一种基于NFA查询重写的XML过滤技术2

一种基于NFA查询重写的XML过滤技术1刘国海，虞慧群*，杜丽萍（华东理工大学计算机科学与工程系，上海200237）摘要：本文研究XML存取控制策略，通过基于NFA的XML查询重写技术，实现了支持精细粒度的XML文档存取控制策略。

通过构造XML文档存取控制策略的NFA以及基于NFA的查询语句重写技术，有效地实现了独立于视图的、高效的XML精细粒度的存取控制。

关键词：XML，存取控制，视图，查询重写中图分类号：TP311 文献标识码：ANFA-based Query Rewriting for XML FilteringLIU Guo-hai, YU Hui-qun*, DU Li-ping（Department of computer Science and Engineering，East China University of Science and Technology，Shanghai 200237，China）Abstract: This paper proposes XML access control, Introduce an NFA-based query rewriting technique, which supports fine-grained access control for XML documents. An efficient access control policy enforcement method is achieved by building NFAs of XML access control policies, and rewriting queries based on the policy NFA.Keywords：XML, access control, view, query rewriting可扩展的标志性语言(XML)[1]为网络环境下的结构化数据表示和传输提供了技术标准，是近年来广泛用于Web服务的语言，加速了Web信息的共享。

随着分布式和信息共享的快速发展，对XML信息实施高效、安全的存取控制的要求越来越高。

现在，已经出现许多的支持细粒度存取控制的XML存取算法和支持高效过滤的过滤器。

但是大部分的系统都是使用view-based的方法[2，3，4]，或者直接从XML数据库中获得安全支持[5，6]。

使用view-based的方法有一个非常明显的缺点就是创建和维护的费用太高，不能得到用户的支持；直接依赖XML数据库，从数据库中获得安全支持，这种方法不能安全地应用。

因此目前也出现了能实现view-independent且不依赖XML数据库的细粒度的存取控制策略的过滤器，例如：Yfilter过滤器[7]就是一个高效的、范围可调的XML数据过滤算法，但是系统要随时为新增加的查询语句创建不确定的自动机（Nondeterministic Finite Automation）既NFA，这样会大大增加系统的开销，降低系统效率，同时也没有很好的支持安全存取控制策略和考虑情景感知因素。

Qfilter[8]过滤器则很好地实现了XML存取控制策略，通过对查询语句的改写大大提高了查询效率，但是它需要根据不同的角色建立不同的NFA，当系统太大、角色过多的时候其效率会大大降低，同时也没有考虑情景感知因素。

本文采用基于角色的存取控制模型[9]（Role-Based Access Control，RBAC），由RBAC 模型中的策略建立一个NFA来实现存取控制，通过NFA执行算法对用户提交的查询语句Q 进行重写，以得到满足安全控制和情景因素的新查询语句Q’，从而实现高效率的、实现情景感知的XML存取控制策略。

1 RBAC模型中策略描述RBAC模型中的策略最显著的特点是简化授权管理，即通过角色（roles）分配许可收稿日期：2005-06-03基金项目：国家自然科学基金项目（编号: 60473055, 60373075）作者简介：刘国海（1981-），男，福建人，硕士生，研究方向为XML文档的存取控制通信联系人：虞慧群，E-mail：yhq@（permission）给不同的用户（users），即在许可与用户之间增加了一个中间层roles，在本文中使用Policy来取代Permission直接描述他们的对应关系：Policy< role_name，object，operation，sign，conditions>。

Policy是一个五元组，其中object是策略所作用的对象，一般用Xpath语言描述；role_name是策略所起作用的角色；operation是策略所要做的操作类型，一般有四种：read，write，update，delete；sign是区分策略是允许访问+，还是拒绝访问–；Conditions是一组逻辑语句：Condition1&Condition2…&ConditionN，Condition是一条逻辑判断语句，如parameter1、operation、parameter2的形式，operation是操作类型，只是这些操作是逻辑运算或集合运算，如≥、=、≠、≤、∈等，只有当两个参数之间的关系满足operation时，Policy 才能起作用。

例如：P7：nurse，files/record/case/test，read，+，user_name∈dept_mumber当user_name∈dept_mumber时，策略P7中role nurse才能对files/record/case/tes t进行read操作。

2 由策略构建NFA2.1 基础定位路径的NFA在自动机理论中的NFA是由一个五元组构成，即NFA M=（Q，∑，δ，q0，F），其中五个元素的定义：（1）Q是状态的集合，包括初始状态S，可接受状态A i；（2）∑是输入元素的集合，包含各个输入元素、ε、*等；（3）δ是传输函数集合；（4）q0是初始状态，本文的初始状态为S；（5）F是可接受状态的集合，本文中为A i（A i关联一个元组<role_name，operation，sign，conditions>的集合）。

在NFA中，所有的Policy语句都可以在一个NFA中描述清楚，在NFA中从一个状态到另一个状态的转换标识都依赖object路径中的每个定位步骤，所以一般的前缀路径都只被表示一次。

每条Xpath语句都是由四种基础定位路径组成：/x、/*、//x、//*，其中“x”是特定用来表示DTD中所定义的所有元素，而“*”是一个通配符，用来匹配表达式中的符号。

图1所示的就是Xpath语句的四个基础路径所对应的NFA碎片(NFA fragments)，图中一个圆圈表示一个状态，两个同心圆圈表示一个可接受状态，每个箭头的连线表示一次转换，与连线一起的符号为转换的标识，表示只有输入匹配的元素才能通过这条连线的转换到下一状态。

符号“*”可代表任何元素，而符号“ε”用于表示该传输不要求任何输入。

/x：//x：/*：//*：图 1 基本定位路径的NFA碎片Fig.1 The NFA of Basic Xpath2.2由策略构建NFA每条Policy< role_name，object，operation，sign，conditions>是一个五元组，其中的object 是主要的资源信息，系统通过object构建NFA的主体，然后再将<role_name，operation，sign，conditions>信息关联到接受状态中表达，构建算法如下：（1）建立初始状态S，将S加入M=（Q，∑，δ，q0，F）中的状态集合Q，并将S作为初始状态q0。

（2）取得一条Policy P i，将其中的object取出，并得到第一个基础定位路径，查看是否存在与该定位路径匹配的从当前状态S输出的转换，如有则将当前状态转到下一匹配状态，并转到步骤3；没有则建立新的转换，如果是/x、/*路径，就建立新状态i，并建立从状态S到状态i的传输，以元素x或*为该转换命名；如果是//x、//*路径，就建立新的两个状态i、j，并如图2中所示的Xpath语句的基础定位路径构建NFA碎片的方法，建立新的转换；最后将新建的状态加入到状态集合Q中，将输入的元素加入到集合∑中，将新的转换建立新的传输函数，并加入 中。

（3）查看Xpath语句是否结束，如果结束则转到步骤4；没有就继续。

继续取得object 中的Xpath语句的基础定位路径，如步骤2一样查看是否有匹配的转换，有则当前状态转到匹配的下一状态，并从新开始步骤3；没有则建立新的状态与新的转换，并加入到自动机M中，从新转到步骤3。

（4）Xpath语句结束，得到最后的状态j，查看是否已经为可接受状态，如果是则转到步骤5，否则将其改名为A i，并加入到可接受状态集合F中。

（5）将Policy<role_name，object，operation，sign，conditions>中的role_name，operation，sign，conditions信息取出，组成一个新的元组<role_name，operation，sign，conditions>加入与可接受状态A i关联的集合中（对于每个可接受状态A i，关联一个元组<role_name，operation，sign，conditions>的集合）。

（6）查看是否还有新的Policy，如有则转到步骤2，没有则NFA建立完成。

2.3 构建医疗系统策略NFA下面是一个医疗机构的系统存取控制策略，在该医疗系统中，病人的医疗记录信息及其疾病信息对不同的角色是有不同的访问权限的，比如医生可以看到自己部门的病人的个人信息和所有的医疗记录与分析；护士可以看到她负责的部门的病人记录中的名字、诊断、测试信息，但是不能查看病人的调查结果值和疾病信息；病人的家属也只能看到病人的病人记录中的名字、诊断、测试信息，但是不能查看病人的调查结果值和疾病信息；病人也只能看到病人的病人记录中的名字、诊断、测试信息，但是不能查看调查结果值、疾病信息和X光的检查结果。

P1：doctor，files/record//*，read，+， IP∈NET & time∈ON_duty_time & user_name∈joint_dept_mumber P2：nurse，files/record/research_value，read，–，user_name∈joint_dept_mumberP3：family_member，files/record/research_value，read，–，ФP4：patient，files/record/research_value，read，–，ФP5：nurse，files/record/case/name，read，+，user_name∈joint_dept_mumberP6：nurse，files/record/case/diagnosis，read，+，user_name∈joint_dept_mumberP7：nurse，files/record/case/test，read，+，user_name∈joint_dept_mumberP8：family_member，files/record/case/name，read，+，ФP9：family_member，files/record/case/diagnosis，read，+，ФP10：family_member，files/record/case/test，read，+，ФP11：patient，files/record/case/name，read，+，ФP12：patient，files/record/case/diagnosis，read，+，ФP13：patient，files/record/case/test，read，+，ФP14：doctor，patients/patient//*，read，+，IP∈NET & time∈ON_duty_time & user_name∈joint_dept_mumber P15：nurse，patients//disease，read，–，ФP16：patient，patients//disease，read，–，ФP17：patient，patients//xray，read，–，Ф系统首先建立初始状态S，取得策略P1，并由object取得基础定位路径files，建立新状态1，并从状态S到状态1的转换files，再取得路径/record，同样建立新的状态2并从状态1到状态2的转换record，最后是路径//*，如图2为所选策略建立的NFA图。