CN115222389A - 支付安全控制方法、装置、电子设备及存储介质 - Google Patents

Abstract

本申请提供了一种支付安全控制方法、装置、电子设备及计算机可读存储介质；涉及云技术在支付领域的应用，方法包括：对第一终端设备的支付环境进行安全检测，得到检测结果；当所述检测结果表征所述第一终端设备存在支付风险且处于网络受限状态时，通过与第二终端设备之间的近距离无线通信连接并经由所述第二终端设备，将所述检测结果发送至服务器；通过所述近距离无线通信连接接收与所述检测结果对应的支付封禁方式，所述支付封禁方式是由所述服务器通过所述第二终端设备转发的；在所述第一终端设备中应用所述支付封禁方式。通过本申请，能够有效保证终端设备的电子支付安全。

Description

支付安全控制方法、装置、电子设备及存储介质

技术领域

本申请涉及互联网和计算机技术领域，尤其涉及一种支付安全控制方法、装置、电子设备及计算机可读存储介质。

背景技术

随着互联网技术的发展，电子支付已经逐渐成为主流的支付方式。以刷脸支付为例，刷脸支付是一种基于脸部识别的支付方式，刷脸支付无需钱包、信用卡或者手机，在进行支付操作时，用户只需要面对人脸支付设备屏幕上的摄像头，服务器会自动将人脸支付设备采集到的用户的面部信息与个人账户进行关联，整个支付过程十分便携。

然而，由于电子支付技术的局限性，目前电子支付存在安全风险，例如黑客可能会利用终端设备的安全漏洞进行恶意攻击，实现盗取电子支付的资金或使电子支付无法顺利完成的恶意目的。

发明内容

本申请实施例提供一种支付安全控制方法、装置、电子设备及计算机可读存储介质，能够有效保证终端设备的电子支付安全。

本申请实施例的技术方案是这样实现的：

本申请实施例提供一种支付安全控制方法，应用于第一终端设备，包括：

对所述第一终端设备的支付环境进行安全检测，得到检测结果；

当所述检测结果表征所述第一终端设备存在支付风险且处于网络受限状态时，通过与第二终端设备之间的近距离无线通信连接并经由所述第二终端设备，将所述检测结果发送至服务器；

通过所述近距离无线通信连接接收与所述检测结果对应的支付封禁方式，所述支付封禁方式是由所述服务器通过所述第二终端设备转发的；

在所述第一终端设备中应用所述支付封禁方式。

本申请实施例提供一种支付安全控制装置，应用于第一终端设备，包括：

检测模块，用于对所述第一终端设备的支付环境进行安全检测，得到检测结果；

发送模块，用于当所述检测结果表征所述第一终端设备存在支付风险且处于网络受限状态时，通过与第二终端设备之间的近距离无线通信连接并经由所述第二终端设备，将所述检测结果发送至服务器；

接收模块，用于通过所述近距离无线通信连接接收与所述检测结果对应的支付封禁方式，所述支付封禁方式是由所述服务器通过所述第二终端设备转发的；

封禁模块，用于在所述第一终端设备中应用所述支付封禁方式。

上述方案中，所述封禁模块，还用于在所述第一终端设备中应用与所述支付风险的风险等级对应的支付封禁方式，所述风险等级是所述服务器基于所述检测结果确定的；其中，所述风险等级与所述支付封禁方式对应的封禁等级正相关。

上述方案中，所述支付封禁方式包括删除应用程序、全业务禁用、部分业务禁用，且对应的风险等级依次降低；所述封禁模块，还用于当所述支付封禁方式为所述删除应用程序时，删除所述第一终端设备的支付应用程序；当所述支付封禁方式为所述全业务禁用时，对所述第一终端设备的支付应用程序包括的全部电子支付业务进行封禁处理；当所述支付封禁方式为所述部分业务禁用时，对所述第一终端设备的支付应用程序包括的生物特征支付业务进行封禁处理。

上述方案中，所述装置还包括确定模块，用于确定满足对所述第一终端设备的支付环境进行安全检测的检测条件；其中，所述检测条件包括以下至少之一：到达预先设置的检测周期；接收到待处理的支付请求。

上述方案中，所述检测模块，还用于执行以下操作至少之一：对所述第一终端设备的软件环境进行安全检测，得到表征所述第一终端设备是否存在支付风险的检测结果；对所述第一终端设备的通信环境进行安全检测，得到表征所述第一终端设备是否处于网络受限状态的检测结果。

上述方案中，所述检测模块，还用于检测所述第一终端设备的软件环境中是否存在注入钩子框架的注入攻击；当检测到所述注入攻击时，生成表征所述第一终端设备存在支付风险的检测结果，当未检测到所述注入攻击时，生成表征所述第一终端设备不存在支付风险的检测结果。

上述方案中，所述检测模块，还用于当检测到所述第一终端设备的网络连接断开或者所述网络连接的传输速率低于速率阈值时，生成表征所述第一终端设备处于网络受限状态的检测结果；以及用于当检测到所述第一终端设备的网络连接未断开、且所述网络连接的传输速率高于速率阈值时，或者，当检测到所述第一终端设备的网络连接未断开时，生成表征所述第一终端设备未处于网络受限状态的检测结果。

上述方案中，所述发送模块，还用于通过与服务器之间的网络连接，将所述检测结果直接发送至所述服务器；所述接收模块，还用于通过所述网络连接接收与所述检测结果对应的支付封禁方式，所述支付封禁方式是由所述服务器通过所述网络连接发送的；所述封禁模块，还用于在所述第一终端设备中应用所述支付封禁方式。

上述方案中，所述发送模块，还用于当所述第一终端设备处于网络受限状态时，发送近距离无线通信连接请求，通过所述连接请求建立与所述第二终端设备之间的所述近距离无线通信连接。

本申请实施例提供又一种支付安全控制方法，应用于服务器，包括：

接收对第一终端设备的支付环境进行安全检测得到的检测结果；

其中，所述检测结果是当所述第一终端设备存在支付风险且处于网络受限状态时，通过所述第一终端设备和第二终端设备之间的近距离无线通信连接、并经由所述第二终端设备转发的；

确定与所述检测结果对应的支付封禁方式；

通过所述第二终端设备以及所述近距离无线通信连接，将所述支付封禁方式发送至所述第一终端设备，以使所述第一终端设备应用所述支付封禁方式。

上述方案中，所述确定与所述检测结果对应的支付封禁方式，包括：解析所述检测结果，得到所述支付风险对应的风险等级；基于所述风险等级查询封禁策略，得到与所述风险等级对应的支付封禁方式；其中，所述封禁策略包括不同的所述风险等级与不同的所述支付封禁方式之间的对应关系

本申请实施例提供又一种支付安全控制装置，应用于服务器，包括：

接收模块，用于接收对第一终端设备的支付环境进行安全检测得到的检测结果；

其中，所述检测结果是当所述第一终端设备存在支付风险且处于网络受限状态时，通过所述第一终端设备和第二终端设备之间的近距离无线通信连接、并经由所述第二终端设备转发的；

确定模块，用于确定与所述检测结果对应的支付封禁方式；

发送模块，用于通过所述第二终端设备以及所述近距离无线通信连接，将所述支付封禁方式发送至所述第一终端设备，以使所述第一终端设备应用所述支付封禁方式。

上述方案中，所述确定模块，还用于解析所述检测结果，得到所述支付风险对应的风险等级；基于所述风险等级查询封禁策略，得到与所述风险等级对应的支付封禁方式；其中，所述封禁策略包括不同的所述风险等级与不同的所述支付封禁方式之间的对应关系。

上述方案中，所述支付封禁方式包括删除应用程序、全业务禁用、部分业务禁用，且对应的风险等级依次降低；所述装置还包括封禁处理模块，用于当所述支付封禁方式为所述删除应用程序时，对所述第一电子设备的支付应用程序发送的全部请求进行封禁处理；当所述支付封禁方式为所述全业务禁用时，对所述第一电子设备发送的全部电子支付业务的请求进行封禁处理；当所述支付封禁方式为所述部分业务禁用时，对所述第一电子设备发送的生物特征支付业务的请求进行封禁处理。

本申请实施例提供一种电子设备，包括：

存储器，用于存储可执行指令；

处理器，用于执行所述存储器中存储的可执行指令时，实现本申请实施例提供的支付安全控制方法。

本申请实施例提供一种计算机可读存储介质，存储有可执行指令，用于引起处理器执行时，实现本申请实施例提供的支付安全控制方法。

本申请实施例提供一种计算机程序产品，所述计算机程序产品包括计算机可执行指令，用于被处理器执行时，实现本申请实施例提供的支付安全控制方法。

本申请实施例具有以下有益效果：

当检测到第一终端设备存在支付风险且处于网络受限状态时，通过第一终端设备和第二终端设备之间的近距离无线通信连接将检测结果发送至第二终端设备，并经由第二终端设备发送至服务器，随后，服务器可以通过第二终端设备以及第一终端设备和第二终端设备之间的近距离无线通信连接将针对检测结果确定的支付封禁方式发送至第一终端设备，从而第一终端设备可以应用服务器下发的支付封禁方式，如此，能够有效保证第一终端设备的电子支付安全。

附图说明

图1A是本申请实施例提供的支付安全控制系统100的架构示意图；

图1B是本申请实施例提供的支付安全控制系统101的架构示意图；

图2是本申请实施例提供的服务器200的结构示意图；

图3是本申请实施例提供的第一终端设备400-1的结构示意图；

图4是本申请实施例提供的支付安全控制方法的流程示意图；

图5是本申请实施例提供的支付安全控制方法的流程示意图；

图6是本申请实施例提供的人脸支付设备的结构示意图；

图7是本申请实施例提供的支付安全控制系统的核心架构图。

具体实施方式

为了使本申请的目的、技术方案和优点更加清楚，下面将结合附图对本申请作进一步地详细描述，所描述的实施例不应视为对本申请的限制，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本申请保护的范围。

在以下的描述中，涉及到“一些实施例”，其描述了所有可能实施例的子集，但是可以理解,“一些实施例”可以是所有可能实施例的相同子集或不同子集，并且可以在不冲突的情况下相互结合。

在以下的描述中，所涉及的术语“第一\第二”仅仅是是区别类似的对象，不代表针对对象的特定排序，可以理解地，“第一\第二”在允许的情况下可以互换特定的顺序或先后次序，以使这里描述的本申请实施例能够以除了在这里图示或描述的以外的顺序实施。

除非另有定义，本文所使用的所有的技术和科学术语与属于本申请的技术领域的技术人员通常理解的含义相同。本文中所使用的术语只是为了描述本申请实施例的目的，不是旨在限制本申请。

对本申请实施例进行进一步详细说明之前，对本申请实施例中涉及的名词和术语进行说明，本申请实施例中涉及的名词和术语适用于如下的解释。

1)客户端：终端设备中运行的用于提供各种服务的应用程序，例如即时通讯客户端、人脸识别客户端、支付客户端等等。

2)响应于：用于表示所执行的操作所依赖的条件或者状态，当满足所依赖的条件或状态时，所执行的一个或多个操作可以是实时的，也可以具有设定的延迟；在没有特别说明的情况下，所执行的多个操作不存在执行先后顺序的限制。

3)人脸识别：通过人脸多媒体信息换取人身份信息的技术。

4)三维(3D，3-Dimensions)摄像头：在摄像头的基础上添加了用于实施活体检测的软硬件，包括：深度相机、红外相机，以提高人脸识别准确度，从而保证信息安全。

5)小程序(Mini Program)：是一种不需要下载安装即可使用的应用程序。为了向用户提供更多样化的业务服务，开发者可为终端的应用(例如即时通信应用、购物应用、邮件应用等)开发相应的小程序，该小程序可作为子应用被嵌入至终端的应用中，通过运行应用内的子应用(即对应的小程序)能够为用户提供相应的业务服务。

6)电子支付操作：使用电子手段把支付信息通过网络安全地传送到银行或第三方支付机构，用来实现货币支付或资金流转的行为。就类型而言，包括口令支付、生物特征支付，其中生物特征支付可以包括刷脸支付、指纹支付等。

7)近距离无线通信连接：利用电磁波信号在空间传播的特性实现近距离范围内进行信息交换的通信方式，包括蓝牙(Bluetooth)、紫峰(ZigBee)和近场通信(NFC，NearField Communication)等。

8)网络连接：不同电子设备之间进行信息交换的媒介，包括蜂窝网络连接(例如基于4G、5G数据网络或者其演进网络的连接)和无线相容性认证(WiFi)网络连接等。

随着移动支付的兴起，口令支付、刷脸支付、指纹支付等各种类型的电子支付方式层出不穷。电子支付在给人们的生活带来便利的同时，也存在着较大的安全风险，例如存在被黑客攻击的风险。以刷脸支付为例，为了防御黑客的攻击，目前线下的人脸支付设备均具有一定的安全检测和封禁手段。同时，为了灵活控制封禁策略以及防止误伤(即防止对正常的人脸支付设备进行封禁处理)，相关技术提供的方案中，封禁策略通常是在服务器侧实现的，人脸支付设备仅仅上报检测到的异常攻击信息，不会直接进行封禁操作。

然而，黑客在攻击人脸支付设备时，为防止人脸支付设备将检测到的异常攻击信息上报至服务器，以使服务器下发对应的封禁指令，通常也会提前断开人脸支付设备的网络连接，从而导致在人脸支付设备断网情况下发生的恶意攻击比较难以发现，也无法对处于断网情况下的人脸支付设备进行封禁处理。

针对上述技术问题，本申请实施例提供一种支付安全控制方法、装置、电子设备和计算机可读存储介质，能够有效保证终端设备的电子支付安全。

下面说明本申请实施例提供的电子设备的示例性应用，本申请实施例提供的电子设备可以实施为笔记本电脑，平板电脑，台式计算机，机顶盒，移动设备(例如，移动电话，便携式音乐播放器，个人数字助理，专用消息设备，便携式游戏设备)、人脸支付设备等各种类型的用户终端，也可以实施为服务器，或者由终端设备和服务器协同实施。下面以终端设备和服务器协同实施本申请实施例提供的支付安全控制方法为例进行说明。

参见图1A，图1A是本申请实施例提供的支付安全控制系统100的架构示意图，为实现支撑对存在支付风险且处于网络受限状态的终端设备进行封禁处理的应用，其中，支付安全控制系统100包括：服务器200、网络300、第一终端设备400-1和第二终端设备400-2，下面进行具体说明。

第一终端设备400-1(例如人脸支付设备)可以定期对第一终端设备400-1的支付环境(例如客户端410-1的软件环境和第一终端设备400-1的通信环境)进行安全检测，得到检测结果。当检测结果表征第一终端设备400-1存在支付风险(例如客户端410-1遭受黑客的恶意攻击)且处于网络受限状态(例如处于断网状态)时，会发送近距离无线通信连接请求(例如广播蓝牙连接请求)。第二终端设备400-2在接收到第一终端设备400-1发送的连接请求后，与第一终端设备400-1建立近距离无线通信连接。此时，第一终端设备400-1可以将检测结果通过已建立的近距离无线通信连接发送至第二终端设备400-2，以使第二终端设备400-2将检测结果通过网络300发送至服务器200，其中，服务器200是第一终端设备400-1的后台服务器(例如可以是人脸支付的后台服务器)。服务器200在接收到第二终端设备400-2发送的检测结果后，对检测结果进行解析，并确定出与检测结果对应的支付封禁方式。随后，服务器200通过网络300将支付封禁方式发送至第二终端设备400-2，最后，第二终端设备400-2通过已建立的近距离无线通信连接将服务器200下发的支付封禁方式发送至第一终端设备400-1，从而可以在第一终端设备400-1中应用服务器200下发的支付封禁方式，如此，能够有效保证第一终端设备400-1的电子支付安全。

需要说明的是，第一终端设备400-1和第二终端设备400-2可以是相同类型的终端设备，例如第一终端设备400-1和第二终端设备400-2均是人脸支付设备，即第一终端设备400-1上运行的客户端410-1和第二终端设备400-2上运行的客户端410-2均是人脸支付客户端；当然，第一终端设备400-1和第二终端设备400-2也可以是不同类型的终端设备，例如第一终端设备400-1是人脸支付设备，第二终端设备400-2是通讯设备，例如手机，本申请实施例对此不作限定。

在一些实施例中，第一终端设备400-1可以通过运行计算机程序来实现本申请实施例提供的支付安全控制方法，其中，计算机程序可以是操作系统中的原生程序或软件模块；例如可以是上述的客户端410-1，客户端410-1可以是本地(Native)应用程序(APP，Application)，即需要在操作系统中安装才能运行的程序，例如支付APP；计算机程序也可以是小程序，即只需要下载到浏览器环境中就可以运行的程序；计算机程序还可以是能够嵌入至任意APP中的支付小程序。总而言之，上述计算机程序可以是任意形式的应用程序、模块或插件。

在另一些实施例中，本申请实施例还可以借助于云技术(Cloud Technology)实现，云技术是指在广域网或局域网内将硬件、软件、网络等系列资源统一起来，实现数据的计算、储存、处理和共享的一种托管技术。

云技术是基于云计算商业模式应用的网络技术、信息技术、整合技术、管理平台技术、以及应用技术等的总称，可以组成资源池，按需所用，灵活便利。云计算技术将变成重要支撑。技术网络系统的后台服务需要大量的计算、存储资源。

示例的，图1A中的服务器200可以是独立的物理服务器，也可以是多个物理服务器构成的服务器集群或者分布式系统，还可以是提供云服务、云数据库、云计算、云函数、云存储、网络服务、云通信、中间件服务、域名服务、安全服务、CDN、以及大数据和人工智能平台等基础云计算服务的云服务器。

在一些实施例中，本申请实施例提供的支付安全控制方法还可以结合区块链技术实现。

示例的，参见图1B，图1B是本申请实施例提供的支付安全控制系统101的架构示意图，如图1B所示，服务器200、第一终端设备400-1和第二终端设备400-2可以加入区块链网络500而成为其中的一个节点。区块链网络500的类型是灵活多样的，例如可以为公有链、私有链或联盟链中的任意一种。以公有链为例，任何业务主体的电子设备，都可以在不需要授权的情况下接入区块链网络500，以作为区块链网络500的共识节点，例如服务器200映射为区块链网络500中的共识节点500-1，第一终端设备400-1映射为区块链网络500中的共识节点500-2，第二终端设备400-2映射为区块链网络500中的共识节点500-3。

以区块链网络500为联盟链为例，服务器200、第一终端设备400-1和第二终端设备400-2在获得授权后可以接入区块链网络500而成为节点。第一终端设备400-1在针对自身的支付环境进行安全检测，得到检测结果后，可以将检测结果发送至区块链网络500中进行共识。当共识通过、且检测结果表征第一终端设备400-1存在支付风险且处于网络受限状态时，通过与第二终端设备400-2之间的近距离无线通信连接将检测结果发送至第二终端设备400-2，以使第二终端设备400-2将检测结果发送至服务器200中。服务器200在接收到第二终端设备400-2发送的检测结果后，可以通过执行智能合约的方式对检测结果进行解析，以确定出对应的支付封禁方式，并将所确定出的支付封禁方式发送至第二终端设备400-2，以使第二终端设备400-2通过已经建立的近距离无线通信连接将支付封禁方式发送至第一终端设备400-1。可见，基于区块链网络不可篡改的特性，能够有效记录已经发生过的攻击事件，从而能够进一步保证终端设备的电子支付安全。

下面对图1A中的服务器200的结构进行说明。参见图2，图2是本申请实施例提供的服务器200的结构示意图，图2所示的服务器200包括：至少一个处理器210、存储器240、至少一个网络接口220。服务器200中的各个组件通过总线系统230耦合在一起。可理解，总线系统230用于实现这些组件之间的连接通信。总线系统230除包括数据总线之外，还包括电源总线、控制总线和状态信号总线。但是为了清楚说明起见，在图2中将各种总线都标为总线系统230。

处理器210可以是一种集成电路芯片，具有信号的处理能力，例如通用处理器、数字信号处理器(DSP，Digital Signal Processor)，或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等，其中，通用处理器可以是微处理器或者任何常规的处理器等。

存储器240可以是可移除的，不可移除的或其组合。示例性的硬件设备包括固态存储器，硬盘驱动器，光盘驱动器等。存储器240可选地包括在物理位置上远离处理器210的一个或多个存储设备。

存储器240包括易失性存储器或非易失性存储器，也可包括易失性和非易失性存储器两者。非易失性存储器可以是只读存储器(ROM，Read Only Memory)，易失性存储器可以是随机存取存储器(RAM，Random Access Memory)。本申请实施例描述的存储器240旨在包括任意适合类型的存储器。

在一些实施例中，存储器240能够存储数据以支持各种操作，这些数据的示例包括程序、模块和数据结构或者其子集或超集，下面示例性说明。

操作系统241，包括用于处理各种基本系统服务和执行硬件相关任务的系统程序，例如框架层、核心库层、驱动层等，用于实现各种基础业务以及处理基于硬件的任务；

网络通信模块242，用于经由一个或多个(有线或无线)网络接口220到达其他计算设备，示例性的网络接口220包括：蓝牙、无线相容性认证(WiFi)、和通用串行总线(USB，Universal Serial Bus)等；

在一些实施例中，本申请实施例提供的支付安全控制装置可以采用软件方式实现，图2示出了存储在存储器240中的支付安全控制装置243，其可以是程序和插件等形式的软件，包括以下软件模块：接收模块2431、确定模块2432、发送模块2433和封禁处理模块2434，这些模块是逻辑上的，因此根据所实现的功能可以进行任意的组合或进一步拆分，将在下文中说明各个模块的功能。

下面继续对图1A中的第一终端设备400-1的结构进行说明。参见图3，图3是本申请实施例提供的第一终端设备400-1的结构示意图。如图3所示，第一终端设备400-1包括：处理器410、网络接口420、用户接口430、总线系统440和存储器450。其中，用户接口430包括使得能够呈现媒体内容的一个或者多个输出装置431，例如包括一个或者多个扬声器和/或一个或多个视觉显示屏。用户接口430还包括一个或多个输入装置432，包括有助于用户输入的用户接口部件，比如键盘、鼠标、麦克风、触屏显示屏、摄像头、其他输入按钮和控件。存储器450中包括：操作系统451、网络通信模块452、呈现模块453，用于经由一个或多个与用户接口430相关联的输出装置431(例如，显示屏、扬声器等)使得能够显示信息(例如，用于操作外围设备和显示内容和信息的用户接口)、输入处理模块454，用于对一个或多个来自一个或多个输入装置432之一的一个或多个用户输入或互动进行检测以及翻译所检测的输入或互动、以及支付安全控制装置455。其中，存储在存储器450中的支付安全控制装置455中的软件模块包括：检测模块4551、发送模块4552、接收模块4553、封禁模块4554和确定模块4555，这些模块是逻辑上的，因此可以根据所实现的功能进行任意的组合或进一步拆分，将在下文中说明各个模块的功能。

下面，首先以由图1A中的第一终端设备400-1执行本申请实施例提供的支付安全控制方法为例进行说明。

参见图4，图4是本申请实施例提供的支付安全控制方法的流程示意图，将结合图4示出的步骤进行说明。

在步骤S101中，对第一终端设备(例如图1A中的第一终端设备400-1)的支付环境进行安全检测，得到检测结果；在步骤S102中，当检测结果表征第一终端设备存在支付风险且处于网络受限状态时，通过与第二终端设备(例如图1A中的第二终端设备400-2)之间的近距离无线通信连接并经由第二终端设备，将检测结果发送至服务器；在步骤S103中，通过近距离无线通信连接接收与检测结果对应的支付封禁方式，其中，支付封禁方式是由服务器通过第二终端设备转发的；在步骤S104中，在第一终端设备中应用支付封禁方式，如此，当第一终端设备存在支付风险且处于网络受限状态时，可以通过第一终端设备和第二终端设备之间的近距离无线通信连接，并经由第二终端设备将检测结果发送至服务器，随后，服务器可以通过第二终端设备以及第一终端设备和第二终端设备之间的近距离无线通信连接将针对检测结果确定的支付封禁方式发送至第一电子设备，以使第一电子设备应用服务器下发的支付封禁方式，如此，能够有效保证终端设备的电子支付安全。

下面，从第一终端设备、第二终端设备以及服务器之间交互的角度对本申请实施例提供的支付安全控制方法进行具体说明。

参见图5，图5是本申请实施例提供的支付安全控制方法的流程示意图，将结合图5示出的步骤进行说明。

在步骤S201中，第一终端设备对第一终端设备的支付环境进行安全检测，得到检测结果。

在一些实施例中，第一终端设备可以通过以下方式对第一终端设备的支付环境进行安全检测，得到检测结果：对第一终端设备内部的软件环境进行安全检测，得到表征第一终端设备是否存在支付风险的检测结果；对第一终端设备外部的通信环境进行安全检测，得到表征第一终端设备是否处于网络受限状态的检测结果；其中，网络受限状态包括：网络连接断开、或者网络连接的传输速率(例如上行速率、下行速率或二者的均值)低于速率阈值。

示例的，以第一终端设备为人脸支付设备为例，人脸支付设备可以周期性对人脸支付设备的支付环境进行安全检测，例如针对人脸支付设备上运行的人脸识别客户端或者对人脸支付设备运行的操作系统整体进行周期性安全检测扫描，得到表征人脸支付设备是否存在支付风险(例如是否遭受恶意攻击)的检测结果；同时，人脸支付设备也可以对人脸支付设备的通信环境进行检测，例如检测人脸支付设备的网络连接是否断开、或者在检测到人脸支付设备的网络连接没有断开时，进一步检测网络连接的传输速率是否低于速率阈值(例如下行速率是否低于5KB/S)，从而得到表征人脸支付设备是否处于网络受限状态的检测结果。

在另一些实施例中，第一终端设备可以在对第一终端设备的支付环境进行安全检测之前，还可以执行以下操作：确定满足对第一终端设备的支付环境进行安全检测的检测条件：其中，检测条件包括以下至少之一：到达预先设置的检测周期；接收到待处理的支付请求。

示例的，第一终端设备可以按照预先设置的周期对第一终端设备的支付环境进行安全检测，例如可以每隔30分钟对第一终端设备的支付环境进行安全检测，如此，通过周期性扫描的方式能够保证检测结果的时效性；当然，第一终端设备也可以在接收到待处理的支付请求时，才对第一终端设备的支付环境进行检测，即每次在进行支付操作前，首先会针对第一终端设备的支付环境进行一次安全检测，如此，通过仅在每次执行支付操作前进行扫描的方式能够有效节约第一终端设备的资源。

在步骤S202中，第一终端设备基于检测结果判断第一终端设备是否存在支付风险，当不存在支付风险时，执行步骤S201；当存在支付风险时，执行步骤S203。

在一些实施例中，第一终端设备可以通过以下方式判断第一终端设备是否存在支付风险：检测第一终端设备的软件环境中是否存在注入钩子(hook，又称“钩子”，它可以在事件传送的过程中截获并监控事件的传输，将自身的代码与APP原始的系统方法进行融入，从而调用或者篡改APP原始的代码)框架的注入攻击；当检测到注入攻击时，生成表征第一终端设备存在支付风险的检测结果；当未检测到注入攻击时，生成表征第一终端设备不存在支付风险的检测结果。

示例的，以第一终端设备运行的操作系统为安卓(Android)系统为例，在Android系统中存在以下几种常见的hook框架：Xposed(通过替换/system/bin/app_process程序控制Zygote进程，使得app_process在启动过程中会加载XposedBridge.jar这个Jar包，从而完成对Zygote进程及其创建的Dalvik虚拟机的劫持)、Cydia Substrate(一个代码修改平台，它可以修改任何进程的代码)和Legend(Android系统中免Root环境下的一个APK hook框架，该框架代码设计简洁，通用性高，适合逆向工程时的一些hook场景，其通过直接构造出新旧方法对应的虚拟机数据结构，然后替换信息写入内存中)。

以hook框架为Xposed为例，当第一终端设备检测到第一终端设备的软件环境中存在注入Xposed的注入攻击(例如frida等注入hook框架的注入攻击，其中，frida是一款基于python和JavaScript的hook调试框架，它可以插入代码到人脸支付设备上运行的人脸识别客户端的内存空间中，从而对人脸识别客户端进行动态的监视和修改)时，生成表征第一终端设备存在支付风险的检测结果。

需要说明的是，当人脸支付设备基于当前的检测结果确定人脸支付设备不存在支付风险时，会周期性对人脸支付设备的支付环境重新进行安全检测，其中，检测过程可以参照步骤S201的描述，本申请实施例在此不再赘述。

在步骤S203中，第一终端设备基于检测结果判断第一终端设备是否处于网络受限状态，当处于网络受限状态时，则后续执行步骤S204至步骤S209；当未处于网络受限状态时，则后续执行步骤S2010至步骤S2013。

在一些实施例中，当基于检测结果确定第一终端设备存在支付风险时，第一终端设备还可以通过以下方式进一步判断第一终端设备是否处于网络受限状态：当检测到第一终端设备的网络连接断开或者网络连接的传输速率低于速率阈值时，生成表征第一终端设备处于网络受限状态的检测结果；当检测到第一终端设备的网络连接未断开且网络连接的传输速率高于速率阈值，或者，当检测到第一终端设备的网络连接未断开时，生成表征第一终端设备未处于网络受限状态的检测结果。

示例的，仍以第一终端设备为人脸支付设备为例，人脸支付设备在检测到人脸支付设备存在支付风险(例如人脸支付设备检测到人脸支付设备内部的软件环境中存在注入hook框架的注入攻击)时，进一步对人脸支付设备外部的通信环境进行检测，以确定人脸支付设备是否处于网络受限状态。例如，当人脸支付设备检测到人脸支付设备的网络连接断开或者网络连接未断开，但网络连接的传输速率低于速率阈值时，生成表征人脸支付设备处于网络受限状态的检测结果；当检测到人脸支付设备的网络连接未断开且网络连接的传输速率高于速率阈值时，生成表征人脸支付设备未处于网络受限状态(即人脸支付设备能够正常联网的状态)的检测结果。

在步骤S204中，第一终端设备通过近距离无线通信连接将检测结果发送至第二终端设备。

在一些实施例中，第一终端设备在通过近距离无线通信连接将检测结果发送至第二终端设备(可以是与第一终端设备相同类型的终端设备，也可以是与第一终端设备不同类型的终端设备)之前，还可以执行以下操作：当第一终端设备处于网络受限状态时，发送(例如广播)近距离无线通信连接请求，通过连接请求建立与第二终端设备之间的近距离无线通信连接；其中，第二终端设备是能够正常联网的终端设备。

示例的，以第一终端设备为人脸支付设备A为例，当人脸支付设备A遭受恶意攻击且处于断网状态时，会启动人脸支付设备A中的蓝牙模块，广播蓝牙连接请求。当在一定范围内(例如在人脸支付设备A的蓝牙连接范围内)的人脸支付设备B接收到人脸支付设备A广播的蓝牙连接请求后，会与人脸支付设备A建立蓝牙连接，如此，处于断网状态的人脸支付设备A可以通过蓝牙通道将检测结果(包括人脸支付设备A检测到的异常攻击信息、以及人脸支付设备A对应的序列号等)发送至人脸支付设备B，以通过人脸支付设备B将检测结果发送至服务器。

需要说明的是，在实际应用中，第一终端设备和第二终端设备之间的近距离无线通信连接可以是始终保持的，即无论第一终端设备是否处于网络受限状态，始终建立第一终端设备与第二终端设备之间的近距离无线通信连接；当然，为了节省第一终端设备和第二终端设备的资源，第一终端设备和第二终端设备之间的近距离无线通信连接也可以是定期建立的，即在第一时间周期内建立第一终端设备与第二终端设备之间的近距离无线通信连接，在第二时间周期内断开第一终端设备与第二终端设备之间的近距离无线通信连接，如此周而复始，本申请实施例对此不作限定。

在步骤S205中，第二终端设备将检测结果发送至服务器。

在一些实施例中，第二终端设备在通过近距离无线通信连接(例如蓝牙连接)接收到第一终端设备发送的检测结果后，可以通过与服务器之间的网络连接(例如蜂窝网络连接或者WiFi连接)将检测结果发送至服务器。

示例的，以第二终端设备为人脸支付设备B为例，人脸支付设备B响应于遭受恶意攻击且处于断网状态的人脸支付设备A广播的蓝牙连接请求，与人脸支付设备A建立蓝牙连接，接着，人脸支付设备B通过已经建立的蓝牙通道接收人脸支付设备A发送的检测结果，其中，检测结果可以包括人脸支付设备A检测到的异常攻击信息、以及人脸支付设备A对应的序列号(用于供服务器从多个人脸支付设备中确定出人脸支付设备A)等，随后，人脸支付设备B通过蜂窝网络连接或者WiFi网络连接将人脸支付设备A发送的检测结果转发至对应的人脸后台服务器中。

在步骤S206中，服务器确定与检测结果对应的支付封禁方式。

在一些实施例中，服务器可以通过以下方式确定与检测结果对应的支付封禁方式：对检测结果进行解析，得到支付风险对应的风险等级；基于风险等级查询封禁策略，得到与风险等级对应的支付封禁方式；其中，封禁策略包括不同的风险等级与不同的支付封禁方式之间的对应关系。

示例的，以第一终端设备为人脸支付设备A为例，人脸后台服务器在接收到人脸支付设备A所检测到的异常攻击信息后，对异常攻击信息进行解析，例如确定异常攻击的攻击类型(不同的攻击类型对人脸支付设备A造成的影响不同)，接着，人脸后台服务器可以根据所确定出的攻击类型，来确定人脸支付设备A存在的支付风险对应的风险等级，随后，人脸后台服务器可以基于风险等级查询封禁策略，得到与风险等级对应的支付封禁方式。其中，支付封禁方式可以包括删除应用程序、全业务禁用、部分业务禁用三个等级，且对应的风险等级依次降低。

举例来说，当人脸后台服务器根据识别出的攻击类型确定人脸支付设备A存在的支付风险对应的风险等级为高风险等级时，可以将删除应用程序的支付封禁方式下发至人脸支付设备A，以控制人脸支付设备A删除运行的人脸识别客户端；当人脸后台服务器根据识别出的攻击类型确定人脸支付设备A存在的支付风险对应的风险等级为中风险等级时，可以将全业务禁用的支付封禁方式下发至人脸支付设备A，以对人脸支付设备A中全部的电子支付业务进行封禁处理(在对人脸支付设备A中全部的电子支付业务成功进行封禁处理后，人脸支付设备A提供的全部电子支付业务将处于无法使用的状态，例如用户无法点击进入相应的支付请求界面)，其中，电子支付业务的类型可以包括：口令支付业务(即需要支付密码的支付业务)、生物特征支付业务(例如刷脸支付业务、指纹支付业务等)、付款码(即扫码支付)支付业务；当人脸后台服务器根据识别出的攻击类型确定人脸支付设备A存在的支付风险对应的风险等级为低风险等级时，可以将部分业务禁用的支付封禁方式下发至人脸支付设备A，以对人脸支付设备A中的刷脸支付业务进行封禁处理，即当对人脸支付设备A中的刷脸支付业务成功封禁处理后，人脸支付设备A的刷脸支付业务将处于无法使用的状态。

在另一些实施例中，第一终端设备存在的支付风险对应的风险等级也可以是与第一终端设备被攻击的次数或者被攻击的频率正相关的(即第一终端设备被攻击的次数越多或者被攻击的频率越高，其存在的支付风险对应的风险等级也越高)，例如当第一终端设备在一定的时长内遭受恶意攻击的次数超过次数阈值(例如第一终端设备在一个星期内遭受恶意攻击的次数超过5次)时，则可以将第一终端设备存在的支付风险对应的风险等级从低风险等级调整至高风险等级。

在步骤S207中，服务器将支付封禁方式发送至第二终端设备。

在一些实施例中，服务器在基于检测结果确定出对应的支付封禁方式后，通过网络连接将支付封禁方式发送至第二终端设备，例如服务器可以以下发封禁指令的方式向第二终端设备发送所确定出的支付封禁方式，其中，服务器与第二终端设备之间的网络连接可以是各种类型的网络连接，例如蜂窝网络连接或者WiFi网络连接等。

示例的，以第二终端设备为人脸支付设备B为例，服务器在针对人脸支付设备A(即第一终端设备)所检测到的异常攻击信息进行解析，确定出攻击类型，并基于攻击类型确定出对应的风险等级后，可以基于风险等级查询封禁策略，以得到与风险等级对应的支付封禁方式，随后，服务器可以以封禁指令的方式向人脸支付设备B发送所得到的支付封禁方式。

在步骤S208中，第二终端设备通过近距离无线通信连接将支付封禁方式发送至第一终端设备。

在一些实施例中，第二终端设备在接收到服务器发送的支付封禁方式后，可以通过第一终端设备和第二终端设备之间建立的近距离无线通信连接(例如蓝牙连接)将服务器下发的支付封禁方式发送至第一终端设备。

示例的，以第一终端设备为人脸支付设备A、第二终端设备为人脸支付设备B为例，人脸支付设备B在接收到人脸后台服务器发送的与支付封禁方式对应的封禁指令，通过人脸支付设备A和人脸支付设备B之间建立的蓝牙连接，将人脸后台服务器下发的封禁指令发送至人脸支付设备A。

在步骤S209中，第一终端设备在第一终端设备中应用支付封禁方式。

在一些实施例中，第一终端设备在接收到第二终端设备通过近距离无线通信连接发送的服务器下发的与所确定出的支付封禁方式对应的封禁指令后，根据所接收到的封禁指令对第一终端设备执行对应的封禁处理。

示例的，以第一终端设备为人脸支付设备A为例，人脸支付设备A在接收到人脸支付设备B通过蓝牙通道发送的人脸后台服务器下发的封禁指令后，执行人脸后台服务器下发的封禁指令，例如当封禁指令为删除APP时，则人脸支付设备A删除人脸支付设备A上运行的人脸APP；当封禁指令为全业务禁用时，人脸支付设备A对人脸支付设备A提供的全部电子支付业务进行封禁处理；当封禁指令为部分业务禁用时，人脸支付设备A仅对人脸支付设备A提供的刷脸支付业务进行封禁处理。

在另一些实施例中，当第一终端设备(例如人脸支付设备A)被封禁后，还可以通过上述已经建立的近距离无线通信连接(例如蓝牙连接)接收其他终端设备(例如人脸支付设备B)转发的生物特征数据库(例如人脸库)，例如，人脸支付设备B可以通过蓝牙连接定期将最新的人脸库转发至被封禁的人脸支付设备A(例如人脸支付设备B可以定期或不定期针对服务器中存储的人脸库进行监听，当监听到人脸库发生更新时，将更新后的人脸库通过蓝牙连接发送至被封禁的人脸支付设备A)，如此，被封禁的人脸支付设备A可以供人脸支付设备B在进行人脸识别时查询使用。

示例的，当人脸支付设备B处于网络受限状态(例如处于断网状态或者能够联网但网络连接的传输速率较低)，即无法上传采集到的待验证人脸图像到服务器中进行用户身份信息的识别或者上传采集到的待验证人脸图像到服务器需要花费较长时间(这会严重影响刷脸支付的处理效率)时，可以通过蓝牙连接将采集到的待验证人脸图像发送至被封禁的人脸支付设备A，以调用被封禁的人脸支付设备A中存储的人脸库进行用户身份信息的识别，也就是说，被封禁的人脸支付设备A从业务设备变为备份人脸库使用，如此，一方面当人脸支付设备B处于网络受限状态时，能够通过被封禁的人脸支付设备A实现用户身份信息的离线识别，另一方面也提高了被封禁的人脸支付设备A的利用率。

此外，还需要说明的是，通过上述将被封禁的人脸支付设备A从业务设备变为备份人脸库使用的方式，当被封禁的人脸支付设备A后续解封禁后(即重新变为业务设备后)，由于人脸支付设备A中存储有人脸支付设备B通过蓝牙连接转发的最新的人脸库，因此解封禁后的人脸支付设备A能够基于本地的人脸库实现离线的用户身份信息的识别功能，而无需上传采集到的待验证的人脸图像到服务器中进行识别，也提高了后续刷脸支付的处理效率。

在步骤S2010中，第一终端设备通过网络连接发送检测结果至服务器。

在一些实施例中，当检测结果表征第一终端设备存在支付风险且未处于网络受限状态(即第一终端设备能够正常联网)时，第一终端设备还可以执行以下操作：通过与服务器之间的网络连接(例如WiFi网络连接或者蜂窝网络连接)，将检测结果直接发送至服务器。

示例的，以第一终端设备为人脸支付设备为例，当人脸支付设备检测到人脸支付设备的软件环境中存在注入hook框架的注入攻击，同时，人脸支付设备还是能够正常联网(即攻击者没有断开人脸支付设备的网络连接)时，人脸支付设备可以通过蜂窝网络连接或者WiFi网络连接(取决于人脸支付设备当前的网络连接类型)直接将所检测到的异常信息以及人脸支付设备对应的序列号发送至服务器(例如与人脸支付设备对应的人脸后台服务器)。

在步骤S2011中，服务器确定与检测结果对应的支付封禁方式。

在一些实施例中，服务器在接收到第一终端设备通过网络连接直接发送的检测结果后，对检测结果进行解析，以确定出第一终端设备存在的支付风险对应的风险等级，随后，根据确定出的风险等级查询封禁策略，以得到与风险等级对应的支付封禁方式。

在步骤S2012中，服务器通过网络连接发送支付封禁方式至第一终端设备。

在一些实施例中，服务器在基于检测结果确定出对应的支付封禁方式后，可以通过网络连接直接将所确定出的支付封禁方式发送至第一终端设备，其中，服务器与第一终端设备之间的网络连接可以是各种类型的网络连接，例如蜂窝网络连接或者WiFi网络连接等。

示例的，以第一终端设备为人脸支付设备为例，人脸后台服务器在基于被攻击的人脸支付设备所检测到的异常攻击信息确定出对应的支付封禁方式后，可以通过网络连接(例如蜂窝网络连接或者WiFi网络连接)直接将所确定出的支付封禁方式发送至人脸支付设备。

在步骤S2013中，第一终端设备在第一终端设备中应用支付封禁方式。

在一些实施例中，第一终端设备在接收到服务器直接下发的支付封禁方式后，在第一终端设备中应用与支付风险的风险等级对应的支付封禁方式，其中，风险等级与支付封禁方式对应的封禁等级正相关，例如当支付封禁方式为删除应用程序(对应于高风险等级)时，第一终端设备删除第一终端设备的支付应用程序；当支付封禁方式为全业务禁用(对应于中风险等级)时，第一终端设备对第一终端设备的支付应用程序包括的全部电子支付业务进行封禁处理；当支付封禁方式为部分业务禁用(对应于低风险等级)时，第一终端设备对第一终端设备的支付应用程序包括的生物特征支付业务(例如刷脸支付业务、指纹支付业务等)进行封禁处理。

在另一些实施例中，第一终端设备在第一终端设备中应用服务器下发的支付封禁方式后，服务器还可以执行以下操作：当支付封禁方式为删除应用程序时，对第一终端设备的支付应用程序发送的全部请求(包括支付请求和其他请求)进行封禁处理，即服务器屏蔽响应第一终端设备的支付应用程序后续发送的全部请求；当支付封禁方式为全业务禁用时，对第一终端设备发送的全部电子支付业务的请求进行封禁处理，即服务器屏蔽响应第一终端设备发送的全部电子支付业务的请求；当支付封禁方式为部分业务禁用时，对第一终端设备发送的生物特征支付业务的请求进行封禁处理，即服务器屏蔽响应第一终端设备发送的生物特征支付业务(例如刷脸支付业务、指纹支付业务等)的请求。如此，以服务器侧的封禁处理作为兜底方案，避免了终端设备侧由于黑客的恶意攻击导致无法成功执行相应的支付封禁方式，从而进一步保障了终端设备的支付安全性。

需要说明的是，在实际应用中，服务器可以在基于检测结果确定出对应的支付封禁方式之后，在服务器侧立即生效相应的封禁处理，也就是说，服务器侧的封禁处理与第一终端设备是否执行了封禁处理没有先后关系，例如当服务器基于检测结果确定出对应的支付封禁方式为全业务禁用后，服务器可以立即屏蔽响应第一终端设备后续发送的全部电子支付业务请求，而不必等待在第一终端设备中应用了全业务禁用的支付封禁方式后才执行封禁处理。

本申请实施例提供的支付安全控制方法，在检测到第一终端设备存在支付风险且处于网络受限状态时，通过第一终端设备和第二终端设备之间的近距离无线通信连接将检测结果发送至第二终端设备，并经由第二终端设备发送至服务器，随后，服务器可以通过第二终端设备以及第一终端设备和第二终端设备之间的近距离无线通信连接将针对检测结果确定的支付封禁方式发送至第一终端设备，从而第一终端设备可以应用服务器下发的支付封禁方式，如此，能够保证终端设备的电子支付安全。

下面，以第一终端设备和第二终端设备均为人脸支付设备为例，说明本申请实施例在一个实际的应用场景中的示例性应用。

为了避免攻击者(例如黑客)对人脸支付设备(又称刷脸设备)的恶意攻击导致用户的财产损失，目前线下的人脸支付设备均有一定的安全检测和封禁手段，同时，为了灵活控制封禁策略以及防止误伤(即防止对正常的人脸支付设备进行封禁处理)，相关技术提供的方案中，封禁策略通常是由服务器侧实现的，人脸支付设备仅仅上报检测到的异常信息(例如恶意攻击信息)，不做直接的封/解禁处理。

然而，攻击者在攻击人脸支付设备时，通常也会提前将人脸支付设备的网络连接断开，以防止人脸支付设备将检测到的异常信息上报至服务器，以使服务器在接收到人脸支付设备上报的异常信息后进行后续的封禁操作。也就是说，相关技术提供的方案中，针对人脸支付设备断网情况下发生的恶意攻击事件比较难以发现，同时，也无法对遭受恶意攻击且处于断网情况下的人脸支付设备进行封禁处理。

针对上述技术问题，本申请实施例提供一种支付安全控制方法，在线下的不同人脸支付设备之间建立近距离无线通信连接(例如蓝牙连接)，如此，当某一人脸支付设备(例如人脸支付设备A)遭受恶意攻击且处于断网状态时，人脸支付设备A可以通过已经建立的蓝牙连接，将检测到的异常信息通过蓝牙通道发送至正常的人脸支付设备(即未遭受恶意攻击能够正常联网的人脸支付设备，例如人脸支付设备B)，以通过人脸支付设备B将异常信息发送至服务器，服务器在接收到人脸支付设备B发送的异常信息后，根据封禁策略，确定出对应的封禁方式，并将与封禁方式对应的封禁指令发送至人脸支付设备B，以使人脸支付设备B通过上述蓝牙通道将封禁指令发送至遭受恶意攻击的人脸支付设备A，从而实现对处于断网状态的人脸支付设备A的封禁处理。同时，本申请实施例提供的支付安全控制方法，还保留了服务器侧在联网情况下的封/解禁操作，例如当人脸支付设备A遭受恶意攻击，但还是能够正常联网时，人脸支付设备A可以直接通过网络连接将检测到的异常信息发送至服务器，以使服务器针对异常信息进行解析，并根据封禁策略，通过网络连接直接向人脸支付设备A下发对应的封禁指令。

下面对本申请实施例提供的支付安全控制方法进行具体说明。

示例的，参见图6，图6是本申请实施例提供的人脸支付设备的结构示意图，如图6所示，人脸支付设备可包括摄像装置，该摄像装置可以内置于人脸支付设备或者外接于人脸支付设备，该摄像装置可以是三维摄像头，相比于传统的摄像头，三维摄像头添加了活体检测的相关软硬件(例如深度相机、红外相机等)，从而具有了活体检测的功能。此外，该摄像装置还可以包括图像传感器，该图像传感器用于采集用户人脸的图像数据，该图像传感器可以包括彩色图像(例如RGB图像)传感器、深度图像传感器或者红外图像传感器中的任意一种或者多种的组合。

示例的，当人脸支付设备接收到用户触发的人脸支付操作请求时，会调用摄像装置采集用户的人脸图像流(例如连续采集用户的多张人脸图像)，并对人脸图像流进行图像解析，以确定出人脸图像流中各个人脸图像分别对应的人脸图像指标，依照人脸图像指标从多个人脸图像中确定出目标人脸图像(例如人脸图像指标最高的人脸图像)，将目标人脸图像的图像数据确定为目标人脸图像数据，随后，人脸支付设备将目标人脸图像数据发送至服务器进行人脸识别，同时，人脸支付设备的用户界面会进入载入态，以等待服务器返回的支付结果。

在一些实施例中，上述的人脸图像指标可以包括以下任意一种或者多种：人脸大小、人脸角度、图像对比度、图像的亮度和清晰度等指标。人脸支付设备可以通过各个人脸图像在各个人脸图像指标下的数值，对多个人脸图像进行综合评分，并将综合评分最高的人脸图像确定为目标人脸图像。

示例的，参见图7，图7是本申请实施例提供的支付安全控制系统的核心架构图，该核心架构整体包括人脸支付设备A(即被攻击的人脸支付设备，对应于上述的第一终端设备)、人脸支付设备B(即正常的人脸支付设备，对应于上述的第二终端设备)以及对应的服务器，下面分别进行具体说明。

(一)人脸支付设备A

在一些实施例中，人脸支付设备A包括3D摄像头以及人脸识别客户端(即图7中示出的人脸APP)，其中，3D摄像头用于采集用户的人脸图像流，包括用户人脸的真彩图像流、深度图像流以及红外图像流等，人脸APP包括人脸识别模块(用于人脸采集和人脸优选)、封/解禁模块、检测模块和蓝牙模块等。

示例的，当人脸支付设备A响应于用户触发的人脸支付操作请求调用3D摄像头采集到当前用户的人脸图像流后，会将采集到的人脸图像流发送至人脸APP的人脸识别模块，以使人脸识别模块通过人脸尺寸、人脸角度、图像对比度、图像亮度以及图像清晰度等参数指标对3D摄像头采集到的人脸图像流进行综合评价，以选出最优的人脸图像作为目标人脸图像，在针对采集到的人脸图像流成功进行人脸优选后，人脸支付设备A会通过网络模块将目标人脸图像对应的人脸数据发送至服务器进行人脸识别，同时，人脸支付设备A的用户界面也会进入载入态，以等待服务器返回的支付结果。

在一些实施例中，当人脸支付设备A遭受攻击者(例如黑客)的恶意攻击时，人脸支付设备A的封/解禁模块在接收服务器下发的封禁指令(例如当人脸支付设备A处于断网状态时，可以通过蓝牙模块接收服务器通过人脸支付设备B转发的封禁指令；当人脸支付设备A能够正常联网时，可以直接通过网络模块接收服务器下发的封禁指令)后，执行相应的封禁操作。

示例的，服务器在接收到人脸支付设备A上报的异常信息后，对异常信息进行解析，确定出对应的风险等级，并根据封禁策略确定与风险等级对应的封禁指令，其中，封禁指令可以分为三个等级，第一等级(即高风险等级)为将人脸APP删除的封禁指令，例如当人脸支付设备A的封/解禁模块在接收到服务器下发的第一等级的封禁指令后，删除人脸支付设备A上运行的人脸APP；第二等级(即中风险等级)为将人脸APP中的刷脸支付业务以及付款码支付业务进行封禁的指令，例如当人脸支付设备A的封/解禁模块在接收到服务器下发的第二等级的封禁指令后，对人脸APP中的刷脸支付业务和付款码支付业务进行封禁处理，此时，人脸支付设备A的人脸APP提供的刷脸支付业务和付款码支付业务均处于无法使用的状态，例如在进行封禁处理后，用户无法点击进入人脸APP中的刷脸支付界面和付款码支付页面；第三等级(即低风险等级)为仅封禁人脸APP中的刷脸支付业务的指令，例如当人脸支付设备A的封/解禁模块在接收到服务器下发的第三等级的封禁指令后，对人脸APP中的刷脸支付业务进行封禁处理，此时，人脸支付设备A中人脸APP提供的刷脸支付业务处于无法使用的状态，例如在进行封禁处理后，用户无法点击进入人脸APP中的刷脸支付界面。

在一些实施例中，人脸支付设备A中的检测模块会定期(例如每隔30分中执行一次安全检测扫描)执行安全检测扫描功能，例如当检测到常见的frida等注入hook框架的注入攻击时，则会收集相应的攻击信息，并将检测到的攻击信息发送至服务器。

在一些实施例中，当人脸支付设备A遭受攻击者的恶意攻击而处于断网状态时，会启动蓝牙模块提供的蓝牙服务，广播蓝牙连接请求。当人脸支付设备B接收到人脸支付设备A广播的蓝牙连接请求后，与人脸支付设备A建立蓝牙连接，从而人脸支付设备A可以通过已经建立的蓝牙通道将检测到的异常信息发送至人脸支付设备B，由人脸支付设备B将异常信息通过网络模块发送至服务器，同时，人脸支付设备B还通过网络模块接收服务器下发的封禁指令，并通过已经建立的蓝牙通道将封禁指令发送至人脸支付设备A，以实现对人脸支付设备A的封禁操作。如此，通过借力于周边设备(例如人脸支付设备B)，服务器可以快速发现被恶意攻击的人脸支付设备(例如人脸支付设备A)，并对被攻击的人脸支付设备进行封禁处理。

(二)人脸支付设备B

在一些实施例中，当人脸支付设备B(即正常的人脸支付设备)的蓝牙模块在接收到被恶意攻击的人脸支付设备(例如人脸支付设备A)发送的蓝牙连接请求时，会与人脸支付设备A建立起蓝牙连接，并通过蓝牙通道接收人脸支付设备A发送的相关信息，其中，相关信息包括例如人脸支付设备A对应的序列号(SN，Serial Number)和网络状态等常规信息、以及人脸支付设备A的检测模块所检测到的异常信息。人脸支付设备B在通过蓝牙通道接收到人脸支付设备A发送的相关信息后，会通过网络模块将相关信息发送至服务器进行识别，以确定出对应的封禁指令(例如服务器通过序列号从多个人脸支付设备中确定出人脸支付设备A，并通过对异常信息进行分析，确定出对应的风险等级，随后，基于风险等级查询封禁策略，以确定出对应的封禁指令)，随后，服务器将封禁指令发送至人脸支付设备B，以使人脸支付设备B通过上述蓝牙通道将封禁指令发送至人脸支付设备A，以实现对人脸支付设备A的封禁处理。

(三)服务器

在一些实施例中，服务器(例如人脸支付设备A对应的后台服务器)包括云端人脸支付服务模块、设备封/解禁服务模块、跨设备封/解禁服务模块和封/解禁策略等。

示例的，以人脸支付设备A为例，服务器中的云端人脸支付服务模块用于接收人脸支付设备A上传的人脸图像数据，并对人脸图像数据进行特征提取，接着，将所提取的人脸特征与数据库(例如SQLite，其是一款轻型的数据库，是遵守ACID的关系型数据库管理系统)中存储的多个人脸特征进行比对，找出分数最高的人脸特征，随后，基于找出的分数最高的人脸特征在人脸数据库中找出对应的人脸的身份信息，即识别出当前用户的身份信息，最后，在支付体系内返回识别出的身份信息对应的支付账号或者支付付款码等相关信息。也就是说，服务器在比对通过后，会将用户的人脸特征数据以及对应的支付账号等信息发送至人脸支付设备A。

在一些实施例中，当被恶意攻击的人脸支付设备(例如人脸支付设备A)能够正常联网时，可以通过网络模块直接将检测到的异常信息发送至服务器，以使服务器中的设备封/解禁服务模块针对异常信息进行解析，并根据封禁策略，直接向人脸支付设备A下发对应的封禁指令。

在一些实施例中，当人脸支付设备A遭受恶意攻击且处于断网状态时，人脸支付设备A可以通过蓝牙模块将检测到的异常信息发送至人脸支付设备B，以使人脸支付设备B通过自身的网络模块将异常信息发送至服务器。接着，服务器调用跨设备封/解禁服务模块对异常信息进行解析，并根据封禁策略，向人脸支付设备B下发对应的封禁指令，以使人脸支付设备B通过已经建立的蓝牙通道将服务器下发的封禁指令发送至人脸支付设备A，从而实现对人脸支付设备A的封禁处理。

在一些实施例中，服务器中存储的封/解禁策略可以包括APP删除、全业务禁用和部分业务禁用三个等级；其中，APP删除是指删除被攻击的人脸支付设备运行的人脸APP；全业务禁用是指针对被攻击的人脸支付设备运行的人脸APP中的刷脸支付业务和付款码支付业务进行封禁处理；部分业务禁用是指仅针对被攻击的人脸支付设备运行的人脸APP中的刷脸支付业务进行封禁处理。

本申请实施例提供的支付安全控制方法，通过对线下不同的人脸支付设备之间建立蓝牙连接，如此，当某一人脸支付设备(例如人脸支付设备A)遭受恶意攻击且处于断网状态时，人脸支付设备A可以通过已经建立的蓝牙连接，将检测到的异常信息通过蓝牙通道发送至正常的人脸支付设备(例如人脸支付设备B)，以通过人脸支付设备B将异常信息发送至服务器，服务器在接收到人脸支付设备B发送的异常信息后，根据封禁策略，确定出对应的封禁手段，并将与封禁手段对应的封禁指令发送至人脸支付设备B，以使人脸支付设备B通过上述蓝牙通道将封禁指令发送至遭受恶意攻击的人脸支付设备A，从而有效解决了无法对处于断网状态的人脸支付设备A进行封禁的问题。

下面继续说明本申请实施例提供的支付安全控制装置243实施为软件模块的示例性结构，在一些实施例中，如图2所示，存储在存储器240的支付安全控制装置243中的软件模块可以包括：接收模块2431、确定模块2432和发送模块2433。

接收模块2431，用于接收对第一终端设备的支付环境进行安全检测得到的检测结果；其中，检测结果是当第一终端设备存在支付风险且处于网络受限状态时，通过第一终端设备和第二终端设备之间的近距离无线通信连接、并经由第二终端设备转发的；确定模块2432，用于确定与检测结果对应的支付封禁方式；发送模块2433，用于通过第二终端设备以及近距离无线通信连接，将支付封禁方式发送至第一终端设备，以使第一终端设备应用支付封禁方式。

在一些实施例中，确定模块2432，还用于解析检测结果，得到支付风险对应的风险等级；基于风险等级查询封禁策略，得到与风险等级对应的支付封禁方式；其中，封禁策略包括不同的风险等级与不同的支付封禁方式之间的对应关系。

在一些实施例中，支付封禁方式包括删除应用程序、全业务禁用、部分业务禁用，且对应的风险等级依次降低；支付安全控制装置243还包括封禁处理模块2434，用于当支付封禁方式为删除应用程序时，对第一电子设备的支付应用程序发送的全部请求进行封禁处理；当支付封禁方式为全业务禁用时，对第一电子设备发送的全部电子支付业务的请求进行封禁处理；当支付封禁方式为部分业务禁用时，对第一电子设备发送的生物特征支付业务的请求进行封禁处理。

下面继续说明本申请实施例提供的支付安全控制装置455实施为软件模块的示例性结构，在一些实施例中，如图3所示，存储在存储器450的支付安全控制装置455中的软件模块可以包括：检测模块4551、发送模块4552、接收模块4553和封禁模块4554。

检测模块4551，用于对第一终端设备的支付环境进行安全检测，得到检测结果；发送模块4552，用于当检测结果表征第一终端设备存在支付风险且处于网络受限状态时，通过与第二终端设备之间的近距离无线通信连接并经由第二终端设备，将检测结果发送至服务器；接收模块4553，用于通过近距离无线通信连接接收与检测结果对应的支付封禁方式，支付封禁方式是由服务器通过第二终端设备转发的；封禁模块4554，用于在第一终端设备中应用支付封禁方式。

在一些实施例中，封禁模块4554，还用于在第一终端设备中应用与支付风险的风险等级对应的支付封禁方式，风险等级是服务器基于检测结果确定的；其中，风险等级与支付封禁方式对应的封禁等级正相关。

在一些实施例中，支付封禁方式包括删除应用程序、全业务禁用、部分业务禁用，且对应的风险等级依次降低；封禁模块4554，还用于当支付封禁方式为删除应用程序时，删除第一终端设备的支付应用程序；当支付封禁方式为全业务禁用时，对第一终端设备的支付应用程序包括的全部电子支付业务进行封禁处理；当支付封禁方式为部分业务禁用时，对第一终端设备的支付应用程序包括的生物特征支付业务进行封禁处理。

在一些实施例中，支付安全控制装置455还包括确定模块4555，用于确定满足对第一终端设备的支付环境进行安全检测的检测条件；其中，检测条件包括以下至少之一：到达预先设置的检测周期；接收到待处理的支付请求。

在一些实施例中，检测模块4551，还用于执行以下操作至少之一：对第一终端设备的软件环境进行安全检测，得到表征第一终端设备是否存在支付风险的检测结果；对第一终端设备的通信环境进行安全检测，得到表征第一终端设备是否处于网络受限状态的检测结果。

在一些实施例中，检测模块4551，还用于检测第一终端设备的软件环境中是否存在注入钩子框架的注入攻击；当检测到注入攻击时，生成表征第一终端设备存在支付风险的检测结果，当未检测到注入攻击时，生成表征第一终端设备不存在支付风险的检测结果。

在一些实施例中，检测模块4551，还用于当检测到第一终端设备的网络连接断开或者网络连接的传输速率低于速率阈值时，生成表征第一终端设备处于网络受限状态的检测结果；以及用于当检测到第一终端设备的网络连接未断开、且网络连接的传输速率高于速率阈值时，或者，当检测到第一终端设备的网络连接未断开时，生成表征第一终端设备未处于网络受限状态的检测结果。

在一些实施例中，发送模块4552，还用于通过与服务器之间的网络连接，将检测结果直接发送至服务器；接收模块4553，还用于通过网络连接接收与检测结果对应的支付封禁方式，支付封禁方式是由服务器通过网络连接发送的；封禁模块4554，还用于在第一终端设备中应用支付封禁方式。

在一些实施例中，发送模块4552，还用于当第一终端设备处于网络受限状态时，发送近距离无线通信连接请求，通过连接请求建立与第二终端设备之间的近距离无线通信连接。

需要说明的是，本申请实施例装置的描述，与上述方法实施例的描述是类似的，具有同方法实施例相似的有益效果，因此不做赘述。对于本申请实施例提供的支付安全控制装置中未尽的技术细节，可以根据图4-5任一附图的说明而理解。

本申请实施例提供了一种计算机程序产品或计算机程序，该计算机程序产品或计算机程序包括计算机指令，该计算机指令存储在计算机可读存储介质中。计算机设备的处理器从计算机可读存储介质读取该计算机指令，处理器执行该计算机指令，使得该计算机设备执行本申请实施例上述的支付安全控制方法。

本申请实施例提供一种存储有可执行指令的计算机可读存储介质，其中存储有可执行指令，当可执行指令被处理器执行时，将引起处理器执行本申请实施例提供的方法，例如，如图4-5任一附图示出的支付安全控制方法。

在一些实施例中，计算机可读存储介质可以是FRAM、ROM、PROM、EPROM、EEPROM、闪存、磁表面存储器、光盘、或CD-ROM等存储器；也可以是包括上述存储器之一或任意组合的各种设备。

在一些实施例中，可执行指令可以采用程序、软件、软件模块、脚本或代码的形式，按任意形式的编程语言(包括编译或解释语言，或者声明性或过程性语言)来编写，并且其可按任意形式部署，包括被部署为独立的程序或者被部署为模块、组件、子例程或者适合在计算环境中使用的其它单元。

作为示例，可执行指令可以但不一定对应于文件系统中的文件，可以可被存储在保存其它程序或数据的文件的一部分，例如，存储在超文本标记语言(HTML，Hyper TextMarkup Language)文档中的一个或多个脚本中，存储在专用于所讨论的程序的单个文件中，或者，存储在多个协同文件(例如，存储一个或多个模块、子程序或代码部分的文件)中。

作为示例，可执行指令可被部署为在一个计算设备上执行，或者在位于一个地点的多个计算设备上执行，又或者，在分布在多个地点且通过通信网络互连的多个计算设备上执行。

综上所述，当检测到第一终端设备存在支付风险且处于网络受限状态时，本申请实施例通过第一终端设备和第二终端设备之间的近距离无线通信连接将检测结果发送至第二终端设备，并经由第二终端设备发送至服务器，随后，服务器可以通过第二终端设备以及第一终端设备和第二终端设备之间的近距离无线通信连接将针对检测结果确定的支付封禁方式发送至第一终端设备，从而第一终端设备可以应用服务器下发的支付封禁方式，如此，能够保证终端设备的电子支付安全。

以上所述，仅为本申请的实施例而已，并非用于限定本申请的保护范围。凡在本申请的精神和范围之内所作的任何修改、等同替换和改进等，均包含在本申请的保护范围之内。

Claims (15)

1.一种支付安全控制方法，其特征在于，应用于第一终端设备，所述方法包括：

对所述第一终端设备的支付环境进行安全检测，得到检测结果；

当所述检测结果表征所述第一终端设备存在支付风险且处于网络受限状态时，通过与第二终端设备之间的近距离无线通信连接并经由所述第二终端设备，将所述检测结果发送至服务器；

通过所述近距离无线通信连接接收与所述检测结果对应的支付封禁方式，所述支付封禁方式是由所述服务器通过所述第二终端设备转发的；

在所述第一终端设备中应用所述支付封禁方式。

2.根据权利要求1所述的方法，其特征在于，所述在所述第一终端设备中应用所述支付封禁方式，包括：

在所述第一终端设备中应用与所述支付风险的风险等级对应的支付封禁方式，所述风险等级是所述服务器基于所述检测结果确定的；

其中，所述风险等级与所述支付封禁方式对应的封禁等级正相关。

3.根据权利要求1所述的方法，其特征在于，

所述支付封禁方式包括删除应用程序、全业务禁用、部分业务禁用，且对应的风险等级依次降低；

所述在所述第一终端设备中应用所述支付封禁方式，包括：

当所述支付封禁方式为所述删除应用程序时，删除所述第一终端设备的支付应用程序；

当所述支付封禁方式为所述全业务禁用时，对所述第一终端设备的支付应用程序包括的全部电子支付业务进行封禁处理；

当所述支付封禁方式为所述部分业务禁用时，对所述第一终端设备的支付应用程序包括的生物特征支付业务进行封禁处理。

4.根据权利要求1所述的方法，其特征在于，在对所述第一终端设备的支付环境进行安全检测之前，所述方法还包括：

确定满足对所述第一终端设备的支付环境进行安全检测的检测条件；

其中，所述检测条件包括以下至少之一：

到达预先设置的检测周期；

接收到待处理的支付请求。

5.根据权利要求1所述的方法，其特征在于，所述对所述第一终端设备的支付环境进行安全检测，得到检测结果，包括：

执行以下操作至少之一：

对所述第一终端设备的软件环境进行安全检测，得到表征所述第一终端设备是否存在支付风险的检测结果；

对所述第一终端设备的通信环境进行安全检测，得到表征所述第一终端设备是否处于网络受限状态的检测结果。

6.根据权利要求5所述的方法，其特征在于，所述对所述第一终端设备的软件环境进行安全检测，得到表征所述第一终端设备是否存在支付风险的检测结果，包括：

检测所述第一终端设备的软件环境中是否存在注入钩子框架的注入攻击；

当检测到所述注入攻击时，生成表征所述第一终端设备存在支付风险的检测结果，当未检测到所述注入攻击时，生成表征所述第一终端设备不存在支付风险的检测结果。

7.根据权利要求5所述的方法，其特征在于，所述对所述第一终端设备的通信环境进行安全检测，得到表征所述第一终端设备是否处于网络受限状态的检测结果，包括：

当检测到所述第一终端设备的网络连接断开或者所述网络连接的传输速率低于速率阈值时，生成表征所述第一终端设备处于网络受限状态的检测结果；

当检测到所述第一终端设备的网络连接未断开、且所述网络连接的传输速率高于速率阈值时，或者，当检测到所述第一终端设备的网络连接未断开时，生成表征所述第一终端设备未处于网络受限状态的检测结果。

8.根据权利要求1所述的方法，其特征在于，当所述检测结果表征所述第一终端设备存在支付风险、且未处于网络受限状态时，所述方法还包括：

通过与服务器之间的网络连接，将所述检测结果直接发送至所述服务器；

通过所述网络连接接收与所述检测结果对应的支付封禁方式，所述支付封禁方式是由所述服务器通过所述网络连接发送的；

在所述第一终端设备中应用所述支付封禁方式。

9.根据权利要求1所述的方法，其特征在于，在通过近距离无线通信连接将所述检测结果发送至第二终端设备之前，所述方法还包括：

当所述第一终端设备处于网络受限状态时，发送近距离无线通信连接请求，通过所述连接请求建立与所述第二终端设备之间的所述近距离无线通信连接。

10.一种支付安全控制方法，其特征在于，应用于服务器，所述方法包括：

接收对第一终端设备的支付环境进行安全检测得到的检测结果；

其中，所述检测结果是当所述第一终端设备存在支付风险且处于网络受限状态时，通过所述第一终端设备和第二终端设备之间的近距离无线通信连接、并经由所述第二终端设备转发的；

确定与所述检测结果对应的支付封禁方式；

通过所述第二终端设备以及所述近距离无线通信连接，将所述支付封禁方式发送至所述第一终端设备，以使所述第一终端设备应用所述支付封禁方式。

11.根据权利要求10所述的方法，其特征在于，

所述支付封禁方式包括删除应用程序、全业务禁用、部分业务禁用，且对应的风险等级依次降低；

当确定与所述检测结果对应的支付封禁方式时，所述方法还包括：

当所述支付封禁方式为所述删除应用程序时，对所述第一电子设备的支付应用程序发送的全部请求进行封禁处理；

当所述支付封禁方式为所述全业务禁用时，对所述第一电子设备发送的全部电子支付业务的请求进行封禁处理；

当所述支付封禁方式为所述部分业务禁用时，对所述第一电子设备发送的生物特征支付业务的请求进行封禁处理。

12.一种支付安全控制装置，其特征在于，应用于第一终端设备，所述装置包括：

检测模块，用于对所述第一终端设备的支付环境进行安全检测，得到检测结果；

发送模块，用于当所述检测结果表征所述第一终端设备存在支付风险且处于网络受限状态时，通过与第二终端设备之间的近距离无线通信连接并经由所述第二终端设备，将所述检测结果发送至服务器；

接收模块，用于通过所述近距离无线通信连接接收与所述检测结果对应的支付封禁方式，所述支付封禁方式是由所述服务器通过所述第二终端设备转发的；

封禁模块，用于在所述第一终端设备中应用所述支付封禁方式。

13.一种支付安全控制装置，其特征在于，应用于服务器，所述装置包括：

接收模块，用于接收对第一终端设备的支付环境进行安全检测得到的检测结果；

其中，所述检测结果是当所述第一终端设备存在支付风险且处于网络受限状态时，通过所述第一终端设备和第二终端设备之间的近距离无线通信连接、并经由所述第二终端设备转发的；

确定模块，用于确定与所述检测结果对应的支付封禁方式；

发送模块，用于通过所述第二终端设备以及所述近距离无线通信连接，将所述支付封禁方式发送至所述第一终端设备，以使所述第一终端设备应用所述支付封禁方式。

14.一种电子设备，其特征在于，所述电子设备包括：

存储器，用于存储可执行指令；

处理器，用于执行所述存储器中存储的可执行指令时，实现权利要求1至9任一项、或权利要求10至11任一项所述的支付安全控制方法。

15.一种计算机可读存储介质，其特征在于，存储有可执行指令，所述可执行指令被执行时用于实现权利要求1至9任一项、或权利要求10至11任一项所述的支付安全控制方法。

Images