CN103905395A

CN103905395A - 一种基于重定向的web访问控制方法及系统

Info

Publication number: CN103905395A
Application number: CN201210579326.5A
Authority: CN
Inventors: 姚润刚; 马军; 宋阅
Original assignee: China Mobile Group Shanxi Co Ltd
Current assignee: China Mobile Group Shanxi Co Ltd
Priority date: 2012-12-27
Filing date: 2012-12-27
Publication date: 2014-07-02
Anticipated expiration: 2032-12-27
Also published as: CN103905395B

Abstract

本发明公开了一种基于重定向的WEB访问控制方法及系统，涉及业务支撑技术领域，解决了现有技术中应用系统服务器实现统一登录、权限控制的过程中，需要双方向改造的技术问题。其中，该方法包括：HTTP网关获取终端发送的访问应用系统服务器的请求数据包，并将该请求数据包转发到核心服务器；所述核心服务器根据从所述请求数据包中解析出的URL地址确定所述请求数据包的类型；所述核心服务器根据确定的类型对所述请求数据包的合法性进行验证，并将通过验证的请求数据包发送到所述访问的应用系统服务器。

Description

一种基于重定向的WEB访问控制方法及系统

技术领域

本发明涉及业务支撑技术领域，特别涉及一种基于重定向的WEB访问控制方法及系统。

背景技术

当前局域网中通常会有多个web应用系统服务器，通常这些应用系统服务器都有各自的入口用于访问，但是正因为存在各自的入口才引发了用户登录、认证、权限控制分散到各个应用系统服务器的现象，并且由于日志审计只需和登录账号关联，那么任何具有此账户的人都可以登录，这样就难以区分到底是哪个人进行的操作。为了实现应用系统服务器统一登录、认证、权限控制及审计，进而形成集中管控的目的，现有技术采用了统一安全管控服务器的方案，该方法同时需要改造应用系统服务器的登录、认证、权限各个模块，并关闭掉本地登录，最终实现统一登录、认证、权限控制及集中审计。

现有统一安全管控有调用方（统一安全管控服务器）与被调用方（应用系统服务器）共同实现统一登录、认证和权限控制。通常由用户首先登录统一安全管控服务器，统一安全管控服务器以短信或者数字证书等强认证方式认证，认证通过后进入统一安全管控服务器；然后以统一安全管控服务器作为跳板，直接登录应用系统服务器，应用系统服务器原有账号管理、权限管理移植到统一安全管控服务器进行统一管理。根据按照统一安全管控服务器的功用可知，所有应用系统服务器的登录、认证、权限控制都只能有一个统一入口，因此各个应用系统服务器都需要判别收到的请求是否来自统一安全管控服务器，如果不是，拒绝当前请求，直接转向到统一安全管控服务器的登录页，进行统一登录认证。为了能够实现统一登录、统一认证、统一权限控制、集中审计，应用系统服务器通常需要对原有登录模块、认证模块、权限控制模块、日志模块等进行改造。

由此可知，现有技术中采用的统一安全管控服务器集中管控的方案又带来了如下技术问题：

需要对每一个要做统一登录认证、权限控制、日志审计的应用系统服务器进行改造，由于新上线应用系统服务器数目繁多，因此改造需求较大，并且若原有应用系统服务器进行升级改造，比如增加功能点，统一安全管控服务器及应用系统服务器之家之间权限控制接口又需要重新改造，因此工作量较大。

发明内容

为了解决现有技术中统一安全管控服务器的实施为应用系统服务器带来的改造工作量大，难以实施的技术问题，本发明提出一种基于重定向的WEB访问控制方法及系统。

一种基于重定向的WEB访问控制方法，包括：

HTTP网关获取终端发送的访问应用系统服务器的请求数据包，并将该请求数据包转发到核心服务器；

所述核心服务器根据从所述请求数据包中解析出的URL地址确定所述请求数据包的类型；

所述核心服务器根据确定的类型对所述请求数据包的合法性进行验证，并将通过验证的请求数据包发送到所述访问的应用系统服务器。

一种基于重定向的WEB访问控制系统，包括：HTTP网关和至少一个核心服务器；

所述HTTP网关，用于获取终端发送的访问应用系统服务器的请求数据包，并将该请求数据包转发到核心服务器；

每个所述核心服务器，用于根据从所述请求数据包中解析出的URL地址确定所述请求数据包的类型，并根据确定的类型对所述请求数据包的合法性进行验证，并将通过验证的请求数据包发送到所述访问的应用系统服务器。

本发明提供的方案可以根据从请求数据包中解析出的URL地址确定请求数据包的类型，根据具体的请求数据包类型进行验证，确定是否可将该请求数据包发送到请求访问的应用系统服务器处理。由此解决了现有技术中实现统一登录、认证和权限控制的过程中必须每个应用系统服务器进行双向改造（调用方、被调用方）改造的技术问题，进而取得了在不需要原应用系统服务器进行改造的情况下，实现了对应用系统服务器内部登录或权限访问的控制，而且，可以控制粒度可以细化到应用系统服务器内部的URL，并对应用系统服务器透明，使得新接入的应用系统服务器不用改造即可完成系统的URL控制及重定向的技术效果。

附图说明

附图用来提供对本发明的进一步理解，并且构成说明书的一部分，与本发明的实施例一起用于解释本发明，并不构成对本发明的限制。在附图中：

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例1提供的一种基于重定向的WEB访问控制方法中确定请求数据包类型部分的流程示意图；

图2为本发明实施例1提供的一种基于重定向的WEB访问控制方法中确定为登录请求数据包后的流程示意图；

图3为本发明实施例1提供的一种基于重定向的WEB访问控制方法中确定为功能访问请求数据包后的流程示意图；

图4为本发明实施例2提供的一种基于重定向的WEB访问控制系统的结构示意图；

图5为本发明实施例2提供的一种基于重定向的WEB访问控制系统的另一结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。并且，以下各实施例均为本发明的可选方案，实施例的排列顺序及实施例的编号与其优选执行的顺序无关。

实施例1

本实施例提供一种基于重定向的WEB访问控制方法，如图1所示，该方法包括：

步骤101，终端发起访问应用系统服务器的请求数据包；

步骤102，HTTP网关拦截该终端发送的访问应用系统服务器的请求数据包；

其中，本方案的HTTP网关可以泛指支持HTTP超文本传输协议的所有网关。

步骤103，HTTP网关将该请求数据包转发到核心服务器；

该HTTP网关位于统一安全管控服务器实体与核心服务器之间。

步骤104，核心服务器从请求数据包中解析出的URL地址，并根据该解析出的URL地址确定请求数据包的类型；若确定为登录请求数据包，则执行步骤105；否则确定为功能访问请求数据包，执行步骤106。

具体而言，该步骤104可通过如下方式实现：

核心服务器从请求数据包中解析出访问的URL地址，并将访问的URL地址与预存储的登录URL列表进行匹配，登录URL列表包括每个应用系统服务器的登录URL地址；若在登录URL列表中存在与访问的URL地址匹配的应用系统服务器的登录URL地址，则确定请求数据包的类型为登录请求数据包，参照图2所示，执行步骤105；否则确定请求数据的类型为功能访问请求数据包，参照图3所示，执行步骤106。

每个应用系统服务器都有登录URL地址，比如http://192.168.1.35:8090/4A,http:∥192.168.1.35:8090/4A/login.jsp；非登录url地址，比如具体要访问的功能模块url地址，http://192.168.1.35:8090/4A/account。在本实施例中，核心服务器可以获取到包括所有与其连接的应用系统服务器的登录URL地址的登录URL列表（可以将该登录URL列表预存储在核心服务器上，核心服务器通过在本地查找获取到该登录URL列表；也部署一个与该核心服务器连接的数据库服务器，将该登录URL列表预存储在数据库中，核心服务器通过查询该数据库服务器访问登录URL列表）；核心服务器可以通过将解析出的URL地址与该登录URL列表进行匹配的方式确定该解析出的URL地址是否是登录URL地址，如果匹配不成功，则说明不是登录请求，而是功能访问请求，因此按照功能访问请求数据包进行处理，执行步骤106；如果匹配成功，说明是登录请求，因此按照登录请求数据包括处理，执行步骤105。

无论是登录请求数据包还是功能访问请求数据包，述核心服务器均需要根据确定的类型对请求数据包的合法性进行验证，并将通过验证的请求数据包发送到访问的应用系统服务器，具体可实现方式参考下述步骤105或106。

步骤105，当确定的类型为登录请求数据包时，核心服务器分析登录请求数据包中是否包含统一安全管控服务器给予的用户登录凭证，若不包含用户登录凭证，说明该登录请求数据包并不是通过同一安全管控系统访问的，为了保证安全性，必须使所有应用系统服务器的登录都要通过统一安全管控服务器，因此执行步骤1051；若包含用户登录凭证，则执行步骤1053。

正常来说，所有的登录请求应该均由终端经过统一安全管控服务器登录验证后到达应用系统服务器，但是由于可能存在未经统一安全管控服务器登录或其他途径登录的请求数据包，所以步骤102中HTTP网关需要将发送到应用系统服务器的请求数据包拦截，并转发到核心服务器进行如步骤105的处理后再决定是否发送到应用系统服务器。

步骤1051，核心服务器重定向到统一安全管理管控系统的登录页面，进行同一安全管控系统单点登录（不再执行步骤1052及其以下步骤）。

具体而言，重定向登录页面后，需要访问的用户输入在统一安全管控系统服务器上的用户名、密码进行登录；登录之后，用户根据自己的用户权限，点击自己有权访问的应用系统，后台自动代填进行单点登录相应的应用系统服务器。

步骤1052，核心服务器验证用户登录凭证是否正确，如果验证用户登录凭证正确，则执行步骤1053；否则执行步骤1051。

用户登录凭证是加密的，由统一安全管控系统生成并加密的，所以首先进行解密验证，如果不能解密，认为不合法，直接得出验证用户登录凭证错误的结果，执行步骤1051；若可以解密，由于解密后的用户登录凭证中包含统一安全管控服务器用户信息id、访问的应用系统服务器id、应用系统服务器用户id、有效期等信息，核心服务器会将这些信息到数据库中进行有效性匹配，如果存在对应的记录，才认为验证用户登录凭证正确，执行步骤1053。

步骤1053，将登录请求数据包发送到访问的应用系统服务器进行登录。

步骤106，当确定的类型为功能访问请求数据包时，核心服务器从功能访问请求数据包中解析出用户登录凭证；

其中，用户登录凭证包括：统一安全管控用户id、访问的应用系统服务器id，应用系统服务器用户id。

步骤1061，核心服务器根据用户登录凭证在预存储的多个功能权限控制列表中查找对应的功能权限控制列表；

每个应用系统服务器都有一个功能权限控制列表，本实施例的方案中可在数据库(该数据库可以在核心服务器内，也可以存在于一个与核心服务器连接的数据库服务器上)中预存储的与核心服务器连接的所有应用系统服务器的功能权限控制列表，其中每个功能权限控制列表包括：应用系统服务器id，应用系统服务器用户id、权限id、权限URL、权限级别、是否可见。

步骤1062，核心服务器将从功能请求数据包中解析出访问的URL地址与对应的功能权限控制列表进行匹配，若匹配成功，则执行步骤1063；否则执行步骤1064；

具体而言，该步骤中核心服务器可先根据用户登录凭证中的访问的应用系统服务器id，应用系统服务器用户id查找到请求访问的应用系统服务器的功能权限控制列表；再将步骤104中解析出的URL地址与该查找到的对应应用系统服务器的功能权限控制列表中的权限URL进行匹配，若匹到权限URL中存在与从请求数据包中解析出的URL地址一致的URL地址，则确定匹配通过，执行步骤1063；否则确定匹配不通过，执行步骤1064。

步骤1063，将功能访问请求数据包发送到访问的应用系统服务器进行功能访问；

步骤1064，提示终端无权限进行功能访问。

本实施例提供中方法中，将需要有应用系统服务器进行的登录验证和功能访问权限验证转发到核心服务器进行，由核心服务器代替应用系统服务器对用户终端发送的请求进行验证，解决了现有技术中为了实现对每个应用系统服务器做统一登录、权限控制的目的造成的需要对每个应用系统服务器进行改进的技术问题，进而取得了在实现对每个应用系统服务器做统一登录、权限控制，无需对应用系统服务器进行改进，减少改造工作量的技术效果。

本发明实施例提供的上述方法中，虽然给出了执行各步骤的先后顺序，但是该顺序仅为本发明的一个优选的实施方式。显然，本领域技术人员根据上述方法可以对该方法步骤的执行顺序进行多种多样的等效变换，也就是说本发明实施例方法中的上述各步骤或部分步骤完全可以按照其他顺序执行，或者同时执行。例如：当同时接收到功能访问请求和登录请求时，同时执行步骤105-1053和步骤106-1064。因此上述方法描述的各步骤的执行顺序并仅限于实施例中所提供的一种方式。

实施例2

为了便于实施例1中的方法实现，本实施例提供一种基于重定向的WEB访问控制系统，如图4所示，包括：HTTP网关21和至少一个核心服务器22；

HTTP网关21，用于获取终端发送的访问应用系统服务器的请求数据包，并将该请求数据包转发到核心服务器22；

每个核心服务器22，用于根据从请求数据包中解析出的URL地址确定请求数据包的类型，并根据确定的类型对请求数据包的合法性进行验证，并将通过验证的请求数据包发送到访问的应用系统服务器。

优选方案中，每个核心服务器22，具体用于从请求数据包中解析出访问的URL地址，并将访问的URL地址与预存储的登录URL列表进行匹配，登录URL列表包括每个应用系统服务器的登录URL地址；若在登录URL列表中存在与访问的URL地址匹配的应用系统服务器的登录URL地址，则确定请求数据包的类型为登录请求数据包；否则确定请求数据的类型为功能访问请求数据包。

每个核心服务器22，具体用于当确定的类型为登录请求数据包时，分析登录请求数据包中是否包含统一安全管控服务器给予的用户登录凭证，若不包含用户登录凭证，则重定向到统一安全管理管控系统的登录页面；若包含用户登录凭证，则验证用户登录凭证是否正确；如果验证用户登录凭证正确，则将登录请求数据包发送到访问的应用系统服务器进行登录；否则重定向到统一安全管理管控系统的登录页面。

每个核心服务器22，具体用于当确定的类型为功能访问请求数据包时，从功能访问请求数据包中解析出用户登录凭证，并根据用户登录凭证在预存储的多个功能权限控制列表中查找对应的功能权限控制列表；将从功能请求数据包中解析出访问的URL地址与对应的功能权限控制列表进行匹配，若匹配成功，则将功能访问请求数据包发送到访问的应用系统服务器进行功能访问；否则提示终端无权限进行功能访问。

优选方案中，如图5所示，该系统还包括：数据库23，至少一个负载均衡器24。

数据库23，用于预存储登录URL列表和/或多个功能权限控制列表，其中，每个功能权限控制列表包括：应用系统服务器id，应用系统服务器用户id、权限id、权限URL、权限级别、是否可见。对应新上线的应用系统服务器，进行更新数据库中的URL列表和/或功能权限控制列表即可。

HTTP网关24，具体用于获取终端发送的访问应用系统服务器的请求数据包，并将该请求数据包转发负载均衡器24；每个负载均衡器24，用于将接收到请求数据包均匀的分配到每个核心服务器22。

本发明实施例提供的上述设备或装置等产品是属于以计算机程序的流程方法为依据，并按照与方法实施例1和/或附图中方法流程的各步骤完全对应一致的方式，所提供的功能模块。并且由于这种功能模块是通过计算机程序的方式实现的软件装置，所以对于系统实施例2未具体提及的功能模块，由于考虑到根据上述方法实施例记载的内容已经足够使本领域技术人员从方法记录的各流程步骤直接地、毫无意外地确定实现所述步骤所必须建立的功能模块，所以在此不赘述。

本发明的技术方案本质上或者说对现有技术做出贡献的部分是以软件产品的形式体现出来的功能，也即是说：本发明的装置、设备或者组成系统的各个设备其所执行的方法或实现的功能主体即便为硬件，但是实际上实现本发明上述功能的部分却是计算机软件产品的模块或单元。并且该计算机软件产品可存储在可读取的存储介质中，如计算机的软盘，硬盘或光盘等，包括若干指令用以使得一台设备执行本发明各个实施例所述的方法。

以上所述，仅为本发明的具体实施方式，但本发明能有多种不同形式的具体实施方式，上文结合附图对本发明做举例说明，这并不意味着本发明所应用的具体实施方式只能局限在这些特定的具体实施方式中，本领域的技术人员应当了解，上文所提供的具体实施方式只是多种优选实施方式中的一些示例，任何体现本发明权利要求的具体实施方式均应在本发明权利要求所要求保护的范围之内；本领域的技术人员能够对上文各具体实施方式中所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换。凡在本发明的精神和原则之内，所作的任何修改、等同替换或者改进等，均应包含在本发明权利要求的保护范围之内。

Claims

1.一种基于重定向的WEB访问控制方法，其特征在于，包括：

2.根据权利要求1所述的方法，其特征在于，所述核心服务器根据从所述请求数据包中解析出的URL地址确定所述请求数据包的类型，具体包括：

所述核心服务器从所述请求数据包中解析出访问的URL地址，并将所述访问的URL地址与预存储的登录URL列表进行匹配，所述登录URL列表包括每个应用系统服务器的登录URL地址；

若在所述登录URL列表中存在与所述访问的URL地址匹配的应用系统服务器的登录URL地址，则确定所述请求数据包的类型为登录请求数据包；否则确定所述请求数据的类型为功能访问请求数据包。

3.根据权利要求2所述的方法，其特征在于，所述核心服务器根据确定的类型对所述请求数据包的合法性进行验证，并将通过验证的请求数据包发送到所述访问的应用系统服务器，具体包括：

当所述确定的类型为登录请求数据包时，所述核心服务器分析所述登录请求数据包中是否包含所述统一安全管控服务器给予的用户登录凭证，若不包含所述用户登录凭证，则重定向到所述统一安全管理管控系统的登录页面；若包含所述用户登录凭证，则验证所述用户登录凭证是否正确；

如果验证所述用户登录凭证正确，则将所述登录请求数据包发送到到所述访问的应用系统服务器进行登录；否则重定向到所述统一安全管理管控系统的登录页面。

4.根据权利要求2所述的方法，其特征在于，所述核心服务器根据确定的类型对所述请求数据包的合法性进行验证，并将通过验证的请求数据包发送到所述访问的应用系统服务器，具体包括：

当所述确定的类型为功能访问请求数据包时，所述核心服务器从所述功能访问请求数据包中解析出用户登录凭证，并根据所述用户登录凭证在预存储的多个功能权限控制列表中查找对应的功能权限控制列表；

所述核心服务器将从所述功能请求数据包中解析出访问的URL地址与所述对应的功能权限控制列表进行匹配，若匹配成功，则将所述功能访问请求数据包发送到所述访问的应用系统服务器进行功能访问；否则提示所述终端无权限进行功能访问。

5.根据权利要求4所述的方法，其特征在于，所述用户登录凭证包括：统一安全管控用户id、访问的应用系统服务器id，应用系统服务器用户id；预存储的每个功能权限控制列表包括：应用系统服务器id，应用系统服务器用户id、权限id、权限URL、权限级别、是否可见；所述预存储的登录URL列表和/或所述预存储的多个功能权限控制列表存储在数据库中。

6.一种基于重定向的WEB访问控制系统，其特征在于，包括：HTTP网关和至少一个核心服务器；

7.根据权利要求6所述的系统，其特征在于，

每个所述核心服务器，具体用于从所述请求数据包中解析出访问的URL地址，并将所述访问的URL地址与预存储的登录URL列表进行匹配，所述登录URL列表包括每个应用系统服务器的登录URL地址；若在所述登录URL列表中存在与所述访问的URL地址匹配的应用系统服务器的登录URL地址，则确定所述请求数据包的类型为登录请求数据包；否则确定所述请求数据的类型为功能访问请求数据包。

8.根据权利要求7所述的系统，其特征在于，

每个所述核心服务器，具体用于当所述确定的类型为登录请求数据包时，分析所述登录请求数据包中是否包含所述统一安全管控服务器给予的用户登录凭证，若不包含所述用户登录凭证，则重定向到所述统一安全管理管控系统的登录页面；若包含所述用户登录凭证，则验证所述用户登录凭证是否正确；如果验证所述用户登录凭证正确，则将所述登录请求数据包发送到到所述访问的应用系统服务器进行登录；否则重定向到所述统一安全管理管控系统的登录页面。

9.根据权利要求7所述的方法，其特征在于，

每个所述核心服务器，具体用于当所述确定的类型为功能访问请求数据包时，从所述功能访问请求数据包中解析出用户登录凭证，并根据所述用户信息在预存储的多个功能权限控制列表中查找对应的功能权限控制列表；将从所述功能请求数据包中解析出访问的URL地址与所述对应的功能权限控制列表进行匹配，若匹配成功，则将所述功能访问请求数据包发送到所述访问的应用系统服务器进行功能访问；否则提示所述终端无权限进行功能访问。

10.根据权利要求9所述的系统，其特征在于，该系统还包括：数据库，

所述数据库，用于预存储登录URL列表和/或所述多个功能权限控制列表，其中，每个功能权限控制列表包括：应用系统服务器id，应用系统服务器用户id、权限id、权限URL、权限级别、是否可见。

11.根据权利要求6-10中任意一项所述的系统，其特征在于，该系统还包括：至少一个负载均衡器，

所述HTTP网关，具体用于获取终端发送的访问应用系统服务器的请求数据包，并将该请求数据包转发所述负载均衡器；

所述负载均衡器，用于将接收到请求数据包均匀的分配到每个核心服务器。