(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202211113568.5 (22)申请日 2022.09.14 (71)申请人 中国工商银行股份有限公司 地址 100140 北京市西城区复兴门内大街 55号 (72)发明人 孙政骁　周骁　孙浩　 (74)专利代理 机构 北京三友知识产权代理有限 公司 11127 专利代理师 王首峰　任默闻 (51)Int.Cl. H04L 9/32(2006.01) H04L 9/08(2006.01) H04L 9/40(2022.01) (54)发明名称 一种API接口安全 验证处理方法及装置 (57)摘要 本发明提供一种API接口安全验证处理方法 及装置， 涉及信息安全技术领域， 可用于金融领 域或其他技术领域。 所述方法包括： 接收由服务 消费者发送的服务调用请求； 所述服务调用请求 携带有业务参数、 谜题要素和谜题证明； 对所述 谜题要素进行验证得到第一验证结果， 以及对所 述谜题证明进行验证得到第二验证结果； 若确定 所述第一验证结果和所述第二验证结果都为验 证通过， 则将所述业务参数转发至服务提供者， 并转发由所述服务提供者根据所述业务参数返 回的业务处理结果至所述服务消费者。 所述装置 执行上述方法。 本发明实施例提供的API接口安 全验证处理方法及装置， 能够避免API接口受到 攻击， 例如重放 攻击和DDoS攻击。 权利要求书2页 说明书11页 附图3页 CN 115459930 A 2022.12.09 CN 115459930 A 1.一种API接口安全 验证处理方法， 其特 征在于， 包括： 接收由服务消费者发送的服务调用请求； 所述服务调用请求携带有业务参数、 谜题要 素和谜题证明； 对所述谜题要素进行验证得到第 一验证结果， 以及对所述谜题证明进行验证得到第 二 验证结果； 若确定所述第 一验证结果和所述第 二验证结果都为验证通过， 则将所述业务参数转发 至服务提供者， 并转 发由所述服务提供者根据所述业务参数返回的业务处理结果至所述服 务消费者。 2.根据权利要求1所述的API接口安全验证处理方法， 其特征在于， 所述谜题要素包括 谜题生成时间戳和难度系数； 相应的， 所述对所述谜题要素进 行验证得到第一验证结果， 包 括： 将所述谜题生成时间戳与当前时间进行比对； 根据比对时间差与 所述难度系数对应的期望挑战时间的比较结果， 确定所述第 一验证 结果。 3.根据权利要求2所述的API接口安全验证处理方法， 其特征在于， 所述谜题要素还包 括签名要素； 相应的， 所述对所述谜题要素进行验证得到第一验证结果， 包括： 对所述签名要素进行验签， 根据验签结果确定所述第一验证结果； 所述签名要素预先 对谜题种子、 所述难度系数和所述谜题生成时间戳进行加密得到 。 4.根据权利 要求3所述的API接口安全验证处理方法， 其特征在于， 所述API接口安全验 证处理方法还 包括： 若确定验签结果 为通过， 则在签名缓存中对 验签通过的签名进行查找； 若没有查找到所述签名， 则执 行所述对所述谜题证明进行验证得到第二验证结果。 5.根据权利要求4所述的API接口安全验证处理方法， 其特征在于， 所述谜题证明包括 预先由所述 服务消费者获取的第一随机数和第二随机数； 其中， 所述第一随机数和所述第二随机数不相等， 且所述谜题种子与所述第一随机数 之间的第一哈希计算结果 等于所述谜题种子与所述第二随机数之间的第二哈希计算结果； 相应的， 所述对所述谜题证明进行验证得到第二验证结果， 包括： 根据所述第 一随机数和所述第 二随机数的数值比较结果， 以及所述第 一哈希计算结果 和所述第二哈希计算结果的计算比较结果确定所述第二验证结果。 6.根据权利 要求5所述的API接口安全验证处理方法， 其特征在于， 所述API接口安全验 证处理方法还 包括： 若确定所述第二验证结果为验证通过， 则将所述签名存入所述签名缓存中， 并开启计 时； 若确定计时 时长达到所述期望挑战时间时， 则从所述签名缓存中删除所述签名。 7.根据权利要求1至6任一所述的API接口安全验证处理方法， 其特征在于， 在所述接收 由服务消费者发送的服 务调用请求的步骤之前， 所述API接口安全 验证处理方法还 包括： 接收所述 服务消费者发送的谜题 挑战请求， 生成谜题种子， 并获取 标准哈希函数； 根据所述 服务提供者的负载状况信息和所述标准哈希函数， 确定难度系数； 对所述谜题种子、 所述难度系数和谜题生成时间戳进行加密， 得到签名要素；权　利　要　求　书 1/2 页 2 CN 115459930 A 2发送针对所述谜题挑战请求的谜题挑战响应结果至所述服务消费者； 所述谜题挑战响 应结果携带 所述谜题种子、 所述谜题生成时间戳、 所述难度系数和所述签名要素。 8.一种API接口安全 验证处理装置， 其特 征在于， 包括： 接收单元， 用于接收由服务消费者发送的服务调用请求； 所述服务调用请求携带有业 务参数、 谜题要素和谜题证明； 验证单元， 用于对所述谜题要素进行验证得到第一验证结果， 以及对所述谜题证明进 行验证得到第二验证结果； 转发单元， 用于若确定所述第一验证结果和所述第二验证结果都为验证通过， 则将所 述业务参数转发至服务提供者， 并转 发由所述服务提供者根据所述业务参数返回的业务处 理结果至所述 服务消费者。 9.一种电子设备， 包括存储器、 处理器及存储在存储器上并可在处理器上运行的计算 机程序， 其特征在于， 所述处理器执行所述计算机程序时实现权利要求1至7中任一项所述 方法的步骤。 10.一种计算机可读存储介质， 其上存储有计算机程序， 其特征在于， 所述计算机程序 被处理器执行时实现权利要求1至7中任一项所述方法的步骤。权　利　要　求　书 2/2 页 3 CN 115459930 A 3