CN114978742B - 一种验证信息生成方法、验证方法及装置 - Google Patents

Abstract

本发明提供了一种验证信息生成方法、验证方法及装置，方法包括：响应于客户端发送的验证信息生成请求，生成针对客户端的唯一识别码，并获取验证信息生成请求中携带的客户端的通信地址；生成验证图像，以及用于反映验证图像包含的验证信息的正确答案；将唯一识别码、通信地址拼接生成第一校验信息；根据唯一识别码、通信地址、正确答案和预设的全局密钥，生成第一签名信息，并将第一签名信息、第一校验信息和验证图像发送给客户端。本发明整个校验过程对服务端本地缓存的依赖较小，进而使得服务端的缓存压力较小，在高并发场景下，能够便于展开对缓存性能的拓展。

Description

一种验证信息生成方法、验证方法及装置

技术领域

本发明属于计算机技术领域，特别是涉及一种验证信息生成方法及装置、验证方法及装置、电子设备及计算机可读存储介质。

背景技术

随着通信安全技术的不断发展，页面验证在用户使用互联网的过程中已经随处可见。

在目前，页面验证流程可以基于会话(session)机制实现，服务端可以在每一次下发验证图像的时候，随机生成一个字符串作为验证码，并将该字符串存储到本地缓存，以供服务端后续验证客户端返回信息时，基于缓存中的验证码实现验证。

但是，发明人在研究过程中发现，目前方案中，服务端本地的缓存压力会非常巨大，在缓存性能受限的情况下，难以展开高并发环境下的缓存性能拓展。

发明内容

基于此，本发明提供了一种验证信息生成及验证方案，以解决相关技术中服务端本地的缓存压力非常巨大，难以展开高并发环境下的缓存性能拓展的问题。

本发明还提供了一种验证信息生成装置及验证装置，用以保证上述方法在实际中的实现及应用。

本发明实施例提供了一种验证信息生成方法，该方法包括：

响应于客户端发送的验证信息生成请求，生成针对所述客户端的唯一识别码，并获取所述验证信息生成请求中携带的客户端的通信地址；

生成验证图像，以及用于反映所述验证图像包含的验证信息的正确答案；

将所述唯一识别码、所述通信地址拼接生成第一校验信息；

根据所述唯一识别码、所述通信地址、所述正确答案和预设的全局密钥，生成第一签名信息，并将所述第一签名信息、所述第一校验信息和所述验证图像发送给所述客户端。

本发明实施例提供了一种验证方法，该方法包括：

响应于客户端发送的校验请求，所述校验请求包括：用户针对验证图像在所述客户端输入的验证输入内容、第二签名信息、第二校验信息，以及所述客户端的通信地址；

在确定预设的存储片区中未存储有所述第二校验信息中的唯一识别码的情况下，提取所述第二校验信息中的通信地址；所述存储片区中存储有已验证通过的客户端的唯一识别码；

在所述第二校验信息中的通信地址，与所述客户端的通信地址一致的情况下，基于预设的全局密钥、所述第二校验信息和所述验证输入内容，生成第三签名信息；

在所述第三签名信息和所述第二签名信息一致的情况下，确定对所述客户端的验证通过。

本发明实施例还提供了一种验证信息生成装置，该装置包括：

第一响应模块，用于响应于客户端发送的验证信息生成请求，生成针对所述客户端的唯一识别码，并获取所述验证信息生成请求中携带的客户端的通信地址；

第一生成模块，用于生成验证图像，以及用于反映所述验证图像包含的验证信息的正确答案；

第二生成模块，用于将所述唯一识别码、所述通信地址拼接生成第一校验信息；

第三生成模块，用于根据所述唯一识别码、所述通信地址、所述正确答案和预设的全局密钥，生成第一签名信息，并将所述第一签名信息、所述第一校验信息和所述验证图像发送给所述客户端。

本发明实施例还提供了一种验证装置，该装置包括：

第二响应模块，用于响应于客户端发送的校验请求，所述校验请求包括：用户针对验证图像在所述客户端输入的验证输入内容、第二签名信息、第二校验信息，以及所述客户端的通信地址；

提取模块，用于在确定预设的存储片区中未存储有所述第二校验信息中的唯一识别码的情况下，提取所述第二校验信息中的通信地址；所述存储片区中存储有已验证通过的客户端的唯一识别码；

第四生成模块，用于在所述第二校验信息中的通信地址，与所述客户端的通信地址一致的情况下，基于预设的全局密钥、所述第二校验信息和所述验证输入内容，生成第三签名信息；

校验模块，用于在所述第三签名信息和所述第二签名信息一致的情况下，确定对所述客户端的验证通过。

本发明实施例还提供了一种电子设备，包括：处理器；用于存储所述处理器可执行指令的存储器；其中，所述处理器被配置为执行所述指令，以实现上述的方法。

本发明实施例还提供了一种计算机可读存储介质，当所述计算机可读存储介质中的指令由电子设备的处理器执行时，使得电子设备能够执行上述的方法。

本发明实施例还提供了一种计算机程序产品，包括计算机程序，所述计算机程序被处理器执行时实现上述的方法。

在本发明实施例中，服务端生成的验证图像、正确答案、唯一识别码、通信地址、第一校验信息和第一签名信息都无需留存在本地缓存，而是一并打包发送给客户端，服务端后续可以根据客户端返回的校验信息、签名信息和验证输入内容实现校验，整个校验过程对服务端本地缓存的依赖较小，进而使得服务端的缓存压力较小，在高并发场景下，能够便于展开对缓存性能的拓展。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例提供的一种验证信息生成方法的步骤流程图；

图2是本发明实施例提供的一种验证交互过程的场景架构图；

图3是本发明实施例提供的一种验证方法的步骤流程图；

图4是本发明实施例提供的一种验证信息生成方法的具体步骤流程图；

图5是本发明实施例提供的一种验证方法的具体步骤流程图；

图6是本发明实施例提供的一种验证信息生成装置的框图；

图7是本发明实施例提供的一种验证装置的框图；

图8本公开一个实施例的电子设备的逻辑框图；

图9本公开另一个实施例的电子设备的逻辑框图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明可用于众多通用或专用的计算装置环境或配置中。例如：个人计算机、服务器计算机、手持设备或便携式设备、平板型设备、多处理器装置、包括以上任何装置或设备的分布式计算环境等等。

本发明可以在由计算机执行的计算机可执行指令的一般上下文中描述，例如程序模块。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。也可以在分布式计算环境中实践本发明，在这些分布式计算环境中，由通过通信网络而被连接的远程处理设备来执行任务。在分布式计算环境中，程序模块可以位于包括存储设备在内的本地和远程计算机存储介质中。

图1是本发明实施例提供的一种验证信息生成方法的步骤流程图，如图1所示，该方法可以包括：

步骤101、响应于客户端发送的验证信息生成请求，生成针对所述客户端的唯一识别码，并获取所述验证信息生成请求中携带的客户端的通信地址。

本发明实施例的一种验证信息生成方法应用于如图2所示的场景，场景包括服务端和客户端，服务端可以提供页面验证服务，页面验证场景是指用户通过客户端访问一个页面(如登录页面、支付页面等)时，基于访问安全的考虑，需要进行访问页面的验证，验证通过后用户可以在客户端被授权进行后续操作，验证若不通过，则不为客户端提供后续的相关信息。

在实际应用中，一种具体的验证方式是由服务端生成验证信息和正确答案，并将验证信息发送给客户端，客户端展示验证信息后，由用户输入对应的答案，并将答案返回给服务端，服务端在确定用户输入答案和正确答案一致的情况下，可以确定验证通过。如，服务端生成一张验证图像，验证图像中显示有“2739”的数字内容，若用户在客户端针对验证图像输入了“2739”，则可以确定针对验证图像的验证通过。

但是，仅针对验证信息的正确答案和用户输入答案进行验证，会导致验证过于简单，容易被外界恶意攻击，因此为了提升验证的安全性，本发明实施例还可以基于唯一识别码(UUID，Universally Unique Identifier)、通信地址、验证过期时间、签名信息等多方面维度实现验证，其中，唯一识别码是针对每次验证生成的唯一的标识信息，基于唯一识别码的验证可以判断当前是否存在恶意的重放攻击(外界恶意获取到识别码进行重复的验证使用)；通信地址可以反映授权验证的客户端的网际互连协议(IP，Internet Protocol)地址、域名、通信端口等信息，基于通信地址的验证可以判断当前是否存在其他客户端恶意盗用验证信息；验证过期时间则可以是服务端生成的，用于规定验证信息的使用有效期限，基于验证过期时间的验证可以判断当前验证信息是否过期；签名信息是服务端基于加密摘要算法处理得到的参数，基于签名信息的验证可以提供额外的加密校验验证，提高整体验证的安全性。

在该步骤中，当客户端访问需要进行验证的页面时，可以发送验证信息生成请求给服务端，服务端响应于验证信息生成请求，可以针对本次验证生成一个与客户端对应的唯一识别码，唯一识别码是一个128比特的数值，这个数值可以通过一定的算法计算出来，为了提高效率，常用的唯一识别码可缩短至16位，唯一识别码可以用来识别属性类型，唯一识别码在所有空间和时间上被视为唯一的标识。

另外，客户端发送的验证信息生成请求中还携带有客户端的通信地址，服务端也可以将通信地址进行提取。

步骤102、生成验证图像，以及用于反映所述验证图像包含的验证信息的正确答案。

在本发明实施例中，服务端可以内置有验证图像生成算法，该算法可以生成具有随机或指定验证信息的验证图像，例如，服务端可以生成包含有随机字符串内容的验证图像，服务端也可以生成包含有随机画面对象(随机的动物、汽车、几何体等)的验证图像。在生成验证图像的同时，服务端也可以生成用于反映验证图像包含的验证信息的正确答案。

需要说明的是，本发明实施例的验证形式并不限定与验证图像一种，例如，本发明实施例还可以通过问题验证的实现页面验证，服务端可以生成一个验证问题来替代验证图像，如“21+31＝？”，并生成验证问题的正确答案“52”。

步骤103、将所述唯一识别码、所述通信地址拼接生成第一校验信息。

在本发明实施例中，页面验证的一个环节是验证请求生成验证信息的客户端和返回用户输入的验证答案的客户端是同一客户端，具体可以通过服务端响应于验证信息生成请求时生成的唯一识别码、通信地址来实现上述验证，具体的，服务端可以将唯一识别码、通信地址拼接生成校验信息，并将校验信息发送给客户端，客户端在得到用户输入的验证答案后，会将校验信息返回给服务端，服务端则可以对收到的校验信息进行验证。

步骤104、根据所述唯一识别码、所述通信地址、所述正确答案和预设的全局密钥，生成第一签名信息，并将所述第一签名信息、所述第一校验信息和所述验证图像发送给所述客户端。

在本发明实施例还可以进一步通过签名校验，实现高效安全的检验形式，具体的，服务端可以将利用预设的签名生成算法，基于唯一识别码、通信地址、正确答案和预设的全局密钥，生成第一签名信息，其中，签名信息可以通过密钥实现加密，签名信息具体是对数据所作的密码变换，使得数据的接收者用以确认数据的来源和数据的完整性并通过加密保护数据，防止外界进行伪造。本发明实施例的服务端可以事先生成一个全局密钥，以供全局使用，在每次生成签名信息时，都可以采用该全局密钥实现加密。

进一步的，服务端可以将第一签名信息、第一校验信息和验证图像发送给客户端，验证图像用于在客户端展示并实现基础的图像验证，第一校验信息中的唯一识别码则可以通过验证来判断是否存在重放攻击，第一校验信息中的通信地址可以通过验证来判断是否存在恶意盗用验证信息，第一签名信息通过验证可以判断是否存在信息篡改。

由于本发明实施例中服务端并不在本地缓存留存验证所需数据，而是将验证所需数据发送给客户端，最后由客户端返回的验证数据实现验证，因此服务端本地的缓存压力较小。另外，服务端可以只通过与客户端交互实现验证，无需绑定特定的身份验证系统辅助验证，且服务端的验证信息可以在任何地方生成，不存在跨域问题。

综上，本发明实施例提供的一种验证信息生成方法，服务端生成的验证图像、正确答案、唯一识别码、通信地址、第一校验信息和第一签名信息都无需留存在本地缓存，而是一并打包发送给客户端，服务端后续可以根据客户端返回的校验信息、签名信息和验证输入内容实现校验，整个校验过程对服务端本地缓存的依赖较小，进而使得服务端的缓存压力较小，在高并发场景下，能够便于展开对缓存性能的拓展。

图3是本发明实施例提供的一种验证方法的步骤流程图，如图3所示，该方法可以包括：

步骤201、响应于客户端发送的校验请求，所述校验请求包括：用户针对验证图像在所述客户端输入的验证输入内容、第二签名信息、第二校验信息，以及所述客户端的通信地址。

在本发明实施例中，客户端在收到服务端发送的第一签名信息、第一校验信息和验证图像之后，可以将验证图像进行展示，并获取用户在客户端针对验证图像输入的验证输入内容。如，验证图像是内容为“2137”的图像，则用户正确的验证输入内容应该是字符串“2137”。

在获取到验证输入内容后，客户端就可以将第一签名信息、第一校验信息分别作为第二签名信息、第二校验信息添加进校验请求，以及将验证输入内容也添加进校验请求，最后将校验请求发送给服务端，以供服务端进行验证校验。

需要说明的是，在服务端获取到用户针对验证图像输入的验证输入内容之后，服务端可以先将该验证输入内容与验证图像的正确答案比较，若二者一致则执行步骤202，若二者不一致，则直接发出验证失败的通知。

步骤202、在确定预设的存储片区中未存储有所述第二校验信息中的唯一识别码的情况下，提取所述第二校验信息中的通信地址；所述存储片区中存储有已验证通过的客户端的唯一识别码。

在本发明实施例中，服务端可以针对每次验证操作生成一个对应的唯一识别码，唯一识别码具有仅单次使用的特性，即每次验证成功后该唯一识别码作废，具体的，服务端的本地可以划分一个存储片区，该存储片区中可以存储有已验证通过的客户端的唯一识别码，使得每次验证成功后，服务端可以将该次验证所使用的唯一识别码存储在存储片区中。

进一步的，由于服务端生成校验信息时，校验信息中携带有请求验证的客户端的唯一识别码和通信地址，因此服务端可以从客户端返回的第二校验信息中先提取到客户端的唯一识别码，判断该唯一识别码是否处于存储片区中，若唯一识别码处于存储片区，则认为当前验证所使用的唯一识别码是一个之前已经验证过的唯一识别码，违背了唯一识别码的仅单次使用的特性，并判断当前可能存在外界的恶意重放攻击，即外界盗取了唯一识别码进行重复使用，当前校验不通过。若唯一识别码不处于存储片区，则认为当前验证所使用的唯一识别码是正常的唯一识别码，进而提取第二校验信息中的通信地址进行后续验证。

步骤203、在所述第二校验信息中的通信地址，与所述客户端的通信地址一致的情况下，基于预设的全局密钥、所述第二校验信息和所述验证输入内容，生成第三签名信息。

在本发明实施例中，在对唯一识别码进行校验且校验通过后，可以进一步进行通信地址的校验，具体为获取客户端发送的校验请求的同时，获取该发送校验请求的客户端的通信地址，并判断从第二校验信息中提取的通信地址与该客户端的通信地址是否一致，若二者不一致，则认为发送校验请求的客户端和发送验证信息生成请求的客户端不是同一客户端(正常情况下这两个客户端应是同一客户端)，确定当前可能存在其他客户端恶意盗用验证信息的情况，当前校验不通过；若二者不一致，则认为发送校验请求的客户端和发送验证信息生成请求的客户端是同一客户端，进而进行后续的签名校验。

签名校验具体需要服务端先根据预设的全局密钥、用户输入的验证输入内容、以及第二校验信息中包含的唯一识别码、通信地址，按照与第一校验信息相同的签名生成算法，生成一个第三签名信息，之后通过比较第三签名信息和第二签名信息即可实现签名校验。

步骤204、在所述第三签名信息和所述第二签名信息一致的情况下，确定对所述客户端的验证通过。

在该步骤中，签名校验具体为服务端根据客户端返回的第二校验信息以及验证输入内容，按照与与第一校验信息相同的签名生成算法和全局密钥，再生成一个新的第三签名信息，并判断第三签名信息和第二签名信息是否一致，若二者不一致，则有可能是用户针对验证图像输入的验证输入内容有误，在用户针对验证图像输入的验证输入内容无误的情况下，第三签名信息和第二签名信息不一致还能确定当前可能存在外界恶意篡改验证信息的情况。若第三签名信息和第二签名信息一致，则可以认为当前对客户端验证通过，后续允许客户端访问页面或授予相关权限。

综上所述，本发明实施例提供的一种验证方法，服务端生成的验证图像、正确答案、唯一识别码、通信地址、第一校验信息和第一签名信息都无需留存在本地缓存，而是一并打包发送给客户端，服务端后续可以根据客户端返回的校验信息、签名信息和验证输入内容实现校验，整个校验过程对服务端本地缓存的依赖较小，进而使得服务端的缓存压力较小，在高并发场景下，能够便于展开对缓存性能的拓展。

图4是本发明实施例提供的一种验证信息生成方法的具体步骤流程图，如图4所示，该方法可以包括：

步骤301、响应于客户端发送的验证信息生成请求，生成针对所述客户端的唯一识别码，并获取所述验证信息生成请求中携带的客户端的通信地址。

该步骤具体可以参照上述步骤101的相关描述，此处不再赘述。

步骤302、生成验证图像，以及用于反映所述验证图像包含的验证信息的正确答案。

该步骤具体可以参照上述步骤102的相关描述，此处不再赘述。

步骤303、根据预设的验证留存时长以及响应于所述验证信息生成请求时的时刻，确定验证过期时刻。

基于本发明实施例的验证场景，由于服务端并不在本地缓存中存储验证数据，因此服务端对发出的验证数据无法进行控制，这就造成验证数据会被外界恶意截取重复利用，为了解决上述问题，本发明实施例可以设定验证数据过期作废的机制，具体为服务端针对验证数据设定一个验证过期时刻，并在验证环节判断验证时刻是否超出验证过期时刻，若超出则将验证数据作废，并确定验证失败。

具体的，验证数据的有效时长(验证留存时长)可以根据实际需求进行设定，例如，假设响应于验证信息生成请求时的时刻为10点10分，若验证留存时长为10分钟，则验证过期时刻为10点20分。

步骤304、将所述唯一识别码、所述通信地址和所述验证过期时刻拼接生成第一校验信息。

在该步骤中，存在验证数据过期作废的机制时，服务端可以将唯一识别码、通信地址和验证过期时刻拼接生成第一校验信息。

步骤305、根据唯一识别码、所述通信地址、所述正确答案、所述验证过期时刻和预设的全局密钥，生成第一签名信息。

在该步骤中，存在验证数据过期作废的机制时，服务端可以根据唯一识别码、通信地址、正确答案、验证过期时刻和预设的全局密钥，生成第一签名信息。

步骤306、将所述第一校验信息添加至验证令牌的有效载荷域，以及将所述第一签名信息添加至所述验证令牌的签名域。

步骤307、将所述验证令牌和所述验证图像发送给所述客户端。

在本发明实施例的一种实现方式中，服务端可以通过验证令牌(JWT，JSON WebToken)的形式，将签名信息和校验信息发送给客户端，其中，验证令牌的本质是一个字符串，其具体可以将验证数据保存到一个Json字符串中，验证令牌具有用于存储校验信息的有效载荷域(Payload)以及用于存储签名信息的签名域(Signature)。通过验证令牌传输验证数据的优势在于：验证令牌的数据量小，传输速度也很快；因为验证令牌是以JSON加密形式发送至客户端的，所以验证令牌是跨语言的，原则上任何网页形式都支持；验证令牌无需存储在服务端本地缓存，对降低缓存压力，提升缓存性能具有很大帮助。需要说明的是，本发明实施例还可以通过其他形式传输验证数据，本发明实施例对此不作限定。

综上所述，本发明实施例提供的一种验证信息生成方法，服务端生成的验证图像、正确答案、唯一识别码、通信地址、第一校验信息和第一签名信息都无需留存在本地缓存，而是一并打包发送给客户端，服务端后续可以根据客户端返回的校验信息、签名信息和验证输入内容实现校验，整个校验过程对服务端本地缓存的依赖较小，进而使得服务端的缓存压力较小，在高并发场景下，能够便于展开对缓存性能的拓展。

图5是本发明实施例提供的一种验证信息生成方法的具体步骤流程图，如图5所示，该方法可以包括：

步骤401、响应于客户端发送的校验请求，所述校验请求包括：用户针对验证图像在所述客户端输入的验证输入内容、第二签名信息、第二校验信息，以及所述客户端的通信地址。

该步骤具体可以参照上述步骤201的相关描述，此处不再赘述。

步骤402、在确定预设的存储片区中未存储有所述第二校验信息中的唯一识别码的情况下，提取所述第二校验信息中的通信地址；所述存储片区中存储有已验证通过的客户端的唯一识别码。

该步骤具体可以参照上述步骤202的相关描述，此处不再赘述。

步骤403、在所述第二校验信息中的通信地址，与所述客户端的通信地址一致的情况下，比较响应于所述校验请求的时刻和所述第二校验信息中的验证过期时刻，获得比较结果。

其中，所述第二校验信息中包含：根据预设的验证留存时长，以及响应于客户端的验证信息生成请求时的时刻所确定的验证过期时刻。

本发明实施例可以设定验证数据过期作废的机制，具体为服务端针对验证数据设定一个验证过期时刻，并在验证环节判断验证时刻是否超出验证过期时刻，若超出则将验证数据作废，并确定验证失败。

服务端响应于校验请求的时刻，即可作为本次验证操作的时刻，服务端可以通过第二校验信息中包含的验证过期时刻来与服务端响应于校验请求的时刻进行比较，并通过比较结果后续判断本次验证是否过期。

步骤404、在所述比较结果为：响应于所述校验请求的时刻早于所述第二校验信息中的验证过期时刻的情况下，基于预设的全局密钥、所述第二校验信息和所述验证输入内容，生成所述第三签名信息。

在本发明实施例中，在响应于校验请求的时刻早于第二校验信息中的验证过期时刻的情况下，可以认为本次验证操作处于验证有效时间范围内，之后可以基于预设的全局密钥、第二校验信息和验证输入内容，生成第三签名信息，以进行后续的签名验证环节。

步骤405、在所述比较结果为：响应于所述校验请求的时刻晚于所述第二校验信息中的验证过期时刻的情况下，进行当前验证过期的第一预警通知。

在本发明实施例中，在响应于校验请求的时刻晚于第二校验信息中的验证过期时刻的情况下，可以认为本次验证操作已过期，对于过期的验证数据作废，并发出当前验证过期的第一预警通知，以通知客户端重新发起验证。

步骤406、在所述第三签名信息和所述第二签名信息一致的情况下，确定对所述客户端的验证通过。

该步骤具体可以参照上述步骤204的相关描述，此处不再赘述。

可选的，校验请求包括：所述验证输入内容、验证令牌和所述客户端的通信地址；所述验证令牌的签名域中包含所述第二签名信息、所述验证令牌的有效载荷域中包含所述第二校验信息。

可选的，所述方法还包括：

步骤407、在确定所述存储片区中存储有所述第二校验信息中的唯一识别码的情况下，进行当前存在重放攻击的第二预警通知。

在本发明实施例中，服务端基于唯一识别码的验证可以判断当前是否存在恶意的重放攻击，重放攻击是指外界恶意获取到识别码进行重复的验证使用的情况，在存储片区中存储有第二校验信息中的唯一识别码的情况下，可以进行当前存在重放攻击的第二预警通知，以进行验证安全预警。

步骤408、在所述第二校验信息中的通信地址，与所述客户端的通信地址不一致的情况下，进行当前存在签名盗用的第三预警通知。

在本发明实施例中，通信地址可以反映授权验证的客户端的IP，地址、域名、通信端口等信息，服务端基于通信地址的验证可以判断当前是否存在其他客户端恶意盗用验证信息，在第二校验信息中的通信地址，与客户端的通信地址不一致的情况下，可以进行当前存在签名盗用的第三预警通知，以进行验证安全预警。

步骤409、在所述第三签名信息和所述第二签名信息不一致的情况下，进行答案输入错误或当前存在通信地址篡改的第四预警通知。

在本发明实施例中，签名信息是服务端基于加密摘要算法处理得到的参数，服务端基于签名信息的验证可以提供额外的加密校验验证，提高整体验证的安全性，在第三签名信息和所述第二签名信息不一致的情况下，有可能是用户针对验证图像输入的验证输入内容有误，在用户针对验证图像输入的验证输入内容无误的情况下，第三签名信息和第二签名信息不一致还能确定当前可能存在外界恶意篡改验证信息的情况，此时服务端可以进行答案输入错误或当前存在通信地址篡改的第四预警通知，以进行验证安全预警。

步骤410、在确定对所述客户端的验证通过的情况下，将所述客户端的唯一识别码存储在所述存储片区。

在本发明实施例中，服务端可以针对每次验证操作生成一个对应的唯一识别码，唯一识别码具有仅单次使用的特性，即每次验证成功后该唯一识别码作废，则服务端在确定对客户端的验证通过的情况下，将客户端的唯一识别码存储在存储片区，以供后续验证通过存储片区在存储的已验证通过的客户端的唯一识别码，来识别外界重放攻击的可能性。

综上所述，本发明实施例提供的一种验证方法，服务端生成的验证图像、正确答案、唯一识别码、通信地址、第一校验信息和第一签名信息都无需留存在本地缓存，而是一并打包发送给客户端，服务端后续可以根据客户端返回的校验信息、签名信息和验证输入内容实现校验，整个校验过程对服务端本地缓存的依赖较小，进而使得服务端的缓存压力较小，在高并发场景下，能够便于展开对缓存性能的拓展。

图6是本发明实施例提供的一种验证信息生成装置的框图，如图6所示，该装置可以包括：

第一响应模块501，用于响应于客户端发送的验证信息生成请求，生成针对所述客户端的唯一识别码，并获取所述验证信息生成请求中携带的客户端的通信地址；

第一生成模块502，用于生成验证图像，以及用于反映所述验证图像包含的验证信息的正确答案；

第二生成模块503，用于将所述唯一识别码、所述通信地址拼接生成第一校验信息；

第三生成模块504，用于根据所述唯一识别码、所述通信地址、所述正确答案和预设的全局密钥，生成第一签名信息，并将所述第一签名信息、所述第一校验信息和所述验证图像发送给所述客户端。

可选的，所述装置还包括：

过期时刻模块，用于根据预设的验证留存时长以及响应于所述验证信息生成请求时的时刻，确定验证过期时刻。

可选的，所述第一生成模块502包括：

第一生成子模块，用于将所述唯一识别码、所述通信地址和所述验证过期时刻拼接生成第一校验信息；

所述第二生成模块503包括：

第二生成子模块，用于根据唯一识别码、所述通信地址、所述正确答案、所述验证过期时刻和预设的全局密钥，生成第一签名信息。

可选的，所述第三生成模块504，包括：

添加子模块，用于将所述第一校验信息添加至验证令牌的有效载荷域，以及将所述第一签名信息添加至所述验证令牌的签名域；

发送子模块，用于将所述验证令牌和所述验证图像发送给所述客户端。

综上所述，本发明实施例提供的一种验证信息生成装置，服务端生成的验证图像、正确答案、唯一识别码、通信地址、第一校验信息和第一签名信息都无需留存在本地缓存，而是一并打包发送给客户端，服务端后续可以根据客户端返回的校验信息、签名信息和验证输入内容实现校验，整个校验过程对服务端本地缓存的依赖较小，进而使得服务端的缓存压力较小，在高并发场景下，能够便于展开对缓存性能的拓展。

图7是本发明实施例提供的一种验证装置的框图，如图7所示，该装置可以包括：

第二响应模块801，用于响应于客户端发送的校验请求，所述校验请求包括：用户针对验证图像在所述客户端输入的验证输入内容、第二签名信息、第二校验信息，以及所述客户端的通信地址；

提取模块802，用于在确定预设的存储片区中未存储有所述第二校验信息中的唯一识别码的情况下，提取所述第二校验信息中的通信地址；所述存储片区中存储有已验证通过的客户端的唯一识别码；

第四生成模块803，用于在所述第二校验信息中的通信地址，与所述客户端的通信地址一致的情况下，基于预设的全局密钥、所述第二校验信息和所述验证输入内容，生成第三签名信息；

校验模块804，用于在所述第三签名信息和所述第二签名信息一致的情况下，确定对所述客户端的验证通过。

可选的，所述第二校验信息中包含：根据预设的验证留存时长，以及响应于客户端的验证信息生成请求时的时刻所确定的验证过期时刻；

所述第四生成模块803，包括：

比较子模块，用于在所述第二校验信息中的通信地址，与所述客户端的通信地址一致的情况下，比较响应于所述校验请求的时刻和所述第二校验信息中的验证过期时刻，获得比较结果；

第一判断子模块，用于在所述比较结果为：响应于所述校验请求的时刻早于所述第二校验信息中的验证过期时刻的情况下，基于预设的全局密钥、所述第二校验信息和所述验证输入内容，生成所述第三签名信息；

第二判断子模块，用于在所述比较结果为：响应于所述校验请求的时刻晚于所述第二校验信息中的验证过期时刻的情况下，进行当前验证过期的第一预警通知。

可选的，所述校验请求包括：所述验证输入内容、验证令牌和所述客户端的通信地址；所述验证令牌的签名域中包含所述第二签名信息、所述验证令牌的有效载荷域中包含所述第二校验信息。

可选的，所述装置还包括：

第一通知模块，用于在确定所述存储片区中存储有所述第二校验信息中的唯一识别码的情况下，进行当前存在重放攻击的第二预警通知；

第二通知模块，用于在所述第二校验信息中的通信地址，与所述客户端的通信地址不一致的情况下，进行当前存在签名盗用的第三预警通知；

第三通知模块，用于在所述第三签名信息和所述第二签名信息不一致的情况下，进行答案输入错误或当前存在通信地址篡改的第四预警通知；

存储模块，用于在确定对所述客户端的验证通过的情况下，将所述客户端的唯一识别码存储在所述存储片区。

综上所述，本发明实施例提供的一种验证装置，服务端生成的验证图像、正确答案、唯一识别码、通信地址、第一校验信息和第一签名信息都无需留存在本地缓存，而是一并打包发送给客户端，服务端后续可以根据客户端返回的校验信息、签名信息和验证输入内容实现校验，整个校验过程对服务端本地缓存的依赖较小，进而使得服务端的缓存压力较小，在高并发场景下，能够便于展开对缓存性能的拓展。

关于上述实施例中的装置，其中各个模块执行操作的具体方式已经在有关该方法的实施例中进行了详细描述，此处将不做详细阐述说明。

图8是根据一示例性实施例示出的一种电子设备600的框图。例如，电子设备600可以是移动电话，计算机，数字广播终端，消息收发设备，游戏控制台，平板设备，医疗设备，健身设备，个人数字助理等。

参照图8，电子设备600可以包括以下一个或多个组件：处理组件602，存储器604，电源组件606，多媒体组件608，音频组件610，输入/输出(I/O)的接口612，传感器组件614，以及通信组件616。

处理组件602通常控制电子设备600的整体操作，诸如与显示，电话呼叫，数据通信，相机操作和记录操作相关联的操作。处理组件602可以包括一个或多个处理器620来执行指令，以完成上述的方法的全部或部分步骤。此外，处理组件602可以包括一个或多个模块，便于处理组件602和其他组件之间的交互。例如，处理组件602可以包括多媒体模块，以方便多媒体组件608和处理组件602之间的交互。

存储器604用于存储各种类型的数据以支持在电子设备600的操作。这些数据的示例包括用于在电子设备600上操作的任何应用程序或方法的指令，联系人数据，电话簿数据，消息，图片，多媒体等。存储器604可以由任何类型的易失性或非易失性存储设备或者它们的组合实现，如静态随机存取存储器(SRAM)，电可擦除可编程只读存储器(EEPROM)，可擦除可编程只读存储器(EPROM)，可编程只读存储器(PROM)，只读存储器(ROM)，磁存储器，快闪存储器，磁盘或光盘。

电源组件606为电子设备600的各种组件提供电力。电源组件606可以包括电源管理系统，一个或多个电源，及其他与为电子设备600生成、管理和分配电力相关联的组件。

多媒体组件608包括在所述电子设备600和用户之间的提供一个输出接口的屏幕。在一些实施例中，屏幕可以包括液晶显示器(LCD)和触摸面板(TP)。如果屏幕包括触摸面板，屏幕可以被实现为触摸屏，以接收来自用户的输入信号。触摸面板包括一个或多个触摸传感器以感测触摸、滑动和触摸面板上的手势。所述触摸传感器可以不仅感测触摸或滑动动作的分界，而且还检测与所述触摸或滑动操作相关的持续时间和压力。在一些实施例中，多媒体组件608包括一个前置摄像头和/或后置摄像头。当电子设备600处于操作模式，如拍摄模式或多媒体模式时，前置摄像头和/或后置摄像头可以接收外部的多媒体数据。每个前置摄像头和后置摄像头可以是一个固定的光学透镜系统或具有焦距和光学变焦能力。

音频组件610用于输出和/或输入音频信号。例如，音频组件610包括一个麦克风(MIC)，当电子设备600处于操作模式，如呼叫模式、记录模式和语音识别模式时，麦克风用于接收外部音频信号。所接收的音频信号可以被进一步存储在存储器604或经由通信组件616发送。在一些实施例中，音频组件610还包括一个扬声器，用于输出音频信号。

I/O接口612为处理组件602和外围接口模块之间提供接口，上述外围接口模块可以是键盘，点击轮，按钮等。这些按钮可包括但不限于：主页按钮、音量按钮、启动按钮和锁定按钮。

传感器组件614包括一个或多个传感器，用于为电子设备600提供各个方面的状态评估。例如，传感器组件614可以检测到电子设备600的打开/关闭状态，组件的相对定位，例如所述组件为电子设备600的显示器和小键盘，传感器组件614还可以检测电子设备600或电子设备600一个组件的位置改变，用户与电子设备600接触的存在或不存在，电子设备600方位或加速/减速和电子设备600的温度变化。传感器组件614可以包括接近传感器，被配置用来在没有任何的物理接触时检测附近物体的存在。传感器组件614还可以包括光传感器，如CMOS或CCD图像传感器，用于在成像应用中使用。在一些实施例中，该传感器组件614还可以包括加速度传感器，陀螺仪传感器，磁传感器，压力传感器或温度传感器。

通信组件616用于便于电子设备600和其他设备之间有线或无线方式的通信。电子设备600可以接入基于通信标准的无线网络，如WiFi，运营商网络(如2G、3G、4G或5G)，或它们的组合。在一个示例性实施例中，通信组件616经由广播信道接收来自外部广播管理系统的广播信号或广播相关信息。在一个示例性实施例中，所述通信组件616还包括近场通信(NFC)模块，以促进短程通信。例如，在NFC模块可基于射频识别(RFID)技术，红外数据协会(IrDA)技术，超宽带(UWB)技术，蓝牙(BT)技术和其他技术来实现。

在示例性实施例中，电子设备600可以被一个或多个应用专用集成电路(ASIC)、数字信号处理器(DSP)、数字信号处理设备(DSPD)、可编程逻辑器件(PLD)、现场可编程门阵列(FPGA)、控制器、微控制器、微处理器或其他电子元件实现，用于实现本公开实施例提供的一种验证信息生成方法。

在示例性实施例中，还提供了一种包括指令的非临时性计算机可读存储介质，例如包括指令的存储器604，上述指令可由电子设备600的处理器620执行以完成上述方法。例如，所述非临时性存储介质可以是ROM、随机存取存储器(RAM)、CD-ROM、磁带、软盘和光数据存储设备等。

图9是根据一示例性实施例示出的一种电子设备700的框图。例如，电子设备700可以被提供为一服务器。参照图9，电子设备700包括处理组件722，其进一步包括一个或多个处理器，以及由存储器732所代表的存储器资源，用于存储可由处理组件722的执行的指令，例如应用程序。存储器732中存储的应用程序可以包括一个或一个以上的每一个对应于一组指令的模块。此外，处理组件722被配置为执行指令，以执行本公开实施例提供的方法。

电子设备700还可以包括一个电源组件726被配置为执行电子设备700的电源管理，一个有线或无线网络接口750被配置为将电子设备700连接到网络，和一个输入输出(I/O)接口758。电子设备700可以操作基于存储在存储器732的操作系统，例如WindowsServerTM，Mac OS XTM，UnixTM，LinuxTM，FreeBSDTM或类似。

本公开实施例还提供一种计算机程序产品，包括计算机程序，所述计算机程序被处理器执行时实现所述方法。

本领域技术人员在考虑说明书及实践这里公开的公开后，将容易想到本公开的其它实施方案。本公开旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由下面的权利要求指出。

应当理解的是，本公开并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本公开的范围仅由所附的权利要求来限制。

Claims (12)

1.一种验证信息生成方法，其特征在于，该方法包括：

响应于客户端发送的验证信息生成请求，生成针对所述客户端的唯一识别码，并获取所述验证信息生成请求中携带的客户端的通信地址；

生成验证图像，以及用于反映所述验证图像包含的验证信息的正确答案；

将所述唯一识别码、所述通信地址拼接生成第一校验信息；

根据所述唯一识别码、所述通信地址、所述正确答案和预设的全局密钥，生成第一签名信息，并将所述第一签名信息、所述第一校验信息和所述验证图像发送给所述客户端。

2.根据权利要求1所述的方法，其特征在于，在所述将所述唯一识别码、所述通信地址拼接生成第一校验信息之前，还包括：

根据预设的验证留存时长以及响应于所述验证信息生成请求时的时刻，确定验证过期时刻。

3.根据权利要求2所述的方法，其特征在于，所述将所述唯一识别码、所述通信地址拼接生成第一校验信息，包括：

将所述唯一识别码、所述通信地址和所述验证过期时刻拼接生成所述第一校验信息；

所述根据唯一识别码、所述通信地址、所述正确答案和预设的全局密钥，生成第一签名信息，包括：

根据所述唯一识别码、所述通信地址、所述正确答案、所述验证过期时刻和预设的全局密钥，生成第一签名信息。

4.根据权利要求1所述的方法，其特征在于，所述将所述第一签名信息、所述第一校验信息和所述验证图像发送给所述客户端，包括：

将所述第一校验信息添加至验证令牌的有效载荷域，以及将所述第一签名信息添加至所述验证令牌的签名域；

将所述验证令牌和所述验证图像发送给所述客户端。

5.一种验证方法，其特征在于，该方法包括：

响应于客户端发送的校验请求，所述校验请求包括：用户针对验证图像在所述客户端输入的验证输入内容、第二签名信息、第二校验信息，以及所述客户端的通信地址；

在确定预设的存储片区中未存储有所述第二校验信息中的唯一识别码的情况下，提取所述第二校验信息中的通信地址；所述存储片区中存储有已验证通过的客户端的唯一识别码；

在所述第二校验信息中的通信地址，与所述客户端的通信地址一致的情况下，基于预设的全局密钥、所述第二校验信息和所述验证输入内容，生成第三签名信息；

在所述第三签名信息和所述第二签名信息一致的情况下，确定对所述客户端的验证通过。

6.根据权利要求5所述的方法，其特征在于，所述第二校验信息中包含：根据预设的验证留存时长，以及响应于客户端的验证信息生成请求时的时刻所确定的验证过期时刻；

所述在所述第二校验信息中的通信地址，与所述客户端的通信地址一致的情况下，基于预设的全局密钥、所述第二校验信息和所述验证输入内容，生成第三签名信息，包括：

在所述第二校验信息中的通信地址，与所述客户端的通信地址一致的情况下，比较响应于所述校验请求的时刻和所述第二校验信息中的验证过期时刻，获得比较结果；

在所述比较结果为：响应于所述校验请求的时刻早于所述第二校验信息中的验证过期时刻的情况下，基于预设的全局密钥、所述第二校验信息和所述验证输入内容，生成所述第三签名信息；

在所述比较结果为：响应于所述校验请求的时刻晚于所述第二校验信息中的验证过期时刻的情况下，进行当前验证过期的第一预警通知。

7.根据权利要求5所述的方法，其特征在于，所述校验请求包括：所述验证输入内容、验证令牌和所述客户端的通信地址；所述验证令牌的签名域中包含所述第二签名信息、所述验证令牌的有效载荷域中包含所述第二校验信息。

8.根据权利要求5所述的方法，其特征在于，还包括：

在确定所述存储片区中存储有所述第二校验信息中的唯一识别码的情况下，进行当前存在重放攻击的第二预警通知；

在所述第二校验信息中的通信地址，与所述客户端的通信地址不一致的情况下，进行当前存在签名盗用的第三预警通知；

在所述第三签名信息和所述第二签名信息不一致的情况下，进行答案输入错误或当前存在通信地址篡改的第四预警通知；

在确定对所述客户端的验证通过的情况下，将所述客户端的唯一识别码存储在所述存储片区。

9.一种验证信息生成装置，其特征在于，该装置包括：

第一响应模块，用于响应于客户端发送的验证信息生成请求，生成针对所述客户端的唯一识别码，并获取所述验证信息生成请求中携带的客户端的通信地址；

第一生成模块，用于生成验证图像，以及用于反映所述验证图像包含的验证信息的正确答案；

第二生成模块，用于将所述唯一识别码、所述通信地址拼接生成第一校验信息；

第三生成模块，用于根据所述唯一识别码、所述通信地址、所述正确答案和预设的全局密钥，生成第一签名信息，并将所述第一签名信息、所述第一校验信息和所述验证图像发送给所述客户端。

10.一种验证装置，其特征在于，该装置包括：

第二响应模块，用于响应于客户端发送的校验请求，所述校验请求包括：用户针对验证图像在所述客户端输入的验证输入内容、第二签名信息、第二校验信息，以及所述客户端的通信地址；

提取模块，用于在确定预设的存储片区中未存储有所述第二校验信息中的唯一识别码的情况下，提取所述第二校验信息中的通信地址；所述存储片区中存储有已验证通过的客户端的唯一识别码；

第四生成模块，用于在所述第二校验信息中的通信地址，与所述客户端的通信地址一致的情况下，基于预设的全局密钥、所述第二校验信息和所述验证输入内容，生成第三签名信息；

校验模块，用于在所述第三签名信息和所述第二签名信息一致的情况下，确定对所述客户端的验证通过。

11.一种电子设备，其特征在于，包括：处理器；

用于存储所述处理器可执行指令的存储器；

其中，所述处理器被配置为执行所述指令，以实现如权利要求1至8中任一项所述的方法。

12.一种计算机可读存储介质，其特征在于，当所述计算机可读存储介质中的指令由电子设备的处理器执行时，使得所述电子设备能够执行如权利要求1至8中任一项所述的方法。