CN109756337A - 一种服务接口的安全接入方法和装置 - Google Patents

Abstract

本发明公开了一种服务接口的安全接入方法和装置，涉及计算机技术领域。该方法一具体实施方式包括：服务器端根据请求令牌的客户端发来的令牌获取请求生成令牌，并将所述令牌下发到所述请求令牌的客户端，以及保存所述令牌与所述请求令牌的客户端之间的对应关系；当所述服务器端收到一待接入客户端发来的接入请求时，根据保存的所述对应关系验证所述待接入客户端是否为所述请求令牌的客户端，若所述验证通过，则允许所述待接入客户端接入所述服务接口，否则，拒绝所述待接入客户端接入所述服务接口。该实施方式在成本允许情况下增强后台服务器端的身份验证能力、数据完整性和防刷能力。

Description

一种服务接口的安全接入方法和装置

技术领域

本发明涉及计算机技术领域，尤其涉及一种服务接口的安全接入方法和装置。

背景技术

随着互联网时代的到来，越来越多的服务从线下转到线上，应用体量不断增长。由于一些特殊场景的需要，传统的网络请求技术(短连接)已经很难满足，于是更符合这些特定场景的长连接技术慢慢发展起来。由于长连接技术的特定属性，在设计此类服务的时候就必须要谨慎设计策略方案来保证后台服务资源可以最大化地用在有效的服务上，否则一些简单地恶意攻击就会极大的影响服务的可用性和健壮性。

现在业内最常用的对于长连接的攻击模式包括伪造身份以及刷接口，其中，伪造身份如果不防范会造成一些非法恶意请求来攻击服务，达成个人非法目的等；刷接口如果不防范对于长连接会很容易造成连接数达到上限，合法用户无法建立新连接从而导致服务不可用。

现有的对于身份验证主要的方案是通过在客户端(主要在客户端Cookie(为存储在浏览器目录中的文本文件))存放服务端下发的信息，服务端在下发信息的同时也在服务端记录此信息，一般服务端信息有一定的时效性，在一段时间内以此信息来表明用户身份，服务端在收到请求的同时验证此Cookie中的信息是否在服务端有过记录，有记录则通过请求，反之请求不合法。以上方案存在诸多缺陷：第一，Cookie中信息非常容易被第三方获取，一旦第三方获取该信息则完全有能力通过修改Cookie来伪造身份，从而通过身份验证；第二，第三方可以对Cookie进行篡改，在一些情况下也容易对服务端造成有目的的破坏；第三，Cookie中的信息在失效之前可以被反复使用，第三方在获取信息后可以对服务端进行请求攻击，从而压垮服务器造成服务不可用。

在实现本发明过程中，发明人发现现有技术中至少存在如下问题：

现有的方案无法有效地验证请求者身份，无法防止Cookie中的信息被盗用或篡改，无法满足服务端的防刷要求，从而无法有效抵御对服务器的非法攻击。

发明内容

有鉴于此，本发明实施例提供一种服务接口的安全接入方法和装置，使得服务器端下发给某客户端的令牌(token)只有该客户端才能使用，防止恶意攻击者盗用令牌来通过身份验证，保证令牌无法被篡改，保证数据完整性，防止了恶意攻击者用合法令牌来多次刷后台服务接口，在成本允许的情况下增强了后台服务器端的身份验证能力、数据完整性和防刷能力。

为实现上述目的，根据本发明实施例的一个方面，提供了一种服务接口的安全接入方法。

一种服务接口的安全接入方法，包括：服务器端根据请求令牌的客户端发来的令牌获取请求生成令牌，并将所述令牌下发到所述请求令牌的客户端，以及保存所述令牌与所述请求令牌的客户端之间的对应关系；当所述服务器端收到一待接入客户端发来的接入请求时，根据保存的所述对应关系验证所述待接入客户端是否为所述请求令牌的客户端，若所述验证通过，则允许所述待接入客户端接入所述服务接口，否则，拒绝所述待接入客户端接入所述服务接口。

可选地，所述服务器端包括第一服务端和所述服务接口所在的第二服务端，服务器端根据请求令牌的客户端发来的令牌获取请求生成令牌的步骤之前，还包括：服务器端根据预设的校验规则校验请求令牌的客户端发来的令牌获取请求，并确定所述令牌获取请求校验通过。

可选地，所述令牌获取请求包括预先生成的验签，还包括所述请求令牌的客户端的请求时间戳和设备标识，所述预设的校验规则包括校验所述令牌获取请求的合法性和有效性，服务器端根据预设的校验规则校验请求令牌的客户端发来的令牌获取请求，并确定所述令牌获取请求校验通过的步骤包括：通过所述第一服务端的网关解析所述令牌获取请求中的验签，如果解析成功，则所述令牌获取请求合法，否则，所述令牌获取请求不合法；若所述令牌获取请求合法，则通过所述第一服务端判断是否存在所述请求令牌的客户端的请求时间戳和设备标识的关联存储记录，若存在，则判定所述令牌获取请求无效，若不存在，则判断所述请求时间戳是否过期，若所述请求时间戳过期，则判定所述令牌获取请求无效，若所述请求时间戳未过期，则判定所述令牌获取请求有效；当所述令牌获取请求合法且有效时，确定所述令牌获取请求校验通过。

可选地，所述接入请求包括所述待接入客户端的接入令牌和设备标识，保存所述令牌与所述请求令牌的客户端之间的对应关系的步骤，包括：保存所述令牌与对应的所述请求令牌的客户端的设备标识之间的匹配关系，根据保存的所述对应关系验证所述待接入客户端是否为所述请求令牌的客户端的步骤，包括：通过所述第二服务端判断保存的所述令牌与对应的所述请求令牌的客户端的设备标识之间的匹配关系之中，是否存在所述待接入客户端的接入令牌和设备标识之间的匹配关系，若存在，则所述验证通过，否则，所述验证不通过。

可选地，允许所述待接入客户端接入所述服务接口的步骤之后，还包括：从保存的所述令牌与对应的所述请求令牌的客户端的设备标识之间的匹配关系之中，删除所述待接入客户端的接入令牌和设备标识之间的匹配关系。

可选地，服务器端根据请求令牌的客户端发来的令牌获取请求生成令牌的步骤之后，还包括：关联存储所述请求令牌的客户端的请求时间戳和设备标识。

根据本发明实施例的另一方面，提供了另一种服务接口的安全接入方法。

一种服务接口的安全接入方法，包括：客户端向服务器端发送令牌获取请求，并接收所述服务器端下发的令牌；所述客户端将所述令牌添加在用于请求接入所述服务接口的接入请求中，以便所述服务器端验证所述客户端是否为被下发所述令牌的客户端；当所述验证的结果为验证通过，所述客户端接入所述服务接口。

可选地，所述服务器端包括第一服务端和所述服务接口所在的第二服务端，客户端向服务器端发送令牌获取请求，并接收所述服务器端下发的令牌的步骤，包括：客户端向所述第一服务端发送令牌获取请求，并接收所述第一服务端下发的令牌；所述客户端将所述令牌添加在用于请求接入所述服务接口的接入请求中，以便所述服务器端验证所述客户端是否为被下发所述令牌的客户端的步骤，包括：所述客户端将所述令牌添加在用于向第二服务端请求接入所述服务接口的接入请求中，以便所述第二服务端验证所述客户端是否为被下发所述令牌的客户端。

可选地，所述令牌获取请求包括验签、请求时间戳和所述客户端的设备标识，客户端向所述第一服务端发送令牌获取请求的步骤之前，还包括：客户端使用与所述第一服务端的网关对应的集成工具生成所述验签。

可选地，在所述客户端接入所述服务接口之后，所述令牌失效。

可选地，所述接入请求还包括所述客户端的设备标识，当所述令牌和所述客户端的设备标识之间的匹配关系与所述服务器端保存的一已下发令牌和被下发所述一已下发令牌的客户端的设备标识之间的匹配关系一致，则所述第二服务端通过所述验证。

根据本发明实施例的又一方面，提供了一种服务接口的安全接入装置。

一种服务接口的安全接入装置，用于服务器端，包括：令牌生成模块，用于根据请求令牌的客户端发来的令牌获取请求生成令牌，并将所述令牌下发到所述请求令牌的客户端，以及保存所述令牌与所述请求令牌的客户端之间的对应关系；服务接入模块，用于当收到一待接入客户端发来的接入请求时，根据保存的所述对应关系验证所述待接入客户端是否为所述请求令牌的客户端，若所述验证通过，则允许所述待接入客户端接入所述服务接口，否则，拒绝所述待接入客户端接入所述服务接口。

根据本发明实施例的又一方面，提供了另一种服务接口的安全接入装置。

一种服务接口的安全接入装置，用于客户端，包括：令牌获取模块，用于向服务器端发送令牌获取请求，并接收所述服务器端下发的令牌；请求接入模块，用于将所述令牌添加在用于请求接入所述服务接口的接入请求中，以便所述服务器端验证所述客户端是否为被下发所述令牌的客户端；接口接入模块，用于当所述验证的结果为验证通过，将所述客户端接入所述服务接口。

根据本发明实施例的又一方面，提供了一种服务器。

一种服务器，包括：一个或多个处理器；存储器，用于存储一个或多个程序，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现服务接口的安全接入方法。

根据本发明实施例的又一方面，提供了一种终端。

一种终端，包括：一个或多个处理器；存储器，用于存储一个或多个程序，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现服务接口的安全接入方法。

根据本发明实施例的又一方面，提供了一种计算机可读介质。

一种计算机可读介质，其上存储有计算机程序，所述程序被处理器执行时实现服务接口的安全接入方法。

上述发明中的一个实施例具有如下优点或有益效果：服务器端下发的令牌与对应的客户端之间的对应关系(主要是该令牌与对应的客户端的设备标识之间的匹配关系)保存在服务器端，使得下发给某客户端的令牌(token)只有该客户端才能使用，防止恶意攻击者盗用令牌来通过身份验证；并且，令牌不存储在客户端，客户端每次接入服务接口都需要请求服务器端重新生成令牌，保证令牌无法被篡改，保证数据完整性；在客户端接入服务接口之后，服务器端删除保存的该客户端和对应令牌之间的对应关系，即该客户端接入服务接口之后对应的令牌立即失效，从而使得每个令牌只能被使用一次，防止了恶意攻击者用合法令牌来多次刷后台服务接口；此外，通过校验客户端的令牌获取请求的合法性和有效性，使得非法请求和过期请求的客户端无法获取合法令牌，进一步确保第三方无法伪造请求以及反复使用合法请求；综上所述，本发明实施例实现了在成本允许的情况下增强了后台服务器端的身份验证能力、数据完整性和防刷能力。

上述的非惯用的可选方式所具有的进一步效果将在下文中结合具体实施方式加以说明。

附图说明

附图用于更好地理解本发明，不构成对本发明的不当限定。其中：

图1是根据本发明实施例的一种服务接口的安全接入方法的主要步骤示意图；

图2是根据本发明实施例的另一种服务接口的安全接入方法的主要步骤示意图；

图3是根据本发明实施例的服务接口的安全接入方法的优选流程示意图；

图4是根据本发明实施例的一种服务接口的安全接入装置的主要模块示意图；

图5是根据本发明实施例的另一种服务接口的安全接入装置的主要模块示意图；

图6是本发明实施例可以应用于其中的示例性系统架构图；

图7是适于用来实现本发明实施例的服务器的计算机系统的结构示意图。

具体实施方式

以下结合附图对本发明的示范性实施例做出说明，其中包括本发明实施例的各种细节以助于理解，应当将它们认为仅仅是示范性的。因此，本领域普通技术人员应当认识到，可以对这里描述的实施例做出各种改变和修改，而不会背离本发明的范围和精神。同样，为了清楚和简明，以下的描述中省略了对公知功能和结构的描述。

图1是根据本发明实施例的一种服务接口的安全接入方法的主要步骤示意图。

如图1所示，本发明实施例的一种服务接口的安全接入方法主要包括如下的步骤S101至步骤S102。

步骤S101：服务器端根据请求令牌的客户端发来的令牌获取请求生成令牌，并将令牌下发到该请求令牌的客户端，以及保存令牌与该请求令牌的客户端之间的对应关系。

服务器端根据请求令牌的客户端发来的令牌获取请求生成令牌的步骤之前，还可以包括：服务器端根据预设的校验规则校验请求令牌的客户端发来的令牌获取请求，并确定该令牌获取请求校验通过。

令牌获取请求具体可以包括预先生成的验签，还可以包括请求令牌的客户端的请求时间戳和设备标识。

其中，设备标识可以为UUID(设备号，可以唯一地标识设备)。

本发明实施例的一种服务接口的安全接入方法可由服务器端执行，服务器端可以包括第一服务端以及服务接口所在的不同于第一服务端的第二服务端，该第一服务端和该第二服务端为服务器端提供的两个功能不同的服务，服务器端可包括一个或多个服务器(通常为多个)，该第一服务端和第二服务端通常设置于不同的服务器中。

服务器端生成的令牌可以为对第一服务端所在的服务器的服务器时间做加密而生成的字符串，也可以自行设置其他生成字符串的规则，并根据该规则生成字符串作为令牌(token)，只要保证生成的token唯一即可，例如可以用机器(如服务器)生成UUID作为token。

预设的校验规则可以包括校验令牌获取请求的合法性和有效性。

服务器端根据预设的校验规则校验请求令牌的客户端发来的令牌获取请求，并确定令牌获取请求校验通过的步骤具体可以包括：首先校验令牌获取请求的合法性，具体地，通过第一服务端的网关解析令牌获取请求中的验签，如果解析成功，则令牌获取请求合法，否则，令牌获取请求不合法；若令牌获取请求合法，则继而校验令牌获取请求的有效性，具体地，通过第一服务端判断是否存在请求令牌的客户端的请求时间戳和设备标识的关联存储记录，若存在，则判定令牌获取请求无效，若不存在，则判断请求时间戳是否过期，若请求时间戳过期，则判定令牌获取请求无效，若请求时间戳未过期，则判定令牌获取请求有效；当令牌获取请求合法且有效时，确定令牌获取请求校验通过。

请求时间戳的过期时间可以根据需要设定，例如，考虑客户端时间和第一服务端所在服务器的时间可能存在相对时间差，可设置请求时间戳的过期时间为±13小时。

服务器端根据请求令牌的客户端发来的令牌获取请求生成令牌的步骤之后，还可以在缓存集群(例如缓存Redis集群)中关联存储请求令牌的客户端的请求时间戳和设备标识。

通过在生成令牌之后将请求令牌的客户端的请求时间戳和设备标识关联存储在缓存集群中，使得该请求令牌的客户端在以同样的令牌获取请求多次向服务器端请求令牌时，服务器端可以根据上述的校验令牌获取请求的有效性的方法使得只有第一次令牌获取请求可以通过校验，即，该请求令牌的客户端向服务器端发出第二次或第二次以上的该相同的令牌获取请求时，第一服务端可以查找到缓存集群中保存的该请求时间戳和该设备标识的关联存储记录，从而判定第二次或第二次以上的该相同的令牌获取请求无效。保证了过期令牌获取请求的客户端无法获取合法令牌，确保第三方无法反复使用合法请求。

保存令牌与请求令牌的客户端之间的对应关系的步骤，具体可以包括：保存令牌与对应的请求令牌的客户端的设备标识之间的匹配关系。并且该对应关系(或匹配关系)可以保存在缓存集群中，缓存集群例如缓存Redis(一个开源、内存存储的数据结构服务器)集群。

步骤S102：当服务器端收到一待接入客户端发来的接入请求时，根据保存的令牌与请求令牌的客户端之间的对应关系验证待接入客户端是否为请求令牌的客户端，若验证通过，则允许待接入客户端接入所述服务接口，否则，拒绝待接入客户端接入服务接口。

接入请求具体可以包括待接入客户端的接入令牌和设备标识。

接入令牌为该待接入客户端向服务器端请求接入服务接口时携带在接入请求中的令牌。

根据保存的令牌与请求令牌的客户端之间的对应关系验证待接入客户端是否为请求令牌的客户端的步骤，具体可以包括：

通过第二服务端判断保存的令牌与对应的请求令牌的客户端的设备标识之间的匹配关系之中，是否存在待接入客户端的接入令牌和设备标识之间的匹配关系，若存在，则验证通过，否则，验证不通过。

允许待接入客户端接入服务接口的步骤之后，还可以从保存的令牌与对应的请求令牌的客户端的设备标识之间的匹配关系之中，删除待接入客户端的接入令牌和设备标识之间的匹配关系。

当该待接入客户端的接入令牌和设备标识之间的匹配关系被服务器端从缓存集群(例如缓存Redis集群)中删除，则表示该待接入客户端和对应的接入令牌之间的对应关系被服务器端从缓存集群中删除，则该接入令牌即失效。这样保证了每个令牌只能被使用一次，防止恶意攻击者用合法令牌来多次刷后台服务接口。

图2是根据本发明实施例的另一种服务接口的安全接入方法的主要步骤示意图。

图2所示的该本发明实施例的另一种服务接口的安全接入方法可由客户端执行，主要包括如下的步骤S201至步骤S203。

步骤S201：客户端向服务器端发送令牌获取请求，并接收服务器端下发的令牌。

服务器端可以包括第一服务端以及服务接口所在的不同于第一服务端的第二服务端，该第一服务端和该第二服务端为服务器端提供的两个功能不同的服务，服务器端可包括一个或多个服务器(通常为多个)，该第一服务端和第二服务端通常设置于不同的服务器中。

令牌获取请求具体可以包括验签、请求时间戳和客户端的设备标识。

其中，设备标识可以为UUID(设备号)。

客户端向服务器端发送令牌获取请求，并接收服务器端下发的令牌的步骤，具体可以包括：客户端向第一服务端发送令牌获取请求，并接收第一服务端下发的令牌。

客户端向第一服务端发送令牌获取请求的步骤之前，还可以使用与第一服务端的网关对应的集成工具生成验签。

第一服务端的网关可以通过解析该验签校验该客户端的令牌获取请求的合法性，如果解析成功，则令牌获取请求合法，否则，令牌获取请求不合法。第一服务端还可以利用请求时间戳和该客户端的设备标识校验该令牌获取请求的有效性，具体地，第一服务端判断是否存在请求时间戳和客户端的设备标识的关联存储记录，若存在，则令牌获取请求无效，若不存在，则判断请求时间戳是否过期，若请求时间戳过期，则令牌获取请求无效，若请求时间戳未过期，则令牌获取请求有效。当客户端的令牌获取请求合法且有效时，第一服务端生成对应该客户端的令牌并将令牌返回该客户端。

步骤S202：客户端将令牌添加在用于请求接入服务接口的接入请求中，以便服务器端验证客户端是否为被下发该令牌的客户端。

接入请求还可以包括客户端的设备标识。

具体地，客户端可以将令牌添加在用于向第二服务端请求接入服务接口的接入请求中，以便第二服务端验证客户端是否为被下发该令牌的客户端。

当客户端接收到第一服务端下发的令牌之后，该客户端不对该令牌进行本地保存，而直接将令牌添加在用于向第二服务端请求服务接口的接入请求中，以便第二服务端验证该客户端是否为被下发该令牌的客户端。

当该令牌和该请求接入服务接口的客户端的设备标识之间的匹配关系与服务器端保存的一个已下发令牌和被下发该已下发令牌的客户端的设备标识之间的匹配关系一致，则第二服务端通过对该请求接入服务接口的客户端的验证。

步骤S203：当验证的结果为验证通过，客户端接入服务接口。

在客户端接入服务接口之后，下发到该客户端的令牌失效。

在令牌失效之后，如果客户端通过同样的接入请求继续请求接入该服务接口，则第二服务端将拒绝该客户端的接入请求，从而保证了每个令牌只能被使用一次，防止恶意攻击者用合法令牌来多次刷后台服务接口。

下面以服务器端包括第一服务端以及服务接口所在的不同于第一服务端的第二服务端，且第一服务端和第二服务端位于不同的服务器为例，介绍本发明实施例的服务接口的安全接入方法。

图3是根据本发明实施例的服务接口的安全接入方法的优选流程示意图。

如图3所示，本发明实施例的服务接口的安全接入方法优选流程包括如下的步骤S301至步骤S312。

步骤S301：客户端使用与第一服务端的网关对应的集成工具生成验签。

与第一服务端的网关对应的集成工具具体可以为与第一服务端的网关对应的网关SDK(SDK是集成在客户端的工具，无法被修改)，该网关SDK为集成SDK，并不对外公开。

步骤S302：客户端向第一服务端发送令牌获取请求。

客户端向第一服务端发送的令牌获取请求中具体可包括步骤S301中生成的验签，还可包括请求时间戳和客户端的设备标识，其中，设备标识可以为UUID(设备号，可以唯一地标识设备)。

步骤S303：第一服务端的网关校验令牌获取请求是否合法，如果合法，则执行步骤S304，否则，执行步骤S305。

第一服务端的网关校验令牌获取请求是否合法的具体步骤可以包括：第一服务端的网关解析该验签，如果解析成功，则令牌获取请求合法，否则，令牌获取请求不合法。不合法的令牌获取请求可能是伪造的令牌获取请求(即没有使用网关SDK生成验签)或者是被篡改的该客户端的令牌获取请求。

通过步骤S301的网关SDK生成的验签对于令牌获取请求唯一，意味着任何对原令牌获取请求的改动都会造成验签失败，保证了令牌获取请求无法被篡改，从而保证了发出非法令牌获取请求的客户端无法获取合法令牌。

步骤S304：第一服务端校验令牌获取请求是否有效，如果有效，则执行步骤S306，否则，执行步骤S305。

第一服务端校验令牌获取请求是否有效的具体步骤可以包括：第一服务端判断是否存在请求时间戳和客户端的设备标识的关联存储记录，若存在，则令牌获取请求无效，若不存在，则判断请求时间戳是否过期，若请求时间戳过期，则令牌获取请求无效，若请求时间戳未过期，则令牌获取请求有效。

其中，请求时间戳的过期时间可以根据需要设定，例如，考虑客户端时间和第一服务端所在服务器的时间可能存在时间差，可设置请求时间戳的过期时间为±13小时。第一服务端主要在缓存集群(例如缓存Redis集群)中查找是否存在该请求时间戳和客户端的设备标识的关联存储记录，缓存集群预先设置由缓存过期时间，该缓存过期时间可以根据需要自行设定，例如，与设置请求时间戳的过期时间的规则类似，考虑客户端时间和第一服务端所在服务器的时间可能存在时间差，设置缓存过期时间为±13小时。当达到缓存过期时间之后，缓存集群中保存的请求时间戳和客户端的设备标识的关联存储记录将被清除，因此，考虑在某些情况下，第一服务端判断不存在请求时间戳和客户端的设备标识的关联存储记录，可能是由于缓存集群中因缓存过期清除了该关联存储记录所导致，那么，还需进一步判断请求时间戳是否过期，以进一步确定该令牌获取请求是否有效，其中，若请求时间戳过期，则令牌获取请求无效，若请求时间戳未过期，则令牌获取请求有效，这一双重验证机制可准确地校验令牌获取请求的有效性。

步骤S305：第一服务端拒绝客户端的令牌获取请求，流程结束。

如果客户端的令牌获取请求不合法或者无效，则第一服务端拒绝为该客户端生成对应的令牌，流程结束。

步骤S306：第一服务端确定发送合法且有效的令牌获取请求的客户端为可接入客户端，并为可接入客户端生成对应的令牌，然后将生成的令牌下发到对应的可接入客户端。

步骤S307：第一服务端将生成的令牌与对应的可接入客户端的设备标识之间的匹配关系，以及可接入客户端的请求时间戳和相应设备标识之间的关联关系保存在服务器端的缓存集群中。

缓存集群例如缓存Redis集群，缓存Redis集群主要是通过云存储的方式对第一服务端生成的令牌与对应的可接入客户端的设备标识之间的匹配关系，以及可接入客户端的请求时间戳和相应设备标识之间的关联关系进行保存，并且可以共享数据给其他服务器。

步骤S308：一待接入客户端向服务器端发送对第二服务端的服务接口的接入请求。

服务器端可通过第二服务端所在的服务器接收该接入请求，且该接入请求具体可包括待接入客户端的接入令牌和设备标识，接入令牌为该待接入客户端向服务器端请求接入服务接口时携带在接入请求中的令牌。

步骤S309：第二服务端判断该待接入客户端是否为可接入客户端，若是，则执行步骤S310，否则，执行步骤S311。

第二服务端判断该待接入客户端是否为可接入客户端，具体包括如下的步骤：第二服务端判断缓存集群保存的令牌与对应的可接入客户端的设备标识之间的匹配关系之中，是否存在该待接入客户端的接入令牌和设备标识之间的匹配关系，若存在，则表明该待接入客户端的令牌和设备标识之间的匹配关系与缓存集群中保存的一个可接入客户端的令牌和设备标识之间的匹配关系一致，根据步骤S301至步骤S307的介绍，可以确定该待接入客户端的接入令牌为由第一服务端生成并下发的令牌，从而判定该待接入客户端为可接入客户端，若缓存集群中不存在该待接入客户端的接入令牌和设备标识之间的匹配关系，则表明该待接入客户端的接入令牌不是由第一服务端生成并下发的令牌或者该接入令牌已经被消费(被消费的令牌与对应的客户端的设备标识之间的匹配关系将被从缓存集群中删除)，从而判定该待接入客户端不是可接入客户端。

步骤S310：第二服务端允许该待接入客户端接入服务接口，然后执行步骤S312。

当待接入客户端为可接入客户端，第二服务端建立该待接入客户端与服务接口之间的长连接会话，以便该待接入客户端可以与该服务接口对应的业务服务进行交互。

步骤S311：第二服务端拒绝该待接入客户端的接入请求，流程结束。

步骤S312：服务器端从缓存集群中保存的令牌与对应的可接入客户端的设备标识之间的匹配关系之中，删除该待接入客户端的接入令牌和设备标识之间的匹配关系。

服务器端可通过第二服务端从缓存集群中删除该待接入客户端的接入令牌和设备标识之间的匹配关系，当该待接入客户端的接入令牌和设备标识之间的匹配关系被从缓存集群之中删除之后，该接入令牌即失效，该待接入客户端或其他客户端无法以与步骤S308中同样的接入请求接入第二服务端的服务接口，从而保证了每个令牌只能被使用(消费)一次，防止恶意攻击者用合法令牌来多次刷后台服务接口。

客户端通过与第一服务端建立短连接来向第一服务端发送令牌获取请求，而客户端(例如待接入客户端)通过与第二服务端建立长连接来向该第二服务端发送请求接入该第二服务端的服务接口的接入请求。短连接是传统的请求响应的模式，每次请求都需要建立连接，相比之下，长连接每次建立连接之后会有长时间的数据交互，这些过程并无其他建立连接需要。

图3所示的本发明实施例的服务器端以第一服务端和第二服务端位于不同的服务器(第一服务端和第二服务端属于不同服务器)为例。第一服务端和第二服务端为服务器端提供的两个功能不同的服务(本发明的上述实施例已详细介绍了该第一服务端和该第二服务端各自的功能)，第一服务端中校验令牌获取请求的合法性的功能需要通过网关解析客户端生成的验签来实现，客户端通过网关与第一服务端建立的连接为短连接，而客户端接入服务接口所在的第二服务端需要客户端与第二服务端建立长连接。因此，上述两个服务端(即第一服务端和第二服务端)通常设置于不同的服务器中，这样能够使得在有多个服务接口的情况下，无需为每一个服务接口所在服务端所属的服务器增设一个短连接服务接口，而由第一服务端所属服务器统一执行校验令牌获取请求以及生成、下发令牌的功能即可，更有利于功能的解耦和扩展，然而，本领域技术人员可以理解的是，第一服务端和第二服务端也可以设置于同一服务器中，以在第二服务端所属服务器上设置第一服务端为例，可以通过为第二服务端所属的服务器另外增设一个短连接的服务接口，实现客户端通过网关与该第二服务端所属服务器上的第一服务端建立短连接，并在该第二服务端所属服务器上实现该第一服务端的功能，只是这种实现方式与本发明实施例的第一服务端和第二服务端位于不同的服务器的实现方式相比，不利于功能的解耦和扩展，因此，本发明实施例以第一服务端和第二服务端位于不同的服务器(属于不同服务器)为例对本发明实施例的服务接口的安全接入进行介绍。

通过本发明实施例的服务接口的安全接入方法，每次客户端与第二服务端的服务接口建立连接之前，客户端都需主动向第一服务端请求新生成合法token，第一服务端向该客户端下发唯一合法token，使得服务器端可以有效验证客户端的身份，此外，该合法token不在客户端保存，防止该合法token在客户端被盗用或篡改，客户端以此合法token向第二服务端发送接入服务接口的请求，在接入请求通过之后，与第二服务端建立长连接，以与第二服务端的服务接口对应的服务进行交互，并且该合法token具有唯一使用的特征，在客户端接入服务接口之后，服务器端即将该客户端与该合法token的匹配关系从缓存集群中删除，从而使下发到客户端的该合法token失效，防止恶意攻击者用合法令牌来多次刷后台服务接口，确保了客户端与第二服务端的长连接服务的可用性和健壮性，较好地解决了对客户端身份验证、服务接口防刷、请求信息防篡改这三方面问题，最大化服务器端资源的利用效率。

图4是根据本发明实施例的一种服务接口的安全接入装置的主要模块示意图。

如图4所示，本发明实施例的一种服务接口的安全接入装置400用于服务器端，该服务接口的安全接入装置400主要包括令牌生成模块401、服务接入模块402。

令牌生成模块401，用于根据请求令牌的客户端发来的令牌获取请求生成令牌，并将该令牌下发到请求令牌的客户端，以及保存该令牌与请求令牌的客户端之间的对应关系。

令牌获取请求包括预先生成的验签，还包括请求令牌的客户端的请求时间戳和设备标识。

令牌生成模块401还可以保存令牌与对应的请求令牌的客户端的设备标识之间的匹配关系。

令牌生成模块401还可以关联存储请求令牌的客户端的请求时间戳和设备标识。

服务接入模块402，用于当收到一待接入客户端发来的接入请求时，根据保存的令牌与请求令牌的客户端之间的对应关系验证待接入客户端是否为请求令牌的客户端，若验证通过，则允许待接入客户端接入服务接口，否则，拒绝待接入客户端接入服务接口。

服务器端可以包括第一服务端和服务接口所在的第二服务端。

接入请求具体可以包括待接入客户端的接入令牌和设备标识。

服务接入模块402可以通过第二服务端判断保存的令牌与对应的请求令牌的客户端的设备标识之间的匹配关系之中，是否存在待接入客户端的接入令牌和设备标识之间的匹配关系，若存在，则验证通过，即待接入客户端为请求令牌的客户端，否则，验证不通过。

服务接口的安全接入装置400还可以包括请求校验模块：用于根据预设的校验规则校验请求令牌的客户端发来的令牌获取请求，并确定令牌获取请求校验通过。预设的校验规则可以包括校验令牌获取请求的合法性和有效性。

具体地，请求校验模块通过第一服务端的网关解析令牌获取请求中的验签，如果解析成功，则令牌获取请求合法，否则，令牌获取请求不合法；若令牌获取请求合法，则通过第一服务端判断是否存在请求令牌的客户端的请求时间戳和设备标识的关联存储记录，若存在，则判定令牌获取请求无效，若不存在，则判断请求时间戳是否过期，若请求时间戳过期，则判定令牌获取请求无效，若请求时间戳未过期，则判定令牌获取请求有效；当令牌获取请求合法且有效时，确定令牌获取请求校验通过。

服务接口的安全接入装置400还可以包括删除模块：用于从保存的令牌与对应的请求令牌的客户端的设备标识之间的匹配关系之中，删除待接入客户端的接入令牌和设备标识之间的匹配关系。该删除模块可以在服务接入模块402允许待接入客户端接入服务接口之后，删除待接入客户端的接入令牌和设备标识之间的匹配关系。当该匹配关系被删除之后，则该接入令牌即失效。这样保证了每个令牌只能被使用一次，防止恶意攻击者用合法令牌来多次刷后台服务接口。

图5是根据本发明实施例的另一种服务接口的安全接入装置的主要模块示意图。

如图5所示，本发明实施例的另一种服务接口的安全接入装置500用于客户端，该服务接口的安全接入装置500主要包括：令牌获取模块501、请求接入模块502、接口接入模块503。

令牌获取模块501，用于向服务器端发送令牌获取请求，并接收服务器端下发的令牌。

令牌获取请求具体可以包括验签、请求时间戳和客户端的设备标识。

服务器端可以包括第一服务端和服务接口所在的第二服务端。

具体地，令牌获取模块501可以用于向第一服务端发送令牌获取请求，并接收通过第一服务端下发的令牌。

请求接入模块502，用于将令牌添加在用于请求接入服务接口的接入请求中，以便服务器端验证客户端是否为被下发该令牌的客户端。

具体地，请求接入模块502可以用于将令牌添加在用于请求接入服务接口的接入请求中，以便服务器端通过第二服务端验证客户端是否为被下发该令牌的客户端。

接口接入模块503，用于当验证的结果为验证通过时，将客户端接入服务接口。

在客户端接入服务接口之后，下发到该客户端的令牌失效。在客户端接入服务接口之后，服务器端将该客户端的令牌和设备标识之间的匹配关系从缓存集群之中删除，从而导致该令牌失效。

该另一种服务接口的安全接入装置500装置还可以包括验签生成模块：用于使用与第一服务端的网关对应的集成工具生成验签。

图6示出了可以应用本发明实施例的服务接口的安全接入方法或服务接口的安全接入装置的示例性系统架构600。

如图6所示，系统架构600可以包括终端设备601、602、603，网络604和服务器605。网络604用以在终端设备601、602、603和服务器605之间提供通信链路的介质。网络604可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。

用户可以使用终端设备601、602、603通过网络604与服务器605交互，以接收或发送消息等。终端设备601、602、603上可以安装有各种通讯客户端应用，例如购物类应用、网页浏览器应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件等。

终端设备601、602、603可以是具有显示屏并且支持网页浏览的各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等等。

服务器605可以是提供各种服务的服务器，例如对用户利用终端设备601、602、603所浏览的购物类网站提供支持的后台管理服务器。后台管理服务器可以对接收到的产品信息查询请求等数据进行分析等处理，并将处理结果(例如产品信息)反馈给终端设备。

需要说明的是，本发明实施例所提供的服务接口的安全接入方法可由服务器605或终端设备601、602、603中的一台或几台执行，相应地，服务接口的安全接入装置可设置于服务器605或终端设备601、602、603中的一台或几台中。

应该理解，图6中的终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。

下面参考图7，其示出了适于用来实现本申请实施例的服务器的计算机系统700的结构示意图。图7示出的服务器仅仅是一个示例，不应对本申请实施例的功能和使用范围带来任何限制。

如图7所示，计算机系统700包括中央处理单元(CPU)701，其可以根据存储在只读存储器(ROM)702中的程序或者从存储部分708加载到随机访问存储器(RAM)703中的程序而执行各种适当的动作和处理。在RAM 703中，还存储有系统700操作所需的各种程序和数据。CPU 701、ROM 702以及RAM 703通过总线704彼此相连。输入/输出(I/O)接口705也连接至总线704。

以下部件连接至I/O接口705：包括键盘、鼠标等的输入部分706；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分707；包括硬盘等的存储部分708；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分709。通信部分709经由诸如因特网的网络执行通信处理。驱动器710也根据需要连接至I/O接口705。可拆卸介质711，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器710上，以便于从其上读出的计算机程序根据需要被安装入存储部分708。

特别地，根据本发明公开的实施例，上文参考流程图描述的过程可以被实现为计算机软件程序。例如，本发明公开的实施例包括一种计算机程序产品，其包括承载在计算机可读介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分709从网络上被下载和安装，和/或从可拆卸介质711被安装。在该计算机程序被中央处理单元(CPU)701执行时，执行本申请的系统中限定的上述功能。

需要说明的是，本发明所示的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本申请中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本申请中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、电线、光缆、RF等等，或者上述的任意合适的组合。

附图中的流程图和框图，图示了按照本申请各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

描述于本发明实施例中所涉及到的模块可以通过软件的方式实现，也可以通过硬件的方式来实现。所描述的模块也可以设置在处理器中，例如，可以描述为：一种处理器包括令牌生成模块401、服务接入模块402。其中，这些模块的名称在某种情况下并不构成对该模块本身的限定，例如，令牌生成模块401还可以被描述为“用于根据请求令牌的客户端发来的令牌获取请求生成令牌，并将该令牌下发到请求令牌的客户端，以及保存该令牌与请求令牌的客户端之间的对应关系的模块”。

作为另一方面，本发明还提供了一种计算机可读介质，该计算机可读介质可以是上述实施例中描述的设备中所包含的；也可以是单独存在，而未装配入该设备中。上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被一个该设备执行时，使得该设备包括：服务器端根据请求令牌的客户端发来的令牌获取请求生成令牌，并将令牌下发到请求令牌的客户端，以及保存令牌与请求令牌的客户端之间的对应关系；当服务器端收到一待接入客户端发来的接入请求时，根据保存的对应关系验证待接入客户端是否为请求令牌的客户端，若验证通过，则允许待接入客户端接入服务接口，否则，拒绝待接入客户端接入服务接口。

根据本发明实施例的技术方案，服务器端下发的令牌与对应的客户端之间的对应关系(主要是该令牌与对应的客户端的设备标识之间的匹配关系)保存在服务器端，使得下发给某客户端的令牌(token)只有该客户端才能使用，防止恶意攻击者盗用令牌来通过身份验证；并且，令牌不存储在客户端，客户端每次接入服务接口都需要请求服务器端重新生成令牌，保证令牌无法被篡改，保证数据完整性；在客户端接入服务接口之后，服务器端删除保存的该客户端和对应令牌之间的对应关系，即该客户端接入服务接口之后对应的令牌立即失效，从而使得每个令牌只能被使用一次，防止了恶意攻击者用合法令牌来多次刷后台服务接口；此外，通过校验客户端的令牌获取请求的合法性和有效性，使得非法请求和过期请求的客户端无法获取合法令牌，进一步确保第三方无法伪造请求以及反复使用合法请求；综上所述，本发明实施例实现了在成本允许的情况下增强了后台服务器端的身份验证能力、数据完整性和防刷能力。

上述具体实施方式，并不构成对本发明保护范围的限制。本领域技术人员应该明白的是，取决于设计要求和其他因素，可以发生各种各样的修改、组合、子组合和替代。任何在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明保护范围之内。

Claims (16)

1.一种服务接口的安全接入方法，其特征在于，包括：

服务器端根据请求令牌的客户端发来的令牌获取请求生成令牌，并将所述令牌下发到所述请求令牌的客户端，以及保存所述令牌与所述请求令牌的客户端之间的对应关系；

当所述服务器端收到一待接入客户端发来的接入请求时，根据保存的所述对应关系验证所述待接入客户端是否为所述请求令牌的客户端，若所述验证通过，则允许所述待接入客户端接入所述服务接口，否则，拒绝所述待接入客户端接入所述服务接口。

2.根据权利要求1所述的方法，其特征在于，所述服务器端包括第一服务端和所述服务接口所在的第二服务端，

服务器端根据请求令牌的客户端发来的令牌获取请求生成令牌的步骤之前，还包括：

服务器端根据预设的校验规则校验请求令牌的客户端发来的令牌获取请求，并确定所述令牌获取请求校验通过。

3.根据权利要求2所述的方法，其特征在于，所述令牌获取请求包括预先生成的验签，还包括所述请求令牌的客户端的请求时间戳和设备标识，所述预设的校验规则包括校验所述令牌获取请求的合法性和有效性，

服务器端根据预设的校验规则校验请求令牌的客户端发来的令牌获取请求，并确定所述令牌获取请求校验通过的步骤包括：

通过所述第一服务端的网关解析所述令牌获取请求中的验签，如果解析成功，则所述令牌获取请求合法，否则，所述令牌获取请求不合法；

若所述令牌获取请求合法，则通过所述第一服务端判断是否存在所述请求令牌的客户端的请求时间戳和设备标识的关联存储记录，若存在，则判定所述令牌获取请求无效，若不存在，则判断所述请求时间戳是否过期，若所述请求时间戳过期，则判定所述令牌获取请求无效，若所述请求时间戳未过期，则判定所述令牌获取请求有效；

当所述令牌获取请求合法且有效时，确定所述令牌获取请求校验通过。

4.根据权利要求3所述的方法，其特征在于，所述接入请求包括所述待接入客户端的接入令牌和设备标识，

保存所述令牌与所述请求令牌的客户端之间的对应关系的步骤，包括：

保存所述令牌与对应的所述请求令牌的客户端的设备标识之间的匹配关系，

根据保存的所述对应关系验证所述待接入客户端是否为所述请求令牌的客户端的步骤，包括：

通过所述第二服务端判断保存的所述令牌与对应的所述请求令牌的客户端的设备标识之间的匹配关系之中，是否存在所述待接入客户端的接入令牌和设备标识之间的匹配关系，若存在，则所述验证通过，否则，所述验证不通过。

5.根据权利要求4所述的方法，其特征在于，允许所述待接入客户端接入所述服务接口的步骤之后，还包括：

从保存的所述令牌与对应的所述请求令牌的客户端的设备标识之间的匹配关系之中，删除所述待接入客户端的接入令牌和设备标识之间的匹配关系。

6.根据权利要求3所述的方法，其特征在于，服务器端根据请求令牌的客户端发来的令牌获取请求生成令牌的步骤之后，还包括：

关联存储所述请求令牌的客户端的请求时间戳和设备标识。

7.一种服务接口的安全接入方法，其特征在于，包括：

客户端向服务器端发送令牌获取请求，并接收所述服务器端下发的令牌；

所述客户端将所述令牌添加在用于请求接入所述服务接口的接入请求中，以便所述服务器端验证所述客户端是否为被下发所述令牌的客户端；

当所述验证的结果为验证通过，所述客户端接入所述服务接口。

8.根据权利要求7所述的方法，其特征在于，所述服务器端包括第一服务端和所述服务接口所在的第二服务端，

客户端向服务器端发送令牌获取请求，并接收所述服务器端下发的令牌的步骤，包括：

客户端向所述第一服务端发送令牌获取请求，并接收所述第一服务端下发的令牌；

所述客户端将所述令牌添加在用于请求接入所述服务接口的接入请求中，以便所述服务器端验证所述客户端是否为被下发所述令牌的客户端的步骤，包括：

所述客户端将所述令牌添加在用于向第二服务端请求接入所述服务接口的接入请求中，以便所述第二服务端验证所述客户端是否为被下发所述令牌的客户端。

9.根据权利要求8所述的方法，其特征在于，所述令牌获取请求包括验签、请求时间戳和所述客户端的设备标识，

客户端向所述第一服务端发送令牌获取请求的步骤之前，还包括：

客户端使用与所述第一服务端的网关对应的集成工具生成所述验签。

10.根据权利要求7所述的方法，其特征在于，在所述客户端接入所述服务接口之后，所述令牌失效。

11.根据权利要求8所述的方法，其特征在于，所述接入请求还包括所述客户端的设备标识，当所述令牌和所述客户端的设备标识之间的匹配关系与所述服务器端保存的一已下发令牌和被下发所述一已下发令牌的客户端的设备标识之间的匹配关系一致，则所述第二服务端通过所述验证。

12.一种服务接口的安全接入装置，用于服务器端，其特征在于，包括：

令牌生成模块，用于根据请求令牌的客户端发来的令牌获取请求生成令牌，并将所述令牌下发到所述请求令牌的客户端，以及保存所述令牌与所述请求令牌的客户端之间的对应关系；

服务接入模块，用于当收到一待接入客户端发来的接入请求时，根据保存的所述对应关系验证所述待接入客户端是否为所述请求令牌的客户端，若所述验证通过，则允许所述待接入客户端接入所述服务接口，否则，拒绝所述待接入客户端接入所述服务接口。

13.一种服务接口的安全接入装置，用于客户端，其特征在于，包括：

令牌获取模块，用于向服务器端发送令牌获取请求，并接收所述服务器端下发的令牌；

请求接入模块，用于将所述令牌添加在用于请求接入所述服务接口的接入请求中，以便所述服务器端验证所述客户端是否为被下发所述令牌的客户端；

接口接入模块，用于当所述验证的结果为验证通过，将所述客户端接入所述服务接口。

14.一种服务器，其特征在于，包括：

一个或多个处理器；

存储器，用于存储一个或多个程序，

当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现如权利要求1-6中任一所述的方法。

15.一种终端，其特征在于，包括：

一个或多个处理器；

存储器，用于存储一个或多个程序，

当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现如权利要求7-11中任一所述的方法。

16.一种计算机可读介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现如权利要求1-6或7-11中任一所述的方法。