CN106250762A - 用于防止存储对象非法引用的方法和系统 - Google Patents

Abstract

本发明涉及数据存储技术领域，具体涉及一种用于防止存储对象非法引用的方法，包括：根据存储对象的引用用户的访问请求，确定相关的存储对象和所述引用用户的引用页面；根据所确定的存储对象，查询授权引用页面列表；判断所述引用页面是否位于所述授权引用页面列表中，若是，则允许引用用户访问所述存储对象，若否，则拒绝引用用户访问所述存储对象。本发明还提供了一种用于防止存储对象非法引用的系统。本发明提供的方法和系统为存储用户存储的资源内容提供了有效保护，防止其不被侵犯，同时也为存储用户节约了存储资源的下行流量，节省了成本。

Description

用于防止存储对象非法引用的方法和系统

技术领域

本发明涉及数据存储技术领域，尤其涉及一种用于防止存储对象非法引用的方法和系统。

背景技术

对象存储在互联网的大潮中受到了广泛关注，并得到了迅速的发展。对象存储与文件存储不同，对象不以目录分层的结构进行组织。每个对象都位于被称为存储池的扁平的空间的相同层级，每一级的每个元素在存储系统中都有唯一的标识，用户通过这个标识来访问容器或者对象。采用扁平的数据组织结构抛弃了嵌套的文件夹，避免维护庞大的目录树。在大数据和互联网时代，存储的文件/对象超过上百万个，单位时间内的访问次数和并发访问量也达到了前所未有的量级，在这种情况下，目录树会给存储系统带来很大的开销和诸多问题，成为系统的瓶颈。另外一个让对象存储焕发生命力的因素是，对象存储不再提供POSIX兼容的接口(如open，close，read，write等)，而是可以非常方便地通过HTTPRestful API接口和对象进行交互:通过PUT和GET进行上传下载，通过DELETE进行删除。

对象存储可以为用户提供视频、音乐等较大文件的存储，也可以提供日志的服务，另外，存储服务取得更大发展的更大因素是取得了移动互联网的青睐，在移动端的APP中，对象存储简单的HTTP接口简化了开发者的开发流程，并且还可以为用户提供海量的存储空间。

对象存储与文件存储类似，一个对象存储的桶相当于一个文件存储中的根目录，而一个对象存储中的对象相当于一个文件存储中的文件，因为对象存储采用的是扁平的目录结构，因此如果跟文件存储对比，看起来就是全部的文件都在同一个目录底下。

现在主流的对象存储厂商通常是根据用户的存储容量和下行流量进行收费的。例如中国电信提供的对象存储(Object-Oriented Storage，OOS)服务，主要按存储容量、流出流量和请求次数进行收费，其中存储容量计费是指按用户数据占用的云存储空间容量收取费用；流出流量计费是指按用户存储数据被调用或下载产生的流量收取费用；请求次数计费是指按照各种请求的次数收取费用。有时候，云存储用户需要公开其对象的URL，以便其最终用户能够通过这个URL访问到云存储用户存储于云端的数据。但是这样也给了非法引用者以可乘之机，因为这些盗用者可以通过复制云存储用户的URL，同时放到自己的页面之上，这样，盗用者可以方便的将这种URL放到自己的页面上，最终的用户并不能区分这种URL对应的存储资源由谁付费，而被盗用者也只能为被盗用的流量支付账单，并且其资源内容也被侵犯。

现有的防止非法引用的方式就是更改文件的存储位置或者更改文件名，从而让非法引用者的URL频繁需要得到更改而放弃盗用，但这种方式根本解决不了问题，因为非法引用者可以通过网络爬虫随时监控存储用户的页面，当其更改URL时，爬虫会把对应的URL抓取下来，盗用者只需在自己的页面中更改URL即可。

发明内容

本发明提供一种用于防止存储对象非法引用的方法和系统，用以克服现有技术中通过更改文件的存储位置或者更改文件名而不能从根本上解决存储对象的非法引用的缺陷，实现对存储对象的有效保护，从根本上防止存储对象的非法引用。

根据本发明的一个方面，提供一种用于防止存储对象非法引用的方法，其包括：

根据存储对象的引用用户的访问请求，确定相关的存储对象和所述引用用户的引用页面；

根据所确定的存储对象，查询授权引用页面列表；

判断所述引用页面是否位于所述授权引用页面列表中，

若所述引用页面位于所述授权引用页面列表中，则允许引用用户访问所述存储对象，

若所述引用页面不在所述授权引用页面列表中，则拒绝引用用户访问所述存储对象。

根据本发明的另一个方面，提供一种用于防止存储对象非法引用的系统，其包括：

引用页面确定单元，用于根据存储对象的引用用户的访问请求，确定相关的存储对象和所述引用用户的引用页面；

查询单元，用于根据所确定的存储对象，查询授权引用页面列表；

非法引用判断单元，用于判断所述引用页面是否位于所述授权引用页面列表中，若所述引用页面位于所述授权引用页面列表中，则允许引用用户访问所述存储对象；若所述引用页面不在所述授权引用页面列表中，则拒绝引用用户访问所述存储对象。

本发明提供的用于防止存储对象非法引用的方法及系统，通过确定引用用户的引用页面，并判断引用页面是否位于引用用户请求访问的存储对象设置的授权引用页面列表中，若是允许引用用户访问所述存储对象，反之拒绝访问请求，不仅为存储用户存储的资源内容提供了有效保护，防止其不被侵犯，而且为存储用户节约了存储资源的下行流量，节省了成本。

附图说明

为了更清楚地说明本发明中的技术方案，下面将对实施例描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明的用于防止存储对象非法引用的方法的一实施方式流程示意图；

图2为图1中步骤S11的子流程示意图；

图3为本发明的用于防止存储对象非法引用的方法的具体实现场景流程示意图；

图4为本发明用于防止存储对象非法引用的系统的一实施方式结构示意图；

图5为可以应用于实现本发明的终端设备或服务器的计算机系统的一实施方式的结构示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合本发明中的附图，对本发明中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

需要说明的是，在不冲突的情况下，本发明中的实施方式及实施方式中的特征可以相互组合。

本发明可用于众多通用或专用的计算系统环境或配置中。例如：个人计算机、服务器计算机、手持设备或便携式设备、平板型设备、多处理器系统、基于微处理器的系统、置顶盒、可编程的消费电子设备、网络PC、小型计算机、大型计算机、包括以上任何系统或设备的分布式计算环境等等。

本发明可以在由计算机执行的计算机可执行指令的一般上下文中描述，例如程序模块。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。也可以在分布式计算环境中实践本发明，在这些分布式计算环境中，由通过通信网络而被连接的远程处理设备来执行任务。在分布式计算环境中，程序模块可以位于包括存储设备在内的本地和远程计算机存储介质中。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”，不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

如图1所示，本发明的用于防止存储对象非法引用的方法的一实施方式流程示意图，其包括：

S11、根据存储对象的引用用户的访问请求，确定相关的存储对象和引用用户的引用页面；

S12、根据所确定的存储对象，查询授权引用页面列表；

S13、判断引用页面是否位于授权引用页面列表中，

若引用页面位于授权引用页面列表中，则允许引用用户访问存储对象，

若引用页面不在授权引用页面列表中，则拒绝引用用户访问存储对象。

本实施例中，存储用户首先对已经上传到存储桶(Bucket)中的存储对象(Object)开通防止非法引用功能，例如通过调用HTTP Restful API接口的方式请求开通。存储集群所在的服务器端收到存储用户开通防止非法引用功能的请求后，将存储用户传递的该存储对象的授权引用的页面列表保存在数据库中，例如增加一行记录。这里存储桶(Bucket)为存储用户在存储集群上创建的，存储桶是对象存储中的命名空间，相当于数据的容器，可以存储若干数据实体(Object)。当存储对象设置了防止非法引用功能后，该存储对象的访问即为受限访问的存储对象，对于未设置防止非法引用功能的存储对象认为其为开放访问的存储对象。在对存储对象成功设置了防止非法引用功能之后，存储用户会将其公开到其页面中以供用户访问。当引用用户对该存储对象发起访问请求时，存储集群在收到请求之后，首先确定对应的存储对象以及引用用户的引用页面，根据所确定的存储对象，在数据库中查询引用用户请求访问的存储对象，并查询该存储对象对应的授权引用页面列表。根据查询得到的该存储对象的授权引用页面列表，判断引用页面是否位于授权引用页面列表中，若是，则允许引用用户访问存储对象，给此引用用户返回存储对象，若否，则认为此引用用户为盗用者，拒绝引用用户访问存储对象。

通过如图1所示的方法，有效保护了存储用户的资源内容，防止其被非法侵犯，同时为存储用户节约了存储资源的下行流量，节省了成本。

如图2所示，为图1所示步骤S11的子流程示意图，其包括：

S110、根据存储对象的引用用户的访问请求，确定相关的存储对象及所述存储对象的类型；

S111、当存储对象的类型为受限访问时，自访问请求提取所述引用用户的引用页面的信息。

本实施例中，存储集群所在的服务器端在收到引用用户发起对存储对象的访问请求时，首先查找数据库，判断其所请求访问的存储对象是否设置了防止非法引用功能，即其所请求访问的存储对象是否是受限访问的存储对象。当判断其为受限访问时，从访问请求中提取引用用户的引用页面信息，当判断其为非受限访问，即开放访问时，允许引用用户访问存储对象，直接给此引用用户返回存储对象。这样，实现了存储用户对其存储资源内容的选择性保护，提高了存储用户资源使用的灵活性。

可选地，访问请求为HTTP请求，步骤S111中自访问访问请求提取引用用户的引用页面的信息包括：自访问请求的头信息中提取引用用户的引用页面的信息。一般来讲，从访问请求的HTTP_REFERER字段中取出引用的页面。这里需要说明的是，如果不能从访问请求中取出引用页面信息，例如访问请求中不带有HTTP_REFERER字段时，则认为此引用用户为盗用者，拒绝引用用户访问存储对象。

下面对本发明的用于防止存储对象非法引用的方法具体实现场景进行详细描述，如图3所示，其包括如下步骤：

S31、存储用户创建一个对象存储的存储桶bucket0，之后向bucket0内上传一个对象object0，存储集群收到存储对象上传对象的请求之后，将object0存储于存储集群的磁盘之中。

S32、存储用户申请对bucket0/object0这个对象开通防止非法引用功能，参数为：

endpoint:noreference

method:PUT

params:{bucket0/object0,“www.a.com”}

这里，存储用户通过HTTP Restful API接口的方式请求开通防止非法引用功能，其中endpoint表示路径名；method表示操作类型，其值可以为put或delete等，当为put时，表示开通或修改防止非法引用功能，当为delete时，表示请求删除防止非法引用功能的设置；params为具体参数，其中“www.a.com”即为授权访问页面列表，当有多个时通过标点符号分隔，这里表示仅允许www.a.com及其子域名访问bucket0/object0这个对象。

S33、存储集群所在的服务器端响应存储用户开通防止非法引用功能的请求，为存储用户设置防止非法引用功能。

当存储集群所在的服务器端收到存储用户开通防止非法引用的功能请求时，首先查询数据以判断bucket0/object0这个对象是否存在，如果不存在则直接返回404(NotFound),如果存在，则需要增加一行被授权访问的页面列表，即将允许访问的页面即授权访问页面列表写到数据库中。其中，授权访问页面列表支持一次性写入。即可以一次性添加授权访问页面列表，不需多次进行添加。同样修改时可以根据修改请求中的授权访问页面列表值完全覆盖原有的授权访问页面列表值即可完成修改。

S34、存储用户将bucket0/object0这个对象公开到其页面中。

例如存储用户的页面是www.a.com/index.html，切入的URL为(假设云存储厂商的域名为cloud.com)：cloud.com/bucket0/object0。

S35、引用用户发起对cloud.com/bucket0/object0的访问请求，存储集群所在的服务器端收到请求之后，判断引用用户的访问请求是否是非法引用，若为非法请求，则拒绝对cloud.com/bucket0/object0访问请求，若为合法请求，则允许对cloud.com/bucket0/object0的访问请求并向该引用用户返回cloud.com/bucket0/object0对象。

当存储集群所在的服务器端收到引用用户发起的对cloud.com/bucket0/object0对象的访问请求后，首先查找数据库，判断cloud.com/bucket0/object0对象是否存在，当不存在时，直接返回404(Not Found),否则判断该对象是否设置了非法引用功能，若是则从引用用户请求头部中带有的HTTP_REFERER字段中取出引用页面，若引用用户请求的头部中没有HTTP_REFERER字段即不能取出引用页面时，认为其是非法引用，直接返回403，反之进一步从数据库中取出该对象的授权引用页面列表，然后判断取出的引用页面是否与该对象的授权引用页面列表匹配，即引用页面是否位于授权引用页面列表中，如果能够和存储用户设置的授权引用页面列表匹配上，则认为是合法的请求，给该引用用户返回bucket0/object0，否则认为是盗用者，直接返回403。

本发明实施方式中可以通过硬件处理器(hardware processor)来实现相关功能模块。

需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作合并，但是本领域技术人员应该知悉，本发明并不受所描述的动作顺序的限制，因为依据本发明，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本发明所必须的。

在上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

如图4所示，本发明提供的用于防止存储对象非法引用的系统的一实施方式的结构示意图，其包括：

引用页面确定单元，用于根据存储对象的引用用户的访问请求，确定相关的存储对象和所述引用用户的引用页面；

查询单元，用于根据所确定的存储对象，查询授权引用页面列表；

非法引用判断单元，用于判断引用页面是否位于授权引用页面列表中，若引用页面位于授权引用页面列表中，则允许引用用户访问存储对象；若引用页面不在授权引用页面列表中，则拒绝引用用户访问存储对象。

可选地，所述引用页面确定单元还用于：

根据存储对象的引用用户的访问请求，确定相关的存储对象及存储对象的类型；

当存储对象的类型为受限访问时，自访问请求提取引用用户的引用页面的信息。

进一步可选地，访问请求为HTTP请求，自访问请求提取引用用户的引用页面的信息包括：自访问请求的头信息中提取引用用户的引用页面的信息。一般来讲，从访问请求的HTTP_REFERER字段中取出引用的页面。这里需要说明的是，如果不能从访问请求中取出引用页面信息，例如访问请求中不带有HTTP_REFERER字段时，则认为此引用用户为盗用者，拒绝引用用户访问存储对象。

进一步地，本发明还提供一种非瞬时性的计算机可读存储介质，所述存储介质中存储有一个或多个包括执行指令的程序，所述执行指令能够被带有控制界面的电子设备执行，以用于执行上述方法实施例中的相关步骤，例如：

根据存储对象的引用用户的访问请求，确定相关的存储对象和所述引用用户的引用页面；

根据所确定的存储对象，查询授权引用页面列表；

判断所述引用页面是否位于授权引用页面列表中，

若引用页面位于授权引用页面列表中，则允许引用用户访问存储对象，

若引用页面不在授权引用页面列表中，则拒绝引用用户访问存储对象。

图5为可以应用于实现本发明的终端设备或服务器500的计算机系统的一实施方式的结构示意图，本发明具体实施方式并不对设备或服务器500的计算机系统的具体实现做限定。如图5所示，该设备500可以包括：

处理器(processor)510、通信接口(Communications Interface)520、存储器(memory)530、以及通信总线540。其中：

处理器510、通信接口520、以及存储器530通过通信总线540完成相互间的通信。

通信接口520，用于与比如客户端等的网元通信。

处理器510，用于执行存储器530中的程序532，具体可以执行上述方法实施例中的相关步骤。

具体地，程序532可以包括程序代码，所述程序代码包括计算机操作指令。

处理器510可能是一个中央处理器CPU，或者是特定集成电路ASIC(ApplicationSpecific Integrated Circuit)，或者是被配置成实施本申请实施例的一个或多个集成电路。

存储器530，用于存放程序532。存储器530可能包含高速RAM存储器，也可能还包括非易失性存储器(non-volatile memory)，例如至少一个磁盘存储器。程序532具体可以用于使得所述计算机系统500执行以下操作：

根据存储对象的引用用户的访问请求，确定相关的存储对象和所述引用用户的引用页面；

根据所确定的存储对象，查询授权引用页面列表；

判断所述引用页面是否位于授权引用页面列表中，

若引用页面位于授权引用页面列表中，则允许引用用户访问存储对象，

若引用页面不在授权引用页面列表中，则拒绝引用用户访问存储对象。

以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性的劳动的情况下，即可以理解并实施。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件。基于这样的理解，上述技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行各个实施例或者实施例的某些部分所述的方法。

本领域内的技术人员应明白，本发明的实施方式可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施方式、完全软件实施方式、或结合软件和硬件方面的实施方式的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器和光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施方式的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (6)

1.一种用于防止存储对象非法引用的方法，其特征在于，包括：

根据存储对象的引用用户的访问请求，确定相关的存储对象和所述引用用户的引用页面；

根据所确定的存储对象，查询授权引用页面列表；

判断所述引用页面是否位于所述授权引用页面列表中，

若所述引用页面位于所述授权引用页面列表中，则允许引用用户访问所述存储对象，

若所述引用页面不在所述授权引用页面列表中，则拒绝引用用户访问所述存储对象。

2.根据权利要求1所述的方法，其特征在于，所述根据存储对象的引用用户的访问请求，确定相关的存储对象和所述引用用户的引用页面包括：

根据存储对象的引用用户的访问请求，确定相关的存储对象及所述存储对象的类型；

当所述存储对象的类型为受限访问时，自所述访问请求提取所述引用用户的引用页面的信息。

3.根据权利要求2所述的方法，其特征在于，所述访问请求为HTTP请求，所述自所述访问请求提取所述引用用户的引用页面的信息包括：自所述访问请求的头信息中提取所述引用用户的引用页面的信息。

4.一种用于防止存储对象非法引用的系统，其特征在于，包括：

引用页面确定单元，用于根据存储对象的引用用户的访问请求，确定相关的存储对象和所述引用用户的引用页面；

查询单元，用于根据所确定的存储对象，查询授权引用页面列表；

非法引用判断单元，用于判断所述引用页面是否位于所述授权引用页面列表中，若所述引用页面位于所述授权引用页面列表中，则允许引用用户访问所述存储对象；若所述引用页面不在所述授权引用页面列表中，则拒绝引用用户访问所述存储对象。

5.根据权利要求4所述的系统，其特征在于，所述引用页面确定单元还用于：

根据存储对象的引用用户的访问请求，确定相关的存储对象及所述存储对象的类型；

当所述存储对象的类型为受限访问时，自所述访问请求提取所述引用用户的引用页面的信息。

6.根据权利要求5所述的系统，其特征在于，所述访问请求为HTTP请求，所述自所述访问请求提取所述引用用户的引用页面的信息包括：自所述访问请求的头信息中提取所述引用用户的引用页面的信息。