CN105656912A - 一种移动智能终端app请求流程控制方法 - Google Patents

一种移动智能终端app请求流程控制方法 Download PDF

Info

Publication number
CN105656912A
CN105656912A CN201610062040.8A CN201610062040A CN105656912A CN 105656912 A CN105656912 A CN 105656912A CN 201610062040 A CN201610062040 A CN 201610062040A CN 105656912 A CN105656912 A CN 105656912A
Authority
CN
China
Prior art keywords
request
url
intelligent terminal
mobile intelligent
terminal app
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201610062040.8A
Other languages
English (en)
Inventor
岑登山
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Mica (Guangxi) Network Technology Co., Ltd.
Original Assignee
Guangxi Mifu Network Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Guangxi Mifu Network Technology Co Ltd filed Critical Guangxi Mifu Network Technology Co Ltd
Priority to CN201610062040.8A priority Critical patent/CN105656912A/zh
Publication of CN105656912A publication Critical patent/CN105656912A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明本发明涉及移动互联网安全领域，具体是一种移动智能终端APP请求流程控制方法。本发明主要解决现有技术不能精准阻击非法的网络请求，而导致浪费后台服务资源，用户体验降低的问题。本发明通过将移动智能终端APP的URL业务请求进行编序，配置到请求网关。当相应的业务请求到达，触发安全机制，检测URL请求是否遵循指定的请求顺序，所携带的参数是否合法（是否与上次请求返回的一致），据此拒绝所有的非法URL请求。由此，通过配置不同的条件，使得当URL请求进入时，后台在处理业务请求前，为服务后台建立起一道屏障。只有完全合法的请求和请求顺序才能交给后台执行，提高服务安全性，也提升了用户体验。

Description

一种移动智能终端APP请求流程控制方法
技术领域
本发明涉及移动互联网安全领域，具体是一种移动智能终端APP请求流程控制方法。
背景技术
随着移动互联网发展，基于各种方式的网络攻击日益猖獗。由于大部分的URL(UniformResourceLocator，简称URL）请求服务都是无状态的，这导致了拒绝服务攻击急速增加。大量非法的URL请求，浪费后台服务资源，大大降低了合法用户的体验，甚至造成用户个人信息的泄漏。防止这种攻击，现有技术采取的方法是对无线移动终端进行流量监听和统计，当无线移动终端的报文流量超过预设阈值时，将无线移动终端加入黑名单，并丢弃无线移动终端发送的报文。这种基于流量检测的抵抗拒绝服务攻击的方法，全网的无线接入网设备无法阻止泛洪攻击源同时还会丢弃合法的报文，导致合法的无线接入网设备安全性和可靠性低。
发明内容
本发明要解决的技术问题是：现有技术不能精准阻击非法的网络请求，而导致浪费后台服务资源，用户体验降低的问题。
本发明具体是提供一种移动智能终端APP请求流程控制方法，其特征包括如下步骤：
s1、服务端根据URL请求所携带的参数，调用相应请求次序配置；
s2、判断URL请求是否为所述请求次序配置预先设定的起始请求，是则进行步骤s3、s4和s5，否则进行步骤s6；
s3、执行URL请求的业务处理；
s4、生成下一次请求所需的步骤密钥；
s5、所述步骤密钥保留在服务端的缓存中，同时返回并加入移动智能设备APP的下一条URL请求中；
s6、判断URL请求所携带的步骤密钥与服务端的缓存中的步骤密钥是否一致，一致则进行步骤s3、s4和s5，否则退出请求流程。
进一步的，在步骤s3执行URL请求的业务处理后，判断URL请求是否为所述请求次序配置预先设定的末位请求，是则退出请求流程，否则进行步骤s4和s5。
为降低被破解风险，所述步骤密钥在服务端的缓存中设定有有效时间。
进一步的，所述步骤密钥生成所用参数包括URL、时间戳和/或移动智能终端ID。
进一步的，所述流程配置采用xml的数据格式。
本发明通过将移动智能终端APP的URL业务请求进行编序，配置到请求网关。当相应的业务请求到达，触发安全机制，检测URL请求是否遵循指定的请求顺序，所携带的参数是否合法（是否与上次请求返回的一致），据此拒绝所有的非法URL请求。由此，通过配置不同的条件，使得当URL请求进入时，后台在处理业务请求前，为服务后台建立起一道屏障。只有完全合法的请求和请求顺序才能交给后台执行，提高服务安全性，也提升了用户体验。
附图说明
图1为本发明实施例（注册流程）流程图；
图2为本发明实施例URL请求流程控制流程图。
具体实施方式
为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述。显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
移动智能终端APP对服务后台的业务过程通常有“注册流程”、“使用流程”、“注销流程”等流程类型。每个流程类型根据实际包含的URL请求分别编序，配置成xml数据格式文件，并配置存储到请求网关。当相应的业务发出请求，则触发安全机制，调取相应流程类型的请求次序配置。检测URL请求是否遵循指定的请求顺序，所携带的参数是否合法（是否与上次请求返回的一致），如果不合法，则拒绝执行URL请求的业务处理。
下面以某APP的“注册流程”为例进行具体说明。
图1为某APP注册流程的流程图。本注册流程包含有5条URL请求：1、请求服务后台发送图片验证码；2、向后台提交验证码；3、请求后台发送短信校验码；4、向提交短信验证码；5、向后台提交注册数据。
针对本注册流程相应的xml格式的请求次序配置有如下内容：
<xmlversion="1.0"encoding="UTF-8">
<requestflow>
<flowtype="register"code="10"desc="注册流程">
<steptype="start"url="/v1/captcha/getVerifyCode"desc="获取图片验证码">
<getparam="$deviceId"desc="缓存设备ID"/>
<passwhen="$lastVisited=='/v1/captcha/getVerifyCode'"/>
<passwhen="$lastVisited=='/v1/captcha/checkVerifyCode'and$returnCode=='fail'"/>
</step>
<stepurl="/v1/captcha/checkVerifyCode"desc="校验图片验证码">
<passwhen="$lastVisited=='/v1/captcha/getVerifyCode'and$returnCode=='success'"/>
</step>
<stepurl="/v1/captcha/sendSMSCode"desc="发送短信验证码">
<getparam="$mobile"desc="缓存手机号码"/>
<passwhen="$lastVisited=='/v1/captcha/checkVerifyCode'and$returnCode=='success'"/>
<passwhen="$lastVisited=='/v1/captcha/sendSMSCode'and$returnCode=='fail'"/>
<passwhen="$lastVisited=='/v1/captcha/checkSMSCode'and$returnCode=='success'"/>
</step>
<stepurl="/v1/captcha/checkSMSCode"desc="校验短信验证码">
<passwhen="$lastVisited=='/v1/captcha/sendSMSCode'and$returnCode=='success'"/>
<passwhen="$lastVisited=='/v1/captcha/checkSMSCode'and$returnCode=='fail'"/>
</step>
<steptype="end"url="/v1/user/register"desc="提交用户注册">
<passwhen="$lastVisited=='/v1/captcha/checkSMSCode'and$returnCode=='success'"/>
<finishdesc="无条件结束"/>
</step>
<steptype="end"url="/v1/user/login"desc="用户登录">
<passwhen="$lastVisited=='/v1/captcha/checkSMSCode'and$returnCode=='success'"/>
<finishwhen="$returnCode=='success'"desc="成功结束"/>
</step>
</flow>
</requestflow>。
本实施例的具体请求流程控制方法如下：
s1、服务端根据移动智能终端APP发来的URL请求所携带的参数flowtype="register"，调用注册流程的请求次序配置。
s2、判断URL请求是否为注册流程的请求次序配置预先设定的起始请求，比如是含参数steptype="start",则确认为起始请求，允许进行步骤s3、步骤s4和步骤s5，否则进行步骤s6。
s3、允许执行URL请求的业务处理，比如请求服务后台发送验证码的“获取图片验证码”等业务。
s4、以包括移动智能终端的设备ID、当前时间戳和URL字符为参数，计算哈希值（SHA-1算法）生成为下一URL请求使用的步骤密钥stepkey。
s5、将步骤s4生成的步骤密钥stepkey保留在服务端的缓存Redis中，同时将该步骤密钥stepkey返回给移动智能设备APP，加入按顺序的下一条URL请求中。
s6、当URL请求不含参数steptype="start"时，表明该url请求不是起始请求，需检查该url请求步骤密钥stepkey与服务端的缓存中的步骤密钥stepkey是否一致，一致则进行步骤s3执行业务处理，比如“发送短信验证码”等；然后再以包括移动智能终端的设备ID、当前时间戳和URL字符为参数，计算哈希值（SHA-1算法）作为新的步骤密钥stepkey；并更新服务端缓存Redis中的步骤密钥stepkey，同时将该新的步骤密钥stepkey返回给移动智能设备APP，加入按设定顺序的下一条URL请求中。
如URL请求中包含有steptype="end"，则URL请求为本请求次序配置预先设定的末位请求。此时，步骤s3执行URL请求业务处理（比如“提交用户注册”）后，清除缓存redis中的步骤秘钥stepkey，并退出本次请求，直到有新的“起始请求”。
为降低被破解风险，步骤密钥stepkey在服务端的缓存redis中设定有效时间。超过设定有效时间，缓存中的步骤密钥stepkey自动清除，直到有新的“起始请求”。
本发明通过将移动智能终端APP的URL业务请求进行编序，配置到请求网关。当相应的业务请求到达，触发安全机制，检测URL请求是否遵循指定的请求顺序，所携带的参数是否合法（是否与上次请求返回的一致），据此拒绝所有的非法URL请求。由此，通过配置不同的条件，使得当URL请求进入时，后台在处理业务请求前，为服务后台建立起一道屏障只有完全合法的请求和请求顺序才能交给后台执行，提高服务安全性，也提升了用户体验。

Claims (5)

1.一种移动智能终端APP请求流程控制方法，其特征包括如下步骤：
s1、服务端根据URL请求所携带的参数，调用相应的请求次序配置程序；
s2、服务端判断URL请求是否为所述请求次序配置预先设定的起始请求，是则进行步骤s3、s4和s5，否则进行步骤s6；
s3、执行URL请求的业务处理；
s4、生成下一次URL请求所需的步骤密钥；
s5、所述步骤密钥保留在服务端的缓存中，同时返回并加入移动智能设备APP的下一条URL请求中；
s6、判断URL请求所携带的步骤密钥与服务端的缓存中的步骤密钥是否一致，一致则进行步骤s3、s4和s5，否则退出请求流程。
2.根据权利要求1所述的一种移动智能终端APP请求流程控制方法，其特征在于还包括：在步骤s3执行URL请求的业务处理后，判断URL请求是否为所述请求次序配置预先设定的末位请求，是则退出请求流程，否则进行步骤s4和s5。
3.根据权利要求1或2所述的一种移动智能终端APP请求流程控制方法，其特征在于：所述步骤密钥在服务端的缓存中设定有有效时间。
4.根据权利要求1所述的一种移动智能终端APP请求流程控制方法，其特征在于：所述流程配置采用xml的数据格式。
5.根据权利要求1或2所述的一种移动智能终端APP请求流程控制方法，其特征在于：所述步骤密钥生成所用参数包括URL、时间戳和/或移动智能终端ID。
CN201610062040.8A 2016-01-29 2016-01-29 一种移动智能终端app请求流程控制方法 Pending CN105656912A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201610062040.8A CN105656912A (zh) 2016-01-29 2016-01-29 一种移动智能终端app请求流程控制方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201610062040.8A CN105656912A (zh) 2016-01-29 2016-01-29 一种移动智能终端app请求流程控制方法

Publications (1)

Publication Number Publication Date
CN105656912A true CN105656912A (zh) 2016-06-08

Family

ID=56488937

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201610062040.8A Pending CN105656912A (zh) 2016-01-29 2016-01-29 一种移动智能终端app请求流程控制方法

Country Status (1)

Country Link
CN (1) CN105656912A (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108600241A (zh) * 2018-05-02 2018-09-28 山东浪潮通软信息科技有限公司 一种支持多模式的安全验证的快速注册方法及系统
CN108847935A (zh) * 2018-07-03 2018-11-20 广州市河东智能科技有限公司 数据发送方法
CN110213331A (zh) * 2019-04-29 2019-09-06 北京奇艺世纪科技有限公司 业务请求的处理方法、终端设备、电子设备及存储介质
CN111259296A (zh) * 2020-01-14 2020-06-09 武汉极意网络科技有限公司 一种保证Web资源请求有序性的方法及系统

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102946392A (zh) * 2012-11-15 2013-02-27 亚信联创科技（中国）有限公司 一种url数据加密传输方法及系统
CN103067385A (zh) * 2012-12-27 2013-04-24 深圳市深信服电子科技有限公司 防御会话劫持攻击的方法和防火墙
CN103139138A (zh) * 2011-11-22 2013-06-05 飞塔公司 一种基于客户端检测的应用层拒绝服务防护方法及系统
CN103986735A (zh) * 2014-06-05 2014-08-13 北京赛维安讯科技发展有限公司 Cdn网络防盗系统及防盗方法
CN104463584A (zh) * 2014-11-13 2015-03-25 广东优迈信息通信股份有限公司 实现移动端App安全支付的方法
US8997222B2 (en) * 2010-11-30 2015-03-31 International Business Machines Corporation Method and device for preventing CSRF attack

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8997222B2 (en) * 2010-11-30 2015-03-31 International Business Machines Corporation Method and device for preventing CSRF attack
CN103139138A (zh) * 2011-11-22 2013-06-05 飞塔公司 一种基于客户端检测的应用层拒绝服务防护方法及系统
CN102946392A (zh) * 2012-11-15 2013-02-27 亚信联创科技（中国）有限公司 一种url数据加密传输方法及系统
CN103067385A (zh) * 2012-12-27 2013-04-24 深圳市深信服电子科技有限公司 防御会话劫持攻击的方法和防火墙
CN103986735A (zh) * 2014-06-05 2014-08-13 北京赛维安讯科技发展有限公司 Cdn网络防盗系统及防盗方法
CN104463584A (zh) * 2014-11-13 2015-03-25 广东优迈信息通信股份有限公司 实现移动端App安全支付的方法

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108600241A (zh) * 2018-05-02 2018-09-28 山东浪潮通软信息科技有限公司 一种支持多模式的安全验证的快速注册方法及系统
CN108847935A (zh) * 2018-07-03 2018-11-20 广州市河东智能科技有限公司 数据发送方法
CN110213331A (zh) * 2019-04-29 2019-09-06 北京奇艺世纪科技有限公司 业务请求的处理方法、终端设备、电子设备及存储介质
CN110213331B (zh) * 2019-04-29 2022-02-11 北京奇艺世纪科技有限公司 业务请求的处理方法、终端设备、电子设备及存储介质
CN111259296A (zh) * 2020-01-14 2020-06-09 武汉极意网络科技有限公司 一种保证Web资源请求有序性的方法及系统
CN111259296B (zh) * 2020-01-14 2023-03-10 武汉极意网络科技有限公司 一种保证Web资源请求有序性的方法及系统

Similar Documents

Publication Publication Date Title
KR101529806B1 (ko) 단말기 액세스 방법 및 장치
CN107086979B (zh) 一种用户终端验证登录方法及装置
EP2549785A1 (en) Method and apparatus for authenticating communication devices
CN104244227A (zh) 一种物联网系统中终端接入认证的方法及装置
CN105656912A (zh) 一种移动智能终端app请求流程控制方法
CN105722090A (zh) 自动识别伪基站的控制方法和装置
CN106060034A (zh) 账号登录方法和装置
EP2874367B1 (en) Call authentication method, device, and system
CN104980298A (zh) 一种异常提示方法、装置及系统
EP2756703B1 (en) Method for preventing fraud or misuse when using a specific service of a public land mobile network by a user equipment, subscriber identity module and application program
CN113206814A (zh) 一种网络事件处理方法、装置及可读存储介质
CN102263793A (zh) 一种mtc服务器权限验证控制方法、系统及装置
CN105792095A (zh) 用于mtc分组通信的密钥协商方法、系统及网络实体
US6957061B1 (en) User authentication in a mobile communications network
US11716673B2 (en) Access rejection method, apparatus and system, and storage medium and processor
CN105430623A (zh) Rcs垃圾消息的监控方法、装置及系统
US10206241B2 (en) Session management
CN113573384A (zh) 一种终端及终端配网方法、装置、存储介质
CN108270808B (zh) 一种实现应用检测与控制的方法、装置和系统
CN108270747B (zh) 一种认证方法及装置
CN106487776B (zh) 一种保护机器类通信设备的方法、网络实体及系统
CN110839231B (zh) 一种获取终端标识的方法和设备
CN112004228B (zh) 实人认证方法及系统
EP3577875B1 (en) Method for enhanced detection of a user equipment type.
CN108768987B (zh) 数据交互方法、装置及系统

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
TA01 Transfer of patent application right
TA01 Transfer of patent application right

Effective date of registration: 20180224

Address after: 530007 the Guangxi Zhuang Autonomous Region Nanning hi tech Zone Innovation Road No. 23 - Nanning Zhongguancun innovation demonstration base No. 8 floor, building No. 8

Applicant after: Mica (Guangxi) Network Technology Co., Ltd.

Address before: Zhuxi 530021 Nanning Road, the Guangxi Zhuang Autonomous Region District No. 29 landscape flowers show bamboo garden building 5 layer

Applicant before: GUANGXI MIFU NETWORK TECHNOLOGY CO., LTD.

RJ01 Rejection of invention patent application after publication
RJ01 Rejection of invention patent application after publication

Application publication date: 20160608