CN116074118B - 一种api访问控制方法、系统、智能终端及存储介质 - Google Patents

Abstract

本发明涉及一种API访问控制方法、系统、智能终端及存储介质，其方法包括获取访问者的访问请求、访问者画像和访问接口参数，访问者画像包括每一次访问的访问时间、所在地址、访问者IP地址、访问设备、及其硬件信息、操作系统以及应用软件信息；根据访问者画像和访问接口参数确定当前访问的风险值；基于预设的时间对照表，根据风险值确定单次访问限值，时间对照表包括不同的风险值和单次访问限值的对照关系；根据单次访问限值和获取到的访问设备计算能力分配验证任务；当获取到的反馈结果验证成功时，授予访问者访问权限。本申请可以通过消耗访问设备的计算资源来延长其访问得到响应的时间，进而控制访问频率，以降低服务器被自动化攻击的次数。

Description

一种API访问控制方法、系统、智能终端及存储介质

技术领域

本申请涉及计算机技术技术的领域，尤其是涉及一种API访问控制方法、系统、智能终端及存储介质。

背景技术

随着互联网的发展，越来越多的平台开放其应用程序接口供第三方应用调用。同时，自动化攻击随之泛滥，无条件允许登录前访问的方式使得服务器面临资源耗尽的问题和虚假新账户、虚假广告点击、服务弱点扫面等多种安全威胁，甚至对服务器的运行和维护产生影响。

发明内容

本申请目的一是提供一种API访问控制方法，能够降低服务器被自动化攻击的次数。

本申请的上述申请目的一是通过以下技术方案得以实现的：

一种API访问控制方法，包括：

获取访问者的访问请求、访问者画像和访问接口参数；

基于预设的风险评估模型，根据所述访问者画像和访问接口参数确定当前访问的风险值，所述风险评估模型包括访问者画像、访问接口参数和风险值之间的对应关系；

确定风险值大于预设风险值时，根据预设的单次访问限值和获取到的访问设备计算能力分配验证任务；

当获取到的反馈结果验证成功时，授予访问者访问权限。

通过采用上述技术方案，能够根据访问者画像和访问接口参数确定本次访问的风险值，进一步确定是否需要设置单次访问限值，以限制访问者的访问频次。根据单次访问限值和访问设备的计算能力，可以分配给访问设备验证任务，访问设备需要通过计算完成验证任务，并且在验证成功后才能进行访问。本申请提供的方法可以通过消耗访问设备的计算资源来延长其单次访问所需的时间，进而控制访问频率，以降低服务器被自动化攻击的次数。

本申请在一较佳示例中可以进一步配置为：所述访问者画像至少包括每一次访问的访问时间、所在地址、访问者IP地址、访问设备、及其硬件信息、操作系统以及应用软件信息。

本申请在一较佳示例中可以进一步配置为：所述确定风险值大于预设风险值时，根据预设的单次访问限值和获取到的访问设备计算能力分配验证任务，当获取到的反馈结果验证成功时，授予访问者访问权限包括：

输出任务字符串至访问设备；

获取反馈字符串，所述反馈字符串为验证字符串去掉任务字符串得到的字符串，所述验证字符串为访问设备计算得到的哈希值中末尾预设位数的数值为零的字符串；

计算任务字符串与反馈字符串的哈希值；

验证所述哈希值中末尾预设位数的数值是否均为零，所述预设位数取决于单次访问限值和访问设备计算能力；

若是，则验证成功。

本申请在一较佳示例中可以进一步配置为：所述预设位数的确定方法包括：

根据单次访问限值和访问设备计算能力确定任务计算量；

基于预设的难度对照表，根据任务计算量确定预设位数，所述难度对照表包括不同的任务计算量和预设位数的对应关系。

本申请在一较佳示例中可以进一步配置为：

获取输出任务字符串的发送时间点和获取反馈字符串的反馈时间点；

根据所述发送时间点和反馈时间点确定访问设备的单次访问时长；

确定单次访问时长小于单次访问限值时，基于预设的调节规则，提高访问者的风险值。

本申请目的二是提供一种API访问控制系统，能够降低服务器被自动化攻击的次数。

本申请的上述申请目的二是通过以下技术方案得以实现的：

一种API访问控制系统，包括，

获取模块，用于获取访问者的访问请求、访问者画像和访问接口参数；

风险确定模块，用于基于预设的风险评估模型，根据所述访问者画像和访问接口参数确定当前访问的风险值，所述风险评估模型包括访问者画像、访问接口参数和风险值之间的对应关系；

分配模块，用于确定风险值大于预设风险值时，根据预设的单次访问限值和获取到的访问设备计算能力分配验证任务；

验证模块，用于验证获取到的反馈结果，并用于在获取到的反馈结果验证成功时，授予访问者访问权限。

本申请目的三是提供一种智能终端，能够降低服务器被自动化攻击的次数。

本申请的上述申请目的三是通过以下技术方案得以实现的：

一种智能终端，包括存储器和处理器，所述存储器上存储有能够被处理器加载并执行上述API访问控制方法的计算机程序。

本申请目的四是提供一种计算机存储介质，能够存储相应的程序，具有便于实现降低服务器被自动化攻击的次数。

本申请的上述申请目的四是通过以下技术方案得以实现的：

一种计算机可读存储介质，存储有能够被处理器加载并执行上述任一种API访问控制方法的计算机程序。

综上所述，本申请包括以下至少一种有益技术效果：

本申请能够根据访问者画像和访问接口参数确定本次访问的风险值，进一步确定是否需要设置单次访问限值，以限制访问者的访问频次。根据单次访问限值和访问设备的计算能力，可以分配给访问设备验证任务，访问设备需要通过计算完成验证任务，并且在验证成功后才能进行访问。本申请提供的方法可以通过消耗访问设备的计算资源来延长其单次访问所需的时间，进而控制访问频率，以降低服务器被自动化攻击的次数。

附图说明

图1是本申请其中一实施例的API访问控制方法的流程示意图。

图2是本申请其中一实施例的API访问控制系统的系统示意图。

图3是本申请其中一实施例的智能终端的结构示意图。

图中，21、获取模块；22、风险确定模块；23、分配模块；24、验证模块；301、CPU；302、ROM；303、RAM；304、总线；305、I/O接口；306、输入部分；307、输出部分；308、存储部分；309、通信部分；310、驱动器；311、可拆卸介质。

具体实施方式

以下结合附图对本申请作进一步详细说明。

本具体实施例仅仅是对本申请的解释，其并不是对本申请的限制，本领域技术人员在阅读完本说明书后可以根据需要对本实施例做出没有创造性贡献的修改，但只要在本申请的权利要求范围内都受到专利法的保护。

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

下面结合说明书附图对本申请实施例作进一步详细描述。

本申请实施例提供一种API访问控制方法，主要应用于服务器中，能够控制访问者的访问频率，以防止诸如虚假新账户、虚假广告点击、服务弱点扫面等恶意自动化攻击的行为，进而增强服务器的防御机制。

本申请提供的API访问控制方法的主要流程描述如下。

如图1所示：

步骤S101：获取访问者的访问请求、访问者画像和访问接口参数。

其中，访问者画像至少包括访问者每一次进行访问的访问时间、所在地址、访问者IP地址、访问设备、访问设备的硬件信息、操作系统和应用软件信息，其能够反映用户偏好、访问习惯、访问行为等信息。在本申请中，当访问者完成首次访问后，服务器能够建立与访问者绑定的身份ID，并将该身份ID存储于数据库中，使得之后访问者每次进行访问时，其进行访问时的访问时间、所在地址、访问者IP地址、访问设备、访问设备的硬件信息、操作系统和应用软件信息都能够被记录，从而生成该访问者的访问者画像。

访问接口参数即访问接口的数据敏感度。访问接口的数据敏感度可以从多个方面进行评估。例如：能否对诸如姓名、密码等重要信息进行加密处理，采用的加密方式的安全性，在受到异常波动时能否较好地保护数据。

步骤S102：基于所述风险评估模型，根据所述访问者画像和访问接口参数确定当前访问的风险值。

风险评估模型包括访问者画像和访问接口参数和风险值之间的关系。风险评估模型可以是预存于存储器的数据表，通过获取访问者画像和访问接口参数可以直接匹配对应的风险值。当然，风险评估模型也可以是一种表示访问者画像和访问接口参数和风险值之间的关系的计算公式。当获得访问者画像和访问接口参数时，可以通过计算公式计算得出相应的风险值。在一个具体的示例中，

步骤S103：确定风险值大于预设风险值时，根据预设的单次访问限值和获取到的访问设备计算能力分配验证任务。

步骤S104：当获取到的反馈结果验证成功时，授予访问者访问权限。

可以了解的是，其中，预设风险值为预先存储于诸如存储器等具有存储功能的存储设备中的数值，用于衡量访问者是否肯可能具有恶意访问的风险。当风险值大于预设风险值，即说明本次访问可能具有恶意访问的风险。反之，当风险值小于预设风险值时，即说明本次访问不太可能具有恶意访问的风险。

为了避免可能具有恶意访问行为的访问者进行恶意访问，设置单次访问限值。单次访问限值为对于访问者完成一次访问所需时间的最少时间的限定。

访问设备计算能力为访问设备中CPU的计算能力。当访问者使用访问设备向服务器发起访问请求时，服务器通过访问请求能够获取到访问设备的型号，从而直接调取该型号的访问设备的计算能力。当然，对于一些访问设备，服务器无法探测到其对应的型号。故，通过SDK向访问设备发送测试任务以获取访问设备的计算能力。此处的计算能力可以以处理速度即单位时间内的计算量进行评估。

当确定单次访问限值和访问设备的计算能力后，能够根据单次访问限值和计算能力确定任务计算量，即任务计算量=单次访问限值与计算能力的乘积。即可以理解为，为了使访问设备访问时的单次访问时长能够不低于单次访问限值，可以根据其计算能力匹配相应任务计算量的验证任务，以使得访问设备消耗计算资源完成验证任务。其中，访问设备消耗计算资源完成验证任务所需的时间即为访问设备单次访问时长。

具体的，服务器根据任务计算量分配验证任务的过程为：

首先，服务器输出一段任务字符串至访问设备。

而后，访问设备需要响应一段反馈字符串即反馈结果至服务器中，使得在通过服务器的验证后即满足验证任务的条件后获得访问权限。

其中，验证任务的条件为形成的验证字符串的256位哈希值中末尾预设位数的数值要均为零。验证字符串为任务字符串与反馈字符串组成的字符串。预设位数主要取决于单次访问限值和访问设备的计算能力，即任务计算量。可以理解的，当预设位数越多，则相应的任务计算量越大。因此，可以基于预设的难度对照表，根据任务计算量确定预设位数。难度对照表包括不同的任务计算量和预设位数的对应关系。同样的，难度对照表也可以是预先设置的，或是预先存储于诸如存储器等具有存储功能的存储设备中的。

相应的，服务器在获取到反馈字符串时的验证过程具体为：

首先，计算任务字符串和反馈字符串的256位哈希值。

而后，判断256位哈希值中末尾预设位数的数值是否均为零。若256位哈希值中末尾预设位数的数值均为零，则验证成功即服务器授予访问设备访问权限。反之，若256位哈希值中末尾预设位数的数值并不全为零，则验证失败。

值得说明的是，还可能存在以下恶意访问行为：有的访问者同时拥有两台访问设备，例如一台手机和一台计算机。访问者通过手机对服务器进行访问，并接收到任务字符串。而实际上访问者利用计算机计算满足验证任务的反馈字符串。显然，计算机的计算能力要强于手机的计算能力，即计算机消耗计算资源完成验证任务所需的时间要少于手机消耗计算资源完成验证任务所需的时间。此时，这些访问者的访问频率将得到提升。

为此，在为访问设备分配验证任务时，还需要获取输出任务字符串的发送时间点和获取反馈字符串的反馈时间点，并根据发送时间点和反馈时间点确定访问设备的单次访问时长。进一步的，比较单次访问时长和单次访问限值的大小。当单次访问时长大于或等于单次访问限值时，则说明访问者所使用的访问设备正常。反之，当单次访问时长小于单次访问限值时，则说明访问者所使用的访问设备存在异常，访问者的访问行为存在风险，需要基于预设的调节规则，提高访问者的风险值。

具体的，风险值的调节方式为：

当然，对于首次向服务器发送访问请求的访问者，服务器并未存储有与之匹配的身份ID ，即服务器中未存储有该访问者的访问者画像。但是，依旧可以根据访问时间、所在地址、访问者IP地址、访问设备、及其硬件信息、操作系统、应用软件信息、访问者在请求访问API接口前的行为和访问接口参数确定风险值。

本申请提供的API访问控制方法能够在访问者发起访问请求时，分配给访问者验证任务，通过让访问者消耗计算资源完成验证任务，以延长其访问请求被响应的时长，从而限制了访问者访问请求的次数，使得服务器不易受到自动化攻击，确保了服务器的运行。

图2为本申请一种实施例提供的API访问控制系统。

如图2所示的API访问控制系统，包括获取模块21、风险确定模块22、分配模块23和验证模块24，其中：

获取模块21，用于获取访问者的访问请求、访问者画像和访问接口参数。

风险确定模块22，用于根据所述访问者画像和访问接口参数确定当前访问的风险值。

分配模块23，用于确定风险值大于预设风险值时，根据预设的单次访问限值和获取到的访问设备计算能力分配验证任务。

验证模块24，用于验证获取到的反馈结果，并用于在获取到的反馈结果验证成功时，授予访问者访问权限。

图3示出了适于用来实现本申请实施例的智能终端的结构示意图。

如图3所示，智能终端包括中央处理单元(CPU)301，其可以根据存储在只读存储器(ROM)302中的程序或者从存储部分加载到随机访问存储器(RAM)303中的程序而执行各种适当的动作和处理。在RAM 303中，还存储有系统操作所需的各种程序和数据。CPU 301、ROM302以及RAM303通过总线304彼此相连。输入/输出(I/O)接口305也连接至总线304。

以下部件连接至I/O接口305：包括键盘、鼠标等的输入部分306；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分307；包括硬盘等的存储部分308；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分309。通信部分309经由诸如因特网的网络执行通信处理。驱动器310也根据需要连接至I/O接口305。可拆卸介质311，诸如磁盘、光盘、磁光盘、半导体存储器等，根据需要安装在驱动器310上，以便于从其上读出的计算机程序根据需要被安装入存储部分308。

特别地，根据本申请的实施例，上文参考流程图图1描述的过程可以被实现为计算机软件程序。例如，本申请的实施例包括一种计算机程序产品，其包括承载在机器可读介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分309从网络上被下载和安装，和/或从可拆卸介质311被安装。在该计算机程序被中央处理单元(CPU)301执行时，执行本申请的系统中限定的上述功能。

需要说明的是，本申请所示的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一种或多种导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本申请中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本申请中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、电线、光缆、RF等，或者上述的任意合适的组合。

附图中的流程图和框图，图示了按照本申请各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，前述模块、程序段、或代码的一部分包含一种或多种用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

描述于本申请实施例中所涉及到的单元或模块可以通过软件的方式实现，也可以通过硬件的方式来实现。所描述的单元或模块也可以设置在处理器中，例如，可以描述为：一种处理器包括：获取模块21、风险确定模块22、分配模块23和验证模块24。其中，这些单元或模块的名称在某种情况下并不构成对该单元或模块本身的限定，例如，获取模块21还可以被描述为“用于获取访问者的访问请求、访问者画像和访问接口参数的模块”。

作为另一方面，本申请还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中描述的智能终端中所包含的；也可以是单独存在，而未装配入该智能终端中的。上述计算机可读存储介质存储有一个或者多个程序，当上述前述程序被一个或者一个以上的处理器用来执行描述于本申请的API访问控制方法。

以上描述仅为本申请的较佳实施例以及对所运用技术原理的说明。本领域技术人员应当理解，本申请中所涉及的申请范围，并不限于上述技术特征的特定组合而成的技术方案，同时也应涵盖在不脱离前述申请构思的情况下，由上述技术特征或其等同特征进行任意组合而形成的其它技术方案。例如上述特征与本申请中申请的(但不限于)具有类似功能的技术特征进行互相替换而形成的技术方案。

Claims (5)

1.一种API访问控制方法，应用于服务器中，其特征在于，包括：

获取访问者的访问请求、访问者画像和访问接口参数；

基于预设的风险评估模型，根据所述访问者画像和访问接口参数确定当前访问的风险值，所述风险评估模型包括访问者画像、访问接口参数和风险值之间的对应关系；

确定风险值大于预设风险值时，根据预设的单次访问限值和获取到的访问设备计算能力分配验证任务；

当获取到的反馈结果验证成功时，授予访问者访问权限；

所述确定风险值大于预设风险值时，根据预设的单次访问限值和获取到的访问设备计算能力分配验证任务，当获取到的反馈结果验证成功时，授予访问者访问权限包括：

输出任务字符串至访问设备；

获取反馈字符串，所述反馈字符串为验证字符串去掉任务字符串得到的字符串，所述验证字符串为访问设备计算得到的哈希值中末尾预设位数的数值为零的字符串；

计算任务字符串与反馈字符串的哈希值；

验证所述哈希值中末尾预设位数的数值是否均为零，所述预设位数取决于单次访问限值和访问设备计算能力；

若是，则验证成功；

所述预设位数的确定方法包括：

根据单次访问限值和访问设备计算能力确定任务计算量；

基于预设的难度对照表，根据任务计算量确定预设位数，所述难度对照表包括不同的任务计算量和预设位数的对应关系。

2.根据权利要求1所述的方法，其特征在于，所述访问者画像至少包括每一次访问的访问时间、所在地址、访问者IP地址、访问设备、及其硬件信息、操作系统以及应用软件信息。

3.根据权利要求1所述的方法，其特征在于，还包括：

获取输出任务字符串的发送时间点和获取反馈字符串的反馈时间点；

根据所述发送时间点和反馈时间点确定访问设备的单次访问时长；

确定单次访问时长小于单次访问限值时，基于预设的调节规则，提高访问者的风险值。

4.一种服务器，其特征在于，包括存储器和处理器，所述存储器上存储有能够被处理器加载并执行如权利要求1至3中任一种方法的计算机程序。

5.一种计算机可读存储介质，其特征在于，存储有能够被处理器加载并执行如权利要求1至3中任一种方法的计算机程序。

Images