CN112055024B - 权限校验方法及装置、存储介质和电子设备 - Google Patents

Abstract

本公开提供一种权限校验方法、权限校验装置、存储介质和电子设备，涉及网络安全技术领域。该权限校验方法包括：若接收到对业务系统的用户访问请求，将所述用户访问请求发送至鉴权系统的入口服务器，并通过所述入口服务器将所述用户访问请求转发至鉴权系统；对所述用户访问请求进行认证，并通过鉴权系统对所述用户访问请求对应的参数信息进行用户鉴权，以确定所述用户访问请求是否通过权限校验；若所述用户访问请求通过权限校验，将所述用户访问请求发送至业务服务，以执行所述业务服务对应的业务操作。本公开实施例能够提高鉴权效率和可靠性。

Description

权限校验方法及装置、存储介质和电子设备

技术领域

本公开涉及网络安全技术领域，具体而言，涉及一种权限校验方法、权限校验装置、计算机可读存储介质和电子设备。

背景技术

随着网络技术的发展，网络访问的安全问题是非常重要的。

相关技术中，采用网关鉴权的方式，所有访问请求先经过网关判断是否登录，是否有权限访问，业务系统无需关心登录和鉴权问题。

上述方式中，现有统一鉴权方式，需要维护一个免鉴权列表，当免鉴权访问请求比较多时，不方便维护，并且降低鉴权效率和鉴权性能。采用共享空间方式存储用户登录信息相对不是很安全，如果获取到公共空间的访问权限，就可以读取到用户的有效登录信息，为接入的业务系统带来风险，安全性较差。

发明内容

本公开提供一种权限校验方法、权限校验装置、计算机可读存储介质和电子设备，进而至少在一定程度上克服鉴权效率较低的问题。

根据本公开的一个方面，提供一种权限校验方法，包括：若接收到对业务系统的用户访问请求，将所述用户访问请求发送至鉴权系统的入口服务器，并通过所述入口服务器将所述用户访问请求转发至鉴权系统；对所述用户访问请求进行认证，并通过鉴权系统对所述用户访问请求对应的参数信息进行用户鉴权，以确定所述用户访问请求是否通过权限校验；若所述用户访问请求通过权限校验，将所述用户访问请求发送至业务服务，以执行所述业务服务对应的业务操作。

根据本公开的一个方面，提供一种权限校验装置，包括：请求发送模块，用于若接收到对业务系统的用户访问请求，将所述用户访问请求发送至鉴权系统的入口服务器，并通过所述入口服务器将所述用户访问请求转发至鉴权系统；用户鉴权模块，用于对所述用户访问请求进行认证，并通过鉴权系统对所述用户访问请求对应的参数信息进行用户鉴权，以确定所述用户访问请求是否通过权限校验；业务执行模块，用于若所述用户访问请求通过权限校验，将所述用户访问请求发送至业务服务，以执行所述业务服务对应的业务操作。

根据本公开的一个方面，提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现如上述任意一项所述的权限校验方法。

根据本公开的一个方面，提供一种电子设备，包括：处理器；以及存储器，用于存储所述处理器的可执行指令；其中，所述处理器配置为经由执行所述可执行指令来执行上述任意一项所述的权限校验方法。

在本公开的一些实施例所提供的权限校验方法、装置、计算机可读存储介质和电子设备中，一方面，将鉴权功能抽离出来形成一个独立的具有统一权限管理后台、统一权限校验认证以及提供权限相关信息查询接口的服务作为鉴权系统，系统内部管理后台通过接入鉴权系统表示的服务对接收到的用户访问请求实现用户鉴权，无需额外配置免校验权限列表，减少了维护成本，同时提高了鉴权效率和鉴权性能。另一方面，由于鉴权系统是独立出来的，直接通过鉴权系统和业务系统进行交互，对每次接收到的用户访问请求使用流量代理的方式进行权限校验，进而再对用户访问请求进行认证以及校验通过后才会将用户访问请求转发至业务服务，通过使得非法的用户访问请求不会到达业务服务，相对于相关技术而言，无需采用共享空间方式存储用户登录信息，从多个维度进行用户权限验证，因此提高了安全性和稳定性。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本公开。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。显而易见地，下面描述中的附图仅仅是本公开的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。在附图中：

图1示出了可以应用本公开实施例的权限校验方法的应用场景的示意图。

图2示出了适于用来实现本公开实施例的电子设备的结构示意图。

图3示出了本公开实施例中权限校验方法的流程示意图。

图4示出了本公开实施例中对用户访问请求的参数信息进行用户鉴权的流程示意图。

图5示出了本公开实施例中根据匹配结果确定用户访问请求是否通过权限校验的流程示意图。

图6示出了本公开实施例中鉴权的总体流程示意图。

图7示出了本公开实施例中鉴权的具体流程示意图。

图8示出了本公开实施例中多机房容灾的结构示意图。

图9示意性示出了本公开示例性实施例中权限校验装置的方框图。

具体实施方式

现在将参考附图更全面地描述示例实施方式。然而，示例实施方式能够以多种形式实施，且不应被理解为限于在此阐述的范例；相反，提供这些实施方式使得本公开将更加全面和完整，并将示例实施方式的构思全面地传达给本领域的技术人员。所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多实施方式中。在下面的描述中，提供许多具体细节从而给出对本公开的实施方式的充分理解。然而，本领域技术人员将意识到，可以实践本公开的技术方案而省略所述特定细节中的一个或更多，或者可以采用其它的方法、组元、装置、步骤等。在其它情况下，不详细示出或描述公知技术方案以避免喧宾夺主而使得本公开的各方面变得模糊。

此外，附图仅为本公开的示意性图解，并非一定是按比例绘制。图中相同的附图标记表示相同或类似的部分，因而将省略对它们的重复描述。附图中所示的一些方框图是功能实体，不一定必须与物理或逻辑上独立的实体相对应。可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。

附图中所示的流程图仅是示例性说明，不是必须包括所有的步骤。例如，有的步骤还可以分解，而有的步骤可以合并或部分合并，因此实际执行的顺序有可能根据实际情况改变。另外，下面所有的术语“第一”、“第二”仅是为了区分的目的，不应作为本公开内容的限制。

图1示出了可以应用本公开实施例的权限校验方法或权限校验装置的应用场景100的示意图。

该权限校验方法可以应用于用户访问场景中。参考图1中所示，具体可以应用于使用终端101，通过网络102对目标对象103的某一个业务系统进行访问的过程中。其中，终端101可以是各种类型的能够用于发送用户访问请求的客户端，例如可以为智能手机、平板电脑、台式计算机、车载设备、可穿戴设备等等。终端与目标对象之间的网络102可以是有线通信链路，例如可以通过串口连接线提供通信链路，也可以是无线通信链路，通过无线网络提供通信链路。目标对象103也可以为各种客户端或服务器，例如可以为与终端相同的客户端，也可以为某一个公司或者是结构内部的业务系统服务器等等。具体地，用户可以通过点击终端101上的某个应用程序或者是某个链接，发送用户访问请求至鉴权系统的入口服务器，进而可以通过入口服务器将其转发至鉴权系统，再通过鉴权系统对用户访问请求进行鉴权，鉴权通过后可以将用户访问请求转发至业务系统，以执行该业务系统对应的业务操作。

需要说明的是，本公开实施例所提供的权限校验方法可以完全由服务器来执行，也可以完全由终端来执行。相应地，权限校验装置可设置于终端或者是服务器中。

图2示出了适于用来实现本公开示例性实施方式的一种电子设备的示意图。需要说明的是，图2示出的电子设备仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。

本公开的电子设备至少包括处理器和存储器，存储器用于存储一个或多个程序，当一个或多个程序被处理器执行时，使得处理器可以实现本公开示例性实施方式的权限校验方法。

具体的，如图2所示，电子设备200可以包括：处理器210、内部存储器221、外部存储器接口222、通用串行总线(Universal Serial Bus，USB)接口230、充电管理模块240、电源管理模块241、电池242、天线1、天线2、移动通信模块250、无线通信模块260、音频模块270、扬声器271、受话器272、麦克风273、耳机接口274、传感器模块280、显示屏290、摄像模组291、指示器292、马达293、按键294以及用户标识模块(Subscriber IdentificationModule，SIM)卡接口295等。其中传感器模块280可以包括深度传感器2801、压力传感器2802、陀螺仪传感器2803、气压传感器2804、磁传感器2805、加速度传感器2806、距离传感器2807、接近光传感器2808、指纹传感器2809、温度传感器2810、触摸传感器2811、环境光传感器2812及骨传导传感器2813等。

可以理解的是，本申请实施例示意的结构并不构成对电子设备200的具体限定。在本申请另一些实施例中，电子设备200可以包括比图示更多或更少的部件，或者组合某些部件，或者拆分某些部件，或者不同的部件布置。图示的部件可以以硬件、软件或软件和硬件的组合实现。

处理器210可以包括一个或多个处理单元，例如：处理器210可以包括应用处理器(Application Processor，AP)、调制解调处理器、图形处理器(Graphics ProcessingUnit，GPU)、图像信号处理器(Image Signal Processor，ISP)、控制器、视频编解码器、数字信号处理器(Digital Signal Processor，DSP)、基带处理器和/或神经网络处理器(Neural-etwork Processing Unit，NPU)等。其中，不同的处理单元可以是独立的器件，也可以集成在一个或多个处理器中。另外，处理器210中还可以设置存储器，用于存储指令和数据。

USB接口230是符合USB标准规范的接口，具体可以是MiniUSB接口，MicroUSB接口，USBTypeC接口等。USB接口230可以用于连接充电器为电子设备200充电，也可以用于电子设备200与外围设备之间传输数据。也可以用于连接耳机，通过耳机播放音频。该接口还可以用于连接其他电子设备，例如AR设备等。

充电管理模块240用于从充电器接收充电输入。其中，充电器可以是无线充电器，也可以是有线充电器。电源管理模块241用于连接电池242、充电管理模块240与处理器210。电源管理模块241接收电池242和/或充电管理模块240的输入，为处理器210、内部存储器221、显示屏290、摄像模组291和无线通信模块260等供电。

电子设备200的无线通信功能可以通过天线1、天线2、移动通信模块250、无线通信模块260、调制解调处理器以及基带处理器等实现。

移动通信模块250可以提供应用在电子设备200上的包括2G/3G/4G/5G等无线通信的解决方案。

无线通信模块260可以提供应用在电子设备200上的包括无线局域网(WirelessLocal Area Networks，WLAN) (如无线保真(Wireless Fidelity，Wi-Fi)网络)、蓝牙(Bluetooth，BT)、全球导航卫星系统(Global Navigation Satellite System，GNSS)、调频(Frequency Modulation，FM)、近距离无线通信技术(Near Field Communication，NFC)、红外技术(Infrared，IR)等无线通信的解决方案。

电子设备200通过GPU、显示屏290及应用处理器等实现显示功能。GPU为权限校验的微处理器，连接显示屏290和应用处理器。GPU用于执行数学和几何计算，用于图形渲染。处理器210可包括一个或多个GPU，其执行程序指令以生成或改变显示信息。

电子设备200可以通过ISP、摄像模组291、视频编解码器、GPU、显示屏290及应用处理器等实现拍摄功能。在一些实施例中，电子设备200可以包括1个或N个摄像模组291，N为大于1的正整数，若电子设备200包括N个摄像头，N个摄像头中有一个是主摄像头，其他可以为副摄像头，例如长焦摄像头。

内部存储器221可以用于存储计算机可执行程序代码，所述可执行程序代码包括指令。内部存储器221可以包括存储程序区和存储数据区。外部存储器接口222可以用于连接外部存储卡，例如Micro SD卡，实现扩展电子设备200的存储能力。

电子设备200可以通过音频模块270、扬声器271、受话器272、麦克风273、耳机接口274及应用处理器等实现音频功能。例如音乐播放、录音等。

音频模块270用于将数字音频信息转换成模拟音频信号输出，也用于将模拟音频输入转换为数字音频信号。音频模块270还可以用于对音频信号编码和解码。在一些实施例中，音频模块270可以设置于处理器210中，或将音频模块270的部分功能模块设置于处理器210中。

扬声器271，用于将音频电信号转换为声音信号。电子设备200可以通过扬声器271收听音乐，或收听免提通话。受话器272，也称“听筒”，用于将音频电信号转换成声音信号。当电子设备200接听电话或语音信息时，可以通过将受话器272靠近人耳接听语音。麦克风273，也称“话筒”，“传声器”，用于将声音信号转换为电信号。当拨打电话或发送语音信息时，用户可以通过人嘴靠近麦克风273发声，将声音信号输入到麦克风273。电子设备200可以设置至少一个麦克风273。耳机接口274用于连接有线耳机。

针对电子设备200包括的传感器，深度传感器2801用于获取景物的深度信息。压力传感器2802用于感受压力信号，可以将压力信号转换成电信号。陀螺仪传感器2803可以用于确定电子设备200的运动姿态。气压传感器2804用于测量气压。磁传感器2805包括霍尔传感器。电子设备200可以利用磁传感器2805检测翻盖皮套的开合。加速度传感器2806可检测电子设备200在各个方向上(一般为三轴)加速度的大小。距离传感器2807用于测量距离。接近光传感器2808可以包括例如发光二极管(LED)和光检测器，例如光电二极管。指纹传感器2809用于采集指纹。温度传感器2810用于检测温度。触摸传感器2811可以将检测到的触摸操作传递给应用处理器，以确定触摸事件类型。可以通过显示屏290提供与触摸操作相关的视觉输出。环境光传感器2812用于感知环境光亮度。骨传导传感器2813可以获取振动信号。

按键294包括开机键，音量键等。按键294可以是机械按键。也可以是触摸式按键。马达293可以产生振动提示。马达293可以用于来电振动提示，也可以用于触摸振动反馈。指示器292可以是指示灯，可以用于指示充电状态，电量变化，也可以用于指示消息，未接来电，通知等。SIM卡接口295用于连接SIM卡。电子设备200通过SIM卡和网络交互，实现通话以及数据通信等功能。

本申请还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中描述的电子设备中所包含的；也可以是单独存在，而未装配入该电子设备中。

计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器（RAM）、只读存储器（ROM）、可擦式可编程只读存储器（EPROM或闪存）、光纤、便携式紧凑磁盘只读存储器（CD-ROM）、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

计算机可读存储介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读存储介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、电线、光缆、RF等等，或者上述的任意合适的组合。

计算机可读存储介质承载有一个或者多个程序，当上述一个或者多个程序被一个该电子设备执行时，使得该电子设备实现如下述实施例中所述的方法。

附图中的流程图和框图，图示了按照本公开各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

描述于本公开实施例中所涉及到的单元可以通过软件的方式实现，也可以通过硬件的方式来实现，所描述的单元也可以设置在处理器中。其中，这些单元的名称在某种情况下并不构成对该单元本身的限定。

本公开实施例中，首先提供了一种权限校验方法。图3中示意性示出了该权限校验方法的流程示意图。参考图3中所示，主要包括以下步骤：

在步骤S310中，若接收到对业务系统的用户访问请求，则将所述用户访问请求代理至鉴权系统的入口服务器，并通过所述入口服务器转发至鉴权系统；

在步骤S320中，对所述用户访问请求进行认证，并通过鉴权系统对所述用户访问请求对应的参数信息进行用户鉴权，以确定所述用户访问请求是否通过权限校验；

在步骤S330中，若所述用户访问请求通过权限校验，则将所述用户访问请求发送至业务服务，以执行所述业务服务对应的业务操作。

本公开实施例提供的技术方案中，一方面，将鉴权功能抽离出来形成一个具有统一权限管理后台、统一权限校验认证以及提供权限相关信息查询接口的服务，系统内部管理后台通过接入此服务即鉴权系统对接收到的用户访问请求实现鉴权操作，无需额外配置免校验权限列表，减少了维护成本，同时提高了鉴权效率和鉴权性能。另一方面，由于鉴权系统是独立出来的，直接通过鉴权系统和业务系统进行交互，对每次接收到的用户访问请求使用流量代理的方式进行权限校验，使得非法的用户访问请求不会到达业务服务，相对于相关技术而言，无需采用共享空间方式存储用户登录信息，因此提高了安全性和稳定性。

接下来，结合附图对本公开实施例中的权限校验方法进行详细说明。

在步骤S310中，若接收到对业务系统的用户访问请求，将所述用户访问请求发送至鉴权系统的入口服务器，并通过所述入口服务器发送至鉴权系统。

本公开实施例中，用户访问请求可以为某一次的用于访问某个业务系统的访问请求。业务系统可以为用户需要访问的任意类型的应用系统，且业务系统可以为不鉴权系统或者是鉴权系统，此处不作限定。

将鉴权功能抽离出来形成一个具有统一权限管理后台，统一权限校验认证以及提供权限相关信息查询接口的服务作为鉴权系统，系统内部管理后台通过接入此鉴权系统表示的服务实现鉴权功能。为了降低鉴权系统和业务服务（具体管理平台）之间的耦合，鉴权逻辑提前到了网关层，以在web服务器中实现权限校验逻辑。相比于相关技术中，鉴权逻辑处于业务服务中，即应用层，将其提前到网关层可以及时鉴权，实现统一管理。

入口服务器用于表示连接至鉴权系统的入口，可以为nginx入口，nginx是一个高性能的http和反向代理web服务器。本公开实施例中，通过入口服务器来对用户访问请求进行转发，以保证鉴权服务的性能。

在步骤S320中，对所述用户访问请求进行认证，并通过鉴权系统中对所述用户访问请求对应的参数信息进行用户鉴权，以确定所述用户访问请求是否通过权限校验。

本公开实施例中，在通过鉴权系统进行用户鉴权之前，首先可以将接收到的用户访问请求发送至认证中心来对用户访问请求进行认证，以确定是否存在用户访问请求对应的用户信息。具体地，每一个用户访问请求都可以携带一个验证票据ticket，基于该验证票据，可以通过验证票据对应的用户信息去认证中心查找该用户信息是否登录过该认证中心。如果登录过，则从认证中心跳转至鉴权系统以继续执行用户鉴权。如果未登录过，则跳转至认证中心以使得该用户信息先进行登录，并在登录后继续进行鉴权，跳转至业务服务。

具体地，若所述用户访问请求中包含验证票据，通过认证中心对所述验证票据进行校验并获取用户信息；在校验成功后，通过认证中心跳转至鉴权系统，以对所述用户访问请求对应的参数信息进行用户鉴权。其中，每一个用户访问请求对应的验证票据可以不同，可以对验证票据进行解析得到用户信息，因此验证票据可以与用户信息一一对应。用户信息可以包括工号、姓名、邮箱、部门号以及验证票据。在通过认证中心进行认证之后，可以将用户访问请求转发至入口服务器进一步转发至鉴权系统以继续执行用户鉴权。

在进行鉴权时，鉴权工具可以为入口服务器对应的鉴权工具，例如Openresty工具。由于入口服务器可以为nginx服务器，因此鉴权系统中可以使用与入口服务器关联的鉴权工具，以利用nginx的IO事件模型，保证鉴权服务的性能。

Openresty工具进行鉴权的原理在于：借助于nginx的事件驱动模型和非阻塞IO，可以实现高性能的web应用程序。在此基础上，当用户访问管理后台时，先把用户访问请求代理到鉴权系统的nginx，使用Openresty工具实现用户认证和鉴权，充分利用nginx的IO事件模型，保证鉴权服务的性能。如果通过权限校验就将用户访问请求继续代理到业务服务，否则返回通知用户没有权限。

其中的参数信息可以根据用户访问请求的类型而确定。例如，当用户访问请求为http请求时，参数信息包括但不限于域名、路径、请求头、用户访问请求的具体参数等信息。为了降低和业务的耦合，可以通过用户访问请求对应的参数信息校验用户权限。

图4中示意性示出了对用户访问请求的参数信息进行用户鉴权的流程示意图，参考图4中所示，主要包括以下步骤：

在步骤S410中，若业务服务的系统的类型属于需要鉴权系统，则判断用户身份信息是否为空。

本步骤中，每一个业务服务可以对应一个系统，此处的业务服务的系统指的是用户访问请求所要访问的业务服务的系统。对于业务服务系统而言，部分业务服务系统可能并不需要进行权限验证，只要通过认证中心的验证即可。但对于部分业务服务系统而言需要认证中心和权限验证同时验证通过才能进行访问。需要鉴权系统例如可以为安全级别比较高的系统，此处不做详细限定。

进一步地，如果业务服务的系统的类型为需要鉴权系统，则可以继续判断用户身份信息是否为空。用户身份信息用于表示该用户是否存在，例如可以为用户岗位。

在步骤S420中，若所述用户身份信息不为空，则根据所述用户访问请求中的统一资源定位符解析出操作点。

本步骤中，如果存在用户身份信息，则可以进一步继续进行其他维度的判断。用户访问请求中的统一资源定位符指的是URL（Uniform Resource Locator，统一资源定位符）也被称为网页地址，是因特网上标准的资源的地址，用于指定信息位置的表示方法。

对于系统来说可以以操作作为最小粒度的权限，一个功能模块下或者是一个菜单会对应一个或多个的操作。例如某个功能的增、删、改、查、上传等都可以分别看做是一个操作。每个管理系统的功能都是一系列的操作组成的。因此，一个操作点可以用于表示一种操作。本公开实施例中，可以对统一资源定位符进行解析，以确定出其中包括的操作点。每一个统一资源定位符可以解析出一个或多个操作点。解析出的操作点可以与用户操作点相同或不同，此处不作具体限定。用户操作点可以事先设置，其中可以包括多个操作点。

在步骤S430中，对所述操作点与用户操作点进行匹配，并根据匹配结果确定所述用户访问请求是否通过权限校验。

本步骤中，可以对操作点与用户操作点进行匹配，并根据匹配结果确定用户访问请求是否通过权限校验。如果操作点与用户操作点其中之一相同，则可以确定匹配结果为匹配成功。如果操作点与用户操作点均不相同，则可以确定匹配结果为匹配失败。

图5中示意性示出了根据匹配结果确定用户访问请求是否通过权限校验的流程图，且图5是步骤S430的具体实现。参考图5中所示，主要包括以下步骤：

在步骤S510中，判断匹配结果是否为匹配成功；若是，则转至步骤S520；若否，则转至步骤S530。

在步骤S520中，若匹配结果为匹配成功，则确定所述用户访问请求通过权限校验，即鉴权通过。

在步骤S530中，若匹配结果为匹配失败，则确定所述用户访问请求未通过权限校验。如果鉴权不通过，则提供一个提示信息，以用于表示页面返回无权访问信息。提示信息的格式可根据各业务需求进行定制，此处不作限定。

在步骤S440中，如果用户身份信息为空，则直接确定鉴权未通过。具体地，当用户身份信息不存在时（说明不存在该用户岗位），则表示该用户没有任何权限。

通过图4和图5中的步骤，能从业务服务对应的系统的类型、用户身份信息以及操作点三个维度来共同进行鉴权，实现了通过用户访问请求以及域名、系统的类型等三个粒度来对用户访问请求进行鉴权，以提高用户鉴权的准确性。其中，没有在统一权限管理后台注册的用户访问请求对应的访问地址默认不进行鉴权，无需额外配置免校验权限列表，减少维护成本，只需专注于需要校验的权限，增加系统灵活性。

需要说明的是，出于数据格式统一性和规范流程的考虑，权限管理系统（功能模块管理，用户管理，岗位管理等）统一提供。此处的权限管理系统是一个配置后台，用来管理业务服务的权限信息，比如菜单。由于提供统一权限管理平台，避免各个业务都自己实现一套权限管理功能，减少开发工作量的同时保证权限数据的统一存放，鉴权系统不需要到各个接入后台处取数据，降低交互成本。

接下来，在步骤S330中，若所述用户访问请求通过权限校验，将所述用户访问请求发送至业务服务，以执行所述业务服务对应的业务操作。

本公开实施例中，如果用户访问请求通过权限校验。则可以继续将用户访问请求发送至需要访问的业务服务，以执行业务服务对应的业务操作。由于所有后台的用户访问请求会转发到鉴权代理，从根本上保证用户的每次用户访问请求都是经过权限校验的。因此，非法的用户访问请求不会到达业务服务，从而增强了系统安全性和系统可靠性。并且，业务服务不需要主动调用鉴权接口，降低系统接入成本和系统侵入性。

图6中示意性示出了鉴权的总体流程图，参考图6中所示，主要包括以下步骤：

在步骤S610中，将用户访问请求发送至鉴权系统的入口服务器。入口服务器用于表示连接至鉴权系统的入口，可以为nginx入口。

在步骤S620中，入口服务器将用户访问请求转发至鉴权系统，以使得鉴权系统对其进行用户鉴权。

在步骤S630中，鉴权系统将用户访问请求转发至认证中心进行认证。

在步骤S640中，如果用户信息认证通过，则转发至入口服务器并跳转至鉴权系统。

在步骤S650中，在鉴权通过时发送至业务服务。

在步骤S660中，若鉴权未通过，则提示用户无权限。

图6中的技术方案，当用户访问管理后台时，先把用户访问请求代理到鉴权系统的nginx，使用Openresty（充分利用nginx的IO事件模型，保证鉴权服务的性能）实现用户认证和鉴权，通过校验就将用户访问请求继续代理到业务服务，否则返回通知用户没有权限。

图7中示意性示出了鉴权的具体流程图，参考图7中所示，主要包括以下步骤：

在步骤S701中，接收用户访问请求。

在步骤S702中，获取系统信息。系统信息包括系统ID、是否鉴权以及报错信息。如果获取失败，则转至步骤S7021。其中，步骤S7021为此系统不在审计平台内。

在步骤S703中，检验是否登录。如果检验成功，则转至步骤S704；如果检验失败，则转至步骤S7031。

在步骤S7031中，检查用户访问请求中的请求参数是否携带验证票据。如果不携带，则直接转认证中心登录页，执行步骤S7036。

在步骤S7032中，在认证中心校验验证票据并获取用户信息。如果失败，则转至步骤步骤S7037，以执行认证中心登出。

在步骤S7033中，设置用户信息。用户信息包括工号、姓名、邮箱、部门号以及验证票据。

在步骤S7034中，写文件头，该文件头用于存储验证票据。

在步骤S7035中，跳转认证中心登录链接，由认证中心跳转业务地址，以便于重新访问业务服务。

在步骤S704中，检验用户权限。具体包括以下步骤：

在步骤S7041中，是否访问不鉴权系统。若是，则转至步骤S705。

在步骤S7042中，判断用户岗位是否为空。若是，则转至步骤S706。

在步骤S7043中，根据用户访问请求对应的统一资源定位符URL解析出操作点。

在步骤S7044中，查找解析出的操作点是否在用户操作点中存在。若是，则转至步骤S705。若否，则转至步骤S706。

在步骤S705，鉴权通过。

在步骤S706，鉴权不通过。

本公开实施例中，所有的用户访问请求都会经过鉴权服务，所以可以记录下用户所有的访问记录。这些访问系统可以通过异步的方式记录到持久性存储里面，可将这些请求日志记录下来作为审计使用。可以针对每个功能设置一个日志解读模板，将上述日志信息转换成可读日志，以便于进行参考。

本公开实施例提供一种统一鉴权中心的技术方案，对用户访问请求使用流量代理的方式进行权限校验，保证用户访问请求全部被校验的同时，利用openResty鉴权工具实现鉴权逻辑，提升鉴权性能。从域名，系统，请求三种粒度对用户访问请求是否需要进鉴权。没有在统一权限管理后台注册的访问地址默认不进行鉴权，无需额外配置免校验权限列表，减少维护成本，增加系统灵活性。用户登录和相应的权限菜单信息使用加密Cookie标识，鉴权系统代理后直接传输给下游业务。业务方需要时再使用Cookie和分配的秘钥请求当前登录用户相关系统，提升了信息安全性，减少了不必要的信息传输。若用户没有权限则直接返回没有权限的提示给客户端，能更直观地显示对于用户访问请求的鉴权结果。

需要补充的是，在用户访问请求的处理过程中，均需要通过机房来进行网络连接。但是无法预知哪个机房，哪个节点何时会出现故障。为了保证无缝切换，从鉴权服务的入口服务器nginx转发到具体业务的代理配置很关键。异常情况包括鉴权服务的节点异常或者是鉴权服务的机房异常两种情况。

参考图8中所示的多机房容灾的结构示意图所示。其中，客户端801发送用户访问请求至802机房1、803机房2以及804机房3。每个机房中都存在多个鉴权服务805以及多个业务服务806。若检测到鉴权服务异常，根据鉴权服务的异常类型确定目标方式，并通过所述目标方式对所述用户访问请求进行用户鉴权。异常类型可以包括节点异常或机房异常，且不同异常类型对应的目标方式不同。

具体地，如果检测到某个鉴权服务的节点异常，由于单个节点异常影响不大，因为一个机房中有多个节点提供服务，网关转发流量时直接忽略不可用的节点，因此目标方式为忽略异常节点，直接根据未出现异常的其他节点对用户访问请求继续执行用户鉴权即可。

如果检测到某个鉴权服务的机房异常，比如光纤断了。目标方式为将访问后台的流量转到其它备用机房。具体可以使用系统环境变量，通过nginx入口服务器获取当前机器的环境变量来选择转发到某一个上游业务服务upstream作为备用业务服务，以使得相同的一份代理配置不做任何修改就能在备用机房可用。其中，系统环境变量，存的是每个机房的名字，每个机房对应哪个业务服务，每个机房的环境变量是配置好的，可以根据其环境变量选择转发到哪个业务服务。本公开实施例中，通过

多机房容灾架构，在出现异常情况时，不会影响所有的业务服务，因此能够提升系统鲁棒性。

应当注意，尽管在附图中以特定顺序描述了本公开中方法的各个步骤，但是，这并非要求或者暗示必须按照该特定顺序来执行这些步骤，或是必须执行全部所示的步骤才能实现期望的结果。附加的或备选的，可以省略某些步骤，将多个步骤合并为一个步骤执行，以及/或者将一个步骤分解为多个步骤执行等。

图9示意性示出了本公开的示例性实施方式的权限校验装置的方框图。参考图9所示，根据本公开的示例性实施方式的权限校验装置900可以包括以下模块：

请求发送模块901，用于若接收到对业务系统的用户访问请求，将所述用户访问请求发送至鉴权系统的入口服务器，并通过所述入口服务器将所述用户访问请求转发至鉴权系统；

用户鉴权模块902，用于对所述用户访问请求进行认证，并通过鉴权系统对所述用户访问请求对应的参数信息进行用户鉴权，以确定所述用户访问请求是否通过权限校验；

业务执行模块903，用于若所述用户访问请求通过权限校验，将所述用户访问请求发送至业务服务，以执行所述业务服务对应的业务操作。

在本公开的一种示例性实施例中，所述用户鉴权模块包括：鉴权控制模块，用于通过所述鉴权系统将所述用户访问请求发送至认证中心，并在所述用户访问请求对应的用户登录成功后，通过所述鉴权系统对所述用户访问请求对应的参数信息进行用户鉴权，以确定所述用户访问请求是否通过权限校验。

在本公开的一种示例性实施例中，所述鉴权控制模块包括：票据校验模块，用于若所述用户访问请求中包含验证票据，通过认证中心对所述验证票据进行校验并获取用户信息；参数鉴权模块，用于在所述验证票据校验成功后，通过认证中心访问业务系统，并通过所述鉴权系统对所述用户访问请求对应的参数信息进行用户鉴权。

在本公开的一种示例性实施例中，参数鉴权模块包括：身份判断模块，用于若业务服务的系统的类型属于需要鉴权系统，则判断用户身份信息是否为空；操作点解析模块，用于若所述用户身份信息不为空，则根据所述用户访问请求对应的统一资源定位符解析出操作点；校验结果确定模块，用于对所述操作点与用户操作点进行匹配，并根据匹配结果确定所述用户访问请求是否通过权限校验。

在本公开的一种示例性实施例中，校验结果确定模块，包括：第一确定模块，用于若匹配结果为匹配成功，确定所述用户访问请求通过权限校验；第二确定模块，用于若匹配结果为匹配失败，确定所述用户访问请求未通过权限校验。

在本公开的一种示例性实施例中，所述装置还包括：异常鉴权模块，用于若检测到鉴权服务异常，根据鉴权服务的异常类型确定目标方式，并通过所述目标方式对所述用户访问请求进行用户鉴权。

在本公开的一种示例性实施例中，异常鉴权模块包括：第一类型鉴权模块，用于若检测到鉴权服务的异常类型为节点异常，则忽略异常节点，并根据其他节点对所述用户访问请求进行用户鉴权；第二类型鉴权模块，用于若检测到鉴权服务的异常类型为机房异常，则根据当前环境变量确定一个备用业务服务，并将所述鉴权服务转发至所述备用业务服务，以根据备用业务服务进行用户鉴权。

需要说明的是，由于本公开实施方式的权限校验装置的各个功能模块与具体上述权限校验方法的实施方式中相同，因此在此不再赘述。

通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本公开实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质（可以是CD-ROM，U盘，移动硬盘等）中或网络上，包括若干指令以使得一台计算设备（可以是个人计算机、服务器、终端装置、或者网络设备等）执行根据本公开实施方式的方法。

此外，上述附图仅是根据本公开示例性实施例的方法所包括的处理的示意性说明，而不是限制目的。易于理解，上述附图所示的处理并不表明或限制这些处理的时间顺序。另外，也易于理解，这些处理可以是例如在多个模块中同步或异步执行的。

应当注意，尽管在上文详细描述中提及了用于动作执行的设备的若干模块或者单元，但是这种划分并非强制性的。实际上，根据本公开的实施方式，上文描述的两个或更多模块或者单元的特征和功能可以在一个模块或者单元中具体化。反之，上文描述的一个模块或者单元的特征和功能可以进一步划分为由多个模块或者单元来具体化。

本领域技术人员在考虑说明书及实践这里公开的内容后，将容易想到本公开的其他实施例。本申请旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由权利要求指出。

应当理解的是，本公开并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本公开的范围仅由所附的权利要求来限。

Claims (7)

1.一种权限校验方法，其特征在于，包括：

若接收到对业务系统的用户访问请求，将所述用户访问请求发送至鉴权系统的入口服务器，并通过所述入口服务器将所述用户访问请求转发至鉴权系统；所述鉴权系统为将鉴权功能抽离出来形成的独立的服务；

鉴权系统将所述用户访问请求发送至认证中心，若认证中心通过所述用户访问请求中的验证票据确定验证票据对应的用户信息登录过认证中心，则返回鉴权系统并通过鉴权系统对所述用户访问请求的类型对应的参数信息，从业务服务对应的系统的类型、用户身份信息以及操作点三个维度共同进行用户鉴权，以确定所述用户访问请求是否通过权限校验；

若认证中心通过所述用户访问请求中的验证票据确定验证票据对应的用户信息未登录过认证中心，则基于用户信息登录认证中心并在登录后，将所述用户访问请求转发至入口服务器并发送至鉴权系统，并通过所述鉴权系统对所述用户访问请求的类型对应的参数信息，从业务服务对应的系统的类型、用户身份信息以及操作点三个维度共同进行用户鉴权，以确定所述用户访问请求是否通过权限校验；其中，登录认证中心后的用户访问请求使用Cookie标识表示；

若所述用户访问请求通过权限校验，将所述用户访问请求发送至业务服务，以执行所述业务服务对应的业务操作；

其中，所述通过鉴权系统对所述用户访问请求的类型对应的参数信息，从业务服务对应的系统的类型、用户身份信息以及操作点三个维度共同进行用户鉴权，以确定所述用户访问请求是否通过权限校验，包括：

若业务服务的系统的类型属于需要鉴权系统，则判断用户身份信息是否为空以确定用户是否存在；

若所述用户身份信息不为空，则根据所述用户访问请求对应的统一资源定位符解析出一个或多个操作点；每个操作点用于表示一种操作；所述操作包括增、删、改、查、上传中的任意一种；

对所述操作点与用户操作点进行匹配，并根据匹配结果确定所述用户访问请求是否通过权限校验。

2.根据权利要求1所述的权限校验方法，其特征在于，所述根据匹配结果确定所述用户访问请求是否通过权限校验，包括：

若匹配结果为匹配成功，确定所述用户访问请求通过权限校验；

若匹配结果为匹配失败，确定所述用户访问请求未通过权限校验。

3.根据权利要求1所述的权限校验方法，其特征在于，所述方法还包括：

若检测到鉴权服务异常，根据鉴权服务的异常类型确定目标方式，并通过所述目标方式对所述用户访问请求进行用户鉴权。

4.根据权利要求3所述的权限校验方法，其特征在于，所述根据鉴权服务的异常类型确定目标方式，并通过所述目标方式对所述用户访问请求进行用户鉴权，包括：

若检测到鉴权服务的异常类型为节点异常，则忽略异常节点，并根据其他节点对所述用户访问请求进行用户鉴权；

若检测到鉴权服务的异常类型为机房异常，则根据当前环境变量确定一个备用业务服务，并将所述鉴权服务转发至所述备用业务服务，以根据备用业务服务进行用户鉴权。

5.一种权限校验装置，其特征在于，包括：

请求发送模块，用于若接收到对业务系统的用户访问请求，将所述用户访问请求发送至鉴权系统的入口服务器，并通过所述入口服务器将所述用户访问请求转发至鉴权系统；所述鉴权系统为将鉴权功能抽离出来形成的独立的服务；

用户鉴权模块，用于鉴权系统将所述用户访问请求发送至认证中心，若认证中心通过所述用户访问请求中的验证票据确定验证票据对应的用户信息登录过认证中心，则返回鉴权系统并通过鉴权系统对所述用户访问请求的类型对应的参数信息，从业务服务对应的系统的类型、用户身份信息以及操作点三个维度共同进行用户鉴权，以确定所述用户访问请求是否通过权限校验；

若认证中心通过所述用户访问请求中的验证票据确定验证票据对应的用户信息未登录过认证中心，则基于用户信息登录认证中心并在登录后，将所述用户访问请求转发至入口服务器并发送至鉴权系统，并通过所述鉴权系统对所述用户访问请求的类型对应的参数信息，从业务服务对应的系统的类型、用户身份信息以及操作点三个维度共同进行用户鉴权，以确定所述用户访问请求是否通过权限校验；其中，登录认证中心后的用户访问请求使用Cookie标识表示；

业务执行模块，用于若所述用户访问请求通过权限校验，将所述用户访问请求发送至业务服务，以执行所述业务服务对应的业务操作；

其中，所述通过鉴权系统对所述用户访问请求的类型对应的参数信息，从业务服务对应的系统的类型、用户身份信息以及操作点三个维度共同进行用户鉴权，以确定所述用户访问请求是否通过权限校验，包括：

若业务服务的系统的类型属于需要鉴权系统，则判断用户身份信息是否为空以确定用户是否存在；

若所述用户身份信息不为空，则根据所述用户访问请求对应的统一资源定位符解析出一个或多个操作点；每个操作点用于表示一种操作；所述操作包括增、删、改、查、上传中的任意一种；

对所述操作点与用户操作点进行匹配，并根据匹配结果确定所述用户访问请求是否通过权限校验。

6.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1-4任意一项所述的权限校验方法。

7.一种电子设备，其特征在于，包括：

处理器；以及

存储器，用于存储所述处理器的可执行指令；

其中，所述处理器配置为经由执行所述可执行指令来执行权利要求1-4任意一项所述的权限校验方法。