一种信息的安全管控方法、装置、电子设备及存储介质与流程

本发明涉及应用程序编程接口网关，尤其涉及一种信息的安全管控方法、装置、电子设备及存储介质。

背景技术：

1、目前的业界应用程序编程接口(application programming interface，api)安全管控只是针对api调用权限、访问路径、访问频率、访问ip白名单等方面进行核验和管控。

2、目前，对于api的调用过程中涉及输入、输出参数进行严格校验，容易导致参数误传、错传、格式错误等触发系统隐藏缺陷，导致接口数据泄漏，严重的情况下甚至会导致系统崩溃。在十大安全漏洞列表(owasp top ten web application security risks，owasptop10)中也可以看到由于api参数触发的漏洞一直都排在前面，由此可见对api输入、输出参数进行严格安全管控的重要性。现有技术中，传统的api网关在调用参数过程中，若api服务提供方编码不规范，则反馈的响应结果存在反馈不准确等问题。同时现有技术通过探测的方式传入文档中未声明的参数，从而触发接口模糊查询达到非法遍历/探取服务提供方其他关联数据的目的，导致服务提供方数据存在安全隐患。

技术实现思路

1、本发明提供了一种信息的安全管控方法、装置、电子设备及存储介质，旨在解决响应结果反馈不准确的问题，实现对信息网关信息更精确的管控，同时提高信息管控的安全性，提升用户的使用体验。

2、根据本发明的一方面，提供了一种信息的安全管控方法，应用于应用程序编程接口api网关，该方法包括：

3、接收第一设备发送的api请求信息，并根据api请求信息确定协议解析结果；

4、根据协议解析结果和安全管控验证规则确定参数验证结果；

5、将参数验证结果发送至第二设备，并接收第二设备反馈的响应结果；

6、根据响应结果和安全管控校验规则确定目标响应结果，并将目标响应结果反馈至第一设备。

7、可选的，根据api请求信息确定协议解析结果，包括：对api请求信息进行解析，确定报文载荷；根据报文载荷分析确定协议解析结果。

8、可选的，根据协议解析结果和安全管控验证规则确定参数验证结果，包括：确定api网关内是否存在api请求信息对应的api；若api网关内不存在api请求信息对应的api，则向第一设备发送第一反馈信息；其中，第一反馈信息用于提醒第一设备api网关内不存在api请求信息对应的api，api请求失败；若api网关内存在api请求信息对应的api，则验证协议解析结果的请求频率是否大于或者等于预设频率；若请求频率大于或者等于预设频率，则向第一设备发送第二反馈信息；其中，第二反馈信息用于提醒第一设备请求频率大于或者等于预设频率，api请求失败；若请求频率小于预设频率，则验证协议解析结果的请求签名是否符合要求；若请求签名不符合要求，则向第一设备发送第三反馈信息；其中，第三反馈信息用于提醒第一设备请求签名不符合要求，api请求失败；若请求签名符合要求，则验证解析结果的参数数量是否小于或者等于预设数量；若参数数量小于或者等于预设数量，则确定解析结果的参数类型是否与预设类型一致；其中，参数类型包括字符串、数字和数组中的至少之一；若参数类型与预设类型一致，则确定参数验证结果；若参数类型与预设类型不一致，则向第一设备发送第四反馈信息；其中，第四反馈信息用于提醒第一设备参数类型不一致，api请求失败。

9、可选的，若参数数量大于预设数量，则确定是否接收到参数删除请求；若未接收到参数删除请求，则向第一设备发送第五反馈信息；其中，第五反馈信息用于提醒第一设备参数数量与预设数量不相同，api请求失败；若接收到参数删除请求，则确定参数类型是否与预设类型一致；若参数类型与预设类型一致，则删除冗余参数，并确定参数验证结果；其中，冗余参数为参数数量中除预设数量外的参数；若参数类型与预设类型不一致，则向第一设备发送第四反馈信息。

10、可选的，根据响应结果和安全管控校验规则确定目标响应结果，包括：确定响应结果的数据格式是否符合预设格式；若数据格式不符合预设格式，则向第一设备发送第六反馈信息；其中，第六反馈信息用于提醒第一设备数据格式不符合预设格式，api请求失败；若数据格式符合预设格式，则确定响应结果的字段数量是否小于或者等于预设字段数量；若字段数量小于或者等于预设字段数量，则确定响应结果的字段类型是否与预设字段类型一致；若字段类型与预设字段类型不一致，则向第一设备发送第七反馈信息；其中，第七反馈信息用于提醒第一设备字段类型与预设字段类型不一致，api请求失败；若字段类型与预设字段类型一致，则确定目标响应结果。

11、可选的，若字段数量大于预设字段数量，则确定是否接收到字段删除请求；若未接收到字段删除请求，则向第一设备发送第八反馈信息；其中，第八反馈信息用于提醒第一设备字段数量与预设字段数量不一致，api请求失败；若接收到字段删除请求，则确定字段类型是否与预设字段类型一致；若字段类型与预设字段类型一致，则删除冗余字段，并确定目标响应结果；其中，冗余字段为字段数量中除预设字段数量的字段；若字段类型与预设字段类型不一致，则向第一设备发送第七反馈信息。

12、可选的，确定目标响应结果，包括：利用加密脱敏算法对响应结果进行加密，得到目标响应结果。

13、根据本发明的另一方面，提供了一种信息的安全管控装置，该装置包括：

14、解析结果确定模块，用于接收第一设备发送的api请求信息，并根据api请求信息确定协议解析结果；

15、验证结果确定模块，用于根据协议解析结果和安全管控验证规则确定参数验证结果；

16、响应结果接收模块，用于将参数验证结果发送至第二设备，并接收第二设备反馈的响应结果；

17、响应结果反馈模块，用于根据响应结果和安全管控校验规则确定目标响应结果，并将目标响应结果反馈至第一设备。

18、根据本发明的另一方面，提供了一种电子设备，该电子设备包括：

19、至少一个处理器；以及与至少一个处理器通信连接的存储器；

20、其中，存储器存储有可被至少一个处理器执行的计算机程序，计算机程序被至少一个处理器执行，以使至少一个处理器能够执行本发明任一实施例的信息的安全管控方法。

21、根据本发明的另一方面，提供了一种计算机可读存储介质，该计算机可读存储介质存储有计算机指令，计算机指令用于使处理器执行时实现本发明任一实施例的信息的安全管控方法。

22、本发明的技术方案，通过接收第一设备发送的api请求信息，并根据api请求信息确定协议解析结果；根据协议解析结果和安全管控验证规则确定参数验证结果；将参数验证结果发送至第二设备，并接收第二设备反馈的响应结果；根据响应结果和安全管控校验规则确定目标响应结果，并将目标响应结果反馈至第一设备。本发明的技术方案，根据协议解析结果和安全管控验证规则确定参数验证结果；将参数验证结果发送至第二设备，并接收第二设备反馈的响应结果；根据响应结果和安全管控校验规则确定目标响应结果，并将目标响应结果反馈至第一设备，旨在解决响应结果反馈不准确的问题，实现对信息网关信息更精确的管控，同时提高信息管控的安全性，提升用户的使用体验。

23、应当理解，本部分所描述的内容并非旨在标识本发明的实施例的关键或重要特征，也不用于限制本发明的范围。本发明的其它特征将通过以下的说明书而变得容易理解。