CN112311779B - 应用于区块链系统的数据访问控制方法及装置 - Google Patents

Abstract

本申请揭示了一种应用于区块链系统的数据访问控制方法，该方法包括：当接收到用户对区块链系统中的目标区块链的数据访问请求时，将用户的身份标识发送至区块链系统中的主区块链，以指示主区块链根据用户的身份标识将用户的身份凭证数据发送至目标区块链，身份凭证数据是主区块链对用户进行身份验证通过后，在主区块链上生成的；根据目标区块链上存储的主区块链的主链公钥，在目标区块链上进行身份凭证数据中含有的主链签名的验证；若身份凭证数据中含有的主链签名在目标区块链上通过验证，则允许用户对目标区块链进行数据访问。本申请实施例的技术方案只需要用户在主区块链上进行一次身份验证，即可访问多条区块链上的数据。

Description

应用于区块链系统的数据访问控制方法及装置

技术领域

本申请涉及区块链技术领域，具体涉及一种应用于区块链系统的数据访问控制方法及装置、电子设备、计算机可读存储介质。

背景技术

当用户需要访问多条区块链上的数据时，需要在每条区块链上分别进行用户身份验证，只有当用户身份通过验证后，才允许用户操作相应区块链上的数据。但是，用户需要访问的区块链的数量越多，进行用户身份验证的次数和复杂度也越高。

发明内容

为解决上述技术问题，本申请的实施例提供了一种应用于区块链系统的数据访问控制方法及装置、电子设备、计算机可读存储介质。

根据本申请实施例的一个方面，提供了一应用于区块链系统的数据访问控制方法，所述区块链系统中部署有多条区块链，所述方法包括：当接收到用户对所述区块链系统中的目标区块链的数据访问请求时，将所述用户的身份标识发送至所述区块链系统中的主区块链，以指示所述主区块链根据所述用户的身份标识将所述用户的身份凭证数据发送至所述目标区块链，所述身份凭证数据是所述主区块链对所述用户进行身份验证通过后，在所述主区块链上生成的；根据所述目标区块链上存储的所述主区块链的主链公钥，在所述目标区块链上进行所述身份凭证数据中含有的主链签名的验证；若所述身份凭证数据中含有的主链签名在所述目标区块链上通过验证，则允许所述用户对所述目标区块链进行数据访问。

根据本申请实施例的一个方面，提供了一种应用于区块链系统的数据访问控制装置，所述区块链系统中部署有多条区块链，所述装置包括：请求响应模块，配置为当接收到用户对所述区块链系统中的目标区块链的数据访问请求时，将所述用户的身份标识发送至所述区块链系统中的主区块链，以指示所述主区块链根据所述用户的身份标识将所述用户的身份凭证数据发送至所述目标区块链，所述身份凭证数据是所述主区块链对所述用户进行身份验证通过后，在所述主区块链上生成的；数据验证模块，配置为根据所述目标区块链上存储的所述主区块链的主链公钥，在所述目标区块链上进行所述身份凭证数据中含有的主链签名的验证；访问控制模块，配置为若所述身份凭证数据中含有的主链签名在所述目标区块链上通过验证，则允许所述用户对所述目标区块链进行数据访问。

根据本申请实施例的一个方面，提供了一种电子设备，包括处理器及存储器，所述存储器上存储有计算机可读指令，所述计算机可读指令被所述处理器执行时实现如上所述的方法。

根据本申请实施例的一个方面，提供了一种计算机可读存储介质，其上存储有计算机可读指令，当所述计算机可读指令被计算机的处理器执行时，使计算机执行如上所述的应用于区块链系统的数据访问控制方法。

根据本申请实施例的一个方面，提供了一种计算机程序产品或计算机程序，该计算机程序产品或计算机程序包括计算机指令，该计算机指令存储在计算机可读存储介质中。计算机设备的处理器从计算机可读存储介质读取该计算机指令，处理器执行该计算机指令，使得该计算机设备执行上述各种可选实施例中提供的应用于区块链系统的数据访问控制方法。

在本申请的实施例提供的技术方案中，区块链系统所部署的多条区块链中包含有主区块链和子区块链，主区块链的主链公钥预先同步至各个子区块链上存储，并且用户预先在主区块链上进行身份验证，用户身份在主区块链上通过验证后，主区块链相应生成以及存储用户的身份凭证数据。而当用户对区块链系统中的目标区块链发起数据请求时，由于用户身份预先在主区块链上通过验证，则由主区块链将用户的身份凭证数据发送至目标区块链，并由目标区块链根据主区块链的主链公钥对用户的身份凭证数据中含有的主链签名进行验证，如果验证通过，则表示用户身份在目标区块链上也通过验证。

可以看出，本申请实施例的技术方案只需要用户在主区块链上进行一次身份验证，即可访问其它的子区块链和主区块链上的数据，极大地提升了用户进行区块链数据访问的效率。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本申请。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本申请的实施例，并与说明书一起用于解释本申请的原理。显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术者来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。在附图中：

图1是本申请涉及的一种实施环境的示意图；

图2是根据一示例性实施例示出的一种应用于区块链系统的数据访问控制方法的流程图；

图3是在主区块链上对用户的身份进行验证的流程示意图；

图4是根据另一示例性实施例示出的一种应用于区块链系统的数据访问控制方法的流程图；

图5是本申请的实施例提供的应用于区块链系统的数据访问控制方法在一个示例性应用场景中的流程示意图；

图6是根据一示例性实施例示出的一种应用于区块链系统的数据访问控制装置的框图；

图7是根据一示例性实施例示出的一种电子设备的结构示意图。

具体实施方式

这里将详细地对示例性实施例执行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

附图中所示的方框图仅仅是功能实体，不一定必须与物理上独立的实体相对应。即，可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。

附图中所示的流程图仅是示例性说明，不是必须包括所有的内容和操作/步骤，也不是必须按所描述的顺序执行。例如，有的操作/步骤还可以分解，而有的操作/步骤可以合并或部分合并，因此实际执行的顺序有可能根据实际情况改变。

还需要说明的是：在本申请中提及的“多个”是指两个或者两个以上。“和/或”描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。字符“/”一般表示前后关联对象是一种“或”的关系。

请参阅图1，图1是本申请涉及的一种实施环境的示意图。

该实施环境具体为一区块链系统，如图1所示，该区块链系统包括至少一个数据服务器10、接入服务器20和至少一个用户终端30，数据服务器10与接入服务器20之间、以及接入服务器20和用户终端30之间分别建立有线或者无线通信连接。

数据服务器10中存储有至少一条区块链，因此该区块链系统中含有多条区块链，并且该多条区块链具体包括主区块链和子区块链，主区块链与各条子区块链之间也建立有通信连接。用户终端30用于提供用户交互功能，使得用户通过触发用户终端30即能够对数据服务器10中存储的区块链进行数据访问等操作。接入服务器20则用于实现用户终端30对数据服务器10中存储的区块链进行数据访问过程中的控制处理。

例如，当用户终端30发起对于目标区块链的数据访问请求时，接入服务器20将用户的身份标识发送至主区块链，并指示主区块链根据用户的身份标识将用户的身份凭证数据发送至目标区块链，然后根据目标区块链上存储的主区块链的主链公钥，在目标区块链上进行身份凭证数据中含有的主链签名的验证，若身份凭证数据中含有的主链签名在目标区块链上通过验证，接入服务器20则允许用户对目标区块链进行数据访问。其中，用户的身份凭证数据是主区块链预先对用户进行身份验证通过后生成的。

基于以上的控制过程，使得用户只需在主区块链上进行一次身份验证，即可对子区块链以及主区块链进行数据访问，用户访问子区块链时只需验证主区块链传输的用户的身份凭证数据中的主链签名即可，因此简化了用户对多条区块链进行数据访问的身份验证的流程，也提升了用户进行数据访问的用户体验。

需要说明的是，在图1所示的区块链系统中，用户终端30可以是智能手机、平板、笔记本电脑、计算机等电子设备；数据服务器10和接入服务器20可以是独立的物理服务器，也可以是多个物理服务器构成的服务器集群或者分布式系统，还可以是提供云服务、云数据库、云计算、云函数、云存储、网络服务、云通信、中间件服务、域名服务、安全服务、CDN(Content Delivery Network，内容分发网络)以及大数据和人工智能平台等基础云计算服务的云服务器，本处均不对此进行限制。

请参阅图2，图2是根据一示例性实施例示出的一种应用于区块链系统的数据访问控制方法的流程图。

该方法可以应用于图1所示的实施环境，例如由图1所示实施环境中的接入服务器20具体执行。该方法也可以应用于其它的区块链系统中，这些区块链系统中部署有多条区块链。

需要理解的是，本实施例所指的区块链是借由密码学串接并保护内容的串连文字记录，区块链中的每一个区块包含了前一个区块的加密散列、相应时间戳以及交易数据(通常用默克尔树算法计算的散列值表示)，这样的设计使得区块内容具有难以篡改的特性。

如图2所示，本实施例所提出的应用于区块链系统的数据访问控制方法可以包括步骤S210至步骤S250，详细介绍如下：

步骤S210，当接收到用户对于区块链系统中的目标区块链的数据访问请求时，将用户的身份标识发送至区块链系统中的主区块链，以指示主区块链根据用户的身份标识将用户的身份凭证数据发送至目标区块链。

首先需要说明的是，本实施例所涉及的区块链系统中部署的多条区块链被区分为主区块链和子区块链。主区块链作为多条区块链中权威的区块链，用于对用户的身份进行验证，并在用户的身份验证通过后生成用户的身份凭证数据，将用户的身份凭证数据保存在主区块链上，因此用户的身份凭证数据能够证明用户的身份已在主区块链上通过验证。主区块链上还生成有成对的主链私钥和主链公钥，主链公钥同步存储至各条子区块链上。

目标区块链是指用户想要进行数据访问的区块链，例如目标区块链具体可以是子区块链或者主区块链，本处并不对此进行限制。

还需要说明的是，为确保区块链数据的安全性，用户在访问区块链数据时需要对用户的身份进行验证，只有身份验证通过后的用户才能够被区块链系统允许访问区块链上存储的数据。

在本实施例中，用户的身份标识是用于唯一标识用户身份的信息，例如区块链系统中的各个用户分别具有各自的用户账号，并通过各自的用户账号在区块链系统中进行相应的用户操作，因此可以将用户在区块链系统中的用户账号作为用户的身份标识。当接收到用户对目标区块链的数据访问请求时，可以提取数据访问请求中携带的用户的身份标识，并将提取得到的身份标识发送给主区块链，使得主区块链根据用户的身份标识将自身保存的用户的身份凭证数据发送给目标区块链。

示例性的，可以将用户的身份标识传输至目标区块链，使得目标区块链根据用户的身份标识向主区块链请求获取用户的身份凭证数据；主区块链则响应于目标区块链的请求，将自身存储的用户的身份凭证数据回传给目标区块链。或者，还可以基于用户的身份标识和目标区块链的链标识向主区块链发送请求，以请求主区块链将于用户的身份标识对应的身份凭证数据发送至链标识所对应的目标区块链，本实施例不对此进行限制。

在另一些实施例中，用户的身份标识还可以是主区块链对用户进行身份验证通过后为用户分配的标识信息，例如可以是主区块链为用户托管生成的用户公钥，因此用户的身份标识还可以用于表征用户的身份在主区块链上通过验证。基于此，区块链系统将会得到一个或多个身份标识集合，身份标识集合中存储有主区块链针对不同的用户进行身份验证通过后，为各个用户所分配的身份标识。

当接收到用户对于区块链的数据访问请求时，可以根据数据访问请求中携带的用户信息，在身份标识集合中查找用户的身份标识，然后将查找到的用户的身份标识发送给主区块链，以使主区块链根据用户的身份标识将自身保存的用户的身份凭证数据发送给目标区块链。

如果未在身份标识集合中查找到用户的身份标识，则表示用户还未在主区块链上进行身份验证，主区块链上也未保存有用户的身份凭证数据，因此需要向用户返回数据访问失败通知，或者在主区块链上对用户进行身份验证。需要说明的是，用户信息可以是用户在区块链系统中的用户账号，或者是能够用于标识用户身份的其它信息，用户在主区块链上进行身份验证的详细过程请参见下述的实施例，本处不对此进行限制。

另外，考虑到用户想要进行数据访问的目标区块链可能是主区块链，也可能是子区块链，如果目标区块链是主区块链，并且主区块链已经预先对用户身份验证通过，用户则可以直接对主区块链数据进行数据访问。因此在一些实施例中，在接收到用户对于目标区块链的数据访问请求后，可以根据接收到的数据访问请求，确定用户所请求进行数据访问的目标区块链是否为主区块链，若确定目标区块链为子区块链，则将用户的身份标识发送至主区块链，使得主区块链根据用户的身份标识将自身保存的用户的身份凭证数据发送给相应的子区块链，该子区块链则基于对用户的身份凭证数据中的主链签名的验证，实现子区块链对于用户身份的验证。若用户的身份凭证数据中含有的主链签名在子区块链上通过验证，则允许用户能够访问该子区块链中的数据。

而如果确定用户所请求进行数据访问的目标区块链是主区块链，则进一步确定用户的身份是否在主区块链上通过验证，例如可以在区块链系统存储的身份标识集合中查找用户的身份标识，如果查找到用户的身份标识，则表示用户的身份已经在主区块链上通过验证，因此允许用户对主区块链进行数据访问。若确定用户的身份还未在主区块链上通过验证，则可以按照下述的实施例中所详细描述的过程，执行用户在主区块链上进行身份验证的过程，本处也不对此进行赘述。

步骤S230，根据目标区块链上存储的主区块链的主链公钥，在目标区块链上进行身份凭证数据中含有的主链签名的验证。

如前所述的，主区块链上会生成主区块链的主链私钥和主链公钥，并且主链公钥会同步至各条子区块链上进行存储，因此主区块链和子区块链上都将存储有主区块链的主链公钥。需要理解的是，主区块链的主链私钥和主链公钥往往是成对出现的，主链私钥用于进行数字签名，而主链公钥用于进行数字签名的验证。

用户的身份凭证数据是主区块链对用户的身份验证通过后，基于主链私钥对用户数据进行签名得到主链签名后，将用户的身份数据和主链签名打包组合得到的，因此，目标区块链在接收到主区块链发送的用户的身份凭证数据后，根据自身存储的主链公钥对身份凭证数据中含有的主链签名的验证的过程，与主区块链对用户数据进行签名的过程是相对应的。

示例性的，用户数据至少包括用户的身份数据，用户的身份数据可以包括用户人脸、用户的智能设备所接收到的短信验证码等数据，以基于用户的身份数据实现对用户的身份验证。

步骤S250，若身份凭证数据中含有的主链签名在目标区块链上通过验证，则允许用户对目标区块链进行数据访问。

在本实施例中，如果目标区块链基于主链公钥对用户的身份凭证数据中含有主链签名验证通过，则表示目标区块链获取得到用户的身份在主区块链上通过验证的凭证。

由于用户的身份凭证数据是直接存储在区块链上的，并且用户的身份凭证数据的传输也是区块链与区块链之间的传输，能够保证用户的身份数据不被篡改，加上主区块链的主链公钥也是存储在区块链上的，使得本实施例中的目标区块链基于主链公钥对用户的身份凭证数据中含有主链签名进行验证的过程具备极高的可靠性，因此目标区块链信任主区块链对于用户进行的身份验证，可以相当于用户的身份在目标区块链上通过验证，因此允许用户对目标区块链进行数据访问。

根据上述内容可以得出，不论用户想要进行数据访问的目标区块链为主区块链还是子区块链上，均只需要在主区块链上进行一次身份验证，也即用户身份在多条区块链上仅通过一次鉴权就可以被多次信任，并实现信任传递，相比于对现有技术中用户需要在多条区块链上分别进行一次身份验证，并且只有在身份验证通过后才能访问相应的区块链，本实施例中的子区块链仅通过对主区块链发送的用户的身份凭证数据中的主链签名进行验证，即可实现对用户身份的简易验证，同时能够保证用户身份验证的安全性，使得用户进行多条区块链的数据访问过程更加简单，因此能够在极大程度上提升用户的数据访问体验。

图3是在主区块链上对用户的身份进行验证的流程示意图。如图3所示，在主区块链上对用户进行身份验证的过程可以包括步骤S310至步骤S350，详细介绍如下：

步骤S310，根据用户的身份数据，在主区块链上对用户进行身份验证。

如前所述的，用户的身份数据可以包括用户人脸、用户所使用的智能设备接收到的短信验证码等数据。

主区块链对用户进行身份验证的过程可以理解为用户在主区块链上进行注册的过程，例如，当接收到用户在主区块链上进行注册的请求后，主区块链根据用户的身份数据对用户进行一系列的身份验证操作，例如通过对用户进行人脸验证、短信验证等操作，以验证用户的身份是否有效。如果用户的身份验证不通过，用户则无法在主区块链上注册。

步骤S330，若用户的身份验证通过，则基于主区块链的主链私钥，在主区块链上对用户对应的用户数据进行签名，得到主链签名。

在本实施例中，用户对应的用户数据不仅可以包括用户的身份数据，还可以包括用户签名和用户公钥。主区块链根据主区块链的主链私钥对用户的身份数据、用户签名和用户公钥进行签名，即可得到主链签名。

其中，主区块链对用户的身份验证通过后，会替用户托管生成用户私钥和用户公钥，并根据用户私钥对用户的身份数据进行签名，即可得到用户签名。需要理解的是，用户私钥和用户公钥也应当是成对出现的，通过用户私钥对用户的身份数据进行签名所得到的用户签名，可以通过用户私钥进行相应验证。

步骤350，将用户数据和主链签名作为用户的身份凭证数据。

主区块链将上述的各项用户数据以及得到的主链签名进行打包组合，从而得到用户的身份凭证数据。

在得到用户的身份凭证数据后，主区块链还将用户的身份凭证数据进行上链，由此将用户的身份凭证数据存储在主区块链上，以保证用户的身份凭证数据不被篡改。

并且，主区块链还针对自身存储的用户的身份凭证数据向用户分配相应的身份标识，例如该身份标识可以是主区块链为在进行用户身份验证的过程中为用户托管生成的用户公钥，区块链系统则将主区块链为用户分配的身份标识加入到身份标识集合中，以基于用户的身份标识来表征此用户已经在主区块链上通过身份验证。

由此可知，本实施例中的主区块链根据用户的身份数据对用户进行身份验证通过后，基于主链私钥对用户的身份数据、用户签名和用户公钥进行签名，得到主链签名，然后将用户的身份数据、用户签名、用户公钥和主链签名打包生成用户的身份凭证数据，并将用户的身份凭证数据上链存储，由此保证用户的身份凭证数据是在区块链之间进行可靠传输的，确保了用户的身份凭证数据的可靠性。

并且在另外的实施例中，由于用户的身份凭证数据中还含有用户签名，当用户的身份凭证数据中含有的主链签名在目标区块链上通过验证之后，还可以根据目标区块链上存储的用户公钥，在目标区块链上对身份凭证数据中含有的用户签名进行验证，若用户的身份凭证数据中含有的用户签名在目标区块链上也通过验证，则允许用户对目标区块链进行数据访问。

需要说明的是，目标区块链链上存储的用户公钥也是从主区块链同步至目标区块链上进行存储的，例如主区块链为用户托管生成用户私钥和用户公钥后，将用户公钥发送至各个子区块链中进行存储，由此使得主区块链和各个子区块链上均存储有用户公钥。

由此，本实施例的方法还根据用户公钥对用户的身份凭证数据进一步进行验证，进一步地保证了目标区块链上进行用户身份验证的可靠性，也进一步提升了用户访问目标区块链中的数据的安全性。

在图4所示的实施例中，在步骤S210之前，该应用于区块链系统的数据访问控制方法还包括步骤S410和步骤S430，详细介绍如下：

步骤S410，在主区块链上生成主区块链的主链私钥和主链公钥。

在本实施例中，可以是在确定区块链系统中含有的主区块链和子区块链之后，在主区块链上生成主区块链的主链私钥和主链公钥，或者可以是用户在向主区块链请求注册之前，主区块链生成主链私钥和主链公钥，本实施例不对此进行限制。

步骤S430，将主链公钥同步存储至子区块链上。

主区块链将自身的主链公钥同步至各个子区块链上进行存储，使得各个子区块链在接收到主区块链发送的身份凭证数据后，可以根据存储的主链公钥对身份凭证数据中含有的主链签名进行验证，由此实现用户的身份在子区块链上的简易验证，详细过程如前述的实施例所示，本处不再进行赘述。

在一些实施例中，区块链系统所含有的各条区块链上均部署有跨链网关，也即主区块链和各条子区块链上都部署有跨链网关，跨链网关之间可以构建数据传输通道，因此可以基于各条区块链上部署的跨链网关来构建各条子区块链分别与主区块链之间的数据传输通道，以将主区块链上生成的主链公钥传输至子区块链中进行存储。

需要说明的是，任意需要在主区块链与子区块链之间传输的数据都可以基于跨链网关之间构建的数据传输通道进行传输，例如用户的身份凭证数据、用户公钥等，并不限于仅对主区块链上生成的主链公钥进行传输。

在另一些实施例中，主区块链可以基于子区块链与主区块链之间的数据传输通道，直接将主链公钥传输至各个子区块链中存储；或者，主区块链上还可以生成携带有主链公钥的主链证书，并通过子区块链与主区块链之间的数据传输通道将主链证书发送至子区块链，以使子区块链能够获取到主区块链的主链公钥，并将主链公钥存储于链上，由此实现主链公钥在主区块链和子区块链之间的同步存储。

还需要说明的是，区块链中配置的跨链网关可以理解为是区块链的组成部分，它可以用于实现对接具体的区块链以及转发跨链消息等功能，例如它可以提供区块链适配、跨链交易监听、跨链交易路由等功能。因此，跨链网关是用于实现跨链数据传输的一种技术，能够将一区块链上的数据安全可信地转移到另一区块链上。

由此可知，本实施例通过跨链传输技术将主区块链中的数据传输至子区块链中进行存储，充分保证了主区块链和子区块链之间所传输数据的可靠性，从而提高了本实施例所涉及区块链系统中的子区块链对用户身份进行鉴权的可靠程度。

图5是本申请的实施例所提供的应用于区块链系统的数据访问控制方法在一个示例性应用场景中的流程示意图。

如图5所示，该示例性的区块链系统包括用户接入平台、一条主区块链和两条以上子区块链。其中，用户接入平台是对接用户的业务平台，底层对接有多条区块链，用户通过该平台与底层的区块链进行信息交互。每条区块链上均部署有跨链网关，并且每条子区块链上部署的跨链网关均与主区块链上部署的跨链网关建立数据传输通道，使得主区块链与各条子区块链之间可以基于数据传输通道进行跨链数据传输。

主区块链首先生成自身的凭证信息，例如生成主区块链自身颁发的主链证书，主链证书中含有主链公钥，并将主链证书通过跨链网关之间所建立的数据传输通道同步到其它的子区块链上存储。

当用户通过用户接入平台在主区块链上进行注册时，主区块链根据用户的身份数据对用户进行一系列身份验证，例如对用户人脸进行验证、验证用户通过用户接入平台输入的短信验证码等。若主区块链对用户的身份验证不通过，用户则无法在主区块链上注册。

如果主区块链对用户的身份验证通过，会替用户托管生成一对用户私钥和用户公钥，并使用用户私钥对用户的身份数据进行签名，得到用户签名。然后主区块链使用自身的主链私钥对用户的身份数据、用户签名及用户公钥进行签名，得到主链签名。主区块链将用户的身份数据、用户签名、用户公钥和主链签名打包组成用户的身份凭证数据，并将用户的身份凭证数据上链。并且，主区块链还向用户接入平台返回用户的身份标识，身份标识可以为用户公钥，以通过用户的身份标识唯一标识该用户的身份，以及标识该用户的身份已经在主区块链上通过验证。

用户若请求访问子区块链上的数据，首先需要在子区块链上完成身份的验证。用户接入平台首先将用户的身份标识发送给子区块链，然后子区块链通过跨链网关将用户的身份标识传输至主区块链，并向主区块链请求获取用户的身份凭证数据，主区块链接收到用户的身份标识后，通过跨链网关将与用户的身份标识相对应的身份凭证数据返回给子区块链。子区块链在获取得到用户的身份凭证数据后，使用主区块链之前同步的主链公钥验证用户的身份凭证数据中的主链签名，验证通过则表示子区块链对用户的身份验证通过，从而可以允许用户访问子区块链上的数据，由此实现用户的身份在子区块链上的简易验证。

由于主区块链的主链私钥和主链私钥都是存储在区块链中，可以保证主链私钥和主链私钥的安全性。并且主区块链验证用户身份通过后生成的身份凭证数据也是直接存储在区块链上，用户的身份凭证数据的传输也是在区块链与区块链之间进行传输，可以保证用户的身份凭证数据的不可篡改，从而能够提高用户鉴权的可靠程度。

若用户请求访问主区块链上的数据，由于用户已经预先在主区块链上进行注册，也即用户的身份已经预先在主区块链上通过验证，因此用户可以直接对主区块链上的数据进行访问等操作。

由上可知，无论用户访问几条区块链，都只需要用户在主区块链上进行验证一次身份，也即用户的身份数据在多条区块链上仅通过一次鉴权就可以被多次信任，并实现信任传递，从而简化了用户访问多条区块链所需的用户鉴权流程的复杂性。

图5所示的示意性流程具体可以应用在金融支付场景中，例如，用户接入平台可以实现为支持多渠道支付的用户支付平台，多条区块链分别由微信、支付宝等不同的支付后台实现，当用户需要在用户接入平台上以不同的支付方式完成多笔交易时，用户只需要预先在其中一个权威的支付后台中进行身份验证，然后基于该权威的支付后台与其它的支付后台之间的鉴权信任传递，即可实现其它的支付后台对于用户身份的简单且可靠的验证，能够极大地提升用户的支付体验。

图5所示的示意性流程还可以应用在企业信息管理场景中，例如，用户接入平台可以实现为管理企业的多种数据的企业信息管理平台，多条区块链分别实现为企业税务信息、企业票务信息等不同类型的企业数据的存储后台，当用户需要在企业信息管理平台上授权查询企业的多种数据时，只需在主区块链上进行一次身份验证后，即可方便地查询多个子区块链上的数据，无需在不同的区块链上多次进行人脸验证、短信验证等复杂的用户身份验证过程，不仅能够保证企业数据的安全性，也极大地提升了用户体验。

图6是根据一示例性实施例示出的一种应用于区块链系统的数据访问控制装置的框图，其中，该区块链系统中部署有多条区块链。如图6所示，该装置包括：

请求响应模块510，配置为当接收到用户对区块链系统中的目标区块链的数据访问请求时，将用户的身份标识发送至区块链系统中的主区块链，以指示主区块链根据用户的身份标识将用户的身份凭证数据发送至目标区块链，身份凭证数据是主区块链对用户进行身份验证通过后，在主区块链上生成的；数据验证模块530，配置为根据目标区块链上存储的主区块链的主链公钥，在目标区块链上进行身份凭证数据中含有的主链签名的验证；访问控制模块550，配置为若身份凭证数据中含有的主链签名在目标区块链上通过验证，则允许用户对目标区块链进行数据访问。

在另一示例性实施例中，该装置还包括：

身份验证模块，配置为根据用户的身份数据，在主区块链上对用户进行身份验证；主链签名模块，配置为若用户的身份验证通过，则基于主区块链的主链私钥，在主区块链上对用户对应的用户数据进行签名，得到主链签名，用户数据包括身份数据；凭证数据获取模块，配置为将用户数据和主链签名作为用户的身份凭证数据。

在另一示例性实施例中，用户数据还包括用户的用户签名和用户公钥，主链签名模块包括：

用户密钥生成单元，配置为在主区块链上生成用户公钥，以及生成与用户公钥相对应的用户私钥；私钥签名单元，配置为根据用户私钥对身份数据进行签名，得到用户签名，并根据主区块链的主链私钥对身份数据、用户签名和用户公钥进行签名，得到主链签名。

在另一示例性实施例中，该装置还包括：

身份凭证存储模块，配置为在主区块链上存储身份凭证数据；身份标识获取模块，配置为获取主区块链针对存储的身份凭证数据所分配的身份标识，身份标识用于唯一标识用户的身份。

在另一示例性实施例中，多条区块链中还含有子区块链，该装置还包括：

主链密钥生成模块，配置为在主区块链上生成主区块链的主链私钥和主链公钥；主链公钥同步模块，配置为将主链公钥同步存储至子区块链上。

在另一示例性实施例中，区块链上配置有跨链网关，跨链网关用于构建子区块链与主区块链之间的数据传输通道，主链公钥同步模块配置为基于子区块链与主区块链之间的数据传输通道，将主区块链生成的主链公钥传输至子区块链中进行存储。

在另一示例性实施例中，主链公钥同步模块包括：

主链证书生成单元，配置为在主区块链上生成携带有主链公钥的主链证书；主链证书同步单元，将主链证书发送至子区块链，以使主区块链和子区块链分别存储主链公钥。

在另一示例性实施例中，该装置还包括：

用户签名验证模块，配置为根据目标区块链上存储的用户公钥，在目标区块链上对身份凭证数据中含有的用户签名进行验证，用户公钥是从主区块链同步至目标区块链上的，若身份凭证数据中含有的用户签名在目标区块链上通过验证，则允许用户对目标区块链进行数据访问。

在另一示例性实施例中，请求响应模块510包括：

请求判定单元，配置为根据接收到的数据访问请求，确定用户所请求进行数据访问的目标区块链是否为主区块链，若确定目标区块链为多条区块链中的子区块链，则将用户的身份标识发送至主区块链。

在另一示例性实施例中，请求响应模块510还包括：

通过确认单元，配置为若确定目标区块链为主区块链，则进一步确定用户的身份是否在主区块链上通过验证，若确定用户的身份在主区块链上通过验证，则允许用户对主区块链进行数据访问。

在另一示例性实施例中，请求响应模块510包括：

身份标识查找单元，配置为根据数据访问请求中携带的用户信息，在身份标识集合中查找用户的身份标识，身份标识集合是根据主区块链发送的身份标识所构建得到的，主区块链发送的身份标识用于指示所标识用户的身份在主区块链上通过验证；身份标识发送单元，配置为将查找到的用户的身份标识发送至主区块链。

在另一示例性实施例中，请求响应模块510还包括：

失败响应单元，配置为若未在身份标识集合中查找到用户的身份标识，则向用户返回数据访问失败通知，或者执行主区块链对用户进行身份验证的过程。

需要说明的是，上述实施例所提供的装置与上述实施例所提供的方法属于同一构思，其中各个模块和单元执行操作的具体方式已经在方法实施例中进行了详细描述，此处不再赘述。

本申请的实施例还提供了一种电子设备，包括处理器和存储器，其中，存储器上存储有计算机可读指令，该计算机可读指令被处理器执行时实现如前所述的应用于区块链系统的数据访问控制方法。

图7中示出了适于用来实现本申请实施例的电子设备的计算机系统的结构示意图。需要说明的是，图7示出的电子设备的计算机系统1600仅是一个示例，不应对本申请实施例的功能和使用范围带来任何限制。

如图7所示，计算机系统1600包括中央处理单元(Central Processing Unit，CPU)1601，其可以根据存储在只读存储器(Read-Only Memory，ROM)1602中的程序或者从存储部分1608加载到随机访问存储器(Random Access Memory，RAM)1603中的程序而执行各种适当的动作和处理，例如执行上述实施例中所述的方法。在RAM 1603中，还存储有系统操作所需的各种程序和数据。CPU 1601、ROM 1602以及RAM 1603通过总线1604彼此相连。输入/输出(Input/Output，I/O)接口1605也连接至总线1604。

以下部件连接至I/O接口1605：包括键盘、鼠标等的输入部分1606；包括诸如阴极射线管(Cathode Ray Tube，CRT)、液晶显示器(Liquid Crystal Display，LCD)等以及扬声器等的输出部分1607；包括硬盘等的存储部分1608；以及包括诸如LAN(Local AreaNetwork，局域网)卡、调制解调器等的网络接口卡的通信部分1609。通信部分1609经由诸如因特网的网络执行通信处理。驱动器1610也根据需要连接至I/O接口1605。可拆卸介质1611，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器1610上，以便于从其上读出的计算机程序根据需要被安装入存储部分1608。

特别地，根据本申请的实施例，上文参考流程图描述的过程可以被实现为计算机软件程序。例如，本申请的实施例包括一种计算机程序产品，其包括承载在计算机可读介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的计算机程序。在这样的实施例中，该计算机程序可以通过通信部分1609从网络上被下载和安装，和/或从可拆卸介质1611被安装。在该计算机程序被中央处理单元(CPU)1601执行时，执行本申请的系统中限定的各种功能。

需要说明的是，本申请实施例所示的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(Erasable Programmable Read Only Memory，EPROM)、闪存、光纤、便携式紧凑磁盘只读存储器(Compact Disc Read-Only Memory，CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本申请中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本申请中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的计算机程序。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的计算机程序可以用任何适当的介质传输，包括但不限于：无线、有线等等，或者上述的任意合适的组合。

附图中的流程图和框图，图示了按照本申请各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。其中，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

描述于本申请实施例中所涉及到的单元可以通过软件的方式实现，也可以通过硬件的方式来实现，所描述的单元也可以设置在处理器中。其中，这些单元的名称在某种情况下并不构成对该单元本身的限定。

本申请的另一方面还提供了一种计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现如前所述的应用于区块链系统的数据访问控制方法。该计算机可读存储介质可以是上述实施例中描述的电子设备中所包含的，也可以是单独存在，而未装配入该电子设备中。

本申请的另一方面还提供了一种计算机程序产品或计算机程序，该计算机程序产品或计算机程序包括计算机指令，该计算机指令存储在计算机可读存储介质中。计算机设备的处理器从计算机可读存储介质读取该计算机指令，处理器执行该计算机指令，使得该计算机设备执行上述各个实施例中提供的应用于区块链系统的数据访问控制方法。

上述内容，仅为本申请的较佳示例性实施例，并非用于限制本申请的实施方案，本领域普通技术人员根据本申请的主要构思和精神，可以十分方便地进行相应的变通或修改，故本申请的保护范围应以权利要求书所要求的保护范围为准。

Claims (15)

1.一种应用于区块链系统的数据访问控制方法，其特征在于，所述区块链系统中部署有多条区块链，所述方法包括：

当接收到用户对所述区块链系统中的目标区块链的数据访问请求时，将所述用户的身份标识发送至所述区块链系统中的主区块链，以指示所述主区块链根据所述用户的身份标识将所述用户的身份凭证数据发送至所述目标区块链，所述身份凭证数据是所述主区块链对所述用户进行身份验证通过后，在所述主区块链上生成的，所述主区块链是所述多条区块链中权威的区块链；

根据所述目标区块链上存储的所述主区块链的主链公钥，在所述目标区块链上进行所述身份凭证数据中含有的主链签名的验证；

若所述身份凭证数据中含有的主链签名在所述目标区块链上通过验证，则允许所述用户对所述目标区块链进行数据访问。

2.根据权利要求1所述的方法，其特征在于，在将所述用户的身份标识发送至所述区块链系统中的所述主区块链之前，所述方法还包括：

根据所述用户的身份数据，在所述主区块链上对所述用户进行身份验证；

若所述用户的身份验证通过，则基于所述主区块链的主链私钥，在所述主区块链上对所述用户对应的用户数据进行签名，得到所述主链签名，所述用户数据包括所述身份数据；

将所述用户数据和所述主链签名作为所述用户的身份凭证数据。

3.根据权利要求2所述的方法，其特征在于，所述用户数据还包括所述用户的用户签名和用户公钥；基于所述主区块链的主链私钥，在所述主区块链上对所述用户对应的用户数据进行签名，得到所述主链签名，包括：

在所述主区块链上生成所述用户公钥，以及生成与所述用户公钥相对应的用户私钥；

根据所述用户私钥对所述身份数据进行签名，得到所述用户签名，并根据所述主区块链的主链私钥对所述身份数据、所述用户签名和所述用户公钥进行签名，得到所述主链签名。

4.根据权利要求2所述的方法，其特征在于，在将所述用户数据和所述主链签名作为所述用户的身份凭证数据之后，所述方法还包括：

在所述主区块链上存储所述身份凭证数据；

获取所述主区块链针对存储的所述身份凭证数据所分配的身份标识，所述身份标识用于唯一标识所述用户的身份。

5.根据权利要求1所述的方法，其特征在于，所述多条区块链中还含有子区块链；在当接收到用户对于目标区块链的数据访问请求时，将所述用户的身份标识发送至所述主区块链之前，所述方法还包括：

在所述主区块链上生成所述主区块链的主链私钥和主链公钥；

将所述主链公钥同步存储至所述子区块链上。

6.根据权利要求5所述的方法，其特征在于，所述区块链上配置有跨链网关，所述跨链网关用于构建所述子区块链与所述主区块链之间的数据传输通道；将所述主链公钥同步存储至所述子区块链上，包括：

基于所述子区块链与所述主区块链之间的数据传输通道，将所述主区块链生成的主链公钥传输至所述子区块链中进行存储。

7.根据权利要求5所述的方法，其特征在于，将所述主链公钥同步存储至所述子区块链上，包括：

在所述主区块链上生成携带有所述主链公钥的主链证书；

将所述主链证书发送至所述子区块链，以使所述主区块链和所述子区块链分别存储所述主链公钥。

8.根据权利要求1所述的方法，其特征在于，在所述身份凭证数据中含有的主链签名在所述目标区块链上通过验证之后，所述方法还包括：

根据所述目标区块链上存储的所述用户的用户公钥，在所述目标区块链上对所述身份凭证数据中含有的用户签名进行验证，所述用户公钥是从所述主区块链同步至所述目标区块链上的；

若所述身份凭证数据中含有的用户签名在所述目标区块链上通过验证，则允许所述用户对所述目标区块链进行数据访问。

9.根据权利要求1所述的方法，其特征在于，所述当接收到用户对于目标区块链的数据访问请求时，将所述用户的身份标识发送至所述主区块链，包括：

根据接收到的所述数据访问请求，确定所述用户所请求进行数据访问的目标区块链是否为所述主区块链；

若确定所述目标区块链为所述多条区块链中的子区块链，则将用户的身份标识发送至所述主区块链。

10.根据权利要求9所述的方法，其特征在于，所述方法还包括：

若确定所述目标区块链为所述主区块链，则进一步确定所述用户的身份是否在所述主区块链上通过验证；

若确定所述用户的身份在所述主区块链上通过验证，则允许所述用户对所述主区块链进行数据访问。

11.根据权利要求1所述的方法，其特征在于，当接收到用户对于目标区块链的数据访问请求时，将所述用户的身份标识发送至所述主区块链，包括：

根据所述数据访问请求中携带的用户信息，在身份标识集合中查找所述用户的身份标识，所述身份标识集合是根据所述主区块链发送的身份标识所构建得到的，所述主区块链发送的身份标识用于指示所标识用户的身份在所述主区块链上通过验证；

将查找到的所述用户的身份标识发送至所述主区块链。

12.根据权利要求11所述的方法，其特征在于，所述方法还包括：

若未在所述身份标识集合中查找到所述用户的身份标识，则向所述用户返回数据访问失败通知，或者执行所述主区块链对所述用户进行身份验证的过程。

13.一种应用于区块链系统的数据访问控制装置，其特征在于，所述区块链系统中部署有多条区块链，所述装置包括：

请求响应模块，配置为当接收到用户对所述区块链系统中的目标区块链的数据访问请求时，将所述用户的身份标识发送至所述区块链系统中的主区块链，以指示所述主区块链根据所述用户的身份标识将所述用户的身份凭证数据发送至所述目标区块链，所述身份凭证数据是所述主区块链对所述用户进行身份验证通过后，在所述主区块链上生成的，所述主区块链是所述多条区块链中权威的区块链；

数据验证模块，配置为根据所述目标区块链上存储的所述主区块链的主链公钥，在所述目标区块链上进行所述身份凭证数据中含有的主链签名的验证；

访问控制模块，配置为若所述身份凭证数据中含有的主链签名在所述目标区块链上通过验证，则允许所述用户对所述目标区块链进行数据访问。

14.一种电子设备，其特征在于，包括：

存储器，存储有计算机可读指令；

处理器，读取存储器存储的计算机可读指令，以执行权利要求1-12中的任一项所述的方法。

15.一种计算机可读存储介质，其特征在于，其上存储有计算机可读指令，当所述计算机可读指令被计算机的处理器执行时，使计算机执行权利要求1-12中的任一项所述的方法。

Images