(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202211025079.4 (22)申请日 2022.08.25 (71)申请人 支付宝 （杭州） 信息技 术有限公司 地址 310000 浙江省杭州市西湖区西溪路 556号8层B段801-1 1 (72)发明人 卞恩泽　 (74)专利代理 机构 济南信达专利事务所有限公 司 37100 专利代理师 李世喆 (51)Int.Cl. H04L 9/40(2022.01) (54)发明名称 业务请求的安全审计方法和装置 (57)摘要 本说明书实施例描述了业务请求的安全审 计方法和装置。 根据实施例的方法， 在对业务请 求的安全性进行审计时， 首先确定第一应用服务 的业务进程， 并在该业务进程中注入第一应用服 务的身份标识。 然后获取该业务进程发起的携带 有第一应用服务的身份标识的业务请求。 如此通 过切面代码注入的方式将表征第一应用服务的 身份标识注入到业务进程中， 当业务请求发送到 出口网关时， 出口网关能够根据身份标识来确定 该第一应用服务是否能够请求第二应用服务， 从 而提高操作系统中业 务请求的安全性。 权利要求书2页 说明书10页 附图4页 CN 115549966 A 2022.12.30 CN 115549966 A 1.业务请求的安全审计方法， 包括： 确定用于调度第一应用服 务的业务进程； 在所述业务进程中注入所述第一应用服 务的身份标识； 获取所述业务进程发起的业务请求； 其中， 所述业务请求用于： 第一应用服务向第二应 用服务请求该第二应用服 务所提供的服 务， 且所述 业务请求中携带有所述身份标识； 将所述业务请求发送到出口网关， 以由所述出口网关根据 所述身份标识对所述业务请 求的安全性进行审计。 2.根据权利要求1所述的方法， 其中， 该 方法进一 步包括： 从操作系统内部获取至少一个进程； 将所述至少一个进程中的每一个非业务进程所发起的请求确定为非法请求； 其中， 所 述非业务进程满足： 该非业务进程所执行的应用服务不能请求其他应用服务所提供的服 务。 3.根据权利要求1所述的方法， 其中， 所述将所述 业务请求发送到出口网关， 包括： 利用所述第一应用服 务向所述第二应用服 务发送测试 数据包； 对所述测试 数据包所传输的链路进行监控； 判断所述测试 数据包是否经 过所述出口网关； 若所述测试 数据包经 过所述出口网关， 则直接发送所述 业务请求； 若所述测试数据包未经过所述出口网关， 则对所述业务请求执行重新定向至出口网关 的处理， 然后发送所述 业务请求。 4.根据权利要求3所述的方法， 其中， 在业务进程发起的业务请求中， 目标地址为所述 第二应用服 务的地址； 目标端口为所述第二应用服 务的端口； 所述对所述 业务请求执 行重新定向至出口网关的处 理， 包括： 将所述业务请求的目标地址修改为所述出口网关的地址； 将所述业务请求的目标端口修改为所述出口网关的端口； 以及， 将第二应用服 务的地址、 第二应用服 务的端口携带在所述 业务请求的请求头中。 5.根据权利要求1至4中任一所述的方法， 其中， 该方法进一步包括： 预先设置至少一个 可信集； 其中， 每一个可信集中包括： 一种身份标识和至少一种外部应用服务， 且每一个可 信集中的身份标识所对应的应用服务能够向该可信集中的每一个外部应用服务发起业务 请求； 所述出口网关根据所述身份标识对所述 业务请求的安全性进行审计， 包括： 从所述至少一个可信集中确定与所述业务请求所携带的身份标识相对应的目标可信 集； 判断所述目标 可信集中是否包括所述第二应用服 务； 若所述第二应用服务在所述目标可信集中， 则确定所述业务请求为合法请求， 并由所 述出口网关将所述 业务请求转发至所述第二应用服 务； 若所述第二应用服 务不在所述目标 可信集中， 则确定所述 业务请求为非法请求。 6.业务请求的安全审计装置， 包括： 业务进程获取模块、 身份标识注入模块、 业务请求 获取模块和业 务请求发送模块； 所述业务进程获取模块， 配置为确定用于调度第一应用服 务的业务进程；权　利　要　求　书 1/2 页 2 CN 115549966 A 2所述身份标识注入模块， 配置为在所述业务进程获取模块获取到的所述业务进程中注 入所述第一应用服 务的身份标识； 所述业务请求获取模块， 配置为获取所述业务进程发起的业务请求； 其中， 所述业务请 求用于： 第一应用服务向第二应用服务请求该第二应用服务所提供 的服务， 且所述业务请 求中携带有所述身份标识 注入模块注入的所述身份标识； 所述业务请求发送模块， 配置为将所述业务请求获取模块获取到的所述业务请求发送 到出口网关， 以由所述出口网关根据所述身份标识对所述 业务请求的安全性进行审计。 7.根据权利要求6所述的装置， 其中， 该装置进一步包括： 非法请求确定模块； 该非法请 求确定模块配置为执 行如下操作： 从操作系统内部获取至少一个进程； 将所述至少一个进程中的每一个非业务进程所发起的请求确定为非法请求； 其中， 所 述非业务进程满足： 该非业务进程所执行的应用服务不能请求其他应用服务所提供的服 务。 8.根据权利要求6所述的装置， 其中， 所述业务请求发送模块在将所述业务请求发送到 出口网关时， 配置成执 行如下操作： 利用所述第一应用服 务向所述第二应用服 务发送测试 数据包； 对所述测试 数据包所传输的链路进行监控； 判断所述测试 数据包是否经 过所述出口网关； 若所述测试 数据包经 过所述出口网关， 则直接发送所述 业务请求； 若所述测试数据包未经过所述出口网关， 则对所述业务请求执行重新定向至出口网关 的处理， 然后发送所述 业务请求。 9.一种计算机可读存储介质， 其上存储有计算机程序， 当所述计算机程序在计算机中 执行时， 令计算机执 行权利要求1 ‑5中任一项所述的方法。 10.一种计算设备， 包括存储器和 处理器， 所述存储器中存储有可执行代码， 所述处理 器执行所述可执行代码时， 实现权利要求1 ‑5中任一项所述的方法。权　利　要　求　书 2/2 页 3 CN 115549966 A 3