【技术实现步骤摘要】
API访问控制方法、装置、设备及介质
本专利技术实施例涉及数据库
，尤其涉及一种API访问控制方法、装置、设备及介质。
技术介绍
为了提高API(ApplicationProgrammingInterface，应用程序接口)接口数据的安全性，避免系统遭受恶意攻击，后端API访问控制管理始终是服务端应用的重要议题。目前，关于API访问控制，通常采用一刀切的方式来实现。例如，在某段时间内API的访问次数达到频率控制限制值，则在此频率限制时间窗口内所有用户均不能再访问此API，进而会给真正有需求的用户带来极大的不便。再例如，当用户具备某API的访问权限，其通常可以访问该API下的所有资源，这样无疑会给数据安全带来威胁，若为了数据安全考虑，在业务数据表中添加租户或用户信息，并携带租户或用户信息进行业务数据查询，又会增加业务端的复杂性。因此，如何提高API访问控制的细粒度及灵活性是亟待解决的问题。
技术实现思路
本专利技术实施例提供一种API访问控制方法、装置、设备及介质，以提高API访问控制的细粒度...
【技术保护点】
1.一种应用程序接口API访问控制方法，其特征在于，包括：/n拦截目标API访问请求；/n如果与所述目标API访问请求对应的目标方法携带目标访问控制注解，则在预先创建的与所述目标方法对应的目标面向切面编程AOP切面中，基于所述目标访问控制注解以及注册到Spring表达式语言SPEL表达式上下文中的目标访问控制策略判定与所述目标API访问请求对应的访问权限状态；其中，所述目标访问控制策略是与应用需求匹配的；/n根据判定得到的所述访问权限状态，进行API访问控制。/n
【技术特征摘要】
1.一种应用程序接口API访问控制方法，其特征在于，包括：
拦截目标API访问请求；
如果与所述目标API访问请求对应的目标方法携带目标访问控制注解，则在预先创建的与所述目标方法对应的目标面向切面编程AOP切面中，基于所述目标访问控制注解以及注册到Spring表达式语言SPEL表达式上下文中的目标访问控制策略判定与所述目标API访问请求对应的访问权限状态；其中，所述目标访问控制策略是与应用需求匹配的；
根据判定得到的所述访问权限状态，进行API访问控制。
2.根据权利要求1所述的方法，其特征在于，所述目标访问控制注解包括：目标访问频率控制注解和/或目标访问权限控制注解。
3.根据权利要求2所述的方法，其特征在于，当所述目标访问控制注解包括目标访问频率控制注解时，所述目标访问频率控制注解的参数包括：
频率限制唯一键、频率限制时间窗口以及频率限制值；
其中，所述频率限制唯一键和所述频率限制值以表达式形式存在。
4.根据权利要求3所述的方法，其特征在于，所述注册到SPEL表达式上下文中的目标访问控制策略包括：计算与所述目标API访问请求对应的所述频率限制唯一键的策略方法。
5.根据权利要求4所述的方法，其特征在于，计算与所述目标API访问请求对应的所述频率限制唯一键的策略方法，至少包括：
根据所述目标API访问请求的访问地址计算所述频率限制唯一键；或者，
根据所述目标API访问请求的系统登录用户身份标识计算所述频率限制唯一键。
6.根据权利要求4所述的方法，其特征在于，所述注册到SPEL表达式上下文中的目标访问控制策略还包括：计算与所述目标API访问请求对应的所述频率限制值的策略方法。
7.根据权利要求6所述的方法，其特征在于，计算与所述目标API访问请求对应的所述频率限制值的策略方法，至少包括：
根据所述目标API访问请求的访问地址计算所述频率限制值；或者，
根据所述目标API访问请求的系统登录用户身份标识计算所述频率限制值。
8.根据权利要求3-7任一项所述的方法，其特征在于，所述基于所述目标访问控制注解以及注册到SPEL表达式上下文中的目标访问控制策略判定与所述目标API访问请求对应的访问权限状态，包括：
基于所述目标访问频率控制注解的参数以及注册到SPEL表达式上下文中的目标访问控制策略，确定与所述目标API访问请求对应的访问次数阈值；
确定所述频率限制时间窗口内与所述目标API访问请求对应的实时已访问次数；
根据所述访问次数阈值以及所述实时已访问次数，判...
【专利技术属性】
技术研发人员：刘杰群，
申请(专利权)人：中国建设银行股份有限公司，建信金融科技有限责任公司，
类型：发明
国别省市：北京;11
还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。