基于令牌权限校验的访问方法、装置、设备及存储介质制造方法及图纸

本发明专利技术涉及安全防护技术领域，提供一种基于令牌权限校验的访问方法、装置、设备及存储介质。其中，方法包括：获取用户信息，根据用户信息生成相应的令牌，并将令牌返回给前端；接收用户的访问请求，所述访问请求携带有令牌；根据访问请求中的用户信息生成校验密码，采用所述校验密码校验访问请求中所携带的令牌，若校验通过，授权用户访问相应操作。本申请基于非对称加密技术通过使用令牌权限校验方法实时对访问权限进行校验，避免了低权限或无权限用户借助访问工具绕过前端菜单的权限控制，伪装成高权限用户直接调用后端操作接口的问题，从而修复了现有技术中存在的越权漏洞问题，避免了数据泄露，提高了系统的安全性。提高了系统的安全性。提高了系统的安全性。

【技术实现步骤摘要】
基于令牌权限校验的访问方法、装置、设备及存储介质


[0001]本专利技术涉及安全防护
，特别是涉及一种基于令牌权限校验的访问方法、装置、设备及存储介质。

技术介绍

[0002]当用户登陆企业应用系统时，一般而言，都会根据用户的权限配置返回相应的权限菜单，从而限制了用户的使用菜单的权限，规范了用户的工作范围和职责。对于无权限的用户则无权限登陆系统，这样，系统的安全性就有了一定的保障。例如，没有审批权限的低权限用户A返回的是A用户的页面菜单；而有审批权限的高权限用户B返回的页面菜单是B用户的页面菜单。
[0003]但是，如果通过先登陆了用户B，获取到用户B的用户名+cookie，同时，如果用户A或其他无登陆权限的用户，使用所获得的用户B的用户名+cookie，再通过工具如Google Chrome的Postman工具等，就可直接越过前端菜单的权限控制，直接调用后端的审批操作的接口，此时若后端不加以权限校验，那么低权限用户A等就可能会直接操作了高权限用户B的审批权限，从而使得系统的安全性存在越权漏洞。

技术实现思路

[0004]本专利技术的目的在于提供一种基于令牌权限校验的访问方法、装置、设备及存储介质，通过使用令牌权限校验，实时对权限进行校验，避免了低权限或无权限用户借助访问工具绕过前端菜单的权限控制，伪装成高权限用户直接调用后端操作接口的问题，从而避免了越权漏洞的问题，提高了系统的安全性。
[0005]上述目的是通过以下技术方案实现的：
[0006]根据本专利技术一个方面，本专利技术提供的一种基于令牌权限校验的访问方法，所述方法包括：获取用户信息，根据用户信息生成相应的令牌，并将令牌返回给前端；接收用户的访问请求，其中，所述访问请求中携带有令牌；根据访问请求中的用户信息生成校验密码，采用所述校验密码校验访问请求中携带的所述令牌，若校验通过，授权用户执行访问请求中的相应操作。
[0007]可选地，获取用户信息，根据用户信息生成相应的令牌的步骤中，包括：获取用户名；根据随机字符串生成私钥；采用加密算法将所述用户名与所述私钥组合生成与用户对应的令牌；并将所述私钥保存在缓存中。
[0008]进一步地，根据访问请求中的用户信息生成校验密码，采用所述校验密码校验访问请求中携带的所述令牌的步骤中，包括：获取发出访问请求的用户名；根据所获取的用户名，提取所述用户在缓存中保存的私钥；采用加密算法将所述用户名与所述私钥组合生成校验密码，采用所述校验密码对访问请求中所携带的令牌进行比对校验，若比对结果一致，校验通过，便可授权用户执行访问请求中的相应操作。
[0009]进一步地，生成校验密码所采用的加密算法与生成令牌所采用的加密算法相同。
更进一步地，所述加密算法可以为AES加密算法。
[0010]可选地，获取用户信息，根据用户信息生成相应的令牌的步骤中，包括：获取用户名；根据随机字符串生成私钥；设定有效时间，并根据所述有效时间计算有效时间的临界时间；采用加密算法将所述用户名与所述私钥组合生成与用户对应的令牌；将所述私钥和所述有效时间的临界时间保存在缓存中。
[0011]进一步地，根据访问请求中的用户信息生成校验密码，采用所述校验密码校验访问请求中携带的令牌的步骤中，包括：获取发出访问请求的用户名，获取当前访问时间；根据所获取的用户名，提取所述用户在缓存中所保存的私钥和有效时间的临界时间；采用加密算法将所述用户名与所述私钥组合生成校验密码，采用所述校验密码对访问请求中所携带的令牌进行比对校验；若比对结果一致，则需继续判断当前访问时间是否超过所述临界时间，若未超过，则有效，校验通过，便可授权用户执行访问请求中的相应操作。
[0012]可选地，在授权用户执行访问请求中的相应操作的步骤之后，还包括：根据所述有效时间更新有效时间的临界时间的步骤。
[0013]根据本专利技术另一个方面，本专利技术提供的一种基于令牌权限校验的访问装置，所述访问装置包括：令牌生成单元，用于获取用户信息并根据用户信息生成相应的令牌，并将生成的令牌返回给前端，以便所述用户再次访问时携带所述令牌一起访问系统后端；访问请求接收单元，用于接收用户的访问请求，其中，所述访问请求中携带有令牌；令牌校验单元，用于根据访问请求中的用户信息生成校验密码，采用所述校验密码校验访问请求中携带的所述令牌，若校验通过，授权用户执行访问请求中的相应操作。
[0014]可选地，所述获取单元还用于获取发出访问请求的当前访问时间。
[0015]进一步地，所述令牌校验单元，具体可以包括：获取模块，用于获取发出访问请求的用户名；提取模块，用于根据所获取的用户名提取所述用户在缓存中保存的私钥和/或有效时间的临界时间；校验密码生成模块，用于采用加密算法将所述用户名与所述私钥组合生成校验密码；比对模块，用于采用所述校验密码对访问请求中所携带的令牌进行比对校验。
[0016]可选地，所述访问装置还包括：存储单元，用于存储私钥和有效时间的临界时间，以便用于后续令牌权限校验。
[0017]可选地，所述访问装置还包括：时效性判断单元，用于判断当前访问时间是否超过有效时间的临界时间；若未超过，则有效，校验通过；否则，校验不通过。
[0018]根据本专利技术的再一个方面，本专利技术提供的一种电子设备，所述电子设备包括：至少一个处理器；以及，与所述至少一个处理器通信连接的存储器；其中，所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行所述的基于令牌权限校验的访问方法中的各步骤。
[0019]根据本专利技术的还一个方面，本专利技术还提供一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机程序，所述计算机程序被处理器执行时实现所述的基于令牌权限校验的访问方法中的各步骤。
[0020]有益效果：本专利技术基于令牌权限校验的访问方法、装置、设备及存储介质是基于安全防护和非对称加密等技术得到的，在开发功能的同时加上了令牌校验，可以非常简便地实现了权限的二次校验，避免了低权限用户A通过工具伪装成高权限用户B直接操作后端的
功能接口的问题，可修复应用系统的安全漏洞，大大提高系统的安全性，避免机密数据的泄漏。
[0021]本申请实施例中采用用户名+私钥的方式或者采用用户名+私钥+有效时间的方式对发出访问请求的用户所携带的令牌进行校验，只有校验通过时授权该用户执行访问请求中的相关操作，从而提高了系统的安全性，修复了现有技术中存在越权漏洞，避免了数据的泄露。
附图说明
[0022]通过参考以下结合附图的说明，并且随着对本专利技术的更全面理解，本专利技术的其它目的及结果将更加明白及易于理解。附图中：
[0023]图1是本专利技术基于令牌权限校验的访问方法的流程示意图；
[0024]图2是本专利技术一个实施例中令牌生成的流程示意图；
[0025]图3是本专利技术一个实施例中令牌校验的流程示意图；
[0026]图4是本专利技术另一个实施例中令牌生成的流程示意本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种基于令牌权限校验的访问方法，其特征在于，所述方法包括以下步骤：获取用户信息，根据用户信息生成相应的令牌，并将所述令牌返回给前端；接收用户的访问请求，其中，所述访问请求中携带有所述令牌；根据访问请求中的用户信息生成校验密码，采用所述校验密码校验访问请求中携带的所述令牌，若校验通过，授权用户执行访问请求中的相应操作。2.根据权利要求1所述的基于令牌权限校验的访问方法，其特征在于，获取用户信息，根据用户信息生成相应的令牌的步骤中，包括：获取用户名；根据随机字符串生成私钥；采用加密算法将所述用户名与所述私钥组合生成与用户对应的令牌；并将所述私钥保存在缓存中。3.根据权利要求2所述的基于令牌权限校验的访问方法，其特征在于，根据访问请求中的用户信息生成校验密码，采用所述校验密码校验访问请求中携带的令牌的步骤中，包括：获取发出访问请求的用户名；根据所获取的用户名，提取所述用户在缓存中保存的私钥；采用加密算法将所述用户名与所述私钥组合生成校验密码，采用所述校验密码对访问请求中所携带的令牌进行比对校验，若一致，校验通过。4.根据权利要求1所述的基于令牌权限校验的访问方法，其特征在于，生成校验密码所采用的加密算法与生成令牌所采用的加密算法相同，所述加密算法为AES加密算法。5.根据权利要求1所述的基于令牌权限校验的访问方法，其特征在于，获取用户信息，根据用户信息生成相应的令牌的步骤中，包括：获取用户名；根据随机字符串生成私钥；设定有效时间，并根据所述有效时间计算有效时间的临界时间；采用加密算法将所述用户名与所述私钥组合生成与用户对应的令牌；并将所述私钥和所述临界时间保存在缓存中。6.根据权利要求5所述的基于令牌权限...

【专利技术属性】
技术研发人员：莫胜龙，
申请(专利权)人：平安普惠企业管理有限公司，
类型：发明
国别省市：