[發(fā)明專利]一種訪問控制的方法和相關(guān)裝置

在審

• 申請?zhí)枺?/td>: 202010587161.0
• 申請日: 2020-06-24
• 公開（公告）號: CN111737683A
• 公開（公告）日: 2020-10-02
• 發(fā)明（設(shè)計）人: 張曉明
• 申請（專利權(quán)）人: 中國銀行股份有限公司
• 主分類號: G06F21/45
• 分類號: G06F21/45
• 代理公司: 北京集佳知識產(chǎn)權(quán)代理有限公司 11227
• 代理人: 馮柳偉

本申請公開了一種訪問控制的方法和相關(guān)裝置，該方法包括：獲取目標(biāo)用戶的當(dāng)前行為操作和鏈?zhǔn)酱鎯Φ囊淹瓿尚袨椴僮餍蛄校换谝淹瓿尚袨椴僮餍蛄信袛喈?dāng)前行為操作是否滿足預(yù)設(shè)訪問控制條件；若是，放行當(dāng)前行為操作，并將當(dāng)前行為操作鏈?zhǔn)酱鎯χ烈淹瓿尚袨椴僮餍蛄校蝗舴瘢芙^當(dāng)前行為操作。無需對已完成行為操作和當(dāng)前行為操作進(jìn)行改造，采用鏈?zhǔn)酱鎯Ψ绞綄崿F(xiàn)已完成行為操作的存儲，即可明確已完成行為操作與當(dāng)前行為操作的上下文關(guān)聯(lián)，基于此結(jié)合預(yù)設(shè)訪問控制條件判斷當(dāng)前行為操作是否允許放行，該方式簡單便捷且兼容性較好，能夠避免入侵者隨機或任意組合的應(yīng)用程序接口交易請求給系統(tǒng)帶來的巨大的風(fēng)險，從而提升和增強訪問控制的安全等級。

技術(shù)領(lǐng)域

本申請涉及計算機技術(shù)領(lǐng)域，尤其涉及一種訪問控制的方法和相關(guān)裝置。

背景技術(shù)

主流的web應(yīng)用程序、手機軟件應(yīng)用程序利用令牌或會話等方式進(jìn)行安全訪問控制，一旦用戶的令牌或會話的唯一標(biāo)識被盜，入侵者可以隨機或任意組合應(yīng)用程序接口交易請求。由于web應(yīng)用程序、手機軟件應(yīng)用程序通常采用HTTP無狀態(tài)協(xié)議實現(xiàn)應(yīng)用程序接口交易請求，該協(xié)議對事務(wù)處理沒有記憶能力，使得入侵者隨機或任意組合的應(yīng)用程序接口交易請求不受應(yīng)用程序接口交易請求上下文關(guān)聯(lián)關(guān)系的影響而操作成功，導(dǎo)致訪問控制權(quán)限完全失控給系統(tǒng)帶來巨大的風(fēng)險，且入侵者頻繁的訪問也給系統(tǒng)帶來巨大的處理壓力。

現(xiàn)有技術(shù)中，主要是采用通用唯一識別碼(英文：Universally UniqueIdentifier，縮寫：UUID)方式解決HTTP無狀態(tài)協(xié)議對事務(wù)處理沒有記憶能力的問題。具體地，在采用HTTP無狀態(tài)協(xié)議實現(xiàn)應(yīng)用程序接口交易請求過程中，在各個應(yīng)用程序接口交易請求中增加關(guān)聯(lián)UUID的字段信息，使得應(yīng)用程序接口交易請求與上下文關(guān)聯(lián)。但是，發(fā)明人經(jīng)過研究發(fā)現(xiàn)，采用該UUID方式需要前后端同時改造應(yīng)用程序接口交易請求，即，前后端需要聯(lián)合增加額外的字段信息來保證應(yīng)用程序接口交易請求與上下文關(guān)聯(lián)，復(fù)雜繁瑣且兼容性較差。

發(fā)明內(nèi)容

有鑒于此，本申請實施例提供一種訪問控制的方法和相關(guān)裝置，該方法簡單便捷且兼容性較好，能夠避免入侵者隨機或任意組合的應(yīng)用程序接口交易請求給系統(tǒng)帶來的巨大的風(fēng)險，從而提升和增強訪問控制的安全等級。

第一方面，本申請實施例提供了一種訪問控制的方法，所述方法包括：

獲取目標(biāo)用戶的當(dāng)前行為操作和鏈?zhǔn)酱鎯Φ囊淹瓿尚袨椴僮餍蛄校?/p>

基于所述已完成行為操作序列判斷所述當(dāng)前行為操作是否滿足預(yù)設(shè)訪問控制條件；

若是，放行所述當(dāng)前行為操作，并將所述當(dāng)前行為操作鏈?zhǔn)酱鎯χ了鲆淹瓿尚袨椴僮餍蛄校蝗舴瘢芙^所述當(dāng)前行為操作。

可選的，所述預(yù)設(shè)訪問控制條件包括通用預(yù)設(shè)訪問控制條件，所述通用預(yù)設(shè)訪問控制條件是基于鏈?zhǔn)酱鎯Φ男袨椴僮餍蛄邪酌麊魏?或鏈?zhǔn)酱鎯Φ男袨椴僮餍蛄泻诿麊晤A(yù)先設(shè)置的。

可選的，所述基于所述行為操作序列判斷所述當(dāng)前行為操作是否滿足預(yù)設(shè)訪問控制條件，具體為：

判斷所述已完成行為操作序列和所述當(dāng)前行為操作的上下文關(guān)聯(lián)關(guān)系是否滿足基于所述行為操作序列白名單預(yù)先設(shè)置的通用預(yù)設(shè)訪問控制條件和/或基于所述行為操作序列黑名單預(yù)先設(shè)置的通用預(yù)設(shè)訪問控制條件。

可選的，所述預(yù)設(shè)訪問控制條件還包括個性化預(yù)設(shè)訪問控制條件，所述個性化預(yù)設(shè)訪問控制條件是基于鏈?zhǔn)酱鎯Φ乃瞿繕?biāo)用戶的個性化行為操作序列預(yù)先設(shè)置的。

可選的，所述基于所述行為操作序列判斷所述當(dāng)前行為操作是否滿足預(yù)設(shè)訪問控制條件，具體為：

判斷所述已完成行為操作序列和所述當(dāng)前行為操作的上下文關(guān)聯(lián)關(guān)系是否滿足基于所述目標(biāo)用戶的個性化行為操作序列預(yù)先設(shè)置的所述個性化預(yù)設(shè)訪問控制條件。

第二方面，本申請實施例提供了一種訪問控制的裝置，所述裝置包括：