CN110086831A - 用于网关的鉴权方法 - Google Patents

Abstract

本公开提供了一种用于网关的鉴权方法、网关、发布订阅系统及计算机可读介质。其中，网关包括访问控制列表，访问控制列表包括至少一条规则，其中每条规则的主题名称包括模板变量，网关鉴权方法包括：接收包括主题名称的发布订阅请求消息；将与发布订阅请求消息相关联的用户属性赋值到至少一条规则的主题名称的模板变量；以及基于发布订阅请求消息的主题名称和赋值后的至少一条规则的主题名称的比较，确定发布订阅请求消息的权限。

Description

用于网关的鉴权方法

技术领域

本公开涉及互联网技术领域，更具体地，涉及一种用于网关的鉴权方法、网关、发布订阅系统及计算机可读介质。

背景技术

每个互联网公司里几乎都有一套长连接系统，例如发布订阅系统，它们被应用在消息提醒、即时通讯、推送、直播弹幕、游戏、共享定位、股票行情等场景。而当公司发展到一定规模，业务场景变得更复杂后，更有可能是多个业务都需要同时使用长连接系统。

但是，在现有的发布订阅系统中，业务间分开设计长连接会导致研发和维护成本陡增、浪费基础设施、增加客户端耗电、无法复用已有经验等问题。特别是，共享长连接又需要协调好不同系统间的认证、鉴权、数据隔离等需求。

发明内容

本公开提供了一种用于网关的鉴权方法、网关、发布订阅系统以及计算机可读介质，提高了发布订阅系统中的鉴权效率。

按照本公开内容的第一方面，本公开提供了一种用于网关的鉴权方法，其中，网关的访问控制列表包括至少一条规则，其中每条规则的主题名称包括模板变量。

网关鉴权方法包括：接收包括主题名称的发布订阅请求消息；将与发布订阅请求消息相关联的用户属性赋值到至少一条规则的主题名称的模板变量；以及基于发布订阅请求消息的主题名称和赋值后的至少一条规则的主题名称的比较，确定发布订阅请求消息的权限。

按照本公开内容的第二方面，本公开提供了一种网关，包括访问控制列表和处理器，其中：

访问控制列表包括至少一条规则，每条规则的主题名称包括模板变量。

处理器被配置为：接收包括主题名称的发布订阅请求消息；将与发布订阅请求消息相关联的用户属性赋值到至少一条规则的主题名称的模板变量；以及基于发布订阅请求消息的主题名称和赋值后的至少一条规则的主题名称的比较，确定发布订阅请求消息的权限。

按照本公开内容的第三方面，本公开提供了一种发布订阅系统，包括代理模块，代理模块包括访问控制列表，访问控制列表包括至少一条规则，其中每条规则的主题名称包括模板变量。

按照本公开内容的第四方面，本公开提供了一种计算机可读介质，其上存储有可执行指令，该可执行指令被处理器执行时使处理器执行如上述第一方面的用于网关的鉴权方法。

经由上述公开内容可知，本公开提供的一种用于网关的鉴权方法、网关、发布订阅系统以及计算机可读介质，通过在网关的访问控制列表中设置模板变量，从而能够在网关处进行灵活的权限控制，还可以减少通信成本，提高响应速度。

附图说明

为了更清楚地说明本公开实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本公开的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本公开具体实施方式中提供的一种发布订阅系统的结构图；

图2为本公开具体实施方式中提供的一种网关的结构图；

图3为本公开具体实施方式中提供的一种网关鉴权方法的流程图。

具体实施方式

下面将结合本公开实施例中的附图，对本公开实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本公开一部分实施例，而不是全部的实施例。基于本公开中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本公开保护的范围。

长连接系统被应用在消息提醒、即时通讯、推送、直播弹幕、游戏、共享定位、股票行情等业务场景，当业务场景变得复杂后，更有可能是多个业务都需要同时使用长连接系统。

但是业务间分开设计长连接会导致研发和维护成本陡增、浪费基础设施、增加客户端耗电、无法复用已有经验等问题。共享长连接又需要协调好不同系统间的认证、鉴权、数据隔离、协议拓展、消息送达保证等需求，且迭代过程中协议需要向前兼容，同时因为不同业务的长连接汇聚到一个系统导致容量管理的难度也会增大。

支撑多业务的长连接网关实际上是同时对接多客户端和多业务后端，是多对多的关系。本公开内容中通过采用发布订阅模型来实现长连接系统，解耦长连接网关跟客户端与业务后端。这时，客户端和业务后端只需要约定主题名称(Topic)即可自由互相发布订阅消息。其中，传输的消息是纯二进制数据，网关也无需关心客户端与业务后端的具体协议和序列化方式。

尽管如此，仍然需要控制客户端对Topic的发布订阅的权限，避免有意或无意的数据污染或越权访问。举例而言，假如讲师正在某个频道开讲，当客户端进入房间尝试订阅该频道的Topic时就需要该频道的业务后端判断当前客户端是否已经付费。这种情况下的权限实际上是很灵活的，当客户端付费以后就能订阅，否则就不能订阅。权限的状态只有业务后端知晓，网关无法独立作出判断。

本公开内容可以在网关的访问控制列表(Access Control List，简称为ACL)的规则中设计基于回调的鉴权机制，可以配置相关Topic的订阅和发布动作都回调给业务后端服务判断。然而，由于大部分场景下业务需要的只是一个当前客户端私有的Topic用来接收业务后端下发的通知或消息，这种情况下如果让业务都设计回调接口来判断权限会很繁琐。而且为了进行权限控制，每个业务后端都需要设计回调接口，导致需要更多的通信开销，响应时间更长，用户体验不佳。

本公开内容还可以使用静态的ACL规则对客户端针对Topic的发布订阅权限进行控制。静态ACL规则是通过判断某个用户或某些IP是否与ACL中的用户或IP一致，从而确定该用户或该IP是否有某个Topic发布订阅的权限。但是静态ACL规则过于复杂，不够简洁，导致权限控制上消耗了太多资源。

基于上述因素，为了保证消息传输的可靠性，本公开内容可以将网关内部数据存储、计算、消息路由等组件分别独立出来，让每个组件的功能尽量单一且清晰，减少了进程内部状态，同时，也需要考虑快速地水平扩展能力，本公开内容通过将服务部署到容器中，利用容器来完成快速而且无限制的水平扩展。

基于此，按照本公开内容的实施例，本公开内容提供了一种发布订阅系统，如图1所示，该发布订阅系统包括网关，其中，网关包括接入模块、代理模块(Broker)2、消息队列模块、存储模块。

接入模块可以采用OpenResty接入模块1，用于维持代理模块2的负载均衡以及会话保持；消息队列模块可以采用Kafka消息队列模块3，用于代理模块2的消息分发；存储模块可以采用Redis存储模块4，用于存储未发送成功的消息；其中，代理模块2可以部署在容器中，且代理模块2可以包括协议编解码单元21(Protocol Decoder and Encoder)、会话单元22(Session)、访问控制列表23(ACL)、消息路由单元24(Router)等，主要负责协议解析、会话、发布订阅等逻辑工作。

OpenResty接入模块1是靠近用户客户端的一侧，其中，用户客户端可以为使用Web网页的PC端51、安装有IOS系统的移动终端52或安装有Android系统的移动终端53，也可以为其他设备。OpenResty接入模块1负责维持负载均衡，保证每个长连接代理模块2的连接数相对均衡，OpenResty接入模块1还负责会话保持，保证单个客户端每一次都可以连接到同一个代理模块2，从而保证消息传输的可靠性。

OpenResty接入模块1可以采用Nginx的preread机制实现七层负载均衡，其根据客户端的唯一标识来进行一致性Hash，可以保证网络切换后也可以正确路由，且资源开销小，对代理模块2的侵入性也小。

Kafka消息队列模块3可以减少代理模块2内部状态，让代理模块2可以无压力扩容，还可以对消息进行削峰，避免突发性的上行或下行消息压垮系统，最后还可以降低与业务后端的对接成本。

Redis存储模块4可以用于存储重要的未发送成功的Topic消息，并且可以将消息下发给客户端，同时启动一个对未确认消息队列的轮询，定期将这些消息重新下发给客户端，等到客户端对消息进行确认后，再将该消息从未确认消息队列删除。且本公开内容通过将未确认消息队列存储在外部持久化存储中，可以保证单个Boker宕机后，客户端重新上线连接到其他Broker也能恢复会话数据，减少了扩容和缩容的负担。

按照本公开内容的另一实施例，提供了一种网关6，该网关6包括访问控制列表23和处理器61，如图2所示，其中，访问控制列表23可以存储在网关的存储器上(未示出)，包括至少一条规则，每条规则的主题名称包括模板变量，通过在访问控制列表23中设计主题名称的模板变量，可以降低业务方的接入成本。处理器61被配置为：接收包括主题名称的发布订阅请求消息；将与发布订阅请求消息相关联的用户属性赋值到至少一条规则的主题名称的模板变量；以及基于发布订阅请求消息的主题名称和赋值后的至少一条规则的主题名称的比较，确定发布订阅请求消息的权限。

此时，网关6可以在不跟业务方通信的情况下，独立快速地判断客户端是否有权限订阅或往Topic发送消息。

其中，用户属性可以包括用户名、地区、操作系统、职业、年龄、性别中的一个或多个。模板变量也可以包括用户名、地区、操作系统、职业、年龄、性别中的一个或多个。此时，将与所述发布订阅请求消息相关联的用户属性赋值到至少一条规则的主题名称的模板变量具体为：将用户属性分别赋值给对应的模板变量。

而包含模板变量的规则可以为三元组信息，如下表所示，可以包括主题名称(Topic)、事件(Event)以及权限(Operation)。

其中，主题名称的格式可以为名称和模板变量组合的形式，例如，可以为“名称/模板变量”、“名称&模板变量”等形式。

名称可以根据具体情况确定，如，可以为redot、banner、update、jobs等名称。

模板变量也可以根据具体情况确定，在上表中，模板变量包括用户名username、用户所在国家和省份country&province、当前用户使用的操作系统类型os以及当前用户的职业job。

事件可以包括发布(publish)、订阅(subscribe)、全部(all)等事件。

权限可以包括允许(allow)、拒绝(deny)等权限。如果未设置(即，default)，可以表示拒绝。

而且用户属性可以包括在发布订阅请求消息中，也可以由网关6通过业务后端自行确定。

按照本公开内容的又一实施例，本公开内容还提供了一种用于网关的鉴权方法，如图3所示，包括：

S1、接收包括主题名称的发布订阅请求消息。

当客户端需要对某一主题名称进行发布订阅时，会向网关发送关于该主题名称的发布订阅请求消息，当网关6接收到包括该主题名称的发布订阅请求消息时，会对该发布订阅请求消息进行解析处理。

S2、将与发布订阅请求消息相关联的用户属性赋值到至少一条规则的主题名称的模板变量。

网关6接收到的发布订阅请求消息中可能包含用户属性，也可能不包含用户属性，网关6可以从发布订阅请求消息中提取出与该发布订阅请求消息相关联的用户属性，以赋值给访问控制列表23中的模板变量，也可以通过业务后端获取与该发布订阅请求消息相关联的用户属性，并赋值给访问控制列表23中的模板变量。

其中，访问控制列表23中可能包含一条或多条规则，每条规则的主题名称包括模板变量，模板变量可以包括用户名、地区、操作系统、职业、年龄、性别中的一个或多个。

网关6可以根据访问控制列表23的规则中需要赋值的模板变量提取其对应的用户属性，例如，提取的用户属性可以包括用户名、地区、操作系统、职业、年龄、性别中的一个或多个，并将用户属性分别赋值给对应的模板变量。当不存在某一模板变量对应的用户属性时，可以不对该模板变量进行赋值。

S3、基于发布订阅请求消息的主题名称和赋值后的至少一条规则的主题名称的比较，确定发布订阅请求消息的权限。

当访问控制列表23中的规则只有一条时，则判断网关6接收到的发布订阅请求消息中的主题名称是否与该被赋值后的规则的主题名称一致，若一致，则根据规则中的权限字段，提取该发布订阅请求消息中的主题名称对应的权限，若不一致，则可以直接默认拒绝该发布订阅请求消息。

当访问控制列表23中的规则为多条时，则依次判断网关6接收到的发布订阅请求消息中的主题名称是否与该被赋值后的多条规则的每一条规则的主题名称是否一致，若存在与该发布订阅请求消息中的主题名称一致的规则，则提取出该条规则中的权限字段，作为该发布订阅请求消息中的主题名称对应的权限，并结束判断；若不存在与该发布订阅请求消息中的主题名称对应的规则，则可以直接默认拒绝该发布订阅请求消息。

即，若赋值后的每条规则的主题名称均与发布订阅请求消息的主题名称不一致，则拒绝该发布订阅请求消息。

按照本公开内容的实施例，访问控制列表23可以采用如上表所示的规则，即：

在该访问控制列表23中，包括4条包含模板变量的规则，显然，规则的数量不限于此，其可以是任意整数。

当客户端与网关成功建立连接且该客户端发出发布订阅请求消息时，网关6可以获得该客户端对应的用户属性，例如，网关6可以从发布订阅请求消息、基于网关6本地存储的相关消息或者业务后端获得该客户端对应的用户属性，其中，用户属性包括用户名username、用户所在国家和省份country&province、当前用户使用的操作系统类型os以及当前用户的职业job等。

例如，当前连接的用户的用户名为faceair，来自China/Beijing，使用ios，则赋值后的访问控制列表23如下表所示：

由于用户属性中不包含当前用户的职业，因此，针对该用户的用户属性生成的访问控制列表23仅包含3条规则，即：

当该用户需要订阅的主题名称Topic为redot/g时，网关6会基于该发布订阅请求消息的主题名称redot/g和赋值后的访问控制列表23中的主题名称的比较，确定该发布订阅请求消息的权限，具体判断如下：

(1)判断该发布订阅请求消息的主题名称redot/g是否等于redot/faceair，结果是不等于，进行下一条规则的判断；

(2)判断该发布订阅请求消息的主题名称redot/g是否等于banner/China/Beijing，结果是不等于，进行下一条规则的判断；

(3)判断该发布订阅请求消息的主题名称redot/g是否等于update/ios，结果是不等于，进行下一条规则的判断；

(4)规则判断完毕，默认权限为拒绝。

即拒绝该用户包含主题名称redot/g的订阅请求。

当该用户需要订阅的主题名称Topic为redot/faceair时，具体判断如下：

(1)判断该发布订阅请求消息的主题名称redot/faceair是否等于redot/faceair，结果是等于，则命中此条规则，并获取该条规则中的权限字段“allow”。

即允许该用户包含主题名称redot/faceair的订阅请求。

本公开内容通过在用户操作的Topic中插入用户属性，可以达到相对简洁的权限控制。

按照本公开内容的实施例，当客户端与网关6成功建立连接时，网关6就可以获得该客户端对应的用户属性(例如，基于网关本地存储的相关信息或者从业务后端)，此时，网关6可以直接将该客户端对应的用户属性赋值到至少一条规则的主题名称的模板变量，产生赋值后的规则。之后，当接收到该客户端发出的包括主题名称的发布订阅请求消息时，直接基于该发布订阅请求消息中的主题名称和赋值后的至少一条规则的主题名称的比较，确定发布订阅请求消息的权限。

替代地，根据本公开内容的另一实施例，当客户端与网关6成功建立连接时，网关6也可以直接获得用户属性并存储至其存储器中。之后，当网关6接收到某一客户端发出的包括主题名称的发布订阅请求消息时，网关6再将与该客户端相关联的用户属性从其存储器中取出并赋值到至少一条规则的主题名称的模板变量，之后再基于该客户端的发布订阅请求消息的主题名称和赋值后的至少一条规则的主题名称的比较，确定发布订阅请求消息的权限。

按照本公开内容的又一实施例，本公开内容还提供了一种计算机可读介质，其上存储有可执行指令，该可执行指令被处理器执行时使处理器执行如上述的用于网关的鉴权方法。

结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行所述计算机程序指令时，全部或部分地产生按照本公开所述的流程或功能。计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线)或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，DVD)、或者半导体介质(例如固态硬盘Solid State Disk)等。

需要说明的是，本公开内容中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。对于方法类实施例而言，由于其与产品类实施例相似，所以描述的比较简单，相关之处参见产品实施例的部分说明即可。

还需要说明的是，在本公开内容中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本公开内容。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本公开内容中所定义的一般原理可以在不脱离本公开内容的精神或范围的情况下，在其它实施例中实现。因此，本公开内容将不会被限制于本公开内容所示的这些实施例，而是要符合与本公开内容所公开的原理和新颖特点相一致的最宽的范围。

Claims (10)

1.一种用于网关的鉴权方法，所述网关的访问控制列表包括至少一条规则，其中每条规则的主题名称包括模板变量，所述方法包括：

接收包括主题名称的发布订阅请求消息；

将与所述发布订阅请求消息相关联的用户属性赋值到所述至少一条规则的主题名称的模板变量；以及

基于所述发布订阅请求消息的主题名称和赋值后的所述至少一条规则的主题名称的比较，确定所述发布订阅请求消息的权限。

2.如权利要求1所述的鉴权方法，其中，所述模板变量包括用户名、地区、操作系统、职业、年龄、性别中的一个或多个；

所述将与所述发布订阅请求消息相关联的用户属性赋值到所述至少一条规则的主题名称的模板变量包括：将所述用户属性分别赋值给对应的模板变量。

3.如权利要求1所述的鉴权方法，其中，所述用户属性被包括在所述发布订阅请求消息中或由所述网关确定。

4.如权利要求1所述的鉴权方法，其中，所述规则包括主题名称、事件以及权限。

5.如权利要求1所述的鉴权方法，所述基于所述发布订阅请求消息的主题名称和赋值后的所述至少一条规则的主题名称的比较，确定所述发布订阅请求消息的权限包括：

若赋值后的每条规则的主题名称均与所述发布订阅请求消息的主题名称不一致，则拒绝所述发布订阅请求消息。

6.一种网关，包括：

访问控制列表，所述访问控制列表包括至少一条规则，每条规则的主题名称包括模板变量；和

处理器，所述处理器被配置为：

接收包括主题名称的发布订阅请求消息；

将与所述发布订阅请求消息相关联的用户属性赋值到所述至少一条规则的主题名称的模板变量；以及

基于所述发布订阅请求消息的主题名称和赋值后的所述至少一条规则的主题名称的比较，确定所述发布订阅请求消息的权限。

7.如权利要求6所述的网关，其中，所述模板变量包括用户名、地区、操作系统、职业、年龄、性别中的一个或多个；

所述将与所述发布订阅请求消息相关联的用户属性赋值到所述至少一条规则的主题名称的模板变量包括：将所述用户属性分别赋值给对应的模板变量。

8.一种发布订阅系统，包括代理模块，所述代理模块包括访问控制列表，所述访问控制列表包括至少一条规则，其中每条规则的主题名称包括模板变量。

9.如权利要求8所述的发布订阅系统，还包括：

接入模块，用于维持所述代理模块的负载均衡以及会话保持；

消息队列模块，用于所述代理模块的消息分发；以及

存储模块，用于存储未发送成功的消息。

10.一种计算机可读介质，其上存储有可执行指令，该可执行指令被处理器执行时使处理器执行如权利要求1至5任一项所述的方法。