CN111698228B - 系统访问权限授予方法、装置、服务器及存储介质 - Google Patents

Abstract

本方案涉及信息安全技术领域，提供一种系统访问权限授予方法，包括：通过网关节点拦截访问请求，从缓存中获取历史访问记录；若历史访问记录中不存在与用户名匹配且与请求标识匹配的访问记录，从缓存中获取角色信息、用户与角色关联信息以及系统与角色关联信息；从用户与角色关联信息中确定与用户名匹配的第一角色，以及从系统与角色关联信息中确定与请求标识匹配的第二角色；若第一角色与第二角色存在相同角色，从角色信息中确定与相同角色匹配的目标接口地址；若请求地址属于目标接口地址，确定访问请求能访问请求地址并生成授权指令；将授权指令发送至网关节点。本发明还提供一种系统访问权限授予装置、服务器及介质。本发明能提高数据安全性。

Description

系统访问权限授予方法、装置、服务器及存储介质

技术领域

本发明涉及信息安全技术技术领域，尤其涉及一种系统访问权限授予方法、装置、服务器及存储介质。

背景技术

目前，为了提高系统的可拓展性以及可维护性，越来越多的系统进行微服务化，但在实践中发现，微服务化会产生很多小型业务系统(独立模块)，每个业务系统都需要独立实现用于管理权限的模块，降低了开发效率，同时，容易出现越权访问漏洞，数据安全性不高。

因此，如何提高开发效率以及提高数据安全性是一个亟需解决的技术问题。

发明内容

鉴于以上内容，有必要提供一种系统访问权限授予方法、装置、服务器及存储介质，能够提高开发效率以及提高数据安全性。

本发明的第一方面提供一种系统访问权限授予方法，所述方法包括：

通过网关节点拦截访问请求，其中，所述访问请求包括请求标识、用户名以及请求地址；

从缓存中获取历史访问记录；

若所述历史访问记录中不存在与所述用户名匹配且与所述请求标识匹配的访问记录，从缓存中获取角色信息、用户与角色关联信息以及系统与角色关联信息；

从所述用户与角色关联信息中确定与所述用户名匹配的第一角色，以及从所述系统与角色关联信息中确定与所述请求标识匹配的第二角色；

若所述第一角色与所述第二角色存在相同角色，从所述角色信息中确定与所述相同角色匹配的目标接口地址；

若所述请求地址属于所述目标接口地址，确定所述访问请求能访问所述请求地址并生成授权指令；

将所述授权指令发送至所述网关节点，以授予所述访问请求访问所述请求地址的权限。

在一种可能的实现方式中，所述通过网关节点拦截访问请求之后，以及所述从缓存中获取历史访问记录之前，所述方法还包括：

从缓存中获取用户信息；

若所述用户信息中不存在所述用户名，根据所述请求标识，确定目标业务系统；

从所述目标业务系统中查询与所述用户名匹配的数据信息，获得查询结果；

若所述查询结果不存在与所述用户名匹配的数据信息，生成针对所述访问请求的拒绝指令；

将所述拒绝指令发送至所述网关节点，以指示所述网关节点拒绝所述访问请求；或

若所述查询结果存在与所述用户名匹配的数据信息，将所述查询结果加载至所述缓存中。

在一种可能的实现方式中，所述方法还包括：

若所述用户信息中存在所述用户名，确定所述用户名对应的访问间隔时长；

判断所述访问间隔时长是否大于预设时长阈值；

若所述访问间隔时长大于预设时长阈值，更新所述用户名对应的在缓存中的数据。

在一种可能的实现方式中，所述方法还包括：

若所述第一角色与所述第二角色不存在相同角色，生成针对所述访问请求的拒绝指令；

将所述拒绝指令发送至所述网关节点，以指示所述网关节点拒绝所述访问请求。

在一种可能的实现方式中，所述方法还包括：

若所述请求地址不属于所述目标接口地址，确定所述访问请求不能访问所述请求地址并生成拒绝指令；

将所述拒绝指令发送至所述网关节点，以指示所述网关节点拒绝所述访问请求。

作为一种可选的实施方式，所述方法还包括：

接收配置节点发送的数据更新指令；

从所述配置节点中将所述数据更新指令所指示的更新数据加载至缓存中。

作为一种可选的实施方式，所述方法还包括：

获取节点设备指标数值；

判断所述节点设备指标数值是否大于预设指标阈值；

若所述节点设备指标数值大于预设指标阈值，根据所述节点设备指标数值，生成告警信息；

将所述告警信息发送至目标设备。

本发明的第二方面提供一种系统访问权限授予装置，所述装置包括：

拦截模块，用于通过网关节点拦截访问请求，其中，所述访问请求包括请求标识、用户名以及请求地址；

获取模块，用于从缓存中获取历史访问记录；

所述获取模块，还用于若所述历史访问记录中不存在与所述用户名匹配且与所述请求标识匹配的访问记录，从缓存中获取角色信息、用户与角色关联信息以及系统与角色关联信息；

确定模块，用于从所述用户与角色关联信息中确定与所述用户名匹配的第一角色，以及从所述系统与角色关联信息中确定与所述请求标识匹配的第二角色；

所述确定模块，还用于若所述第一角色与所述第二角色存在相同角色，从所述角色信息中确定与所述相同角色匹配的目标接口地址；

生成模块，用于若所述请求地址属于所述目标接口地址，确定所述访问请求能访问所述请求地址并生成授权指令；

发送模块，用于将所述授权指令发送至所述网关节点，以授予所述访问请求访问所述请求地址的权限。

本发明的第三方面提供一种服务器，所述服务器包括处理器和存储器，所述处理器用于执行所述存储器中存储的计算机程序时实现所述的系统访问权限授予方法。

本发明的第四方面提供一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现所述的系统访问权限授予方法。

由以上技术方案，本发明中，可以通过网关节点对所有访问请求进行拦截，并通过授权节点对所有访问请求进行验证以及授权，不需要为每个业务系统单独开发权限管理模块，提高了开发效率；权限验证数据存放在缓存中，可以快速读取确保快速响应，提高了验证效率，提高了系统性能；除了对访问请求的用户信息进行验证之外，还对请求地址进行验证，防止越权访问行为，提高了数据安全性，同时，可以根据用户信息、角色信息、用户与角色关联信息、系统与角色关联信息、历史访问记录等从多个方面对请求进行验证，进一步提高了数据的安全性。且历史记录验证方面可以降低查询消耗的系统资源(若历史访问验证通过，无需进行后续的验证)，若存在访问历史，即只需查询历史访问记录，不需要查询其他数据，节约系统资源消耗，提高系统性能。

附图说明

图1是本发明公开的一种系统访问权限授予方法的较佳实施例的流程图。

图2是本发明公开的一种系统访问权限授予装置的较佳实施例的功能模块图。

图3是本发明实现系统访问权限授予方法的较佳实施例的服务器的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

除非另有定义，本文所使用的所有的技术和科学术语与属于本发明的技术领域的技术人员通常理解的含义相同。本文中在本发明的说明书中所使用的术语只是为了描述具体的实施例的目的，不是旨在于限制本发明。

本发明实施例的系统访问权限授予方法应用在服务器中，也可以应用在服务器和通过网络与所述服务器进行连接的电子设备所构成的硬件环境中，由服务器和电子设备共同执行。网络包括但不限于：广域网、城域网或局域网。

其中，服务器可以是指能对网络中其它设备(如电子设备)提供服务的计算机系统。如果一个个人电脑能够对外提供文件传输协议(File Transfer Protocol，简称FTP)服务，也可以叫服务器。从狭义范围上讲，服务器专指某些高性能计算机，能通过网络，对外提供服务，其相对于普通的个人电脑来说，稳定性、安全性、性能等方面都要求更高，因此在CPU、芯片组、内存、磁盘系统、网络等硬件和普通的个人电脑有所不同。

所述电子设备是一种能够按照事先设定或存储的指令，自动进行数值计算和/或信息处理的设备，其硬件包括但不限于微处理器、专用集成电路(ASIC)、现场可编程门阵列(FPGA)、数字处理器(DSP)、嵌入式设备等。所述电子设备还可包括网络设备和/或用户设备。其中，所述网络设备包括但不限于单个网络设备、多个网络设备组成的服务器组或基于云计算(Cloud Computing)的由大量主机或网络设备构成的云，其中，云计算是分布式计算的一种，由一群松散耦合的计算机集组成的一个超级虚拟计算机。所述用户设备包括但不限于任何一种可与用户通过键盘、鼠标、遥控器、触摸板或声控设备等方式进行人机交互的电子产品，例如，个人计算机、平板电脑、智能手机、个人数字助理PDA等。

请参见图1，图1是本发明公开的一种系统访问权限授予方法的较佳实施例的流程图。其中，根据不同的需求，该流程图中步骤的顺序可以改变，某些步骤可以省略。

S11、服务器通过网关节点拦截访问请求，其中，所述访问请求包括请求标识、用户名以及请求地址。

可选的，所述访问请求还可以包括请求类型。其中，请求类型可以包括但不限于GET、PUT以及POST等。可能存在名称相同但请求类型不一样的接口地址，即使请求地址一样，如果请求类型不一样，调用的接口不一样。

其中，所述请求标识对应某个业务系统的某个功能模块的接口地址。

其中，所述用户名可以是通过认证的用户账号或者是用来唯一标识用户的身份信息。

本发明实施例中，访问服务的请求首先被网关暂时拦截，然后由网关发送给授权中心进行相关的授权，得到授权后，网关才放行，让请求去访问对应的服务，让具有权限的请求才可以访问具体的服务，减轻了服务端的访问流量压力，提高了服务性能。

可选的，可以应用于多个微服务，所述微服务可以是一种用于构建应用的架构方案。微服务架构有别于更为传统的单体式方案，可将应用拆分成多个核心功能。每个功能都被称为一项服务，可以单独构建和部署，这意味着各项服务在工作(和出现故障)时不会相互影响。但微服务之间的请求非常频繁，可以通过网关节点来对访问请求进行验证，可以减轻各个微服务的接口的压力，提高了微服务的服务效率。

作为一种可选的实施方式，所述通过网关节点拦截访问请求之后，以及所述从缓存中获取历史访问记录之前，所述方法还包括：

从缓存中获取用户信息；

若所述用户信息中不存在所述用户名，根据所述请求标识，确定目标业务系统；

从所述目标业务系统中查询与所述用户名匹配的数据信息，获得查询结果；

若所述查询结果不存在与所述用户名匹配的数据信息，生成针对所述访问请求的拒绝指令；

将所述拒绝指令发送至所述网关节点，以指示所述网关节点拒绝所述访问请求；或

若所述查询结果存在与所述用户名匹配的数据信息，将所述查询结果加载至所述缓存中。

在该可选的实施方式中，可以将各个微服务系统的所有用户信息保存在缓存中，若所述用户信息不存在所述用户名，确定所述访问请求时非法请求或者所述访问请求对应的用户最近才申请权限，对应的用户权限等信息未更新至缓存中，需要去相应的系统进行查询。若所述查询结果不存在与所述用户名匹配的数据信息，确定所述访问请求非法，可以生成拒绝指令，以指示所述网关节点拒绝所述访问请求，若所述查询结果存在与所述用户名匹配的数据信息，将所述查询结果加载至所述缓存中，更新用户信息。

作为一种可选的实施方式，所述方法还包括：

若所述用户信息中存在所述用户名，确定所述用户名对应的访问间隔时长；

判断所述访问间隔时长是否大于预设时长阈值；

若所述访问间隔时长大于预设时长阈值，更新所述用户名对应的在缓存中的数据。

其中，所述访问间隔时长可以是一个用户在当前时间与上一次访问系统的时间差。

在该可选的实施方式中，可以预先设置一个时长阈值，当用户的访问间隔时长大于所述预设时长阈值时，可以去系统中加载所述用户名最新的数据到缓存中以实现缓存中数据的更新。因为可能存在这样的情况，用户可能在一次访问后发现没有具备想要的权限，去向管理系统申请并被授予对应的权限后，再去发送访问请求，这时，若缓存中的数据没有更新，则需要去做进一步的数据查询以确认所述用户名对应的权限，浪费时间。因此，所述用户名对应的访问间隔时长大于预设时长阈值时，更新所述用户名对应的在缓存中的数据，可以提高服务效率。

S12、服务器从缓存中获取历史访问记录。

其中，所述历史访问记录记录了一定时间范围内所有用户的访问请求的相关信息。

S13、若所述历史访问记录中不存在与所述用户名匹配且与所述请求标识匹配的访问记录，服务器从缓存中获取角色信息、用户与角色关联信息以及系统与角色关联信息。

在本发明实施例中，可以将所述授权节点对接的各个业务系统的用户信息、角色信息、用户与角色关联信息、系统与角色关联信息存储至缓存中。

其中，所述角色是用来识别用户所具有的权限，用户可以对应多种角色，每种角色可以对应多种权限，不同的系统有不同的角色划分，即一个系统可以设置多种角色，比如：角色可以有管理员、游客、一级用户及二级用户等，管理员可以对应修改数据，浏览信息等权限，而游客可以对应流量信息权限。

其中，所述缓存包括本地缓存以及远程字典服务器缓存。

其中，缓存是指可以进行高速数据交换的存储层，它先于内存与CPU交换数据，因此速率很快。其中，所述本地缓存是指从设备自身内存划分出来的一部分空间，用于缓存数据。其中，所述远程字典服务器(Remote Dictionary Server，Redis)缓存可以是一种支持网络、可基于内存亦可持久化的日志型、Key-Value(键值对)数据库。

可选的，若所述历史访问记录中存在与所述用户名匹配且与所述请求标识匹配的访问记录，确定所述访问请求具有访问所述请求地址的权限。

S14、服务器从所述用户与角色关联信息中确定与所述用户名匹配的第一角色，以及从所述系统与角色关联信息中确定与所述请求标识匹配的第二角色。

其中，所述第一角色包括所述用户名对应的所有角色，比如：角色可以有管理员、游客、一级用户及二级用户等，不同的系统可以配置有不同的角色划分，某个用户在不同的系统可以为不同的角色，即一个用户名可能对应着多个角色；预先建立用户名与角色之间的关联，并保存在数据库中，节点启动时会从数据库中获取这部分的数据保存在缓存中。根据用户名即可查询并获取到对应的角色。

其中，可以预先将各种系统访问权限各种角色，并为所有用户分配角色。用户可以拥有其对应的角色的权限。

其中，所述请求标识可以用来标识一个功能接口，可以预先建立请求标识与各种角色的联系，比如：A接口可以允许一级用户以及二级用户访问，不允许其他角色进行访问，可以在数据库中存储A接口对应的请求标识分别与一级用户、二级用户的联系。一个接口可以允许多种角色访问，因此，与一个请求标识匹配的第二角色可以有多个。

S15、若所述第一角色与所述第二角色存在相同角色，服务器从所述角色信息中确定与所述相同角色匹配的目标接口地址。

作为一种可选的实施方式，所述方法还包括：

若所述第一角色与所述第二角色不存在相同角色，生成针对所述访问请求的拒绝指令；

将所述拒绝指令发送至所述网关节点，以指示所述网关节点拒绝所述访问请求。

在该可选的实施方式中，若所述第一角色与所述第二角色不存在相同角色，可以确定所述访问请求不具备其要访问的服务的权限，可以生成针对所述访问请求的拒绝指令，当所述网关节点接收到所述拒绝指令时，需要对所述访问请求进行拒绝。

S16、若所述请求地址属于所述目标接口地址，服务器确定所述访问请求能访问所述请求地址并生成授权指令。

其中，所述授权指令可以用来指示所述访问请求具有权限去访问对应的服务。

作为一种可选的实施方式，所述方法还包括：

若所述请求地址不属于所述目标接口地址，确定所述访问请求不能访问所述请求地址并生成拒绝指令；

将所述拒绝指令发送至所述网关节点，以指示所述网关节点拒绝所述访问请求。

在该可选的实施方式中，若所述请求地址不属于所述目标接口地址，即所述访问请求对应的用户没有相应的权限去访问服务，可以生成拒绝指令，以指示所述网关节点拒绝所述访问请求。

S17、服务器将所述授权指令发送至所述网关节点，以授予所述访问请求访问所述请求地址的权限。

本发明实施例中，当所述网关节点接收到所述授权指令时，可以放行所述访问请求，即可以根据所述请求地址，将所述访问请求发送至所述访问请求所请求的服务中进行响应。

作为一种可选的实施方式，所述方法还包括：

接收配置节点发送的数据更新指令；

从所述配置节点中将所述数据更新指令所指示的更新数据加载至缓存中。

其中，所述配置节点用于配置各个业务系统的用户名、角色、接口地址等数据以及数据之间的关系。将配置功能与授权功能分别应用于不同的服务器，可以减轻单个服务器的负载，提高服务器的运行效率。

作为一种可选的实施方式，所述方法还包括：

获取节点设备指标数值；

判断所述节点设备指标数值是否大于预设指标阈值；

若所述节点设备指标数值大于预设指标阈值，根据所述节点设备指标数值，生成告警信息；

将所述告警信息发送至目标设备。

其中，所述节点设备指标数值可以包括但不限于缓存使用率、内存使用率、CPU使用率以及磁盘使用率等。

其中，所述节点设备可以为配置节点设备、网关节点设备以及授权节点设备。

在图1所描述的方法流程中，可以通过网关节点对所有访问请求进行拦截，并通过授权节点对所有访问请求进行验证以及授权，不需要为每个业务系统单独开发权限管理模块，提高了开发效率；权限验证数据存放在缓存中，可以快速读取确保快速响应，提高了验证效率，提高了系统性能；除了对访问请求的用户信息进行验证之外，还对请求地址进行验证，防止越权访问行为，提高了数据安全性，同时，可以根据用户信息、角色信息、用户与角色关联信息、系统与角色关联信息、历史访问记录等从多个方面对请求进行验证，进一步提高了数据的安全性。且历史记录验证方面可以降低查询消耗的系统资源(若历史访问验证通过，无需进行后续的验证)，若存在访问历史，即只需查询历史访问记录，不需要查询其他数据，节约系统资源消耗，提高系统性能。

请参见图2，图2是本发明公开的一种系统访问权限授予装置的较佳实施例的功能模块图。

在一些实施例中，所述系统访问权限授予装置运行于服务器中。所述系统访问权限授予装置可以包括多个由程序代码段所组成的功能模块。所述系统访问权限授予装置中的各个程序段的程序代码可以存储于存储器中，并由至少一个处理器所执行，以执行图1所描述的系统访问权限授予方法中的部分或全部步骤。

本实施例中，所述系统访问权限授予装置根据其所执行的功能，可以被划分为多个功能模块。所述功能模块可以包括：拦截模块201、获取模块202、确定模块203、生成模块204及发送模块205。本发明所称的模块是指一种能够被至少一个处理器所执行并且能够完成固定功能的一系列计算机程序段，其存储在存储器中。

拦截模块201，用于通过网关节点拦截访问请求，其中，所述访问请求包括请求标识、用户名以及请求地址。

可选的，所述访问请求还可以包括请求类型。其中，请求类型可以包括但不限于GET、PUT以及POST等。可能存在名称相同但请求类型不一样的接口地址，即使请求地址一样，如果请求类型不一样，调用的接口不一样。

其中，所述请求标识对应某个业务系统的某个功能模块的接口地址。

其中，所述用户名可以是通过认证的用户账号或者是用来唯一标识用户的身份信息。

本发明实施例中，访问服务的请求首先被网关暂时拦截，然后由网关发送给授权中心进行相关的授权，得到授权后，网关才放行，让请求去访问对应的服务，让具有权限的请求才可以访问具体的服务，减轻了服务端的访问流量压力，提高了服务性能。

可选的，可以应用于多个微服务，所述微服务可以是一种用于构建应用的架构方案。微服务架构有别于更为传统的单体式方案，可将应用拆分成多个核心功能。每个功能都被称为一项服务，可以单独构建和部署，这意味着各项服务在工作(和出现故障)时不会相互影响。但微服务之间的请求非常频繁，可以通过网关节点来对访问请求进行验证，可以减轻各个微服务的接口的压力，提高了微服务的服务效率。

获取模块202，用于从缓存中获取历史访问记录。

其中，所述历史访问记录记录了一定时间范围内所有用户的访问请求的相关信息。

所述获取模块202，还用于若所述历史访问记录中不存在与所述用户名匹配且与所述请求标识匹配的访问记录，从缓存中获取角色信息、用户与角色关联信息以及系统与角色关联信息。

在本发明实施例中，可以将所述授权节点对接的各个业务系统的用户信息、角色信息、用户与角色关联信息、系统与角色关联信息存储至缓存中。

其中，所述角色是用来识别用户所具有的权限，用户可以对应多种角色，每种角色可以对应多种权限，不同的系统有不同的角色划分，即一个系统可以设置多种角色，比如：角色可以有管理员、游客、一级用户及二级用户等，管理员可以对应修改数据，浏览信息等权限，而游客可以对应流量信息权限。

其中，所述缓存包括本地缓存以及远程字典服务器缓存。

其中，缓存是指可以进行高速数据交换的存储层，它先于内存与CPU交换数据，因此速率很快。其中，所述本地缓存是指从设备自身内存划分出来的一部分空间，用于缓存数据。其中，所述远程字典服务器(Remote Dictionary Server，Redis)缓存可以是一种支持网络、可基于内存亦可持久化的日志型、Key-Value(键值对)数据库。

可选的，若所述历史访问记录中存在与所述用户名匹配且与所述请求标识匹配的访问记录，确定所述访问请求具有访问所述请求地址的权限。

确定模块203，用于从所述用户与角色关联信息中确定与所述用户名匹配的第一角色，以及从所述系统与角色关联信息中确定与所述请求标识匹配的第二角色。

其中，所述第一角色包括所述用户名对应的所有角色，比如：角色可以有管理员、游客、一级用户及二级用户等，不同的系统可以配置有不同的角色划分，某个用户在不同的系统可以为不同的角色，即一个用户名可能对应着多个角色；预先建立用户名与角色之间的关联，并保存在数据库中，节点启动时会从数据库中获取这部分的数据保存在缓存中。根据用户名即可查询并获取到对应的角色。

其中，可以预先将各种系统访问权限各种角色，并为所有用户分配角色。用户可以拥有其对应的角色的权限。

其中，所述请求标识可以用来标识一个功能接口，可以预先建立请求标识与各种角色的联系，比如：A接口可以允许一级用户以及二级用户访问，不允许其他角色进行访问，可以在数据库中存储A接口对应的请求标识分别与一级用户、二级用户的联系。一个接口可以允许多种角色访问，因此，与一个请求标识匹配的第二角色可以有多个。

所述确定模块203，还用于若所述第一角色与所述第二角色存在相同角色，从所述角色信息中确定与所述相同角色匹配的目标接口地址。

生成模块204，用于若所述请求地址属于所述目标接口地址，确定所述访问请求能访问所述请求地址并生成授权指令。

其中，所述授权指令可以用来指示所述访问请求具有权限去访问对应的服务。

发送模块205，用于将所述授权指令发送至所述网关节点，以授予所述访问请求访问所述请求地址的权限。

本发明实施例中，当所述网关节点接收到所述授权指令时，可以放行所述访问请求，即可以根据所述请求地址，将所述访问请求发送至所述访问请求所请求的服务中进行响应。

作为一种可选的实施方式，所述获取模块202，还用于所述拦截模块201通过网关节点拦截访问请求之后，以及所述获取模块202从缓存中获取历史访问记录之前，从缓存中获取用户信息；

所述确定模块203，还用于若所述用户信息中不存在所述用户名，根据所述请求标识，确定目标业务系统；

所述系统访问权限授予装置还可以包括：

查询模块，用于从所述目标业务系统中查询与所述用户名匹配的数据信息，获得查询结果；

所述生成模块204，还用于若所述查询结果不存在与所述用户名匹配的数据信息，生成针对所述访问请求的拒绝指令；

所述发送模块205，还用于将所述拒绝指令发送至所述网关节点，以指示所述网关节点拒绝所述访问请求；或

第一加载模块，用于若所述查询结果存在与所述用户名匹配的数据信息，将所述查询结果加载至所述缓存中。

在该可选的实施方式中，可以将各个微服务系统的所有用户信息保存在缓存中，若所述用户信息不存在所述用户名，确定所述访问请求时非法请求或者所述访问请求对应的用户最近才申请权限，对应的用户权限等信息未更新至缓存中，需要去相应的系统进行查询。若所述查询结果不存在与所述用户名匹配的数据信息，确定所述访问请求非法，可以生成拒绝指令，以指示所述网关节点拒绝所述访问请求，若所述查询结果存在与所述用户名匹配的数据信息，将所述查询结果加载至所述缓存中，更新用户信息。

作为一种可选的实施方式，所述确定模块203，还用于若所述用户信息中存在所述用户名，确定所述用户名对应的访问间隔时长；

所述系统访问权限授予装置还可以包括：

第一判断模块，用于判断所述访问间隔时长是否大于预设时长阈值；

更新模块，用于若所述访问间隔时长大于预设时长阈值，更新所述用户名对应的在缓存中的数据。

其中，所述访问间隔时长可以是一个用户在当前时间与上一次访问系统的时间差。

在该可选的实施方式中，可以预先设置一个时长阈值，当用户的访问间隔时长大于所述预设时长阈值时，可以去系统中加载所述用户名最新的数据到缓存中以实现缓存中数据的更新。因为可能存在这样的情况，用户可能在一次访问后发现没有具备想要的权限，去向管理系统申请并被授予对应的权限后，再去发送访问请求，这时，若缓存中的数据没有更新，则需要去做进一步的数据查询以确认所述用户名对应的权限，浪费时间。因此，所述用户名对应的访问间隔时长大于预设时长阈值时，更新所述用户名对应的在缓存中的数据，可以提高服务效率。

作为一种可选的实施方式，所述生成模块204，还用于若所述第一角色与所述第二角色不存在相同角色，生成针对所述访问请求的拒绝指令；

所述发送模块205，还用于将所述拒绝指令发送至所述网关节点，以指示所述网关节点拒绝所述访问请求。

在该可选的实施方式中，若所述第一角色与所述第二角色不存在相同角色，可以确定所述访问请求不具备其要访问的服务的权限，可以生成针对所述访问请求的拒绝指令，当所述网关节点接收到所述拒绝指令时，需要对所述访问请求进行拒绝。

作为一种可选的实施方式，所述确定模块203，还用于若所述请求地址不属于所述目标接口地址，确定所述访问请求不能访问所述请求地址并生成拒绝指令；

所述发送模块205，还用于将所述拒绝指令发送至所述网关节点，以指示所述网关节点拒绝所述访问请求。

在该可选的实施方式中，若所述请求地址不属于所述目标接口地址，即所述访问请求对应的用户没有相应的权限去访问服务，可以生成拒绝指令，以指示所述网关节点拒绝所述访问请求。

作为一种可选的实施方式，所述系统访问权限授予装置还可以包括：

接收模块，用于接收配置节点发送的数据更新指令；

第二加载模块，用于从所述配置节点中将所述数据更新指令所指示的更新数据加载至缓存中。

其中，所述配置节点用于配置各个业务系统的用户名、角色、接口地址等数据以及数据之间的关系。将配置功能与授权功能分别应用于不同的服务器，可以减轻单个服务器的负载，提高服务器的运行效率。

作为一种可选的实施方式，所述获取模块202，还用于获取节点设备指标数值；

所述系统访问权限授予装置还可以包括：

第二判断模块，用于判断所述节点设备指标数值是否大于预设指标阈值；

所述生成模块204，还用于若所述节点设备指标数值大于预设指标阈值，根据所述节点设备指标数值，生成告警信息；

所述发送模块205，还用于将所述告警信息发送至目标设备。

其中，所述节点设备指标数值可以包括但不限于缓存使用率、内存使用率、CPU使用率以及磁盘使用率等。

其中，所述节点设备可以为配置节点设备、网关节点设备以及授权节点设备。

在图2所描述的系统访问权限授予装置中，可以通过网关节点对所有访问请求进行拦截，并通过授权节点对所有访问请求进行验证以及授权，不需要为每个业务系统单独开发权限管理模块，提高了开发效率；权限验证数据存放在缓存中，可以快速读取确保快速响应，提高了验证效率，提高了系统性能；除了对访问请求的用户信息进行验证之外，还对请求地址进行验证，防止越权访问行为，提高了数据安全性，同时，可以根据用户信息、角色信息、用户与角色关联信息、系统与角色关联信息、历史访问记录等从多个方面对请求进行验证，进一步提高了数据的安全性。且历史记录验证方面可以降低查询消耗的系统资源(若历史访问验证通过，无需进行后续的验证)，若存在访问历史，即只需查询历史访问记录，不需要查询其他数据，节约系统资源消耗，提高系统性能。

如图3所示，图3是本发明实现系统访问权限授予方法的较佳实施例的服务器的结构示意图。所述服务器3包括存储器31、至少一个处理器32、存储在所述存储器31中并可在所述至少一个处理器32上运行的计算机程序33及至少一条通讯总线34。

本领域技术人员可以理解，图3所示的示意图仅仅是所述服务器3的示例，并不构成对所述服务器3的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件，例如所述服务器3还可以包括输入输出设备、网络接入设备等。

所述服务器3还包括但不限于任何一种可与用户通过键盘、鼠标、遥控器、触摸板或声控设备等方式进行人机交互的电子产品，例如，个人计算机、平板电脑、智能手机、个人数字助理(Personal Digital Assistant，PDA)、游戏机、交互式网络电视(InternetProtocol Television，IPTV)、智能式穿戴式设备等。所述服务器3所处的网络包括但不限于互联网、广域网、城域网、局域网、虚拟专用网络(Virtual Private Network，VPN)等。

所述至少一个处理器32可以是中央处理单元(Central Processing Unit，CPU)，还可以是其他通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现场可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、晶体管逻辑器件、分立硬件组件等。该处理器32可以是微处理器或者该处理器32也可以是任何常规的处理器等，所述处理器32是所述服务器3的控制中心，利用各种接口和线路连接整个服务器3的各个部分。

所述存储器31可用于存储所述计算机程序33和/或模块/单元，所述处理器32通过运行或执行存储在所述存储器31内的计算机程序和/或模块/单元，以及调用存储在存储器31内的数据，实现所述服务器3的各种功能。所述存储器31可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序(比如声音播放功能、图像播放功能等)等；存储数据区可存储根据服务器3的使用所创建的数据(比如音频数据等)等。此外，存储器31可以包括非易失性存储器，例如硬盘、内存、插接式硬盘，智能存储卡(Smart Media Card，SMC)，安全数字(Secure Digital，SD)卡，闪存卡(Flash Card)、至少一个磁盘存储器件、闪存器件等。

结合图1，所述服务器3中的所述存储器31存储多个指令以实现一种系统访问权限授予方法，所述处理器32可执行所述多个指令从而实现：

通过网关节点拦截访问请求，其中，所述访问请求包括请求标识、用户名以及请求地址；

从缓存中获取历史访问记录；

若所述历史访问记录中不存在与所述用户名匹配且与所述请求标识匹配的访问记录，从缓存中获取角色信息、用户与角色关联信息以及系统与角色关联信息；

从所述用户与角色关联信息中确定与所述用户名匹配的第一角色，以及从所述系统与角色关联信息中确定与所述请求标识匹配的第二角色；

若所述第一角色与所述第二角色存在相同角色，从所述角色信息中确定与所述相同角色匹配的目标接口地址；

若所述请求地址属于所述目标接口地址，确定所述访问请求能访问所述请求地址并生成授权指令；

将所述授权指令发送至所述网关节点，以授予所述访问请求访问所述请求地址的权限。

在图3所描述的服务器3中，可以通过网关节点对所有访问请求进行拦截，并通过授权节点对所有访问请求进行验证以及授权，不需要为每个业务系统单独开发权限管理模块，提高了开发效率；权限验证数据存放在缓存中，可以快速读取确保快速响应，提高了验证效率，提高了系统性能；除了对访问请求的用户信息进行验证之外，还对请求地址进行验证，防止越权访问行为，提高了数据安全性，同时，可以根据用户信息、角色信息、用户与角色关联信息、系统与角色关联信息、历史访问记录等从多个方面对请求进行验证，进一步提高了数据的安全性。且历史记录验证方面可以降低查询消耗的系统资源(若历史访问验证通过，无需进行后续的验证)，若存在访问历史，即只需查询历史访问记录，不需要查询其他数据，节约系统资源消耗，提高系统性能。

所述服务器3集成的模块/单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明实现上述实施例方法中的全部或部分流程，也可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一计算机可读存储介质中，该计算机程序在被处理器执行时，可实现上述各个方法实施例的步骤。其中，所述计算机程序代码可以为源代码形式、对象代码形式、可执行文件或某些中间形式等。所述计算机可读介质可以包括：能够携带所述计算机程序代码的任何实体或装置、记录介质、U盘、移动硬盘、磁碟、光盘、计算机存储器、只读存储器(ROM，Read-Only Memory)。

在本发明所提供的几个实施例中，应该理解到，所揭露的系统，装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述模块的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。

所述作为分离部件说明的模块可以是或者也可以不是物理上分开的，作为模块显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能模块可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用硬件加软件功能模块的形式实现。

对于本领域技术人员而言，显然本发明不限于上述示范性实施例的细节，而且在不背离本发明的精神或基本特征的情况下，能够以其他的具体形式实现本发明。因此，无论从哪一点来看，均应将实施例看作是示范性的，而且是非限制性的，本发明的范围由所附权利要求而不是上述说明限定，因此旨在将落在权利要求的等同要件的含义和范围内的所有变化涵括在本发明内。不应将权利要求中的任何附关联图标记视为限制所涉及的权利要求。此外，显然“包括”一词不排除其他单元或步骤，单数不排除复数。系统权利要求中陈述的多个单元或装置也可以由一个单元或装置通过软件或者硬件来实现。第二等词语用来表示名称，而并不表示任何特定的顺序。

最后应说明的是，以上实施例仅用以说明本发明的技术方案而非限制，尽管参照较佳实施例对本发明进行了详细说明，本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或等同替换，而不脱离本发明技术方案的精神和范围。

Claims (10)

1.一种系统访问权限授予方法，其特征在于，所述系统访问权限授予方法包括：

通过网关节点拦截访问请求，其中，所述访问请求包括请求标识、用户名以及请求地址；

从缓存中获取历史访问记录；

若所述历史访问记录中不存在与所述用户名匹配且与所述请求标识匹配的访问记录，从缓存中获取角色信息、用户与角色关联信息以及系统与角色关联信息；

从所述用户与角色关联信息中确定与所述用户名匹配的第一角色，以及从所述系统与角色关联信息中确定与所述请求标识匹配的第二角色；

若所述第一角色与所述第二角色存在相同角色，从所述角色信息中确定与所述相同角色匹配的目标接口地址；

若所述请求地址属于所述目标接口地址，确定所述访问请求能访问所述请求地址并生成授权指令；

将所述授权指令发送至所述网关节点，以授予所述访问请求访问所述请求地址的权限。

2.根据权利要求1所述的系统访问权限授予方法，其特征在于，所述通过网关节点拦截访问请求之后，以及所述从缓存中获取历史访问记录之前，所述系统访问权限授予方法还包括：

从缓存中获取用户信息；

若所述用户信息中不存在所述用户名，根据所述请求标识，确定目标业务系统；

从所述目标业务系统中查询与所述用户名匹配的数据信息，获得查询结果；

若所述查询结果不存在与所述用户名匹配的数据信息，生成针对所述访问请求的拒绝指令；

将所述拒绝指令发送至所述网关节点，以指示所述网关节点拒绝所述访问请求；或

若所述查询结果存在与所述用户名匹配的数据信息，将所述查询结果加载至所述缓存中。

3.根据权利要求2所述的系统访问权限授予方法，其特征在于，所述系统访问权限授予方法还包括：

若所述用户信息中存在所述用户名，确定所述用户名对应的访问间隔时长；

判断所述访问间隔时长是否大于预设时长阈值；

若所述访问间隔时长大于预设时长阈值，更新所述用户名对应的在缓存中的数据。

4.根据权利要求1所述的系统访问权限授予方法，其特征在于，所述系统访问权限授予方法还包括：

若所述第一角色与所述第二角色不存在相同角色，生成针对所述访问请求的拒绝指令；

将所述拒绝指令发送至所述网关节点，以指示所述网关节点拒绝所述访问请求。

5.根据权利要求1至4中任一项所述的系统访问权限授予方法，其特征在于，所述系统访问权限授予方法还包括：

若所述请求地址不属于所述目标接口地址，确定所述访问请求不能访问所述请求地址并生成拒绝指令；

将所述拒绝指令发送至所述网关节点，以指示所述网关节点拒绝所述访问请求。

6.根据权利要求1至4中任一项所述的系统访问权限授予方法，其特征在于，所述系统访问权限授予方法还包括：

接收配置节点发送的数据更新指令；

从所述配置节点中将所述数据更新指令所指示的更新数据加载至缓存中。

7.根据权利要求1至4中任一项所述的系统访问权限授予方法，其特征在于，所述系统访问权限授予方法还包括：

获取节点设备指标数值；

判断所述节点设备指标数值是否大于预设指标阈值；

若所述节点设备指标数值大于预设指标阈值，根据所述节点设备指标数值，生成告警信息；

将所述告警信息发送至目标设备。

8.一种系统访问权限授予装置，其特征在于，所述系统访问权限授予装置包括：

拦截模块，用于通过网关节点拦截访问请求，其中，所述访问请求包括请求标识、用户名以及请求地址；

获取模块，用于从缓存中获取历史访问记录；

所述获取模块，还用于若所述历史访问记录中不存在与所述用户名匹配且与所述请求标识匹配的访问记录，从缓存中获取角色信息、用户与角色关联信息以及系统与角色关联信息；

确定模块，用于从所述用户与角色关联信息中确定与所述用户名匹配的第一角色，以及从所述系统与角色关联信息中确定与所述请求标识匹配的第二角色；

所述确定模块，还用于若所述第一角色与所述第二角色存在相同角色，从所述角色信息中确定与所述相同角色匹配的目标接口地址；

生成模块，用于若所述请求地址属于所述目标接口地址，确定所述访问请求能访问所述请求地址并生成授权指令；

发送模块，用于将所述授权指令发送至所述网关节点，以授予所述访问请求访问所述请求地址的权限。

9.一种服务器，其特征在于，所述服务器包括处理器和存储器，所述处理器用于执行存储器中存储的计算机程序以实现如权利要求1至7中任意一项所述的系统访问权限授予方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有至少一个指令，所述至少一个指令被处理器执行时实现如权利要求1至7中任意一项所述的系统访问权限授予方法。