CN104640114B - 一种访问请求的验证方法及装置 - Google Patents

Abstract

本发明提供了一种访问的验证方法及装置；方法包括：S101、第一网络设备拦截客户端对业务平台的请求，当该请求为登录验证请求时进行步骤S102；当该请求为访问后台资源的请求时进行S103；S102、所述第一网络设备在第二网络设备保存的历史数据中查询是否存在IP地址及检索标识与所述请求均匹配的记录；如果存在则将所述请求的IP地址作为客户端的初始IP地址保存；所述历史数据是从GGSN的Gn口采集的所述客户端的IP地址及对应的检索标识；S103、所述第一网络设备判断客户端的IP地址和所保存的初始IP地址是否相同；如果相同则允许访问后台资源。本发明能够便捷、可靠地验证客户端是否是通过移动网络发起的访问。

Description

一种访问请求的验证方法及装置

技术领域

本发明涉及通信领域，尤其涉及一种访问的验证方法及装置。

背景技术

近年来随着3G的普及和4G网络的开展，运营商为用户提供了更大的接入带宽，以及更多的流量套餐。然而对于很多只是收看网络新闻和使用即时通信软件的用户来说，每个月往往都会剩余很多流量用不掉，造成了通信资费的浪费。针对这个情况，目前就有虚拟运营商提出了流量寄存的服务，引起市场很大反响。

为了鼓励用户积极利用月末剩余流量，运营商可以提供基于移动网络的音乐下载、互动游戏、电子书下载、浏览广告抽奖等多种带有奖励性质的服务，从而改善用户体验，缓解来自虚拟运营商的竞争压力。

基于上述场景的后台服务，首先要解决的一个问题就是如何确定用户是通过移动网络发起的请求，而不是为了骗取优惠条件通过wifi或者固网发起的仿冒请求。

传统对于用户请求网络类型的认证方式大体上可以分为，通过IP地址段匹配的方法，以及对手机客户端进行身份验证的方法。

其中基于IP地址匹配的方法，需要后台服务器保留一张运营商提供的移动网络的IP地址规划表，当收到客户端请求后，通过在这张静态表中检索来判断用户是否是通过移动网络在访问后台应用。该方法需要运营商在网络规划时根据不同的网络类型分配不同的地址段，对于新的网络类型需要提前预留地址段，造成了IP地址的浪费，缺乏可扩展性。而且业务平台为了保证匹配的准确性，需要根据运营商各地IP地址规划的变动，经常更新IP地址段表，这样在系统维护上需要投入更多的精力。另外该方式缺乏精确性，如果某段地址下存在VPN(虚拟专用网络)代理服务器，用户完全可以通过固网登录代理服务器的方式绕开验证。

对手机客户端进行身份验证的方法是在用户发起请求的源头上进行验证，需要手机客户端在认证阶段主动提交诸如所在网络类型、IMSI(国际移动用户识别码)、IMEI(移动设备国际身份码)等终端身份标识信息，后台服务器再通过解密获得这些信息后，同后台数据库保存的记录进行比对，通过确定用户身份来间接确定用户的访问网络类型。该方法需要客户端软件来主动提交所在网络类型，或者是IMSI、IMEI等身份认证信息，该方法对终端的约束性较差，用户可以通过提交自己伪造的相关信息来进行登录。另外，对于某些安全级别比较高的后台资源，每次访问都需要单独认证用户请求网络类型，该方法因为需要提交大量加密认证信息，所以在访问过程必然会增加用户的流量消耗和响应的等待时长。

发明内容

本发明要解决的技术问题是如何便捷、可靠地验证客户端是否是通过移动网络发起的访问。

为了解决上述问题，本发明提供了一种访问的验证方法，包括：

S101、第一网络设备拦截客户端对业务平台的请求，当该请求为登录验证请求时进行步骤S102；当该请求为访问后台资源的请求时进行S103；

S102、所述第一网络设备在第二网络设备保存的历史数据中查询是否存在IP地址及检索标识与所述请求均匹配的记录；如果存在则将所述请求的IP地址作为所述客户端的初始IP地址保存；所述历史数据是从GGSN的Gn口采集的所述客户端的IP地址及对应的检索标识；

S103、所述第一网络设备判断客户端的IP地址和所保存的初始IP地址是否相同；如果相同则允许访问后台资源。

可选地，所述步骤S102前还包括：

所述第一网络设备判断所述请求中是否携带检索标识，如果携带则进行所述步骤S102，如果未携带则将随机生成的检索标识添加到当前的统一资源定位器URL地址的最后，并指示所述客户端重新访问修改后的URL地址；返回步骤S101。

可选地，所述第一网络设备将所述初始IP地址保存在所述客户端对应的会话标识中。

可选地，所述历史数据中还包括所述客户端对应的手机号码；

所述步骤S102还包括：

当存在IP地址及检索标识与所述请求均匹配的记录时，所述第一网络设备保存所述历史数据中所述客户端对应的手机号码。

可选地，所述第二网络设备为NET取号平台。

本实施例还提供了一种访问的验证装置，设置于提供业务平台的第一网络设备中，包括：

拦截模块、登录验证处理模块、访问处理模块；

所述拦截模块用于拦截客户端对业务平台的请求，当该请求为登录验证请求时发送给所述登录验证处理模块；当该请求为访问后台资源的请求时发送给所述访问处理模块；

所述登录验证处理模块用于在第二网络设备保存的历史数据中查询是否存在IP地址及检索标识与所述请求均匹配的记录；如果存在则将所述请求的IP地址作为所述客户端的初始IP地址保存；所述历史数据是从GGSN的Gn口采集的所述客户端的IP地址及对应的检索标识；

所述访问处理模块用于判断客户端的IP地址和所保存的初始IP地址是否相同；如果相同则允许访问后台资源。

可选地，所述登录验证处理模块还用于先判断所述请求中是否携带检索标识，仅当携带时才进行在第二网络设备保存的历史数据中查询的操作，当未携带时将随机生成的检索标识添加到当前的统一资源定位器URL地址的最后，并指示所述客户端重新访问修改后的URL地址。

可选地，所述登录验证处理模块将所述初始IP地址保存在所述客户端对应的会话标识中。

可选地，所述历史数据中还包括所述客户端对应的手机号码；

所述登录验证处理模块当存在IP地址及检索标识与所述请求均匹配的记录时，还用于保存所述历史数据中所述客户端对应的手机号码。

可选地，所述登录验证处理模块通过NET取号平台查询所述历史数据。

本发明在登录认证阶段自动提取客户端在移动网络下的初始IP地址，并保存作为判别依据，不需要客户端提交额外认证信息，减少了用户的流量消耗和等待时间；本发明在登录验证阶段保存的初始IP地址是和在GGSN的Gn口采集的历史数据匹配过的，所以本发明获得初始IP地址的可信度更高；且由于用来验证的IP地址来自于实际登录的历史数据，因此无须运营商预留IP地址段或更新IP地址段。另外本发明针对每次请求单独进行验证，对比现有方法安全性上更高。

附图说明

图1为实施例一的一种访问的验证方法的流程示意图；

图2为实施例一的例子的流程示意图；

图3为实施例二的例子涉及的功能实体的交互示意图。

具体实施方式

下面将结合附图及实施例对本发明的技术方案进行更详细的说明。

需要说明的是，如果不冲突，本发明实施例以及实施例中的各个特征可以相互结合，均在本发明的保护范围之内。另外，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

实施例一、一种访问的验证方法，如图1所示，包括：

S101、第一网络设备拦截客户端对业务平台的请求，当该请求为登录验证请求时进行步骤S102；当该请求为访问后台资源的请求时进行S103；

S102、所述第一网络设备在第二网络设备保存的历史数据中查询是否存在IP地址及检索标识与所述请求均匹配的记录；如果存在则将所述请求的IP地址作为所述客户端的初始IP地址保存；所述历史数据是从GGSN的Gn口采集的所述客户端的IP地址及对应的检索标识；

S103、所述第一网络设备判断客户端的IP地址和所保存的初始IP地址是否相同；如果相同则允许访问后台资源。

步骤S103中，不相同时可以要求客户端重新通过移动网络登录，从而对不是通过移动网络进行的访问进行有效拦截。

本实施例的一种实施方式中，所述步骤S102前还可以包括：

所述第一网络设备判断所述请求中是否携带检索标识，如果携带则进行所述步骤S102，如果未携带则将随机生成的检索标识添加到当前的统一资源定位器URL地址的最后，并指示所述客户端重新访问修改后的URL地址；返回步骤S101。

本实施方式中，所述检索标识unikey的格式可以按照系统的要求自行定义，可以为32位16进制的随机数；可以由第一网络设备随机生成unikey，也可以由第一网络设备通知客户端生成unikey，客户端生成unikey后发给第一网络设备。

本实施方式中，当客户端根据修改后的URL地址重新请求登录验证时，所述第二网络设备将从GGSN的Gn口采集到客户端的IP地址及检索标识(从URL地址的最后截取得到)，并对应保存在所述历史数据中。

本实施例的一种实施方式中，所述第一网络设备可以但不限于将所述初始IP地址保存在所述客户端对应的会话标识中。

本实施例中，所述历史数据中还可以包括所述客户端对应的手机号码；

所述步骤S102还可以包括：

当存在IP地址及检索标识与所述请求均匹配的记录时，所述第一网络设备保存所述历史数据中所述客户端对应的手机号码。

本实施例中，首先自动提取客户端登录验证阶段的初始IP地址，通过与GGSN的Gn口采集的历史数据比对来验证这个初始IP地址是否是移动网络分配的。对该客户端的后续的访问请求进行拦截，用初始IP地址作为判断条件，分析IP地址是否发生变化，来验证客户端的网络类型是否发生改变，从而判别访问请求是否来自移动网络，并针对移动网络用户提供后台服务。在这个过程中，无需用户输入信息，可以全部由系统自动完成，在保证验证准确性的前提上，大大提高了验证的速度和系统的安全性。

本实施例需要客户端，第一、第二网络设备互相交互，必须保证三者之间的网络通信成功。验证的最终结果是能够确定客户端发起的访问请求是通过移动网络，并进而可以对通过wifi、固网的访问请求进行拦截。在这个基础上，运营商可以为用户开发基于流量消费的多种手机客户端软件，例如提供下载音乐、电子书、互动游戏、看广告视频抽奖等服务。本实施例可以用于基于流量消费的手机客户端软件的后台请求验证。

本实施例的一种实施方式中，所述第二网络设备可以但不限于为NET取号平台，可以包括用于从GGSN的Gn口采集历史数据的省分节点，和用于查询的总部查询节点。

其它实施方式中，只要是可以在移动网络网元中记录包含特定标识数据包的系统，都可以实现所述第二网络设备的功能。

本实施例的一个具体例子如图2所示，包括：

201、第一网络设备对所有客户端对业务平台发起的请求进行拦截，判断客户端请求是要访问后台资源还是要进行登录验证，如果是登录验证则进行202，如果是访问则进行206。

202、第一网络设备首先判断客户端请求时否携带检索标识unikey，如携带说明已不是第一次的登录验证请求，进行203；如未携带则通过随机算法生成32位16进制的unikey，将该unikey添加到当前地址的末尾(例如www.sipo.gov.cn？unikey＝xxxxx)，然后通过URL重定向的方式让客户端重新访问修改后的URL地址。返回201。

203、第一网络设备从所述请求的http头信息中分离出unikey和客户端的IP地址，其中客户端的请求可能是经过多级反向代理服务器发起的，所以要获得真实IP地址的话，需要对头信息中的x-forwarded-for字段进行多级判断，直到找到最初的真实访问IP为止。

204、第一网络设备用获得的unikey和IP地址作为参数，调用NET取号平台(或其它具有所述历史数据的网络设备)的查询接口进行查询。NET取号平台按照unikey＝xxxx并且IP＝xxx的搜索条件去后台数据库检索是否有省分采集节点上传的相关记录，如果查询到则证明客户端是通过移动网络发起的请求，因为NET取号平台只会记录通过移动网络发起的请求，向第一网络设备返回客户端上网时的11位手机号码，进行205；没有的话则返回数字0，第一网络设备向客户端返回重新通过移动网络登录的提示信息，结束。

205、对于先前提取到的访问IP可以确信是客户端附着到移动网络以后，在SGSN侧为其动态分配的互联网访问IP。第一网络设备把这个IP地址作为初始IP地址保存到用户会话对象中，作为今后校验用户网络是否发生改变的凭证。结束。

206、第一网络设备将提取到的请求访问IP同用户会话对象中保存的初始IP地址进行比较，如果相同则证明用户网络环境没有改变，可以将请求转发至后续具体请求资源，结束。如果不同，则提示客户端通过移动网络重新登录，结束。

在用户登录以后，因为在IP网络层面传统的以sessionID为基础的登录模式，只能确定发起访问的用户身份，并不能区别用户发起请求的所在网络类型，所以即使用户后来切换到wifi环境下，一样可以继续访问后台服务。所以在本例子中，对于登录以后的访问请求还需要通过过滤器进行拦截，从中提取真实的访问IP地址进行验证。

实施例二、一种访问的验证装置，设置于提供业务平台的第一网络设备中，包括：

拦截模块、登录验证处理模块、访问处理模块；

所述拦截模块用于拦截客户端对业务平台的请求，当该请求为登录验证请求时发送给所述登录验证处理模块；当该请求为访问后台资源的请求时发送给所述访问处理模块；

所述登录验证处理模块用于在第二网络设备保存的历史数据中查询是否存在IP地址及检索标识与所述请求均匹配的记录；如果存在则将所述请求的IP地址作为所述客户端的初始IP地址保存；所述历史数据是从GGSN的Gn口采集的所述客户端的IP地址及对应的检索标识；

所述访问处理模块用于判断客户端的IP地址和所保存的初始IP地址是否相同；如果相同则允许访问后台资源。

本实施例的一种实施方式中，所述登录验证处理模块还用于先判断所述请求中是否携带检索标识，仅当携带时才进行在第二网络设备保存的历史数据中查询的操作，当未携带时将随机生成的检索标识添加到当前的统一资源定位器URL地址的最后，并指示所述客户端重新访问修改后的URL地址。

本实施例的一种实施方式中，所述登录验证处理模块将所述初始IP地址保存在所述客户端对应的会话标识中。

本实施例的一种实施方式中，所述历史数据中还包括所述客户端对应的手机号码；

所述登录验证处理模块当存在IP地址及检索标识与所述请求均匹配的记录时，还用于保存所述历史数据中所述客户端对应的手机号码。

本实施例的一种实施方式中，所述登录验证处理模块通过NET取号平台查询所述历史数据。

下面用本实施例的一个例子加以具体说明，该例子中，以NET取号平台作为所述第二网络设备，所述验证装置运行在针对流量消费软件提供服务的业务平台上；该例子涉及的几部分功能实体如图3所示，包括：

手机客户端：主要指针对用户流量进行消费的定制化的手机客户端软件，例如使用手机流量下载正版音乐、电子书以及在线观看视频等客户端软件。主要功能是在通过业务平台的认证之后，从业务平台下载相关资源，在本地进行播放、浏览等。

验证装置：是构建在针对流量消费软件提供服务的业务平台之上，和手机客户端通过网络进行交互；主要功能是对客户端发起请求的网络类型进行验证，对于不合法的请求进行拦截。该验证装置在客户端登录认证阶段，会判断客户端初次请求是否携带请求检索标识unikey，如未携带则通过URL重写的方式(业务平台URL+unikey)让手机客户端重新发起访问。第二次访问时该unikey会被部署在GGSN节点上的NET取号平台省分采集点发现，从而在NET取号平台上记录一次该手机终端的访问历史，包括手机号码、手机客户端移动上网分配到的IP地址、unikey，3者建立关系，然后汇总保存到NET取号平台总部节点；当所述请求携带unikey时，该验证装置可以从NET取号平台总部节点获得客户端的初始IP地址并保存。在客户端访问服务的阶段，该验证装置通过比较客户端当前的IP地址和初始IP地址是否相同，来验证客户端是否通过移动网络访问服务。其中，unikey是一个32位随机生成的数字，主要用来标识用户的一次网络请求。

NET取号平台：主要功能是为其他业务平台提供使用手机上网用户的手机号码查询接口。从而在所有需要输入短信验证码的场景中，可以无需人工干预的鉴权手机号码，提升用户体验水平，在图3中的NET取号平台特指该平台的总部查询节点。

NET取号平台省分采集点：是指NET取号平台的省分节点，主要功能是在各省的GGSN节点上分析上网IP数据包，对于携带unikey参数的数据包则记录其相关信令数据，包括手机号码、IP地址、unikey等，将记录信息上传总部查询节点。

本领域普通技术人员可以理解上述方法中的全部或部分步骤可通过程序来指令相关硬件完成，所述程序可以存储于计算机可读存储介质中，如只读存储器、磁盘或光盘等。可选地，上述实施例的全部或部分步骤也可以使用一个或多个集成电路来实现。相应地，上述实施例中的各模块/单元可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。本发明不限制于任何特定形式的硬件和软件的结合。

当然，本发明还可有其他多种实施例，在不背离本发明精神及其实质的情况下，熟悉本领域的技术人员当可根据本发明作出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明的权利要求的保护范围。

Claims (6)

1.一种访问的验证方法，包括：

S101、第一网络设备拦截客户端对业务平台的请求，当该请求为登录验证请求时进行步骤S102；当该请求为访问后台资源的请求时进行S103；

S102、所述第一网络设备在第二网络设备保存的历史数据中查询是否存在IP地址及检索标识与所述请求均匹配的记录；如果存在则将所述请求的IP地址作为所述客户端的初始IP地址保存；所述历史数据是从GGSN的Gn口采集的所述客户端的IP地址及对应的检索标识；

S103、所述第一网络设备判断客户端的IP地址和所保存的初始IP地址是否相同；如果相同则允许访问后台资源；

所述步骤S102前还包括：

所述第一网络设备判断所述登录验证请求中是否携带检索标识，如果携带则进行所述步骤S102，如果未携带则将随机生成的检索标识添加到当前的统一资源定位器URL地址的最后，并指示所述客户端重新访问修改后的URL地址；返回步骤S101；

其中，所述第二网络设备为NET取号平台。

2.如权利要求1所述的方法，其特征在于：

所述第一网络设备将所述初始IP地址保存在所述客户端对应的会话标识中。

3.如权利要求1所述的方法，其特征在于：

所述历史数据中还包括所述客户端对应的手机号码；

所述步骤S102还包括：

当存在IP地址及检索标识与所述请求均匹配的记录时，所述第一网络设备保存所述历史数据中所述客户端对应的手机号码。

4.一种访问的验证装置，设置于提供业务平台的第一网络设备中，其特征在于，包括：

拦截模块、登录验证处理模块、访问处理模块；

所述拦截模块用于拦截客户端对业务平台的请求，当该请求为登录验证请求时发送给所述登录验证处理模块；当该请求为访问后台资源的请求时发送给所述访问处理模块；

所述登录验证处理模块用于在第二网络设备保存的历史数据中查询是否存在IP地址及检索标识与所述请求均匹配的记录；如果存在则将所述请求的IP地址作为所述客户端的初始IP地址保存；所述历史数据是从GGSN的Gn口采集的所述客户端的IP地址及对应的检索标识；

所述访问处理模块用于判断客户端的IP地址和所保存的初始IP地址是否相同；如果相同则允许访问后台资源；

所述登录验证处理模块还用于先判断所述登录验证请求中是否携带检索标识，仅当携带时才进行在第二网络设备保存的历史数据中查询的操作，当未携带时将随机生成的检索标识添加到当前的统一资源定位器URL地址的最后，并指示所述客户端重新访问修改后的URL地址；

其中，所述登录验证处理模块通过NET取号平台查询所述历史数据。

5.如权利要求4所述的装置，其特征在于：

所述登录验证处理模块将所述初始IP地址保存在所述客户端对应的会话标识中。

6.如权利要求4所述的装置，其特征在于：

所述历史数据中还包括所述客户端对应的手机号码；

所述登录验证处理模块当存在IP地址及检索标识与所述请求均匹配的记录时，还用于保存所述历史数据中所述客户端对应的手机号码。