CN110602111B - 一种基于长连接的接口防刷方法及系统 - Google Patents

Abstract

本发明公开了一种基于长连接的接口防刷方法及系统，涉及网络安全技术领域。所述接口防刷方法，在请求访问业务接口之前，需要先建立长连接，通过长连接获取加密后的用户信息，并根据通过了鉴权的用户信息更新防刷服务器记录的用户状态，在进行业务接口访问请求时，需要先判断该用户信息是否与防刷服务器记录的用户状态匹配，有效避免了非法用户恶意刷接口的问题；该防刷方法无需进行大数据分析和全网IP扫描，提高了接口防刷效率，同时，该防刷方法采用长连接和鉴权策略双重防护，提高了接口防刷的精准度，避免了对正常用户的误伤。

Description

一种基于长连接的接口防刷方法及系统

技术领域

本发明属于网络安全技术领域，尤其涉及一种基于长连接的接口防刷方法及系统。

背景技术

随着移动通信的普及和网络的发展，客户端（如网站网页或APP）请求访问服务端接口的业务越来越多，恶意刷接口趁机盗取用户个人信息的现象也越来越严重，用户个人信息的泄露可能会导致用户财产损失，降低用户的业务体验感。

目前常用的接口防刷方法有：

1、通过提取用户行为特征码来判断是否为非法用户以及该非法用户的风险等级，例如腾讯公司通过提取QQ用户是否聊天、是否频繁加好友、是否被好友删除、是否开通QQ空间、开通qq空间评论数量等特征码，来制定黑名单以及相应的风险等级，但是该方法需要大规模的数据分析，对于中小公司难以实现。

2、通过识别是否为代理IP来判断是否为非法用户。识别是否为代理IP又有两种方法：一是反向探测技术，代理IP一般会开通80,8080等代理服务器经常开通的端口，而普通用户则不太会开通该类型的端口。例如，HTTP头部的XForwardedFor：开通了HTTP代理的IP可以通过此法来识别是不是代理IP，如果带有XFF信息，该IP是代理IP；又如Keep-alive报文：如果带有Proxy-Connection的Keep-alive报文，该IP是代理IP。二是通过业务建模收集恶意IP，然后再通过协议扫描的方式来判断这类IP是不是代理IP。代理IP的检测方法几乎是公开的，但是盲目去扫描全网的IP，撇开被拦截不说，效率也是一个很大的问题。

3、通过验证码来识别，例如常见的图形验证码、短信验证码，限制IP的方式对大区域网络公用IP不太友好，容易误伤，灰产业能轻易绕过。图形验证码不但可以机器学习自动识别，还能接入打码平台，短信验证码也有接码平台。但是通过验证码来识别非法用户，由于网络不可靠因素的影响，可能会误伤到正常用户，降低了防刷的精准度。

发明内容

针对现有技术的不足，本发明提供一种基于长连接的接口防刷方法，通过长连接服务器与客户端建立长连接，获取用户加密后的用户信息并更新防刷服务器记录的用户状态，当用户通过客户端向业务服务器发出业务请求时，先通过防刷服务器中该用户的用户状态判断该用户是否通过匹配，只有通过匹配的用户才能成功获取业务服务器的接口请求，防止非法用户刷业务服务器的接口，避免用户个人信息的泄露，无需大数据分析和全网IP扫描，提高效率，提高防刷精度。

本发明还提供一种基于长连接的接口防刷系统，客户端与长连接服务器之间建立长连接，通过长连接服务器将鉴权通过了的用户信息发送给防刷服务器并更新防刷服务器记录的用户状态，在用户向业务服务器发出访问业务接口请求时，通过与防刷服务器中用户状态匹配来判断是否允许该用户进行业务接口请求访问，避免非法用户恶意刷接口。

本发明是通过如下的技术方案来解决上述技术问题的：一种基于长连接的接口防刷方法，包括以下步骤：

步骤1：当长连接服务器与客户端建立长连接时，长连接服务器获取登录该客户端的用户加密后的用户信息；

步骤2：长连接服务器对步骤1加密后的用户信息进行鉴权，如果鉴权通过，则防刷服务器根据该用户信息更新防刷服务器记录的用户状态，否则，不更新防刷服务器记录的用户状态；

步骤3：当业务服务器收到该客户端发出的访问业务接口请求时，业务服务器获取该用户的用户信息，并向防刷服务器发出请求，判断该用户的用户信息是否与防刷服务器记录的用户状态相匹配，如果匹配，则允许该用户通过该客户端访问业务接口，否则，拒绝该用户通过该客户端访问业务接口。

本发明所述的接口防刷方法，在请求访问业务接口之前，需要先建立与客户端的长连接，通过长连接从客户端获取加密后的用户信息，并根据通过了鉴权的用户信息更新防刷服务器记录的用户状态，在进行业务接口访问请求时，需要先判断该用户信息是否与防刷服务器记录的用户状态匹配，使用户实际操作页面和业务要求的页面一致，实现了非法用户接口防刷目的；由于正常用户能够成功建立长连接并通过鉴权，但是非法用户不会建立长连接，即使建立了长连接，也无法获取鉴权方式而无法更新防刷服务器记录的用户状态，在进行业务接口访问请求时还需要验证用户信息是否与用户状态匹配，因此，有效避免了非法用户恶意刷接口的问题；该防刷方法无需进行大数据分析和全网IP扫描，提高了接口防刷效率，同时，该防刷方法采用长连接和鉴权方式双重防护，提高了接口防刷的精准度，避免了对正常用户的误伤。

进一步地，所述步骤1中，长连接服务器与客户端建立长连接的情况包括用户首次登录客户端、用户切换客户端以及用户断开重连客户端三种情况，保证了用户信息与防刷服务器记录的用户状态的一致性，更好地避免了非法用户恶意刷接口。

进一步地，所述步骤1中，用户信息包括DID、用户账号以及用户所访问的页面或APP。优选的，DID可以为设备DID或者业务唯一ID。

进一步地，所述步骤2中，鉴权方式为用户账号、密码、用户所访问的当前页面、DID使用端口号以及IP进行对称加密的方式。

建立长连接后，长连接服务器获取加密后的用户信息（实际上获取的是一加密串），长连接服务器对加密串先解密，再校验账号密码，如果账号密码匹配，则鉴权通过，每个用户端口和IP不一样，所以每个用户加密的密钥也不一样，从而安全性更高。

进一步地，所述步骤3中，根据业务的安全性要求调整用户信息与防刷服务器记录的用户状态的匹配方式来判断是否允许请求访问业务接口，实现了访问业务接口宽松程度的调整，增加了接口防刷方法的灵活性。

进一步地，对于安全性要求高的业务，需要用户当前所访问的页面或APP与防刷服务器记录的用户所在页面或APP匹配，则允许请求访问业务接口。

进一步地，对于安全性要求低的业务，根据用户的DID和允许下线时长判断是否允许请求访问业务接口；

在判断时，先根据DID查找用户状态，如果用户状态不为空，则允许请求访问业务接口；如果用户状态为空，且下线时长小于或等于允许下线时长，则允许请求访问业务接口；否则不允许请求访问业务接口；

所述下线时长等于当前时间减去最后一次更新用户状态的时间。

允许下线时长根据业务安全性需求进行设置，允许下线时长越长，则判断越宽松，误伤正常用户的概率越低，通过调整允许下线时长可以来调整判断的宽松程度。

进一步地，所述接口防刷方法还包括步骤4：断开长连接，更新防刷服务器记录的用户状态为空，且在一时间段后，如果未进行任何更新操作，则删除该用户状态，以节省存储资源。

相应的，一种基于长连接的接口防刷系统，包括：

客户端，用于与长连接服务器建立长连接，将加密后的用户信息发送给长连接服务器，以及用于向业务服务器发出访问业务接口请求；

长连接服务器，用于对加密后的用户信息进行鉴权，并将鉴权结果和用户信息发送给防刷服务器；

防刷服务器，用于根据鉴权结果和用户信息更新防刷服务器记录的用户状态，以及用于根据业务服务器的请求和用户信息返回用户匹配结果给业务服务器；

业务服务器，用于在客户端发出访问业务接口请求时，获取用户信息，向防刷服务器发送请求和用户信息，并根据防刷服务器的用户匹配结果，返回是否允许访问业务接口给客户端。

有益效果

与现有技术相比，本发明提供的一种基于长连接的接口防刷方法，在请求访问业务接口之前，需要先建立长连接，通过长连接获取加密后的用户信息，并根据通过了鉴权的用户信息更新防刷服务器记录的用户状态，在进行业务接口访问请求时，需要先判断该用户的用户信息是否与防刷服务器记录的用户状态匹配，有效避免了非法用户恶意刷接口的问题；该防刷方法无需进行大数据分析和全网IP扫描，提高了接口防刷效率，同时，该防刷方法采用长连接和鉴权方式双重防护，提高了接口防刷的精准度，避免了对正常用户的误伤。

本发明的接口防刷方法灵活性高，可以根据业务方的业务安全性要求来调整是否允许访问业务接口的宽松程度，适用范围广，具有很高的实用价值。

附图说明

为了更清楚地说明本发明的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一个实施例，对于本领域普通技术人员来说，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例中长连接重新建立并鉴权的三种情况；

图2是本发明实施例中业务安全性要求高时是否允许接口请求判断；

图3是本发明实施例中业务安全性要求低时是否允许接口请求判断；

图4是本发明实施例中基于长连接的接口防刷系统的结构示意图。

具体实施方式

下面结合本发明实施例中的附图，对本发明中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图1所示，以用户首次登录、切换客户端以及断开重新登录来说明本发明的接口防刷方法。

（1）用户打开APP或网站进入页面p1，通过用户账号密码登录，然后APP或网站页面p1与长连接服务器建立长连接，APP或网站页面p1将唯一标识符DID和p1加密后发送给长连接服务器以进行鉴权；长连接的建立方法为现有技术，可参考授权公告号为CN104468547B，名称为建立长连接的方法、装置及系统的发明专利文献。

（2）解密并校验账号密码，如果账号密码与存储的账号密码匹配（通过注册的用户的账号和密码均存储起来），则鉴权通过，长连接服务器记录本次会话的DID并通知防刷服务器更新记录的用户状态为p1，如图1的stage001，如果鉴权失败，则防刷服务器不做记录更新处理。

（3）用户在APP或网站内进行页面切换，跳转至页面p2，通过用户账号密码登录，然后建立长连接，页面p2将唯一标识符DID和p2加密后发送给长连接服务器以进行鉴权。

（4）鉴权通过，长连接服务器记录本次会话的DID并通知防刷服务器更新记录的用户状态为p2，如图1的stage002，如果鉴权失败，则防刷服务器不做记录更新处理。

（5）如果用户在使用APP或者网站时由于网络意外断开或者其他原因导致长连接断开，客户端将要进行重连操作；重连成功后，通过用户账号密码登录，然后建立长连接，APP或者网站进入页面p3将唯一标识符DID和p3加密后发送给长连接服务器以进行鉴权。

（6）鉴权通过，长连接服务器记录本次会话的DID并通知防刷服务器更新记录的用户状态为p3，如图1的stage003，如果鉴权失败，则防刷服务器不做记录更新处理。

（7）断开长连接。

（8）取出DID，通知防刷服务器更新记录的用户状态为空，将当前时间记录为lastTime，如图1的stage004。

（9）一段时间后，用户状态无任何更新，则删除该用户状态为空的记录，节省存储资源，如图1的stage005。本实施例中，该时间段可以根据经验来设置。

业务服务器与防刷服务器的MustOnPage接口、IsOnline接口连接，MustOnPage接口和IsOnline接口是防刷服务器自定义的接口，MustOnPage接口是针对安全性要求高的业务，IsOnline接口是针对安全性要求低的业务。如果用户请求访问的业务为安全性要求高的业务（安全性要求高的业务是指涉及到金钱或实物的业务，对于这种业务，宁愿出现误判也不允许出现访问业务接口的请求，保证了业务接口访问的安全性），则业务服务器通过MustOnPage接口进行用户信息的匹配，需要用户当前所访问的页面与防刷服务器记录的用户所在页面一致，则允许请求访问业务接口，否则，不允许请求访问业务接口，如图2所示；如果用户请求访问的业务为安全性要求低的业务（安全性要求低的业务是指非金钱或实物业务），则业务服务器通过IsOnline接口进行用户信息的匹配，仅需用户状态不为空，或者在用户状态为空时，下线时长subTime小于或等于允许下线时长duration，则允许请求访问业务接口，否则，不允许请求访问业务接口，如图3所示。允许下线时长duration可以根据业务安全性要求来设置，例如一个小时或10分钟等等，该允许下线时长duration由业务服务器传递给防刷服务器。

如图4所示，本发明还提供一种基于长连接的接口防刷系统，包括：

客户端，用于与长连接服务器建立长连接，将加密后的用户信息发送给长连接服务器，以及用于向业务服务器发出访问业务接口请求；

长连接服务器，用于对加密后的用户信息进行鉴权，并将鉴权结果和用户信息发送给防刷服务器；

防刷服务器，用于根据鉴权结果和用户信息更新防刷服务器记录的用户状态，以及用于根据业务服务器的请求和用户信息返回用户匹配结果给业务服务器；

业务服务器，用于在客户端发出访问业务接口请求时，获取用户信息，向防刷服务器发送请求和用户信息，并根据防刷服务器的用户匹配结果，返回是否允许访问业务接口给客户端。

以上所揭露的仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或变型，都应涵盖在本发明的保护范围之内。

Claims (5)

1.一种基于长连接的接口防刷方法，其特征在于，包括以下步骤：

步骤1：当长连接服务器与客户端建立长连接后，该客户端将用户信息加密后发送给长连接服务器，长连接服务器获取该客户端加密后的用户信息；所述用户信息包括DID、用户账号以及用户所访问的页面或APP；

步骤2：长连接服务器对步骤1加密后的用户信息进行解密并校验账号密码以实现对用户信息鉴权，如果校验通过，则防刷服务器根据该用户信息更新防刷服务器记录的用户状态，否则，不更新防刷服务器记录的用户状态；

步骤3：当业务服务器收到该客户端发出的访问业务接口请求时，业务服务器获取该用户的用户信息，并向防刷服务器发出请求，判断该用户的用户信息是否与防刷服务器记录的用户状态相匹配，如果匹配，则允许该用户通过该客户端访问业务接口，否则，拒绝该用户通过该客户端访问业务接口；

所述步骤3中，根据业务的安全性要求调整用户信息与防刷服务器记录的用户状态的匹配方式来判断是否允许请求访问业务接口；

对于安全性要求高的业务，需要用户当前所访问的页面或APP与防刷服务器记录的用户所在页面或APP匹配，则允许请求访问业务接口；

对于安全性要求低的业务，根据用户的DID和允许下线时长判断是否允许请求访问业务接口；在判断时，先根据DID查找用户状态，如果用户状态不为空，则允许请求访问业务接口；如果用户状态为空，且下线时长小于或等于允许下线时长，则允许请求访问业务接口；否则不允许请求访问业务接口；所述下线时长等于当前时间减去最后一次更新用户状态的时间。

2.如权利要求1所述的一种基于长连接的接口防刷方法，其特征在于，所述步骤1中，长连接服务器与客户端建立长连接的情况包括用户首次登录客户端、用户切换客户端以及用户断开重连客户端三种情况。

3.如权利要求1所述的一种基于长连接的接口防刷方法，其特征在于，所述步骤1中，加密方式为对称加密。

4.如权利要求1所述的一种基于长连接的接口防刷方法，其特征在于，所述接口防刷方法还包括步骤4：断开长连接，更新防刷服务器记录的用户状态为空，且在一时间段后，如果未进行任何更新操作，则删除该用户状态。

5.一种基于长连接的接口防刷系统，其特征在于，包括：

客户端，用于与长连接服务器建立长连接，并在与长连接服务器建立长连接后，将用户信息加密后发送给长连接服务器，以及用于向业务服务器发出访问业务接口请求；所述用户信息包括DID、用户账号以及用户所访问的页面或APP；

长连接服务器，用于获取客户端加密后的用户信息，对加密后的用户信息进行解密并校验账号密码以实现对用户信息鉴权，并将校验结果和用户信息发送给防刷服务器；

防刷服务器，用于根据校验结果和用户信息更新防刷服务器记录的用户状态，以及用于根据业务服务器的请求和用户信息返回用户匹配结果给业务服务器；

以及业务服务器，用于在客户端发出访问业务接口请求时，获取用户信息，向防刷服务器发送请求和用户信息，并根据防刷服务器的用户匹配结果，返回是否允许请求访问业务接口给客户端，具体为：根据业务的安全性要求调整用户信息与防刷服务器记录的用户状态的匹配方式来判断是否允许请求访问业务接口；

对于安全性要求高的业务，需要用户当前所访问的页面或APP与防刷服务器记录的用户所在页面或APP匹配，则允许请求访问业务接口；

对于安全性要求低的业务，根据用户的DID和允许下线时长判断是否允许请求访问业务接口；在判断时，先根据DID查找用户状态，如果用户状态不为空，则允许请求访问业务接口；如果用户状态为空，且下线时长小于或等于允许下线时长，则允许请求访问业务接口；否则不允许请求访问业务接口；所述下线时长等于当前时间减去最后一次更新用户状态的时间。

Images