CN112632171A - 一种针对数据访问的拦截审核方法及系统 - Google Patents

Abstract

本申请公开了一种针对数据访问的拦截审核方法，所述方法包括：当代理执行模块启用时，代理执行模块接收应用系统发送的访问指令；代理执行模块审核访问指令；当审核通过时，代理执行模块向数据库连接驱动发送访问指令；数据库连接驱动用于访问访问指令对应的目标数据库。由此可知，本申请技术方案中，通过在应用系统中安装嵌入模块，在不对应用系统本身进行修改的情况下，利用根据嵌入模块生成的具有审核功能的代理执行模块，代理原本应用系统中的执行模块对访问指令进行审核。如此，本申请实施例提供的方法在达到实时拦截审核访问指令的效果下，不需要对应用系统进行改造，因此，本申请提供的方法易于推广，且改造成本较低。

Description

一种针对数据访问的拦截审核方法及系统

技术领域

本申请涉及通信领域，尤其涉及一种针对数据访问的拦截审核方法及系统。

背景技术

应用系统一般通过访问指令访问数据库，但如果访问指令不符合规范，可能会对数据库产生很大的运行压力。目前对访问指令进行审核的系统一般有两种：

如图1所示，其中一种是对已执行完成的或者正在执行的访问指令进行检测，对其中运行异常的访问指令进行分析，然后根据分析结果优化应用系统。但这种方法只能对数据库访问的改进提供分析数据支持，不能实时拦截和审核访问指令。

如图2所示，另一种方法是应用系统通过将访问指令发送给第三方审核系统，由审核系统对访问指令进行审核。这种方法能够实时地审核访问指令，且当发现异常的访问指令，阻止其执行。但这种方法中的应用系统需要与审核系统进行对接，因此，需要对应用系统进行一定程度上的改造，不但实现难度大、不易推广，而且增加了拦截审核的实现成本。

发明内容

为了解决上述技术问题，本申请提供了一种针对数据访问的拦截审核方法及系统，用于在不对应用系统本身进行修改的情况下，对应用系统访问数据库的访问指令进行拦截和审核。

为了实现上述目的，本申请实施例提供的技术方案如下：

本申请实施例提供一种针对数据访问的拦截审核方法，其特征在于，所述方法应用于针对数据访问的拦截审核系统，所述方法包括：

当所述代理执行模块启用时，代理执行模块接收应用系统发送的访问指令；所述代理执行模块为代理连接模块根据嵌入模块生成，所述代理连接模块为代理启动模块根据所述嵌入模块生成；所述嵌入模块安装在所述应用系统中；

所述代理执行模块审核所述访问指令；

当审核通过时，所述代理执行模块向所述访问指令对应的目标数据库发送所述访问指令。

可选地，在所述接收应用系统发送的访问指令之前，所述方法还包括：

当所述应用系统启动时，所述嵌入模块加载所述代理启动模块，所述代理启动模块继承有启动模块的原有功能；所述启动模块存在于所述应用系统中；

所述代理启动模块根据所述嵌入模块，生成所述代理连接模块；

所述代理连接模块根据所述嵌入模块，生成并启用所述代理执行模块。

可选地，所述代理执行模块具体为所述代理连接模块和嵌入模块通过Java的反射机制生成；所述代理连接模块具体为所述代理启动模块和所述嵌入模块通过Java的反射机制生成。

可选地，所述审核所述访问指令，包括：

审核所述访问指令的写法、复杂度和预计执行时间中的至少一种。

可选地，所述方法还包括：

当审核不通过时，所述代理执行模块禁止所述访问指令的执行。

本申请实施例还提供了一种针对数据访问的拦截审核系统，所述系统包括代理执行模块、代理连接模块、代理启动模块和嵌入模块：

所述代理执行模块，用于当所述代理执行模块启用时，接收应用系统发送的访问指令；审核所述访问指令；当审核通过时，向所述访问指令对应的目标数据库发送所述访问指令；

所述代理执行模块为代理连接模块根据嵌入模块生成，所述代理连接模块为代理启动模块根据所述嵌入模块生成；所述嵌入模块安装在所述应用系统中。

可选地，所述嵌入模块，用于当所述应用系统启动时，加载所述代理启动模块，所述代理启动模块继承有启动模块的原有功能；所述启动模块存在于所述庭院系统中；

所述代理启动模块，用于根据所述嵌入模块，生成所述代理连接模块；

所述代理连接模块，用于根据所述嵌入模块，生成并启用所述代理执行模块。

可选地，所述代理执行模块具体为所述代理连接模块和所述嵌入模块通过反射生成；所述代理连接模块具体为所述代理启动模块和所述嵌入模块通过反射生成。

可选地，所述审核所述访问指令，包括：

审核所述访问指令的写法，复杂度和预计执行时间中的至少一种。

可选地，所述代理执行模块还用于：

当审核不通过时，禁止所述访问指令的执行。

通过上述技术方案可知，本申请具有以下有益效果：

本申请实施例提供了一种针对数据访问的拦截审核方法，所述方法包括：当代理执行模块启用时，代理执行模块接收应用系统发送的访问指令；代理执行模块为代理连接模块根据嵌入模块生成，代理连接模块为代理启动模块根据嵌入模块生成；嵌入模块安装在应用系统中；代理执行模块审核访问指令；当审核通过时，代理执行模块向数据库连接驱动发送访问指令；数据库连接驱动用于访问访问指令对应的目标数据库。由此可知，本申请技术方案中，通过在应用系统中安装嵌入模块，在不对应用系统本身进行修改的情况下，利用根据嵌入模块生成的具有审核功能的代理执行模块，代理原本应用系统中的执行模块对访问指令进行审核。如此，本申请实施例提供的方法在达到实时拦截审核访问指令的效果下，不需要对应用系统进行改造，因此，本申请实施例提供的方法易于推广，且改造成本较低。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为一种针对数据访问的检测方法示意图；

图2为一种针对数据访问的拦截审核方法示意图；

图3为本申请实施例提供的一种针对数据访问的拦截审核方法的流程示意图；

图4为本申请实施例提供的一种针对数据访问的拦截审核系统示意图；

图5为本申请实施例提供的一种针对数据访问的拦截审核系统结构示意图。

具体实施方式

为了帮助更好地理解本申请实施例提供的方案，在介绍本申请实施例提供的方法之前，先对本申请实施例中出现的一些名词进行解释：

JDBC(Java Database Connectivity，Java数据库连接)驱动：是一个遵循JDBC标准的软件包，由每个数据库厂商提供。当应用程序访问数据库时，通过JDBC驱动把访问指令发给数据库，并接收数据库返回的执行结果。本申请实施例中的Driver，Connection和Statement均为JDBC驱动的组成模块。

应用系统：在本申请实施例中指可以访问数据库的各类软件系统。

反射(reflection)：Java的反射机制。是指在Java程序运行过程中，动态获取程序信息以及动态调用对象的功能的机制。

代理(proxy)：一种软件设计模式，一个对象被代理后，其执行行为都将由代理者代为执行。是一种在不侵入程序代码的情况下改变程序行为的技术。在Java中，利用反射机制可以实现代理。

为了帮助更好地理解本申请实施例提供的方案，在介绍本申请实施例提供的方法之前，先介绍本申请实施例方案的应用的场景。

应用系统一般通过访问指令访问数据库，但如果访问指令不符合规范，可能会对数据库产生很大的压力。目前对访问指令进行审核的系统一般有两种：

参见图1，该图为一种针对数据访问的检测方法示意图。如图1所示，其中一种是对已执行完成的或者正在执行的访问指令进行检测，对其中运行异常的访问指令进行分析，然后根据分析结果优化应用系统。但这种方法稚嫩好味以后的数据库访问提供借鉴，不能实时阻止运行异常的访问指令的执行。参见图2，该图为一种针对数据访问的审核方法示意图。如图2所示，另一种方法是应用系统通过将访问指令发送给第三方审核系统，由审核系统对访问指令进行审核。这种方法能够实时地审核访问指令且当发现异常的访问指令时，阻止其执行。但这种方法中的应用系统需要与审核系统进行对接，因此，需要对应用系统进行一定程度上的改造，从而这种方法在推广时的难度较大。

为了解决上述的问题，本申请实施例提供了一种针对数据访问的拦截审核方法，该方法包括：当代理执行模块启用时，代理执行模块接收应用系统发送的访问指令；代理执行模块为代理连接模块根据嵌入模块生成，代理连接模块为代理启动模块根据嵌入模块生成；嵌入模块安装在应用系统中；代理执行模块审核访问指令；当审核通过时，代理执行模块向数据库连接驱动发送访问指令；数据库连接驱动用于访问访问指令对应的目标数据库。由此可知，本申请实施例提供的方法，通过在应用系统中安装嵌入模块，在不对应用系统本身进行修改的情况下，利用根据嵌入模块生成的具有审核功能的代理执行模块，代理原本应用系统中的执行模块对访问指令进行审核。如此，本申请实施例提供的方法在达到实时拦截审核访问指令的效果下，不需要对应用系统进行改造，因此，本申请实施例提供的方法易于推广，且改造成本较低。

为使本申请的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本申请实施例作进一步详细的说明。

参见图3，该图为本申请实施例提供的一种针对数据访问的拦截审核方法的流程示意图。该方法应用于针对数据访问的拦截审核系统，如图3所示，本申请实施例提供的针对数据访问的拦截审核方法包括如下步骤S301至步骤S303：

S301：当代理执行模块启用时，代理执行模块接收应用系统发送的访问指令。

S302：代理执行模块审核访问指令。

S303：当审核通过时，代理执行模块向所述访问指令对应的目标数据库发送访问指令。

在本申请实施例中，代理执行模块为代理连接模块根据嵌入模块生成，代理连接模块为代理启动模块根据嵌入模块生成；嵌入模块安装在应用系统中。需要说明的是，在本申请实施例中嵌入模块为安装在应用系统嵌入模块为安装在应用系统的一个软件包，该软件包可以直接安装至应用系统中，不需要对应用系统进行修改。

在本申请实施例中，代理启动模块可以为Java运行程序中的代理后的Driver，其由嵌入模块中的Driver配置信息生成的。代理连接模块可以为Java运行程序中的代理后的Connection，由代理启动模块根据嵌入模块生成。代理执行模块为可以为Java运行程序中的代理后的Statement，由代理连接模块根据嵌入模块生成。下面将具体介绍本申请实施例中的代理启动模块，代理连接模块和代理执行模块：

本申请实施例中，在接收应用系统发送的访问指令之前，针对数据访问的拦截审核方法还包括：当应用系统启动时，嵌入模块加载代理启动模块，代理启动模块继承有启动模块的原有功能；启动模块存在于应用系统中；代理启动模块根据嵌入模块，生成代理连接模块；代理连接模块根据嵌入模块，生成并启用代理执行模块。具体地，当应用系统启动时，嵌入模块加载自定义Driver，该自定义Driver继承应用系统中原版Driver(启动模块)，得到代理启动模块。代理启动模块创建原版Connection(连接模块)，根据嵌入模块给Connection挂代理，得到代理后的Connection(代理连接模块)。代理连接模块创建原版Statement(执行模块)，根据嵌入模块给Statement挂代理，得到代理后的Statement(代理执行模块)。

在本申请实施例中，为了不对原有的系统进行修改，作为一种可能的实施方式，代理执行模块具体为代理连接模块和嵌入模块通过Java的反射机制生成；代理连接模块具体为代理启动模块和嵌入模块通过Java的反射机制生成。需要说明的是，本申请实施例提供的方法，通过Java反射技术，在不改变JDBC标准接口的前提下，改变JDBC驱动的执行行为，加入SQL审核的功能。由于本申请提供方案不改变JDBC标准接口，因此对应用系统透明且没有侵入，因此不需要对应用系统进行相应的改造。

在本申请实施例中审核访问指令，包括：审核访问指令的写法、复杂度和预计执行时间中的至少一种。在本申请实施例中，为了避免被访问的数据库免遭访问指令的破坏，作为一种可能的实施方式，针对数据访问的拦截审核方法还包括：当审核不通过时，代理执行模块禁止访问指令的执行。可以理解的是，在当访问指令写法不规范，复杂度过高或者预估执行时间过长时，该访问指令都会影响被访问的数据库的性能，甚至破坏被访问的数据库。因此，本申请实施例提供的方法在访问指令审核不通过时，拒绝该访问指令执行，保护了被访问数据库。作为一个示例，本申请实施例中的访问指令可以为SQL(结构化查询语言，Structured Query Language)。

综上所述，本申请实施例提供的方法，通过在应用系统中安装嵌入模块，在不对应用系统本身进行修改的情况下，利用根据嵌入模块生成的具有审核功能的代理执行模块；通过Java反射技术，在不改变JDBC标准接口的前提下，利用代理执行模块代理原本应用系统中的执行模块对访问指令进行审核。如此，本申请实施例提供的方法在达到实时拦截审核访问指令的效果下，不需要对应用系统进行改造，因此，本申请实施例提供的方法易于推广，且改造成本较低。

参见图4，该图为本申请实施例提供的一种针对数据访问的拦截审核系统示意图。本申请实施例提供的方法应用于针对数据访问的拦截审核系统，如图4所示，该系统安装在应用系统的内部，应用系统通过该系统与数据库进行连接。根据上述实施例提供的数据访问的拦截审核方法，本申请实施例还提供了上述的数据访问的拦截审核系统。接下来将具体介绍本申请实施例提供的数据访问的拦截审核系统：

参见图5，该图为本申请实施例提供的一种针对数据访问的拦截审核系统结构示意图。如图5所示，本申请实施例提供的针对数据访问的拦截审核系统包括：代理执行模块、代理连接模块、代理启动模块和嵌入模块：

代理执行模块，用于当代理执行模块启用时，接收应用系统发送的访问指令；审核访问指令；当审核通过时，向所述访问指令对应的目标数据库发送访问指令。

需要说明的是，在本申请实施例中，代理执行模块为代理连接模块根据嵌入模块生成，代理连接模块为代理启动模块根据嵌入模块生成；嵌入模块安装在应用系统中。

在本申请实施例中，作为一种可能的实施方式，嵌入模块，用于当应用系统启动时，加载代理启动模块，代理启动模块继承有启动模块的原有功能；启动模块存在于庭院系统中；代理启动模块，用于根据嵌入模块，生成代理连接模块；代理连接模块，用于根据嵌入模块，生成并启用代理执行模块。

作为一种可能的实施方式，代理执行模块具体为代理连接模块和嵌入模块通过反射生成；代理连接模块具体为代理启动模块和嵌入模块通过反射生成。

作为一种可能的实施方式，本申请实施例中的审核访问指令，包括：审核访问指令的写法，复杂度和预计执行时间中的至少一种。在本申请实施例中，作为一种可能的实施方式，代理执行模块还用于：当审核不通过时，禁止访问指令的执行。

综上所述，本申请实施例提供的装置，通过在应用系统中安装嵌入模块，在不对应用系统本身进行修改的情况下，利用根据嵌入模块生成的具有审核功能的代理执行模块；通过Java反射技术，在不改变JDBC标准接口的前提下，利用代理执行模块代理原本应用系统中的执行模块对访问指令进行审核。如此，本申请实施例提供的方法在达到实时拦截审核访问指令的效果下，不需要对应用系统进行改造，因此，本申请实施例提供的方法易于推广，且改造成本较低。

通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到上述实施例方法中的全部或部分步骤可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者诸如媒体网关等网络通信设备，等等)执行本申请各个实施例或者实施例的某些部分所述的方法。

需要说明的是，本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的方法而言，由于其与实施例公开的系统相对应，所以描述的比较简单，相关之处参见系统部分说明即可。

还需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本申请。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本申请的精神或范围的情况下，在其它实施例中实现。因此，本申请将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (10)

1.一种针对数据访问的拦截审核方法，其特征在于，所述方法应用于针对数据访问的拦截审核系统，所述方法包括：

当所述代理执行模块启用时，代理执行模块接收应用系统发送的访问指令；所述代理执行模块为代理连接模块根据嵌入模块生成，所述代理连接模块为代理启动模块根据所述嵌入模块生成；所述嵌入模块安装在所述应用系统中；

所述代理执行模块审核所述访问指令；

当审核通过时，所述代理执行模块向所述访问指令对应的目标数据库发送所述访问指令。

2.根据权利要求1所述的方法，其特征在于，在所述接收应用系统发送的访问指令之前，所述方法还包括：

当所述应用系统启动时，所述嵌入模块加载所述代理启动模块，所述代理启动模块继承有启动模块的原有功能；所述启动模块存在于所述应用系统中；

所述代理启动模块根据所述嵌入模块，生成所述代理连接模块；

所述代理连接模块根据所述嵌入模块，生成并启用所述代理执行模块。

3.根据权利要求2所述的方法，其特征在于，所述代理执行模块具体为所述代理连接模块和嵌入模块通过Java的反射机制生成；所述代理连接模块具体为所述代理启动模块和所述嵌入模块通过Java的反射机制生成。

4.根据权利要求1所述的方法，其特征在于，所述审核所述访问指令，包括：

审核所述访问指令的写法、复杂度和预计执行时间中的至少一种。

5.根据权利要求1所述的方法，其特征在于，所述方法还包括：

当审核不通过时，所述代理执行模块禁止所述访问指令的执行。

6.一种针对数据访问的拦截审核系统，其特征在于，所述系统包括代理执行模块、代理连接模块、代理启动模块和嵌入模块：

所述代理执行模块，用于当所述代理执行模块启用时，接收应用系统发送的访问指令；审核所述访问指令；当审核通过时，向所述访问指令对应的目标数据库发送所述访问指令；

所述代理执行模块为代理连接模块根据嵌入模块生成，所述代理连接模块为代理启动模块根据所述嵌入模块生成；所述嵌入模块安装在所述应用系统中。

7.根据权利要求6所述的系统，其特征在于，所述嵌入模块，用于当所述应用系统启动时，加载所述代理启动模块，所述代理启动模块继承有启动模块的原有功能；所述启动模块存在于所述庭院系统中；

所述代理启动模块，用于根据所述嵌入模块，生成所述代理连接模块；

所述代理连接模块，用于根据所述嵌入模块，生成并启用所述代理执行模块。

8.根据权利要求7所述的系统，其特征在于，所述代理执行模块具体为所述代理连接模块和所述嵌入模块通过反射生成；所述代理连接模块具体为所述代理启动模块和所述嵌入模块通过反射生成。

9.根据权利要求6所述的系统，其特征在于，所述审核所述访问指令，包括：

审核所述访问指令的写法，复杂度和预计执行时间中的至少一种。

10.根据权利要求6所述的系统，其特征在于，所述代理执行模块还用于：

当审核不通过时，禁止所述访问指令的执行。

Images