CN102546579A - 一种提供系统资源的方法、装置及系统 - Google Patents

Abstract

本发明涉及计算机领域，特别涉及一种提供系统资源的方法、装置及系统，用以在不降低系统资源的访问效率的前提下，保证系统资源的安全性。该方法为：业务服务器将客户端请求的系统资源的URL地址进行数字签名后发送给客户端，Web服务器接收到客户端发送的经数字签名的URL地址后，采用与业务服务器约定方式对经数字签名的URL地址进行数字签名认证，确定通过数字签名认证时，将相应的系统资源发送给客户端，这样，便杜绝了客户端对系统资源的直接访问，并且客户端使用错误签名或过期签名的URL地址也不会访问到系统资源，从而在不降低系统资源的访问效率的前提下，实现了对系统资源的有效保护，提高了系统资源的安全性。

Description

一种提供系统资源的方法、装置及系统

技术领域

本发明涉及计算机领域，特别涉及一种提供系统资源的方法、装置及系统。

背景技术

现有技术下，在提供Web服务的业务系统中，为了提高系统资源的安全性，对系统资源进行保护的方法分为以下几种：

第一种方法为：使用数据库存储系统资源(如，系统文件)。在客户端访问时，Web服务器或业务服务器需要对其进行账号密码等信息的认证，通过认证后，再从数据库提取系统资源分发给客户端。

使用该方法的缺点是：依赖于数据库，而数据库存取大型文件时执行效率低，远不如直接存取在硬盘上保存的系统资源的效率高，并且，使用数据库增加了系统复杂性，进而降低整个业务系统的效率。

第二种方法为：使用专门的密匙服务器对客户端和业务服务器进行协调校验。密匙服务器作为中间者，负责对客户端和业务服务器的的工作进行协调，其中，客户端先到密匙服务器去认证，通过后获得密匙，同时，密匙服务器会通知业务服务器准备验证该密匙，最后，客户端基于获得的密匙去访问业务服务器进行校验，通过后才会获得系统资源。

使用该方法的缺点是：系统复杂性高，依赖密匙服务器，一旦密匙服务器出现故障，则整个业务系统将无法正常工作，并且网络传输的不确定性也将导致资源获取的效率低下。

发明内容

本发明实施例提供一种提供系统资源的方法、装置及系统，用以在不降低系统资源的访问效率的前提下，保证系统资源的安全性。

本发明实施例提供的具体技术方案如下：

一种提供系统资源的方法，包括：

用于提供业务服务的第一服务器接收客户端发送的系统资源请求消息；

第一服务器将客户端请求的系统资源的URL地址进行数字签名后发送给所述客户端；

用于提供系统资源的第二服务器接收到客户端发送的经数字签名的URL地址后，采用与第一服务器约定方式对所述经数字签名的URL地址进行数字签名认证；

第二服务器确定所述经数字签名的URL地址通过数字签名认证时，将相应的系统资源发送给所述客户端。

一种提供业务服务的服务器，包括：

接收单元，用于接收客户端发送的系统资源请求消息；

数字签名单元，用于对客户端请求的系统资源的URL地址进行数字签名；

发送单元，用于将经数字签名的URL地址发送给所述客户端，令所述客户端采用所述经数字签名的URL地址向指定服务器获取系统资源。

一种提供系统资源的服务器，包括：

接收单元，用于接收客户端发送的经指定服务器数字签名的URL地址；

认证单元，用于采用与指定服务器约定方式对经数字签名的URL地址进行数字签名认证；

发送单元，用于确定所述经数字签名的URL地址通过数字签名认证时，将相应的系统资源发送给所述客户端。

一种提供系统资源的系统，包括：

第一服务器，用以提供业务服务，用于接收客户端发送的系统资源请求消息，并将客户端请求的系统资源的URL地址进行数字签名后发送给所述客户端；

第二服务器，用以提供系统资源，用于在接收到客户端发送的经数字签名的URL地址后，采用与第一服务器约定方式对所述经数字签名的URL地址进行数字签名认证，并在确定所述经数字签名的URL地址通过数字签名认证时，将相应的系统资源发送给所述客户端。

本发明实施例中，基于Web服务器和业务服务器之间的相互配合，对客户端请求的系统资源的URL地址进行数字签名，并通过对经数字签名的URL地址的检验确定客户端是否有权访问系统资源，从而杜绝了客户端对系统资源的直接访问，并且客户端使用错误签名或过期签名的URL地址也不会访问到系统资源，从而在不降低系统资源的访问效率的前提下，实现了对Web服务器上的系统资源的保护，提高了系统资源的安全性。

附图说明

图1为本发明实施例中系统架构示意图；

图2A为本发明实施例中业务服务器功能结构示意图；

图2B为本发明实施例中Web服务器功能结构示意图；

图3为本发明实施例中业务服务器向客户端提供经数字签名的URL地址流程图；

图4为本发明实施例中Web服务器向客户端提供系统资源流程图。

具体实施方式

本发明实施例中，实现一种简单灵活的提供系统资源的方式，实现Web服务器侧的系统资源(如，Web系统文件)的保护与业务层控制逻辑结合起来，从而达到保护系统资源的目的。其具体为，较佳的，用于提供业务服务的业务服务器接收客户端发送的系统资源请求消息，并将将客户端请求的系统资源的URL地址进行数字签名后发送给客户端，而用于提供系统资源的Web服务器接收到客户端发送的经数字签名的URL地址后，采用与业务服务器约定方式对该经数字签名的URL地址进行数字签名认证，并在确定该经数字签名的URL地址通过数字签名认证时，将相应的系统资源发送给客户端。

参阅图1所示，本发明实施例中，用于提供系统资源的业务系统包括业务服务器和Web服务器，其中，

业务服务器，用以提供业务服务，用于接收客户端发送的系统资源请求消息，并将客户端请求的系统资源的URL地址进行数字签名后发送给客户端；

Web服务器，用以提供系统资源，用于在接收到客户端发送的经数字签名的URL地址后，采用与业务服务器约定方式对所述经数字签名的URL地址进行数字签名认证，并在确定所述经数字签名的URL地址通过数字签名认证时，将相应的系统资源发送给所述客户端。所谓的Web服务器既可以是直接提供系统资源的服务器，也可以是具有缓存功能的服务器等等，并不局限于一种实现方式。

本实施例中，为实现上述功能，需要在Web服务器中开发一个具有过滤功能的模块，该模块只是对URL地址进行数字签名认证，执行速度很快，对Web服务器性能基本没有影响。例如，较佳的，采用Apache服务器作为Web服务器，在Apache服务器上开发一个Apache模块，该Apache模块对需要保护的系统资源的URL进行拦截并进行数字签名认证，只有被可信任的业务服务器进行数字签名的URL才允许访问，且URL地址中携带签名有效期，过期的数字签名将被拒绝。从而实现了保护系统资源的目的。

下面结合附图对本发明优选的实施方式进行详细说明。

参阅图2A所示，本发明实施例中，用于对系统资源的URL(统一资源定位)地址进行数字签名的装置(如，业务服务器)包括接收单元20、数字签名单元21和发送单元22，其中，

接收单元20，用于接收客户端发送的系统资源请求消息；

数字签名单元21，用于对客户端请求的系统资源的URL地址进行数字签名；

发送单元22，用于将经数字签名的URL地址发送给客户端，令该客户端采用经数字签名的URL地址向Web服务器获取系统资源。

参阅图2B所示，本发明实施例中，用于对系统资源的URL地址进行数字签名认证以提供系统资源的装置(如，Web服务器)包括接收单元200、认证单元201和发送单元202，其中，

接收单元200，用于接收客户端发送的经业务服务器数字签名的URL地址；

认证单元201，用于采用与业务服务器约定方式对经数字签名的URL地址进行数字签名认证；

发送单元202，用于确定经数字签名的URL地址通过数字签名认证时，将相应的系统资源发送给客户端。

参阅图3所示，本发明实施例中，业务服务器向客户端提供经数字签名的URL地址的详细流程如下：

步骤300：客户端向业务服务器发送系统资源请求消息，该系统资源请求消息中携带有客户端请求获取的系统资源的标识。

例如，用户通过点击客户端呈现的网页页面中的指定链接(如，打折食品一览表、火车时刻表、话费查询等等)，触发客户端向业务服务器发送系统资源请求消息。

步骤301：业务服务器接收客户端发送的系统资源请求消息，并根据该系统资源请求消息携带的系统资源的标识确定相应的URL地址。

实际应用中，业务服务器用户请求获取的系统资源可以对应一个URL地址，也可以对应多个URL地址。

步骤302：业务服务器对获得的URL地址进行数字签名。

本实施例中，执行步骤302时，业务服务器采用与Web服务器约定的方式对获得的URL地址进行签名，较佳的，签名算法采用MD5算法，具体包括：

假设客户端请求获取的URL地址为：

http://localhost/stub/D110000bjwb/2010-06/22/mpml.files/nb.D110000bjwb_20100622-01.pagebig.1.jpg

为了保证客户端获得的系统资源的时效性，较佳的，在对URL地址进行数字签名时，要在URL地址后面加上其签名有效期，采用expires参数描述，具体为：

http://localhost/stub/D110000bjwb/2010-06/22/mpml.files/nb.D110000bjwb 2 0100622-01.pagebig.1.jpg？expires＝6307200000；

其中，expires＝6307200000表示签名的有效期，实际应用中，若针对系统资源不存在有效期方面的限制，也可以在URL地址中不包含expires参数，上述内容仅为举例，以下实施例中亦如此，将不再赘述。

接着，为了提高数字签名结果的安全性，业务服务器通常会在URL地址的明文中混入干扰密钥key，即将URL明文和干扰密钥key拼接起来，然后进行数字签名，签名结果再拼接至URL地址后，使用参数digest描述。具体为：采用URL地址中域名后边的内容部分和约定的干扰密匙key一起进行数字签名，两者之间用“+”连接，假设密钥key＝apabi，签名示例如下：

stub/D110000bjwb/2010-06/22/mpml.files/nb.D110000bjwb_20100622-01.pagebig.1.jpg？expires＝6307200000+apabi

最后，采用MD5算法对上述签名示例进行数字签名，得到的MD5值为digest＝33a71d66b609ec919e0fa91d4e4eb6cc，将该MD5值采用“&”符号后缀在签名有效期后面，便完成了对URL地址的数字签名，最终得到的结果(即经过数字签名的URL地址)如下：

http://localhost/stub/D110000bjwb/2010-06/22/mpml.files/nb.D110000bjwb 2 0100622-01.pagebig.1.jpg？expires＝6307200000&digest＝33a71d66b609ec919e0fa9 1d4e4eb6cc。

步骤303：业务服务器将经数字签名的URL地址发往客户端。

客户端接收到业务服务器下发的经数字签名的URL地址后，可以立即向Web服务器请求相应的系统资源，也可以等待一段时间后，再向Web服务器请求相应的系统资源。

参阅图4所示，本发明实施例中，Web服务器向客户端提供系统资源的详细流程如下：

步骤400：客户端将获得的经数字签名的URL地址发往Web服务器，以请求获得相应的系统资源。

步骤401：Web服务器接收客户端发送的经数字签名的URL地址，并对该URL地址进行数字签名认证。

在预配置Web服务器时，较佳的，要设置被保护的资源类型和与业务服务器约定的签名密钥，即步骤302中提及的干扰密匙key，实际应用中，为了提高灵活性，使用正则表达式描述被保护的资源类型。正则表达式“^.*.jpg？”可用来匹配前边任意个字符，且后缀为“.jpg？”的URL地址，如12345abc.jpg？12345abc就符合上述正则表达式。

基于上述预配置，在执行步骤401时，Web服务器在接收到客户端发送的经数字签名的URL地址后，较佳的，只对合法的(即匹配正则表达式描述)的URL地址进行数字签名认证，进一步地，若经数字签名的URL地址中还包括签名有效期，则Web服务器还需要进行签名有效期认证，此时，只有通过数字签名认证并且没有超过签名有效期的URL地址，才允许访问系统资源。例如：

http://localhost/stub/D110000bjwb/2010-06/22/mpml.files/nb.D110000bjwb_20100622-01.pagebig.1.jpg？expires＝6307200000&digest＝33a71d66b609ec919e0fa91d4e4eb6cc。

Web服务器采用正则表达式判断上述经数字签名的URL地址是否合法，从而判断上述经数字签名的URL地址是否由可信任的业务服务器提供，如，采用的正则表达式为^.*.jpg？时，就可以匹配

http://localhost/stub/D110000bjwb/2010-06/22/mpml.files/nb.D110000bjwb 20100622-01.pagebig.1.jpg？expires＝6307200000&digest＝33a71d66b609ec919e0f a91d4e4eb6cc

Web服务器确定经数字签名的URL地址与预设的证则表达式匹配时，采用与业务服务器约定的密钥key’以及MD5算法(仅为举例)对以下内容进行数字签名：

Stub/D110000bjwb/2010-06/22/mpml.files/nb.D110000bjwb_20100622-01.pagebig.1.jpg？expires＝6307200000”

假设得到的数字签名结果采用digest’描述，那么，在digest’＝digest时，Web服务器确定经数字签名的URL地址通过数字签名认证。

在进行数字签名认证之前/过程中/之后，Web服务器可以根据“expires＝6307200000”对经数字签名的URL地址进行签名有效期认证。

步骤402：Web服务器根据认证结果判断接收的经数字签名的URL地址是否通过数字签名认证，若是，则进行步骤403；否则，进行步骤404。

若Web服务器对经数字签名的URL地址进行了签名有效期证，则在执行步骤306时，还需确定上述URL地址在通过数字签名认证的同时没有超过有效期，才会执行步骤307。

步骤403：Web服务器向客户端返回其请求的系统资源，即与接收的经数字签名的URL地址相对应的系统资源。

步骤404：Web服务器拒绝向客户端提供系统资源，如，返回401消息拒绝客户端的访问。

本发明实施例中，基于Web服务器和业务服务器之间的相互配合，对客户端请求的系统资源的URL地址进行数字签名，并通过对经数字签名的URL地址的检验确定客户端是否有权访问系统资源，从而在不降低提供系统资源的执行效率的前提下，实现了对Web服务器上的系统资源的保护，提高了系统资源的安全性。

现有技术下，客户端很容易通过猜解的方式来非法获取系统资源，例如，在一个Web服务器上存在很多系统资源，如，包括jpg图片、pdf电子书等等，假设用户通过客户端只允许访问URL地址为http://localhost/jpg/1.jpg的图片，但是用户可以很容易猜到诸如URL地址为http://localhost/jpg/xxx.jpg的图片也 存在于Web服备器上，从而很容易未经授权便获取到这些图片。

采用本发明实施例提供的技术方案后，完善系统资源的保护机制，杜绝了客户端对系统资源的直接访问，并且客户端使用错误签名或过期签名的URL地址也不会访问到系统资源，从而有效提高了系统资源的安全性，并且本发明技术方案的实现复杂度低，只需在Web服务器上增设一个具有签名认证功能的模块即可，因此不会影响客户端访问系统资源的效率，进一步地，本发明技术方案中，未使用数据库存储系统资源，也未使用专门的密匙服务器进行认证，降低了系统复杂度和方案实施对系统环境的依赖程度，当系统环境改变时，无需修改系统资源的保护机制，具有很高的兼容性和可靠性。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (15)

1.一种提供系统资源的方法，其特征在于，包括：

用于提供业务服务的第一服务器接收客户端发送的系统资源请求消息；

第一服务器将客户端请求的系统资源的统一资源定位URL地址进行数字签名后发送给所述客户端；

用于提供系统资源的第二服务器接收到客户端发送的经数字签名的URL地址后，采用与第一服务器约定方式对所述经数字签名的URL地址进行数字签名认证；

第二服务器确定所述经数字签名的URL地址通过数字签名认证时，将相应的系统资源发送给所述客户端。

2.如权利要求1所述的方法，其特征在于，所述第一服务器对客户端请求的系统资源的URL地址进行数字签名，包括：

第一服务器确定与第二服务器约定的第一密钥，将所述第一密钥与所述URL地址中指定内容部分进行拼接；

第一服务器采用指定的加密算法对拼接后的内容进行数字签名，获得第一数字签名结果；

第一服务器将获得的第一数字签名结果添加至所述URL地址中的指定位置，获得经数字签名的URL地址。

3.如权利要求2所述的方法，其特征在于，所述第二服务器接收到客户端发送的经数字签名的URL地址后，采用与第一服务器约定方式对所述经数字签名的URL地址进行数字签名认证之前，包括：

判断所述经数字签名的URL地址与预设的正则表达式是否匹配，确定匹配时，再对其进行数字签名认证。

4.如权利要求2或3所述方法，其特征在于，所述第二服务器采用与第一服务器约定方式对所述经数字签名的URL地址进行数字签名认证，包括：

第二服务器确定与第一服务器约定的第二密钥，将所述第二密钥与所述经数字签名的URL地址中指定内容部分进行拼接；

第二服务器从接收的经数字签名的URL地址中获取第一数字签名结果，以及采用指定的加密算法对拼接后的内容进行数字签名，获得第二数字签名结果；

第二服务器将所述第二数字签名结果与第一数字签名结果进行比较，获知两者相同时，确认通过数字签名认证。

5.如权利要求4所述的方法，其特征在于，若所述经数字签名的URL地址中不包含签名有效期，则所述第二服务器确定所述经数字签名的URL地址通过数字签名认证后，将相应的系统资源发送至所述客户端；

若所述经数字签名的URL地址中包含签名有效期，则所述第二服务器确定所述经数字签名的URL地址通过数字签名认证后，进一步确定未超过所述签名有效期时，将相应系统资源发送至所述客户端。

6.一种提供业务服务的服务器，其特征在于，包括：

接收单元，用于接收客户端发送的系统资源请求消息；

数字签名单元，用于对客户端请求的系统资源的统一资源定位URL地址进行数字签名；

发送单元，用于将经数字签名的URL地址发送给所述客户端，令所述客户端采用所述经数字签名的URL地址向指定服务器获取系统资源。

7.如权利要求6所述的服务器，其特征在于，所述数字签名单元对客户端请求的系统资源的URL地址进行数字签名，包括：

确定与所述指定服务器约定的第一密钥，将所述第一密钥与所述URL地址中指定内容部分进行拼接；

采用指定的加密算法对拼接后的内容进行数字签名，获得第一数字签名结果；

将获得的第一数字签名结果添加至所述URL地址中的指定位置，获得经数字签名的URL地址。

8.一种提供系统资源的服务器，其特征在于，包括：

接收单元，用于接收客户端发送的经指定服务器数字签名的统一资源定位URL地址；

认证单元，用于采用与指定服务器约定方式对经数字签名的URL地址进行数字签名认证；

发送单元，用于确定所述经数字签名的URL地址通过数字签名认证时，将相应的系统资源发送给所述客户端。

9.如权利要求8所述的服务器，其特征在于，所述接收单元接收到客户端发送的经数字签名的URL地址后，所述认证单元采用与指定服务器约定方式对所述经数字签名的URL地址进行数字签名认证之前，包括：

判断所述经数字签名的URL地址与预设的证则表达式是否匹配，确定匹配时，再对其进行数字签名认证。

10.如权利要求8或9所述服务器，其特征在于，所述认证单元采用与指定服务器约定方式对所述经数字签名的URL地址进行数字签名认证，包括：

确定与所述指定服务器约定的第二密钥，将所述第二密钥与所述经数字签名的URL地址中指定内容部分进行拼接；

从接收的经数字签名的URL地址中获取第一数字签名结果，以及采用指定的加密算法对拼接后的内容进行数字签名，获得第二数字签名结果；

将所述第二数字签名结果与第一数字签名结果进行比较，获知两者相同时，确认通过数字签名认证。

11.如权利要求10所述的服务器，其特征在于，若所述经数字签名的URL地址中不包含签名有效期，则所述认证单元确定所述经数字签名的URL地址通过数字签名认证后，通知所述发送单元将相应的系统资源发送至所述客户端；

若所述经数字签名的URL地址中包含签名有效期，则所述认证单元确定所述经数字签名的URL地址通过数字签名认证后，进一步确定未超过所述签名有效期时，通知所述发送单元将相应系统资源发送至所述客户端。

12.一种提供系统资源的系统，其特征在于，包括：

第一服务器，用以提供业务服务，用于接收客户端发送的系统资源请求消息，并将客户端请求的系统资源的统一资源定位URL地址进行数字签名后发送给所述客户端；

第二服务器，用以提供系统资源，用于在接收到客户端发送的经数字签名的URL地址后，采用与第一服务器约定方式对所述经数字签名的URL地址进行数字签名认证，并在确定所述经数字签名的URL地址通过数字签名认证时，将相应的系统资源发送给所述客户端。

13.如权利要求12所述的系统，其特征在于，所述第一服务器对客户端请求的系统资源的URL地址进行数字签名，包括：

第一服务器确定与第二服务器约定的第一密钥，将所述第一密钥与所述URL地址中指定内容部分进行拼接；

第一服务器采用指定的加密算法对拼接后的内容进行数字签名，获得第一数字签名结果；

第一服务器将获得的第一数字签名结果添加至所述URL地址中的指定位置，获得经数字签名的URL地址。

14.如权利要求13所述的系统，其特征在于，所述第二服务器接收到客户端发送的经数字签名的URL地址后，采用与第一服务器约定方式对所述经数字签名的URL地址进行数字签名认证之前，包括：

判断所述经数字签名的URL地址与预设的证则表达式是否匹配，确定匹配时，再对其进行数字签名认证。

15.如权利要求13或14所述系统，其特征在于，所述第二服务器采用与第一服务器约定方式对所述经数字签名的URL地址进行数字签名认证，包括：

第二服务器确定与第一服务器约定的第二密钥，将所述第二密钥与所述经数字签名的URL地址中指定内容部分进行拼接；

第二服务器从接收的经数字签名的URL地址中获取第一数字签名结果，以及采用指定的加密算法对拼接后的内容进行数字签名，获得第二数字签名结果；

第二服务器将所述第二数字签名结果与第一数字签名结果进行比较，获知两者相同时，确认通过数字签名认证。

Images