研究背景
现状挑战
- 传统访问控制依赖静态权限配置
- 缺乏动态时空约束机制
- 权限凭证易被非法共享
解决方案
- 虚拟链接机制实现一次性访问
- 基于IP地址的地理位置限制
- 预设时间窗口的时效性验证
核心创新
虚拟链接
一次性访问凭证，防止权限滥用
时空约束
基于时间和地理位置的访问限制
图层控制
基于角色的精细化权限管理
系统架构流程
1
链接生成
- • 管理员设定访问权限
- • 生成UUID唯一标识符
- • 绑定时空约束条件
- • 构造虚拟访问链接
2
多重验证
- • 链接有效性验证
- • IP地址白名单校验
- • 访问时段检查
- • 角色权限加载
3
数据访问
- • 图层权限匹配
- • 数据传输执行
- • 链接状态更新
- • 安全审计记录
角色与数据层级关系
管理员
拥有所有图层的完全访问权限，包括机密、受限和公开数据
普通用户
可访问公开和受限数据，无法访问机密级数据
访客
仅能访问公开级别的数据图层
技术实现细节
开发环境
- • 前端：HTML/JavaScript/CSS
- • 后端：Node.js
- • 地图服务：GeoServer
- • 数据库：PostgreSQL
- • 性能测试：JMeter
安全机制
- • UUID唯一标识符生成
- • 密码学安全伪随机数
- • 时间戳熵值增强
- • 预编译查询语句
- • 加密存储审计日志
数据分类
- • 公开数据：行政区划、地级市
- • 受限数据：湖泊水文信息
- • 机密数据：铁路网线数据
- • 图层级权限控制
- • 动态权限匹配机制
实验结果分析
100%
防重放攻击
<3s
高并发响应时间
0%
权限横向扩散
3级
数据密级分类
时空约束访问控制效果
基于角色的多重约束访问控制效果
系统响应时间对比
与现有方案对比
与现有相关权限控制方案的对比结果
| 指标 | GDF-ABAC模型 | RBAC扩展模型 | STRBAC模型 | 本文方案 |
|---|---|---|---|---|
| 时间约束 | ||||
| 空间约束 | ||||
| 数据密级约束 | ||||
| 权限横向扩散 | ||||
| 访问控制粒度 | 要素级 | 图层级 | 数据层级 | 图层级 |
主要贡献与创新点
一次性虚拟访问链接
通过UUID绑定权限信息，确保链接仅在首次访问时有效，有效防止凭证共享问题
多维度时空约束
结合IP地址地理限制和时间窗口验证，实现精确的访问控制
图层粒度权限控制
基于角色和数据密级的动态权限匹配，实现精细化的数据访问管理
安全审计机制
完整的访问日志记录和状态跟踪，确保操作行为的可追溯性
结论与展望
主要结论
- 一次性虚拟访问链接有效避免了传统凭证共享问题
- 时空约束机制弥补了传统权限控制的不足
- 图层级粒度控制实现了精确的权限管理
未来展望
- 扩展至属性级别的精细化访问控制
- 优化高并发场景下的系统性能
- 进一步提升矢量数据保护能力