CN113438242A - 服务鉴权方法、装置与存储介质 - Google Patents

Abstract

本申请涉及网络鉴权技术领域，本申请提供一种服务鉴权方法、装置与存储介质，服务鉴权方法包括：所述服务提供应用从所述服务调用应用接收服务鉴权请求，所述服务鉴权请求包括待加密信息和第一验签信息；从所述配置中心获取第二秘钥标识；从所述秘钥机获取与所述第二秘钥标识对应的第二秘钥；采用所述第二秘钥对所述待加密信息进行加密，获得第二验签信息；匹配所述第一验签信息和所述第二验签信息是否一致，在所述第一验签信息和所述第二验签信息匹配一致的情况下，所述服务提供应用确定所述服务调用应用通过所述服务提供应用的鉴权。实施本申请，可以提高服务鉴权的安全性。

Description

服务鉴权方法、装置与存储介质

技术领域

本申请涉及网络鉴权技术领域，尤其涉及一种服务鉴权方法、装置与存储介质。

背景技术

服务鉴权是保证服务提供者接口不会被未知来源的调用者调用，目前，一般服务鉴权更多考虑的是内网系统和外网系统的交互场景，并且在内网系统和外网系统之间交互的场景中，服务鉴权的实现大部分由专门设置的服务鉴权中心来集中管控鉴权功能，鉴权过程复杂。其实，内网系统内的应用之间的接口调用同样存在安全风险，比如同一个机房内的应用之间的接口调用同样存在安全风险，因此目前迫切需要设计一种内网系统中的应用接口调用鉴权方法。

发明内容

基于此，有必要针对上述技术问题，提供一种服务鉴权方法、装置与存储介质，可以提供一种局域网内应用之间接口调用的鉴权方式，简单高效，并且将秘钥存储在秘钥机中，避免将秘钥在服务提供应用和服务调用应用之间进行传输，提高鉴权的安全性。

第一方面，本申请提供一种服务鉴权方法，所述服务鉴权方法应用于通信系统，所述通信系统包括服务调用应用、服务提供应用、配置中心以及秘钥机，所述服务调用应用、服务提供应用、配置中心以及秘钥机属于同一局域网，所述服务调用应用调用所述服务提供应用所提供的接口服务，所述方法包括：

所述服务提供应用从所述服务调用应用接收服务鉴权请求，所述服务鉴权请求包括待加密信息和第一验签信息，所述第一验签信息是所述服务调用应用采用第一秘钥对所述待加密信息进行加密得到的；

所述服务提供应用从所述配置中心获取第二秘钥标识；

所述服务提供应用从所述秘钥机获取与所述第二秘钥标识对应的第二秘钥；

所述服务提供应用采用所述第二秘钥对所述待加密信息进行加密，获得第二验签信息；

所述服务提供应用匹配所述第一验签信息和所述第二验签信息是否一致，在所述第一验签信息和所述第二验签信息匹配一致的情况下，所述服务提供应用确定所述服务调用应用通过所述服务提供应用的鉴权。

结合第一方面，在一些实施例中，所述配置中心包括全局配置项，所述全局配置项对应的所有应用具有获取所述全局配置项中所配置的内容的权限，所述全局配置项对应的所有应用包括具有访问所述配置中心权限的所有应用，所述全局配置项对应的所有应用包括所述服务提供应用和所述服务调用应用；

所述服务提供应用从所述配置中心获取第二秘钥标识，包括：

所述服务提供应用从所述配置中心的所述全局配置项中获取所述第二秘钥标识。

结合第一方面，在一些实施例中，所述配置中心包括至少两个应用配置项，一个应用配置项与一个应用对应，所述应用配置项对应的应用具有获取所述应用配置项中所配置的内容的权限；

所述服务提供应用从所述配置中心获取第二秘钥标识，包括：

所述服务提供应用从所述配置中心的第一应用配置项中获取第二秘钥标识，所述第一应用配置项与所述服务提供应用对应，所述至少两个应用配置项中包括所述第一应用配置项。

结合第一方面，在一些实施例中，所述至少两个应用配置项还包括第二应用配置项，所述第一秘钥标识是所述服务调用应用从所述第二应用配置项中获取的，所述第二应用配置项与所述服务调用应用对应。

结合第一方面，在一些实施例中，所述待加密信息包括第一时间戳，所述第一时间戳对应的时刻是指所述服务调用应用发送所述服务鉴权请求的时刻，所述确定所述服务调用应用通过所述服务提供应用的鉴权之前，还包括：

所述服务提供应用确定接收所述服务鉴权请求的第二时间戳；

所述服务提供应用根据所述第一时间戳和所述第二时间戳，确定目标时长；

所述确定所述服务调用应用通过所述服务提供应用的鉴权，包括：

所述服务提供应用在确定所述目标时长小于或者等于时间戳有效时长的情况下，确定所述服务调用应用通过所述服务提供应用的鉴权，所述时间戳有效时长是所述服务提供应用从所述配置中心获取的。

第二方面，本申请提供一种服务鉴权方法，所述服务鉴权方法应用于通信系统，所述通信系统包括服务调用应用、服务提供应用、配置中心以及秘钥机，所述服务调用应用、服务提供应用、配置中心以及秘钥机属于同一局域网，所述服务调用应用调用所述服务提供应用所提供的接口服务，所述方法包括：

所述服务调用应用获取待加密信息；

所述服务调用应用从所述配置中心获取第一秘钥标识；

所述服务调用应用从所述秘钥机获取与所述第一秘钥标识对应的第一秘钥；

所述服务调用应用采用所述第一秘钥对所述待加密信息进行加密，获得第一验签信息；

所述服务调用应用根据所述待加密信息和所述第一验签信息，生成服务鉴权请求；

所述服务调用应用向所述服务提供应用发送所述服务鉴权请求，以使所述服务提供应用采用第二秘钥对所述待加密信息进行加密，获得第二验签信息，并在所述第一验签信息和所述第二验签信息匹配一致的情况下，确定所述服务调用应用通过所述服务提供应用的鉴权。

结合第二方面，在一些实施例中，所述待加密信息包括所述服务调用应用的应用名称、所述服务调用应用所属机房的机房名称、所述机房所属的逻辑区域、所述服务调用应用所请求调用的接口信息。

第三方面，本申请提供一种服务鉴权装置，所述服务鉴权装置应用于通信系统中的服务提供应用，所述通信系统包括服务调用应用、所述服务提供应用、配置中心以及秘钥机，所述服务调用应用、服务提供应用、配置中心以及秘钥机属于同一局域网，所述服务调用应用调用所述服务提供应用所提供的接口服务，该装置包括：

接收单元，用于从所述服务调用应用接收服务鉴权请求，所述服务鉴权请求包括待加密信息和第一验签信息，所述第一验签信息是所述服务调用应用采用第一秘钥对所述待加密信息进行加密得到的；

获取单元，用于从所述配置中心获取第二秘钥标识；

所述获取单元还用于从所述秘钥机获取与所述第二秘钥标识对应的第二秘钥；

加密单元，用于采用所述第二秘钥对所述待加密信息进行加密，获得第二验签信息；

鉴权单元，用于匹配所述第一验签信息和所述第二验签信息是否一致，在所述第一验签信息和所述第二验签信息匹配一致的情况下，确定所述服务调用应用通过所述服务提供应用的鉴权。

结合第三方面，在一些实施例中，所述配置中心包括全局配置项，所述全局配置项对应的所有应用具有获取所述全局配置项中所配置的内容的权限，所述全局配置项对应的所有应用包括具有访问所述配置中心权限的所有应用，所述全局配置项对应的所有应用包括所述服务提供应用和所述服务调用应用；

所述获取单元具体用于从所述配置中心的所述全局配置项中获取所述第二秘钥标识。

结合第三方面，在一些实施例中，所述配置中心包括至少两个应用配置项，一个应用配置项与一个应用对应，所述应用配置项对应的应用具有获取所述应用配置项中所配置的内容的权限；

所述获取单元具体用于从所述配置中心的第一应用配置项中获取第二秘钥标识，所述第一应用配置项与所述服务提供应用对应，所述至少两个应用配置项中包括所述第一应用配置项。

结合第三方面，在一些实施例中，所述至少两个应用配置项还包括第二应用配置项，所述第一秘钥标识是所述服务调用应用从所述第二应用配置项中获取的，所述第二应用配置项与所述服务调用应用对应。

结合第三方面，在一些实施例中，所述待加密信息包括第一时间戳，所述第一时间戳对应的时刻是指所述服务调用应用发送所述服务鉴权请求的时刻；

所述鉴权单元具体用于匹配所述第一验签信息和所述第二验签信息是否一致，在所述第一验签信息和所述第二验签信息匹配一致的情况下，确定接收所述服务鉴权请求的第二时间戳；根据所述第一时间戳和所述第二时间戳，确定目标时长；在确定所述目标时长小于或者等于时间戳有效时长的情况下，确定所述服务调用应用通过所述服务提供应用的鉴权，所述时间戳有效时长是所述服务提供应用从所述配置中心获取的。

第四方面，本申请提供一种服务鉴权装置，所述服务鉴权装置应用于通信系统中的服务调用应用，所述通信系统包括所述服务调用应用、服务提供应用、配置中心以及秘钥机，所述服务调用应用、服务提供应用、配置中心以及秘钥机属于同一局域网，所述服务调用应用调用所述服务提供应用所提供的接口服务，该装置包括：

获取单元，用于获取待加密信息；

所述获取单元还用于从所述配置中心获取第一秘钥标识；

所述获取单元还用于从所述秘钥机获取与所述第一秘钥标识对应的第一秘钥；

加密单元，用于采用所述第一秘钥对所述待加密信息进行加密，获得第一验签信息；

生成单元，用于根据所述待加密信息和所述第一验签信息，生成服务鉴权请求；

发送单元，用于向所述服务提供应用发送所述服务鉴权请求，以使所述服务提供应用采用第二秘钥对所述待加密信息进行加密，获得第二验签信息，并在所述第一验签信息和所述第二验签信息匹配一致的情况下，确定所述服务调用应用通过所述服务提供应用的鉴权。

结合第四方面，在一些实施例中，所述待加密信息包括所述服务调用应用的应用名称、所述服务调用应用所属机房的机房名称、所述机房所属的逻辑区域、所述服务调用应用所请求调用的接口信息。

第五方面，本申请提供一种服务鉴权装置，包括处理器、存储器以及通信接口，该处理器、存储器和通信接口相互连接，其中，该通信接口用于接收和发送数据，该存储器用于存储程序代码，该处理器用于调用该程序代码，执行如第一方面以及第一方面中任一可能的实现方式描述的方法，或者，执行如第二方面以及第二方面中任一可能的实现方式描述的方法。

第六方面，本申请提供一种计算机可读存储介质，该计算机可读存储介质中存储有计算机程序；当该计算机程序在一个或多个处理器上运行时，使得该终端设备执行如第一方面以及第一方面中任一可能的实现方式描述的方法，或者，执行如第二方面以及第二方面中任一可能的实现方式描述的方法。

本申请实施例中，提供一种局域网内服务提供应用对服务调用应用进行鉴权的鉴权方式，服务提供应用接收服务调用应用的服务鉴权请求，该鉴权请求包括待加密信息和第一验签信息，该第一验签信息是服务调用应用采用第一秘钥对待加密信息进行加密得到的，该服务调用应用进一步从配置中心获取第二秘钥标识，并从秘钥机中获取与第二秘钥标识对应的第二秘钥，采用该第二秘钥对待加密信息进行加密，获得第二验签信息，在第一验签信息和第二验签信息之间匹配一致的情况下，确定服务调用应用通过服务提供应用的鉴权。采用本申请，鉴权流程简单高效，并且分别将秘钥标识和秘钥存储在配置中心和秘钥机中，避免将秘钥在服务提供应用和服务调用应用之间进行传输，提高鉴权的安全性。

附图说明

为了更清楚地说明本申请实施例中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍。

图1为本申请实施例提供的一种网络架构图；

图2为本申请实施例提供的一种服务鉴权方法的流程示意图；

图3为本申请实施例提供的另一种服务鉴权装置的示意图；

图4为本申请实施例提供的又一种服务鉴权装置的示意图；

图5为本申请实施例提供的又一种服务鉴权装置的示意图。

具体实施方式

下面结合附图对本发明作进一步详细描述。

本申请以下实施例中所使用的术语只是为了描述特定实施例的目的，而并非旨在作为对本申请的限制。如在本申请的说明书和所附权利要求书中所使用的那样，单数表达形式“一个”、“一种”、“所述”、“上述”、“该”和“这一”旨在也包括复数表达形式，除非其上下文中明确地有相反指示。

在本申请中，“至少一个(项)”是指一个或者多个，“多个”是指两个或两个以上，“至少两个(项)”是指两个或三个及三个以上，“和/或”，用于描述关联对象的关联关系，表示可以存在三种关系，例如，“A和/或B”可以表示：只存在A，只存在B以及同时存在A和B三种情况，其中A，B可以是单数或者复数。字符“/”一般表示前后关联对象是一种“或”的关系。“以下至少一项(个)”或其类似表达，是指这些项中的任意组合。例如，a，b或c中的至少一项(个)，可以表示：a，b，c，“a和b”，“a和c”，“b和c”，或“a和b和c”。

本申请实施例提供了一种服务鉴权方法，为了更清楚地描述本申请的方案，下面对本申请涉及的一些附图作进一步介绍。

请参阅图1，为适用于本申请的系统架构图，该通信系统包括服务调用应用、服务提供应用、配置中心以及秘钥机，该服务调用应用、服务提供应用、配置中心以及秘钥机属于同一个局域网，在一些可选的实施例中，服务调用应用、服务提供应用、配置中心以及秘钥机，该服务调用应用、服务提供应用、配置中心以及秘钥机还可以是属于同一个机房。下面对该通信系统内的各个组件进行说明：

服务提供应用，对外暴露接口服务，为服务调用应用提供所调用的接口，该服务提供应用内置服务端服务鉴权拦截器，用于拦截非法请求，用于生成服务端的验签信息。

服务调用应用，调用服务提供应用所提供的接口服务，该服务调用应用内置客户端权限拦截器，用于生成客户端的验签信息。

配置中心，服务提供应用和服务调用应用的配置管理系统，配置中心将应用配置项、全局配置项全部集中管理。应用配置项仅应用可见，其他应用不可见。全局配置项是所有应用共享的配置。当全局配置项和应用配置项中均存在某个配置项时，应用配置项优先级高于全局配置项，即优先从应用配置项中获取该配置项的具体内容。在配置中心的配置项变更时(包括应用配置项和/或全局配置项)，应用端能实时感知，并获取变更后的配置项的内容。

进一步的，该配置中心还可以存储秘钥标识Key、鉴权策略、时间戳有效时长等信息，该秘钥Key可以保存在全局配置项或应用配置项中，鉴权策略、时间戳有效时长等信息可以保存在应用配置项中。

秘钥机，也称为秘钥管理系统，提供客户端jar集成，该秘钥机中存储秘钥Key与具体的秘钥之间的对应关系。

请参阅图2，图2为本申请实施例提供的一种服务鉴权方法的流程示意图。如图2所示，所述方法包括以下步骤：

S101，服务调用应用获取待加密信息；

在一个实施例中，服务调用应用需要调用服务提供应用所提供的接口服务，服务调用应用在向服务提供应用发送请求消息之前，服务调用应用的客户端权限拦截器获取待加密信息，其中，该待加密信息可以包括但不限于应用上下文信息、该服务调用应用所请求调用的接口信息以及第一时间戳等信息。该第一时间戳可以是指服务调用应用获取该待加密信息的时刻，理论上，该第一时间戳对应的时刻可以与服务调用应用发送请求消息的时刻相等。该应用上下文信息可以包括该服务调用应用的应用名称，该服务调用应用所属机房的机房名称以及该机房所属的逻辑区域等。其中，机房是物理机房，在运维管理上一个机房会划分多个逻辑区域，每个逻辑区域之间做逻辑隔离。例如，秒杀活动流量引入逻辑区域1，即便秒杀活动出现异常，不会影响到其他逻辑区域的业务，有效保证公司业务的整体高可用性。

S102，服务调用应用从配置中心获取第一秘钥标识；

S103，服务调用应用从所述秘钥机获取与所述第一秘钥标识对应的第一秘钥；

在一个实施例中，可以是在服务调用应用启动时，从配置中心获取到第一秘钥标识Key，进一步从秘钥机中获取与该第一秘钥标识对应的第一秘钥。可选的，在服务调用应用访问秘钥机之前，秘钥机还可以对该服务调用应用进行身份鉴权，例如，确定该服务调用应用是否具有访问该秘钥机的权限，在确定该服务调用应用具有访问该秘钥机的权限的情况下，该秘钥机向服务调用应用返回第一秘钥标识对应的第一秘钥。在一些可选的实施方式中，为了保证服务调用应用与秘钥机之间传输秘钥的安全性，第一秘钥可以是通过强加密算法在服务调用应用和所述秘钥机之间进行加密传输的，从而避免秘钥在服务调用应用和服务提供应用之间加密传输，减少服务调用应用和服务提供应用之间传输数据的冗余。同理，秘钥在服务提供应用与秘钥机之间传输也可以是通过强加密算法进行加密传输的。

具体的，本申请的第一秘钥标识可以是配置在配置中心的全局配置项中，或者，也可以是配置在配置中心的应用配置项中，下面分别举例说明：

在一种可选的实施方式中，第一秘钥标识可以配置在配置中心的全局配置项中，具有访问该配置中心权限的所有应用均可以获取到全局配置项中所配置的内容，即所有应用共享全局配置项中所配置的内容，本申请的服务提供应用和服务调用应用共享全局配置项中的内容。可以理解的是，该服务提供应用和服务调用应用从全局配置项中获取的秘钥是相同的。本申请中，服务调用应用可以是从配置中心的全局配置项中获取第一秘钥标识，并进一步从秘钥机中获取与第一秘钥标识对应的第一秘钥。

在另一种可选的实施方式中，第一秘钥标识可以配置在配置中心的应用配置项中，该配置中心包括至少两个应用配置项，一个应用配置项与一个应用对应，该应用配置项对应的应用才具有获取该应用配置项中所配置的内容的权限，即该应用配置项仅对应的应用可见。本申请实施例中，服务调用应用可以与配置中心的第二应用配置项对应，因此，该服务调用应用从配置中心的第二应用配置项中获取第一秘钥标识。

在一个实施例中，当配置中心的配置项(包括全局配置项和/或应用配置项)中内容发生变更时，会推送给应用端，应用端可以是指服务提供应用或服务调用应用，应用端实时刷新相关配置信息，例如，秘钥标识发生变更，则配置中心会将该新的秘钥标识发送给应用端，应用端更新相应的秘钥标识。

S104，所述服务调用应用采用所述第一秘钥对所述待加密信息进行加密，获得第一验签信息；

在一个实施例中，服务调用应用的客户端权限拦截器采用加密算法，通过所获取的第一秘钥对该待加密信息进行加密，得到第一验签信息。

S105，所述服务调用应用根据所述待加密信息和所述第一验签信息，生成服务鉴权请求；

S106，所述服务调用应用向所述服务提供应用发送所述服务鉴权请求。

具体的，服务调用应用向服务提供应用发送包括第一验签信息和待加密信息的服务鉴权请求，其中，该待加密信息可以是在该服务鉴权请求的头部中。

相应的，服务提供应用的服务端服务鉴权拦截器接收请求消息，并从该请求消息的头部中获取待加密信息和第一验签信息。

S107，所述服务提供应用从所述配置中心获取第二秘钥标识；

S108，所述服务提供应用从所述秘钥机获取与所述第二秘钥标识对应的第二秘钥；

在一个实施例中，可以是在服务提供应用启动时，从配置中心获取到第二秘钥标识Key，进一步从秘钥机中获取与该第二秘钥标识对应的第二秘钥。可选的，在服务提供应用访问秘钥机之前，秘钥机还可以对该服务提供应用进行身份鉴权，例如，确定该服务提供应用是否具有访问该秘钥机的权限，在确定该服务提供应用具有访问该秘钥机的权限的情况下，该秘钥机向服务提供应用返回第二秘钥标识对应的第二秘钥。在一些可选的实施方式中，为了保证服务提供应用与秘钥机之间传输秘钥的安全性，第二秘钥可以是通过强加密算法在服务提供应用和所述秘钥机之间进行加密传输的，从而避免秘钥在服务调用应用和服务提供应用之间加密传输，减少服务调用应用和服务提供应用之间传输数据的冗余。

具体的，本申请的第二秘钥标识可以配置在配置中心的全局配置项中，或者，也可以是配置在配置中心的应用配置项中。如果第二秘钥标识是配置在全局配置项中，服务提供应用就从全局配置项中获取第二秘钥标识，则服务提供应用和服务调用应用是从相同的配置项中获取到相同的秘钥标识。如果第二秘钥标识是配置在应用配置项中，该服务提供应用与第一应用配置项对应，服务提供应用就从该第一应用配置项中获取第二秘钥标识。可以理解的是，为了保证服务提供应用和服务调用应用所获取的秘钥相同，在确定服务调用应用具有调用服务提供应用所提供接口服务的权限时，可以预先在第二应用配置项中配置的第一秘钥标识和第一应用配置项中配置的第二秘钥标识相同。

进一步，服务提供应用还可以从配置中心获取鉴权策略、时间戳有效时长、白名单等配置信息，其中，该鉴权策略、时间戳有效时长、白名单等配置信息可以是从配置中心的应用配置项中获取的，即不同应用可能存在不同的鉴权策略、时间戳有效时长、白名单等配置信息。可选的，当配置中心的配置项发生变更时，会推送给应用端，应用端实时刷新相关配置信息，例如，鉴权策略发生变更，则配置中心会将该鉴权策略发送给服务提供应用，服务提供应用更新相应的鉴权策略。可以理解的是，服务提供应用可以获取多种鉴权策略，该多种鉴权策略可以分别对应不同的应用场景信息。

S109，所述服务提供应用采用所述第二秘钥对所述待加密信息进行加密，获得第二验签信息；

在一个实施例中，服务提供应用采用和服务调用应用相同的加密算法，通过所获取的第二秘钥对该待加密信息进行加密，得到第二验签信息。其中，为了保证服务提供应用和服务调用应用所采用的加密算法相同，该加密算法可以是预先设置的。或者，也可以是服务提供应用和服务调用应用从配置中心的全局配置项中获取的，本申请不作限定。

S110，所述服务提供应用匹配所述第一验签信息和所述第二验签信息是否一致，在所述第一验签信息和所述第二验签信息匹配一致的情况下，所述服务提供应用确定所述服务调用应用通过所述服务提供应用的鉴权。

在一个实施例中，服务提供应用可以根据第一验签信息和第二验签信息，对服务调用应用进行鉴权。

在一些可选的实施例中，上述待加密信息可以包括服务调用应用所请求调用的接口信息，该请求接口具体可以是服务调用应用请求访问的服务提供应用的服务接口。具体的，服务提供应用可配置核心业务的接口名单，对这类接口做鉴权，即执行上述步骤S110，而其他非核心业务接口则直接放行，不进行鉴权。服务提供应用也可直接配置忽略鉴权的接口(即非核心接口，例如监控检查接口)，如果服务调用应用所请求调用的接口是忽略鉴权的接口，则服务提供应用直接放行，不进行鉴权。

服务提供应用可以获取到多种不同应用场景对应的多种鉴权策略，比如，一种应用场景对应一种鉴权策略，服务提供应用在对服务调用应用进行鉴权时所采用的鉴权策略可以是根据当前的应用场景所确定的。其中，鉴权策略可以根据以下方式一的验签信息匹配、方式二的时间戳信息验证和方式三的白名单匹配组合得到，下面分别对方式一至方式三进行举例说明：

方式一，服务提供应用比较第一验签信息和第二验签信息是否一致，如果一致，则确定该服务调用应用通过鉴权，并允许该服务调用应用调用该服务提供应用的接口。

方式二，为避免重放攻击，即攻击者截获该请求消息，再利用该请求消息进行暴露攻击，即攻击者向服务提供应用重复多次发送所截获的服务鉴权请求，但是通常如果该服务鉴权请求被截获，服务提供应用接收到该服务鉴权请求的时间戳会超过时间戳有效时长，因此，为了对时间戳进行验证，服务提供应用会根据服务鉴权请求中携带的第一时间戳和该服务提供应用接收该服务鉴权请求的第二日时间戳，确定该服务鉴权请求是否超过时间戳有效时长，如果超过时间戳有效时长，则确定该服务调用应用不通过鉴权，且不允许该服务调用应用调用该服务提供应用的接口。

方式三，可选的，该待加密信息可以包括服务调用应用的应用名称，该服务调用应用所属的机房名称以及所属的逻辑区域、请求调用的接口信息等等，服务提供应用可配置允许访问的服务调用应用的应用名称，比如，服务提供应用可以设置应用白名单，如果服务调用应用的应用名称不在白名单中，则拒绝访问。

可选的，服务提供应用还可配置允许访问的机房名称和逻辑区域名称，比如，服务提供应用可以设置机房白名单和逻辑区域白名单。如果服务调用应用所属的机房名称以及所属的逻辑区域不在白名单中，则拒绝访问。

在一些可选的实施例中，可以根据上述方式一、方式二以及方式三的不同组合，为服务提供应用设置不同的鉴权策略，服务提供应用可以在不同的应用场景下采用不同的鉴权策略对服务调用应用进行鉴权。例如，鉴权策略可以包括严格验证策略和观察验证策略，严格验证策略可以是指，验签信息匹配一致，时间戳在有效时长内，并且通过白名单验证，才确定服务调用应用通过服务鉴权，一般新应用上线默认使用该鉴权策略进行鉴权。观察验证策略可以是指即便验签信息不匹配、时间戳已经失效，但是通过白名单验证，也不会影响服务的调用，但服务提供应用会统计成功、失败信息，该应用场景一般可以是在应用开启新功能之前，对该新功能进行测试的场景。可选的，还可以设置鉴权策略为验签信息匹配一致，通过白名单验证，但是时间戳不在有效时长内，该鉴权策略可以是在网络繁忙的场景下使用。

本申请实施例中，提供一种局域网内服务提供应用对服务调用应用进行鉴权的鉴权方式，服务提供应用接收服务调用应用的服务鉴权请求，该鉴权请求包括待加密信息和第一验签信息，该第一验签信息是服务调用应用采用第一秘钥对待加密信息进行加密得到的，该服务调用应用进一步从配置中心获取第二秘钥标识，并从秘钥机中获取与第二秘钥标识对应的第二秘钥，采用该第二秘钥对待加密信息进行加密，获得第二验签信息，在第一验签信息和第二验签信息之间匹配一致的情况下，确定服务调用应用通过服务提供应用的鉴权。采用本申请，鉴权流程简单高效，并且分别将秘钥标识和秘钥存储在配置中心和秘钥机中，避免将秘钥在服务提供应用和服务调用应用之间进行传输，提高鉴权的安全性。

请参见图3，为本申请实施例提供了一种服务鉴权装置的结构示意图。该服务鉴权装置应用于通信系统中的服务提供应用，所述通信系统包括所述服务调用应用、服务提供应用、配置中心以及秘钥机，所述服务调用应用、服务提供应用、配置中心以及秘钥机属于同一局域网，所述服务调用应用调用所述服务提供应用所提供的接口服务，如图3所示，该服务鉴权装置可以包括：

接收单元10，用于从所述服务调用应用接收服务鉴权请求，所述服务鉴权请求包括待加密信息和第一验签信息，所述第一验签信息是所述服务调用应用采用第一秘钥对所述待加密信息进行加密得到的；

获取单元11，用于从所述配置中心获取第二秘钥标识；

所述获取单元11还用于从所述秘钥机获取与所述第二秘钥标识对应的第二秘钥；

加密单元12，用于采用所述第二秘钥对所述待加密信息进行加密，获得第二验签信息；

鉴权单元13，用于匹配所述第一验签信息和所述第二验签信息是否一致，在所述第一验签信息和所述第二验签信息匹配一致的情况下，确定所述服务调用应用通过所述服务提供应用的鉴权。

在一种可能的设计中，所述配置中心包括全局配置项，所述全局配置项对应的所有应用具有获取所述全局配置项中所配置的内容的权限，所述全局配置项对应的所有应用包括具有访问所述配置中心权限的所有应用，所述全局配置项对应的所有应用包括所述服务提供应用和所述服务调用应用；

所述获取单元11具体用于从所述配置中心的所述全局配置项中获取所述第二秘钥标识。

在一种可能的设计中，所述配置中心包括至少两个应用配置项，一个应用配置项与一个应用对应，所述应用配置项对应的应用具有获取所述应用配置项中所配置的内容的权限；

所述获取单元11具体用于从所述配置中心的第一应用配置项中获取第二秘钥标识，所述第一应用配置项与所述服务提供应用对应，所述至少两个应用配置项中包括所述第一应用配置项。

在一种可能的设计中，所述至少两个应用配置项还包括第二应用配置项，所述第一秘钥标识是所述服务调用应用从所述第二应用配置项中获取的，所述第二应用配置项与所述服务调用应用对应。

在一种可能的设计中，所述待加密信息包括第一时间戳，所述第一时间戳对应的时刻是指所述服务调用应用发送所述服务鉴权请求的时刻；

所述鉴权单元13具体用于匹配所述第一验签信息和所述第二验签信息是否一致，在所述第一验签信息和所述第二验签信息匹配一致的情况下，确定接收所述服务鉴权请求的第二时间戳；根据所述第一时间戳和所述第二时间戳，确定目标时长；在确定所述目标时长小于或者等于时间戳有效时长的情况下，确定所述服务调用应用通过所述服务提供应用的鉴权，所述时间戳有效时长是所述服务提供应用从所述配置中心获取的。

其中，图3所示装置实施例的具体描述可以参照前述图1或图2所示方法实施例的具体说明，在此不进行赘述。

请参见图4，为本申请实施例提供了另一种服务鉴权装置的结构示意图。请参见图4，为本申请实施例提供了另一种服务鉴权装置的结构示意图。该服务鉴权装置应用于通信系统中的服务调用应用，所述通信系统包括所述服务调用应用、服务提供应用、配置中心以及秘钥机，所述服务调用应用、服务提供应用、配置中心以及秘钥机属于同一局域网，所述服务调用应用调用所述服务提供应用所提供的接口服务，如图4所示，该服务鉴权装置可以包括：

获取单元20，用于获取待加密信息；

所述获取单元20还用于从所述配置中心获取第一秘钥标识；

所述获取单元20还用于从所述秘钥机获取与所述第一秘钥标识对应的第一秘钥；

加密单元21，用于采用所述第一秘钥对所述待加密信息进行加密，获得第一验签信息；

生成单元22，用于根据所述待加密信息和所述第一验签信息，生成服务鉴权请求；

发送单元23，用于向所述服务提供应用发送所述服务鉴权请求，以使所述服务提供应用采用第二秘钥对所述待加密信息进行加密，获得第二验签信息，并在所述第一验签信息和所述第二验签信息匹配一致的情况下，确定所述服务调用应用通过所述服务提供应用的鉴权。

在一种可能的设计中，所述待加密信息包括所述服务调用应用的应用名称、所述服务调用应用所属机房的机房名称、所述机房所属的逻辑区域、所述服务调用应用所请求调用的接口信息。

其中，图4所示装置实施例的具体描述可以参照前述图1或图2所示方法实施例的具体说明，在此不进行赘述。

请参照图5，为本申请实施例提供的又一种服务鉴权装置的结构示意图，如图5所示，该服务鉴权装置1000可以包括：至少一个处理器1001，例如CPU，至少一个通信接口1003，存储器1004，至少一个通信总线1002。其中，通信总线1002用于实现这些组件之间的连接通信。通信接口1003可选的可以包括标准的有线接口、无线接口(如WI-FI接口)。存储器1004可以是高速RAM存储器，也可以是非不稳定的存储器(non-volatile memory)，例如至少一个磁盘存储器。存储器1004可选的还可以是至少一个位于远离前述处理器1001的存储装置。如图5所示，作为一种计算机存储介质的存储器1004中可以包括操作系统、网络通信单元以及程序指令。

在一种可能的设计中，若该服务鉴权装置1000应用于通信系统的服务提供应用中，在图5所示的服务鉴权装置1000中，处理器1001可以用于加载存储器1004中存储的程序指令，并具体执行以下操作：

从所述服务调用应用接收服务鉴权请求，所述服务鉴权请求包括待加密信息和第一验签信息，所述第一验签信息是所述服务调用应用采用第一秘钥对所述待加密信息进行加密得到的；

从所述配置中心获取第二秘钥标识；

从所述秘钥机获取与所述第二秘钥标识对应的第二秘钥；

采用所述第二秘钥对所述待加密信息进行加密，获得第二验签信息；

匹配所述第一验签信息和所述第二验签信息是否一致，在所述第一验签信息和所述第二验签信息匹配一致的情况下，确定所述服务调用应用通过所述服务提供应用的鉴权。

在另一种可能的设计中，若该服务鉴权装置1000应用于通信系统的服务调用应用中，在图5所示的服务鉴权装置1000中，处理器1001可以用于加载存储器1004中存储的程序指令，并具体执行以下操作：

获取待加密信息；

从所述配置中心获取第一秘钥标识；

从所述秘钥机获取与所述第一秘钥标识对应的第一秘钥；

采用所述第一秘钥对所述待加密信息进行加密，获得第一验签信息；

根据所述待加密信息和所述第一验签信息，生成服务鉴权请求；

向所述服务提供应用发送所述服务鉴权请求，以使所述服务提供应用采用第二秘钥对所述待加密信息进行加密，获得第二验签信息，并在所述第一验签信息和所述第二验签信息匹配一致的情况下，确定所述服务调用应用通过所述服务提供应用的鉴权。

需要说明的是，具体执行过程可以参见图1或图2所示方法实施例的具体说明，在此不进行赘述。

本申请实施例还提供了一种计算机存储介质，所述计算机存储介质可以存储有多条指令，所述指令适于由处理器加载并执行如上述图1或图2所示实施例的方法步骤，具体执行过程可以参见图1或图2所示实施例的具体说明，在此不进行赘述。

在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。该计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行该计算机程序指令时，全部或部分地产生按照本申请实施例该的流程或功能。该计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。该计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，该计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线)或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。该计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。该可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如DVD)、或者半导体介质(例如固态硬盘)等。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，该流程可以由计算机程序来指令相关的硬件完成，该程序可存储于计算机可读取存储介质中，该程序在执行时，可包括如上述各方法实施例的流程。而前述的存储介质包括：ROM或随机存储记忆体RAM、磁碟或者光盘等各种可存储程序代码的介质。

Claims (10)

1.一种服务鉴权方法，其特征在于，所述服务鉴权方法应用于通信系统，所述通信系统包括服务调用应用、服务提供应用、配置中心以及秘钥机，所述服务调用应用、服务提供应用、配置中心以及秘钥机属于同一局域网，所述服务调用应用调用所述服务提供应用所提供的接口服务，所述方法包括：

所述服务提供应用从所述服务调用应用接收服务鉴权请求，所述服务鉴权请求包括待加密信息和第一验签信息，所述第一验签信息是所述服务调用应用采用第一秘钥对所述待加密信息进行加密得到的；

所述服务提供应用从所述配置中心获取第二秘钥标识；

所述服务提供应用从所述秘钥机获取与所述第二秘钥标识对应的第二秘钥；

所述服务提供应用采用所述第二秘钥对所述待加密信息进行加密，获得第二验签信息；

所述服务提供应用匹配所述第一验签信息和所述第二验签信息是否一致，在所述第一验签信息和所述第二验签信息匹配一致的情况下，所述服务提供应用确定所述服务调用应用通过所述服务提供应用的鉴权。

2.如权利要求1所述的方法，其特征在于，所述配置中心包括全局配置项，所述全局配置项对应的所有应用具有获取所述全局配置项中所配置的内容的权限，所述全局配置项对应的所有应用包括具有访问所述配置中心权限的所有应用，所述全局配置项对应的所有应用包括所述服务提供应用和所述服务调用应用；

所述服务提供应用从所述配置中心获取第二秘钥标识，包括：

所述服务提供应用从所述配置中心的所述全局配置项中获取所述第二秘钥标识。

3.如权利要求1所述的方法，其特征在于，所述配置中心包括至少两个应用配置项，一个应用配置项与一个应用对应，所述应用配置项对应的应用具有获取所述应用配置项中所配置的内容的权限；

所述服务提供应用从所述配置中心获取第二秘钥标识，包括：

所述服务提供应用从所述配置中心的第一应用配置项中获取第二秘钥标识，所述第一应用配置项与所述服务提供应用对应，所述至少两个应用配置项中包括所述第一应用配置项。

4.如权利要求3所述的方法，其特征在于，所述至少两个应用配置项还包括第二应用配置项，所述第一秘钥标识是所述服务调用应用从所述第二应用配置项中获取的，所述第二应用配置项与所述服务调用应用对应。

5.如权利要求1所述的方法，其特征在于，所述待加密信息包括第一时间戳，所述第一时间戳对应的时刻是指所述服务调用应用发送所述服务鉴权请求的时刻，所述确定所述服务调用应用通过所述服务提供应用的鉴权之前，所述在所述第一验签信息和所述第二验签信息匹配一致的情况下之后，还包括：

所述服务提供应用确定接收所述服务鉴权请求的第二时间戳；

所述服务提供应用根据所述第一时间戳和所述第二时间戳，确定目标时长；

所述确定所述服务调用应用通过所述服务提供应用的鉴权，包括：

所述服务提供应用在确定所述目标时长小于或者等于时间戳有效时长的情况下，确定所述服务调用应用通过所述服务提供应用的鉴权，所述时间戳有效时长是所述服务提供应用从所述配置中心获取的。

6.一种服务鉴权方法，其特征在于，所述服务鉴权方法应用于通信系统，所述通信系统包括服务调用应用、服务提供应用、配置中心以及秘钥机，所述服务调用应用、服务提供应用、配置中心以及秘钥机属于同一局域网，所述服务调用应用调用所述服务提供应用所提供的接口服务，所述方法包括：

所述服务调用应用获取待加密信息；

所述服务调用应用从所述配置中心获取第一秘钥标识；

所述服务调用应用从所述秘钥机获取与所述第一秘钥标识对应的第一秘钥；

所述服务调用应用采用所述第一秘钥对所述待加密信息进行加密，获得第一验签信息；

所述服务调用应用根据所述待加密信息和所述第一验签信息，生成服务鉴权请求；

所述服务调用应用向所述服务提供应用发送所述服务鉴权请求，以使所述服务提供应用采用第二秘钥对所述待加密信息进行加密，获得第二验签信息，并在所述第一验签信息和所述第二验签信息匹配一致的情况下，确定所述服务调用应用通过所述服务提供应用的鉴权。

7.如权利要求6所述的方法，其特征在于，所述待加密信息包括所述服务调用应用的应用名称、所述服务调用应用所属机房的机房名称、所述机房所属的逻辑区域、所述服务调用应用所请求调用的接口信息。

8.一种服务鉴权装置，其特征在于，所述服务鉴权装置应用于通信系统中的服务提供应用，所述通信系统包括服务调用应用、所述服务提供应用、配置中心以及秘钥机，所述服务调用应用、服务提供应用、配置中心以及秘钥机属于同一局域网，所述服务调用应用调用所述服务提供应用所提供的接口服务，所述装置包括：

接收单元，用于从所述服务调用应用接收服务鉴权请求，所述服务鉴权请求包括待加密信息和第一验签信息，所述第一验签信息是所述服务调用应用采用第一秘钥对所述待加密信息进行加密得到的；

获取单元，用于从所述配置中心获取第二秘钥标识；

所述获取单元还用于从所述秘钥机获取与所述第二秘钥标识对应的第二秘钥；

加密单元，用于采用所述第二秘钥对所述待加密信息进行加密，获得第二验签信息；

鉴权单元，用于匹配所述第一验签信息和所述第二验签信息是否一致，在所述第一验签信息和所述第二验签信息匹配一致的情况下，确定所述服务调用应用通过所述服务提供应用的鉴权。

9.一种服务鉴权装置，其特征在于，包括处理器、存储器以及通信接口，所述处理器、存储器和通信接口相互连接，其中，所述通信接口用于接收和发送数据，所述存储器用于存储程序代码，所述处理器用于调用所述程序代码，执行如权利要求1至7任一项所述的方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中存储有计算机程序；当所述计算机程序在一个或多个处理器上运行时，执行如权利要求1至7中任一项所述的方法。

Images