用户数据的访问控制系统、方法、装置以及电子设备与流程

1.本发明涉及信息安全技术领域，尤其涉及一种用户数据的访问控制系统、方法、装置以及电子设备。


背景技术：

2.众所周知的是，人们在利用网络方便自己的生产生活的同时，也在网络上留下了大量的用户个人信息，例如，姓名、年龄、身份证信息等。这些用户个人信息被存储于系统的数据库中。
3.根据网络信息安全相关要求，访问用户个人信息时，必须通过严格的审核流程，并且需要对操作访问的用户进行安全管控。
4.然而，数据库中存储的文件可以被多个用户共享，因此将用户个人信息存储在数据库中，使得这些用户个人信息可以轻易被他人非法获取，从而大大降低了用户个人信息的安全性及私密性。


技术实现要素：

5.鉴于上述问题，本发明实施例提供一种用户数据的访问控制系统、方法、装置以及电子设备，以解决现有技术中访问用户数据过程中，用户数据的安全性较差的问题。
6.第一方面，本发明实施例提供了一种用户数据的访问控制系统，所述系统包括：权限管理模块、资源管理模块以及数据内容模块；
7.所述权限管理模块，用于接收目标数量的用户各自的用户数据，分别针对每一所述用户的用户数据生成对应的数据标识，并将所述用户数据与所述数据标识对应存储至所述数据内容模块；
8.所述权限管理模块，还用于分别针对每一所述用户，生成所述用户对应的访问策略；其中，所述访问策略包括：所述用户的用户标识和允许所述用户访问的用户数据的所述数据标识；
9.所述资源管理模块，用于接收目标终端发送的携带有目标数据标识的访问请求，并基于所述访问请求的请求人信息确定目标用户标识；
10.所述资源管理模块，还用于获取所述权限管理模块中的目标访问策略，基于所述目标访问策略确定所述目标用户标识指示的用户访问所述目标数据标识对应的用户数据的权限情况；并在所述权限情况表征允许访问时，从所述数据内容模块获取所述目标数据标识对应的用户数据，将所述目标数据标识对应的用户数据发送至所述目标终端；其中，所述目标访问策略为包括所述目标用户标识的所述访问策略。
11.可选地，所述资源管理模块，还用于在所述数据内容模块中创建呈链式结构的目标数量的区块；
12.所述权限管理模块，具体用于将所述目标数量的用户各自对应的用户内容存储至不同的所述区块中；其中，所述用户对应的用户内容包括：所述用户的用户数据和所述用户
数据对应的数据标识。
13.可选地，所述资源管理模块，还用于在所述权限情况表征允许访问时，将所述访问请求的请求人信息存储至所述数据内容模块。
14.可选地，所述系统还包括：用户信息模块；
15.所述权限管理模块，还用于接收所述目标数量的用户各自的身份信息，分别针对每一所述用户的身份信息生成对应的所述用户标识，并将所述身份信息与所述用户标识对应存储至所述用户信息模块；
16.所述请求人信息为所述目标数量的用户中任一用户的所述身份信息；
17.所述资源管理模块在接收到所述访问请求的情况下，具体用于查询所述用户信息模块，将对应所述请求人信息的用户标识确定为所述目标用户标识。
18.可选地，所述用户信息模块和所述数据内容模块中对应同一用户的所述用户标识和所述数据标识关联存储；
19.所述访问策略中的所述数据标识至少包括：与所述访问策略中的所述用户标识关联存储的数据标识。
20.可选地，所述权限管理模块，还用于分别针对每一所述用户标识生成对应的令牌；
21.所述资源管理模块，还用于在所述权限情况表征允许访问时，将第一令牌发送至所述目标终端，并在接收到所述目标终端发送的携带有第二令牌的访问请求，且所述第二令牌与所述第一令牌相同的情况下，将所述目标数据标识对应的用户数据发送至所述目标终端；其中，所述第一令牌为所述目标用户标识对应的令牌。
22.第二方面，本发明实施例提供了一种用户数据的访问控制方法，所述方法包括：
23.接收目标终端发送的携带有目标数据标识的访问请求；
24.基于所述访问请求的请求人信息确定目标用户标识；
25.获取目标访问策略，并基于所述目标访问策略确定所述目标用户标识指示的用户访问所述目标数据标识对应的用户数据的权限情况；其中，所述目标访问策略为包括所述目标用户标识的访问策略；
26.在所述权限情况表征允许访问时，获取所述目标数据标识对应的用户数据，将所述目标数据标识对应的用户数据发送至所述目标终端。
27.可选地，在所述权限情况表征允许访问时，所述方法还包括：
28.将第一令牌发送至所述目标终端；
29.在接收到所述目标终端发送的携带有第二令牌的访问请求，且所述第二令牌与所述第一令牌相同的情况下，将所述目标数据标识对应的用户数据发送至所述目标终端；
30.其中，所述第一令牌为所述访问控制系统对应所述目标用户标识生成的令牌。
31.第三方面，本发明实施例提供了一种用户数据的访问控制装置，所述装置包括：
32.接收模块，用于接收目标终端发送的携带有目标数据标识的访问请求；第一确定模块，用于基于所述访问请求的请求人信息确定目标用户标识
33.访问策略模块，用于获取目标访问策略，并基于所述目标访问策略确定所述目标用户标识指示的用户访问所述目标数据标识对应的用户数据的权限情况；其中，所述目标访问策略为包括所述目标用户标识的访问策略；
34.第一处理模块，用于在所述权限情况表征允许访问时，获取所述目标数据标识对
应的用户数据，将所述目标数据标识对应的用户数据发送至所述目标终端。
35.可选地，所述装置还包括：
36.令牌模块，用于在所述权限情况表征允许访问时，将第一令牌发送至所述目标终端；
37.第二处理模块，用于在接收到所述目标终端发送的携带有第二令牌的访问请求，且所述第二令牌与所述第一令牌相同的情况下，将所述目标数据标识对应的用户数据发送至所述目标终端；
38.其中，所述第一令牌为所述访问控制系统对应所述目标用户标识生成的令牌。
39.第四方面，本发明实施例提供了一种电子设备，包括：处理器、存储器以及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述处理器执行所述程序时实现如上所述的用户数据的访问控制方法。
40.第五方面，本发明实施例提供了一种可读存储介质，当所述存储介质中的指令由电子设备的处理器执行时，使得电子设备能够执行如上所述的用户数据的访问控制方法。
41.在本发明实施例中，访问控制系统包括权限管理模块、资源管理模块以及数据内容模块。其中，权限管理模块用于接收目标数量的用户各自的用户数据，分别针对每一用户的用户数据生成对应的数据标识，并将用户数据与数据标识对应存储至数据内容模块，不仅可以实现对不同用户的用户数据分别进行存储，同时以数据标识为索引，便于进行数据的查找。权限管理模块将分别针对每一用户，生成用户对应的访问策略，通过访问策略中的用户标识和数据标识，限定了每一用户所能够访问的用户数据，即允许用户访问的用户数据。从而在用户通过目标终端访问目标数据的过程中，资源管理模块将首先获取到适用于当前访问请求的目标访问策略，即包括目标用户标识的访问策略，其中，目标数据为任一用户的用户数据，目标用户标识为基于当前访问请求的请求人信息确定的用户标识；进而基于目标访问策略确定用户访问该目标数据的权限情况，并在权限情况允许访问时，将目标数据返回至目标终端。本发明在用户访问用户数据时，可以基于针对该用户设置的访问策略进行访问权限的校验，通过校验后才会将查询到的用户数据返回至用户，极大地提高了用户数据的安全性及私密性，大大降低了用户数据泄露的风险。
附图说明
42.为了更清楚地说明本发明实施例的技术方案，下面将对本发明实施例的描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。
43.图1为本发明实施例提供的用户数据的访问控制系统的结构框图；
44.图2为本发明实施例提供的用户数据的访问控制方法的步骤流程图；
45.图3为本发明实施例提供的用户数据的访问控制系统的架构示意图；
46.图4为本发明实施例提供的用户数据的访问控制方法的实际应用示意图；
47.图5为本发明实施例提供的用户数据的访问控制装置的结构框图。
具体实施方式
48.下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
49.应理解，说明书通篇中提到的“一个实施例”或“一实施例”意味着与实施例有关的特定特征、结构或特性包括在本发明的至少一个实施例中。因此，在整个说明书各处出现的“在一个实施例中”或“在一实施例中”未必一定指相同的实施例。此外，这些特定的特征、结构或特性可以任意适合的方式结合在一个或多个实施例中。
50.在本发明的各种实施例中，应理解，下述各过程的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本发明实施例的实施过程构成任何限定。
51.参见图1，本发明实施例提供了一种用户数据的访问控制系统，该系统包括：权限管理模块101、资源管理模块102以及数据内容模块103。
52.权限管理模块101，用于接收目标数量的用户各自的用户数据，分别针对每一用户的用户数据生成对应的数据标识，并将用户数据与数据标识对应存储至数据内容模块103。
53.权限管理模块101，还用于分别针对每一用户，生成用户对应的访问策略。
54.资源管理模块102，用于接收目标终端发送的携带有目标数据标识的访问请求，并基于访问请求的请求人信息确定目标用户标识。
55.资源管理模块102，还用于获取权限管理模块101中的目标访问策略，基于目标访问策略确定目标用户标识指示的用户访问目标数据标识对应的用户数据的权限情况；并在权限情况表征允许访问时，从数据内容模块103获取目标数据标识对应的用户数据，将目标数据标识对应的用户数据发送至目标终端。
56.应当说明的是，用户数据的访问控制系统可以存储大量用户的用户数据，并可以在用户访问其中的用户数据时，进行安全访问的控制。具体的，数据内容模块103用于存储用户数据，权限管理模块101用于制定安全访问的访问策略，资源管理模块102用于在用户访问时基于访问策略对本次访问进行逻辑判断，确定用户是否具有访问相应的用户数据的权限，并在具有权限时返回相应的用户数据，在不具有权限时，拒绝访问用户数据。这里，用户数据一般为用户的敏感数据，例如可以为用户的身份证信息、用户的图像信息、用户的联系方式、用户的住址信息等，但不限于此。
57.可以理解的是，在利用权限管理模块101接收到目标数量的用户各自的用户数据，并分别针对每一用户的用户数据生成对应的数据标识之后，将用户数据以及对应的数据标识发送至数据内容模块103，由数据内容模块103对用户数据和数据标识进行对应存储。其中，目标数量的用户可以为任意数量的用户。这里，可以一次性接收目标数量的用户各自的用户数据，也可以分批次多次接收目标数量的用户各自的用户数据。这里，用户数据是在用户授权的情况下接收到的，其来源合法。不同用户数据对应的数据标识不同，从而通过数据标识可以区分不同的用户数据。用户数据和数据标识对应存储，可以理解为，将用户数据和数据标识采用一一对应的方式存储起来。例如，利用权限管理模块101接收到用户a的身份证信息和用户b的身份证信息，可以对用户a的身份证信息设置标识为1的数据标识，对用户
b的身份证信息设置标识为2的数据标识，将1和用户a的身份证信息发送至数据内容模块103，也将2和用户b的身份证信息发送至数据内容模块103，由数据内容模块103对用户a的身份证信息以及标识为1的数据标识对应存储，对用户b的身份证信息以及标识为2的数据标识对应存储。
58.访问策略可以视为用户访问用户数据的权限。也就是说，通过访问策略，可以确定用户具有访问哪些用户数据的权限。这里，访问策略包括：用户的用户标识和允许用户访问的用户数据的数据标识。也就是说，访问策略可以理解为用户标识指示的用户具有访问数据标识对应的用户数据的权限。需要注意的是，不同的用户具有不同的用户标识，通过用户标识可以确定唯一的用户。用户对应的访问策略即为该用户的用户标识对应的访问策略。
59.访问请求为用户申请访问数据的请求。资源管理模块102通过接收目标终端发送的携带有目标数据标识的访问请求，可以确定该访问请求申请访问的数据为目标数据标识对应的用户数据。其中，目标数据标识可以为数据内容模块103存储的任一用户数据的数据标识。访问请求中携带有请求人信息，根据请求人信息，可以确定请求人信息对应的用户，进而确定该用户的用户标识，并将该用户标识确定为目标用户标识。目标用户标识为发送访问请求的请求人对应的用户标识。这里，请求人信息可以为请求人的用户名、用户id(identity，账号)等，但不限于此。
60.目标访问策略为包括目标用户标识的访问策略，即控制目标用户标识指示的用户安全访问目标数据标识对应的用户数据的访问策略。因此，通过目标访问策略，可以得到目标用户标识指示的用户具有哪些用户数据的访问权限，从而可以确定目标用户标识指示的用户是否具有访问目标数据标识对应的用户数据的权限。具体的，若目标访问策略中允许用户访问的用户数据的数据标识中存在目标数据标识，说明用户具有访问目标数据标识对应的用户数据的权限，则从数据内容模块103获取目标数据标识对应的用户数据，并将目标数据标识对应的用户数据发送至目标终端；若目标访问策略中允许用户访问的用户数据的数据标识中不存在目标数据标识，甚至不存在目标访问策略，说明用户不具有访问目标数据标识对应的用户数据的权限，此时，拒绝该访问请求。
61.在本发明实施例中，访问控制系统包括权限管理模块101、资源管理模块102以及数据内容模块103。其中，权限管理模块101用于接收目标数量的用户各自的用户数据，分别针对每一用户的用户数据生成对应的数据标识，并将用户数据与数据标识对应存储至数据内容模块103，不仅可以实现对不同用户的用户数据分别进行存储，同时以数据标识为索引，便于进行数据的查找。权限管理模块101将分别针对每一用户，生成用户对应的访问策略，通过访问策略中的用户标识和数据标识，限定了每一用户所能够访问的用户数据，即允许用户访问的用户数据。从而在用户通过目标终端访问目标数据的过程中，资源管理模块102将首先获取到适用于当前访问请求的目标访问策略，即包括目标用户标识的访问策略，其中，目标数据为任一用户的用户数据，目标用户标识为基于当前访问请求的请求人信息确定的用户标识；进而基于目标访问策略确定用户访问该目标数据的权限情况，并在权限情况允许访问时，将目标数据返回至目标终端。本发明在用户访问用户数据时，可以基于针对该用户设置的访问策略进行访问权限的校验，通过校验后才会将查询到的用户数据返回至用户，极大地提高了用户数据的安全性及私密性，大大降低了用户数据泄露的风险。
62.可选地，资源管理模块，还用于在数据内容模块中创建呈链式结构的目标数量的
区块。
63.权限管理模块，具体用于将目标数量的用户各自对应的用户内容存储至不同的区块中；其中，用户对应的用户内容包括：用户的用户数据和用户数据对应的数据标识。
64.应当说明的是，链式结构可以理解为数据元素按照一定的逻辑关系排列成链状。具体的，链式结构中的相邻的两个数据元素之间，前位的数据元素中除了数据内容之外，还包括后位元素的存储地址。例如，第一个数据元素中的数据内容为用户a的身份证信息，除了用户a的身份证信息之外，这个数据元素中还包括第二个数据元素的存储地址，因此，在得到第一个数据元素中的数据内容的情况下，也可以得到第二个数据元素的存储地址，进而得到第二个数据元素。区块即为数据块，用来存储用户数据，这里，呈链式结构的目标数量的区块将构成区块链，因此，每一区块分为区块头和区块体，区块头中存储用户数据对应的数据标识，区块体中存储用户数据。较佳地，资源管理模块可以逐个生成用于存储用户数据的区块，并采用区块对用户数据以及数据标识进行存储。通过前序区块哈希值和后序区块哈希值，构建成链式结构的数据内容模块。
65.在本发明实施例中，利用区块链技术，将数据内容以及对应的数据标识存储至区块链中，进一步提升了用户数据的安全性，减少了数据泄露的风险。
66.可选地，资源管理模块，还用于在权限情况表征允许访问时，将访问请求的请求人信息存储至数据内容模块。
67.应当说明的是，在权限情况表征允许访问时，说明请求人具有访问其所访问的用户数据的权限。此时，将访问请求的请求人信息发送至数据内容模块，由数据内容模块对请求人信息进行存储。也就是说，数据内容模块将会记录用户对用户数据的访问情况，以便后续查询用户数据的访问情况。例如，在权限情况表征允许访问时，将访问请求的请求人信息以及请求的用户数据的数据标识作为访问记录写入系统日志中，然后将该系统日志存储至数据内容模块中。其中，数据内容模块可以为以链式结构构建的区块链，但不限于此。
68.可以理解的是，当需要查询指定的用户数据的访问情况时，可以从数据内容模块中调出相应的访问记录，并基于访问记录确定哪些用户对这部分用户数据进行了访问。例如，当用户a想要查询在2022年6月这一月中数据标识为a的用户数据的访问情况时，可以从数据内容模块中调出2022年6月的访问记录，并在2022年6月的访问记录中筛选出数据标识为a的用户数据的访问记录，从而可以确定哪些用户对这部分数据进行了访问。
69.在本发明实施例中，在权限情况表征允许访问时，将访问请求的请求人信息存储至数据内容模块，从而实现对用户数据的访问情况的记录，便于后续查看各用户数据的访问情况。
70.可选地，请求人信息为目标数量的用户中任一用户的用户标识。
71.应当说明的是，用户数据的访问控制系统针对目标数量的用户中的每一用户设置有一对应的用户标识。因此，在访问请求中的请求人信息为用户标识的情况下，可以快速确定当前进行访问的用户的身份。
72.在本发明实施例中，在访问请求中直接携带用户标识，可以快速确定当前进行访问的用户的身份。
73.可选地，该用户数据的访问控制系统还包括：用户信息模块；
74.权限管理模块，还用于接收目标数量的用户各自的身份信息，分别针对每一用户
的身份信息生成对应的用户标识，并将身份信息与用户标识对应存储至用户信息模块；
75.请求人信息为目标数量的用户中任一用户的身份信息；
76.资源管理模块在接收到访问请求的情况下，具体用于查询用户信息模块，将对应请求人信息的用户标识确定为目标用户标识。
77.应当说明的是，用户信息模块用于存储用户的身份信息以及对应的用户标识。用户的身份信息为代表用户身份的相关数据，可以为用户名、用户id等，但不限于此。身份信息与用户标识对应存储，可以理解为，将身份信息和用户标识采用一一对应的方式存储起来。
78.这里，利用权限管理模块接收到目标数量的用户各自的身份信息，并针对每一用户的身份信息生成对应的用户标识之后，若请求人信息为目标数量的用户中任一用户的身份信息，资源管理模块在接收到访问请求的情况下，可以根据访问请求中的请求人的身份信息，在用户信息模块中快速确定请求人信息对应的用户标识，并将该用户标识确定为目标用户标识。
79.在本发明实施例中，通过用户信息模块对用户的身份信息与用户标识进行存储。在访问请求中携带有用户的身份信息时，可以快速确定其对应的目标用户标识，进而确定目标访问策略，进行安全访问的控制。
80.可选地，用户信息模块和数据内容模块中对应同一用户的用户标识和数据标识关联存储；
81.访问策略中的数据标识至少包括：与访问策略中的用户标识关联存储的数据标识。
82.应当说明的是，用户信息模块和数据内容模块中对应同一用户的用户标识和数据标识关联存储，从而可以根据用户标识确定同一用户的数据标识，进而找到对应的用户数据。可以理解的是，用户应当具有访问自身的用户数据的权限。因此，每一用户的访问策略中允许用户访问的用户数据的数据标识至少包括该用户自身的用户数据的数据标识。这里，可以以对应同一用户的用户标识和数据标识关联存储的方式作为访问策略。基于目标访问策略确定目标用户标识指示的用户访问目标数据标识对应的用户数据的权限情况，可以理解为，确定目标用户标识和目标数据标识是否为关联存储，在两者为关联存储时，表征允许访问，否则不允许访问。
83.当然，为提升访问过程的灵活性，访问策略还可以为一记录有用户标识和至少一个数据标识的规则策略。对于每一用户的访问策略，其中的数据标识可以为基于该用户的申请添加的数据标识。例如用户a的用户标识为1，其用户数据的数据标识为a，则用户a的访问策略包括1和a。当用户a想要访问用户b的用户数据，且用户b也进行了授权，此时，用户a可以进行访问策略的申请，且申请中携带有用户b的用户数据的数据标识。假设用户b的用户数据的数据标识b，则基于该申请生成用户a的新的访问策略，该新的访问策略包括1、a和b。这样，用户a在访问用户b的用户数据时，相应的访问请求中携带有1和b，由于用户a的访问策略包括1、a和b。因此，将允许用户a访问用户b的用户数据，从而将b对应的用户数据返回至目标终端供用户a查看。
84.在本发明实施例中，用户信息模块和数据内容模块中对应同一用户的用户标识和数据标识关联存储；从而可以利用用户标识和数据标识的存储关系，快速确定目标用户标
识指示的用户访问目标数据标识对应的用户数据的权限情况。
85.可选地，权限管理模块，还用于分别针对每一用户标识生成对应的令牌；
86.资源管理模块，还用于在权限情况表征允许访问时，将第一令牌发送至目标终端，并在接收到目标终端发送的携带有第二令牌的访问请求，且第二令牌与第一令牌相同的情况下，将目标数据标识对应的用户数据发送至目标终端；其中，第一令牌为目标用户标识对应的令牌。
87.应当说明的是，令牌可以理解为一组暗号。在数据传输之前，要先进行暗号的核对，每一暗号被授权至对应的用户，用以访问对应的用户数据。可以理解的是，权限管理模块分别针对每一用户标识生成对应的令牌。也就是说，持有令牌代表持有该令牌对应的用户的用户数据的访问权限。例如，目标数据为数据内容模块中的任一用户数据，当用户第一次访问目标数据时，在通过访问策略的校验的情况下，说明该用户具有访问该目标数据的权限，因此，资源管理模块获取目标数据，并将目标数据返回至用户；同时，权限管理模块将针对该用户生成的令牌返回至用户；当该用户再次访问目标数据时，可以携带该令牌，资源管理模块在接收到携带令牌的访问请求时，只需校验令牌即可，令牌校验通过，说明该用户持有访问对应的用户数据的权限，无需再利用访问策略进行校验，直接发送目标数据至目标终端。这里，第一令牌为目标用户标识对应的令牌，第二令牌为访问请求中携带的令牌，在两个令牌相同的情况下，说明通过目标终端发送访问请求的用户具有访问目标数据标识对应的用户数据的权限，即目标用户标识对应的用户可以访问目标数据标识对应的用户数据。
88.在本发明实施例中，增加了令牌校验机制，在权限情况表征允许访问时，将目标用户标识对应的令牌发送至目标终端，从而在目标用户标识指示的用户再次访问目标数据标识对应的用户数据时，只需携带该令牌，之后在令牌校验通过的情况下，发送用户数据至目标终端，提升了数据访问的效率，在保证数据访问的安全性的同时，降低了访问控制系统的压力。
89.参见图2，本发明实施例提供了一种用户数据的访问控制方法，该方法包括：
90.步骤201：接收目标终端发送的携带有目标数据标识的访问请求。
91.应当说明的是，访问请求为用户申请访问数据的请求。通过接收目标终端发送的携带有目标数据标识的访问请求，可以确定该访问请求申请访问的数据为目标数据标识对应的用户数据。
92.步骤202：基于访问请求的请求人信息确定目标用户标识。
93.应当说明的是，访问请求中携带有请求人信息，根据请求人信息，可以确定请求人信息对应的用户，进而确定该用户的用户标识，并将该用户标识确定为目标用户标识。目标用户标识为发送访问请求的请求人对应的用户标识。因此，通过访问请求的请求人信息可以确定目标用户标识。这里，请求人信息可以为请求人的用户名、用户id等，但不限于此。
94.步骤203：获取目标访问策略，并基于目标访问策略确定目标用户标识指示的用户访问目标数据标识对应的用户数据的权限情况。
95.应当说明的是，目标访问策略为包括目标用户标识的访问策略，即控制用户标识对应的用户安全访问数据标识对应的用户数据的访问策略。因此，通过目标访问策略，可以得到目标用户标识指示的用户具有哪些用户数据的访问权限，从而可以确定目标用户标识
指示的用户是否具有访问目标数据标识对应的用户数据的权限。
96.步骤204：在权限情况表征允许访问时，获取目标数据标识对应的用户数据，将目标数据标识对应的用户数据发送至目标终端。
97.应当说明的是，权限情况表征允许访问，说明目标访问策略中允许用户访问的用户数据的数据标识中存在目标数据标识，说明用户具有访问目标数据标识对应的用户数据的权限，则获取目标数据标识对应的用户数据，并将目标数据标识对应的用户数据发送至目标终端；若目标访问策略中允许用户访问的用户数据的数据标识中不存在目标数据标识，甚至不存在目标访问策略，说明用户不具有访问目标数据标识对应的用户数据的权限，此时，拒绝该访问请求。
98.在本发明实施例中，首先接收目标终端发送的携带有目标数据标识的访问请求，从而得到请求人信息以及请求人申请访问的数据内容的目标数据标识；基于访问请求的请求人信息确定目标用户标识，再获取目标访问策略，并基于目标访问策略确定目标用户标识指示的用户访问目标数据标识对应的用户数据的权限情况，从而可以判断请求人是否具有访问其所申请访问的数据内容的权限；最后在权限情况表征允许访问时，获取目标数据标识对应的用户数据，将目标数据标识对应的用户数据发送至目标终端。本发明在用户访问用户数据时，可以基于针对该用户设置的访问策略进行访问权限的校验，通过校验后才会将查询到的用户数据返回至用户，极大地提高了用户数据的安全性及私密性，大大降低了用户数据泄露的风险。
99.可选地，在权限情况表征允许访问时，该方法还包括：
100.将第一令牌发送至目标终端；
101.在接收到目标终端发送的携带有第二令牌的访问请求，且第二令牌与第一令牌相同的情况下，将目标数据标识对应的用户数据发送至目标终端；
102.其中，第一令牌为访问控制系统对应目标用户标识生成的令牌。
103.应当说明的是，令牌可以理解为一组暗号。在数据传输之前，要先进行暗号的核对，每一暗号被授权至对应的用户，用以访问对应的用户数据。可以理解的是，持有令牌代表持有该令牌对应的用户的访问权限。例如，目标数据为任一用户数据，当用户第一次访问目标数据时，在通过访问策略的校验的情况下，说明该用户具有访问该目标数据的权限，因此，在获取目标数据，并将目标数据返回至用户的同时，将针对该用户生成的令牌同样返回至用户；当该用户再次访问目标数据时，可以携带该令牌，在接收到携带令牌的访问请求时，只需校验令牌即可，令牌校验通过之后，说明该用户持有访问对应的用户数据的权限，因此发送目标数据至目标终端。这里，第一令牌为访问控制系统对应目标用户标识生成的令牌，第二令牌为访问请求中携带的令牌，在两个令牌相同的情况下，说明通过目标终端发送访问请求的用户具有访问目标数据标识对应的用户数据的权限，即目标用户标识对应的用户可以访问目标数据标识对应的用户数据。
104.在本发明实施例中，增加了令牌校验机制，在权限情况表征允许访问时，将目标用户标识对应的令牌发送至目标终端，从而在目标用户标识指示的用户再次访问目标数据标识对应的用户数据时，只需携带该令牌，之后在令牌校验通过的情况下，发送用户数据至目标终端，从而提升了数据访问的效率，在保证数据访问的安全性的同时，降低了访问控制系统压力。
105.可选地，在接收目标终端发送的携带有目标数据标识的访问请求之前，该方法还包括：
106.接收目标数量的用户各自的用户数据；
107.分别针对每一用户的用户数据生成对应的数据标识，并将用户数据与数据标识对应存储。
108.应当说明的是，用户数据一般为用户的敏感数据，例如可以为用户的身份证信息、用户的图像信息、用户的联系方式、用户的住址信息等，但不限于此。将用户数据和数据标识进行对应存储，可以分批次进行存储，也可以一次性全部存储完毕，这里不做限制；不同用户数据对应的数据标识不同，从而通过数据标识可以区分不同的用户数据。用户数据和数据标识对应存储，可以理解为，将用户数据和数据标识采用一一对应的方式存储起来。
109.在本发明实施例中，通过针对每一用户的用户数据生成对应的数据标识，并将用户数据和数据标识对应存储，从而可以通过数据标识来区分不同的用户数据。
110.可选地，分别针对每一用户的用户数据生成对应的数据标识，将用户数据与数据标识对应存储，包括：
111.创建呈链式结构的目标数量的区块；
112.分别针对每一用户的用户数据生成对应的数据标识，将用户数据与数据标识对应存储至不同区块中。
113.应当说明的是，链式结构可以理解为数据元素按照一定的逻辑关系排列成链状。区块即为数据块，用来存储用户数据，这里，呈链式结构的目标数量的区块将构成区块链，因此，每一区块分为区块头和区块体，区块头中存储用户数据对应的数据标识，区块体中存储用户数据。较佳地，可以逐个生成用于存储用户数据的区块，并采用区块对用户数据以及数据标识进行存储。通过前序区块哈希值和后序区块哈希值，构建成链式结构。
114.在本发明实施例中，利用区块链技术，将数据内容以及对应的数据标识存储至区块链中，进一步提升了用户数据的安全性，减少了数据泄露的风险。
115.可选地，在权限情况表征允许访问时，该方法还包括：
116.存储访问请求的请求人信息。
117.应当说明的是，在权限情况表征允许访问时，说明请求人具有访问其所访问的用户数据的权限。此时，存储访问请求的请求人信息，可以视为记录不同用户对用户数据的访问情况，以便后续查询相应的用户数据的访问情况。
118.在本发明实施例中，在权限情况表征允许访问时，存储访问请求的请求人信息，从而实现对用户数据的访问情况的记录，便于后续查看各用户数据的访问情况。
119.可选地，请求人信息为目标数量的用户中任一用户的身份信息；
120.在接收目标终端发送的携带有目标数据标识的访问请求之前，该方法还包括：
121.接收目标数量的用户各自的身份信息；
122.分别针对每一用户的身份信息生成对应的用户标识，将身份信息与用户标识对应存储；
123.相应的，基于访问请求的请求人信息确定目标用户标识，包括：
124.基于访问请求的请求人信息，将对应请求人信息的用户标识确定为目标用户标识。
125.应当说明的是，用户的身份信息为代表用户身份的相关数据，可以为用户名、用户id等，但不限于此。身份信息与用户标识对应存储，可以理解为，将身份信息和用户标识采用一一对应的方式存储起来。这里，在接收到目标数量的用户各自的身份信息，并针对每一用户的身份信息生成对应的用户标识之后，若请求人信息为目标数量的用户中任一用户的身份信息，则在接收到访问请求的情况下，可以根据访问请求中的请求人的身份信息，快速确定请求人信息对应的用户标识，并将该用户标识确定为目标用户标识。
126.在本发明实施例中，通过对用户的身份信息与用户标识进行存储，在访问请求中携带有用户的身份信息时，可以快速确定其对应的目标用户标识，进而确定目标访问策略，进行安全访问的控制。
127.参见图3，本发明实施例提供了一种访问控制系统的架构示意图，包括：属性授权系统301、资源管理中心302、访问主体303以及资源拥有者304。
128.其中，属性授权系统301，可以接收多个用户各自的内容数据和与内容数据相对应的元数据，并生成表示内容数据和元数据的标识信息的内容数据sku(stock keeping unit，库存量单位)。内容数据是与用户相关的身份信息，元数据包括指定用户的其他关联内容数据(包括用户图像信息，用户住址信息等)。这里，属性授权系统301相当于图1所示实施例中的权限管理模块101，内容数据和元数据相当于图1所示实施例中的用户数据，为便于描述，下面将内容数据和元数据合称为内容数据；内容数据sku相当于图1所示实施例中的数据标识。
129.可以理解的是，通过区块链系统存储生成的内容数据sku以及其对应的内容数据，并构建索引sku的链式存储结构，从而便于查找数据。其中，该区块链系统即为资源拥有者304，其相当于图1所示实施例中的数据内容模块103。具体的，资源管理中心302可以创建多个区块，并将包含内容数据和内容数据sku的区块添加至资源拥有者304中。可以理解的是，区块包括区块头和区块体，其中，区块头中存储内容数据sku，区块体中存储内容数据sku对应的内容数据。且每一区块设置有一哈希值，通过前序区块哈希值和后序区块哈希值，可以构成链式存储结构中的内容数据sku的区块序列。
130.此外，属性授权系统301还用于生成每一用户对应的用户sku以及token(令牌)，并将数据存储起来作为访问主体303。当有用户访问时，基于该访问主体303可以确定当前访问用户的用户sku。其中，用户sku相当于图1所示实施例中的用户标识。进一步，内容数据的内容数据sku和内容数据所属用户的用户sku彼此通过区块链链式存储结构相关联地存储，从而更加便于查找数据。
131.可以理解的是，在接收完毕多个用户的内容数据并完成对应的存储之后，属性授权系统301将会开始制定访问控制策略。访问控制策略为对用户进行访问控制的依据，可以理解为用户访问内容数据的权限。因此，访问控制策略中包括：用户对应的用户sku以及允许用户访问的内容数据的内容数据sku。
132.资源管理中心302相当于图1所示实施例中的资源管理模块102，当资源管理中心302接收到终端设备发送的携带有目标标识的访问请求时，将从属性授权系统301读取包括该目标标识的访问控制策略，通过读取到的访问控制策略对访问请求进行权限的校验。其中，目标标识为某一内容数据的内容数据sku，访问请求还携带有用户sku；将访问请求中的内容数据sku、用户sku与访问控制策略中的内容数据sku、用户sku进行匹配。若匹配成功，
则通过校验，可以将内容数据sku对应的内容数据返回至终端设备。
133.进一步，在权限的校验通过后，可以将用户sku对应的token发送至终端设备，从而终端设备再次访问相同的内容数据时，可以携带该token，资源管理中心302在接收到携带有token的访问请求时，仅需对token进行校验即可，token通过校验之后，将相应的内容数据返回至终端设备。
134.进一步，还可以将访问请求中的请求人信息(用户sku)写入日志并上传至区块链系统中，有利于后续查看相应的内容数据的访问情况。
135.参见图4，本发明实施例提供了一种用户数据的访问控制方法的实际应用流程图，应用于图3所示的访问控制系统的架构，该方法包括：
136.步骤401：构建基于区块链的属性授权系统301和资源管理中心302，接收内容数据，并生成表示内容数据的标识信息的内容数据sku，并构建索引sku的链式存储结构。
137.应当说明的是，这里的内容数据相当于图3所示实施例中的内容数据和元数据的总和。
138.步骤402：通过资源管理中心302生成每一用户各自对应的用户sku和token；资源管理中心302对同一用户的用户sku和内容数据sku相关联的存储。
139.应当说明的是，在资源管理中心对生成的用户sku和内容数据sku相关联的存储之后，可以在索引sku的链式数据结构中根据用户sku，找到对应的内容数据sku，从而确定对应的内容数据。
140.步骤403：当接收到与特定的内容数据相关的访问请求时，资源管理中心在匹配到对应的访问控制策略的情况下，通过索引sku的链式存储结构，输出对应的内容数据。
141.应当说明的是，接收到与特定的内容数据相关的访问请求，说明该访问请求请求访问的数据为该特定的内容数据。具体的，访问请求中可以携带该特定的内容数据对应的内容数据sku。此外，该访问请求中还应该包括发送访问请求的请求人信息，从而确定发送访问请求的请求人对应的用户sku。根据用户sku和内容数据sku，资源管理中心在属性授权系统中查询对应的访问控制策略。在匹配到对应的访问控制策略的情况下，通过索引sku的链式存储结构，输出对应的内容数据。
142.需要注意的是，在用户首次访问内容数据且成功获取到内容数据的情况下，说明用户具有访问该内容数据的权限，也就是说用户通过了访问控制策略的校验，此时，将该用户对应的token发送至用户，这样，当用户再次访问该内容数据时，只需在访问请求中携带此token，就可以直接访问到内容数据，无需进行访问控制策略的校验。
143.在本发明实施例中，首先构建基于区块链的资源管理中心302和属性授权系统301，接收内容数据，并生成表示内容数据的标识信息的内容数据sku，并构建索引sku的链式存储结构；之后通过资源管理中心302生成每一用户各自对应的用户sku和token，资源管理中心302对同一用户的用户sku和内容数据sku相关联的存储。最后当接收到与特定的内容数据相关的访问请求时，资源管理中心302在匹配到对应的访问控制策略的情况下，通过索引sku的链式存储结构，输出对应的内容数据。通过访问控制策略的方式对用户信息进行访问控制，极大地提高了用户信息的安全性及私密性，大大降低了用户数据信息泄露的风险。
144.参见图5，本发明实施例提供了一种用户数据的访问控制装置，该装置包括：
145.第一接收模块51，用于接收目标终端发送的携带有目标数据标识的访问请求；
146.确定模块52，用于基于访问请求的请求人信息确定目标用户标识；
147.访问策略模块53，用于获取目标访问策略，并基于目标访问策略确定目标用户标识指示的用户访问目标数据标识对应的用户数据的权限情况；其中，目标访问策略为包括目标用户标识的访问策略；
148.第一处理模块54，用于在权限情况表征允许访问时，获取目标数据标识对应的用户数据，将目标数据标识对应的用户数据发送至目标终端。
149.可选地，该装置还包括：
150.令牌模块，用于在权限情况表征允许访问时，将第一令牌发送至目标终端；
151.第二处理模块，用于在接收到目标终端发送的携带有第二令牌的访问请求，且第二令牌与第一令牌相同的情况下，将目标数据标识对应的用户数据发送至目标终端；
152.其中，第一令牌为访问控制系统对应目标用户标识生成的令牌。
153.可选地，该装置还包括：
154.第二接收模块，用于接收目标数量的用户各自的用户数据；
155.第一存储模块，用于分别针对每一用户的用户数据生成对应的数据标识，并将用户数据与数据标识对应存储。
156.可选地，第一存储模块，包括：
157.创建单元，用于创建呈链式结构的目标数量的区块；
158.第一接收单元，用于分别针对每一用户的用户数据生成对应的数据标识，将用户数据与数据标识对应存储至不同区块中。
159.可选地，该装置还包括：
160.第二存储模块，用于存储访问请求的请求人信息。
161.可选地，该装置还包括：
162.第三接收模块，用于接收目标数量的用户各自的身份信息，
163.第三存储模块，用于分别针对每一用户的身份信息生成对应的用户标识，将身份信息与用户标识对应存储；
164.确定模块52，包括：
165.确定单元，用于基于访问请求的请求人信息，将对应请求人信息的用户标识确定为目标用户标识。
166.在本发明实施例中，首先接收目标终端发送的携带有目标数据标识的访问请求，从而得到请求人信息以及请求人申请访问的数据内容的目标数据标识；基于访问请求的请求人信息确定目标用户标识，再获取目标访问策略，并基于目标访问策略确定目标用户标识指示的用户访问目标数据标识对应的用户数据的权限情况，从而可以判断请求人是否具有访问其所申请访问的数据内容的权限；最后在权限情况表征允许访问时，获取目标数据标识对应的用户数据，将目标数据标识对应的用户数据发送至目标终端。通过访问策略的方式对用户信息进行访问控制，提高了用户信息的安全性及私密性，降低了用户数据信息泄露的风险。
167.另一方面，本技术实施例还提供了一种电子设备，包括处理器、存储器以及存储在存储器上并可在处理器上运行的计算机程序，处理器执行程序时实现上述各发明实施例提
供的用户数据的访问控制方法。
168.再一方面，本技术实施例还提供了一种可读存储介质，当可读存储介质中的指令由电子设备的处理器执行时，使得电子设备能够执行如上各发明实施例提供的用户数据的访问控制方法。
169.以上所描述的装置实施例仅仅是示意性的，其中作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性的劳动的情况下，即可以理解并实施。
170.通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件。基于这样的理解，上述技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如rom/ram、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行各个实施例或者实施例的某些部分所述的方法。
171.最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。