CN115208693A

CN115208693A - 一种基于微服务的安全访问控制方法及装置

Info

Publication number: CN115208693A
Application number: CN202211098463.7A
Authority: CN
Inventors: 张子晔; 王燕; 梁辰; 李倩
Original assignee: CETC 15 Research Institute
Current assignee: CETC 15 Research Institute
Priority date: 2022-09-09
Filing date: 2022-09-09
Publication date: 2022-10-18
Anticipated expiration: 2042-09-09
Also published as: CN115208693B

Abstract

本发明公开一种基于微服务的安全访问控制方法及装置，还公开一种电子设备及一种非暂态计算机可读存储介质，涉及数据访问技术领域，该方法包括：基于用户信息获取用户针对不同微服务的访问角色，并基于访问角色获取用户针对不同微服务拥有的访问权限；基于访问权限分别响应用户针对不同微服务的访问动作；微服务携带有效访问时间段，在有效访问时间段内，微服务可被执行访问动作；否则，微服务无法被执行访问动作。本发明提供的基于微服务的安全访问控制方法及装置，使用户摆脱了针对某一程序上不同进程只能拥有单一访问权限的限制，实现了同一用户在不同进程上的独立访问与数据获取，提高了访问效率和访问安全度。

Description

一种基于微服务的安全访问控制方法及装置

技术领域

本发明涉及数据访问技术领域，尤其涉及一种基于微服务的安全访问控制方法及装置。

背景技术

随着互联网行业的迅速发展，应用***需要使用大量数据资源，数据服务就是通过数据接口为应用***提供数据的一种方式。当用户访问应用***时，需要对访问权限进行控制，其中如何对应用***中的数据服务进行安全访问控制成为一项重要内容。

目前数据服务访问控制技术主要存在以下几种：1)自主访问控制方法(DAC,Discretionary Access Control)，2)强制访问控制方法(MAC，Mandatory AccessControl)以及3)基于角色的访问控制方法(RBAC，Role-Based Access Control)，但是上述方法都存在各自的缺点导致对数据服务的访问控制无法满足既高效又安全的目的。

发明内容

本发明意在提供一种基于微服务的安全访问控制方法及装置，以解决现有技术中存在的不足，本发明要解决的技术问题通过以下技术方案来实现。

本发明提供一种基于微服务的安全访问控制方法，应用于内部***，包括：

基于用户信息获取用户针对不同微服务的访问角色，并基于所述访问角色获取所述用户针对不同微服务拥有的访问权限，其中，所述微服务为来自至少一个程序的进程；

基于所述访问权限分别响应所述用户针对不同微服务的访问动作；

所述微服务携带有效访问时间段，在所述有效访问时间段内，所述微服务可被执行访问动作；否则，所述微服务无法被执行访问动作。

根据本发明提供的一种基于微服务的安全访问控制方法，所述程序操作权限包括数据保存权限，数据删除权限，数据修改权限以及数据查找权限中的至少一种。

本发明提供一种基于微服务的安全访问控制方法，应用于外部***，包括：

当应用于单一微服务时，接收用户发来的post请求；

读取url中的服务代码和请求体中的用户信息；

验证所述服务代码、所述用户信息是否与预设信息匹配，若匹配，则允许所述用户对所述微服务执行访问动作；若不匹配，则反馈匹配失败。

根据本发明提供的一种基于微服务的安全访问控制方法，所述请求体中还包括数据查询时间信息，验证所述服务代码、所述用户信息、所述数据查询时间信息是否与预设信息匹配，若匹配，则允许所述用户对所述微服务执行访问动作；若不匹配，则反馈匹配失败。

根据本发明提供的一种基于微服务的安全访问控制方法，所述方法还包括：

当应用于多个微服务时，基于用户信息获取用户针对微服务组的访问权限，所述微服务组为将多个所述微服务按预设顺序组合而成，当所述访问权限不存在时，反馈所述微服务组访问失败；

当所述访问权限存在时，依次访问所述微服务组内部的多个所述微服务，当所述微服务访问成功时，反馈访问数据，当所述微服务访问失败时，反馈所述微服务访问失败并跳转执行所述微服务组中下一个所述微服务的访问进程。

本发明还提供一种基于微服务的安全访问控制装置，应用于内部***，包括：

权限获取模块，用于基于用户信息获取用户针对不同微服务的访问角色，并基于所述访问角色获取所述用户针对不同微服务拥有的访问权限，其中，所述微服务为来自至少一个程序的进程；

访问执行模块，用于基于所述访问权限分别响应所述用户针对不同微服务的访问动作;所述微服务携带有效访问时间段，在所述有效访问时间段内，所述微服务可被执行访问动作；否则，所述微服务无法被执行访问动作。

本发明还提供一种基于微服务的安全访问控制装置，应用于外部***，包括：

接收模块，用于接收用户发来的post请求；

读取模块，用于读取url中的服务代码和请求体中的用户信息；

验证模块，用于验证所述用户信息是否与预设信息匹配，若匹配，则允许所述用户对所述微服务执行访问动作；若不匹配，则反馈匹配失败。

本发明还提供一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如上述任一种所述基于微服务的安全访问控制方法的步骤。

本发明还提供一种非暂态计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现如上述任一种所述基于微服务的安全访问控制方法的步骤。

本发明还提供一种计算机程序产品，包括计算机程序/指令，所述计算机程序/指令被处理器执行时实现如上述任一种所述基于微服务的安全访问控制方法的步骤。

本发明实施例包括以下优点：

通过根据用户信息获取用户的访问角色，访问角色表达了用户对不同微服务的访问权限大小，进而使同一用户在不同微服务上基于不同的访问角色对其进行访问；基于此，使用户摆脱了针对某一程序上不同进程只能拥有单一访问权限的限制，实现了同一用户在不同进程上的独立访问与数据获取，提高了访问效率和访问安全度；与此同时，通过在服务发布时设置有效时段，使用户在特定时段具备服务访问权限，服务提供者可在有效时段外进行数据服务维护操作，保证数据服务的时效性，可进行定期更新维护。

附图说明

图1是本发明提供的基于微服务的安全访问控制方法流程示意图之一；

图2是本发明提供的基于微服务的安全访问控制方法的流程示意图之二；

图3是本发明提供的基于微服务的安全访问控制方法的流程示意图之三；

图4是本发明提供的基于微服务的安全访问控制方法的流程示意图之四；

图5是本发明提供的基于微服务的安全访问控制方法的流程示意图之五；

图6是本发明提供的基于微服务的安全访问控制方法的流程示意图之六；

图7是本发明提供的基于微服务的安全访问控制方法的流程示意图之七；

图8是本发明提供的基于微服务的安全访问控制装置的结构示意图之一；

图9是本发明提供的基于微服务的安全访问控制装置的结构示意图之二；

图10是本发明提供的电子设备的结构示意图。

具体实施方式

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本发明。

应该指出，上述详细说明都是示例性的，旨在对本申请提供进一步的说明。除非另有指明，本文使用的所有技术和科学术语均具有与本申请所属技术领域的普通技术人员的通常理解所相同的含义。

需要注意的是，这里所使用的术语仅是为了描述具体实施方式，而非意图限制根据本申请的示例性实施方式。如在这里所使用的，除非上下文另外明确指出，否则单数形式也意图包括复数形式。此外，还应当理解的是，当在本说明书中使用术语“包含”和/或“包括”时，其指明存在特征、步骤、操作、器件、组件和/或它们的组合。

需要说明的是，本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的术语在适当情况下可以互换，以便这里描述的本申请的实施方式能够以除了在这里图示或描述的那些以外的顺序实施。

此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含。例如，包含了一系列步骤或单元的过程、方法、***、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

图1是本发明提供的基于微服务的安全访问控制方法的流程示意图之一，应用于内部***，如图1所示，所述方法包括：

步骤S110，基于用户信息获取用户针对不同微服务的访问角色，并基于所述访问角色获取所述用户针对不同微服务拥有的访问权限，其中，所述微服务为来自至少一个程序的进程；

步骤S120，基于所述访问权限分别响应所述用户针对不同微服务的访问动作;所述微服务携带有效访问时间段，在所述有效访问时间段内，所述微服务可被执行访问动作；否则，所述微服务无法被执行访问动作。

需要说明的是，访问角色表达了用户对微服务的访问权限大小，即用户对程序中某个进程的访问权限大小，具体的访问角色包括：超级管理员、服务管理员、服务测试员，上述角色的访问权限依次减小，具体的访问权限内容可以按需预先设置；与此同时，针对某个固定微服务中的内容不是一成不变的，当微服务内容变更后需要对***平台上的微服务进行更新，本发明可限制有效时段访问微服务，在非访问时间对微服务进行定期更新。

例如，用户可在有效时间内对目标微服务进行访问，保证微服务的时效性，微服务提供者通过在服务发布页面设置有效时段，规定用户可以访问的具体时间。

本发明提供的基于微服务的安全访问控制方法，通过根据用户信息获取用户的访问角色，进而使同一用户在不同微服务上基于不同的访问角色对其进行访问；基于此，使用户摆脱了针对某一程序上不同进程只能拥有单一访问权限的限制，实现了同一用户在不同进程上的独立访问与数据获取，提高了访问效率和访问安全度；与此同时，通过在服务发布时设置有效时段，使用户在特定时段具备服务访问权限，服务提供者可在有效时段外进行数据服务维护操作，保证数据服务的时效性，可进行定期更新维护。

根据本发明提供的基于微服务的安全访问控制方法，在本发明中，所述访问权限包括数据保存权限，数据删除权限，数据修改权限以及数据查找权限中的至少一种。

需要说明的是，本发明对微服务的分类、微服务本身、微服务的增删改查的操作进行了原子级别的细分，将其转换为相应的分段字符串，例如微服务分类1的权限为ser:service1、微服务分类2为ser:service2，而更细致的微服务1的保存权限为ser:service1:save、删除权限为ser:service1:delete。为角色分配好权限并且和用户绑定后，该用户进入到***页面中会首先判断用户是否用于ser权限，如果没有则看不到整个服务模块，用户ser权限后会检查用户拥有哪些服务分类权限，例如仅拥有ser:service1，那***后台会从数据库中的所有服务里筛选出分类为service1的服务，并返回给用户，用户如未拥有save与delete权限，页面将会根据用户权限，将相应操作选项处置于禁用状态，即使用户篡改了页面，在操作提交后，后台也会对用户权限进行校验，校验失败就会返回错误信息。

本发明提供的基于微服务的安全访问控制方法，通过对访问权限的细化分类，使用户实现了对微服务的精细化访问与精准访问。

图2是本发明提供的基于微服务的安全访问控制方法的流程示意图之二，应用于外部***，如图2所示，所述方法包括：

步骤S210，接收用户发来的post请求；

步骤S220，读取url中的服务代码和请求体中的用户信息；

步骤S230，验证所述服务代码、所述用户信息是否与预设信息匹配，若匹配，则允许所述用户对所述微服务执行访问动作；若不匹配，则反馈匹配失败。

根据本发明提供的基于微服务的安全访问控制方法，在本发明中，所述请求体中还包括数据查询时间信息，验证所述服务代码、所述用户信息、所述数据查询时间信息是否与预设信息匹配，若匹配，则允许所述用户对所述微服务执行访问动作；若不匹配，则反馈匹配失败。

需要说明的是，应用于外部***和内部***的基于微服务的安全访问控制方法分属于不同的控制权限，相互独立，互不干扰，保证了安全性。

在创建远程服务时，可以设置服务代码选择授权日期、授权时间、授权用户以及内容过滤甚至访问次数等设置，而远程调用的功能则是基于http协议，由用户发送post请求，在url中设定访问的服务代码，同时在请求体中携带访问的用户信息，数据查询条件等信息。

在后台接收到用户请求后会从数据库中拉取需要访问的服务信息，检查用户身份信息以及服务授权情况，即使核对通过后也会对日期和时间进行校验，有任意信息不一致则服务无法访问，确保了数据的安全性。即便是第三方非登录用户，也可使用已授权用户的授权码，用作身份校验的凭证，提高了服务的可用性。由于日期及时间的限制，保证了服务有充足的更新修改时间，防止用户获取到错误的数据，保证了服务数据的可靠性。

本发明提供的基于微服务的安全访问控制方法，通过读取url中的服务代码和请求体中的用户信息以及数据查询时间信息，并利用数据库中的预设信息与上述信息进行一一比对，只有上述所有信息均比对成功后方可实现用户对微服务的访问，基于此，引入多条件判断逻辑，充分实现用户对微服务的安全访问过程，进一步提高访问的安全度与可靠度。

根据本发明提供的基于微服务的安全访问控制方法，在本发明中，所述方法还包括：

需要说明的是，将多个微服务编排成的微服务组本质上也是一种服务，它能够像普通微服务一样进行授权和远程调用，但是其能够容纳多个微服务并对容纳的微服务进行排序。微服务组的授权和普通微服务的授权存在些许不同，用户若想要访问微服务组，除了需要有微服务组的授权外，也需要有微服务组所容纳的所有微服务的授权，否则执行会中止。

当用户访问该微服务组时，***会按照预先设置好的顺序逐个检查微服务的授权情况并执行访问，返回所有微服务的数据信息，如任意微服务步骤发生错误，则记录异常信息，允许用户查看微服务运行状况，并显示具体哪一步发生了异常，如成功则返回各微服务数据结果。

本发明提供的基于微服务的安全访问控制方法，通过将多个微服务打包成组，得到微服务组，并使用户基于微服务组的访问权限以及微服务组中各个微服务的访问权限进行依次访问，基于该微服务组实现了对组中微服务的有序访问，满足了用户对不同微服务按照预设顺序进行访问的需求，提升了访问的可操作性。

根据本发明提供的基于微服务的安全访问控制方法，在本发明中，所述微服务携带有效访问时间段，在所述有效访问时间段内，所述微服务可被执行访问动作；否则，所述微服务无法被执行访问动作。

图3是本发明提供的基于微服务的安全访问控制方法的流程示意图之三，如图3所示，

Step1，用户进入***；

Step2，基于服务数据库中的数据检查用户拥有服务分类的权限；

Step3，返回服务分类1。

图4是本发明提供的基于微服务的安全访问控制方法的流程示意图之四，如图4所示，

Step1，用户修改服务信息；

Step2，基于服务数据库中的数据信息检查用户是否拥有该服务的权限；若是，则修改服务信息并返回成功信息，同时将修改后的服务信息保存至服务数据库；若否，则返回失败信息并终止流程。

图5是本发明提供的基于微服务的安全访问控制方法的流程示意图之五，如图5所示，

Step1，用户访问远程服务，该用户携带有用户信息或用户凭证，同时将用户访问信息保存至服务数据库。

Step2，检查用户与服务权限信息，并同时接收来自服务数据库的服务授权；若检查失败，则返回失败信息。

Step3，若检查通过，则检查访问日期时间，若访问日期时间检查通过，则返回数据信息；若访问日期时间检查失败，则返回失败信息。

图6是本发明提供的基于微服务的安全访问控制方法的流程示意图之六，如图6所示，

Step1，用户访问服务编排，并将用户访问信息保存至服务数据库，同时该用户携带有用户信息。

Step2，基于服务数据库中的数据信息检查用户是否拥有服务编排授权，若是，则拆解服务编排依次访问服务；若否，则返回失败信息。

Step3，基于服务数据库检查服务1授权与日期，若是，则检查服务2授权与日期，若是，则返回数据信息；检查服务2授权与日期，若否，则返回失败信息。

图7是本发明提供的基于微服务的安全访问控制方法的流程示意图之七，如图7所示，

***人员进行服务细粒度访问控制，在上述细粒度访问控制完成后进行对单一服务或者服务编排的访问操作；

外部***基于服务代码对单一服务进行远程调用，且多个单一服务组合形成服务编排。

图8是本发明提供的基于微服务的安全访问控制装置的结构示意图之一，如图8所示，所述安全访问控制装置800包括：

权限获取模块810，用于基于用户信息获取用户针对不同微服务的访问角色，并基于所述访问角色获取所述用户针对不同微服务拥有的访问权限，其中，所述微服务为来自至少一个程序的进程；

访问执行模块820，用于基于所述访问权限分别响应所述用户针对不同微服务的访问动作；所述微服务携带有效访问时间段，在所述有效访问时间段内，所述微服务可被执行访问动作；否则，所述微服务无法被执行访问动作。

本发明提供的基于微服务的安全访问控制装置，通过根据用户信息获取用户的访问角色，访问角色表达了用户对不同微服务的访问权限大小，进而使同一用户在不同微服务上基于不同的访问角色对其进行访问；基于此，使用户摆脱了针对某一程序上不同进程只能拥有单一访问权限的限制，实现了同一用户在不同进程上的独立访问与数据获取，提高了访问效率和访问安全度；与此同时，通过在服务发布时设置有效时段，使用户在特定时段具备服务访问权限，服务提供者可在有效时段外进行数据服务维护操作，保证数据服务的时效性，可进行定期更新维护。

图9是本发明提供的基于微服务的安全访问控制装置的结构示意图之二，如图9所示，所述安全访问控制装置900包括：

接收模块910，用于接收用户发来的post请求；

读取模块920，用于读取url中的服务代码和请求体中的用户信息；

验证模块930，用于验证所述用户信息是否与预设信息匹配，若匹配，则允许所述用户对所述微服务执行访问动作；若不匹配，则反馈匹配失败。

本发明提供的基于微服务的安全访问控制装置，通过读取url中的服务代码和请求体中的用户信息以及数据查询时间信息，并利用数据库中的预设信息与上述信息进行一一比对，只有上述所有信息均比对成功后方可实现用户对微服务的访问，基于此，引入多条件判断逻辑，充分实现用户对微服务的安全访问过程，进一步提高访问的安全度与可靠度。

图10示例了一种电子设备的实体结构示意图，如图10所示，该电子设备可以包括：处理器(processor)1010、通信接口(Communications Interface)1020、存储器(memory)630和通信总线1040，其中，处理器1010，通信接口1020，存储器1030通过通信总线1040完成相互间的通信。处理器1010可以调用存储器1030中的逻辑指令，以执行基于微服务的安全访问控制方法，应用于内部***，该方法包括：基于用户信息获取用户针对不同微服务的访问角色，并基于所述访问角色获取所述用户针对不同微服务拥有的访问权限，其中，所述微服务为来自至少一个程序的进程；基于所述访问权限分别响应所述用户针对不同微服务的访问动作；所述微服务携带有效访问时间段，在所述有效访问时间段内，所述微服务可被执行访问动作；否则，所述微服务无法被执行访问动作。

或，执行基于微服务的安全访问控制方法，应用于外部***，该方法包括：当应用于单一微服务时，接收用户发来的post请求；读取url中的服务代码和请求体中的用户信息；验证所述服务代码、所述用户信息是否与预设信息匹配，若匹配，则允许所述用户对所述微服务执行访问动作；若不匹配，则反馈匹配失败。

此外，上述的存储器1030中的逻辑指令可以通过软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备（可以是个人计算机，服务器，或者网络设备等）执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器（ROM，Read-Only Memory）、随机存取存储器（RAM，Random Access Memory）、磁碟或者光盘等各种可以存储程序代码的介质。

另一方面，本发明还提供一种计算机程序产品，所述计算机程序产品包括存储在非暂态计算机可读存储介质上的计算机程序，所述计算机程序包括程序指令，当所述程序指令被计算机执行时，计算机能够执行上述各方法所提供的基于微服务的安全访问控制方法，应用于内部***，该方法包括：基于用户信息获取用户针对不同微服务的访问角色，并基于所述访问角色获取所述用户针对不同微服务拥有的访问权限，其中，所述微服务为来自至少一个程序的进程；基于所述访问权限分别响应所述用户针对不同微服务的访问动作；所述微服务携带有效访问时间段，在所述有效访问时间段内，所述微服务可被执行访问动作；否则，所述微服务无法被执行访问动作。

或执行上述各方法所提供的基于微服务的安全访问控制方法，应用于外部***，该方法包括：当应用于单一微服务时，接收用户发来的post请求；读取url中的服务代码和请求体中的用户信息；验证所述服务代码、所述用户信息是否与预设信息匹配，若匹配，则允许所述用户对所述微服务执行访问动作；若不匹配，则反馈匹配失败。

又一方面，本发明还提供一种非暂态计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现以执行上述各提供的基于微服务的安全访问控制方法，应用于内部***，该方法包括：基于用户信息获取用户针对不同微服务的访问角色，并基于所述访问角色获取所述用户针对不同微服务拥有的访问权限，其中，所述微服务为来自至少一个程序的进程；基于所述访问权限分别响应所述用户针对不同微服务的访问动作；所述微服务携带有效访问时间段，在所述有效访问时间段内，所述微服务可被执行访问动作；否则，所述微服务无法被执行访问动作。

在上面详细的说明中，参考了附图，附图形成本文的一部分。在附图中，类似的符号典型地确定类似的部件，除非上下文以其他方式指明。在详细的说明书、附图及权利要求书中所描述的图示说明的实施方案不意味是限制性的。在不脱离本文所呈现的主题的精神或范围下，其他实施方案可以被使用，并且可以作其他改变。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种基于微服务的安全访问控制方法，应用于内部***，其特征在于，包括：

基于所述访问权限分别响应所述用户针对不同微服务的访问动作;

2.根据权利要求1所述的基于微服务的安全访问控制方法，其特征在于，所述访问权限包括数据保存权限，数据删除权限，数据修改权限以及数据查找权限中的至少一种。

3.一种基于微服务的安全访问控制方法，应用于外部***，其特征在于，包括：

当应用于单一微服务时，接收用户发来的post请求；

读取url中的服务代码和请求体中的用户信息；

4.根据权利要求3所述的基于微服务的安全访问控制方法，其特征在于，所述请求体中还包括数据查询时间信息，验证所述服务代码、所述用户信息、所述数据查询时间信息是否与预设信息匹配，若匹配，则允许所述用户对所述微服务执行访问动作；若不匹配，则反馈匹配失败。

5.根据权利要求3所述的基于微服务的安全访问控制方法，其特征在于，所述方法还包括：

6.一种基于微服务的安全访问控制装置，应用于内部***，其特征在于，包括：

7.一种基于微服务的安全访问控制装置，应用于外部***，其特征在于，包括：

接收模块，用于接收用户发来的post请求；

8.一种电子设备，包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1至5任一项所述基于微服务的安全访问控制方法的步骤。

9.一种非暂态计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1至5任一项所述基于微服务的安全访问控制方法的步骤。