一种访问令牌校验方法、装置、设备以及存储介质与流程

本发明涉及令牌管理，尤其涉及一种访问令牌校验方法、装置、设备以及存储介质。

背景技术：

1、在高频认证场景下，分布式认证中心的现有令牌校验方法存在如下问题：第一，当令牌校验接口被熔断时，不仅会造成认证对象读取失败、无法执行常规校验，上游也拿不到可用的认证上下文，难以开展受控降级；第二，常规校验与故障降级的返回逻辑未分层，存在误用降级响应的安全风险；第三，统一采用当前时间叠加固定有效期的过期时刻计算方式，会造成大量令牌到期时间与缓存写入时间集中在相近时段，出现令牌过期时间扎堆现象，加剧了系统瞬时负载。

技术实现思路

1、本发明提供了一种访问令牌校验方法、装置、设备以及存储介质，以实现常规令牌校验逻辑与故障降级场景下令牌校验逻辑的分层，规避降级响应误用的安全隐患，缓解令牌过期时间扎堆现象，从而降低分布式认证中心的系统瞬时负载。

2、根据本发明的一方面，提供了一种访问令牌校验方法，该方法由分布式认证中心执行，包括：

3、接收业务请求，并检测令牌校验接口是否被熔断；

4、在检测到令牌校验接口未被熔断的情况下，将业务请求中携带的目标访问令牌输入令牌校验接口，得到目标认证对象；

5、根据目标认证对象中的客户端标识，获取客户端配置信息；客户端配置信息包括客户端允许资源范围、设备校验使能标识、令牌自动延期使能标识和令牌有效期；

6、根据客户端允许资源范围、设备校验使能标识、目标认证对象、以及业务请求中携带的请求所需资源和请求设备标识，执行资源范围校验或设备标识校验，并在确定校验通过后，根据令牌自动延期使能标识、令牌有效期、当前时间、预设延期时间和目标认证对象，生成令牌校验响应报文；

7、在检测到令牌校验接口被熔断的情况下，若检测到目标访问令牌非空且其令牌长度大于或等于最小长度阈值，则在本地对目标访问令牌进行解密，得到目标字段序列，并根据目标字段序列，生成令牌校验响应报文。

8、根据本发明的另一方面，提供了一种访问令牌校验装置，该装置部署在分布式认证中心，包括：

9、请求接收及令牌校验接口检测模块，用于接收业务请求，并检测令牌校验接口是否被熔断；

10、目标认证对象确定模块，用于在检测到令牌校验接口未被熔断的情况下，将业务请求中携带的目标访问令牌输入令牌校验接口，得到目标认证对象；

11、客户端配置信息获取模块，用于根据目标认证对象中的客户端标识，获取客户端配置信息；客户端配置信息包括客户端允许资源范围、设备校验使能标识、令牌自动延期使能标识和令牌有效期；

12、第一令牌校验响应报文生成模块，用于根据客户端允许资源范围、设备校验使能标识、目标认证对象、以及业务请求中携带的请求所需资源和请求设备标识，执行资源范围校验或设备标识校验，并在确定校验通过后，根据令牌自动延期使能标识、令牌有效期、当前时间、预设延期时间和目标认证对象，生成令牌校验响应报文；

13、第二令牌校验响应报文生成模块，用于在检测到令牌校验接口被熔断的情况下，若检测到目标访问令牌非空且其令牌长度大于或等于最小长度阈值，则在本地对目标访问令牌进行解密，得到目标字段序列，并根据目标字段序列，生成令牌校验响应报文。

14、根据本发明的另一方面，提供了一种电子设备，所述电子设备包括：

15、至少一个处理器；

16、以及与至少一个处理器通信连接的存储器；其中，

17、存储器存储有可被至少一个处理器执行的计算机程序，计算机程序被至少一个处理器执行，以使至少一个处理器能够执行本发明任一实施例的访问令牌校验方法。

18、根据本发明的另一方面，提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机指令，计算机指令用于使处理器执行时实现本发明任一实施例的访问令牌校验方法。

19、根据本发明的另一方面，提供了计算机程序产品，包括计算机程序，计算机程序在被处理器执行时实现本发明任一实施例的访问令牌校验方法。

20、本发明实施例的技术方案，分布式认证中心接收业务请求，并检测令牌校验接口是否被熔断；在检测到令牌校验接口未被熔断的情况下，将业务请求中携带的目标访问令牌输入令牌校验接口，得到目标认证对象；根据目标认证对象中的客户端标识，获取客户端配置信息；客户端配置信息包括客户端允许资源范围、设备校验使能标识、令牌自动延期使能标识和令牌有效期；根据客户端允许资源范围、设备校验使能标识、目标认证对象、以及业务请求中携带的请求所需资源和请求设备标识，执行资源范围校验或设备标识校验，并在确定校验通过后，根据令牌自动延期使能标识、令牌有效期、当前时间、预设延期时间和目标认证对象，生成令牌校验响应报文；在检测到令牌校验接口被熔断的情况下，若检测到目标访问令牌非空且其令牌长度大于或等于最小长度阈值，则在本地对目标访问令牌进行解密，得到目标字段序列，并根据目标字段序列，生成令牌校验响应报文。上述技术方案，实现了常规令牌校验逻辑与故障降级场景下令牌校验逻辑的分层，分布式认证中心在检测到令牌校验接口被熔断的情况下，通过在本地对目标访问令牌进行处理，得到令牌校验响应报文，使得故障降级场景下，上游仍能获得可用的认证上下文，便于上游结合调用接口、风险等级执行受控降级处理，同时区分了常规校验与降级响应的能力边界，避免了上游将降级结果误作为完整安全校验结果使用，即规避了降级响应误用的安全隐患；此外，分布式认证中心在检测到令牌校验接口未被熔断，且所需校验均通过的情况下，根据令牌自动延期使能标识、令牌有效期、当前时间和预设延期时间，以不同的方式更新目标认证对象中的令牌绝对过期时间，进而根据更新后的令牌绝对过期时间、以及目标认证对象中的其他认证字段，生成令牌校验响应报文，避免了大量令牌到期时间与缓存写入时间集中在相近时段，缓解了令牌过期时间扎堆现象，从而降低了分布式认证中心的系统瞬时负载。

21、应当理解，本部分所描述的内容并非旨在标识本发明的实施例的关键或重要特征，也不用于限制本发明的范围。本发明的其它特征将通过以下的说明书而变得容易理解。

1.一种访问令牌校验方法，其特征在于，由分布式认证中心执行，所述方法包括：

2.根据权利要求1所述的方法，其特征在于，所述目标认证对象包括如下认证字段：令牌授权资源范围和令牌绑定设备标识；

3.根据权利要求2所述的方法，其特征在于，根据所述令牌自动延期使能标识、所述令牌有效期、当前时间、预设延期时间和所述目标认证对象，生成令牌校验响应报文，包括：

4.根据权利要求3所述的方法，其特征在于，根据所述令牌自动延期使能标识、所述令牌有效期、当前时间、预设延期时间和所述目标认证对象，生成令牌校验响应报文，还包括：

5.根据权利要求1所述的方法，其特征在于，根据所述目标字段序列，生成令牌校验响应报文，包括：

6.根据权利要求1所述的方法，其特征在于，所述目标访问令牌的明文字段序列至少包括如下认证字段：客户端标识、令牌授权资源范围、全局用户标识和令牌绝对过期时间。

7.一种访问令牌校验装置，其特征在于，部署在分布式认证中心，所述装置包括：

8.一种电子设备，其特征在于，所述电子设备包括：

9.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使处理器执行时实现权利要求1-6中任一项所述的访问令牌校验方法。

10.一种计算机程序产品，其特征在于，所述计算机程序产品包括计算机程序，所述计算机程序在被处理器执行时实现权利要求1-6中任一项所述的访问令牌校验方法。