CN110225045A - 全链路数据鉴权方法、装置、设备及存储介质 - Google Patents

Abstract

本发明涉及信息安全领域，公开了全链路数据鉴权方法、装置、设备及存储介质。全链路数据鉴权方法包括：接收链路上报的数据；解析链路上报的数据，得到用户令牌token、代理agent唯一标识和用户IP地址；根据用户token、agent唯一标识和用户IP地址进行鉴权；若鉴权失败，则丢弃链路上报的数据；若鉴权成功，则采集链路上报的数据。本发明基于JWT协议的方式对全链路上报数据进行身份验证，防止用户信息泄露导致的垃圾数据问题，防止全链路监控服务器受到攻击，确保链路上报数据的有用性。

Description

全链路数据鉴权方法、装置、设备及存储介质

技术领域

本发明涉及信息安全领域，尤其涉及全链路数据鉴权方法、装置、设备及存储介质。

背景技术

在互联网技术高速发展的今天，需要通过集群部署来支撑日益增长的庞大业务量，同时又能根据业务需要进行灵活扩展，形成了分布式系统。

全链路监控组件可以监控分布式系统在不同应用、不同服务器的之间的关联动作。一次用户上报数据通常要调用多个服务节点，在系统运维中，需要对服务链路的用户上报数据进行监控，以便及时发现并处理服务链路中出现的问题。

目前全链路上报数据只是根据用户名和密码进行简单鉴权，或者不进行鉴权，这样会带来各种问题，比如一些重要的用户信息，尤其敏感数据，以明文方式传输，会导致用户的数据容易遭受攻击，也会造成大量的垃圾数据上报。

发明内容

本发明的主要目的在于解决全链路上报数据不鉴权或者简单鉴权导致的用户数据遭受攻击，大量的垃圾数据上报的技术问题。

为实现上述目的，本发明第一方面提供了一种全链路数据鉴权方法，包括：接收链路上报的数据；解析所述链路上报的数据，得到用户令牌token、代理agent唯一标识和用户IP地址；根据所述用户token、所述agent唯一标识和所述用户IP地址进行鉴权；若鉴权失败，则丢弃所述链路上报的数据；若鉴权成功，则采集所述链路上报的数据。

可选的，在本发明第一方面的第一种实现方式中，所述根据所述用户token、所述agent唯一标识和所述用户IP地址进行鉴权包括：根据JWT协议对所述用户token进行解析，得到所述用户token的鉴权信息；判断所述用户token的鉴权信息是否存在异常；若所述用户token的鉴权信息存在异常，则确定鉴权失败；若所述用户token的鉴权信息不存在异常，则根据所述用户token的鉴权信息、所述agent唯一标识和所述用户IP地址进行鉴权。

可选的，在本发明第一方面的第二种实现方式中，所述根据JWT协议对所述用户token进行解析，得到所述用户token的鉴权信息包括：根据所述JWT协议对所述用户token进行分割，得到所述用户token的头部、所述用户token的载荷和所述用户token的签名；对所述用户token的头部进行base64解密，得到所述头部声明的加密算法；根据所述头部声明的加密算法对所述用户token的头部和所述用户token的载荷进行组合加密，得到待验证签名；判断所述待验证签名与所述用户token的签名是否相同；若所述待验证签名与所述用户token的签名相同，则对所述用户token的载荷进行base64解密，得到所述用户token的鉴权信息。

可选的，在本发明第一方面的第三种实现方式中，所述若所述用户token的鉴权信息不存在异常，则根据所述用户token的鉴权信息、所述agent唯一标识和所述用户IP地址进行鉴权包括：若所述用户token的鉴权信息不存在异常，则判断所述用户token的鉴权信息是否包括所述agent唯一标识；若所述用户token的鉴权信息不包括所述agent唯一标识，则确定鉴权失败；若所述用户token的鉴权信息包括所述agent唯一标识，则判断所述用户token的鉴权信息是否包括所述用户IP地址；若所述用户token的鉴权信息不包括所述用户IP地址，则确定鉴权失败；若所述用户token的鉴权信息包括所述用户IP地址，则确定鉴权成功。

可选的，在本发明第一方面的第四种实现方式中，所述若鉴权失败，则丢弃所述链路上报的数据包括：发送鉴权失败的原因值；获取鉴权时刻；记录所述鉴权失败的原因值、所述agent唯一标识、所述用户IP地址和所述鉴权时刻；删除所述链路上报的数据。

可选的，在本发明第一方面的第五种实现方式中，所述若鉴权成功，则采集所述链路上报的数据包括：发送鉴权成功的原因值；将所述链路上报的数据写入数据库。

可选的，在本发明第一方面的第六种实现方式中，所述若所述用户token的鉴权信息不存在异常，则根据所述用户token的鉴权信息、所述agent唯一标识和所述用户IP地址进行鉴权还包括：读取预置值；判断所述预置值是否为目标阈值，所述目标阈值用于指示根据所述用户token的过期时刻进行鉴权；若所述预置值为所述目标阈值，则获取所述用户token的过期时刻；判断所述用户token的过期时刻是否小于当前时刻；若所述用户token的过期时刻小于所述当前时刻，则确定鉴权失败；若所述用户token的过期时刻大于或等于所述当前时刻，则确定鉴权成功。

本发明第二方面提供了一种全链路数据鉴权装置，包括：接收单元，用于接收链路上报的数据；解析单元，用于解析所述链路上报的数据，得到所述用户令牌token、代理agent唯一标识和用户IP地址；鉴权单元，用于根据所述用户token、所述agent唯一标识和所述用户IP地址进行鉴权；第一处理单元，若鉴权失败，则用于丢弃所述链路上报的数据；第二处理单元，若鉴权成功，则用于采集所述链路上报的数据。

可选的，在本发明第二方面的第一种实现方式中，所述鉴权单元包括：解析子单元，用于根据JWT协议对所述用户token进行解析，得到所述用户token的鉴权信息；第一判断子单元，用于判断所述用户token的鉴权信息是否存在异常；第一处理子单元，若所述用户token的鉴权信息存在异常，则用于确定鉴权失败；第一鉴权子单元，若所述用户token的鉴权信息不存在异常，则用于根据所述用户token的鉴权信息、所述agent唯一标识和所述用户IP地址进行鉴权。

可选的，在本发明第二方面的第二种实现方式中，所述解析子单元具体用于：根据所述JWT协议对所述用户token进行分割，得到所述用户token的头部、所述用户token的载荷和所述用户token的签名；对所述用户token的头部进行base64解密，得到所述头部声明的加密算法；根据所述头部声明的加密算法对所述用户token的头部和所述用户token的载荷进行组合加密，得到待验证签名；判断所述待验证签名与所述用户token的签名是否相同；若所述待验证签名与所述用户token的签名相同，则对所述用户token的载荷进行base64解密，得到所述用户token的鉴权信息。

可选的，在本发明第二方面的第三种实现方式中，所述第一鉴权子单元具体用于：若所述用户token的鉴权信息不存在异常，则判断所述用户token的鉴权信息是否包括所述agent唯一标识；若所述用户token的鉴权信息不包括所述agent唯一标识，则确定鉴权失败；若所述用户token的鉴权信息包括所述agent唯一标识，则判断所述用户token的鉴权信息是否包括所述用户IP地址；若所述用户token的鉴权信息不包括所述用户IP地址，则确定鉴权失败；若所述用户token的鉴权信息包括所述用户IP地址，则确定鉴权成功。

可选的，在本发明第一方面的第四种实现方式中，所述第一处理单元具体用于：发送鉴权失败的原因值；获取鉴权时刻；记录所述鉴权失败的原因值、所述agent唯一标识、所述用户IP地址和所述鉴权时刻；删除所述链路上报的数据。

可选的，在本发明第二方面的第五种实现方式中，所述第二处理单元具体用于：发送鉴权成功的原因值；将所述链路上报的数据写入数据库。

可选的，在本发明第二方面的第六种实现方式中，所述鉴权单元还包括：读取子单元，用于读取预置值；第二判断子单元，用于判断所述预置值是否为目标阈值，所述目标阈值指示根据所述用户token的过期时刻进行鉴权；第二鉴权子单元，若所述预置值为根据所述用户token的过期时刻进行鉴权，则用于获取所述用户token的过期时刻；第三判断子单元，用于判断所述用户token的过期时刻是否小于当前时刻；第二处理子单元，若所述用户token的过期时刻小于所述当前时刻，则用于确定鉴权单元；第三处理子单元，若所述用户token的过期时刻大于或等于所述当前时刻，则用于确定鉴权成功。

本发明第三方面提供了一种全链路数据鉴权设备，包括：存储器和至少一个处理器，所述存储器中存储有指令，所述存储器和所述至少一个处理器通过线路互联；所述至少一个处理器调用所述存储器中的所述指令，以使得所述全链路数据鉴权设备执行上述第一方面所述的方法。

本发明的第四方面提供了一种计算机可读存储介质，所述计算机可读存储介质中存储有指令，当其在计算机上运行时，使得计算机执行上述第一方面所述的方法。

从以上技术方案可以看出，本发明具有以下优点：

本发明提供的技术方案中，接收链路上报的数据；解析所述链路上报的数据，得到用户令牌token、代理agent唯一标识和用户IP地址；根据所述用户token、所述agent唯一标识和所述用户IP地址进行鉴权；若鉴权失败，则丢弃所述链路上报的数据；若鉴权成功，则采集所述链路上报的数据。本发明实施例中，根据用户令牌token与代理agent唯一标识和用户IP地址进行鉴权，得到鉴权结果，根据鉴权结果确定是否采集链路上报的数据，实现过滤链路上报的垃圾数据。

附图说明

图1为本发明实施例中全链路数据鉴权方法的一个实施例示意图；

图2为本发明实施例中全链路数据鉴权方法的另一个实施例示意图；

图3为本发明实施例中全链路数据鉴权装置的一个实施例示意图；

图4为本发明实施例中全链路数据鉴权装置的另一个实施例示意图；

图5为本发明实施例中全链路数据鉴权设备的一个实施例示意图。

具体实施方式

本发明实施例提供了全链路数据鉴权方法、装置、设备及存储介质，用于根据用户令牌token与代理agent唯一标识和用户IP地址进行鉴权，得到鉴权结果，根据鉴权结果确定是否采集链路上报的数据，实现过滤链路上报的垃圾数据。基于JWT协议的方式对全链路上报数据进行身份验证，防止用户信息泄露导致的垃圾数据问题，防止全链路监控服务器受到攻击，确保链路上报数据的有用性。

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例进行描述。

本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”、“第三”、“第四”等(如果存在)是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的实施例能够以除了在这里图示或描述的内容以外的顺序实施。此外，术语“包括”或“具有”及其任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

为便于理解，下面对本发明实施例的具体流程进行描述，请参阅图1，本发明实施例中全链路数据鉴权方法的一个实施例包括：

101、接收链路上报的数据；

服务器接收链路上报的数据。具体的，服务器通过全链路的代理agent发送链路上报的数据，通过全链路中的数据收集模块collector接收agent发送过来的链路上报的数据，链路上报的数据包括用户令牌token、代理agent唯一标识和用户IP地址。

需要说明的是，全链路监控系统包括代理agent，数据收集模块collector以及显示终端，每个agent都有其唯一的用户token、agent唯一标识和用户IP地址。agent部署在全链路分布式系统中，用于监控网络连接情况，并上报数据，collector用于接收数据并对接收的数据进行鉴权，显示终端用来展示collector采集的数据。

102、解析链路上报的数据，得到用户令牌token、代理agent唯一标识和用户IP地址；

服务器解析链路上报的数据，得到用户令牌token、代理agent唯一标识和用户IP地址。具体的，服务器按照预置方式解析该链路上报的数据，得到用户令牌token、代理agent唯一标识和用户IP地址，服务器判断用户令牌token、代理agent唯一标识和用户IP地址是否为空，若用户令牌token、代理agent唯一标识和用户IP地址有一个参数为空，则确定此次链路上报的数据为无效数据，丢弃此次链路上报的数据。

需要说明的是，该用户令牌token为根据JWT协议生成的，该JWT协议是一种基于JS对象简谱(javascript object notation，JSON)的开放标准协议，适用场景比如现在流行的分布式环境当中，非常适用跨平台应用程序，根据JWT协议生成的链路的用户token，包括用户token的头部header、用户token的载荷payload和用户token的签名signature，三个部分使用分隔符“.”按照先后顺序依次进行连接。该agent唯一标识是全局唯一的，服务器使用数据库中具有自动增长标识符类型的字段或者使用通用唯一识别码(universallyunique identifier，UUID)的生成库进行设置代理agent唯一标识，具体此处不做限定。

103、根据用户token、agent唯一标识和用户IP地址进行鉴权；

服务器根据用户token、agent唯一标识和用户IP地址进行鉴权。鉴权是指验证链路上报的数据是否拥有访问系统的权利。具体的，服务器根据JWT协议对用户token进行分割，进一步地，服务器根据JWT协议通过分隔符“.”将该用户token进行分割，得到用户token的头部、用户token的载荷和用户token的签名，三个部分都为字符串形式，包括数字和字母等符号；服务器对用户token的头部进行base64解密，得到头部声明的加密算法；服务器根据头部声明的加密算法对用户token的头部和用户token的载荷进行组合加密，得到待验证签名；服务器判断待验证签名与用户token的签名是否相同；若待验证签名与用户token的签名相同，则服务器对用户token的载荷进行base64解密，得到用户token的鉴权信息。

服务器判断用户token的鉴权信息是否存在异常；若用户token的鉴权信息存在异常，则确定鉴权失败，执行步骤104，例如，若用户token的鉴权信息为空，则确定鉴权失败；若用户token的鉴权信息不存在异常，则服务器判断用户token的鉴权信息是否包括agent唯一标识；若用户token的鉴权信息不包括agent唯一标识，则服务器确定鉴权失败，执行步骤104，例如，agent唯一标识为1000，用户token的鉴权信息中的agent唯一标识为1001，则两者不匹配，确定鉴权失败；若用户token的鉴权信息包括agent唯一标识，则服务器判断用户token的鉴权信息是否包括用户IP地址；若用户token的鉴权信息不包括用户IP地址，则确定鉴权失败，执行步骤104，例如，用户IP地址为A，用户token的鉴权信息中的用户IP地址为B，则两者不匹配，确定鉴权失败，A与B均为符合IP地址的格式；若用户token的鉴权信息包括用户IP地址，则确定鉴权成功，执行步骤105。

104、若鉴权失败，则丢弃链路上报的数据；

若鉴权失败，则服务器丢弃链路上报的数据。鉴权失败说明通过agent发送的数据没有通过链路的身份验证，是无效的垃圾数据，拒绝采集，等待下一个链路上报数据周期，重新进行链路数据的鉴权。

具体的，服务器根据鉴权失败预设鉴权失败的原因值，一旦鉴权失败，服务器发送鉴权失败的原因值；获取鉴权时刻；记录鉴权失败的原因值、agent唯一标识、用户IP地址和鉴权时刻；服务器删除链路上报的数据。例如，若用户令牌token的鉴权信息不包括agent唯一标识，确定鉴权失败，设置其鉴权失败的原因值为501；若用户令牌token的鉴权信息不包括用户IP地址，确定鉴权失败，设置其鉴权失败的原因值为502，具体此处不做限定。

需要说明的是，记录鉴权失败的原因值、agent唯一标识、用户IP地址和鉴权时刻，以便于查询问题，该记录方式可以通过日志或者数据库表的方式，具体此处不做限定。

105、若鉴权成功，则采集链路上报的数据。

若鉴权成功，则服务器采集上报的数据，具体的，服务器发送鉴权成功的原因值，通知链路上报数据端数据采集成功，例如，设置鉴权成功的原因值为200，agent接收到该值，确认上报数据被采集；同时服务器将链路上报的数据记录在HBase数据库中。HBase是一个高可靠性、高性能、面向列和可伸缩的分布式存储系统，利用HBase技术可搭建大规模结构化存储集群，HBase的目标是存储并处理大型的数据，更具体来说是仅需使用普通的硬件配置，就能够处理由成千上万的行和列所组成的大型数据，适用于全链路监控系统。

需要说明的是，全链路通过代理agent无侵入式部署，将性能测量与业务逻辑完全分离，用于收集应用端监控数据，在启动命令中设置部分参数，例如，代理agent唯一标识以及数据收集模块collector的地址，这种方式大大提高了采集效率，并且减少运维成本。

本发明实施例中，根据用户令牌token与代理agent唯一标识和用户IP地址进行鉴权，得到鉴权结果，根据鉴权结果确定是否采集链路上报的数据，实现过滤链路上报的垃圾数据。基于JWT协议的方式对全链路上报数据进行身份验证，防止用户信息泄露导致的垃圾数据问题，防止全链路监控服务器受到攻击，确保链路上报数据的有用性。

请参阅图2，本发明实施例中全链路数据鉴权方法的另一个实施例包括：

201、接收链路上报的数据；

服务器接收链路上报的数据。具体的，服务器通过全链路的代理agent发送链路上报的数据，通过全链路中的数据收集模块collector接收agent发送过来的链路上报的数据，链路上报的数据包括用户令牌token、代理agent唯一标识和用户IP地址。

需要说明的是，全链路监控系统包括代理agent，数据收集模块collector以及显示终端，每个agent都有其唯一的用户token、agent唯一标识和用户IP地址。agent部署在全链路分布式系统中，用于监控网络连接情况，并上报数据，collector用于接收数据并对接收的数据进行鉴权，显示终端用来展示collector采集的数据。

202、解析链路上报的数据，得到用户令牌token、代理agent唯一标识和用户IP地址；

服务器解析链路上报的数据，得到用户令牌token、代理agent唯一标识和用户IP地址。具体的，服务器通过预置方式解析该链路上报的数据，得到用户令牌token、代理agent唯一标识和用户IP地址，服务器判断用户令牌token、代理agent唯一标识和用户IP地址是否为空，若用户令牌token、代理agent唯一标识和用户IP地址有一个参数为空，则确定此次链路上报的数据为无效数据，丢弃此次链路上报的数据。

需要说明的是，该用户令牌token为根据JWT协议生成的，该JWT协议是一种基于JS对象简谱(javascript object notation，JSON)的开放标准协议，适用场景比如现在流行的分布式环境当中，非常适用跨平台应用程序，根据JWT协议生成的链路的用户token，包括用户token的头部header、用户token的载荷payload和用户token的签名signature，三个部分使用分隔符“.”按照先后顺序依次进行连接。该agent唯一标识是全局唯一的，服务器使用数据库中具有自动增长标识符类型的字段或者使用通用唯一识别码(universallyunique identifier，UUID)的生成库进行设置代理agent唯一标识，UUID包括当前时刻、时钟序列和全局唯一的IEEE机器识别号，UUID是指在一台机器上生成的数字，它保证对在同一时空中的所有机器都是唯一的。

203、根据JWT协议对用户token进行解析，得到用户token的鉴权信息；

服务器根据JWT协议对用户token进行解析，得到用户token的鉴权信息。该用户token的鉴权信息包括用户token的过期时刻和鉴权参数。

具体的，首先，服务器根据JWT协议对用户token进行分割，进一步地，服务器根据JWT协议通过分隔符“.”对用户token进行字符串的分割，得到用户token的头部、用户token的载荷和用户token的签名，三个部分都为字符串形式，包括数字和字母等字符。

其次，服务器对用户token的头部进行base64解密，得到头部声明的加密算法，例如，服务器根据base64解密，base64UrlDecode(用户token的头部)，得到的解密结果如下所示，

其中，参数typ为令牌的类型，参数alg为常用的加密散列算法，得到头部声明的加密算法为HS256。

然后，服务器根据头部声明的加密算法对用户token的头部和用户token的载荷进行组合加密，得到待验证签名，具体的，服务器将用户token的头部和用户token的载荷使用分隔符“.”连接组成字符串，然后根据头部声明的加密方式HS256将字符串与密钥组合加密，得到待验证签名，例如，密钥为secret，服务器根据头部声明的加密算法HS256进行组合加密的流程为，

HMACSHA256(用户token的头部+"."+用户token的载荷,secret)，

其中secret为用户token的密钥，该密钥与用户token的加密过程保持一致。

最后，服务器判断待验证签名与用户token的签名是否相同；若待验证签名与用户token的签名相同，则服务器对用户token的载荷进行base64解密，得到用户令牌token的鉴权信息。

需要说明的是，用户token的载荷存放有效信息，包含注册声明、公有声明和私有声明，服务器获取包括agent唯一标识和用户IP地址的私有声明部分，例如：

，服务器还获取到注册声明中的参数，例如过期时刻参数exp，该参数exp为时间戳格式。

204、根据用户token的鉴权信息、agent唯一标识和用户IP地址进行鉴权；

服务器根据用户令牌token的鉴权信息、agent唯一标识和用户IP地址进行鉴权，具体的，服务器判断用户令牌token的鉴权信息是否存在异常，例如，若用户令牌token的鉴权信息为空，则确定鉴权失败；若用户令牌token的鉴权信息存在异常，则确定鉴权失败，执行步骤205，例如，用户令牌token的鉴权信息为空，则确定鉴权失败；若用户令牌token的鉴权信息不存在异常，则服务器判断用户令牌token的鉴权信息是否包括代理agent唯一标识；若用户令牌token的鉴权信息不包括代理agent唯一标识，则服务器确定鉴权失败，执行步骤205，例如，agent唯一标识为1000，用户令牌token的鉴权信息中的agent唯一标识为1001，则两者不匹配，确定鉴权失败；若用户令牌token的鉴权信息包括代理agent唯一标识，则服务器判断用户令牌token的鉴权信息是否包括用户IP地址；若用户令牌token的鉴权信息不包括用户IP地址，则确定鉴权失败，执行步骤205，例如，用户IP地址为A，用户令牌token的鉴权信息中的用户IP地址为B，则两者不匹配，确定鉴权失败，A与B均为符合IP地址的格式。若用户令牌token的鉴权信息包括用户IP地址，则确定鉴权成功，执行步骤206。

可选的，服务器读取配置信息，判断预置值是否为目标阈值，目标阈值用于指示根据用户令牌token的过期时刻进行鉴权；若预置值为目标阈值，则获取用户token的获取用户令牌的过期时刻；判断所述用户令牌token的过期时刻是否小于当前时刻，若用户令牌的过期时刻小于当前时刻，则确定鉴权失败，执行步骤205；若用户token的过期时刻大于或等于当前时刻，则确定鉴权成功，执行步骤206。例如，若获取预置值的目标阈值为1，则表示根据用户token的过期时刻进行鉴权，用户token的过期时刻是时间戳格式。该配置信息可通过文件方式或者数据表方式进行存储，具体此处不做限定。

205、若鉴权失败，则丢弃链路上报的数据；

若鉴权失败，则服务器丢弃链路上报的数据。鉴权失败说明通过agent发送的链路上报的数据没有通过身份验证，是无效的垃圾数据，拒绝采集，等待下一个链路上报数据周期，重新进行链路数据的鉴权。

具体的，服务器根据鉴权失败预设鉴权失败的原因值，一旦鉴权失败，服务器发送鉴权失败的原因值；获取鉴权时刻；记录鉴权失败的原因值、agent唯一标识、用户IP地址和鉴权时刻；服务器删除链路上报的数据。例如，若用户token的鉴权信息不包括agent唯一标识，确定鉴权失败，其预设的鉴权失败的原因值为501；若用户token的鉴权信息不包括用户IP地址，确定鉴权失败，起预设的鉴权失败的原因值为502，具体此处不做限定。

需要说明的是，记录鉴权失败的原因值、agent唯一标识、用户IP地址和鉴权时刻，是为了便于查询问题，该记录方式可以通过日志或者数据库表的方式，具体此处不做限定。

206、若鉴权成功，则采集链路上报的数据；

若鉴权成功，则服务器采集链路上报的数据。具体的，用户令牌token的鉴权信息不存在异常，同时包括代理agent唯一标识和用户IP地址服务器，则确定鉴权成功，若鉴权成功，则服务器发送鉴权成功的原因值，通知链路上报数据端，即agent数据采集成功，例如，设置鉴权成功的原因值为200，agent接收到该值，确认上报数据被采集；同时服务器将链路上报的数据记录在HBase数据库中。HBase是一个高可靠性、高性能、面向列和可伸缩的分布式存储系统，利用HBase技术可搭建大规模结构化存储集群，HBase的目标是存储并处理大型的数据，更具体来说是仅需使用普通的硬件配置，就能够处理由成千上万的行和列所组成的大型数据，适用于全链路监控系统。

需要说明的是，全链路通过代理agent无侵入式部署，将性能测量与业务逻辑完全分离，用于收集应用端监控数据，在启动命令中设置部分参数，例如，代理agent唯一标识以及数据收集模块collector的地址，这种方式大大提高了采集效率，并且减少运维成本。

本发明采用上述的方法，根据用户令牌token与代理agent唯一标识和用户IP地址进行鉴权，得到鉴权结果，根据鉴权结果确定是否采集链路上报的数据，实现过滤链路上报的垃圾数据。基于JWT协议的方式对全链路上报数据进行身份验证，防止用户信息泄露导致的垃圾数据问题，防止全链路监控服务器受到攻击，确保链路上报数据的有用性。

上面对本发明实施例中全链路数据鉴权方法进行了描述，下面对本发明实施例中全链路数据鉴权装置进行描述，请参阅图3，本发明实施例中全链路数据鉴权一个实施例包括：

接收单元301，用于接收链路上报的数据；

解析单元302，用于解析链路上报的数据，得到用户令牌token、代理agent唯一标识和用户IP地址；

鉴权单元303，用于根据用户token、agent唯一标识和用户IP地址进行鉴权；

第一处理单元304，若鉴权失败，则用于丢弃链路上报的数据；

第二处理单元305，若鉴权成功，则用于采集链路上报的数据。

本发明根据用户令牌token与代理agent唯一标识和用户IP地址进行鉴权，得到鉴权结果，根据鉴权结果确定是否采集链路上报的数据，实现过滤链路上报的垃圾数据。基于JWT协议的方式对全链路上报数据进行身份验证，防止用户信息泄露导致的垃圾数据问题，防止全链路监控服务器受到攻击，确保链路上报数据的有用性。

请参阅图4，本发明实施例中全链路数据鉴权装置的另一个实施例包括：

接收单元301，用于接收链路上报的数据；

解析单元302，用于解析链路上报的数据，得到用户令牌token、代理agent唯一标识和用户IP地址；

鉴权单元303，用于根据用户token、agent唯一标识和用户IP地址进行鉴权；

第一处理单元304，若鉴权失败，则用于丢弃链路上报的数据；

第二处理单元305，若鉴权成功，则用于采集链路上报的数据。

可选的，鉴权单元303可进一步包括：

解析子单元3031，用于根据JWT协议对用户token进行解析，得到用户token的鉴权信息；

第一判断子单元3032，用于判断用户token的鉴权信息是否存在异常；

第一处理子单元3033，若用户token的鉴权信息存在异常，则用于确定鉴权失败；

第一鉴权子单元3034，若用户token的鉴权信息不存在异常，则用于根据用户token的鉴权信息、agent唯一标识和用户IP地址进行鉴权。

可选的，解析子单元3031还可以具体用于：

根据JWT协议对用户token进行分割，得到用户token的头部、用户token的载荷和用户token的签名；

对用户token的头部进行base64解密，得到头部声明的加密算法；

根据头部声明的加密算法对用户token的头部和用户token的载荷进行组合加密，得到待验证签名；

判断待验证签名与用户token的签名是否相同；

若待验证签名与第用户token的签名相同，则对用户token的载荷进行base64解密，得到用户token的鉴权信息。

可选的，第一鉴权子单元3034还可以具体用于：

若用户token的鉴权信息不存在异常，则判断用户token的鉴权信息是否包括agent唯一标识；

若用户token的鉴权信息不包括agent唯一标识，则确定鉴权失败；

若用户token的鉴权信息包括代理agent唯一标识，则判断用户token的鉴权信息是否包括用户IP地址；

若用户token的鉴权信息不包括用户IP地址，则确定鉴权失败；

若用户token的鉴权信息包括用户IP地址，则确定鉴权成功。

可选的，第一处理单元304还可以具体用于：

发送鉴权失败的原因值；

获取鉴权时刻；

记录鉴权失败的原因值、agent唯一标识、用户IP地址和鉴权时刻。

可选的，第二处理单元305还可以具体用于：

发送鉴权成功的原因值；

将链路上报的数据写入数据库。

可选的，鉴权单元303还可进一步包括：

读取子单元3035，用于读取预置值；

第二判断子单元3036，用于判断预置值是否为目标阈值，目标阈值用于指示根据用户token的过期时刻进行鉴权；

第二鉴权子单元3037，若预置值为目标阈值，则用于获取用户token的过期时刻；

第三判断子单元3038，用于判断用户token的过期时刻是否小于当前时刻；

第二处理子单元3039，若用户令牌token的过期时刻小于当前时刻，则用于确定鉴权失败；

第三处理子单元30310，若用户token的过期时刻大于或等于当前时刻，则用于确定鉴权成功。

本发明根据用户令牌token与代理agent唯一标识和用户IP地址进行鉴权，得到鉴权结果，根据鉴权结果确定是否采集链路上报的数据，实现过滤链路上报的垃圾数据。基于JWT协议的方式对全链路上报数据进行身份验证，防止用户信息泄露导致的垃圾数据问题，防止全链路监控服务器受到攻击，确保链路上报数据的有用性。

上面图3和图4从模块化功能实体的角度对本发明实施例中的全链路数据鉴权装置进行详细描述，下面从硬件处理的角度对本发明实施例中全链路数据鉴权设备进行详细描述。

图5是本发明实施例提供的一种全链路数据鉴权设备的结构示意图，该全链路数据鉴权设备500可因配置或性能不同而产生比较大的差异，可以包括一个或一个以上处理器(central processing units，CPU)501(例如，一个或一个以上处理器)和存储器509，一个或一个以上存储应用程序509或数据509的存储介质508(例如一个或一个以上海量存储设备)。其中，存储器509和存储介质508可以是短暂存储或持久存储。存储在存储介质508的程序可以包括一个或一个以上模块(图示没标出)，每个模块可以包括对全链路数据鉴权中的一系列指令操作。更进一步地，处理器501可以设置为与存储介质508通信，在全链路数据鉴权设备500上执行存储介质508中的一系列指令操作。

全链路数据鉴权设备500还可以包括一个或一个以上电源502，一个或一个以上有线或无线网络接口503，一个或一个以上输入输出接口504，和/或，一个或一个以上操作系统505，例如Windows Serve，Mac OS X，Unix，Linux，FreeBSD等等。本领域技术人员可以理解，图5中示出的全链路数据鉴权设备结构并不构成对全链路数据鉴权设备的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统，装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本发明所提供的几个实施例中，应该理解到，所揭露的系统，装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(read-only memory，ROM)、随机存取存储器(random access memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (10)

1.一种全链路数据鉴权方法，其特征在于，包括：

接收链路上报的数据；

解析所述链路上报的数据，得到用户令牌token、代理agent唯一标识和用户IP地址；

根据所述用户token、所述agent唯一标识和所述用户IP地址进行鉴权；

若鉴权失败，则丢弃所述链路上报的数据；

若鉴权成功，则采集所述链路上报的数据。

2.根据权利要求1所述的全链路数据鉴权方法，其特征在于，所述根据所述用户token、所述agent唯一标识和所述用户IP地址进行鉴权包括：

根据JWT协议对所述用户token进行解析，得到所述用户token的鉴权信息；

判断所述用户token的鉴权信息是否存在异常；

若所述用户token的鉴权信息存在异常，则确定鉴权失败；

若所述用户token的鉴权信息不存在异常，则根据所述用户token的鉴权信息、所述agent唯一标识和所述用户IP地址进行鉴权。

3.根据权利要求2所述的全链路数据鉴权方法，其特征在于，所述根据JWT协议对所述用户token进行解析，得到所述用户token的鉴权信息包括：

根据所述JWT协议对所述用户token进行分割，得到所述用户token的头部、所述用户token的载荷和所述用户token的签名；

对所述用户token的头部进行base64解密，得到所述头部声明的加密算法；

根据所述头部声明的加密算法对所述用户token的头部和所述用户token的载荷进行组合加密，得到待验证签名；

判断所述待验证签名与所述用户token的签名是否相同；

若所述待验证签名与所述用户token的签名相同，则对所述用户token的载荷进行base64解密，得到所述用户token的鉴权信息。

4.根据权利要求2所述的全链路数据鉴权方法，其特征在于，所述若所述用户token的鉴权信息不存在异常，则根据所述用户token的鉴权信息、所述agent唯一标识和所述用户IP地址进行鉴权包括：

若所述用户token的鉴权信息不存在异常，则判断所述用户token的鉴权信息是否包括所述agent唯一标识；

若所述用户token的鉴权信息不包括所述agent唯一标识，则确定鉴权失败；

若所述用户token的鉴权信息包括所述agent唯一标识，则判断所述用户token的鉴权信息是否包括所述用户IP地址；

若所述用户token的鉴权信息不包括所述用户IP地址，则确定鉴权失败；

若所述用户token的鉴权信息包括所述用户IP地址，则确定鉴权成功。

5.根据权利要求1所述的全链路数据鉴权方法，其特征在于，所述若鉴权失败，则丢弃所述链路上报的数据包括：

发送鉴权失败的原因值；

获取鉴权时刻；

记录所述鉴权失败的原因值、所述agent唯一标识、所述用户IP地址和所述鉴权时刻；

删除所述链路上报的数据。

6.根据权利要求1所述的全链路数据鉴权方法，其特征在于，所述若鉴权成功，则采集所述链路上报的数据包括：

发送鉴权成功的原因值；

将所述链路上报的数据写入数据库。

7.根据权利要求1至6中任一项所述的全链路数据鉴权方法，其特征在于，所述若所述用户token的鉴权信息不存在异常，则根据所述用户token的鉴权信息、所述agent唯一标识和所述用户IP地址进行鉴权之后，所述全链路数据鉴权方法还包括：

读取预置值；

判断预置值是否为目标阈值，所述目标阈值用于指示根据所述用户token的过期时刻进行鉴权；

若所述预置值为所述目标阈值，则获取所述用户token的过期时刻；

判断所述用户token的过期时刻是否小于当前时刻；

若所述用户token的过期时刻小于所述当前时刻，则确定鉴权失败；

若所述用户token的过期时刻大于或等于所述当前时刻，则确定鉴权成功。

8.一种全链路数据鉴权装置，其特征在于，所述全链路数据鉴权装置包括：

接收单元，用于接收链路上报的数据；

解析单元，用于解析所述链路上报的数据，得到用户令牌token、代理agent唯一标识和用户IP地址；

鉴权单元，用于根据所述用户token、所述agent唯一标识和所述用户IP地址进行鉴权；

第一处理单元，若鉴权失败，则用于丢弃所述链路上报的数据；

第二处理单元，若鉴权成功，则用于采集所述链路上报的数据。

9.一种基于全链路数据鉴权设备，其特征在于，所述全链路数据鉴权设备包括：存储器和至少一个处理器，所述存储器中存储有指令，所述存储器和所述至少一个处理器通过线路互联；

所述至少一个处理器调用所述存储器中的所述指令，以使得所述全链路数据鉴权设备执行如权利要求1-7中任意一项所述的方法。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于：所述计算机程序被处理器执行时实现如权利要求1-7中任意一项所述方法的步骤。