CN107968783B - 流量管理方法、装置、终端及计算机可读存储介质 - Google Patents

Abstract

本发明提供了一种流量管理方法、装置、终端及计算机可读存储介质，属于终端技术领域。该方法包括：接收第二应用客户端的网络访问请求，该网络访问请求携带目的地址；对该网络访问请求的目的地址进行分析，将该网络访问请求发送至该目的地址；接收该网络访问请求的回包数据；当该网络访问请求的目的地址不符合预设条件时，通过该第二应用客户端显示安全提示信息，该安全提示信息用于指示该网络访问请求的目的地址异常。本发明通过第一应用客户端对终端的第二应用客户端的网络访问请求的目的地址进行检测，当目的地址异常时，第一应用客户端可以向第二应用客户端发送安全提示信息，从而可以提高第二应用客户端获取网络资源时的安全性。

Description

流量管理方法、装置、终端及计算机可读存储介质

技术领域

本发明涉及终端技术领域，特别涉及一种流量管理方法、装置、终端及计算机可读存储介质。

背景技术

随着终端技术的发展，终端上安装的应用客户端越来越多，其能实现的功能也越来越丰富。终端可以通过下载代理服务器应用客户端，由该代理服务器应用客户端为该终端提供代理服务。

目前，终端通过代理服务器应用客户端获取代理服务的过程通常是：终端下载并安装代理服务器应用客户端，例如，虚拟专用网络(Virtual Private Network，VPN)应用客户端，终端原本并没有访问某个目的地址的权限，它可以通过该应用客户端，为该终端的网络访问请求进行身份信息的更改，再将更改后的网络访问请求发送至服务器，该更改后的网络访问请求可以通过该服务器的认证，并从服务器获取到该网络访问请求对应的网络数据。

在实现本发明的过程中，发明人发现现有技术至少存在以下问题：

现有技术中，终端通过代理服务器应用客户端并不能获取到安全方面的服务，终端访问网络时可能会访问到恶意地址，并获取到对该终端的安全有威胁的网络数据，安全性差。

发明内容

本发明实施例提供了一种流量管理方法、装置、终端及计算机可读存储介质，可以解决现有技术中安全性差的问题。所述技术方案如下：

一方面，提供了一种流量管理方法，应用于终端上的第一应用客户端，所述方法包括：

接收第二应用客户端的网络访问请求，所述网络访问请求携带目的地址；

对所述网络访问请求的目的地址进行分析，将所述网络访问请求发送至所述目的地址；

接收所述网络访问请求的回包数据；

当所述网络访问请求的目的地址不符合预设条件时，通过所述第二应用客户端显示安全提示信息，所述安全提示信息用于指示所述网络访问请求的目的地址异常。

一方面，提供了一种流量管理装置，应用于终端上的第一应用客户端，所述装置包括：

接收模块，用于接收第二应用客户端的网络访问请求，所述网络访问请求携带目的地址；

分析模块，用于对所述网络访问请求的目的地址进行分析，由发送模块将所述网络访问请求发送至所述目的地址；

所述接收模块，还用于接收所述网络访问请求的回包数据；

显示模块，用于当所述网络访问请求的目的地址不符合预设条件时，通过所述第二应用客户端显示安全提示信息，所述安全提示信息用于指示所述网络访问请求的目的地址异常。

一方面，提供了一种终端，所述终端包括：处理器；用于存储计算机程序的存储器；其中，所述处理器用于执行存储器上所存放的计算机程序，以实现所述流量管理方法的方法步骤。

一方面，提供了一种计算机可读存储介质，所述计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现所述流量管理方法的方法步骤。

本发明实施例提供的技术方案带来的有益效果是：

本发明实施例通过第一应用客户端对终端的第二应用客户端的网络访问请求的目的地址进行检测，当目的地址异常时，第一应用客户端可以向第二应用客户端发送安全提示信息，从而可以提高第二应用客户端获取网络资源时的安全性。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例提供的一种网络通信系统示意图；

图2是本发明实施例提供的一种流量管理方法的流程图；

图3是本发明实施例提供的一种交互过程的示意图；

图4是本发明实施例提供的一种网络访问请求的内容获取方法的流程图；

图5是本发明实施例提供的一种流量管理方法的流程图；

图6是本发明实施例提供的一种媒体数据缓存机制的流程图；

图7是本发明实施例提供的一种媒体数据缓存方法的流程图；

图8是本发明实施例提供的一种流量管理装置的结构示意图；

图9是本发明实施例提供的一种流量管理装置的结构示意图；

图10是本发明实施例提供的一种流量管理装置的结构示意图；

图11是本发明实施例提供的一种流量管理装置的结构示意图；

图12是本发明实施例提供的一种流量管理装置的结构示意图；

图13是本发明实施例提供的一种流量管理装置的结构示意图；

图14是本发明实施例提供的一种流量管理装置的结构示意图；

图15是本发明实施例提供的一种流量管理装置的结构示意图；

图16是本发明实施例提供的一种流量管理装置的结构示意图；

图17是本发明实施例提供的一种流量管理装置的结构示意图；

图18是本发明实施例提供的一种流量管理装置的结构示意图；

图19是本发明实施例提供的一种流量管理装置的结构示意图；

图20是本发明实施例提供的一种流量管理装置的结构示意图；

图21是本发明实施例提供的一种终端2100的结构框图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明实施方式作进一步地详细描述。

图1是本发明实施例提供的一种网络通信系统示意图，如图1所示，该网络通信系统包括终端101以及服务器102。

该终端101与服务器102之间可以基于网络连接进行数据交互，该终端101上可以安装有多个应用客户端，其中，应用客户端是由服务器为其提供应用服务的程序，例如，浏览器、视频播放客户端、社交软件等。该服务器102上存储有网络数据，该终端101的用户可以通过在应用客户端上进行操作，以触发该终端101的应用客户端向服务器102发送网络访问请求，则该服务器102可以根据网络访问请求，为该终端101的应用客户端提供该网络访问请求所对应的网络数据。

图2是本发明实施例提供的一种流量管理方法的流程图，该流量管理方法应用于终端上的第一应用客户端，参见图2，该流量管理方法包括以下步骤：

201、第一应用客户端接收第二应用客户端的网络访问请求，该网络访问请求携带目的地址。

第一应用客户端可以为终端提供流量管理服务。该终端可以下载并安装该第一应用客户端，在该终端的用户启动该第一应用客户端后，该终端的系统可以在该终端上的第二应用客户端需要发送网络访问请求时，均转发至该第一应用客户端。当然，也可以由该第一应用客户端对该终端上的端口进行监控，当该第二应用客户端需要调用端口，来发送网络访问请求时，该第一应用客户端可以在该端口处截获该网络访问请求。在实际应用中，该终端对该第一应用客户端授权后，第二应用客户端需要发送网络访问请求时，还可以主动将网络访问请求发送至第一应用客户端，由该第一应用客户端对该网络访问请求进行转发。该第一应用客户端接收到该网络访问请求后，对该网络访问请求进行分析，从而确定对该网络访问请求的处理方式，当然也可以通过该第一应用客户端对该网络访问请求进行分析，来确定对服务器根据该网络访问请求返回的回包数据的处理方式。

在实际实施中，第二应用客户端可以授予该第一应用客户端流量管理的权限，具体哪些第二应用客户端授予该第一应用客户端流量管理权限可以由该终端的用户自定义设置，本发明对此不作具体限定。

当该用户想要通过第二应用客户端访问某网站时，可以在该第二应用客户端上进行操作，以触发该第二应用客户端向其对应的服务器发送网络访问请求，则终端的系统将该第二应用客户端的网络访问请求转发至第一应用客户端，该第一应用客户端接收该网络访问请求，该网络访问请求携带目的地址，其中，目的地址即是该用户想要通过该第二应用客户端访问的地址。该目的地址可以是统一资源定位符(Uniform Resource Locator，URL)，URL用于表示网络资源的位置和访问该位置的方法。

202、第一应用客户端对该网络访问请求的目的地址进行分析。

用户在各应用客户端中进行网络访问时，经常会碰到恶意地址，当用户访问恶意地址时，该用户的终端很容易因访问恶意地址而受到攻击，从而导致用户信息的泄露，或者对终端的配置文件被恶意篡改。用户还经常在获取网络数据时，各应用客户端上弹出或该其访问的网站数据中显示有广告等推荐信息，对用户的正常使用造成影响，给用户很不好的上网体验。考虑到上述问题，该终端上的第一应用客户端获取到第二应用客户端的网络访问请求时，并不是直接代替第二应用客户端访问目的地址，而是对目的地址进行分析，确定该目的地址是否为恶意地址，或者确定访问该目的地址返回的回包数据是否为推荐信息。

其中，该步骤202中该第一应用客户端对目的地址进行分析的过程可以通过以下两个步骤实现：

2021、第一应用客户端从该网络访问请求的内容中提取目的地址。

在该步骤2021中，该第一应用客户端可以从该网络访问请求的请求头中提取到完整的目的地址。

2022、第一应用客户端基于本地规则和/或云端规则对该目的地址进行检测，当该目的地址命中该本地规则和/或该云端规则时，确定该目的地址不符合预设条件。

在该步骤2022中，该第一应用客户端可以基于一定的规则来对目的地址进行检测，且可以在该第一应用客户端上进行设置仅采用本地检测，仅采用云端检测，还是结合本地检测和云端检测，并通过检测确定该目的地址是否符合预设条件，从而确定该目的地址是否为正常地址。当目的地址符合预设条件时，可以说明该目的地址是正常地址，当目的地址不符合预设条件时，可以说明该目的地址不是正常地址。而当用户的设置不同时，该步骤2022中该第一应用客户端对该目的地址进行检测又可以包括以下三种情况，下面针对每种情况中具体检测过程进行说明：

第一种情况、第一应用客户端基于本地规则对该目的地址进行检测。

具体地，第一应用客户端可以在本地的地址黑名单中查找该目的地址，当该本地的地址黑名单中包括该目的地址时，第一应用客户端确定该网络访问请求的目的地址不符合预设条件；而当该本地的地址黑名单中不包括该目的地址时，第一应用客户端确定该网络访问请求的目的地址符合预设条件。

在该第一种情况中，第一应用客户端上的配置文件中可以包括地址黑名单，该地址黑名单中包括已知的恶意地址和可疑地址，因而，该第一应用客户端可以凭借本地配置的地址黑名单来确定目的地址是否是恶意地址或无用的推荐信息对应的地址，而无需通过指定服务器的云端检测，可以快速有效地检测到网络访问请求，从而在很短的时间内，为第二应用客户端提供目的地址检测服务。其中，恶意地址，可以为不安全网站、钓鱼网站地址、诈骗地址等，可疑地址可以为已知的广告网页地址。

第二种情况、第一应用客户端基于云端规则对该目的地址进行检测。

具体地，第一应用客户端可以将该目的地址发送至指定服务器，由该指定服务器在云端的地址黑名单中查找该目的地址，并返回查找结果，当该查找结果指示该云端的地址黑名单中包括该目的地址时，第一应用客户端确定该网络访问请求的目的地址不符合预设条件；当该查找结果指示该云端的地址黑名单中不包括该目的地址时，第一应用客户端确定该网络访问请求的目的地址符合预设条件。

在该第二种情况中，指定服务器可以现有的安全服务器，也可以是配置有地址黑名单的服务器，该指定服务器的地址预设于该第一应用客户端的配置文件中，当该第一应用客户端需要对目的地址进行云端检测时，可以获取该指定服务器的地址，将目的地址发送至该指定服务器。由于指定服务器具有更大的存储空间以及更强的处理能力，而终端的存储空间很小，处理能力也不强，该指定服务器上存储有更全面的恶意地址和可疑地址，通过指定服务器可以更准确地、更有效地进行地址检测。

第三种情况、第一应用客户端基于本地规则和云端规则对该目的地址进行检测。

第一应用客户端可以先在本地检测，当本地检测不出来时，再发送至指定服务器进行云端检测。具体地，第一应用客户端可以在本地的地址黑名单中查找该目的地址，当该本地的地址黑名单中包括该目的地址时，第一应用客户端确定该网络访问请求的目的地址不符合预设条件。

而当该本地的地址黑名单中不包括该目的地址时，第一应用客户端将该目的地址发送至指定服务器，由该指定服务器在云端的地址黑名单中查找该目的地址，并返回查找结果；当该查找结果指示该云端的地址黑名单中包括该目的地址时，第一应用客户端确定该网络访问请求的目的地址不符合预设条件。当该查找结果指示该云端的地址黑名单中不包括该目的地址时，第一应用客户端确定该网络访问请求的目的地址符合预设条件。

在该第三种情况中，第一应用客户端对目的地址进行本地检测和云端检测，如果在本地检测时即检测到该目的地址为恶意地址，可以实现快速对恶意地址进行检测，如果在本地检测不到，还可以去云端进行更全面地检测，从而提高了地址检测的准确率，提高了安全防护强度。

在一种可能实现方式中，当本地的地址黑名单中不包括该目的地址，但云端的地址黑名单中包括该目的地址时，第一应用客户端还可以将该目的地址存储于本地的地址黑名单中，以便后续再接收到携带有该目的地址的网络访问请求，可以通过本地检测快速地完成地址检测过程。需要说明的是，由于终端的应用客户端数量有限，该终端上产生的网络访问请求也有限，将历史的检测结果存储于本地的地址黑名单中，可以提高本地检测即可完成地址检测的概率，从而可以快速完成地址检测过程。

203、第一应用客户端将该网络访问请求发送至该目的地址。

第一应用客户端接收到该网络访问请求，可以将该网络访问请求发送至其目的地址，也即，第一应用客户端将该网络访问请求发送至目标服务器，由该目标服务器根据该网络访问请求获取到相关数据，并将其返回至第一应用客户端，该目标服务器为该网络访问请求的目的地址所指示的服务器。

该步骤203中第一应用客户端在将该网络访问请求发送至目的地址的过程可以通过以下步骤来实现：

2031、第一应用客户端遍历描述符池中描述符的状态。

描述符池中可以包括一定数量的描述符，在该终端安装该第一应用客户端时，即初始化预设数量的描述符，当然，该预设数量可以由本领域技术人员通过实验确定。该描述符池中描述符的状态可以包括闲置状态和忙碌状态，则可以称处于闲置状态的描述符为闲置描述符，称处于忙碌状态的描述符为忙碌描述符。

在终端向服务器发送数据时，需要通过描述符在终端和服务器之间建立通信连接。因而，第一应用客户端在需要向目的地址发送网络访问请求时，需要先遍历描述符池中描述符的状态，来查找是否有闲置描述符可以使用。

2032、当检测到该描述符池中包括闲置描述符时，第一应用客户端调用该闲置描述符，通过该闲置描述符将该网络访问请求发送至该目的地址。

而该步骤2032中还可能有另一种可能场景：第一应用客户端检测到描述符池中不包括闲置描述符。在该场景下，第一应用客户端可以等待第一预设时长，检测在第一预设时长内该描述符池中是否有描述符被释放，也即是否有描述符从忙碌状态转换为闲置状态，且，第一应用客户端可以根据该第一预设时长内的检测结果，确定如何将网络访问请求发送至目的地址。在具体实施时，该第一预设时长可以一个很短的时间，例如，该第一预设时长可以为0.5秒，本发明对该第一预设时长的取值不作具体限定。

具体地，当检测到描述符池中不包括闲置描述符时，第一应用客户端暂停对该网络访问请求的处理，继续遍历描述符池中描述符的状态。当在第一预设时长内未检测到该描述符池中包括闲置描述符时，新建描述符，将新建的描述符添加到该描述符池中。从而第一应用客户端可以调用新建的描述符，通过该新建的描述符将该网络访问请求发送至该目的地址。

当然，当在第一预设时长内检测到该描述符池中包括闲置描述符时，第一应用客户端可以调用闲置描述符，执行上述通过该闲置描述符将该网络访问请求发送至该目的地址的步骤。

在实际应用中，上述描述符池中描述符的数量还可以根据定期统计的处于忙碌状态的描述符的数量峰值进行调整。具体地，由于存在上述新建描述符的步骤，该描述符池中描述符的数量可能会慢慢变大，第一应用客户端可以定期统计描述符池中处于忙碌状态的描述符的数量峰值，也即是在多个不同时刻对描述符池中处于忙碌状态的描述符的最大数量进行统计，从而根据多个时刻的统计结果，确定当前描述符池中的描述符的数量是否需要减少。具体地，可以将多个不同时刻的统计结果取平均值，判断当前描述符池中的描述符的数量是否大于该平均值，如果是，则减少该描述符池中的描述符的数量，使得该描述符池中的描述符的数量等于该平均值；如果否，则无需减少该描述符池中的描述符的数量，这样可以提高描述符池中的描述符的复用次数，而不是一直新建描述符，从而达到合理利用资源的效果。

在一种可能设计中，第一应用客户端可以根据该终端的系统类型，选用epoll模型或kqueue模型对该描述符池中的描述符进行监控，对于任一个描述符，第一应用客户端可以根据该任一个描述符的工作状态确定是否使用该任一个描述符处理其他请求，该任一个描述符的工作状态是指该任一个描述符是否在第二预设时长内进行过数据交互。在一种可能实现方式中，当该终端的系统类型为安卓系统或Linux系统时，第一应用客户端可以选用epoll模型，当该终端的系统类型为互联网操作系统(Internetwork Operating System，IOS)或伯克利软件套件(Berkeley Software Distribution，BSD)系统时，第一应用客户端可以选用kqueue模型。

在一种可能实现方式中，在该步骤203之前，第一应用客户端还可以获取该网络访问请求的内容，并对该网络访问请求的内容进行分析，其中，内容获取过程还可能因该网络访问请求采用的传输协议不同而有所不同，因而，具体的内容获取过程可以包括以下三种可能实现方式：

第一种可能实现方式、当该网络访问请求采用的传输协议为超文本传输协议(Hyper Text Transfer Protocol，HTTP)时，第一应用客户端提取该网络访问请求的内容。

当采用HTTP传输数据时，数据的传输方式为明文传输，且HTTP采用请求/响应模型，客户端向服务器发起请求，则服务器即根据请求返回响应。HTTP不涉及证书校验，因而，第一应用客户端可以直接提取到网络访问请求的内容，也即实现了流量内容的抓取。

第二种可能实现方式、当该网络访问请求采用的传输协议为具有安全性的超文本传输协议(Hyper Text Transfer Protocol over Secure Socket Layer，HTTPS)时，第一应用客户端确定是否需要提取该网络访问请求的内容，在需要提取该网络访问请求的内容时，第一应用客户端与该第二应用客户端以及目标服务器之间进行证书校验，证书校验完成后提取该网络访问请求的内容，该目标服务器为该网络访问请求的目的地址所指示的服务器。

当采用HTTPS传输数据时，HTTPS是由安全套接层(Secure Sockets Layer，SSL)+HTTP构建的可进行加密传输的网络协议，它需要进行证书校验，校验成功后，才能实现客户端和服务器之间的通信。而如果网络访问请求采用的是HTTPS，则第一应用客户端可以根据其是否需要提取该网络访问请求的内容，分为两种可能场景：

第一种可能场景：第一应用客户端无需提取该网络访问请求的内容。

在该第一种可能场景中，第二应用客户端向目标服务器发起HTTPS请求时，终端的系统将该HTTPS请求转发至第一应用客户端，该第一应用客户端可以直接从协议头提取到连接(connect)关键字，并向第二应用客户端返回响应消息，例如，返回响应消息200，该响应消息200表示成功OK，因此该第一应用客户端为该第二应用客户端与目标服务器之间建立了通信连接，则之后该第二应用客户端与目标服务器之间可以通过该通信连接进行数据交互。但是该第一应用客户端无法轻易介入该第二应用客户端与目标服务器之间的通信，因而也无法读取到上述二者之间的交互数据。

第二种可能场景：第一应用客户端需要提取该网络访问请求的内容。

如果该第一应用客户端需要提取该网络访问请求的内容，则该第一应用客户端与该第二应用客户端以及目标服务器之间需要进行证书校验，从而互相交换标识信息，保证了通信连接的安全性，而在连接建立成功后，该第一应用客户端则作为中间人(man-in-the-middle，MITM)，为该第二应用客户端以及目标服务器之间的交互数据进行提取、改写和转发。

具体地，上述第一应用客户端、第二应用客户端以及目标服务器之间进行证书校验的过程可以通过以下步骤(1)至步骤(4)实现：

(1)第一应用客户端接收第二应用客户端的认证请求，该认证请求携带该第二应用客户端的标识信息和目的地址；

(2)第一应用客户端将该第二应用客户端的标识信息替换为预设标识信息；

(3)第一应用客户端将替换后的认证请求发送至目标服务器，由该目标服务器根据该认证请求返回该目标服务器的证书；

(4)当接收到该目标服务器返回的证书时，第一应用客户端将该证书进行存储，将预设证书发送至该第二应用客户端，该预设证书携带有该第一应用客户端的标识信息。

上述步骤(1)至步骤(4)对证书校验方法进行说明，需要说明的是，上述预设证书为预先设置于该第一应用客户端中，当该终端安装成功该第一应用客户端时，该第一应用客户端可以提供证书授权通知，该终端的用户看到该证书授权通知后，可以对该预设证书进行授权确认，从而实现对预设证书的认证授权过程。

下面通过图3对采用HTTPS传输数据时第一应用客户端、第二应用客户端以及目标服务器之间的交互情况进行详细说明，图3是本发明实施例提供的一种交互过程的示意图，参见图3，该交互过程如下：

301、第二应用客户端向第一应用客户端发送证书请求，以请求证书。

该第二应用客户端本来是在向目标服务器发送证书请求，想要请求目标服务器的证书，而该终端安装有该第一应用客户端，且，该第一应用客户端处于运行状态，则终端的系统将该证书请求转发至第一应用客户端。

302、当第一应用客户端接收到该证书请求时，第一应用客户端将该证书请求中的第二应用客户端的标识信息替换为该第一应用客户端的标识信息。

303、第一应用客户端将替换后的证书请求发送至目标服务器，以请求该目标服务器的证书。

此时，该第一应用客户端发送替换后的证书请求，该证书请求携带有第一应用客户端的标识信息，则目标服务器误以为是该第一应用客户端在向其请求证书。

304、当目标服务器接收到该证书请求时，目标服务器向该证书请求携带的标识信息所对应的第一应用客户端返回证书。

305、第一应用客户端将目标服务器返回的证书存储。

第一应用客户端并没有将目标服务器的证书返回给第二应用客户端，而是将其存储，或者将该证书写入到该第一应用客户端的配置文件中。

306、第一应用客户端将预设证书发送给第二应用客户端。

307、当第二应用客户端接收到该预设证书时，第二应用客户端对该证书进行认证，确定信任该预设证书。

第一应用客户端将自己的证书发送第二应用客户端，从而该第二应用客户端误认为该预设证书即为目标服务器的证书，因而，该第二应用客户端信任该证书，之后将和该第一应用客户端交换密钥，交换密钥的过程与上述交换证书的过程同理，在此不多做赘述，由于该第一应用客户端已被第二应用客户端信任，且拥有交互过程的密钥，该第一应用客户端可以查看到该第二应用客户端的所有交互数据的内容。

上述步骤301至307为第一应用客户端与第二应用客户端之间进行证书校验的过程，在该证书校验完成后，该第一应用客户端、第二应用客户端以及目标服务器之间则可以进行正常通信。

308、第二应用客户端用公钥对请求进行加密，并将加密后的请求发送至第一应用客户端。

该请求可以是该第二应用客户端在上述证书认证过程后需要发送的任一个请求，该请求可以是网络访问请求，也可以是与其他终端进行通信的数据转发请求。

309、当第一应用客户端接收到加密请求时，第一应用客户端用自身存储的私钥对其进行解密，并用目标服务器的公钥对其进行加密，并向目标服务器发送加密后的请求。

310、当目标服务器接收到加密请求时，用自己的私钥对其进行解密。

311、目标服务器根据该请求向第一应用客户端返回响应，该响应为用该服务器的公钥进行加密后得到的响应。

312、当第一应用客户端接收到该响应时，用私钥对其进行解密，再用公钥对其进行加密，并将加密后的响应发送给第二应用客户端。

第三种可能实现方式、当该网络访问请求采用的传输协议不是HTTP和HTTPS时，第一应用客户端将该网络访问请求写入到虚拟网络适配器(TUN Interface)，由该虚拟网络适配器提取该网络访问请求的内容。

目前终端的大部分网络访问请求是基于HTTP和HTTPS这两种协议来进行传输的，但由于有一些比较新的协议，或者第二应用客户端不是采用应用层协议来传输，而是采用传输层协议来传输，需要采用该第三种可能实现方式来对这部分网络访问请求进行处理。虚拟网络适配器可以是一个虚拟网卡，它可以为该第一应用客户端提供读取数据的服务。

在一种可能设计中，第一应用客户端可以基于上述三种可能实现方式提取到网络访问请求的内容，对网络访问请求的内容进行分析，来确定该网络访问请求中是否包括有隐私数据，从而可以为隐私数据进行加密保护。具体地，对网络访问请求的内容进行分析和加密过程可以为：第一应用客户端对该网络访问请求的内容进行分析，当该网络访问请求的内容包括指定信息时，第一应用客户端对该指定信息进行加密，第一应用客户端将加密后的该网络访问请求发送至指定服务器，由该指定服务器对该网络访问请求进行解密，将解密后的网络访问请求发送至目的地址，该指定信息至少包括交易信息和用户身份信息。

上述确定网络访问请求是否包括隐私数据的过程也可以通过设置隐私数据的数据类型实现。具体地，用户可以在该第一应用客户端上将指定第二应用客户端的网络访问请求设置为隐私数据，则当该第一应用客户端接收到网络访问请求时，检测该网络访问请求的来源应用客户端，当该网络访问请求由该指定第二应用客户端发送时，即可确定该网络访问请求为隐私数据，当然，该第一应用客户端也可以通过检测该网络访问请求的数据类型字段，来确定该网络访问请求是否为隐私数据，例如，当数据类型字段指示该网络访问请求为指定类型时，确定该网络访问请求为隐私数据。第一应用客户端对隐私数据进行加密发送，相较于现有技术中将所有数据均进行加密发送，既保证了通信数据的安全，也避免了无必要的资源浪费。

上面分别对第一应用客户端获取网络访问请求的内容的三种可能实现进行说明，下面通过图4所示实施例对该第一应用客户端在实际应用中获取网络访问请求的内容的具体流程进行详细说明。

图4是本发明实施例提供的一种网络访问请求的内容获取方法的流程图。参见图4，第一应用客户端处于开启状态，该第一应用客户端在接收到终端系统转发的第二应用客户端的请求时，可以确定该请求采用的传输协议是否为HTTP或HTTPS，如果是HTTP或HTTPS，第一应用客户端可以将其转发至该终端上的HTTP或HTTPS代理服务器，由HTTP或HTTPS代理服务器来对其进行处理，而如果不是HTTP或HTTPS，则可以将该请求写入到虚拟网卡中，通过协议栈对该虚拟网卡中的请求的内容进行提取，再按照最上层的协议发送该请求。

对于HTTP或HTTPS，如果采用的是HTTP，第一应用客户端可以直接查看请求内容，并在中间为第二应用客户端与目标服务器之间的请求进行转发操作，而如果采用的是HTTPS，第一应用客户端则需要确定是否查看请求的内容，在需要查看请求的内容时，通过证书校验成为第二应用客户端与目标服务器之间的中间人，可以获取到第二应用客户端与服务器之间通信的证书和加密公钥和私钥，从而可以通过加密、解密提取到请求的内容。

上述步骤202和203是对该网络访问请求的目的地址进行分析，将该网络访问请求发送至该目的地址的过程，该步骤202和步骤203可以同时进行，也可以先执行步骤203，再执行步骤202，本发明对步骤202与步骤203的顺序不作具体限定。

在具体实施时，由于本地的地址检测与云端的地址检测所需时间不同，则上述步骤202中该第一应用客户端对目的地址的检测方式不同时，该步骤202与步骤203的执行顺序也可以不同。在步骤202中的第一种情况中，由于本地检测的速度比较快，可以先执行步骤202，再确定是否执行步骤203。在本地检测结果为目的地址不符合预设条件时，则该目的地址是恶意地址或者可疑地址，可以直接将该网络访问请求丢弃，则第一应用客户端不再执行步骤203，也不再执行后续步骤。当然，第一应用客户端也可以在即使检测到目的地址异常，也去访问目的地址，先获取到目的地址的资源。在步骤202中的第二种情况中，由于云端检测时，终端与指定服务器之间交互需要一定时间，该第一应用客户端在执行该步骤202时，同时执行步骤203。在步骤203中的第三种情况中，该第一应用客户端可以先进行本地检测，当本地检测不到时，再进行云端检测，并在将目的地址发送至指定服务器进行云端检测的同时，执行步骤203。

204、第一应用客户端接收该网络访问请求的回包数据。

目标服务器根据该网络访问请求获取对应的网络数据，并将其返回给第一应用客户端，则第一应用客户端接收到该网络访问请求的回包数据。

205、第一应用客户端得到该目的地址的分析结果，当该网络访问请求的目的地址不符合预设条件时，执行下述步骤206，当该网络访问请求的目的地址符合预设条件时，执行下述步骤208。

该步骤205中，该第一应用客户端得到该目的地址的分析结果是通过步骤202的分析过程得到的，在步骤202的三种情况中，本地检测和云端检测所需时间不同，该步骤205可能发生的时序也有所不同，该步骤205中得到分析结果的顺序可能在步骤204之后，也可能在步骤204之前，需要说明的是，如果该第一应用客户端接收到回包数据时，还未得到目的地址的分析结果，则该第一应用客户端可以暂不对回包数据进行处理，而是得到分析结果之后，根据分析结果确定对回包数据的处理方式。

206、当该网络访问请求的目的地址不符合预设条件时，第一应用客户端通过该第二应用客户端显示安全提示信息，该安全提示信息用于指示该网络访问请求的目的地址异常。

该网络访问请求的目的地址不符合预设条件时，说明该目的地址是恶意地址或者可疑地址，因而，可以通过该安全提示信息，提示该终端的用户目的地址异常，可以为用户提供一种安全防护服务，以避免该终端因访问恶意地址而造成配置文件的损坏。

在一种可能实现方式中，当该网络访问请求的目的地址不符合预设条件时，第一应用客户端可以将该网络访问请求的回包数据丢弃。例如，第一应用客户端检测到该目的地址是恶意地址，则该恶意地址的回包数据也对该终端的安全有威胁，第一应用客户端可以将该恶意地址返回的回包数据丢弃，不将其通过第二应用客户端进行显示。

在实际应用中还可能有一种场景：该网络访问请求中包括多个域名信息。在该场景下，第一应用客户端可以通过预设的域名系统(Domain Name System，DNS)应用客户端获取每个域名信息对应的目的地址，得到多个目的地址，并在本地和/或云端的地址黑名单中查找该多个目的地址。对于该多个目的地址中任一个目的地址，当该本地和/或云端的地址黑名单中包括该目的地址该任一个目的地址时，第一应用客户端可以将该任一个目的地址替换为指定目的地址，该指定目的地址是不具有合法性的网络协议(Internet Protocol，IP)地址。例如，该网络访问请求检测到本次网络访问请求中有一个目的地址是广告的地址，则可以对该广告的地址进行替换，将其替换为一个虚假地址，当该第二应用客户端想要访问该广告的地址时，由于访问的是一个虚假地址，会产生超时现象，且最终并不能再该虚假地址获取不到任何有效的内容，从而达到了屏蔽广告的目的。

207、当接收到该第二应用客户端的查看请求时，通过该第二应用客户端显示该回包数据。

该步骤207中通过第二应用客户端显示了安全提示信息后，该终端的用户可能坚持想要查看该网络访问请求的回包数据，则该第一应用客户端可以在接收到查看请求时，通过该第二应用客户端显示该回包数据，为该第二应用客户端提供了一种可选的数据查看服务。

上述步骤206和207是该网络访问请求的目的地址不符合预设条件的情况，当该网络访问请求的目的地址符合预设条件时，第一应用客户端执行步骤208。

208、当该网络访问请求的目的地址符合预设条件时，第一应用客户端通过该第二应用客户端显示该回包数据。

上面已经对该流量管理方法的实现方法进行了详细的说明，下面通过图5所示实施例对该流量管理方法的具体流程进行详细说明，在该实施例中，该第一应用客户端对目的地址进行检测时采用步骤202中的第三种情况中的方法步骤。具体地，该流程如下：

图5是本发明实施例提供的一种流量管理方法的流程图。参见图5，第一应用客户端在接收到终端系统转发的第二应用客户端的请求时，第一应用客户端提取请求头，可以得到完整的目的地址，然后第一应用客户端可以检测该目的地址是否在本地的地址黑名单中，如果该目的地址在本地的地址黑名单中，则该第一应用客户端可以拒绝该请求，并向第二应用客户端提供安全提示信息，以提示该目的地址异常。而如果该目的地址不在本地的地址黑名单中，第一应用客户端可以将该目的地址发送至指定服务器，该指定服务器可以是安全服务器，同时第一应用客户端可以将该请求发送至目标服务器，之后该第一应用客户端可以检测该请求的回包数据是否先到达，如果是，则第一应用客户端等待上述安全检测结果，如果不是，则可以确定安全检测结果的内容，如果该目的地址安全，则第一应用客户端可以将回包数据发送至第二应用客户端，如果该目的地址不安全，则可以将该回包数据丢弃，并向第二应用客户端返回安全提示信息。当然，第一应用客户端还可以将云端检测到的不安全的目的地址添加到本地的地址黑名单中。

上述步骤201至步骤208均为第一应用客户端对网络访问请求的目的地址进行检测，来确定对网络访问请求以及网络访问请求的回包数据的处理方式，在一种可能实现方式中，第一应用客户端还可以通过对回包数据进行分析，进一步确定该回包数据中是否包括有害的内容，是否包括无用的推荐信息。

该第一应用客户端对回包数据进行分析的具体过程可以为：第一应用客户端对该网络访问请求的回包数据进行分析，当该网络访问请求的回包数据携带有指定标识时，第一应用客户端对该网络访问请求的回包数据进行过滤，得过滤后的回包数据，最后通过该第二应用客户端显示该过滤后的回包数据。具体实施中，上述过滤过程可以为：第一应用客户端将该网络访问请求的回包数据中携带有指定标识的数据进行删除，将剩余的数据进行封装。

例如，为了保证广告的内容和实际内容在最终呈现时的逻辑性，广告的内容与实际内容是可以明显区分的，因而，可以通过将该回包数据的内容与预设的广告检测规则进行匹配，确定该回包数据是否包括广告的内容。其中，预设的广告检测规则可以包括广告的标识，第一应用客户端检测到该广告的标识即可确定该回包数据包括广告的内容，从而可以将广告的内容去除，将实际内容重新封装为回包数据。

在实际应用中，该第一应用客户端还可以根据用户的设置指令对第二应用客户端的网络访问权限进行设置，使得一些第二应用客户端在一定时间内不能访问网络，从而可以控制一些应用客户端的流量消耗。具体实现过程可以为：第一应用客户端接收设置指令，该设置指令携带第二应用客户端所对应的指定时间段，第一应用客户端基于该第二应用客户端所对应的指定时间段，对该第一应用客户端进行设置，设置完成后，当在指定时间段接收到该第二应用客户端的网络访问请求时，第一应用客户端将该网络访问请求丢弃。

上述过程是对该终端上的应用客户端与服务器之间进行交互过程的安全进行检测的实现过程，在实际应用中，该第一应用客户端还可以对回包数据的类型进行分析，并在该回包数据的类型为媒体数据时，为第二应用客户端提供媒体数据缓存服务。

具体地，该媒体数据缓存的具体实现过程可以是：当该网络访问请求的回包数据的包头信息指示该回包数据包括媒体数据时，第一应用客户端对该媒体数据进行缓存，当该终端的联网状态切换至数据网络或无网络，且该终端的联网状态切换后接收到该媒体数据的网络访问请求时，第一应用客户端以指定格式对该媒体数据进行封装，通过该第二应用客户端播放该媒体数据。

例如，该第二应用客户端在播放该媒体数据时，该终端的联网状态切换至数据网络了，或者该终端变成未联网了，则该第一应用客户端在接收到该第二应用客户端的请求，且该请求的内容为请求该媒体数据时，可以检测该请求的媒体数据是否在缓存中，当该第一应用客户端对该媒体数据进行缓存时，第一应用客户端可以将缓存的媒体数据按照原有的回包数据的格式持续地回复给该第二应用客户端。

需要说明的是，第一应用客户端以指定格式对该媒体数据进行封装是指将缓存的媒体数据按照服务器返回时的回包数据的格式进行封装，某些第二应用客户端可能存在视频序列校验或者时间戳校验的机制，将该以指定格式封装后的媒体数据发送至该某些第二应用客户端时，可以保证该某些第二应用客户端对媒体数据进行校验时的校验结果成功。

在具体实施中，该媒体数据缓存过程中还可以包括以下监控机制：

机制一：如图6所示，该媒体数据缓存结束后，该第一应用客户端接收到其他媒体数据的请求，当该终端的联网状态并没有发生切换时，该第一应用客户端可以删除该媒体数据，并在接收到其他媒体数据时，缓存其他媒体数据。

机制二：第一应用客户端周期性检查当前缓存的媒体数据的存活时长以及该媒体数据的播放时长，当该存活时间与播放时长之间的差值符合预设时长，且该终端的联网状态并没有发生切换时，第一应用客户端可以删除该媒体数据。该媒体数据的存活时间可以根据该媒体数据的时长确定。当该存活时间与播放时长之间的差值不符合预设时长，或该终端的联网状态发生了切换时，且该终端的联网状态并没有发生切换时可以继续保留该媒体数据。

通过上述机制，可以为第二应用客户端提供媒体数据缓存服务的同时，也不会占用太多缓存资源。下面通过图7所示实施例对该媒体数据缓存方法的具体流程进行说明。

图7是本发明实施例提供的一种媒体数据缓存方法的流程图。参见图7，第一应用客户端接收到第二应用客户端持续的媒体数据请求时，可以检测当前的联网状态是否处于无线保真(Wireless Fidelity，WiFi)环境，当确定已经处于WiFi环境时，第一应用客户端将该媒体数据请求发送至目标服务器，第一应用客户端接收该目标服务器返回的回包数据，检测该回包数据的包头中数据的类型，确定回包数据是否为媒体数据，当确定是媒体数据时，第一应用客户端向第二应用客户端发送回包数据，并对该回包数据进行缓存；当确定不是媒体数据时，将该回包数据发送给第二应用客户端。而当确定终端已经不处于WiFi环境时，第一应用客户端可以检测本地缓存是否存在该媒体数据请求对应的媒体数据，当本地缓存存在该媒体数据时，第一应用客户端将该请求的信息进行更改，将缓存的媒体数据返回给第二应用客户端；当本地缓存不存在该媒体数据时，第一应用客户端执行上述去目标服务器获取媒体数据的过程。

除了上述对网络访问请求的目的地址进行安全检测，以及根据回包数据的类型提供媒体数据缓存服务之外，第一应用客户端还可以对该网络访问请求和该回包数据的数据大小进行分析，对该第二应用客户端进行流量大小的管理。

在一种可能实现方式中，第一应用客户端还可以对与第二应用客户端之间的交互数据进行分析，生成用户画像数据，该用户画像数据是指用于表示该终端的用户的流量使用行为。该用户画像数据可以为该终端的用户提供其他个性化服务提供数据基础。

本发明实施例通过第一应用客户端对终端的第二应用客户端的网络访问请求的目的地址进行检测，当目的地址异常时，第一应用客户端可以向第二应用客户端发送安全提示信息，从而可以提高第二应用客户端获取网络资源时的安全性。

进一步地，本发明实施例还通过设置本地规则和云端规则两种检测条件，来对目的地址进行检测，可以提供快速的检测方案，同时提高了检测的准确性，提高了安全防护强度。进一步地，本发明实施例还通过将不符合检测条件的网络访问请求的回包数据丢弃，可以有效避免终端因异常的网络数据而造成配置文件的损坏。进一步地，本发明实施例还通过将异常的目的地址替换为虚假地址，使得该终端不去访问异常的目的地址，可以有效避免终端因异常的网络数据而造成配置文件的损坏。进一步地，本发明实施例还通过对回包数据进行分析，删除回包数据中异常的数据，可以有效避免终端因异常的网络数据而造成配置文件的损坏，为终端提供了更有效的安全防护服务。进一步地，本发明实施例还通过在回包数据为媒体数据时，对媒体数据进行缓存，为第二应用客户端提供媒体数据缓存服务。进一步地，本发明实施例还通过对隐私数据进行加密处理，保证了隐私数据的安全传输。进一步地，本发明实施例还通过对网络访问请求和回包数据进行数据大小分析，为第二应用客户端提供了流量大小的管控。进一步地，本发明实施例还通过第一应用客户端基于交互数据生成用户画像数据，可以为该终端的用户提供其他个性化服务。

上述所有可选技术方案，可以采用任意结合形成本发明的可选实施例，在此不再一一赘述。

图8是本发明实施例提供的一种流量管理装置的结构示意图，该流量管理装置应用于终端上的第一应用客户端，参见图8，该装置包括：

接收模块801，用于接收第二应用客户端的网络访问请求，该网络访问请求携带目的地址；

分析模块802，用于对该网络访问请求的目的地址进行分析，由发送模块803将该网络访问请求发送至该目的地址；

该接收模块801，还用于接收该网络访问请求的回包数据；

显示模块804，用于当该网络访问请求的目的地址不符合预设条件时，通过该第二应用客户端显示安全提示信息，该安全提示信息用于指示该网络访问请求的目的地址异常。

在一个实施例中，如图9所示，该装置还包括：

第一提取模块805，用于从该网络访问请求的内容中提取目的地址；

检测模块806，用于基于本地规则和/或云端规则对该目的地址进行检测，当该目的地址命中该本地规则和/或该云端规则时，确定该目的地址不符合预设条件。

在一个实施例中，该检测模块806还包括：

查找单元，用于在本地的地址黑名单中查找该目的地址；

第一确定单元，用于当该本地的地址黑名单中包括该目的地址时，确定该网络访问请求的目的地址不符合预设条件。

在一个实施例中，该发送模块803，还用于将该目的地址发送至指定服务器，由该指定服务器在云端的地址黑名单中查找该目的地址，并返回查找结果；

该检测模块806还包括：

第二确定单元，用于当该查找结果指示该云端的地址黑名单中包括该目的地址时，确定该网络访问请求的目的地址不符合预设条件。

在一个实施例中，该发送模块803，还用于当该本地的地址黑名单中不包括该目的地址时，将该目的地址发送至指定服务器，由该指定服务器在云端的地址黑名单中查找该目的地址，并返回查找结果；

该第一确定单元，还用于当该查找结果指示该云端的地址黑名单中包括该目的地址时，确定该网络访问请求的目的地址不符合预设条件。

在一个实施例中，如图10所示，该装置还包括：

第一处理模块807，用于当该网络访问请求的目的地址不符合预设条件时，将该网络访问请求的回包数据丢弃。

在一个实施例中，该显示模块804，还用于当接收到该第二应用客户端的查看请求时，通过该第二应用客户端显示该回包数据。

在一个实施例中，如图11所示，该装置还包括：

获取模块808，用于当该网络访问请求中包括多个域名信息时，通过预设的DNS应用客户端获取每个域名信息对应的目的地址，得到多个目的地址；

查找模块809，用于在本地和/或云端的地址黑名单中查找该多个目的地址；

第一替换模块810，用于对于该多个目的地址中任一个目的地址，当该本地和/或云端的地址黑名单中包括该目的地址该任一个目的地址时，将该任一个目的地址替换为指定目的地址，该指定目的地址是不具有合法性的IP地址。

在一个实施例中，该显示模块804，还用于当该网络访问请求的目的地址符合预设条件时，通过该第二应用客户端显示该回包数据。

在一个实施例中，该分析模块802，还用于对该网络访问请求的回包数据进行分析；

如图12所示，该装置还包括：

过滤模块811，用于当该网络访问请求的回包数据携带有指定标识时，对该网络访问请求的回包数据进行过滤，得过滤后的回包数据；

该显示模块804，还用于通过该第二应用客户端显示该过滤后的回包数据。

在一个实施例中，该过滤模块811，用于将该网络访问请求的回包数据中携带有指定标识的数据进行删除，将剩余的数据进行封装。

在一个实施例中，如图13所示，该装置还包括：

缓存模块812，用于当该网络访问请求的回包数据的包头信息指示该回包数据包括媒体数据时，对该媒体数据进行缓存；

播放模块813，用于当该终端的联网状态切换至数据网络或无网络，且该终端的联网状态切换后接收到该媒体数据的网络访问请求时，以指定格式对该媒体数据进行封装，通过该第二应用客户端播放该媒体数据。

在一个实施例中，该分析模块802，还用于对该网络访问请求的内容进行分析；

如图14所示，该装置还包括：

加密模块814，用于当该网络访问请求的内容包括指定信息时，对该指定信息进行加密；

该发送模块803，还用于将加密后的该网络访问请求发送至指定服务器，由该指定服务器对该网络访问请求进行解密，将解密后的网络访问请求发送至目的地址，该指定信息至少包括交易信息和用户身份信息。

在一个实施例中，该分析模块802，还用于对该网络访问请求和该回包数据的数据大小进行分析，对该第二应用客户端进行流量大小的管理。

在一个实施例中，如图15所示，该装置还包括：

生成模块815，用于对与第二应用客户端之间的交互数据进行分析，生成用户画像数据，该用户画像数据是指用于表示该终端的用户的流量使用行为。

在一个实施例中，该分析模块802还包括：

提取单元，用于当该网络访问请求采用的传输协议为HTTP时，提取该网络访问请求的内容；

第三确定单元，用于当该网络访问请求采用的传输协议为HTTPS时，确定是否需要提取该网络访问请求的内容，在需要提取该网络访问请求的内容时，与该第二应用客户端以及目标服务器之间进行证书校验，证书校验完成后提取该网络访问请求的内容，该目标服务器为该网络访问请求的目的地址所指示的服务器；

写入单元，用于当该网络访问请求采用的传输协议不是HTTP和HTTPS时，将该网络访问请求写入到虚拟网络适配器，由该虚拟网络适配器提取该网络访问请求的内容。

在一个实施例中，该接收模块801，还用于接收第二应用客户端的认证请求，该认证请求携带该第二应用客户端的标识信息和目的地址；

如图16所示，该装置还包括：

第二替换模块816，用于将该第二应用客户端的标识信息替换为预设标识信息；

该发送模块803，还用于将替换后的认证请求发送至目标服务器，由该目标服务器根据该认证请求返回该目标服务器的证书；

存储模块817，用于当接收到该目标服务器返回的证书时，将该证书进行存储，由该发送模块803将预设证书发送至该第二应用客户端，该预设证书携带有该第一应用客户端的标识信息。

在一个实施例中，如图17所示，该装置还包括：

遍历模块818，用于遍历描述符池中描述符的状态；

该发送模块803，用于当检测到该描述符池中包括闲置描述符时，调用该闲置描述符，通过该闲置描述符将该网络访问请求发送至该目的地址。

在一个实施例中，如图18所示，该装置还包括：

暂停模块819，用于当检测到描述符池中不包括闲置描述符时，暂停对该网络访问请求的处理，该遍历模块818继续遍历描述符池中描述符的状态；

新建模块820，用于当在第一预设时长内未检测到该描述符池中包括闲置描述符时，新建描述符，将新建的描述符添加到该描述符池中；

该发送模块803，还用于调用新建的描述符，通过该新建的描述符将该网络访问请求发送至该目的地址。

在一个实施例中，该发送模块803，还用于当在第一预设时长内检测到该描述符池中包括闲置描述符时，调用闲置描述符，执行该通过该闲置描述符将该网络访问请求发送至该目的地址的步骤。

在一个实施例中，该描述符池中描述符的数量根据定期统计的处于忙碌状态的描述符的数量峰值调整。

在一个实施例中，如图19所示，该装置还包括：

监控模块821，用于根据该终端的系统类型，选用epoll模型或kqueue模型对该描述符池中的描述符进行监控；

该监控模块821，用于对于任一个描述符，根据该任一个描述符的工作状态确定是否使用该任一个描述符处理其他请求，该任一个描述符的工作状态是指该任一个描述符是否在第二预设时长内进行过数据交互。

在一个实施例中，当该终端的系统类型为安卓系统或Linux系统时，选用epoll模型；当该终端的系统类型为IOS或BSD系统时，选用kqueue模型。

在一个实施例中，该接收模块801，还用于接收设置指令，该设置指令携带第二应用客户端所对应的指定时间段；

如图20所示，该装置还包括：

设置模块822，用于基于该第二应用客户端所对应的指定时间段，对该第一应用客户端进行设置；

第二处理模块823，用于当在指定时间段接收到第二应用客户端的网络访问请求时，将该网络访问请求丢弃。

本发明实施例提供的装置通过第一应用客户端对终端的第二应用客户端的网络访问请求的目的地址进行检测，当目的地址异常时，第一应用客户端可以向第二应用客户端发送安全提示信息，从而可以提高第二应用客户端获取网络资源时的安全性。

需要说明的是：上述实施例提供的流量管理装置在实现流量管理时，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将装置的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。另外，上述实施例提供的流量管理装置和流量管理方法实施例属于同一构思，其具体实现过程详见方法实施例，这里不再赘述。

图21是本发明实施例提供的一种终端2100的结构框图。该终端2100可以是：智能手机、平板电脑、MP3播放器(Moving Picture Experts Group Audio Layer III，动态影像专家压缩标准音频层面3)、MP4(Moving Picture Experts Group Audio Layer IV，动态影像专家压缩标准音频层面4)播放器、笔记本电脑或台式电脑。终端2100还可能被称为用户设备、便携式终端、膝上型终端、台式终端等其他名称。

通常，终端2100包括有：处理器2101和存储器2102。

处理器2101可以包括一个或多个处理核心，比如4核心处理器、8核心处理器等。处理器2101可以采用DSP(Digital Signal Processing，数字信号处理)、FPGA(Field－Programmable Gate Array，现场可编程门阵列)、PLA(Programmable Logic Array，可编程逻辑阵列)中的至少一种硬件形式来实现。处理器2101也可以包括主处理器和协处理器，主处理器是用于对在唤醒状态下的数据进行处理的处理器，也称CPU(Central ProcessingUnit，中央处理器)；协处理器是用于对在待机状态下的数据进行处理的低功耗处理器。在一些实施例中，处理器2101可以在集成有GPU(Graphics Processing Unit，图像处理器)，GPU用于负责显示屏所需要显示的内容的渲染和绘制。一些实施例中，处理器2101还可以包括AI(Artificial Intelligence，人工智能)处理器，该AI处理器用于处理有关机器学习的计算操作。

存储器2102可以包括一个或多个计算机可读存储介质，该计算机可读存储介质可以是非暂态的。存储器2102还可包括高速随机存取存储器，以及非易失性存储器，比如一个或多个磁盘存储设备、闪存存储设备。在一些实施例中，存储器2102中的非暂态的计算机可读存储介质用于存储至少一个指令，该至少一个指令用于被处理器2101所执行以实现本发明中方法实施例提供的流量管理方法。

在一些实施例中，终端2100还可选包括有：外围设备接口2103和至少一个外围设备。处理器2101、存储器2102和外围设备接口2103之间可以通过总线或信号线相连。各个外围设备可以通过总线、信号线或电路板与外围设备接口2103相连。具体地，外围设备包括：射频电路2104、触摸显示屏2105、摄像头2106、音频电路2107、定位组件2108和电源2109中的至少一种。

外围设备接口2103可被用于将I/O(Input/Output，输入/输出)相关的至少一个外围设备连接到处理器2101和存储器2102。在一些实施例中，处理器2101、存储器2102和外围设备接口2103被集成在同一芯片或电路板上；在一些其他实施例中，处理器2101、存储器2102和外围设备接口2103中的任意一个或两个可以在单独的芯片或电路板上实现，本实施例对此不加以限定。

射频电路2104用于接收和发射RF(Radio Frequency，射频)信号，也称电磁信号。射频电路2104通过电磁信号与通信网络以及其他通信设备进行通信。射频电路2104将电信号转换为电磁信号进行发送，或者，将接收到的电磁信号转换为电信号。可选地，射频电路2104包括：天线系统、RF收发器、一个或多个放大器、调谐器、振荡器、数字信号处理器、编解码芯片组、用户身份模块卡等等。射频电路2104可以通过至少一种无线通信协议来与其它终端进行通信。该无线通信协议包括但不限于：万维网、城域网、内联网、各代移动通信网络(2G、3G、4G及5G)、无线局域网和/或WiFi网络。在一些实施例中，射频电路2104还可以包括NFC(Near Field Communication，近距离无线通信)有关的电路，本发明对此不加以限定。

显示屏2105用于显示UI(User Interface，用户界面)。该UI可以包括图形、文本、图标、视频及其它们的任意组合。当显示屏2105是触摸显示屏时，显示屏2105还具有采集在显示屏2105的表面或表面上方的触摸信号的能力。该触摸信号可以作为控制信号输入至处理器2101进行处理。此时，显示屏2105还可以用于提供虚拟按钮和/或虚拟键盘，也称软按钮和/或软键盘。在一些实施例中，显示屏2105可以为一个，设置终端2100的前面板；在另一些实施例中，显示屏2105可以为至少两个，分别设置在终端2100的不同表面或呈折叠设计；在再一些实施例中，显示屏2105可以是柔性显示屏，设置在终端2100的弯曲表面上或折叠面上。甚至，显示屏2105还可以设置成非矩形的不规则图形，也即异形屏。显示屏2105可以采用LCD(Liquid Crystal Display，液晶显示屏)、OLED(Organic Light-Emitting Diode,有机发光二极管)等材质制备。

摄像头组件2106用于采集图像或视频。可选地，摄像头组件2106包括前置摄像头和后置摄像头。通常，前置摄像头设置在终端的前面板，后置摄像头设置在终端的背面。在一些实施例中，后置摄像头为至少两个，分别为主摄像头、景深摄像头、广角摄像头、长焦摄像头中的任意一种，以实现主摄像头和景深摄像头融合实现背景虚化功能、主摄像头和广角摄像头融合实现全景拍摄以及VR(Virtual Reality，虚拟现实)拍摄功能或者其它融合拍摄功能。在一些实施例中，摄像头组件2106还可以包括闪光灯。闪光灯可以是单色温闪光灯，也可以是双色温闪光灯。双色温闪光灯是指暖光闪光灯和冷光闪光灯的组合，可以用于不同色温下的光线补偿。

音频电路2107可以包括麦克风和扬声器。麦克风用于采集用户及环境的声波，并将声波转换为电信号输入至处理器2101进行处理，或者输入至射频电路2104以实现语音通信。出于立体声采集或降噪的目的，麦克风可以为多个，分别设置在终端2100的不同部位。麦克风还可以是阵列麦克风或全向采集型麦克风。扬声器则用于将来自处理器2101或射频电路2104的电信号转换为声波。扬声器可以是传统的薄膜扬声器，也可以是压电陶瓷扬声器。当扬声器是压电陶瓷扬声器时，不仅可以将电信号转换为人类可听见的声波，也可以将电信号转换为人类听不见的声波以进行测距等用途。在一些实施例中，音频电路2107还可以包括耳机插孔。

定位组件2108用于定位终端2100的当前地理位置，以实现导航或LBS(LocationBased Service，基于位置的服务)。定位组件2108可以是基于美国的GPS(GlobalPositioning System，全球定位系统)、中国的北斗系统或俄罗斯的伽利略系统的定位组件。

电源2109用于为终端2100中的各个组件进行供电。电源2109可以是交流电、直流电、一次性电池或可充电电池。当电源2109包括可充电电池时，该可充电电池可以是有线充电电池或无线充电电池。有线充电电池是通过有线线路充电的电池，无线充电电池是通过无线线圈充电的电池。该可充电电池还可以用于支持快充技术。

在一些实施例中，终端2100还包括有一个或多个传感器2110。该一个或多个传感器2110包括但不限于：加速度传感器2111、陀螺仪传感器2112、压力传感器2113、指纹传感器2114、光学传感器2115以及接近传感器2116。

加速度传感器2111可以检测以终端2100建立的坐标系的三个坐标轴上的加速度大小。比如，加速度传感器2111可以用于检测重力加速度在三个坐标轴上的分量。处理器2101可以根据加速度传感器2111采集的重力加速度信号，控制触摸显示屏2105以横向视图或纵向视图进行用户界面的显示。加速度传感器2111还可以用于游戏或者用户的运动数据的采集。

陀螺仪传感器2112可以检测终端2100的机体方向及转动角度，陀螺仪传感器2112可以与加速度传感器2111协同采集用户对终端2100的3D动作。处理器2101根据陀螺仪传感器2112采集的数据，可以实现如下功能：动作感应(比如根据用户的倾斜操作来改变UI)、拍摄时的图像稳定、游戏控制以及惯性导航。

压力传感器2113可以设置在终端2100的侧边框和/或触摸显示屏2105的下层。当压力传感器2113设置在终端2100的侧边框时，可以检测用户对终端2100的握持信号，由处理器2101根据压力传感器2113采集的握持信号进行左右手识别或快捷操作。当压力传感器2113设置在触摸显示屏2105的下层时，由处理器2101根据用户对触摸显示屏2105的压力操作，实现对UI界面上的可操作性控件进行控制。可操作性控件包括按钮控件、滚动条控件、图标控件、菜单控件中的至少一种。

指纹传感器2114用于采集用户的指纹，由处理器2101根据指纹传感器2114采集到的指纹识别用户的身份，或者，由指纹传感器2114根据采集到的指纹识别用户的身份。在识别出用户的身份为可信身份时，由处理器2101授权该用户执行相关的敏感操作，该敏感操作包括解锁屏幕、查看加密信息、下载软件、支付及更改设置等。指纹传感器2114可以被设置终端2100的正面、背面或侧面。当终端2100上设置有物理按键或厂商Logo时，指纹传感器2114可以与物理按键或厂商Logo集成在一起。

光学传感器2115用于采集环境光强度。在一个实施例中，处理器2101可以根据光学传感器2115采集的环境光强度，控制触摸显示屏2105的显示亮度。具体地，当环境光强度较高时，调高触摸显示屏2105的显示亮度；当环境光强度较低时，调低触摸显示屏2105的显示亮度。在另一个实施例中，处理器2101还可以根据光学传感器2115采集的环境光强度，动态调整摄像头组件2106的拍摄参数。

接近传感器2116，也称距离传感器，通常设置在终端2100的前面板。接近传感器2116用于采集用户与终端2100的正面之间的距离。在一个实施例中，当接近传感器2116检测到用户与终端2100的正面之间的距离逐渐变小时，由处理器2101控制触摸显示屏2105从亮屏状态切换为息屏状态；当接近传感器2116检测到用户与终端2100的正面之间的距离逐渐变大时，由处理器2101控制触摸显示屏2105从息屏状态切换为亮屏状态。

本领域技术人员可以理解，图21中示出的结构并不构成对终端2100的限定，可以包括比图示更多或更少的组件，或者组合某些组件，或者采用不同的组件布置。

在示例性实施例中，还提供了一种存储有计算机程序的计算机可读存储介质，例如存储有计算机程序的存储器，上述计算机程序被处理执行时实现上述流量管理方法。例如，上述计算机可读存储介质可以是只读内存(Read-Only Memory,ROM)、随机存取存储器(Random Access Memory，RAM)、只读光盘(Compact Disc Read-Only Memory，CD-ROM)、磁带、软盘和光数据存储设备等。

本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，该程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。

上述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (13)

1.一种流量管理方法，其特征在于，所述方法包括：

终端上的第一应用客户端接收第二应用客户端的网络访问请求，所述网络访问请求携带目的地址；

所述第一应用客户端将所述网络访问请求发送至所述目的地址，接收所述目的地址返回的回包数据；

当所述第一应用客户端对所述网络访问请求携带的目的地址分析，确定所述网络访问请求的目的地址不符合预设条件时，所述第一应用客户端通过所述第二应用客户端显示安全提示信息，将所述目的地址返回的回包数据丢弃，所述安全提示信息用于指示所述网络访问请求的目的地址异常；

当所述第一应用客户端对所述网络访问请求携带的目的地址分析，确定所述网络访问请求的目的地址符合预设条件时，所述第一应用客户端对所述目的地址返回的回包数据进行分析；当所述目的地址返回的回包数据携带有指定标识时，所述第一应用客户端对所述目的地址返回的回包数据进行过滤，得过滤后的回包数据；所述第一应用客户端通过所述第二应用客户端显示所述过滤后的回包数据。

2.根据权利要求1所述的方法，其特征在于，所述第一应用客户端对所述网络访问请求携带的目的地址分析，确定所述网络访问请求的目的地址不符合预设条件包括：

所述第一应用客户端从所述网络访问请求的内容中提取目的地址；

所述第一应用客户端基于本地规则和/或云端规则对所述目的地址进行检测，当所述目的地址命中所述本地规则和/或所述云端规则时，确定所述目的地址不符合预设条件。

3.根据权利要求2所述的方法，其特征在于，所述第一应用客户端基于本地规则和/或云端规则对所述目的地址进行检测，当所述目的地址命中所述本地规则或所述云端规则时，确定所述目的地址不符合预设条件，包括：

所述第一应用客户端在本地的地址黑名单中查找所述目的地址；

当所述本地的地址黑名单中包括所述目的地址时，所述第一应用客户端确定所述网络访问请求的目的地址不符合预设条件。

4.根据权利要求3所述的方法，其特征在于，所述第一应用客户端基于本地规则和/或云端规则对所述目的地址进行检测，当所述目的地址命中所述本地规则或所述云端规则时，确定所述目的地址不符合预设条件，包括：

当所述本地的地址黑名单中不包括所述目的地址时，所述第一应用客户端将所述目的地址发送至指定服务器，由所述指定服务器在云端的地址黑名单中查找所述目的地址，并返回查找结果；

当所述查找结果指示所述云端的地址黑名单中包括所述目的地址时，所述第一应用客户端确定所述网络访问请求的目的地址不符合预设条件。

5.根据权利要求1所述的方法，其特征在于，所述方法还包括：

当所述网络访问请求中包括多个域名信息时，所述第一应用客户端通过预设的域名系统DNS应用客户端获取每个域名信息对应的目的地址，得到多个目的地址；

所述第一应用客户端在本地和/或云端的地址黑名单中查找所述多个目的地址；

对于所述多个目的地址中任一个目的地址，当所述本地和/或云端的地址黑名单中包括所述目的地址所述任一个目的地址时，所述第一应用客户端将所述任一个目的地址替换为指定目的地址，所述指定目的地址是不具有合法性的网络协议IP地址。

6.根据权利要求1所述的方法，其特征在于，所述接收所述目的地址返回的回包数据之后，所述方法还包括：

当所述目的地址返回的回包数据的包头信息指示所述回包数据包括媒体数据时，所述第一应用客户端对所述媒体数据进行缓存；

当所述终端的联网状态切换至数据网络或无网络，且所述终端的联网状态切换后接收到所述媒体数据的网络访问请求时，以指定格式对所述媒体数据进行封装，所述第一应用客户端通过所述第二应用客户端播放所述媒体数据。

7.根据权利要求1所述的方法，其特征在于，所述接收第二应用客户端的网络访问请求之后，所述方法还包括：

所述第一应用客户端对所述网络访问请求的内容进行分析；

当所述网络访问请求的内容包括指定信息时，所述第一应用客户端对所述指定信息进行加密；

所述第一应用客户端将加密后的所述网络访问请求发送至指定服务器，由所述指定服务器对所述网络访问请求进行解密，将解密后的网络访问请求发送至目的地址，所述指定信息至少包括交易信息和用户身份信息。

8.根据权利要求1所述的方法，其特征在于，所述方法还包括：

所述第一应用客户端对与第二应用客户端之间的交互数据进行分析，生成用户画像数据，所述用户画像数据是指用于表示所述终端的用户的流量使用行为。

9.根据权利要求1所述的方法，其特征在于，所述方法还包括：

当所述网络访问请求采用的传输协议为超文本传输协议HTTP时，所述第一应用客户端提取所述网络访问请求的内容；

当所述网络访问请求采用的传输协议为具有安全性的超文本传输协议HTTPS时，所述第一应用客户端确定是否需要提取所述网络访问请求的内容，在需要提取所述网络访问请求的内容时，所述第一应用客户端与所述第二应用客户端以及目标服务器之间进行证书校验，证书校验完成后提取所述网络访问请求的内容，所述目标服务器为所述网络访问请求的目的地址所指示的服务器；

当所述网络访问请求采用的传输协议不是HTTP和HTTPS时，所述第一应用客户端将所述网络访问请求写入到虚拟网络适配器，由所述虚拟网络适配器提取所述网络访问请求的内容。

10.根据权利要求1所述的方法，其特征在于，所述方法还包括：

所述第一应用客户端接收设置指令，所述设置指令携带第二应用客户端所对应的指定时间段；

所述第一应用客户端基于所述第二应用客户端所对应的指定时间段，对所述第一应用客户端进行设置；

当在指定时间段接收到第二应用客户端的网络访问请求时，所述第一应用客户端将所述网络访问请求丢弃。

11.一种流量管理装置，其特征在于，应用于终端上的第一应用客户端，所述装置包括：

接收模块，用于接收第二应用客户端的网络访问请求，所述网络访问请求携带目的地址；

发送模块，用于将所述网络访问请求发送至所述目的地址；

所述接收模块，还用于接收所述目的地址返回的回包数据；

显示模块，用于当由分析模块对所述网络访问请求携带的目的地址进行分析，确定所述网络访问请求的目的地址不符合预设条件时，通过所述第二应用客户端显示安全提示信息，将所述目的地址返回的回包数据丢弃，所述安全提示信息用于指示所述网络访问请求的目的地址异常；当对所述网络访问请求携带的目的地址分析，确定所述网络访问请求的目的地址符合预设条件时，对所述目的地址返回的回包数据进行分析；当所述目的地址返回的回包数据携带有指定标识时，对所述目的地址返回的回包数据进行过滤，得过滤后的回包数据；通过所述第二应用客户端显示所述过滤后的回包数据。

12.一种终端，其特征在于，包括：

处理器；

用于存放计算机程序的存储器；

其中，所述处理器用于执行存储器上所存放的计算机程序，实现权利要求1-10任一项所述的方法步骤。

13.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现权利要求1-10任一项所述的方法步骤。

Images