CN107294913A - 基于http的安全通信方法、服务端及客户端 - Google Patents

Abstract

本申请的主要目的在于提供一种基于HTTP的安全通信方法、服务端及客户端，其中根据本申请一个实施例的安全通信方法包括：接收来自客户端的HTTP POST请求消息，其中携带有使用分块传输编码方式传输数据的信息；接收来自客户端的一个或多个数据块，其中封装有加密数据；解析所述一个或多个数据块获取到所述加密数据。通过本申请能够在兼顾网络穿透性和高可用性的条件下实现客户端与服务端之间的安全通信。

Description

基于HTTP的安全通信方法、服务端及客户端

技术领域

本申请涉及计算机技术领域，尤其涉及一种基于HTTP的安全通信方法、服务端及客户端。

背景技术

信息安全和隐私保护是互联网必须面对的挑战，传统的标准加密协议SSL/TLS或者私有加密协议都可以解决安全通信的问题。现有技术中，直接采用标准加密协议SSL/TLS或者私有加密协议进行通信的方案存在以下问题：在企业环境或运营商网络中设置了HTTP代理网关的情况下，加密报文无法被HTTP代理网关正常解析并转发，因而在这种场景下会导致APP与服务端之间通信失败。

使用HTTP Tunnel(HTTP隧道)技术可以在部分场景下解决HTTP代理网关只转发HTTP报文的问题，但要求APP先与HTTP Tunnel网关进行通信，再由HTTP Tunnel网关将加密报文填充进标准HTTP报文并转发给服务端；但是在链路上多一个网关转发节点，增加了部署的复杂度。

综上所述，采用标准加密协议或私有加密协议通信，在HTTP网关的代理下，都存在无法正常通信的情况。HTTP Tunnel技术可以在部分场景下解决标准加密协议的穿透性问题，但通信条件较多，需要支持HTTP Tunnel的代理服务器对APP和服务端之间的报文进行中转，增加了网络部署的复杂度以及成本。

发明内容

本申请的主要目的在于提供一种基于HTTP的安全通信方法、服务端及客户端，以克服现有技术中的上述问题。

根据本申请实施例提供一种基于HTTP的安全通信方法，其包括：接收来自客户端的HTTP POST请求消息，其中携带有使用分块传输编码方式传输数据的信息；接收来自客户端的一个或多个数据块，其中封装有加密数据；解析所述一个或多个数据块获取到所述加密数据。

根据本申请实施例提供一种基于HTTP的安全通信方法，其包括：向服务端发送HTTP POST请求消息，其中设置使用分块传输编码方式传输数据；将预先获取的加密数据封装在一个或多个数据块中发送至所述服务端。

根据本申请实施例提供一种服务端，其包括：请求消息接收模块，用于接收来自客户端的HTTP POST请求消息，其中携带有使用分块传输编码方式传输数据的信息；第一数据接收模块，用于接收来自客户端的一个或多个数据块，其中封装有加密数据；第一解析模块，用于解析所述一个或多个数据块获取到所述加密数据。

根据本申请实施例提供一种客户端装置，其包括：请求消息发送模块，用于向服务端发送HTTP POST请求消息；第二设置模块，用于设置所述HTTP POST请求消息的数据传输方式为分块传输编码方式；第二数据发送模块，用于将预先获取的加密数据封装在一个或多个数据块中发送至所述服务端。

根据本申请的技术方案，通过将私有加密协议或标准加密协议报文填入标准HTTP协议的报文内部，能够正常通过HTTP代理网关对报文的检查和转发，支持在客户端(APP)与服务端之间基于标准HTTP协议直接进行安全通信，在兼顾网络穿透性和高可用性的条件下实现客户端与服务端之间的安全通信。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1是根据本申请一个实施例的服务端的安全通信方法的流程图；

图2是根据本申请另一实施例的服务端的安全通信方法的流程图；

图3是根据本申请一个实施例的客户端的安全通信方法的流程图；

图4是根据本申请实施例的客户端与服务端交互的示意图；

图5是根据本申请实施例的服务端和客户端的结构框图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合本申请具体实施例及相应的附图对本申请技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

本申请通过将加密数据报文封装入HTTP标准报文的通信方式实现加密通信，在各类HTTP网关都能正常识别协议的情况下，不影响客户端与服务端之间加密通信的穿透性，并能够兼顾通信的安全性和高可用性。

图1是根据本申请一个实施例的服务端的基于HTTP的安全通信方法的流程图，如图1所示，所述方法包括：

步骤S102，接收来自客户端的HTTP POST请求消息，其携带有使用分块传输编码方式传输数据的信息。

分块传输编码(Chunked transfer encoding)是HTTP(超文本传输协议)1.1版本所提供的一种数据传输机制，其数据分解成若干块小数据在服务端和客户端(例如APP客户端)之间进行传输。在本申请实施例中，采用基于HTTP POST方法进行服务端和客户端的安全通信，并在HTTP POST请求消息中设置使用分块传输编码方式传输数据。

步骤S104，接收来自客户端的一个或多个数据块，其中封装有加密数据。

在本步骤之前，客户端将预先获取的加密数据根据分块传输编码的要求进行编码，将加密数据封装在一个或多个数据块(data chunk)中传输至服务端。

步骤S106，解析所述一个或多个数据块获取到所述加密数据。

根据本申请实施例，服务端接收到一个或多个数据块后，对所述一个或多个数据块进行解码从而获得完整的数据报文，并通过其中的数据部分获取得到加密数据，从而实现了安全通信。

参考图2，是根据本申请另一实施例的服务端的基于HTTP的加密通信方法的流程图，如图2所示，所述方法包括：

步骤S202，服务端与客户端建立连接之后，服务端接收来自客户端的HTTP POST请求消息；

步骤S204，服务端接收到来自客户端的HTTP POST请求消息后，首先要判断HTTP通信是标准的HTTP通信还是HTTP安全通信，若是则执行步骤S208，否则执行步骤S206。

在本申请实施例中，将基于HTTP协议的标准的HTTP通信称为HTTP标准通信，将本申请实施例提供的基于HTTP协议的能够实现的加密通信称为HTTP安全通信。

在实际应用中，HTTP协议的通用端口为80或8080，由于使用通用端口的网络穿透性(即指任何一种协议的报文，能够正常从客户端发送至服务端、或从服务端返回至客户端，不会被任何中间节点拦截或丢弃的能力)相对较好，因此HTTP安全通信也使用通用端口80或8080。但是这样一来就要求服务端在同一个端口下兼容HTTP标准通信和HTTP安全通信。为了识别HTTP标准通信和HTTP安全通信，服务端和客户端预先协商表示HTTP安全通信的标识信息。具体地，可以在HTTP POST请求消息的请求行中设置表示HTTP安全通信的标识信息，例如：

HTTP安全通信：POST/L7HTTP/1.1

HTTP标准通信：POST/hello HTTP/1.1

在上述例子中通过请求URI(Request-URI)字段表示HTTP安全通信，也就是说判断前n个字节是否为约定的固定标识。在本实施例中，服务端会读取客户端发送过来的数据，并尝试匹配头8个字节是否为“POST/L7”，如果能匹配上，则表示客户端使用的是根据本申请实施例的HTTP安全通信，否则表示HTTP标准通信。需要说明，上述的表示HTTP安全通信的请求URI可根据具体业务场景设置，为了兼容HTTP/1.1标准协议，此处使用的请求URI应设置为未在具体业务场景中使用的特殊URI。

步骤S206，判断为HTTP标准通信，进行HTTP明文解析，具体处理过程此处不再赘述。

步骤S208，判断为HTTP安全通信，服务端解析POST请求头，逐行解析Transfer-encoding(传输方式)、Content-type(内容类型)等头部信息。待头部信息解析完毕后，再解析数据块(data chunk)部分，取出加密数据交给服务端的解密模块进行解密处理。

步骤S210，服务端向客户端发送HTTP响应消息，表示对客户端的正常应答。

步骤S212，服务端解析data chunk并解密数据报文。

以上步骤描述的是客户端接收数据的处理过程。

发送数据时，服务端将加密数据封装入data chunk并发送至客户端。

下面描述根据本申请实施例的客户端的基于HTTP的加密通信方法的流程图，如图3所示，所述方法包括：

步骤S302，客户端向服务端发送HTTP POST请求消息，其中设置采用分块传输编码方式传输数据。

具体地，客户端在HTTP POST请求消息中设置：

Transfer-encoding：chunked(表示使用chunked格式传输数据)；

Content-type：application/octet-stream(表示内容类型为二进制流)；由于该字段表示传输内容无法被解析为html等格式化文本，因此http网关一般不会对其内容做篡改以插入其他信息内容，从而能够避免中间网关对传输内容做篡改。

此外，客户端还需要在HTTP POST请求消息中设置表示HTTP安全通信的标识信息。例如，设置HTTP POST请求消息的请求行中的前8个字节为“POST/L7”来表示使用基于HTTP的安全通信。

步骤S304，所述客户端将预先获取的加密数据封装在一个或多个数据块中发送至所述服务端。其中，客户端可以对待传输的数据进行加密处理或者直接获取到经过加密处理的传输数据。

所述客户端接收来自所述服务端的HTTP响应消息，其中携带有使用分块传输编码方式传输数据的信息。

根据本申请实施例，发送数据时客户端将加密数据封装在data chunk中发送至服务端；接收数据时直接去掉POST头部以及data chunk头部，将datachunk的数据部分交由客户端的解密模块进行解密处理即得到传输的数据。

下面参考图4，是客户端与服务端之间交互的示意图，如图4所示：

步骤S402，客户端向服务端发起HTTP POST请求，其中设置：

Transfer-encoding：chunked(表示使用chunked格式传输数据)；

Content-type：application/octet-stream(表示内容类型为二进制流)，以避免中间网关对内容做篡改。

步骤S404，客户端向服务端发送data chunk，其内容为需要发送的加密数据，例如加密请求A；

步骤S406，服务端向客户端返回HTTP/1.1 200OK，表示对客户端的正常响应，其中设置：

Transfer-encoding:chunked(表示使用chunked格式传输数据)；

Content-type:application/octet-stream(表示内容类型为二进制流)，以避免中间网关对内容做篡改。

步骤S408，服务端向客户端返回data chunk，其内容为需要发送的加密数据，例如对加密请求A的加密响应A’。

步骤S410，之后客户端和服务端通过data chunk进行加密数据交互。需要说明，服务端和客户端预先协商数据的加密/解密方式，例如可为任意私有加密协议或标准化加密通信协议(例如SSL/TLS)，本申请对此不进行限制。

下面结合图5描述根据本申请实施例的服务端和客户端的结构。如图5所示，所述服务端包括：

请求消息接收模块51，用于接收来自客户端的HTTP POST请求消息，其中携带有使用分块传输编码方式传输数据的信息；

第一数据接收模块52，用于接收来自客户端的一个或多个数据块(datachunk)，其中封装有加密数据；

第一解析模块53，用于解析所述一个或多个数据块获取到所述加密数据。

响应消息发送模块54，用于向所述客户端发送HTTP响应消息；

第一设置模块55，用于设置所述HTTP响应消息的数据传输方式为分块传输编码方式；所述第一设置模块55还用于设置所述HTTP响应消息的内容类型为二进制流。

第一数据发送模块56，用于将预先获取的加密数据封装在一个或多个数据块中发送至所述客户端。

判断模块(未示出)，用于在所述请求消息接收模块51接收到HTTPPOST请求消息后，判断其中是否具有表示HTTP安全通信的标识信息，若是则所述服务端与所述客户端进行HTTP安全通信，否则进行HTTP标准通信。

继续参考图5，所述客户端包括：

请求消息发送模块61，用于向服务端发送HTTP POST请求消息，其消息头中设置采用分块传输编码方式传输数据。

第二设置模块62，用于设置所述HTTP POST请求消息的数据传输方式为分块传输编码方式。

第二数据发送模块63，用于将预先获取的加密数据封装在一个或多个数据块中发送至所述服务端；所述第二设置模块还用于设置所述HTTP POST请求消息的内容类型为二进制流。

响应消息接收模块64，用于接收来自所述服务端的HTTP响应消息，其中携带有使用分块传输编码方式传输数据的信息。

第二数据接收模块65，用于接收来自客户端的一个或多个数据块，其中封装有加密数据；

第二解析模块66，用于解析所述一个或多个数据块获取到所述加密数据。

安全通信标识设置模块(未示出)，用于在所述HTTP POST请求消息中设置表示HTTP安全通信的标识信息。

本申请的方法的操作步骤与装置的结构特征对应，可以相互参照，不再一一赘述。

综上所述，根据本申请的技术方案具有以下技术效果：

(1)本申请通过将加密报文封装入HTTP标准报文格式的通信方式，能够兼顾APP与服务端之间通信的安全性和高可用性；

(2)本申请通过服务端和客户端分别支持加密报文的HTTP封装和解包，不需要通过中间网关的转发和报文翻译就可以实现直接通信；

(3)本申请通过服务端能够在监听同一个端口的前提下兼容标准HTTP通信和基于HTTP的安全通信；

(4)本申请可以配合客户端预设的协议选择策略和服务端网络调度策略进行使用，能够明显提高在企业网关或运营商代理网络等特殊网络环境下，客户端与服务端之间通信的可靠性。

本领域技术人员应明白，本申请的实施例可提供为方法、系统或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flashRAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

以上所述仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (16)

1.一种基于HTTP的安全通信方法，其特征在于，包括：

接收来自客户端的HTTP POST请求消息，其中携带有使用分块传输编码方式传输数据的信息；

接收来自客户端的一个或多个数据块，其中封装有加密数据；

解析所述一个或多个数据块获取到所述加密数据。

2.根据权利要求1所述的方法，其特征在于，还包括：

向所述客户端发送HTTP响应消息，其中设置使用分块传输编码方式传输数据；

将预先获取的加密数据封装在一个或多个数据块中发送至所述客户端。

3.根据权利要求2所述的方法，其特征在于，还包括：

设置所述HTTP响应消息的内容类型为二进制流。

4.根据权利要求1所述的方法，其特征在于，还包括：

在接收到HTTP POST请求消息后，判断其中是否具有表示HTTP安全通信的标识信息，若是则所述服务端与所述客户端进行HTTP安全通信，否则进行HTTP标准通信。

5.一种基于HTTP的安全通信方法，其特征在于，包括：

向服务端发送HTTP POST请求消息，其中设置使用分块传输编码方式传输数据；

将预先获取的加密数据封装在一个或多个数据块中发送至所述服务端。

6.根据权利要求5所述的方法，其特征在于，还包括：

设置所述HTTP POST请求消息的内容类型为二进制流。

7.根据权利要求5所述的方法，其特征在于，还包括：

接收来自所述服务端的HTTP响应消息，其中携带有使用分块传输编码方式传输数据的信息。

8.根据权利要求5所述的方法，其特征在于，还包括：

在所述HTTP POST请求消息中设置表示HTTP安全通信的标识信息。

9.一种服务端，其特征在于，包括：

请求消息接收模块，用于接收来自客户端的HTTP POST请求消息，其中携带有使用分块传输编码方式传输数据的信息；

第一数据接收模块，用于接收来自客户端的一个或多个数据块，其中封装有加密数据；

第一解析模块，用于解析所述一个或多个数据块获取到所述加密数据。

10.根据权利要求9所述的服务端，其特征在于，还包括：

响应消息发送模块，用于向所述客户端发送HTTP响应消息；

第一设置模块，用于设置所述HTTP响应消息的数据传输方式为分块传输编码方式；

第一数据发送模块，用于将预先获取的加密数据封装在一个或多个数据块中发送至所述客户端。

11.根据权利要求10所述的服务端，其特征在于，所述第一设置模块，还用于设置所述HTTP响应消息的内容类型为二进制流。

12.根据权利要求9所述的服务端，其特征在于，还包括：

判断模块，用于在所述请求消息接收模块接收到HTTP POST请求消息后，判断其中是否具有表示HTTP安全通信的标识信息，若是则所述服务端与所述客户端进行HTTP安全通信，否则进行HTTP标准通信。

13.一种客户端，其特征在于，包括：

请求消息发送模块，用于向服务端发送HTTP POST请求消息；

第二设置模块，用于设置所述HTTP POST请求消息的数据传输方式为分块传输编码方式；

第二数据发送模块，用于将预先获取的加密数据封装在一个或多个数据块中发送至所述服务端。

14.根据权利要求13所述的客户端，其特征在于，所述第二设置模块，还用于设置所述HTTP POST请求消息的内容类型为二进制流。

15.根据权利要求13所述的客户端，其特征在于，还包括：

响应消息接收模块，用于接收来自所述服务端的HTTP响应消息，其中携带有使用分块传输编码方式传输数据的信息；

第二数据接收模块，用于接收来自客户端的一个或多个数据块，其中封装有加密数据；

第二解析模块，用于解析所述一个或多个数据块获取到所述加密数据。

16.根据权利要求13所述的客户端，其特征在于，还包括：

安全通信标识设置模块，用于在所述HTTP POST请求消息中设置表示HTTP安全通信的标识信息。