CN105141642A - 一种防止非法用户行为的方法及装置 - Google Patents

Abstract

本发明公开了一种防止非法用户行为的方法即装置。所述方法包括：接收用户访问入口页面的请求，初始化所述用户的用户状态信息，并返回所述入口页面；接收用户在所述入口页面中的交互请求，判断所述用户是否非法，若是则进入异常处理流程，否则向用户返回验证码页面，并刷新用户的用户状态信息；接收用户输入的验证码信息，判断所述用户是否非法，若是则进入异常处理流程，否则根据验证码信息进行校验，校验成功后向用户返回对应的活动页面，并刷新用户的用户状态信息；接收用户在所述活动页面中的交互请求，判断所述用户是否非法，若是则进入异常处理流程，否则允许用户完成交互过程。

Description

一种防止非法用户行为的方法及装置

技术领域

本发明涉及互联网技术领域，尤其涉及一种防止非法用户访问页面的方法及装置。

背景技术

随着网络技术的不断发展，越来越多的用户通过网络进行信息交流、购物等。网络的无限潜力也让非法用户乘机潜入，他们高频度访问网络服务器，甚至通过机器人访问占用网站资源，影响正常用户的访问，降低了用户体验，在访问流量大的情况下，机器人的高频度访问甚至会导致网站瘫痪，影响网站的正常运作。

另外，对于访问网站的一些特殊用户行为，如为了获得有限的资源，需要比拼访问速度，即最先通过网站提供的按钮进入网站的用户可以获得优先获取的资格，这种情况下，机器人更是占有绝对优势。

为了提高网站的可靠度，提高正常用户体验，防止机器人高频度非法访问网站，目前通常采用验证码来阻止机器人访问网站，其具体内容为：首先，在响应用户请求的行为之前，向用户提供输入界面，要求用户输入系统给出的验证码。然后，将用户输入的验证码与系统给出的验证码进行匹配，若匹配成功，表示该用户行为不是通过机器人方式执行用户行为，因此该用户请求的用户行为将被响应；若匹配不成功，表示该用户行为可能是通过机器人方式执行用户行为，需要重新给出验证码，要求用户输入重新给出的验证码，直至验证码匹配成功才响应用户请求的行为，否则，不响应用户请求的行为。

针对验证码这种方式，机器人采用算法自动匹配验证码的方式进行破解。在抢占网站有限的资源时候，为了缩短时间，机器人一般会封装好数据，在活动开始的时候，不需要打开入口页的情况下，直接提交数据，这样相比普通用户的正常访问流程，缩短入口页渲染的时间，速度优势比较明显；加入验证码的流程，只有验证码校验通过，才可以继续后续流程，但是一般的方案中，验证码的校验和后续流程是线性非耦合的，系统判断校验成功就允许进行后续流程，这个时候，机器人可以采用并行的方式来破解系统，校验交互和提交数据同时进行，这样相对于普通用户输入完验证码之后继续后来操作，速度优势更加明显。

发明内容

基于上述问题，本发明提出了一种为防止非法用户行为的方法及装置。

根据本发明一方面，其提供了一种防止非法用户行为的方法，其包括：

接收用户访问入口页面的请求，初始化所述用户的用户状态信息，并返回所述入口页面；

接收用户在所述入口页面中的交互请求，判断所述用户是否非法，若是则进入异常处理流程，否则向用户返回验证码页面，并刷新用户的用户状态信息；

接收用户输入的验证码信息，判断所述用户是否非法，若是则进入异常处理流程，否则根据验证码信息进行校验，校验成功后向用户返回对应的活动页面，并刷新用户的用户状态信息；

接收用户在所述活动页面中的交互请求，判断所述用户是否非法，若是则进入异常处理流程，否则允许用户完成交互过程。

根据本发明另一方面，其提供了一种防止非法用户行为的装置，其包括：

入口访问模块，用于接收用户访问入口页面的请求，初始化所述用户的用户状态信息，并返回所述入口页面；

交互模块，用于接收用户在所述入口页面中的交互请求，判断所述用户是否非法，若是则进入异常处理流程，否则向用户返回验证码页面，并刷新用户的用户状态信息；

验证模块，用于接收用户输入的验证码信息，判断所述用户是否非法，若是则进入异常处理流程，否则根据验证码信息进行校验，校验成功后向用户返回对应的活动页面，并刷新用户的用户状态信息；

行为发起模块，用于接收用户在所述活动页面中的交互请求，判断所述用户是否非法，若是则进入异常处理流程，否则允许用户完成交互过程。

本发明公开的上述方案有效的降低了机器人对网页的恶意访问，防止网站提供的有限资源被机器人恶意占用，并破坏网站的稳定性。本发明通过对活动的各个流程环环相扣，有效阻挡跨步访问或者并发同步访问的问题，用户只能通过活动入口，一步一步完成交互。

附图说明

图1是本发明中防止非法用户行为的方法流程图；

图2是本发明中防止非法用户行为的模块框图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明白，以下结合具体实施例，并参照附图，对本发明作进一步的详细说明。

本发明提供了一种防止非法用户行为的方法，如图1所示，该方法包括：

步骤101：接收用户访问入口页面的请求，初始化所述用户的状态信息，并返回所述入口页面；

步骤102：接收所述用户在所述入口页面中的交互请求，确定所述用户是否为非法用户，若是则进入异常处理流程，否则返回验证码页面，并刷新所述用户的状态信息；

步骤103：接收所述用户的验证码，判断所述用户是否为非法用户，若是则进入异常处理流程，否则根据验证码信息进行校验，校验成功后向所述用户返回对应的活动页面，并刷新所述用户的状态信息；

步骤104：接收所述用户在所述活动页面中的交互请求，判断所述用户是否非法，若是则进入异常处理流程，否则允许用户完成交互过程。

上述方法中，用户的状态可利用会话记录或者服务器端进行保存。例如，用户状态可通过cookie保存。

可选地，所述用户的状态包括：用户名，用户访问的页面标识，第一次访问时间，上次访问时间，访问状态码等。用户名可以为用户在所访问的网站注册的用户ID，用户访问的入口页面标识可以是该页面的ID或者该页面的内容ID，如商品编号等；所述访问状态码用于标识用户是否为非法用户，如是否为机器人等。优选地，本发明中访问状态码为0标识该用户是非法用户，如机器人用户，访问状态码为1表示合法用户，状态码为2表示为经过验证码校验的合法用户。

在步骤101中，用户访问所述入口页面时，服务器端会接收到用户的访问请求。服务器端根据访问请求初始化其用户状态，初始的访问状态码为1，用户名为用户提交访问请求时携带的用户名，用户访问的入口页面标识为用户所要访问的入口页面的标识，第一次访问时间为当前时间，上次访问时间初始化为0。

具体地，在接收到用户访问所述入口页面的请求后，服务器端首先初始化所述用户的状态并保存，然后返回用户所请求的所述入口页面。

而在后续的交互过程中，每次都需要对用户状态进行判断，以确定用户是否为非法用户。所述用户的用户状态保存在页面对应的cookie中，或者保存在服务器端；服务器端可以通过比较cookie或服务器端保存的用户状态，来判断用户是否非法。本发明提供的上述方法中，各个步骤中用于判断用户是否非法的方式不同。

步骤102中，用户如果在所述入口页面中通过点击相应内容发起用户行为如访问特定页面时，服务器端接收到对应于该用户行为的交互请求，先进行用户是否非法的判断。以cookie为例，本步骤中具体判断规则如下：

如果没有对应的cookie，则认定该用户为合法用户；例如，如果该用户从未访问过该页面，而直接发起访问特定页面的请求时，其没有对应的cookie，因此认定该用户为合法用户；

如果有对应的cookie，且发起访问请求的用户和cookie中的用户不一致；或者有对应的cookie，此次访问的页面信息和cookie中的页面信息不一致；或者有对应的cookie，且cookie中状态码为0；以上几种情况，均认为所述用户为非法用户。

上述非法用户的判断中，如果有对应的cookie，且发起访问请求的用户和cookie中的用户不一致，则说明在同一浏览器上使用了不同的用户名访问所述特定页面。而对于一些限制资源，网站限定同一个用户只能获取一次机会，如果通过同一浏览器通过切换不同的用户名多次获取所述限制资源，则认为是非法用户。

如果有对应的cookie，此次访问的页面信息和cookie中的页面信息不一致，则说明同一个用户名通过切换到不同的浏览器上获取同一限制资源，这种情况也会被认为是非法用户。

如果cookie中状态码为0，则说明该用户名已经被标记为非法用户。

在上述过程中，一旦判定所述用户非法，则更新用户状态，将其状态码置为0，而其他信息不变。

上述步骤中，用户判定合法后，进入正常的交互过程，并刷新用户状态，刷新用户的上次访问时间，将其状态码加1，重新种植cookie，即将其更新为可用的值。

该步骤中，验证用户合法性之后，如果判定用户为合法用户，则会向用户返回一验证码页面；如果判定为非法用户，则进入异常处理阶段。

在步骤103中，用户需要根据验证码页面上的验证码图片输入验证码。服务器端接收到用户输入的验证码之后，也需要对用户进行合法性验证，这是为了防止恶意用户攻击验证码服务，如机器人刷新输入验证码的情况。以cookie为例，本步骤中的具体判断规则如下：

如果有对应的cookie，且发送验证码的用户与cookie中的用户一致(具体可根据用户名进行判断)，此次访问的页面信息和cookie中的页面信息一致，cookie中的状态码为1或2，则认为该用户为合法用户。这种情况主要是防止恶意用户跳过上一步骤即102步骤对用户合法性验证，而直接访问验证码页面的情形。

如果没有对应的cookie；或者有对应的cookie，且发送验证码的用户和cookie中的用户不一致；或者有对应的cookie，此次访问的页面信息和cookie中的页面信息不一致；或者有对应的cookie，且cookie中状态码为0；以上几种情况，均认为所述用户为非法用户。

在上述过程中，一旦判定所述用户非法，则更新用户状态，将其状态码置为0，而其他信息不变。

上述步骤中，用户判定合法后，进入正常的验证过程，如果验证失败，则只更新用户上次访问时间，重新种植cookie，并重新返回验证码页面；如果验证成功，则刷新用户状态，刷新用户的上次访问时间，将其状态码加1，重新种植cookie，之后为用户返回对应于其在入口页面发起行为的活动页面。

该步骤中，如果用户验证为非法用户，则进入异常处理步骤。

在步骤104中，如果用户通过接收到的所述活动页面发起具体行为请求，服务器端接收到所述行为请求之后，先进行用户是否非法的判断。依然以cookie为例，本步骤中具体判断规则如下：

如果有对应的cookie，且发起行为请求的用户与cookie中的用户一致(具体可根据用户名进行判断)，此次访问的页面信息和cookie中的页面信息一致，cookie中的状态码为2，则认为该用户为合法用户。

如果没有对应的cookie；或者有对应的cookie，且发起访问请求的用户和cookie中的用户不一致；或者有对应的cookie，此次访问的页面信息和cookie中的页面信息不一致；或者有对应的cookie，且cookie中状态码为0；以上几种情况，均认为所述用户为非法用户。

该步骤中，如果判断用户为合法用户，则根据用户的行为请求，完成具体的行为，并删除用户状态信息；如果用户为非法用户，则进入异常处理步骤。

本发明的上述方法中，所述异常处理步骤可根据实际情况进行设置，如拒绝非法用户的任何操作行为，将非法用户添加至黑名单，将非法用户对应的IP地址、设备号等均添加至黑名单等等。

依据上述方法，本发明还提供了本发明提供了一种防止非法用户行为的装置，如图1所示，该装置包括：

入口访问模块，用于接收用户访问入口页面的请求，初始化所述用户的状态信息，并返回所述入口页面；

交互模块，用于接收所述用户在所述入口页面中的交互请求，确定所述用户是否为非法用户，若是则进入异常处理流程，否则返回验证码页面，并刷新所述用户的状态信息；

验证模块，用于接收所述用户的验证码，判断所述用户是否为非法用户，若是则进入异常处理流程，否则向所述用户对应的活动页面，并刷新所述用户的状态信息；

行为发起模块，用于接收所述用户在所述活动页面中的交互请求，判断所述用户是否非法，若是则进入异常处理流程，否则完成事件行为过程。

该装置中，用户的状态可利用会话记录或者服务器端进行保存。例如，用户状态可通过cookie保存。

可选地，所述用户的状态包括：用户名，用户访问的页面标识，第一次访问时间，上次访问时间，访问状态码等。用户名可以为用户在所访问的网站注册的用户ID，用户访问的入口页面标识可以是该页面的ID或者该页面的内容ID，如商品编号等；所述访问状态码用于标识用户是否为非法用户，如是否为机器人等。优选地，本发明中访问状态码为0标识该用户是非法用户，如机器人用户，访问状态码为1或2表示正常用户。

通过入口访问模块，用户访问所述入口页面，服务器端会接收到用户的访问请求。服务器端根据访问请求初始化其用户状态，初始的访问状态码为1，用户名为用户提交防问请求时携带的用户名，用户访问的入口页面标识为用户所要访问的入口页面的标识，第一次访问时间为当前时间，上次访问时间初始化为0。

具体地，在接收到用户访问所述入口页面的请求后，服务器端首先初始化所述用户的状态并保存，然后返回用户所请求的所述入口页面。

而在后续的交互过程中，每次都需要对用户状态进行判断，以确定用户是否为非法用户。所述用户的用户状态保存在页面对应的cookie中，或者保存在服务器端；服务器端可以通过比较cookie或服务器端保存的用户状态，来判断用户是否非法。本发明提供的上述装置中，各个模块用于判断用户是否非法的方式不同。

以cookie为例，交互模块中是否非法用户的具体判断规则如下：

如果没有对应的cookie，则认定该用户为合法用户；

如果有对应的cookie，且发起访问请求的用户与cookie中的用户一致(具体可根据用户名进行判断)，此次访问的页面信息和cookie中的页面信息一致，cookie中的状态码为1或2，则认为该用户为合法用户。

如果有对应的cookie，且发起访问请求的用户和cookie中的用户不一致；或者有对应的cookie，此次访问的页面信息和cookie中的页面信息不一致；或者有对应的cookie，且cookie中状态码为0；以上几种情况，均认为所述用户为非法用户。

在上述过程中，一旦判定所述用户非法，则更新用户状态，将其状态码置为0，而其他信息不变。

用户判定合法后，进入正常的交互过程，并刷新用户状态，刷新用户的上次访问时间，将其状态码加1，重新种植cookie。

刷新上次访问时间，状态码加1，重新种植cookie。

验证用户合法性之后，如果判定用户为合法用户，则会向用户返回一验证码页面；否则进入异常处理阶段。

以cookie为例，验证模块中用户合法性的具体判断规则如下：

如果有对应的cookie，且发送验证码的用户与cookie中的用户一致(具体可根据用户名进行判断)，此次访问的页面信息和cookie中的页面信息一致，cookie中的状态码为1或2，则认为该用户为合法用户。

如果没有对应的cookie；或者有对应的cookie，且发送验证码的用户和cookie中的用户不一致；或者有对应的cookie，此次访问的页面信息和cookie中的页面信息不一致；或者有对应的cookie，且cookie中状态码为0；以上几种情况，均认为所述用户为非法用户。

在上述过程中，一旦判定所述用户非法，则更新用户状态，将其状态码置为0，而其他信息不变。

用户判定合法后，进入正常的验证过程，如果验证失败，则只刷新用户上次访问时间，重新种植cookie，并重新返回验证码页面；如果验证成功，则刷新用户状态，刷新用户的上次访问时间，将其状态码加1，重新种植cookie，之后为用户返回对应于其在入口页面发起行为的活动页面。

以cookie为例，行为发起模块中用户是否非法的具体判断规则如下：

如果有对应的cookie，且发起行为请求的用户与cookie中的用户一致(具体可根据用户名进行判断)，此次访问的页面信息和cookie中的页面信息一致，cookie中的状态码为2，则认为该用户为合法用户。

如果没有对应的cookie；或者有对应的cookie，且发起访问请求的用户和cookie中的用户不一致；或者有对应的cookie，此次访问的页面信息和cookie中的页面信息不一致；或者有对应的cookie，且cookie中状态码为0；以上几种情况，均认为所述用户为非法用户。

如果判断用户为合法用户，则根据用户的行为请求，完成具体的行为，并删除用户状态信息；如果用户为非法用户，则进入异常处理步骤。

本发明提供的上述装置与上述方法对应一致，具体细节可参见对方法的描述，在此不再赘述。

本发明公开的上述方案有效的降低了机器人对网页的恶意访问，防止网站的提供的有限资源被机器人占用。本发明通过对活动的各个流程环环相扣，有效阻挡跨步访问或者并发同步访问的问题，用户只能通过活动入口，一步一步完成交互。上述方法特别适合于网站进行促销活动时，仅限制一个用户获取一次机会的情况，如抢购等活动。每一个访问步骤包括登录、校验、抢购等都需要对用户进行合法性的判断，以防止机器人跳过任何一个步骤无限制参与活动，对网站的安全性等造成危害。

以上所述的具体实施例，对本发明的目的、技术方案和有益效果进行了进一步详细说明，应理解的是，以上所述仅为本发明的具体实施例而已，并不用于限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (9)

1.一种防止非法用户行为的方法，其包括：

接收用户访问入口页面的请求，初始化所述用户的用户状态信息，并返回所述入口页面；

接收用户在所述入口页面中的交互请求，判断所述用户是否非法，若是则进入异常处理流程，否则向用户返回验证码页面，并刷新用户的用户状态信息；

接收用户输入的验证码信息，判断所述用户是否非法，若是则进入异常处理流程，否则根据验证码信息进行校验，校验成功后向用户返回对应的活动页面，并刷新用户的用户状态信息；

接收用户在所述活动页面中的交互请求，判断所述用户是否非法，若是则进入异常处理流程，否则允许用户完成交互过程。

2.如权利要求1所述的方法，其中，通过用户的用户状态信息来判断所述用户是否非法。

3.如权利要求2所述的方法，其中，所述用户状态信息包括用户名、页面标识和访问状态码；所述访问状态码用于标识所述用户是否为非法用户。

4.如权利要求3所述的方法，其中，步骤102中，通过用户状态信息来判断所述用户是否非法具体包括：

如果没有对应的用户状态信息，则认定该用户为合法用户；

如果有对应的用户状态信息，且发起访问请求的用户和用户状态信息中的用户不一致；或者有对应的用户状态信息，此次访问的页面标识和用户状态信息中的页面标识不一致；或者有对应的用户状态信息，且用户状态信息中的访问状态码被标记为非法用户；以上几种情况，均认为所述用户为非法用户。

5.如权利要求3所述的方法，其中，步骤103中，通过用户状态信息来判断所述用户是否非法具体包括：

如果有对应的用户状态信息，且发送验证码的用户与用户状态信息中的用户一致，此次访问的页面标识和用户状态信息中的页面标识一致，用户状态信息中的访问状态码被标记为合法用户，则认为该用户为合法用户；

如果没有对应的用户状态信息；或者有对应的用户状态信息，且发送验证码的用户和用户状态信息中的用户不一致；或者有对应的用户状态信息，此次访问的页面标识和用户状态信息中的页面标识不一致；或者有对应的用户状态信息，且用户状态信息中访问状态码被标记为非法用户；以上几种情况，均认为所述用户为非法用户。

6.如权利要求3所述的方法，其中，步骤104中，通过用户状态信息来判断所述用户是否非法具体包括：

如果有对应的用户状态信息，且发起行为请求的用户与用户状态信息中的用户一致，此次访问的页面标识和用户状态信息中的页面标识一致，用户状态信息中的访问状态码被标记为经过验证码校验的合法用户，则认为该用户为合法用户；

如果没有对应的用户状态信息；或者有对应的用户状态信息，且发起访问请求的用户和用户状态信息中的用户不一致；或者有对应的用户状态信息，此次访问的页面标记和用户状态信息中的页面信息不一致；或者有对应的用户状态信息，且用户状态信息中访问状态码被标记为非法用户；以上几种情况，均认为所述用户为非法用户。

7.如权利要求1-6任一项所述的方法，其中，所述用户的状态信息通过cookie保存，或者直接保存在服务器端。

8.如权利要求7所述的方法，其中，所述方法还包括：

用户完成交互过程后，删除所述用户的状态信息。

9.一种防止非法用户行为的装置，其包括：

入口访问模块，用于接收用户访问入口页面的请求，初始化所述用户的用户状态信息，并返回所述入口页面；

交互模块，用于接收用户在所述入口页面中的交互请求，判断所述用户是否非法，若是则进入异常处理流程，否则向用户返回验证码页面，并刷新用户的用户状态信息；

验证模块，用于接收用户输入的验证码信息，判断所述用户是否非法，若是则进入异常处理流程，否则根据验证码信息进行校验，校验成功后向用户返回对应的活动页面，并刷新用户的用户状态信息；

行为发起模块，用于接收用户在所述活动页面中的交互请求，判断所述用户是否非法，若是则进入异常处理流程，否则允许用户完成交互过程。