[發(fā)明專利]一種防止非法訪問服務(wù)器的方法及系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 201910102830.8
• 申請(qǐng)日: 2019-02-01
• 公開（公告）號(hào): CN109873818B
• 公開（公告）日: 2021-07-09
• 發(fā)明（設(shè)計(jì)）人: 李小紅
• 申請(qǐng)（專利權(quán)）人: 湖南快樂陽光互動(dòng)娛樂傳媒有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06
• 代理公司: 長沙正奇專利事務(wù)所有限責(zé)任公司 43113
• 代理人: 李美麗

本發(fā)明公開了一種防止非法訪問服務(wù)器的方法及系統(tǒng)，其中防止方法包括：A1.服務(wù)器生成提示碼、會(huì)話標(biāo)識(shí)；A2.將提示碼、會(huì)話標(biāo)識(shí)加密后得到加密信息；A3.將提示碼和加密信息發(fā)送至客戶端；A4.客戶端接收信息；A5.客戶端選取一個(gè)加密密鑰對(duì)加密信息進(jìn)行解密；A6.判斷解密信息中的提示碼是否和直接接收的提示碼一致，若是則獲取相應(yīng)會(huì)話標(biāo)識(shí)并跳轉(zhuǎn)至A；若否則重復(fù)A5～A6；A.客戶端生成原始資源URL；B.將會(huì)話標(biāo)識(shí)、原始資源URL合為新URL；C.基于新URL發(fā)送訪問請(qǐng)求；D.判斷新URL中是否帶有會(huì)話標(biāo)識(shí)，若否則拒絕訪問；若是則執(zhí)行E.判斷新URL中的會(huì)話標(biāo)識(shí)與預(yù)先生成的會(huì)話標(biāo)識(shí)是否一致，若否則拒絕訪問。本發(fā)明能夠識(shí)別訪問請(qǐng)求是否合法，防止非法訪問服務(wù)器的行為發(fā)生。

技術(shù)領(lǐng)域

本發(fā)明屬于通訊領(lǐng)域，特別涉及一種防止非法訪問服務(wù)器的方法及系統(tǒng)。

背景技術(shù)

目前，客戶端和服務(wù)器的交互接口大部分是通過http的方式實(shí)現(xiàn)，其中，服務(wù)器提供對(duì)外的訪問接口，這些接口提供的是標(biāo)準(zhǔn)的http服務(wù)。

在現(xiàn)有技術(shù)中，客戶端與服務(wù)器交互的過程如下：

首先，客戶端生成待請(qǐng)求的資源URL(Uniform Resource Locator,統(tǒng)一資源定位符)，向服務(wù)器發(fā)送http請(qǐng)求。

然后，服務(wù)器接收到請(qǐng)求，向客戶端返回訪問結(jié)果。

最后，客戶端解析服務(wù)器返回的訪問結(jié)果，并處理對(duì)應(yīng)的業(yè)務(wù)邏輯。

在上述交互過程中，若存在惡意客戶端修改URL或其中的參數(shù)，發(fā)起惡意請(qǐng)求，或者惡意客戶端模擬正常用戶發(fā)起請(qǐng)求，則存在信息泄漏的風(fēng)險(xiǎn)。此外，若惡意客戶端不斷發(fā)起請(qǐng)求，則服務(wù)器由于資源不夠而會(huì)拒絕正常的客戶端請(qǐng)求，導(dǎo)致客戶端無法獲得需要的數(shù)據(jù)，從而服務(wù)器無法服務(wù)正常用戶。

為解決上述問題，現(xiàn)有的做法一般是對(duì)發(fā)起請(qǐng)求的客戶端的IP、UserAgent進(jìn)行限制處理，比如限制單個(gè)IP在固定時(shí)間段能發(fā)起的請(qǐng)求數(shù)，或者通過分析IP的行為，對(duì)可疑IP放入黑名單，不允許黑名單中的IP發(fā)出請(qǐng)求。但是，這種方法無法防止IP分散、請(qǐng)求不固定的刷后端接口訪問服務(wù)器的行為發(fā)生。

發(fā)明內(nèi)容

本發(fā)明的目的在于，針對(duì)上述現(xiàn)有技術(shù)的不足，提供一種防止非法訪問服務(wù)器的方法及系統(tǒng)，能夠識(shí)別訪問請(qǐng)求是否合法，防止非法訪問服務(wù)器的行為發(fā)生，從而避免信息泄漏和服務(wù)器無法服務(wù)正常用戶；該方法適用范圍廣，對(duì)于IP分散、請(qǐng)求不固定的刷后端接口行為尤為適用。

為解決上述技術(shù)問題，本發(fā)明所采用的技術(shù)方案是：

一種防止非法訪問服務(wù)器的方法，包括步驟A.客戶端生成待請(qǐng)求的原始資源URL；其特點(diǎn)是，

在步驟A之前還包括：

步驟A1.服務(wù)器生成提示碼、會(huì)話標(biāo)識(shí)和加密密鑰集合；

步驟A2.服務(wù)器將提示碼、會(huì)話標(biāo)識(shí)組合形成的信息經(jīng)過加密密鑰加密后得到加密信息，其中加密密鑰為加密密鑰集合中的任意一個(gè)數(shù)；

步驟A3.服務(wù)器將加密密鑰集合、提示碼和加密信息發(fā)送至客戶端；

步驟A4.客戶端接收加密密鑰集合、提示碼和加密信息；

步驟A5.客戶端在加密密鑰集合中選取一個(gè)加密密鑰對(duì)加密信息進(jìn)行解密，得到解密信息；

步驟A6.判斷解密信息中包含的提示碼是否和客戶端直接從服務(wù)器接收的提示碼一致，若是，則客戶端獲取相應(yīng)解密信息中的會(huì)話標(biāo)識(shí)并跳轉(zhuǎn)至步驟A；若否，則重復(fù)步驟A5～A6；

在步驟A之后還包括：

步驟B.客戶端將步驟A6中獲取的會(huì)話標(biāo)識(shí)、步驟A中生成的原始資源URL合并為新URL；