CN114301648A

CN114301648A - 数据配置方法以及装置、存储介质、电子装置

Info

Publication number: CN114301648A
Application number: CN202111567419.1A
Authority: CN
Inventors: 钱海川; 金昊
Original assignee: Huicheng Financial Technology Services Nanjing Co ltd
Current assignee: Huicheng Financial Technology Services Nanjing Co ltd
Priority date: 2021-12-20
Filing date: 2021-12-20
Publication date: 2022-04-08
Anticipated expiration: 2041-12-20
Also published as: CN114301648B

Abstract

本申请公开了一种数据配置方法以及装置、存储介质、电子装置。该方法包括前端服务器接收HTTP请求；在所述HTTP请求的Header中增加预设Host配置字段并转发至后端服务器，其中所述HTTP请求的Header中Host取值为请求时的域名；当所述HTTP请求通过反向代理转发至后端服务器后，将所述Header中的预设Host配置字段修改为反向代理服务器的Host配置，以使不同类型的所述域名可共享使用同一个预设WAF策略本申请解决了如何节省云上系统防护成本的技术问题。通过本申请在有限的资源条件下，最大化地提升云上系统防护能力建设，且本申请支持不同类型的一级域名同时使用同一个预设WAF策略。

Description

数据配置方法以及装置、存储介质、电子装置

技术领域

本申请涉及流量防御领域，具体而言，涉及一种数据配置方法以及装置、存储介质、电子装置。

背景技术

企业不仅需要解决移动应用服务访问问题，还需要针对服务提供相应的安全防护手段，多数情况下企业会在互联网入口增设WAF进行流量防御。

企业如果需要对外网暴露的接口众多情况下，会面临高额的WAF使用费。

针对相关技术中如何节省云上系统防护成本的问题，目前尚未提出有效的解决方案。

发明内容

本申请的主要目的在于提供一种数据配置方法以及装置、存储介质、电子装置，以解决如何节省云上系统防护成本的问题。

为了实现上述目的，根据本申请的一个方面，提供了一种数据配置方法。

根据本申请的数据配置方法包括：前端服务器接收HTTP请求；在所述HTTP请求的Header中增加预设Host配置字段并转发至后端服务器，其中所述HTTP请求的Header中Host取值为请求时的域名；当所述HTTP请求通过反向代理转发至后端服务器后，将所述Header中的预设Host配置字段修改为反向代理服务器的Host配置，以使不同类型的所述域名可共享使用同一个预设WAF策略，其中所述反向代理服务器的Host配置作为绑定在WAF上的域名。

进一步地，方法还包括：所述前端服务器与所述后端服务器采用分离架构，所述前端服务器用于存储静态资源，且不包含动态服务。

进一步地，基于所述预设WAF策略识别所述前端服务器转发的请求时，按照所述反向代理服务器的Host配置进行识别防护并转发。

进一步地，所述前端服务器接收HTTP请求之前，还包括：将所述前端服务器的HTTP证书均配置在前端服务器中。

进一步地，所述当所述HTTP请求通过反向代理转发至后端服务器后，将所述Header中的预设Host配置字段修改为反向代理服务器的Host配置之后，还包括：在所述后端服务器接收到预设WAF策略的过滤后的HTTP请求，通过预设Host配置字段判断该HTTP请求域名对应的后端服务，并通过预先配置的转发规则，将HTTP请求传至后端服务中，在所述后端服务器用于根据正确的解析Host配置将流量数据传至所述前端服务器。

进一步地，所述前端服务器接收HTTP请求之前，还包括：配置同时拥有多个一级Host的用户。

进一步地，所述前端服务器接收HTTP请求之前，还包括：包括：通过第三方服务接入所述同一个预设WAF策略并使用同一个Host配置。

为了实现上述目的，根据本申请的另一方面，提供了一种数据配置装置。

根据本申请的数据配置装置包括：接收模块，用于前端服务器接收HTTP请求；字段配置模块，用于在所述HTTP请求的Header中增加预设Host配置字段并转发至后端服务器，其中所述HTTP请求的Header中Host取值为请求时的域名；字段修改模块，用于当所述HTTP请求通过反向代理转发至后端服务器后，将所述Header中的预设Host配置字段修改为反向代理服务器的Host配置，以使不同类型的所述域名可共享使用同一个预设WAF策略，其中所述反向代理服务器的Host配置作为绑定在WAF上的域名。

为了实现上述目的，根据本申请的又一方面，提供了一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机程序，其中，所述计算机程序被设置为运行时执行所述方法。

为了实现上述目的，根据本申请的再一方面，提供了一种电子装置，包括存储器和处理器，所述存储器中存储有计算机程序，所述处理器被设置为运行所述计算机程序以执行所述的方法。

在本申请实施例中数据配置方法以及装置、存储介质、电子装置，采用前端服务器接收HTTP请求的方式，通过在所述HTTP请求的Header中增加预设Host配置字段并转发至后端服务器，达到了当所述HTTP请求通过反向代理转发至后端服务器后，将所述Header中的预设Host配置字段修改为反向代理服务器的Host配置，以使不同类型的所述域名可共享使用同一个预设WAF策略的目的，从而实现了在有限的资源条件下，最大化地提升云上系统防护能力建设的技术效果，进而解决了如何节省云上系统防护成本的技术问题。

附图说明

构成本申请的一部分的附图用来提供对本申请的进一步理解，使得本申请的其它特征、目的和优点变得更明显。本申请的示意性实施例附图及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1是根据本申请实施例的数据配置方法的硬件结构示意图；

图2是根据本申请实施例的数据配置方法流程示意图；

图3是根据本申请实施例的数据配置装置结构示意图；

图4是根据本申请实施例的数据配置方法的流程示意图。

具体实施方式

为了使本技术领域的人员更好地理解本申请方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分的实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本申请保护的范围。

需要说明的是，本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本申请的实施例。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

在本申请中，术语“上”、“下”、“左”、“右”、“前”、“后”、“顶”、“底”、“内”、“外”、“中”、“竖直”、“水平”、“横向”、“纵向”等指示的方位或位置关系为基于附图所示的方位或位置关系。这些术语主要是为了更好地描述本申请及其实施例，并非用于限定所指示的装置、元件或组成部分必须具有特定方位，或以特定方位进行构造和操作。

并且，上述部分术语除了可以用于表示方位或位置关系以外，还可能用于表示其他含义，例如术语“上”在某些情况下也可能用于表示某种依附关系或连接关系。对于本领域普通技术人员而言，可以根据具体情况理解这些术语在本申请中的具体含义。

此外，术语“安装”、“设置”、“设有”、“连接”、“相连”、“套接”应做广义理解。例如，可以是固定连接，可拆卸连接，或整体式构造；可以是机械连接，或电连接；可以是直接相连，或者是通过中间媒介间接相连，又或者是两个装置、元件或组成部分之间内部的连通。对于本领域普通技术人员而言，可以根据具体情况理解上述术语在本申请中的具体含义。

本申请实施例中涉及的技术术语如下：

WAF，即Web应用防火墙，旨在保护Web应用免受各类应用层攻击，例如跨站点脚本、SQL注入，以及Cookie中毒等等。

SSL证书，为网站和移动应用及小程序提供数据HTTPS加密协议访问，保障数据的安全。

Nginx，是异步框架的网页服务器，也可以用作反向代理、负载平衡器和HTTP缓存。一大部分Web服务器使用Nginx，通常作为负载均衡器。

前后端分离技术，在传统的Web应用开发中，大多数的程序员会将浏览器作为前后端的分界线。将浏览器中为用户进行页面展示的部分称之为前端，而将运行在服务器，为前端提供业务逻辑和数据准备的所有代码统称为后端。前后端分离是Web应用的一种架构模式。在运行阶段前后端分离模式需要对Web应用进行分离部署，前后端之前使用HTTP或者其他协议进行交互请求。

由于对外开放的入口包括：Web网站、H5网站、小程序接口、对外第三方API接口等等。对外开放的接口越多，暴露面风险越大。企业不仅需要解决移动应用服务访问问题，还需要针对服务提供相应的安全防护手段。多数情况下企业会在互联网入口增设WAF模块进行流量防御。随着云技术的发展，企业建设网站逐渐转向云架构方案，采用各家公有云平台建设。公有云厂家提供了一整套安全防护方案。通常，公有云厂家提供的安全防护方案基本是按照增值服务叠加进行付费提供服务。

企业在资金有限且需要对外网暴露的接口众多情况下，则面临高额的WAF使用费，致使很多企业只针对部分接口接入WAF防护以减小成本开支，致使网站无法做到全流量防护。

本申请的实施例中提供的数据配置方法的以最小成本，最优方案解决企业全端口接入防御体系的最优实践方法，通过本申请的方案可以做到使用一套WAF解决众多网站接入安全防护的能力。

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本申请。

如图1所示，是根据本申请实施例的数据配置方法的硬件结构示意图，其中包括：前端服务器100、后端服务器300以及WAF模块200。前端服务器100，用于存放静态网页的服务器。后端服务器300用于处理动态数据请求的服务器。基于所述WAF模块200可保护Web应用免受各类应用层攻击。

如图2所示，该方法包括如下的步骤S201至步骤S203：

步骤S201，前端服务器接收HTTP请求；

步骤S202，在所述HTTP请求的Header中增加预设Host配置字段并转发至后端服务器，其中所述HTTP请求的Header中Host取值为请求时的域名；

步骤S203，当所述HTTP请求通过反向代理转发至后端服务器后，将所述Header中的预设Host配置字段修改为反向代理服务器的Host配置，以使不同类型的所述域名可共享使用同一个预设WAF策略，其中所述反向代理服务器的Host配置作为绑定在WAF上的域名。

从以上的描述中，可以看出，本申请实现了如下技术效果：

采用前端服务器接收HTTP请求的方式，通过在所述HTTP请求的Header中增加预设Host配置字段并转发至后端服务器，达到了当所述HTTP请求通过反向代理转发至后端服务器后，将所述Header中的预设Host配置字段修改为反向代理服务器的Host配置，以使不同类型的所述域名可共享使用同一个预设WAF策略的目的，从而实现了在有限的资源条件下，最大化地提升云上系统防护能力建设的技术效果，进而解决了如何节省云上系统防护成本的技术问题。

后端服务按照正确的解析Host将数据传至前端页面。在前后端交互的时候，将访问前端服务与后端服务进行请求Header头部信息进行替换。主要采用替换Header头部的Host字段，实现使用同一个WAF使用同一个后端域名，有效防御来自动态服务中的攻击。

所有前端的不同域名Host到前端服务器后，统一使用反向代理的方式访问后端服务器，同时在前端转后端时将Header头部字段进行修改，做到使用同一个后端Host服务，所有访问后端服务均需要经过Waf防御，从而保证了传至后端的访问服务都有威胁过滤，保障后端服务的数据安全。

在所述步骤S201中基于一个前后端分离的架构，首先在前端服务器接收HTTP请求。这些所述的HTTP请求即作为流量数据。

在一种优选实施方式中，所述前端服务器与所述后端服务器采用分离架构，所述前端服务器用于存储静态资源，且不包含动态服务。也就是说，前后端服务器进行分离，在所述前端服务器主要存储静态资源，不包含动态服务。

在一种优选实施方式中，基于所述预设WAF策略识别所述前端服务器转发的请求时，按照所述反向代理服务器的Host配置进行识别防护并转发。所有前端的不同域名Host到前端服务器后，统一使用反向代理的方式访问后端服务器。

在所述步骤S202中在所述HTTP请求的Header中增加预设Host配置字段并转发至后端服务器。

具体实施时，在前后端交互的时候，将访问前端服务与后端服务进行请求header头部信息进行替换。采用替换header头部的Host字段，实现使用同一个WAF使用同一个后端域名，有效防御来自动态服务中的攻击。

需要注意的是，针对HTTP请求的数据包内的header头修改，HTTP头字段是指在超文本传输协议HTTP的请求和响应消息中的消息头部分。它们定义了一个超文本传输协议事务中的操作参数。HTTP头部字段可以自己根据需要定义，所以可以在Web服务器和浏览器上发现非标准的头字段。

优选地，可以使用的是HTTP请求头字段，默认情况下http内的header头中的Host取值为请求时的域名信息，WAF也是按照这个host值按照相应的配置规则进行转发，这类请求适用于Http以及Https协议。

在一种优选实施方式中，所述HTTP请求的Header中Host取值为请求时的域名。

在所述步骤S203中当所述HTTP请求通过反向代理转发至后端服务器后，将所述Header中的预设Host配置字段修改为反向代理服务器的Host配置，以使不同类型的所述域名可共享使用同一个预设WAF策略。

具体实施时，所有前端的不同域名Host到前端服务器后，统一使用反向代理的方式访问后端服务器，同时在前端转后端时将Header头部字段进行修改，做到使用同一个后端Host服务，所有访问后端服务均需要经过WAF防御，从而保证了传至后端的访问服务都有威胁过滤，保障后端服务的数据安全。

在一种优选实施方式中，同时可以支持不同类型的一级域名同时使用同一个WAF策略，做到对于后端服务的防御作用。

作为本实施例中的优选，基于所述预设WAF策略识别所述前端服务器转发的请求时，按照所述反向代理服务器的Host配置进行识别防护并转发，作为本实施例中的优选，所述前端服务器接收HTTP请求之前，还包括：将所述前端服务器的HTTP证书均配置在前端服务器中。

作为本实施例中的优选，所述当所述HTTP请求通过反向代理转发至后端服务器后，将所述Header中的预设Host配置字段修改为反向代理服务器的Host配置之后，还包括：在所述后端服务器接收到预设WAF策略的过滤后的HTTP请求，通过预设Host配置字段判断该HTTP请求域名对应的后端服务，并通过预先配置的转发规则，将HTTP请求传至后端服务中，在所述后端服务器用于根据正确的解析Host配置将流量数据传至所述前端服务器。

具体实施时，所有前端请求后端的服务，通过前端服务器反向代理至后端接口；前端服务器将请求后端的接口中Header中的Host字段值替换为反向代理后端的域名，也就是绑定在WAF上的域名，从而请求后端时，域名可以被WAF识别。此外，在后端服务器接到WAF过滤后的请求，通过Host-Pass字段判断该请求域名对应的后端服务，通过配置好的转发规则，将动态请求传至后端服务中。

作为本实施例中的优选，所述前端服务器接收HTTP请求之前，还包括：配置同时拥有多个一级Host的用户。

具体实施时，基于本申请中的提供的方案，当同时拥有多个一级Host的企业，通过本方案可以有效降低使用WAF的成本，从而通过使用最小的花费和配置解决，由于多个一级Host域名带来的WAF防御成本提高。

作为本实施例中的优选，所述前端服务器接收HTTP请求之前，还包括：包括：通过第三方服务接入所述同一个预设WAF策略并使用同一个Host配置。

具体实施时，同时针对一些给企业做定制化的公司，在为企业搭建网站服务时，经常会使用不同企业内部自己的域名，这些域名解析至同一套网站系统服务时，导致Host超过WAF承载的hsot识别数量，导致成本增加以及技术显现有难度的问题。通过本方案，可以帮助第三方服务BIRU定制化制作公司采用同一套WAF，同一个HOST解决多域名带来的管理难度以及安全成本。

需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

根据本申请实施例，还提供了一种用于实施上述方法的数据配置装置，如图3所示，该装置包括：

接收模块301，用于前端服务器接收HTTP请求；

字段配置模块302，用于在所述HTTP请求的Header中增加预设Host配置字段并转发至后端服务器，其中所述HTTP请求的Header中Host取值为请求时的域名；

字段修改模块303，用于当所述HTTP请求通过反向代理转发至后端服务器后，将所述Header中的预设Host配置字段修改为反向代理服务器的Host配置，以使不同类型的所述域名可共享使用同一个预设WAF策略，其中所述反向代理服务器的Host配置作为绑定在WAF上的域名。

所述的接收模块301中基于一个前后端分离的架构，首先在前端服务器接收HTTP请求。这些所述的HTTP请求即作为流量数据。

所述的字段配置模块302中在所述HTTP请求的Header中增加预设Host配置字段并转发至后端服务器。

所述的字段修改模块303中当所述HTTP请求通过反向代理转发至后端服务器后，将所述Header中的预设Host配置字段修改为反向代理服务器的Host配置，以使不同类型的所述域名可共享使用同一个预设WAF策略。

当所述HTTP请求通过反向代理转发至后端服务器后，将所述Header中的预设Host配置字段修改为反向代理服务器的Host配置，以使不同类型的所述域名可共享使用同一个预设WAF策略。

显然，本领域的技术人员应该明白，上述的本申请的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本申请不限制于任何特定的硬件和软件结合。

为了更好的理解上述数据配置方法流程，以下结合优选实施例对上述技术方案进行解释说明，但不用于限定本发明实施例的技术方案。

本申请实施例中的数据配置方法，针对前后端分离的应用系统网站，同时可以支持不同类型的一级域名同时使用同一个预设WAF策略，做到对于后端服务的防御作用。

如图4所示，是本申请实施例中数据配置方法的流程示意图，具体过程包括如下步骤：

步骤S1，由于前端为静态页面，网络威胁程度低，通过有效关键字过滤即可防护。

步骤S2，前后端服务器进行分离，前端服务器主要存储静态资源，不包含动态服务；

步骤S3，所有外部请求至前端服务器后，前端服务器转发动态请求至后端时统一在header中增加新的字段，例如Host-pass，用于存储前端请求时的Host值；

步骤S4，以Nginx为例，默认情况下，Nginx反向代理时，header头部的Host字段配置如下(伪代码)：

步骤S5，在转发至后端时，需要将Header中的Host字段改为反代后的域名,需要按照如下配置(伪代码)：

步骤S6，当WAF识别前端转发的流量时，则按照反代后的Host进行识别防护并转发。

需要注意的是，所有前端请求后端的服务，通过前端服务器反向代理至后端接口。在前端服务器将请求后端的接口中Header中的Host字段值替换为反向代理后端的域名，也就是绑定在WAF上的域名，从而请求后端时，域名可以被WAF识别。

需要住的是，所有前端https证书均配置在前端服务器中。后端服务器接到WAF过滤后的请求，通过Host-Pass字段判断该请求域名对应的后端服务，通过配置好的转发规则，将动态请求传至后端服务中。

以上所述仅为本申请的优选实施例而已，并不用于限制本申请，对于本领域的技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。

Claims

1.一种数据配置方法，其特征在于，包括：

前端服务器接收HTTP请求；

在所述HTTP请求的Header中增加预设Host配置字段并转发至后端服务器，其中所述HTTP请求的Header中Host取值为请求时的域名；

当所述HTTP请求通过反向代理转发至后端服务器后，将所述Header中的预设Host配置字段修改为反向代理服务器的Host配置，以使不同类型的所述域名可共享使用同一个预设WAF策略，其中所述反向代理服务器的Host配置作为绑定在WAF上的域名。

2.根据权利要求1所述的方法，其特征在于，还包括：

所述前端服务器与所述后端服务器采用分离架构，所述前端服务器用于存储静态资源，且不包含动态服务。

3.根据权利要求2所述的方法，其特征在于，基于所述预设WAF策略识别所述前端服务器转发的请求时，按照所述反向代理服务器的Host配置进行识别防护并转发。

4.根据权利要求1所述的方法，其特征在于，所述前端服务器接收HTTP请求之前，还包括：将所述前端服务器的HTTP证书均配置在前端服务器中。

5.根据权利要求1所述的方法，其特征在于，所述当所述HTTP请求通过反向代理转发至后端服务器后，将所述Header中的预设Host配置字段修改为反向代理服务器的Host配置之后，还包括：

在所述后端服务器接收到预设WAF策略的过滤后的HTTP请求，通过预设Host配置字段判断该HTTP请求域名对应的后端服务，并通过预先配置的转发规则，将HTTP请求传至后端服务中，在所述后端服务器用于根据正确的解析Host配置将流量数据传至所述前端服务器。

6.根据权利要求1所述的方法，其特征在于，所述前端服务器接收HTTP请求之前，还包括：配置同时拥有多个一级Host的用户。

7.根据权利要求1所述的方法，其特征在于，所述前端服务器接收HTTP请求之前，还包括：包括：通过第三方服务接入所述同一个预设WAF策略并使用同一个Host配置。

8.一种数据配置装置，其特征在于，包括：

接收模块，用于前端服务器接收HTTP请求；

字段配置模块，用于在所述HTTP请求的Header中增加预设Host配置字段并转发至后端服务器，其中所述HTTP请求的Header中Host取值为请求时的域名；

字段修改模块，用于当所述HTTP请求通过反向代理转发至后端服务器后，将所述Header中的预设Host配置字段修改为反向代理服务器的Host配置，以使不同类型的所述域名可共享使用同一个预设WAF策略，其中所述反向代理服务器的Host配置作为绑定在WAF上的域名。

9.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中存储有计算机程序，其中，所述计算机程序被设置为运行时执行所述权利要求1至7任一项所述的方法。

10.一种电子装置，包括存储器和处理器，其特征在于，所述存储器中存储有计算机程序，所述处理器被设置为运行所述计算机程序以执行所述权利要求1至7任一项所述的方法。