[發明專利]一種防止非法訪問服務器的方法及系統

有效

• 申請號: 201910102842.0
• 申請日: 2019-02-01
• 公開（公告）號: CN109873819B
• 公開（公告）日: 2022-03-22
• 發明（設計）人: 李小紅
• 申請（專利權）人: 湖南快樂陽光互動娛樂傳媒有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L67/02
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 王學強

本發明公開了一種防止非法訪問服務器的方法及系統，其中防止方法包括：客戶端將用戶標識和待請求的資源標識發送至服務器；服務器根據用戶標識、待請求的資源標識、預設的會話密鑰生成會話標識，并將會話標識發送至客戶端；客戶端生成待請求的原始資源URL，并將會話標識、原始資源URL合并為新URL，基于新URL向服務器發送訪問請求；服務器判斷新URL中是否帶有會話標識，若否則拒絕此次訪問；若是則判斷新URL中的會話標識是否與生成的會話標識一致，若不一致則拒絕此次訪問。本發明能夠防止非法訪問服務器的行為發生，從而避免信息泄漏和服務器無法服務正常用戶；該方法適用范圍廣，對于IP分散、請求不固定的刷后端接口行為尤為適用。

技術領域

本發明屬于通訊領域，特別涉及一種防止非法訪問服務器的方法及系統。

背景技術

目前，客戶端和服務器的交互接口大部分是通過http的方式實現，其中，服務器提供對外的訪問接口，這些接口提供的是標準的http服務。

在現有技術中，客戶端與服務器交互的過程如下：

首先，客戶端生成待請求的資源URL(Uniform Resource Locator,統一資源定位符)，向服務器發送http請求。

然后，服務器接收到請求，向客戶端返回訪問結果。

最后，客戶端解析服務器返回的訪問結果，并處理對應的業務邏輯。

在上述交互過程中，若存在惡意客戶端修改URL或其中的參數，發起惡意請求，或者惡意客戶端模擬正常用戶發起請求，則存在信息泄漏的風險。此外，若惡意客戶端不斷發起請求，則服務器由于資源不夠而會拒絕正常的客戶端請求，導致客戶端無法獲得需要的數據，從而服務器無法服務正常用戶。

為解決上述問題，現有的做法一般是對發起請求的客戶端的IP、UserAgent進行限制處理，比如限制單個IP在固定時間段能發起的請求數，或者通過分析IP的行為，對可疑IP放入黑名單，不允許黑名單中的IP發出請求。但是，這種方法無法防止IP分散、請求不固定的刷后端接口訪問服務器的行為發生。

發明內容

本發明的目的在于，針對上述現有技術的不足，提供一種防止非法訪問服務器的方法及系統，能夠識別訪問請求是否合法，防止非法訪問服務器的行為發生，從而避免信息泄漏和服務器無法服務正常用戶；該方法適用范圍廣，對于IP分散、請求不固定的刷后端接口行為尤為適用。

為解決上述技術問題，本發明所采用的技術方案是：

一種防止非法訪問服務器的方法，包括步驟A.客戶端生成待請求的原始資源URL；其特點是，

在步驟A之前還包括：

步驟A1.客戶端將用戶標識和待請求的資源標識發送至服務器；

步驟A2.服務器接收用戶標識和待請求的資源標識；

步驟A3.服務器根據步驟A2中接收的用戶標識、待請求的資源標識、服務器中預設的密鑰生成會話標識；

步驟A4.服務器將會話標識發送至客戶端；

步驟A5.客戶端接收會話標識；

在步驟A之后還包括：

步驟B.客戶端將步驟A5中獲取的會話標識、步驟A中生成的原始資源URL合并為新URL；

步驟C.客戶端基于新URL向服務器發送訪問請求；

步驟D.服務器判斷接收到的訪問請求中的新URL中是否帶有會話標識，若否，則判斷此次訪問請求為非法訪問請求，服務器拒絕此次訪問；若是，則執行步驟E；