CN105227315B - 一种Web应用认证方法、服务器及其系统 - Google Patents

Abstract

本发明公开了一种Web应用的认证方法、服务器及其系统。该方法包括：Web服务器对Web页面发送的用户登录请求信息进行验证，若验证通过，获取Web页面发送的业务处理请求；Web服务器对业务处理请求中涉及的逻辑操作方法进行权限验证，并在验证通过后，根据业务处理请求对数据库中的业务数据进行操作。本发明从业务逻辑处理层对业务处理请求涉及的逻辑操作方法进一步进行认证，可以有效拦截恶意访问和非法操作，保护数据不被损坏，提高数据的安全性与可靠性。

Description

一种Web应用认证方法、服务器及其系统

技术领域

本发明涉及计算机技术领域，尤其涉及一种Web应用认证方法、服务器及其系统。

背景技术

随着互联网技术的不断发展，越来越多的网站和网络应用系统为用户提供了多种基于Web的网络服务，例如，电子邮箱、论坛、留言版、聊天室等。用户在使用这些服务时，个人信息泄露时常面临被泄露的问题。为防止用户的个人信息遭到泄露，加强Web应用的安全性，通常对Web应用进行各种安全性认证，减少因非法手段导致的信息内容泄露，进一步提高数据的安全性。

然而目前的大多数Web应用在进行认证时，通常包括以下几个方面：通过登录名、密码和验证码等登录系统，对页面数据进行必填、长度及类型进行验证以及对请求访问权限的过滤。目前的三层认证方式的控制粒度相对比较粗，完全可以通过非法手段越过这些验证，穿过业务逻辑层和数据层获取网站的信息。例如，页面数据的验证基本上是通过JavaScript(简称JS)来完成验证的。而非法人员完全可以通过屏蔽JS脚本或者绕过JS验证使非法数据上传到服务器上或者从服务器上获取非法的数据，因此，基于现有的认证方式，目前的Web应用在安全问题上还是存在严重不足的。

发明内容

本发明提供了一种Web应用认证方法、服务器及其系统，用以解决现有技术中的Web应用安全性不高的问题。

依据本发明的一个方面，提供一种Web应用认证方法，包括：

Web服务器对Web页面发送的用户登录请求信息进行验证，若验证通过，获取Web页面发送的业务处理请求；

Web服务器对业务处理请求中涉及的逻辑操作方法进行权限验证，并在验证通过后，根据业务处理请求对数据库中的业务数据进行操作。

依据本发明的另一个方面，还提供一种Web应用认证服务器，包括：

登录认证单元，用于对Web页面发送的用户登录请求信息进行验证；

请求获取单元，用于登录认证单元验证通过，获取Web页面发送的业务处理请求；

业务认证单元，对业务处理请求中涉及的逻辑操作方法进行权限验证；

数据处理单元，用于业务认证单元验证通过后，根据业务处理请求对数据库中的业务数据进行操作。

依据本发明的又一方面，还提供一种Web应用认证系统，包括Web页面、数据库以及上述的认证服务器。

本发明有益效果如下：

本发明所提供的Web应用认证方法、服务器及其系统，不仅对Web页面中用户的输入的登录请求信息认证，实现登录层到控制层的安全认证；同时在用户通过Web页面发送业务处理请求时，从业务逻辑处理层对请求的逻辑操作方法进一步进行权限认证。因此与现有技术相比，本发明的认证控制粒度更细，层级更深入，有效拦截恶意访问和非法操作，保护数据不被损坏和用户个人隐私，有效提高数据的安全性与可靠性。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明所提供的Web应用认证方法的流程图；

图2为本发明所提供的Web应用认证服务器的结构示意图；

图3为本发明所提供的Web应用认证系统的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

为了解决现有技术中Web应用中认证方法较为简单，安全性较差的问题，本发明提供了一种安全性较高的Web应用认证方法，参见图1，具体包括：Web服务器对Web页面发送的用户登录请求信息进行验证，若验证通过，获取Web页面发送的业务处理请求；Web服务器对业务处理请求中涉及的逻辑操作方法进行权限验证，并在验证通过后，根据业务处理请求对数据库中的业务数据进行操作。

本发明所提供的Web应用认证方法，Web服务器不仅对Web页面中用户的输入的登录请求信息认证，实现登录层到控制层的安全认证；同时在用户通过Web页面发送业务处理请求时，从业务逻辑处理层对访问请求的逻辑操作方法进一步进行权限认证。因此与现有技术相比，本发明所提供的认证方法控制粒度更细，层级更深入，从而进一步减少由于非法手段而产生的信息内容泄露，提高数据的安全性与可靠性。

以下结合附图以及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不限定本发明。

首先介绍步骤S1，Web服务器对Web页面发送的用户登录请求信息进行验证，若验证通过，获取Web页面发送的业务处理请求。

优选地，用户登录请求信息包括登录名、密码以及系统识别码。在本发明的一个实施例中，Web页面向Web服务器发送的登录请求信息之前，还需要对登录请求信息的安全属性进行验证，具体包括如下步骤：

步骤S101，对登录名、密码信息的安全属性进行验证。

Web页面在进行安全属性验证时，通过jquery.validate验证库验证对用户输入的登录名、密码等信息是否填写及正确，保证了用户输入信息的合法性及有效性；通过过滤器、拦截器验证登录名、密码中是否包含非法字符，可以有效防止数据非法注入。若Web页面中设置了验证码，则同时需要对验证码的是否填写及正确性进行验证。

因此，本实施例中通过Web页面对用户提交的信息进行合法性、有效性、非法注入等安全属性进行验证，可以防止操作人员通过屏蔽JavaScript或者绕过JavaScript验证而向服务器的控制层、业务层、数据层提交数据。

步骤S102，验证Web页面中是否包含系统标识码。

本发明中的系统标识码为Web应用的唯一标识码。用户打开Web页面时，在地址栏中输入系统地址，请求进入登录界面。Web服务器需将携带系统标识码的反馈信息返回至登录界面中。因此，用户在请求登录Web应用时，若当前登录页面中没有系统标识码，系统则禁止继续访问。其中，Web服务器在设置系统识别码时，含有大小写字母、数字、特殊符号等，并通过非可逆加密算法进行加密，进一步保证了Web应用的数据安全。

步骤S103，检测用户发送的请求是否为登录请求

用户输入信息以及系统标识码验证完成后，Web页面需要检测用户的请求是否为登录请求：如果为登录请求，将系统标识码以及输入的用户信息作为登录请求信息发送至Web服务器。

本发明的一个实施例中，Web服务器对Web页面发送的用户登录请求信息进行验证，具体包括如下步骤：

步骤S111，验证Web页面返回的系统标识码是否正确。

用户在登录或者访问页面时，Web服务器都需要验证Web页面是否携带系统标识码。因此只要通过本Web应用页面上的操作，才能进行访问本系统，从而避免通过其他引用或者简单的技术手段进行访问本系统。

步骤S112，验证登录名和密码等用户信息的安全属性。

Web服务器通过struts2组件和validation组件对登录名和密码的格式进一步验证，在对数据的合法性、有效性、非法字符等有关属性进行验证。对于验证文件可以通过编写代码或者通过xml文件进行配置。通过过滤器、拦截器验证登录名、密码中是否包含非法字符，可以有效防止数据非法注入。

步骤S113，验证登录名与密码是否匹配：若匹配，用户成功登录Web应用。

根据用户信息中登录名读取存储在数据库中的用户信息，判断密码是否匹配：若用户名和密码不匹配，则提示密码错误等信息，需要用户重新填写登录资料；若验证通过，用户成功登录Web应用。

本发明的一个实施例中，为进一步保证访问期间的数据安全，用户完成登录后，访问相关业务或者功能时，Web页面和Web服务器之间通过通行令牌进行交互认证。每一次的访问请求，Web页面都需要先向Web服务器申请通行令牌，只有申请到了通行令牌，并且在有效的时间内才有可能进行后续的操作。具体地，包括如下步骤：

步骤S121，Web页面向Web服务器发送业务处理请求前，需要向Web服务器申请通行令牌；

步骤S122，Web服务器根据用户信息生成、保存通行令牌，并发送至Web页面；

步骤S123，Web页面向Web服务器发送携带通行令牌的业务处理请求；

步骤S124，Web服务器在获取到Web页面发送的业务处理请求时，根据保存的通行令牌信息验证请求中的通行令牌的信息是否符合条件；若验证通过，则继续对业务处理请求进行处理。

本发明的一个实施例中，通行令牌包括用户信息(登录名)、系统标识码UID、开始时间戳、结束时间戳以及待访问请求功能URL，具体参见表1。在生成通行令牌时，采用MD5加密算法对令牌进行加密。由于通行令牌中设置了开始和结束时间戳，因此在Web页面操作时只有在有效的时间内完成操作，才能保证访问的有效性，同时还可以防止页面操作重复提交。

表1

登录名	UID	开始时间戳	结束时间戳	URL
					32bits	20bits	13bits	13bits	变动长度

其次介绍步骤S2，Web服务器对业务处理请求中涉及的逻辑操作方法进行权限验证，并在验证通过后，根据业务处理请求对数据库中的业务数据进行操作。

Web页面发送的每一个的业务处理请求中可能包含一个或者多个业务逻辑处理。本发明的一个实施例中，Web服务器需要从业务逻辑层对请求中涉及的逻辑操作进行认证。具体地，每一个业务逻辑处理都预先配置的操作权限及前提条件，只有两个条件满足之后，Web服务器才可以正常的从数据库获取业务数据，从而有效防止一些非法数据的处理。Web服务器对业务处理请求中涉及的操作方法进行权限验证，具体包括如下步骤：

步骤201，根据登录请求信息中的登录名，查找用户的角色信息，获取角色执行业务操作的权限列表；

步骤202，判断请求的业务逻辑是否在权限列表中：若在，则执行步骤203；若不在，则提示未授权的访问操作。

步骤203，判断当前是否满足执行业务所需的前提条件：若满足，执行业务处理请求中业务所需的逻辑操作方法。

本发明的一个实施例中，为进一步保证数据的安全，在对数据库的业务数据进行操作时，需要预先配置了数据单元的读取权限、数据约束条件以及存储属性等信息。Web服务器根据其中的一种或者多种配置信息对用户操作数据进行验证，具体包括：

根据登录请求信息中的登录名查找的用户角色验证用户是否有数据单元的读写权限；和/或，

根据预先配置的数据约束条件，对用户操作的数据是否符合约束条件进行验证；和/或，

根据预先配置的数据存储属性，对用户操作的数据属性进行验证；

当验证通过后，就可以对数据库中与业务处理相关的业务数据进行操作；如果没有通过，就不能进行访问。

参见图2，本发明还提供了一种Web应用认证服务器，用于实现上述的Web应用认证方法，具体包括登录认证单元、请求获取单元、业务认证单元以及数据处理单元；其中，

登录认证单元，用于对Web页面发送的用户登录请求信息进行验证；

请求获取单元，用于登录认证单元验证通过，获取Web页面发送的业务处理请求；

业务认证单元，对业务处理请求中涉及的逻辑操作方法进行权限验证；

数据处理单元，用于业务认证单元验证通过后，根据业务处理请求对数据库中的业务数据进行操作。

进一步地，登录认证单元还用于：

在对Web页面发送的用户登录请求信息进行验证前，对用户登录请求信息的安全属性进行验证。

进一步地，上述服务器还包括令牌认证单元，用于在获取到Web页面发送的业务处理请求时，先对业务处理请求携带的通行令牌进行验证，若验证通过，业务认证单元执行操作。

进一步地，业务认证单元具体用于，

根据用户登录请求信息，查找用户的角色；

获取角色执行业务的操作权限列表；

判断请求的业务是否在权限列表中：若在，

判断当前是否满足执行业务所需的前提条件：若满足，执行业务所需的逻辑操作方法。

进一步地，数据处理单元具体用于，

根据用户登录请求信息查找的用户角色验证用户是否有数据单元的读写权限；和/或，

根据预先配置的数据约束条件，对用户操作的数据格式进行验证；和/或，

根据预先配置的数据存储属性，对用户操作的数据属性进行验证；

当验证通过后，对数据库中与业务处理请求相关的业务数据进行操作。

参见图3，本发明还提供了一种Web应用认证系统，具体包括Web页面、数据库和上述的服务器。

进一步地，Web页面还用于向服务器发送用户登录请求信息前，对用户登录请求信息的安全属性进行验证；在向服务器发送业务处理请求前，向服务器申请通行令牌，并在获取到通行令牌后，将其与业务处理请求一起发送至服务器。

综上所述，本发明通过Web页面对数据安全属性认证、通行令牌认证，Web服务器的控制层对数据的安全属性进行验证、业务逻辑层对逻辑操作方法进行权限控制以及数据层对读写有关的内容以及存储属性等进行认证，实现了多层级、细粒度的认证，有效拦截恶意访问和非法操作，减小服务器的压力，提高正常访问的响应速度，同时保护数据不被损坏，保护用户个人隐私。通过发明的层层级别的验证，提高了系统整体的安全性，从各个环节有效杜绝了恶意破坏。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，程序可存储于计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (11)

1.一种Web应用认证方法，其特征在于，包括：

Web服务器对Web页面发送的用户登录请求信息进行验证，若验证通过，获取Web页面发送的业务处理请求；

Web服务器对所述业务处理请求中涉及的逻辑操作方法进行权限验证，并在验证通过后，根据所述业务处理请求对数据库中的业务数据进行操作；

所述Web服务器对所述业务处理请求中涉及的逻辑操作方法进行权限验证，包括：所述Web服务器对所述业务处理请求的业务操作权限及前提条件进行验证；

所述Web服务器对所述业务处理请求的业务操作权限及前提条件进行验证，具体包括：

根据所述用户登录请求信息，查找用户的角色；

获取所述角色执行业务的操作权限列表；

判断请求的业务是否在所述权限列表中：若在，

判断当前是否满足执行所述业务所需的前提条件：若满足，执行所述业务所需的逻辑操作方法；

所述Web页面发送的业务处理请求中携带有Web页面在发送该请求前向所述Web服务器申请的通行令牌；

所述Web服务器在获取到Web页面发送的业务处理请求时，先对所述通行令牌进行验证，若验证通过，则继续对所述业务处理请求进行处理；

所述通行令牌包括用户信息、系统标识码、开始时间戳、结束时间戳以及待访问请求功能URL。

2.如权利要求1所述的Web应用认证方法，其特征在于，

所述用户登录请求信息包括系统标识码、登录名以及密码。

3.如权利要求2所述的Web应用认证方法，其特征在于，所述系统标识码为利用非可逆加密算法进行加密的系统标识码。

4.如权利要求1或2或3所述的Web应用认证方法，其特征在于，所述Web页面发送的用户登录请求信息为经过安全属性验证的用户登录请求信息；

和/或，所述Web服务器在对Web页面发送的用户登录请求信息进行验证前，对所述用户登录请求信息的安全属性进行验证。

5.如权利要求1所述的Web应用认证方法，其特征在于，所述Web服务器根据所述业务处理请求对数据库中的业务数据进行操作时，进一步包括：

根据所述用户登录请求信息查找的角色验证用户是否有数据单元的读写权限；和/或，

根据预先配置的数据约束条件，对用户操作的数据格式进行验证；和/或，

根据预先配置的数据存储属性，对用户操作的数据属性进行验证；

当验证通过后，对所述数据库中与所述业务处理请求相关的业务数据进行操作。

6.一种Web应用认证服务器，其特征在于，包括：

登录认证单元，用于对Web页面发送的用户登录请求信息进行验证；

请求获取单元，用于所述登录认证单元验证通过，获取Web页面发送的业务处理请求；

业务认证单元，对所述业务处理请求中涉及的逻辑操作方法进行权限验证；

数据处理单元，用于所述业务认证单元验证通过后，根据所述业务处理请求对数据库中的业务数据进行操作；

根据所述用户登录请求信息，查找用户的角色；

获取所述角色执行业务的操作权限列表；

判断请求的业务是否在所述权限列表中：若在，

判断当前是否满足执行所述业务所需的前提条件：若满足，执行所述业务所需的逻辑操作方法；

所述服务器还包括令牌认证单元，

用于在获取到Web页面发送的业务处理请求时，先对所述业务处理请求携带的通行令牌进行验证，若验证通过，所述业务认证单元执行操作；

所述通行令牌包括用户信息、系统标识码、开始时间戳、结束时间戳以及待访问请求功能URL。

7.如权利要求6所述的Web应用认证服务器，其特征在于，登录认证单元，还用于：

在对Web页面发送的用户登录请求信息进行验证前，对所述用户登录请求信息的安全属性进行验证。

8.如权利要求6所述的Web应用认证服务器，其特征在于，所述数据处理单元，具体用于，

根据所述用户登录请求信息查找的用户角色验证用户是否有数据单元的读写权限；和/或，

根据预先配置的数据约束条件，对用户操作的数据格式进行验证；和/或，

根据预先配置的数据存储属性，对用户操作的数据属性进行验证；

当验证通过后，对所述数据库中与所述业务处理请求相关的业务数据进行操作。

9.一种Web应用认证系统，其特征在于，包括Web页面、数据库和权利要求6～8任一项所述的服务器。

10.如权利要求9所述的Web应用认证系统，其特征在于，所述Web页面还用于，向所述服务器发送用户登录请求信息前，对所述用户登录请求信息的安全属性进行验证。

11.如权利要求9所述的Web应用认证系统，其特征在于，所述Web页面还用于，在向所述服务器发送业务处理请求前，向所述服务器申请通行令牌，并在获取到通行令牌后，将其与业务处理请求一起发送至所述服务器。

Images