CN115529171A - 行为检测方法及装置 - Google Patents

Abstract

本说明书实施例提供行为检测方法及装置，其中所述行为检测方法包括：接收业务处理请求，并确定业务处理请求所属的业务类型以及业务处理请求的业务执行链路；根据业务类型在业务执行链路中，确定业务处理请求对应的检测节点位置，其中，业务执行链路由执行业务处理请求的节点组成；确定检测节点位置对应的越权检测策略，并基于越权检测策略对业务处理请求进行越权检测；根据检测结果和检测节点位置在业务执行链路中确定目标操作节点，并执行目标操作节点对应的业务操作。根据业务类型确定出该请求对应的检测节点位置，从而获取到越权检测策略，从而有效避免请求漏检的问题，并且提供不同的越权检测策略，提高越权检测效率达到保护数据安全的效果。

Description

行为检测方法及装置

技术领域

本说明书实施例涉及信息安全技术领域，特别涉及一种行为检测方法。本说明书一个或者多个实施例同时涉及一种行为检测装置，一种计算设备，以及一种计算机可读存储介质。

背景技术

随着互联网技术的不断发展，人们与互联网的关系愈发紧密。目前许多用户隐私数据都存储于互联网。但是一些恶意用户能够通过一些漏洞篡改用户数据、查询用户隐私，这种行为被称为越权(Privilege Escalation)行为，越权是指攻击者能够执行一些超越其权限的操作，遭遇越权攻击是一个非常严重的安全问题。因此，如何解决越权问题、减少因越权问题造成的损失是目前亟需解决的问题。

发明内容

有鉴于此，本说明书实施例提供了一种行为检测方法。本说明书一个或者多个实施例同时涉及一种行为检测装置，一种计算设备，一种计算机可读存储介质以及一种计算机程序，以解决现有技术中存在的技术缺陷。

根据本说明书实施例的第一方面，提供了一种行为检测方法，包括：

接收业务处理请求，并确定所述业务处理请求所属的业务类型以及所述业务处理请求的业务执行链路；

根据所述业务类型在所述业务执行链路中，确定所述业务处理请求对应的检测节点位置，其中，所述业务执行链路由执行所述业务处理请求的节点组成；

确定所述检测节点位置对应的越权检测策略，并基于所述越权检测策略对所述业务处理请求进行越权检测；

根据检测结果和所述检测节点位置在所述业务执行链路中确定目标操作节点，并执行所述目标操作节点对应的业务操作。

根据本说明书实施例的第二方面，提供了一种行为检测装置，包括：

接收模块，被配置为接收业务处理请求，并确定所述业务处理请求所属的业务类型以及所述业务处理请求的业务执行链路；

确定模块，被配置为根据所述业务类型在所述业务执行链路中，确定所述业务处理请求对应的检测节点位置，其中，所述业务执行链路由执行所述业务处理请求的节点组成；

检测模块，被配置为确定所述检测节点位置对应的越权检测策略，并基于所述越权检测策略对所述业务处理请求进行越权检测；

执行模块，被配置为根据检测结果和所述检测节点位置在所述业务执行链路中确定目标操作节点，并执行所述目标操作节点对应的业务操作。

根据本说明书实施例的第三方面，提供了一种计算设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机指令，所述处理器执行所述计算机指令时实现所述行为检测方法的步骤。

根据本说明书实施例的第四方面，提供了一种计算机可读存储介质，其存储有计算机指令，该计算机指令被处理器执行时实现所述行为检测方法的步骤。

根据本说明书实施例的第五方面，提供了一种计算机程序，其中，当所述计算机程序在计算机中执行时，令计算机执行上述行为检测方法的步骤。

本说明书提供的行为检测方法，包括：接收业务处理请求，并确定所述业务处理请求所属的业务类型以及所述业务处理请求的业务执行链路；根据所述业务类型在所述业务执行链路中，确定所述业务处理请求对应的检测节点位置，其中，所述业务执行链路由执行所述业务处理请求的节点组成；确定所述检测节点位置对应的越权检测策略，并基于所述越权检测策略对所述业务处理请求进行越权检测；根据检测结果和所述检测节点位置在所述业务执行链路中确定目标操作节点，并执行所述目标操作节点对应的业务操作。

本说明书一实施例实现了通过业务处理请求的业务类型以及对应的业务执行链路，在确定需要对该业务处理请求进行越权校验的情况下，根据业务类型确定出该请求对应的检测节点在业务执行链路中的位置，从而获取到对该请求进行检测所用的越权检测策略，从而更有效避免请求漏检的问题，并且能够针对不同业务类型的业务处理请求选择合适的越权检测策略，提高越权检测效率及检测准确度，从而达到保护数据安全的效果。

附图说明

图1是本说明书一个实施例提供的一种行为检测方法的场景示意图；

图2是本说明书一个实施例提供的一种行为检测方法的流程图；

图3a是本说明书一个实施例提供的一种业务执行链路的示意图；

图3b是本说明书一个实施例提供的前置检测节点在业务执行链路中的示意图；

图3c是本说明书一个实施例提供的后置检测节点在业务执行链路中的示意图；

图4是本说明书一个实施例提供的一种行为检测方法的处理过程流程图；

图5是本说明书一个实施例提供的一种行为检测装置的结构示意图；

图6是本说明书一个实施例提供的一种计算设备的结构框图。

具体实施方式

在下面的描述中阐述了很多具体细节以便于充分理解本说明书。但是本说明书能够以很多不同于在此描述的其它方式来实施，本领域技术人员可以在不违背本说明书内涵的情况下做类似推广，因此本说明书不受下面公开的具体实施的限制。

在本说明书一个或多个实施例中使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本说明书一个或多个实施例。在本说明书一个或多个实施例和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本说明书一个或多个实施例中使用的术语“和/或”是指包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本说明书一个或多个实施例中可能采用术语第一、第二等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本说明书一个或多个实施例范围的情况下，第一也可以被称为第二，类似地，第二也可以被称为第一。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

首先，对本说明书一个或多个实施例涉及的名词术语进行解释。

网关：又称网间连接器、协议转换器。网关在网络层以上实现网络互连，是复杂的网络互连设备，仅用于两个高层协议不同的网络互连。网关既可以用于广域网互连，也可以用于局域网互连。在本说明书中，网关用于提供同一接收外部请求并转发到内部相关服务的功能。

越权：越权是一种常见的web应用程序的安全漏洞，越权漏洞指应用在检查授权时存在纰漏，使得攻击者在获得低权限用户账户后，利用一些方式绕过权限检查，访问或者操作其他用户或者更高权限。常见的越权类别有水平越权和垂直越权，例如，现有管理员用户A、普通用户B、C。当普通用户B查询普通用户C的信息，则为水平越权；普通用户B、C获取管理员用户A权限的功能，是为垂直越权。

SDK：软件开发工具包(Software Development Kit)，软件开发工具包指一些被软件工程师用于为特定的软件包、软件框架、硬件平台及操作系统等创建应用软件的开发工具之集合。

目前随着业务的拓展、应用数量增多，应用的复杂度也越来越大。而越权漏洞是应用程序中一种常见的安全漏洞，可能由于程序员疏忽没有对某个操作所需的用户、权限进行严格的限制，导致本应没有操作权限的用户可正常进行操作，使得一个账户可控制全站用户数据，即可对全站用户数据进行相关业务的非法操作，例如查询、插入、删除、修改等常规数据库命令。因此在开发业务接口时，如果没有做好越权防护管控，则会出现用户隐私数据泄露、篡改用户数据等危害。

基于此在本说明书中，提供了一种行为检测方法，用于对业务处理请求进行越权检测，并且能够针对不同业务类型的业务处理请求采用不同的越权检测策略进行越权检测，提高越权检测准确率。同时也可以检测出没有实施越权检测防护的业务接口，从而提醒开发人员进行后续的越权检测修复。本说明书同时涉及一种行为检测装置，一种计算设备，一种计算机可读存储介质以及一种计算机程序，在下面的实施例中逐一进行详细说明。

参见图1，图1是本说明书一个实施例提供的一种行为检测方法的场景示意图，其中包括用户向网关发送业务处理请求，网关将业务处理请求转发至后端服务应用，在此过程中，业务处理请求被越权检测SDK通过拦截器拦截下来，在越权检测SDK中首先判断该业务处理请求是否需要进行越权检测，在某些场景下可以不对业务处理请求进行越权检测，例如业务处理请求是对于一些通用资源的业务处理及调用则可以不越权检测，或者业务处理请求调用的业务接口已经确定做好越权防护，不需要在调用业务接口处理业务处理请求时再次进行越权检测。

不论是否需要进行越权检测，都需要调用业务执行链路对业务处理请求进行业务处理操作，业务执行链路可以理解为响应业务处理请求的处理操作链路，如业务处理请求为查询个人信息，则对应的业务执行链路中可以包括有获取查询条件-根据查询条件在数据库中查询-获取查询结果。当不需要进行越权检测时，则直接按照该业务对应的业务执行链路实现业务的处理，在需要进行越权检测时，则会在业务执行链路中插入越权检测节点，在通过越权检测之后，再将查询结果返回至用户。若越权检测失败，则不再对业务处理请求进行响应，立即退出处理流程，同时可以反馈请求失败的结果给用户。

在业务处理的实际实施时，对应的业务接口会向相关应用进行调用，如查询业务中用户想要查询自己的购买记录，则查询业务接口调用购买应用，并查询该购买应用下关联该用户的购买记录，从而实现查询业务，后续再将查询结果反馈给用户。通过本申请提供的行为检测方法可以通过主动拦截业务处理请求，并对拦截到的业务处理请求进行是否需要越权检测的判断，从而可以筛选出开发业务时因开发人员疏忽而忘记添加越权检测的业务接口，避免出现恶意用户基于该业务接口的漏洞对其他用户数据进行攻击的现象。并且还可以依据业务处理请求对应的业务类型提供不同的越权检测策略，提高越权检测的正确率，满足不同业务类型的业务处理请求进行越权检测的场景。

具体地，参见图2示出了根据本说明书一个实施例提供的一种行为检测方法的流程图，图2具体提供了本说明书提供的行为检测方法的实施流程，包括步骤202至步骤204。

步骤202：接收业务处理请求，并确定所述业务处理请求所属的业务类型以及所述业务处理请求的业务执行链路。

其中，业务处理请求可以理解为用户对目标对象进行业务操作的请求，比如，业务处理请求可以是请求对用户A的个人信息进行查询操作，请求对用户A的个人信息进行修改操作等等。在接收业务处理请求之后，则会调用对应的业务接口基于该业务处理请求进行业务操作，以业务处理请求为对用户A的个人信息进行查询操作的请求为例，在收到该业务处理请求之后，则会调用对应的查询业务接口，并基于该业务处理请求去查询用户A的个人信息，并通过该查询业务接口将查询到的用户A的个人信息返回至提出该业务处理请求的请求用户。而在上述举例说明中，若最后接收用户A的个人信息的请求用户并不是用户A本人的话，则造成了用户A的隐私数据泄露的问题，为了防止这种越权问题的出现，本说明书中会对每个用户发送的业务处理请求都进行越权检测，从而保证用户的数据安全。

在实际应用中，在对业务处理请求进行越权检测之前，需要确定出业务处理请求所述的业务类型及对应的业务执行链路。其中，业务类型可以理解为业务处理请求对应的业务操作类型，如业务处理请求为查询用户A的个人信息，则对应的业务类型为查询类型，如业务处理请求为修改用户A的个人信息，则对应的业务类型为修改类型。在本说明书中业务类型分为查询类型和变更类型，查询类型对应的业务操作即为查询数据；变更类型对应的业务操作即为变更数据，如增加、删除、修改均属于变更类型。业务执行链路可以理解为响应业务处理请求的处理操作链路，每种业务对应各自的业务执行链路，如业务处理请求为查询个人信息，则对应的业务执行链路中可以包括有获取查询条件-根据查询条件在数据库中查询-获取查询结果；如业务处理请求为修改个人信息，则对应的业务执行链路可以包括有获取修改要求-确定待修改数据-对待修改数据进行修改-获取修改结果。因此，在接收到业务处理请求之后，则可以确定出该业务处理请求所述的业务类型以及业务处理请求的业务执行链路。

具体实施时，为了避免因未设置越权检测保护而出现恶意攻击的业务处理请求的情况，需要对每个业务处理请求进行是否需要越权检测的判断，因此可以通过拦截器拦截用户发送的业务处理请求，具体地，接收业务处理请求，包括：通过拦截器拦截针对目标业务的业务处理请求，其中，所述目标业务为关联私有资源池的业务。

其中，拦截器用于拦截网关转发的所有业务处理请求，在经过是否需要越权检测的判断之后，再选择是继续执行业务操作还是开始越权检测。在实际应用中，拦截器是一种动态拦截方法调用的机制，用于拦截用户请求并做出相应的处理，如通过拦截器进行权限验证、记录请求信息的日志、判断用户是否登录等。

在实际应用中，对于一些共享资源的业务处理请求，则不需要进行越权检测。例如，用户A想要查询某公司的公司地址，则该类业务处理请求则不会被拦截。而当用户A想要查询某公司的职员信息，则该业务处理请求会被拦截，并进行后续的越权检测。因此，拦截器会判断当前业务处理请求是否为针对目标业务的请求，即对私有资源池中的资源进行业务操作的请求，若是的话则进行拦截，若否则不拦截。从而可以减少不必要的越权检测的资源消耗，提高越权检测的效率。

进一步的，在拦截到业务处理请求之后，则可以确定出该业务处理请求所述的业务类型及业务执行链路，并基于业务类型和业务执行链路确定后续是否需要进行越权检测。具体地，确定所述业务处理请求所属的业务类型以及所述业务处理请求的业务执行链路，包括：确定所述业务处理请求对应的业务接口，并基于所述业务接口确定所述业务处理请求的业务执行链路；获取所述业务接口对应的注解信息，并在所述注解信息中确定所述业务处理请求所属的业务类型。

其中，业务处理请求对应的业务接口可以理解为响应业务处理请求进行实际业务操作的接口，如业务处理请求为查询用户A的个人信息，则对应的业务接口为查询接口，基于查询接口去获取用户A的个人信息。每个业务接口对应有自己的业务执行链路，即业务接口执行的业务操作逻辑。

在实际应用中，在开发业务接口时，开发人员会对每个业务接口进行注解，注解信息中标明该业务接口对应的业务类型以及在越权检测时所使用的检测方法。注解信息中还可以包括有该业务接口的其他信息，例如开发时间、开发人等信息，在后续对业务接口进行维护时，可以基于注解信息进行维护。

在本说明书一具体实施例中，在接收到用户A修改自己的个人信息的业务处理请求之后，确定该业务处理请求对应的业务接口为修改接口，并获取到修改接口对应的修改业务执行链路，获取修改接口对应的注解信息，在注解信息中确定业务处理请求所属的业务类型为变更类型中的修改类型。

通过对每个业务接口进行注解，以便于后续在响应业务处理请求时，确定出业务处理请求对应的业务接口，从而确定出业务处理请求所属的业务类型以及对应的业务执行链路。

在实际应用中，获取到业务处理请求所述的业务类型以及对应的业务执行链路之后，可以基于业务接口的注解信息判断该业务处理请求是否需要进行越权检测，判断该业务接口是否已经在开发时做过越权漏洞的检测，若已检测过，则该业务接口后续在处理业务处理请求时则无需进行越权检测，若没检测过，则该业务接口后续每次处理业务处理请求时均需要进行越权检测，对业务处理请求进行越权检测实质上也可以认为是，对业务接口是否存在越权漏洞的检测，若检测结果为业务处理请求是越权行为请求，则说明该业务接口存在越权漏洞，后续可以暂停业务接口的使用，提醒开发人员对该业务接口进行漏洞修复。

具体地，所述方法还包括：根据所述注解信息判断所述业务处理请求是否需要进行越权检测；若是，则执行根据所述业务类型在所述业务执行链路中，确定所述业务处理请求对应的检测节点位置的步骤；若否，则执行基于所述业务执行链路处理所述业务处理请求。

其中，业务处理请求的注解信息中包括有该业务接口是否进行过越权漏洞的检测，若进行过则后续不再需要进行越权检测，若没进行过则后续需要进行越权检测。当业务处理请求对应的业务接口之前未做过越权漏洞检测，则当响应业务处理请求时需要对该请求进行越权检测，则可以在业务接口对应的业务执行链路中插入检测节点，从而实现对业务处理请求的越权检测。若业务接口之前做过越权漏洞检测，则可以直接使用该业务接口对应的业务执行链路响应业务处理请求，完成实际的业务操作。

在本说明书一具体实施例中，沿用上例，根据修改接口的注解信息“未经过越权漏洞检测”，确定出该业务接口处理的业务处理请求需要进行越权检测，从而继续执行步骤204。

步骤204：根据所述业务类型在所述业务执行链路中，确定所述业务处理请求对应的检测节点位置，其中，所述业务执行链路由执行所述业务处理请求的节点组成。

其中，检测节点位置可以理解为越权检测节点在业务执行链路中的插入位置，每个业务接口对应的业务执行链路中具有执行业务处理请求对应的业务操作的节点，如查询接口对应的业务执行链路中包括有“获取查询条件节点、查询节点、返回查询结果节点”等，而当业务处理请求需要进行越权检测的情况下，则可以在当前的业务执行链路中插入检测节点，从而实现对业务处理请求的越权检测。

在实际应用中，检测节点在业务执行链路中的检测节点位置，需要根据业务处理请求所述的业务类型确定，因为不同业务类型对应的检测方法不同，如查询类型的业务处理请求，由于在查询前无法获得资源的具体信息，所以无法与请求参数进行对比校验，因此需要在查询到结果之后，将结果返回给用户之前对业务处理请求进行越权检测；如变更类型的业务处理请求，这种请求可以在执行实际业务逻辑之前进行校验。从而当确定出业务处理请求所述的业务类型即业务执行链路之后，可以确定出该业务处理请求对应的检测节点在业务执行链路中的位置。

在本说明书一具体实施例中，沿用上例，业务处理请求为修改个人信息，则该业务处理请求对应的检测节点位置应该在执行实际业务操作的节点之前，在执行业务操作的节点之前插入检测节点。

具体地，根据所述业务类型在所述业务执行链路中，确定所述业务处理请求对应的检测节点位置，包括：在所述业务类型为查询业务类型的情况下，在所述业务执行链路中确定所述业务处理请求对应的检测节点位置为后置检测位置；或者，在所述业务类型为变更业务类型的情况下，在所述业务执行链路中确定所述业务处理请求对应的检测节点位置为前置检测位置。

在实际应用中，可以针对不同业务类型的业务处理请求配置不同的检测节点位置，在业务类型为查询业务类型的情况下，由于需要在实际执行业务操作之后进行检测，因此需要在执行业务操作节点之后插入检测节点，则设置为执行业务操作节点之后的节点位置为后置检测位置，在业务类型为变更业务类型的情况下，需要在实际执行业务操作之前进行检测，因此需要在执行业务操作之前插入检测节点，则设置为执行业务操作节点之前的节点位置为前置检测位置。如图3a-图3c所示，图3a是本说明书一个实施例提供的一种业务执行链路的示意图，其中，图3a为原始的业务执行链路，包括有开始节点、执行业务操作节点、结束节点，其中执行业务操作节点中可以包含有具体的业务操作节点，如查询业务中的“获取查询条件节点、查询节点、返回查询结果节点”，图3b是本说明书一个实施例提供的前置检测节点在业务执行链路中的示意图，图3c是本说明书一个实施例提供的后置检测节点在业务执行链路中的示意图，其中，前置检测位置在执行业务操作节点之前，后置检测位置在执行业务操作节点之后。

在本说明书一实施例中，业务处理请求为查询个人信息，所述的业务类型为查询业务类型，则对应的业务执行链路为“开始节点、获取查询条件节点、查询节点、返回查询结果节点、结束节点”，根据业务类型确定该业务处理请求对应的检测节点位置为后置检测位置，则在返回查询结果之后、结束节点之前插入检测节点，需要说明的是，这里的返回查询结果节点并不是将查询结果返回至用户，而是在查询到目标数据之后，将目标数据返回至查询接口。

具体实施时，因为检测节点位置的不同，在进行越权检测时所用到的对象也不同，所以两种不同检测节点位置对应不同的越权检测策略。具体地，确定所述检测节点位置对应的越权检测策略，包括：在所述检测节点位置为所述前置检测位置的情况下，确定所述越权检测策略为越权前置检测策略；在所述检测节点位置为所述后置检测位置的情况下，确定所述越权检测策略为越权后置检测策略。

其中，越权前置检测策略可以理解为在检测节点位置为前置检测位置时，对业务处理请求进行越权检测的检测方法；越权后置检测策略可以理解为在检测节点位置为后置检测位置时，对业务处理请求进行越权检测的检测方法。在实际应用中，检测策略中包括有越权检测所需要的对象，判断条件等，因此越权检测策略可以根据实际情况确定，如本说明书中对应越权前置检测策略只限定了依据业务处理请求中携带的请求参数进行检测，如根据业务处理请求中携带的用户信息、IP地址等请求参数，利用请求用户的字段和待查询用户的字段是否匹配进行检测，而越权后置检测策略只限定了需要根据获取的资源进行检测，如根据查询到的用户信息，利用查询到的用户信息是否属于请求用户进行检测。

基于此，通过业务处理请求所述的业务类型的不同，可以确定出不同的检测节点位置，并且不同的检测节点位置对应不同的越权检测策略，使得越权检测能够更加准确。

在实际应用中，确定所述业务处理请求对应的检测节点位置之后，所述方法还包括：

获取所述业务接口对应的越权检测策略；根据所述检测节点位置在所述业务执行链路中加入检测节点，并为在所述检测节点位置上的所述检测节点配置所述越权检测策略。

其中，由于每种业务类型对应有检测节点位置，而每个检测节点位置又对应各自的越权检测策略，因此每种业务类型所对应的业务接口与越权检测策略也一一对应，在确定出该业务接口对应的越权检测策略之后，则可以先根据检测节点位置在该业务接口的原始业务执行链路中插入检测节点，并且为该检测节点配置对应的越权检测策略，从而后续在执行该节点时，可以对业务处理请求进行越权检测。

在本说明书一实施例中，获取查询接口对应的越权检测策略为越权后置检测策略，根据检测节点位置为后置检测位置在业务执行链路中的业务执行操作节点之后加入检测节点，并将后置检测策略与该检测节点进行关联。

综上，可以实现在需要越权检测的情况下，在业务执行链路中插入检测节点，以便于后续执行业务执行链路中的每个节点时，能够对业务处理请求进行越权检测。

步骤206：确定所述检测节点位置对应的越权检测策略，并基于所述越权检测策略对所述业务处理请求进行越权检测。

其中，当开始执行业务处理请求对应的业务执行链路后，在执行到检测节点之后，获取到该检测节点位置上检测节点对应的越权检测策略，并基于越权检测策略对业务处理请求进行越权检测。

在实际应用中，当检测节点位置为前置节点位置，则对应的越权检测策略为越权前置检测策略，基于越权前置检测策略对业务处理请求进行越权检测；当检测节点位置为后置节点位置，则对应的越权检测策略为越权后置检测策略，基于越权后置检测策略对业务处理请求进行越权检测。

具体地，确定所述检测节点位置对应的越权检测策略，并基于所述越权检测策略对所述业务处理请求进行越权检测，包括：基于所述越权前置检测策略在所述业务处理请求中确定请求用户参数，根据所述请求用户参数对所述业务处理请求进行越权检测；或者，基于所述越权后置检测策略获取所述业务处理请求对应的请求资源，根据所述请求资源对所述业务处理请求进行越权检测。

具体实施时，当越权检测策略为越权前置检测策略的情况下，在业务处理请求中确定请求用户参数，请求用户参数可以是请求用户的ID、IP地址或者登录密码，根据请求用户参数对业务处理请求进行越权检测，可以是根据请求用户的ID与待操作用户的ID进行比对，如用户A发出业务处理请求，业务处理请求内容为删除用户B的购买记录，则可以根据发出请求的用户A的ID和待操作用户B的ID进行比对，若比对结果一致则无越权行为，若比对结果不一致则是越权行为。

当越权检测策略为越权后置检测策略的情况下，在执行实际业务操作之后获得业务处理请求对应的请求资源，根据请求资源对业务处理请求进行越权检测，如用户A发出业务处理请求，业务处理请求内容为查询用户B的购买记录，则查询到用户B的购买记录之后，根据购买记录和用户A的信息进行越权检测，若购买记录属于用户A则无越权行为，若购买记录不属于用户A则是越权行为。

基于此，通过不同业务类型配置不同的越权检测策略，可以应对所有类型的业务处理请求，从而满足对任意类型的业务处理请求进行越权检测，避免出现越权行为未检测到的情况发生。

步骤208：根据检测结果和所述检测节点位置在所述业务执行链路中确定目标操作节点，并执行所述目标操作节点对应的业务操作。

其中，在对业务处理请求进行检测之后，可以获得该业务处理请求对应的检测结果，根据检测结果和检测节点在业务执行链路中的节点位置确定出下一步该执行的目标操作节点，并自行目标操作节点对应的业务操作，从而完成对业务处理请求的响应操作。

在实际应用中，在越权检测之后，可以基于检测结果和检测节点位置确定出下一步该执行的目标操作节点，并继续执行目标操作节点对应的业务操作。以检测结果为未越权为例，当检测节点位置在业务执行操作节点之前，则目标操作节点为业务执行操作节点，下一步执行业务执行操作节点对应的业务操作，如修改个人信息、删除购买记录等。当检测节点位置在业务执行操作节点之后，则目标操作节点可以是返回业务处理结果，如将修改个人信息的修改成功信息反馈至请求用户、将删除个人信息的删除成功信息反馈至请求用户。

因此首先需要根据检测结果分为越权和未越权两种情况，具体地，根据检测结果和所述检测节点位置在所述业务执行链路中确定目标操作节点，并执行所述目标操作节点对应的业务操作，包括：在检测结果为越权的情况下，根据所述检测节点位置在所述业务执行链路中确定失败操作节点为目标操作节点，返回所述业务处理请求对应的处理失败信息，作为所述失败操作节点的业务操作；在检测结果为未越权的情况下，根据所述检测节点位置在所述业务执行链路中确定成功操作节点为目标操作节点，执行所述业务处理请求对应的处理操作，作为所述成功操作节点的业务操作。

在实际应用中，在越权的情况下，无论检测节点位置是前置检测位置还是后置检测位置，都应该立即停止对业务处理请求的响应，则在前置检测位置时，不再执行业务执行操作节点对应的业务操作，而是将失败操作节点作为目标操作节点，反馈处理失败信息给用户，在后置检测位置时，不再将获取到的资源反馈至用户，而是将处理失败信息反馈给用户。在未越权的情况下，则需要根据检测节点位置进一步判断下一步该执行的目标操作节点，当检测节点位置为前置检测位置时，下一步该执行的目标操作节点为业务执行操作节点，如查询节点；当检测节点位置为后置检测位置时，由于已经执行过业务执行操作节点的业务操作，则可以直接将操作结果返回给用户，如将查询获得的资源反馈给用户，或者将修改个人信息成功的信息反馈给用户。

进一步的，根据检测结果和所述检测节点位置在所述业务执行链路中确定目标操作节点，并执行所述目标操作节点对应的业务操作，包括：在检测结果为未越权且所述检测节点位置为所述前置检测位置的情况下，在所述业务执行链路中确定调用操作节点为目标操作节点，调用所述业务处理请求对应的业务处理接口对私有资源进行操作，作为所述调用操作节点的业务操作；在检测结果为未越权且所述检测节点位置为所述后置检测位置的情况下，在所述业务执行链路中确定反馈操作节点为目标操作节点，反馈所述请求资源至所述业务处理请求对应的用户终端，作为所述反馈操作节点的业务操作。

具体实施时，当检测结果为未越权且检测节点位置为前置检测位置的情况下，确定调用操作节点为目标操作节点，调用操作节点可以理解为调用业务处理接口对私有资源进行操作的节点，即实际执行业务操作的节点，以查询业务为例，调用操作节点可以是调用查询接口中实际执行查询操作的接口，对私有资源池中的私有资源进行查询操作。

当检测结果为未越权且检测节点位置为后置检测位置的情况下，确定反馈操作节点为目标操作节点，反馈操作节点可以理解为将业务处理请求对应的处理结果反馈给用户的节点，以查询业务为例，反馈操作节点可以是将查询到的资源反馈给用户。

综上所述，基于不同的检测结果以及检测节点位置，实现不同情况下的处理逻辑，满足不同场景下的处理流程，使得越权检测的整体流程更加简洁、配置更加清洗，使得后续开发人员能够同一进行维护，从而避免在各个接口中配置越权代码而造成越权代码散落在各处的问题。

在检测到业务处理请求为越权行为的情况下，还可以生成异常信息，提醒开发人员出现越权漏洞，具体地，所述方法还包括：在检测结果为越权的情况下，确定所述业务处理请求对应的业务接口发生异常；生成所述业务接口的异常信息，并将所述异常信息反馈至处理所述业务处理请求的业务方。

在实际应用中，当检测到业务处理请求是越权行为时，说明该业务处理请求对应的业务接口存在越权漏洞，此时可以生成该业务接口的异常信息，并将异常信息反馈至提供业务服务的业务方，即告知开发人员需要对业务接口进行维护。异常信息可以是响应该业务处理请求的处理过程记录，也可以是针对业务接口的报警信息，异常信息用于提示业务方当前业务接口存在越权漏洞，需要进行漏洞修复。

在本说明书一实施例中，确定查询业务的业务处理请求越权的情况下，说明查询业务接口出现异常，存在越权漏洞，生成查询业务接口的告警信息，并将告警信息反馈至业务方的开发人员，以便开发人员根据该告警信息对查询业务接口进行修复处理。

相应的，为了便于越权行为发生后开发人员对异常业务接口进行维护以及减少因异常业务接口而造成的损失，生成所述业务接口的异常信息之后，还包括：获取异常处理规则，在所述异常处理规则为观察规则的情况下，保存所述业务接口的业务日志信息；或者，获取异常处理规则，在所述异常处理规则为阻塞规则的情况下，关闭所述业务接口。

其中，异常处理规则可以理解为针对出现越权行为的解决方法，异常处理规则包括两种：观察规则和阻塞规则，在观察规则下，出现越权行为时，不影响业务接口的执行逻辑，业务接口能够继续处理后续的业务处理请求，但是对越权行为的业务处理请求进行记录，生成日志并打印，便于后续开发人员基于记录日志更快的对业务接口进行维护修复。在阻塞规则下，出现越权行为时，可以直接关闭业务接口，以使该业务接口不再提供业务服务，避免恶意用户继续使用漏洞进行越权攻击，减少业务方的损失，保证用户的数据安全。在实际应用中，可以设置有切流开关，切流开关用于变换异常处理规则，开发人员可以根据实际情况选择不同的异常处理规则，对越权行为进行后续维护修复。

本说明书提供的一种行为检测方法，包括：接收业务处理请求，并确定所述业务处理请求所属的业务类型以及所述业务处理请求的业务执行链路；根据所述业务类型在所述业务执行链路中，确定所述业务处理请求对应的检测节点位置，其中，所述业务执行链路由执行所述业务处理请求的节点组成；确定所述检测节点位置对应的越权检测策略，并基于所述越权检测策略对所述业务处理请求进行越权检测；根据检测结果和所述检测节点位置在所述业务执行链路中确定目标操作节点，并执行所述目标操作节点对应的业务操作。通过将复杂的越权检测流程聚合至一个越权检测SDK中，并且在该越权检测流程中，根据业务处理请求所属的的业务类型为用户确定出不同的检测节点位置，从而确定出对应的越权检测策略，基于越权检测策略实现对业务处理请求进行越权检测，有效防止越权漏检测的问题，并且后续还可以通过异常处理规则提示开发人员对异常业务接口进行修复，避免造成更多的损失。

下述结合附图4，以本说明书提供的行为检测方法在查询购买记录的应用为例，对所述行为检测方法进行进一步说明。其中，图4示出了本说明书一个实施例提供的一种行为检测方法的处理过程流程图，具体步骤包括步骤402至步骤418。

步骤402：通过拦截器拦截针对目标业务的业务处理请求，其中，目标业务为关联私有资源池的业务。

在本说明书一实施例中，通过网关统一的拦截器拦截针对目标业务的业务处理请求，目标业务为对私有资源池中的资源进行业务操作的请求。

步骤404：确定业务处理请求对应的业务接口，并基于所述业务接口确定所述业务处理请求的业务执行链路。

在本说明书一实施例中，业务处理请求为用户A想要查询用户B的购买记录，则确定该业务处理请求对应的业务接口为查询业务接口，基于该查询业务接口确定出该业务处理请求对应的查询业务执行链路，查询业务执行链路由执行查询业务的节点组成，包括有开始节点、查询节点、结束节点。

步骤406：获取业务接口对应的注解信息，并在注解信息中确定业务处理请求所属的业务类型。

在本说明书一实施例中，获取查询业务接口的注解信息，在注解信息中确定业务处理请求属于查询业务类型。

步骤408：根据注解信息确定业务处理请求需要进行越权检测。

在本说明书一实施例中，根据查询业务接口的注解信息判断当前业务处理请求是否需要进行越权检测，在注解信息中确定当前接口需要进行越权检测的情况下，确定当前业务处理请求需要进行越权检测。

步骤410：在查询业务执行链路中确定业务处理请求对应的检测节点位置为后置检测位置。

在本说明书一实施例中，业务处理请求对应的业务类型为查询业务类型，则对应的检测节点位置为后置检测位置。

步骤412：获取查询业务接口对应的越权检测策略，根据后置检测位置在业务执行链路中加入检测节点，并为在后置检测位置上的检测节点配置越权检测策略。

在本说明书一实施例中，获取查询业务接口对应的越权检测策略，在后置检测位置上加入检测节点，并配置对应的越权检测策略，从而实现检测节点的插入。

步骤414：基于越权检测策略对所述业务处理请求进行越权检测。

在本说明书一实施例中，执行业务执行链路中检测节点对应的检测操作，实现对业务处理请求的越权检测。

步骤416：根据检测结果和检测节点位置在所述业务执行链路中确定目标操作节点，并执行所述目标操作节点对应的业务操作。

在本说明书一实施例中，检测结果为越权，且检测节点位置为后置检测节点，则在业务执行链路中确定下一步该执行的目标操作节点为失败操作节点，将业务处理请求对应的处理失败的信息反馈给用户。

步骤418：确定查询业务接口发生异常，生成查询业务接口的异常信息，并将异常信息反馈至处理业务处理请求的业务方。

在本说明书一实施例中，确定查询业务接口出现越权漏洞，生成查询业务接口的异常告警信息，并将告警信息反馈至业务方的开发人员。

本说明书提供的应用于查询购买记录的的行为检测方法，通过将复杂的越权检测流程聚合至一个越权检测SDK中，并且在该越权检测流程中，根据业务处理请求所属的的业务类型为用户确定出不同的检测节点位置，从而确定出对应的越权检测策略，基于越权检测策略实现对业务处理请求进行越权检测，有效防止越权漏检测的问题，并且后续还可以通过异常处理规则提示开发人员对异常业务接口进行修复，避免造成更多的损失。

与上述方法实施例相对应，本说明书还提供了行为检测装置实施例，图5示出了本说明书一实施例提供的一种行为检测装置的结构示意图。如图5所示，该装置包括：

接收模块502，被配置为接收业务处理请求，并确定所述业务处理请求所属的业务类型以及所述业务处理请求的业务执行链路；

确定模块504，被配置为根据所述业务类型在所述业务执行链路中，确定所述业务处理请求对应的检测节点位置，其中，所述业务执行链路由执行所述业务处理请求的节点组成；

检测模块506，被配置为确定所述检测节点位置对应的越权检测策略，并基于所述越权检测策略对所述业务处理请求进行越权检测；

执行模块508，被配置为根据检测结果和所述检测节点位置在所述业务执行链路中确定目标操作节点，并执行所述目标操作节点对应的业务操作。

可选的，所述接收模块502进一步被配置为：

确定所述业务处理请求对应的业务接口，并基于所述业务接口确定所述业务处理请求的业务执行链路；

获取所述业务接口对应的注解信息，并在所述注解信息中确定所述业务处理请求所属的业务类型。

可选的，所述装置还包括判断模块，被配置为：

根据所述注解信息判断所述业务处理请求是否需要进行越权检测；

若是，则执行根据所述业务类型在所述业务执行链路中，确定所述业务处理请求对应的检测节点位置的步骤；

若否，则执行基于所述业务执行链路处理所述业务处理请求。

可选的，所述确定模块504进一步被配置为：

在所述业务类型为查询业务类型的情况下，在所述业务执行链路中确定所述业务处理请求对应的检测节点位置为后置检测位置；或者，在所述业务类型为变更业务类型的情况下，在所述业务执行链路中确定所述业务处理请求对应的检测节点位置为前置检测位置；

相应的，确定所述检测节点位置对应的越权检测策略，包括：

在所述检测节点位置为所述前置检测位置的情况下，确定所述越权检测策略为越权前置检测策略；

在所述检测节点位置为所述后置检测位置的情况下，确定所述越权检测策略为越权后置检测策略。

可选的，所述装置还包括加入模块，被配置为：

获取所述业务接口对应的越权检测策略；

根据所述检测节点位置在所述业务执行链路中加入检测节点，并为在所述检测节点位置上的所述检测节点配置所述越权检测策略。

可选的，所述检测模块506进一步被配置为：

基于所述越权前置检测策略在所述业务处理请求中确定请求用户参数，根据所述请求用户参数对所述业务处理请求进行越权检测；或者，

基于所述越权后置检测策略获取所述业务处理请求对应的请求资源，根据所述请求资源对所述业务处理请求进行越权检测。

可选的，所述执行模块508进一步被配置为：

在检测结果为越权的情况下，根据所述检测节点位置在所述业务执行链路中确定失败操作节点为目标操作节点，返回所述业务处理请求对应的处理失败信息，作为所述失败操作节点的业务操作；

在检测结果为未越权的情况下，根据所述检测节点位置在所述业务执行链路中确定成功操作节点为目标操作节点，执行所述业务处理请求对应的处理操作，作为所述成功操作节点的业务操作。

可选的，所述执行模块508进一步被配置为：

在检测结果为未越权且所述检测节点位置为所述前置检测位置的情况下，在所述业务执行链路中确定调用操作节点为目标操作节点，调用所述业务处理请求对应的业务处理接口对私有资源进行操作，作为所述调用操作节点的业务操作；

在检测结果为未越权且所述检测节点位置为所述后置检测位置的情况下，在所述业务执行链路中确定反馈操作节点为目标操作节点，反馈所述请求资源至所述业务处理请求对应的用户终端，作为所述反馈操作节点的业务操作。

可选的，所述接收模块502进一步被配置为：

通过拦截器拦截针对目标业务的业务处理请求，其中，所述目标业务为关联私有资源池的业务。

可选的，所述装置还包括异常模块，被配置为：

在检测结果为越权的情况下，确定所述业务处理请求对应的业务接口发生异常；

生成所述业务接口的异常信息，并将所述异常信息反馈至处理所述业务处理请求的业务方。

可选的，所述异常模块进一步被配置为：

获取异常处理规则，在所述异常处理规则为观察规则的情况下，保存所述业务接口的业务日志信息；或者，

获取异常处理规则，在所述异常处理规则为阻塞规则的情况下，关闭所述业务接口。

本说明书提供的一种行为检测装置，包括：接收模块，被配置为接收业务处理请求，并确定所述业务处理请求所属的业务类型以及所述业务处理请求的业务执行链路；确定模块，被配置为根据所述业务类型在所述业务执行链路中，确定所述业务处理请求对应的检测节点位置，其中，所述业务执行链路由执行所述业务处理请求的节点组成；检测模块，被配置为确定所述检测节点位置对应的越权检测策略，并基于所述越权检测策略对所述业务处理请求进行越权检测；执行模块，被配置为根据检测结果和所述检测节点位置在所述业务执行链路中确定目标操作节点，并执行所述目标操作节点对应的业务操作。通过将复杂的越权检测流程聚合至一个越权检测SDK中，并且在该越权检测流程中，根据业务处理请求所属的的业务类型为用户确定出不同的检测节点位置，从而确定出对应的越权检测策略，基于越权检测策略实现对业务处理请求进行越权检测，有效防止越权漏检测的问题，并且后续还可以通过异常处理规则提示开发人员对异常业务接口进行修复，避免造成更多的损失。

上述为本实施例的一种行为检测装置的示意性方案。需要说明的是，该行为检测装置的技术方案与上述的行为检测方法的技术方案属于同一构思，行为检测装置的技术方案未详细描述的细节内容，均可以参见上述行为检测方法的技术方案的描述。

图6示出了根据本说明书一实施例提供的一种计算设备600的结构框图。该计算设备600的部件包括但不限于存储器610和处理器620。处理器620与存储器610通过总线630相连接，数据库650用于保存数据。

计算设备600还包括接入设备640，接入设备640使得计算设备600能够经由一个或多个网络660通信。这些网络的示例包括公用交换电话网(PSTN)、局域网(LAN)、广域网(WAN)、个域网(PAN)或诸如因特网的通信网络的组合。接入设备640可以包括有线或无线的任何类型的网络接口(例如，网络接口卡(NIC))中的一个或多个，诸如IEEE802.11无线局域网(WLAN)无线接口、全球微波互联接入(Wi-MAX)接口、以太网接口、通用串行总线(USB)接口、蜂窝网络接口、蓝牙接口、近场通信(NFC)接口，等等。

在本说明书的一个实施例中，计算设备600的上述部件以及图6中未示出的其他部件也可以彼此相连接，例如通过总线。应当理解，图6所示的计算设备结构框图仅仅是出于示例的目的，而不是对本说明书范围的限制。本领域技术人员可以根据需要，增添或替换其他部件。

计算设备600可以是任何类型的静止或移动计算设备，包括移动计算机或移动计算设备(例如，平板计算机、个人数字助理、膝上型计算机、笔记本计算机、上网本等)、移动电话(例如，智能手机)、可佩戴的计算设备(例如，智能手表、智能眼镜等)或其他类型的移动设备，或者诸如台式计算机或PC的静止计算设备。计算设备600还可以是移动式或静止式的服务器。

其中，处理器620执行所述计算机指令时实现所述的行为检测方法的步骤。

上述为本实施例的一种计算设备的示意性方案。需要说明的是，该计算设备的技术方案与上述的行为检测方法的技术方案属于同一构思，计算设备的技术方案未详细描述的细节内容，均可以参见上述行为检测方法的技术方案的描述。

本说明书一实施例还提供一种计算机可读存储介质，其存储有计算机指令，该计算机指令被处理器执行时实现如前所述行为检测方法的步骤。

上述为本实施例的一种计算机可读存储介质的示意性方案。需要说明的是，该存储介质的技术方案与上述的行为检测方法的技术方案属于同一构思，存储介质的技术方案未详细描述的细节内容，均可以参见上述行为检测方法的技术方案的描述。

本说明书一实施例还提供一种计算机程序，其中，当所述计算机程序在计算机中执行时，令计算机执行上述行为检测方法的步骤。

上述为本实施例的一种计算机程序的示意性方案。需要说明的是，该计算机程序的技术方案与上述的行为检测方法的技术方案属于同一构思，计算机程序的技术方案未详细描述的细节内容，均可以参见上述行为检测方法的技术方案的描述。

上述对本说明书特定实施例进行了描述。其它实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。

所述计算机指令包括计算机程序代码，所述计算机程序代码可以为源代码形式、对象代码形式、可执行文件或某些中间形式等。所述计算机可读介质可以包括：能够携带所述计算机程序代码的任何实体或装置、记录介质、U盘、移动硬盘、磁碟、光盘、计算机存储器、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、电载波信号、电信信号以及软件分发介质等。需要说明的是，所述计算机可读介质包含的内容可以根据司法管辖区内立法和专利实践的要求进行适当的增减，例如在某些司法管辖区，根据立法和专利实践，计算机可读介质不包括电载波信号和电信信号。

需要说明的是，对于前述的各方法实施例，为了简便描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本说明书实施例并不受所描述的动作顺序的限制，因为依据本说明书实施例，某些步骤可以采用其它顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定都是本说明书实施例所必须的。

在上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其它实施例的相关描述。

以上公开的本说明书优选实施例只是用于帮助阐述本说明书。可选实施例并没有详尽叙述所有的细节，也不限制该发明仅为所述的具体实施方式。显然，根据本说明书实施例的内容，可作很多的修改和变化。本说明书选取并具体描述这些实施例，是为了更好地解释本说明书实施例的原理和实际应用，从而使所属技术领域技术人员能很好地理解和利用本说明书。本说明书仅受权利要求书及其全部范围和等效物的限制。

Claims (14)

1.一种行为检测方法，包括：

接收业务处理请求，并确定所述业务处理请求所属的业务类型以及所述业务处理请求的业务执行链路；

根据所述业务类型在所述业务执行链路中，确定所述业务处理请求对应的检测节点位置，其中，所述业务执行链路由执行所述业务处理请求的节点组成；

确定所述检测节点位置对应的越权检测策略，并基于所述越权检测策略对所述业务处理请求进行越权检测；

根据检测结果和所述检测节点位置在所述业务执行链路中确定目标操作节点，并执行所述目标操作节点对应的业务操作。

2.如权利要求1所述的方法，确定所述业务处理请求所属的业务类型以及所述业务处理请求的业务执行链路，包括：

确定所述业务处理请求对应的业务接口，并基于所述业务接口确定所述业务处理请求的业务执行链路；

获取所述业务接口对应的注解信息，并在所述注解信息中确定所述业务处理请求所属的业务类型。

3.如权利要求2所述的方法，根据所述业务类型在所述业务执行链路中，确定所述业务处理请求对应的检测节点位置之前，所述方法还包括：

根据所述注解信息判断所述业务处理请求是否需要进行越权检测；

若是，则执行根据所述业务类型在所述业务执行链路中，确定所述业务处理请求对应的检测节点位置的步骤；

若否，则执行基于所述业务执行链路处理所述业务处理请求。

4.如权利要求1所述的方法，根据所述业务类型在所述业务执行链路中，确定所述业务处理请求对应的检测节点位置，包括：

在所述业务类型为查询业务类型的情况下，在所述业务执行链路中确定所述业务处理请求对应的检测节点位置为后置检测位置；或者，在所述业务类型为变更业务类型的情况下，在所述业务执行链路中确定所述业务处理请求对应的检测节点位置为前置检测位置；

相应的，确定所述检测节点位置对应的越权检测策略，包括：

在所述检测节点位置为所述前置检测位置的情况下，确定所述越权检测策略为越权前置检测策略；

在所述检测节点位置为所述后置检测位置的情况下，确定所述越权检测策略为越权后置检测策略。

5.如权利要求2所述的方法，确定所述业务处理请求对应的检测节点位置之后，所述方法还包括：

获取所述业务接口对应的越权检测策略；

根据所述检测节点位置在所述业务执行链路中加入检测节点，并为在所述检测节点位置上的所述检测节点配置所述越权检测策略。

6.如权利要求4所述的方法，确定所述检测节点位置对应的越权检测策略，并基于所述越权检测策略对所述业务处理请求进行越权检测，包括：

基于所述越权前置检测策略在所述业务处理请求中确定请求用户参数，根据所述请求用户参数对所述业务处理请求进行越权检测；或者，

基于所述越权后置检测策略获取所述业务处理请求对应的请求资源，根据所述请求资源对所述业务处理请求进行越权检测。

7.如权利要求1所述的方法，根据检测结果和所述检测节点位置在所述业务执行链路中确定目标操作节点，并执行所述目标操作节点对应的业务操作，包括：

在检测结果为越权的情况下，根据所述检测节点位置在所述业务执行链路中确定失败操作节点为目标操作节点，返回所述业务处理请求对应的处理失败信息，作为所述失败操作节点的业务操作；

在检测结果为未越权的情况下，根据所述检测节点位置在所述业务执行链路中确定成功操作节点为目标操作节点，执行所述业务处理请求对应的处理操作，作为所述成功操作节点的业务操作。

8.如权利要求4所述的方法，根据检测结果和所述检测节点位置在所述业务执行链路中确定目标操作节点，并执行所述目标操作节点对应的业务操作，包括：

在检测结果为未越权且所述检测节点位置为所述前置检测位置的情况下，在所述业务执行链路中确定调用操作节点为目标操作节点，调用所述业务处理请求对应的业务处理接口对私有资源进行操作，作为所述调用操作节点的业务操作；

在检测结果为未越权且所述检测节点位置为所述后置检测位置的情况下，在所述业务执行链路中确定反馈操作节点为目标操作节点，反馈所述请求资源至所述业务处理请求对应的用户终端，作为所述反馈操作节点的业务操作。

9.如权利要求1所述的方法，接收业务处理请求，包括：

通过拦截器拦截针对目标业务的业务处理请求，其中，所述目标业务为关联私有资源池的业务。

10.如权利要求1所述的方法，还包括：

在检测结果为越权的情况下，确定所述业务处理请求对应的业务接口发生异常；

生成所述业务接口的异常信息，并将所述异常信息反馈至处理所述业务处理请求的业务方。

11.如权利要求10所述的方法，生成所述业务接口的异常信息之后，还包括：

获取异常处理规则，在所述异常处理规则为观察规则的情况下，保存所述业务接口的业务日志信息；或者，

获取异常处理规则，在所述异常处理规则为阻塞规则的情况下，关闭所述业务接口。

12.一种行为检测装置，包括：

接收模块，被配置为接收业务处理请求，并确定所述业务处理请求所属的业务类型以及所述业务处理请求的业务执行链路；

确定模块，被配置为根据所述业务类型在所述业务执行链路中，确定所述业务处理请求对应的检测节点位置，其中，所述业务执行链路由执行所述业务处理请求的节点组成；

检测模块，被配置为确定所述检测节点位置对应的越权检测策略，并基于所述越权检测策略对所述业务处理请求进行越权检测；

执行模块，被配置为根据检测结果和所述检测节点位置在所述业务执行链路中确定目标操作节点，并执行所述目标操作节点对应的业务操作。

13.一种计算设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机指令，所述处理器执行所述计算机指令时实现权利要求1-11任意一项所述方法的步骤。

14.一种计算机可读存储介质，其存储有计算机可执行指令，该计算机指令被处理器执行时实现权利要求1-11任意一项所述方法的步骤。

Images