CN111385313A - 一种对象请求合法性验证的方法和系统 - Google Patents

Abstract

本说明书实施例提供了一种对象请求合法性验证的方法，所述方法包括：获取对象的登录状态，根据所述登录状态对所述对象的请求进行合法性验证；其中，当所述登录状态为非登录时，基于所述请求的数据中的令牌进行第一验证，所述令牌基于所述对象的访问轨迹数据得到；若所述第一验证失败，则基于所述对象的访问轨迹数据进行第二验证，确定所述对象的请求是否合法。

Description

一种对象请求合法性验证的方法和系统

技术领域

本申请涉及计算机数据处理领域，特别涉及一种对象请求合法性验证的方法和系统。

背景技术

随着计算机技术的发展，在各个平台和系统中，对使用对象（例如，用户、商家等）发起的请求进行验证，是一项非常重要的功能。请求可能是非法的，例如，黑客或者其他竞争对手为了干扰平台的运行，发起的并无实质需求的请求，特别是人工客服请求，干扰请求过多会导致人工客服人员无法即时回应真正的请求，影响用户体验。

因此，亟需一种对象请求合法性验证的方法和系统。

发明内容

本说明书一个方面提供一种对象请求合法性验证的方法。所述方法包括：获取对象的登录状态，根据所述登录状态对所述对象的请求进行合法性验证；其中，当所述登录状态为非登录时，基于所述请求的数据中的令牌进行第一验证，所述令牌基于所述对象的访问轨迹数据得到；若所述第一验证失败，则基于所述对象的访问轨迹数据进行第二验证，确定所述对象的请求是否合法。

本说明书另一个方面提供一种对象请求合法性验证的系统。所述系统包括：获取模块，用于获取对象的登录状态；验证模块，用于根据所述登录状态对所述对象的请求进行合法性验证；其中，当所述登录状态为非登录时，基于所述请求的数据中的令牌进行第一验证，所述令牌基于所述对象的访问轨迹数据得到；若所述第一验证失败，则基于所述对象的访问轨迹数据进行第二验证，确定所述对象的请求是否合法。

本说明书另一个方面提供一种对象请求合法性验证的装置，包括至少一个存储介质和至少一个处理器，所述至少一个存储介质用于存储计算机指令；所述至少一个处理器用于执行所述计算机指令以实现所述对象请求合法性验证的方法。

附图说明

本说明书将以示例性实施例的方式进一步说明，这些示例性实施例将通过附图进行详细描述。这些实施例并非限制性的，在这些实施例中，相同的编号表示相同的结构，其中：

图1是根据本说明书一些实施例所示的对象请求合法性验证的系统的应用场景示意图；

图2是根据本说明书一些实施例所示的对象请求合法性验证的系统的模块图；

图3是根据本说明书一些实施例所示的对象请求合法性验证的方法的示例性流程图；

图4是根据本说明书的一些实施例所示的基于对象的请求频次进行第三验证的方法的示例性流程图；

图5是根据本说明书的一些实施例所示的对象请求合法性验证的方法的另一示例性流程图。

具体实施方式

为了更清楚地说明本说明书实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单的介绍。显而易见地，下面描述中的附图仅仅是本说明书的一些示例或实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图将本说明书应用于其它类似情景。除非从语言环境中显而易见或另做说明，图中相同标号代表相同结构或操作。

应当理解，本说明书中所使用的“系统”、“装置”、“单元”和/或“模组”是用于区分不同级别的不同组件、元件、部件、部分或装配的一种方法。然而，如果其他词语可实现相同的目的，则可通过其他表达来替换所述词语。

如本说明书和权利要求书中所示，除非上下文明确提示例外情形，“一”、“一个”、“一种”和/或“该”等词并非特指单数，也可包括复数。一般说来，术语“包括”与“包含”仅提示包括已明确标识的步骤和元素，而这些步骤和元素不构成一个排它性的罗列，方法或者设备也可能包含其它的步骤或元素。

本说明书中使用了流程图用来说明根据本说明书的实施例的系统所执行的操作。应当理解的是，前面或后面操作不一定按照顺序来精确地执行。相反，可以按照倒序或同时处理各个步骤。同时，也可以将其他操作添加到这些过程中，或从这些过程移除某一步或数步操作。

图1是根据本说明书的一些实施例所示的示例性对象请求合法性验证系统的应用场景示意图。

在一些应用场景中，对象请求合法性验证系统100可以应用于多种类型的场景中。例如智能客服系统（如银行客服问答系统、支付平台客服问答系统、商场导购客服问答系统等）的用户咨询请求合法性验证、数据资源系统（如图书馆资源系统、银行数据资源系统等）的用户下载请求合法性验证、在线交易系统（如在线购物系统、在线转账系统等）的用户交易请求合法性验证等。特别的，智能客服系统一般包含机器人客服和人工客服，在咨询过程中，当机器人无法解决用户问题时，就会触发人工服务。如果用户咨询数超过服务商所有客服的服务能力，后续产生的用户咨询就会得不到有效服务，造成糟糕的用户体验。竞争对手或者黑客可以利用技术手段大规模地模拟用户请求人工服务的请求，从而消耗服务商的客服服务资源，并使真正的用户得不到有效服务。请求合法性验证系统100可以通过本说明书中披露的方法和/或过程，拦截非法或无效的人工咨询攻击请求，提升客服咨询处理效率，提高用户咨询服务体验。

如图1所示，对象请求合法性验证系统100可以包括服务器110、用户终端120、网络130。

服务器110可以用于管理资源以及处理来自本系统至少一个组件或外部数据源（例如，云数据中心）的数据和/或信息。在一些实施例中，服务器110可以是单一服务器或服务器组。该服务器组可以是集中式或分布式的（例如，服务器110可以是分布式系统），可以是专用的也可以由其他设备或系统同时提供服务。在一些实施例中，服务器110可以是区域的或者远程的。在一些实施例中，服务器110可以在云平台上实施，或者以虚拟方式提供。仅作为示例，所述云平台可以包括私有云、公共云、混合云、社区云、分布云、内部云、多层云等或其任意组合。

用户终端120指用户所使用的一个或多个终端设备或软件。在一些实施例中，使用用户终端120的可以是一个或多个用户，可以包括直接使用服务的用户，也可以包括其他相关用户。在一些实施例中，用户终端120可以是移动设备120-1、平板计算机120-2、膝上型计算机120-3、台式计算机120-4等其他具有输入和/或输出功能的设备中的一种或其任意组合。在一些实施例中，其他具有输入和/或输出功能的设备可包括设置在公共场所的专用问答终端。上述示例仅用于说明所述用户终端120设备范围的广泛性而非对其范围的限制。

网络130可以连接系统的各组成部分和/或连接系统与外部资源部分。网络130使得各组成部分之间，以及与系统之外其他部分之间可以进行通讯，促进数据和/或信息的交换。在一些实施例中，网络130可以是有线网络或无线网络中的任意一种或多种。例如，网络130可以包括电缆网络、光纤网络、电信网络、互联网、局域网络（LAN）、广域网络（WAN）、无线局域网络（WLAN）、城域网（MAN）、公共交换电话网络（PSTN）、蓝牙网络、紫蜂网络（ZigBee）、近场通信（NFC）、设备内总线、设备内线路、线缆连接等或其任意组合。各部分之间的网络连接可以是采用上述一种方式，也可以是采取多种方式。在一些实施例中，网络可以是点对点的、共享的、中心式的等各种拓扑结构或者多种拓扑结构的组合。在一些实施例中，网络130可以包括一个或以上网络接入点。例如，网络130可以包括有线或无线网络接入点，例如基站和/或网络交换点130-1、130-2、…，通过这些进出点系统100的一个或多个组件可连接到网络130上以交换数据和/或信息。

在一些实施例中，用户可以通过用户终端120发起请求并通过网络120发送请求到服务器110，经服务器110进行请求合法性验证，得到请求合法性验证结果后，服务器可以进一步响应用户的请求（如请求合法通过用户的请求，请求不合法则拦截用户的请求）、对用户返回令牌、对用户进行验证码验证等操作。又例如请求是由恶意攻击机器人发起的攻击请求，该请求通过网络120发送请求到服务器110，经服务器110进行请求合法性验证，可以得到请求的不合法结果，服务器可以对该攻击请求进行拦截处理。服务器110可以通过网络130获取用户终端120的数据，例如用户或恶意攻击机器人的身份信息、访问信息、访问令牌等。本说明书中的操作可以通过服务器110执行程序指令进行，本系统亦可以其他可行的操作方式实施本说明书中的方法。

图2是根据本说明书的一些实施例所示的示例性对象请求合法性验证系统的模块图。对象请求合法性验证系统200可以包括获取模块210、验证模块220、生成模块230。

获取模块210：用于获取对象的登录状态。

验证模块220：用于根据所述登录状态对所述对象的请求进行合法性验证。其中，当所述登录状态为非登录时，基于所述请求的数据中的令牌进行第一验证，所述令牌基于所述对象的访问轨迹数据得到。若所述第一验证失败，则基于所述对象的访问轨迹数据进行第二验证，确定所述对象的请求是否合法。

在一些实施例中，验证模块220还用于：若所述第一验证成功，则基于所述对象的请求频次进行第三验证，确定所述对象的请求是否合法；

在一些实施例中，验证模块220还用于：判断所述请求的数据中是否包含令牌，是则所述第一验证成功，否则所述第一验证失败。

在一些实施例中，验证模块220还用于：当所述登录状态为登录时，基于所述对象的请求频次进行第三验证，确定所述对象的请求是否合法。

在一些实施例中，验证模块220还用于：判断所述对象的请求频次是否满足预设条件，是则所述对象的请求合法，否则对所述对象进行第四验证，所述第四验证成功，则所述对象的请求合法，所述第四验证失败，则所述对象的请求不合法；所述第四验证是需要对象进行回应的验证方式。

在一些实施例中，验证模块220还用于：当所述对象无访问轨迹数据时，对所述对象进行第四验证，所述第四验证成功，则所述对象的请求合法，所述第四验证失败，则所述对象的请求不合法。

在一些实施例中，验证模块220还用于：通过验证码对所述对象进行第四验证。

生成模块230：用于若所述第二验证确定所述对象的请求合法，则生成令牌并存入所述对象的终端。

上述获取模块210、验证模块220、生成模块230的更多具体内容可以参见图3和图4的方法流程说明。

应当理解，图2所示的系统及其模块可以利用各种方式来实现。例如，在一些实施例中，系统及其模块可以通过硬件、软件或者软件和硬件的结合来实现。其中，硬件部分可以利用专用逻辑来实现；软件部分则可以存储在存储器中，由适当的指令执行系统，例如微处理器或者专用设计硬件来执行。本领域技术人员可以理解上述的方法和系统可以使用计算机可执行指令和/或包含在处理器控制代码中来实现，例如在诸如磁盘、CD或DVD-ROM的载体介质、诸如只读存储器（固件）的可编程的存储器或者诸如光学或电子信号载体的数据载体上提供了这样的代码。本申请的系统及其模块不仅可以有诸如超大规模集成电路或门阵列、诸如逻辑芯片、晶体管等的半导体、或者诸如现场可编程门阵列、可编程逻辑设备等的可编程硬件设备的硬件电路实现，也可以用例如由各种类型的处理器所执行的软件实现，还可以由上述硬件电路和软件的结合（例如，固件）来实现。

需要注意的是，以上对于对象请求合法性验证系统200及其模块的描述，仅为描述方便，并不能把本说明书限制在所举实施例范围之内。可以理解，对于本领域的技术人员来说，在了解该系统的原理后，可能在不背离这一原理的情况下，对各个模块进行任意组合，或者构成子系统与其他模块连接。例如，例如，图2中披露的获取模块210、验证模块220、生成模块230可以是一个系统中的不同模块，也可以是一个模块实现上述的两个或两个以上模块的功能。例如，获取模块210、验证模块220可以是两个模块，也可以是一个模块同时具有确定和推荐至少一个个性化上车点的功能。又例如，各个模块可以共用一个存储模块，各个模块也可以分别具有各自的存储模块。诸如此类的变形，均在本申请的保护范围之内。

图3是根据本说明书的一些实施例所示的对象请求合法性验证的方法的示例性流程图。具体的，所述方法300可以由系统200执行。如图3所示，该对象请求合法性验证的方法300可以包括：

步骤310，获取对象的登录状态。具体的，该步骤310可以由获取模块210执行。

对象可以是指任意可以被描述的个体，例如用户、商家、访客、用于自动发起请求的机器人等。

对象的登录状态是指对象在平台或系统中的访问状态，可以包括登录和非登录两种登录状态。

在一些实施例中，对象的登录状态可以通过识别用户的身份信息或访问信息来获取。例如，用户的身份信息可以包括用户端口信息、用户ID信息、用户Cookie信息等，以Cookie为例，Cookie中存储用户的登录信息，用户未登录，Cookie中用户的用户名（username）和身份（identity）为空，用户登录后，会设置有Cookie值来保存用户的username和identity，通过识别Cookie中用户的username和identity的Cookie值可以得到用户的登录状态。又例如，用户的访问信息可以包括用户操作信息、会话（session）信息等，以session为例，session中存储用户的登录信息，用户未登录，则Session["user"]的值为空，用户登录后，则Session["user"]=“用户名”，通过识别Session["user"]的值可以得到用户的登录状态。

对象的请求是指对象发起的任意要求，可以包括访问请求、业务请求、下载请求、客服请求或转人工客服请求等。对象的请求可以通过读取对象发送的请求数据、读取系统或终端记录的对象相关数据进行获取。

请求的合法性验证是指验证请求为合法或不合法。例如，当请求为竞争对手的恶意访问请求、黑客的攻击请求或者黑名单用户的请求等时，该请求为不合法请求，当请求为用户的正常的、真正有需求的请求时，该请求为合法请求。

在一些实施例中，请求的合法性验证可以采用对对象的相关数据（例如对象的IP信息、行为数据、访问轨迹数据等）和/或对象的请求的相关数据（例如请求频率等）进行验证来得到合法性结果。

在一些实施例中，可以根据获取的对象的登录状态来对对象的请求进行合法性验证。具体地，根据登录状态可选地进行步骤320或步骤330中的方法。

步骤320，当所述登录状态为非登录时，基于所述请求的数据中的令牌进行第一验证。具体的，该步骤320可以由验证模块220执行。

请求的数据是指对象发送的请求的相关数据，可以包括请求的信息数据和对象的身份信息数据等。例如，对象通过http协议发送请求至服务器，请求的数据可以为http请求（包含请求行、请求头、请求体）数据。http请求数据可以包括请求的信息数据和对象的身份信息数据等，如，http请求的请求头的信息可以包括Cookie信息、令牌信息，请求行的信息可以包括请求发送端端口、请求发送端IP等信息。

令牌是指可以表征对象身份安全性或合法性的信息或代码，例如token值。令牌可以存储在对象的身份信息数据所在的存储位置中，例如，令牌可以存储在Cookie或者本地存储（Local Storage）中。令牌可以是由系统（例如，对象请求合法性验证系统200）根据程序指令自动生成并分配给对象的，例如对象身份为合法或对象的请求为合法，系统则可以自动生成令牌并分配给对象。令牌可以基于对象的访问轨迹数据得到。具体的，判断对象的访问轨迹数据是否符合预设要求，符合则生成令牌。关于令牌生成的更多具体细节可以参见步骤324的相关描述，此处不再赘述。

第一验证可以是通过验证在请求数据中有无令牌来实现，若有令牌则可以第一验证成功，若无则认为第一验证失败。例如，对于非登录状态的对象的一个咨询请求，在其http请求数据中的请求头信息中识别到了token值，则第一验证成功。第一验证可以是看成是对登录状态为非登录的对象的身份验证，第一验证成功可以认为该对象的身份为合法，第一验证失败可以认为该对象的身份为未知，即可能是不合法也可能是合法。

在一些实施例中，可以根据第一验证的结果，进一步确定对象的请求是否合法。可以看成是，在对象的身份的合法性验证结果基础上，对对象的请求进行合法性验证。具体地，若第一验证成功，则选择执行步骤322进行请求的合法性验证，若第一验证失败，则选择执行步骤324进行请求的合法性验证。

步骤322，若所述第一验证成功，则基于所述对象的请求频次进行第三验证，确定所述对象的请求是否合法。具体的，该步骤322可以由验证模块220执行。

当第一验证成功，可以理解为对象的身份为合法，可以采用基于对象的请求频次进行对象的请求的合法性验证，即第三验证，得到对象的请求是否合法的结果。

对象的请求频次是指对象在预设时间内发起请求的次数。例如，对象的请求频次为1s内请求5次，又例如，对象的请求频次为一周内请求100次。对象的请求频次可以通过直接读取对象发送的请求数据，或者读取系统或终端记录的对象的请求信息进行获取。

第三验证可以是基于对象的请求频次是否满足预设条件实现，具体的，满足预设条件，第三验证成功，则对象的请求为合法；否则第三验证失败，对象的请求为不合法或需要进一步验证确定。如图5所示的对象请求合法性验证另一方法500，对于第三验证失败时，需要进行进一步验证（即，第四验证），以确定对象请求的合法性，第四验证成功，则请求合法，第四验证失败，则请求不合法。

第四验证可以是需要对象进行回应的验证方式，换言之，需要平台与对象进行交互，以确定该验证是否成功。第四验证可以是对对象获取其动作、文字、语音等反馈信息的验证，例如，发送短信给对象，基于对象的短信回复进行验证；又例如，打电话给对象，基于对象的语音回复进行验证；又例如，给对象下达动作，基于对象的动作反馈进行验证；又例如，发送验证码给对象，基于对象反馈的信息进行验证等。关于预设条件、第四验证和第三验证的更多具体内容可以参见图4及其相关描述，此处不再赘述。

步骤324，若所述第一验证失败，则基于所述对象的访问轨迹数据进行第二验证，确定所述对象的请求是否合法。具体的，该步骤324可以由验证模块220执行。

对象的访问轨迹数据是指对象在浏览和操作平台、系统时的行为数据，例如浏览的页面、页面使用时长、点击的按钮、点击操作的次数等。在一些实施例中，对象的访问轨迹数据可以是当前访问和所有历史访问的所有轨迹数据，也可以是一定时间内的访问轨迹数据，该时间可以自定义。

对象的访问轨迹数据可以通过在网页上进行网页数据采集，或在对象的终端（如客户端）进行对象数据采集来获取。具体地，可以采用爬虫技术进行网页数据采集，可以采用埋点技术在对象的客户端进行数据埋点，实现客户端对象的数据采集。采集到的对象访问轨迹数据可以实时地进行存储，例如，上传到平台或系统的服务器中存储。

当第一验证失败，可以理解为对象的身份为未知，可能是不合法也可能是合法，可以基于对象的访问轨迹数据进行请求的合法性验证，即第二验证。

在一些实施例中，第二验证可以通过验证对象的访问轨迹数据是否满足预设条件，当满足预设条件，则第二验证成功，请求为合法；当不满足预设条件，则第二验证失败，请求为不合法。

由于发起不合法请求的对象一般是程序或机器人等，其行为通常是通过代码固定的，随机性较弱，例如，每个网页只访问固定的一个或多个时间，或只固定访问某类网页等。因此，可以通过预设要求确定是否为发起不合法请求的对象的访问数据。预设要求可以是指访问轨迹数据的限制条件，例如，浏览的页面限制、页面使用时长限制、点击的按钮限制、点击操作的次数限制等。预设要求可以是自定义的，该预设要求可以体现较强随机性。例如，预设要求可以是在不同的网页上浏览的时间不同；又例如，预设要求可以是浏览一个网页的时间超过1分钟，且点击了该网页上的至少3个商品，且购买了一个商品等。在一些实施例中，可以定时或者根据需要更新预设要求，例如，预设要求可以根据分析历史收集到的非法请求做智能调整，还可以根据客服的忙闲程度、时间段（例如：是否做活动，白天夜晚等）设定不同的安全等级。可以理解，预设要求主要体现的是真正人的行为，而非机器或代码的行为。

比较对象的访问轨迹数据是否符合预设要求，符合则第二验证成功，不符合则第二验证失败。第二验证成功代表对象的请求合法。第二验证失败可以代表对象的请求不合法，或者对象的请求的合法性未知，需要进一步验证。如图5所示的对象请求合法性验证另一方法500，对于第二验证失败时，需要进行进一步验证（即，第四验证），以确定对象请求的合法性，第四验证成功，则请求合法，第四验证失败，则请求不合法。关于第四验证参见步骤322和图4及其相关描述，此处不在赘述。

在一些实施例中，第二验证还可以通过机器学习模型来实现，将对象的访问轨迹数据输入机器学习模型，输出得到请求为合法或不合法的结果。该机器学习模型可以采用带有合法或不合法标记的历史访问轨迹数据训练得到。在一些实施例中，该机器学习模型可以采用分类模型，例如，逻辑回归模型、分类和回归树、支持向量机、分类和回归树、随机森林或其它分类模型，本实施例不做限制。以逻辑回归模型为例，将对象的访问轨迹数据例如浏览的页面限制、页面使用时长限制、点击的按钮限制、点击操作的次数限制等输入逻辑回归模型，模型可以输出得到该对象的访问轨迹数据对应的类别，即对应为请求合法或请求不合法。

在一些实施例中，如图5所示的对象请求合法性验证另一方法500，若第二验证成功，可以理解为确定了对象的请求合法，则生成令牌并存入对象的终端。关于令牌的更多细节见步骤320，此处不再赘述。该过程可以由生成模块230执行。

当第二验证得到的结果为对象的请求合法时，系统自动生成令牌，例如分配一个token值给对象，存入对象的终端。具体地，分配给对象的令牌可以存储在对象的终端的Cookie或者Local Storage中。

在一些实施例中，可能没有采集或存储有对象的访问轨迹数据，可以理解为第二验证失败。当对象无访问轨迹数据时，可以对对象进行第四验证，来进行请求的合法性验证。若第四验证成功，则该对象的请求为合法，若第四验证失败，则该对象的请求为不合法。关于第四验证的更多内容可以参见图4及其相关描述，此处不再赘述。

步骤330，当所述登录状态为登录时，基于所述对象的请求频次进行第三验证，确定所述对象的请求是否合法。具体的，该步骤330可以由验证模块220执行。

当对象的登录状态为登录时，可以采用基于对象的请求频次进行请求的合法性验证，即第三验证。关于请求频次参见步骤322，此处不再赘述。

具体地，第三验证可以是基于对象的请求频次是否满足预设条件来验证请求的合法性，满足预设条件则请求为合法，否则请求为不合法或进行进一步验证。如图5所示的对象请求合法性验证另一方法500，对于第三验证失败时，需要进行进一步验证（即，第四验证），以确定对象请求的合法性，第四验证成功，则请求合法，第四验证失败，则请求不合法。关于第三验证的更多具体内容可以参见图4及其相关描述，此处不再赘述。

在一些实施例中，如图5所示的对象请求合法性验证另一方法500，当确定了对象的请求为合法时，平台或系统会进行相应的第一操作。第一操作是对请求服务的执行操作，例如，可以将请求发送给请求执行方，或者，若请求已发送给请求执行方时，则可以请求执行方进行执行。执行可以根据请求的具体内容确定，例如，请求为转人工客服，则执行的内容为转人工客服。在一些实施例中，若确定了对象的请求为不合法时，平台或系统则进行相应的第二操作，第二操作是对请求服务进行拦截的操作，例如，告知对象无法执行该请求，又例如，将该对象拉入黑名单等。

上述实施例，基于不同的验证路径，对登录状态的对象请求和非登录状态的对象请求，进行合法性验证；基于不同的验证路径，对有访问数据和无访问数据的对象的请求，进行合法性验证，实现非法请求的拦截。可以理解，针对不同情况的对象，执行合适验证路径，以提高验证的效率，以及尽可能地降低对对象地打扰，来实现请求的合法性验证。从前述可知，第四验证需要对象做出回应，仅对无访问数据的非登录对象才会直接使用第四验证。对于登录对象或者有访问数据的登录对象，均会先基于请求的数据或访问的数据先进行验证，在这些验证不成功的前提下，才会启动第四验证，尽可能减少对用户的干扰，从而提高了用户的体验。而且，非登录对象的访问轨迹数据通过合法验证后，会在对象的Cookies中种下令牌，该对象下次发起请求时，直接进行令牌验证即可，无需再对轨迹数据进行验证，提高了验证的效率。

图4是根据本说明书的一些实施例所示的基于对象的请求频次进行第三验证的方法的示例性流程图具体的，所述方法400可以由验证模块220执行。如图4所示，该方法400可以包括：

步骤410，判断所述对象的请求频次是否满足预设条件。具体的，该步骤410可以由验证模块220执行。

如前所述，对象的请求频次是指对象在预设时间内发起请求的次数。对象的请求频次的更多细节内容可以参见图3中步骤322的相关描述。

在一些实施例中，第三验证可以是通过判断对象的请求频次是否满足预设条件来验证请求的合法性。预设条件可以是指请求频次限制阈值或基于请求频次限制阈值进一步得到的其它条件。例如，预设条件为请求频次限制阈值是1s内请求3次，若对象的请求频次小于等于1s内请求3次，则该对象的请求频次满足预设条件，若对象的请求频次大于1s内请求3次，则该对象的请求频次不满足预设条件。

根据判断对象的请求频次是否满足预设条件的结果可以选择下一动作。具体地，若判断结果为对象的请求频次是满足预设条件，则得到所述对象的请求合法，则平台或系统执行第一操作，例如，将该请求发送给执行者，或对该请求进行执行等；若判断结果为对象的请求频次是不满足预设条件，则可以继续进行下一步骤420的过程。

步骤420，对所述对象进行第四验证，所述第四验证成功，则所述对象的请求合法，所述第四验证失败，则所述对象的请求不合法。具体的，该步骤420可以由验证模块220执行。

若判断结果为对象的请求频次是不满足预设条件，可以对对象进行进一步的验证（即第四验证），来进行请求的合法性验证。若第四验证成功，则该对象的请求为合法，若第四验证失败，则该对象的请求为不合法。具体地，第四验证可以是对对象获取其动作、文字、语音等反馈信息的验证，例如发送短信给对象获取短信回复进行验证、打电话给对象获取对象的语音回复进行验证、给对象下达动作指示获取动作反馈进行验证、发送验证码给对象获取对象反馈信息进行验证等等。第四验证一般需要对象参与交互。

在一些实施例中，第四验证可以采用验证码对对象进行验证，验证码可以包括文字验证码、图片验证码、语音验证码等。验证码验证成功，则第四验证通过，该对象的请求为合法，验证码验证失败，则第四验证失败，该对象的请求为不合法。

例如，第四验证采用图片验证码，在对象的访问页面或终端页面上显示该图片验证码，该图片验证码指示对象对图片进行滑动到指定位置或点击图片中指定位置，对象成功将图片滑动到指定位置或点击图片中指定位置，则验证成功。在实际应用中，用软件模拟对象请求的恶意攻击机器人很难识别出图片形式的问题内容，通过本实施例，可以有效过滤掉恶意攻击机器人的不合法请求。

在一些实施例中，验证码的形式可以随机出现，验证码上除了有效的验证码信息外可以随机的添加干扰信息，干扰信息可以被人工有效的过滤，而恶意攻击对象无法有效的过滤。例如，验证码以图片形式的数字发送到用户的对话窗口，要求用户识别，同时以不同的颜色、不同的倾斜角度来展示数字，或者为图片添加底色等。通过本实施例，可以增强过滤恶意攻击机器人的不合法请求的效果。

本说明书实施例还提供一种装置，其至少包括处理器以及存储器。所述存储器用于存储指令。当所述指令被所述处理器执行时，导致所述装置实现前述的对象请求合法性验证的方法。所述方法可以包括：获取对象的登录状态，根据所述登录状态对所述对象的请求进行合法性验证；其中，当所述登录状态为非登录时，基于所述请求的数据中的令牌进行第一验证，所述令牌基于所述对象的访问轨迹数据得到；若所述第一验证失败，则基于所述对象的访问轨迹数据进行第二验证，确定所述对象的请求是否合法。

上文已对基本概念做了描述，显然，对于本领域技术人员来说，上述详细披露仅仅作为示例，而并不构成对本说明书的限定。虽然此处并没有明确说明，本领域技术人员可能会对本说明书进行各种修改、改进和修正。该类修改、改进和修正在本说明书中被建议，所以该类修改、改进、修正仍属于本说明书示范实施例的精神和范围。

同时，本说明书使用了特定词语来描述本说明书的实施例。如“一个实施例”、“一实施例”、和/或“一些实施例”意指与本说明书至少一个实施例相关的某一特征、结构或特点。因此，应强调并注意的是，本说明书中在不同位置两次或多次提及的“一实施例”或“一个实施例”或“一个替代性实施例”并不一定是指同一实施例。此外，本说明书的一个或多个实施例中的某些特征、结构或特点可以进行适当的组合。

此外，本领域技术人员可以理解，本说明书的各方面可以通过若干具有可专利性的种类或情况进行说明和描述，包括任何新的和有用的工序、机器、产品或物质的组合，或对他们的任何新的和有用的改进。相应地，本说明书的各个方面可以完全由硬件执行、可以完全由软件（包括固件、常驻软件、微码等）执行、也可以由硬件和软件组合执行。以上硬件或软件均可被称为“数据块”、“模块”、“引擎”、“单元”、“组件”或“系统”。此外，本说明书的各方面可能表现为位于一个或多个计算机可读介质中的计算机产品，该产品包括计算机可读程序编码。

计算机存储介质可能包含一个内含有计算机程序编码的传播数据信号，例如在基带上或作为载波的一部分。该传播信号可能有多种表现形式，包括电磁形式、光形式等，或合适的组合形式。计算机存储介质可以是除计算机可读存储介质之外的任何计算机可读介质，该介质可以通过连接至一个指令执行系统、装置或设备以实现通讯、传播或传输供使用的程序。位于计算机存储介质上的程序编码可以通过任何合适的介质进行传播，包括无线电、电缆、光纤电缆、RF、或类似介质，或任何上述介质的组合。

本说明书各部分操作所需的计算机程序编码可以用任意一种或多种程序语言编写，包括面向对象编程语言如Java、Scala、Smalltalk、Eiffel、JADE、Emerald、C++、C#、VB.NET、Python等，常规程序化编程语言如C语言、Visual Basic、Fortran2003、Perl、COBOL2002、PHP、ABAP，动态编程语言如Python、Ruby和Groovy，或其他编程语言等。该程序编码可以完全在用户计算机上运行、或作为独立的软件包在用户计算机上运行、或部分在用户计算机上运行部分在远程计算机运行、或完全在远程计算机或处理设备上运行。在后种情况下，远程计算机可以通过任何网络形式与用户计算机连接，比如局域网（LAN）或广域网（WAN），或连接至外部计算机（例如通过因特网），或在云计算环境中，或作为服务使用如软件即服务（SaaS）。

此外，除非权利要求中明确说明，本说明书所述处理元素和序列的顺序、数字字母的使用、或其他名称的使用，并非用于限定本说明书流程和方法的顺序。尽管上述披露中通过各种示例讨论了一些目前认为有用的发明实施例，但应当理解的是，该类细节仅起到说明的目的，附加的权利要求并不仅限于披露的实施例，相反，权利要求旨在覆盖所有符合本说明书实施例实质和范围的修正和等价组合。例如，虽然以上所描述的系统组件可以通过硬件设备实现，但是也可以只通过软件的解决方案得以实现，如在现有的处理设备或移动设备上安装所描述的系统。

同理，应当注意的是，为了简化本说明书披露的表述，从而帮助对一个或多个发明实施例的理解，前文对本说明书实施例的描述中，有时会将多种特征归并至一个实施例、附图或对其的描述中。但是，这种披露方法并不意味着本说明书对象所需要的特征比权利要求中提及的特征多。实际上，实施例的特征要少于上述披露的单个实施例的全部特征。

一些实施例中使用了描述成分、属性数量的数字，应当理解的是，此类用于实施例描述的数字，在一些示例中使用了修饰词“大约”、“近似”或“大体上”来修饰。除非另外说明，“大约”、“近似”或“大体上”表明所述数字允许有±20%的变化。相应地，在一些实施例中，说明书和权利要求中使用的数值参数均为近似值，该近似值根据个别实施例所需特点可以发生改变。在一些实施例中，数值参数应考虑规定的有效数位并采用一般位数保留的方法。尽管本说明书一些实施例中用于确认其范围广度的数值域和参数为近似值，在具体实施例中，此类数值的设定在可行范围内尽可能精确。

针对本说明书引用的每个专利、专利申请、专利申请公开物和其他材料，如文章、书籍、说明书、出版物、文档等，特此将其全部内容并入本说明书作为参考。与本说明书内容不一致或产生冲突的申请历史文件除外，对本说明书权利要求最广范围有限制的文件（当前或之后附加于本说明书中的）也除外。需要说明的是，如果本说明书附属材料中的描述、定义、和/或术语的使用与本说明书所述内容有不一致或冲突的地方，以本说明书的描述、定义和/或术语的使用为准。

最后，应当理解的是，本说明书中所述实施例仅用以说明本说明书实施例的原则。其他的变形也可能属于本说明书的范围。因此，作为示例而非限制，本说明书实施例的替代配置可视为与本说明书的教导一致。相应地，本说明书的实施例不仅限于本说明书明确介绍和描述的实施例。

Claims (17)

1.一种对象请求合法性验证的方法，包括：

获取对象的登录状态，根据所述登录状态对所述对象的请求进行合法性验证；其中，

当所述登录状态为非登录时，基于所述请求的数据中的令牌进行第一验证，所述令牌基于所述对象的访问轨迹数据得到；

若所述第一验证失败，则基于所述对象的访问轨迹数据进行第二验证，确定所述对象的请求是否合法。

2.如权利要求1所述的方法，还包括：

若所述第一验证成功，则基于所述对象的请求频次进行第三验证，确定所述对象的请求是否合法。

3.如权利要求1所述的方法，还包括：

若所述第二验证确定所述对象的请求合法，则生成令牌并存入所述对象的终端。

4.如权利要求1所述的方法，所述当所述登录状态为非登录时，基于所述请求的数据中的令牌进行第一验证，包括：

判断所述请求的数据中是否包含令牌；

是则所述第一验证成功，否则所述第一验证失败。

5.如权利要求1所述的方法，还包括：

当所述登录状态为登录时，基于所述对象的请求频次进行第三验证，确定所述对象的请求是否合法。

6.如权利要求2或5所述的方法，所述基于所述对象的请求频次进行第三验证，确定所述对象的请求是否合法，包括：

判断所述对象的请求频次是否满足预设条件；

是则所述对象的请求合法；

否则对所述对象进行第四验证，所述第四验证成功，则所述对象的请求合法，所述第四验证失败，则所述对象的请求不合法；所述第四验证是需要对象进行回应的验证方式。

7.如权利要求1所述的方法，还包括：

当所述对象无访问轨迹数据时，对所述对象进行第四验证，所述第四验证成功，则所述对象的请求合法，所述第四验证失败，则所述对象的请求不合法。

8.如权利要求6所述的方法，所述对所述对象进行第四验证包括：

通过验证码对所述对象进行所述第四验证。

9.一种对象请求合法性验证的系统，包括：

获取模块，用于获取对象的登录状态；

验证模块，用于根据所述登录状态对所述对象的请求进行合法性验证；其中，

当所述登录状态为非登录时，基于所述请求的数据中的令牌进行第一验证，所述令牌基于所述对象的访问轨迹数据得到；

若所述第一验证失败，则基于所述对象的访问轨迹数据进行第二验证，确定所述对象的请求是否合法。

10.如权利要求9所述的系统，所述验证模块还用于：

若所述第一验证成功，则基于所述对象的请求频次进行第三验证，确定所述对象的请求是否合法。

11.如权利要求9所述的系统，还包括：

生成模块，用于若所述第二验证确定所述对象的请求合法，则生成令牌并存入所述对象的终端。

12.如权利要求9所述的系统，所述验证模块还用于：

判断所述请求的数据中是否包含令牌；

是则所述第一验证成功，否则所述第一验证失败。

13.如权利要求9所述的系统，所述验证模块还用于：

当所述登录状态为登录时，基于所述对象的请求频次进行第三验证，确定所述对象的请求是否合法。

14.如权利要求10或13所述的系统，所述验证模块还用于：

判断所述对象的请求频次是否满足预设条件；

是则所述对象的请求合法；

否则对所述对象进行第四验证，所述第四验证成功，则所述对象的请求合法，所述第四验证失败，则所述对象的请求不合法；所述第四验证是需要对象进行回应的验证方式。

15.如权利要求9所述的系统，所述验证模块还用于：

当所述对象无访问轨迹数据时，对所述对象进行第四验证，所述第四验证成功，则所述对象的请求合法，所述第四验证失败，则所述对象的请求不合法。

16.如权利要求14所述的系统，所述验证模块还用于：

通过验证码对所述对象进行所述第四验证。

17.一种对象请求合法性验证的装置，包括至少一个存储介质和至少一个处理器，所述至少一个存储介质用于存储计算机指令；所述至少一个处理器用于执行所述计算机指令以实现如权利要求1~8任一项所述的方法。

Images