CN109962880A - 应用于电信运营商电子渠道的http请求参数校验方法 - Google Patents

应用于电信运营商电子渠道的http请求参数校验方法 Download PDF

Info

Publication number
CN109962880A
CN109962880A CN201711399816.6A CN201711399816A CN109962880A CN 109962880 A CN109962880 A CN 109962880A CN 201711399816 A CN201711399816 A CN 201711399816A CN 109962880 A CN109962880 A CN 109962880A
Authority
CN
China
Prior art keywords
user
parameter
server
browser
data
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201711399816.6A
Other languages
English (en)
Inventor
石光捷
张良
付飞龙
张晓莉
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nanjing Xinwang Internetwork Technology Co Ltd
Original Assignee
Nanjing Xinwang Internetwork Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nanjing Xinwang Internetwork Technology Co Ltd filed Critical Nanjing Xinwang Internetwork Technology Co Ltd
Priority to CN201711399816.6A priority Critical patent/CN109962880A/zh
Publication of CN109962880A publication Critical patent/CN109962880A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0643—Hash functions, e.g. MD5, SHA, HMAC or f9 MAC
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/14—Session management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Power Engineering (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明具体涉及一种应用于电信运营商电子渠道的http请求参数校验方法，包括：一：校验数据生成时将敏感内容计算校验字段；所述敏感内容为商品编号和/或价格折扣数据的数据参与生成校验数据S，并且服务端将生成的校验数据S，放入cookie字段，通过报文返回给用户前端浏览器；二对用户浏览器操作校验过程用户在浏览器端进行操作，选择相应的商品和价格折扣，并提交给服务端；服务端对用户的请求参数进行校验；读取用户选择的商品和价格折扣，根据用户选择的内容输出与内容对应的业务编码Code1；对Code1计算请求参数S1，服务端对校验数据S和请求参数S1进行比较，如果不一样，说明请求参数是浏览器侧非法修改或伪造内容，处理失败。

Description

应用于电信运营商电子渠道的http请求参数校验方法
技术领域
本发明属于电信运营商电子渠道与互联网软件系统领域，具体涉及一种应用于电信运营商电子渠道的http请求参数校验方法。
背景技术
“掌上营业厅”是移动运营商在电子渠道方面比较重要的一 项移动互联网产品，因其活跃用户众多、承载大部分移动公司的业务、业界知名度高、经常开展优惠的互联网活动等特点，尤其是涉及到一些折扣与免费的业务成为非法用户的重点攻击对象。因此业内在办理上述敏感业务时通常通过发送验证数据进行验证。常见的http请求交互过程中，请求参数通过url或者request body等形式传输。但是由于http请求的开放性，使得请求参数很容易被拦截篡改。部分非法用户使用工具或编程方式，修改了htpp请求参数内容，导致服务端处理异常。
现有的解决问题的方法是：在后端做权限验证，验证内容放在运营商的服务端的http session 数据里。举例说明：先计算签名参数sign；假设用户浏览器端传输来的数据是：http://www.xxx.com/interface.aspxsign=sign_value&p2=v2&p1=v1&method=cancel&p3=&pn=vn；其中sign参数对应的sign_value就是签名的值。
第一步，拼接字符串，首先去除sign参数本身，然后去除值是空的参数p3，剩下p2=v2&p1=v1&method=cancel&pn=vn，然后按参数名字符升序排序，method=cancel&p1=v1&p2=v2&pn=vn.
第二步，然后做参数名和值的拼接，最后得到methodcancelp1v1p2v2pnvn
第三步，在上面拼接得到的字符串前加上验证密钥key，我们假设是abc，得到新的字符串abcmethodcancelp1v1p2v2pnvn
第四步，然后将这个字符串进行md5计算，假设得到的是abcdef，然后转为大写，得到ABCDEF这个值即为sign签名值。
第五步：根据前面描述的签名参数sign生成的方法规则，计算得到参数的签名值，和参数中[Z1] 过来的sign对应的参数值进行对比，如果是一致的，那么就校验通过，如果不一致，说明参数被修改过。
上述现有的方法存在以下问题： 在分布式集群系统中，应用服务可能是无状态的，并且多次请求有可能不在同一台服务端的服务器上处理，导致session数据获取不到。
发明内容
1、所要解决的技术问题：
为了解决上述问题，本发明提供的方法一种应用于电信运营商电子渠道的http请求参数校验方法是基于cookie的http请求参数校验方法，本方法可以避免非法用户修改请求参数，防止一些折扣或免费业务被非法办理。
2、技术方案：
一种应用于电信运营商电子渠道的http请求参数校验方法，包括以下步骤：
一：校验数据生成步骤为：1.1服务端返回给浏览器端的数据时，对敏感内容计算校验字段；所述敏感内容为商品编号和/或价格折扣数据；校验数据S生成方法如下：S=Hash（K，Userid，T， Code）；其中S是生成后的校验数据，Hash是生成算法，K是预设保密的密钥，参与Hash运算；Userid是用户标识；T是时间，为当前时间或有效期；Code是敏感内容；1.2：服务端将生成的校验数据S，放入cookie字段，通过报文返回给前端浏览器；
二对用户浏览器操作校验过程为：2.1用户在浏览器端进行操作，选择相应的商品和价格折扣，并提交给服务端；2.2服务端对用户的请求参数进行校验；读取用户选择的商品和价格折扣，根据用户选择的内容输出与内容对应的业务编码Code1；对Code1计算请求参数S1，算法如下S1=Hash（K， Userid，T， Code1）；2.3服务端对校验数据S和请求参数S1进行比较，如果不一样，说明请求参数是浏览器侧非法修改或伪造内容，处理失败；如果是一样的，进行正常的业务办理。
所述生成校验数据S和请求参数S1的算法都采用Md5算法。
所述生成校验数据S和请求参数S1的算法都采用Sh1算法。
3、有益效果：
（1）本方法是借用用户浏览器的cookie进行存储，避免分布式集群系统的跨机器读取session失败。
（2） 在本方法中每个用户的用户ID参与运算，校验数据只对本用户有效，不可复制到其他用户。
（3）在本发明中校验数据生成因子中可以加入有效期，本校验数据只在某个时间段内有效。
附图说明
图1为本发明的流程图。
具体实施方式
下面结合付他对本发明进行说明。
一种应用于电信运营商电子渠道的http请求参数校验方法，包括以下步骤：
一：校验数据生成步骤为：1.1服务端返回给浏览器端的数据时，对敏感内容计算校验字段；所述敏感内容为商品编号和/或价格折扣数据；校验数据S生成方法如下：S=Hash（K，Userid，T， Code）；其中S是生成后的校验数据，Hash是生成算法，K是预设保密的密钥，参与Hash运算；Userid是用户标识；T是时间，为当前时间或有效期；Code是敏感内容；1.2：服务端将生成的校验数据S，放入cookie字段，通过报文返回给前端浏览器；
二对用户浏览器操作校验过程为：2.1用户在浏览器端进行操作，选择相应的商品和价格折扣，并提交给服务端；2.2服务端对用户的请求参数进行校验；读取用户选择的商品和价格折扣，根据用户选择的内容输出与内容对应的业务编码Code1；对Code1计算请求参数S1，算法如下S1=Hash（K， Userid，T， Code1）；2.3服务端对校验数据S和请求参数S1进行比较，如果不一样，说明请求参数是浏览器侧非法修改或伪造内容，处理失败；如果是一样的，进行正常的业务办理。
所述生成校验数据S和请求参数S1的算法都采用Md5算法。
所述生成校验数据S和请求参数S1的算法都采用Sh1算法。
图1中ECP为业务处理服务平台，从图1中可以看出，本方法是通过ECP对办理接口进行统一校验，无须关注渠道侧的各类办理入口，可以避免遗漏。并且将可办理的业务编码通过加密方式存储在用户侧cookie中，服务侧无需要单独提供存储空间 。
虽然本发明已以较佳实施例公开如上，但它们并不是用来限定本发明的，任何熟习此技艺者，在不脱离本发明之精神和范围内，自当可作各种变化或润饰，因此本发明的保护范围应当以本申请的权利要求保护范围所界定的为准。

Claims (3)

1.应用于电信运营商电子渠道的http请求参数校验方法，其特征在于：包括以下步骤：
一：校验数据生成步骤为：1.1服务端返回给浏览器端的数据时，对敏感内容计算校验字段；所述敏感内容包括：商品编号和/或价格折扣数据；校验数据S生成方法如下：S=Hash（K， Userid，T， Code）；其中S是生成后的校验数据，Hash是生成算法，K是预设保密的密钥，参与Hash运算；Userid是用户标识；T是时间，为当前时间或有效期；Code是敏感内容；
1.2：服务端将生成的校验数据S，放入cookie字段，通过报文返回给前端浏览器；
二对用户浏览器操作校验过程为：
2.1用户在浏览器端进行操作，选择相应的商品和价格折扣，并提交给服务端；2.2服务端对用户的请求参数进行校验；读取用户选择的商品和价格折扣，根据用户选择的内容输出与内容对应的业务编码Code1；对Code1计算请求参数S1，算法如下S1=Hash（K， Userid，T， Code1）；
2.3服务端对校验数据S和请求参数S1进行比较，如果不一样，说明请求参数是浏览器侧非法修改或伪造内容，处理失败；如果是一样的，进行正常的业务办理。
2.根据权利要求1所述的应用于电信运营商电子渠道的http请求参数校验方法，其特征在于：所述生成校验数据S和请求参数S1算法都采用Md5算法。
3.根据权利要求1所述的应用于电信运营商电子渠道的http请求参数校验方法，其特征在于：所述生成校验数据S和请求参数S1的算法都采用Sh1算法。
CN201711399816.6A 2017-12-22 2017-12-22 应用于电信运营商电子渠道的http请求参数校验方法 Pending CN109962880A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201711399816.6A CN109962880A (zh) 2017-12-22 2017-12-22 应用于电信运营商电子渠道的http请求参数校验方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201711399816.6A CN109962880A (zh) 2017-12-22 2017-12-22 应用于电信运营商电子渠道的http请求参数校验方法

Publications (1)

Publication Number Publication Date
CN109962880A true CN109962880A (zh) 2019-07-02

Family

ID=67018753

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201711399816.6A Pending CN109962880A (zh) 2017-12-22 2017-12-22 应用于电信运营商电子渠道的http请求参数校验方法

Country Status (1)

Country Link
CN (1) CN109962880A (zh)

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102959575A (zh) * 2010-06-30 2013-03-06 乐天株式会社 信息处理装置、信息处理方法、信息处理程序及记录介质
CN103888490A (zh) * 2012-12-20 2014-06-25 上海天泰网络技术有限公司 一种全自动的web客户端人机识别的方法
CN103973695A (zh) * 2014-05-16 2014-08-06 浪潮电子信息产业股份有限公司 一种与服务器验证的签名算法
CN104683361A (zh) * 2015-03-30 2015-06-03 郑州悉知信息技术有限公司 一种网站会话存储方法、网站访问方法及装置
US20170169100A1 (en) * 2014-03-12 2017-06-15 Instart Logic, Inc. Web cookie virtualization

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102959575A (zh) * 2010-06-30 2013-03-06 乐天株式会社 信息处理装置、信息处理方法、信息处理程序及记录介质
CN103888490A (zh) * 2012-12-20 2014-06-25 上海天泰网络技术有限公司 一种全自动的web客户端人机识别的方法
US20170169100A1 (en) * 2014-03-12 2017-06-15 Instart Logic, Inc. Web cookie virtualization
CN103973695A (zh) * 2014-05-16 2014-08-06 浪潮电子信息产业股份有限公司 一种与服务器验证的签名算法
CN104683361A (zh) * 2015-03-30 2015-06-03 郑州悉知信息技术有限公司 一种网站会话存储方法、网站访问方法及装置

Similar Documents

Publication Publication Date Title
CN109191212B (zh) 确定分享用户的方法、装置、设备及计算机可读存储介质
CN104283841B (zh) 对第三方应用进行服务访问控制的方法、装置及系统
JP6355742B2 (ja) 署名検証方法、装置、およびシステム
US20170134161A1 (en) Blockchaining for media distribution
JP4971572B2 (ja) 電子商取引での取引の容易化
CN101873331B (zh) 一种安全认证方法和系统
CN108154050B (zh) 一种车况数据管理方法及装置
CN110266635B (zh) 车辆信息共享方法、装置、计算机可读介质及电子设备
CN111815322B (zh) 一种基于以太坊的具备可选隐私服务的分布式支付方法
CN113748440A (zh) 安全多方计算归因
CN112288434B (zh) 隐私交易方法、装置、零知识证明系统和隐私交易架构模型
CN109583891B (zh) 一种信息处理方法、装置及存储介质
CN114401268A (zh) 一种跨链数据共享的方法、系统、设备和可读存储介质
CN108712379B (zh) 数据推送方法及装置
CN115760082B (zh) 数字化支付处理方法、装置、设备、系统及介质
CN106998316A (zh) 一种鉴权方法、应用客户端及网关设备
CN113726767A (zh) 一种基于区块链的分布式多方隐私计算系统及方法
CN114358766A (zh) 一种绿电凭证的交易的方法、设备和区块链系统
CN107645481B (zh) 一种数据处理方法、系统以及装置
CN111091430A (zh) 一种开票二维码处理方法及系统
CN108390878B (zh) 用于验证网络请求安全性的方法、装置
CN115456619B (zh) 一种基于区块链技术的虚拟预付卡发行系统和方法
CN109962880A (zh) 应用于电信运营商电子渠道的http请求参数校验方法
CN111131227B (zh) 一种数据处理方法及装置
CN110414963B (zh) 对目标渠道商出售的资源进行发放的方法、装置及存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication

Application publication date: 20190702

RJ01 Rejection of invention patent application after publication