CN111079104A - 一种权限控制方法、装置、设备及存储介质 - Google Patents

Abstract

本发明提供了一种权限控制方法、装置、设备及存储介质，该方法包括；接收目标用户发送的目标资源的访问请求，所述访问请求中携带所述目标用户的属性信息和所述目标资源的标识信息；从预设标识权限库中获取与所述目标资源的标识信息对应的目标资源权限信息，所述预设标识权限库中存储标识信息与资源权限信息之间的映射关系；根据所述目标用户的属性信息确定所述目标用户对应的目标用户权限信息；若所述目标用户权限信息与所述目标资源权限信息相匹配，则响应所述访问请求，建立资源访问会话，以使所述目标用户访问所述目标资源。本发明能够及时阻断越权访问漏洞，提高越权防护的准确性，防止系统受到越权访问漏洞的攻击，确保信息安全。

Description

一种权限控制方法、装置、设备及存储介质

技术领域

本发明属于计算机技术领域，具体涉及一种权限控制方法、装置、设备及存储介质。

背景技术

权限控制是信息安全中非常重要的一个环节，信息安全可以保证信息的可用性、保密性和唯一性。而越权访问漏洞的出现，将会给信息安全造成巨大的威胁。

越权访问漏洞一般分为平行越权访问漏洞与垂直越权访问漏洞两类。平行越权访问漏洞是指权限平级的两个用户之间的越权访问。垂直越权访问漏洞是指权限不等的两个用户之间的越权访问。

现有技术一般通过风控系统或下线修复对越权访问漏洞进行检测，但风控系统主要依赖请求的频率和次数进行综合分析从而确定风险，容易被攻击者避开，漏洞修复实时性较差，而下线修复需要经历发现漏洞、修改漏洞、重新上线等冗长的步骤，耗时较长，不能够快速阻断越权访问漏洞。

发明内容

为了及时阻断越权访问漏洞，降低越权访问漏洞带来的风险和危害，本发明提出一种权限控制方法、装置、设备及存储介质。

一方面，本发明提出了一种权限控制方法，所述方法包括：。

接收目标用户发送的目标资源的访问请求，所述访问请求中携带所述目标用户的属性信息和所述目标资源的标识信息；

从预设标识权限库中获取与所述目标资源的标识信息对应的目标资源权限信息，所述预设标识权限库中存储标识信息与资源权限信息之间的映射关系；

根据所述目标用户的属性信息确定所述目标用户对应的目标用户权限信息；

若所述目标用户权限信息与所述目标资源权限信息相匹配，则响应所述访问请求，建立资源访问会话，以使所述目标用户访问所述目标资源。

另一方面，本发明提出了一种权限控制装置，所述装置包括：

访问请求接收模块，用于接收目标用户发送的目标资源的访问请求，所述访问请求中携带所述目标用户的属性信息和所述目标资源的标识信息；

目标资源权限信息获取模块，用于从预设标识权限库中获取与所述目标资源的标识信息对应的目标资源权限信息，所述预设标识权限库中存储标识信息与资源权限信息之间的映射关系；

目标用户权限信息确定模块，用于根据所述目标用户的属性信息确定所述目标用户对应的目标用户权限信息；

响应模块，用于若所述目标用户权限信息与所述目标资源权限信息相匹配，则响应所述访问请求，建立资源访问会话，以使所述目标用户访问所述目标资源。

另一方面，本发明提出了一种设备，所述设备包括：处理器和存储器，所述存储器中存储有至少一条指令、至少一段程序、代码集或指令集，所述至少一条指令、所述至少一段程序、所述代码集或指令集由所述处理器加载并执行以实现如上述所述的权限控制方法。

另一方面，本发明提出了一种计算机可读存储介质，所述存储介质中存储有至少一条指令、至少一段程序、代码集或指令集，所述至少一条指令、所述至少一段程序、所述代码集或指令集由处理器加载并执行以实现如上述所述的权限控制方法。

本发明提出的一种权限控制方法、装置、设备及存储介质，在预设标识权限库中预先存储有标识信息与资源权限信息之间的映射关系，由于预设标识权限库是事先设置好的，具有一次配置，长期使用的特点，有效降低系统负担，提高权限控制的效率。当有目标用户需要访问某一目标资源时，可以根据目标用户发送的访问请求中携带的目标资源的标识信息从该预设标识权限库中获取相应的目标资源权限信息，同时根据访问请求中携带的目标用户的属性信息确定目标用户权限信息，并将目标用户权限信息与目标资源权限信息进行比对，若二者能够匹配，则说明目标用户具有访问该目标资源的权限，可以建立资源访问会话，以使目标用户对该目标资源进行访问，从而直接阻断越权访问漏洞，实时性较高，操作方便，有效降低越权访问漏洞带来的风险和危害。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案和优点，下面将对实施例或现有技术描述中所需要使用的附图作简单的介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它附图。

图1是本发明实施例提供的一种权限控制方法的实施环境示意图。

图2是本发明实施例提供的权限控制方法的一种流程示意图。

图3是本发明实施例提供的权限控制方法的另一种流程示意图。

图4是本发明实施例提供的权限控制方法的另一种流程示意图。

图5是本发明实施例提供的权限控制装置的结构示意图。

图6是本发明实施例提供的服务器结构示意图。

具体实施方式

云技术(Cloud technology)是指在广域网或局域网内将硬件、软件、网络等系列资源统一起来，实现数据的计算、储存、处理和共享的一种托管技术。云技术主要分为云基础技术类和云应用，云基础技术类包括云计算、云存储、数据库、大数据等，云应用包括医疗云、云物联、云安全、云呼叫、私有云、公有云、混合云、云游戏、云教育、云会议等。

具体地，本发明实施例涉及云技术中的云安全(Cloud Security)技术。云安全是指基于云计算商业模式应用的安全软件、硬件、用户、机构、安全云平台的总称。云安全的主要研究方向包括：1.云计算安全，主要研究如何保障云自身及云上各种应用的安全，包括云计算机系统安全、用户数据的安全存储与隔离、用户接入认证、信息传输安全、网络攻击防护、合规审计等；2.安全基础设施的云化，主要研究如何采用云计算新建与整合安全基础设施资源，优化安全防护机制，包括通过云计算技术构建超大规模安全事件、信息采集与处理平台，实现对海量信息的采集与关联分析，提升全网安全事件把控能力及风险控制能力；3.云安全服务，主要研究各种基于云计算平台为用户提供的安全服务，如防病毒服务等。

具体地，本发明实施例中的“若所述目标用户权限信息与所述目标资源权限信息相匹配，则响应所述访问请求，建立资源访问会话，以使所述目标用户访问所述目标资源，以及若所述目标用户权限信息与所述目标资源权限信息不匹配，则向所述目标用户发送禁止访问所述目标资源的通知，以及弹出身份验证界面，以使所述目标用户在所述身份验证界面上进行身份验证，以及在身份验证次数超过预设阈值时，封禁所述目标用户对应的互联网协议地址”涉及云安全中的云安全服务技术。

具体地，本发明实施例提供的技术方案通过如下实施例进行说明。

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或服务器不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

图1是本发明实施例提供的一种权限控制方法的实施环境示意图。如图1所示，该实施环境至少可以包括终端01和服务器02，所述终端01通过有线或无线方式与所述服务器02建立连接，以通过此网络实现与所述服务器02之间的数据传输。例如，终端01可以通过此网络向服务器02发送目标资源的访问请求，服务器02可以通过此网络向终端01返回所述目标资源对应的内容。

具体地，所述服务器02可以是独立的物理服务器，也可以是多个物理服务器构成的服务器集群或者分布式系统，还可以是提供云服务、云数据库、云计算、云函数、云存储、网络服务、云通信、中间件服务、域名服务、安全服务、CDN、以及大数据和人工智能平台等基础云计算服务的云服务器。

具体地，终端01可以是智能手机、平板电脑、笔记本电脑、台式计算机、智能音箱、智能手表等，但并不局限于此。终端01以及服务器02可以通过有线或无线通信方式进行直接或间接地连接，本发明在此不做限制。

需要说明的是，图1仅仅是一种示例。

图2是本发明实施例提供的一种权限控制方法的流程示意图，本说明书提供了如实施例或流程图所述的方法操作步骤，但基于常规或者无创造性的劳动可以包括更多或者更少的操作步骤。实施例中列举的步骤顺序仅仅为众多步骤执行顺序中的一种方式，不代表唯一的执行顺序。在实际中的系统或服务器产品执行时，可以按照实施例或者附图所示的方法顺序执行或者并行执行(例如并行处理器或者多线程处理的环境)。具体的如图2所示，所述方法可以包括：

S101.接收目标用户发送的目标资源的访问请求，所述访问请求中携带所述目标用户的属性信息和所述目标资源的标识信息。

本发明实施例中，目标资源可以为与目标应用程序对应的资源，比如，目标应用程序的统一资源定位符(Uniform Resource Locator，URL)，该目标应用程序可以为万维网(World Wide Web，Web)应用程序。

当目标用户想要对某一个目标资源访问时，可以向服务器发送携带该用户属性信息和需要访问的目标资源信息的标识信息，以使服务器根据接收到的属性信息和标识信息进行权限控制。

本发明实施例中，当所述目标资源为URL时，在接收目标用户发送的目标资源的访问请求之前，所述方法还可以包括：S100.获取候选资源以及建立候选资源各自对应的标识信息与资源权限信息之间的映射关系。

具体地，如图3所示，S100可以包括：

S1001.获取所述目标应用程序对应的页面，对所述页面对应的数据索取请求和数据提交请求进行分析，得到所述目标应用程序对应的页面资源。

在一个可行的实施例中，可以通过网络爬虫组件对整个Web应用程序进行分析从而获取Web应用程序对应的页面，该爬虫组件可以基于webkit内核，能够实现对web应用URL的爬取和搜集，其中，webkit是一个开源的浏览器引擎。

在另一个可行的实施例中，还可以设置Web应用程序的起始URL，网络爬虫从起始URL开始，下载相应URL对应的超文本标记语言页面，从超文本标记语言页面中提取更多的URL，并记录获取的URL中符合URL记录规则的URL。接着网络爬虫继续从新得到的URL中获取超文本标记语言页面，从而得到更多的URL。如此反复，便可以获得大量的URL。

S1003.对所述目标应用程序的原始编码信息进行分析，得到所述目标应用程序对应的静态路由，根据所述静态路由确定所述目标应用程序对应的静态资源。

本发明实施例中，为了对网络爬虫组件搜集不到的URL进行二次补充，防止出现URL遗漏，提高后续越权访问漏洞识别以及权限控制的准确度，还可以通过源码分析组件对Web应用程序的原始编码信息(即源代码)进行静态分析，从而分析其中的目标情况，从分析结果中获取目标关键字，由于目标关键字可以适配不同的Web应用程序框架，通过该目标关键字可以确定相应的Web应用程序框架，接着确定与所述应用程序框架对应的固定的静态路由，最后可以根据所述静态理由确定与所述目标应用程序对应的静态目标资源。

S1005.获取所述目标应用程序对应的流量镜像，对所述流量镜像进行分析，得到所述目标应用程序对应的动态资源。

本发明实施例中，为了进一步对网络爬虫组件和源码分析组件搜集不到的URL进行二次补充，防止出现URL遗漏，进一步提高后续越权访问漏洞识别以及权限控制的准确度，还可以在Web应用程序运行过程中，对Web应用程序被访问的访问流量进行复制，得到该Web应用程序对应的流量镜像，对该流量镜像进行分析，就可以获取用户访问了哪些内容，在得到用户访问了哪些内容之后，就可以分析出相关的URL。

在实际应用中，可以通过交换机以及路由器上的镜像端口分析镜像流量，比如，可以对路由器的流量数据包进行解析，由于在网络上的数据包遵循传输控制协议/网际协议(Transmission Control Protocol/Internet Protocol，TCP/IP)，若传输层显示为传输控制协议(Transmission Control Protocol，TCP)，则解析数据包。将访问Web应用程序的请求通过解析数据包进行分析；按照标准网络数据包组成格式，通过解析各个协议层的包头，分别依次拆除网络层包头、传输层包头；确认传输层是否以超文本传输协议方式进行数据发送、接收。依次从每个解析出的数据包中获取Web应用程序的URL。

在一个可行的实施例中，为了进一步对网络爬虫组件、源码分析组件和镜像组件分析搜集不到的URL进行二次补充，防止出现URL遗漏，进一步提高后续越权访问漏洞识别以及权限控制的准确度，还可以通过人工补充组件，对以上方式分析不到的URL进行人工录入，保证防护设备可以做到不遗漏URL。

S1007.对所述页面资源、所述静态资源和所述动态资源进行去重处理，得到多个候选资源；所述候选资源包括所述目标资源。

本发明实施例中，为了确保URL搜集的准确性，进一步提高后续越权访问漏洞识别以及权限控制的准确度，在得到所述页面资源、所述静态资源和所述动态资源之后，可以对这三个资源进行去重处理，从而得到多个候选资源。目标资源为该候选资源中的任意一个资源。

在一个可行的实施例中，可以通过计算任意两个URL的模糊度，若模糊度一致，则认为该任意两个URL是相同的，可以将其中一个URL删除，若模糊度不一致，则认为该任意两个URL是不相同的。可以对URL的部分目录进行Hash值的运算，并进行取余，对其他目录进行10的次方值运算，结合两种运算的结果相加并取余得到模糊值，具体的计算方法可以如下：

解析URL目录结构，得到该URL的基本组成，该基本组成可以至少包括协议、路径、总目录级数，各目录的特征，所述目录总级数指URL路径部分除服务器名和域名(包括其后所带的斜杠“/”)外的斜杠的数量。

若目录总级数＞2时，则计算第一级与第二级目录、文件属性名的Hash值，Hash值取余后相加得到第一结果，计算其余各目录的目录名长度*10^X，相加后得到第二结果；X＝目录总级数-本目录所在级数，对第一结果和第二结果求和得到第一总和，第一总和取余后得到该URL对应的模糊值。

若URL目录总级数≤2时，则计算计算倒数第二级目录(即最后一级目录的前一级目录)、文件属性名的Hash值，Hash值取余后相加后得到第三结果，计算其余各目录的目录名长度*10^Y，相加后得到第四结果；Y＝目录总级数-本目录所在级数，对第三结果和第四结果进行求和得到第二总和，第二总和取余后得到该URL对应的模糊值。

本发明实施例中，在得到多个候选资源之后，所述方法还可以包括：

S1009.生成每个候选资源各自对应的标识信息。

S10011.建立每个候选资源各自对应的标识信息与资源权限信息之间的映射关系。

S10013.将所述映射关系存储在所述预设标识权限库中。

本申请实施例中，为了使权限控制方法具有一次配置，长期使用的特点，在通过S1001-S1007对目标应用程序中的所有URL进行搜集去重之后，可以通过权限分配组件对上述搜集的URL进行展示，将URL进行资源权限分级，比如，对于超级管理员账户相关操作接口的URL，可以为其分配一级资源权限，对于管理员账户相关操作接口的URL，可以为其分配一级资源权限和二级资源权限，对于普通用户相关操作接口的URL，可以为其分配一级资源权限、二级资源权限和三级资源权限，对于公共资源(如层叠样式表、直译式脚本语言资源等)的URL，可以认为其无资源权限。

在实际应用中，对于同一URL来说，可以含有多个资源权限信息，多个资源权限信息均可以拥有同样的资源。

在通过权限分配组件为URL分配不同的资源权限信息之后，为了便于查找与URL对应的资源权限信息，可以建立URL的标识信息与资源权限信息之间的映射关系。在一个可行的实施例中，可以采用自带的相关标识，如rootuser，user等字段进行多级权限的区分。

在建立好标识信息与资源权限信息之间的映射关系之后，可以将映射关系存储在预设标识权限库中，以供后续使用。

S103.从预设标识权限库中获取与所述目标资源的标识信息对应的目标资源权限信息，所述预设标识权限库中存储标识信息与资源权限信息之间的映射关系。

本发明实施例中，在服务器接收到目标用户发送的访问请求之后，就可以根据该访问请求中携带的标识信息，从预设标识权限库中获取与该标识信息对应的目标资源权限信息。

S105.根据所述目标用户的属性信息确定所述目标用户对应的目标用户权限信息。

本发明实施例中，如图4所示，所述根据所述目标用户的属性信息确定所述目标用户对应的目标用户权限信息，可以包括：

S1051.根据所述目标用户的属性信息判断所述目标用户是否处于登录状态。

S1053.若所述目标用户处于登录状态，则从预设账号权限库获取所述目标用户的登录账号对应的用户权限信息，所述预设账号权限库中存储登录账号与用户权限信息之间的映射关系。

S1055.若所述目标用户处于未登录状态，则跳转到登录界面，以使所述目标用户在所述登录界面中进行登录，以及在所述目标用户登录之后，从所述预设账号权限库中获取所述目标用户的登录账号对应的用户权限信息。

S1057.将所述登录账号对应的用户权限信息作为所述目标用户权限信息。

本发明实施例中，除了预先对URL进行权限设置之外，还可以预设对用户的权限进行设置。在实际应用中，可以预先建立用户的登录账号与用户权限信息之间的映射关系，并将登录账号与用户权限信息之间的映射关系存储在预设账号权限库中，由此可以实现根据登录账号获取用户权限信息。

如果目标用户是首次执行对目标资源进行访问，在S1051中可以根据目标用户的属性信息中的登录状态判断该目标用户是否登录，若登录，则在S1053中可以直接从预设账号权限库获取目标用户的登录账号对应的用户权限信息，并将该权限信息作为目标用户权限信息。如果没有登录，则在S1055中可以跳转到登录界面以使目标用户进行登录，并在登录之后，从预设账号权限库获取登录账号对应的用户权限信息。

本发明实施例中，在所述若所述目标用户权限信息与所述目标资源权限信息相匹配，则响应所述访问请求，建立资源访问会话，以使所述目标用户访问所述目标资源之前，所述方法还可以包括：

将所述目标用户权限信息的等级与所述目标资源权限信息的等级进行比对。

若所述目标用户权限信息的等级大于或等于所述目标资源权限信息的等级，则确定所述目标用户权限信息与所述目标资源权限信息相匹配。

若所述目标用户权限信息的等级小于所述目标资源权限信息的等级，则确定所述目标用户权限信息与所述目标资源权限信息不匹配。

本发明实施例中，所述目标用户权限信息与所述目标资源权限信息相匹配是指，目标用户具有访问该目标资源的权限；所述目标用户权限信息与所述目标资源权限信息不匹配是指，目标用户不具有访问该目标资源的权限。

在实际应用中，假设权限等级分为一级、二级和三级权限。如果目标用户权限信息为一级权限，则其等级为一级，则其可以访问资源权限信息的等级为一级、二级、三级的URL。如果目标用户权限信息为二级，则其可以访问资源权限信息的等级为二级、三级的URL。如果目标用户权限信息为三级，则其只可以访问资源权限信息的等级为三级的URL。

S107.若所述目标用户权限信息与所述目标资源权限信息相匹配，则响应所述访问请求，建立资源访问会话，以使所述目标用户访问所述目标资源。

本发明实施例中，如图4所示，所述若所述目标用户权限信息与目标所述资源权限信息相匹配，则响应所述访问请求，建立资源访问会话，以使所述目标用户访问所述目标资源，可以包括：

S1071.若所述目标用户权限信息与所述目标资源权限信息相匹配，则将所述目标资源对应的内容加载至所述目标用户对应的目标终端。

S1073.从所述目标用户的属性信息中获取所述目标终端的标识信息。

S1075.根据所述目标终端的标识信息建立所述资源访问会话。

本发明实施例中，会话是指一个终端用户与交互系统进行通讯的过程，比如从输入账户密码进入操作系统到退出操作系统就是一个会话过程。

在实际应用中，由于网络的基本协议是TCP/IP，不同的协议对应不同的应用，超文本传输协议是Web应用所使用的主要协议。由于超文本传输协议是无状态的，不能保存每次提交的信息，即当服务器返回与请求相对应的应答响应之后，这次事务的所有信息就会丢失，如果同一个用户发来一个新的请求，服务器也无法知道它是否与上次的请求有联系。基于此，为了提高信息安全管理效果，可以在确定目标用户具有访问目标资源的权限时，从目标用户的属性信息中获取所述目标终端的标识信息，并根据该标识信息建立资源访问会话。如果目标用户的属性信息中未携带目标终端的标识信息，可以根据随机数生成算法生成所述资源访问请求对应的请求会话标识，并根据所述请求会话标识建立资源访问会话。

本发明实施例中，通过目标终端的标识信息建立资源访问会话，能够将访问请求状态保存在对应服务器的某个存储区域，只发送回一个标识符，当目标终端在下次提交请求中把这个标识符发送过来，这样就可以定位存储在服务器上的状态信息，提高信息安全管理效果。

本发明实施例中，所述方法还可以包括：

S109.若所述目标用户权限信息与所述目标资源权限信息不匹配，则向所述目标用户发送禁止访问所述目标资源的通知。

本发明实施例中，在所述向所述目标用户发送禁止访问所述目标资源的通知之后，所述方法还可以包括。

S1011.弹出身份验证界面，以使所述目标用户在所述身份验证界面上进行身份验证，以及在身份验证次数超过预设阈值时，封禁所述目标用户对应的互联网协议地址。

本发明实施例中，在确定目标用户不具有访问目标资源的权限之后，可以拒绝用户访问，并告知用户无权访问，同时，还可以弹出身份验证界面进行用户身份验证，该验证可以为输入验证码的验证，可以为其他方式的验证，并在验证不通过时，封禁用户的互联网协议地址(即IP地址)。

在一个可行的实施例中，本发明实施例提供的权限控制方法可以应用在一些Web应用防火墙上，并作为一个单独的模块存在，比如应用在常见的web应用防护，主要在应用中包含了垂直权限相关模块的web应用。

本发明提供的权限控制方法，可以在Web应用程序上线前，在Web端预先对URL和用户的权限进行设置，具有一次配置，长期使用的特点，在Web应用程序不进行权限改动的情况下，可以做到长期防护，有效降低系统负担，提高权限控制的效率。同时，通过目用户权限信息与目标资源权限信息进行比较，从而确定目标用户是否具有访问目标资源的权限，可以直接阻断越权访问漏洞，对越权访问漏洞进行瞬间响应，实时性较高，而非后知后觉的填补缺漏，有效减少越权访问漏洞带来的风险和危害，将损失降到最低。此外，仅需对对比目用户权限信息与目标资源权限信息即可阻拦越权访问漏洞，操作简单方便，进一步降低系统负担。与风控系统以及下线修复相比，针对越权访问漏洞的防护率可以达到90％-100％。

如图5所示，本发明实施例提供了一种权限控制装置，所述装置可以包括：

访问请求接收模块201，可以用于接收目标用户发送的目标资源的访问请求，所述访问请求中携带所述目标用户的属性信息和所述目标资源的标识信息。

目标资源权限信息获取模块203，可以用于从预设标识权限库中获取与所述目标资源的标识信息对应的目标资源权限信息，所述预设标识权限库中存储标识信息与资源权限信息之间的映射关系。

目标用户权限信息确定模块205，可以用于根据所述目标用户的属性信息确定所述目标用户对应的目标用户权限信息。

响应模块207，可以用于若所述目标用户权限信息与所述目标资源权限信息相匹配，则响应所述访问请求，建立资源访问会话，以使所述目标用户访问所述目标资源。

本发明实施例中，所述装置还可以包括：

页面资源获取模块，可以用于获取所述目标应用程序对应的页面，对所述页面对应的数据索取请求和数据提交请求进行分析，得到所述目标应用程序对应的页面资源。

静态资源获取模块，可以用于对所述目标应用程序的原始编码信息进行分析，得到所述目标应用程序对应的静态路由，根据所述静态路由确定所述目标应用程序对应的静态资源。

动态资源获取模块，可以用于获取所述目标应用程序对应的流量镜像，对所述流量镜像进行分析，得到所述目标应用程序对应的动态资源。

去重模块，可以用于对所述页面资源、所述静态资源和所述动态资源进行去重处理，得到多个候选资源；其中，所述候选资源包括所述目标资源。

本发明实施例中，所述装置还可以包括：

生成模块，可以用于生成每个候选资源各自对应的标识信息。

建立模块，可以用于建立每个候选资源各自对应的标识信息与资源权限信息之间的映射关系。

存储模块，可以用于将所述映射关系存储在所述预设标识权限库中。

本发明实施例中，所述目标用户权限信息确定模块205可以包括：

判断单元，可以用于根据所述目标用户的属性信息判断所述目标用户是否处于登录状态。

用户权限信息获取单元，可以用于若所述目标用户处于登录状态，则从预设账号权限库获取所述目标用户的登录账号对应的用户权限信息，所述预设账号权限库中存储登录账号与用户权限信息之间的映射关系。

跳转单元，可以用于若所述目标用户处于未登录状态，则跳转到登录界面，以使所述目标用户在所述登录界面中进行登录，以及在所述目标用户登录之后，从所述预设账号权限库中获取所述目标用户的登录账号对应的用户权限信息。

目标用户权限信息获取单元，可以用于将所述登录账号对应的用户权限信息作为所述目标用户权限信息。

本发明实施例中，所述装置还可以包括：

对比模块，可以用于将所述目标用户权限信息的等级与所述目标资源权限信息的等级进行比对。

信息匹配确定模块，可以用于若所述目标用户权限信息的等级大于或等于所述目标资源权限信息的等级，则确定所述目标用户权限信息与所述目标资源权限信息相匹配，若所述目标用户权限信息的等级小于所述目标资源权限信息的等级，则确定所述目标用户权限信息与所述目标资源权限信息不匹配。

本发明实施例中，所述响应模块207可以包括：

加载单元，可以用于若所述目标用户权限信息与所述目标资源权限信息相匹配，则将所述目标资源对应的内容加载至所述目标用户对应的目标终端。

标识信息获取单元，可以用于从所述目标用户的属性信息中获取所述目标终端的标识信息。

访问会话建立单元，可以用于根据所述目标终端的标识信息建立所述资源访问会话。

本发明实施例中，所述装置还可以包括：

通知模块，可以用于若所述目标用户权限信息与所述目标资源权限信息不匹配，则向所述目标用户发送禁止访问所述目标资源的通知。

本发明实施例中，所述装置还可以包括：

身份验证模块，可以用于弹出身份验证界面，以使所述目标用户在所述身份验证界面上进行身份验证，以及在身份验证次数超过预设阈值时，封禁所述目标用户对应的互联网协议地址。

需要说明的是，本发明实施例提供的装置实施例与上述方法实施例基于相同的发明构思。

本发明实施例还提供了一种权限控制的设备，该设备包括处理器和存储器，该存储器中存储有至少一条指令、至少一段程序、代码集或指令集，该至少一条指令、该至少一段程序、该代码集或指令集由该处理器加载并执行以实现如上述方法实施例所提供的权限控制方法。

本发明的实施例还提供了一种存储介质，所述存储介质可设置于终端之中以保存用于实现方法实施例中一种权限控制方法相关的至少一条指令、至少一段程序、代码集或指令集，该至少一条指令、该至少一段程序、该代码集或指令集由该处理器加载并执行以实现上述方法实施例提供的权限控制方法。

可选地，在本说明书实施例中，存储介质可以位于计算机网络的多个网络服务器中的至少一个网络服务器。可选地，在本实施例中，上述存储介质可以包括但不限于：U盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。

本说明书实施例所述存储器可用于存储软件程序以及模块，处理器通过运行存储在存储器的软件程序以及模块，从而执行各种功能应用程序以及数据处理。存储器可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、功能所需的应用程序等；存储数据区可存储根据所述设备的使用所创建的数据等。此外，存储器可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他易失性固态存储器件。相应地，存储器还可以包括存储器控制器，以提供处理器对存储器的访问。

本发明实施例所提供的权限控制方法实施例可以在移动终端、计算机终端、服务器或者类似的运算装置中执行。以运行在服务器上为例，图6是本发明实施例提供的一种权限控制方法的服务器的硬件结构框图。如图6所示，该服务器300可因配置或性能不同而产生比较大的差异，可以包括一个或一个以上中央处理器(Central Processing Units，CPU)310(处理器310可以包括但不限于微处理器MCU或可编程逻辑器件FPGA等的处理装置)、用于存储数据的存储器330，一个或一个以上存储应用程序323或数据322的存储介质320(例如一个或一个以上海量存储设备)。其中，存储器330和存储介质320可以是短暂存储或持久存储。存储在存储介质320的程序可以包括一个或一个以上模块，每个模块可以包括对服务器中的一系列指令操作。更进一步地，中央处理器310可以设置为与存储介质320通信，在服务器300上执行存储介质320中的一系列指令操作。服务器300还可以包括一个或一个以上电源360，一个或一个以上有线或无线网络接口350，一个或一个以上输入输出接口340，和/或，一个或一个以上操作系统321，例如Windows ServerTM，Mac OS XTM，UnixTM，LinuxTM，FreeBSDTM等等。

输入输出接口340可以用于经由一个网络接收或者发送数据。上述的网络具体实例可包括服务器300的通信供应商提供的无线网络。在一个实例中，输入输出接口340包括一个网络适配器(Network Interface Controller，NIC)，其可通过基站与其他网络设备相连从而可与互联网进行通讯。在一个实例中，输入输出接口340可以为射频(RadioFrequency，RF)模块，其用于通过无线方式与互联网进行通讯。

本领域普通技术人员可以理解，图6所示的结构仅为示意，其并不对上述电子装置的结构造成限定。例如，服务器300还可包括比图6中所示更多或者更少的组件，或者具有与图6所示不同的配置。

需要说明的是：上述本发明实施例先后顺序仅仅为了描述，不代表实施例的优劣。且上述对本说明书特定实施例进行了描述。其它实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置和服务器实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种权限控制方法，其特征在于，所述方法包括：

接收目标用户发送的目标资源的访问请求，所述访问请求中携带所述目标用户的属性信息和所述目标资源的标识信息；

从预设标识权限库中获取与所述目标资源的标识信息对应的目标资源权限信息，所述预设标识权限库中存储标识信息与资源权限信息之间的映射关系；

根据所述目标用户的属性信息确定所述目标用户对应的目标用户权限信息；

若所述目标用户权限信息与所述目标资源权限信息相匹配，则响应所述访问请求，建立资源访问会话，以使所述目标用户访问所述目标资源。

2.根据权利要求1所述的方法，其特征在于，所述目标资源为与目标应用程序对应的资源，则在接收目标用户发送的目标资源的访问请求之前，所述方法还包括：

获取所述目标应用程序对应的页面，对所述页面对应的数据索取请求和数据提交请求进行分析，得到所述目标应用程序对应的页面资源；

对所述目标应用程序的原始编码信息进行分析，得到所述目标应用程序对应的静态路由，根据所述静态路由确定所述目标应用程序对应的静态资源；

获取所述目标应用程序对应的流量镜像，对所述流量镜像进行分析，得到所述目标应用程序对应的动态资源；

对所述页面资源、所述静态资源和所述动态资源进行去重处理，得到多个候选资源；

其中，所述候选资源包括所述目标资源。

3.根据权利要求2所述的方法，其特征在于，在所述得到多个候选资源之后，所述方法还包括：

生成每个候选资源各自对应的标识信息；

建立每个候选资源各自对应的标识信息与资源权限信息之间的映射关系；

将所述映射关系存储在所述预设标识权限库中。

4.根据权利要求1所述的方法，其特征在于，所述根据所述目标用户的属性信息确定所述目标用户对应的目标用户权限信息，包括：

根据所述目标用户的属性信息判断所述目标用户是否处于登录状态；

若所述目标用户处于登录状态，则从预设账号权限库获取所述目标用户的登录账号对应的用户权限信息，所述预设账号权限库中存储登录账号与用户权限信息之间的映射关系；

若所述目标用户处于未登录状态，则跳转到登录界面，以使所述目标用户在所述登录界面中进行登录，以及在所述目标用户登录之后，从所述预设账号权限库中获取所述目标用户的登录账号对应的用户权限信息；

将所述登录账号对应的用户权限信息作为所述目标用户权限信息。

5.根据权利要求1所述的方法，其特征在于，在所述若所述目标用户权限信息与所述目标资源权限信息相匹配，则响应所述访问请求，建立资源访问会话，以使所述目标用户访问所述目标资源之前，所述方法还包括：

将所述目标用户权限信息的等级与所述目标资源权限信息的等级进行比对；

若所述目标用户权限信息的等级大于或等于所述目标资源权限信息的等级，则确定所述目标用户权限信息与所述目标资源权限信息相匹配；

若所述目标用户权限信息的等级小于所述目标资源权限信息的等级，则确定所述目标用户权限信息与所述目标资源权限信息不匹配。

6.根据权利要求1所述的方法，其特征在于，所述若所述目标用户权限信息与目标所述资源权限信息相匹配，则响应所述访问请求，建立资源访问会话，以使所述目标用户访问所述目标资源，包括：

若所述目标用户权限信息与所述目标资源权限信息相匹配，则将所述目标资源对应的内容加载至所述目标用户对应的目标终端；

从所述目标用户的属性信息中获取所述目标终端的标识信息；

根据所述目标终端的标识信息建立所述资源访问会话。

7.根据权利要求1所述的方法，其特征在于，所述方法还包括：

若所述目标用户权限信息与所述目标资源权限信息不匹配，则向所述目标用户发送禁止访问所述目标资源的通知；

在所述向所述目标用户发送禁止访问所述目标资源的通知之后，所述方法还包括：

弹出身份验证界面，以使所述目标用户在所述身份验证界面上进行身份验证，以及在身份验证次数超过预设阈值时，封禁所述目标用户对应的互联网协议地址。

8.一种权限控制装置，其特征在于，所述装置包括：

访问请求接收模块，用于接收目标用户发送的目标资源的访问请求，所述访问请求中携带所述目标用户的属性信息和所述目标资源的标识信息；

目标资源权限信息获取模块，用于从预设标识权限库中获取与所述目标资源的标识信息对应的目标资源权限信息，所述预设标识权限库中存储标识信息与资源权限信息之间的映射关系；

目标用户权限信息确定模块，用于根据所述目标用户的属性信息确定所述目标用户对应的目标用户权限信息；

响应模块，用于若所述目标用户权限信息与所述目标资源权限信息相匹配，则响应所述访问请求，建立资源访问会话，以使所述目标用户访问所述目标资源。

9.一种设备，其特征在于，所述设备包括处理器和存储器，所述存储器中存储有至少一条指令、至少一段程序、代码集或指令集，所述至少一条指令、所述至少一段程序、所述代码集或所述指令集由所述处理器加载并执行以实现如权利要求1-7任一所述的权限控制方法。

10.一种计算机可读存储介质，其特征在于，所述存储介质中存储有至少一条指令、至少一段程序、代码集或指令集，所述至少一条指令、所述至少一段程序、所述代码集或所述指令集由处理器加载并执行以实现如权利要求1-7任一所述的权限控制方法。

Images