一种基于权限分级的聚合支付信息访问管控方法及系统与流程

本发明涉及信息安全访问控制，尤其涉及一种基于权限分级的聚合支付信息访问管控方法及系统。

背景技术：

1、聚合支付是一种整合多种第三方支付渠道，为商户提供统一收款接口和资金结算服务的支付方式，因其接入便捷、渠道兼容性好、对账管理统一等优点，广泛应用于零售、餐饮、电商及各类线上线下交易场景。

2、目前，聚合支付信息的访问管控主要依赖于统一权限或简单角色划分的访问控制方式。

3、虽然上述方法可以实现对聚合支付信息的访问进行管控，但访问控制粒度较粗，难以针对不同层级、不同岗位的人员及不同敏感程度的支付信息进行精细化的差异管理，权限配置相对固定、缺乏灵活的分级管控机制，无法满足聚合支付平台对安全、精准、灵活的信息访问管控的需求。因此，如何实现对聚合支付信息的访问进行有效管控，进而保障支付平台数据安全和稳定运行成为了亟待解决的问题。

技术实现思路

1、本发明提供一种基于权限分级的聚合支付信息访问管控方法、计算机可读存储介质，其主要目的在于实现对聚合支付信息的访问进行有效管控，进而保障支付平台数据安全和稳定运行。

2、为实现上述目的，本发明提供的一种基于权限分级的聚合支付信息访问管控方法，包括：

3、确认出用户访问端，对用户访问端进行解析，得到用户标识、请求访问数据类别、请求时间戳、终端ip地址、终端经度及终端纬度；

4、基于用户标识确认出静态权限等级及字段权限属性；

5、基于用户访问端、请求时间戳、终端ip地址、终端经度及终端纬度确认出动态风险系数；

6、利用动态风险系数对静态权限等级进行调整，得到生效权限等级；

7、基于请求访问数据类别确认出最低权限等级；

8、比较生效权限等级与最低权限等级，若生效权限等级小于最低权限等级，则将预构建的拒绝访问信息下发至用户访问端，得到最终用户端；

9、若生效权限等级大于等于最低权限等级，则基于生效权限等级及字段权限属性确认出字段遮蔽策略；

10、根据请求访问数据类别从预构建的聚合支付系统中提取出支付信息，得到原始支付信息；

11、按照字段遮蔽策略对原始支付信息进行脱敏处理，得到安全支付信息；

12、将安全支付信息作为目标信息；

13、将目标信息下发至用户访问端，得到目标访问端；

14、对目标访问端进行监测，得到更新生效权限等级；

15、比较更新生效权限等级与最低权限等级，若更新生效权限等级大于等于最低权限等级，则将目标访问端作为最终用户端；

16、若更新生效权限等级小于最低权限等级，则将预构建的终止指令下发至目标访问端，得到最终用户端，完成聚合支付信息访问管控。

17、可选地，所述基于用户标识确认出静态权限等级及字段权限属性，包括：

18、对用户标识进行解析，得到角色类型标识及标识有效性校验码，其中，角色类型标识为：系统管理员、高级商户或普通商户；

19、利用标识有效性校验码对用户标识进行合法性校验，得到校验结果，其中，校验结果为：合法或不合法；

20、若校验结果为不合法，则将预设的零级作为静态权限等级，将预设的无权限作为字段权限属性；

21、若校验结果为合法，则判断角色类型标识，若角色类型标识为系统管理员，则将预设的三级等级作为静态权限等级，将预设的第三权限作为字段权限属性；

22、若角色类型标识为高级商户，则将预设的二级等级作为静态权限等级，将预设的第二权限作为字段权限属性；

23、若角色类型标识为普通商户，则将预设的一级等级作为静态权限等级，将预设的第一权限作为字段权限属性。

24、可选地，所述利用标识有效性校验码对用户标识进行合法性校验，得到校验结果，包括：

25、将标识有效性校验码从用户标识中剔除，得到待校验特征串，其中，待校验特征串包括：多个字符；

26、对多个字符中的每一个字符均执行如下操作：

27、基于字符确认出字符数值及字符序号；

28、根据字符数值及字符序号计算权重数值；

29、汇总权重数值，得到多个权重数值；

30、基于多个权重数值确认出总权重数值，其中，总权重数值为多个权重数值的和；

31、根据总权重数值及预设的素数模数计算余数值，其中，余数值为总权重数值除以素数模数的余数；

32、基于余数值及预构建的校验字符映射表确认出重算校验码；

33、比较重算校验码与标识有效性校验码，若重算校验码等于标识有效性校验码，则将预设的合法作为校验结果；

34、否则将预设的不合法作为校验结果。

35、可选地，所述基于用户访问端、请求时间戳、终端ip地址、终端经度及终端纬度确认出动态风险系数，包括：

36、对用户访问端进行历史访问记录提取，得到历史访问记录集合，其中，历史访问记录集合包括：多个历史访问时间、多个历史终端ip地址及多个历史终端位置；

37、将请求时间戳映射为当日秒时刻，得到当前时刻；

38、基于当前时刻及历史访问记录集合中的多个历史访问时间确认出最近访问时刻及时间维度风险子系数；

39、对终端ip地址进行进制转换，得到转换二进制串；

40、对历史访问记录集合中的多个历史终端ip地址中的每一个历史终端ip地址均执行如下操作：

41、对历史终端ip地址进行进制转换，得到转换历史二进制串；

42、基于转换二进制串及转换历史二进制串确认出连续相同位数；

43、汇总连续相同位数，得到多个连续相同位数；

44、基于多个连续相同位数确认出最大连续位数，其中，最大连续位数为多个连续相同位数中最大的连续相同位数；

45、根据最大连续位数计算ip维度风险子系数；

46、基于终端经度、终端纬度、当前时刻、最近访问时刻及历史访问记录集合中的多个历史终端位置确认出位置维度风险子系数；

47、根据时间维度风险子系数、ip维度风险子系数及位置维度风险子系数计算动态风险系数。

48、可选地，所述基于当前时刻及历史访问记录集合中的多个历史访问时间确认出最近访问时刻及时间维度风险子系数，包括：

49、对历史访问记录集合中的多个历史访问时间中的每一个历史访问时间均执行如下操作：

50、将历史访问时间映射为当日秒时刻，得到历史访问时刻；

51、汇总历史访问时刻，得到多个历史访问时刻；

52、基于多个历史访问时刻确认出历史时刻均值、历史时刻标准差及最近访问时刻，其中，历史时刻均值为多个历史访问时刻的平均值，历史时刻标准差为多个历史访问时刻的标准差；

53、根据当前时刻、历史时刻均值及历史时刻标准差计算时间维度风险子系数。

54、可选地，所述基于终端经度、终端纬度、当前时刻、最近访问时刻及历史访问记录集合中的多个历史终端位置确认出位置维度风险子系数，包括：

55、基于当前时刻及历史访问记录集合中的多个历史终端位置确认出最近访问历史位置，其中，最近访问历史位置包括：历史经度及历史纬度；

56、根据终端经度、终端纬度及最近访问历史位置计算空间位移距离；

57、根据当前时刻及最近访问时刻计算时间间隔，其中，时间间隔等于当前时刻减去最近访问时刻；

58、根据时间间隔及空间位移距离计算位置维度风险子系数，计算公式如下所示：

59、

60、其中，表示位置维度风险子系数，表示时间间隔，表示预设的可行移动速度阈值，表示空间位移距离，表示预设的速度陡峭系数，表示以为底的指数函数，为自然常数。

61、可选地，所述基于生效权限等级及字段权限属性确认出字段遮蔽策略，包括：

62、基于生效权限等级确认出可访问数据范围，其中，可访问数据范围为：第一范围、第二范围或第三范围；

63、若可访问数据范围为第一范围，则基于字段权限属性及预构建的第一遮蔽策略确认出字段遮蔽策略；

64、若可访问数据范围为第二范围，则基于字段权限属性及预构建的第二遮蔽策略确认出字段遮蔽策略；

65、若可访问数据范围为第三范围，则基于字段权限属性及预构建的第三遮蔽策略确认出字段遮蔽策略。

66、可选地，所述对目标访问端进行监测，得到更新生效权限等级，包括：

67、按照预设的采样间隔对目标访问端进行访问行为采集，得到多个会话操作时刻及多个会话查询字段类型；

68、基于多个会话操作时刻及多个会话查询字段类型确认出会话行为异常分值；

69、比较会话行为异常分值与预设的低风险阈值，

70、若会话行为异常分值小于低风险阈值，则将生效权限等级作为更新生效权限等级；

71、若会话行为异常分值大于等于低风险阈值，则比较会话行为异常分值与预设的高风险阈值；

72、若会话行为异常分值小于高风险阈值，则将生效权限等级降低预设的一级步长，得到更新生效权限等级；

73、若会话行为异常分值大于等于高风险阈值，则将零级作为更新生效权限等级。

74、可选地，所述基于多个会话操作时刻及多个会话查询字段类型确认出会话行为异常分值，包括：

75、基于多个会话操作时刻确认出有序操作时刻序列；

76、基于有序操作时刻序列确认出多个相邻时间间隔；

77、基于多个相邻时间间隔确认出相邻操作时间间隔均值，其中，相邻操作时间间隔均值为多个相邻时间间隔的平均值；

78、对多个会话查询字段类型中的每一个会话查询字段类型均执行如下操作：

79、基于会话查询字段类型及预构建的字段敏感度映射表确认出字段敏感度值；

80、汇总字段敏感度值，得到多个字段敏感度值；

81、基于多个字段敏感度值确认出会话字段敏感度均值，其中，会话字段敏感度均值为多个字段敏感度值的平均值；

82、根据相邻操作时间间隔均值及会话字段敏感度均值计算会话行为异常分值，计算公式如下所示：

83、

84、其中，表示会话行为异常分值，表示预设的正常操作频率基准值，表示会话字段敏感度均值，表示相邻操作时间间隔均值。

85、为实现上述目的，本发明还提供一种基于权限分级的聚合支付信息访问管控系统，包括：

86、动态风险计算模块，用于确认出用户访问端，对用户访问端进行解析，得到用户标识、请求访问数据类别、请求时间戳、终端ip地址、终端经度及终端纬度，基于用户标识确认出静态权限等级及字段权限属性，基于用户访问端、请求时间戳、终端ip地址、终端经度及终端纬度确认出动态风险系数；

87、基础权限确认模块，用于利用动态风险系数对静态权限等级进行调整，得到生效权限等级，基于请求访问数据类别确认出最低权限等级，比较生效权限等级与最低权限等级，若生效权限等级小于最低权限等级，则将预构建的拒绝访问信息下发至用户访问端，得到最终用户端；

88、目标信息下发模块，用于若生效权限等级大于等于最低权限等级，则基于生效权限等级及字段权限属性确认出字段遮蔽策略，根据请求访问数据类别从预构建的聚合支付系统中提取出支付信息，得到原始支付信息，按照字段遮蔽策略对原始支付信息进行脱敏处理，得到安全支付信息，将安全支付信息作为目标信息，将目标信息下发至用户访问端，得到目标访问端；

89、支付信息管控模块，用于对目标访问端进行监测，得到更新生效权限等级，比较更新生效权限等级与最低权限等级，若更新生效权限等级大于等于最低权限等级，则将目标访问端作为最终用户端，若更新生效权限等级小于最低权限等级，则将预构建的终止指令下发至目标访问端，得到最终用户端，完成聚合支付信息访问管控。

90、为了解决上述问题，本发明还提供一种电子设备，所述电子设备包括：

91、存储器，存储至少一个指令；及

92、处理器，执行所述存储器中存储的指令以实现上述所述的基于权限分级的聚合支付信息访问管控方法。

93、为了解决上述问题，本发明还提供一种计算机可读存储介质，所述计算机可读存储介质中存储有至少一个指令，所述至少一个指令被电子设备中的处理器执行以实现上述所述的基于权限分级的聚合支付信息访问管控方法。

94、本发明为解决背景技术所述问题，本发明通过确认出用户访问端，对用户访问端进行解析，得到用户标识、请求访问数据类别、请求时间戳、终端ip地址、终端经度及终端纬度，可见本发明实施例通过识别发起访问的具体设备，并从该设备中提取用户的身份信息、所需数据的类型、访问时间以及设备的地理位置和网络地址，为后续的权限判定和风险评估提供基础输入，进而基于用户标识确认出静态权限等级及字段权限属性，可见本发明实施例通过根据用户的唯一标识，从权限数据库中查询该用户预设的基础权限等级，以及针对不同支付数据字段的访问控制属性，基于用户访问端、请求时间戳、终端ip地址、终端经度及终端纬度确认出动态风险系数，可见本发明实施例通过综合访问设备的特征、当前请求的时间、ip地址的归属地和地理位置信息，评估本次访问可能存在的安全风险程度，利用动态风险系数对静态权限等级进行调整，得到生效权限等级，可见本发明实施例通过将动态风险系数作为调整因子，对静态权限等级进行修正，在风险较低时维持或提高权限，在风险较高时降低权限，得到本次访问实际生效的权限等级，基于请求访问数据类别确认出最低权限等级，可见本发明实施例通过根据用户所需访问的数据类别，查找该类别数据所要求的最低访问权限等级，作为判断当前用户是否有权访问该数据的门槛标准，比较生效权限等级与最低权限等级，若生效权限等级小于最低权限等级，则将预构建的拒绝访问信息下发至用户访问端，得到最终用户端，可见本发明实施例通过将生效权限等级与数据要求的最低权限等级进行比较，若当前用户权限不足以访问请求的数据，直接返回拒绝访问的提示，终止本次访问，阻止越权操作，若生效权限等级大于等于最低权限等级，则基于生效权限等级及字段权限属性确认出字段遮蔽策略，可见本发明实施例通过当权限满足最低要求时，根据生效权限等级和各个字段的权限属性，确定对哪些字段进行完整显示、对哪些字段进行部分遮蔽或完全隐藏，形成针对本次访问的具体数据脱敏方案，根据请求访问数据类别从预构建的聚合支付系统中提取出支付信息，得到原始支付信息，可见本发明实施例通过根据用户请求的数据类别，从聚合支付系统的数据库中提取相应的原始支付数据记录，包含完整的字段内容，为后续脱敏处理提供数据来源，按照字段遮蔽策略对原始支付信息进行脱敏处理，得到安全支付信息，可见本发明实施例通过根据制定的字段遮蔽策略，对原始支付信息中的敏感字段进行数据替换、部分隐藏或屏蔽处理，将处理后的结果作为安全支付信息，将安全支付信息作为目标信息，可见本发明实施例通过将脱敏处理后的安全支付信息确定为本次访问的返回数据，将目标信息下发至用户访问端，得到目标访问端，可见本发明实施例通过将安全支付信息通过网络返回给发起访问的用户设备，完成本次数据访问响应，同时记录访问行为，对目标访问端进行监测，得到更新生效权限等级，可见本发明实施例通过在目标访问端获取数据后，持续监测其后续行为和环境变化，重新计算当前时点的生效权限等级，判断权限状态在访问过程中是否发生变化，防止权限状态过期带来的安全漏洞，比较更新生效权限等级与最低权限等级，若更新生效权限等级大于等于最低权限等级，则将目标访问端作为最终用户端，可见本发明实施例通过将更新后的权限等级重新与最低要求比较，若仍满足条件，说明当前访问状态安全可控，将目标访问端确认为最终用户端，允许继续访问，若更新生效权限等级小于最低权限等级，则将预构建的终止指令下发至目标访问端，得到最终用户端，完成聚合支付信息访问管控，可见本发明实施例通过比较更新后的权限等级低于要求，则说明访问环境或用户状态出现风险变化，向目标访问端下发终止指令，强制中断访问，确保数据安全，以此完成全流程的访问管控，因此，本发明可实现对聚合支付信息的访问进行有效管控，进而保障支付平台数据安全和稳定运行。