验通过，则通过登录请求并转至发送新密钥步骤，否则转至提醒步骤。此外，本公开还涉及区块链技术，注册请求中的信息可存储于区块链中。此方法增加了权限管理的安全性。

Description

基于密钥的权限管理方法、装置、介质及电子设备

技术领域

本公开涉及区块链的身份验证技术领域，特别涉及一种基于密钥的权限管理方法、装置、介质及电子设备。

背景技术

随着区块链等网络技术的发展，用户隐私和网络安全问题就显得愈发重要。

目前，业内常用的系统权限管理方案为RBAC(Role-Based Access Control,基于角色的访问控制)权限设计模型，在该模型下，用户与角色之间，角色与权限之间，一般是多对多的关系，通常通过设计“用户表”，“角色表”，“权限表”来实现权限控制。然而，现有的权限管理方案所管理的权限通常都是与用户直接关联的，一旦用户账户密码被盗取，那么就可以获取该用户的访问权限，因此目前的权限管理方案存在安全性不足的问题。

发明内容

在区块链的身份验证技术领域，为了解决上述技术问题，本公开的目的在于提供一种基于密钥的权限管理方法、装置、介质及电子设备。

根据本公开的一方面，提供了一种基于密钥的权限管理方法，所述方法由目标系统执行，所述方法包括：

接收用户通过访问端初次访问目标系统时提交的注册请求，所述注册请求包括用户信息和身份验证信息；

根据所述注册请求中的用户信息建立所述用户的账户，并向所述账户授予基本权限，作为所述账户的权限，所述账户包括账户标识；

为所述账户生成一个第一密钥并随机获取第一加密策略，确定与所述第一加密策略对应的第一解密策略，并将所述用户信息、身份验证信息、账户标识、第一密钥、权限及第一解密策略对应存储；

按照所述第一加密策略对所述第一密钥进行加密，并将加密后的所述第一密钥发送至所述访问端；

当接收到来自访问端的登录请求，判断所述登录请求中是否包括加密后的密钥，所述登录请求包括与所述账户对应的账户标识；

在所述登录请求不包括加密后的密钥的情况下，获取所述登录请求中账户标识对应的身份验证信息，并根据所述身份验证信息向所述访问端发送身份验证请求，以对所述访问端的用户的身份进行验证；

若验证通过，则通过所述登录请求并转至发送新密钥步骤，所述发送新密钥步骤包括：为所述账户生成一个未生成过的第二密钥，随机获取未对所述账户使用过的第二加密策略，确定与所述第二加密策略对应的第二解密策略，并在按照所述第二加密策略对所述第二密钥进行加密后，将加密后的所述第二密钥发送至所述访问端，并分别将存储的所述第一密钥和所述第一解密策略对应替换为所述第二密钥和所述第二解密策略；

若验证未通过，则转至登录失败提醒步骤，所述登录失败提醒步骤包括：拒绝所述登录请求并向所述访问端返回登录失败的提醒信息；

在所述登录请求包括加密后的密钥的情况下，获取所述登录请求中账户标识对应的第一解密策略和第一密钥,并利用所述第一解密策略对加密后的密钥进行解密，以判断解密结果是否与所述第一密钥一致；

若所述解密结果与所述第一密钥一致，则通过所述登录请求并转至所述发送新密钥步骤，否则，则转至所述登录失败提醒步骤。

根据本公开的另一方面，提供了一种基于密钥的权限管理装置，所述装置运行有目标系统，所述装置包括：

接收模块，被配置为接收用户通过访问端初次访问目标系统时提交的注册请求，所述注册请求包括用户信息和身份验证信息；

建立和授予模块，被配置为根据所述注册请求中的用户信息建立所述用户的账户，并向所述账户授予基本权限，作为所述账户的权限，所述账户包括账户标识；

存储模块，被配置为为所述账户生成一个第一密钥并随机获取第一加密策略，确定与所述第一加密策略对应的第一解密策略，并将所述用户信息、身份验证信息、账户标识、第一密钥、权限及第一解密策略对应存储；

加密模块，被配置为按照所述第一加密策略对所述第一密钥进行加密，并将加密后的所述第一密钥发送至所述访问端；

第一判断模块，被配置为当接收到来自访问端的登录请求，判断所述登录请求中是否包括加密后的密钥，所述登录请求包括与所述账户对应的账户标识；

验证模块，被配置为在所述登录请求不包括加密后的密钥的情况下，获取所述登录请求中账户标识对应的身份验证信息，并根据所述身份验证信息向所述访问端发送身份验证请求，以对所述访问端的用户的身份进行验证；

发送模块，被配置为若验证通过，则通过所述登录请求并转至发送新密钥步骤，所述发送新密钥步骤包括：为所述账户生成一个未生成过的第二密钥，随机获取未对所述账户使用过的第二加密策略，确定与所述第二加密策略对应的第二解密策略，并在按照所述第二加密策略对所述第二密钥进行加密后，将加密后的所述第二密钥发送至所述访问端，并分别将存储的所述第一密钥和所述第一解密策略对应替换为所述第二密钥和所述第二解密策略；

提醒模块，被配置为若验证未通过，则转至登录失败提醒步骤，所述登录失败提醒步骤包括：拒绝所述登录请求并向所述访问端返回登录失败的提醒信息；

第二判断模块，被配置为在所述登录请求包括加密后的密钥的情况下，获取所述登录请求中账户标识对应的第一解密策略和第一密钥,并利用所述第一解密策略对加密后的密钥进行解密，以判断解密结果是否与所述第一密钥一致；以及

若所述解密结果与所述第一密钥一致，则通过所述登录请求并转至所述发送新密钥步骤，否则，则转至所述登录失败提醒步骤。

根据本公开的另一方面，提供了一种计算机可读程序介质，其存储有计算机程序指令，当所述计算机程序指令被计算机执行时，使计算机执行如前所述的方法。

根据本公开的另一方面，提供了一种电子设备，所述电子设备包括：

处理器；

存储器，所述存储器上存储有计算机可读指令，所述计算机可读指令被所述处理器执行时，实现如前所述的方法。

本公开的实施例提供的技术方案可以包括以下有益效果：

本公开所提供的基于密钥的权限管理方法由目标系统执行，包括如下步骤：接收用户通过访问端初次访问目标系统时提交的注册请求，所述注册请求包括用户信息和身份验证信息；根据所述注册请求中的用户信息建立所述用户的账户，并向所述账户授予基本权限，作为所述账户的权限，所述账户包括账户标识；为所述账户生成一个第一密钥并随机获取第一加密策略，确定与所述第一加密策略对应的第一解密策略，并将所述用户信息、身份验证信息、账户标识、第一密钥、权限及第一解密策略对应存储；按照所述第一加密策略对所述第一密钥进行加密，并将加密后的所述第一密钥发送至所述访问端；当接收到来自访问端的登录请求，判断所述登录请求中是否包括加密后的密钥，所述登录请求包括与所述账户对应的账户标识；在所述登录请求不包括加密后的密钥的情况下，获取所述登录请求中账户标识对应的身份验证信息，并根据所述身份验证信息向所述访问端发送身份验证请求，以对所述访问端的用户的身份进行验证；若验证通过，则通过所述登录请求并转至发送新密钥步骤，所述发送新密钥步骤包括：为所述账户生成一个未生成过的第二密钥，随机获取未对所述账户使用过的第二加密策略，确定与所述第二加密策略对应的第二解密策略，并在按照所述第二加密策略对所述第二密钥进行加密后，将加密后的所述第二密钥发送至所述访问端，并分别将存储的所述第一密钥和所述第一解密策略对应替换为所述第二密钥和所述第二解密策略；若验证未通过，则转至登录失败提醒步骤，所述登录失败提醒步骤包括：拒绝所述登录请求并向所述访问端返回登录失败的提醒信息；在所述登录请求包括加密后的密钥的情况下，获取所述登录请求中账户标识对应的第一解密策略和第一密钥,并利用所述第一解密策略对加密后的密钥进行解密，以判断解密结果是否与所述第一密钥一致；若所述解密结果与所述第一密钥一致，则通过所述登录请求并转至所述发送新密钥步骤，否则，则转至所述登录失败提醒步骤。

此方法下，当访问端密钥丢失时，需要重新进行身份验证，并且使用随机的加密策略进行加密，并将加密策略储存在服务端，并且每次访问端对服务端的权限请求，都会更新该密钥和密钥的加密策略，增加了权限管理的安全性。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性的，并不能限制本发明。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本发明的实施例，并与说明书一起用于解释本发明的原理。

图1是根据一示例性实施例示出的一种基于密钥的权限管理方法的系统架构示意图；

图2是根据一示例性实施例示出的一种基于密钥的权限管理方法的流程图；

图3是根据图2对应实施例示出的一实施例的步骤220的细节的流程图；

图4是根据一示例性实施例示出的一种基于密钥的权限管理装置的框图；

图5是根据一示例性实施例示出的一种实现上述基于密钥的权限管理方法的电子设备示例框图；

图6是根据一示例性实施例示出的一种实现上述基于密钥的权限管理方法的计算机可读存储介质。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本发明相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本发明的一些方面相一致的装置和方法的例子。

此外，附图仅为本公开的示意性图解，并非一定是按比例绘制。图中相同的附图标记表示相同或类似的部分，因而将省略对它们的重复描述。附图中所示的一些方框图是功能实体，不一定必须与物理或逻辑上独立的实体相对应。

本公开首先提供了一种基于密钥的权限管理方法。权限管理是在一个软件系统内设置了一套安全规则，每个用户能够访问且只能访问该安全规则下的被授权的资源或者对象。在一个系统内，一个用户能够访问哪些资源或者对象并且能够如何访问这些资源或者对象就是这个用户在这个系统内的权限，权限通常由系统设置或者管理员设置，普通用户一般不能随意改变。保护好系统权限的安全性就是保护系统内的资源或者对象，使系统内的资源或者对象被合法的人以恰当的方式访问，因此做好权限管理就是保护数据和信息安全，是在如今的社会中非常重要的任务。而本公开提供的基于密钥的权限管理方法可以使得权限管理更为安全。

本公开的实施终端可以是任何具有运算、处理以及通信功能的设备，该设备可以与外部设备相连，用于接收或者发送数据，具体可以是便携移动设备，例如智能手机、平板电脑、笔记本电脑、PDA(Personal Digital Assistant)等，也可以是固定式设备，例如，计算机设备、现场终端、台式电脑、服务器、工作站等，还可以是多个设备的集合，比如云计算的物理基础设施或者服务器集群。

可选地，本公开的实施终端可以为服务器或者云计算的物理基础设施。

图1是根据一示例性实施例示出的一种基于密钥的权限管理方法的系统架构示意图。如图1所示，该系统架构包括服务器110、第一用户终端121、第二用户终端122以及数据库130。第一用户终端121、第二用户终端122以及数据库130均通过通信链路与服务器110相连，从而可以进行数据的接收和发送。服务器110上运行有目标系统，即需要进行权限管理的系统，第一用户终端121和第二用户终端122上均有可以访问服务器110上的目标系统的访问端。当本公开实施例提供的基于密钥的权限管理方法应用于图1所示的系统架构中时，一个具体过程可以是这样的：首先，用户通过第一用户终端121初次访问目标系统进行注册，并提交了用户信息和身份验证信息；目标系统获得用户信息和身份验证信息，然后根据用户信息为该用户建立账户，并为该账户设置基本权限；接着，目标系统从服务器110本地获取随机获取第一加密策略并获取与该第一加密策略对应的第一解密策略，同时会生成第一密钥，然后目标系统会将用户信息、身份验证信息、账户标识、第一密钥、权限及第一解密策略对应存储到数据库130中；接下来，目标系统会按照该第一加密策略对第一密钥进行加密，并将加密后的第一密钥发送至该访问端。由于与目标系统对应的访问端在访问目标系统时会自动在登录请求中携带着已获得的加密后的密钥。因此，最后目标系统会在数据库130中存储的信息的基础上判断登录请求中的密钥是否存在以及密钥是否合法，并根据判断结果来控制登录请求是否通过，从而实现权限管理。

值得一提的是，图1仅为本公开的一个实施例。虽然在本实施例中的实施终端为服务器，但在其他实施例中，实施终端可以为如前所述的各种终端或设备；虽然在本实施例中，目标系统将用户信息、身份验证信息、账户标识、第一密钥、权限及第一解密策略对应存储到一个数据库中，但在其他实施例或者具体应用中，这些信息可以分别存储在多个数据库上，也可以存储在目标系统所在终端的本地，本公开对此不作任何限定，本公开的保护范围也不应因此而受到任何限制。

图2是根据一示例性实施例示出的一种基于密钥的权限管理方法的流程图。在物理层面，本实施例提供的基于密钥的权限管理方法可以由服务器执行；而在逻辑层面，本实施例提供的基于密钥的权限管理方法由目标系统执行，如图2所示，包括以下步骤：

步骤210，接收用户通过访问端初次访问目标系统时提交的注册请求，所述注册请求包括用户信息和身份验证信息。

需要强调的是，为进一步保证上述用户信息和身份验证信息的私密和安全性，上述用户信息和身份验证信息还可以存储于一区块链的节点中。

访问端可以是各种客户端，比如可以是移动终端(如智能手机)上的应用程序(APP，Application)或者基于浏览器的Web端，也可以是计算机上的客户端或者基于浏览器的Web端。因此，访问端与目标系统之间可以是B/S(Browser/Server，浏览器/服务器)架构，也可以是C/S(Client/Server，客户端/服务器)架构。

注册请求可以是基于各种网络协议的请求，比如可以是HTTP协议(HyperTextTransfer Protocol，超文本传输协议)下的请求。

注册请求包括用户信息和身份验证信息，即注册请求的报文中携带了用户信息和身份验证信息。

用户信息可以是各种与用户有关的信息，一般为用户的特征或者属性，比如，可以包括用户的姓名、职业、年龄、学历等信息。身份验证信息是用来确认一个用户是否与该身份验证信息相匹配，从而对用户身份的合法性进行验证的信息。

步骤220，根据所述注册请求中的用户信息建立所述用户的账户，并向所述账户授予基本权限，作为所述账户的权限，所述账户包括账户标识。

用户的账户是在目标系统中独立的对象，利用账户可以访问目标系统或者对目标系统进行一系列操作。账户通常作为一组数据记录在目标系统下，账户包括的账户标识即为唯一用来标识账户身份的标识。

基本权限是账户建立之初最初为账户赋予的权限，这些权限可以是预设的，也可以是根据用户信息动态设置的。权限控制着用户对目标系统上资源访问的范围，比如可以包括对目标系统的页面元素可见性的控制，对目标系统上文件或者数据修改的控制，对目标系统的菜单的访问控制等。

图3是根据图2对应实施例示出的一实施例的步骤220的细节的流程图。如图3所示，在本实施例中，所述用户信息和所述身份验证信息预先存储于区块链中，步骤220具体包括：

步骤221，根据所述注册请求中的用户信息建立所述用户的账户，并基于所述用户信息向所述账户授予与所述用户信息对应的基本权限，作为所述账户的权限。

比如，若用户信息中包含用户的性别信息，那么在为用户建立账户时，将向账户授予与用户的性别信息对应的基本权限。再比如，若用户信息中包含用户的职级信息，那么在为用户建立账户时，将向账户授予与用户的职级信息对应的基本权限，因此，针对不同职级的信息可以为用户不同的基本权限，具体来说，可以为更高职级的用户的账户授予更多的基本权限。

在本实施例中，通过基于用户信息确定向对应的账户授予何种基本权限，实现了对基本权限的更有效地管理。

步骤230，为所述账户生成一个第一密钥并随机获取第一加密策略，确定与所述第一加密策略对应的第一解密策略，并将所述用户信息、身份验证信息、账户标识、第一密钥、权限及第一解密策略对应存储。

第一密钥通常为随机生成的字符串。

加密策略可以是各种加密算法或者加密方式，比如可以是对称式加密算法、非对称式加密算法，也可以是基于规则的加密方式，而加密策略对应的解密策略，则是可以将利用加密策略加密得到的密文还原为对应的明文的策略。

在一个实施例中，所述将所述用户信息、身份验证信息、账户标识、第一密钥、权限及第一解密策略对应存储，包括：

将所述用户信息、身份验证信息、账户标识、第一密钥对应存储至关系型数据库中；

分别以第一密钥和权限以及第一密钥和第一解密策略为键值对将第一密钥、权限及第一解密策略对应存储至非关系型数据库中。

以第一密钥和权限为键值对，即将第一密钥-权限作为键值对；以第一密钥和第一解密策略为键值对，即将第一密钥-第一解密策略作为键值对。

非关系型数据库不以表为数据结构，具有查询速度快、高性能的优点，比如Redis数据库即可以作为一种用于存储键值对的非关系型数据库。

在本实施例中，通过将权限管理的相关数据，如密钥、权限、解密策略等存储至非关系型数据库中，得益于非关系型数据库的特点，可以在进行权限管理时免去关系型数据库sql解析的步骤，从而提高查询效率，另外，非关系型数据库中数据之间没有耦合性，因此可以方便对权限相关的数据的操作及扩展。

步骤240，按照所述第一加密策略对所述第一密钥进行加密，并将加密后的所述第一密钥发送至所述访问端。

加密后的第一密钥被发送至所述访问端后，会在访问端存储。当该访问端再次向目标系统发起登录请求时，会在该登录请求中携带加密后的第一密钥。

在一个实施例中，在按照所述第一加密策略对所述第一密钥进行加密，并将加密后的所述第一密钥发送至所述访问端之后，所述方法还包括：

接收来自管理员端的权限修改请求，所述权限修改请求包括账户标识、要修改的权限和修改后的权限；

从关系型数据库获取与所述权限修改请求中的账户标识对应的密钥；

利用所述密钥从非关系型数据库查询出与所述密钥对应的权限作为目标权限；

将所述目标权限中所述要修改的权限替换为所述修改后的权限。

管理员端是不同于访问端的客户端。管理员端可以与本公开的实施终端为同一终端，也可以为不同终端。

在本实施例中，通过允许管理员在非关系型数据库中对权限进行修改，可以实现对权限的高效管理。

通过管理员端还可以对账户的权限进行新增或删除操作。

步骤250，当接收到来自访问端的登录请求，判断所述登录请求中是否包括加密后的密钥，所述登录请求包括与所述账户对应的账户标识。

这里的访问端可以是与用户初次访问目标系统时相同的访问端，也可以是与用户初次访问目标系统时不同的访问端。

比如，登录请求的报文内容可以以特定的字段排布，加密后的密钥在登录请求的报文内容中为某一位置上的字段，当登录请求的报文内容中在该位置上未包含该字段时，即确认登录请求中不包括加密后的密钥。

步骤260，在所述登录请求不包括加密后的密钥的情况下，获取所述登录请求中账户标识对应的身份验证信息，并根据所述身份验证信息向所述访问端发送身份验证请求，以对所述访问端的用户的身份进行验证。

在一个实施例中，所述注册请求还包括第一访问端标识，所述登录请求包括第二访问端标识，所述将所述用户信息、身份验证信息、账户标识、第一密钥、权限及第一解密策略对应存储，包括：

将所述用户信息、身份验证信息、账户标识、第一访问端标识、第一密钥、权限及第一解密策略对应存储；

在获取所述登录请求中账户标识对应的身份验证信息，并根据所述身份验证信息向所述访问端发送身份验证请求，以对所述访问端的用户的身份进行验证之前，所述方法还包括：

判断所述登录请求中账户标识对应的第一访问端标识是否与所述登录请求中的第二访问端标识一致；

所述在所述登录请求不包括加密后的密钥的情况下，获取所述登录请求中账户标识对应的身份验证信息，并根据所述身份验证信息向所述访问端发送身份验证请求，以对所述访问端的用户的身份进行验证，包括：

在所述登录请求不包括加密后的密钥或者所述第一访问端标识不与所述第二访问端标识一致的情况下，获取所述登录请求中账户标识对应的身份验证信息，并根据所述身份验证信息向所述访问端发送身份验证请求，以对所述访问端的用户的身份进行验证。

访问端标识是唯一标识访问端身份的标识，比如可以是客户端标识，它可以是在客户端安装之初由本端分发的标识。

在本实施例中，对所述访问端的用户的身份进行验证的条件不仅包括登录请求不包括加密后的密钥，而且还包括第一访问端标识不与第二访问端标识一致，使得用户在使用新的访问端登录时需要进行身份验证，进一步提高了权限管理的安全性。

在一个实施例中，所述身份验证信息为手机号，所述根据所述身份验证信息向所述访问端发送身份验证请求，以对所述访问端的用户的身份进行验证，包括：

向所述手机号发送由所述目标系统随机生成的第一短信验证码；

向所述访问端发送页面以提示用户接收第一短信验证码；

接收通过所述页面提交的第二短信验证码，并将所述第一短信验证码与所述第二短信验证码进行比对以对所述访问端的用户的身份进行验证。

比如，当第一短信验证码与第二短信验证码比对一致时，则可以确认验证通过，否则，就确认验证失败。

本实施例中，通过短信验证码的方式实现了对用户身份的验证。

在一个实施例中，所述身份验证信息为问题信息和对应的第一答案信息，所述根据所述身份验证信息向所述访问端发送身份验证请求，以对所述访问端的用户的身份进行验证，包括：

向所述访问端发送记录了所述问题信息的页面；

接收来自所述访问端的通过所述页面提交的第二答案信息；

将所述第一答案信息和所述第二答案信息进行比对，以对所述访问端的用户的身份进行验证。

比如，当第一答案信息和第二答案信息比对一致时，则可以确认验证通过，否则，就确认验证失败。

本实施例中，通过问题问答的方式实现了对用户身份的验证，可有效防止非法的权限获取，提高了安全性。

步骤270，若验证通过，则通过所述登录请求并转至发送新密钥步骤，所述发送新密钥步骤包括：为所述账户生成一个未生成过的第二密钥，随机获取未对所述账户使用过的第二加密策略，确定与所述第二加密策略对应的第二解密策略，并在按照所述第二加密策略对所述第二密钥进行加密后，将加密后的所述第二密钥发送至所述访问端，并分别将存储的所述第一密钥和所述第一解密策略对应替换为所述第二密钥和所述第二解密策略。

第二加密策略是不同于第一加密策略的加密策略，同理，第二解密策略是不同于第一解密策略的解密策略，第二密钥也是不同于第一密钥的密钥。

本步骤在验证通过的情况下，也实现了密钥和解密策略的更新。

在一个实施例中，所述将所述用户信息、身份验证信息、账户标识、第一密钥、权限及第一解密策略对应存储，包括：

将所述用户信息、身份验证信息、账户标识、第一密钥、权限、第一加密策略及第一解密策略对应存储；

所述发送新密钥步骤，包括：

为所述账户生成一个未生成过的第二密钥，随机获取未对所述账户使用过的第二加密策略，确定与所述第二加密策略对应的第二解密策略，并在按照所述第二加密策略对所述第二密钥进行加密后，将加密后的所述第二密钥发送至所述访问端，并分别将存储的所述第一密钥、所述第一加密策略和所述第一解密策略对应替换为所述第二密钥、所述第二加密策略和所述第二解密策略。

本实施例同时实现了密钥、加密策略和解密策略的更新。

步骤280，若验证未通过，则转至登录失败提醒步骤，所述登录失败提醒步骤包括：拒绝所述登录请求并向所述访问端返回登录失败的提醒信息。

向访问端返回提醒信息的方式可以通过页面、弹窗等方式，页面、弹窗中可以记录表示登录失败的信息。

步骤290，在所述登录请求包括加密后的密钥的情况下，获取所述登录请求中账户标识对应的第一解密策略和第一密钥，并利用所述第一解密策略对加密后的密钥进行解密，以判断解密结果是否与所述第一密钥一致。

在发出注册请求的访问端与此处发起登录请求的访问端为同一账户标识并使用同一访问端的情况下，解密结果就会与第一密钥一致，否则就会不一致。

步骤2100，若所述解密结果与所述第一密钥一致，则通过所述登录请求并转至所述发送新密钥步骤，否则，则转至所述登录失败提醒步骤。

只有在解密结果与第一密钥一致才能够通过登录请求，从而使用户获得相应的权限，否则，就拒绝该登录请求并向访问端返回登录失败的提醒信息。

综上所述，根据图2实施例提供的基于密钥的权限管理方法，当访问端密钥丢失时，需要重新进行身份验证，并且使用随机的加密策略进行加密，并将加密策略储存在服务端，并且每次访问端对服务端的权限请求，都会更新该密钥和密钥的加密策略，增加了权限管理的安全性。

本公开还提供了一种基于密钥的权限管理装置，以下是本公开的装置实施例。

图4是根据一示例性实施例示出的一种基于密钥的权限管理装置的框图，该装置运行有目标系统。如图4所示，装置400包括：

接收模块410，被配置为接收用户通过访问端初次访问目标系统时提交的注册请求，所述注册请求包括用户信息和身份验证信息；

建立和授予模块420，被配置为根据所述注册请求中的用户信息建立所述用户的账户，并向所述账户授予基本权限，作为所述账户的权限，所述账户包括账户标识；

存储模块430，被配置为为所述账户生成一个第一密钥并随机获取第一加密策略，确定与所述第一加密策略对应的第一解密策略，并将所述用户信息、身份验证信息、账户标识、第一密钥、权限及第一解密策略对应存储；

加密模块440，被配置为按照所述第一加密策略对所述第一密钥进行加密，并将加密后的所述第一密钥发送至所述访问端；

第一判断模块450，被配置为当接收到来自访问端的登录请求，判断所述登录请求中是否包括加密后的密钥，所述登录请求包括与所述账户对应的账户标识；

验证模块460，被配置为在所述登录请求不包括加密后的密钥的情况下，获取所述登录请求中账户标识对应的身份验证信息，并根据所述身份验证信息向所述访问端发送身份验证请求，以对所述访问端的用户的身份进行验证；

发送模块470，被配置为若验证通过，则通过所述登录请求并转至发送新密钥步骤，所述发送新密钥步骤包括：为所述账户生成一个未生成过的第二密钥，随机获取未对所述账户使用过的第二加密策略，确定与所述第二加密策略对应的第二解密策略，并在按照所述第二加密策略对所述第二密钥进行加密后，将加密后的所述第二密钥发送至所述访问端，并分别将存储的所述第一密钥和所述第一解密策略对应替换为所述第二密钥和所述第二解密策略；

提醒模块480，被配置为若验证未通过，则转至登录失败提醒步骤，所述登录失败提醒步骤包括：拒绝所述登录请求并向所述访问端返回登录失败的提醒信息；

第二判断模块490，被配置为在所述登录请求包括加密后的密钥的情况下，获取所述登录请求中账户标识对应的第一解密策略和第一密钥,并利用所述第一解密策略对加密后的密钥进行解密，以判断解密结果是否与所述第一密钥一致；以及

若所述解密结果与所述第一密钥一致，则通过所述登录请求并转至所述发送新密钥步骤，否则，则转至所述登录失败提醒步骤。

根据本公开的第三方面，还提供了一种能够实现上述方法的电子设备。

所属技术领域的技术人员能够理解，本发明的各个方面可以实现为系统、方法或程序产品。因此，本发明的各个方面可以具体实现为以下形式，即：完全的硬件实施方式、完全的软件实施方式(包括固件、微代码等)，或硬件和软件方面结合的实施方式，这里可以统称为“电路”、“模块”或“系统”。

下面参照图5来描述根据本发明的这种实施方式的电子设备500。图5显示的电子设备500仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。

如图5所示，电子设备500以通用计算设备的形式表现。电子设备500的组件可以包括但不限于：上述至少一个处理单元510、上述至少一个存储单元520、连接不同系统组件(包括存储单元520和处理单元510)的总线530。

其中，所述存储单元存储有程序代码，所述程序代码可以被所述处理单元510执行，使得所述处理单元510执行本说明书上述“实施例方法”部分中描述的根据本发明各种示例性实施方式的步骤。

存储单元520可以包括易失性存储单元形式的可读介质，例如随机存取存储单元(RAM)521和/或高速缓存存储单元522，还可以进一步包括只读存储单元(ROM)523。

存储单元520还可以包括具有一组(至少一个)程序模块525的程序/实用工具524，这样的程序模块525包括但不限于：操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。

总线530可以为表示几类总线结构中的一种或多种，包括存储单元总线或者存储单元控制器、外围总线、图形加速端口、处理单元或者使用多种总线结构中的任意总线结构的局域总线。

电子设备500也可以与一个或多个外部设备700(例如键盘、指向设备、蓝牙设备等)通信，还可与一个或者多个使得用户能与该电子设备500交互的设备通信，和/或与使得该电子设备500能与一个或多个其它计算设备进行通信的任何设备(例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口550进行。并且，电子设备500还可以通过网络适配器560与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。如图所示，网络适配器560通过总线530与电子设备500的其它模块通信。应当明白，尽管图中未示出，可以结合电子设备500使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。

通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本公开实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、终端装置、或者网络设备等)执行根据本公开实施方式的方法。

根据本公开的第四方面，还提供了一种计算机可读存储介质，其上存储有能够实现本说明书上述方法的程序产品。在一些可能的实施方式中，本发明的各个方面还可以实现为一种程序产品的形式，其包括程序代码，当所述程序产品在终端设备上运行时，所述程序代码用于使所述终端设备执行本说明书上述“示例性方法”部分中描述的根据本发明各种示例性实施方式的步骤。

参考图6所示，描述了根据本发明的实施方式的用于实现上述方法的程序产品600，其可以采用便携式紧凑盘只读存储器(CD-ROM)并包括程序代码，并可以在终端设备，例如个人电脑上运行。然而，本发明的程序产品不限于此，在本文件中，可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

所述程序产品可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以为但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。

计算机可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读信号介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。

可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言的任意组合来编写用于执行本发明操作的程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。

本发明所指区块链是分布式数据存储、点对点传输、共识机制、加密算法等计算机技术的新型应用模式。区块链(Blockchain)，本质上是一个去中心化的数据库，是一串使用密码学方法相关联产生的数据块，每一个数据块中包含了一批次网络交易的信息，用于验证其信息的有效性(防伪)和生成下一个区块。区块链可以包括区块链底层平台、平台产品服务层以及应用服务层等。

此外，上述附图仅是根据本发明示例性实施例的方法所包括的处理的示意性说明，而不是限制目的。易于理解，上述附图所示的处理并不表明或限制这些处理的时间顺序。另外，也易于理解，这些处理可以是例如在多个模块中同步或异步执行的。

应当理解的是，本发明并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围执行各种修改和改变。本发明的范围仅由所附的权利要求来限制。

Claims (10)

1.一种基于密钥的权限管理方法，其特征在于，所述方法由目标系统执行，所述方法包括：

接收用户通过访问端初次访问目标系统时提交的注册请求，所述注册请求包括用户信息和身份验证信息；

根据所述注册请求中的用户信息建立所述用户的账户，并向所述账户授予基本权限，作为所述账户的权限，所述账户包括账户标识；

为所述账户生成一个第一密钥并随机获取第一加密策略，确定与所述第一加密策略对应的第一解密策略，并将所述用户信息、身份验证信息、账户标识、第一密钥、权限及第一解密策略对应存储；

按照所述第一加密策略对所述第一密钥进行加密，并将加密后的所述第一密钥发送至所述访问端；

当接收到来自访问端的登录请求，判断所述登录请求中是否包括加密后的密钥，所述登录请求包括与所述账户对应的账户标识；

在所述登录请求不包括加密后的密钥的情况下，获取所述登录请求中账户标识对应的身份验证信息，并根据所述身份验证信息向所述访问端发送身份验证请求，以对所述访问端的用户的身份进行验证；

若验证通过，则通过所述登录请求并转至发送新密钥步骤，所述发送新密钥步骤包括：为所述账户生成一个未生成过的第二密钥，随机获取未对所述账户使用过的第二加密策略，确定与所述第二加密策略对应的第二解密策略，并在按照所述第二加密策略对所述第二密钥进行加密后，将加密后的所述第二密钥发送至所述访问端，并分别将存储的所述第一密钥和所述第一解密策略对应替换为所述第二密钥和所述第二解密策略；

若验证未通过，则转至登录失败提醒步骤，所述登录失败提醒步骤包括：拒绝所述登录请求并向所述访问端返回登录失败的提醒信息；

在所述登录请求包括加密后的密钥的情况下，获取所述登录请求中账户标识对应的第一解密策略和第一密钥，并利用所述第一解密策略对加密后的密钥进行解密，以判断解密结果是否与所述第一密钥一致；

若所述解密结果与所述第一密钥一致，则通过所述登录请求并转至所述发送新密钥步骤，否则，则转至所述登录失败提醒步骤。

2.根据权利要求1所述的方法，其特征在于，所述用户信息和所述身份验证信息预先存储于区块链中，所述根据所述注册请求中的用户信息建立所述用户的账户，并向所述账户授予基本权限，作为所述账户的权限，包括：

根据所述注册请求中的用户信息建立所述用户的账户，并基于所述用户信息向所述账户授予与所述用户信息对应的基本权限，作为所述账户的权限。

3.根据权利要求1所述的方法，其特征在于，所述将所述用户信息、身份验证信息、账户标识、第一密钥、权限及第一解密策略对应存储，包括：

将所述用户信息、身份验证信息、账户标识、第一密钥对应存储至关系型数据库中；

分别以第一密钥和权限以及第一密钥和第一解密策略为键值对将第一密钥、权限及第一解密策略对应存储至非关系型数据库中。

4.根据权利要求3所述的方法，其特征在于，在按照所述第一加密策略对所述第一密钥进行加密，并将加密后的所述第一密钥发送至所述访问端之后，所述方法还包括：

接收来自管理员端的权限修改请求，所述权限修改请求包括账户标识、要修改的权限和修改后的权限；

从关系型数据库获取与所述权限修改请求中的账户标识对应的密钥；

利用所述密钥从非关系型数据库查询出与所述密钥对应的权限作为目标权限；

将所述目标权限中所述要修改的权限替换为所述修改后的权限。

5.根据权利要求1所述的方法，其特征在于，所述注册请求还包括第一访问端标识，所述登录请求包括第二访问端标识，所述将所述用户信息、身份验证信息、账户标识、第一密钥、权限及第一解密策略对应存储，包括：

将所述用户信息、身份验证信息、账户标识、第一访问端标识、第一密钥、权限及第一解密策略对应存储；

在获取所述登录请求中账户标识对应的身份验证信息，并根据所述身份验证信息向所述访问端发送身份验证请求，以对所述访问端的用户的身份进行验证之前，所述方法还包括：

判断所述登录请求中账户标识对应的第一访问端标识是否与所述登录请求中的第二访问端标识一致；

所述在所述登录请求不包括加密后的密钥的情况下，获取所述登录请求中账户标识对应的身份验证信息，并根据所述身份验证信息向所述访问端发送身份验证请求，以对所述访问端的用户的身份进行验证，包括：

在所述登录请求不包括加密后的密钥或者所述第一访问端标识不与所述第二访问端标识一致的情况下，获取所述登录请求中账户标识对应的身份验证信息，并根据所述身份验证信息向所述访问端发送身份验证请求，以对所述访问端的用户的身份进行验证。

6.根据权利要求1所述的方法，其特征在于，所述身份验证信息为手机号，所述根据所述身份验证信息向所述访问端发送身份验证请求，以对所述访问端的用户的身份进行验证，包括：

向所述手机号发送由所述目标系统随机生成的第一短信验证码；

向所述访问端发送页面以提示用户接收第一短信验证码；

接收通过所述页面提交的第二短信验证码，并将所述第一短信验证码与所述第二短信验证码进行比对以对所述访问端的用户的身份进行验证。

7.根据权利要求1所述的方法，其特征在于，所述身份验证信息为问题信息和对应的第一答案信息，所述根据所述身份验证信息向所述访问端发送身份验证请求，以对所述访问端的用户的身份进行验证，包括：

向所述访问端发送记录了所述问题信息的页面；

接收来自所述访问端的通过所述页面提交的第二答案信息；

将所述第一答案信息和所述第二答案信息进行比对，以对所述访问端的用户的身份进行验证。

8.一种基于密钥的权限管理装置，其特征在于，所述装置运行有目标系统，所述装置包括：

接收模块，被配置为接收用户通过访问端初次访问目标系统时提交的注册请求，所述注册请求包括用户信息和身份验证信息；

建立和授予模块，被配置为根据所述注册请求中的用户信息建立所述用户的账户，并向所述账户授予基本权限，作为所述账户的权限，所述账户包括账户标识；

存储模块，被配置为为所述账户生成一个第一密钥并随机获取第一加密策略，确定与所述第一加密策略对应的第一解密策略，并将所述用户信息、身份验证信息、账户标识、第一密钥、权限及第一解密策略对应存储；

加密模块，被配置为按照所述第一加密策略对所述第一密钥进行加密，并将加密后的所述第一密钥发送至所述访问端；

第一判断模块，被配置为当接收到来自访问端的登录请求，判断所述登录请求中是否包括加密后的密钥，所述登录请求包括与所述账户对应的账户标识；

验证模块，被配置为在所述登录请求不包括加密后的密钥的情况下，获取所述登录请求中账户标识对应的身份验证信息，并根据所述身份验证信息向所述访问端发送身份验证请求，以对所述访问端的用户的身份进行验证；

发送模块，被配置为若验证通过，则通过所述登录请求并转至发送新密钥步骤，所述发送新密钥步骤包括：为所述账户生成一个未生成过的第二密钥，随机获取未对所述账户使用过的第二加密策略，确定与所述第二加密策略对应的第二解密策略，并在按照所述第二加密策略对所述第二密钥进行加密后，将加密后的所述第二密钥发送至所述访问端，并分别将存储的所述第一密钥和所述第一解密策略对应替换为所述第二密钥和所述第二解密策略；

提醒模块，被配置为若验证未通过，则转至登录失败提醒步骤，所述登录失败提醒步骤包括：拒绝所述登录请求并向所述访问端返回登录失败的提醒信息；

第二判断模块，被配置为在所述登录请求包括加密后的密钥的情况下，获取所述登录请求中账户标识对应的第一解密策略和第一密钥,并利用所述第一解密策略对加密后的密钥进行解密，以判断解密结果是否与所述第一密钥一致；以及

若所述解密结果与所述第一密钥一致，则通过所述登录请求并转至所述发送新密钥步骤，否则，则转至所述登录失败提醒步骤。

9.一种计算机可读程序介质，其特征在于，其存储有计算机程序指令，当所述计算机程序指令被计算机执行时，使计算机执行根据权利要求1至7中任一项所述的方法。

10.一种电子设备，其特征在于，所述电子设备包括：

处理器；

存储器，所述存储器上存储有计算机可读指令，所述计算机可读指令被所述处理器执行时，实现如权利要求1至7任一项所述的方法。

Images