CN112035858A - Api访问控制方法、装置、设备及介质 - Google Patents

Api访问控制方法、装置、设备及介质 Download PDF

Info

Publication number
CN112035858A
CN112035858A CN202010889841.8A CN202010889841A CN112035858A CN 112035858 A CN112035858 A CN 112035858A CN 202010889841 A CN202010889841 A CN 202010889841A CN 112035858 A CN112035858 A CN 112035858A
Authority
CN
China
Prior art keywords
target
access
api
access request
access control
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202010889841.8A
Other languages
English (en)
Other versions
CN112035858B (zh
Inventor
刘杰群
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
CCB Finetech Co Ltd
Original Assignee
China Construction Bank Corp
CCB Finetech Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China Construction Bank Corp, CCB Finetech Co Ltd filed Critical China Construction Bank Corp
Priority to CN202010889841.8A priority Critical patent/CN112035858B/zh
Publication of CN112035858A publication Critical patent/CN112035858A/zh
Application granted granted Critical
Publication of CN112035858B publication Critical patent/CN112035858B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/604—Tools and structures for managing or administering access control systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/629—Protecting access to data via a platform, e.g. using keys or access control rules to features or functions of an application
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
    • Y02D10/00—Energy efficient computing, e.g. low power processors, power management or thermal management

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • General Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Health & Medical Sciences (AREA)
  • Automation & Control Theory (AREA)
  • Storage Device Security (AREA)

Abstract

本发明实施例公开了一种API访问控制方法、装置、设备及介质。该方法包括：拦截目标API访问请求；如果与所述目标API访问请求对应的目标方法携带目标访问控制注解，则在预先创建的与所述目标方法对应的目标面向切面编程AOP切面中，基于所述目标访问控制注解以及注册到Spring表达式语言SPEL表达式上下文中的目标访问控制策略判定与所述目标API访问请求对应的访问权限状态；其中，所述目标访问控制策略是与应用需求匹配的；根据判定得到的所述访问权限状态，进行API访问控制。上述技术方案提高了API访问控制的细粒度以及灵活性。

Description

API访问控制方法、装置、设备及介质
技术领域
本发明实施例涉及数据库技术领域，尤其涉及一种API访问控制方法、装置、设备及介质。
背景技术
为了提高API(Application Programming Interface，应用程序接口)接口数据的安全性，避免系统遭受恶意攻击，后端API访问控制管理始终是服务端应用的重要议题。
目前，关于API访问控制，通常采用一刀切的方式来实现。例如，在某段时间内API的访问次数达到频率控制限制值，则在此频率限制时间窗口内所有用户均不能再访问此API，进而会给真正有需求的用户带来极大的不便。再例如，当用户具备某API的访问权限，其通常可以访问该API下的所有资源，这样无疑会给数据安全带来威胁，若为了数据安全考虑，在业务数据表中添加租户或用户信息，并携带租户或用户信息进行业务数据查询，又会增加业务端的复杂性。因此，如何提高API访问控制的细粒度及灵活性是亟待解决的问题。
发明内容
本发明实施例提供一种API访问控制方法、装置、设备及介质，以提高API访问控制的细粒度及灵活性。
第一方面，本发明实施例提供了一种API访问控制方法，包括：
拦截目标API访问请求；
如果与所述目标API访问请求对应的目标方法携带目标访问控制注解，则在预先创建的与所述目标方法对应的目标AOP(Aspect Oriented Programming，面向切面编程)切面中，基于所述目标访问控制注解以及注册到SPEL(Spring Expression Language，Spring表达式语言)表达式上下文中的目标访问控制策略判定与所述目标API访问请求对应的访问权限状态；其中，所述目标访问控制策略是与应用需求匹配的；
根据判定得到的所述访问权限状态，进行API访问控制。
第二方面，本发明实施例还提供了一种API访问控制装置，包括：
访问请求拦截模块，设置为拦截目标API访问请求；
访问权限状态判断模块，设置为如果与所述目标API访问请求对应的目标方法携带目标访问控制注解，则在预先创建的与所述目标方法对应的目标AOP切面中，基于所述目标访问控制注解以及注册到SPEL表达式上下文中的目标访问控制策略判定与所述目标API访问请求对应的访问权限状态；
访问控制模块，设置为根据判定得到的所述访问权限状态，进行API访问控制。
第三方面，本发明实施例还提供了一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如本发明任意实施例所述的API访问控制方法。
第四方面，本发明实施例还提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如本发明任意实施例所述的API访问控制方法。
本发明实施例提供的技术方案中，当拦截到由前端发出的目标API访问请求时，如果与目标API访问请求对应的目标方法携带了目标访问控制注解，则在预先创建的与目标方法对应的目标AOP切面中，基于目标访问控制注解以及注册到SPEL表达式上下文中的与应用需求匹配的目标访问控制策略，来判定该目标API访问请求对应的访问权限状态，然后根据判定得到的访问权限状态结果，进行API访问控制。上述技术方案，克服了现有技术中在API访问控制时通常采用一刀切方式的缺陷，提高了API访问控制的细粒度，以及API访问控制的灵活性。
附图说明
图1是本发明实施例一中的一种API访问控制方法的流程示意图；
图2是本发明实施例二中的一种API访问控制方法的流程示意图；
图3是本发明实施例三中的一种API访问控制方法的流程示意图；
图4是本发明实施例四中的一种API访问控制装置的结构示意图；
图5是本发明实施例五中的一种计算机设备的硬件结构示意图。
具体实施方式
下面结合附图和实施例对本发明作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释本发明，而非对本发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与本发明相关的部分而非全部结构。
在更加详细地讨论示例性实施例之前应当提到的是，一些示例性实施例被描述成作为流程图描绘的处理或方法。虽然流程图将各项操作(或步骤)描述成顺序的处理，但是其中的许多操作可以被并行地、并发地或者同时实施。此外，各项操作的顺序可以被重新安排。当其操作完成时所述处理可以被终止，但是还可以具有未包括在附图中的附加步骤。所述处理可以对应于方法、函数、规程、子例程、子程序等等。
实施例一
图1是本发明实施例一提供的一种API访问控制方法的流程图，可适用于对API访问进行细粒度控制的情况，该方法可以由本发明实施例提供的API访问控制装置来执行，该装置可采用软件和/或硬件的方式实现，并一般可集成在计算机设备中。
如图1所示，本实施例提供的API访问控制方法，具体包括：
S110、拦截目标API访问请求。
所谓目标API访问请求是指由前端发出的指向任意一个后端API的应用访问请求。
当接收到前端(如客户端)发送的目标API访问请求之后，并不直接调用与目标API访问请求对应的API，而是将目标API访问请求进行拦截，对目标API访问请求的访问权限状态进行分析。
可选的，通过后端服务器中预先建立的目标代理，拦截前端发送的各种目标API访问请求，并对其访问权限状态进行分析。
S120、如果与目标API访问请求对应的目标方法携带目标访问控制注解，则在预先创建的与目标方法对应的目标AOP切面中，基于目标访问控制注解以及注册到SPEL表达式上下文中的目标访问控制策略判定与目标API访问请求对应的访问权限状态；其中，目标访问控制策略是与应用需求匹配的。
其中，目标方法，指的是与目标API访问请求对应目标API中的核心方法，具体用于响应目标API访问请求，生成与目标API访问请求对应的反馈信息。
目标访问控制注解，指的是预先编译的用于对API访问权限进行判断的注解，与目标AOP切面配合使用。其中，目标访问控制注解的参数可以根据应用需求确定，本实施例对此不作具体限定。
AOP是Spring框架面向切面的编程思想，AOP采用一种称为“横切”的技术，将涉及多业务流程的通用功能抽取并单独封装，形成独立的切面，在合适的时机将这些切面横向切入到业务流程指定的位置中。
目标AOP切面，是与预先创建的与目标方法对应的一个切面，将目标API访问请求的访问权限状态判断方法与目标方法进行隔离，降低目标API访问请求的访问权限状态判断方法与目标方法的耦合度。例如，要在业务方法(也即上述提到的目标方法)执行前后打印日志，此时只需要通过定义一个切面，就可以将日志打印代码和业务代码解耦，而不需要将日志打印代码添加至业务代码中。
SPEL表达式支持在运行时实时查询和操作对象，将目标访问控制策略注册到SPEL表达式上下文中，可以对目标访问控制策略进行实时调用。其中，目标访问控制策略是与应用需求相匹配的API访问控制策略，可以是任意自定义的API访问控制策略，本实施例对此不作具体限定。
由于注册到SPEL表达式上下文中的目标访问控制策略可以依据用户应用需求进行自定义，进而可以实现针对不同的用户执行不同的API访问控制策略，以此提升了API访问控制的细粒度和灵活性。
在拦截目标API访问请求之后，判断与目标API访问请求对应的目标方法中是否携带目标访问控制注解，若否，则调用与目标API访问请求对应的目标方法，若是，则在预先创建的与目标方法对应的目标AOP切面中，执行对目标API访问请求对应的访问权限状态的判定流程。
在执行对目标API访问请求对应的访问权限状态的判定流程时，首先获取注册到SPEL表达式上下文中的目标访问控制策略，然后根据目标访问控制策略对目标访问控制注解的参数进行解析，并根据解析结果判定目标API访问请求对应的访问权限状态是允许访问还是不允许访问。
关于API访问控制，可以包括多层面的访问控制，例如可以是频率层面的访问控制，还可以是权限层面的访问控制，等等。
示例性的，目标访问控制注解包括目标访问频率控制注解和/或目标访问权限控制注解。
其中，目标访问频率控制注解用于实现频率层面的访问控制，作用域可以定义在方法上，可以命名为@RequestLimit，其参数可以包括频率限制的唯一键、频率限制的时间窗口以及频率限制值，等等；目标访问权限控制注解用于实现权限层面的访问控制，作用域可以定义在属性上，可以命名为@DataPermission，其参数可以包括与用户或者租户对应的权限编码。
S130、根据判定得到的访问权限状态，进行API访问控制。
根据判定得到的访问权限状态，也就是根据得到的是否允许访问的结果实现API的访问控制。当访问权限状态为允许访问时，则调用目标方法来响应目标API访问请求；当访问权限状态为不允许访问时，则不对目标API访问请求进行响应，也可以返回相应的错误码。
作为一种可选的实施方式，根据判定得到的所述访问权限状态，进行API访问控制，可以包括：
如果与目标API访问请求对应的访问权限状态为允许访问，则利用反射机制反射调用目标方法。
通过反射机制反射调用目标方法，实现对目标API访问请求的响应，以此实现了将目标API访问请求的访问权限状态判断方法与目标方法进行隔离，降低目标API访问请求的访问权限状态判断方法与目标方法的耦合度。
本发明实施例提供的技术方案，当拦截到目标API访问请求时，通过在预先创建的与目标API访问请求对应的目标方法所对应的目标AOP切面中，基于该目标方法携带的目标访问控制注解以及注册到SPEL表达式上下文中的与应用需求匹配的目标访问控制策略，来判定与所述目标API访问请求对应的访问权限状态，克服了现有技术中存在的API访问控制时通常采用一刀切方式的缺陷，提高了API访问控制的细粒度及灵活性。
实施例二
图2是本发明实施例二提供的另一种API访问控制方法的流程图。本实施例在上述实施例的基础上进行具体化，其中，目标访问控制注解包括目标访问频率控制注解。
进一步的，基于目标访问控制注解以及注册到SPEL表达式上下文中的目标访问控制策略判定与目标API访问请求对应的访问权限状态，可以具体为：
基于目标访问频率控制注解的参数以及注册到SPEL表达式上下文中的目标访问控制策略，确定与目标API访问请求对应的访问次数阈值；
确定频率限制时间窗口内与目标API访问请求对应的实时已访问次数；
根据访问次数阈值以及所述实时已访问次数，判定与目标API访问请求对应的访问权限状态。
如图2所示，本实施例提供的一种API访问控制方法，具体包括：
S210、拦截目标API访问请求。
S220、判断与目标API访问请求对应的目标方法是否携带目标访问频率控制注解，若是，则执行S230，若否，则执行S240。目标访问频率控制注解，指的是预先编译的用于进行API访问频率控制的注解，与目标AOP切面配合使用，用于实现频率层面的访问控制。
可选的，目标访问频率控制注解的参数包括频率限制唯一键、频率限制时间窗口以及频率限制值，频率限制唯一键和频率限制值以表达式形式存在。
其中，频率限制唯一键指的是与目标访问控制策略匹配的用户进行API访问控制的唯一键，例如可以是客户端访问IP地址，还可以是系统登录用户ID；频率限制时间窗口指的是与目标访问控制策略匹配的访问频率限制时间窗口范围，例如可以是1小时等；频率限制值指的是在对应的频率限制时间窗口内允许的API访问次数阈值。
可选的，为了实现API访问控制的细粒化，频率限制唯一键和频率限制值可以由基于SPEL表达式上下文中的目标访问控制策略动态计算确定。
根据实际应用需求，对目标访问频率控制注解的参数“频率限制唯一键、频率限制时间窗口以及频率限制值”以及注册到SPEL表达式上下文中的目标访问控制策略进行设置，能够实现API访问频率控制的多样化，使不同用户的API访问控制频率的上限不同，以此提升了API访问控制的细粒度和灵活性。
S230、如果与目标API访问请求对应的目标方法携带目标访问频率控制注解，则在预先创建的与目标方法对应的目标AOP切面中执行判定与目标API访问请求对应的访问权限状态的方法。
其中，S230中“判定与目标API访问请求对应的访问权限状态的方法”可以具体包括如下S231-S234操作：
S231、基于目标访问频率控制注解的参数以及注册到SPEL表达式上下文中的目标访问控制策略，确定与目标API访问请求对应的访问次数阈值。
访问次数阈值，指的是与目标API访问请求对应的最大允许访问次数，可以根据注册到SPEL表达式上下文中的目标访问控制策略，动态计算目标访问频率控制注解的参数“频率限制值”得到。
作为一种可选的实施方式，注册到SPEL表达式上下文中的目标访问控制策略包括：计算与目标API访问请求对应的频率限制唯一键的策略方法。
基于注册到SPEL表达式上下文中的计算与目标API访问请求对应的频率限制唯一键的策略方法，计算得到目标访问频率控制注解的频率限制唯一键的参数值。
示例性的，在根据客户端访问IP地址进行频率限制时，计算与目标API访问请求对应的频率限制唯一键的策略方法，可以包括：根据目标API访问请求的访问地址计算频率限制唯一键。
目标访问频率控制注解的频率限制唯一键可以是客户端IP地址的表达式，进而基于注册到SPEL表达式上下文中的计算与目标API访问请求对应的频率限制唯一键的策略方法，可以是：根据客户端http请求，确定客户端请求的IP地址，并将计算得到的IP地址作为频率限制唯一键的参数值。
示例性的，在根据客户端登录用户ID进行频率控制时，计算与目标API访问请求对应的频率限制唯一键的策略方法，可以包括：根据目标API访问请求的系统登录用户身份标识计算频率限制唯一键。
目标访问频率控制注解的频率限制唯一键可以是客户端登录用户ID的表达式，进而基于注册到SPEL表达式上下文中的计算与目标API访问请求对应的频率限制唯一键的策略方法，可以是：根据客户端http请求，确定客户端登录用户ID，并将计算得到的客户端登录用户ID作为频率限制唯一键的参数值。
预先为不同的客户端IP地址或客户端登录用户ID配置不同的频率限制值，即可实现为不同用户配置不同的API频率访问控制策略。例如，预设多个频率限制值，分别对应于不同的IP地址段或者登录用户ID范围。
作为一种可选的实施方式，注册到SPEL表达式上下文中的目标访问控制策略还包括：计算与目标API访问请求对应的频率限制值的策略方法。
基于注册到SPEL表达式上下文中的计算与目标API访问请求对应的频率限制值的策略方法，计算得到目标访问频率控制注解的频率限制值的参数值。
例如，计算与目标API访问请求对应的频率限制值的策略方法可以是基于预设的频率限制值计算函数来计算与目标API访问请求对应的频率限制值。
示例性的，在根据客户端访问IP地址进行频率限制时，计算与目标API访问请求对应的频率限制值的策略方法，可以包括：根据目标API访问请求的访问地址计算频率限制值。
假设目标访问频率控制注解的频率限制值的表达式为value，进而基于注册到SPEL表达式上下文中的计算与目标API访问请求对应的频率限制值的策略方法，可以是：使用根据客户端http请求确定的客户端请求的IP地址，计算与IP地址对应的频率限制值计算函数，以此确定出频率限制值value的值。
示例性的，在根据客户端登录用户ID进行频率限制时，计算与目标API访问请求对应的频率限制值的策略方法，可以包括：根据目标API访问请求的系统登录用户身份标识计算频率限制值。
假设目标访问频率控制注解的频率限制值的表达式为value，进而基于注册到SPEL表达式上下文中的计算与目标API访问请求对应的频率限制值的策略方法，可以是：使用根据客户端http请求确定的客户端登录用户ID，计算与客户端登录用户ID对应的频率限制值计算函数，以此确定出频率限制值value的值。
鉴于注册到SPEL表达式上下文中的频率限制值计算函数可以根据实际应用需求情况进行预设，进而可以实现为不同用户配置不同的API频率访问控制策略，以此提高了API频率访问控制的细粒度和灵活性。
S232、确定频率限制时间窗口内与目标API访问请求对应的实时已访问次数。
与目标API访问请求对应的已访问次数，指的是针对目标API已发起的访问请求的次数；相应的，频率限制时间窗口内与目标API访问请求对应的已访问次数，指的是在频率限制时间窗口内针对目标API已发起的访问请求的次数。
实时统计在频率限制时间窗口内针对目标API已发起的访问请求的次数，对记录的已访问次数进行实时更新，并在频率限制时间窗口的结束时刻对频率限制时间窗口内的实时已访问次数进行清零。
频率限制时间窗口，可以是一个小时、两个小时等，本实施例对此不作具体限定。
S233、根据访问次数阈值以及实时已访问次数，判定与目标API访问请求对应的访问权限状态。
根据目标API访问请求对应的访问次数阈值以及实时已访问次数，将两者进行比较，判定与目标API访问请求对应的访问权限状态，以此实现API访问频率控制。
若实时已访问次数小于访问次数阈值，则判断与目标API访问请求对应的访问权限状态为允许访问；若实时已访问次数大于等于访问次数阈值，则判断与目标API访问请求对应的访问权限状态为不允许访问。
S234、如果与目标API访问请求对应的访问权限状态为允许访问，则利用反射机制反射调用目标方法。
当访问权限状态为不允许访问时，则不对目标API访问请求进行响应，同时还可以返回相应的错误码。
作为一种可选的实施方式，目标访问频率控制注解的参数还包括：反馈信息。其中，反馈信息用于当与目标API访问请求对应的访问权限状态为不允许访问时，反馈匹配的状态码，如403状态码。
基于目标访问频率控制注解的参数“频率限制唯一键、频率限制时间窗口以及频率限制值”以及注册到SPEL表达式上下文中的目标访问控制策略，判定与目标API访问请求对应的访问权限状态，进而确定目标访问频率控制注解的参数“反馈信息”的值，例如可以是“true”或“false”。
当目标访问频率控制注解的参数“反馈信息”的值为“true”时，则利用反射机制反射调用目标方法；当目标访问频率控制注解的参数“反馈信息”的值为“false”时，对目标API访问请求进行拒绝，对客户端返回403状态码。
需要注意的是，步骤S231-S234均是在预先创建的与目标方法对应的目标AOP切面中执行的。
S240、响应目标API访问请求。
与目标API访问请求对应的目标方法未携带目标访问频率控制注解时，无需对目标API访问请求的访问权限进行判断，直接调用与目标API访问请求对应的方法进行响应即可。
本实施例未尽详细解释之处请参见前述实施例，在此不再赘述。
上述技术方案，在进行API访问频率控制时，可以根据用户不同、IP地址不同等实现不同的访问频率控制，例如允许高价值客户占用更多的后端系统资源，价值不高的客户占用较少的后端系统资源，以增加后端系统资源的分配合理性，提高用户体验。
实施例三
图3是本发明实施例三提供的一种API访问控制方法的流程图。本实施例在上述实施例的基础上进行具体化，其中，目标访问控制注解包括目标访问权限控制注解。
进一步的，基于目标访问控制注解以及注册到SPEL表达式上下文中的目标访问控制策略判定与目标API访问请求对应的访问权限状态，可以具体为：
基于目标访问权限控制注解的参数以及注册到SPEL表达式上下文中的目标访问控制策略，确定与目标API访问请求对应的第一目标业务数据范围；
确定与目标方法对应的第二目标业务数据范围；
根据第一目标业务数据范围和第二目标业务数据范围，判定与目标API访问请求对应的访问权限状态。
如图3所示，本实施例提供的一种API访问控制方法，具体包括：
S310、拦截目标API访问请求。
S320、判断与目标API访问请求对应的目标方法是否携带目标访问权限控制注解，若是，则执行S330，若否，则执行S340。
目标访问权限控制注解，指的是预先编译的用于进行API访问权限控制的注解，与目标AOP切面配合使用，用于实现权限层面的访问控制。
可选的，目标访问权限控制注解的参数包括：权限编码。
权限编码，指的是数据库后台或者系统中预设的与用户访问权限对应的编码。
其中，所述权限编码与预设用户信息相关，预设用户信息指的是用户的属性信息，例如可以是用户的客户端IP信息等等，本实施例对此不作具体限定。相应的，注册到SPEL表达式上下文中的目标访问控制策略是与预设用户信息相关的。
S330、如果与目标API访问请求对应的目标方法携带目标访问权限控制注解，则在预先创建的与目标方法对应的目标AOP切面中执行判定与目标API访问请求对应的访问权限状态的方法。
其中，S330中“判定与目标API访问请求对应的访问权限状态的方法”可以具体包括如下S331-S334操作：
S331、基于目标访问权限控制注解的参数以及注册到SPEL表达式上下文中的目标访问控制策略，确定与目标API访问请求对应的第一目标业务数据范围。
其中，第一目标业务数据范围，指的是允许发起目标API访问请求的客户端或者用户访问的业务数据范围。
可选的，预设用户信息包括租户信息，目标访问权限控制注解的参数“权限编码”与租户信息相关；
对应的，注册到SPEL表达式上下文中的目标访问控制策略可以包括：根据租户信息查找与目标API访问请求关联的业务数据的策略方法。
在数据库后台预先定义与各个租户对应的权限编码，将权限编码与资源进行关联，例如是将权限编码与各个业务逻辑存储的业务数据的主键进行关联。
在根据租户的权限编码进行权限控制时，根据租户信息查找与目标API访问请求关联的业务数据的策略方法，具体可以是：根据客户端http请求，确定客户端的租户信息，并确定与租户信息对应的权限编码，进行查询与权限编码关联的业务数据，如查找与权限编码对应的业务数据的主键，以此确定与目标API访问请求对应的第一目标业务数据范围。
S332、基于目标方法确定与目标API访问请求对应的第二目标业务数据范围。
其中，第二目标业务数据范围，指的是与目标API访问请求对应的目标方法响应目标API访问请求时所涉及的业务数据范围。
S333、根据第一目标业务数据范围和第二目标业务数据范围，判定与目标API访问请求对应的访问权限状态。
根据确定的第一目标业务数据范围和第二目标业务数据范围，判定与目标API访问请求对应的访问权限状态。将第一目标业务数据范围和第二目标业务数据范围进行比较，确定二者是否存在交集，若是则判断与目标API访问请求对应的访问权限状态为允许访问，若否，则判断与目标API访问请求对应的访问权限状态为不允许访问。
举个简单的例子，假设某API为机构详情查询API，用于根据机构ID查询机构详情。若注册到SPEL表达式上下文中的目标访问控制策略为根据租户信息查找与目标API访问请求关联的业务数据的策略方法，用户A的租户信息为机构A，与机构A关系的业务数据为机构A的详情数据。进而，用户A发起的指向机构详情查询API的目标API访问请求对应的第一目标业务数据范围，也即允许用户A访问的业务数据范围为机构A的详情数据。
若用户A发起的指向机构详情查询API的目标API访问请求旨在查询机构A的详情数据，则第二目标业务数据范围也为机构A的详情数据，此时第一目标业务数据范围和第二目标业务数据范围存在交集，与目标API访问请求对应的访问权限状态为允许访问。
若用户A发起的指向机构详情查询API的目标API访问请求旨在查询机构B的详情数据，则第二目标业务数据范围也为机构B的详情数据，此时第一目标业务数据范围和第二目标业务数据范围不存在交集，与目标API访问请求对应的访问权限状态为不允许访问。
S334、如果与目标API访问请求对应的访问权限状态为允许访问，则利用反射机制反射调用所述目标方法。
当访问权限状态为不允许访问时，则不对目标API访问请求进行响应，同时还可以返回相应的错误码。
作为一种可选的实施方式，目标访问权限控制注解的参数还包括：反馈信息。其中，反馈信息用于当与目标API访问请求对应的访问权限状态为不允许访问时，反馈匹配的状态码，如403状态码。
基于目标访问权限控制注解的参数“权限编码”以及注册到SPEL表达式上下文中的目标访问控制策略，判定与目标API访问请求对应的访问权限状态，进而确定目标访问权限控制注解的参数“反馈信息”的值，例如可以是“true”或“false”。
当目标访问频率控制注解的参数“反馈信息”的值为“true”时，则利用反射机制反射调用目标方法；当目标访问频率控制注解的参数“反馈信息”的值为“false”时，对目标API访问请求进行拒绝，对客户端返回403状态码。
需要注意的是，S331-S334均是在预先创建的与目标方法对应的目标AOP切面中执行的。
S340、响应目标API访问请求。
与目标API访问请求对应的目标方法未携带目标访问权限控制注解时，无需对目标API访问请求的访问权限进行判断，直接调用与目标API访问请求对应的方法进行响应即可。
本实施例未尽详细解释之处请参见前述实施例，在此不再赘述。
上述技术方案中，实现了数据层面的权限控制，用户只能访问属于此用户的业务数据，不能访问其他用户的业务数据，从而实现用户数据层面的安全隔离，更好的保护了用户业务数据的隐私性，增强用户体验感；而且将租户信息与业务数据进行解耦，解耦了后端数据库查询与数据库存储层之间的耦合，使业务数据及业务后端代码与租户信息或其他预设用户信息进行区分，如将租户数据权限表与业务存储表之间进行解耦，有效减少了服务端数据库层操作的复杂性。
在上述技术方案的基础上，目标访问控制注解还可以同时包括：目标访问频率控制注解和目标访问权限控制注解，也即拦截目标API访问请求之后，判断与目标API访问请求对应的目标方法是否携带目标访问频率控制注解或目标访问权限控制注解。
若目标方法携带目标访问频率控制注解，则在预先创建的与目标方法对应的目标AOP切面中基于目标访问频率控制注解以及注册到SPEL表达式上下文中的目标访问控制策略判定与目标API访问请求对应的第一访问权限状态；若目标方法携带目标访问权限控制注解，则在预先创建的与目标方法对应的目标AOP切面中基于目标访问权限控制注解以及注册到SPEL表达式上下文中的目标访问控制策略判定与目标API访问请求对应的第二访问权限状态；并根据第一访问权限状态以及第二访问权限状态，综合确定与目标API访问请求对应的目标访问权限状态，且只有第一访问权限状态以及第二访问权限状态均为允许访问时，与目标API访问请求对应的目标访问权限状态才为允许访问。
需要指出的是，若与目标API访问请求对应的目标方法只携带目标访问频率控制注解时，第二访问权限状态默认为允许访问，若与目标API访问请求对应的目标方法只携带目标访问权限控制注解时，第一访问权限状态默认为允许访问。
实施例四
图4是本发明实施例四提供的一种API访问控制装置的结构示意图，可适用于对API访问进行细粒度控制的情况，该装置可采用软件和/或硬件的方式实现，并一般可集成在计算机设备中。
如图4所示，该API访问控制装置具体包括：访问请求拦截模块410、访问权限状态判断模块420和访问控制模块430。其中，
访问请求拦截模块410，设置为拦截目标API访问请求；
访问权限状态判断模块420，设置为如果与所述目标API访问请求对应的目标方法携带目标访问控制注解，则在预先创建的与所述目标方法对应的目标AOP切面中，基于所述目标访问控制注解以及注册到SPEL表达式上下文中的目标访问控制策略判定与所述目标API访问请求对应的访问权限状态；
访问控制模块430，设置为根据判定得到的所述访问权限状态，进行API访问控制。
本发明实施例提供的一种API访问控制装置，可以解决现有技术中在API访问控制时通常采用一刀切方式的缺陷，提高了API访问控制的细粒度，实现API访问控制的灵活性。
可选的，所述目标访问控制注解包括：目标访问频率控制注解和/或目标访问权限控制注解。
可选的，所述目标访问控制注解包括目标访问频率控制注解时，所述目标访问频率控制注解的参数包括：
频率限制唯一键、频率限制时间窗口以及频率限制值；
其中，所述频率限制唯一键和所述频率限制值以表达式形式存在。
可选的，所述注册到SPEL表达式上下文中的目标访问控制策略包括：计算与所述目标API访问请求对应的所述频率限制唯一键的策略方法。
可选的，计算与所述目标API访问请求对应的所述频率限制唯一键的策略方法，至少包括：
根据所述目标API访问请求的访问地址计算所述频率限制唯一键；或者，
根据所述目标API访问请求的系统登录用户身份标识计算所述频率限制唯一键。
可选的，所述注册到SPEL表达式上下文中的目标访问控制策略还包括：计算与所述目标API访问请求对应的所述频率限制值的策略方法。
可选的，计算与所述目标API访问请求对应的所述频率限制值的策略方法，至少包括：
根据所述目标API访问请求的访问地址计算所述频率限制值；或者，
根据所述目标API访问请求的系统登录用户身份标识计算所述频率限制值。
可选的，当所述目标访问控制注解包括目标访问频率控制注解时，访问权限状态判断模块420，具体设置为：在预先创建的与所述目标方法对应的目标AOP切面中，基于所述目标访问频率控制注解的参数以及注册到SPEL表达式上下文中的目标访问控制策略，确定与所述目标API访问请求对应的访问次数阈值；确定所述频率限制时间窗口内与所述目标API访问请求对应的实时已访问次数；根据所述访问次数阈值以及所述实时已访问次数，判定与所述目标API访问请求对应的访问权限状态。
可选的，当所述目标访问控制注解包括目标访问权限控制注解时，所述目标访问权限控制注解的参数包括：权限编码；其中，所述权限编码与预设用户信息相关。
可选的，所述预设用户信息包括租户信息；对应的，
所述注册到SPEL表达式上下文中的目标访问控制策略包括：根据租户信息查找与所述目标API访问请求关联的业务数据的策略方法。
可选的，当所述目标访问控制注解包括目标访问权限控制注解时，访问权限状态判断模块420，具体设置为：在预先创建的与所述目标方法对应的目标AOP切面中，基于所述目标访问权限控制注解的参数以及注册到SPEL表达式上下文中的目标访问控制策略，确定与所述目标API访问请求对应的第一目标业务数据范围；基于所述目标方法确定与所述目标API访问请求对应的第二目标业务数据范围；根据所述第一目标业务数据范围和所述第二目标业务数据范围，判定与所述目标API访问请求对应的访问权限状态。
可选的，访问控制模块430，具体配置为：如果与所述目标API访问请求对应的访问权限状态为允许访问，则利用反射机制反射调用所述目标方法。
可选的，所述目标访问频率控制注解和/或所述目标访问权限控制注解的参数还包括：反馈信息；
其中，所述反馈信息用于当与所述目标API访问请求对应的访问权限状态为不允许访问时，反馈匹配的状态码。
上述API访问控制装置可执行本发明任意实施例所提供的API访问控制方法，具备执行API访问控制方法相应的功能模块和有益效果。
实施例五
图5为本发明实施例五提供的一种计算机设备的硬件结构示意图。图5示出了适于用来实现本发明实施方式的示例性计算机设备12的框图。图5显示的计算机设备12仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。
如图5所示，计算机设备12以通用计算设备的形式表现。计算机设备12的组件可以包括但不限于：一个或者多个处理器或者处理单元16，系统存储器28，连接不同系统组件(包括系统存储器28和处理单元16)的总线18。
总线18表示几类总线结构中的一种或多种，包括存储器总线或者存储器控制器，外围总线，图形加速端口，处理器或者使用多种总线结构中的任意总线结构的局域总线。举例来说，这些体系结构包括但不限于工业标准体系结构(ISA)总线，微通道体系结构(MAC)总线，增强型ISA总线、视频电子标准协会(VESA)局域总线以及外围组件互连(PCI)总线。
计算机设备12典型地包括多种计算机系统可读介质。这些介质可以是任何能够被计算机设备12访问的可用介质，包括易失性和非易失性介质，可移动的和不可移动的介质。
系统存储器28可以包括易失性存储器形式的计算机系统可读介质，例如随机存取存储器(RAM)30和/或高速缓存存储器32。计算机设备12可以进一步包括其它可移动/不可移动的、易失性/非易失性计算机系统存储介质。仅作为举例，存储系统34可以用于读写不可移动的、非易失性磁介质(图5未显示，通常称为“硬盘驱动器”)。尽管图5中未示出，可以提供用于对可移动非易失性磁盘(例如“软盘”)读写的磁盘驱动器，以及对可移动非易失性光盘(例如CD-ROM，DVD-ROM或者其它光介质)读写的光盘驱动器。在这些情况下，每个驱动器可以通过一个或者多个数据介质接口与总线18相连。系统存储器28可以包括至少一个程序产品，该程序产品具有一组(例如至少一个)程序模块，这些程序模块被配置以执行本发明各实施例的功能。
具有一组(至少一个)程序模块42的程序/实用工具40，可以存储在例如系统存储器28中，这样的程序模块42包括但不限于操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。程序模块42通常执行本发明所描述的实施例中的功能和/或方法。
计算机设备12也可以与一个或多个外部设备14(例如键盘、指向设备、显示器24等)通信，还可与一个或者多个使得用户能与该计算机设备12交互的设备通信，和/或与使得该计算机设备12能与一个或多个其它计算设备进行通信的任何设备(例如网卡，调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口22进行。并且，计算机设备12还可以通过网络适配器20与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。如图所示，网络适配器20通过总线18与计算机设备12的其它模块通信。应当明白，尽管图5中未示出，可以结合计算机设备12使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。
处理单元16通过运行存储在系统存储器28中的程序，从而执行各种功能应用以及数据处理，例如实现本发明实施例所提供的一种API访问控制方法。也即，所述处理单元执行所述程序时实现：
拦截目标API访问请求；如果与所述目标API访问请求对应的目标方法携带目标访问控制注解，则在预先创建的与所述目标方法对应的目标AOP切面中，基于所述目标访问控制注解以及注册到SPEL表达式上下文中的目标访问控制策略判定与所述目标API访问请求对应的访问权限状态；其中，所述目标访问控制策略是与应用需求匹配的；根据判定得到的所述访问权限状态，进行API访问控制。
实施例六
本发明实施例六提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如本申请所有发明实施例提供的一种API访问控制方法：也即，该程序被处理器执行时实现：
拦截目标API访问请求；如果与所述目标API访问请求对应的目标方法携带目标访问控制注解，则在预先创建的与所述目标方法对应的目标AOP切面中，基于所述目标访问控制注解以及注册到SPEL表达式上下文中的目标访问控制策略判定与所述目标API访问请求对应的访问权限状态；其中，所述目标访问控制策略是与应用需求匹配的；根据判定得到的所述访问权限状态，进行API访问控制。
可以采用一个或多个计算机可读的介质的任意组合。计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质。计算机可读存储介质例如可以是但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本文件中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。
计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。
计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、电线、光缆、RF等等，或者上述的任意合适的组合。
可以以一种或多种程序设计语言或其组合来编写用于执行本发明操作的计算机程序代码，所述程序设计语言包括面向对象的程序设计语言(诸如Java、Smalltalk、C++)，还包括常规的过程式程序设计语言(诸如“C”语言或类似的程序设计语言)。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络(包括局域网(LAN)或广域网(WAN))，连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。
注意，上述仅为本发明的较佳实施例及所运用技术原理。本领域技术人员会理解，本发明不限于这里所述的特定实施例，对本领域技术人员来说能够进行各种明显的变化、重新调整和替代而不会脱离本发明的保护范围。因此，虽然通过以上实施例对本发明进行了较为详细的说明，但是本发明不仅仅限于以上实施例，在不脱离本发明构思的情况下，还可以包括更多其他等效实施例，而本发明的范围由所附的权利要求范围决定。

Claims (16)

1.一种应用程序接口API访问控制方法，其特征在于，包括：
拦截目标API访问请求；
如果与所述目标API访问请求对应的目标方法携带目标访问控制注解，则在预先创建的与所述目标方法对应的目标面向切面编程AOP切面中，基于所述目标访问控制注解以及注册到Spring表达式语言SPEL表达式上下文中的目标访问控制策略判定与所述目标API访问请求对应的访问权限状态；其中，所述目标访问控制策略是与应用需求匹配的；
根据判定得到的所述访问权限状态，进行API访问控制。
2.根据权利要求1所述的方法，其特征在于，所述目标访问控制注解包括：目标访问频率控制注解和/或目标访问权限控制注解。
3.根据权利要求2所述的方法，其特征在于，当所述目标访问控制注解包括目标访问频率控制注解时，所述目标访问频率控制注解的参数包括：
频率限制唯一键、频率限制时间窗口以及频率限制值；
其中，所述频率限制唯一键和所述频率限制值以表达式形式存在。
4.根据权利要求3所述的方法，其特征在于，所述注册到SPEL表达式上下文中的目标访问控制策略包括：计算与所述目标API访问请求对应的所述频率限制唯一键的策略方法。
5.根据权利要求4所述的方法，其特征在于，计算与所述目标API访问请求对应的所述频率限制唯一键的策略方法，至少包括：
根据所述目标API访问请求的访问地址计算所述频率限制唯一键；或者，
根据所述目标API访问请求的系统登录用户身份标识计算所述频率限制唯一键。
6.根据权利要求4所述的方法，其特征在于，所述注册到SPEL表达式上下文中的目标访问控制策略还包括：计算与所述目标API访问请求对应的所述频率限制值的策略方法。
7.根据权利要求6所述的方法，其特征在于，计算与所述目标API访问请求对应的所述频率限制值的策略方法，至少包括：
根据所述目标API访问请求的访问地址计算所述频率限制值；或者，
根据所述目标API访问请求的系统登录用户身份标识计算所述频率限制值。
8.根据权利要求3-7任一项所述的方法，其特征在于，所述基于所述目标访问控制注解以及注册到SPEL表达式上下文中的目标访问控制策略判定与所述目标API访问请求对应的访问权限状态，包括：
基于所述目标访问频率控制注解的参数以及注册到SPEL表达式上下文中的目标访问控制策略，确定与所述目标API访问请求对应的访问次数阈值；
确定所述频率限制时间窗口内与所述目标API访问请求对应的实时已访问次数；
根据所述访问次数阈值以及所述实时已访问次数，判定与所述目标API访问请求对应的访问权限状态。
9.根据权利要求2所述的方法，其特征在于，当所述目标访问控制注解包括目标访问权限控制注解时，所述目标访问权限控制注解的参数包括：权限编码；其中，所述权限编码与预设用户信息相关。
10.根据权利要求9所述的方法，其特征在于，所述预设用户信息包括租户信息；
所述注册到SPEL表达式上下文中的目标访问控制策略包括：根据租户信息查找与所述目标API访问请求关联的业务数据的策略方法。
11.根据权利要求9或10所述的方法，其特征在于，所述基于所述目标访问控制注解以及注册到SPEL表达式上下文中的目标访问控制策略判定与所述目标API访问请求对应的访问权限状态，包括：
基于所述目标访问权限控制注解的参数以及注册到SPEL表达式上下文中的目标访问控制策略，确定与所述目标API访问请求对应的第一目标业务数据范围；
基于所述目标方法确定与所述目标API访问请求对应的第二目标业务数据范围；
根据所述第一目标业务数据范围和所述第二目标业务数据范围，判定与所述目标API访问请求对应的访问权限状态。
12.根据权利要求1所述的方法，其特征在于，根据判定得到的所述访问权限状态，进行API访问控制，包括：
如果与所述目标API访问请求对应的访问权限状态为允许访问，则利用反射机制反射调用所述目标方法。
13.根据权利要求2所述的方法，其特征在于，所述目标访问频率控制注解和/或所述目标访问权限控制注解的参数还包括：反馈信息；
其中，所述反馈信息用于当与所述目标API访问请求对应的访问权限状态为不允许访问时，反馈匹配的状态码。
14.一种API访问控制装置，其特征在于，包括：
访问请求拦截模块，设置为拦截目标API访问请求；
访问权限状态判断模块，设置为如果与所述目标API访问请求对应的目标方法携带目标访问控制注解，则在预先创建的与所述目标方法对应的目标AOP切面中，基于所述目标访问控制注解以及注册到SPEL表达式上下文中的目标访问控制策略判定与所述目标API访问请求对应的访问权限状态；
访问控制模块，设置为根据判定得到的所述访问权限状态，进行API访问控制。
15.一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1-13中任一所述的方法。
16.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1-13中任一所述的方法。
CN202010889841.8A 2020-08-28 2020-08-28 Api访问控制方法、装置、设备及介质 Active CN112035858B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202010889841.8A CN112035858B (zh) 2020-08-28 2020-08-28 Api访问控制方法、装置、设备及介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010889841.8A CN112035858B (zh) 2020-08-28 2020-08-28 Api访问控制方法、装置、设备及介质

Publications (2)

Publication Number Publication Date
CN112035858A true CN112035858A (zh) 2020-12-04
CN112035858B CN112035858B (zh) 2023-06-20

Family

ID=73587124

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010889841.8A Active CN112035858B (zh) 2020-08-28 2020-08-28 Api访问控制方法、装置、设备及介质

Country Status (1)

Country Link
CN (1) CN112035858B (zh)

Cited By (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112528656A (zh) * 2020-12-23 2021-03-19 安徽航天信息有限公司 基于条件分词的权限控制方法、装置、系统及存储介质
CN112926049A (zh) * 2021-03-25 2021-06-08 支付宝(杭州)信息技术有限公司 一种信息的风险防控方法、装置及设备
CN113377350A (zh) * 2021-06-29 2021-09-10 中国平安财产保险股份有限公司 访问请求处理方法、装置、设备及可读存储介质
CN113420312A (zh) * 2021-07-08 2021-09-21 山东云缦智能科技有限公司 一种动态控制api接口访问的方法
CN113434582A (zh) * 2021-06-24 2021-09-24 平安国际智慧城市科技股份有限公司 业务数据处理方法、装置、计算机设备和存储介质
CN113449323A (zh) * 2021-07-17 2021-09-28 绿漫科技有限公司 一种结合权限控制的数据隔离系统
CN114676686A (zh) * 2022-05-30 2022-06-28 恒生电子股份有限公司 数据字典处理方法、翻译方法及相关装置
CN114723532A (zh) * 2022-04-12 2022-07-08 广州有信科技有限公司 订单操作的限制方法、装置、设备及存储介质
CN116560764A (zh) * 2023-07-12 2023-08-08 深圳市华曦达科技股份有限公司 应用程序接口控制方法和装置
WO2023170635A3 (en) * 2022-03-10 2023-10-19 Orca Security LTD. System and methods for a machine-learning adaptive permission reduction engine
CN117828672A (zh) * 2024-03-05 2024-04-05 中国科学院信息工程研究所 细粒度动态授权的访问控制与高并发处理方法及装置

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110175464A (zh) * 2019-06-05 2019-08-27 中国民用航空总局第二研究所 数据访问控制方法、装置、存储介质及电子设备
CN110489310A (zh) * 2018-09-25 2019-11-22 北京数聚鑫云信息技术有限公司 一种记录用户操作的方法、装置、存储介质及计算机设备
US20200042316A1 (en) * 2018-07-31 2020-02-06 Dell Products L.P. Generating unified and dynamically updatable application programming interface documentation from different sources
CN111212031A (zh) * 2019-12-12 2020-05-29 北京淇瑀信息科技有限公司 一种接口访问频率的控制方法、装置、电子设备和存储介质
CN111444500A (zh) * 2020-03-02 2020-07-24 深圳壹账通智能科技有限公司 鉴权方法、装置、设备及可读存储介质

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20200042316A1 (en) * 2018-07-31 2020-02-06 Dell Products L.P. Generating unified and dynamically updatable application programming interface documentation from different sources
CN110489310A (zh) * 2018-09-25 2019-11-22 北京数聚鑫云信息技术有限公司 一种记录用户操作的方法、装置、存储介质及计算机设备
CN110175464A (zh) * 2019-06-05 2019-08-27 中国民用航空总局第二研究所 数据访问控制方法、装置、存储介质及电子设备
CN111212031A (zh) * 2019-12-12 2020-05-29 北京淇瑀信息科技有限公司 一种接口访问频率的控制方法、装置、电子设备和存储介质
CN111444500A (zh) * 2020-03-02 2020-07-24 深圳壹账通智能科技有限公司 鉴权方法、装置、设备及可读存储介质

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
PENG_KANG: ""Spring Boot 自定义注解实现Api接口访问次数限制"", Retrieved from the Internet <URL:《http://events.jianshu.io/p/af71c98f7cc5》> *
俞大仙: ""Spring Boot 通过AOP和自定义注解实现权限控制"", Retrieved from the Internet <URL:《https://www.jianshu.com/p/8447e73c0c08》> *

Cited By (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112528656A (zh) * 2020-12-23 2021-03-19 安徽航天信息有限公司 基于条件分词的权限控制方法、装置、系统及存储介质
CN112926049A (zh) * 2021-03-25 2021-06-08 支付宝(杭州)信息技术有限公司 一种信息的风险防控方法、装置及设备
CN113434582A (zh) * 2021-06-24 2021-09-24 平安国际智慧城市科技股份有限公司 业务数据处理方法、装置、计算机设备和存储介质
CN113377350A (zh) * 2021-06-29 2021-09-10 中国平安财产保险股份有限公司 访问请求处理方法、装置、设备及可读存储介质
CN113420312B (zh) * 2021-07-08 2022-04-26 山东浪潮超高清视频产业有限公司 一种动态控制api接口访问的方法
CN113420312A (zh) * 2021-07-08 2021-09-21 山东云缦智能科技有限公司 一种动态控制api接口访问的方法
CN113449323A (zh) * 2021-07-17 2021-09-28 绿漫科技有限公司 一种结合权限控制的数据隔离系统
WO2023170635A3 (en) * 2022-03-10 2023-10-19 Orca Security LTD. System and methods for a machine-learning adaptive permission reduction engine
CN114723532A (zh) * 2022-04-12 2022-07-08 广州有信科技有限公司 订单操作的限制方法、装置、设备及存储介质
CN114676686A (zh) * 2022-05-30 2022-06-28 恒生电子股份有限公司 数据字典处理方法、翻译方法及相关装置
CN116560764A (zh) * 2023-07-12 2023-08-08 深圳市华曦达科技股份有限公司 应用程序接口控制方法和装置
CN116560764B (zh) * 2023-07-12 2023-12-22 深圳市华曦达科技股份有限公司 应用程序接口控制方法和装置
CN117828672A (zh) * 2024-03-05 2024-04-05 中国科学院信息工程研究所 细粒度动态授权的访问控制与高并发处理方法及装置
CN117828672B (zh) * 2024-03-05 2024-05-28 中国科学院信息工程研究所 细粒度动态授权的访问控制与高并发处理方法及装置

Also Published As

Publication number Publication date
CN112035858B (zh) 2023-06-20

Similar Documents

Publication Publication Date Title
CN112035858B (zh) Api访问控制方法、装置、设备及介质
US10778693B2 (en) Network-based real-time distributed data compliance broker
US11558388B2 (en) Provisional computing resource policy evaluation
US8572023B2 (en) Data services framework workflow processing
US20110238709A1 (en) Extending database tables in a multi-tenant environment
US9742808B2 (en) Data access policies
US8745088B2 (en) System and method of performing risk analysis using a portal
JP6291043B2 (ja) ポリシー強制遅延
CN111680313B (zh) 一种数据处理方法、装置、设备及存储介质
CN113254969B (zh) 业务数据处理方法、装置、电子设备及存储介质
CN111787030B (zh) 网络安全巡检方法、装置、设备及存储介质
CN113761552A (zh) 一种访问控制方法、装置、系统、服务器和存储介质
US9037609B1 (en) Method for determining access of queries
CN112579632A (zh) 一种数据核验方法、装置、设备和介质
US11023479B2 (en) Managing asynchronous analytics operation based on communication exchange
US11860679B2 (en) Detecting security vulnerabilities in queries via an information flow graph
EP4354313A1 (en) Data storage method, apparatus and system, storage medium, and program product
CN115576978A (zh) 一种业务处理请求的响应方法、装置、系统及介质
CN114817990A (zh) 对敏感数据的管理方法、装置、电子设备及存储介质
US20220239733A1 (en) Scalable request authorization
US11204717B2 (en) Object storage system with access control quota status check
US20240137387A1 (en) Identifying personalized or altered webpage content using a browser extension tool
US20230066530A1 (en) Optimizing the response time of data profiling in interactive sessions
KR20130046890A (ko) 데이터베이스 보안 시스템 및 방법
US20230247019A1 (en) Context specific user chatbot

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
TA01 Transfer of patent application right

Effective date of registration: 20220916

Address after: 12 / F, 15 / F, 99 Yincheng Road, China (Shanghai) pilot Free Trade Zone, Pudong New Area, Shanghai, 200120

Applicant after: Jianxin Financial Science and Technology Co.,Ltd.

Address before: 25 Financial Street, Xicheng District, Beijing 100033

Applicant before: CHINA CONSTRUCTION BANK Corp.

Applicant before: Jianxin Financial Science and Technology Co.,Ltd.

TA01 Transfer of patent application right
GR01 Patent grant
GR01 Patent grant