[发明专利]API访问控制方法及API访问代理装置

权利要求书

1.一种API访问控制方法，应用于访问代理装置，其特征在于，包括：

在用户通过前置应用访问受控API资源的过程中，拦截所述用户通过前置应用发送的访问请求；

识别所述用户的身份信息、所述用户的终端的设备信息、所述前置应用的身份信息和内置有所述前置应用的终端的设备信息；

当所述用户或前置应用的环境信息发生变化时，基于预置的访问认证方式和预置的访问控制策略，响应所述访问请求。

2.根据权利要求1所述的API访问控制方法，其特征在于，所述基于预置的访问认证方式，响应所述访问请求包括：

基于所述用户的身份信息、所述用户的终端的设备信息、所述前置应用的身份信息、内置有所述前置应用的终端的设备信息、所述受控API资源、所述访问请求的上下文信息与访问控制系统联动进行授权策略判定。

3.根据权利要求2所述的API访问控制方法，其特征在于，所述拦截所述用户通过前置应用发送的访问请求包括：

根据约定条件，开放访问端口。

4.根据权利要求3所述的API访问控制方法，其特征在于，所述拦截所述用户通过前置应用发送的访问请求包括：

对所述访问请求进行合法性检测，所述合法性检测包括自动程序检测、恶意访问检测和请求大小检测；

基于所述访问请求的请求速度、请求连接数、访问时段，对访问过程进行流量控制。

5.根据权利要求1至4任意一项所述的API访问控制方法，其特征在于，所述识别所述用户的身份信息、所述用户的终端的设备信息、所述前置应用的身份信息和内置有所述前置应用的终端的设备信息包括：

认证所述用户的身份信息、用户的终端的设备信息、前置应用的身份信息和内置有前置应用的终端的设备信息；

当所述用户的身份信息、用户的终端的设备信息、前置应用的身份信息和内置有前置应用的终端的设备信息为预置的认证信息时，获取访问令牌，所述访问令牌用于访问所述受控API资源。

6.根据权利要求5所述的API访问控制方法，其特征在于，当所述访问请求授权通过时，则所述基于预置的访问控制策略，响应所述访问请求包括：

将所述访问请求根据转发策略进行转发，以及，根据需要将所述访问令牌进行转换后传递。

7.根据权利要求6所述的API访问控制方法，其特征在于，当所述访问请求授权不通过时，则所述基于预置的访问控制策略，响应所述访问请求包括：

拒绝所述访问请求，或，向所述前置应用返回需进行二次认证的信息。

8.根据权利要求7所述的API访问控制方法，其特征在于，所述基于预置的访问控制策略，响应所述访问请求包括：

当收到所述访问控制系统发送的通知信息时，停止当前访问。

9.根据权利要求8所述的API访问控制方法，其特征在于，所述基于预置的访问控制策略，响应所述访问请求包括：

当所述访问请求为认证通过的访问请求时，记录认证日志，并统计所述访问过程种产生的访问流量。

10.一种API访问代理装置，其特征在于，包括：

拦截模块，用于在用户通过前置应用访问受控API资源的过程中，拦截所述用户通过前置应用发送的访问请求；

识别模块，用于识别所述用户的身份信息、所述用户的终端的设备信息、所述前置应用的身份信息和内置有所述前置应用的终端的设备信息；

响应模块，用于当所述用户或前置应用的环境信息发生变化时，基于预置的访问认证方式和预置的访问控制策略，响应所述访问请求。