CN114401120A - 一种对象溯源的方法及相关装置 - Google Patents

Abstract

本申请涉及计算机技术领域，尤其涉及一种对象溯源的方法及相关装置，用以准确识别对象的真实身份，该方法包括：客户端为目标对象分配VPN系统的虚拟IP地址后，结合目标对象的对象描述信息，生成相应的对象标识信息，并将该对象标识信息发往目标服务器，而目标服务器可以基于对象标识信息中记录的对象描述信息，确定接入目标内部系统的目标对象的真实身份。这样，当各个对象接入目标内部系统后，针对各个对象所执行的各类操作，均会关联记录相应对象的真实身份，那么，目标内部系统便能够通过调取各类操作记录，确定各类操作的执行者，从而更好地避免外部对象登录目标内部系统盗取信息，排除外部对象非法登录目标内部系统所构成的隐患问题。

Description

一种对象溯源的方法及相关装置

技术领域

本申请涉及计算机技术领域，尤其涉及一种对象溯源的方法及相关装置。

背景技术

虚拟专用网络(Virtual Private Network，VPN)，是通过一个公用互联网络建立的一个临时且安全的连接，是一条穿过公用网络的隧道，使用这条隧道，可以对数据进行多倍加密，从而达到安全使用互联网的目的。

VPN系统是通过安全套接字协议(Secure Sockets Layer，SSL)代理技术，为企业办公对象安全访问企业内部系统提供远程接入的系统。VPN系统分配虚拟网际互连协议(Internet Protocol，IP)地址，企业内部系统响应于目标对象基于虚拟IP地址的登录操作，生成相应的系统日志，并基于系统日志中目标对象对应的虚拟IP地址对目标对象的身份进行识别。

然而，相关技术下，上述方式存在以下缺陷：

1、企业内部系统无法识别在线目标对象的真实身份；

系统日志记录在线目标对象的虚拟IP地址，该虚拟IP地址中不包含目标对象的真实身份信息；企业内部系统基于该虚拟IP地址，无法提取目标对象的真实身份信息，从而无法定位企业内部系统的实际操作者，存在安全隐患问题。

2、企业内部系统无法识别离线目标对象的真实身份。

目标对象离线后，会释放曾使用的虚拟IP地址，而VPN系统会重新分配虚拟IP地址，因此，系统日志会出现一个虚拟IP地址对应多个目标对象的情况，这样，企业内部系统便无法基于虚拟IP地址对离线目标对象的真实身份信息进行确认，从而无法定位企业内部系统的实际操作者，存在安全隐患问题。

发明内容

本申请实施例提供一种对象溯源的方法及相关设备，用以准确识别目标对象的真实身份信息。

本申请实施例提供的具体技术方案如下：

第一方面，提供一种对象溯源的方法，包括：

运行有虚拟专用网络VPN系统的客户端，响应于目标对象触发的第一登录请求，通过所述VPN系统为所述目标对象分配虚拟网际互连协议IP地址；其中，所述第一登录请求用于请求接入目标内部系统；

所述客户端获取所述目标对象关联的对象描述信息；所述对象描述信息用于在所述客户端的运行环境中，唯一区分所述目标对象；

所述客户端基于所述虚拟IP地址和所述对象描述信息，生成所述目标对象的对象标识信息；

所述客户端向目标服务器发送第二登录请求，所述第二登录请求中携带所述对象标识信息，以使所述目标服务器将所述目标对象接入所述目标内部系统，并基于所述对象标识信息对所述目标对象进行身份识别。

第二方面，提供一种对象溯源的方法，包括：

目标服务器接收客户端基于目标对象触发的第一登录请求，发送的第二登录请求，所述第一登录请求用于请求接入目标内部系统，所述第二登录请求中携带所述目标对象的对象识别信息，以及所述对象标识信息是所述客户端采用以下方式获得的：通过运行的虚拟专用网络VPN系统为所述目标对象分配虚拟网际互连协议IP地址，获取所述目标对象关联的对象描述信息，并基于所述虚拟IP地址和所述对象描述信息生成所述对象标识信息；

所述目标服务器基于所述第二登录请求，将所述目标对象接入所述目标内部系统，并基于所述对象标识信息对所述目标对象进行身份识别。

第三方面，提供一种对象溯源的装置，包括：

第一获取模块，用于响应于目标对象触发的第一登录请求，通过本地运行的VPN系统为所述目标对象分配虚拟网际互连协议IP地址；其中，所述第一登录请求用于请求接入目标内部系统；

第二获取模块，获取所述目标对象关联的对象描述信息；所述对象描述信息用于在本地运行环境中，唯一区分所述目标对象；

生成模块，用于基于所述虚拟IP地址和所述对象描述信息，生成所述目标对象的对象标识信息；

发送监测模块，用于向目标服务器发送第二登录请求，所述第二登录请求中携带所述对象标识信息，以使所述目标服务器将所述目标对象接入所述目标内部系统，并基于所述对象标识信息对所述目标对象进行身份识别。

可选的，响应于目标对象触发的第一登录请求之前，所述第一获取模块还用于：

响应于目标对象在操作界面中，针对所述目标内部系统对应的系统图标触发的点击操作，确定接收到所述第一登录请求。

可选的，响应于目标对象触发的第一登录请求，通过本地运行的VPN系统为所述目标对象分配虚拟IP地址时，所述第一获取模块还用于：

响应于所述第一登录请求，从预设的虚拟IP地址池中，基于各虚拟IP地址的累积被选取次数，选取出一个虚拟IP地址；

将选取出的所述一个虚拟IP地址，分配给所述目标对象。

可选的，获取所述目标对象关联的对象描述信息时，所述第二获取模块还用于：

获取本地关联的真实IP地址，并将所述真实IP地址作为所述目标对象关联的对象描述信息；其中，所述真实IP地址是响应于所述目标对象触发的操作，在接入互联网网络时，由网络侧分配获得的；

获取所述目标对象关联的真实身份标识ID，并将所述真实ID作为所述目标对象关联的对象描述信息；其中，所述真实ID是在所述目标对象初次接入所述VPN系统时，通过身份验证流程获得的。

可选的，向目标服务器发送第二登录请求时，所述生成模块还用于：

基于所述虚拟IP地址和所述对象描述信息，生成所述目标对象的对象标识信息。

可选的，向目标服务器发送第二登录请求时，所述发送监测模块具体用于：

针对所述对象标识信息包含的所述对象描述信息，进行字符长度检测及字符组成方式检测，获得检测结果；

若基于所述检测结果，确定所述对象描述信息通过检测，则将所述对象标识信息携带在所述第二登录请求中，发往所述目标服务器；

若基于所述检测结果，确定所述对象描述信息未通过检测，则重新获取新的对象描述信息，并基于所述新的对象描述信息，对所述对象标识信息进行更新，以及将更新后的对象标识信息携带在所述第二登录请求中，发往所述目标服务器。

可选的，向目标服务器发送第二登录请求之后，所述发送监测模块还具体用于：

针对所述目标对象在所述VPN系统中的在线状态，进行周期性监测；

确定所述目标对象继续维持在线状态，则保存所述对象标识信息；

若确定所述目标对象处于离线状态，则对所述对象标识信息中记录的所述对象描述信息进行存储，并对所述目标对象标识信息中的所述虚拟IP地址进行释放，并将释放后的所述虚拟IP地址重新加入所述虚拟IP地址池。

第四方面，提供一种对象溯源的装置，包括：

接收模块，用于接收客户端基于目标对象触发的第一登录请求，发送的第二登录请求，所述第一登录请求用于请求接入目标内部系统，所述第二登录请求中携带所述目标对象的对象识别信息，以及所述对象标识信息是所述客户端采用以下方式获得的：通过运行的虚拟专用网络VPN系统为所述目标对象分配虚拟网际互连协议IP地址，获取所述目标对象关联的对象描述信息，并基于所述虚拟IP地址和所述对象描述信息生成所述对象标识信息；

识别模块，用于基于所述第二登录请求，将所述目标对象接入所述目标内部系统，并基于所述对象标识信息对所述目标对象进行身份识别。

可选的，基于所述第二登录请求，将所述目标对象接入所述目标内部系统，并基于所述对象标识信息对所述目标对象进行身份识别时，识别模块具体用于：

将所述目标对象接入所述目标内部系统，生成所述第二登录请求对应的登录日志；

若确定所述目标对象为初次登录所述目标内部系统，则基于所述对象标识信息包含的对象描述信息，获取所述目标对象在所述客户端关联的真实IP地址，并基于所述真实IP地址，在所述客户端触发的互联网历史操作记录中，获得并记录所述目标对象对应的真实身份数据；

若确定所述目标对象为非初次登录所述目标内部系统，则基于对象标识信息包含的对象描述信息，获取所述目标对象在所述客户端关联的真实ID，并从所述目标内部系统保存的历史操作记录中，提取所述目标对象对应的真实身份数据。

第五方面，提供一种电子设备，包括存储器，处理器及存储在存储器上并可在处理器运行的计算机程序，当计算机程序被处理器执行时，使得所述处理器执行上述第一方面或第二方面中任意一种对象溯源的方法。

第六方面，提供了一种计算机可读存储介质，所述计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时，实现上述第一方面或第二方面中任意一种对象溯源的方法。

本申请实施例中，当目标对象触发登录目标内部系统时，客户端为目标对象分配VPN系统的虚拟IP地址后，结合目标对象的对象描述信息，生成相应的对象标识信息，并将该对象标识信息发往目标服务器，而目标服务器可以基于对象标识信息中记录的对象描述信息，确定接入目标内部系统的目标对象的真实身份。这样，当各个对象接入目标内部系统后，针对各个对象所执行的各类操作，均会关联记录相应对象的真实身份，那么，目标内部系统便能够通过调取各类操作记录，确定各类操作的执行者，从而更好地避免外部对象登录目标内部系统盗取信息，提高目标内部系统的安全性，排除外部对象非法登录目标内部系统所构成的隐患问题。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1A为本申请实施例提供的对象溯源的方法的一种应用场景一；

图1B为本申请实施例提供的对象溯源的方法的一种应用场景二；

图2为本申请实施例提供的对象溯源的方法的一种流程示意图一；

图3为本申请实施例中操作页面的界面示意图；

图4为本申请实施例提供的对象溯源的方法的一种流程示意图二；

图5为本申请实施例提供的对象溯源的方法的一种原理示意图一；

图6为本申请实施例中身份验证页面的界面示意图；

图7为本申请实施例提供的对象溯源的方法的一种原理示意图二；

图8为本申请实施例提供的对象溯源的方法的一种原理示意图三；

图9为本申请实施例提供的对象溯源的方法的一种流程示意图三；

图10为本申请实施例提供的对象溯源的方法的一种原理示意图四；

图11为本申请实施例提供的对象溯源的方法的一种原理示意图五；

图12为本申请实施例提供的对象溯源的方法的一种原理示意图六；

图13为本申请实施例提供的对象溯源的方法的一种原理示意图七；

图14A为本申请实施例提供的对象溯源的方法的一种流程示意图四；

图14B为本申请实施例提供的对象溯源的方法的一种原理示意图八；

图15为本申请实施例提供的对象溯源的方法的一种原理示意图九；

图16为本申请实施例提供的对象溯源的方法的一种流程示意图五；

图17为本申请实施例提供的对象溯源的方法的一种流程示意图六；

图18为本申请实施例提供的对象溯源的方法的一种原理示意图十；

图19为本申请实施例提供的对象溯源的方法的一种原理示意图十一；

图20为本申请实施例中的一种对象溯源的装置的组成结构示意图一；

图21为本申请实施例中的一种对象溯源的装置的组成结构示意图二；

图22为本申请实施例中的一种对象溯源的电子设备的组成结构示意图。

具体实施方式

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请技术方案的一部分实施例，而不是全部的实施例。基于本申请文件中记载的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本申请技术方案保护的范围。

下面对本申请实施例中涉及的部分概念进行介绍。

超文本传输协议(Hyper Text Transfer Protocol，HTTP)服务器，一般指网站服务器，是指驻留于因特网上某种类型计算机的程序，可以处理浏览器等Web客户端的请求并返回相应响应，也可以放置网站文件，供目标对象浏览；可以放置数据文件，供目标对象下载。

参阅图1A所示，本申请实施例中，用于进行对象溯源的系统中包括客户端11和服务端12；其中，

客户端11，本申请实施例中，目标对象通过客户端11可以访问服务端12中的目标内部系统(如，公司内部网站等)；实际应用中，客户端11包括但不限于手机、电脑、智能穿戴设备、智能交通设备、智能电器等。

服务端12，本申请实施例中，服务端12用于将客户端11接入目标内部系统，并向客户端提供目标内部系统的各项服务。

参阅图1B所示，进一步的，相关技术中，客户端11上运行有VPN系统，如图1B所示，代理网络管理器(Proxy Internet Explorer，ProxyIE)为运行VPN系统的代理控件，则ProxyIE截获目标对象通过应用程序触发的基于Socket1的连接请求1，直接发送Socket1连接至服务端12内的中间服务器的Apache端口，以及通过中间服务器的Proxy端口，连接至承载有目标内部系统的目标服务器，其中，Proxy端口用于转发客户端发送的请求信息。

然而，采用上述方式，中间服务器仅能转发从ProxyIE截获的连接请求1，连接请求1中包含仅包含虚拟IP地址，因此，中间服务器也仅能转发虚拟IP地址；

而本申请实施例中，ProxyIE截获基于Socket1的连接请求1后，可以在该连接请求1中添加用于唯一区分目标对象的对象描述信息，再通过Socket2连接至服务端12内的中间服务器的Apache端口，以及通过中间服务器121的Proxy端口，连接至承载有目标内部系统的目标服务器，从而将对象描述信息传递至目标内部系统。

因此，这样，中间服务器能转发ProxyIE截获的连接请求1和所添加用于唯一区分目标对象的对象描述信息，从而，本申请实施例可以传输虚拟IP地址和对象描述信息。

以下结合说明书附图对本申请的优选实施例进行说明，应当理解，此处所描述的优选实施例仅用于说明和解释本申请，并不用于限定本申请，并且在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。

参阅图2所示，本申请实施例中，进行对象溯源时，客户端侧的详细流程如下：

步骤21：运行有VPN系统的客户端，响应于目标对象触发的第一登录请求，通过该VPN系统为目标对象分配虚拟IP地址；其中，第一登录请求用于请求接入目标内部系统。

本申请实施例中，客户端上运行有VPN系统，每当目标对象通过客户端请求登录目标内部系统时，客户端会通过VPN系统，为目标对象分配能够在目标内部系统中使用的虚拟IP地址，该虚拟IP地址在使用后会被释放，并在下一次使用时重新分配。

具体的，参阅图3所示，在执行步骤21之前，客户端响应于目标对象在操作界面中，针对目标内部系统对应的系统图标触发的点击操作，确定接收到第一登录请求；接着，在执行步骤21时，客户端响应于该第一登录请求，通过VPN系统为目标对象分配虚拟IP地址，参阅图4所示，分配过程具体如下：

步骤211：客户端响应于第一登录请求，从预设的虚拟IP地址池中，基于各虚拟IP地址的累积被选取次数，选取出一个虚拟IP地址。

具体的，本申请实施例中，预设有专属的虚拟IP地址池，该虚拟IP地址池可以运行在客户端上，也可以运行在指定的数据库服务器上，那么，在执行步骤211时，客户端可以针对预设的虚拟IP地址池中记录的各虚拟IP地址，按照各虚拟IP地址的累积被选取次数，对各虚拟IP地址进行排序，再按照排序结果，选取出一个虚拟IP地址分配给目标对象；其中，选取标准可以包含但不限于以下几种：

1、选取出累积被选取次数最少的一个虚拟IP地址。

这样，可以保证被选取次数最少的虚拟IP地址的被选取次数增加，使虚拟IP地址的资源分配更加均衡。

2、选取出累积被选取次数为中值的一个虚拟IP地址。

这样，可以保证不只是选取累积被选取次数最多和最少的虚拟IP地址，而是累积被选取次数为中值的虚拟IP地址也可以被选取到，保证虚拟IP地址的资源分配更加均衡。

3、选取出累积被选取次数为次少或次多的一个虚拟IP地址。

这样，可以保证避免多次重复选取，累积被选取次数最少或最多的虚拟IP地址，避免所选取的虚拟IP地址热度过高，从而保证虚拟IP地址的资源分配更加均衡。

上述3种选取方式仅为举例，实际应用中，还可以不参考累积被选取次数，而采用随机选取方式，选取出一个虚拟IP地址分配给目标对象，上述过程仅举例。

例如：假设在预设的虚拟IP地址池中，存在五个虚拟IP地址，且五个虚拟IP地址各自的累积被选取次数如表1所示：

表1

假设以选取出累积被选取次数最少的一个虚拟IP地址为例，则最终选取出的虚拟IP地址是2.2.2.2。

步骤212：客户端将选取出的一个虚拟IP地址，分配给目标对象。

本申请实施例中，假设目标对象被分配的一个虚拟IP地址为：2.2.2.2。

步骤22：客户端获取目标对象关联的对象描述信息；该对象描述信息用于在客户端的运行环境中，唯一区分目标对象。

具体的，参阅图5所示，在执行步骤22时，客户端获取对象描述信息的过程，包括但不限于以下两种操作：

1、客户端获取本地关联的真实IP地址，并将真实IP地址作为目标对象关联的对象描述信息；其中，真实IP地址是客户端响应于目标对象触发的操作，在接入互联网网络时，由网络侧分配获得的。

本申请实施例中，当目标对象在接入互联网时，网络侧会分配真实IP地址给目标对象，客户端获取本地关联的真实IP地址。目标对象会在该真实IP地址下访问互联网的应用系统，在历史操作记录中，会包含目标对象的真实身份数据，因此真实IP地址可以作为目标对象关联的描述信息。

例如：假设目标对象在接入互联网网络访问浏览器时，网络侧会分配真实IP地址给目标对象，其中分配的真实IP地址为：2.3.3.3，目标对象在真实IP地址2.3.3.3下访问支付软件，在历史支付记录中，会包含目标对象的真实身份数据，如真实姓名或身份证号等。

2、客户端获取目标对象关联的真实身份标识(Identity Document，ID)，并将真实ID作为目标对象关联的对象描述信息；其中，真实ID是客户端在目标对象初次接入VPN系统时，通过身份验证流程获得的。

例如：假设目标对象初次接入VPN系统，客户端会对目标对象进行身份验证，参阅图6所示，呈现身份验证页面，客户端获取目标对象在该页面输入的登录名“张三”，通过登录名获得真实ID“23451269”，并将其进行储存。

步骤23：客户端基于虚拟IP地址和对象描述信息，生成目标对象的对象标识信息。

本申请实施例中，客户端将本地关联的真实IP地址或者目标对象关联的真实ID，作为目标对象关联的对象描述信息之后，将对象描述信息与从虚拟IP地址池中选取的虚拟IP地址进行组合，生成可用于识别目标对象的对象标识信息。

例如：参阅图7所示，假设客户端11将真实ID“23451269”加在虚拟IP地址“2.2.2.2”之后，生成对象标识信息；

又例如，参阅图8所示，假设客户端11将真实IP地址“2.3.3.3”加在虚拟IP地址“2.2.2.2”之后，生成对象标识信息。

步骤24：客户端向目标服务器发送第二登录请求，第二登录请求中携带对象标识信息，以使目标服务器将目标对象接入目标内部系统，并基于对象标识信息对目标对象进行身份识别。

本申请实施例中，目标服务器为HTTP服务器，客户端响应于目标对象触发的第一登录请求，生成第二登录请求，该第二登录请求可以是HTTP请求报文，通过该HTTP请求报文的头部信息可以携带VPN系统为目标对象分配的虚拟IP地址。

例如：假设HTTP请求报文的头部信息为：

1 GET http://2.2.2.2//path/to/file.js HTTP/1.1\r\n

2 Refer:http://2.2.2.2\r\n

3 Host:2.2.2.2\r\n\r\n；其中携带VPN系统为目标对象分配的虚拟IP地址：2.2.2.2；

本申请实施例中，假设客户端11生成目标对象的对象描述信息为真实IP地址，且该真实IP地址为2.3.3.3，客户端11可以将该真实IP地址封闭在HTTP请求报文的头部信息中，更新后的HTTP请求报文信息的头部信息具体为：

1 GET http://2.2.2.2//path/to/file.js HTTP/1.1\r\n

2 Refer:http://2.2.2.2\r\n

3 Host:2.2.2.2\r\n\r\n

4UsrIP:2.3.3.3\r\n\r\n；

其中，携带的对象标识信息为：

3 Host:2.2.2.2\r\n\r\n

4UsrIP:2.3.3.3\r\n\r\n。

具体的，参阅图9所示，在执行步骤24时，具体执行以下步骤：

步骤241：客户端针对对象标识信息包含的对象描述信息，进行字符长度检测及字符组成方式检测，获得检测结果。

具体的，客户端针对真实IP地址或者真实ID，进行字符长度检测及字符组成方式检测，真实IP地址仅由数字组成，并且分为4部分，每部分的数字不大于255，真实ID也仅由数字组成，不包含英文字母，并且长度为8位，基于上述检测方式，获得对应的检测结果。

本申请实施例中，对象描述信息可以包含但不限于以下几种：

方式1、仅包含数字，即真实IP地址中中仅包含四组不大于255的数字。

例如，参阅图10所示，假设客户端11获取的真实IP地址2.3.3.3，获得该真实IP地址的检测结果：仅由数字组成，并且分成四部分，每部分的数字都小于255。

方式2、包含数字和字母，即获得的真实ID中包含数字和字母。

例如，参阅图11所示，假设客户端11获取的真实ID为“mmnn12456”，获得该真实ID的检测结果：由数字和字母组成，并且长度大于8。

步骤242：客户端基于检测结果，判断对象描述信息是否通过检测，若是，则执行步骤243；否则，执行步骤244。

本申请实施例中，仍以上述方式1和方式2为例，在执行步骤242时，包含但不限于以下操作：

针对方式1，参阅图10所示，假设真实IP地址的四组数字都不大于255，即通过检测，假设真实IP地址的四组数字大于255，则不合适。

针对方式2，参阅图11所示，假设真实ID全部为数字，并且数字个数为8，则通过检测，假设真实ID中包含字母或者个数不等于8，则不通过检测。

步骤243：客户端将对象标识信息携带在第二登录请求中，发往目标服务器。

本申请实施例中，仍以第二登录请求报文是HTTP请求报文为例，在确定对象描述信息通过检测后，客户端11会将对象标识信息携带在HTT请求报文的头部信息中，具体携带方式已在步骤24的相关描述中介绍，在此不再赘述。

步骤244：客户端重新获取新的对象描述信息，并基于新的对象描述信息，对对象标识信息进行更新，以及将更新后的对象标识信息携带在第二登录请求中，发往目标服务器。

具体的，在确定对象描述信息未通过检测时，客户端需要从VPN系统获取新的对象描述信息，并按照相同方式，针对已有的对象标识信息进行更新。

例如，参阅图12所示，假设原有的对象标识信息为“真实ID：mmnn12456虚拟IP地址：2.2.2.2”，其中“真实ID：mmnn12456”出现错误，则客户端从VPN系统的身份验证页面获取新的真实ID“12345678”，并且基于新的真实ID“12345678”,对对象标识信息中的原有的真实ID“mmnn12456”进行更新，从而获得更新后的对象标识信息“真实ID：12345678虚拟IP地址：2.2.2.2”，再将对象标识信息封装在HTTP请求报文的头部信息中，发往至HTTP服务器。

而目标服务器在接收到第二登录请求之后，会将目标对象接入目标内部系统，并基于对象标识信息对目标对象进行身份识别。

例如：参阅图13所示，本申请实施例中，HTTP服务器在接收到HTTP请求报文后，基于HTTP请求报文的头部信息，将目标对象接入目标内部系统，并基于HTTP请求报文的头部信息中携带的对象标识信息，对目标对象进行身份识别。

具体的，参阅图14A和图14B示，在执行步骤24之后，具体执行以下步骤：

步骤25：客户端针对目标对象在VPN系统中的在线状态，进行周期性监测，获取监测结果。

实际应用中，目标对象在使用VPN系统时为在线状态，目标对象在退出VPN系统时为离线状态，因此，为了节省VPN系统的资源，客户端在将第二登录请求发往目标服务器，且确定目标对象开始在线使用目标内部系统后，需要周期性在检测目标对象是否维持在在线状态，一旦发现目标对象处于离线状态，则需要及时释放虚拟IP地址。

步骤26：客户端基于获得的监测结果，判断目标对象是否在VPN系统中继续维持在线状态；若是，则执行步骤253；否则，执行步骤254。

步骤27：客户端保留对象标识信息。

客户端在步骤23生成对象标识信息时，会将生成的对象标识信息缓存在本地，而在客户端每次确定目标对象为在线状态时，会继续保留已记录的对象标识信息。

例如，客户端每次确定目标对象为在线状态时，会继续保留已记录的对象标识信息：

3 Host:2.2.2.2\r\n\r\n

4UsrIP:2.3.3.3\r\n\r\n。

步骤28：客户端保留对象标识信息中记录的对象描述信息进行存储，并对目标对象标识信息中的虚拟IP地址进行释放，并将释放后的虚拟IP地址重新加入虚拟IP地址池。

相对于步骤27，在客户端每次确定目标对象为离线状态时，仅保留对象标识信息中的对象描述信息，而释放虚拟IP地址，以保证虚拟IP地址资源的重复利用。

例如：参阅图15所示，假设客户端11确定目标对象为离线状态时，保留HTTP请求报文中的真实ID“12345678”，而释放目标对象标识信息中的虚拟IP地址“2.2.2.2”，并且释放该虚拟IP地址“2.2.2.2”重新加入虚拟IP地址池中，以便针对目标对象的再次分配虚拟IP地址。

与上述实施例相对应，参阅图16所示，本申请实施例中，进行对象溯源时，目标服务器侧的详细流程如下：

步骤161：目标服务器接收客户端基于目标对象触发的第一登录请求，发送的第二登录请求，第一登录请求用于请求接入目标内部系统，第二登录请求中携带目标对象的对象识别信息。

具体的，目标服务器接收的对象标识信息是客户端采用以下方式获得的：通过运行的VPN系统为目标对象分配IP地址，获取目标对象关联的对象描述信息，并基于虚拟IP地址和对象描述信息生成对象标识信息。

客户端生成对象标识信息的过程，已在步骤23中进行了详细介绍，在此不再赘述。

步骤162：目标服务器基于第二登录请求，将目标对象接入目标内部系统，并基于对象标识信息对目标对象进行身份识别。

与步骤24相对应的，本申请实施例中，假设目标服务器为HTTP服务器，第二登录请求为HTTP请求报文，则HTTP服务器基于HTTP请求报文的头部信息，提取对象标识信息，并基于该报文对目标对象进行身份识别。

例如：假设HTTP服务器基于HTTP请求报文的头部信息

1 GET http://2.2.2.2//path/to/file.js HTTP/1.1\r\n

2 Refer:http://2.2.2.2\r\n

3 Host:2.2.2.2\r\n\r\n

4UsrIP:2.3.3.3\r\n\r\n；

提取对象标识信息：

3 Host:2.2.2.2\r\n\r\n

4UsrIP:2.3.3.3\r\n\r\n，并基于真实IP地址2.3.3.3获取目标对象的真实身份“张三”。

进一步地，参阅图17所示，在执行步骤162时，具体执行以下步骤：

步骤162-1：目标服务器接收第二登录请求后，将目标对象接入目标内部系统，生成第二登录请求对应的登录日志。

步骤162-2：若确定目标对象为初次登录目标内部系统，则目标服务器基于对象标识信息包含的对象描述信息，获取目标对象在客户端关联的真实IP地址，并基于真实IP地址，在客户端触发的互联网历史操作记录中，获得并记录目标对象对应的真实身份数据。

例如：参阅图18所示，本申请实施例中，在确定目标对象为初次登录目标内部系统时，HTTP服务器连接企业内部系统，基于HTTP请求报文的头部信息中的对象描述信息，获取包含真实IP地址的报文：UsrIP:2.3.3.3\r\n\r\n，并基于目标对象在该真实IP地址“2.3.3.3”下访问支付软件，在客户端触发的历史支付记录中，提取与该真实IP地址“2.3.3.3”关联的真实姓名“李四”或者身份证号“12450319800425272X”，获得并在第二登录请求对应的登录日志中记录目标对象对应的真实身份数据“张三”。

步骤162-3：若确定目标对象为非初次登录目标内部系统，则目标服务器基于对象标识信息包含的对象描述信息，获取目标对象在客户端关联的真实ID，并从目标内部系统保存的历史操作记录中，提取目标对象对应的真实身份数据。

例如，参阅图19所示，本申请实施例中，在确定目标对象为非初次登录目标内部系统时，HTTP服务器连接企业内部系统，基于HTTP请求报文的头部信息中的对象描述信息，获取包含真实ID的报文：UsrID:12345678，并基于目标对象在该真实ID“12345678”下，访问目标内部系统的历史操作记录，获取该真实ID对应的真实IP地址“2.3.4.5”，基于真实IP地址“2.3.4.5”，在上述登录日志中提取与该真实IP地址“2.3.4.5”对应目标对象的真实身份数据“李四”。

基于相同的技术构思，本申请实施例还提供了一种对象溯源装置(如，客户端)，该对象溯源装置可以实现本申请实施例的上述方法流程。

图20示例性示出了本申请实施例提供的一种对象溯源装置的结构示意图。如图20所示，该对象溯源装置包括：第一获取模块2001、第二获取模块2002、生成模块2003，发送监测模块2004，其中，

第一获取模块2001，用于响应于目标对象触发的第一登录请求，通过本地运行的VPN系统为目标对象分配虚拟网际互连协议IP地址；其中，第一登录请求用于请求接入目标内部系统；

第二获取模块2002，获取目标对象关联的对象描述信息；对象描述信息用于在本地运行环境中，唯一区分目标对象；

生成模块2003，用于基于虚拟IP地址和对象描述信息，生成目标对象的对象标识信息；

发送监测模块2004，用于向目标服务器发送第二登录请求，第二登录请求中携带对象标识信息，以使目标服务器将目标对象接入目标内部系统，并基于对象标识信息对目标对象进行身份识别。

可选的，响应于目标对象触发的第一登录请求之前，第一获取模块2001还用于：

响应于目标对象在操作界面中，针对目标内部系统对应的系统图标触发的点击操作，确定接收到第一登录请求。

可选的，响应于目标对象触发的第一登录请求，通过本地运行的VPN系统为目标对象分配虚拟IP地址时，第一获取模块2001还用于：

响应于第一登录请求，从预设的虚拟IP地址池中，基于各虚拟IP地址的累积被选取次数，选取出一个虚拟IP地址；

将选取出的一个虚拟IP地址，分配给目标对象。

可选的，获取目标对象关联的对象描述信息时，第二获取模块2002还用于：

获取本地关联的真实IP地址，并将真实IP地址作为目标对象关联的对象描述信息；其中，真实IP地址是响应于目标对象触发的操作，在接入互联网网络时，由网络侧分配获得的；

获取目标对象关联的真实身份标识ID，并将真实ID作为目标对象关联的对象描述信息；其中，真实ID是在目标对象初次接入VPN系统时，通过身份验证流程获得的。

可选的，向目标服务器发送第二登录请求时，生成模块2003还用于：

基于虚拟IP地址和对象描述信息，生成目标对象的对象标识信息。

可选的，向目标服务器发送第二登录请求时，发送监测模块2004具体用于：

针对对象标识信息包含的对象描述信息，进行字符长度检测及字符组成方式检测，获得检测结果；

若基于检测结果，确定对象描述信息通过检测，则将对象标识信息携带在第二登录请求中，发往目标服务器；

若基于检测结果，确定对象描述信息未通过检测，则重新获取新的对象描述信息，并基于新的对象描述信息，对对象标识信息进行更新，以及将更新后的对象标识信息携带在第二登录请求中，发往目标服务器。

可选的，向目标服务器发送第二登录请求之后，发送监测模块2004还具体用于：

针对目标对象在VPN系统中的在线状态，进行周期性监测；

确定目标对象继续维持在线状态，则保存对象标识信息；

若确定目标对象处于离线状态，则对对象标识信息中记录的对象描述信息进行存储，并对目标对象标识信息中的虚拟IP地址进行释放，并将释放后的虚拟IP地址重新加入虚拟IP地址池。

本申请实施例还提供了一种对象溯源装置(如，目标服务器侧)，该对象溯源装置可以实现本申请实施例的上述方法流程。

图21示例性示出了本申请实施例提供的一种对象溯源的结构示意图。如图11所示，该对象溯源装置包括：接收模块2101、识别模块2102，其中，接收模块2101：用于接收客户端基于目标对象触发的第一登录请求，发送的第二登录请求，第一登录请求用于请求接入目标内部系统，第二登录请求中携带目标对象的对象识别信息，以及对象标识信息是客户端采用以下方式获得的：通过运行的虚拟专用网络VPN系统为目标对象分配虚拟网际互连协议IP地址，获取目标对象关联的对象描述信息，并基于虚拟IP地址和对象描述信息生成对象标识信息；

识别模块2102：用于基于第二登录请求，将目标对象接入目标内部系统，并基于对象标识信息对目标对象进行身份识别。

可选的，基于所述第二登录请求，将所述目标对象接入所述目标内部系统，并基于所述对象标识信息对所述目标对象进行身份识别时，识别模块2102具体用于：

将目标对象接入所述目标内部系统，生成第二登录请求对应的登录日志；

若确定目标对象为初次登录目标内部系统，则基于对象标识信息包含的对象描述信息，获取目标对象在客户端关联的真实IP地址，并基于真实IP地址，在客户端触发的互联网历史操作记录中，获得并记录目标对象对应的真实身份数据；

若确定目标对象为非初次登录目标内部系统，则基于对象标识信息包含的对象描述信息，获取目标对象在客户端关联的真实ID，并从目标内部系统保存的历史操作记录中，提取目标对象对应的真实身份数据。

与上述方法实施例基于同一发明构思，本申请实施例中还提供了一种电子设备，参阅图22所示，其为应用本申请实施例的一种电子设备的一个硬件组成结构示意图，包括：

至少一个处理器2201，以及与至少一个处理器2201连接的存储器2202，本申请实施例中不限定处理器2201与存储器2202之间的具体连接介质，图22中是以处理器2201和存储器2202之间通过总线2200连接为例。总线2200在图22中以粗线表示，其它部件之间的连接方式，仅是进行示意性说明，并不引以为限。总线2200可以分为地址总线、数据总线、控制总线等，为便于表示，图22中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。或者，处理器2201也可以称为控制器，对于名称不做限制。

在本申请实施例中，存储器2202存储有可被至少一个处理器2201执行的指令，至少一个处理器2201通过执行存储器2202存储的指令，可以执行前文论述的一种存储自动化部署方法。处理器2201可以实现图18所示的装置中各个模块的功能。

其中，处理器2201是该装置的控制中心，可以利用各种接口和线路连接整个该控制设备的各个部分，通过运行或执行存储在存储器2202内的指令以及调用存储在存储器2202内的数据，该装置的各种功能和处理数据，从而对该装置进行整体监控。

在一种可能的设计中，处理器2201可包括一个或多个处理单元，处理器2201可集成应用处理器和调制解调处理器，其中，应用处理器主要处理操作系统、用户界面和应用程序等，调制解调处理器主要处理无线通信。可以理解的是，上述调制解调处理器也可以不集成到处理器2201中。在一些实施例中，处理器2201和存储器2202可以在同一芯片上实现，在一些实施例中，它们也可以在独立的芯片上分别实现。

处理器2201可以是通用处理器，例如CPU(CPU)、数字信号处理器、专用集成电路、现场可编程门阵列或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件，可以实现或者执行本申请实施例中公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者任何常规的处理器等。结合本申请实施例所公开的一种存储自动化部署方法的步骤可以直接体现为硬件处理器执行完成，或者用处理器中的硬件及软件模块组合执行完成。

存储器2202作为一种非易失性计算机可读存储介质，可用于存储非易失性软件程序、非易失性计算机可执行程序以及模块。存储器2202可以包括至少一种类型的存储介质，例如可以包括闪存、硬盘、多媒体卡、卡型存储器、随机访问存储器(Random AccessMemory，RAM)、静态随机访问存储器(Static Random Access Memory，SRAM)、可编程只读存储器(Programmable Read Only Memory，PROM)、只读存储器(Read Only Memory，ROM)、带电可擦除可编程只读存储器(Electrically Erasable Programmable Read-Only Memory，EEPROM)、磁性存储器、磁盘、光盘等等。存储器2202是能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。本申请实施例中的存储器2202还可以是电路或者其它任意能够实现存储功能的装置，用于存储程序指令和/或数据。

通过对处理器2201进行设计编程，可以将前述实施例中介绍的一种业务引导办理方法所对应的代码固化到芯片内，从而使芯片在运行时能够执行图2所示的实施例的一种业务引导办理方法的步骤。如何对处理器2201进行设计编程为本领域技术人员所公知的技术，这里不再赘述。

基于同一发明构思，本申请实施例还提供一种存储介质，该存储介质存储有计算机指令，当该计算机指令在计算机上运行时，使得计算机执行前文论述的一种业务引导办理方法。

在一些可能的实施方式中，本申请提供一种分布式系统部署方法的各个方面还可以实现为一种程序产品的形式，其包括程序代码，当程序产品在装置上运行时，程序代码用于使该控制设备执行本说明书上述描述的根据本申请各种示例性实施方式的一种分布式系统部署方法中的步骤。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个服务器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

显然，本领域的技术人员可以对本申请进行各种改动和变型而不脱离本申请的精神和范围。这样，倘若本申请的这些修改和变型属于本申请权利要求及其等同技术的范围之内，则本申请也意图包含这些改动和变型在内。

Claims (12)

1.一种对象溯源的方法，其特征在于，所述方法包括：

运行有虚拟专用网络VPN系统的客户端，响应于目标对象触发的第一登录请求，通过所述VPN系统为所述目标对象分配虚拟网际互连协议IP地址；其中，所述第一登录请求用于请求接入目标内部系统；

所述客户端获取所述目标对象关联的对象描述信息；所述对象描述信息用于在所述客户端的运行环境中，唯一区分所述目标对象；

所述客户端基于所述虚拟IP地址和所述对象描述信息，生成所述目标对象的对象标识信息；

所述客户端向目标服务器发送第二登录请求，所述第二登录请求中携带所述对象标识信息，以使所述目标服务器将所述目标对象接入所述目标内部系统，并基于所述对象标识信息对所述目标对象进行身份识别。

2.如权利要求1所述的方法，其特征在于，所述运行有VPN系统的客户端，响应于目标对象触发的第一登录请求之前，包括：

所述客户端响应于目标对象在操作界面中，针对所述目标内部系统对应的系统图标触发的点击操作，确定接收到所述第一登录请求。

3.如权利要求1所述的方法，其特征在于，所述运行有VPN系统的客户端，响应于目标对象触发的第一登录请求，通过所述VPN系统为所述目标对象分配虚拟IP地址，包括：

所述客户端响应于所述第一登录请求，从预设的虚拟IP地址池中，基于各虚拟IP地址的累积被选取次数，选取出一个虚拟IP地址；

所述客户端将选取出的所述一个虚拟IP地址，分配给所述目标对象。

4.如权利要求1、2或3所述的方法，其特征在于，所述客户端获取所述目标对象关联的对象描述信息，包括：

所述客户端获取本地关联的真实IP地址，并将所述真实IP地址作为所述目标对象关联的对象描述信息；其中，所述真实IP地址是所述客户端响应于所述目标对象触发的操作，在接入互联网网络时，由网络侧分配获得的；或者，

所述客户端获取所述目标对象关联的真实身份标识ID，并将所述真实ID作为所述目标对象关联的对象描述信息；其中，所述真实ID是所述客户端在所述目标对象初次接入所述VPN系统时，通过身份验证流程获得的。

5.如权利要求1、2或3所述的方法，其特征在于，所述客户端向目标服务器发送第二登录请求，包括：

所述客户端针对所述对象标识信息包含的所述对象描述信息，进行字符长度检测及字符组成方式检测，获得检测结果；

若基于所述检测结果，确定所述对象描述信息通过检测，则将所述对象标识信息携带在所述第二登录请求中，发往所述目标服务器；

若基于所述检测结果，确定所述对象描述信息未通过检测，则重新获取新的对象描述信息，并基于所述新的对象描述信息，对所述对象标识信息进行更新，以及将更新后的对象标识信息携带在所述第二登录请求中，发往所述目标服务器。

6.如权利要求5所述的方法，其特征在于，所述客户端向目标服务器发送第二登录请求之后，还包括：

所述客户端针对所述目标对象在所述VPN系统中的在线状态，进行周期性监测；

若所述客户端确定所述目标对象继续维持在线状态，则保留所述对象标识信息；

若所述客户端确定所述目标对象处于离线状态，则保留所述对象标识信息中记录的所述对象描述信息，并对所述目标对象标识信息中的所述虚拟IP地址进行释放，并将释放后的所述虚拟IP地址重新加入所述虚拟IP地址池。

7.一种对象溯源的方法，其特征在于，所述方法包括：

目标服务器接收客户端基于目标对象触发的第一登录请求，发送的第二登录请求，所述第一登录请求用于请求接入目标内部系统，所述第二登录请求中携带所述目标对象的对象识别信息，以及所述对象标识信息是所述客户端采用以下方式获得的：通过运行的虚拟专用网络VPN系统为所述目标对象分配虚拟网际互连协议IP地址，获取所述目标对象关联的对象描述信息，并基于所述虚拟IP地址和所述对象描述信息生成所述对象标识信息；

所述目标服务器基于所述第二登录请求，将所述目标对象接入所述目标内部系统，并基于所述对象标识信息对所述目标对象进行身份识别。

8.如权利要求7所述的方法，其特征在于，所述目标服务器基于所述第二登录请求，将所述目标对象接入所述目标内部系统，并基于所述对象标识信息对所述目标对象进行身份识别，包括：

所述目标服务器接收所述第二登录请求后，将所述目标对象接入所述目标内部系统，生成所述第二登录请求对应的登录日志；

若确定所述目标对象为初次登录所述目标内部系统，则所述目标服务器基于所述对象标识信息包含的对象描述信息，获取所述目标对象在所述客户端关联的真实IP地址，并基于所述真实IP地址，在所述客户端触发的互联网历史操作记录中，获得并记录所述目标对象对应的真实身份数据；

若确定所述目标对象为非初次登录所述目标内部系统，则所述目标服务器基于对象标识信息包含的对象描述信息，获取所述目标对象在所述客户端关联的真实ID，并从所述目标内部系统保存的历史操作记录中，提取所述目标对象对应的真实身份数据。

9.一种对象溯源的装置，其特征在于，包括：

第一获取模块，用于响应于目标对象触发的第一登录请求，通过所述VPN系统为所述目标对象分配虚拟网际互连协议IP地址；其中，所述第一登录请求用于请求接入目标内部系统；

第二获取模块，获取所述目标对象关联的对象描述信息；所述对象描述信息用于在所述客户端的运行环境中，唯一区分所述目标对象；

生成模块，用于基于所述虚拟IP地址和所述对象描述信息，生成所述目标对象的对象标识信息；

发送监测模块，用于向目标服务器发送第二登录请求，所述第二登录请求中携带所述对象标识信息，以使所述目标服务器将所述目标对象接入所述目标内部系统，并基于所述对象标识信息对所述目标对象进行身份识别。

10.一种对象溯源的装置，其特征在于，包括：

接收模块，用于接收客户端基于目标对象触发的第一登录请求，发送的第二登录请求，所述第一登录请求用于请求接入目标内部系统，所述第二登录请求中携带所述目标对象的对象识别信息，以及所述对象标识信息是所述客户端采用以下方式获得的：通过运行的虚拟专用网络VPN系统为所述目标对象分配虚拟网际互连协议IP地址，获取所述目标对象关联的对象描述信息，并基于所述虚拟IP地址和所述对象描述信息生成所述对象标识信息；

识别模块，用于基于所述第二登录请求，将所述目标对象接入所述目标内部系统，并基于所述对象标识信息对所述目标对象进行身份识别。

11.一种电子设备，包括存储器，处理器及存储在存储器上并可在处理器运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1-8中任一项所述的对象溯源的方法。

12.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1-8中任一项所述方法的步骤。

Images