CN116055153A - 一种防止越权访问的方法、装置和设备 - Google Patents
一种防止越权访问的方法、装置和设备 Download PDFInfo
- Publication number
- CN116055153A CN116055153A CN202310007422.0A CN202310007422A CN116055153A CN 116055153 A CN116055153 A CN 116055153A CN 202310007422 A CN202310007422 A CN 202310007422A CN 116055153 A CN116055153 A CN 116055153A
- Authority
- CN
- China
- Prior art keywords
- application
- authentication
- service
- access request
- target
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000000034 method Methods 0.000 title claims abstract description 89
- 230000008569 process Effects 0.000 claims abstract description 26
- 238000012545 processing Methods 0.000 claims description 18
- 238000012360 testing method Methods 0.000 claims description 14
- 230000008439 repair process Effects 0.000 claims description 8
- 238000004519 manufacturing process Methods 0.000 description 10
- 238000010586 diagram Methods 0.000 description 9
- 238000005516 engineering process Methods 0.000 description 6
- 238000012423 maintenance Methods 0.000 description 4
- 230000003044 adaptive effect Effects 0.000 description 3
- 230000000694 effects Effects 0.000 description 3
- 230000000977 initiatory effect Effects 0.000 description 3
- 230000005540 biological transmission Effects 0.000 description 2
- 230000006870 function Effects 0.000 description 2
- 230000003993 interaction Effects 0.000 description 2
- 230000002093 peripheral effect Effects 0.000 description 2
- 230000000750 progressive effect Effects 0.000 description 2
- 238000012546 transfer Methods 0.000 description 2
- 238000003491 array Methods 0.000 description 1
- 230000001413 cellular effect Effects 0.000 description 1
- 230000008859 change Effects 0.000 description 1
- 238000004590 computer program Methods 0.000 description 1
- 230000007547 defect Effects 0.000 description 1
- 238000013461 design Methods 0.000 description 1
- 230000006872 improvement Effects 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 238000011022 operating instruction Methods 0.000 description 1
- 230000003287 optical effect Effects 0.000 description 1
- 230000002265 prevention Effects 0.000 description 1
- 230000003068 static effect Effects 0.000 description 1
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1433—Vulnerability analysis
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Storage Device Security (AREA)
Abstract
本说明书实施例公开了一种防止越权访问的方法、装置和设备，所述方法包括：第一应用接收用户通过第二应用发起的针对目标数据的访问请求，其中，所述第一应用是管理所述目标数据的应用，所述第二应用是链接至所述第一应用的边界应用，所述访问请求中携带有所述访问请求对应的业务场景的标识；所述第一应用基于所述业务场景的标识调用所述第二应用提供的目标鉴权微服务，其中，所述目标鉴权微服务用于按照目标鉴权策略对所述用户进行鉴权，所述目标鉴权策略是根据所述业务场景下的业务逻辑确定的；所述第一应用通过所述目标鉴权微服务对所述用户进行鉴权，得到鉴权结果；所述第一应用根据所述鉴权结果处理所述访问请求。
Description
技术领域
本文件涉及计算机技术领域，尤其涉及一种防止越权访问的方法、装置和设备。
背景技术
越权访问漏洞(简称越权漏洞)是一种逻辑漏洞，具体是指攻击者利用权限控制设计缺陷访问未经授权的功能或数据的安全漏洞。
由于越权漏洞与业务逻辑存在强耦合，因此越权访问很难防范，传统方案都是在发现漏洞后通过修复漏洞来解决越权访问风险，然而这种通过修复越权漏洞来防止越权访问的方案，覆盖场景单一，通用性很差。
发明内容
本说明书实施例提供了一种防止越权访问的方法、装置和设备，以解决相关技术中的越权访问防范方案通用性差的问题。
为解决上述技术问题，本说明书实施例是这样实现的：
第一方面，提出了一种防止越权访问的方法，包括：
第一应用接收用户通过第二应用发起的针对目标数据的访问请求，其中，所述第一应用是管理所述目标数据的应用，所述第二应用是链接至所述第一应用的边界应用，所述访问请求中携带有所述访问请求对应的业务场景的标识；
所述第一应用基于所述业务场景的标识调用所述第二应用提供的目标鉴权微服务，其中，所述目标鉴权微服务用于按照目标鉴权策略对所述用户进行鉴权，所述目标鉴权策略是根据所述业务场景下的业务逻辑确定的；
所述第一应用通过所述目标鉴权微服务对所述用户进行鉴权，得到鉴权结果；
所述第一应用根据所述鉴权结果处理所述访问请求。
第二方面，提出了一种防止越权访问的方法，包括：
第二应用接收用户发起的针对目标数据的访问请求，其中，所述第二应用是链接至第一应用的边界应用，所述第一应用是管理所述目标数据的应用，所述访问请求中携带有所述访问请求对应的业务场景的标识；
所述第二应用向所述第一应用发送所述访问请求，以使所述第一应用基于所述业务场景的标识调用所述第二应用提供的目标鉴权微服务对所述用户进行鉴权，得到鉴权结果，并根据所述鉴权结果处理所述访问请求，其中，所述目标鉴权微服务用于按照目标鉴权策略对所述用户进行鉴权，所述目标鉴权策略是根据所述业务场景下的业务逻辑确定的。
第三方面，提出了一种防止越权访问的装置，包括：
第一接收模块，接收用户通过第二应用发起的针对目标数据的访问请求，其中，所述第二应用是链接至第一应用的边界应用，所述第一应用是管理所述目标数据的应用，所述访问请求中携带有所述访问请求对应的业务场景的标识；
服务调用模块，基于所述业务场景的标识调用所述第二应用提供的目标鉴权微服务，其中，所述目标鉴权微服务用于按照目标鉴权策略对所述用户进行鉴权，所述目标鉴权策略是根据所述业务场景下的业务逻辑确定的；
鉴权模块，通过所述目标鉴权微服务对所述用户进行鉴权，得到鉴权结果；
请求处理模块，根据所述鉴权结果处理所述访问请求。
第四方面，提出了一种防止越权访问的装置，包括：
接收模块，接收用户发起的针对目标数据的访问请求，其中所述访问请求中携带有所述访问请求对应的业务场景的标识；
发送模块，向第一应用发送所述访问请求，以使所述第一应用基于所述业务场景的标识调用第二应用提供的目标鉴权微服务对所述用户进行鉴权，得到鉴权结果，并根据所述鉴权结果处理所述访问请求，其中，所述第一应用是管理所述目标数据的应用，所述第二应用是链接至所述第一应用的边界应用，所述目标鉴权微服务用于按照目标鉴权策略对所述用户进行鉴权，所述目标鉴权策略是根据所述业务场景下的业务逻辑确定的。
第五方面，提出了一种电子设备，包括：
处理器；以及
被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器执行以下操作：
接收用户通过第二应用发起的针对目标数据的访问请求，其中，所述第二应用是链接至第一应用的边界应用，所述第一应用是管理所述目标数据的应用，所述访问请求中携带有所述访问请求对应的业务场景的标识；
基于所述业务场景的标识调用所述第二应用提供的目标鉴权微服务，其中，所述目标鉴权微服务用于按照目标鉴权策略对所述用户进行鉴权，所述目标鉴权策略是根据所述业务场景下的业务逻辑确定的；
通过所述目标鉴权微服务对所述用户进行鉴权，得到鉴权结果；
根据所述鉴权结果处理所述访问请求。
第六方面，提出了一种计算机可读存储介质，所述计算机可读存储介质存储一个或多个程序，所述一个或多个程序当被包括多个应用程序的电子设备执行时，使得所述电子设备执行以下操作：
接收用户通过第二应用发起的针对目标数据的访问请求，其中，所述第二应用是链接至第一应用的边界应用，所述第一应用是管理所述目标数据的应用，所述访问请求中携带有所述访问请求对应的业务场景的标识；
基于所述业务场景的标识调用所述第二应用提供的目标鉴权微服务，其中，所述目标鉴权微服务用于按照目标鉴权策略对所述用户进行鉴权，所述目标鉴权策略是根据所述业务场景下的业务逻辑确定的；
通过所述目标鉴权微服务对所述用户进行鉴权，得到鉴权结果；
根据所述鉴权结果处理所述访问请求。
第七方面，提出了一种电子设备，包括：
处理器；以及
被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器执行以下操作：
接收用户发起的针对目标数据的访问请求，其中所述访问请求中携带有所述访问请求对应的业务场景的标识；
向第一应用发送所述访问请求，以使所述第一应用基于所述业务场景的标识调用第二应用提供的目标鉴权微服务对所述用户进行鉴权，得到鉴权结果，并根据所述鉴权结果处理所述访问请求，其中，所述第一应用是管理所述目标数据的应用，所述第二应用是链接至所述第一应用的边界应用，所述目标鉴权微服务用于按照目标鉴权策略对所述用户进行鉴权，所述目标鉴权策略是根据所述业务场景下的业务逻辑确定的。
第八方面，提出了一种计算机可读存储介质，所述计算机可读存储介质存储一个或多个程序，所述一个或多个程序当被包括多个应用程序的电子设备执行时，使得所述电子设备执行以下操作：
接收用户发起的针对目标数据的访问请求，其中所述访问请求中携带有所述访问请求对应的业务场景的标识；
向第一应用发送所述访问请求，以使所述第一应用基于所述业务场景的标识调用第二应用提供的目标鉴权微服务对所述用户进行鉴权，得到鉴权结果，并根据所述鉴权结果处理所述访问请求，其中，所述第一应用是管理所述目标数据的应用，所述第二应用是链接至所述第一应用的边界应用，所述目标鉴权微服务用于按照目标鉴权策略对所述用户进行鉴权，所述目标鉴权策略是根据所述业务场景下的业务逻辑确定的。
本说明书实施例提供的以上至少一个技术方案，由管理目标数据的第一应用统一调用不同边界应用(第二应用)提供的鉴权微服务，对发起针对所述目标数据的访问请求的用户进行鉴权，并根据鉴权结果处理所述访问请求，以防止用户越权访问所述目标数据。这种将不同边界应用提供的鉴权微服务统一收口到第一应用，并由第一应用统一调用这些鉴权微服务的方案，可以兼容、适配不同的网络协议，提高鉴权微服务的通用性，从而提升整个越权防护方案的通用性。
附图说明
此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：
图1是本说明书实施例提供的一种网络架构示意图。
图2是本说明书实施例提供的一种防止越权访问的方法的流程示意图。
图3是本说明书实施例提供的一种详细的网络架构示意图。
图4是本说明书另一实施例提供的一种防止越权访问的方法的流程示意图。
图5是本说明书实施例提供的一种电子设备的结构示意图。
图6是本说明书一实施例提供的一种防止越权访问的装置的结构示意图。
图7是本说明书另一实施例提供的一种防止越权访问的装置的结构示意图。
具体实施方式
为使本申请的目的、技术方案和优点更加清楚，下面将结合本说明书具体实施例及相应的附图对本申请技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本说明书一部分实施例，而不是全部的实施例。基于本说明书中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本文件保护的范围。
为了解决相关技术中的越权访问控制方案通用性差的问题，本说明书实施例提供一种防止越权访问的方法和装置，该方法和装置可以由电子设备执行，或者由安装在电子设备中的软件或硬件设备执行。这里的电子设备包括但不限于终端设备和服务器，所述终端设备包括但不限于：智能手机、个人电脑(personal computer，PC)、笔记本电脑、平板电脑、电子阅读器、网络电视、可穿戴设备等智能终端设备中的任一种，所述服务器包括但不限于：单台服务器、多台服务器、服务器集群以及云服务器中的任一种。
图1示出了本申请实施例提供的一种网络架构示意图。如图1所示，该网络架构包括互联网和生产网。互联网是用户10所在的网络，生产网是向用户10提供相关服务的网络，用户10可通过互联网访问生产网。生产网可包括第一应用(数据应用)11、第二应用(边界应用)12和数据库14。第一应用11是管理数据库中的数据(包括下文述及的目标数据)的应用程序。第二应用12是链接至第一应用11的边界应用，所谓边界应用即生产网中可直接与用户10交互的应用。第二应用12链接至第一应用11，意味着第二应用12可通过与第一应用11交互实现对数据库14中的相关数据的访问。举例来说，第二应用12可以是能够与用户交互的web应用、与APP(Application)连接的前端应用或U盾等。
需要说明的是，第一应用11和第二应用12可以是同一业务***的不同应用，也可以是不同业务***中的应用，但二者因为业务关系存在交互的需求。
如图1所示，生产网还包括鉴权微服务13，鉴权微服务13一般由第二应用提供，鉴权微服务用于按照预设的鉴权策略对访问数据库14中相关数据的用户10进行鉴权，以防止越权访问，其中，鉴权策略是根据第二应用的相关业务场景下的业务逻辑确定的。通常情况下，链接至第一应用11的一个第二应用12提供至少一个鉴权微服务13，一个鉴权微服务13对应提供至少一种鉴权策略，一种鉴权策略对应一种业务场景下的一种业务逻辑。
在相关技术中，鉴权微服务13一般由边界应用(第二应用12)调用，即鉴权微服务分散在各个边界应用处，这种鉴权微服务调用方式经常会出现某个边界应用遗漏越权访问判断或搞错越权访问判断逻辑而导致越权访问风险的问题，并且无法对不同边界应用的鉴权做到统一规范，导致各个边界应用处的越权访问防护水平良莠不齐。
在本说明书实施例中，将不同边界应用(第二应用12)提供的不同鉴权微服务13统一收口到第一应用11，由第一应用11统一调用不同边界应用(第二应用12)提供的鉴权微服务13，对发起针对所述目标数据的访问请求的用户进行鉴权，并根据鉴权结果处理所述访问请求，以防止用户越权访问所述目标数据。这种将不同边界应用提供的鉴权微服务统一收口到第一应用11，并由第一应用11统一调用这些鉴权微服务的方案，这不仅可以兼容、适配不同的网络协议，提高鉴权微服务的通用性，从而提升整个越权防护方案的通用性，还可以将不同边界应用的越权访问防护水平统一提升到较高的水平。
在此基础上，如图2所示，本说明书实施例提出的一种防止越权访问的方法，包括：
步骤202、第一应用接收用户通过第二应用发起的针对目标数据的访问请求，其中，所述第一应用是管理所述目标数据的应用，所述第二应用是链接至所述第一应用的边界应用，所述访问请求中携带有所述访问请求对应的业务场景的标识。
在本说明书实施例中，链接至所述第一应用的边界应用的数量为多个，所述第二应用是链接至所述第一应用的多个边界应用中的任意一个。
步骤204、所述第一应用基于所述业务场景的标识调用所述第二应用提供的目标鉴权微服务，其中，所述目标鉴权微服务用于按照目标鉴权策略对所述用户进行鉴权，所述目标鉴权策略是根据所述业务场景下的业务逻辑确定的。
可选的，链接至所述第一应用的一个边界应用提供至少一个鉴权微服务，一个鉴权微服务对应提供至少一种鉴权策略，一种鉴权策略对应一种业务场景下的一种业务逻辑。目标鉴权服务是这些鉴权为服务中的一个，目标鉴权策略是这些鉴权策略中的一个。
可选的，链接至所述第一应用的不同边界应用提供的鉴权微服务符合相同的规范。具体的，可以使这些鉴权微服务的调用接口、输入参数、输出参数等符合相同的规范。可以理解，不同边界应用提供的鉴权微服务符合相同的规范，可以使得本方案可以兼容、适配不同的网络协议，提高鉴权微服务的通用性。
关于根据业务场景及业务逻辑确定目标鉴权策略，下面举一个例子来说明。假设第二应用为第三方支付应用，用户A想要通过第三方支付应用给其好友——用户B转账，即业务场景为向好友转账的场景，在这一业务场景下，其业务逻辑是先保证用户B是用户A的好友，然后才能进行转账。基于这样的业务场景和业务逻辑，对应确定的目标鉴权策略包括：验证用户B是不是用户A的好友，若为是，则鉴权通过，否则，鉴权不通过。
在具体实现时，可维护一张不同业务场景的标识和不同鉴权微服务的对应关系表，这样一来，第一应用收到所述访问请求后，可根据所述访问请求中携带的业务场景的标识查找该对应关系表，找到目标鉴权微服务，然后调用该目标鉴权微服务。
步骤206、所述第一应用通过所述目标鉴权微服务对所述用户进行鉴权，得到鉴权结果。
根据上文的描述可知，目标鉴权微服务可按照目标鉴权策略对所述用户是否具备访问所述目标数据的权限进行鉴定(或者说校验)，得到鉴权结果，该鉴权结果可以为通过或不通过。
步骤208、所述第一应用根据所述鉴权结果处理所述访问请求。
具体的，在步骤208中，所述第一应用在所述鉴权结果为通过的情况下，响应所述访问请求，所述第一应用在所述鉴权结果为不通过的情况下，拒绝所述访问请求。
本说明书实施例提供的一种防止越权访问的方法，由管理目标数据的第一应用统一调用不同边界应用(第二应用)提供的鉴权微服务，对发起针对所述目标数据的访问请求的用户进行鉴权，并根据鉴权结果处理所述访问请求，以防止用户越权访问所述目标数据。这种将不同边界应用提供的鉴权微服务统一收口到第一应用，并由第一应用统一调用这些鉴权微服务的方案，不仅可以兼容、适配不同的网络协议，提高鉴权微服务的通用性，从而提升整个越权防护方案的通用性，还可以将不同边界应用的越权访问防护水平统一提升到较高的水平。
此外，本说明书实施例提供的一种防止越权访问的方法，无需对边界应用进行改造，也不需要针对数据应用引入边界应用依赖，数据应用统一调用鉴权微服务即可，整个方案更加简单、更加轻盈。
可选的，本说明书实施例提供的一种防止越权访问的方法，在上述步骤204之前，还可以包括：
所述第一应用通过预设测试用例对所述目标鉴权微服务进行测试，以确认所述目标鉴权策略是否存在漏洞；
所述第一应用在确认所述目标鉴权策略存在漏洞的情况下，向所述第二应用发送提示信息，所述提示信息用于提示所述第二应用对所述目标鉴权策略存在的漏洞进行修复；具体实现时，可向第二应用的运维人员发送该提示信息，以使第二应用的运维人员修复目标鉴权微服务存在的漏洞。
所述第一应用在确认所述目标鉴权策略不存在漏洞的情况下，再执行基于所述业务场景的标识调用所述第二应用提供的目标鉴权微服务的步骤。
其中，预设测试用例是根据上述业务场景及其对应的业务逻辑设置的。
可以理解，在调用目标鉴权微服务之前，通过预设测试用例对目标鉴权策略进行测试，可以及时发现目标鉴权策略是否存在可绕过的漏洞，并在存在漏洞的情况下，通过发送提示信息的方式提醒相关人员进行修复，在不存在漏洞的情况下，再调用目标鉴权微服务进行鉴权，这可以保证有访问权限的用户才能访问目标数据，没有访问权限的用户不能访问目标数据，从而使得本说明书实施例提供的一种防止越权访问的方法，相比于相关技术中的其他方案，不存在可绕过缺陷，大大提升了防越权访问的防护水平。
可选的，为了进一步地保护目标数据及其他相关数据的安全，用户在通过第二应用发起针对目标数据的访问请求前，还需要通过身份验证登录所述第二应用，也就是说，所述访问请求是所述用户登录所述第二应用后发送的。
可选的，所述访问请求中还携带有所述用户的登录状态，此时上述步骤204可包括：所述第一应用在所述用户的登录状态为已登录的情况下，基于所述业务场景的标识调用所述第二应用提供的目标鉴权微服务。这说明，第一应用在调用鉴权微服务对用户进行鉴权前，不仅需要传入业务场景以确定需要调用的目标鉴权微服务，还需要传入用户的登录状态以保证是对已登录的用户进行二次鉴权，从而进一步保证数据安全。
图3示出了本申请实施例提供的一种更详细网络架构示意图，也是实际应用中的一种网络架构示意图。如图3所示，该网络架构也包括互联网和生产网。互联网是正常用户31或恶意用户32所在的网络，生产网是向正常用户31提供相关服务的网络，正常用户31或恶意用户32可通过互联网访问生产网。
如图3所示，生产网可包括web应用33、网关34、前端应用35、中间应用36、数据应用34、数据库38、鉴权微服务40和授权中心(也称用户权限管理中心)42。
web应用33和前端应用35即上文中所说的边界应用(也是第二应用)，用于与用户直接进行交互。
数据应用37即上文中所说的第一应用。
中间应用36是位于边界应用和数据应用37之间的相关管理应用，中间应用36可与定时任务39以及消息队列41连接，以在满足定时任务中设定的定时条件时，从消息队列4中读取相关的消息(如来自不同用户的访问请求)进行消费(转发给数据应用)，由于中间应用36不是本说明书提供的防止越权访问的方法的重点，所以这里不做过多的说明。
网关34用于联合授权中心42在用户登录边界应用时，对用户的身份进行认证。网关34可包括移动网关、PC网关和其他网关等多种类型。在用户成功登录边界应用后，网关和授权中心之间会建立一个会话(session)，授权中心42会告知网关34登录状态，网关34会向授权中心42发送会话ID(session ID)。
下面跟随图3中的箭头以及箭头上标注的步骤，说明如何应用本说明书实施例提供的防止越权访问的方法对正常用户31和恶意用户32的访问请求进行处理。
首先来看，如何应用本说明书实施例提供的防止越权访问的方法对正常用户31的访问请求进行处理。
如图3所示，在本说明书实施例中，边界应用会事先通过步骤1向数据应用提供(或者说开放)鉴权微服务40，以供数据应用统一调用。
如图3所示，对于正常用户31，其访问数据库38中的目标数据的流程可包括：
步骤2.1，正常用户31通过授权中心42登录web应用33。
步骤2.2，正常用户31向前端应用35发送针对目标数据的访问请求，所述访问请求中携带有登录状态、所述访问请求对应的业务场景的标识和所述目标数据的标识。
例如，数据应用37可为订单***，所述目标数据的标识可以为id＝1，表示正常用户想要获取订单id为1的数据。
步骤2.3，前端应用35向中间应用36转发所述访问请求。
步骤2.4，中间应用36向数据应用37转发所述访问请求。
可看出，步骤2.3和步骤2.4代表正常的数据透传。
步骤2.5，数据应用37向鉴权微服务40发起针对正常用户31的鉴权请求，以对正常用户31是否具备访问目标数据的权限进行鉴定，得出鉴权结果。该鉴权请求中携带有正常用户31的登录状态、所述访问请求对应的业务场景的标识和所述目标数据的标识。
具体实现时，数据应用37可通过越权防护SDK 371向鉴权微服务40发起针对正常用户31的鉴权请求，以对正常用户31是否具备访问目标数据的权限进行鉴定，得出鉴权结果，由于正常用户31一般不会越权访问非授权数据，所以该鉴权结果一般是通过。
步骤2.6，在鉴权结果为通过的情况下，数据应用37查询数据库38得到所述目标数据并反馈正常用户31。
通过步骤2.6，正常用户32可获得id为1的订单数据。
下面来看，如何应用本说明书实施例提供的防止越权访问的方法对恶意用户(如黑客)32的访问请求进行处理。
如图3所示，对于恶意用户32，其访问数据库38中的目标数据的流程可包括：
步骤3.1，恶意用户32通过授权中心42登录web应用33，并向web应用33发送针对目标数据的访问请求，所述访问请求中携带有登录状态、所述访问请求对应的业务场景的标识和所述目标数据的标识。
例如，数据应用37可为订单***，所述目标数据的标识可以为id＝1，表示正常用户想要获取订单id为1的数据。
步骤3.2，web应用33向中间应用36转发所述访问请求。
步骤3.3，中间应用36向数据应用37转发所述访问请求。
可看出，步骤3.3和步骤3.4代表正常的数据透传。
步骤3.4，数据应用37向鉴权微服务40发起针对恶意用户32的鉴权请求，以对恶意用户32是否具备访问目标数据的权限进行鉴定，得出鉴权结果。该鉴权请求中携带有恶意用户32的登录状态、所述访问请求对应的业务场景的标识和所述目标数据的标识。
具体实现时，数据应用37可通过越权防护SDK 371向鉴权微服务40发起针对恶意用户32的鉴权请求，以对恶意用户32是否具备访问目标数据的权限进行鉴定，得出鉴权结果，对于恶意用户32，该鉴权结果一般是不通过，此时数据应用37拒绝所述数据访问请求，恶意用户32看不到id为1的订单数据。
通过图3即上面对正常用户和恶意用户访问目标数据的流程的介绍可知，通过本说明书实施例提供的一种防止越权访问的方法，可以很好地防止恶意用户越权访问未经授权的数据，提高了越权访问的防护水平。
可选的，如图4所示，本说明书还提供了一种防止越权访问的方法，包括：
步骤402、第二应用接收用户发起的针对目标数据的访问请求，其中，所述第二应用是链接至第一应用的边界应用，所述第一应用是管理所述目标数据的应用，所述访问请求中携带有所述访问请求对应的业务场景的标识；
步骤404、所述第二应用向所述第一应用发送所述访问请求，以使所述第一应用基于所述业务场景的标识调用所述第二应用提供的目标鉴权微服务对所述用户进行鉴权，得到鉴权结果，并根据所述鉴权结果处理所述访问请求，其中，所述目标鉴权微服务用于按照目标鉴权策略对所述用户进行鉴权，所述目标鉴权策略是根据所述业务场景下的业务逻辑确定的。
图4所示的实施例提供的一种防止越权访问的方法，由上述第二应用执行，具体实现过程与图2所示的由第一应用执行的一种防止越权访问的方法相对应，并能取得相同的技术效果，相关之处可参考上文对图2所示方法的介绍，不再重复描述。
以上对本说明书提供的方法进行了说明，下面对本说明书提供的电子设备进行介绍。
图5是本说明书的一个实施例提供的电子设备的结构示意图。请参考图5，在硬件层面，该电子设备包括处理器，可选地还包括内部总线、网络接口、存储器。其中，存储器可能包含内存，例如高速随机存取存储器(Random-Access Memory，RAM)，也可能还包括非易失性存储器(non-volatile memory)，例如至少1个磁盘存储器等。当然，该电子设备还可能包括其他业务所需要的硬件。
处理器、网络接口和存储器可以通过内部总线相互连接，该内部总线可以是ISA(Industry Standard Architecture，工业标准体系结构)总线、PCI(PeripheralComponent Interconnect，外设部件互连标准)总线或EISA(Extended Industry StandardArchitecture，扩展工业标准结构)总线等。所述总线可以分为地址总线、数据总线、控制总线等。为便于表示，图5中仅用一个双向箭头表示，但并不表示仅有一根总线或一种类型的总线。
存储器，存放程序。具体地，程序可以包括程序代码，所述程序代码包括计算机操作指令。存储器可以包括内存和非易失性存储器，并向处理器提供指令和数据。
处理器从非易失性存储器中读取对应的计算机程序到内存中然后运行，在逻辑层面上形成防止越权访问的装置。处理器，执行存储器所存放的程序，并具体用于执行以下操作：
第一应用接收用户通过第二应用发起的针对目标数据的访问请求，其中，所述第一应用是管理所述目标数据的应用，所述第二应用是链接至所述第一应用的边界应用，所述访问请求中携带有所述访问请求对应的业务场景的标识；
所述第一应用基于所述业务场景的标识调用所述第二应用提供的目标鉴权微服务，其中，所述目标鉴权微服务用于按照目标鉴权策略对所述用户进行鉴权，所述目标鉴权策略是根据所述业务场景下的业务逻辑确定的；
所述第一应用通过所述目标鉴权微服务对所述用户进行鉴权，得到鉴权结果；
所述第一应用根据所述鉴权结果处理所述访问请求。
或者，处理器，执行存储器所存放的程序，并具体用于执行以下操作：
第二应用接收用户发起的针对目标数据的访问请求，其中，所述第二应用是链接至第一应用的边界应用，所述第一应用是管理所述目标数据的应用，所述访问请求中携带有所述访问请求对应的业务场景的标识；
所述第二应用向所述第一应用发送所述访问请求，以使所述第一应用基于所述业务场景的标识调用所述第二应用提供的目标鉴权微服务对所述用户进行鉴权，得到鉴权结果，并根据所述鉴权结果处理所述访问请求，其中，所述目标鉴权微服务用于按照目标鉴权策略对所述用户进行鉴权，所述目标鉴权策略是根据所述业务场景下的业务逻辑确定的。
上述如本说明书图2或图4所示实施例揭示的方法可以应用于处理器中，或者由处理器实现。处理器可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过处理器中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器可以是通用处理器，包括中央处理器(Central Processing Unit，CPU)、网络处理器(Network Processor，NP)等；还可以是数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现场可编程门阵列(Field－Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本说明书一个或多个实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本说明书一个或多个实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器，处理器读取存储器中的信息，结合其硬件完成上述方法的步骤。
该电子设备还可执行图2或图4所示的实施例提供的方法，本说明书不再赘述。
当然，除了软件实现方式之外，本说明书的电子设备并不排除其他实现方式，比如逻辑器件抑或软硬件结合的方式等等，也就是说以下处理流程的执行主体并不限定于各个逻辑单元，也可以是硬件或逻辑器件。
本说明书实施例还提出了一种计算机可读存储介质，该计算机可读存储介质存储一个或多个程序，该一个或多个程序包括指令，该指令当被包括多个应用程序的便携式电子设备执行时，能够使该便携式电子设备执行2所示实施例的方法，并具体用于执行以下操作：
第一应用接收用户通过第二应用发起的针对目标数据的访问请求，其中，所述第一应用是管理所述目标数据的应用，所述第二应用是链接至所述第一应用的边界应用，所述访问请求中携带有所述访问请求对应的业务场景的标识；
所述第一应用基于所述业务场景的标识调用所述第二应用提供的目标鉴权微服务，其中，所述目标鉴权微服务用于按照目标鉴权策略对所述用户进行鉴权，所述目标鉴权策略是根据所述业务场景下的业务逻辑确定的；
所述第一应用通过所述目标鉴权微服务对所述用户进行鉴权，得到鉴权结果；
所述第一应用根据所述鉴权结果处理所述访问请求。
本说明书实施例还提出了一种计算机可读存储介质，该计算机可读存储介质存储一个或多个程序，该一个或多个程序包括指令，该指令当被包括多个应用程序的便携式电子设备执行时，能够使该便携式电子设备执行4所示实施例的方法，并具体用于执行以下操作：
第二应用接收用户发起的针对目标数据的访问请求，其中，所述第二应用是链接至第一应用的边界应用，所述第一应用是管理所述目标数据的应用，所述访问请求中携带有所述访问请求对应的业务场景的标识；
所述第二应用向所述第一应用发送所述访问请求，以使所述第一应用基于所述业务场景的标识调用所述第二应用提供的目标鉴权微服务对所述用户进行鉴权，得到鉴权结果，并根据所述鉴权结果处理所述访问请求，其中，所述目标鉴权微服务用于按照目标鉴权策略对所述用户进行鉴权，所述目标鉴权策略是根据所述业务场景下的业务逻辑确定的。
如图6所示，本说明书的一个实施例提供了一种防止越权访问的装置600，可应用于上述第一应用中，在一种软件实施方式中，装置600可包括：第一接收模块601、服务调用模块602、鉴权模块603和请求处理模块604。
第一接收模块601，接收用户通过第二应用发起的针对目标数据的访问请求，其中，所述第二应用是链接至第一应用的边界应用，所述第一应用是管理所述目标数据的应用，所述访问请求中携带有所述访问请求对应的业务场景的标识。
在本说明书实施例中，链接至所述第一应用的边界应用的数量为多个，所述第二应用是链接至所述第一应用的多个边界应用中的任意一个。
服务调用模块602，基于所述业务场景的标识调用所述第二应用提供的目标鉴权微服务，其中，所述目标鉴权微服务用于按照目标鉴权策略对所述用户进行鉴权，所述目标鉴权策略是根据所述业务场景下的业务逻辑确定的。
可选的，链接至所述第一应用的一个边界应用提供至少一个鉴权微服务，一个鉴权微服务对应提供至少一种鉴权策略，一种鉴权策略对应一种业务场景下的一种业务逻辑。目标鉴权服务是这些鉴权为服务中的一个，目标鉴权策略是这些鉴权策略中的一个。
可选的，链接至所述第一应用的不同边界应用提供的鉴权微服务符合相同的规范。具体的，可以使这些鉴权微服务的调用接口、输入参数、输出参数等符合相同的规范。可以理解，不同边界应用提供的鉴权微服务符合相同的规范，可以使得本方案可以兼容、适配不同的网络协议，提高鉴权微服务的通用性。
关于根据业务场景及业务逻辑确定目标鉴权策略，下面举一个例子来说明。假设第二应用为第三方支付应用，用户A想要通过第三方支付应用给其好友——用户B转账，即业务场景为向好友转账的场景，在这一业务场景下，其业务逻辑是先保证用户B是用户A的好友，然后才能进行转账。基于这样的业务场景和业务逻辑，对应确定的目标鉴权策略包括：验证用户B是不是用户A的好友，若为是，则鉴权通过，否则，鉴权不通过。
在具体实现时，可维护一张不同业务场景的标识和不同鉴权微服务的对应关系表，这样一来，第一应用收到所述访问请求后，可根据所述访问请求中携带的业务场景的标识查找该对应关系表，找到目标鉴权微服务，然后调用该目标鉴权微服务。
鉴权模块603，通过所述目标鉴权微服务对所述用户进行鉴权，得到鉴权结果。
根据上文的描述可知，目标鉴权微服务可按照目标鉴权策略对所述用户是否具备访问所述目标数据的权限进行鉴定(或者说校验)，得到鉴权结果，该鉴权结果可以为通过或不通过。
请求处理模块604，根据所述鉴权结果处理所述访问请求。
具体的，请求处理模块604可在所述鉴权结果为通过的情况下，响应所述访问请求，在所述鉴权结果为不通过的情况下，拒绝所述访问请求。
本说明书实施例提供的一种防止越权访问的装置，由管理目标数据的第一应用统一调用不同边界应用(第二应用)提供的鉴权微服务，对发起针对所述目标数据的访问请求的用户进行鉴权，并根据鉴权结果处理所述访问请求，以防止用户越权访问所述目标数据。这种将不同边界应用提供的鉴权微服务统一收口到第一应用，并由第一应用统一调用这些鉴权微服务的方案，不仅可以兼容、适配不同的网络协议，提高鉴权微服务的通用性，从而提升整个越权防护方案的通用性，还可以将不同边界应用的越权访问防护水平统一提升到较高的水平。
此外，本说明书实施例提供的一种防止越权访问的装置，无需对边界应用进行改造，也不需要针对数据应用引入边界应用依赖，数据应用统一调用鉴权微服务即可，整个方案更加简单、更加轻盈。
可选的，本说明书实施例提供的一种防止越权访问的装置600，还可以包括：
测试模块，通过预设测试用例对所述目标鉴权微服务进行测试，以确认所述目标鉴权策略是否存在漏洞；
提示模块，在确认所述目标鉴权策略存在漏洞的情况下，向所述第二应用发送提示信息，所述提示信息用于提示所述第二应用对所述目标鉴权策略存在的漏洞进行修复；具体实现时，可向第二应用的运维人员发送该提示信息，以使第二应用的运维人员修复目标鉴权微服务存在的漏洞。
所述测试模块在确认所述目标鉴权策略不存在漏洞的情况下，再触发服务调用模块602以基于所述业务场景的标识调用所述第二应用提供的目标鉴权微服务。
其中，预设测试用例是根据上述业务场景及其对应的业务逻辑设置的。
可以理解，在调用目标鉴权微服务之前，通过预设测试用例对目标鉴权策略进行测试，可以及时发现目标鉴权策略是否存在可绕过的漏洞，并在存在漏洞的情况下，通过发送提示信息的方式提醒相关人员进行修复，在不存在漏洞的情况下，再调用目标鉴权微服务进行鉴权，这可以保证有访问权限的用户才能访问目标数据，没有访问权限的用户不能访问目标数据，从而使得本说明书实施例提供的一种防止越权访问的方法，相比于相关技术中的其他方案，不存在可绕过缺陷，大大提升了防越权访问的防护水平。
可选的，为了进一步地保护目标数据及其他相关数据的安全，用户在通过第二应用发起针对目标数据的访问请求前，还需要通过身份验证登录所述第二应用，也就是说，所述访问请求是所述用户登录所述第二应用后发送的。
可选的，所述访问请求中还携带有所述用户的登录状态，此时服务调用模块602可在所述用户的登录状态为已登录的情况下，基于所述业务场景的标识调用所述第二应用提供的目标鉴权微服务。这说明，服务调用模块602在调用鉴权微服务对用户进行鉴权前，不仅需要传入业务场景以确定需要调用的目标鉴权微服务，还需要传入用户的登录状态以保证是对已登录的用户进行二次鉴权，从而进一步保证数据安全。
需要说明的是，防止越权访问的装置600能够实现图2提供的一种防止越权访问的方法，并能取得相同的技术效果，详细内容可参考上文对方法实施例部分的描述，不再赘述。
可选的，如图7所示，本说明书还提供了一种防止越权访问的装置700，可应用于上述第二应用，在一种软件实施方式中，装置700可包括：接收模块701和发送模块702。
接收模块701，接收用户发起的针对目标数据的访问请求，其中，所述第二应用是链接至第一应用的边界应用，所述第一应用是管理所述目标数据的应用，所述访问请求中携带有所述访问请求对应的业务场景的标识；
发送模块702，向所述第一应用发送所述访问请求，以使所述第一应用基于所述业务场景的标识调用所述第二应用提供的目标鉴权微服务对所述用户进行鉴权，得到鉴权结果，并根据所述鉴权结果处理所述访问请求，其中，所述目标鉴权微服务用于按照目标鉴权策略对所述用户进行鉴权，所述目标鉴权策略是根据所述业务场景下的业务逻辑确定的。
需要说明的是，防止越权访问的装置700能够实现图4提供的一种防止越权访问的方法，并能取得相同的技术效果，详细内容可参考上文对方法实施例部分的描述，不再赘述。
上述对本说明书特定实施例进行了描述。其它实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。
本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
总之，以上所述仅为本说明书的较佳实施例而已，并非用于限定本说明书的保护范围。凡在本说明书一个或多个实施例的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本说明书一个或多个实施例的保护范围之内。
上述实施例阐明的***、装置、模块或单元，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。一种典型的实现设备为计算机。具体的，计算机例如可以为个人计算机、膝上型计算机、蜂窝电话、相机电话、智能电话、个人数字助理、媒体播放器、导航设备、电子邮件设备、游戏控制台、平板计算机、可穿戴设备或者这些设备中的任何设备的组合。
计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。
还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制时，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。
本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于***实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
Claims (21)
1.一种防止越权访问的方法，包括：
第一应用接收用户通过第二应用发起的针对目标数据的访问请求，其中，所述第一应用是管理所述目标数据的应用，所述第二应用是链接至所述第一应用的边界应用，所述访问请求中携带有所述访问请求对应的业务场景的标识；
所述第一应用基于所述业务场景的标识调用所述第二应用提供的目标鉴权微服务，其中，所述目标鉴权微服务用于按照目标鉴权策略对所述用户进行鉴权，所述目标鉴权策略是根据所述业务场景下的业务逻辑确定的；
所述第一应用通过所述目标鉴权微服务对所述用户进行鉴权，得到鉴权结果；
所述第一应用根据所述鉴权结果处理所述访问请求。
2.根据权利要求1所述的方法，
链接至所述第一应用的边界应用的数量为多个，所述第二应用是链接至所述第一应用的多个边界应用中的任意一个。
3.根据权利要求2所述的方法，
链接至所述第一应用的一个边界应用提供至少一个鉴权微服务，一个鉴权微服务对应提供至少一种鉴权策略，一种鉴权策略对应一种业务场景下的一种业务逻辑。
4.根据权利要求3所述的方法，
链接至所述第一应用的不同边界应用提供的鉴权微服务符合相同的规范。
5.根据权利要求1所述的方法，在所述第一应用基于所述业务场景的标识调用所述第二应用提供的目标鉴权微服务之前，所述方法还包括：
所述第一应用通过预设测试用例对所述目标鉴权微服务进行测试，以确认所述目标鉴权策略是否存在漏洞；
所述第一应用在确认所述目标鉴权策略存在漏洞的情况下，向所述第二应用发送提示信息，所述提示信息用于提示所述第二应用对所述目标鉴权策略存在的漏洞进行修复。
6.根据权利要求5所述的方法，
所述第一应用在确认所述目标鉴权策略不存在漏洞的情况下，再执行基于所述业务场景的标识调用所述第二应用提供的目标鉴权微服务的步骤。
7.根据权利要求1-6任一项所述的方法，
所述访问请求是所述用户登录所述第二应用后发送的。
8.根据权利要求7所述的方法，所述访问请求中还携带有所述用户的登录状态，其中，所述第一应用基于所述业务场景的标识调用所述第二应用提供的目标鉴权微服务，包括：
所述第一应用在所述用户的登录状态为已登录的情况下，基于所述业务场景的标识调用所述第二应用提供的目标鉴权微服务。
9.根据权利要求1-6任一项所述的方法，所述第一应用根据所述鉴权结果处理所述访问请求，包括：
所述第一应用在所述鉴权结果为通过的情况下，响应所述访问请求；
所述第一应用在所述鉴权结果为不通过的情况下，拒绝所述访问请求。
10.一种防止越权访问的方法，包括：
第二应用接收用户发起的针对目标数据的访问请求，其中，所述第二应用是链接至第一应用的边界应用，所述第一应用是管理所述目标数据的应用，所述访问请求中携带有所述访问请求对应的业务场景的标识；
所述第二应用向所述第一应用发送所述访问请求，以使所述第一应用基于所述业务场景的标识调用所述第二应用提供的目标鉴权微服务对所述用户进行鉴权，得到鉴权结果，并根据所述鉴权结果处理所述访问请求，其中，所述目标鉴权微服务用于按照目标鉴权策略对所述用户进行鉴权，所述目标鉴权策略是根据所述业务场景下的业务逻辑确定的。
11.根据权利要求10所述的方法，
链接至所述第一应用的边界应用的数量为多个，所述第二应用是链接至所述第一应用的多个边界应用中的任意一个。
12.根据权利要求11所述的方法，
链接至所述第一应用的一个边界应用提供至少一个鉴权微服务，一个鉴权微服务对应提供至少一种鉴权策略，一种鉴权策略对应一种业务场景下的一种业务逻辑。
13.根据权利要求12所述的方法，
链接至所述第一应用的不同边界应用提供的鉴权微服务符合相同的规范。
14.根据权利要求10-13任一项所述的方法，
所述访问请求是所述用户登录所述第二应用后发送的。
15.根据权利要求10-13任一项所述的方法，还包括：
所述第二应用接收所述第一应用发送的提示信息，其中，所述提示信息是所述第一应用根据预设测试用例对所述目标鉴权微服务进行测试，并确认所述目标鉴权策略存在漏洞的情况下发送的；
所述第二应用对所述目标鉴权策略存在的漏洞进行修复。
16.一种防止越权访问的装置，包括：
第一接收模块，接收用户通过第二应用发起的针对目标数据的访问请求，其中，所述第二应用是链接至第一应用的边界应用，所述第一应用是管理所述目标数据的应用，所述访问请求中携带有所述访问请求对应的业务场景的标识；
服务调用模块，基于所述业务场景的标识调用所述第二应用提供的目标鉴权微服务，其中，所述目标鉴权微服务用于按照目标鉴权策略对所述用户进行鉴权，所述目标鉴权策略是根据所述业务场景下的业务逻辑确定的；
鉴权模块，通过所述目标鉴权微服务对所述用户进行鉴权，得到鉴权结果；
请求处理模块，根据所述鉴权结果处理所述访问请求。
17.一种防止越权访问的装置，包括：
接收模块，接收用户发起的针对目标数据的访问请求，其中所述访问请求中携带有所述访问请求对应的业务场景的标识；
发送模块，向第一应用发送所述访问请求，以使所述第一应用基于所述业务场景的标识调用第二应用提供的目标鉴权微服务对所述用户进行鉴权，得到鉴权结果，并根据所述鉴权结果处理所述访问请求，其中，所述第一应用是管理所述目标数据的应用，所述第二应用是链接至所述第一应用的边界应用，所述目标鉴权微服务用于按照目标鉴权策略对所述用户进行鉴权，所述目标鉴权策略是根据所述业务场景下的业务逻辑确定的。
18.一种电子设备，包括：
处理器；以及
被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器执行以下操作：
接收用户通过第二应用发起的针对目标数据的访问请求，其中，所述第二应用是链接至第一应用的边界应用，所述第一应用是管理所述目标数据的应用，所述访问请求中携带有所述访问请求对应的业务场景的标识；
基于所述业务场景的标识调用所述第二应用提供的目标鉴权微服务，其中，所述目标鉴权微服务用于按照目标鉴权策略对所述用户进行鉴权，所述目标鉴权策略是根据所述业务场景下的业务逻辑确定的；
通过所述目标鉴权微服务对所述用户进行鉴权，得到鉴权结果；
根据所述鉴权结果处理所述访问请求。
19.一种计算机可读存储介质，所述计算机可读存储介质存储一个或多个程序，所述一个或多个程序当被包括多个应用程序的电子设备执行时，使得所述电子设备执行以下操作：
接收用户通过第二应用发起的针对目标数据的访问请求，其中，所述第二应用是链接至第一应用的边界应用，所述第一应用是管理所述目标数据的应用，所述访问请求中携带有所述访问请求对应的业务场景的标识；
基于所述业务场景的标识调用所述第二应用提供的目标鉴权微服务，其中，所述目标鉴权微服务用于按照目标鉴权策略对所述用户进行鉴权，所述目标鉴权策略是根据所述业务场景下的业务逻辑确定的；
通过所述目标鉴权微服务对所述用户进行鉴权，得到鉴权结果；
根据所述鉴权结果处理所述访问请求。
20.一种电子设备，包括：
处理器；以及
被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器执行以下操作：
接收用户发起的针对目标数据的访问请求，其中所述访问请求中携带有所述访问请求对应的业务场景的标识；
向第一应用发送所述访问请求，以使所述第一应用基于所述业务场景的标识调用第二应用提供的目标鉴权微服务对所述用户进行鉴权，得到鉴权结果，并根据所述鉴权结果处理所述访问请求，其中，所述第一应用是管理所述目标数据的应用，所述第二应用是链接至所述第一应用的边界应用，所述目标鉴权微服务用于按照目标鉴权策略对所述用户进行鉴权，所述目标鉴权策略是根据所述业务场景下的业务逻辑确定的。
21.一种计算机可读存储介质，所述计算机可读存储介质存储一个或多个程序，所述一个或多个程序当被包括多个应用程序的电子设备执行时，使得所述电子设备执行以下操作：
接收用户发起的针对目标数据的访问请求，其中所述访问请求中携带有所述访问请求对应的业务场景的标识；
向第一应用发送所述访问请求，以使所述第一应用基于所述业务场景的标识调用第二应用提供的目标鉴权微服务对所述用户进行鉴权，得到鉴权结果，并根据所述鉴权结果处理所述访问请求，其中，所述第一应用是管理所述目标数据的应用，所述第二应用是链接至所述第一应用的边界应用，所述目标鉴权微服务用于按照目标鉴权策略对所述用户进行鉴权，所述目标鉴权策略是根据所述业务场景下的业务逻辑确定的。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202310007422.0A CN116055153B (zh) | 2023-01-04 | 2023-01-04 | 一种防止越权访问的方法、装置和设备 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202310007422.0A CN116055153B (zh) | 2023-01-04 | 2023-01-04 | 一种防止越权访问的方法、装置和设备 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN116055153A true CN116055153A (zh) | 2023-05-02 |
| CN116055153B CN116055153B (zh) | 2024-07-23 |
Family
ID=86119596
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202310007422.0A Active CN116055153B (zh) | 2023-01-04 | 2023-01-04 | 一种防止越权访问的方法、装置和设备 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN116055153B (zh) |
Citations (11)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2007104245A1 (fr) * | 2006-03-16 | 2007-09-20 | Huawei Technologies Co., Ltd. | Système de cadre de référence pour développement des services web et son procédé d'authentification |
| US20090019115A1 (en) * | 2007-02-01 | 2009-01-15 | Microsoft Corporation | Communications server objects for configuration information access |
| CN103731434A (zh) * | 2014-01-21 | 2014-04-16 | 国家电网公司 | 一种针对非授权访问的安全防范方法 |
| CN107147634A (zh) * | 2017-04-28 | 2017-09-08 | 四川长虹电器股份有限公司 | 支持平台多应用的web服务分层鉴权方法 |
| CN109600377A (zh) * | 2018-12-13 | 2019-04-09 | 平安科技（深圳）有限公司 | 防越权方法、装置、计算机设备及存储介质 |
| WO2020000723A1 (zh) * | 2018-06-27 | 2020-01-02 | 平安科技（深圳）有限公司 | 越权漏洞检测方法和装置 |
| CN111262821A (zh) * | 2018-12-01 | 2020-06-09 | 星际空间（天津）科技发展有限公司 | 一种基于微服务的认证鉴权方法 |
| CN113946425A (zh) * | 2021-10-28 | 2022-01-18 | 中国建设银行股份有限公司 | 业务处理方法及装置、电子设备和计算机可读存储介质 |
| CN114218551A (zh) * | 2021-11-08 | 2022-03-22 | 中国建设银行股份有限公司 | 鉴权方法、装置、电子设备和存储介质 |
| CN114491518A (zh) * | 2022-01-27 | 2022-05-13 | 中国农业银行股份有限公司 | 一种越权访问的检测方法、装置、***及介质 |
| CN115484155A (zh) * | 2022-08-15 | 2022-12-16 | 南京国电南自电网自动化有限公司 | 一种面向多web微服务应用的管理*** |
-
2023
- 2023-01-04 CN CN202310007422.0A patent/CN116055153B/zh active Active
Patent Citations (11)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2007104245A1 (fr) * | 2006-03-16 | 2007-09-20 | Huawei Technologies Co., Ltd. | Système de cadre de référence pour développement des services web et son procédé d'authentification |
| US20090019115A1 (en) * | 2007-02-01 | 2009-01-15 | Microsoft Corporation | Communications server objects for configuration information access |
| CN103731434A (zh) * | 2014-01-21 | 2014-04-16 | 国家电网公司 | 一种针对非授权访问的安全防范方法 |
| CN107147634A (zh) * | 2017-04-28 | 2017-09-08 | 四川长虹电器股份有限公司 | 支持平台多应用的web服务分层鉴权方法 |
| WO2020000723A1 (zh) * | 2018-06-27 | 2020-01-02 | 平安科技（深圳）有限公司 | 越权漏洞检测方法和装置 |
| CN111262821A (zh) * | 2018-12-01 | 2020-06-09 | 星际空间（天津）科技发展有限公司 | 一种基于微服务的认证鉴权方法 |
| CN109600377A (zh) * | 2018-12-13 | 2019-04-09 | 平安科技（深圳）有限公司 | 防越权方法、装置、计算机设备及存储介质 |
| CN113946425A (zh) * | 2021-10-28 | 2022-01-18 | 中国建设银行股份有限公司 | 业务处理方法及装置、电子设备和计算机可读存储介质 |
| CN114218551A (zh) * | 2021-11-08 | 2022-03-22 | 中国建设银行股份有限公司 | 鉴权方法、装置、电子设备和存储介质 |
| CN114491518A (zh) * | 2022-01-27 | 2022-05-13 | 中国农业银行股份有限公司 | 一种越权访问的检测方法、装置、***及介质 |
| CN115484155A (zh) * | 2022-08-15 | 2022-12-16 | 南京国电南自电网自动化有限公司 | 一种面向多web微服务应用的管理*** |
Non-Patent Citations (1)
| Title |
|---|
| 郄小明;张建君;: "基于微服务架构的终端服务平台设计", 数字技术与应用, no. 06, 25 June 2020 (2020-06-25) * |
Also Published As
| Publication number | Publication date |
|---|---|
| CN116055153B (zh) | 2024-07-23 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| KR101076911B1 (ko) | 애플리케이션에 보안을 제공하기 위한 시스템 및 방법 | |
| EP3029593B1 (en) | System and method of limiting the operation of trusted applications in the presence of suspicious programs | |
| US9787655B2 (en) | Controlling access to resources on a network | |
| US10642664B2 (en) | System and method for securing an inter-process communication via a named pipe | |
| US20150235042A1 (en) | Systems and methods for authenticating an application | |
| CN108965250B (zh) | 一种数字证书安装方法及*** | |
| US9237143B1 (en) | User authentication avoiding exposure of information about enumerable system resources | |
| US20210203668A1 (en) | Systems and methods for malicious client detection through property analysis | |
| CN116319024B (zh) | 零信任***的访问控制方法、装置及零信任*** | |
| US10834074B2 (en) | Phishing attack prevention for OAuth applications | |
| CN102971739B (zh) | 利用强力证据保护帐户安全性设定 | |
| CN112817822A (zh) | App行为监控方法和装置、终端及存储介质 | |
| CN114138590A (zh) | Kubernetes集群的运维处理方法、装置及电子设备 | |
| CN108009439B (zh) | 资源请求的方法、装置及*** | |
| CN113065120B (zh) | 接口调用鉴权方法、装置、电子设备及可读存储介质 | |
| US8601544B1 (en) | Computer system employing dual-band authentication using file operations by trusted and untrusted mechanisms | |
| CN116055153B (zh) | 一种防止越权访问的方法、装置和设备 | |
| US20100043059A1 (en) | Trusted Electronic Communication Through Shared Vulnerability | |
| CN108886524B (zh) | 保护远程认证 | |
| CN113507432A (zh) | 一种联盟链权限管理方法和装置 | |
| CN112465642A (zh) | 一种基于状态通道实现区块链交易的方法和*** | |
| CN112905984A (zh) | 权限控制方法、装置及电子设备 | |
| CN117240621B (zh) | 网络请求的处理方法、装置、计算机可读介质及电子设备 | |
| CN114422183B (zh) | 一种基于安全属性的微服务访问控制方法、***及装置 | |
| CN113765673A (zh) | 一种访问控制方法和装置 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant |