(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202211049147.0 (22)申请日 2022.08.30 (71)申请人 阿里巴巴 （中国） 有限公司 地址 310000 浙江省杭州市余杭区五常街 道文一西路969号3幢5层5 54室 (72)发明人 王夕宁　张岚　胡伟琪　 (74)专利代理 机构 广州铸智知识产权代理有限 公司 44886 专利代理师 徐瑞红　陈晓欣 (51)Int.Cl. H04L 9/40(2022.01) (54)发明名称 授权处理方法及装置、 系统、 电子设备及存 储介质 (57)摘要 本申请提供了一种授权处理方法及装置、 系 统、 电子设备及存储介质， 依据本申请实施例， 首 先对针对应用服务的授权请求进行解析， 得到该 授权请求对应的授权服务； 之后确定与该授权服 务相匹配的授权策略模型； 最后通过该授权策略 模型的运行， 确定授权请求的授权结果。 其中， 上 述授权策略模型是根据调用规则定义接口所定 义的授权规则生成的， 该规则定义接口是开放给 用户或服务网格的管理员的， 通过调用该接口能 够灵活的定义授权规则， 从而能够生成对应的授 权策略模型， 运行生成的该授权策略模型即可按 照用户或管理员定义的授权规则对授权请求进 行匹配或控制， 实现了动态加载新的授权服务， 以及灵活地定义 服务网格的授权功能。 权利要求书2页 说明书12页 附图5页 CN 115396221 A 2022.11.25 CN 115396221 A 1.一种授权处理方法， 其特征在于， 应用于服务网格， 所述服务网格与应用服务通信连 接， 用于实现所述应用服 务的授权功能， 所述方法包括： 获取针对所述应用服 务的授权请求； 对所述授权请求进行解析， 得到所述授权请求对应的授权服 务； 确定与所述授权服务相匹配的授权策略模型； 其中， 所述授权策略模型是根据授权规 则生成的， 所述授权规则通过调用开 放的规则定义接口进行定义； 根据所述授权请求和所述授权策略模型， 确定所述授权请求的授权结果。 2.根据权利要求1所述的方法， 其特征在于， 预先生成所述授权策略模型， 所述授权策 略模型的生成过程包括： 通过所述规则定义接口， 获取针对所述授权服 务定义的授权规则； 确定所述授权服务的服务网格上下文； 其中， 所述服务网格上下文包括所述授权服务 的执行环境信息， 是根据调用开 放的服务定义接口所定义的信息得到的； 根据所述授权规则和所述服务网格上下文， 生成所述授权服务的代理配置信息； 所述 代理配置信息用于对所述 服务网格中对应的服 务网格代理进行配置； 根据所述代理配置信息， 构建所述授权服 务对应的授权策略模型。 3.根据权利要求2所述的方法， 其特征在于， 所述服务网格上下文包括工作负载上下 文； 所述应用服 务包括至少一个工作负载实例； 所述确定所述授权服 务的服务网格上 下文， 包括： 确定所述授权服务对应的工作负载实例； 所述工作负载实例与 所述服务网格中的服务 网格代理相对应； 所述 服务网格代理用于实现对应的工作负载实例所要实现的预设功能； 从工作负载上下文集合中， 获取与所述工作负载实例对应的工作负载上下文； 其中所 述工作负载上下文集合中存储有至少一个工作负载实例与工作负载上下文之间的匹配关 系。 4.根据权利要求3所述的方法， 其特征在于， 预先生成所述工作负载上下文集合， 所述 工作负载 上下文集合按照如下步骤生成： 获取各个工作负载实例所在的物理节点的资源信息； 根据所述资源信息， 分别生成与各工作负载实例相匹配的工作负载上下文， 并将各工 作负载实例与工作负载 上下文之间的匹配关系存 储到所述工作负载 上下文集合中。 5.根据权利要求2至4任一项所述的方法， 其特征在于， 所述服务网格上下文包括授权 服务上下文； 所述确定所述授权服 务的服务网格上 下文， 包括： 从授权服务上下文集合中， 获取与所述授权服务相匹配的授权服务上下文； 其中， 所述 授权服务上下文集合中存储有至少一个授权服 务与授权服 务上下文之间的匹配关系。 6.根据权利要求5所述的方法， 其特征在于， 预先生成所述授权服务上下文集合， 所述 授权服务上下文集合按照如下步骤生成： 通过所述服务定义接口， 获取针对至少一个授权服务中的每个授权服务定义的授权元 数据； 根据各授权服务的授权元数据， 分别生成与各授权服务相匹配的授权服务上下文， 并 将各授权服 务与授权服 务上下文之间的匹配关系存 储到所述授权服 务上下文集合中。权　利　要　求　书 1/2 页 2 CN 115396221 A 27.根据权利要求6所述的方法， 其特 征在于， 所述授权元 数据包括以下至少一项： 所述授权服务的访问地址、 所述授权服务的访问路径、 所述授权服务的访问端口、 所述 授权服务的访问超时约束、 所述授权服务的请求头信息、 所述授权服务的请求主体信息、 所 述授权服 务对应的响应头信息、 所述授权服 务对应的响应主体信息 。 8.根据权利要求2至4任一项所述的方法， 其特征在于， 所述根据 所述代理配置信 息， 构 建所述授权服 务对应的授权策略模型， 包括： 根据所述代理配置信 息， 确定所述授权服务对应的服务网格代 理； 其中， 所述服务网格 中包括至少一个服务网格代理； 所述服务网格代理与工作负载实例相对应， 用于实现工作 负载实例所要实现的预设功能； 利用所述服务网格代理， 根据所述代理配置信息， 构建所述授权服务对应的授权策略 模型。 9.根据权利要求1或2所述的方法， 其特征在于， 所述根据所述授权请求和所述授权策 略模型， 确定所述授权请求的授权结果， 包括： 利用所述服务网格中的授权插件， 将所述授权请求中的至少部分信 息和所述授权策略 模型的信息发给授权执行引擎， 以使所述授权执行引擎运行所述授权策略模型， 得到所述 授权请求的授权结果； 利用所述授权插 件接收所述授权执 行引擎反馈的所述授权结果。 10.一种授权处 理装置， 其特 征在于， 应用于服 务网格， 所述装置包括： 信息获取模块， 用于获取授权请求； 请求解析模块， 用于对所述授权请求进行解析， 得到所述授权请求对应的授权服 务； 模型确定模块， 用于确定与所述授权服务相匹配的授权策略模型； 其中， 所述授权策略 模型是根据授权规则生成的， 所述授权规则通过调用开 放的规则定义接口进行定义； 授权模块， 用于根据所述授权请求和所述授权策略模型， 确定所述授权请求的授权结 果。 11.一种授权系统， 其特征在于， 包括执行权利要求1至9任一项所述的方法的服务网 格， 以及与所述 服务网格通信连接的应用服 务； 所述服务网格， 用于获取针对所述应用服务的授权请求， 并执行权利要求1至9任一项 所述的方法， 以确定所述授权请求的授权结果。 12.一种电子设备， 包括存储器、 处理器及存储在存储器上的计算机程序， 所述处理器 在执行所述计算机程序时实现权利要求1 ‑9中任一项所述的方法。 13.一种计算机可读存储介质， 所述计算机可读存储介质内存储有计算机程序， 所述计 算机程序被处 理器执行时实现权利要求1 ‑9中任一项所述的方法。权　利　要　求　书 2/2 页 3 CN 115396221 A 3