跨服务访问的鉴权方法、装置、存储介质、设备及产品与流程

本申请涉及网络安全，特别是涉及一种跨服务访问的鉴权方法、装置、存储介质、设备及产品。

背景技术：

1、在大型互联网平台中，同一套账号体系往往需要同时支撑多个安全需求不同的服务场景。为避免高安全等级服务被低安全域凭证直接访问，需对不同安全等级服务之间的访问进行受控管理。

2、相关技术中，在检测到当前请求安全级别不足时，需要求用户重新完成完整身份验证并颁发新的高安全等级的持久化会话凭证。但是，这种方式要求用户重新登录，导致正常服务流程被中断以及原有会话上下文丢失；并且，高安全等级的持久化会话凭证一旦颁发后会长期有效，造成持久化提权，增大了凭证泄露被滥用的风险。

技术实现思路

1、有鉴于此，本申请提供了一种跨服务访问的鉴权方法、装置、存储介质、设备及产品，以便于在不中断正常服务流程的情况下完成跨服务访问，同时保障会话安全性。

2、本申请提供了如下方案：

3、根据第一方面，提供了一种基于令牌的鉴权方法，所述方法包括：

4、响应于用户端发送的针对目标服务的访问请求，比较所述访问请求的会话来源服务与所述目标服务的安全等级；

5、在所述目标服务的安全等级高于所述会话来源服务的安全等级的情况下，从所述访问请求中提取升级凭证，所述升级凭证为所述目标服务的授权端预先颁发的；

6、对所述升级凭证进行校验；

7、响应于所述升级凭证校验通过，授权所述用户端访问所述目标服务，所述授权在所述访问请求处理完成后失效。

8、可选地，所述对所述升级凭证进行校验，包括：

9、解析所述访问请求的实际使用场景信息；

10、对所述升级凭证进行解密处理，得到使用场景描述信息；

11、将所述实际使用场景信息与所述使用场景描述信息进行一致性校验；

12、基于所述一致性校验结果，确定升级凭证校验结果。

13、可选地，所述使用场景描述信息包括用户身份信息、来源服务信息和目标服务信息；或者，所述使用场景描述信息包括用户身份信息、来源服务信息、目标服务信息和设备特征信息。

14、可选地，对所述升级凭证进行解密处理，还得到所述升级凭证的约束条件信息，所述约束条件信息包括所述升级凭证的最大使用次数和老化时间中的至少一种；

15、所述基于所述一致性校验结果，确定升级凭证校验结果，包括：

16、确定所述升级凭证是否满足所述约束条件信息；

17、响应于所述一致性校验结果为校验通过且所述升级凭证满足所述约束条件信息，确定所述升级凭证校验通过。

18、可选地，在所述对所述升级凭证进行校验之前，所述方法还包括：

19、验证所述会话来源服务到所述目标服务对应的升级路径是否为预设的合法升级路径，如果是，则继续执行所述对所述升级凭证进行校验；否则，拒绝所述用户端访问所述目标服务。

20、可选地，所述授权所述用户端访问所述目标服务，所述授权在所述访问请求处理完成后失效，包括：

21、在所述访问请求的处理上下文中写入与所述目标服务对应的授权标记；其中，所述处理上下文在所述访问请求处理完成后被清除以使所述授权标记失效。

22、可选地，所述处理上下文为所述访问请求对应的线程级上下文；

23、可选地，所述升级凭证与所述访问请求中的持久化会话凭证相互独立存在。

24、根据第二方面，一种跨服务访问的鉴权装置，所述装置包括：

25、等级比较单元，被配置为响应于用户端发送的针对目标服务的访问请求，比较所述访问请求的会话来源服务与所述目标服务的安全等级；

26、凭证提取单元，被配置为在所述目标服务的安全等级高于所述会话来源服务的安全等级的情况下，从所述访问请求中提取升级凭证，所述升级凭证为所述目标服务的授权端预先颁发的；

27、凭证校验单元，被配置为对所述升级凭证进行校验；

28、服务授权单元，被配置为响应于所述升级凭证校验通过，授权所述用户端访问所述目标服务，所述授权在所述访问请求处理完成后失效。

29、根据第三方面，提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现上述第一方面中任一项所述的方法的步骤。

30、根据第四方面，提供了一种电子设备，包括：

31、一个或多个处理器；以及

32、与所述一个或多个处理器关联的存储器，所述存储器用于存储程序指令,所述程序指令在被所述一个或多个处理器读取执行时，执行上述第一方面中任一项所述的方法的步骤。

33、根据第五方面，提供了一种计算机程序产品，包括计算机程序，该计算机程序被处理器执行时实现上述第一方面中任一项所述方法的步骤。

34、根据本申请提供的具体实施例，本申请公开了以下技术效果：

35、本申请通过比较会话来源服务与目标服务的安全等级，在目标服务安全等级更高的情况下提取预先颁发的升级凭证进行校验，在校验通过后才授予访问权限，从而确保了只有持有合法的升级凭证的用户才能获得跨等级访问授权，避免出现低安全等级的会话服务直接跨等级访问高安全等级服务的安全问题；同时，由于升级凭证为预先颁发的，无需用户在触发跨等级访问时再次重新登录，不会中断正常服务流程，也不会导致原有会话上下文丢失；此外，本次授权仅在单次访问请求处理周期内有效，在访问请求处理完成后即失效，不会造成持久化提权，降低了凭证泄露后被滥用的风险，提升了会话安全性。

36、当然，实施本申请的任一产品并不一定需要同时达到以上所述的所有优点。

1.一种跨服务访问的鉴权方法，其特征在于，所述方法包括：

2.根据权利要求1所述的方法，其特征在于，所述对所述升级凭证进行校验，包括：

3.根据权利要求2所述的方法，其特征在于，所述使用场景描述信息包括用户身份信息、来源服务信息和目标服务信息；或者，

4.根据权利要求2所述的方法，其特征在于，对所述升级凭证进行解密处理，还得到所述升级凭证的约束条件信息，所述约束条件信息包括所述升级凭证的最大使用次数和老化时间中的至少一种；

5.根据权利要求1所述的方法，其特征在于，在所述对所述升级凭证进行校验之前，还包括：

6.根据权利要求1至5中任一项所述的方法，其特征在于，所述授权所述用户端访问所述目标服务，所述授权在所述访问请求处理完成后失效，包括：

7.根据权利要求6所述的方法，其特征在于，所述处理上下文为所述访问请求对应的线程级上下文。

8.根据权利要求1至5中任一项所述的方法，其特征在于，所述升级凭证与所述访问请求中的持久化会话凭证相互独立存在。

9.一种跨服务访问的鉴权装置，其特征在于，所述装置包括：

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现权利要求1至8中任一项所述的方法的步骤。

11.一种电子设备，其特征在于，包括：

12.一种计算机程序产品，包括计算机程序，其特征在于，该计算机程序被处理器执行时实现权利要求1至8中任一项所述方法的步骤。