1.本发明实施例涉及网络安全技术领域，具体涉及一种资源访问方法、装置、电子设备及计算机可读存储介质。
背景技术：
2.在用户访问系统资源时，需要根据预设的安全检查规则对用户所在的客户端进行安全认证，当用户所在的客户端安全认证通过后，再使用户访问相应的系统资源。
3.相关技术中，预设的安全检查规则一般需要提前定义，若根据预设的安全检查规则通过对用户所在客户端的安全认证，则查询用户的访问权限，以使用户对访问权限范围内的资源进行访问。然而，在实现本发明实施例的过程中，发明人发现：相关技术中用户在访问资源的过程中需要进行繁琐的操作，易导致用户信息泄露，使得用户在进行资源访问时的安全性较低。
技术实现要素：
4.鉴于上述问题，本发明实施例提供了一种资源访问方法、装置、电子设备及计算机可读存储介质，用于解决现有技术中存在的资源访问过程的安全性较低的问题。
5.根据本发明实施例的一个方面，提供了一种资源访问方法，所述方法包括：获取目标用户对目标系统的访问请求；根据所述访问请求获取所述目标用户的用户信息，根据所述用户信息确定所述目标用户的客户端环境是否安全；若所述目标用户的客户端环境安全，则确定所述目标用户的访问权限；根据所述目标用户的访问权限为所述目标用户分配访问令牌，以供所述目标用户根据所述访问令牌访问所述目标系统的资源。
6.在一种可选的方式中，在所述根据所述目标用户的访问权限为所述目标用户分配访问令牌，以供所述目标用户根据所述访问令牌访问所述目标系统的资源之后，所述方法还包括：获取所述目标系统对所述目标用户的权限验证请求，所述权限验证请求为所述目标系统在检测到所述目标用户通过所述访问令牌访问所述目标系统时生成的，所述权限验证请求中携带有所述访问令牌与目标资源标识；根据所述权限验证请求对所述访问令牌进行有效性校验；若校验通过，则确定所述访问令牌对应的访问权限；若所述访问令牌对应的访问权限包含对所述目标资源的访问权限，则确定所述目标系统对所述目标用户的权限验证通过。
7.在一种可选的方式中，所述根据所述用户信息确定所述目标用户的客户端环境是否安全包括：根据所述用户信息确定所述目标用户的用户类型；
确定与所述用户类型对应的目标安全检查策略；根据所述目标安全检查策略确定所述目标用户的客户端环境是否安全。
8.在一种可选的方式中，所述方法还包括：确定与所述目标安全检查策略对应的策略调整机制；根据所述策略调整机制对所述目标安全检查策略进行动态调整；通过动态调整之后的目标安全检查策略确定所述目标用户的客户端环境是否安全。
9.在一种可选的方式中，所述根据所述目标用户的访问权限为所述目标用户分配访问令牌包括：确定所述目标用户的有效访问时间；根据所述有效访问时间与所述目标用户的访问权限为所述目标用户分配访问令牌，其中，所述访问令牌的有效期等于所述有效访问时间。
10.在一种可选的方式中，所述根据所述权限验证请求对所述访问令牌进行有效性校验包括：根据所述权限验证请求确定所述访问令牌的有效期；若当前时间在所述有效期的时间范围之内，则确定校验通过。
11.在一种可选的方式中，所述方法还包括：若所述访问令牌对应的访问权限不包含对所述目标资源的访问权限，则确定所述目标系统对所述目标用户的权限验证不通过。
12.根据本发明实施例的另一方面，提供了一种资源访问装置，所述装置包括：获取模块，用于获取目标用户对目标系统的访问请求；第一确定模块，用于根据所述访问请求获取所述目标用户的用户信息，根据所述用户信息确定所述目标用户的客户端环境是否安全；第二确定模块，用于若所述目标用户的客户端环境安全，则确定所述目标用户的访问权限；分配模块，用于根据所述目标用户的访问权限为所述目标用户分配访问令牌，以供所述目标用户根据所述访问令牌访问所述目标系统的资源。
13.根据本发明实施例的另一方面，提供了一种电子设备，包括：处理器、存储器、通信接口和通信总线，所述处理器、所述存储器和所述通信接口通过所述通信总线完成相互间的通信；所述存储器用于存放至少一可执行指令，所述可执行指令使所述处理器执行上述的资源访问方法的操作。
14.根据本发明实施例的又一方面，提供了一种计算机可读存储介质，所述存储介质中存储有至少一可执行指令，所述可执行指令在电子设备上运行时，使得电子设备执行上述的资源访问方法的操作。
15.本发明实施例中，在获取到目标用户对目标系统的访问请求之后，首先根据该访问请求获取目标用户的用户信息，然后根据目标用户的用户信息确定目标用户的客户端环境是否安全；若目标用户的客户端环境安全，则进一步确定目标用户的访问权限，并且根据目标用户的访问权限为目标用户分配访问令牌，以供目标用户根据访问令牌访问目标系统
的资源。可以看出，本发明实施例可以根据目标用户的用户信息来确定目标用户的客户端环境是否安全，并且在确定目标用户的客户端环境安全之后，再根据目标用户的访问权限为目标用户分配访问令牌，使得目标用户根据访问令牌访问目标系统的资源，提高了资源访问过程的安全性。
16.上述说明仅是本发明实施例技术方案的概述，为了能够更清楚了解本发明实施例的技术手段，而可依照说明书的内容予以实施，并且为了让本发明实施例的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。
附图说明
17.附图仅用于示出实施方式，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：图1示出了本发明实施例提供的资源访问方法的流程示意图；图2示出了本发明实施例提供的资源访问方法的另一流程示意图；图3示出了本发明实施例提供的资源访问装置的结构示意图；图4示出了本发明实施例提供的电子设备的结构示意图。
具体实施方式
18.下面将参照附图更详细地描述本发明的示例性实施例。虽然附图中显示了本发明的示例性实施例，然而应当理解，可以以各种形式实现本发明而不应被这里阐述的实施例所限制。
19.图1示出了本发明实施例资源访问方法的流程图，该方法可以应用于安全中心并且由电子设备执行。电子设备的存储器用于存放至少一可执行指令，该可执行指令使电子设备的处理器执行上述的资源访问方法的操作。
20.如图1所示，该方法包括以下步骤：步骤110：获取目标用户对目标系统的访问请求。
21.其中，目标用户可以通过目标系统的访问界面向目标系统发起访问请求，目标系统可以向安全中心发送目标用户的用户请求信息，安全中心可以根据该用户请求信息获取目标用户对目标系统的访问请求。安全中心可以与多个应用系统进行通信，每个应用系统均可以将自身的用户请求信息发送至安全中心，安全中心进而将用户请求信息对应的应用系统确定为目标系统，将用户请求信息所对应的请求用户确定为目标用户。用户请求信息可以包括请求用户的账号信息以及应用系统的系统信息。进一步的，安全中心可以根据该访问请求对目标用户进行安全认证，若安全认证通过，则允许目标用户访问目标系统的资源，若安全认证不通过，则禁止目标用户访问目标系统的资源。
22.步骤120：根据所述访问请求获取所述目标用户的用户信息，根据所述用户信息确定所述目标用户的客户端环境是否安全。
23.其中，安全中心可以根据目标用户的访问请求获取目标用户的用户信息，根据用户信息的不同确定不同的安全检查策略，并且根据确定的目标安全检查策略来确定目标用户的客户端环境是否安全。进一步的，在根据用户信息确定目标用户的客户端环境是否安全时，可以首先根据用户信息确定目标用户的用户类型，然后确定与该用户类型对应的目
标安全检查策略，最后根据该目标安全检查策略确定目标用户的客户端环境是否安全。例如，安全中心可以判断目标用户为一个人还是一种服务，根据判断结果确定不同的安全检查策略。为了增强资源访问过程的安全性，安全中心可以首先确定与目标安全检查策略对应的策略调整机制，然后根据策略调整机制对目标安全检查策略进行动态调整，最后通过动态调整之后的目标安全检查策略确定目标用户的客户端环境是否安全。若目标用户的客户端环境不安全，则禁止目标用户访问目标系统。
24.步骤130：若所述目标用户的客户端环境安全，则确定所述目标用户的访问权限。
25.其中，若目标用户的客户端环境安全，则可以根据目标用户的用户标识确定目标用户在目标系统的访问权限。例如，首先获取目标系统的权限列表，然后根据目标用户的用户标识在权限列表中进行检索，以确定目标用户的访问权限。
26.步骤140：根据所述目标用户的访问权限为所述目标用户分配访问令牌，以供所述目标用户根据所述访问令牌访问所述目标系统的资源。
27.其中，根据目标用户的访问权限可以生成与目标用户的访问权限相对应的访问令牌，并将生成的访问令牌分配给目标用户。为了增强资源访问过程的安全性，可以为访问令牌设置有效期，以使得访问令牌超出有效期之后，重新对目标用户的客户端环境是否安全进行检查。进一步的，在根据目标用户的访问权限为目标用户分配访问令牌时，可以首先确定目标用户的有效访问时间，然后根据目标用户的有效访问时间与目标用户的访问权限为目标用户分配访问令牌，将访问令牌的有效期设置为等于目标用户的有效访问时间。在目标用户携带访问令牌访问目标系统的资源时，目标用户在目标系统中不会暴露真实身份，而是由目标系统为目标用户分配一个与访问令牌对应的虚拟身份，因此可以较好的保护目标用户的身份信息。例如，某企业开发了一款移动应用，并购买了对象存储服务，移动应用需要连接对象存储服务上传或下载数据。然而，由于移动应用运行在用户自己的移动设备上，这些移动设备不受该企业的控制，若用户直接通过自身的用户信息连接对象存储服务进行上传或下载数据会造成用户信息泄露。通过为用户分配访问令牌，用户通过访问令牌对应的虚拟身份连接对象存储服务上传或下载数据，上传或下载数据的过程中不会暴露用户身份，可以提高资源访问过程的安全性。访问令牌可以包含对应的目标系统信息，以使得目标用户根据访问令牌只能访问目标系统的资源，而无法访问其它应用系统的资源。
28.进一步的，在根据目标用户的访问权限为目标用户分配访问令牌之后，目标用户可以根据访问令牌访问目标系统的资源，目标系统可以进一步根据目标用户的访问请求生成权限验证请求，以供安全中心根据权限验证请求对目标用户的访问令牌进行验证。进一步的，安全中心可以首先获取目标系统对目标用户的权限验证请求，权限验证请求为目标系统在检测到目标用户通过访问令牌访问目标系统时生成的，权限验证请求中携带有目标用户的访问令牌与目标资源标识；然后根据权限验证请求对访问令牌进行有效性校验；若校验通过，则确定访问令牌对应的访问权限，若访问令牌对应的访问权限包含对目标资源的访问权限，则确定目标系统对目标用户的权限验证通过，若访问令牌对应的访问权限不包含对目标资源的访问权限，则确定目标系统对目标用户的权限验证不通过。进一步的，在根据权限验证请求对访问令牌进行有效性校验时，可以根据权限验证请求确定访问令牌的有效期，若当前时间在有效期的时间范围之内，则确定校验通过。
29.图2示出了本发明实施例提供的资源访问方法的另一流程示意图。如图2所示，该
方法包括以下步骤：步骤201：目标用户通过客户端向目标系统发起访问请求。
30.其中，目标用户可以通过客户端安装的应用程序或浏览器登录目标系统，从而向目标系统发起访问请求。
31.步骤202：目标系统根据目标用户的访问请求向安全中心请求对目标用户进行安全认证。
32.其中，目标系统获取到目标用户的访问请求之后，可以向安全中心发起安全认证请求，以使得安全中心对目标用户进行安全认证。
33.步骤203：安全中心获取目标用户对目标系统的访问请求。
34.步骤204：安全中心根据访问请求获取目标用户的用户信息，根据用户信息确定目标用户的客户端环境是否安全。
35.其中，安全中心可以根据目标用户的用户信息来确定目标安全检查策略，并且基于目标安全检查策略确定目标用户的客户端环境是否安全。
36.步骤205：若目标用户的客户端环境安全，则安全中心确定目标用户的访问权限，根据目标用户的访问权限为目标用户分配访问令牌，以供目标用户根据访问令牌访问目标系统的资源。
37.步骤206：安全中心将访问令牌返回目标系统。
38.步骤207：目标系统将访问令牌返回目标用户所在的客户端。
39.步骤208：目标用户携带访问令牌通过客户端向目标系统发起访问请求。
40.其中，目标用户可以触发目标资源标识以触发向目标系统发起访问请求，接收到目标用户的触发操作之后，目标用户所在的客户端通过目标用户携带的访问令牌与目标资源标识生成访问请求，并将该访问请求发送至目标系统。
41.步骤209：目标系统向安全中心发起权限验证请求，权限验证请求中携带访问令牌与目标资源标识。
42.步骤210：安全中心获取目标系统对目标用户的权限验证请求，根据权限验证请求对访问令牌进行有效性校验。
43.其中，对访问令牌进行有效性校验时，安全中心可以首先确定访问令牌的有效期，若判断当前时间在有效期的时间范围之内，则确定校验通过，若判断当前时间不在有效期的时间范围之内，则确定校验不通过。
44.步骤211：若校验通过，则确定访问令牌对应的访问权限，若访问令牌对应的访问权限包含对目标资源的访问权限，则确定目标系统对目标用户的权限验证通过。
45.步骤212：安全中心将权限验证通过信息返回目标系统。
46.步骤213：目标系统将目标用户请求的资源返回目标用户所在的客户端。
47.本发明实施例中，在获取到目标用户对目标系统的访问请求之后，首先根据该访问请求获取目标用户的用户信息，然后根据目标用户的用户信息确定目标用户的客户端环境是否安全；若目标用户的客户端环境安全，则进一步确定目标用户的访问权限，并且根据目标用户的访问权限为目标用户分配访问令牌，以供目标用户根据访问令牌访问目标系统的资源。可以看出，本发明实施例可以根据目标用户的用户信息来确定目标用户的客户端环境是否安全，并且在确定目标用户的客户端环境安全之后，再根据目标用户的访问权限
为目标用户分配访问令牌，使得目标用户根据访问令牌访问目标系统的资源，提高了资源访问过程的安全性。
48.图3示出了本发明实施例资源访问装置的结构示意图。如图3所示，该装置300包括：访问模块310、第一确定模块320、第二确定模块330和分配模块340其中，获取模块310用于获取目标用户对目标系统的访问请求；第一确定模块320用于根据所述访问请求获取所述目标用户的用户信息，根据所述用户信息确定所述目标用户的客户端环境是否安全；第二确定模块330用于若所述目标用户的客户端环境安全，则确定所述目标用户的访问权限；分配模块340用于根据所述目标用户的访问权限为所述目标用户分配访问令牌，以供所述目标用户根据所述访问令牌访问所述目标系统的资源。
49.在一种可选的方式中，装置300还包括第三确定模块，用于获取所述目标系统对所述目标用户的权限验证请求，所述权限验证请求为所述目标系统在检测到所述目标用户通过所述访问令牌访问所述目标系统时生成的，所述权限验证请求中携带有所述访问令牌与目标资源标识；根据所述权限验证请求对所述访问令牌进行有效性校验；若校验通过，则确定所述访问令牌对应的访问权限；若所述访问令牌对应的访问权限包含对所述目标资源的访问权限，则确定所述目标系统对所述目标用户的权限验证通过。
50.在一种可选的方式中，第一确定模块320用于：根据所述用户信息确定所述目标用户的用户类型；确定与所述用户类型对应的目标安全检查策略；根据所述目标安全检查策略确定所述目标用户的客户端环境是否安全。
51.在一种可选的方式中，第一确定模块320用于：确定与所述目标安全检查策略对应的策略调整机制；根据所述策略调整机制对所述目标安全检查策略进行动态调整；通过动态调整之后的目标安全检查策略确定所述目标用户的客户端环境是否安全。
52.在一种可选的方式中，分配模块340用于：确定所述目标用户的有效访问时间；根据所述有效访问时间与所述目标用户的访问权限为所述目标用户分配访问令牌，其中，所述访问令牌的有效期等于所述有效访问时间。
53.在一种可选的方式中，第三确定模块用于：根据所述权限验证请求确定所述访问令牌的有效期；若当前时间在所述有效期的时间范围之内，则确定校验通过。
54.在一种可选的方式中，第三确定模块用于：若所述访问令牌对应的访问权限不包含对所述目标资源的访问权限，则确定所述目标系统对所述目标用户的权限验证不通过。
55.本发明实施例中，在获取到目标用户对目标系统的访问请求之后，首先根据该访问请求获取目标用户的用户信息，然后根据目标用户的用户信息确定目标用户的客户端环境是否安全；若目标用户的客户端环境安全，则进一步确定目标用户的访问权限，并且根据
目标用户的访问权限为目标用户分配访问令牌，以供目标用户根据访问令牌访问目标系统的资源。可以看出，本发明实施例可以根据目标用户的用户信息来确定目标用户的客户端环境是否安全，并且在确定目标用户的客户端环境安全之后，再根据目标用户的访问权限为目标用户分配访问令牌，使得目标用户根据访问令牌访问目标系统的资源，提高了资源访问过程的安全性。
56.图4示出了本发明实施例电子设备结构示意图，本发明具体实施例并不对电子设备的具体实现做限定。
57.如图4所示，该电子设备可以包括：处理器(processor)402、通信接口(communications interface)404、存储器(memory)406、以及通信总线408。
58.其中：处理器402、通信接口404、以及存储器406通过通信总线408完成相互间的通信。通信接口404，用于与其它设备比如客户端或其它服务器等的网元通信。处理器402，用于执行程序410，具体可以执行上述用于资源访问方法实施例中的相关步骤。
59.具体地，程序410可以包括程序代码，该程序代码包括计算机可执行指令。
60.处理器402可能是中央处理器cpu，或者是特定集成电路asic（application specific integrated circuit），或者是被配置成实施本发明实施例的一个或多个集成电路。电子设备包括的一个或多个处理器，可以是同一类型的处理器，如一个或多个cpu；也可以是不同类型的处理器，如一个或多个cpu以及一个或多个asic。
61.存储器406，用于存放程序410。存储器406可能包含高速ram存储器，也可能还包括非易失性存储器（non-volatile memory），例如至少一个磁盘存储器。
62.程序410具体可以被处理器402调用使电子设备执行以下操作：获取目标用户对目标系统的访问请求；根据所述访问请求获取所述目标用户的用户信息，根据所述用户信息确定所述目标用户的客户端环境是否安全；若所述目标用户的客户端环境安全，则确定所述目标用户的访问权限；根据所述目标用户的访问权限为所述目标用户分配访问令牌，以供所述目标用户根据所述访问令牌访问所述目标系统的资源。
63.在一种可选的方式中，所述程序410被处理器402调用使电子设备执行以下操作：获取所述目标系统对所述目标用户的权限验证请求，所述权限验证请求为所述目标系统在检测到所述目标用户通过所述访问令牌访问所述目标系统时生成的，所述权限验证请求中携带有所述访问令牌与目标资源标识；根据所述权限验证请求对所述访问令牌进行有效性校验；若校验通过，则确定所述访问令牌对应的访问权限；若所述访问令牌对应的访问权限包含对所述目标资源的访问权限，则确定所述目标系统对所述目标用户的权限验证通过。
64.在一种可选的方式中，所述程序410被处理器402调用使电子设备执行以下操作：根据所述用户信息确定所述目标用户的用户类型；确定与所述用户类型对应的目标安全检查策略；根据所述目标安全检查策略确定所述目标用户的客户端环境是否安全。
65.在一种可选的方式中，所述程序410被处理器402调用使电子设备执行以下操作：
确定与所述目标安全检查策略对应的策略调整机制；根据所述策略调整机制对所述目标安全检查策略进行动态调整；通过动态调整之后的目标安全检查策略确定所述目标用户的客户端环境是否安全。
66.在一种可选的方式中，所述程序410被处理器402调用使电子设备执行以下操作：确定所述目标用户的有效访问时间；根据所述有效访问时间与所述目标用户的访问权限为所述目标用户分配访问令牌，其中，所述访问令牌的有效期等于所述有效访问时间。
67.在一种可选的方式中，所述程序410被处理器402调用使电子设备执行以下操作：根据所述权限验证请求确定所述访问令牌的有效期；若当前时间在所述有效期的时间范围之内，则确定校验通过。
68.在一种可选的方式中，所述程序410被处理器402调用使电子设备执行以下操作：若所述访问令牌对应的访问权限不包含对所述目标资源的访问权限，则确定所述目标系统对所述目标用户的权限验证不通过。
69.本发明实施例中，在获取到目标用户对目标系统的访问请求之后，首先根据该访问请求获取目标用户的用户信息，然后根据目标用户的用户信息确定目标用户的客户端环境是否安全；若目标用户的客户端环境安全，则进一步确定目标用户的访问权限，并且根据目标用户的访问权限为目标用户分配访问令牌，以供目标用户根据访问令牌访问目标系统的资源。可以看出，本发明实施例可以根据目标用户的用户信息来确定目标用户的客户端环境是否安全，并且在确定目标用户的客户端环境安全之后，再根据目标用户的访问权限为目标用户分配访问令牌，使得目标用户根据访问令牌访问目标系统的资源，提高了资源访问过程的安全性。
70.本发明实施例提供了一种计算机可读存储介质，所述存储介质存储有至少一可执行指令，该可执行指令在电子设备上运行时，使得所述电子设备执行上述任意方法实施例中的资源访问方法。
71.本发明实施例提供一种资源访问装置，用于执行上述资源访问方法。
72.本发明实施例提供了一种计算机程序，所述计算机程序可被处理器调用使电子设备执行上述任意方法实施例中的资源访问方法。
73.本发明实施例提供了一种计算机程序产品，计算机程序产品包括存储在计算机可读存储介质上的计算机程序，计算机程序包括程序指令，当程序指令在计算机上运行时，使得所述计算机执行上述任意方法实施例中的资源访问方法。
74.在此提供的算法或显示不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述，构造这类系统所要求的结构是显而易见的。此外，本发明实施例也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。
75.在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。
76.类似地，应当理解，为了精简本发明并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明实施例的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。
77.本领域技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书（包括伴随的权利要求、摘要和附图）中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书（包括伴随的权利要求、摘要和附图）中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。
78.应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。上述实施例中的步骤，除有特殊说明外，不应理解为对执行顺序的限定。