CN113343155A - 一种请求处理方法及装置 - Google Patents
一种请求处理方法及装置 Download PDFInfo
- Publication number
- CN113343155A CN113343155A CN202110730317.0A CN202110730317A CN113343155A CN 113343155 A CN113343155 A CN 113343155A CN 202110730317 A CN202110730317 A CN 202110730317A CN 113343155 A CN113343155 A CN 113343155A
- Authority
- CN
- China
- Prior art keywords
- certificate
- target
- event
- strategy
- access request
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000003672 processing method Methods 0.000 title claims abstract description 17
- 238000012545 processing Methods 0.000 claims abstract description 116
- 238000000034 method Methods 0.000 claims abstract description 27
- 238000004590 computer program Methods 0.000 claims description 9
- 230000008569 process Effects 0.000 claims description 9
- 230000005540 biological transmission Effects 0.000 claims description 8
- 230000002159 abnormal effect Effects 0.000 claims description 5
- 239000000126 substance Substances 0.000 claims description 3
- 230000009286 beneficial effect Effects 0.000 abstract description 2
- 230000000875 corresponding effect Effects 0.000 description 167
- 230000000903 blocking effect Effects 0.000 description 20
- 230000009471 action Effects 0.000 description 18
- 230000008859 change Effects 0.000 description 12
- 238000010586 diagram Methods 0.000 description 11
- 238000004891 communication Methods 0.000 description 7
- 230000006399 behavior Effects 0.000 description 6
- 230000006870 function Effects 0.000 description 6
- 230000003578 releasing effect Effects 0.000 description 6
- 230000003287 optical effect Effects 0.000 description 4
- 230000004048 modification Effects 0.000 description 3
- 238000012986 modification Methods 0.000 description 3
- 230000008901 benefit Effects 0.000 description 2
- 239000000835 fiber Substances 0.000 description 2
- 230000000644 propagated effect Effects 0.000 description 2
- 239000004065 semiconductor Substances 0.000 description 2
- 238000010276 construction Methods 0.000 description 1
- 238000013461 design Methods 0.000 description 1
- 230000000694 effects Effects 0.000 description 1
- 238000005516 engineering process Methods 0.000 description 1
- 230000008676 import Effects 0.000 description 1
- 230000006872 improvement Effects 0.000 description 1
- 239000004973 liquid crystal related substance Substances 0.000 description 1
- 238000012544 monitoring process Methods 0.000 description 1
- 239000013307 optical fiber Substances 0.000 description 1
- 238000006467 substitution reaction Methods 0.000 description 1
- 238000012795 verification Methods 0.000 description 1
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
- G06F16/90—Details of database functions independent of the retrieved data types
- G06F16/95—Retrieval from the web
- G06F16/958—Organisation or management of web site content, e.g. publishing, maintaining pages or automatic linking
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/60—Protecting data
- G06F21/64—Protecting data integrity, e.g. using checksums, certificates or signatures
Abstract
本发明公开了一种请求处理方法及装置，涉及计算机技术领域。该方法的一具体实施方式包括：获取客户端发送的访问请求，所述访问请求指示了待连接的目标服务器；确定所述目标服务器对应的目标网站、以及所述目标网站对应的目标证书；根据预设处理策略，确定所述目标证书对应的目标证书事件策略；所述预设处理策略包括：一个或多个网站标识分别对应的一个或多个证书、以及所述一个或多个证书分别对应的一个或多个证书事件策略；根据所述目标证书事件策略，对所述访问请求进行处理。该实施方式能够降低处理策略的管理难度，有利于提高代理服务器的运行性能。
Description
技术领域
本发明涉及计算机技术领域，尤其涉及一种请求处理方法及装置。
背景技术
为了保证互联网环境中的数据安全，经常会对出口流量等数据进行监控，以进一步对上网行为进行管理。
在监控过程中，对于某些特殊情况会进行相应的配置。例如，对于需要进行证书验证的客户端请求，针对客户端请求中的每一个目的IP或者目的域名，均配置有对应的处理规则，以保证业务正常进行。
在实现本发明过程中，发明人发现现有技术中至少存在如下问题：
对于不同客户端发送的针对同一网站的请求，每次解析出的目的IP或目的域名也可能有所不同，因此在配置时需要针对同一网站对应的多个目的IP或目的域名分别进行配置，这提高了处理规则的管理难度，并且可能降低服务器的运行性能。
发明内容
有鉴于此，本发明实施例提供一种请求处理方法及装置，能够降低处理策略的管理难度，有利于提高代理服务器的运行性能。
为实现上述目的，根据本发明实施例的一个方面，提供了一种请求处理方法。
本发明实施例的一种请求处理方法应用于代理服务器时包括：
获取客户端发送的访问请求，所述访问请求指示了待连接的目标服务器；
确定所述目标服务器对应的目标网站、以及所述目标网站对应的目标证书；
根据预设处理策略，确定所述目标证书对应的目标证书事件策略；所述预设处理策略包括：一个或多个网站标识分别对应的一个或多个证书、以及所述一个或多个证书分别对应的一个或多个证书事件策略；
根据所述目标证书事件策略，对所述访问请求进行处理。
可选地，根据所述预设处理策略，确定本地是否存储有所述目标网站对应的第一证书；
如果是，将所述第一证书作为所述目标证书；
如果否，根据与所述目标服务器建立的SSL连接，获取所述目标服务器对应的第二证书；将所述第二证书作为所述目标证书。
可选地，在本地未存储有所述第一证书的情况下，所述根据预设处理策略，确定所述目标证书对应的目标证书事件策略，包括：
将所述第二证书作为哈希算法的输入，得到所述第二证书对应的摘要值；
将所述摘要值与所述预设处理策略包括的网站标识进行匹配，在匹配成功的情况下，将匹配成功的所述网站标识所对应的证书事件策略作为所述目标证书事件策略。
可选地，在所述摘要值与所述处理策略中的网站标识匹配失败的情况下，
根据所述摘要值生成所述目标证书对应的证书事件，并根据预设策略配置所述证书事件对应的证书事件策略。
可选地，所述根据预设处理策略，确定所述目标证书对应的目标证书事件策略，包括：
确定所述第二证书对应的证书链，所述证书链指示了所述第二证书对应的一个或多个上级证书；
根据所述预设处理策略，确定所述上级证书对应的证书事件策略，并将所述上级证书对应的所述证书事件策略作为所述目标事件策略。
可选地，在确定所述目标服务器对应的目标网站、以及所述目标网站对应的目标证书之前，还包括：
与所述目标服务器建立SSL连接，并基于所述SSL连接确定所述访问请求是否需要客户端证书；
如果是，根据所述客户端对应的访问方式对所述访问请求进行处理；
如果否，将所述访问请求转发给所述目标服务器。
可选地，所述根据所述客户端对应的访问方式对所述访问请求进行处理，包括：
在所述访问方式为透传方式的情况下，将所述访问请求转发给所述目标服务器；以及
在再次接收到所述客户端发送的访问请求时，将所述访问请求转发给所述目标服务器。
可选地，所述根据所述客户端对应的访问方式对所述访问请求进行处理，包括：
在所述访问方式为与证书事件策略对应的方式时，根据与所述目标服务器建立的SSL连接，获取所述目标服务器对应的第二证书；
将所述第二证书作为哈希算法的输入，得到所述第二证书对应的摘要值；
根据所述摘要值生成所述目标证书对应的证书事件，并根据预设策略配置所述证书事件对应的证书事件策略。
可选地，在获取所述目标服务器对应的第二证书之后，还包括：
对所述第二证书进行验证；
当验证出所述第二证书存在异常时，生成所述证书事件，并根据预设策略配置所述证书事件对应的证书事件策略。
为实现上述目的，根据本发明实施例的又一方面，提供了一种请求处理装置。
本发明实施例的一种请求处理装置包括：请求获取模块、证书确定模块、策略确定模块和处理模块；其中，
所述请求获取模块，用于获取客户端发送的访问请求，所述访问请求指示了待连接的目标服务器；
所述证书确定模块，用于确定所述目标服务器对应的目标网站、以及所述目标网站对应的目标证书；
所述策略确定模块，用于根据预设处理策略，确定所述目标证书对应的目标证书事件策略；所述预设处理策略包括：一个或多个网站标识分别对应的一个或多个证书、以及所述一个或多个证书分别对应的一个或多个证书事件策略；
所述处理模块，用于根据所述目标证书事件策略，对所述访问请求进行处理。
为实现上述目的，根据本发明实施例的又一方面，提供了一种处理请求的电子设备。
本发明实施例的一种处理请求的电子设备包括：一个或多个处理器；存储装置，用于存储一个或多个程序，当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现本发明实施例的一种请求处理方法。
为实现上述目的，根据本发明实施例的再一方面，提供了一种计算机可读存储介质。
本发明实施例的一种计算机可读存储介质，其上存储有计算机程序，所述程序被处理器执行时实现本发明实施例的一种请求处理方法。
上述发明中的一个实施例具有如下优点或有益效果：根据网站标识、访问网站所需的证书以及证书对应的证书事件策略，预先配置处理策略；在获取到客户端的访问请求时，根据访问请求所指示的目标服务器对应的目标网站，通过预设的处理策略中的网站标识确定目标网站所需目标证书对应的证书事件策略，然后根据目标证书事件策略对访问请求进行处理。由此，根据网站标识配置处理策略，避免了同一网站对应于不同目的IP或目的域名时处理策略的冗余配置，降低了处理策略的管理难度，并有利于提高代理服务器的运行性能。并且，根据网站标识可以快速地确定出访问请求所对应的目标证书事件策略，也有利于提高访问请求的处理效率。
上述的非惯用的可选方式所具有的进一步效果将在下文中结合具体实施方式加以说明。
附图说明
附图用于更好地理解本发明，不构成对本发明的不当限定。其中：
图1是根据本发明实施例的一种请求处理方法的主要步骤的示意图；
图2是根据本发明实施例的一种请求处理装置的主要模块的示意图；
图3是本发明实施例可以应用于其中的示例性系统架构图；
图4是适于用来实现本发明实施例的终端设备或服务器的计算机系统的结构示意图。
具体实施方式
以下结合附图对本发明的示范性实施例做出说明，其中包括本发明实施例的各种细节以助于理解，应当将它们认为仅仅是示范性的。因此，本领域普通技术人员应当认识到，可以对这里描述的实施例做出各种改变和修改，而不会背离本发明的范围和精神。同样，为了清楚和简明，以下的描述中省略了对公知功能和结构的描述。
需要指出的是，在不冲突的情况下，本发明的实施例以及实施例中的技术特征可以相互结合。
本发明实施例提供的请求处理方法可以应用于中间人攻击场景，例如，为了保护企业的数据安全，可以通过代理服务器拦截客户端发送给目标服务器的访问请求，以对企业的出口流量进行监控，进而对企业中的上网行为进行管理。
图1是根据本发明实施例的一种请求处理方法的主要步骤的示意图。
如图1所示，本发明实施例的一种请求处理方法应用于代理服务器时主要包括以下步骤：
步骤S101：获取客户端发送的访问请求，所述访问请求指示了待连接的目标服务器。
在这里，代理服务器可以通过中间人攻击拦截客户端所发送的请求，以获取客户端发起的访问请求。该访问请求可以是客户端发起的针对目标服务器的SSL((SecureSockets Layer安全套接字协议))握手请求，通过网络配置可以将流量挟持至代理服务器，代理服务器后续可根据该SSL握手请求建立与目标服务器的SSL连接。
可以理解的是，该访问请求携带有目标服务器对应的IP地址、域名和/或其他对应于目标服务器的标识信息，代理服务器可以通过解析访问请求确定该访问请求所指示的目标服务器。
代理服务器确定出访问请求指示的目标服务器之后，可与目标服务器建立SSL连接，并基于所述SSL连接确定所述访问请求是否需要客户端证书；如果是，根据所述客户端对应的访问方式对所述访问请求进行处理；如果否，将所述访问请求转发给所述目标服务器。
在这里，代理服务器确定出该访问请求所指示的目标服务器之后，可与目标服务器建立SSL连接，进而获取到该访问请求是否需要客户端发送客户端证书，如果不需要客户端证书，则代理服务器直接将访问请求转发给目标服务器，使得目标服务器对访问请求进行处理。若该访问请求需要客户端证书，则代理服务器确定出客户端对应的访问方式，并根据该客户端对应的访问方式对该访问请求进行处理。
其中，客户端对应的访问方式可以为透传方式或者与证书事件策略对应的方式。
在本发明一个实施方式中，在所述访问方式为透传方式的情况下，代理服务器将所述访问请求转发给所述目标服务器；以及在再次接收到所述客户端发送的访问请求时，代理服务器将所述访问请求转发给所述目标服务器。
在客户端的访问方式为透传方式的情况下，代理服务器直接将本次的访问请求进行透传，即将访问请求发送给目标服务器，并且，对该客户端后续发送的对于目标网站的访问请求也进行透传，即不再对后续的访问请求进行中间人攻击。
在本发明另一个实施方式中，当客户端的访问方式配置了证书事件的情况下，即客户端的访问方式为与证书事件策略对应的方式的情况下，代理服务器根据与所述目标服务器建立的SSL连接，获取所述目标服务器对应的第二证书；将所述第二证书作为哈希算法的输入，得到所述第二证书对应的摘要值；根据所述摘要值生成所述目标证书对应的证书事件，并根据预设策略配置所述证书事件对应的证书事件策略。
在客户端配置了证书事件的情况下，代理服务器根据与目标服务器的SSL连接，获取到目标服务器对应的第二证书，并将该第二证书作为哈希算法的输入，得到该第二证书的唯一key，并产生一个默认动作为阻断的证书事件。可以理解的是，此处的默认阻断动作为预设策略的一种可实现方式，预设策略还可以为其他动作，例如警告动作或者放行动作等。在生成证书事件之后，代理服务器可以将证书事件对应的证书事件策略展示给管理员，以使管理员根据实际业务需求确定是否更改证书事件策略，即是否更改相应的动作，也对上网行为进行更准确地管理。例如，当证书事件对应的动作为阻断动作时，管理员可以将其更改为放行动作，以使代理服务器转发相应的访问请求。
步骤S102：确定所述目标服务器对应的目标网站、以及所述目标网站对应的目标证书。
步骤S103：根据预设处理策略，确定所述目标证书对应的目标证书事件策略；所述预设处理策略包括：一个或多个网站标识分别对应的一个或多个证书、以及所述一个或多个证书分别对应的一个或多个证书事件策略。
以访问请求中携带有目标服务器对应的IP地址或域名为例，代理服务器从访问请求中解析出IP地址或域名后，可以确定出该IP地址或域名对应的目标网站，进而确定出该目标网站对应的目标证书。
在确定目标网站对应的目标证书时，可以根据所述预设处理策略，确定本地是否存储有所述目标网站对应的第一证书；如果是，将所述第一证书作为所述目标证书；如果否，根据与所述目标服务器建立的SSL连接，获取所述目标服务器对应的第二证书；将所述第二证书作为所述目标证书。
其中，预设处理策略包括：一个或多个网站标识分别对应的一个或多个证书、以及所述一个或多个证书分别对应的一个或多个证书事件策略。
其中，证书事件策略可以包括：透传策略、阻止策略、警告策略和放行策略等。每种证书事件策略对应于不同的动作，例如，透传策略表示后续请求不再进行中间人攻击解密，建立一个客户端到目标服务器之间的隧道。阻止策略表示中断该访问请求。警告策略表示暂停该访问请求，并向客户端发送重定向页面，告知客户端的用户相应的业务风险，由用户选择是否继续，若用户选择继续，则可以继续访问原页面；可以理解的是，当证书事件为客户端证书事件时，则警告策略与阻止策略其实是相同的。另外，放行策略表示继续进行当前访问请求的处理，需要进行中间人解密；可以理解的是，当证书事件为客户端证书事件时，则放行策略相当于透传策略。
在确定目标证书时，代理服务器可以先根据访问请求中的IP地址和/或域名在本地缓存中查找，若查找到相应的第一证书，则说明该第一证书即为与目标网站对应的目标证书，此时代理服务器无需再与目标服务器建立SSL连接以获取目标证书。当然，若代理服务器在本地缓存中未查找到与目标服务器相对应的目标证书，则代理服务器与目标服务器建立SSL连接，获取目标服务器对应的第二证书，并将第二证书作为目标网站对应的目标证书。其中，本发明实施例中的证书为X509证书或CA证书等。可以理解的是，在本发明实施例中，第一证书和第二证书的内容是相同的，二者仅是存储位置有所不同。
在本发明一个实施例中，在获取到目标服务器对应的第二证书之后，将所述第二证书作为哈希算法的输入，得到所述第二证书对应的摘要值；将所述摘要值与所述预设处理策略包括的网站标识进行匹配，在匹配成功的情况下，将匹配成功的所述网站标识所对应的证书事件策略作为所述目标证书事件策略。
在这里，代理服务器在获取到目标服务器对应的第二证书之后，可以将该第二证书作为哈希算法的输入，得到该第二证书的唯一key，然后将这唯一key与预设处理策略包括的网站标识进行匹配，若在预设处理策略中查抄到与该唯一key相同的网站标识，则将相应网站标识所对应的证书事件策略作为该唯一key对应的证书事件策略，该证书事件策略即为目标网站对应的目标证书事件策略。
若在预设处理策略中未查找到与该唯一key对应的网站标识，也即，在第二证书的摘要值与预设处理策略中的网站标识匹配失败的情况下，代理服务器可以根据所述摘要值生成所述目标证书对应的证书事件，并根据预设策略配置所述证书事件对应的证书事件策略。
例如，代理服务器可以产生一个默认动作为阻断的证书事件。可以理解的是，此处的默认阻断动作为预设策略的一种可实现方式，预设策略还可以为其他动作，例如警告动作或者放行动作等。在生成证书事件之后，代理服务器还可以将证书事件对应的证书事件策略展示给管理员，以使管理员根据实际业务需求确定是否更改证书事件策略，即是否更改相应的动作，也对上网行为进行更准确地管理。例如，当证书事件对应的动作为阻断动作时，管理员可以将其更改为放行动作，以使代理服务器转发相应的访问请求。
在本发明实施例中，代理服务器在获取到第二证书之后，还可对所述第二证书进行验证；当验证出所述第二证书存在异常时，生成所述证书事件，并根据预设策略配置所述证书事件对应的证书事件策略。
例如，代理服务器验证出第二证书存在CN不匹配、证书过期、自签名证书等异常情况时，也可生成第二证书对应的证书事件，并根据预设策略(如默认阻断动作)配置证书事件的证书事件策略(阻止策略)。在生成证书事件之后，代理服务器还可以将证书事件对应的证书事件策略展示给管理员，以使管理员根据实际业务需求确定是否更改证书事件策略，即是否更改相应的动作，也对上网行为进行更准确地管理。例如，当证书事件对应的动作为阻断动作时，管理员可以将其更改为放行动作，以使代理服务器转发相应的访问请求。
在本发明一个实施例中，在获取到目标服务器对应的第二证书之后，可以确定所述第二证书对应的证书链，所述证书链指示了所述第二证书对应的一个或多个上级证书；根据所述预设处理策略，确定所述上级证书对应的证书事件策略，并将所述上级证书对应的所述证书事件策略作为所述目标事件策略。
例如，当第二证书为用户证书A时，该用户证书A对应的中间证书为中间证书B和中间证书C，该用户证书A对应的根证书为根证书D，那么，根证书D-中间证书C-中间证书B-用户证书A即为该第二证书对应的证书链。其中，中间证书B、中间证书C和根证书D均为用户证书A的上级证书。代理服务器在确定出第二证书对应的证书链之后，可遍历证书链中的所有CA证书，以查看证书链中的各个CA证书是否有被预设处理策略命中的证书，如果有，则将被预设处理策略命中的证书对应的证书处理策略作为目标事件策略。
仍以第二证书A对应的证书链根证书D-中间证书C-中间证书B-用户证书A为例，代理服务器在确定出该证书链之后，遍历证书链中的所有证书(根证书D、中间证书C、中间证书B和用户证书A)，若根证书D、中间证书C、中间证书B和用户证书A中的任意一个被预设处理策略命中，此处假设根证书D被预设处理策略命中，那么则将预设处理策略中根证书D对应的证书事件策略作为用户证书A对应的证书事件策略，也即将根证书D对应的证书事件策略作为本次访问请求所对应的目标证书事件策略。由此，即使预设处理策略中不包括目标服务器对应的第二证书所对应的证书事件策略，也即，目标服务器对应的第二证书未被预设处理策略命中，本发明实施例也可以根据第二证书所对应的证书链中的上级证书，确定出相应目标事件策略，由此增大第二证书被预设处理策略命中的概率，从而提高访问请求的处理效率。
可以理解的是，第二证书对应的证书链可能均无法被预设处理策略命中，在此情况下，代理服务器也可以生成第二证书对应的证书事件，并根据上述证书事件的配置方式，配置所生成的证书事件的证书事件策略，例如配置所生成的证书事件的默认动作为阻断动作。
另外，在确定/配置证书事件对应的证书事件策略之后，可以将相应的证书事件策略展示给管理员，使得管理员可以根据实际业务需求确定是否更改证书事件策略，即是否更改相应的动作，也对上网行为进行更准确地管理。例如，当证书事件对应的动作为阻断动作时，管理员可以将其更改为放行动作，以使代理服务器转发相应的访问请求。
此外，除了根据预设处理策略确定目标证书所对应的目标事件策略，在本发明实施例中，用户也可通过自定义配置的方式确定出目标事件策略，例如，用户可以输入指定的域名下载相应服务器的证书或者直接导入证书，并生成证书事件，再配置该证书事件的默认动作，以配置该证书事件的证书事件策略。
步骤S104：根据所述目标证书事件策略，对所述访问请求进行处理。
如上所述，证书事件策略可以包括：透传策略、阻止策略、警告策略和放行策略等。每种证书事件策略对应于不同的动作，例如，透传策略表示后续请求不再进行中间人攻击解密，建立一个客户端到目标服务器之间的隧道。阻止策略表示中断该访问请求。警告策略表示暂停该访问请求，并向客户端发送重定向页面，告知客户端的用户相应的业务风险，由用户选择是否继续，若用户选择继续，则可以继续访问原页面；当证书事件为客户端证书事件时，则警告策略与阻止策略其实是相同的。另外，放行策略表示继续进行当前访问请求的处理，需要进行中间人解密；当证书事件为客户端证书事件时，则放行策略相当于透传策略。
在确定出目标证书事件策略之后，则根据目标事件策略所对应的动作，对访问请求进行处理。例如，目标事件策略为透传策略时，转发本次访问请求，并对后续请求不再进行中间人攻击解密；目标事件策略为阻止策略时，中断该访问请求；目标事件策略为警告策略时，暂停该访问请求，并向客户端发送重定向页面，告知客户端的用户相应的业务风险；目标事件策略为放行策略时，继续当前访问请求的处理，并且后续请求需要进行中间人攻击解密。
根据本发明实施例的一种请求处理方法可以看出，根据网站标识、访问网站所需的证书以及证书对应的证书事件策略，预先配置处理策略；在获取到客户端的访问请求时，根据访问请求所指示的目标服务器对应的目标网站，通过预设的处理策略中的网站标识确定目标网站所需目标证书对应的证书事件策略，然后根据目标证书事件策略对访问请求进行处理。由此，根据网站标识配置处理策略，避免了同一网站对应于不同目的IP或目的域名时处理策略的冗余配置，降低了处理策略的管理难度，并有利于提高代理服务器的运行性能。并且，根据网站标识可以快速地确定出访问请求所对应的目标证书事件策略，也有利于提高访问请求的处理效率。
图2是根据本发明实施例的一种请求处理装置的主要模块的示意图。
如图2所示，本发明实施例的一种请求处理装置200包括：请求获取模块201、证书确定模块202、策略确定模块203和处理模块204；其中，
所述请求获取模块201，用于获取客户端发送的访问请求，所述访问请求指示了待连接的目标服务器；
所述证书确定模块202，用于确定所述目标服务器对应的目标网站、以及所述目标网站对应的目标证书；
所述策略确定模块203，用于根据预设处理策略，确定所述目标证书对应的目标证书事件策略；所述预设处理策略包括：一个或多个网站标识分别对应的一个或多个证书、以及所述一个或多个证书分别对应的一个或多个证书事件策略；
所述处理模块204，用于根据所述目标证书事件策略，对所述访问请求进行处理。
在本发明一个实施例中，所述证书确定模块202，用于根据所述预设处理策略，确定本地是否存储有所述目标网站对应的第一证书；如果是，将所述第一证书作为所述目标证书；如果否，根据与所述目标服务器建立的SSL连接，获取所述目标服务器对应的第二证书；将所述第二证书作为所述目标证书。
在本发明一个实施例中，所述策略确定模块203用于在本地未存储有所述第一证书的情况下，将所述第二证书作为哈希算法的输入，得到所述第二证书对应的摘要值；将所述摘要值与所述预设处理策略包括的网站标识进行匹配，在匹配成功的情况下，将匹配成功的所述网站标识所对应的证书事件策略作为所述目标证书事件策略。
在本发明一个实施例中，所述策略确定模块203用于在所述摘要值与所述处理策略中的网站标识匹配失败的情况下，根据所述摘要值生成所述目标证书对应的证书事件，并根据预设策略配置所述证书事件对应的证书事件策略。
在本发明一个实施例中，所述策略确定模块203，用于确定所述第二证书对应的证书链，所述证书链指示了所述第二证书对应的一个或多个上级证书；
根据所述预设处理策略，确定所述上级证书对应的证书事件策略，并将所述上级证书对应的所述证书事件策略作为所述目标事件策略。
在本发明一个实施例中，证书确定模块202，还用于与所述目标服务器建立SSL连接，并基于所述SSL连接确定所述访问请求是否需要客户端证书；如果是，根据所述客户端对应的访问方式对所述访问请求进行处理；如果否，将所述访问请求转发给所述目标服务器。
在本发明一个实施例中，证书确定模块202，用于在所述访问方式为透传方式的情况下，将所述访问请求转发给所述目标服务器；以及在再次接收到所述客户端发送的访问请求时，将所述访问请求转发给所述目标服务器。
在本发明一个实施例中，证书确定模块202，用于在所述访问方式为与证书事件策略对应的方式时，根据与所述目标服务器建立的SSL连接，获取所述目标服务器对应的第二证书；将所述第二证书作为哈希算法的输入，得到所述第二证书对应的摘要值；根据所述摘要值生成所述目标证书对应的证书事件，并根据预设策略配置所述证书事件对应的证书事件策略。
在本发明一个实施例中，所述策略确定模块203，用于对所述第二证书进行验证；当验证出所述第二证书存在异常时，生成所述证书事件，并根据预设策略配置所述证书事件对应的证书事件策略。
根据本发明实施例的一种请求处理装置可以看出，根据网站标识、访问网站所需的证书以及证书对应的证书事件策略，预先配置处理策略；在获取到客户端的访问请求时，根据访问请求所指示的目标服务器对应的目标网站，通过预设的处理策略中的网站标识确定目标网站所需目标证书对应的证书事件策略，然后根据目标证书事件策略对访问请求进行处理。由此，根据网站标识配置处理策略，避免了同一网站对应于不同目的IP或目的域名时处理策略的冗余配置，降低了处理策略的管理难度，并有利于提高代理服务器的运行性能。并且，根据网站标识可以快速地确定出访问请求所对应的目标证书事件策略，也有利于提高访问请求的处理效率。
图3示出了可以应用本发明实施例的一种请求处理方法或一种请求处理装置的示例性系统架构300。
如图3所示，系统架构300可以包括终端设备301、302、303，网络304和服务器305。网络304用以在终端设备301、302、303和服务器305之间提供通信链路的介质。网络304可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。
用户可以使用终端设备301、302、303通过网络304与服务器305交互，以接收或发送消息等。终端设备301、302、303上可以安装有各种通讯客户端应用，例如购物类应用、网页浏览器应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件等。
终端设备301、302、303可以是具有显示屏并且支持网页浏览的各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等等。
服务器305可以是提供各种服务的服务器，例如对用户利用终端设备301、302、303所浏览的购物类网站提供支持的后台管理服务器。后台管理服务器可以对接收到的产品信息查询请求等数据进行分析等处理，并将处理结果反馈给终端设备。
需要说明的是，本发明实施例所提供的一种请求处理方法一般由服务器305执行，相应地，一种请求处理装置一般设置于服务器305中。
应该理解，图3中的终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。
下面参考图4，其示出了适于用来实现本发明实施例的终端设备的计算机系统400的结构示意图。图4示出的终端设备仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。
如图4所示，计算机系统400包括中央处理单元(CPU)401，其可以根据存储在只读存储器(ROM)402中的程序或者从存储部分408加载到随机访问存储器(RAM)403中的程序而执行各种适当的动作和处理。在RAM 403中，还存储有系统400操作所需的各种程序和数据。CPU 401、ROM 402以及RAM 403通过总线404彼此相连。输入/输出(I/O)接口405也连接至总线404。
以下部件连接至I/O接口405：包括键盘、鼠标等的输入部分406；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分407；包括硬盘等的存储部分408；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分409。通信部分409经由诸如因特网的网络执行通信处理。驱动器410也根据需要连接至I/O接口405。可拆卸介质411，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器410上，以便于从其上读出的计算机程序根据需要被安装入存储部分408。
特别地，根据本发明公开的实施例，上文参考流程图描述的过程可以被实现为计算机软件程序。例如，本发明公开的实施例包括一种计算机程序产品，其包括承载在计算机可读介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分409从网络上被下载和安装，和/或从可拆卸介质411被安装。在该计算机程序被中央处理单元(CPU)401执行时，执行本发明的系统中限定的上述功能。
需要说明的是，本发明所示的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本发明中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本发明中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、电线、光缆、RF等等，或者上述的任意合适的组合。
附图中的流程图和框图，图示了按照本发明各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。
描述于本发明实施例中所涉及到的模块可以通过软件的方式实现，也可以通过硬件的方式来实现。所描述的模块也可以设置在处理器中，例如，可以描述为：一种处理器包括模块、模块和模块。其中，这些模块的名称在某种情况下并不构成对该模块本身的限定，例如，请求获取模块还可以被描述为“获取客户端发送的访问请求的模块”。
作为另一方面，本发明还提供了一种计算机可读介质，该计算机可读介质可以是上述实施例中描述的设备中所包含的；也可以是单独存在，而未装配入该设备中。上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被一个该设备执行时，使得该设备包括：获取客户端发送的访问请求，所述访问请求指示了待连接的目标服务器；确定所述目标服务器对应的目标网站、以及所述目标网站对应的目标证书；根据预设处理策略，确定所述目标证书对应的目标证书事件策略；所述预设处理策略包括：一个或多个网站标识分别对应的一个或多个证书、以及所述一个或多个证书分别对应的一个或多个证书事件策略；根据所述目标证书事件策略，对所述访问请求进行处理。
根据本发明实施例的技术方案，根据网站标识、访问网站所需的证书以及证书对应的证书事件策略，预先配置处理策略；在获取到客户端的访问请求时，根据访问请求所指示的目标服务器对应的目标网站，通过预设的处理策略中的网站标识确定目标网站所需目标证书对应的证书事件策略，然后根据目标证书事件策略对访问请求进行处理。由此，根据网站标识配置处理策略，避免了同一网站对应于不同目的IP或目的域名时处理策略的冗余配置，降低了处理策略的管理难度，并有利于提高代理服务器的运行性能。并且，根据网站标识可以快速地确定出访问请求所对应的目标证书事件策略，也有利于提高访问请求的处理效率。
上述具体实施方式，并不构成对本发明保护范围的限制。本领域技术人员应该明白的是，取决于设计要求和其他因素，可以发生各种各样的修改、组合、子组合和替代。任何在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明保护范围之内。
Claims (12)
1.一种请求处理方法，其特征在于，应用于代理服务器；包括：
获取客户端发送的访问请求，所述访问请求指示了待连接的目标服务器；
确定所述目标服务器对应的目标网站、以及所述目标网站对应的目标证书；
根据预设处理策略，确定所述目标证书对应的目标证书事件策略；所述预设处理策略包括：一个或多个网站标识分别对应的一个或多个证书、以及所述一个或多个证书分别对应的一个或多个证书事件策略；
根据所述目标证书事件策略，对所述访问请求进行处理。
2.根据权利要求1所述的方法，其特征在于，
根据所述预设处理策略，确定本地是否存储有所述目标网站对应的第一证书；
如果是，将所述第一证书作为所述目标证书；
如果否，根据与所述目标服务器建立的SSL连接，获取所述目标服务器对应的第二证书；将所述第二证书作为所述目标证书。
3.根据权利要求2所述的方法，其特征在于，在本地未存储有所述第一证书的情况下，所述根据预设处理策略，确定所述目标证书对应的目标证书事件策略，包括：
将所述第二证书作为哈希算法的输入，得到所述第二证书对应的摘要值；
将所述摘要值与所述预设处理策略包括的网站标识进行匹配，在匹配成功的情况下，将匹配成功的所述网站标识所对应的证书事件策略作为所述目标证书事件策略。
4.根据权利要求3所述的方法，其特征在于，在所述摘要值与所述处理策略中的网站标识匹配失败的情况下，
根据所述摘要值生成所述目标证书对应的证书事件，并根据预设策略配置所述证书事件对应的证书事件策略。
5.根据权利要求2所述的方法，其特征在于，所述根据预设处理策略，确定所述目标证书对应的目标证书事件策略，包括：
确定所述第二证书对应的证书链，所述证书链指示了所述第二证书对应的一个或多个上级证书；
根据所述预设处理策略，确定所述上级证书对应的证书事件策略，并将所述上级证书对应的所述证书事件策略作为所述目标事件策略。
6.根据权利要求1所述的方法，其特征在于，在确定所述目标服务器对应的目标网站、以及所述目标网站对应的目标证书之前，还包括：
与所述目标服务器建立SSL连接，并基于所述SSL连接确定所述访问请求是否需要客户端证书；
如果是，根据所述客户端对应的访问方式对所述访问请求进行处理；
如果否，将所述访问请求转发给所述目标服务器。
7.根据权利要求6所述的方法，其特征在于，所述根据所述客户端对应的访问方式对所述访问请求进行处理，包括：
在所述访问方式为透传方式的情况下，将所述访问请求转发给所述目标服务器；以及
在再次接收到所述客户端发送的访问请求时，将所述访问请求转发给所述目标服务器。
8.根据权利要求6所述的方法，其特征在于，所述根据所述客户端对应的访问方式对所述访问请求进行处理，包括：
在所述访问方式为与证书事件策略对应的方式时，根据与所述目标服务器建立的SSL连接，获取所述目标服务器对应的第二证书；
将所述第二证书作为哈希算法的输入，得到所述第二证书对应的摘要值；
根据所述摘要值生成所述目标证书对应的证书事件，并根据预设策略配置所述证书事件对应的证书事件策略。
9.根据权利要求2或8所述的方法，其特征在于，在获取所述目标服务器对应的第二证书之后，还包括：
对所述第二证书进行验证；
当验证出所述第二证书存在异常时，生成所述证书事件，并根据预设策略配置所述证书事件对应的证书事件策略。
10.一种请求处理装置，其特征在于，包括：请求获取模块、证书确定模块、策略确定模块和处理模块；其中，
所述请求获取模块，用于获取客户端发送的访问请求，所述访问请求指示了待连接的目标服务器；
所述证书确定模块，用于确定所述目标服务器对应的目标网站、以及所述目标网站对应的目标证书；
所述策略确定模块，用于根据预设处理策略，确定所述目标证书对应的目标证书事件策略；所述预设处理策略包括：一个或多个网站标识分别对应的一个或多个证书、以及所述一个或多个证书分别对应的一个或多个证书事件策略；
所述处理模块，用于根据所述目标证书事件策略，对所述访问请求进行处理。
11.一种处理请求的电子设备，其特征在于，包括：
一个或多个处理器；
存储装置，用于存储一个或多个程序，
当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如权利要求1-9中任一所述的方法。
12.一种计算机可读介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现如权利要求1-9中任一所述的方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202110730317.0A CN113343155A (zh) | 2021-06-29 | 2021-06-29 | 一种请求处理方法及装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202110730317.0A CN113343155A (zh) | 2021-06-29 | 2021-06-29 | 一种请求处理方法及装置 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN113343155A true CN113343155A (zh) | 2021-09-03 |
Family
ID=77481666
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202110730317.0A Pending CN113343155A (zh) | 2021-06-29 | 2021-06-29 | 一种请求处理方法及装置 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN113343155A (zh) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN115314274A (zh) * | 2022-08-01 | 2022-11-08 | 北京天空卫士网络安全技术有限公司 | 一种访问服务端的方法和装置 |
Citations (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR20020033891A (ko) * | 2000-10-30 | 2002-05-08 | 문성광 | 통합웹페이지억세스시스템 및 방법 |
| CN102999730A (zh) * | 2011-09-15 | 2013-03-27 | 微软公司 | 保护计算设备中的数据使用 |
| CN103166977A (zh) * | 2013-04-16 | 2013-06-19 | 福建伊时代信息科技股份有限公司 | 一种网站访问的方法、终端、服务器和系统 |
| CN103229479A (zh) * | 2012-12-28 | 2013-07-31 | 华为技术有限公司 | 一种网站识别方法、装置及网络系统 |
| US9083696B1 (en) * | 2012-05-30 | 2015-07-14 | Google Inc. | Trusted peer-based information verification system |
| CN107135233A (zh) * | 2017-06-28 | 2017-09-05 | 百度在线网络技术（北京）有限公司 | 信息的安全传输方法和装置、服务器和存储介质 |
| CN110768940A (zh) * | 2018-07-27 | 2020-02-07 | 深信服科技股份有限公司 | 基于https协议密文数据管控方法、系统及相关装置 |
| CN110851753A (zh) * | 2019-11-07 | 2020-02-28 | 亿企赢网络科技有限公司 | 一种网站的访问方法、装置、设备及存储介质 |
| CN111885042A (zh) * | 2020-07-20 | 2020-11-03 | 北京沃东天骏信息技术有限公司 | 访问网站的处理方法、装置、设备及存储介质 |
-
2021
- 2021-06-29 CN CN202110730317.0A patent/CN113343155A/zh active Pending
Patent Citations (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR20020033891A (ko) * | 2000-10-30 | 2002-05-08 | 문성광 | 통합웹페이지억세스시스템 및 방법 |
| CN102999730A (zh) * | 2011-09-15 | 2013-03-27 | 微软公司 | 保护计算设备中的数据使用 |
| US9083696B1 (en) * | 2012-05-30 | 2015-07-14 | Google Inc. | Trusted peer-based information verification system |
| CN103229479A (zh) * | 2012-12-28 | 2013-07-31 | 华为技术有限公司 | 一种网站识别方法、装置及网络系统 |
| CN103166977A (zh) * | 2013-04-16 | 2013-06-19 | 福建伊时代信息科技股份有限公司 | 一种网站访问的方法、终端、服务器和系统 |
| CN107135233A (zh) * | 2017-06-28 | 2017-09-05 | 百度在线网络技术（北京）有限公司 | 信息的安全传输方法和装置、服务器和存储介质 |
| CN110768940A (zh) * | 2018-07-27 | 2020-02-07 | 深信服科技股份有限公司 | 基于https协议密文数据管控方法、系统及相关装置 |
| CN110851753A (zh) * | 2019-11-07 | 2020-02-28 | 亿企赢网络科技有限公司 | 一种网站的访问方法、装置、设备及存储介质 |
| CN111885042A (zh) * | 2020-07-20 | 2020-11-03 | 北京沃东天骏信息技术有限公司 | 访问网站的处理方法、装置、设备及存储介质 |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN115314274A (zh) * | 2022-08-01 | 2022-11-08 | 北京天空卫士网络安全技术有限公司 | 一种访问服务端的方法和装置 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US10778448B2 (en) | Certificate status delivery through a local endpoint | |
| US9736260B2 (en) | Redirecting from a cloud service to a third party website to save costs without sacrificing security | |
| US20190190956A1 (en) | Endpoint agent for enterprise security system | |
| US20170374017A1 (en) | Verification of server name in a proxy device for connection requests made using domain names | |
| CN113271296B (zh) | 一种登录权限管理的方法和装置 | |
| CN110557255A (zh) | 一种证书管理的方法和装置 | |
| CN110839004A (zh) | 访问认证的方法和装置 | |
| CN113364795B (zh) | 一种数据传输方法和代理服务器 | |
| CN111104675A (zh) | 系统安全漏洞的检测方法和装置 | |
| CN112887284B (zh) | 一种访问认证方法、装置、电子设备和可读介质 | |
| CN110958119A (zh) | 身份验证方法和装置 | |
| CN111814131B (zh) | 一种设备注册和配置管理的方法和装置 | |
| US20220377064A1 (en) | Method and system for managing a web security protocol | |
| CN113438256B (zh) | 一种基于双层ssl的数据传输方法、系统和代理服务器 | |
| US10819527B2 (en) | Secure trust based distribution of digital certificates | |
| CN111049789B (zh) | 域名访问的方法和装置 | |
| CN112560003A (zh) | 用户权限管理方法和装置 | |
| CN113343155A (zh) | 一种请求处理方法及装置 | |
| CN113765968A (zh) | 一种文件传输方法、装置和系统 | |
| CN110213346B (zh) | 加密信息的传输方法及装置 | |
| CN112966286B (zh) | 用户登录的方法、系统、设备和计算机可读介质 | |
| CN115879080A (zh) | 证书认证方法及装置 | |
| CN109657481B (zh) | 数据管理方法及装置 | |
| CN114598549B (zh) | 客户ssl证书验证方法及装置 | |
| CN113420331B (zh) | 一种文件下载权限的管理方法和装置 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination |