CN118659936A - 一种应用可信访问控制系统、方法、电子设备及存储介质 - Google Patents

Abstract

本申请提供了一种应用可信访问控制系统、方法、电子设备及存储介质，包括：可信访问控制客户端用于对用户终端向目标应用发送的访问请求以及身份认证请求进行拦截，对用户终端进行多次安全检测，若通过多次安全检测则向可信访问控制服务端发送身份认证请求，基于认证结果确定出是否对暂停的所述访问请求进行恢复，若是则对访问请求进行拦截以及对终端进行安全检测，若通过安全检测则将访问请求发送至目标应用并接收目标应用反馈的应用请求结果；可信访问控制服务端，用于对接身份认证请求进行认证验证得到认证结果。通过在用户终端上控制对应用系统的访问请求来实现对应用系统的可信访问控制，以提高应用资产访问过程的安全性。

Description

一种应用可信访问控制系统、方法、电子设备及存储介质

技术领域

本申请涉及网络安全技术领域，尤其是涉及一种应用可信访问控制系统、方法、电子设备及存储介质。

背景技术

为了实现对应用访问的可信控制，现有方案是通过一套由可信访问客户端、可信访问控制器、持续信任评估中心和可信访问控制网关组成的系统。由于现有技术方案需要使用到可信访问控制网关，需要对系统的网络环境进行改造，只有当网络环境是私有化部署时才有可能去进行网络改造，而大多数的企业是租用的互联网服务器，比如使用阿里云、腾讯云等形式。这种情况下，是不可能在互联网运营商的网络环境上增加这样的网关设备的，从而限制了不能使用该技术方案。所以，如何不需要增加新的网络设备并提高应用资产访问过程的安全性成为了不容小觑的技术问题。

发明内容

有鉴于此，本申请的目的在于提供一种应用可信访问控制系统、方法、电子设备及存储介质，实现了不需要增加新的网络设备，不需要做域名改造，而是利用用户终端已有的设备能力，通过在用户终端上控制对应用系统的访问请求来实现对应用系统的可信访问控制，以提高应用资产访问过程的安全性。

本申请实施例提供了一种应用可信访问控制系统，所述应用可信访问控制系统包括可信访问控制客户端以及可信访问控制服务端；其中，

所述可信访问控制客户端，用于对用户终端向目标应用发送的访问请求以及用户终端对所述可信访问控制服务端的身份认证请求进行拦截，并对所述用户终端进行多次安全检测，若通过多次所述安全检测则向所述可信访问控制服务端发送所述身份认证请求，基于认证结果确定出是否对暂停的所述访问请求进行恢复，若是则对所述访问请求进行拦截以及对所述用户终端进行安全检测，若通过安全检测则将所述访问请求发送至所述目标应用并接收所述目标应用反馈的应用请求结果；

所述可信访问控制服务端，用于对接收到的所述身份认证请求进行认证验证，生成认证结果，将所述认证结果发送至所述可信访问控制客户端。

在一种可能的实施方式之中，所述可信访问控制客户端在用于对用户终端向目标应用发送的访问请求以及用户终端对所述可信访问控制服务端的身份认证请求进行拦截，并对所述用户终端进行多次安全检测，若通过多次所述安全检测则向所述可信访问控制服务端发送所述身份认证请求时，所述可信访问控制客户端具体用于：

对所述访问请求进行拦截，并对所述用户终端进行第一次安全检测；

若通过所述第一次安全检测，则向所述用户终端发送认证页面，以使所述用户终端在所述认证页面上输入登录信息并向所述可信访问控制服务端发送身份认证请求，并对所述身份认证请求进行拦截，对所述用户终端进行第二次安全检测；

若通过所述第二次安全检测，则向所述可信访问控制服务端发送所述身份认证请求。

在一种可能的实施方式之中，所述可信访问控制客户端通过以下步骤对所述用户终端进行安全检测：

检测所述用户终端是否存在对安全访问造成威胁的危险信息；其中，所述危险信息包括木马信息以及软件病毒信息；

若是，则所述可信访问控制客户端未通过所述安全检测；

若否，则所述可信访问控制客户端通过所述安全检测。

在一种可能的实施方式之中，所述可信访问控制服务端在用于对接收到的所述身份认证请求进行认证验证，生成认证结果时，所述可信访问控制服务端具体用于：

检测所述身份认证请求之中的登录信息是否与运行访问所述目标应用的登录信息库之中的允许登录信息相一致；

若是，则允许所述用户终端访问所述目标应用，并将所述认证结果的标签更改为允许访问；

若否，则不允许所述用户终端访问所述目标应用，并将所述认证结果的标签更改为不允许访问。

在一种可能的实施方式之中，所述可信访问控制客户端还用于：

在接收到所述应用请求结果之后，继续检测所述用户终端是否通过安全检测；

若是，则将所述应用请求结果发送至所述用户终端，以使在所述用户终端上对所述应用请求结果进行显示；

若否，则不将所述应用请求结果发送至所述用户终端。

在一种可能的实施方式之中，所述可信访问控制客户端在对所述访问请求进行拦截，并对所述用户终端进行第一次安全检测之后，所述可信访问控制客户端还用于：

若未通过所述第一次安全检测，则提示所述用户终端的环境存在风险，并通知所述用户终端进行排查风险后再进行目标应用的访问。

在一种可能的实施方式之中，所述可信访问控制客户端在用于基于认证结果确定出是否对暂停的所述访问请求进行恢复时，所述可信访问控制客户端具体用于：

对所述认证结果进行解析，检测所述认证结果的解析文件中是否存在允许访问的标签；

若是，则对暂停的所述访问请求进行恢复；

若否，则不对暂停的所述访问请求进行恢复。

本申请实施例还提供了一种应用可信访问控制方法，所述应用可信访问控制方法包括：

对用户终端向目标应用发送的访问请求以及用户终端对所述可信访问控制服务端的身份认证请求进行拦截；

对所述用户终端进行多次安全检测，若通过多次所述安全检测则对身份认证请求进行认证验证，生成认证结果；

基于认证结果确定出是否对暂停的所述访问请求进行恢复，若是则对所述访问请求进行拦截以及对所述用户终端进行安全检测，若通过安全检测则将所述访问请求发送至所述目标应用并接收所述目标应用反馈的应用请求结果。

本申请实施例还提供一种电子设备，包括：处理器、存储器和总线，所述存储器存储有所述处理器可执行的机器可读指令，当电子设备运行时，所述处理器与所述存储器之间通过总线通信，所述机器可读指令被所述处理器执行时执行如上述的应用可信访问控制方法的步骤。

本申请实施例还提供一种计算机可读存储介质，该计算机可读存储介质上存储有计算机程序，该计算机程序被处理器运行时执行如上述的应用可信访问控制方法的步骤。

本申请实施例提供的一种应用可信访问控制系统、方法、电子设备及存储介质，所述应用可信访问控制系统包括可信访问控制客户端以及可信访问控制服务端；其中，所述可信访问控制客户端，用于对用户终端向目标应用发送的访问请求以及用户终端对所述可信访问控制服务端的身份认证请求进行拦截，并对所述用户终端进行多次安全检测，若通过多次所述安全检测则向所述可信访问控制服务端发送所述身份认证请求，基于认证结果确定出是否对暂停的所述访问请求进行恢复，若是则对所述访问请求进行拦截以及对所述用户终端进行安全检测，若通过安全检测则将所述访问请求发送至所述目标应用并接收所述目标应用反馈的应用请求结果；所述可信访问控制服务端，用于对接收到的所述身份认证请求进行认证验证，生成认证结果，将所述认证结果发送至所述可信访问控制客户端。实现了不需要增加新的网络设备，不需要做域名改造，而是利用用户终端已有的设备能力，通过在用户终端上控制对应用系统的访问请求来实现对应用系统的可信访问控制，以提高应用资产访问过程的安全性。

为使本申请的上述目的、特征和优点能更明显易懂，下文特举较佳实施例，并配合所附附图，作详细说明如下。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本申请的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1为本申请实施例所提供的一种应用可信访问控制系统的结构示意图；

图2为本申请实施例所提供的一种应用可信访问控制系统的交互示意图；

图3为本申请实施例所提供的一种应用可信访问控制的流程图；

图4为本申请实施例所提供的一种电子设备的结构示意图。

图标：100-应用可信访问控制系统；110-可信访问控制客户端；120-可信访问控制服务端；400-电子设备；410-处理器；420-存储器；430-总线。

具体实施方式

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本申请实施例的组件可以以各种不同的配置来布置和设计。因此，以下对在附图中提供的本申请的实施例的详细描述并非旨在限制要求保护的本申请的范围，而是仅仅表示本申请的选定实施例。基于本申请的实施例，本领域技术人员在没有做出创造性劳动的前提下所获得的每个其他实施例，都属于本申请保护的范围。

首先，对本申请可适用的应用场景进行介绍。本申请可应用于网络安全技术领域。

经研究发现，为了实现对应用访问的可信控制，现有方案是通过一套由可信访问客户端、可信访问控制器、持续信任评估中心和可信访问控制网关组成的系统。由于现有技术方案需要使用到可信访问控制网关，需要对系统的网络环境进行改造，只有当网络环境是私有化部署时才有可能去进行网络改造，而大多数的企业是租用的互联网服务器，比如使用阿里云、腾讯云等形式。这种情况下，是不可能在互联网运营商的网络环境上增加这样的网关设备的，从而限制了不能使用该技术方案。所以，如何不需要增加新的网络设备并提高应用资产访问过程的安全性成为了不容小觑的技术问题。

基于此，本申请实施例提供了一种应用可信访问控制系统、方法、电子设备及存储介质，实现了不需要增加新的网络设备，不需要做域名改造，而是利用用户终端已有的设备能力，通过在用户终端上控制对应用系统的访问请求来实现对应用系统的可信访问控制，以提高应用资产访问过程的安全性。

请参阅图1，图1为本申请实施例所提供的一种应用可信访问控制系统100的结构示意图。如图1中所示，本申请实施例提供的应用可信访问控制系统100包括可信访问控制客户端110以及可信访问控制服务。

具体的，所述可信访问控制客户端110，用于对用户终端向目标应用发送的访问请求以及用户终端对所述可信访问控制服务端120的身份认证请求进行拦截，并对所述用户终端进行多次安全检测，若通过多次所述安全检测则向所述可信访问控制服务端120发送所述身份认证请求，基于认证结果确定出是否允许所述用户终端发送访问请求，若是则对所述访问请求进行拦截以及对所述用户终端进行安全检测，若通过安全检测则将所述访问请求发送至所述目标应用并接收所述目标应用反馈的应用请求结果；所述可信访问控制服务端120，用于对接收到的所述身份认证请求进行认证验证，生成认证结果，将所述认证结果发送至所述可信访问控制客户端110。

这里，可信访问控制客户端110对用户终端向目标应用发送的访问请求以及用户终端对可信访问控制服务端120的身份认证请求进行拦截，并对用户终端进行多次安全检测，若通过多次安全检测则向可信访问控制服务端120发送身份认证请求，可信访问控制服务端120对接收到的身份认证请求进行认证验证，生成认证结果，将认证结果发送至可信访问控制客户端110。可信访问控制客户端110基于认证结果确定出是否允许用户终端发送访问请求，若是则对访问请求进行拦截以及对用户终端进行安全检测，若通过安全检测则将访问请求发送至目标应用并接收目标应用反馈的应用请求结果。

这里，用户在用户终端上对应用进行访问，安装并运行用户终端的可信访问控制客户端110，可信访问控制客户端110会检测到用户的应用访问行为将该访问行为暂停，然后检查用户终端是否安全可信。其中，可信访问控制客户端110是安装在用户终端上的。

其中，认证成功后将暂停的访问请求行为恢复，用户终端继续对应用的访问，可信访问控制客户端110继续拦截用户终端的应用访问行为，将该访问请求暂停，然后检查用户终端是否安全可信，其原因是之前对用户终端的安全检测结果并不能表明当下用户终端还是安全可信的，需要在每一次有访问请求时都进行安全检查。

在一种可能的实施方式之中，所述可信访问控制客户端110在用于对用户终端向目标应用发送的访问请求以及用户终端对所述可信访问控制服务端120的身份认证请求进行拦截，并对所述用户终端进行多次安全检测，若通过多次所述安全检测则向所述可信访问控制服务端120发送所述身份认证请求时，所述可信访问控制客户端110具体用于：

A：对所述访问请求进行拦截，并对所述用户终端进行第一次安全检测。

这里，对访问请求进行拦截，并对用户终端进行第一次安全检测。

在一种可能的实施方式之中，所述可信访问控制客户端110通过以下步骤对所述用户终端进行安全检测：

检测所述用户终端是否存在对安全访问造成威胁的危险信息；其中，所述危险信息包括木马信息以及软件病毒信息；若是，则所述可信访问控制客户端110未通过所述安全检测；若否，则所述可信访问控制客户端110通过所述安全检测。

这里，检测用户终端是否存在对安全访问造成威胁的危险信息，若是，则可信访问控制客户端110未通过安全检测；若否，则可信访问控制客户端110通过安全检测。

B：若通过所述第一次安全检测，则向所述用户终端发送认证页面，以使所述用户终端在所述认证页面上输入登录信息并向所述可信访问控制服务端120发送身份认证请求，并对所述身份认证请求进行拦截，对所述用户终端进行第二次安全检测。

这里，若通过第一次安全检测，则向用户终端发送认证页面，以使用户终端在认证页面上输入登录信息并向可信访问控制服务端120发送身份认证请求，并对身份认证请求进行拦截，对用户终端进行第二次安全检测。

这里，在通过第一次安全检测后，用户终端在认证页面上填写登录信息后向可信访问控制服务端120发送身份认证请求，在身份认证请求发送到可信访问控制服务端120之前，对身份认证请求进行拦截，并继续对用户终端进行第二次安全检测，以避免此刻用户终端存在病毒信息。

其中，用户在认证页面输入账号密码或刷人脸等认证信息后，发送身份认证请求至可信访问控制服务端120，可信访问控制客户端110继续拦截用户终端的身份认证请求，将该身份认证请求暂停，第二次检查用户终端是否安全可信。

C：若通过所述第二次安全检测，则向所述可信访问控制服务端120发送所述身份认证请求。

这里，若通过第二次安全检测，则向可信访问控制服务端120发送身份认证请求。

在一种可能的实施方式之中，所述可信访问控制服务端120在用于对接收到的所述身份认证请求进行认证验证，生成认证结果时，所述可信访问控制服务端120具体用于：

（1）：检测所述身份认证请求之中的登录信息是否与运行访问所述目标应用的登录信息库之中的允许登录信息相一致。

这里，检测身份认证请求之中的登录信息是否与运行访问目标应用的登录信息库之中的允许登录信息相一致。

其中，允许登录信息是用户预先设置好的登录信息。

（2）：若是，则允许所述用户终端访问所述目标应用，并将所述认证结果的标签更改为允许访问；若否，则不允许所述用户终端访问所述目标应用，并将所述认证结果的标签更改为不允许访问。

这里，若是，则允许用户终端访问目标应用，并将认证结果的标签更改为允许访问；若否，则不允许用户终端访问目标应用，并将认证结果的标签更改为不允许访问。

在一种可能的实施方式之中，所述可信访问控制客户端110在对所述访问请求进行拦截，并对所述用户终端进行第一次安全检测之后，所述可信访问控制客户端110还用于：

若未通过所述第一次安全检测，则提示所述用户终端的环境存在风险，并通知所述用户终端进行排查风险后再进行目标应用的访问。

这里，如果用户终端存在病毒或木马等可能对安全访问造成威胁的情况，则直接中断用户的应用访问并在用户终端显示提示信息，提醒用户的终端环境存在风险，需要先排查风险才能再进行应用访问；如果用户终端是安全可信的，则推送认证页面到用户终端以使用户终端在认证页面上输入登录信息。

在一种可能的实施方式之中，所述可信访问控制客户端110在用于基于认证结果确定出是否对暂停的所述访问请求进行恢复时，所述可信访问控制客户端110具体用于：

对所述认证结果进行解析，检测所述认证结果的解析文件中是否存在允许访问的标签；若是，则对暂停的所述访问请求进行恢复；若否，则不对暂停的所述访问请求进行恢复。

这里，对认证结果进行解析，检测认证结果的解析文件中是否存在允许访问的标签；若是，则对暂停的访问请求进行恢复；若否，则不对暂停的访问请求进行恢复。

在一种可能的实施方式之中，所述可信访问控制客户端110还用于：

在接收到所述应用请求结果之后，继续检测所述用户终端是否通过安全检测；若是，则将所述应用请求结果发送至所述用户终端，以使在所述用户终端上对所述应用请求结果进行显示；若否，则不将所述应用请求结果发送至所述用户终端。

这里，目标应用将应用请求结果返回给可信访问控制客户端110，可信访问控制客户端110在将应用请求结果返回给用户终端之前，需要检查用户终端是否安全可信；如果用户终端不安全可信，则不会把应用请求结果给到用户终端而是在用户终端显示用户终端不安全的提示信息；如果用户终端安全可信，则将应用请求结果发送至用户终端。

其中，若后续用户在用户终端继续对该目标应用进行访问，则直接按照对暂停的访问请求进行恢复之后的执行步骤进行执行。

在本申请中，用户在用户终端按照应用原有的访问方式访问应用，安装在用户终端的可信访问控制客户端110会实时监测用户终端的电脑健康情况和对外的网络访问行为，当有应用访问行为时，会在用户无感知的情况下，拦截掉该次网络访问行为，并实时检查用户终端是否存在病毒、木马等可能危害用户和应用信息安全的风险隐患，如果存在风险，则停止对服务端的应用访问并在用户终端显示相应的安全风险提示信息，提醒用户其用户终端存在病毒或木马等安全隐患。如果用户终端是健康可信的，则建立用户终端与服务端应用的网络连接并获得应用请求结果。在将应用结果实际返回给用户终端之前，还需要实时检查用户终端是否安全可信，只有在用户终端安全可信的条件下，才将应用请求结果返回给用户终端，实现对应用的全流程、全链路、全时刻的安全可信访问。

进一步的，请参阅图2，图2为本申请实施例所提供的一种应用可信访问控制系统的交互示意图。如图2所示，1.用户在用户终端访问应用；2.安装并运行在用户终端的可信访问控制客户端会检测到用户的应用访问行为，将该访问行为拦截，检查用户终端是否安全可信；3.若用户终端存在病毒或木马等可能对安全访问造成威胁的情况，则直接中断用户的应用访问并在用户终端显示提示信息；若用户终端是安全可信的，则推送认证页面到用户终端；4.用户在认证页面输入账号密码等认证信息后，发送身份认证请求至可信访问控制服务端；5.可信访问控制端继续拦截用户终端的认证请求，将该请求暂停，然后检查用户终端是否安全可信；6.如果用户终端不安全可信，则进入步骤6.1中断用户的认证请求并在用户终端显示提示信息；如果用户终端安全可信，则进入步骤6.2将身份认证请求发送至可信访问控制服务端；7.可信访问控制服务端对身份认证请求进行验证并生成认证结果；8.可信访问控制服务端将认证结果返回给可信访问控制客户端；9.可信访问控制客户端解析认证结果，认证成功后将步骤2中暂停的应用访问行为恢复；10.用户终端继续对应用的访问；11.可信访问控制端继续拦截用户终端的应用访问行为，将该访问暂停，然后检查用户终端是否安全可信；12.若不可信，则进入步骤12.1中断用户的应用请求并在用发送提示信息；若可信，则进入步骤12.2将应用请求发送至应用资产；13.应用资产按照应用请求，生成应用请求结果；14.应用资产将请求结果返回给可信访问控制客户端；15.可信访问控制客户端在将应用请求结果返回给用户终端之前，检查用户终端是否安全可信；16. 若不可信，则发送提示信息，若可信则发送应用请求结果。

在本申请中实现了不需要可信访问控制网关，建设成本较低，预算有限的企业也可以使用；不需要改造企业网络环境，只需要在服务器端部署一个纯软件形式的可信访问控制服务，支持虚拟化部署和云化部署，对于没有自建机房而是采用租用互联网服务器的企业也可以使用；不限制用户终端对应用的访问形式，不需要对应用进行域名改造，节约了客户的应用改造成本；

本申请实施例提供的一种应用可信访问控制系统，所述应用可信访问控制系统包括可信访问控制客户端以及可信访问控制服务端；其中，所述可信访问控制客户端，用于对用户终端向目标应用发送的访问请求以及用户终端对所述可信访问控制服务端的身份认证请求进行拦截，并对所述用户终端进行多次安全检测，若通过多次所述安全检测则向所述可信访问控制服务端发送所述身份认证请求，基于认证结果确定出是否对暂停的所述访问请求进行恢复，若是则对所述访问请求进行拦截以及对所述用户终端进行安全检测，若通过安全检测则将所述访问请求发送至所述目标应用并接收所述目标应用反馈的应用请求结果；所述可信访问控制服务端，用于对接收到的所述身份认证请求进行认证验证，生成认证结果，将所述认证结果发送至所述可信访问控制客户端。实现了不需要增加新的网络设备，不需要做域名改造，而是利用用户终端已有的设备能力，通过在用户终端上控制对应用系统的访问请求来实现对应用系统的可信访问控制，以提高应用资产访问过程的安全性。

请参阅图3，图3为本申请实施例所提供的一种应用可信访问控制的流程图。如图3中所示，本申请实施例提供的应用可信访问控制方法，包括：

S301：对用户终端向目标应用发送的访问请求以及用户终端对所述可信访问控制服务端的身份认证请求进行拦截。

该步骤中，对用户终端向目标应用发送的访问请求以及用户终端对可信访问控制服务端的身份认证请求进行拦截。

S302：对所述用户终端进行多次安全检测，若通过多次所述安全检测则对身份认证请求进行认证验证，生成认证结果。

该步骤中，对用户终端进行多次安全检测，若通过多次安全检测则对身份认证请求进行认证验证，生成认证结果。

S303：基于认证结果确定出是否对暂停的所述访问请求进行恢复，若是则对所述访问请求进行拦截以及对所述用户终端进行安全检测，若通过安全检测则将所述访问请求发送至所述目标应用并接收所述目标应用反馈的应用请求结果。

该步骤中，根据认证结果确定出是否对暂停的访问请求进行恢复，若是则对访问请求进行拦截以及对用户终端进行安全检测，若通过安全检测则将访问请求发送至目标应用并接收目标应用反馈的应用请求结果。

进一步的，所述对用户终端向目标应用发送的访问请求以及用户终端对所述可信访问控制服务端的身份认证请求进行拦截，并对所述用户终端进行多次安全检测，若通过多次所述安全检测则向所述可信访问控制服务端发送所述身份认证请求，包括：

对所述访问请求进行拦截，并对所述用户终端进行第一次安全检测；

若通过所述第一次安全检测，则向所述用户终端发送认证页面，以使所述用户终端在所述认证页面上输入登录信息并向所述可信访问控制服务端发送身份认证请求，并对所述身份认证请求进行拦截，对所述用户终端进行第二次安全检测；

若通过所述第二次安全检测，则向所述可信访问控制服务端发送所述身份认证请求。

进一步的，通过以下步骤对所述用户终端进行安全检测：

检测所述用户终端是否存在对安全访问造成威胁的危险信息；其中，所述危险信息包括木马信息以及软件病毒信息；

若是，则所述可信访问控制客户端未通过所述安全检测；

若否，则所述可信访问控制客户端通过所述安全检测。

进一步的，所述对接收到的所述身份认证请求进行认证验证，生成认证结果，包括：

检测所述身份认证请求之中的登录信息是否与运行访问所述目标应用的登录信息库之中的允许登录信息相一致；

若是，则允许所述用户终端访问所述目标应用，并将所述认证结果的标签更改为允许访问；

若否，则不允许所述用户终端访问所述目标应用，并将所述认证结果的标签更改为不允许访问。

进一步的，所述应用可信访问控制方法还包括：

在接收到所述应用请求结果之后，继续检测所述用户终端是否通过安全检测；

若是，则将所述应用请求结果发送至所述用户终端，以使在所述用户终端上对所述应用请求结果进行显示；

若否，则不将所述应用请求结果发送至所述用户终端。

进一步的，对所述访问请求进行拦截，并对所述用户终端进行第一次安全检测之后，所述应用可信访问控制方法还包括：

若未通过所述第一次安全检测，则提示所述用户终端的环境存在风险，并通知所述用户终端进行排查风险后再进行目标应用的访问。

进一步的，所述基于认证结果确定出是否对暂停的所述访问请求进行恢复，包括：

对所述认证结果进行解析，检测所述认证结果的解析文件中是否存在允许访问的标签；

若是，则对暂停的所述访问请求进行恢复；

若否，则不对暂停的所述访问请求进行恢复。

本申请实施例提供的一种应用可信访问控制方法，所述应用可信访问控制方法包括：对用户终端向目标应用发送的访问请求以及用户终端对所述可信访问控制服务端的身份认证请求进行拦截；对所述用户终端进行多次安全检测，若通过多次所述安全检测则对身份认证请求进行认证验证，生成认证结果；基于认证结果确定出是否允许所述用户终端发送访问请求，若是则对所述访问请求进行拦截以及对所述用户终端进行安全检测，若通过安全检测则将所述访问请求发送至所述目标应用并接收所述目标应用反馈的应用请求结果。实现了不需要增加新的网络设备，不需要做域名改造，而是利用用户终端已有的设备能力，通过在用户终端上控制对应用系统的访问请求来实现对应用系统的可信访问控制，以提高应用资产访问过程的安全性。

请参阅图4，图4为本申请实施例所提供的一种电子设备的结构示意图。如图4中所示，所述电子设备400包括处理器410、存储器420和总线430。

所述存储器420存储有所述处理器410可执行的机器可读指令，当电子设备400运行时，所述处理器410与所述存储器420之间通过总线430通信，所述机器可读指令被所述处理器410执行时，可以执行如上述图3所示方法实施例中的应用可信访问控制方法的步骤，具体实现方式可参见方法实施例，在此不再赘述。

本申请实施例还提供一种计算机可读存储介质，该计算机可读存储介质上存储有计算机程序，该计算机程序被处理器运行时可以执行如上述图3所示方法实施例中的应用可信访问控制方法的步骤，具体实现方式可参见方法实施例，在此不再赘述。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统、装置和方法，可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，又例如，多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些通信接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个处理器可执行的非易失的计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备（可以是个人计算机，服务器，或者网络设备等）执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器（Read-OnlyMemory，ROM）、随机存取存储器（Random Access Memory，RAM）、磁碟或者光盘等各种可以存储程序代码的介质。

最后应说明的是：以上所述实施例，仅为本申请的具体实施方式，用以说明本申请的技术方案，而非对其限制，本申请的保护范围并不局限于此，尽管参照前述实施例对本申请进行了详细的说明，本领域的普通技术人员应当理解：任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，其依然可以对前述实施例所记载的技术方案进行修改或可轻易想到变化，或者对其中部分技术特征进行等同替换；而这些修改、变化或者替换，并不使相应技术方案的本质脱离本申请实施例技术方案的精神和范围，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以权利要求的保护范围为准。

Claims (10)

1.一种应用可信访问控制系统，其特征在于，所述应用可信访问控制系统包括可信访问控制客户端以及可信访问控制服务端；其中，

所述可信访问控制客户端，用于对用户终端向目标应用发送的访问请求以及用户终端对所述可信访问控制服务端的身份认证请求进行拦截，并对所述用户终端进行多次安全检测，若通过多次所述安全检测则向所述可信访问控制服务端发送所述身份认证请求，基于认证结果确定出是否对暂停的所述访问请求进行恢复，若是则对所述访问请求进行拦截以及对所述用户终端进行安全检测，若通过安全检测则将所述访问请求发送至所述目标应用并接收所述目标应用反馈的应用请求结果；

所述可信访问控制服务端，用于对接收到的所述身份认证请求进行认证验证，生成认证结果，将所述认证结果发送至所述可信访问控制客户端。

2.根据权利要求1所述的应用可信访问控制系统，其特征在于，所述可信访问控制客户端在用于对用户终端向目标应用发送的访问请求以及用户终端对所述可信访问控制服务端的身份认证请求进行拦截，并对所述用户终端进行多次安全检测，若通过多次所述安全检测则向所述可信访问控制服务端发送所述身份认证请求时，所述可信访问控制客户端具体用于：

对所述访问请求进行拦截，并对所述用户终端进行第一次安全检测；

若通过所述第一次安全检测，则向所述用户终端发送认证页面，以使所述用户终端在所述认证页面上输入登录信息并向所述可信访问控制服务端发送身份认证请求，并对所述身份认证请求进行拦截，对所述用户终端进行第二次安全检测；

若通过所述第二次安全检测，则向所述可信访问控制服务端发送所述身份认证请求。

3.根据权利要求1所述的应用可信访问控制系统，其特征在于，所述可信访问控制客户端通过以下步骤对所述用户终端进行安全检测：

检测所述用户终端是否存在对安全访问造成威胁的危险信息；其中，所述危险信息包括木马信息以及软件病毒信息；

若是，则所述可信访问控制客户端未通过所述安全检测；

若否，则所述可信访问控制客户端通过所述安全检测。

4.根据权利要求1所述的应用可信访问控制系统，其特征在于，所述可信访问控制服务端在用于对接收到的所述身份认证请求进行认证验证，生成认证结果时，所述可信访问控制服务端具体用于：

检测所述身份认证请求之中的登录信息是否与运行访问所述目标应用的登录信息库之中的允许登录信息相一致；

若是，则允许所述用户终端访问所述目标应用，并将所述认证结果的标签更改为允许访问；

若否，则不允许所述用户终端访问所述目标应用，并将所述认证结果的标签更改为不允许访问。

5.根据权利要求1所述的应用可信访问控制系统，其特征在于，所述可信访问控制客户端还用于：

在接收到所述应用请求结果之后，继续检测所述用户终端是否通过安全检测；

若是，则将所述应用请求结果发送至所述用户终端，以使在所述用户终端上对所述应用请求结果进行显示；

若否，则不将所述应用请求结果发送至所述用户终端。

6.根据权利要求2所述的应用可信访问控制系统，其特征在于，所述可信访问控制客户端在对所述访问请求进行拦截，并对所述用户终端进行第一次安全检测之后，所述可信访问控制客户端还用于：

若未通过所述第一次安全检测，则提示所述用户终端的环境存在风险，并通知所述用户终端进行排查风险后再进行目标应用的访问。

7.根据权利要求1所述的应用可信访问控制系统，其特征在于，所述可信访问控制客户端在用于基于认证结果确定出是否对暂停的所述访问请求进行恢复时，所述可信访问控制客户端具体用于：

对所述认证结果进行解析，检测所述认证结果的解析文件中是否存在允许访问的标签；

若是，则对暂停的所述访问请求进行恢复；

若否，则不对暂停的所述访问请求进行恢复。

8.一种应用可信访问控制方法，其特征在于，所述应用可信访问控制方法应用于权利要求1-7任一所述的应用可信访问控制系统，所述应用可信访问控制方法包括：

对用户终端向目标应用发送的访问请求以及用户终端对所述可信访问控制服务端的身份认证请求进行拦截；

对所述用户终端进行多次安全检测，若通过多次所述安全检测则对身份认证请求进行认证验证，生成认证结果；

基于认证结果确定出是否对暂停的所述访问请求进行恢复，若是则对所述访问请求进行拦截以及对所述用户终端进行安全检测，若通过安全检测则将所述访问请求发送至所述目标应用并接收所述目标应用反馈的应用请求结果。

9.一种电子设备，其特征在于，包括：处理器、存储器和总线，所述存储器存储有所述处理器可执行的机器可读指令，当电子设备运行时，所述处理器与所述存储器之间通过所述总线进行通信，所述机器可读指令被所述处理器运行时执行如权利要求8所述的应用可信访问控制方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器运行时执行如权利要求8所述的应用可信访问控制方法的步骤。