[發明專利]訪問請求的認證方法及裝置、API網關設備、存儲介質

在審

• 申請號: 202111492886.2
• 申請日: 2021-12-08
• 公開（公告）號: CN114157503A
• 公開（公告）日: 2022-03-08
• 發明（設計）人: 高作賀
• 申請（專利權）人: 北京天融信網絡安全技術有限公司;北京天融信科技有限公司;北京天融信軟件有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京超凡宏宇專利代理事務所(特殊普通合伙) 11463
• 代理人: 蔣姍

本申請提供一種訪問請求的認證方法及裝置、API網關設備、存儲介質。訪問請求的認證方法，包括：獲取訪問請求；確定所述訪問請求中是否包括標簽信息；所述標簽信息用于對所述訪問請求進行認證；若所述訪問請求中包括標簽信息，根據所述標簽信息確定所述訪問請求是否合法；若所述訪問請求中不包括標簽信息，確定所述訪問請求不合法。該認證方法用以提高API網關的安全性。

技術領域

本申請涉及網絡安全技術領域，具體而言，涉及一種訪問請求的認證方法及裝置、API網關設備、存儲介質。

背景技術

API網關(Application Programming Interface Gateway，應用程序編程接口網關)是一種企業統一對外提供服務入口的方式之一，主要負責均衡、緩存、路由、訪問控制、服務代理、監控及日志等功能。

隨著SaaS(software-as-a-service，軟件即服務)的快速發展，API網關將企業內部服務統一管理、統一發布，將不同的服務整合到不同的應用中，衍生出新的服務，有效地提升技術創新能力，與此同時服務的安全防護也面臨更大的挑戰，如：內部數據泄露，攻擊者通過內部網絡進行攻擊，病毒內網擴散等。

傳統的API網關更多關注于代理能力，依賴于防火墻、IDS(Intrusion DetectionSystem，入侵檢測系統)等被動防御機制，不會對訪問者、終端、系統等進行全面的安全校驗。因此，現有的API網關的安全性較低。

發明內容

本申請實施例的目的在于提供一種訪問請求的認證方法及裝置、API網關設備、存儲介質，用以提高API網關的安全性。

第一方面，本申請實施例提供一種訪問請求的認證方法，包括：獲取訪問請求；確定所述訪問請求中是否包括標簽信息；所述標簽信息用于對所述訪問請求進行認證；若所述訪問請求中包括標簽信息，根據所述標簽信息確定所述訪問請求是否合法；若所述訪問請求中不包括標簽信息，確定所述訪問請求不合法。

在本申請實施例中，與現有技術相比，API網關不再依賴被動防御機制，主動地對訪問請求進行安全認證；安全認證的基礎為訪問請求中包括的標簽信息，該標簽信息用于對訪問請求進行認證，如果確定訪問請求中包括標簽信息，則進一步根據標簽信息判定訪問請求是否合法；如果確定訪問請求中不包括標簽信息，則直接判定訪問請求不合法。一方面，對于訪問對象來說，如果想要通過認證，則必須在訪問請求中增加標簽信息；另一方面，在有標簽信息的前提下，利用標簽信息對訪問請求進行合法性驗證。因此，該認證方法能夠提高API網關的安全性。

作為一種可能的實現方式，所述標簽信息為加密信息，所述根據所述標簽信息確定所述訪問請求是否合法，包括：對所述標簽信息進行解析，獲得解析后的信息；根據所述解析后的信息確定所述訪問請求是否合法。

在本申請實施例中，標簽信息為加密信息，相較于非加密信息來說，能夠防止標簽信息被非法篡改，進一步提高安全性，以及提高認證結果的準確性。

作為一種可能的實現方式，所述解析后的信息中包括：所述訪問請求對應的訪問對象的系統信息；所述訪問請求中還包括：請求時間；所述根據所述解析后的信息確定所述訪問請求是否合法，包括：根據所述請求時間和接收到所述訪問請求的時間確定時間維度信息；確定所述標簽信息的加密系數；根據所述系統信息、所述時間維度信息和所述加密系數確定所述標簽信息是否合法；若所述標簽信息不合法，則確定所述訪問請求不合法。

在本申請實施例中，通過確定時間維度信息和加密系數，再結合訪問對象的系統信息，對標簽信息的合法性進行有效判定，提高API網關的安全性。

作為一種可能的實現方式，所述解析后的信息中還包括：所述訪問對象的硬件信息和所述訪問對象的環境感知信息，所述訪問請求中還包括：所述訪問對象的身份權限信息；所述認證方法還包括：若所述標簽信息合法，根據所述硬件信息、所述環境感知信息和所述身份權限信息確定所述訪問請求是否合法。