CN110138747B - 一种验证账号登录状态的方法及系统 - Google Patents

Abstract

本发明实施例提供一种验证账号登录状态的方法及系统，其中，所述方法包括：前端服务器接收客户端浏览器发送的带有用户账号登录状态验证信息的访问请求；前端服务器根据账号验证服务器的响应时长、前端服务器的负载能力以及所述用户账号的重要级别，判断是否直接由前端服务器解密并验证账号登录状态验证信息；当判定不由前端服务器解密并验证账号登录状态验证信息时，将账号登录状态验证信息发送至账号验证服务器；账号验证服务器接收所述用户账号登录状态验证信息，并对账号登录状态验证信息进行解密并验证。根据本技术方案，保证了验证服务的稳定性，同时避免因为验证环节出现问题，导致网站出现用户账号信息被泄露或伪造的系统性的风险。

Description

一种验证账号登录状态的方法及系统

技术领域

本发明涉及互联网信息安全领域，具体涉及一种验证账号登录状态的方法及系统。

背景技术

现有技术中，通常由前端服务器验证用户登录状态，客户端浏览器每次访问微博网站时，浏览器把请求的网址连同该请求账号的账号登录状态验证信息Cookie一同提交给前端服务器，前端服务器对账号登录状态验证信息Cookie进行解密并与数据库比较。

在此情况下，通常一个大型的互联网公司，会有很多的业务，每个业务都有自己的前端服务器，如果需要修改用户账号登录状态验证信息Cookie信息和状态，需要通知其它各个业务的前端服务器进行相应的变更、存储，处理成本较高。

同时，从安全性上考虑，如果已经生成的账号登录状态验证信息Cookie信息对应的数据库都分布在各个业务的前端服务器上，根据木桶短板原理，如果其中任一业务服务器存在安全漏洞被黑客攻破，会导致大规模用户信息泄露的风险。

考虑上述问题，设置了账号服务器以验证用户登录状态，客户端浏览器每次访问微博网站时，浏览器把请求的网址连同该账号登录状态验证信息Cookie一同提交给前端服务器，前端服务器再将Cookie转发给账号服务器，之后由账号验证服务器统一进行解密并与数据库比较。

这一情况下，所有的验证环节均有账号验证服务器负责，当热点事件期间，微博网站短时间访问量非常大，前端服务器的机器资源已经不足，无法将所有的请求转发给账号验证服务器；或者验证服务器出现意外宕机、前端服务器到账号验证服务器网络连通性存在问题等情况导致无法处理验证请求，会导致微博网站所有业务请求响应均无法完成。

发明内容

本发明实施例提供一种验证账号登录状态的方法及系统，保证验证服务的稳定性，同时避免因为验证环节出现问题，导致网站出现用户账号信息被大量泄露或者伪造的系统性的风险。

为达到上述目的，一方面，本发明实施例提供了一种验证账号登录状态的方法，所述方法包括：

前端服务器接收客户端浏览器发送的带有用户账号登录状态验证信息的访问请求；

前端服务器根据账号验证服务器的响应时长、前端服务器的负载能力以及所述用户账号的重要级别，判断是否直接由前端服务器解密并验证账号登录状态验证信息；

当判定不由前端服务器解密并验证账号登录状态验证信息时，将账号登录状态验证信息发送至账号验证服务器；

账号验证服务器接收所述用户账号登录状态验证信息，并对账号登录状态验证信息进行解密并验证。

另一方面，本发明实施例提供了一种验证账号登录状态的系统，所述系统包括：

前端服务器，用于接收客户端浏览器发送的带有用户账号登录状态验证信息的访问请求；根据账号验证服务器的响应时长、前端服务器的负载能力以及所述用户账号的重要级别，判断是否直接由前端服务器解密并验证账号登录状态验证信息；

当判定不由前端服务器解密并验证账号登录状态验证信息时，将账号登录状态验证信息发送至账号验证服务器；

账号验证服务器，用于接收所述用户账号登录状态验证信息，并对账号登录状态验证信息进行解密并验证。

上述技术方案具有如下有益效果：

通过本申请的上述技术手段，对于账号登录状态的管理和验证，一方面是保证了在面对各种网络连通性不稳定、用户访问突增等情况下的验证服务的稳定性；另外一方面是也保证了验证服务的安全性，避免因为验证环节出现问题，导致网站出现用户账号信息被大量泄露或者伪造的系统性的风险。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例一种验证账号登录状态的方法的流程图；

图2是本发明实施例一种验证账号登录状态的系统的结构示意图；

图3是本发明实施例一种验证账号登录状态的方法的流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图1所示，是本发明实施例一种验证账号登录状态的方法的流程图，所述方法包括：

S101：前端服务器接收客户端浏览器发送的带有用户账号登录状态验证信息的访问请求。

在所述前端服务器接收客户端浏览器发送的带有用户账号登录状态验证信息的访问请求之前，账号验证服务器根据用户登录账号及密码，生成记录所述用户账号相关的账号登录状态验证信息并将账号登录状态验证信息储存在所述账号验证服务器的数据库中；账号验证服务器将账号登录状态验证信息发送给前端服务器；前端服务器接收账号登录状态验证信息，并将账号登录状态验证信息传输到用户客户端浏览器。

之后，用户通过客户端浏览器每次请求访问网站均带有该账号登录状态验证信息Cookie。

S102：前端服务器根据账号验证服务器的响应时长、前端服务器的负载能力以及所述用户账号的重要级别，判断是否直接由前端服务器解密并验证账号登录状态验证信息。

前端服务器根据账号验证服务器对前端服务器所发送请求的响应时长，获得响应时长评分值；根据前端服务器的负载能力，获得前端服务器的负载能力评分值；根据所述用户账号的重要级别，获得账号重要级别评分值；当所述响应时长评分值、负载能力评分值以及账号重要级别评分值均满足相应的设定阈值时，判定直接由前端服务器解密并验证账号登录状态验证信息，否则，判定不由前端服务器解密并验证账号登录状态验证信息。

将账号验证服务器对前端服务器发送的请求的响应时间的长短，作为判断是否由前端服务器进行解密及验证Cookie的条件之一，通过响应时长，反映出账号验证服务器的业务处理反应能力，则可根据其处理能力合理安排对Cookie的解密及验证；同时，考虑到前端服务器的负载能力，是否胜任对Cookie的解密及验证；而对于账号的重要级别的考虑，处于对账号安全性的保证，通过设定账号重要级别评分，兼顾安全性与实时处理的及时性。

进一步地，前端服务器每隔一设定时间段向账号验证服务器发送一个测试请求，记录所述账号验证服务器对最近一次测试请求的响应时长，作为账号验证服务器对前端服务器所发送请求的响应时长。

进一步地，所述用户账号的重要级别根据用户账号的资质类别以及用户账号的日均访问量确定。

正常情况下，账号登录状态验证信息Cookie需要由前端服务器转发给账号验证服务器，由账号验证服务器进行解密幷与数据库记录的Cookie比对验证，以此来判断和管理账号登录状态。但是同时在前端服务器上布置Cookie的解密算法，上述条件满足的情况下，前端服务器不再转发Cookie给账号验证服务器，在前端服务器上直接对Cookie进行解密，如果解密成功，则判断账号登录状态通过。

S103：当判定不由前端服务器解密并验证账号登录状态验证信息时，将账号登录状态验证信息发送至账号验证服务器；

S104：账号验证服务器接收所述用户账号登录状态验证信息，并对账号登录状态验证信息进行解密并验证。

在判定所述响应时间评分值、前端服务器负载能力评分值以及账号重要级别评分值不满足相应的设定阈值的条件下，则均需要转发Cookie给账号验证服务器，由账号验证服务器进行解密和数据库对比验证。

如图2所示，是本发明实施例一种验证账号登录状态的系统的结构示意图，所述系统包括：

前端服务器21，用于接收客户端浏览器发送的带有用户账号登录状态验证信息的访问请求；根据账号验证服务器的响应时长、前端服务器的负载能力以及所述用户账号的重要级别，判断是否直接由前端服务器解密并验证账号登录状态验证信息；当判定不由前端服务器解密并验证账号登录状态验证信息时，将账号登录状态验证信息发送至账号验证服务器；

账号验证服务器22，用于接收所述用户账号登录状态验证信息，并对账号登录状态验证信息进行解密并验证。

进一步地，所述账号验证服务器22还用于：根据用户登录账号及密码，生成记录所述用户账号相关的账号登录状态验证信息并将账号登录状态验证信息储存在所述账号验证服务器的数据库中；并将账号登录状态验证信息发送给前端服务器；以及，

所述前端服务器21还用于：接收账号登录状态验证信息，并将账号登录状态验证信息传输到用户的客户端浏览器。

进一步地，所述前端服务器21还用于：

根据账号验证服务器对所述前端服务器所发送请求的响应时长，获得响应时长评分值；根据前端服务器的负载能力，获得负载能力评分值；根据所述用户账号的重要级别，获得账号重要级别评分值。

当所述响应时长评分值、负载能力评分值以及账号重要级别评分值均满足相应的设定阈值时，判定直接由前端服务器解密并验证账号登录状态验证信息，否则，判定不由前端服务器解密并验证账号登录状态验证信息。

进一步地，所述前端服务器21还用于：

每隔一设定时间段向账号验证服务器发送一个测试请求，记录所述账号验证服务器对最近一次测试请求的响应时长，作为账号验证服务器对前端服务器所发送请求的响应时长。

进一步地，所述前端服务器21还用于：

根据用户账号的资质类别以及用户账号的日均访问量，确定所述用户账号的重要级别。

以下为本申请一具体实施例中，前端服务器不再转发直接解密判断账号登录状态的条件：

前端服务器与账号验证服务器的响应时间评分值表示为a，当50>响应时间>＝10ms时，响应时间评分值为2；

100>响应时间>＝50ms时，响应时间评分值为4；

响应时间>＝100ms时，响应时间评分值为7；每秒由前端服务器向账号验证服务器自动发送一个测试请求来统计响应时间。

前端服务器，为n核CPU，前端服务器负载能力评分值表示为b，当n*0.7>前端服务器负载时，前端服务器负载能力评分值为0；

n*0.8>前端服务器负载>＝(n*0.7)时，前端服务器负载能力评分值为3；

n*1>前端服务器负载>＝(n*0.8)时，前端服务器负载能力评分值为4

前端服务器负载>＝(n*1)时，前端服务器负载能力评分值为5。

网络账号重要级别评分值表示为c，账号重要级别由网站人工筛选方式和程序计算相结合进行定义和区分，根据账号使用方申请微博网站服务的资质类别作为判断依据，政府、新闻媒体账号重要级别评分值c为3，其它账号重要级别评分值c为n*0.0000001，其中，n为该账号对应微博网站页面日均访问数pv。

判断当c<2，且a+b>6时，在前端服务器上直接对Cookie进行解密，如果解密成功，则判断账号登录状态合法通过。

以下是本申请技术方案的一具体应用实例：

a.用户使用客户端浏览器使用账号和密码登录微博网站，账号验证服务器效验用户账号和密码正确，生成并通过前端服务器向用户客户端浏览器下发Cookie，同时，将该Cookie信息记录在账号验证服务器的数据库。

b.客户端浏览器向前段服务器发起1个带有Cookie的请求，对应最近时间的发送测试请求的响应时间为55ms；前端服务器为4核CPU，负载为3。同时该Cookie对应的微博账号非政府账号，该账号对应微博网站页面日均访问数为1500000

c.本发明实现的系统，通过统计计算得出：

前端服务器与账号验证服务器的响应时间55m，则评分a＝4；

前端服务器(4核CPU)负载数值＝3，大于4*0.7且小于4*0.8，则评分b＝3；

网络账号重要级别数值c＝1500000*0.0000001＝1.5；

综合，c<2，且a+b>6。

d.前端服务器则不再则均需要转发Cookie给账号验证服务器，直接对使用前端服务器的解密算法对Cookie进行解密，解密成功，则判断账号登录状态成功。

对于类似微博网站，是一个用户量非常大、系统架构也非常复杂的网站。各种突发情况会出现，如在一些热点事件爆发，会有大量的用户访问网站，而管理登录状态是一个重要和必不可少的环节，客户端浏览器的每一次请求都带有Cookie提交给服务器。如果因为机器负载、网络连通等原因，如果无法及时响应处理，会影响用户使用网站服务的用户体验。

此外，也越来越多的政府、重要媒体账号使用类似微博网站等自媒体平台，如果账号登录状态的管理机制对这类账号存在漏洞，主要反应是Cookie的流程存在问题。那么可能导致该类账号的登录信息被盗用，进而出现以此类账号身份发布有害或者影响恶劣的信息。一方面可能导致对社会公众和社会管理造成严重影响，另外一方面在网络安全法发布的背景下，作为网站服务主体，会有很大的法律责任风险。

本发明可以一定程度上借助分级控制的思路，叠加多种因素作为判断条件，能够动态判断和处理。一定程度上兼顾了网站的访问体验和特殊情况下账号安全保护的需求。

本发明基于分级管理的方法，结合了服务器网络连通性、服务器负载性能、网站账号重要性三个基本要素进行分析统计，然后针对不同的结果进行不同的Cookie验证，从而对账号登录状态实现分级动态管理机制，减少了通常全部单一依赖账号验证服务器或者业务服务器带来的安全和体验很难平衡的矛盾问题。本发明在保障账号安全的同时，也最大程度兼顾了用户访问网站的体验，从而提高用户对网站服务的认可度。

应该明白，公开的过程中的步骤的特定顺序或层次是示例性方法的实例。基于设计偏好，应该理解，过程中的步骤的特定顺序或层次可以在不脱离本公开的保护范围的情况下得到重新安排。所附的方法权利要求以示例性的顺序给出了各种步骤的要素，并且不是要限于所述的特定顺序或层次。

在上述的详细描述中，各种特征一起组合在单个的实施方案中，以简化本公开。不应该将这种公开方法解释为反映了这样的意图，即，所要求保护的主题的实施方案需要比清楚地在每个权利要求中所陈述的特征更多的特征。相反，如所附的权利要求书所反映的那样，本发明处于比所公开的单个实施方案的全部特征少的状态。因此，所附的权利要求书特此清楚地被并入详细描述中，其中每项权利要求独自作为本发明单独的优选实施方案。

为使本领域内的任何技术人员能够实现或者使用本发明，上面对所公开实施例进行了描述。对于本领域技术人员来说；这些实施例的各种修改方式都是显而易见的，并且本文定义的一般原理也可以在不脱离本公开的精神和保护范围的基础上适用于其它实施例。因此，本公开并不限于本文给出的实施例，而是与本申请公开的原理和新颖性特征的最广范围相一致。

上文的描述包括一个或多个实施例的举例。当然，为了描述上述实施例而描述部件或方法的所有可能的结合是不可能的，但是本领域普通技术人员应该认识到，各个实施例可以做进一步的组合和排列。因此，本文中描述的实施例旨在涵盖落入所附权利要求书的保护范围内的所有这样的改变、修改和变型。此外，就说明书或权利要求书中使用的术语“包含”，该词的涵盖方式类似于术语“包括”，就如同“包括，”在权利要求中用作衔接词所解释的那样。此外，使用在权利要求书的说明书中的任何一个术语“或者”是要表示“非排它性的或者”。

本领域技术人员还可以了解到本发明实施例列出的各种说明性逻辑块(illustrative logical block)，单元，和步骤可以通过电子硬件、电脑软件，或两者的结合进行实现。为清楚展示硬件和软件的可替换性(interchangeability)，上述的各种说明性部件(illustrative components)，单元和步骤已经通用地描述了它们的功能。这样的功能是通过硬件还是软件来实现取决于特定的应用和整个系统的设计要求。本领域技术人员可以对于每种特定的应用，可以使用各种方法实现所述的功能，但这种实现不应被理解为超出本发明实施例保护的范围。

本发明实施例中所描述的各种说明性的逻辑块，或单元都可以通过通用处理器，数字信号处理器，专用集成电路(ASIC)，现场可编程门阵列或其它可编程逻辑装置，离散门或晶体管逻辑，离散硬件部件，或上述任何组合的设计来实现或操作所描述的功能。通用处理器可以为微处理器，可选地，该通用处理器也可以为任何传统的处理器、控制器、微控制器或状态机。处理器也可以通过计算装置的组合来实现，例如数字信号处理器和微处理器，多个微处理器，一个或多个微处理器联合一个数字信号处理器核，或任何其它类似的配置来实现。

本发明实施例中所描述的方法或算法的步骤可以直接嵌入硬件、处理器执行的软件模块、或者这两者的结合。软件模块可以存储于RAM存储器、闪存、ROM存储器、EPROM存储器、EEPROM存储器、寄存器、硬盘、可移动磁盘、CD-ROM或本领域中其它任意形式的存储媒介中。示例性地，存储媒介可以与处理器连接，以使得处理器可以从存储媒介中读取信息，并可以向存储媒介存写信息。可选地，存储媒介还可以集成到处理器中。处理器和存储媒介可以设置于ASIC中，ASIC可以设置于用户终端中。可选地，处理器和存储媒介也可以设置于用户终端中的不同的部件中。

在一个或多个示例性的设计中，本发明实施例所描述的上述功能可以在硬件、软件、固件或这三者的任意组合来实现。如果在软件中实现，这些功能可以存储与电脑可读的媒介上，或以一个或多个指令或代码形式传输于电脑可读的媒介上。电脑可读媒介包括电脑存储媒介和便于使得让电脑程序从一个地方转移到其它地方的通信媒介。存储媒介可以是任何通用或特殊电脑可以接入访问的可用媒体。例如，这样的电脑可读媒体可以包括但不限于RAM、ROM、EEPROM、CD-ROM或其它光盘存储、磁盘存储或其它磁性存储装置，或其它任何可以用于承载或存储以指令或数据结构和其它可被通用或特殊电脑、或通用或特殊处理器读取形式的程序代码的媒介。此外，任何连接都可以被适当地定义为电脑可读媒介，例如，如果软件是从一个网站站点、服务器或其它远程资源通过一个同轴电缆、光纤电缆、双绞线、数字用户线(DSL)或以例如红外、无线和微波等无线方式传输的也被包含在所定义的电脑可读媒介中。所述的碟片(disk)和磁盘(disc)包括压缩磁盘、镭射盘、光盘、DVD、软盘和蓝光光盘，磁盘通常以磁性复制数据，而碟片通常以激光进行光学复制数据。上述的组合也可以包含在电脑可读媒介中。

以上所述的具体实施方式，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施方式而已，并不用于限定本发明的保护范围，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种验证账号登录状态的方法，其特征在于，所述方法包括：

前端服务器接收客户端浏览器发送的带有用户账号登录状态验证信息的访问请求；

前端服务器根据账号验证服务器的响应时长、前端服务器的负载能力以及所述用户账号的重要级别，判断是否直接由前端服务器解密并验证账号登录状态验证信息；

当判定不由前端服务器解密并验证账号登录状态验证信息时，将账号登录状态验证信息发送至账号验证服务器；

账号验证服务器接收所述用户账号登录状态验证信息，并对账号登录状态验证信息进行解密并验证。

2.如权利要求1所述的验证账号登录状态的方法，其特征在于，在所述前端服务器接收客户端浏览器发送的带有用户账号登录状态验证信息的访问请求之前，所述方法还包括：

账号验证服务器根据用户登录账号及密码，生成记录所述用户账号相关的账号登录状态验证信息并将账号登录状态验证信息储存在所述账号验证服务器的数据库中；

账号验证服务器将账号登录状态验证信息发送给前端服务器；

前端服务器接收账号登录状态验证信息，并将账号登录状态验证信息传输到用户的客户端浏览器。

3.如权利要求1所述的验证账号登录状态的方法，其特征在于，所述前端服务器根据账号验证服务器的响应时间、前端服务器的负载能力以及所述账号的重要级别，判断是否直接由前端服务器解密并验证账号登录状态验证信息，包括：

前端服务器根据账号验证服务器对前端服务器所发送请求的响应时长，获得响应时长评分值；

根据前端服务器的负载能力，获得负载能力评分值；

根据所述用户账号的重要级别，获得账号重要级别评分值；

当所述响应时长评分值、负载能力评分值以及账号重要级别评分值均满足相应的设定阈值时，判定直接由前端服务器解密并验证账号登录状态验证信息，否则，判定不由前端服务器解密并验证账号登录状态验证信息。

4.如权利要求3所述的验证账号登录状态的方法，其特征在于，所述账号验证服务器对前端服务器所发送请求的响应时长的确定方法包括：

前端服务器每隔一设定时间段向账号验证服务器发送一个测试请求，记录所述账号验证服务器对最近一次测试请求的响应时长，作为账号验证服务器对前端服务器所发送请求的响应时长。

5.如权利要求3所述的验证账号登录状态的方法，其特征在于，所述用户账号的重要级别根据用户账号的资质类别以及用户账号的日均访问量确定。

6.一种验证账号登录状态的系统，其特征在于，所述系统包括：

前端服务器，用于接收客户端浏览器发送的带有用户账号登录状态验证信息的访问请求；根据账号验证服务器的响应时长、前端服务器的负载能力以及所述用户账号的重要级别，判断是否直接由前端服务器解密并验证账号登录状态验证信息；当判定不由前端服务器解密并验证账号登录状态验证信息时，将账号登录状态验证信息发送至账号验证服务器；

账号验证服务器，用于接收所述用户账号登录状态验证信息，并对账号登录状态验证信息进行解密并验证。

7.如权利要求6所述的验证账号登录状态的系统，其特征在于，所述账号验证服务器还用于：根据用户登录账号及密码，生成记录所述用户账号相关的账号登录状态验证信息并将账号登录状态验证信息储存在所述账号验证服务器的数据库中；并将账号登录状态验证信息发送给前端服务器；以及，

所述前端服务器还用于：接收账号登录状态验证信息，并将账号登录状态验证信息传输到用户的客户端浏览器。

8.如权利要求6所述的验证账号登录状态的系统，其特征在于，所述前端服务器具体用于：

根据账号验证服务器对所述前端服务器所发送请求的响应时长，获得响应时长评分值；

根据前端服务器的负载能力，获得负载能力评分值；

根据所述用户账号的重要级别，获得账号重要级别评分值；

当所述响应时长评分值、负载能力评分值以及账号重要级别评分值均满足相应的设定阈值时，判定直接由前端服务器解密并验证账号登录状态验证信息，否则，判定不由前端服务器解密并验证账号登录状态验证信息。

9.如权利要求8所述的验证账号登录状态的系统，其特征在于，所述前端服务器具体用于：

每隔一设定时间段向账号验证服务器发送一个测试请求，记录所述账号验证服务器对最近一次测试请求的响应时长，作为账号验证服务器对前端服务器所发送请求的响应时长。

10.如权利要求8所述的验证账号登录状态的系统，其特征在于，所述前端服务器具体用于：

根据用户账号的资质类别以及用户账号的日均访问量，确定所述用户账号的重要级别。

Images