CN1328636C - 用于对等授权的方法和系统 - Google Patents

Abstract

本发明提出一种在对等网络中的授权机制。在对等网络中操作中央数据仓库搜索引擎的中央服务器针对访问它的服务的用户执行认证和授权操作。在一对等节点上的用户查看已经由中央搜索引擎搜集和返回的对等搜索结果。当用户希望从另一对等节点上获取文件时，该用户的对等节点必须从中央服务器获得一授权权标，该中央服务器认证或者先前已经认证该用户。用户的对等节点接着提交该授权权标以及从另一对等节点获取该文件的请求。在验证了该授权权标之后，另一对等节点用所请求的文件响应。如果另一对等节点不能验证该授权权标，那么另一对等节点拒绝对该文件的访问。

Description

用于对等授权的方法和系统

技术领域

本发明涉及一种改进的数据处理系统，并具体地涉及一种用于多计算机数据传输的方法和装置。更具体地说，本发明涉及一种计算机与计算机间授权的方法和装置。

背景技术

粗略地讲，有两种的途径来提供用于在Web上分类和定位信息的商业服务：(1)返回对包含有与输入的查询相匹配的数据的站点的直接命中的搜索引擎，诸如Alta Vista；(2)把信息组织成类别和目录的Web门户，诸如Yahoo！。这些系统以使用传统的客户机-服务器模式来请求和接收搜索结果的方式运行。

互联网内容的数量继续快速增长并超出搜索引擎索引该激增数量的信息的能力。最大的搜索引擎也不能跟上这种增长，且据估计，搜索引擎仅索引Web上大约5％到30％的信息内容。因此，当前，互联网上大部分的内容没有被任何的搜索引擎分类或者索引。

由于Web是一个动态环境，其中的内容经常被增加、更新和改变，所以使中央搜索引擎保持是最近的非常困难。传统的Web客户机-服务器模式受到支持对等模型来交换数据的分布式文件共享系统的挑战。在对等网络中，每个计算机平台，或者节点，能作为一个中心(hub)运作，即每个节点不但具有客户机功能，也具有服务器功能。每个节点有一个若干其他节点或者“对等节点”的地址的列表，最常见的是IP地址。不用一个中央或者中间服务器，这些节点之间就能够直接相互通信。

对等网络中的节点构成一个分布式文件共享系统，其中的节点协同运作以构成一个分布式搜索引擎。当用户在一个节点输入一个搜索查询时，该搜索查询被复制并被发送到它的列表中的对等节点。为了满足该搜索查询，每个对等节点在其自己的数据库中搜索。在遵守查询消息中的生存时间的同时，每个对等节点把该查询复制给它的对等节点列表中的每个节点。如果产生了查询命中，那么该节点返回给原始节点某种类型的查询结果。一个对等搜索快速地在大量的节点间散开，这提供了一种用来找到尚未被大的搜索引擎所索引的新的内容的有效方式。

尽管对等网络提供了一些查找内容的优点，但是对等网络中的每个节点在它的可用资源和它到达其他对等节点的能力方面通常是有限的。因此，中央索引和对等网络的一些优点被结合起来，而产生所谓的混合对等网络。在这些网络中，一个中央服务器通过索引在对等节点中可用的文件来承担大部分的索引责任，而对等节点继续存储已经被索引的文件。在一个混合对等网络中，对等节点的用户通过中央索引定位所希望的文件并接着从一个已被识别的对等节点那里取得该所希望的文件。

比较一个典型互联网搜索引擎所生成的索引，其根据文件中的内容建立索引，在一个对等网络中的中央索引服务器上的索引是有些局限的，因为它的索引通常是根据少量的有关每个被索引文件的元数据，诸如文件大小、标题、作者、出版日期或者其他著录项目数据等等，来生成的。可是对于某些类其中的内容不能被索引的文件和那些对于找到感兴趣的文件著录项目数据就足够了文件，混合对等网络运行得特别好。例如，基于混合对等网络的商业服务正变得能用于购物和下载音频或者视频文件，这些文件是通过使用著录项目元数据来被选择的。

尽管对等网络通常是在即兴(ad-hoc)的基础上被建立起来的，企业正在探索用于对等网络的商业或者非商业应用。在许多情况下，企业不想建立一个大的包括所有由该企业的雇员所建立的文件的中央档案库，而是如果企业的雇员可以定位遍及该企业的感兴趣的文件，将会很方便。由于大多数的企业保持某种型式的中央数据处理服务器，所以混合对等网络也能在企业内部运行良好，该企业能保持一个把企业中的桌上型计算机当作是在对等网络中的对等节点的中央索引服务器。

企业具有认证和授权系统来保持数据处理系统和存储在其中的信息的完整性。同样地，商业企业设法把对其服务的访问限制在付费的客户的范围内。尽管对用户来说有权访问用于商业服务的或者在一个企业中的混合对等网络会很方便，但是对于混合对等网络来说，把文件访问限制在已授权的用户的范围内的需要仍是一个问题。因此，提供一种用于对等网络中的分布式访问控制的方法和系统是很有益的。

发明内容

提出了在对等网络中的一种授权机制。在一个对等网络中，一个中央服务器操纵一个中央数据仓库搜索引擎。该中央服务器对一个从一个对等节点请求访问它的服务的用户进行认证。一个用户向中央数据仓库搜索引擎提交搜索，该搜索引擎返回来自在对等网络中的搜索的结果。检查搜索结果以后，该用户可能期望获取在搜索结果中所标识的文件。在向适当的节点请求该文件之前，该用户节点必须从中央服务器获取一个授权权标(token)，该服务器根据可配置的授权策略来决定该用户是否被授权访问该文件。如果用户被授权访问该文件，中央服务器向该用户节点返回一个授权权标，然后该节点提供该授权权标和一个请求以从另一对等节点取回该文件。在确认了该授权权标后，另一节点用被请求的文件来响应。如果另一节点不能验证该授权权标，那么该另一节点拒绝对该文件的访问。

附图说明

被认为是本发明特有的新颖特征在后面的权利要求被提出。参照下面结合附图来阅读的详细的说明书，本发明本身、其进一步的目标和优点将会得到最好的理解，其中：

图1A描述一个能够实现本发明的典型的分布式数据处理系统；

图1B描述一个可用于能够实现本发明的数据处理系统中的典型的计算机系统结构；

图2A是一个描述在两个计算机之间简化的基于因特网的连接的框图；

图2B是一个描述在两个作为对等网络中的节点运行的计算机中的软件组件的框图；

图2C是一个描述包含文件共享功能的对等软件组件中的典型的软件子组件的框图；

图2D是一个描述在对等网络中的节点的典型的网络拓扑的框图；

图3描述一个典型的、基于网络的、索引型搜索引擎；

图4描述一个典型的具有所描述的中央数据仓库搜索引擎的对等网络；

图5描述一个说明一个混合对等网络的框图，该对等网络具有根据本发明被扩展以支持分布式授权操作的对等组件；

图6A-6B描述一对说明这样的过程的流程图，在该过程中一个在混合对等网络中的请求对等节点根据本发明从源对等节点以一种被授权的方式获得文件。

具体实施方式

通常，包括或者涉及本发明的装置包括多种数据处理技术。因此，在更详细描述本发明之前，作为背景，先描述分布式数据处理系统中的硬件和软件组件的典型的组织。

现在参照附图，图1A描述数据处理系统的典型的网络，其中每个系统都可以实现本发明。分布式数据处理系统100包括网络101，该网络是可用来在一起连接在分布式数据处理系统100中的多个装置和计算机间提供通信链路的媒介。网络101可以包括永久的连接，诸如缆线或者光纤线缆，或者是通过电话或者无线通信形成的临时连接。在所描述的例子中，服务器102和服务器103连同存储单元104被连接到网络101上。另外，客户机105-107也被连接到网络101上。客户机105-107和服务器102-103可以由多种计算设备，诸如大型机、个人计算机、个人数字助理(PDA)等等所代表。分布式数据处理系统100可以包括没有被示出的其他的服务器、客户机、路由器、其他设备和对等体系结构。

在所描述的例子中，分布式数据处理系统100可以包括因特网，其中网络101表示使用不同协议诸如轻型目录访问协议(LDAP)、传输控制协议/网际协议(TCP/IP)、超文本传输协议(HTTP)、无线应用协议(WAP)等等相互进行通信的网络和网关的世界范围的集合。当然，分布式数据处理系统100也可以包括多种不同类型的网络，诸如内联网、局域网(LAN)、或广域网(WAN)。例如，服务器102直接支持客户机109和结合有无线通信链路的网络110。网络使能电话111通过无线链路112和网络110相连接，而PDA 113通过无线链路114和网络110相连接。电话111和PDA113也可以使用适当技术诸如蓝牙无线技术通过无线链路115直接在它们之间传输数据，来建立一个所谓的个人区域网(PAN)或者个人即兴网。以类似的方式，PDA 113可通过无线通信链路116向PDA 107传输数据。

本发明可以在多种硬件平台或者软件环境下实现。图1A被认为是一个异构的计算环境的例子，而不应被认为是本发明的体系结构的限制。

现在参照图1B，该框图描述一个其中能够实现本发明的、诸如图1A所示的数据处理系统的典型的计算机体系结构。数据处理系统120包括一个或者多个连接在内部系统总线123上的中央处理单元(CPU)122，该系统总线互连随机访问存储器(RAM)123、只读存储器126和输入/输出适配器128，该输入/输出适配器支持多种I/O装置，诸如打印机130、盘单元132或者其他没有示出的装置，诸如音频输入系统等等。系统总线123也连接通信适配器134来提供对通信链路136的访问。用户接口适配器148连接多种用户装置，诸如键盘140和鼠标142，或者其他没有示出的装置，诸如触摸屏、输入笔，麦克风等等。显示适配器144把显示装置146连接在系统总线123上。

本领域普通技术人员会知道图1B中的硬件可以根据系统实现有所变化。例如，该系统可以具有一个或者多个诸如基于Intel^Pentium^的处理器的处理器和一个数字信号处理器(DSP)，以及一种或者多种易失和非易失存储器。其他的外围设备可以用来附加于或者替代图1B所描述的硬件。所述的例子不应被认为是对本发明的体系结构的限制。

除了能在多种硬件平台上实现外，本发明也能在多种软件环境下实现。一个典型的操作系统可以被用来在每个数据处理系统中控制程序的执行。例如，一个装置可以运行Unix操作系统，而另一装置包含简单的Java运行时环境。典型的计算机平台可以包括浏览器，它是一个众所周知的用来访问多种格式的超文本文档的软件应用，这些格式诸如图形文件、字处理文件、可扩展标记语言(XML)、超文本标记语言(HTML)、手持设备标记语言(HDML)、无线标记语言(WML)和多种其他文件格式和类型。需要说明的是，在图1A中所示的分布式数据处理系统被设想为能够支持多种对等子网和对等服务。

本发明可以在如上所述的多种硬件和软件平台上被实现。但更具体地说，本发明涉及提供一种用来在包括对等网络或者子网的网络上访问信息的方法和系统。作为背景技术，在更详细地描述本发明之前，先描述一个对等网络中的软件组件的典型结构。

现在参照图2A，该框图描述一个在两个计算机之间的简化的基于因特网的连接。计算机202通过通信链路206与因特网服务提供者(ISP)204通信，而计算机208通过通信链路210与ISP 204通信。计算机202和208的用户可以使用浏览器和其他网络应用，诸如对等文件共享应用，通过网络发送和接收信息，在本例中该网络包括因特网。本领域普通技术人员将知道在节点204和208之间的基于因特网的连接可以不用ISP来实现。例如，可使用局域网或者公司内部网。ISP的使用不应被认为是对本发明体系结构的限制。

现在参照图2B，该框图描述在作为对等网络内的节点运行的两个计算机中的软件组件。计算机210具有使用操作系统214的网络使能的应用212，以用于多种服务，诸如由通信层210提供的网络通信服务。另外，对等组件218可以是一个向计算机210提供对等网络功能的单独的小应用程序或者应用。通信链路220支持在计算机210和计算机230间的数据传输，这些计算机具有对应于在计算机210中所示的软件组件：应用232、操作系统234，通信层236和对等组件238。对等组件218和238可以提供对分布式对等文件共享功能的支持，如图2C详细示出的。需要指出的是，尽管下文的例子描述了文件的查找和检索，但是被处理和传输的信息单元可以更容易地被认为是一般的资源，其中可包括数据单元、文档、数据流、数据存储(datastore)或者其他数据聚合。

现在参照图2C，该框图描述一个具有文件共享功能的对等软件组件中的典型的软件子组件。如前文所指出的那样，在对等网络中，每个计算机平台或者节点可以作为一个中心运行，即，每个节点具有客户机功能和服务器功能。对等组件250包括客户机子组件252和服务器子组件254。

在对等网络中节点相互连接的方法可以随着对等网络类型的不同而变化。通常，当客户机向ISP连接时，客户机被ISP动态地分配一个IP地址，因此该IP地址可能随着每个客户机会话而变化。在一些实现方式中，当一个节点的用户手动输入另一被已知为支持对等网络的节点的应用的域名或者IP地址(并可选地输入端口号)时，一个在对等网络中节点间的对等连接被初始化。该对等应用接着和特定地址的另一节点建立一个连接作为对等网络中的起点。例如，使用Gnutella协议的应用在这种方式下运行。Gnutella节点也交换连接速度，诸如连接速度256，其描述将被节点使用的网络连接的速度。然而，应当指出的是，本发明可以在多种对等网络上实现，并且不被文件共享应用所使用的对等协议所限制。

对等网络中的节点能担当分布式文件共享系统，其中各节点协同运作来组成一个分布式搜索引擎。客户机子组件252包含输入查询处理功能258和搜索结果处理功能260。当在一个节点的用户输入一个搜索查询时，该搜索查询被复制到该节点所连接的对等节点的列表，诸如连接主机列表262。

当一个节点收到该查询时，它的服务器组件，诸如服务器组件254，处理该查询。每个对等节点搜索它自己的数据库来满足该搜索查询。或者，用户以前已经指定一个该用户希望输出或者共享的文件列表，诸如文件列表264，并且该服务器子组件搜索该列表以发现一个或者多个满足该搜索查询的文件。或者，除搜索文件名列表外，应用也可以搜索该节点的永久性存储器来寻找匹配该搜索查询的内容。根据查询消息中的某些参数，该节点也例如通过使用信息处理子组件266向被连接的对等节点列表中的每个节点发送查询。如果产生查询命中，那么该节点向与其联系的对等节点或者原始节点返回某种形式的查询结果。通过这种方式，查询迅速在大量的节点间散开。

现在参照图2D，该框图描述一个在对等网络中的节点的典型的网络拓扑。对等节点270具有一个连接主机列表272，其标识该对等节点270所连接的节点274-278，并且节点274-278也分别具有它们自己的连接主机列表280-284。在这个例子中，节点274连接到节点290-293，而节点292和节点294-298相连接。

需要指出的是，对等网络在节点间不具有一个结构化的拓扑，诸如一个严格的层级结构。在这个例子中，节点276也和节点293相连，且节点278也和节点298相连。然而，为了把直接被连接的节点和远端节点区别开来，特定的节点所连接的节点组可被称为是该特定节点的“根节点”。

如上面所指出的那样，本发明不限于任何特定的用来实现本发明的对等协议。但是作为背景信息，更详细地描述了Gnutella协议，作为在对等网络中在支持文件共享应用的节点间传递信息的方式的例子。上面针对图2C和图2D中的使用类似于Gnutella的协议在对等网络中支持文件共享的组件的描述可以作为参考。

Gnutella是一个基于因特网的文件搜索/共享程序，其在单个应用中结合了搜索引擎功能和文件服务器功能。当用户向在对等网络中的一个节点上的Gnutella使能的应用输入搜索词时，生成一个具有适当格式的信息的查询消息，并且该消息作为一个网络包被发送给该用户节点所连的对等节点，即那些已经与该用户节点建立连接或者会话的节点。在Gnutella消息头部的特殊的码指示该消息的类型，而每种消息类型有一个唯一的码。

在对等网络中距离该用户节点一定距离即在一定的节点“跳数”(hopcount)内的任何节点，都将收到该查询消息；没有机制来取消一个查询。当查询消息经过所连的各节点时，一个代表跳数的生存时间(TTL)数据字段被减小。当生存时间数据字段达到零时，接收节点不应再转发该查询消息，即，它应“丢弃该包”。否则，接收节点转发该查询消息。

每个消息包含一个全球唯一标识符(GUID)。当生成一个新的消息时，也生成一个新的GUID并把其放在该新的消息内。GUID生成的方式没有被Gnutella标准明确地指定。当收到任何消息时，将该GUID和一个GUID列表相比较，该列表中的每个GUID在它所对应的消息被接收时被存储。如果该GUID在列表中，这表明该接收节点先前已经看过该特定的消息，因为GUID被设定为唯一的。因此，如果该GUID在列表中，那么该节点不应该转发该收到的消息，因为该接收节点的对等节点也已经看过该消息了，而包可被丢弃。

另外，如果该接收节点能完成该查询，那么该节点生成一个查询命中(查询回复)消息并把其返回给发起该查询消息的节点。查询命中消息包含响应节点的地址和端口号，所以如果需要，该发起节点能向该响应节点发回一个消息来获取文件。查询命中消息也包含响应节点的连接速度和搜索命中的数量。对于每一个查询命中，查询命中消息也包含有满足该查询的文件的名称以及该文件的大小。也可以包含其他信息，诸如消息中数据内容的长度等等。

假定该发起节点具有充足的通信带宽，搜索的结果会在相对短的时间内被收到。当收到搜索结果时，将它们存储或者缓存。接着，Gnutella使能的应用以某种方式向用户提供该搜索结果，并且用户可以通过该应用内某种用户接口选择该用户希望获取的文件名。该应用已经存储了搜索结果，该些搜索结果包括一个或者多个以搜索命中响应的节点，因而该应用可以向用户的节点下载被选择的文件。简单的HTTP消息可以用于该下载操作，这些消息诸如“Get”或者“Put”消息(对Gnutella来说是“Push”请求)。

Gnutella协议的运行无需中央服务器。不像一些典型的搜索引擎，Gnutella匿名地搜索并且没有索引。并且既没有认证过程也没有授权过程。在Gnutella协议中有一些其他类型的消息，诸如“Ping”和“Pong”，用于探索网络上的其他节点和用于响应“Ping”消息。另外，“Push”请求消息允许联系位于网络之中但防火墙之后的节点以把文件推出防火墙之外而不是试图把该文件从防火墙之内拉出来。需要指出的是Gnutella协议规范是一个开放的规范，并可以随着时间而被修改和片断化(fragmentation)。

现在参照图3，其描述了一个典型的、基于Web的、索引型搜索引擎。客户机302通过通信链路304和因特网306相连，而服务器308通过通信链路310和因特网306相连。服务器308支持Web蜘蛛312，该Web蜘蛛通过跟踪网页内的超文本链接或者以某种其他方式在万维网上“爬行”，以便从服务器314和316中获得网页或者其他内容。通过Web爬行器收集的数据接着被索引并被存储在Web索引数据库318中。某些Web门户不断地执行该索引过程。

在某个时间点，客户机302上的用户可能希望执行一个搜索来寻找Web上的特定内容。该用户操作Web浏览器应用320或者其他某种类型的因特网使能或Web使能的应用来从服务器308上获取这样的网页，该网页包括用来输入搜索请求或者查询322的搜索表单。该用户输入搜索字符串，并且搜索请求以适当的形式，如HTTP消息的形式，被发送给服务器308上的搜索引擎324。该搜索引擎在先前已经产生的索引中搜索来寻找满足用户查询的内容。如果产生查询命中，那么搜索结果被返回客户机302，并且浏览器应用向用户显示该结果。用户可以查看该结果列表并在下载一项目之前决定是否查看该项目整个的内容。通常，搜索过程是免费的，但是各入口通过在其Web站点上卖广告来获取利润。

现在参照图4，其描述一个典型的具有中央数据仓库搜索引擎的对等网络。与在图3中所示的方式相类似，图4示出了执行Web浏览器402的客户机400，该Web浏览器可以包含对等模块404或者与之互操作，该模块可以是一个单独的程序也可以依赖于浏览器402的执行支持，诸如它的显示和通信功能。在本例子中，对等模块404是一个浏览器插件。

客户机400向服务器406发送和从其接收消息。在某个时间点，在客户机400上的用户通过Web浏览器402操作对等组件404以输入搜索请求408。客户机400以一种适当的格式向服务器406上的中央数据仓库搜索引擎410发送该搜索请求。

服务器406在所谓的混合对等网络中运行。如上面所述，在混合对等网络中，一个对等节点的用户通过中央索引来定位所希望的文件并接着从一个被识别的对等节点获取该文件。与根据文件中的内容建立索引的典型的Web搜索引擎所生成的索引比较，对等网络中的中央索引服务器上的索引通常是根据有关对等节点上的被索引文件的元数据来生成的，这些元数据诸如文件大小、标题、作者、出版日期或者其他著录项目数据。

中央数据仓库搜索引擎410，或者服务器406上其他某种组件或者其他某种与服务器406结合运行的实体，先前已经完成一个对等爬行或者蜘蛛处理过程来生成索引数据库。响应于用户的搜索请求，搜索引擎410使用索引搜索工具412来搜索整个索引数据库414。

搜索引擎410使用对等搜索工具416来可能是在常规的基于Web的索引操作之外，进行对等网络上的中央分布式搜索过程。搜索引擎410索引已经从对等节点上的文件聚集起来的元数据。对等索引操作可以一种蜘蛛处理的方式被执行以使索引数据库包括在一段时间可被获取的信息。然而，由于对等网络的动态性，索引数据库需要持续地更新以使被存储的信息是当前的和最新的。

或者，一个搜索请求实时地派生一个对等的搜索来响应一个传入的请求。该对等搜索过程使用注册的根节点列表418作为它的连接主机列表。在先前某段时间，服务器406例如一个商业网站的操作者，已经从希望作为该操作者的对等网络中的根节点的用户那里接收注册。如本领域众所周知的，网站能允许用户在该网站注册，从而为该用户建立某类个人账户，该个人帐户可能被存储在该网站的域内的一个服务器上。当用户向服务器操作者注册搜索引擎服务或者其他必要实体时，用户提供技术信息和可选的个人信息这两者。

该用户必须提供技术信息以使服务器能够和该用户的计算机或者类似装置建立对等连接。技术信息可包括IP地址、端口号和其他的数据项目。或者，用户提供某种类型的电子地址，该电子地址最终可变为一个在网络协议中的目标地址。因此，可以适当地使用代替或者附加于IP地址的其他类型的地址。例如，用户可以提供域名地址，该域名地址可以通过域名系统(DNS)中的域名服务器转化为成IP地址。在那种情况下，服务器可以被配置成接收除对等网通信流之外多种不同类型的通信流，但是因为服务器能够识别对等包，所以服务器可以正确地处理对等包，而同时也处理网页请求或者其他类型的数据通信流。

如果中央数据仓库搜索引擎410响应于搜索请求408实时地执行对等搜索，则对等搜索工具416生成一个查询消息，其中包含一个和从客户机400接收到的原始搜索查询408一样或者相似的搜索查询。由于对等网络的性质和它能生成不在服务器406控制之内的结果，在把搜索查询发送给根节点之前以某种方式调整搜索查询可能是必要的。例如，一个发往许多节点的广泛的搜索查询会很快地压倒服务器406接收该广泛的搜索查询所触发的响应的能力；到服务器406的通信链路将很快体验到类似于拒绝服务攻击的数据通信流。因此，被发往已注册的节点的搜索查询没有必要和从客户机400接收到的原始搜索查询一样。换句话说，在启动对等搜索之前，搜索引擎410可以通过某种类型的过滤器来运行该原始搜索查询。

最新生成的查询消息接着被发往每个根节点425-428。被用于对等搜索中的连接主机的数量可以取决于多种因素。例如，已注册根节点的列表可能包括数千节点，而在对等搜索中使用太多节点能很快压倒服务器406接收响应的能力。因此，在启动该对等搜索之前，搜索引擎410可在已注册根节点的列表上执行一个初步选择过程。

假定该对等搜索至少部分地成功，搜索引擎410从对等搜索的一个或者多个节点那里接收到一组结果。这些结果和/或来自索引数据库414的结果被搜索结果编辑/合并工具430以某种方式编织；该编辑过程可能包括一个在搜索结果上的过滤操作以除去重复结果的出现并减小结果数据集的大小。该结果的格式化的表示，例如包含对搜索结果的引用的网页，被返回到Web浏览器402。然后客户机400上的用户可以查看和处理搜索结果432，其后用户可能请求获取在搜索结果432中所标识的文件。

响应于搜索查询，搜索引擎接收关于满足搜索查询的参数的文件的元数据和/或其他信息。另外，搜索引擎接收或者纪录已用结果响应的源对等节点的标识，并且对等节点的标识与来自该特定对等节点的结果相关联地被存储。当搜索结果被返回到客户机时，该搜索结果也包括源对等节点的标识。换句话说，在搜索结果中的每个被识别的文件与标识源对等节点的信息相关联，该源对等节点用满足该搜索查询的特定文件的指示来响应该搜索查询。

当客户机400上的用户请求获取在搜索结果432中的特定文件时，对等组件404能以典型的对等方式向在搜索结果432中被标识和与文件信息相关联的源对等节点直接发送对文件的请求。接着，源对等节点用被请求的文件进行响应。

如上所述，企业拥有认证和授权系统来保持数据处理系统和存储在其中的信息的完整性。尽管对用户来说有权访问混合对等网络会很方便，但是对于现有系统中的混合对等网络来说，把文件访问限制在已授权的用户的范围内的需要仍是一个问题。本发明涉及在对等网络中提供授权操作，以使对文件的访问被限制在已被授权的用户的范围内。参照剩下的附图，更详细地描述了本发明。

现在参照图5，该框图描述一个混合对等网络，该混合对等网络具有根据本发明被扩展以支持分布式授权操作的对等组件。和上面所述的方式相类似，对等节点502支持对等组件504，而对等节点506支持对等组件508。另外，服务器510支持中央数据仓库搜索引擎512，并且以一个典型的方式，服务器510也支持认证管理器514和授权管理器516，该授权管理器访问策略数据库以便获得用于作出针对在服务器506上的被请求操作的授权决定的策略、访问控制列表或者其他类型的信息。用于所支持的后端认证和授权操作的机制可以变化而不影响本发明的范围。需要指出的是授权操作可以由一个位于服务器506运行的受信域中的单独的实体或者服务来执行，以使服务器506执行搜索操作，而同时授权实体执行授权操作。

和先前已在其他图中描述的对等组件相反，图5示出分别包含对等授权权标处理模块520和522的对等组件504和508。这些模块执行与获得或验证对等授权权标530相关的处理任务，如将在下面被详细描述的。在本例和下面参照图6A-6B描述的例子中，对等节点502从对等节点506请求一个文件，并且为了说明的目的已从这个角度标记了这些节点：对等节点502是请求对等节点，因为它发起了对文件的请求，而对等节点506是源对等节点，因为它提供该被请求的文件或者指定了该被请求文件的源。

参照图6A-6B，该对流程图描述了在一个混合对等网络中的请求对等节点根据本发明以一种被授权的方式从源对等节点获得文件的过程。现在参照图6A，该过程以请求对等节点在混合对等网络的中央服务器上完成一个认证操作开始(步骤602)。例如，位于请求对等节点的用户可以响应一个用户名/密码质询，或者请求对等节点可以通过使用数字证书自动完成一个认证质询。

以与参照图4所描述的相类似的方式，请求和执行一个对等网络搜索。在请求对等节点的用户向位于中央服务器上的一个中央数据仓库搜索引擎提交一个搜索查询(步骤604)。假如先前该中央服务器已经完成对该请求对等节点的认证，那么中央服务器通过处理和执行该搜索查询来使该搜索查询向前进行(步骤606)。该搜索过程可以包括对中央服务器所维护的数据库的查询和/或对该对等网络的实时查询。接着搜索引擎编辑该搜索结果(步骤608)，这可以包括过滤掉冗余命中或者其他过滤操作。例如，搜索可以在一个公司的对等网络中被实施，并且该搜索查询能由一个代表分布于所有公司雇员那里的公司备忘录的文档来满足，其中许多雇员在他们的台式计算机即公司对等网络的节点上保留有一个副本。该搜索引擎能够比较有关文件的各个副本的元数据来确定该文件是否是冗余的。在该例中，这些文件中仅有一个需要被编辑到搜索命中的结果集合中。

与在图4中所示的搜索结果在系统中被编辑的方式相反，中央数据仓库搜索引擎能优选地根据任何适用于用户和/或请求对等节点的授权策略来过滤搜索结果(步骤610)。一个位于中央服务器上的授权子系统维持护着某种类型的授权策略，其中包含着不同的对用户或者用户组访问网络中各种资源的能力的限制。例如，只有当用户工作所在的计算机在网络内时，用户才能访问网络中的某些文件，从而限制了从一个在可能不安全环境中的膝上型计算机的远程访问。作为另一个例子，一个用户可能没有查看与公司财务有关的信息的特权。

在一个实施例中，当搜索结果被返回到该请求对等节点时，该结果数据集不包括任何来自满足该搜索查询的文件的实际内容。因此，在请求对等节点上的用户所查看的搜索结果可能仅仅提供关于搜索查询命中的元数据，诸如文件名、作者、和创建日期。如果搜索结果没有根据授权策略被过滤，那么用户将会知道存在某些满足该用户搜索查询的文件，可是单纯的某些文件存在的本身可能就是一种仅应提供给已授权用户的机密信息。本发明的一个优点在于，通过在搜索结果被返回到请求对等节点之前对搜索结果应用授权策略，中央服务器确保了在请求对等节点的用户甚至不知道能够满足搜索查询的资源。

在对搜索结果应用授权策略后，被过滤的搜索结果被返回到该请求对等节点(步骤612)，接着该请求对等节点向用户提供搜索结果以供查看(步骤614)。

现在参照图6B，在某时间点上，用户选择一个在被显示的搜索结果中被标识的特定文件，接着该请求对等节点向中央服务器提交一个请求来获取该被选择的文件(步骤616)。接着中央服务器生成一个对等授权权标(步骤618)并把该权标返回到请求对等节点(步骤620)。在优选的实施例中，该对等授权权标包含有源对等节点的标识以及其他消息，如下面更详细地解释的。该请求对等节点从该授权权标中提取出源对等节点的标识(步骤622)并接着把该权标连同一个获取该被请求文件的请求发往拥有该被请求文件的源对等节点(步骤624)。源对等节点验证该权标并向请求对等节点返回该被请求文件(步骤626)。然后在请求对等节点的用户可以查看该获取的文件(步骤628)，然后过程结束。如果需要，用户可以通过在搜索结果中选择其他搜索查询命中来获取其他文件。

授权权标的数据格式可以变化而不影响本发明的范围。如上所述，在一个优选实施例中，该授权权标包含源对等节点的标识。该源对等节点的标识符可以是一个网络地址、一个URI(统一资源标识符)、或者某种其他类型的标识符。使用源对等节点标识符，请求对等节点能确定把获取文件的请求发向对等网络中哪个对等节点。另外，该授权权标也可以包括该请求对等节点已选择要获取的资源的标识符，该标识符可以是一个URL(统一资源定位器)，或者更一般地，一个URI。尽管从中央服务器上接收到的搜索结果可能已经包括源对等节点的标识和搜索查询命中的的标识符，但是中央服务器能过通过把该消息放入授权标志中来提高过程的完整性。

该授权权标的完整性能通过在该权标中放置几个消息项目来保持。例如，该授权权标可以被赋予一个生成时间戳和一个有效期，或者，一个失效时间戳，以使该授权权标在没有即时被使用时变为陈旧。由于对等网络的动态性，中央服务器不能确保满足搜索查询的资源的将来存在；例如，在源对等节点的用户可能会在请求对等节点的用户请求一特定资源之前删除该被请求的资源。为了避免这种数据保留问题，可给予授权权标一个短的有效期。另外，该授权权标数据格式的版本号也可被插入该授权权标中以确保请求对等节点和源对等节点以同样的方式解释该授权权标中的消息。

更重要地，该授权权标的真实性可以通过数字签名来实施。中央服务器能用它的私钥签名该授权权标，并且任何持有该授权权标和该中央服务器的公钥证书副本的人都可以验证该中央服务器生成了该授权权标，从而防止了由恶意的操作节点进行的授权权标的欺骗。数字签名也提高了授权权标的完整性，因为授权权标的接收者能够验证自应用数字签名以来该授权权标还没有被修改过。

完整性和真实性操作没有必要限制于中央服务器，因为请求对等节点也能执行关于授权权标的操作。例如，请求对等节点也可以在授权权标上生成一个数字签名，其中源对等节点可以通过该请求对等节点的公钥证书的副本来验证该数字签名。如果在请求对等节点和中央服务器之间的通信不是在安全的通信链路上发生的，这种预防措施将有助于防止所谓的中间人攻击(man-in-the-middle attack)，在这种攻击中一个恶意方窥探在请求对等节点和服务器之间的通信。如果恶意者获取了授权权标的一个副本，那么它可以把授权权标提供给源节点，而源节点不能确定请求方是恶意方而不是请求对等节点。然而，中央服务器也能在授权权标中放置请求对等节点的标识符或者位置，并且然后源对等节点将仅仅向中央服务器所标识的请求对等节点返回被请求的文件。

数字签名常常可从公众可访问目录例如LDAP目录中获得；LDAP目录的位置可以是对等网络中的每个节点上的可设置信息的一部分。可假定如果请求对等节点在授权权标上执行某种类型的操作，该请求对等节点不改变授权权标，而仅仅是把符合PKCS(公钥加密系统)标准的一些附加信息包裹在授权权标上，诸如包裹在授权权标上的一个安全数字包封。

对于每个由中央服务器和/或请求对等节点应用于授权权标上的完整性和真实性操作，源对等节点能执行适当的过程来验证这些操作。例如，如果授权权标指示一个有效期，那么源对等节点应该确信该授权权标在有效期间内被请求对等节点提供。如果中央服务器已经签名该授权权标，那么源对等节点能够验证该签名；在源对等节点和为中央服务器发布数字证书的证书管理机构间的内在信任向源对等节点提供了授权权标是真实的保证。

如上所述，本发明不受在对等网络中所实施的对等协议的局限。根据本发明被引入到对等网络中的方式，可能不需要修改对等协议来使对等节点实施使用本发明的对等授权权标。可以引入该授权权标，作为从中央服务器到请求对等节点的响应消息的一部分，同样地，可以引入该授权权标，作为从请求对等节点到源对等节点的请求消息的一部分。换句话说，可以引入该授权权标，作为典型的对等消息的有效载荷或者内容的一部分，而不需要对等协议中的一种新的消息类型。

另外，中央服务器向请求对等节点返回该授权权标的方式也可变化，而不影响本发明的范围。在上面的例子中，请求对等节点向中央服务器提交一个获取资源的请求，该资源是从该请求对等节点先前已经从中央服务器那里接收到的搜索结果数据集中选择的。在收到该请求后，中央服务器接着返回该可被发往源对等节点的授权权标。

在另一个可选的实施例中，当搜索结果数据集首次返回到请求对等节点时，中央服务器能把多个对等授权权标附加/嵌入在搜索结果数据集中。在这种方式中，请求对等节点不需要向中央服务器提交一个随后的请求来获取所选择的资源。该请求对等节点可以从搜索结果数据集中提取用于将要被请求的资源的适当的授权权标；与所希望的资源相关的源对等节点的标识和所希望的资源的标识符可能已经嵌入在该授权权标中了。

换句话说，该搜索结果数据集可以包括用于每个搜索查询命中的多个数据项，并且这些数据项中的一个可以是用于特定搜索查询命中的被标识资源的授权权标。既然该请求对等节点已经拥有了源对等节点的标识、资源的标识符和用于该资源的授权权标，那么该请求对等节点可立即直接向源对等节点，而不是间接地通过中央服务器发送获取该资源的请求。

尽管这个过程可能没有如图6A-6B所示的过程安全，但是也不一定是这样。同样的安全预防措施，例如来自中央服务器的数字签名和用于该授权权标的短的有效期，可被应用于该授权权标。另外，对于中央服务器所生成的每个授权权标，中央服务器通过在数字签名的授权权标中包括所希望的资源的标识符，而在用户、搜索结果数据集中的所希望的资源和使用户有权访问授权权标中所标识的资源的授权策略之间施加一个绑定。通过这种方式，授权权标不是普遍地适用于对等网络中的所有资源，而只是适用于在授权权标中所标识的一个或多个资源。

另外，尽管这个可选择的过程可能没有如图6A-6B所示的过程高效，但是也不一定是这样。如果有许多搜索查询命中，那么生成大量授权权标的处理过程将会变得低效。然而，如果只有少数几个搜索查询命中，那么这个可选择的过程将会更高效，因为其减少了为了响应针对单个被请求资源的每个请求所需要的额外开销。

另外，和图6中的过程相比，这个可选择的过程可减少所需要的授权处理量。例如，中央服务器根据任何可适用的授权策略过滤被编辑过的搜索结果，所以对于每一个搜索查询命中，所识别的资源在其被放在搜索结果数据集之前将经过一个授权检验。在图6B所示的过程中，中央服务器优选地在步骤618执行另一个授权检验，以确保被请求的资源是该用户或者请求对等节点被授权访问的资源。这个额外的授权检验确保用户或者请求对等节点没有通过不安全或者不适当的方式获得一个资源标识符，并接着试图获得一个用于该资源的有效授权权标。既使获取所希望的资源的请求经过请求对等节点的数字签名或者请求是通过安全的通信链路传输的以确保该请求实体确实是被先前认证的请求节点，该请求对等节点也可能滥用该授权过程，如果中央服务器假定任何被请求资源只能由这样的一方所识别的话，该方已通过经由被过滤、被授权的搜索结果数据集产生的中央搜索而合法地知道该标识符。

因此，在如图6B所示的过程中，用于被请求资源的标识符将经过两个授权检验，而该可选择的过程仅要求一个。如果搜索结果数据集中的资源的数量相对较小，那么该可选择的过程将更高效。在另一实施例中，中央服务器被设置为根据搜索结果数据集中的搜索查询命中的一阈值数量而在这两种授权权标生成过程之间切换，因而仅当搜索查询命中的数量足够小时，才自动地为搜索查询命中产生授权权标。

如上所述，授权权标的数据格式可以变化。例如，可以根据授权声明(assertion)的标准把授权权标格式化。声明提供了某种先前动作的间接证据；例如，声明可提供关于身份、认证、属性、授权决定、和/或其他类型的信息的的先前决定或者操作的间接证据。安全声明标记语言(SAML)声明是可用于实施本发明的分布式数据处理环境中的声明格式的一个例子。SAML已经由结构化信息标准促进组织(OASIS)颁布，该组织是一个非营利性的全球社团。SAML在“Assertion and Protocol for the OASISSecurity Assertion Markup Language(SAML)”(用于OASIS安全声明标记语言(SAML)的声明和协议)，Committee Specification 01，05/31/2002中被描述如下：

安全声明标记语言(SAML)是一种用于交换安全信息的基于XML的框架。这种安全信息表示为关于主题的声明的形式，其中主题是在某个安全域中具有一身份的实体(人或者计算机)。主题的典型例子是一个人，其通过在一特定因特网DNS域中他/她的电子邮件地址被标识。声明可以传递有关主体所执行的认证动作、主体的属性、和关于是否允许主体访问某些资源的授权决定的信息。声明被表示为XML结构并具有嵌套结构，借此一单个声明可包含几个不同的有关认证、授权和属性的内部陈述(statement)。需要指出的是包括认证陈述的声明仅仅描述先前发生的认证动作。声明由SAML管理机构，即认证管理机构、属性管理机构和策略决定点发布。SAML定义一种协议，客户机可以通过该协议向SAML管理机构请求声明并从那里得到响应。

这个包括基于XML的请求和响应消息格式的协议能被绑定于不同的底层通信和传输协议；当前SAML定义了一个对HTTP上的SOAP的绑定。

SAML管理机构在生成它们的响应时可以使用多种信息源，诸如外部策略存储和在请求中作为输入被接收的声明。因此当客户机总是消费声明时，SAML管理机构可以既是声明的生产者也是声明的消费者。

由于上面所提供的对本发明的详细说明，本发明的优点应当是很明显的。本发明通过使用由支持中央数据仓库搜索引擎的服务器所发布的对等授权权标来提供一种用于分布式对等访问控制的机制。该对等授权权标通过使中央服务器进行用于请求对等节点的授权决定，而扩展了现有的对等协议。如果中央服务器确定该请求对等节点是被授权的，那么中央服务器生成一个授权权标，请求对等节点把该授权权标连同获取所标识的文件的请求一起提供给源节点。基于源节点和中央服务器间的信任，如果源节点能验证该授权权标是有效的，那么该源节点提供对被请求文件的访问。

重要的是指出，尽管本发明已经在一个全功能数据处理系统的情境下被描述，但是本领域普通的技术人员将知道，本发明的过程能够以计算机可读介质中的指令的形式或者多种其他形式被分发，而不管实际用于执行该分发的信号承载介质的特定类型。计算机可读介质的例子包括诸如EPROM、ROM、磁带、纸、软盘、硬盘驱动器、RAM、和CD-ROM的介质和诸如数字和模拟通信链路的传输类型的介质。

一种方法通常被认为是导致所希望的结果的首尾一致的步骤序列。这些步骤需要对物理量的物理操纵。通常，尽管不是必须地，这些物理量采取能够被存储、传输、合并、比较和以其他方式操纵的电或磁的信号的形式。有时，主要是由于通常用法的原因，称这些信为比特、值、参数、项目、元素、对象、符号、字符、项、数字、或者类似物是方便的。然而，需要指出的是所有这些术语和类似术语将与适当的物理量相关联并仅仅是应用于这些量的方便标记。

本发明的描述是为了说明的目的被提供的，但是不打算是穷尽性的或者限制于所公开的实施例。对本领域的普通技术人员来说，许多改变和变化将是显而易见的。实施例被选择用来解释本发明的原理和它的实际应用，并使本领域其他普通技术人员理解本发明以用来实现具有可能适合于其他所设想用途的多种改变的各实施例。

Claims (22)

1.一种用于授权操作的方法，该方法包括：

在对等网络中的中央服务器上接收来自该对等网络中的第一对等节点的、对于该对等网络中的一个或者多个资源的搜索查询；

由中央服务器识别在第二对等节点上满足该搜索查询的资源；

响应于确定该第一对等节点或者该第一对等节点的用户已被授权访问该资源，由中央服务器把关于该资源的信息插入搜索结果数据集；

向该第一对等节点返回该搜索结果数据集；

响应于确定该第一对等节点或者该第一对等节点上的用户已被授权访问该资源，为该第一对等节点生成授权权标，以访问在第二对等节点上的资源；以及

向该第一对等节点返回该授权权标。

2.如权利要求1所述的方法，还包括：

由中央服务器从该第一对等节点接收从该搜索结果数据集中对该资源的选择；以及

响应于接收到对该资源的选择，执行所述生成该授权权标的步骤。

3.如权利要求1所述的方法，还包括：

在被返回到该第一对等节点的搜索结果数据集中附加或者嵌入该授权权标。

4.如权利要求1所述的方法，还包括：

在生成该授权权标之前，对该第一对等节点或者该第一对等节点的用户进行认证。

5.如权利要求1所述的方法，还包括：

从该第一对等节点上向该第二对等节点发送该授权权标以便获得对该第二对等节点上的资源的访问。

6.如权利要求5所述的方法，还包括：

响应于在该第二对等节点上对该授权权标的验证，提供对该资源的访问。

7.如权利要求1所述的方法，还包括：

数字签名该授权权标以用于随后的验证。

8.如权利要求1所述的方法，还包括：

把用于该第二对等节点的标识符插入到该授权权标内；以及

在第一对等节点上从该授权权标提取出用于该第二对等节点的标识符来识别该第二对等节点。

9.如权利要求1所述的方法，还包括：

把用于该资源的标识符插入到该授权权标内；以及

在第二对等节点上从该授权权标提取出用于该资源的标识符来识别该资源。

10.如权利要求1所述的方法，其中授权权标在该中央服务器上被生成。

11.如权利要求1所述的方法，其中授权权标在被信任的中央管理机构处被生成。

12.一种数据处理系统，包括：

用于在对等网络中的中央服务器上接收来自该对等网络中的第一对等节点的、对于该对等网络上的一个或者多个资源的搜索查询的装置；

用于由中央服务器识别在第二对等节点上满足该搜索查询的资源的装置；

用于响应于该第一对等节点或者该第一对等节点上的用户已被授权访问该资源决定，把有关该资源的消息插入搜索结果数据集的装置；

用于向该第一对等节点返回该搜索结果数据集的装置

用于响应于该第一对等节点或者该第一对等节点上的用户已被授权访问该资源，为该第一对等节点生成授权权标，以访问在第二对等节点上的资源的装置；以及

用于向该第一对等节点返回该授权权标的装置。

13.如权利要求12所述的数据处理系统，还包括：

用于由中央服务器从该第一对等节点接收从该搜索结果数据集中对该资源的选择的装置；以及

用于响应于接收到对该资源的选择，执行生成该授权权标的装置。

14.如权利要求12所述的数据处理系统，还包括：

用于在被返回到该第一对等节点的搜索结果数据集中附加或者嵌入授权权标的装置。

15.如权利要求12所述的数据处理系统，还包括：

用于在生成该授权权标之前，对该第一对等节点或者该第一对等节点的用户进行认证的装置。

16.如权利要求12所述的数据处理系统，还包括：

用于从该第一对等节点向该第二对等节点发送该授权权标以便获得对该第二对等节点上的资源的访问的装置。

17.如权利要求16所述的数据处理系统，还包括：

用于响应于在该第二对等节点上对该授权权标的验证，提供对该资源的访问的装置。

18.如权利要求12所述的数据处理系统，还包括：

用于数字签名该授权权标以用于随后的验证的装置。

19.如权利要求12所述的数据处理系统，还包括：

用于把用于该第二对等节点的标识符插入到该授权权标内的装置；以及

用于在第一对等节点上从该授权权标提取出用于该第二对等节点的标识符来识别该第二对等节点的装置。

20.如权利要求12所述的数据处理系统，还包括：

用于把该资源的标识符插入到该授权权标内的装置；以及

用于在第二对等节点上从该授权权标提取出用于该资源的标识符来识别该资源的装置。

21.如权利要求12所述的数据处理系统，其中授权权标在该中央服务器上被生成。

22.如权利要求12所述的数据处理系统，其中授权权标在被信任的中央管理机构处被生成。

Images