CN107295024A - 一种实现Web前端安全登陆和访问的方法 - Google Patents

一种实现Web前端安全登陆和访问的方法 Download PDF

Info

Publication number
CN107295024A
CN107295024A CN201710735439.2A CN201710735439A CN107295024A CN 107295024 A CN107295024 A CN 107295024A CN 201710735439 A CN201710735439 A CN 201710735439A CN 107295024 A CN107295024 A CN 107295024A
Authority
CN
China
Prior art keywords
user
request
web front
server
accessed
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201710735439.2A
Other languages
English (en)
Inventor
郭烨荣
常清雪
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Sichuan Changhong Electric Co Ltd
Original Assignee
Sichuan Changhong Electric Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Sichuan Changhong Electric Co Ltd filed Critical Sichuan Changhong Electric Co Ltd
Priority to CN201710735439.2A priority Critical patent/CN107295024A/zh
Publication of CN107295024A publication Critical patent/CN107295024A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H04L63/0838—Network architectures or network communication protocols for network security for authentication of entities using passwords using one-time-passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]

Abstract

本发明涉及网络安全访问控制技术，其公开了一种实现web前端安全登陆和访问的方法，提高web前端登陆和访问的安全性。该方法包括：a.定义$http请求服务，包括http请求规则的定义；b.web前端获取用户输入的登陆信息以及从服务器获取的随机码一并进行封装；c.web前端对封装后的数据采用RSA公钥进行统一加密；d.web前端对加密后的数据运用定义的http规则发送给服务器；d.服务器对请求规则进行验证，验证通过后利用RSA私钥解密数据获得用户登陆信息及随机码；e.服务器对用户登陆信息进行验证匹配，对随机码进行验证匹配，均通过后对用户登陆授权。本发明适用于web前端安全登陆和访问控制。

Description

一种实现Web前端安全登陆和访问的方法
技术领域
本发明涉及网络安全访问控制技术，具体涉及一种实现web前端安全登陆和访问的方法。
背景技术
随着互联网技术的发展，网络信息的安全已被广泛的关注，WEB安全的重点正从服务器端转移到WEB前端。伴随着HTML 5新技术的兴起，WEB前端的安全问题更为突出。例如HTML5中的新标签属性、webworkers、web storage、postmessage、css3等技术提高了web前端页面性能的同时也带来了安全隐患。对于防御网站攻击行为的有效措施，一是减少前端页面自身漏洞，尤其是HTML5页面新增的部分功能，减少被攻击的可能性，其二就是在这基础上，对所操作系统的用户信息进行处理，保护敏感信息。由于所有的网络攻击其目的就在于窃取用户信息，诱导用户进行危险的操作。因此，保证用户信息的安全，以及拦截危险的操作是保证系统安全的关键。
为保证系统的安全访问，需要输入用户名和密码进行登陆控制，为方便用户管理，往往通过特别控制用户权限，使不同的角色访问特定的功能页面及操作。在经过服务端对传输的用户名及密码等信息验证后，服务器将成功授权信息反馈给通过验证的用户，从而实现成功登陆安全访问。然而，传统技术中仅仅对用户名和密码进行加密传输，经过验证后实现成功登陆的方式仍然存在较大的风险：一旦用户名和密码被破译，发送所破译的用户名和密码到服务端同样可能通过认证从而登陆成功。
发明内容
本发明所要解决的技术问题是：提供一种实现web前端安全登陆和访问的方法，提高web前端登陆和访问的安全性。
本发明解决其技术问题所采用的技术方案是：
一种实现web前端安全登陆和访问的方法，包括：
a.定义$http请求服务，包括http请求规则的定义；
b.web前端获取用户输入的登陆信息以及从服务器获取的随机码一并进行封装；
c.web前端对封装后的数据采用RSA公钥进行统一加密；
d.web前端对加密后的数据运用定义的http规则发送给服务器；
e.服务器对请求规则进行验证，验证通过后利用RSA私钥解密数据获得用户登陆信息及随机码；
f.服务器对用户登陆信息进行验证匹配，对随机码进行验证匹配，均通过后对用户登陆授权；
g.web前端在登陆后的访问操作中，通过判别请求与获取响应的时间差是否在允许范围内来保证访问安全性。
作为进一步优化，步骤a中，所述请求规则的定义包括：
a1、运用angularjs内置的请求服务拦截器，重新定义四个请求函数；
a2、获取请求发送的时间以及接收请求的时间，计算时间差；
a3、验证所获得的时间差是否在预定范围之内；
a4、若在规定范围内通过请求成功函数返回成功信息，否则错误请求函数将返回超时错误。
作为进一步优化，所述四个请求函数包括：用户请求函数、用户请求错误函数、用户响应函数及用户响应错误函数。
作为进一步优化，步骤b中，所述登陆信息包括用户名和密码，在输入用户名后从服务器获取随机码信息。
本发明的有益效果是：
本发明将用户信息封装到一起，生成一个信息的集合，对此信息集统一加密，增加破解难度，另外还封装一组随机数解密后将于服务端数据匹配提供信息验证的双重保证；
此外，在服务端进行信息解密验证之前，还先对请求规则进行验证，即使单一的用户信息泄露，因无法同时得到请求规则，从而验证不会通过，以此保证系统安全。
附图说明
图1为本发明的实施例中实现web前端安全登陆和访问的方法流程图。
具体实施方式
本发明旨在提供一种实现web前端安全登陆和访问的方法，提高web前端登陆和访问的安全性。在具体实施上，为提高登陆和访问安全性，本发明中的方案包括以下处理手段：
1.用户信息加密：
为了避免用户信息在传输过程中失窃，对系统信息入口处所获取的用户名密码等信息进行加密处理，由于在一般情况下，登录系统会显示当前用户信息，包括用户名或账号，此时如果对用户信息分别加密，一旦用户信息被截获相当于得到用户名和加密后的用户密码，发送所破获的用户名和加密密码到服务端同样可能通过认证从而登陆成功，因此，本发明将用户信息封装到一起，生成一个信息的集合，对此信息集统一加密，增加破解难度，另外还封装一组随机数解密后将于服务端数据匹配提供信息验证的双重保证。
2.请求方式封装：
在Angular中提供一种$http请求服务，用于前端与后台的数据请求交互过程，其本质上使用XMLHttpRequest或JSONP进行后台的数据交互。在此服务中内置了四个请求拦截函数，包括用户请求函数、用户请求错误函数、用户响应函数及用户响应错误函数；在与后台的请求与交互过程中，使我们方便在请求和响应期间做一些预处理操作，比如：判断是否符合发送请求的条件，为服务器减负，判断是否符合成功响应的条件，为用户权限判断增加屏障。
本发明即采用$http请求的这一自身优势，分别在请求函数内获取开始请求时间，在响应函数内获取开始响应时间，通过计算两者的时间差，验证请求是否合法，从而返回验证信息。用户在登录请求中可以通过加密解密思想保护信息，在通过接口信息获取访问权限验证时通过特殊的请求方式判别时间差是否在允许范围内，从而提供用户登录后的访问安全性。
下面结合附图及实施例对本发明的方案做进一步的描述：
如图1所示，本实施例中的实现web前端安全登陆和访问的方法包括以下步骤：
1、定义$http请求服务，包括http请求规则的定义；
其中，请求规则的定义包括：
1)运用angularjs内置的请求服务拦截器，重新定义四个请求函数；
2)获取请求发送的时间以及接收请求的时间，计算时间差；
3)验证所获得的时间差是否在预定范围之内；
4)若在规定范围内通过请求成功函数返回成功信息，否则错误请求函数将返回超时错误。
2、web前端获取用户输入的登陆信息以及从服务器获取的随机码一并进行封装；
在本步骤中，用户在登陆界面输入用户名后，前端向服务器发送获取随机码的请求，服务器生成一个随机码发送给web前端，web前端对用户名、密码连同随机码一并封装；
3、web前端对封装后的数据采用RSA公钥进行统一加密；
本步骤中，采用RSA非对称加解密技术，在web前端利用RSA公钥对步骤2封装后的数据进行统一加密。
4、web前端对加密后的数据运用定义的http规则发送给服务器；
本步骤中，web前端运用新定义的http规则将加密后的数据发送给服务器；
5、服务器对请求规则进行验证，验证通过后利用RSA私钥解密数据获得用户登陆信息及随机码；
本步骤中，服务器首先对请求规则进行验证，在验证通过后才解密数据信息，这样即使单一的用户信息泄露，因无法同时得到请求规则，从而验证不会通过，以此保证系统安全；
在解密数据信息时，采用与步骤3中对应的RSA私钥进行解密，获取用户登陆信息及随机码。
6、服务器对用户登陆信息进行验证匹配，对随机码进行验证匹配，均通过后对用户登陆授权；
本步骤中，服务器在获取用户登陆信息及随机码后，分别利用存储的用户信息和随机码信息对其进行匹配验证，只有验证均通过后对用户登陆进行授权。
7、web前端在登陆后的访问操作中，通过判别请求与获取响应的时间差是否在允许范围内来保证访问安全性。
本步骤中，在web前端在登陆后的后续访问操作中，通过判别请求与获取响应的时间差是否在允许范围内，一旦检测到访问频繁超时，将返回超时提醒以及存在一定的危险性。

Claims (4)

1.一种实现web前端安全登陆和访问的方法，其特征在于，包括：
a.定义$http请求服务，包括http请求规则的定义；
b.web前端获取用户输入的登陆信息以及从服务器获取的随机码一并进行封装；
c.web前端对封装后的数据采用RSA公钥进行统一加密；
d.web前端对加密后的数据运用定义的http规则发送给服务器；
e.服务器对请求规则进行验证，验证通过后利用RSA私钥解密数据获得用户登陆信息及随机码；
f.服务器对用户登陆信息进行验证匹配，对随机码进行验证匹配，均通过后对用户登陆授权；
g.web前端在登陆后的访问操作中，通过判别请求与获取响应的时间差是否在允许范围内来保证访问安全性。
2.如权利要求1所述的一种实现web前端安全登陆和访问的方法，其特征在于，步骤a中，所述请求规则的定义包括：
a1、运用angularjs内置的请求服务拦截器，重新定义四个请求函数；
a2、获取请求发送的时间以及接收请求的时间，计算时间差；
a3、验证所获得的时间差是否在预定范围之内；
a4、若在规定范围内通过请求成功函数返回成功信息，否则错误请求函数将返回超时错误。
3.如权利要求2所述的一种实现web前端安全登陆和访问的方法，其特征在于，所述四个请求函数包括：用户请求函数、用户请求错误函数、用户响应函数及用户响应错误函数。
4.如权利要求1所述的一种实现web前端安全登陆和访问的方法，其特征在于，步骤b中，所述登陆信息包括用户名和密码，在输入用户名后从服务器获取随机码信息。
CN201710735439.2A 2017-08-24 2017-08-24 一种实现Web前端安全登陆和访问的方法 Pending CN107295024A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201710735439.2A CN107295024A (zh) 2017-08-24 2017-08-24 一种实现Web前端安全登陆和访问的方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201710735439.2A CN107295024A (zh) 2017-08-24 2017-08-24 一种实现Web前端安全登陆和访问的方法

Publications (1)

Publication Number Publication Date
CN107295024A true CN107295024A (zh) 2017-10-24

Family

ID=60107216

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201710735439.2A Pending CN107295024A (zh) 2017-08-24 2017-08-24 一种实现Web前端安全登陆和访问的方法

Country Status (1)

Country Link
CN (1) CN107295024A (zh)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107733635A (zh) * 2017-11-29 2018-02-23 四川长虹电器股份有限公司 基于网关的数据安全传输方法
CN108540501A (zh) * 2018-07-18 2018-09-14 郑州云海信息技术有限公司 一种不对称加密的方法和装置
CN109194618A (zh) * 2018-08-02 2019-01-11 广东浪潮大数据研究有限公司 一种文件加密方法、文件加密装置及文件加密设备
CN109948333A (zh) * 2019-03-08 2019-06-28 北京顺丰同城科技有限公司 一种账户攻击的安全防御方法及装置
CN110661695A (zh) * 2019-08-27 2020-01-07 紫光云(南京)数字技术有限公司 一种电子邮箱统一登陆入口的方法
CN113812125A (zh) * 2019-08-15 2021-12-17 奇安信安全技术(珠海)有限公司 登录行为的校验方法及装置、系统、存储介质、电子装置

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1790984A (zh) * 2004-12-14 2006-06-21 中兴通讯股份有限公司 一种通信系统中用户身份保密的方法
CN103618649A (zh) * 2013-12-03 2014-03-05 北京人民在线网络有限公司 网站数据采集方法及装置
CN103634307A (zh) * 2013-11-19 2014-03-12 北京奇虎科技有限公司 一种对网页内容进行认证的方法和浏览器
CN104144161A (zh) * 2014-07-08 2014-11-12 北京彩云动力教育科技有限公司 一种客户端与web服务端的交互方法及系统
CN104301285A (zh) * 2013-07-15 2015-01-21 中国银联股份有限公司 用于web系统的登录方法
WO2015108410A1 (en) * 2014-01-15 2015-07-23 Xorkey B.V. Secure login without passwords

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1790984A (zh) * 2004-12-14 2006-06-21 中兴通讯股份有限公司 一种通信系统中用户身份保密的方法
CN104301285A (zh) * 2013-07-15 2015-01-21 中国银联股份有限公司 用于web系统的登录方法
CN103634307A (zh) * 2013-11-19 2014-03-12 北京奇虎科技有限公司 一种对网页内容进行认证的方法和浏览器
CN103618649A (zh) * 2013-12-03 2014-03-05 北京人民在线网络有限公司 网站数据采集方法及装置
WO2015108410A1 (en) * 2014-01-15 2015-07-23 Xorkey B.V. Secure login without passwords
US20160337132A1 (en) * 2014-01-15 2016-11-17 Xorkey B.V. Secure Login Without Passwords
CN104144161A (zh) * 2014-07-08 2014-11-12 北京彩云动力教育科技有限公司 一种客户端与web服务端的交互方法及系统

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
CSDN用户: "内置服务$http登录案例", 《URL:HTTPS://BLOG.CSDN.NET/SKY_SUNSHINE_X/ARTICLE/DETAILS/71104094》 *

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107733635A (zh) * 2017-11-29 2018-02-23 四川长虹电器股份有限公司 基于网关的数据安全传输方法
CN107733635B (zh) * 2017-11-29 2020-10-09 四川长虹电器股份有限公司 基于网关的数据安全传输方法
CN108540501A (zh) * 2018-07-18 2018-09-14 郑州云海信息技术有限公司 一种不对称加密的方法和装置
CN109194618A (zh) * 2018-08-02 2019-01-11 广东浪潮大数据研究有限公司 一种文件加密方法、文件加密装置及文件加密设备
CN109948333A (zh) * 2019-03-08 2019-06-28 北京顺丰同城科技有限公司 一种账户攻击的安全防御方法及装置
CN113812125A (zh) * 2019-08-15 2021-12-17 奇安信安全技术(珠海)有限公司 登录行为的校验方法及装置、系统、存储介质、电子装置
CN113812125B (zh) * 2019-08-15 2023-10-20 奇安信安全技术(珠海)有限公司 登录行为的校验方法及装置、系统、存储介质、电子装置
CN110661695A (zh) * 2019-08-27 2020-01-07 紫光云(南京)数字技术有限公司 一种电子邮箱统一登陆入口的方法

Similar Documents

Publication Publication Date Title
CN107295024A (zh) 一种实现Web前端安全登陆和访问的方法
CN101192926B (zh) 帐号保护的方法及系统
US9590978B2 (en) Verification of password using a keyboard with a secure password entry mode
JP4949032B2 (ja) 安全な計算装置を使って身元情報の窃盗を防ぐシステムおよび方法
CN104580184B (zh) 互信应用系统间身份认证方法
US9055061B2 (en) Process of authentication for an access to a web site
CN106453361B (zh) 一种网络信息的安全保护方法及系统
CN101661599B (zh) 一种对设备系统自带的软件进行合法性认证的方法
JP6911122B2 (ja) 端末の攻撃警告メッセージログを取得する権限付与方法およびシステム
CN105337977A (zh) 一种动态双向认证的安全移动通讯架构及其实现方法
CN103679062A (zh) 智能电表主控芯片和安全加密方法
WO2013058781A1 (en) Methods, systems and apparatus to facilitate client-based authentication
CN101292496A (zh) 服务器-客户端计算机网络系统中执行密码操作的设备和方法
CN107122674A (zh) 一种应用于运维审计系统的oracle数据库的访问方法
CN106411948A (zh) 一种基于json验证码的安全认证拦截的方法
CN104463584A (zh) 实现移动端App安全支付的方法
CN102098313B (zh) 一种防水墙系统及其验证方法
CN103841097B (zh) 一种基于数字证书的安全nas认证方法
CN105812124A (zh) 密码生成方法和密码验证方法
US20100146605A1 (en) Method and system for providing secure online authentication
CN106685912A (zh) 一种应用系统的安全访问方法
CN111669746B (zh) 一种用于物联网信息安全的防护系统
CN113794571A (zh) 一种基于动态口令的认证方法、装置及介质
US8726340B2 (en) Apparatus and method for expert decisioning
KR20080042582A (ko) 인증 장치에 의한 사용자 단말 보호 서비스 시스템 및 그방법

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication

Application publication date: 20171024

RJ01 Rejection of invention patent application after publication