CN110546931B - 域门户上的安全内容传递方法 - Google Patents

Abstract

在一个实施例中，一种方法包括：响应于登录请求，生成第一标识符和第一派生标识符；向客户端设备发送第一标识符和第一派生标识符；从客户端设备接收对网页的请求，其中，该请求包括第二标识符；响应于内容请求，生成第二派生标识符；以及提供内容框架和可信框架用于显示在客户端设备上，其中，内容框架包括第二派生标识符。第一派生标识符可以存储在可信框架可访问而内容框架不可访问的位置。可信框架可以被配置为访问存储在可信框架可访问的位置中的第一派生标识符，并验证从内容框架接收的第二派生标识符与第一派生标识符匹配。

Description

域门户上的安全内容传递方法

技术领域

本公开总体上涉及互联网安全。

背景技术

在线应用(例如网站)可以使人们能够在可能负担不起经由流量套餐(data plan)接入互联网的地方访问互联网。在线应用可以像门户(portal)一样，允许第三方内容和服务提供者向那些以其他方式无法访问他们的网站的人们提供内容和服务。通过在线应用提供的任何内容(包括第三方网站内容)都是在在线应用的域(domain)下提供的。

移动计算设备(例如智能手机、平板计算机或膝上型计算机)可以包括用于确定它的位置、方向或定向的功能，例如GPS接收器、罗盘、陀螺仪或加速度计。这种设备还可以包括用于无线通信(例如蓝牙通信、近场通信(NFC)、或红外(IR)通信、或与无线局域网(WLAN)或蜂窝电话网络的通信)的功能。这种设备还可以包括一个或更多个摄像机、扫描仪、触摸屏、麦克风或扬声器。移动计算设备还可以执行软件应用，例如游戏、web浏览器或社交网络应用。使用社交网络应用，用户可以与他们的社交网络中的其他用户关连(connect)、交流和分享信息。

发明内容

在线应用可以允许第三方内容和服务提供者向那些以其他方式无法访问他们的网站的人们提供内容和服务。这些第三方实体可拥有网站，网站的网址可以被视为在线应用的域中的子域。例如，如果网站的常规网址是http://www.domainA.com，并且在线应用对网站聚合(aggregate)是在被称为xyz.com的主域下进行的，则通过在线应用显示的第三方网站的网址可以被呈现为https://inner-http-www-domainA-com.xyz.com。第三方网站的网址或主机可以用于生成在线应用的域的子域。通过这种方式，在线应用可以充当其他网站和在线服务的“门户”。这些网站和在线服务可以是免费的(例如，不需要数据费用)，并且包括关于类似新闻、就业、健康、教育和当地信息等主题的内容。作为示例而不是作为限制，在线应用的域可以是xyz.com。在特定实施例中，通过在线应用提供的第三方内容可以在在线应用的域(例如，xyz.com)下被提供。例如，当通过在线应用访问诸如HTTP://WWW.GMAIL.COM的第三方网站时，表示第三方网站的URL可以是HTTPS://inner-http-www-gmail-com.xyz.com。该示例中的子域是“inner-http-www-gmail-com”，它是从GMAIL的实际地址派生而来的。

当用户经由在线应用访问网站时，在线应用可以自动为该用户创建标识符。标识符可以理解为userID、加密密钥或这两者。标识符对于每个用户可以是唯一的，并且可以被存储在用户的客户端设备上(例如，在客户端设备上的浏览器中)的cookie中。客户端设备可以是任何合适的计算设备，例如智能手机、台式或膝上型计算机、平板电脑、可穿戴设备(例如，智能手表)或虚拟现实头戴装置(headset)。存储的cookie可以用于用户设备和在线应用之间的通信，以识别会话。在特定实施例中，cookie内的信息可以与在线应用的服务器上的cookie jar相关联。当用户通过在线应用浏览各种第三方网站时，相关联的cookie可以被存储在服务器上的用户的cookie jar中。

上述在线应用的一个安全风险是黑客可能会更改userID并获得对用户的浏览活动的访问权。在特定实施例中，在线应用可能不在公共后缀列表中。因此，它可能无法在子域之间提供足够的分离。因为用户通过在线应用访问的第三方页面可能在在线应用的主域(例如，xyz.com)下被呈现，所以恶意的第三方页面可能潜在地能够更改与在线应用的域相关联的任何cookie，包括与该域的子域相关联的cookie。这个问题通常不存在，因为客户端浏览器一般只允许网页更改与该网页的域相关联的cookie，这意味着恶意的第三方网页仅可以更改与其自己的域相关联的cookie。作为示例而不是作为限制，托管在malicious.com上的恶意网页可能能够设置并更改与malicious.com相关联的cookie，但不能设置并更改任何其他域的cookie。但是如果用户通过在线应用xyz.com访问malicious.com，恶意网页的URL可能会显示为HTTPS://inner-http-www-malicious-com.xyz.com。在这种情况下，客户端浏览器可以允许托管在malicoius.com上的网页(现在属于xyz.com的子域)执行降域并取得对域级cookie的控制。这可以通过JavaScript代码块或通过任何其他合适的机制来实现。这是因为浏览器通常允许域管理员将子域更改为当前域的不太具体(less-specific)版本。因为xyz.com是malicious-com.xyz.com的不太具体版本，所以浏览器可以允许这种更改发生。因此，可以想象，通过托管在malicious.com上的客户端侧(client-side)脚本，攻击者可以用攻击者自己的ID替换在存储的cookie中的用户的userID，攻击者自己的ID可能也是从xyz.com获得的。然后，在随后与在线应用的通信中，攻击者的ID可能会被用户不知不觉地使用，这意味着用户的浏览活动对于攻击者来说可能是可访问的。例如，如果用户在被黑客攻击后通过在线应用访问domainB.com，则与该通信相关联的任何cookie都可能被存储在与攻击者的ID相关联的cookie jar中。因此，攻击者可以使用他自己的ID与在线应用进行通信，并使用存储在cookie jar中的cookie(包括用户关于domainB.com的cookie)，并查看用户在domainB-com.xyz.com上可以访问的任何私人信息。例如，如果domainB-com.xyz.com包含用户的电子邮件账户，则攻击者可能能够查看账户中的消息。这可能会给许多用户带来风险。

为了保护用户免受攻击者的攻击，在特定实施例中，当用户初次使用在线应用访问第三方内容时，在线应用可以生成第一标识符和第一派生标识符(derivativeidentifier)。在特定实施例中，可以通过对第一标识符应用函数来生成第一派生标识符。在特定实施例中，在线应用可以将用户与第一标识符和第一派生标识符关联起来。在特定实施例中，在线应用可以将第一标识符和第一派生标识符发送给用户的客户端设备进行存储。在特定实施例中，第一标识符可以存储为cookie。在特定实施例中，当用户向在线应用发送内容请求时(可以是在初次登录时或者可以不是在初始登录时)，用户的客户端设备可以连同该请求一起发送第二标识符。在特定实施例中，响应于内容请求和第二标识符，在线应用可以通过对第二标识符应用函数来生成第二派生标识符。在特定实施例中，在线应用可以提供内容框架(content frame)和可信框架(trusted frame)用于显示在客户端设备上。在特定实施例中，第二派生标识符可以嵌入内容框架中。在特定实施例中，可信框架可能能够访问第一派生标识符，但是内容框架可能不能够访问第一派生标识符。在特定实施例中，内容框架可以被配置成请求可信框架来验证第二派生标识符是否匹配第一派生标识符。在特定实施例中，内容框架还可以被配置成当从可信框架接收到验证确认时显示所请求的内容(例如，网页)。在特定实施例中，可信框架可以被配置为访问第一派生标识符并验证第二派生标识符与第一派生标识符匹配。

本文公开的实施例仅仅是示例，并且本公开的范围不限于它们。特定实施例可以包括上面公开的实施例的部件、元件、特征、功能、操作或步骤中的全部、一些或没有一个被包括。根据本发明的实施例在涉及方法、存储介质、系统和计算机程序产品的所附权利要求中被具体公开，其中，在一个权利要求类别(例如方法)中提到的任何特征也可以在另一个权利要求类别(例如系统)中被要求保护。在所附权利要求中的从属性或往回引用仅为了形式原因而被选择。然而，也可以要求保护由对任何前面的权利要求的有意往回引用(特别是多项引用)而产生的任何主题，使得权利要求及其特征的任何组合被公开并且可被要求保护，而不考虑在所附权利要求中选择的从属性。可以被要求保护的主题不仅包括如在所附权利要求中阐述的特征的组合，而且还包括在权利要求中的特征的任何其他组合，其中，在权利要求中提到的每个特征可以与权利要求中的任何其他特征或其他特征的组合相结合。此外，本文描述或描绘的实施例和特征中的任一个可以在单独的权利要求中和/或以与本文描述或描绘的任何实施例或特征的任何组合的形式或以与所附权利要求的任何特征的任何组合的形式被要求保护。

在根据本发明的实施例中，一种方法可以包括：

由计算设备从用户的客户端设备接收登录请求；

响应于登录请求，由计算设备生成第一标识符和第一派生标识符，其中，第一派生标识符通过对第一标识符应用函数而生成；

由计算设备将第一标识符和第一派生标识符发送给客户端设备进行存储；

由计算设备从客户端设备接收对网页的内容请求，其中，内容请求包括第二标识符；

响应于内容请求，由计算设备通过对第二标识符应用函数来生成第二派生标识符；以及

由计算设备提供内容框架和可信框架用于显示在客户端设备上，其中，内容框架包括第二派生标识符；

其中，第一标识符存储在内容框架可访问的位置，并且第一派生标识符存储在可信框架可访问而内容框架不可访问的位置；

其中，内容框架被配置成：

请求可信框架来验证第二派生标识符是否匹配第一派生标识符；和

当从可信框架接收到验证确认时，显示所请求的网页；

其中，可信框架被配置成：

访问存储在可信框架可访问的位置中的第一派生标识符；和

验证从内容框架接收的第二派生标识符与第一派生标识符匹配。

函数可以是单向函数。

第一派生标识符和第二派生标识符之间匹配可以指示没有发生安全漏洞。

第一派生标识符和第二派生标识符之间不匹配可以指示已经发生了安全漏洞。

可信框架或内容框架还可以被配置成，如果第二派生标识符与第一派生标识符匹配，则允许内容框架显示网页。

可信框架或内容框架还可以被配置成，如果第二派生标识符与第一派生标识符不匹配，则终止与第一标识符相关联的当前会话。

可信框架或内容框架还可以被配置成，如果第二派生标识符与第一派生标识符不匹配，则为用户请求新的第一标识符。

登录请求可以包括经由在线应用访问第三方网站的请求。

内容框架可以是在与用户的客户端设备相关联的显示屏上的可信框架的内联框架(inline frame)。

在根据本发明的实施例中，一种方法可以包括：如果第二派生标识符与第一派生标识符不匹配，则删除存储在计算设备上并与用户相关联的一个或更多个cookie。

内容框架可以包括来自第三方实体的内容。

第一标识符可以存储为cookie。

第一派生标识符可以存储为与可信框架的源(origin)相关联的值。

根据本发明的实施例可以是一种方法，其中，可信框架与第一源相关联，并且内容框架与不同于第一源的第二源相关联；并且其中，第一源和第二源具有相同的域。

根据本发明的实施例可以是一种方法，

其中，所请求的网页具有相关联的网址；并且

其中，使用所请求网页的网址来生成第二源。

在根据本发明的实施例中，一个或更多个计算机可读非暂时性存储介质可以体现软件，该软件在被执行时可操作来执行根据本发明或任何上面提到的实施例的方法。

在根据本发明的实施例中，一种系统可以包括：一个或更多个处理器；以及耦合到处理器并包括由处理器可执行的指令的至少一个存储器，处理器当执行指令时可操作来执行根据本发明或任何上面提到的实施例的方法。

在根据本发明的实施例中，优选地包括计算机可读非暂时性存储介质的计算机程序产品当在数据处理系统上被执行时可以可操作来执行根据本发明或任何上面提到的实施例的方法。

附图说明

图1示出了示例内容框架和可信框架。

图2示出了用于在域门户上安全地传递内容的示例交互图。

图3示出了与社交网络系统相关联的示例网络环境。

图4示出了示例计算机系统。

具体实施方式

在线应用可以允许第三方内容和服务提供者向那些以其他方式无法访问他们的网站的人们提供内容和服务。这些第三方实体可拥有网站，网站的网址可以被视为在线应用的域中的子域。例如，如果网站的常规网址是http://www.domainA.com，并且在线应用对网站聚合是在被称为xyz.com的主域下进行的，则通过在线应用显示的第三方网站的网址可以被呈现为https://inner-http-www-domainA-com.xyz.com。第三方网站的网址或主机可以用于生成在线应用的域的子域。通过这种方式，在线应用可以充当其他网站和在线服务的“门户”。这些网站和在线服务可以是免费的(例如，不需要数据费用)，并且包括关于类似新闻、就业、健康、教育和当地信息等主题的内容。作为示例而不是作为限制，在线应用的域可以是xyz.com。在特定实施例中，通过在线应用提供的第三方内容可以在在线应用的域(例如，xyz.com)下被提供。例如，当通过在线应用访问诸如HTTP://WWW.GMAIL.COM的第三方网站时，表示第三方网站的URL可以是HTTPS://inner-http-www-gmail-com.xyz.com。该示例中的子域是“inner-http-www-gmail-com”，它是从GMAIL的实际地址派生而来的。

当用户经由在线应用访问网站时，在线应用可以自动为该用户创建标识符。标识符可以理解为userID、加密密钥或这两者。标识符对于每个用户可以是唯一的，并且可以被存储在用户的客户端设备上(例如，在客户端设备上的浏览器中)的cookie中。客户端设备可以是任何合适的计算设备，例如智能手机、台式或膝上型计算机、平板电脑、可穿戴设备(例如，智能手表)或虚拟现实头戴装置。存储的cookie可以用于用户设备和在线应用之间的通信，以识别会话。在特定实施例中，cookie内的信息可以与在线应用的服务器上的cookie jar相关联。当用户通过在线应用浏览各种第三方网站时，相关联的cookie可以被存储在服务器上的用户的cookie jar中。

上述在线应用的一个安全风险是黑客可能会更改userID并获得对用户的浏览活动的访问权。在特定实施例中，在线应用可能不在公共后缀列表中。因此，它可能无法在子域之间提供足够的分离。因为用户通过在线应用访问的第三方页面可能在在线应用的主域(例如，xyz.com)下被呈现，所以恶意的第三方页面可能潜在地能够更改与在线应用的域相关联的任何cookie，包括与该域的子域相关联的cookie。这个问题通常不存在，因为客户端浏览器一般只允许网页更改与该网页的域相关联的cookie，这意味着恶意的第三方网页仅可以更改与其自己的域相关联的cookie。作为示例而不是作为限制，托管在malicious.com上的恶意网页可能能够设置并更改与malicious.com相关联的cookie，但不能设置并更改任何其他域的cookie。但是如果用户通过在线应用xyz.com访问malicious.com，恶意网页的URL可能会显示为HTTPS://inner-http-www-malicious-com.xyz.com。在这种情况下，客户端浏览器可以允许托管在malicoius.com上的网页(现在属于xyz.com的子域)执行降域并取得对域级cookie的控制。这可以通过JavaScript代码块或通过任何其他合适的机制来实现。这是因为浏览器通常允许域管理员将子域更改为当前域的不太具体版本。因为xyz.com是malicious-com.xyz.com的不太具体版本，所以浏览器可以允许这种更改发生。因此，可以想象，通过托管在malicious.com上的客户端侧脚本，攻击者可以用攻击者自己的ID替换在存储的cookie中的用户的userID，攻击者自己的ID可能也是从xyz.com获得的。然后，在随后与在线应用的通信中，攻击者的ID可能会被用户不知不觉地使用，这意味着用户的浏览活动对于攻击者来说可能是可访问的。例如，如果用户在被黑客攻击后通过在线应用访问domainB.com，则与该通信相关联的任何cookie都可能被存储在与攻击者的ID相关联的cookie jar中。因此，攻击者可以使用他自己的ID与在线应用进行通信，并使用存储在cookie jar中的cookie(包括用户关于domainB.com的cookie)，并查看用户在domainB-com.xyz.com上可以访问的任何私人信息。例如，如果domainB-com.xyz.com包含用户的电子邮件账户，则攻击者可能能够查看账户中的消息。这可能会给许多用户带来风险。

与第三方实体相关联的用户cookie存储在与在线应用相关联的服务器上。大多数cookie不会被发送到客户端设备。另外，通过在线应用的大多数用户通信(例如，如果用户和与第三方网站相关联的另一实体进行通信)被关联到存储在客户端设备上的cookie中的第一标识符。这可以允许攻击者执行可能影响客户端侧cookie的代码(例如，JavaScript代码)。例如，攻击者可以从在线应用获得与用户相关联的标识符(例如，攻击者自己的userID)。攻击者可以建立一个网站，该网站可以使得攻击者的标识符将被存储在正在访问的用户的客户端设备上。如上面讨论的，如果该用户经由在线应用访问攻击者的网站，则攻击者可以用攻击者的标识符替换该用户的标识符。此后，用户可能访问第三方网站(例如基于web的电子邮件服务或在线银行账户)，但是用户可能正在使用攻击者的标识符而不是用户自己的标识符来访问这些网站。这些第三方网站可以将cookie存储在在线应用的服务器上的与用户相关联的“cookie jar”中，但是服务器会将cookie与攻击者的标识符关联起来。当用户不知不觉地使用攻击者的标识符时，攻击者可能能够访问由第三方站点生成的cookie。这可以允许攻击者使用攻击者的标识符来访问存储在与在线应用相关联的服务器上的cookie jar，该cookie jar包含与用户的浏览活动相关联的cookie。在特定实施例中，cookie jar可以被分成两部分：标识符和与标识符相关联的加密密钥。标识符可以识别对于给定用户的适当的cookie jar。通过将用户的标识符更改为攻击者的标识符，攻击者可以使得服务器不知不觉地使用攻击者的cookie jar，即使是用户正在浏览。由于关于第三方站点的用户cookie被存储在攻击者的cookie jar中，攻击者可以使用他自己的ID与在线应用进行通信，并访问与那些cookie相关联的用户账户。

在特定实施例中，为了保护用户免受攻击者的攻击，当用户初次使用在线应用访问第三方内容时，在线应用可以生成第一标识符和第一派生标识符。可以通过对第一标识符应用函数(例如，该函数可以是单向函数，意味着函数的输入不能从相应的输出中导出)来生成第一派生标识符。在特定实施例中，在线应用可以将用户与第一标识符和第一派生标识符关联起来。在特定实施例中，在线应用可以将第一标识符和第一派生标识符发送给用户的客户端设备进行存储。在特定实施例中，第一标识符可以存储为cookie。在特定实施例中，当用户向在线应用发送内容请求时(可以是在初次登录时或者可以不是在初始登录时)，用户的客户端设备可以连同该请求一起发送第二标识符。响应于内容请求和第二标识符，在线应用可以通过对第二标识符应用函数来生成第二派生标识符。在特定实施例中，在线应用可以提供内容框架和可信框架用于显示在客户端设备上。第二派生标识符可以嵌入内容框架中。在特定实施例中，可信框架可能能够访问第一派生标识符，但是内容框架可能不能够访问第一派生标识符。在特定实施例中，内容框架可以被配置成请求可信框架验证第二派生标识符是否匹配第一派生标识符。内容框架还可以被配置成当从可信框架接收到验证确认时显示所请求的内容(例如，网页)。在特定实施例中，可信框架可以被配置为访问第一派生标识符并验证第二派生标识符与第一派生标识符匹配。

在特定实施例中，在线应用可以从用户的客户端设备接收登录请求。登录请求可以仅仅是访问在线应用的请求。作为示例而不是作为限制，在线应用可以与域xyz.com相关联。用户可以使用客户端设备上的浏览器导航到xyz.com。在特定实施例中，该导航可以是登录请求。在特定实施例中，登录请求可以包括经由在线应用访问第三方网站的请求。作为示例而不是作为限制，用户可以打开浏览器并将domainA.com输入到在线应用的URL栏中。在线应用的服务器然后可以检索所请求的内容(例如，domainA.com)，并且从例如在线应用的域的子域向用户呈现内容。例如，可以从domainA-com.xyz.com提供domainA.com的内容。尽管本公开描述了以特定方式接收登录请求，但是本公开设想了以任何合适的方式接收登录请求。

在特定实施例中，在线应用可以生成对于用户的第一标识符。可以理解，生成对于用户的第一标识符意味着生成对于第一用户的客户端设备的第一标识符。标识符可以是识别用户与在线应用的会话的任何合适的标识符。在特定实施例中，在线应用还可以通过对第一标识符应用函数(例如，哈希函数)来生成第一派生标识符。在特定实施例中，函数可以是单向函数。单向函数可以使从派生标识符中恢复原始标识符变得极其困难。这可以保证原始标识符的安全。在特定实施例中，在线应用还可以通过将cookie jar与第一标识符关联起来，从而将用户与第一标识符和第一派生标识符关联起来。尽管本公开描述了以特定方式生成第一标识符和第一派生标识符，但是本公开设想了以任何合适的方式生成第一标识符和第一派生标识符。

在特定实施例中，在线应用可以将第一标识符和第一派生标识符发送给用户的客户端设备进行存储。例如，用户的客户端设备可以将第一标识符和第一派生标识符存储在与浏览器(用户通过该浏览器访问在线应用)相关联的存储位置。在特定实施例中，在线应用可以在包括可信框架(例如，封装(wrapper)或外部框架)和内容框架(例如，可信框架的内联或内部框架)的网页中呈现所请求的内容。在特定实施例中，第一标识符可以存储在内容框架可访问的位置。例如，第一标识符可以存储为cookie。在特定实施例中，第一派生标识符可以存储在可信框架可访问但内容框架不可访问的位置。例如，第一派生标识符可以存储为与可信框架的源相关联的值。例如，可信框架可以呈现来自在线应用的可信子域(例如trusted.xyz.com)的内容。在该示例中，第一派生标识符可以存储为被关联到源trusted.xyz.com的值。即使用户通过在线应用访问恶意网站(例如，malicious.com)，malicious.com的内容也将在子域malicious-com.xyz.com下被提供，该子域malicious-com.xyz.com是不同于trusted.xyz.com的源。这意味着从malicious-com.xyz.com提供的任何恶意页面都将无法访问存储的并与trusted.xyz.com源相关联的第一派生标识符。在特定实施例中，可信框架110可以与第一源相关联，并且内容框架130可以与不同于第一源的第二源相关联，并且第一源和第二源可以具有相同的域。尽管本公开描述了以特定方式将第一标识符和第一派生标识符发送给客户端设备进行存储，但是本公开设想了以任何合适的方式将第一标识符和第一派生标识符发送给客户端设备进行存储。

在特定实施例中，在线应用可以从客户端设备接收对网页的内容请求，其中，内容请求包括第二标识符。在特定实施例中，第二标识符是存储在cookie中的标识符的副本。因此，在没有发生黑客攻击(即，原始存储的第一标识符没有被改变)的正常情况下，第二标识符可与第一标识符相同。然而，如果攻击者已经改变或交换了原始存储在用户的客户端设备上的第一标识符，则第二标识符可能不同于第一标识符。作为示例而不是限制，攻击者可能已经通过常规登录流程从在线应用获得了攻击者的标识符，并建立了一个网站，当用户通过在线应用访问该网站时，该网站可能使得攻击者的标识符存储在正在访问的用户的客户端设备上。如果用户经由在线应用访问攻击者的网站，则攻击者可用攻击者的标识符替换用户的标识符。如果已经发生了这种标识符交换，则当用户向在线应用发送对网页的内容请求时，用户的客户端设备可以连同该内容请求一起发送第二标识符。该第二标识符可能是攻击者的标识符，而不是用户的标识符。尽管本公开描述了以特定方式从客户端设备接收对网页的内容请求，但是本公开设想了以任何合适的方式从客户端设备接收对网页的内容请求。

在特定实施例中，响应于内容请求，在线应用可以通过对第二标识符应用上面讨论的函数来生成第二派生标识符。如所讨论的，在特定实施例中，函数可以是单向函数。单向函数可以使从派生标识符中恢复原始标识符变得极其困难。在特定实施例中，如果第二标识符与第一标识符相同(正常情况下没有发生黑客攻击，因此没有出现安全漏洞)，那么第二派生标识符和第一标识符将匹配。另一方面，如果第二标识符和第一标识符不同(例如，已经发生了黑客攻击，因此出现了安全漏洞)，那么在相应的第二派生标识符和第一派生标识符之间将存在不匹配。如果第一派生标识符和第二派生标识符相同(例如，它们匹配)，那么用户没有被黑客攻击，没有出现安全漏洞，并且用户可以安全地查看请求的内容。如果第一派生标识符和第二派生标识符不同(例如，不匹配)，则用户可能已经被黑客攻击了，并且可能已经出现了安全漏洞。在特定实施例中，在线应用不进行这种确定；相反，如下面讨论的，第一派生标识符和第二派生标识符之间的比较由客户端侧的可信框架进行。尽管本公开描述了以特定方式生成第二派生标识符，但是本公开设想了以任何合适的方式生成第二派生标识符。

在特定实施例中，在线应用可以提供内容框架和可信框架用于显示在客户端设备上。在特定实施例中，在线应用可以在内容框架中嵌入第二派生标识符。图1示出了示例内容框架130、可信框架110和标题120。标题120是通常显示内部页面的名称的位置。内容框架130可以显示来自第三方实体的内容。作为示例而不是作为限制，如果第三方实体是BUZZFEED，则显示在内容框架130中的内容可以是标题为“21Previously Ignored ParisHilton Photos from the‘00s.”的文章。内容框架130可以另外包括第二派生标识符131。例如，内容框架130可以知道第二派生标识符131(例如，作为嵌入元素或值)，但是标识符131不向用户显示。可信框架110可以与可信源相关联。在特定实施例中，可信源可以是在线应用的可信子域(例如，trusted.xyz.com)。在特定实施例中，内部框架和可信框架可以是分开的。内容框架130或与内容框架130相关联的第三方实体可能无法访问存储在可信框架中的信息或与可信源相关联的信息。例如，内容框架可以相比于可信框架的主机(例如，trusted.xyz.com)具有不同的主机(例如，malicious-com.xyz.com)。由于浏览器通常遵循的同源策略，在内容框架中加载的网页或与在内容框架中加载的网页相关联的实体可能无法访问存储在可信源或可信框架中的内容。在特定实施例中，第一标识符可以作为cookie存储在客户端设备上。第一派生标识符可以存储在可信框架可访问而内容框架不可访问的位置。例如，该位置可以是与可信源相关联的值。在特定实施例中，可以分离可信框架和内容框架，使得与内容框架相关联的实体可能无法将其主机地址降低到与在线应用相关联的主域。作为示例而不是作为限制，如果在线应用的主域是xyz.com，则地址为malicious-com.xyz.com的第三方实体可能无法将域降低到该主应用以获得对存储的第一派生标识符的访问权。第三方实体可能能够将域最低降低到例如malicious.com-xyz.com。尽管本公开描述了以特定方式提供内容框架和可信框架，但是本公开设想了以任何合适的方式提供内容框架和可信框架。

在特定实施例中，内容框架130可以被配置成请求可信框架验证第二派生标识符131是否匹配第一派生标识符。例如，内容框架130可以使用parent.postMessage()命令将其第二派生标识符发送到可信框架110。在特定实施例中，可信框架110可以被配置为访问第一派生标识符，该第一派生标识符可以存储为与可信源相关联的值。可信框架110还可以被配置成对照从内容框架接收的第二派生标识符131来检查第一派生标识符。如果两个派生标识符匹配，则可信框架110可以(例如，经由postMessage command())向内容框架130发送验证确认。可信框架110还可以向浏览器发送验证确认。响应于验证确认，内容框架130可以显示用户请求的内容。在特定实施例中，当该确认出现时，客户端设备可以拒绝在客户端设备的显示屏上显示来自第三方网站的任何内容。尽管本公开描述了框架之间以特定方式进行通信，但是本公开设想了框架之间以任何合适的方式进行通信。

在特定实施例中，如果第二派生标识符和第一派生标识符不匹配，则可以执行一个或更多个补救措施。这些补救措施可以包括，例如：可以将可信框架或内容框架配置为终止用户的客户端设备的当前会话，可以为用户分配新的第一标识符，或者可以删除或清除用户的一个或更多个cookie。如果派生标识符不匹配，则可以执行这些补救措施中的一个或更多个(但不一定是全部的措施)。在特定实施例中，这些动作还可以相对于攻击者的标识符来被执行。补救措施可以导致用户被重定向到与在线应用相关联的主页，在该主页上可以为用户的会话创建新的标识符。这可能是因为两个派生标识符之间的不匹配可以表示攻击者已经用攻击者的标识符替换了用户的第一标识符。因此，第二标识符可以是攻击者的标识符。如果出现这种情况，则用户的账户是不安全的，且为了保护用户的安全和私有数据，可能会终止会话。在特定实施例中，另一补救措施可以包括从用户的客户端设备和/或从与在线应用相关联的服务器上与用户的标识符相关联的cookie jar中删除或清除与用户相关联的一个或更多个cookie。作为示例而不是作为限制，如果两个派生标识符不匹配，并且用户具有存储在服务器上用户的cookie jar中的与第三方实体相关联的cookie，则在线应用可以从cookie jar中删除这些cookie。在特定实施例中，在线应用可以仅删除那些在用户的标识符被换成另一标识符之后存储的cookie。尽管本公开描述了以特定方式终止当前会话，但是本公开设想了以任何合适的方式终止当前会话。

在特定实施例中，如图1中示出的，内容框架130可以是可信框架110的内联框架。这不必是可信框架110和内容框架130的唯一布置。作为示例而不是作为限制，可信框架110可以显示在内容框架130内。作为另一示例而不是作为限制，可信框架110可以隐藏看不到。尽管本公开描述了内容框架和可信框架的特定布置，但是本公开设想了内容框架和可信框架的任何合适的布置。

在特定实施例中，内容框架可以在没有可信框架的情况下呈现给用户，这可能是由于攻击或用户错误而发生的。在特定实施例中，如果出现这种情况，则没有呈现可信框架来执行检查以确定两个派生标识符是否是相同的。在这种情况下，内容框架130可以向不存在的可信框架发送请求，但是它不会接收任何作为回应的应答。内容框架130可以被配置为如果它在阈值时间量内没有接收到应答则为超时。如果发生超时，则内容框架130可以不显示任何内容，并且如上面讨论的，可以终止用户的当前会话，可以删除用户的一个或更多个cookie，以及可以为用户分配新的标识符。根据对于内容框架130和在线应用接下来进行的合适的过程，可能出现这些结果中的一个或更多个，或者可能不出现这些结果的任一个。尽管本公开描述了以特定方式为内容框架请求发布超时，但是本公开设想了以任何合适的方式为内容框架请求发布超时。

在特定实施例中，即使在可信框架110已经发送了验证确认之后，内容框架130仍可以执行二次检查。这可能是因为攻击者可以“扮演”可信框架110并发送伪造的验证确认。在特定实施例中，二次检查可以确定发送者是否是已知的发送者(例如，可信源)。如果发送者是未知的，则这可以指示验证确认的发送者是攻击者，并且用户已被黑客攻击。如果出现这种情况，可以执行上面讨论的补救措施。尽管本公开描述了以特定方式执行二次检查，但是本公开设想了以任何合适的方式执行二次检查。

在特定实施例中，在可信框架110发送了验证确认并且显示了相应的表单(例如，电子邮件账户的登录表单)之后，但在用户通过表单提交认证信息(例如，电子邮件用户名和密码)之前，攻击者可以交换用户的标识符。这种攻击可能导致用户在攻击者的标识符下提交他/她的认证信息。为了防止攻击者以这种方式危害用户的数据，在特定实施例中，在线应用可以跟踪当获取表单时和当通过表单上传(post)时使用的标识符/cookie。例如，当用户向他的电子邮件请求登录页面时，在线应用的服务器可以存储请求中使用的标识符，然后将其与当通过表单提交数据时使用的标识符进行比较。如果发现匹配，那么该提交可以正常地进行。然而，如果发现不匹配，那么服务器可以中断数据提交并执行上面讨论的补救措施中的任一项，因为用户的会话可能已经受到危害。在另一实施例中，验证过程可以发生在客户端侧。例如，在检测到数据提交请求时，内容框架130可以首先请求在线应用为(可能是用户的或者可能是攻击者的)当前标识符提供派生标识符。内容框架130可以被配置为当服务器返回派生标识符时，重新请求可信框架110执行上述验证。如果发现匹配，那么内容框架130可以使用验证过的标识符来继续提交表单；否则，它可以执行上面讨论的补救措施中的任一项。这可以确保即使在可信框架110已经发送了初始验证确认之后，攻击者也不能将用户的标识符换成攻击者的标识符。尽管本公开描述了以特定方式执行派生标识符的多重验证，但是本公开设想了以任何合适的方式执行派生标识符的多重验证。

在特定实施例中，内容框架130或可信框架110可以被配置成检测或阻止“点击劫持(clickjacking)”。内容框架130可以被配置成验证其相关联的框架层次结构是否正确。作为示例而不是作为限制，如果内容框架130是框架层次结构中的第二级，则内容框架130可以被配置为验证其父框架是顶级框架(例如，最顶级框架)。作为另一示例而不是作为限制，如果内容框架130的预期位置是处于框架层次结构的第三级，则内容框架130可以被配置为确定其父框架处于框架层次结构的第二级。在特定实施例中，可信框架110可以被配置为顶级框架，那么内容框架130可以检查以验证最顶级框架是否是可信框架110。在特定实施例中，可信框架110可以检查其是否是顶级框架。在特定实施例中，可信框架可以被配置成(例如通过使用HTML命令：add_header X-Frame-Options DENY)阻止其自身显示在另一框架中。尽管本公开描述了以特定方式检测点击劫持，但是本公开设想了以任何合适的方式检测点击劫持。

在特定实施例中，在线应用可以采取步骤来阻止或检测来自恶意第三方网站的网络钓鱼(phishing)企图。在特定实施例中，在线应用可以以那种让用户知道他们是否无意中访问了看起来像合法站点的恶意站点的方式来生成子域名称。在特定实施例中，这可以通过将URL的主机部分中的内部源包括在内(例如通过使用内部源来生成子域名称(例如，malicious-com.xyz.com))来完成。这可以允许浏览器或用户检测他们是否无意中访问了一个看起来像(look-a-like)的网站。在特定实施例中，在线应用可以将内部源(例如，malicious.com)放在标题框架120中。这将导致可信框架110显示在线应用的域(例如，xyz.com)，并且标题框架120可以显示第三方站点的域(例如，malicious.com)。尽管本公开描述了以特定方式检测网络钓鱼企图，但是本公开设想了以任何合适的方式检测网络钓鱼企图。

图2示出了用于在域门户上安全地传递内容的示例交互图。方法可以开始于步骤210，其中与在线应用相关联的服务器可以接收来自用户的客户端设备的登录请求。在步骤220，在线应用可以生成第一标识符和第一派生标识符。可以通过对第一标识符应用函数来生成第一派生标识符。在步骤230，在线应用可以将用户与第一标识符和第一派生标识符关联起来。在步骤240，在线应用可以将第一标识符和第一派生标识符发送给用户的客户端设备进行存储。在步骤250，用户可以向在线应用发送内容请求(可以是在初始登录的时候，或者可以不是在初始登录的时候)，该内容请求可以包括第二标识符。在步骤260，响应于内容请求和第二标识符，在线应用可以通过对第二标识符应用函数来生成第二派生标识符。在步骤270，在线应用可以提供内容框架和可信框架用于显示在客户端设备上。第二派生标识符可以嵌入内容框架中。可信框架可能能够访问第一派生标识符，但是内容框架可能不能够访问第一派生标识符。内容框架可以被配置成请求可信框架验证第二派生标识符是否匹配第一派生标识符。内容框架还可以被配置成当从可信框架接收到验证确认时显示所请求的内容(例如，网页)。可信框架可以被配置为访问第一派生标识符并验证第二派生标识符与第一派生标识符匹配。在适当的情况下，特定实施例可以重复图2的方法的一个或更多个步骤。尽管本公开描述并示出了如以特定顺序出现的图2的方法的特定步骤，但是本公开设想了以任何合适的顺序出现的图2的方法的任何合适的步骤。此外，尽管本公开描述并示出了包括图2的方法的特定步骤的用于在域门户上安全地传递内容的示例方法，但是本公开设想了包括任何合适的步骤的用于在域门户上安全地传递内容的任何合适的方法，在适当的情况下，这些步骤可以包括图2的方法的步骤中的所有步骤、一些步骤，或者不包括图2的方法的步骤中的任一个。再者，尽管本公开描述并示出了执行图2的方法的特定步骤的特定部件、设备或系统，但是本公开设想了执行图2的方法的任何合适的步骤的任何合适的部件、设备或系统的任何合适的组合。

图3示出了与社交网络系统相关联的示例网络环境300。网络环境300包括通过网络310连接到彼此的客户端系统330、社交网络系统360和第三方系统370。尽管图3示出了客户端系统330、社交网络系统360、第三方系统370和网络310的特定布置，但是本公开设想了客户端系统330、社交网络系统360、第三方系统370和网络310的任何合适的布置。作为示例而不是作为限制，客户端系统330、社交网络系统360和第三方系统370中的两个或更多个可以直接连接到彼此，绕过网络310。作为另一示例，客户端系统330、社交网络系统360和第三方系统370中的两个或更多个可以全部或部分地在物理上或逻辑上彼此位于同一位置。此外，尽管图3示出了特定数量的客户端系统330、社交网络系统360、第三方系统370和网络310，但是本公开设想了任何合适的数量的客户端系统330、社交网络系统360、第三方系统370和网络310。作为示例而不是作为限制，网络环境300可以包括多个客户端系统330、社交网络系统360、第三方系统370和网络310。

本公开设想了任何合适的网络310。作为示例而不是作为限制，网络310的一个或更多个部分可以包括自组织网络、内联网、外联网、虚拟专用网络(VPN)、局域网(LAN)、无线LAN(WLAN)、广域网(WAN)、无线WAN(WWAN)、城域网(MAN)、互联网的一部分、公共交换电话网(PSTN)的一部分、蜂窝电话网、或这些中的两个或更多个的组合。网络310可以包括一个或更多个网络310。

链路350可以将客户端系统330、社交网络系统360和第三方系统370连接到通信网络310或连接到彼此。本公开设想了任何合适的链路350。在特定实施例中，一个或更多个链路350包括一个或更多个有线(例如数字用户线路(DSL)或基于电缆的数据服务接口规范(DOCSIS))链路、无线(例如Wi-Fi或全球互通微波接入(WiMAX))链路、或光(例如同步光网络(SONET)或同步数字体系(SDH))链路。在特定实施例中，一个或更多个链路350各自包括自组织网络、内联网、外联网、VPN、LAN、WLAN、WAN、WWAN、MAN、互联网的一部分、PSTN的一部分、基于蜂窝技术的网络、基于卫星通信技术的网络、另一链路350、或两个或更多个这种链路350的组合。链路350不需要在整个网络环境300中是相同的。一个或更多个第一链路350可以在一个或更多个方面上不同于一个或更多个第二链路350。

在特定实施例中，客户端系统330可以是包括硬件、软件或嵌入式逻辑部件、或两个或更多个这样的部件的组合，并且能够执行由客户端系统330实现或支持的适当功能的电子设备。作为示例而不是作为限制，客户端系统330可以包括计算机系统，例如台式计算机、笔记本或膝上型计算机、上网本、平板计算机、电子书阅读器、GPS设备、摄像机、个人数字助理(PDA)、手持电子设备、蜂窝电话、智能手机、增强/虚拟现实设备、其他合适的电子设备、或其任何合适的组合。本公开设想了任何合适的客户端系统330。客户端系统330可以使在客户端系统330处的网络用户能够访问网络310。客户端系统330可以使它的用户能够与在其他客户端系统330处的其他用户进行通信。

在特定实施例中，客户端系统330可以包括web浏览器332，例如MICROSOFTINTERNET EXPLORER、GOOGLE CHROME或MOZILLA FIREFOX，并且可以具有一个或更多个附加件、插件或其他扩展件，例如TOOLBAR或YAHOO TOOLBAR。在客户端系统330处的用户可以输入统一资源定位符(URL)或将web浏览器332导向特定的服务器(例如服务器362或与第三方系统370相关联的服务器)的其他地址，并且web浏览器332可以生成超文本传输协议(HTTP)请求并将HTTP请求传递到服务器。服务器可以接受HTTP请求，并响应于HTTP请求而向客户端系统330传递一个或更多个超文本标记语言(HTML)文件。客户端系统330可以基于来自服务器的HTML文件来显现网页用于呈现给用户。本公开设想了任何合适的网页文件。作为示例而不是作为限制，可以根据特定的需要从HTML文件、可扩展超文本标记语言(XHTML)文件或可扩展标记语言(XML)文件来显现网页。这样的页面还可以执行脚本，例如且没有限制，用JAVASCRIPT、JAVA、MICROSOFT SILVERLIGHT编写的脚本、标记语言和脚本(例如AJAX(异步JAVASCRIPT和XML))的组合等。在本文，在适当的情况下，对网页的引用包括一个或更多个相应的网页文件(浏览器可以使用这些网页文件来显现网页)，反之亦然。

在特定实施例中，社交网络系统360可以是可以托管在线社交网络的网络可寻址计算系统。社交网络系统360可以例如生成、存储、接收并发送社交网络数据(例如，用户简档数据、概念简档数据、社交图信息或与在线社交网络相关的其他合适的数据)。社交网络系统360可以由网络环境300的其他部件直接地或经由网络310访问。作为示例而不是作为限制，客户端系统330可以使用web浏览器332或与社交网络系统360相关联的原生(native)应用(例如，移动社交网络应用、消息传送应用、另一合适的应用或其任何组合)直接地或经由网络310来访问社交网络系统360。在特定实施例中，社交网络系统360可以包括一个或更多个服务器362。每个服务器362可以是单一服务器(unitary server)或跨越多台计算机或多个数据中心的分布式服务器。服务器362可以具有各种类型，例如且没有限制，web服务器、新闻服务器、邮件服务器、消息服务器、广告服务器、文件服务器、应用服务器、交换服务器、数据库服务器、代理服务器、适合于执行本文描述的功能或过程的另一服务器、或者其任何组合。在特定实施例中，每个服务器362可以包括硬件、软件或嵌入式逻辑部件、或用于执行由服务器362实现或支持的适当功能的两个或更多个这样的部件的组合。在特定实施例中，社交网络系统360可以包括一个或更多个数据储存器364。数据储存器364可以用于存储各种类型的信息。在特定实施例中，可以根据特定的数据结构来组织存储在数据储存器364中的信息。在特定实施例中，每个数据储存器364可以是关系数据库、纵列(columnar)数据库、相关性数据库或其他合适的数据库。尽管本公开描述或示出了特定类型的数据库，但是本公开设想了任何合适类型的数据库。特定实施例可以提供使客户端系统330、社交网络系统360或第三方系统370能够管理、检索、修改、添加或删除存储在数据储存器364中的信息的接口。

在特定实施例中，社交网络系统360可以在一个或更多个数据储存器364中存储一个或更多个社交图。在特定实施例中，社交图可以包括多个节点——其可以包括多个用户节点(各自对应于特定用户)或多个概念节点(各自对应于特定概念)——以及连接节点的多条边。社交网络系统360可以向在线社交网络的用户提供与其他用户通信和互动的能力。在特定实施例中，用户可以经由社交网络系统360加入在线社交网络，且然后将关连(connection)(例如，关系)添加到社交网络系统360中的他们想要关连到的多个其他用户。在本文，术语“朋友”可以指社交网络系统360的任何其他用户，用户经由社交网络系统360与任何其他用户形成关连、关联(association)或关系。

在特定实施例中，社交网络系统360可以向用户提供对由社交网络系统360支持的各种类型的项目或对象采取动作的能力。作为示例而不是作为限制，项目和对象可以包括社交网络系统360的用户可能属于的群组或社交网络、用户可能感兴趣的事件或日历条目、用户可以使用的基于计算机的应用、允许用户经由服务来购买或销售商品的交易、用户可以执行的与广告的互动、或其他合适的项目或对象。用户可以与能够在社交网络系统360中或者由第三方系统370的外部系统表示的任何事物进行互动，第三方系统370与社交网络系统360分离并且经由网络310耦合到社交网络系统360。

在特定实施例中，社交网络系统360能够链接各种实体。作为示例而不是作为限制，社交网络系统360可以使用户能够彼此互动以及从第三方系统370或其他实体接收内容，或者允许用户通过应用编程接口(API)或其他通信渠道与这些实体互动。

在特定实施例中，第三方系统370可以包括一种或更多种类型的服务器、一个或更多个数据储存器、一个或更多个接口(包括但不限于API)、一个或更多个web服务、一个或更多个内容源、一个或更多个网络或任何其他合适的部件(例如，服务器可以与这些部件通信)。第三方系统370可以由与操作社交网络系统360的实体不同的实体进行操作。然而，在特定实施例中，社交网络系统360和第三方系统370可以彼此结合来操作以向社交网络系统360或第三方系统370的用户提供社交网络服务。在这个意义上，社交网络系统360可以提供平台或骨干网，其他系统(例如第三方系统370)可以使用该平台或骨干网来在整个互联网上向用户提供社交网络服务和功能。

在特定实施例中，第三方系统370可以包括第三方内容对象提供者。第三方内容对象提供者可以包括可以被传递到客户端系统330的内容对象的一个或更多个源。作为示例而不是作为限制，诸如，内容对象可以包括关于用户感兴趣的事情或活动的信息，例如电影放映时间、电影评论、餐馆评论、餐馆菜单、产品信息和评论或其他合适的信息。作为另一示例而不是作为限制，内容对象可以包括激励内容对象(例如优惠券、折扣券、礼品券或其他合适的激励对象)。

在特定实施例中，社交网络系统360还包括用户生成的内容对象，其可以增强用户与社交网络系统360的互动。用户生成的内容可以包括用户可以添加、上传、发送或“发布”到社交网络系统360的任何内容。作为示例而不是作为限制，用户将帖子从客户端系统330传送到社交网络系统360。帖子可以包括数据，例如状态更新或其他文本数据、位置信息、照片、视频、链接、音乐或其他类似数据或媒体。内容还可以由第三方通过“通信渠道”(例如动态消息(newsfeed)或流)来添加到社交网络系统360。

在特定实施例中，社交网络系统360可以包括各种服务器、子系统、程序、模块、日志和数据储存器。在特定实施例中，社交网络系统360可以包括下列项中的一个或更多个：web服务器、动作记录器、API请求服务器、相关性和排名引擎、内容对象分类器、通知控制器、动作日志、第三方内容对象暴露日志、推理模块、授权/隐私服务器、搜索模块、广告定位模块(advertisement-targeting module)、用户界面模块、用户简档储存器、关连储存器(connection store)、第三方内容储存器或位置储存器。社交网络系统360还可以包括合适的部件，例如网络接口、安全机构、负载平衡器、故障转移服务器、管理和网络操作控制台、其他合适的部件、或其任何合适的组合。在特定实施例中，社交网络系统360可以包括用于存储用户简档的一个或更多个用户简档储存器。用户简档可以包括例如，传记信息、人口统计信息、行为信息、社交信息或其他类型的描述性信息(例如工作经历、教育历史、爱好或偏好、兴趣、喜好或位置)。兴趣信息可以包括与一个或更多个类别相关的兴趣。类别可以是一般的或特定的。作为示例而不是作为限制，如果用户“赞(like)”关于一种品牌的鞋的文章，该类别可以是品牌，或者“鞋”或“衣服”的一般类别。关连储存器可以用于存储关于用户的关连信息。关连信息可以指示具有相似或共同的工作经历、组成员资格、爱好、教育历史或者以任何方式相关或共享共同属性的用户。关连信息还可以包括在不同用户和内容(内部和外部)之间的用户定义的关连。web服务器可以用于经由网络310将社交网络系统360链接到一个更或多个客户端系统330或一个或更多个第三方系统370。web服务器可以包括邮件服务器或用于在社交网络系统360和一个或更多个客户端系统330之间接收并按规定路线发送消息的其他消息传送功能。API请求服务器可以允许第三方系统370通过调用一个或更多个API来访问来自社交网络系统360的信息。动作记录器可以用于从web服务器接收关于用户在社交网络系统360上或之外的动作的通信。结合动作日志，可以维护关于对第三方内容对象的用户暴露的第三方内容对象日志。通知控制器可以向客户端系统330提供关于内容对象的信息。信息可以作为通知被推送到客户端系统330，或者信息可以响应于从客户端系统330接收的请求而从客户端系统330中被拉取。授权服务器可以用于实施社交网络系统360的用户的一个或更多个隐私设置。用户的隐私设置确定与用户相关联的特定信息可以如何被分享。授权服务器可以例如通过设置适当的隐私设置来允许用户决定加入或决定退出使他们的动作由社交网络系统360记录或者与其他系统(例如，第三方系统370)分享。第三方内容对象储存器可以用于存储从第三方(例如第三方系统370)接收的内容对象。位置储存器可以用于存储从与用户相关联的客户端系统330接收的位置信息。广告定价模块可以组合社交信息、当前时间、位置信息或其他合适的信息以用通知的形式向用户提供相关广告。

在特定实施例中，在线社交网络的一个或更多个内容对象可以与隐私设置相关联。例如，对象的隐私设置(或“访问设置”)可以以任何合适的方式(诸如与对象相关联地、在授权服务器上用索引、以另一种合适的方式、或其任何组合)被存储。对象的隐私设置可以指定可以如何使用在线社交网络来访问(例如，查看或分享)对象(或与对象相关联的特定信息)。在对象的隐私设置允许特定用户访问该对象的场合，该对象可以被描述为相对于该用户是“可见的”。作为示例而不是作为限制，在线社交网络的用户可以为用户简档页面指定识别可以访问在用户简档页面上的工作经历信息的一组用户的隐私设置，因而排除其他用户访问该信息。在特定实施例中，隐私设置可以指定不应当被允许访问与对象相关联的某些信息的用户的“黑名单”。换句话说，黑名单可以指定一个或更多个用户或实体，对象对这些用户或实体是不可见的。作为示例而不是作为限制，用户可以指定不可以访问与用户相关联的相册的一组用户，因而排除那些用户访问相册(同时也可能允许不在该组用户内的某些用户访问相册)。在特定实施例中，隐私设置可以与特定社交图元素相关联。社交图元素(例如节点或边)的隐私设置可以指定可以如何使用在线社交网络来访问社交图元素、与社交图元素相关联的信息、或与社交图元素相关联的内容对象。作为示例而不是作为限制，对应于特定照片的特定概念节点#04可以具有指定照片只能由在照片中标记的用户及他们的朋友访问的隐私设置。在特定实施例中，隐私设置可以允许用户决定加入或决定退出使他们的动作由社交网络系统360记录或者与其他系统(例如，第三方系统370)分享。在特定实施例中，与对象相关联的隐私设置可以指定被允许的访问或访问的拒绝的任何合适的粒度。作为示例而不是作为限制，可以为特定用户(例如，只有我、我的室友和我的老板)、在特定分离度(degrees-of-separation)内的用户(例如，朋友或朋友的朋友)、用户团体(例如，游戏俱乐部、我的家人)、用户网络(例如，特定雇主的雇员、学生或特定大学的校友)、所有用户(“公众”)、无用户(“私人的”)、第三方系统370的用户、特定应用(例如，第三方应用、外部网站)、其他适当的用户或实体、或其任何组合来指定访问或访问的拒绝。尽管本公开描述了以特定方式使用特定隐私设置，但是本公开设想了以任何合适的方式使用任何合适的隐私设置。

在特定实施例中，一个或更多个服务器362可以是用于实施隐私设置的授权/隐私服务器。响应于来自用户(或其他实体)的对存储在数据储存器364中的特定对象的请求，社交网络系统360可以向数据储存器364发送对该对象的请求。该请求可以识别与该请求相关联的用户，并且只有在授权服务器基于与该对象相关联的隐私设置确定该用户被授权访问该对象时才可以被发送给该用户(或者该用户的客户端系统330)。如果请求用户未被授权访问该对象，则授权服务器可以阻止所请求的对象从数据储存器364中被检索，或者可以阻止所请求的对象被发送给用户。在搜索查询上下文中，只有在查询用户被授权访问对象时才可以将对象生成为搜索结果。换句话说，对象必须具有对查询用户可见的可见性。如果对象具有对用户不可见的可见性，则可以从搜索结果中排除该对象。尽管本公开描述了以特定方式实施隐私设置，但是本公开设想了以任何合适的方式实施隐私设置。

系统和方法

图4示出了示例计算机系统400。在特定实施例中，一个或更多个计算机系统400执行本文描述或示出的一个或更多个方法的一个或更多个步骤。在特定实施例中，一个或更多个计算机系统400提供本文描述或示出的功能。在特定实施例中，在一个或更多个计算机系统400上运行的软件执行本文描述或示出的一个或更多个方法的一个或更多个步骤，或者提供本文描述或示出的功能。特定实施例包括一个或更多个计算机系统400的一个或更多个部分。在本文，在适当的情况下，对计算机系统的引用可以包括计算设备，反之亦然。此外，在适当的情况下，对计算机系统的引用可以包括一个或更多个计算机系统。

本公开设想了任何合适数量的计算机系统400。本公开设想了计算机系统400采取任何合适的物理形式。作为示例而不是作为限制，计算机系统400可以是嵌入式计算机系统、片上系统(SOC)、单板计算机系统(SBC)(例如，模块上计算机(COM)或模块上系统(SOM))、台式计算机系统、膝上型或笔记本计算机系统、交互式信息亭、大型机、计算机系统网状网、移动电话、个人数字助理(PDA)、服务器、平板计算机系统、增强/虚拟现实设备、或者这些的两个或更多个的组合。在适当的情况下，计算机系统400可以包括一个或更多个计算机系统400；是单一的或分布式的；跨越多个位置；跨越多台机器；跨越多个数据中心；或者驻留在云中，云可以包括在一个或更多个网络中的一个或更多个云部件。在适当的情况下，一个或更多个计算机系统400可以在没有实质性空间或时间限制的情况下，执行本文描述或示出的一个或更多个方法的一个或更多个步骤。作为示例而不是作为限制，一个或更多个计算机系统400可以实时地或以批处理模式来执行本文描述或示出的一个或更多个方法的一个或更多个步骤。在适当的情况下，一个或更多个计算机系统400可以在不同的时间或在不同的位置处执行本文描述或示出的一个或更多个方法的一个或更多个步骤。

在特定实施例中，计算机系统400包括处理器402、存储器404、存储装置406、输入/输出(I/O)接口408、通信接口410和总线412。尽管本公开描述并示出了具有以特定布置的特定数量的特定部件的特定计算机系统，但是本公开设想了具有以任何合适布置的任何合适数量的任何合适部件的任何合适的计算机系统。

在特定实施例中，处理器402包括用于执行指令(例如构成计算机程序的那些指令)的硬件。作为示例而不是作为限制，为了执行指令，处理器402可以从内部寄存器、内部高速缓存、存储器404或存储装置406中检索(或取回)指令；将他们解码并执行它们；以及然后将一个或更多个结果写到内部寄存器、内部高速缓存、存储器404或存储装置406。在特定实施例中，处理器402可以包括用于数据、指令或地址的一个或更多个内部高速缓存。在适当的情况下，本公开设想了处理器402包括任何合适数量的任何合适的内部高速缓存。作为示例而不是作为限制，处理器402可以包括一个或更多个指令高速缓存、一个或更多个数据高速缓存、以及一个或更多个转译后备缓冲器(TLB)。在指令高速缓存中的指令可以是在存储器404或存储装置406中的指令的副本，并且指令高速缓存可以加速处理器402对那些指令的检索。在数据高速缓存中的数据可以是在存储器404或存储装置406中的数据的副本，用于使在处理器402处执行的指令进行操作；在处理器402处执行的先前指令的结果，用于由在处理器402处执行的后续指令访问或者用于写到存储器404或存储装置406；或其他合适的数据。数据高速缓存可以加速由处理器402进行的读或写操作。TLB可以加速关于处理器402的虚拟地址转换。在特定实施例中，处理器402可以包括用于数据、指令或地址的一个或更多个内部寄存器。在适当的情况下，本公开设想了处理器402包括任何合适数量的任何合适的内部寄存器。在适当的情况下，处理器402可以包括一个或更多个算术逻辑单元(ALU)；是多核处理器；或者包括一个或更多个处理器402。尽管本公开描述并示出了特定的处理器，但是本公开设想了任何合适的处理器。

在特定实施例中，存储器404包括用于存储用于使处理器402执行的指令或用于使处理器402操作的数据的主存储器。作为示例而不是作为限制，计算机系统400可以将指令从存储装置406或另一个源(例如，另一个计算机系统400)加载到存储器404。处理器402然后可以将指令从存储器404加载到内部寄存器或内部高速缓存。为了执行指令，处理器402可以从内部寄存器或内部高速缓存中检索指令并将它们解码。在指令的执行期间或之后，处理器402可以将一个或更多个结果(其可以是中间结果或最终结果)写到内部寄存器或内部高速缓存。处理器402然后可以将这些结果中的一个或更多个写到存储器404。在特定实施例中，处理器402仅执行在一个或更多个内部寄存器或内部高速缓存中或在存储器404(与存储装置406相对或其它地方)中的指令，并且仅对在一个或更多个内部寄存器或内部高速缓存中或在存储器404(与存储装置406相对或其它地方)中的数据进行操作。一个或更多个存储器总线(其可以各自包括地址总线和数据总线)可以将处理器402耦合到存储器404。如下所述，总线412可以包括一个或更多个存储器总线。在特定实施例中，一个或更多个存储器管理单元(MMU)驻留在处理器402和存储器404之间，并且便于由处理器402请求的对存储器404的访问。在特定实施例中，存储器404包括随机存取存储器(RAM)。在适当的情况下，该RAM可以是易失性存储器。在适当的情况下，该RAM可以是动态RAM(DRAM)或静态RAM(SRAM)。此外，在适当的情况下，该RAM可以是单端口RAM或多端口RAM。本公开设想了任何合适的RAM。在适当的情况下，存储器404可以包括一个或更多个存储器404。尽管本公开描述并示出了特定的存储器，但是本公开设想了任何合适的存储器。

在特定实施例中，存储装置406包括用于数据或指令的大容量存储装置。作为示例而不是作为限制，存储装置406可以包括硬盘驱动器(HDD)、软盘驱动器、闪存、光盘、磁光盘、磁带或通用串行总线(USB)驱动器、或这些中的两个或更多个的组合。在适当的情况下，存储装置406可以包括可移动或不可移动(或固定)介质。在适当的情况下，存储装置406可以在计算机系统400的内部或外部。在特定实施例中，存储装置406是非易失性固态存储器。在特定实施例中，存储装置406包括只读存储器(ROM)。在适当的情况下，该ROM可以是掩模编程ROM、可编程ROM(PROM)、可擦除PROM(EPROM)、电可擦除PROM(EEPROM)、电可变ROM(EAROM)、或闪存、或这些中的两个或更多个的组合。本公开设想了大容量存储装置406采取任何合适的物理形式。在适当的情况下，存储装置406可以包括便于在处理器402和存储装置406之间的通信的一个或更多个存储装置控制单元。在适当的情况下，存储装置406可以包括一个或更多个存储装置406。尽管本公开描述并示出了特定的存储装置，但是本公开设想了任何合适的存储装置。

在特定实施例中，I/O接口408包括为在计算机系统400和一个或更多个I/O设备之间的通信提供一个或更多个接口的硬件、软件或两者。在适当的情况下，计算机系统400可以包括这些I/O设备中的一个或更多个。这些I/O设备中的一个或更多个可以实现在人和计算机系统400之间的通信。作为示例而不是作为限制，I/O设备可以包括键盘、小键盘、麦克风、监视器、鼠标、打印机、扫描仪、扬声器、静态摄像机、触笔、平板计算机、触摸屏、跟踪球、视频摄像机、另一个合适的I/O设备、或这些中的两个或更多个的组合。I/O设备可以包括一个或更多个传感器。本公开设想了任何合适的I/O设备以及用于它们的任何合适的I/O接口408。在适当的情况下，I/O接口408可以包括使处理器402能够驱动这些I/O设备中的一个或更多个的一个或更多个设备或软件驱动器。在适当的情况下，I/O接口408可以包括一个或更多个I/O接口408。尽管本公开描述并示出了特定的I/O接口，但是本公开设想了任何合适的I/O接口。

在特定实施例中，通信接口410包括提供用于在计算机系统400和一个或更多个其他计算机系统400或一个或更多个网络之间的通信(例如，基于分组的通信)的一个或更多个接口的硬件、软件或两者。作为示例而不是作为限制，通信接口410可以包括用于与以太网或其他基于有线的网络进行通信的网络接口控制器(NIC)或网络适配器，或用于与无线网络(例如WI-FI网络)进行通信的无线NIC(WNIC)或无线适配器。本公开设想了任何合适的网络和用于它的任何合适的通信接口410。作为示例而不是作为限制，计算机系统400可以与自组织网络、个域网(PAN)、局域网(LAN)、广域网(WAN)、城域网(MAN)或互联网的一个或更多个部分、或这些中的两个或更多个的组合进行通信。这些网络中的一个或更多个的一个或更多个部分可以是有线的或无线的。作为示例，计算机系统400可以与无线PAN(WPAN)(例如，蓝牙WPAN)、WI-FI网络、WI-MAX网络、蜂窝电话网络(例如，全球移动通信系统(GSM)网络)、或其他合适的无线网络、或这些中的两个或更多个的组合进行通信。在适当的情况下，计算机系统400可以包括用于这些网络中的任一个的任何合适的通信接口410。在适当的情况下，通信接口410可以包括一个或更多个通信接口410。尽管本公开描述并示出了特定的通信接口，但是本公开设想了任何合适的通信接口。

在特定实施例中，总线412包括将计算机系统400的部件耦合到彼此的硬件、软件或两者。作为示例而不是作为限制，总线412可以包括加速图形端口(AGP)或其他图形总线、扩展工业标准体系结构(EISA)总线、前端总线(FSB)、HYPERTRANSPORT(HT)互连、工业标准体系结构(ISA)总线、INFINIBAND互连、低引脚数(LPC)总线、存储器总线，微通道体系结构(MCA)总线、外围部件互连(PCI)总线、PCI-Express(扩展)(PCIe)总线、串行高级技术附件(SATA)总线、视频电子标准协会本地(VLB)总线、或任何其他合适的总线、或这些中的两个或更多个的组合。在适当的情况下，总线412可以包括一个或更多个总线412。尽管本公开描述并示出了特定总线，但是本公开设想了任何合适的总线或互连。

在本文，在适当的情况下，一个或更多个计算机可读非暂时性存储介质可以包括一个或更多个基于半导体的集成电路或其他集成电路(IC)(例如，现场可编程门阵列(FPGA)或专用IC(ASIC))、硬盘驱动器(HDD)、混合硬盘驱动器(HHD)、光盘、光盘驱动器(ODD)、磁光盘、磁光盘驱动器、软盘、软盘驱动器(FDD)、磁带、固态驱动器(SSD)、RAM驱动器、安全数字(SECURE DIGITAL)卡或驱动器、任何其他合适的计算机可读非暂时性存储介质、或这些中的两个或更多个的组合。在适当的情况下，计算机可读非暂时性存储介质可以是易失性的、非易失性的或者易失性和非易失性的组合。

本文中，除非另有明确指示或通过上下文另有指示，否则“或”是包括一切的而非排他性的。因此在本文，除非另有明确指示或通过上下文另有指示，否则“A或B”意指“A、B或两者”。此外，除非另有明确指示或通过上下文另有指示，否则“和”既是联合的又是各自的。因此在本文，除非另有明确指示或通过上下文另有指示，否则“A和B”意指“A和B，联合地或各自地”。

本公开的范围包括本领域中的普通技术人员将理解的对本文描述或示出的示例实施例的所有改变、替换、变化、变更和修改。本公开的范围不限于本文描述或示出的示例实施例。此外，尽管本公开将本文的相应实施例描述并示为包括特定的部件、元件、特征、功能、操作或步骤，但是这些实施例中的任何一个可以包括本领域中的普通技术人员将理解的在本文任何地方描述或示出的任何部件、元件、特征、功能、操作或步骤的任何组合或置换。此外，在所附权利要求中对适合于、被布置成、能够、被配置成、实现来、可操作来、或操作来执行特定功能的装置或系统或装置或系统的部件的引用包括该装置、系统、部件，无论它或那个特定功能是否被激活、开启或解锁，只要该装置、系统或部件是如此被调整、被布置、有能力的、被配置、实现、可操作的、或操作的。此外，尽管本公开将特定实施例描述或示为提供特定优点，但是特定实施例可以提供这些优点中的一些、全部或不提供这些优点。

Claims (14)

1.一种域门户上的安全内容传递方法，包括：

由计算设备从用户的客户端设备接收登录请求；

响应于所述登录请求，由所述计算设备生成第一标识符和第一派生标识符，其中，所述第一派生标识符是通过对所述第一标识符应用函数来生成的；

由所述计算设备将所述第一标识符和所述第一派生标识符发送给所述客户端设备进行存储；

由所述计算设备从所述客户端设备接收对网页的内容请求，其中，所述内容请求包括第二标识符；

响应于所述内容请求，由所述计算设备通过对所述第二标识符应用所述函数来生成第二派生标识符；以及

由所述计算设备提供内容框架和可信框架用于显示在所述客户端设备上，其中，所述内容框架包括所述第二派生标识符；

其中，所述第一标识符存储在所述内容框架可访问的位置，并且所述第一派生标识符存储在所述可信框架可访问而所述内容框架不可访问的位置；

其中，所述内容框架被配置成：

请求所述可信框架验证所述第二派生标识符是否匹配所述第一派生标识符；和

当从所述可信框架接收到验证确认时，显示所请求的网页；

其中，所述可信框架被配置成：

访问存储在所述可信框架可访问的位置中的所述第一派生标识符；和

验证从所述内容框架接收的所述第二派生标识符与所述第一派生标识符匹配；

其中，所述可信框架与第一源相关联，并且所述内容框架与不同于所述第一源的第二源相关联；并且

其中，所述第一源和所述第二源具有相同的域。

2.根据权利要求1所述的方法，其中，所述函数是单向函数。

3.根据权利要求1所述的方法，其中，所述第一派生标识符和所述第二派生标识符之间的匹配指示没有发生安全漏洞。

4.根据权利要求1所述的方法，其中，所述第一派生标识符和所述第二派生标识符之间的不匹配指示已经发生了安全漏洞。

5.根据权利要求1所述的方法，其中，所述可信框架或所述内容框架还被配置成，如果所述第二派生标识符与所述第一派生标识符匹配，则允许所述内容框架显示所述网页。

6.根据权利要求1所述的方法，其中，所述可信框架或所述内容框架还被配置成，如果所述第二派生标识符与所述第一派生标识符不匹配，则终止与所述第一标识符相关联的当前会话。

7.根据权利要求1所述的方法，其中，所述可信框架或所述内容框架还被配置成，如果所述第二派生标识符与所述第一派生标识符不匹配，则请求对于用户的新的第一标识符。

8.根据权利要求1所述的方法，其中，所述登录请求包括经由在线应用访问第三方网站的请求。

9.根据权利要求1所述的方法，其中，所述内容框架是与用户的所述客户端设备相关联的显示屏上的所述可信框架的内联框架。

10.根据权利要求1所述的方法，还包括：

如果所述第二派生标识符与所述第一派生标识符不匹配，则删除存储在所述计算设备上并与用户相关联的一个或更多个cookie。

11.根据权利要求1所述的方法，其中，所述内容框架包括来自第三方实体的内容。

12.根据权利要求1所述的方法，其中，所述第一标识符存储为cookie。

13.根据权利要求1所述的方法，其中，所述第一派生标识符存储为与所述可信框架的源相关联的值。

14.根据权利要求1所述的方法，

其中，所请求的网页具有相关联的网址；并且

其中，使用所请求的网页的所述网址来生成所述第二源。

Images