[發明專利]基于Envoy架構的微服務接口認證系統、方法及裝置

有效

• 申請號: 202110033305.2
• 申請日: 2021-01-11
• 公開（公告）號: CN112788031B
• 公開（公告）日: 2023-06-16
• 發明（設計）人: 李瑞昶
• 申請（專利權）人: 百果園技術（新加坡）有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L41/082;G06F21/45;G06F21/33
• 代理公司: 北京澤方譽航專利代理事務所(普通合伙) 11884
• 代理人: 陳照輝

1.基于Evnoy架構的微服務接口認證系統，其特征在于，包括客戶端、Envoy網關和權限驗證中心，所述Envoy網關和權限驗證中心均與客戶端連接；

所述權限驗證中心用于配置各個Api接口的訪問權限，并適配有與所述Envoy網關關聯的LDS接口；所述LDS接口上配置有監聽器和Lua過濾器，所述監聽器用于收集所述訪問權限，所述權限驗證中心用于根據所述訪問權限以及所述Envoy網關配置的靜態過濾模板生成訪問權限驗證規則輸送至Envoy網關，使Envoy網關根據所述訪問權限驗證規則動態更新本地存儲的訪問權限驗證規則；所述Envoy網關用于根據本地存儲的訪問權限驗證規則對來自客戶端的訪問請求中的訪問令牌進行合法性驗證。

2.根據權利要求1所述的微服務接口認證系統，其特征在于，所述Envoy網關上設置有相互連接的主機集群和本地監聽器，所述本地監聽器關聯所述LDS接口；所述主機集群用于配置本地權限驗證中心，所述本地監聽器用于配置靜態過濾模板，并通過LDS接口接收來自權限驗證中心根據靜態過濾模板以及訪問權限而生成的訪問權限驗證規則，將訪問權限驗證規則動態更新至所述本地權限驗證中心。

3.基于Evnoy架構的微服務接口認證方法，應用于Envoy網關中，其特征在于，包括：

通過LDS接口接收來自權限驗證中心的訪問權限驗證規則，所述訪問權限驗證規則由權限驗證中心基于收集的各個Api接口的訪問權限結合所述Envoy網關配置的靜態過濾模板生成，所述權限驗證中心適配有與所述Envoy網關關聯的LDS接口，所述LDS接口上配置有監聽器和Lua過濾器，所述監聽器用于收集所述訪問權限；

根據所述訪問權限驗證規則動態更新本地存儲訪問權限驗證規則；

接收客戶端的訪問請求，所述訪問請求中包含訪問令牌和有效載荷，所述訪問令牌包括訪問時效、簽發機構、安全協議、校驗碼、隨機字符串、權限標識、用戶ID中的任意一種或多種；

對訪問令牌進行解析，并基于本地存儲的訪問權限驗證規則驗證解析后的訪問令牌的合法性。

4.根據權利要求3所述的微服務接口認證方法，其特征在于，所述訪問請求中的訪問令牌通過權限驗證中心的以下方式獲得：

接收用戶的登錄請求，所述登錄請求包括用戶身份信息，所述用戶身份信息包括用戶ID和登錄密碼；

檢驗是否存儲有與所述用戶身份信息一致的用戶身份信息，并當不存在與所述用戶身份信息一致的用戶身份信息時，反饋登錄失敗信息給客戶端；

當存在有與所述用戶身份信息一致的用戶身份信息時，查詢該用戶的角色信息和權限標識；

獲取當前時間戳信息、簽發機構，根據所述角色信息、權限標識、當前時間戳信息、簽發機構和用戶ID生成訪問令牌；

將訪問令牌發送給客戶端。

5.根據權利要求4所述的微服務接口認證方法，其特征在于，所述訪問令牌包括令牌負載信息和響應頭信息，所述令牌負載信息包括權限標識和用戶ID，所述響應頭信息包括根據所述角色信息、當前時間戳信息、簽發機構所生成的驗證信息。

6.根據權利要求5所述的微服務接口認證方法，其特征在于，驗證解析后的訪問令牌的合法性，包括：

獲取訪問令牌的所述響應頭信息，并解析所述響應頭信息；

驗證解析后的響應頭信息的訪問合法性，當驗證通過，解析訪問令牌的令牌負載信息以獲取權限標識和用戶ID，基于所述權限標識和用戶ID生成權限請求；當驗證不通過，反饋客戶端驗證失敗信息；所述有效載荷包含訪問資源信息；

根據權限請求中的權限標識和有效載荷上的訪問資源信息驗證是否具備訪問對應資源接口的權限，當驗證通過，則標記對應的資源接口，并將所述權限請求轉發至所述資源接口以使資源接口響應于所述訪問請求，當驗證不通過，反饋客戶端權限不足信息。