[發明專利]一種防御CSRF攻擊的登錄請求校驗方法及裝置

有效

• 申請號: 202110757413.4
• 申請日: 2021-07-05
• 公開（公告）號: CN113343278B
• 公開（公告）日: 2022-07-26
• 發明（設計）人: 劉慧中;彭一
• 申請（專利權）人: 湖南快樂陽光互動娛樂傳媒有限公司
• 主分類號: G06F21/60
• 分類號: G06F21/60;G06F21/62;G06F21/45
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 藏斌

1.一種防御CSRF攻擊的登錄請求校驗方法，其特征在于，應用于服務端，所述方法包括：

在接收到登錄請求之后，獲取所述登錄請求攜帶的登錄加密cookie；

對所述登錄加密cookie進行解析，得到所述登錄加密cookie的時間戳和時間戳加密值；

利用預設加密算法對所述時間戳進行加密，得到時間戳校驗加密值；

判斷所述時間戳加密值與所述時間戳校驗加密值是否一致；

若判斷出所述時間戳加密值與所述時間戳校驗加密值不一致，則判定所述登錄加密cookie不是種植在自身根域下的預登錄加密cookie；

若判斷出所述時間戳加密值與所述時間戳校驗加密值一致，則判定所述登錄加密cookie是種植在自身根域下的預登錄加密cookie；

其中，所述預登錄加密cookie是在接收到預登錄請求時，利用所述預設加密算法對所述預登錄請求的請求時間進行加密，將加密得到的請求時間加密值和請求時間進行拼接得到的；

若判斷出所述登錄加密cookie不是種植在所述服務端根域下的預登錄加密cookie，則判定所述登錄請求為偽造請求。

2.根據權利要求1所述的防御CSRF攻擊的登錄請求校驗方法，其特征在于，在判斷所述登錄加密cookie是否是種植在自身根域下的預登錄加密cookie之后，若判斷出所述登錄加密cookie是種植在自身根域下的預登錄加密cookie，還包括：

判定所述登錄請求為合法請求。

3.根據權利要求1所述的防御CSRF攻擊的登錄請求校驗方法，其特征在于，在判斷所述登錄加密cookie是否是種植在服務端根域下的預登錄加密cookie之后，若判斷出所述登錄加密cookie是種植在服務端根域下的預登錄加密cookie，則還包括：

獲取當前校驗時間；

判斷當前校驗時間與所述登錄加密cookie的時間戳之間的時間間隔是否滿足預設時間間隔；若否，則確定判定所述登錄請求為偽造請求，若是，則確定判定所述登錄請求為合法請求。

4.根據權利要求1-3任一項所述的防御CSRF攻擊的登錄請求校驗方法，其特征在于，獲取所述登錄請求的請求頭中的登錄加密cookie之后，還包括：

判斷所述登錄加密cookie是否為空；若是，則確定判定所述登錄請求為偽造請求；若否，則確定所述登錄加密cookie是否是種植在所述服務端根域下的預登錄加密cookie。

5.一種防御CSRF攻擊的登錄請求校驗裝置，其特征在于，應用于服務端，所述裝置包括：

第一獲取單元，用于在接收到登錄請求之后，獲取所述登錄請求攜帶的登錄加密cookie；

第一判斷單元，用于對所述登錄加密cookie進行解析，得到所述登錄加密cookie的時間戳和時間戳加密值；利用預設加密算法對所述時間戳進行加密，得到時間戳校驗加密值；判斷所述時間戳加密值與所述時間戳校驗加密值是否一致；若判斷出所述時間戳加密值與所述時間戳校驗加密值不一致，則判定所述登錄請求不是種植在自身根域下的預登錄加密cookie；若判斷出所述時間戳加密值與所述時間戳校驗加密值一致，則判定所述登錄請求是種植在自身根域下的預登錄加密cookie；其中，所述預登錄加密cookie是在接收到預登錄請求時，利用所述預設加密算法對所述預登錄請求的請求時間進行加密，將加密得到的請求時間加密值和所述請求時間進行拼接得到的；

第一判定單元，用于若判斷出所述登錄加密cookie不是種植在自身根域下的預登錄加密cookie，則判定所述登錄請求為偽造請求。

6.根據權利要求5所述的防御CSRF攻擊的登錄請求校驗裝置，其特征在于，還包括：

第二判定單元，用于若判斷出所述登錄加密cookie是種植在自身根域下的預登錄加密cookie，則判定所述登錄請求為合法請求。