CN113204772A - 数据处理方法、装置、系统、终端、服务器和存储介质 - Google Patents

Abstract

本发明提供了一种数据处理方法、装置、系统、终端、服务器和存储介质，该方法包括：拦截客户端向业务服务器发送的数据请求，并获取用户信息；对数据请求中的请求头和用户信息进行签名，得到签名信息，并对所述签名信息进行加密，得到签名信息密文，对请求头和所述用户信息进行加密，得到用户信息密文；对所述数据请求中的请求体和请求行进行加密，得到请求密文；根据所述签名信息密文、用户信息密文和所述请求密文，生成数据请求密文；将所述数据请求密文发送至所述业务服务器。本发明通过对数据请求中的请求头、请求体和请求行分别进行加密和解密，提高了业务服务器的业务接口的安全性。

Description

数据处理方法、装置、系统、终端、服务器和存储介质

技术领域

本发明涉及网络安全技术领域，特别是涉及一种数据处理方法、装置、系统、终端、服务器和存储介质。

背景技术

现有技术中，为了防止业务服务器的关键业务接口被黑产爬取数据，可以使用支持Https协议的业务接口，以实现隐私数据的加密传输，通过Https的数字证书与非对称加密技术，来保障数据安全。图1是现有技术中的数据传输的示意图，如图1所示，客户端使用Https协议向业务接口发送加密的业务请求，业务接口返回相应的响应数据。

接口支持Https协议可以实现加密传输，但是，攻击者依然可以通过中间人攻击的方式对接口进行破解。例如，攻击者可以直接使用常用的抓包工具charles进行接口请求模拟，从而获取与提交敏感数据。可见，现有技术仍然存在着业务接口安全性较低的问题。

发明内容

鉴于上述问题，提出了本发明实施例以便提供一种克服上述问题或者至少部分地解决上述问题的一种数据处理方法、装置、系统、终端、服务器和存储介质。

依据本发明的第一方面，提供了一种数据处理方法，包括：

拦截客户端向业务服务器发送的数据请求，并获取用户信息；

对所述数据请求中的请求头和所述用户信息进行签名，得到签名信息，并对所述签名信息进行加密，得到签名信息密文，对所述请求头和所述用户信息进行加密，得到用户信息密文；

对所述数据请求中的请求体和请求行进行加密，得到请求密文；

根据所述签名信息密文、用户信息密文和所述请求密文，生成数据请求密文；

将所述数据请求密文发送至所述业务服务器。

依据本发明的第二方面，提供了一种数据处理方法，包括：

拦截向业务服务器发送的数据请求密文；

解析所述数据请求密文，得到签名信息密文、用户信息密文和请求密文；

对所述签名信息密文进行解密，得到签名信息，并对所述用户信息密文进行解密，得到请求头和用户信息；

在对所述签名信息和所述用户信息验证成功后，对所述请求密文进行解密，得到请求体和请求行；

将所述请求头、请求体和请求行拼接为数据请求，并将所述数据请求发送至所述业务服务器。

依据本发明的第三方面，提供了一种数据处理装置，包括：

数据请求拦截模块，用于拦截客户端向业务服务器发送的数据请求，并获取用户信息；

签名加密模块，用于对所述数据请求中的请求头和所述用户信息进行签名，得到签名信息，并对所述签名信息进行加密，得到签名信息密文，对所述请求头和所述用户信息进行加密，得到用户信息密文；

数据请求加密模块，用于对所述数据请求中的请求体和请求行进行加密，得到请求密文；

请求密文生成模块，用于根据所述签名信息密文、用户信息密文和所述请求密文，生成数据请求密文；

请求密文发送模块，用于将所述数据请求密文发送至所述业务服务器。

依据本发明的第四方面，提供了一种数据处理装置，包括：

请求密文拦截模块，用于拦截向业务服务器发送的数据请求密文；

请求密文解析模块，用于解析所述数据请求密文，得到签名信息密文、用户信息密文和请求密文；

用户信息解密模块，用于对所述签名信息密文进行解密，得到签名信息，并对所述用户信息密文进行解密，得到请求头和用户信息；

请求密文解密模块，用于在对所述签名信息和所述用户信息验证成功后，对所述请求密文进行解密，得到请求体和请求行；

数据请求发送模块，用于将所述请求头、请求头和请求行拼接为数据请求，并将所述数据请求发送至所述业务服务器。

依据本发明的第五方面，还提供了一种终端，包括：处理器、存储器及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述计算机程序被所述处理器执行时实现如第一方面所述的数据处理方法。

依据本发明的第六方面，还提供了一种服务器，包括：处理器、存储器及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述计算机程序被所述处理器执行时实现如第二方面所述的数据处理方法。

依据本发明的第七方面，还提供了一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如第一方面所述的数据处理方法或者实现如第二方面所述的数据处理方法。

本发明提供的数据处理方法、装置、系统、终端、服务器和存储介质，通过在客户端和业务服务器之间，在客户端侧拦截客户端向业务服务器发送的数据请求，并获取用户信息，对数据请求中的请求头和用户信息进行签名和加密，并对请求体和请求行进行加密，生成数据请求密文，将数据请求密文发送至业务服务器，在业务服务器侧拦截数据请求密文，解析数据请求密文得到签名信息、用户信息密文和请求密文，对用户信息密文进行解密得到请求头和用户信息，在签名信息和用户信息验证成功后，对请求密文进行加密，得到请求体和请求行，将请求头、请求体和请求行拼接为数据请求，将数据请求发送至业务服务器，传输的数据为加密的数据，如果无法解密时则丢弃，从而提高了业务服务器的业务接口的安全性，而且对数据请求进行加密时，是分别对请求头、请求体和请求行进行加密，相对于整体加密方式，可以进一步提高安全性。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。

图1是现有技术中的数据传输的示意图；

图2是本发明实施例提供的一种数据处理方法的步骤流程图；

图3是本发明实施例提供的另一种数据处理方法的步骤流程图；

图4是本发明实施例提供的一种数据处理系统的结构示意图；

图5是本发明实施例提供的另一种数据处理方法的步骤流程图；

图6是本发明实施例提供的一种数据处理装置的结构框图；

图7是本发明实施例提供的另一种数据处理装置的结构框图；

图8为本发明实施例提供的一种终端的结构框图；

图9为本发明实施例提供的一种服务器的结构框图。

具体实施方式

下面将参照附图更详细地描述本发明的示例性实施例。虽然附图中显示了本发明的示例性实施例，然而应当理解，可以以各种形式实现本发明而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本发明，并且能够将本发明的范围完整的传达给本领域的技术人员。

图2是本发明实施例提供的一种数据处理方法的步骤流程图，该数据处理方法可以由客户端所在的用户终端(例如可以是手机、平板电脑、计算机等)执行，或者也可以由其他的硬件设备(如路由器等网关设备)执行，在该数据处理方法由客户端所在的用户终端执行时，该数据处理方法可以封装为SDK(Software Development Kit，软件开发工具包)的形式，该SDK可以称为加密SDK，并将所述加密SDK与客户端配置于同一用户终端中，这样，可以实现对客户端所对应的应用程序的无侵入接入，降低接入成本。加密SDK与客户端配置于同一用户终端中，使用用户终端的硬件来执行该数据处理方法，加密SDK相当于一个正向代理。当该数据处理方法由其他的硬件设备执行时，该硬件设备也相当于一个正向代理，从而实现对客户端所对应的应用程序无侵入接入。正向代理是一个位于客户端和原始服务器(origin server)之间的服务器，为了从原始服务器取得内容，客户端向正向代理发送一个请求并指定目标(原始服务器)，然后正向代理向原始服务器转交请求并将获得的内容返回给客户端。

如图2所示，该数据处理方法可以包括：

步骤201，拦截客户端向业务服务器发送的数据请求，并获取用户信息。

其中，所述数据请求可以是HTTPs请求。所述业务服务器为执行数据请求的服务器，用于实现相应的业务。

拦截客户端向业务服务器发送的数据请求，以便于对数据请求进行加密处理，并取出客户端启动时从业务服务器获取的存放在本地的用户信息(token)。

步骤202，对所述数据请求中的请求头和所述用户信息进行签名，得到签名信息，并对所述签名信息进行加密，得到签名信息密文，对所述请求头和所述用户信息进行加密，得到用户信息密文。

对数据请求进行解析，获取请求数据中的请求头(header参数)，判断请求头是否符合加密规则，若符合加密规则，则进行后续的加密处理，若不符合加密规则，则将数据请求发送至业务服务器。可以预先设置请求头中的加密参数，判断请求头是否符合加密规则时，判断请求头中是否包括预先设置的加密参数，若请求头中包括加密参数，则确定请求头符合加密规则，若请求头中不包括加密参数，则确定请求头不符合加密规则。

在需要对数据请求进行加密时，对数据请求中的请求头和用户信息进行签名，并对签名信息进行加密，可以采用栅栏加密方式对签名信息进行加密，得到签名信息密文，即将签名信息中的字符按照顺序分成预设组数，然后将预设组数的字符拼接在一起，得到签名信息密文。对请求头和用户信息进行加密时，可以首先采用异或加密方式进行第一次加密，得到第一加密用户信息，之后采用对称加密算法对第一加密用户信息再次进行加密，得到用户信息密文，可以将异或加密和对称加密算法的密钥拼接在用户信息密文中，或者采用与代理服务器预先约定的密钥进行加密。对请求头和用户信息进行签名可以采用MD5算法实现，即对请求头和用户信息计算MD5值，并计算MD5值的哈希值，得到签名信息，这样可以防止在数据传输过程中被篡改。其中，所述对称加密算法可以为Base64。

步骤203，对所述数据请求中的请求体和请求行进行加密，得到请求密文。

可以采用预先设置的加密算法对数据请求中的请求体(body参数)和请求行(query参数)进行加密，得到请求密文。

步骤204，根据所述签名信息密文、用户信息密文和所述请求密文，生成数据请求密文。

可以将签名信息密文、用户信息密文和请求密文使用预设分隔符拼接为一个字符串，得到数据请求密文。

在本发明的一个实施例中，对所述数据请求中的请求体和请求行进行加密，得到请求密文，包括：生成随机数，并对所述随机数进行加密，得到密钥密文；以所述随机数为AES密钥，对所述数据请求中的请求体和请求行进行AES加密，得到请求密文；

所述根据所述签名信息密文、用户信息密文和所述请求密文，生成数据请求密文，包括：根据所述签名信息密文、用户信息密文、密钥密文和所述请求密文，生成数据请求密文。

在对数据请求中的请求体和请求头进行加密时，可以采用AES(AdvancedEncryption Standard，高级加密标准)加密算法进行加密。AES加密算法为对称加密算法，即加密和解密使用相同的密钥。

在对数据请求中的请求体和请求头进行加密时，生成随机数，将该随机数作为AES密钥，为了避免密钥传输过程中被泄露，可以对该随机数进行加密，得到密钥密文。同时以随机数为AES密钥，对数据请求中的请求体和请求头进行AES加密，得到请求密文。在生成数据请求密文时，可以将签名信息密文、用户信息密文、密钥密文和请求密文共同生成数据请求密文。通过AES加密可以进一步提高数据请求传输过程中的安全性，而且AES密钥随机生成，每次加密都会生成不同的密钥，即使一次密钥泄露也不造成其他数据的泄露，进一步提高了数据传输过程中的安全性。

在一种可选的实施方式中，对所述随机数加密，得到密钥密文，包括：调用动态库对所述随机数进行加密，得到密钥密文。

其中，所述动态库是预先建立的包括加解密算法的库。动态库也称为动态链接库，动态链接提供了一种方法，使进程可以调用不属于其可执行代码的函数，动态链接库文件，是一种不可执行的二进制程序文件，它允许程序共享执行特殊任务所必需的代码和其他资源。

在对随机数进行加密时，调用动态库对随机数进行加密。加密SDK和代理服务器共享动态库，通过调用动态库来对AES密钥进行加密和解密，可以进一步提高AES密钥的安全性。

在一种可选的实施方式中，根据所述签名信息密文、用户信息密文、密钥密文和所述请求密文，生成数据请求密文，包括：以预设分隔符将所述签名信息密文、用户信息密文、密钥密文和所述请求密文拼接为一个字符串，得到所述数据请求密文。

在得到签名信息密文、用户信息密文、密钥密文和请求密文后，使用预设分隔符将签名信息密文、用户信息密文、密钥密文和所述请求密文拼接为一个完整的字符串，该字符串即为得到的数据请求密文。通过以预设分隔符将签名信息密文、用户信息密文、密钥密文和所述请求密文拼接为一个字符串，便于进行传输，而且可以进一步提高安全性。

步骤205，将所述数据请求密文发送至所述业务服务器。

本实施例提供的数据处理方法，通过拦截客户端向业务服务器发送的数据请求，并获取用户信息，对数据请求中的请求头和用户信息进行签名，得到签名信息，并对签名信息进行加密，得到签名信息密文，对请求头和用户信息进行加密，得到用户信息密文，对数据请求中的请求体和请求行进行加密，得到请求密文，根据签名信息密文、用户信息密文和请求密文生成数据请求密文，并将数据请求密文发送至业务服务器，由于通过拦截客户端发送的数据请求并对数据请求进行拆分，对请求头和用户信息进行签名后加密，可以防止数据在传输过程中被篡改，而且通过采用不同的加密方式分别对请求头、请求体、请求行进行加密，相对于传统的进行一次整体加密的方式，提高了数据的安全性，而且在通过加密SDK执行时，可以无侵入接入加密SDK，业务方不需要改造即可接入，降低接入成本。

在上述技术方案的基础上，在将所述数据请求密文发送至所述业务服务器之后，还包括：拦截业务服务器发送的响应密文，所述响应密文是根据所述AES密钥对业务服务器返回的响应明文进行AES加密得到的；以所述随机数为AES密钥，对所述响应密文进行AES解密，得到响应明文，并将所述响应明文发送至所述客户端。

在将数据请求密文发送至业务服务器时，业务服务器侧的数据处理装置(如代理服务器)会拦截数据请求密文，并对数据请求密文进行解密，获取数据请求的明文，将明文的数据请求发送至业务服务器，业务服务器执行数据请求中的业务逻辑，得到响应数据，并返回，业务服务器侧的数据处理装置使用解密数据请求密文时得到的AES密钥对响应数据进行AES加密，得到响应密文，并将响应密文发送至客户端。位于客户端侧执行该数据处理方法的电子设备(如加密SDK)拦截业务服务器发送的响应密文，以对请求体和请求行进行AES加密时作为AES密钥的随机数为AES密钥，对响应密文进行解密，得到响应明文，将响应明文发送至客户端。通过在对响应数据传输过程中传输通过随机密钥加密后的响应密文，可以提高响应数据的安全性，而且客户端侧的数据处理方法封装为加密SDK，业务服务器侧的数据处理装置配置于代理服务器时，通过加密SDK和代理服务器作为客户端和业务服务器之间的加密和解密装置，可以无侵入接入，降低接入成本，保证业务服务器的接口安全。

图3是本发明实施例提供的一种数据处理方法的步骤流程图，该数据处理方法可以由位于业务服务器侧的数据处理装置执行，所述数据处理装置可以配置于代理服务器中，所述代理服务器可以是独立于所述业务服务器的一个反向代理服务器，从而代理服务器对外就表现为业务服务器，发送至业务服务器的数据代理服务器都会拦截并进行处理，之后才发送至业务服务器，以提高业务服务器的安全性。反向代理，实际运行方式是指以代理服务器来接受网络(internet)上的连接请求，然后将请求转发给内部网络上的服务器，并将从服务器上得到的结果返回给网络上请求连接的客户端，此时代理服务器对外表现为一个服务器。如图3所示，该方法可以包括：

步骤301，拦截向业务服务器发送的数据请求密文。

拦截位于客户端侧的加密SDK或其他设备向业务服务器发送的数据请求密文，以执行签名验证和解密，并在签名验证和解密通过后向业务服务器发送明文的数据请求，并阻挡签名验证和解密失败的数据请求，以提高业务服务器的接口安全性。

步骤302，解析所述数据请求密文，得到签名信息密文、用户信息密文和请求密文。

解析数据请求密文，可以识别数据请求密文中的预设分隔符，并以预设分隔符分割数据请求密文，将数据请求密文分割为签名信息密文、用户信息密文和请求密文。

步骤303，对所述签名信息密文进行解密，得到签名信息，并对所述用户信息密文进行解密，得到请求头和用户信息。

在签名信息密文是通过栅栏加密方式加密得到时，对签名信息密文进行解密，首先将签名信息密文拆分为预设组数，可以基于签名信息密文中字符数量和预设组数确定每组中的字符数量，基于每组中的字符数量，将签名信息密文拆分为预设组数，之后将预设组数中的字符分别按照组的先后顺序将每个字符排列在一起，得到签名信息。对用户信息密文进行解密时，可以从用户信息密文中获取密钥，或者采用与加密SDK预先约定的密钥，对用户信息密文进行解密，得到请求头和用户信息。

步骤304，在对所述签名信息和所述用户信息验证成功后，对所述请求密文进行解密，得到请求体和请求行。

分别对签名信息和用户信息进行验证，若两者中有一种验证失败，则丢弃数据请求，保证业务服务器的安全性，在签名信息和用户信息均验证成功后，对请求密文进行解密，得到请求体和请求行。

在本发明的一个实施例中，解析所述数据请求密文，得到签名信息密文、用户信息密文和请求密文，包括：解析所述数据请求密文，得到签名信息密文、用户信息密文、密钥密文和请求密文；

对所述请求密文进行解密，得到请求体和请求行，包括：对所述密钥密文进行解密，得到AES密钥；根据所述AES密钥，对所述请求密文进行AES解密，得到请求体和请求行。

在采用AES加密对请求体和请求行进行加密时，数据请求密文中还包括密钥密文，这时解析数据请求密文，可以得到签名信息密文、用户信息密文、密钥密文和请求密文。对密钥密文进行解密，得到AES密钥，使用AES密钥对请求密文进行AES解密，得到请求体和请求行。通过使用随机生成的AES密钥对请求体和请求行进行加密和解密，可以进一步提高请求数据的安全性。

在一种可选的实施方式中，解析所述数据请求密文，得到签名信息密文、用户信息密文、密钥密文和请求密文，包括：识别所述数据请求密文中的预设分隔符；根据所述预设分隔符，将所述数据请求密文分割为签名信息密文、用户信息密文、密钥密文和请求密文。

数据请求密文为一个字符串的形式，识别该数据请求密文中的预设分隔符，通过预设分隔符来分割数据请求密文，根据签名信息密文、用户信息密文、密钥密文和请求密文的拼接顺序，将数据请求密文分割为签名信息密文、用户信息密文、密钥密文和请求密文。通过预设分隔符可以明确的分割不同的信息，若该信息被其他攻击者拦截到也无法准确拆分出其中的信息，从而可以进一步提高各种信息的安全性。

在一种可选的实施方式中，所述对所述密钥密文进行解密，得到AES密钥，包括：调用动态库对所述密钥密文进行解密，得到AES密钥。

其中，所述动态库是预先建立的包括加解密算法的库。动态库也称为动态链接库，动态链接提供了一种方法，使进程可以调用不属于其可执行代码的函数，动态链接库文件，是一种不可执行的二进制程序文件，它允许程序共享执行特殊任务所必需的代码和其他资源。

在对密钥密文进行解密时，调用动态库对密钥密文进行解密。客户端侧执行数据处理方法的设备(如加密SDK)和服务器侧执行数据处理方法的设备(如代理服务器)共享动态库，通过调用动态库来对AES密钥进行加密和解密，可以进一步提高AES密钥的安全性。

步骤305，将所述请求头、请求体和请求行拼接为数据请求，并将所述数据请求发送至所述业务服务器。

在解密得到请求头、请求体和请求行后，按照HTTPs协议，将请求头、请求体和请求行拼接为明文的数据请求，并将明文的数据请求发送至业务服务器，由业务服务器执行业务逻辑，得到响应明文。

本实施例提供的数据解密方法，通过拦截向业务服务器发送的数据请求密文，解析数据请求密文，得到签名信息密文、用户信息密文和请求密文，对签名信息密文进行解密，得到签名信息，并对用户信息密文进行解密，得到请求头和用户信息，在签名信息和用户信息验证成功后，对请求密文进行解密，得到请求体和请求行，将请求头、请求体和请求行拼接为数据请求，并将数据请求发送至业务服务器，由于通过拦截向业务服务器发送的数据请求，并进行签名验证和解密，在验证和解密通过后才向业务服务器发送，提高了业务服务器的业务接口安全性，而且在通过代理服务器执行时，代理服务器可以无侵入接入客户端和业务服务器之间，降低了接入成本，业务方不需进行改造即可保证业务接口安全，代理服务器对外表现为业务服务器的形式，从而进一步提高了业务服务器的安全性。

在上述技术方案的基础上，还包括：拦截所述业务服务器返回的响应明文，并根据所述AES密钥，对所述响应明文进行AES加密，得到响应密文；将所述响应密文发送至客户端。

在将明文的数据请求发送至业务服务器后，业务服务器会执行数据请求中的业务逻辑，得到响应明文，并返回响应明文，这时位于业务服务器侧的数据处理装置(如代理服务器)拦截业务服务器返回的响应明文，并根据AES密钥，对响应明文进行AES加密，得到响应密文，将响应密文发送至客户端。通过将响应明文加密后发送至客户端，保证响应数据的安全性。

图4是本发明实施例提供的一种数据处理系统的结构示意图，如图4所示，数据处理系统41位于客户端42和业务服务器43之间，数据处理系统41包括加密SDK 411和代理服务器412，加密SDK 411位于客户端42侧，代理服务器412位于业务服务器43侧。客户端42向业务服务器43发送数据请求，加密SDK 411拦截客户端42发送的数据请求，对数据请求进行加密，并将加密得到的数据请求密文发送至业务服务器43；代理服务器412拦截加密SDK411向业务服务器43发送的数据请求密文，对数据请求密文进行解密，将解密后得到的数据请求的明文发送至业务服务器43；代理服务器412拦截业务服务器43返回的响应数据，并对响应数据加密，将加密后得到的响应密文发送至客户端42；加密SDK411拦截代理服务器发送的响应密文，对响应密文进行解密，得到响应明文，将响应明文发送至客户端42。下面是加密SDK 411和代理服务器412执行数据处理方法的过程。

图5是本发明实施例提供的一种数据处理方法的步骤流程图，如图5所示，该数据处理方法由加密SDK 411和代理服务器412执行，该方法包括：

步骤501，加密SDK拦截客户端向业务服务器发送的数据请求，并获取用户信息。

步骤502，加密SDK对所述数据请求中的请求头和所述用户信息进行签名，得到签名信息，并对所述签名信息进行加密，得到签名信息密文，对所述请求头和所述用户信息进行加密，得到用户信息密文。

步骤503，加密SDK对所述数据请求中的请求体和请求行进行加密，得到请求密文。

步骤504，加密SDK根据所述签名信息密文、用户信息密文和所述请求密文，生成数据请求密文，将所述数据请求密文发送至所述业务服务器。

步骤505，代理服务器拦截向业务服务器发送的数据请求密文，解析所述数据请求密文，得到签名信息密文、用户信息密文和请求密文；

步骤506，代理服务器对所述签名信息密文进行解密，得到签名信息，并对所述用户信息密文进行解密，得到请求头和用户信息；

步骤507，代理服务器在对所述签名信息和所述用户信息验证成功后，对所述请求密文进行解密，得到请求体和请求行；

步骤508，代理服务器将所述请求头、请求体和请求行拼接为数据请求，并将所述数据请求发送至所述业务服务器。

上述各步骤的具体执行方式参见上述实施例，这里不再赘述。

需要说明的是，在代理服务器将所述请求头、请求体和请求行拼接为数据请求，并将所述数据请求发送至所述业务服务器之后，该数据处理方法还包括：代理服务器拦截所述业务服务器返回的响应明文，并根据所述AES密钥，对所述响应明文进行AES加密，得到响应密文，将所述响应密文发送至客户端；加密SDK拦截业务服务器发送的响应密文，以所述随机数为AES密钥，对所述响应密文进行AES解密，得到响应明文，并将所述响应明文发送至所述客户端。

本发明实施例提供的数据处理方法，通过位于客户端侧的加密SDK对数据请求进行加密，将得到的数据请求密文发送至业务服务器，位于业务服务器侧的代理服务器拦截数据请求密文，并对数据请求密文解密，将解密后得到的数据请求发送至业务服务器，从而提高了业务服务器的安全性，而且加密SDK和代理服务器均可以无侵入的接入客户端和业务服务器之间，业务方不需进行改造即可保证业务接口安全，降低了接入成本，而且代理服务器是一个反向代理，对外表现为业务服务器的形式，隐藏了业务服务器，从而进一步提高了业务服务器的安全性。

需要说明的是，对于方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明实施例并不受所描述的动作顺序的限制，因为依据本发明实施例，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作并不一定是本发明实施例所必须的。

图6是本发明实施例提供的一种数据处理装置的结构框图，该数据处理装置可以配置于客户端所在的用户终端(例如可以是手机、平板电脑、计算机等)中，或者也可以配置于其他的硬件设备(如路由器等网关设备)中，在该数据处理装置配置于用户终端时，该数据处理装置为SDK的形式，该SDK可以称为加密SDK，所述加密SDK与客户端配置于同一用户终端中，这样，可以实现对客户端所对应的应用程序的无侵入接入，降低接入成本。如图6所示，该数据处理装置可以包括：

数据请求拦截模块601，用于拦截客户端向业务服务器发送的数据请求，并获取用户信息；

签名加密模块602，用于对所述数据请求中的请求头和所述用户信息进行签名，得到签名信息，并对所述签名信息进行加密，得到签名信息密文，对所述请求头和所述用户信息进行加密，得到用户信息密文；

数据请求加密模块603，用于对所述数据请求中的请求体和请求行进行加密，得到请求密文；

请求密文生成模块604，用于根据所述签名信息密文、用户信息密文和所述请求密文，生成数据请求密文；

请求密文发送模块605，用于将所述数据请求密文发送至所述业务服务器。

可选的，所述数据请求加密模块包括：

密钥加密单元，用于生成随机数，并对所述随机数进行加密，得到密钥密文；

数据请求加密单元，用于以所述随机数为AES密钥，对所述数据请求中的请求体和请求行进行AES加密，得到请求密文；

所述请求密文生成模块具体用于：

根据所述签名信息密文、用户信息密文、密钥密文和所述请求密文，生成数据请求密文。

可选的，所述密钥加密单元具体用于：

调用动态库对所述随机数进行加密，得到密钥密文。

可选的，所述装置还包括：

响应密文拦截模块，用于拦截业务服务器发送的响应密文，所述响应密文是根据所述AES密钥对业务服务器返回的响应明文进行AES加密得到的；

响应密文解密模块，用于以所述随机数为AES密钥，对所述响应密文进行AES解密，得到响应明文，并将所述响应明文发送至所述客户端。

可选的，所述请求密文生成模块具体用于：

以预设分隔符将所述签名信息密文、用户信息密文、密钥密文和所述请求密文拼接为一个字符串，得到所述数据请求密文。

本实施例提供的数据处理装置，通过拦截客户端向业务服务器发送的数据请求，并获取用户信息，对数据请求中的请求头和用户信息进行签名，得到签名信息，并对请求头和用户信息进行加密，得到用户信息密文，对数据请求中的请求体和请求行进行加密，得到请求密文，根据签名信息、用户信息密文和请求密文生成数据请求密文，并将数据请求密文发送至业务服务器，由于通过拦截客户端发送的数据请求并对数据请求进行拆分，对请求头和用户信息进行签名后加密，可以防止数据在传输过程中被篡改，而且通过分别对请求头、请求体、请求行进行加密，而不是进行整体加密，相对于传统的整体加密方式，提高了数据的安全性，而且在该数据处理装置表现为加密SDK时，可以无侵入接入加密SDK，业务方不需要改造即可接入，降低接入成本。

图7是本发明实施例提供的一种数据处理装置的结构框图，该数据处理装置位于业务服务器侧，可以配置于代理服务器中，所述代理服务器可以是独立于所述业务服务器的一个反向代理服务器，从而代理服务器对外就表现为业务服务器，发送至业务服务器的数据代理服务器都会拦截并进行处理，之后才发送至业务服务器，以提高业务服务器的安全性。如图7所示，该数据处理装置可以包括：

请求密文拦截模块701，用于拦截向业务服务器发送的数据请求密文；

请求密文解析模块702，用于解析所述数据请求密文，得到签名信息密文、用户信息密文和请求密文；

用户信息解密模块703，用于对所述签名信息密文进行解密，得到签名信息，并对所述用户信息密文进行解密，得到请求头和用户信息；

请求密文解密模块704，用于在对所述签名信息和所述用户信息验证成功后，对所述请求密文进行解密，得到请求体和请求行；

数据请求发送模块705，用于将所述请求头、请求头和请求行拼接为数据请求，并将所述数据请求发送至所述业务服务器。

可选的，所述请求密文解析模块包括：

请求密文解析单元，用于解析所述数据请求密文，得到签名信息密文、用户信息密文、密钥密文和请求密文；

所述请求密文解密模块包括：

密钥密文解密单元，用于对所述密钥密文进行解密，得到AES密钥；

请求密文解密单元，用于根据所述AES密钥，对所述请求密文进行AES解密，得到请求体和请求行。

可选的，所述请求密文解析单元具体用于：

识别所述数据请求密文中的预设分隔符；

根据所述预设分隔符，将所述数据请求密文分割为签名信息密文、用户信息密文、密钥密文和请求密文。

可选的，所述装置还包括：

响应明文加密模块，用于拦截所述业务服务器返回的响应明文，并根据所述AES密钥，对所述响应明文进行AES加密，得到响应密文；

响应密文发送模块，用于将所述响应密文发送至客户端。

可选的，所述密钥密文解密单元具体用于：

调用动态库对所述密钥密文进行解密，得到AES密钥。

本实施例提供的数据处理装置，通过拦截向业务服务器发送的数据请求密文，解析数据请求密文，得到签名信息、用户信息密文和请求密文，对用户信息密文进行解密，得到请求头和用户信息，在签名信息和用户信息验证成功后，对请求密文进行解密，得到请求体和请求行，将请求头、请求体和请求行拼接为数据请求，并将数据请求发送至业务服务器，由于通过拦截向业务服务器发送的数据请求，并进行签名验证和解密，在验证和解密通过后才向业务服务器发送，提高了业务服务器的业务接口安全性，而且该数据处理装置配置于代理服务器时，可以无侵入接入客户端和业务服务器之间，降低了接入成本，业务方不需进行改造即可保证业务接口安全，代理服务器对外表现为业务服务器的形式，隐藏了业务服务器，从而进一步提高了业务服务器的安全性。

图8为本发明实施例提供的一种终端的结构框图。如图8所示，该终端800可以包括一个或多个处理器801以及与处理器801连接的一个或多个存储器802。终端800还可以包括输入接口803和输出接口804，用于与另一装置或系统进行通信。被处理器801的CPU执行的程序代码可存储在存储器802中。

终端800中的处理器801调用存储在存储器802的程序代码，以执行上述实施例中的数据处理方法。

上述终端中的上述元件可通过总线彼此连接，总线例如数据总线、地址总线、控制总线、扩展总线和局部总线之一或其任意组合。

图9为本发明实施例提供的一种服务器的结构框图。如图9所示，该服务器900可以包括一个或多个处理器901以及与处理器901连接的一个或多个存储器902。服务器900还可以包括输入接口903和输出接口904，用于与另一装置或系统进行通信。被处理器901的CPU执行的程序代码可存储在存储器902中。

服务器900中的处理器901调用存储在存储器902的程序代码，以执行上述实施例中的数据处理方法。

上述终端中的上述元件可通过总线彼此连接，总线例如数据总线、地址总线、控制总线、扩展总线和局部总线之一或其任意组合。

根据本发明的一个实施例，还提供了一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，存储介质可以是只读存储器(Read-Only Memory，ROM)，或是可读写的，例如硬盘、闪存。所述计算机程序被处理器执行时实现前述实施例的数据加密方法或者数据解密方法。

本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。

本领域内的技术人员应明白，本发明实施例的实施例可提供为方法、装置、或计算机程序产品。因此，本发明实施例可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明实施例是参照根据本发明实施例的方法、终端设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理终端设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理终端设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理终端设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理终端设备上，使得在计算机或其他可编程终端设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程终端设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明实施例的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明实施例范围的所有变更和修改。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者终端设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者终端设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者终端设备中还存在另外的相同要素。

以上对本发明所提供的一种数据处理方法、装置、系统、终端、服务器和存储介质，进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (16)

1.一种数据处理方法，其特征在于，包括：

拦截客户端向业务服务器发送的数据请求，并获取用户信息；

对所述数据请求中的请求头和所述用户信息进行签名，得到签名信息，并对所述签名信息进行加密，得到签名信息密文，对所述请求头和所述用户信息进行加密，得到用户信息密文；

对所述数据请求中的请求体和请求行进行加密，得到请求密文；

根据所述签名信息密文、用户信息密文和所述请求密文，生成数据请求密文；

将所述数据请求密文发送至所述业务服务器。

2.根据权利要求1所述的方法，其特征在于，对所述数据请求中的请求体和请求行进行加密，得到请求密文，包括：

生成随机数，并对所述随机数进行加密，得到密钥密文；

以所述随机数为AES密钥，对所述数据请求中的请求体和请求行进行AES加密，得到请求密文；

所述根据所述签名信息密文、用户信息密文和所述请求密文，生成数据请求密文，包括：

根据所述签名信息密文、用户信息密文、密钥密文和所述请求密文，生成数据请求密文。

3.根据权利要求2所述的方法，其特征在于，对所述随机数加密，得到密钥密文，包括：

调用动态库对所述随机数进行加密，得到密钥密文。

4.根据权利要求2所述的方法，其特征在于，在将所述数据请求密文发送至所述业务服务器之后，还包括：

拦截业务服务器发送的响应密文，所述响应密文是根据所述AES密钥对业务服务器返回的响应明文进行AES加密得到的；

以所述随机数为AES密钥，对所述响应密文进行AES解密，得到响应明文，并将所述响应明文发送至所述客户端。

5.根据权利要求2所述的方法，其特征在于，根据所述签名信息密文、用户信息密文、密钥密文和所述请求密文，生成数据请求密文，包括：

以预设分隔符将所述签名信息密文、用户信息密文、密钥密文和所述请求密文拼接为一个字符串，得到所述数据请求密文。

6.一种数据处理方法，其特征在于，包括：

拦截向业务服务器发送的数据请求密文；

解析所述数据请求密文，得到签名信息密文、用户信息密文和请求密文；

对所述签名信息密文进行解密，得到签名信息，并对所述用户信息密文进行解密，得到请求头和用户信息；

在对所述签名信息和所述用户信息验证成功后，对所述请求密文进行解密，得到请求体和请求行；

将所述请求头、请求体和请求行拼接为数据请求，并将所述数据请求发送至所述业务服务器。

7.根据权利要求6所述的方法，其特征在于，解析所述数据请求密文，得到签名信息密文、用户信息密文和请求密文，包括：

解析所述数据请求密文，得到签名信息密文、用户信息密文、密钥密文和请求密文；

对所述请求密文进行解密，得到请求体和请求行，包括：

对所述密钥密文进行解密，得到AES密钥；

根据所述AES密钥，对所述请求密文进行AES解密，得到请求体和请求行。

8.根据权利要求7所述的方法，其特征在于，解析所述数据请求密文，得到签名信息密文、用户信息密文、密钥密文和请求密文，包括：

识别所述数据请求密文中的预设分隔符；

根据所述预设分隔符，将所述数据请求密文分割为签名信息密文、用户信息密文、密钥密文和请求密文。

9.根据权利要求7所述的方法，其特征在于，还包括：

拦截所述业务服务器返回的响应明文，并根据所述AES密钥，对所述响应明文进行AES加密，得到响应密文；

将所述响应密文发送至客户端。

10.根据权利要求7所述的方法，其特征在于，所述对所述密钥密文进行解密，得到AES密钥，包括：

调用动态库对所述密钥密文进行解密，得到AES密钥。

11.一种数据处理装置，其特征在于，包括：

数据请求拦截模块，用于拦截客户端向业务服务器发送的数据请求，并获取用户信息；

签名加密模块，用于对所述数据请求中的请求头和所述用户信息进行签名，得到签名信息，并对所述签名信息进行加密，得到签名信息密文，对所述请求头和所述用户信息进行加密，得到用户信息密文；

数据请求加密模块，用于对所述数据请求中的请求体和请求行进行加密，得到请求密文；

请求密文生成模块，用于根据所述签名信息密文、用户信息密文和所述请求密文，生成数据请求密文；

请求密文发送模块，用于将所述数据请求密文发送至所述业务服务器。

12.一种数据处理装置，其特征在于，包括：

请求密文拦截模块，用于拦截向业务服务器发送的数据请求密文；

请求密文解析模块，用于解析所述数据请求密文，得到签名信息密文、用户信息密文和请求密文；

用户信息解密模块，用于对所述签名信息密文进行解密，得到签名信息，并对所述用户信息密文进行解密，得到请求头和用户信息；

请求密文解密模块，用于在对所述签名信息和所述用户信息验证成功后，对所述请求密文进行解密，得到请求体和请求行；

数据请求发送模块，用于将所述请求头、请求头和请求行拼接为数据请求，并将所述数据请求发送至所述业务服务器。

13.一种数据处理系统，其特征在于，包括：

加密SDK，与客户端共同配置于用户终端中，用于执行权利要求1-5任一项所述的数据处理方法；

代理服务器，用于执行如权利要求6-10任一项所述的数据处理方法。

14.一种终端，其特征在于，包括：处理器、存储器及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述计算机程序被所述处理器执行时实现如权利要求1-5任一项所述的数据处理方法。

15.一种服务器，其特征在于，包括：处理器、存储器及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述计算机程序被所述处理器执行时实现如权利要求6-10任一项所述的数据处理方法。

16.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1-5任一项所述的数据处理方法，或者实现如权利要求6-10任一项所述的数据处理方法。

Images