一种基于多维度拦截器的第三方服务安全认证与令牌托管系统的制作方法

本发明涉及微服务架构下的安全认证，尤其涉及一种基于多维度拦截器的第三方服务安全认证与令牌托管系统。

背景技术：

1、在微服务架构中，系统经常需要调用第三方服务的应用程序编程接口。这些第三方服务通常采用认证协议，要求调用方提供有效的访问令牌。传统的实现方式存在以下问题：各业务模块自行处理令牌获取、缓存和刷新逻辑，导致代码冗余且难以维护；当访问令牌过期时，若未及时刷新，会导致接口调用失败，影响业务连续性；对外开放接口时，缺乏有效的请求合法性验证和重放攻击防护机制；业务代码与鉴权逻辑紧密耦合，不利于系统的扩展和维护。

2、因此，如何提供一种基于多维度拦截器的第三方服务安全认证与令牌托管系统成为本领域亟需解决的技术难题。

技术实现思路

1、本发明所要解决的技术问题是提供一种基于多维度拦截器的第三方服务安全认证与令牌托管系统及方法，以解决现有微服务架构中第三方服务调用存在的令牌管理分散、令牌临近过期导致接口调用失败，以及对外开放接口缺乏参数完整性校验与防重放攻击防护的技术问题。

2、解决以上技术问题采用的技术方案如下：

3、一种基于多维度拦截器的第三方服务安全认证与令牌托管系统，包含：微服务应用层，部署有业务模块；第三方令牌管理器，配置于所述微服务应用层，用于统一托管访问令牌的获取、缓存与刷新，所述第三方令牌管理器采用分布式缓存结合分布式锁实现令牌管理；第三方认证拦截器，配置于所述微服务应用层，在所述业务模块发起服务请求前拦截，从所述第三方令牌管理器获取所述访问令牌并注入所述服务请求的请求头中；外部请求接入层，用于接收外部接入请求；签名验证过滤器，配置于所述外部请求接入层，对所述外部接入请求进行参数完整性校验、哈希算法签名验证以及基于原子性操作的防重放攻击防护。

4、可见，通过微服务应用层内的第三方令牌管理器和第三方认证拦截器，以及外部请求接入层内的签名验证过滤器的分层协同配合，彻底解耦了业务逻辑与鉴权逻辑，统一了令牌生命周期管理，全面保障了系统内外接口调用的稳定性与高安全性。

5、进一步地，所述第三方令牌管理器优先从所述分布式缓存读取所述访问令牌，若所述访问令牌不存在或所述访问令牌的剩余有效期小于预设时间阈值，则触发重新获取操作或刷新操作。

6、可见，利用缓存优先读取机制，降低了第三方接口的网络调用频率，减少了系统整体的接口请求开销。

7、进一步地，当检测到所述访问令牌存在且所述剩余有效期小于所述预设时间阈值时，所述第三方令牌管理器通过异步线程触发所述刷新操作，并向当前请求返回现有的所述访问令牌。

8、可见，采用异步线程触发刷新并直接返回现有令牌，防止了令牌刷新过程阻塞当前业务请求，保障了高并发状态下的业务处理连续性。

9、进一步地，当检测到所述访问令牌不存在时，所述第三方令牌管理器获取所述分布式锁并执行双重检查逻辑，防止多个线程同时执行所述重新获取操作。

10、可见，采用分布式锁与双重检查控制，保证了分布式集群环境下令牌获取的原子性，避免了并发冲突和重复请求。

11、进一步地，当所述异步线程触发的所述刷新操作失败导致所述访问令牌失效时，所述第三方令牌管理器触发降级回退策略，自动回退到重新登录流程以获取新访问令牌。

12、可见，引入降级回退逻辑，确保了系统在极端失效场景下能够自动恢复令牌状态，维持了整体架构的可用性。

13、进一步地，所述微服务应用层还包含定时任务模块，所述定时任务模块通过获取所述分布式锁定期检查所述访问令牌的剩余有效期，并在所述剩余有效期小于预设时间阈值时执行刷新操作。

14、可见，定时刷新机制配合分布式锁，确保了集群环境下仅有单一节点执行刷新探测，避免了重复调用第三方接口资源。

15、进一步地，所述第三方认证拦截器通过判断客户端名称，仅对指定的第三方服务请求执行所述访问令牌的注入操作；在注入所述访问令牌的同时，自动添加服务标识和内容类型至所述服务请求的请求头中；当所述访问令牌为空时，拒绝设置所述请求头。

16、可见，利用定向拦截机制与附加信息注入，保障了外发请求结构的完整性，并主动拦截了无效认证信息的发送，提升了请求鉴权处理的准确性。

17、进一步地，所述签名验证过滤器验证包括签名值、应用标识、时间戳和随机数在内的参数完整性，并结合所述分布式缓存对所述随机数进行去重校验以防止所述外部接入请求重放。

18、可见，实施多维度参数完整性检验与缓存防重放逻辑，抵御了恶意截获和重复发送请求的攻击行为。

19、进一步地，所述签名验证过滤器将所述签名值、所述应用标识、所述时间戳、所述随机数以及应用密钥作为基础参数，将所述基础参数与排除所述基础参数后的业务参数按参数名排序后进行签名计算，比对计算结果与传入的所述签名值。

20、可见，采用规范的参数提取、排序及哈希算法比对，确认了请求在传输过程中的数据一致性，防止了业务参数遭到篡改。

21、本发明还提供了一种基于多维度拦截器的第三方服务安全认证与令牌托管方法，应用于微服务架构，包括以下步骤：统一托管访问令牌的获取、缓存与刷新，采用分布式缓存结合分布式锁实现令牌管理；在业务模块发起服务请求前进行拦截，获取所述访问令牌并注入所述服务请求的请求头中；接收外部接入请求，对所述外部接入请求进行参数完整性校验、哈希算法签名验证以及基于原子性操作的防重放攻击防护。

22、可见，通过上述方法步骤的协同执行，同样实现了业务逻辑与鉴权逻辑的解耦，规范了令牌生命周期管理与外部请求安全验证，保障了微服务架构下服务调用的稳定性与安全性。

1.一种基于多维度拦截器的第三方服务安全认证与令牌托管系统，其特征在于，包含：

2.根据权利要求1所述的基于多维度拦截器的第三方服务安全认证与令牌托管系统，其特征在于，所述第三方令牌管理器优先从所述分布式缓存读取所述访问令牌，若所述访问令牌不存在或所述访问令牌的剩余有效期小于预设时间阈值，则触发重新获取操作或刷新操作。

3.根据权利要求2所述的基于多维度拦截器的第三方服务安全认证与令牌托管系统，其特征在于，当检测到所述访问令牌存在且所述剩余有效期小于所述预设时间阈值时，所述第三方令牌管理器通过异步线程触发所述刷新操作，并向当前请求返回现有的所述访问令牌。

4.根据权利要求2所述的基于多维度拦截器的第三方服务安全认证与令牌托管系统，其特征在于，当检测到所述访问令牌不存在时，所述第三方令牌管理器获取所述分布式锁并执行双重检查逻辑，防止多个线程同时执行所述重新获取操作。

5.根据权利要求3所述的基于多维度拦截器的第三方服务安全认证与令牌托管系统，其特征在于，当所述异步线程触发的所述刷新操作失败导致所述访问令牌失效时，所述第三方令牌管理器触发降级回退策略，自动回退到重新登录流程以获取新访问令牌。

6.根据权利要求2所述的基于多维度拦截器的第三方服务安全认证与令牌托管系统，其特征在于，所述微服务应用层还包含定时任务模块，所述定时任务模块通过获取所述分布式锁定期检查所述访问令牌的剩余有效期，并在所述剩余有效期小于预设时间阈值时执行刷新操作。

7.根据权利要求1所述的基于多维度拦截器的第三方服务安全认证与令牌托管系统，其特征在于，所述第三方认证拦截器通过判断客户端名称，仅对指定的第三方服务请求执行所述访问令牌的注入操作；在注入所述访问令牌的同时，自动添加服务标识和内容类型至所述服务请求的请求头中；当所述访问令牌为空时，拒绝设置所述请求头。

8.根据权利要求1所述的基于多维度拦截器的第三方服务安全认证与令牌托管系统，其特征在于，所述签名验证过滤器验证包括签名值、应用标识、时间戳和随机数在内的参数完整性，并结合所述分布式缓存对所述随机数进行去重校验以防止所述外部接入请求重放。

9.根据权利要求8所述的基于多维度拦截器的第三方服务安全认证与令牌托管系统，其特征在于，所述签名验证过滤器将所述签名值、所述应用标识、所述时间戳、所述随机数以及应用密钥作为基础参数，将所述基础参数与排除所述基础参数后的业务参数按参数名排序后进行签名计算，比对计算结果与传入的所述签名值。

10.一种基于多维度拦截器的第三方服务安全认证与令牌托管方法，其特征在于，应用于微服务架构，包括以下步骤：