空间数据库的访问控制方法技术

本发明专利技术中公开了一种空间数据库的访问控制方法，该访问控制方法中通过向R+树中添加访问规则实现对空间数据库授权，并根据访问请求对添加有访问规则的R+树进行搜索，根据搜索结果从空间数据库中得到空间实体后，还进一步根据访问请求和相应的访问规则对各个对空间实体进行裁剪，将裁剪后空间实体返回给用户。该访问控制方法中不仅支持对空间实体的授权，还支持对实体进行细粒度拆分后的授权，访问控制规则可以只覆盖空间实体的一部分，且同时将访问规则判定和空间检索的两次查询合并为一次，在一次查询中确定用户查询的结果并返回相应的信息，提高了授权查询效率，保障了访问带有权限限制的空间矢量数据时的响应速度。

Access control method for spatial database

The invention discloses a spatial database access control method, the access control method of spatial database is implemented by adding authorization rules for access to the R+ tree, and search according to the access request access rules to add R+ tree, get the spatial entity from spatial database according to the search results, further according to the access the request and the corresponding access rules for each cutting of spatial entities, spatial entities will return after cutting to the user. Not only support for spatial entities in the access control authorization method, it also supports fine-grained authorization after the split of the entity, a part of the access control rules can only cover the spatial entities, and at the same time will determine the access rules and spatial retrieval of two queries with a determined user query results in a query and return the corresponding information, improve the authorization query efficiency, guarantee the response speed of spatial data access with restricted access time.

【技术实现步骤摘要】
空间数据库的访问控制方法
本专利技术涉及计算机信息安全领域，尤其涉及一种空间数据库的访问控制方法。
技术介绍
空间遥感和信息技术的发展使得空间数据的应用越来越广泛，空间数据的访问、管理和可视化研究已经走进了日常生活。日前已经有很多公司和组织通过地理信息系统为政府和公司在决策上提供空间数据查询、访问与分析服务。然而，一些敏感地理位置(如军事基地)的暴露给国家带来安全威胁。现有的授权方法在数据库内部的实现主要包括访问控制列表、访问控制矩阵、查询改写等方式。但对空间数据进行矢量分析很费时间，一旦权限控制规则过多，十分影响查询效率。一般实现的都是粗粒度(文件或图层)的授权方法,而对细粒度(空间实体)考虑不足，而且权限控制的判断和空间数据的检索是分离的。R+树是R树的一种变体，用空间实体的最小外包矩形来近似表达空间实体，并利用其最小外包矩形建立R+树，可以直接对空间中占据一定范围的空间实体进行索引。如图1所示，典型的R+树包括根节点、中间节点和叶节点。R+树的每一个节点（包括根节点、中间节点和叶节点）都对应着一个区域，即各个节点对应的MBR。根节点和中间节点均包括该节点的所有子节点的区域都在该节点的区域范围之内，并在节点中建立索引项，索引项由子节点的最小外包矩形和指向子节点的指针组成。通常将根节点作为是一种特殊的中间节点。R+树的每一个节点都对应着一个区域。如果节点是中间节点，则该节点的所有子节点的区域都在该节点的区域范围之内，并在节点中建立索引项，索引项由子节点的最小外包矩形和指向子节点的指针组成。如果节点是叶节点，则该节点包含的空间实体的区域都与该节点的区域范围相交，并在节点中建立数据项，数据项由空间实体的最小外包矩形和该空间实体的ID组成。根节点是特殊的中间节点，对应整个区域。由于空间数据库数据量庞大，空间数据模型复杂，属性数据和空间数据联合管理等特点，传统数据库的授权方法并不能直接应用于空间数据库的保护，因此需要根据空间数据的表示方法、访问模式、实时性等特点为其建立比较有针对性的授权方法。
技术实现思路
针对现有技术的不足，本专利技术提供了一种具有针对性的空间数据库的访问控制方法。一种空间数据库的访问控制方法，包括：（1）建立空间数据库的R+树，根据需求构建具有若干条访问规则的访问规则集合；（2）将所述访问规则集合中的各条访问规则添加至所述R+树中的各个节点中，得到具有访问规则的R+树；（3）根据访问请求从具有访问规则的R+树的根节点开始，逐层向下搜索，得到所有符合访问请求的数据项，所述的数据项包括该空间实体编号以及该空间实体的最小包围矩形和对应的访问规则；（4）针对所有符合访问请求的数据项，根据数据项中的空间实体编号访问空间数据库中各个数据项对应的空间实体，针对访问的每一个空间实体，根据访问请求和与该空间实体对应的访问规则对该空间实体进行裁剪，并将经过裁剪后的空间实体返回给用户。本专利技术中的访问控制方法中以R+树作为索引树，通过向R+树中添加访问规则实现对空间数据库授权，并根据访问请求对添加有访问规则的R+树进行搜索，根据搜索结果从空间数据库中得到空间实体后，还进一步根据访问请求和相应的访问规则对各个对空间实体进行裁剪，将裁剪后空间实体返回给用户。该控制访问方法不仅支持对空间实体的授权，还支持对实体进行细粒度拆分后的授权，权限控制的最小单位不是空间实体，访问控制规则可以只覆盖空间实体的一部分。同时将访问规则判定和空间检索的两次查询合并为一次，在一次查询中确定用户查询的结果并返回相应的信息，提高了授权查询效率，保障了访问带有权限限制的空间矢量数据时的响应速度。所述步骤（1）中根据空间实体的敏感程度确定能够访问的用户类型及所需密级，据此构建具有若干条访问规则的访问规则集合，利用多条访问规则，实现敏感数据的授权访问。所述访问规则包括访问规则编号、非空间过滤条件，以及该访问规则的适用空间范围和权限标签。各条访问规则的访问规则编号一般在构建访问规则集合时形成，一般在整个过程中不再改变，且各条访问规则的访问规则编号互不相同且是唯一的。空间数据中空间实体具有多种除空间外的属性，非空间过滤条件是从非空间属性（除空间外的其他属性）的角度对该访问规则的适用范围的限定，该非空间过滤条件可以没有，也可以有多条，不同的访问规则的非空间条件之间独立。作为优选，所述的访问规则适用空间范围为空间矩形。实际上该适用空间范围的形状可以是任意的，但由于R+树中各个节点对应的区域均为矩形区域，因此设定的访问规则的适用空间范围为空间矩形，便于将各个访问规则插入R+树中，且有利于提高访问请求的访问效率。所述的权限标签包括对应的访问规则的密级和允许访问的用户类型。每条访问规则权限标签根据使用空间范围和应用需求设定合适的权限标签，保证所有保护的信息只能够被部分具有特定权限的用户访问。所述的具有访问规则的R+树中根节点和中间节点均包括访问规则项和索引项，叶节点包括访问规则项和数据项，所述的数据项包括空间实体编号、以及对应空间实体的最小包围矩形和访问规则；所述的访问规则项包括全局访问规则集合和局部访问规则集合，所述的全局访问规则集合为所在节点（包括叶节点、中间节点和根节点）中适用空间范围包括该节点的最小包围矩形的访问规则的集合，所述的局部访问规则集合为所在节点中适用空间范围与该节点的最小包围矩形部分相交的访问规则的集合。现有的R+树（为添加访问规则的R+树）中间节点（包括根节点，根节点认为是特殊的中间节点）只包括索引项，叶节点只包括数据项，且数据项中只包括空间实体编号、以及对应空间实体的最小包围矩形。添加完访问规则实际上是向R+树中各个节点添加访问规则项，向叶节点中的各个数据项添加访问规则。添加完成后R+树通过各个节点上的访问规则项以及数据项中的访问规则的限制实现授权。所述步骤（2）中根据访问规则的适用空间范围和各个节点对应的最小包围矩形的关系，从根节点开始，根据以下方法将各条访问规则添加至所述R+树的每个节点中：（a）若当前节点为根节点，针对构建得到的任意一条访问规则，判断当前访问规则的适用空间范围与当前节点对应的最小包围矩形的关系：若当前访问规则的适用空间范围包含当前节点的对应的最小包围矩形，则将当前访问规则添加至当前节点的访问规则项中的全局访问规则集合中，若当前访问规则的适用空间范围与当前节点的对应的最小包围矩形部分相交，则将当前访问规则添加至当前节点的访问规则项中的局部访问规则集合中；（b）若当前节点为中间节点，针对当前节点的父节点的局部访问规则集合中的任意一条访问规则，判断当前访问规则的适用空间范围与当前节点对应的最小包围矩形的关系：若当前访问规则的适用空间范围包含当前节点对应的最小包围矩形，则将当前访问规则添加至当前节点的访问规则项中的全局访问规则集合中，若当前访问规则的适用空间范围与当前节点对应的最小包围矩形部分相交，则生成与一条当前访问规则对应的子访问规则，并将所述的子访问规则添加至当前节点的访问规则项中的局部访问规则集合中，生成所述的子访问规则时，先确定当前访问规则的适用空间范围与当前节点对应的最小包围矩形的相交区域，再利用所述的相交区域替代当前访问规则的适用空间范围；（c）若当前节点为叶节点，根据所述步骤（b）中的方本文档来自技高网...

【技术保护点】
一种空间数据库的访问控制方法，其特征在于，包括：(1)建立空间数据库的R+树，根据需求构建具有若干条访问规则的访问规则集合；(2)将所述访问规则集合中的各条访问规则添加至所述R+树中的各个节点中，得到具有访问规则的R+树；(3)根据访问请求从具有访问规则的R+树的根节点开始，逐层向下搜索，得到所有符合访问请求的数据项，所述的数据项包括该空间实体编号以及该空间实体的最小包围矩形和对应的访问规则；(4)针对所有符合访问请求的数据项，根据数据项中的空间实体编号访问空间数据库中各个数据项对应的空间实体，针对访问的每一个空间实体，根据访问请求和与该空间实体对应的访问规则对该空间实体进行裁剪，并将经过裁剪后的空间实体返回给用户；所述访问规则包括访问规则编号、非空间过滤条件，以及该访问规则的适用空间范围和权限标签；所述的访问规则适用空间范围为空间矩形；所述的权限标签包括对应的访问规则的密级和允许访问的用户类型；所述的具有访问规则的R+树中根节点和中间节点均包括访问规则项和索引项，叶节点包括访问规则项和数据项，所述的数据项包括空间实体编号、以及对应空间实体的最小包围矩形和访问规则；所述的访问规则项包括全局访问规则集合和局部访问规则集合，所述的全局访问规则集合为所在节点中适用空间范围包括该节点的最小包围矩形的访问规则的集合，所述的局部访问规则集合为所在节点中适用空间范围与该节点的最小包围矩形部分相交的访问规则的集合；所述步骤(2)中根据访问规则的适用空间范围和各个节点对应的最小包围矩形的关系，从根节点开始，根据以下方法将各条访问规则添加至所述R+树的每个节点中：(a)若当前节点为根节点，针对构建得到的任意一条访问规则，判断当前访问规则的适用空间范围与当前节点对应的最小包围矩形的关系：若当前访问规则的适用空间范围包含当前节点的对应的最小包围矩形，则将当前访问规则添加至当前节点的访问规则项中的全局访问规则集合中，若当前访问规则的适用空间范围与当前节点的对应的最小包围矩形部分相交，则将当前访问规则添加至当前节点的访问规则项中的局部访问规则集合中；(b)若当前节点为中间节点，针对当前节点的父节点的局部访问规则集合中的任意一条访问规则，判断当前访问规则的适用空间范围与当前节点对应的最小包围矩形的关系：若当前访问规则的适用空间范围包含当前节点对应的最小包围矩形，则将当前访问规则添加至当前节点的访问规则项中的全局访问规则集合中，若当前访问规则的适用空间范围与当前节点对应的最小包围矩形部分相交，则生成与一条当前访问规则对应的子访问规则，并将所述的子访问规则添加至当前节点的访问规则项中的局部访问规则集合中，生成所述的子访问规则时，先确定当前访问规则的适用空间范围与当前节点对应的最小包围矩形的相交区域，再利用所述的相交区域替代当前访问规则的适用空间范围；(c)若当前节点为叶节点，根据所述步骤(b)中的方法得到该叶节点的全局部访问规则集合和局部访问规则集合，再针对该节点的任意一个数据项，将节点的局部访问规则集合中与当前数据项的最小包围矩形相交的访问规则作为当前数据项的访问规则。...

【技术特征摘要】
1.一种空间数据库的访问控制方法，其特征在于，包括：(1)建立空间数据库的R+树，根据需求构建具有若干条访问规则的访问规则集合；(2)将所述访问规则集合中的各条访问规则添加至所述R+树中的各个节点中，得到具有访问规则的R+树；(3)根据访问请求从具有访问规则的R+树的根节点开始，逐层向下搜索，得到所有符合访问请求的数据项，所述的数据项包括该空间实体编号以及该空间实体的最小包围矩形和对应的访问规则；(4)针对所有符合访问请求的数据项，根据数据项中的空间实体编号访问空间数据库中各个数据项对应的空间实体，针对访问的每一个空间实体，根据访问请求和与该空间实体对应的访问规则对该空间实体进行裁剪，并将经过裁剪后的空间实体返回给用户；所述访问规则包括访问规则编号、非空间过滤条件，以及该访问规则的适用空间范围和权限标签；所述的访问规则适用空间范围为空间矩形；所述的权限标签包括对应的访问规则的密级和允许访问的用户类型；所述的具有访问规则的R+树中根节点和中间节点均包括访问规则项和索引项，叶节点包括访问规则项和数据项，所述的数据项包括空间实体编号、以及对应空间实体的最小包围矩形和访问规则；所述的访问规则项包括全局访问规则集合和局部访问规则集合，所述的全局访问规则集合为所在节点中适用空间范围包括该节点的最小包围矩形的访问规则的集合，所述的局部访问规则集合为所在节点中适用空间范围与该节点的最小包围矩形部分相交的访问规则的集合；所述步骤(2)中根据访问规则的适用空间范围和各个节点对应的最小包围矩形的关系，从根节点开始，根据以下方法将各条访问规则添加至所述R+树的每个节点中：(a)若当前节点为根节点，针对构建得到的任意一条访问规则，判断当前访问规则的适用空间范围与当前节点对应的最小包围矩形的关系：若当前访问规则的适用空间范围包含当前节点的对应的最小包围矩形，则将当前访问规则添加至当前节点的访问规则项中的全局访问规则集合中，若当前访问规则的适用空间范围与当前节点的对应的最小包围矩形部分相交，则将当前访问规则添加至当前节点的访问规则项中的局部访问规则集合中；(b)若当前节点为中间节点，针对当前节点的父节点的局部访问规则集合中的任意一条访问规则，判断当前访问规则的适用空间范围与当前节点对应的最小包围矩形的关系：若当前访问规则的适用空间范围包含当前节点对应的最小包围矩形，则将当前访问规则添加至当前节点的访问规则项中的全局访问规则集合中，若当前访问规则的适用空间范围与当前节点对应的最小包围矩形部分相交，则生成与一条当前访问规则对应的子访问规...

【专利技术属性】
技术研发人员：吴朝晖，梁杰超，刘娜，陈华钧，郑国轴，杨建华，
申请(专利权)人：浙江大学，
类型：发明
国别省市：浙江,33