CN111092864A - 一种会话保护方法、装置、设备及可读存储介质 - Google Patents

Abstract

本发明公开了一种会话保护方法、装置、设备及可读存储介质，该方法包括以下步骤：在目标用户登录成功后生成具有有效期的会话信息，并在目标用户退出登录之前，对会话信息进行更新；向目标用户的客户端发送最新的会话信息，以便客户端发送携带会话信息的目标请求；利用会话信息对接收到的用户请求进行合法性验证。该方法，可抵抗cookie劫持，对会话进行有效保护，提高系统安全性。

Description

一种会话保护方法、装置、设备及可读存储介质

技术领域

本发明涉及计算机及网络通信技术领域，特别是涉及一种会话保护方法、装置、设备及可读存储介质。

背景技术

在Web系统中，权限控制最为普遍的为用户名、密码登录，记录登录凭据则为session，即会话信息，交互过程中，在cookie(本质为储存在用户本地终端上的数据)中携带，用于校验是否登录的依据。在web攻击中，cookie劫持非常常见，利用攻击手段，获取cookie中的session，然后使用session非法创建会话链接，获取系统数据。

针对上述的情况，目前的解决方案有：登录IP白名单，即限制能够登录的IP范围；或者增加session的校验复杂度，比如加入请求ip等字段进行控制。这些解决方案能够在一定程度上控制非法session用户的访问，但是也为正常用户登录和维护提高了复杂度。

综上所述，如何有效地进行会话保护等问题，是目前本领域技术人员急需解决的技术问题。

发明内容

本发明的目的是提供一种会话保护方法、装置、设备及可读存储介质，通过不断更新session，以对会话进行保护。

为解决上述技术问题，本发明提供如下技术方案：

一种会话保护方法，包括：

在目标用户登录成功后生成具有有效期的会话信息，并在所述目标用户退出登录之前，对所述会话信息进行更新；

向所述目标用户的客户端发送最新的所述会话信息，以便所述客户端发送携带所述会话信息的目标请求；

利用所述会话信息对接收到的用户请求进行合法性验证。

优选地，在所述会话信息超期时，删除所述会话信息；

利用所述会话信息对接收到的用户请求进行合法性验证，包括：

判断内存中是否存储有与所述用户请求中携带的会话信息相同的会话信息；

如果否，则确定所述用户请求非法；如果是，则确定所述用户请求合法。

优选地，利用所述会话信息对接收到的用户请求进行合法性验证，包括：

判断所述用户请求携带的会话信息是否为内存中当前最新且有效的会话信息；

如果是，则确定所述用户请求合法；如果否，则确定所述用户请求非法。

优选地，所述在目标用户登录成功后生成具有有效期的会话信息之后，还包括：

建立以所述目标用户的账号为键、所述会话信息为值的键值对，以便快速查询所述会话信息。

优选地，生成具有有效期的会话信息，包括：

利用哈希算法，结合第一时间戳和第一随机数，生成所述会话信息；

相应地，对所述会话信息进行更新，包括：

利用所述哈希算法，结合第二时间戳和第二随机数，生成新会话信息，将所述会话信息替换为所述新会话信息。

优选地，所述在目标用户登录成功后，包括：

所述目标用户再次登录时，删除所述会话信息，并重新生成新会话信息。

优选地，在所述目标用户退出登录之前，对所述会话信息进行更新，包括：

在所述目标用户退出之前，在接收到所述目标请求并确定所述目标请求合法之后，对所述会话信息进行更新；

在所述目标用户退出之前，定时对所述会话信息进行更新。

一种会话保护装置，包括：

会话信息管理模块，用于在目标用户登录成功后生成具有有效期的会话信息，并在所述目标用户退出登录之前，对所述会话信息进行更新；

会话信息发送模块，用于向所述目标用户的客户端发送最新的所述会话信息，以便所述客户端发送携带所述会话信息的目标请求；

请求合法性验证模块，用于利用所述会话信息对接收到的用户请求进行合法性验证。

一种会话保护设备，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现上述会话保护方法的步骤。

一种可读存储介质，所述可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现上述会话保护方法的步骤。

应用本发明实施例所提供的方法，在目标用户登录成功后生成具有有效期的会话信息，并在目标用户退出登录之前，对会话信息进行更新；向目标用户的客户端发送最新的会话信息，以便客户端发送携带会话信息的目标请求；利用会话信息对接收到的用户请求进行合法性验证。

考虑到非法用户如黑客，拿到合法用户的cookie中的会话信息，然后使用会话信息非法创建会话链接，获取系统数据，这一系列动作耗费时间较长。基于此，在本方法中，在目标用户登录成功后，生成具有有效期的会话信息，并且在目标用户退出登录之间，对会话信息进行更新。与此同时，向目标用户的客户端发送最新的会话信息，如此，客户端发送的目标请求中携带的会话信息。由于，会话信息在不断的更新，且具有有效期，即便是非法用户得到的会话信息，直到发送请求至服务器，由于时间的耽误，也会使得非法请求中携带的会话信息超期或非当前最新的会话信息。即，直接利用会话信息便可确定接收到的目标请求是否合法。如此，便可抵抗cookie劫持，对会话进行有效保护，提高系统安全性。

相应地，本发明实施例还提供了与上述会话保护方法相对应的会话保护装置、设备和可读存储介质，具有上述技术效果，在此不再赘述。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例中一种会话保护方法的实施流程图；

图2为本发明实施例中一种会话保护装置的结构示意图；

图3为本发明实施例中一种会话保护设备的结构示意图；

图4为本发明实施例中一种会话保护设备的具体结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面结合附图和具体实施方式对本发明作进一步的详细说明。显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

实施例一：

请参考图1，图1为本发明实施例中一种会话保护方法的流程图，该方法可应用于Web系统的服务端中，该方法包括以下步骤：

S101、在目标用户登录成功后生成具有有效期的会话信息，并在目标用户退出登录之前，对会话信息进行更新。

其中，目标用户可以为任意一个合法用户，目标用户可在客户端的可视化登录页面输入账号(或用户名)和密码，然后在服务端验证账号和密码，验证通过之后，则目标用户登录成功。

在目标用户登录成功之后，服务端可生成与目标用户对应，且具有有效期的会话信息。其中，有效期可设置可根据具体的应用场景可当前非法用户的非法请求发送时间耗时，例如，可将有效期设置为2至5秒中的任意时长。

优选地，为了提高会话信息查询效率，还可采用键值对方式(即map)进行存储。具体的，建立以目标用户的账号为键、会话信息为值的键值对，以便快速查询会话信息。其中，键即key，会话信息即为value，通过保存键值对的方式，便可快速查询出会话信息，当然，在对会话信息进行更新时，即更新键值对中的value即可。

需要说明的是，在本实施例中，所生成的会话信息在目标用户退出登录之前，还会更新该会话信息，以对会话进行保护。

其中，更新会话信息可具体包括但不限于以下两种更新方式：

方式一：基于用户访问更新，即在目标用户退出之前，在接收到目标请求并确定目标请求合法之后，对会话信息进行更新。也就是说，当目标用户在退出之前，发出了目标请求，在确定目标请求合法之后，可对会话信息进行更新。即，验证下一个请求的合法性即采用更新后的会话信息进行验证。

方式二：定期更新，即在目标用户退出之前，定时对会话信息进行更新。在本实施例中，定时更新会话信息的时长周期和与会话信息的有效期相匹配对应。例如，更新会话信息的时长周期可在2至5秒内选择。

在实际应用中，可结合方式一和方式二对会话信息进行更新，也可单独使用方式一或方式二对会话信息进行更新。

优选地，关于生成具有有效期的会话信息，可具体为利用哈希算法，结合第一时间戳和第一随机数，生成会话信息；相应地，对会话信息进行更新，包括：利用哈希算法，结合第二时间戳和第二随机数，生成新会话信息，将会话信息替换为新会话信息。其中，哈希算法可采用常见的哈希算法，在此不再一一赘述。需要说明的是，在本发明实施例中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。对于第一时间戳，可具体为用户登录时间；对于第二时间戳，可具体为需要对会话信息进行更新的时间点，如更新周期对应时间点或接收到目标用户发送的最新请求的时间点；第一随机数和第二随机数则可为随机函数产生的随机数。由于，哈希算法具有当输入不同，输出也不同的特点，可保障各个会话信息之间各不相同，可提高Web系统的稳定性。

S102、向目标用户的客户端发送最新的会话信息，以便客户端发送携带会话信息的目标请求。

为了使得客户端发送携带会话信息的目标请求，服务器还需不断的向目标用户的客户端发送最新的会话信息。具体的，可将最新会话信息写入目标用户的cookie中。

如此，目标用户对应的客户端在发送请求至服务器时，便可从cookie中读取会话信息，在请求中携带会话信息。

S103、利用会话信息对接收到的用户请求进行合法性验证。

其中，用户请求可以为目标用户对应的客户端发送的携带了会话信息的目标请求，也可以为非法用户窃取会话信息之后发送的携带了会话信息的非法请求，当然，用户请求中也可以为未携带会话信息的非法请求。

从上文可知，正常登录成功的目标用户，所发送的目标请求携带了最新会话信息。因此，服务器接收到用户请求之后，便可利用会话信息对用户请求进行合法性验证。验证过程可具体包括：

步骤一、判断用户请求携带的会话信息是否为内存中当前最新且有效的会话信息；

步骤二、如果是，则确定用户请求合法；

步骤三、如果否，则确定用户请求非法。

为便于描述，下面将上述三个步骤结合起来进行说明。

即，在本实施例中，可解析用户请求，得到用户请求中携带的会话信息。当然，若用户请求中未携带会话信息则可直接确定用户请求非法。然后，查找服务端内存中存储的当前最新且有效的多个会话信息，是否有一个会话信息与该用户请求携带的会话信息相同，如果是，则确定目标请求合法。

优选地，为了减少超期会话信息占用服务端的存储空间，在会话信息超期时，删除会话信息。相应地，合法性验证，包括：

步骤一、判断内存中是否存储有与用户请求中携带的会话信息相同的会话信息；

步骤二、如果否，则确定用户请求非法；

步骤三、如果是，则确定用户请求合法。

即在确定用户请求是否合法时，服务端仅需判断内存是否存储了与用户请求携带的会话信息相同的会话信息即可确定用户请求的合法性。

在确定用户请求的合法性之后，便可基于不同的判定结果对用户请求进行处理。具体的，当用户请求合法时，则正常响应用户请求；当用户请求非法时，则可无响应，也可向客户端反馈请求错误的提示信息。

优选地，考虑到通常Web系统的用户数量较为庞大，若一直对每个用户的会话信息进行维护，会占用大量的存储资源和计算资源。为了避免维护非活跃用户的会话信息占用系统资源，还可在目标用户登录成功后，在目标用户再次登录时，删除会话信息，并重新生成新会话信息。如此，便可仅针对当前登录状态的用户进行会话信息维护，减少占用系统资源。

应用本发明实施例所提供的方法，在目标用户登录成功后生成具有有效期的会话信息，并在目标用户退出登录之前，对会话信息进行更新；向目标用户的客户端发送最新的会话信息，以便客户端发送携带会话信息的目标请求；利用会话信息对接收到的用户请求进行合法性验证。

考虑到非法用户如黑客，拿到合法用户的cookie中的会话信息，然后使用会话信息非法创建会话链接，获取系统数据，这一系列动作耗费时间较长。基于此，在本方法中，在目标用户登录成功后，生成具有有效期的会话信息，并且在目标用户退出登录之间，对会话信息进行更新。与此同时，向目标用户的客户端发送最新的会话信息，如此，客户端发送的目标请求中携带的会话信息。由于，会话信息在不断的更新，且具有有效期，即便是非法用户得到的会话信息，直到发送请求至服务器，由于时间的耽误，也会使得非法请求中携带的会话信息超期或非当前最新的会话信息。即，直接利用会话信息便可确定接收到的目标请求是否合法。如此，便可抵抗cookie劫持，对会话进行有效保护，提高系统安全性。

为便于本领域技术人员更好地理解本发明实施例所提供的会话保护方法，下面结合具体的应用场景为例，对会话保护方法进行详细说明。

具体应用过程，包括：

(1)、在用户登录时，在用户登录页面输入账号、密码，客户端将包括账号和密码的登录信息传入服务端；服务端获取账号、密码信息。

(2)、当账号、密码校验成功时，服务端根据当前的时间戳、随机函数生成的随机数，经过哈希(hash)计算，生成具有有效期的session(即会话信息)。

(3)、将用户的账号与session建立map，即键值对，保存于内存。其中，键值对中账号为key，session为value。

(4)、session失效后，删除map中与之对应的数据；

(5)、同一账号再次登录后，删除旧的session，并更新map

(6)、在接收到用户请求后，在map中校验与该用户请求对应的session是否存在，如果不存在，session失效，返回请求错误；如果存在，则确定用户请求合法，正常响应该用户请求，并根据当前时间戳和随机生成一个随机数，进行哈希计算，生成新session值，查找并更新对应map。

(7)、在服务端设置cookie中的session为新session值，并将客户端使用的session随着请求响应更新为新session值。

可见，应用了本发明实施例所提供的会话保护方法之后，服务端可根据账号和session的唯一对应关系保证账号更新session后能够继续使用，并结合session更新机制，即便在发生session劫持后，session信息也无法被恶意利用，不能作为合法请求使用，可对会话进行有效保护。

实施例二：

相应于上面的方法实施例，本发明实施例还提供了一种会话保护装置，下文描述的会话保护装置与上文描述的会话保护方法可相互对应参照。

参见图2所示，该装置包括以下模块：

会话信息管理模块101，用于在目标用户登录成功后生成具有有效期的会话信息，并在目标用户退出登录之前，对会话信息进行更新；

会话信息发送模块102，用于向目标用户的客户端发送最新的会话信息，以便客户端发送携带会话信息的目标请求；

请求合法性验证模块103，用于利用会话信息对接收到的用户请求进行合法性验证。

应用本发明实施例所提供的装置，在目标用户登录成功后生成具有有效期的会话信息，并在目标用户退出登录之前，对会话信息进行更新；向目标用户的客户端发送最新的会话信息，以便客户端发送携带会话信息的目标请求；利用会话信息对接收到的用户请求进行合法性验证。

考虑到非法用户如黑客，拿到合法用户的cookie中的会话信息，然后使用会话信息非法创建会话链接，获取系统数据，这一系列动作耗费时间较长。基于此，在本装置中，在目标用户登录成功后，生成具有有效期的会话信息，并且在目标用户退出登录之间，对会话信息进行更新。与此同时，向目标用户的客户端发送最新的会话信息，如此，客户端发送的目标请求中携带的会话信息。由于，会话信息在不断的更新，且具有有效期，即便是非法用户得到的会话信息，直到发送请求至服务器，由于时间的耽误，也会使得非法请求中携带的会话信息超期或非当前最新的会话信息。即，直接利用会话信息便可确定接收到的目标请求是否合法。如此，便可抵抗cookie劫持，对会话进行有效保护，提高系统安全性。

在本发明的一种具体实施方式中，会话删除模块，用于在会话信息超期时，删除会话信息；相应地，请求合法性验证模块103，具体用于判断内存中是否存储有与用户请求中携带的会话信息相同的会话信息；如果否，则确定用户请求非法；如果是，则确定用户请求合法。

在本发明的一种具体实施方式中，请求合法性验证模块103，具体用于判断用户请求携带的会话信息是否为内存中当前最新且有效的会话信息；如果是，则确定用户请求合法；如果否，则确定用户请求非法。

在本发明的一种具体实施方式中，还包括：

键值对转换模块，用于在目标用户登录成功后生成具有有效期的会话信息之后，建立以目标用户的账号为键、会话信息为值的键值对，以便快速查询会话信息。

在本发明的一种具体实施方式中，会话信息管理模块101，具体用于利用哈希算法，结合第一时间戳和第一随机数，生成会话信息；利用哈希算法，结合第二时间戳和第二随机数，生成新会话信息，将会话信息替换为新会话信息。

在本发明的一种具体实施方式中，会话删除模块，用于在目标用户登录成功后，目标用户再次登录时，删除会话信息，并重新生成新会话信息。

在本发明的一种具体实施方式中，会话信息管理模块101，具体用于在目标用户退出之前，在接收到目标请求并确定目标请求合法之后，对会话信息进行更新；在目标用户退出之前，定时对会话信息进行更新。

实施例三：

相应于上面的方法实施例，本发明实施例还提供了一种会话保护设备，下文描述的一种会话保护设备与上文描述的一种会话保护方法可相互对应参照。

参见图3所示，该会话保护设备包括：

存储器D1，用于存储计算机程序；

处理器D2，用于执行计算机程序时实现上述方法实施例的会话保护方法的步骤。

具体的，请参考图4，为本实施例提供的一种会话保护设备的具体结构示意图，该会话保护设备可因配置或性能不同而产生比较大的差异，可以包括一个或一个以上处理器(central processing units，CPU)322(例如，一个或一个以上处理器)和存储器332，一个或一个以上存储应用程序342或数据344的存储介质330(例如一个或一个以上海量存储设备)。其中，存储器332和存储介质330可以是短暂存储或持久存储。存储在存储介质330的程序可以包括一个或一个以上模块(图示没标出)，每个模块可以包括对数据处理设备中的一系列指令操作。更进一步地，中央处理器322可以设置为与存储介质330通信，在会话保护设备301上执行存储介质330中的一系列指令操作。

会话保护设备301还可以包括一个或一个以上电源326，一个或一个以上有线或无线网络接口350，一个或一个以上输入输出接口358，和/或，一个或一个以上操作系统341。例如，Windows ServerTM，Mac OS XTM，UnixTM，LinuxTM，FreeBSDTM等。

上文所描述的会话保护方法中的步骤可以由会话保护设备的结构实现。

实施例四：

相应于上面的方法实施例，本发明实施例还提供了一种可读存储介质，下文描述的一种可读存储介质与上文描述的一种会话保护方法可相互对应参照。

一种可读存储介质，可读存储介质上存储有计算机程序，计算机程序被处理器执行时实现上述方法实施例的会话保护方法的步骤。

该可读存储介质具体可以为U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可存储程序代码的可读存储介质。

专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

Claims (10)

1.一种会话保护方法，其特征在于，包括：

在目标用户登录成功后生成具有有效期的会话信息，并在所述目标用户退出登录之前，对所述会话信息进行更新；

向所述目标用户的客户端发送最新的所述会话信息，以便所述客户端发送携带所述会话信息的目标请求；

利用所述会话信息对接收到的用户请求进行合法性验证。

2.根据权利要求1所述的会话保护方法，其特征在于，在所述会话信息超期时，删除所述会话信息；

利用所述会话信息对接收到的用户请求进行合法性验证，包括：

判断内存中是否存储有与所述用户请求中携带的会话信息相同的会话信息；

如果否，则确定所述用户请求非法；如果是，则确定所述用户请求合法。

3.根据权利要求1所述的会话保护方法，其特征在于，利用所述会话信息对接收到的用户请求进行合法性验证，包括：

判断所述用户请求携带的会话信息是否为内存中当前最新且有效的会话信息；

如果是，则确定所述用户请求合法；如果否，则确定所述用户请求非法。

4.根据权利要求1所述的会话保护方法，其特征在于，所述在目标用户登录成功后生成具有有效期的会话信息之后，还包括：

建立以所述目标用户的账号为键、所述会话信息为值的键值对，以便快速查询所述会话信息。

5.根据权利要求1所述的会话保护方法，其特征在于，生成具有有效期的会话信息，包括：

利用哈希算法，结合第一时间戳和第一随机数，生成所述会话信息；

相应地，对所述会话信息进行更新，包括：

利用所述哈希算法，结合第二时间戳和第二随机数，生成新会话信息，将所述会话信息替换为所述新会话信息。

6.根据权利要求1所述的会话保护方法，其特征在于，所述在目标用户登录成功后，包括：

所述目标用户再次登录时，删除所述会话信息，并重新生成新会话信息。

7.根据权利要求1至6任一项所述的会话保护方法，其特征在于，在所述目标用户退出登录之前，对所述会话信息进行更新，包括：

在所述目标用户退出之前，在接收到所述目标请求并确定所述目标请求合法之后，对所述会话信息进行更新；

在所述目标用户退出之前，定时对所述会话信息进行更新。

8.一种会话保护装置，其特征在于，包括：

会话信息管理模块，用于在目标用户登录成功后生成具有有效期的会话信息，并在所述目标用户退出登录之前，对所述会话信息进行更新；

会话信息发送模块，用于向所述目标用户的客户端发送最新的所述会话信息，以便所述客户端发送携带所述会话信息的目标请求；

请求合法性验证模块，用于利用所述会话信息对接收到的用户请求进行合法性验证。

9.一种会话保护设备，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如权利要求1至7任一项所述会话保护方法的步骤。

10.一种可读存储介质，其特征在于，所述可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至7任一项所述会话保护方法的步骤。

Images