CN106878335A - 一种用于登录验证的方法及系统 - Google Patents

Abstract

本发明提供一种用于登录验证的方法及系统，该方法包括：步骤S1、获取用户登录IP，当所述IP的访问次数未超过访问阈值时，IP验证通过；步骤S2、获取用户输入的用户名，当确定所述用户名合法时，用户名验证通过；步骤S3、当确定所述用户名存在对应的验证标识时，继续执行注册、登录或找回密码程序。该系统对应的设置IP验证模块、用户名验证模块、标识验证模块和标识设置模块，以实现对请求验证接口时的验证过程。本发明的用于登录验证的方法及系统，能够有效的提高账户安全性，防止恶意刷接口的操作。

Description

一种用于登录验证的方法及系统

技术领域

本发明涉及登录验证技术，更具体地，涉及一种用于登录验证的方法及系统。

背景技术

网络信息技术的不断发展，使通信与计算机技术的融合应用成为信息产业发展的趋势。同时，网上交易和各类网络操作越来越频繁，而网络攻击或恶意操作给用户造成很多不便，也会造成账号安全性问题。

目前，在应对恶意操作的验证方法中，可通过设置信任的IP白名单的方式以避免被攻击。更进一步，如公开号为CN102801717A的中国专利申请，公开了登录验证方法及系统，该方法通过验证当前用户的硬件ID信息是否准确，若是，则通过验证，若否，则拒绝。在此基础上，进一步验证当前登录用户的IP是否为预设可登录IP，若是，则进入验证当前登录用户的硬件ID信息或用户名密码步骤，若否，则拒绝当前登录用户登录。

该方法通过对用户的硬件ID信息以及IP信息进行验证，能够有效的防止受到攻击。但是，该方法依然采用了预设可登录IP的方式，使其应用受到一定的限制，此外，其验证信息均是由用户端输入或生成，难以避免被篡改的可能。

发明内容

为克服上述问题或者至少部分地解决上述问题，本发明提供了一种用于登录验证的方法及系统，以解决注册、登录或找回密码的请求接口被恶意调用、安全性不够的技术问题。

根据本发明的一个方面，提供一种用于登录验证的方法，包括：

步骤S1、获取用户登录IP，当所述IP的访问次数未超过访问阈值时，IP验证通过；

步骤S2、获取用户输入的用户名，当确定所述用户名合法时，用户名验证通过；

步骤S3、当确定所述用户名存在对应的验证标识时，继续执行注册、登录或找回密码程序。

进一步地，执行注册、登录或找回密码程序后，对该用户名重新设置对应的验证标识，以替换原先的验证标识。

进一步地，步骤S1进一步包括：获取所述IP后，当所述IP的访问次数为0时，设置所述用户名和IP记录的有效期限。

进一步地，步骤S1还进一步包括：获取所述IP后，将所述IP的访问次数加1。

进一步地，步骤S2进一步包括：当所述用户名验证通过后，将验证次数加1。

进一步地，步骤S3还进一步包括：当所述用户名不存在对应的验证标识，且所述用户名的验证次数未超过验证阈值时，设置该用户名对应的验证标识，以进一步执行注册、登录或找回密码程序。

进一步地，所述验证标识包括前缀部分和SESSION值，所述前缀部分为所述用户名的唯一性标识，所述SESSION值为所述用户名通过验证的标识。

进一步地，所述用户名及其对应的验证标识存储于会话对象中。

进一步地，所述前缀部分包括前缀和用户名，且所述前缀部分用于区分缓存数据。

本发明还提供一种用于登录验证的系统，包括：

IP验证模块，用于获取当前用户的登录IP，当所述IP的访问次数未超过访问阈值时，IP验证通过；

用户名验证模块，用于获取当前用户输入的用户名，并验证所述用户名的合法性；

标识验证模块，用于判断所述用户名是否存在对应的验证标识，当存在验证标识时，继续执行注册、登录或找回密码程序。

本发明提出的一种用于登录验证的方法及系统，其有益效果主要如下：

(1)通过依次对用户的IP、用户名及用户名对应的验证标识进行验证，能够有效防止验证接口被恶意调用，且其不必预设可信任IP，增强了其适用性；

(2)在用户名通过验证后，对用户名重新设置对应的验证标识，以减少下一次请求验证接口时的验证过程，提高验证效率；更进一步，用户名及对应的验证标识存储于服务器端的会话对象中，能够避免被伪造，进一步防止验证接口被恶意调用的操作；

(3)设置当前IP在有效期限内调用验证接口的阈值，以及通过用户名验证的验证阈值，进一步防止刷接口的操作。

附图说明

图1为根据本发明实施例中一种用于登录验证的方法的流程示意图；

图2为根据本发明实施例中一种用于登录验证的方法的流程示意图；

图3为根据本发明实施例中一种用于登录验证的系统的示意图。

具体实施方式

下面结合附图和实施例，对本发明的具体实施方式作进一步详细描述。以下实施例用于说明本发明，但不用来限制本发明的范围。

参见图1所示，本发明提供一种用于登录验证的方法，用于防止恶意刷接口的行为，其包括以下步骤：

步骤S1、获取用户登录IP，当所述IP的访问次数未超过访问阈值时，IP验证通过；

步骤S2、获取用户输入的用户名，当确定所述用户名合法时，用户名验证通过；

步骤S3、当确定所述用户名存在对应的验证标识时，继续执行注册、登录或找回密码程序。

当用户在用户端请求验证接口时，用户端将用户请求验证接口时的IP信息输送至服务器端，服务器端对该IP的访问次数进行验证，以防止验证接口被恶意调用。当同一IP的访问次数超过访问阈值时，将中断验证，返回提示信息。

在对用户IP信息验证的基础上，再对当前用户输入的用户名进行验证，并记录验证信息，以便于进一步的验证。

当用户IP和用户名的验证均通过后，再进一步对用户名是否存在验证标识进行验证，只有进一步通过该验证，才能够被允许执行注册、登录或找回密码程序。

因此，当用户请求验证接口时，对用户的IP、用户名以及用户名对应的验证标识依次进行验证，能够有效防止恶意调用或刷接口的操作。同时，在服务器端进行验证标识的验证，能够避免标识被伪造，保证接口验证的安全性，进一步防止恶意调用或刷接口的操作。

当依次通过IP信息验证、用户名验证或用户名的验证标识验证后，用户请求验证接口的请求被服务器接受，用户得以继续进行注册、登录或找回密码的操作。在一个具体的实施例中，还进一步包括步骤S4、当执行注册、登录或找回密码程序后，对该通过验证后的用户名重新设置对应的验证标识，以替换原先的验证标识。

当被允许执行注册、登录或找回密码程序，表明该用户是在合法、正常的使用验证接口，而非恶意调用或恶意刷接口的行为。重新设置用户名对应的验证标识，以标识正常请求验证接口的用户名。在不关闭浏览器的前提下，当该用户名使用相同的IP再次请求验证接口时，即可直接被允许进行相关操作，而无需再进行后续的验证，不仅减少了程序调用，提高了效率，又能够防止恶意的刷新接口。

参见图2所示，在另一个具体的实施例中，步骤S1进一步包括：获取当前用户的IP后，当当前用户IP的访问次数为0时，设置当前用户的用户名和IP记录的有效期限。

当前用户在用户端输入用户名以请求验证接口时，若该用户为首次请求验证接口，则其访问次数在服务器的缓存中并没有相应的记录，或者说访问次数为0，此时，将当前用户的用户名及IP信息记录入缓存中，并设置该用户名和IP记录的有效期限。

设置用户名及IP记录的有效期限，在该有效期限内，便于合理地设置同一用户请求验证接口次数的访问阈值。在一个具体的实施例中，设置其有效期限为一天。

在另一个具体的实施例中，步骤S1还进一步包括：获取当前用户的IP后，将该IP的访问次数加1。当前用户请求验证接口时，服务器获取当前用户的IP后，其访问次数即增加1次。

当前用户在一天之内多次请求验证接口时，其IP以及请求验证接口的累积次数记录于服务器端的缓存中。用户每次调用该接口时，服务器首先判断当前用户的IP是否记录在缓存中。

若缓存中已有相应的IP记录，再进一步对该用户的访问次数是否超过访问阈值进行判断，一旦超过访问阈值，则返回提示信息，中止验证。设置同一IP用户的访问阈值，以限制同一IP在一天之内调用验证接口的次数，从而抑制接口被恶意调用。并且，不必预设可信任IP，而是通过控制对同一IP调用该接口的次数以避免恶意操作，能够增强其适用性。

IP验证通过后，再对用户名进行验证。在注册或登录期间对用户名进行验证时，主要是验证该用户名中是否有非法字段或敏感词；在找回密码期间对用户名进行验证时，在验证用户名中是否存在非法字段或敏感词的同时，还需验证该用户名是否存在。当用户名中存在非法字段或敏感词，或者该用户名不存在时，返回提示信息，中止验证请求。

在另一个具体的实施例中，步骤S2中，在用户名与IP记录的有效期限内，当用户名验证通过后，将该用户名验证通过的验证次数增加1次，并将该验证次数对应于用户名。当前用户的IP和用户名验证均通过后，记录其通过验证的验证次数，便于后续进一步控制恶意调用接口。

在另一个具体的实施例中，当前用户请求验证接口时的IP和访问次数，以及用户名和相应的验证次数均存储于分布式高速缓存(英文简称：MemCache)中。MemCache是由LiveJournal的Brad Fitzpatrick开发，用以提升网站的访问速度，尤其对于一些大型的、需要频繁访问数据库的网站，其访问速度提升效果十分显著。

在另一个具体的实施例中，步骤S3中，当用户名不存在验证标识时，需进一步对该用户名通过用户名验证的验证次数是否超过验证阈值进行判断。

若未超过验证阈值，则设置该用户名对应的验证标识，并进一步执行注册、登录或找回密码程序；

当超过验证阈值时，则返回提示信息。当超过验证阈值时，将会中止验证过程。

进一步地，在设置用户名对应的验证标识时，若因为程序操作或其他原因，而致使验证标识未设置成功时，返回提示信息，中止验证过程。

在用户名不存在验证标识的情况下，通过辨别用户名通过验证的验证次数，以分别处理对验证接口的正常请求或异常请求情况，进一步防止恶意调用操作。

在另一个具体的实施例中，用于标识用户名的验证标识包括前缀部分和SESSION值。前缀部分为用户名的唯一性标识，SESSION值为用户名通过验证的标识。

验证标识用带有前缀的SESSION值以标识通过验证的用户名，或者，标识被允许进行注册、登录或找回密码操作后的用户名，使进行正常操作的用户能够正常的进行注册、登录或找回密码操作，而非正常操作时，用户名无法取得验证标识，而被限制继续操作。

当该用户名的IP验证和用户名验证通过后，若该用户名是首次使用，则设置一个前缀部分，以使前缀部分与用于标识用户名通过验证的SESSION值相对应。当该用户名由同一IP再次请求验证时，若IP验证和用户名验证均通过后，通过该前缀部分便能查找到相应的SESSION值，以直接执行注册、登录或找回密码程序，从而简化了验证过程，也增强了验证安全性。

在另一个具体的实施例中，用户名及其对应的验证标识存储于会话对象中。会话(英文简称：SESSION)是一种持久网络协议，在用户(或用户代理)端和服务器端之间创建关联，从而起到交换数据包的作用。会话在网络协议中是非常重要的部分。

将用户名与对应的验证标识对应存储于会话对象(SESSION对象)中，当当前用户在不关闭浏览器的前提下、在浏览页面之间跳转时，存储在SESSION对象中的、与用户名对应的验证标识并不会丢失，而是在整个会话中一直保留。

因此，用户请求验证接口通过后，在用户不关闭浏览器的前提下，当前用户再次请求验证接口时，则只需进行IP和用户名的验证。当IP和用户名验证通过后，则无需再对用户名的验证次数进行判断，提高了效率。

同时，SESSION对象存在于服务器端，即用户名与用户名对应的验证标识存储于服务器端，避免被伪造，能够有效防止恶意刷新接口的操作。

在另一个具体的实施例中，前缀部分包括用户名和前缀，且前缀部分用于区分缓存数据。进一步地，该前缀部分存储于缓存中，具体地，可以存储于redis缓存中，以标识不同的用户名，用于区分不同的用户，以利于快速查找。

具体地，当该用户名为首次使用时，在其通过用户名验证后，即以预先定义的前缀设置用户名，以形成前缀_用户名的前缀部分，并将该前缀部分存储于redis缓存中。

用户名和用户名对应的验证标识存储于会话对象中，当用户关闭浏览器后，对应的验证标识会丢失，再次请求验证接口时，则需重新进行IP验证、用户名验证，并根据前缀部分重新设置对应的验证标识。而由于用户的IP和用户名，以及前缀部分是存储于服务器端的缓存中，当关闭浏览器后，关于用户的IP、用户名，以及前缀部分的数据不会丢失，便于对用户名对应的验证标识的设置和查找。

在另一个具体的实施例中，由SESSION操作应用程序编程接口(英文简称：API)调用set()函数以设置验证标识。当用户名通过验证后，且其当天的通过验证的验证次数未超过验证阈值，或者，当前用户名被允许进行注册、登录或找回密码操作后，直接由SESSION控制以实现用户名验证标识的设置，用户名与所设置的验证标识对应存储于SESSION对象中。

参见图3所示，本发明提供一种用于登录验证的系统，包括：

IP验证模块，用于获取当前用户的登录IP，当所述IP的访问次数未超过访问阈值时，IP验证通过；

用户名验证模块，用于获取当前用户输入的用户名，并验证所述用户名的合法性；

标识验证模块，用于判断所述用户名是否存在对应的验证标识，当存在验证标识时，继续执行注册、登录或找回密码程序。

在一个具体的实施例中，一种用于登录验证的系统，还进一步包括标识设置模块：执行注册、登录或找回密码程序后，对该用户名重新设置对应的验证标识，以替换原先的验证标识。

在另一个具体的实施例中，一种用于登录验证的系统，IP验证模块还用于：获取当前用户的IP后，当所述IP的访问次数为0时，设置所述用户名和IP记录的有效期限。

在另一个具体的实施例中，一种用于登录验证的系统，IP验证模块还用于：获取当前用户的IP后，将所述IP的访问次数加1。

在另一个具体的实施例中，一种用于登录验证的系统，用户名验证模块还用于：当所述用户名验证通过后，将验证次数加1。

在另一个具体的实施例中，一种用于登录验证的系统，标识验证模块还用于：当所述用户名不存在对应的验证标识，且所述用户名的验证次数未超过验证阈值时，设置该用户名对应的验证标识，以进一步执行注册、登录或找回密码程序。

在另一个具体的实施例中，一种用于登录验证的系统，标识验证模块还用于：设置用户名的验证标识，使验证标识包括前缀部分和SESSION值，所述前缀部分为所述用户名的唯一性标识，所述SESSION值为所述用户名通过验证的标识。

在另一个具体的实施例中，一种用于登录验证的系统，标识验证模块还用于：将所述用户名及其对应的验证标识存储于会话对象中。

在另一个具体的实施例中，一种用于登录验证的系统，标识验证模块还用于：设置所述前缀部分，所述前缀部分包括前缀和用户名，且所述前缀部分用于区分缓存数据。

在另一个具体的实施例中，一种用于登录验证的系统，标识设置模块还用于：在执行注册、登录或找回密码程序后，设置用户名的验证标识，使验证标识包括前缀部分和SESSION值，所述前缀部分为所述用户名的唯一性标识，所述SESSION值为所述用户名通过验证的标识。

在另一个具体的实施例中，一种用于登录验证的系统，标识设置模块还用于：将所述用户名及其对应的验证标识存储于会话对象中。

本发明的一种用于登录验证的方法，当当前用户请求验证接口时，对当前用户的IP、用户名及用户名对应的验证标识进行依次验证，验证均通过后，才能够进一步执行注册、登录或找回密码的程序。并在执行注册、登录或找回密码的程序后，重新设置该用户名的验证标识，以简化再次登录时的验证过程。

针对登录验证的方法，还提供一种用于登录验证的系统，包括IP验证模块、用户名验证模块以及标识验证模块和标识设置模块，以实现防止刷接口的操作。

最后，本申请的方法仅为较佳的实施方案，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种用于登录验证的方法，其特征在于，其包括：

步骤S1、获取用户登录IP，当所述IP的访问次数未超过访问阈值时，IP验证通过；

步骤S2、获取用户输入的用户名，当确定所述用户名合法时，用户名验证通过；

步骤S3、当确定所述用户名存在对应的验证标识时，继续执行注册、登录或找回密码程序。

2.如权利要求1所述的一种用于登录验证的方法，其特征在于，还进一步包括步骤S4：执行注册、登录或找回密码程序后，对该用户名重新设置对应的验证标识，以替换原先的验证标识。

3.如权利要求1所述的一种用于登录验证的方法，其特征在于，步骤S1进一步包括：获取所述IP后，当所述IP的访问次数为0时，设置所述IP记录的有效期限。

4.如权利要求1或3所述的一种用于登录验证的方法，其特征在于，步骤S1还进一步包括：获取所述IP后，将所述IP的访问次数加1。

5.如权利要求4所述的一种用于登录验证的方法，其特征在于，步骤S2进一步包括：当所述用户名验证通过后，将验证次数加1。

6.如权利要求5所述的一种用于登录验证的方法，其特征在于，步骤S3还进一步包括：当所述用户名不存在对应的验证标识，且所述用户名的验证次数未超过验证阈值时，设置该用户名对应的验证标识，以进一步执行注册、登录或找回密码程序。

7.如权利要求1或2所述的一种用于登录验证的方法，其特征在于：所述验证标识包括前缀部分和SESSION值，所述前缀部分为所述用户名的唯一性标识，所述SESSION值为所述用户名通过验证的标识。

8.如权利要求7所述的一种用于登录验证的方法，其特征在于：所述用户名及其对应的验证标识存储于会话对象中。

9.如权利要求7所述的一种用于登录验证的方法，其特征在于：所述前缀部分包括前缀和用户名，且所述前缀部分用于区分缓存数据。

10.一种用于登录验证的系统，其特征在于，其包括：

IP验证模块，用于获取当前用户的登录IP，当所述IP的访问次数未超过访问阈值时，IP验证通过；

用户名验证模块，用于获取当前用户输入的用户名，并验证所述用户名的合法性；

标识验证模块，用于判断所述用户名是否存在对应的验证标识，当存在验证标识时，继续执行注册、登录或找回密码程序。