CN115037549B - 应用防护方法、装置及存储介质 - Google Patents

Abstract

本申请提供一种应用防护方法、装置及存储介质，涉及通信技术领域，能够对访问应用的不同访问请求进行针对性的防护，提高了对应用的防护力度。该方法包括：在应用服务器接收到来自终端设备的访问请求之后，先根据访问请求确定访问请求中目标资源路径的优先级和目标数据的优先级，再根据目标资源路径的优先级和目标数据的优先级，确定访问请求的优先级，最终根据访问请求的优先级对应的防护措施对应用进行防护。本申请实施例用于应用防护过程中。

Description

应用防护方法、装置及存储介质

技术领域

本申请涉及通信技术领域，尤其涉及一种应用防护方法、装置及存储介质。

背景技术

随着互联网技术的不断发展，应用(例如，Web应用)已经成为我们日常生活中必不可少的一部分。因此，应用中存储着大量的用户信息。为了保护应用中的用户信息，本领域技术人员通常采用网站应用级入侵防御系统(web application firewall，WAF)、入侵检测系统(intrusion detection system，IDS)、入侵防御系统(intrusion preventionsystem，IPS)等手段对应用进行防护。

但是，对应用进行防护均是通过对访问该应用的访问请求进行防护实现的，而上述防护手段对不同的访问请求的防护措施是固定的，无法应对复杂多变的攻击手段，导致防护效果较差。

发明内容

本申请提供一种应用防护方法、装置及存储介质，能够对访问应用的不同访问请求进行针对性的防护，提高了对应用的防护力度。

为达到上述目的，本申请采用如下技术方案：

第一方面，本申请提供一种应用防护方法，该方法包括：接收来自终端设备的访问请求；访问请求用于请求访问应用，访问请求中包括：目标资源路径和目标数据的标识；目标资源路径用于建立终端设备与应用服务器的连接；目标数据为应用中终端设备待获取的数据；根据访问请求，确定目标资源路径的优先级和目标数据的优先级；根据目标资源路径的优先级和目标数据的优先级，确定访问请求的优先级；根据访问请求的优先级对应的防护措施对应用进行防护。

上述技术方案至少带来以下有益效果：本申请提供的应用防护方法，在应用服务器接收到来自终端设备的访问请求之后，先根据访问请求，确定上述访问请求中目标资源路径的优先级和目标数据的优先级，再根据上述目标资源路径的优先级和目标数据的优先级，确定访问请求的优先级，最终根据上述访问请求的优先级对应的防护措施对上述访问请求进行防护。由此，本申请的应用服务器可以将访问请求划分为不同优先级的访问请求，并在对应用进行防护的过程中，根据上述访问请求的优先级对应的防护措施对应用进行防护，这样应用服务器可以对不同优先级的访问请求分别进行不同力度的防护，例如，对一些优先级较高的重点访问请求进行防护力度较高的防护，提高了对重点访问请求的防护力度，进而实现了能够对访问应用的不同访问请求进行针对性的防护，提高了对应用的防护力度。

在一种可能的实现方式中，根据目标资源路径的优先级和目标数据的优先级，确定访问请求的优先级，包括：将目标资源路径的优先级和目标数据的优先级中，优先级较高的优先级确定为访问请求的优先级。

在一种可能的实现方式中，确定目标资源路径的优先级和目标数据的优先级，包括：根据目标资源路径和预设优先级集合，确定目标资源路径的优先级；预设优先级集合包括：多个资源路径、以及与多个资源路径中每个资源路径的优先级；多个资源路径中包括目标资源路径；向数据库服务器发送第一信息；第一信息用于请求目标数据的优先级；接收来自数据库服务器的第二信息；第二信息用于指示目标数据的优先级。

在一种可能的实现方式中，向终端设备发送第三信息；第三信息用于指示目标资源路径的优先级对应的第一验证措施；第一验证措施包括：密码验证、短信验证码验证、以及无验证中的至少一项。

在一种可能的实现方式中，在访问请求的优先级为目标资源路径的优先级，且基于第一验证措施对终端设备验证成功的情况下，根据访问请求的优先级对应的防护措施对应用进行防护，包括：根据目标资源路径的优先级对应的第一加密措施对第四信息进行处理生成第五信息；第一加密措施包括：非对称加密、对称加密、以及不加密中的至少一项；第四信息包括：目标数据的标识、以及数据库服务器的用户名和密码中的至少一项；向数据库服务器发送第五信息。

在一种可能的实现方式中，在访问请求的优先级为目标数据的优先级，且基于第一验证措施对终端设备验证成功的情况下，根据访问请求的优先级对应的防护措施对应用进行防护，包括：向终端设备发送第六信息；第六信息用于指示访问请求的优先级对应的第二验证措施；第二验证措施包括：密码验证、短信验证码验证、以及无验证中的至少一项；根据访问请求的优先级对应的第二加密措施对第七信息进行处理生成第八信息；第二加密措施包括：非对称加密、对称加密、以及不加密中的至少一项；第七信息包括：目标数据的标识、以及数据库服务器的用户名和密码中的至少一项；向数据库服务器发送第八信息。

第二方面，本申请提供一种应用防护装置，该装置包括：通信单元和处理单元；通信单元，用于接收来自终端设备的访问请求；访问请求用于请求访问应用，访问请求中包括：目标资源路径和目标数据的标识；目标资源路径用于建立终端设备与应用服务器的连接；目标数据为应用中终端设备待获取的数据；处理单元，用于根据访问请求，确定目标资源路径的优先级和目标数据的优先级；处理单元，还用于根据目标资源路径的优先级和目标数据的优先级，确定访问请求的优先级；处理单元，还用于根据访问请求的优先级对应的防护措施对应用进行防护。

在一种可能的实现方式中，处理单元，具体用于将目标资源路径的优先级和目标数据的优先级中，优先级较高的优先级为访问请求的优先级。

在一种可能的实现方式中，处理单元，还用于根据目标资源路径和预设优先级集合，确定目标资源路径的优先级；预设优先级集合包括：多个资源路径、以及多个资源路径中每个资源路径的优先级；多个资源路径中包括目标资源路径；通信单元，还用于向数据库服务器发送第一信息；第一信息用于请求目标数据的优先级；通信单元，还用于接收来自数据库服务器的第二信息；第二信息用于指示目标数据的优先级。

在一种可能的实现方式中，通信单元，还用于向终端设备发送第三信息；第三信息用于指示目标资源路径的优先级对应的第一验证措施；第一验证措施包括：密码验证、短信验证码验证、以及无验证中的至少一项。

在一种可能的实现方式中，在访问请求的优先级为目标资源路径的优先级的情况下，处理单元，还用于根据目标资源路径的优先级对应的第一加密措施对第四信息进行处理生成第五信息；第一加密措施包括：非对称加密、对称加密、以及不加密中的至少一项；第四信息包括：目标数据的标识、以及数据库服务器的用户名和密码中的至少一项；通信单元，还用于向数据库服务器发送第五信息。

在一种可能的实现方式中，在访问请求的优先级为目标数据的优先级的情况下，通信单元，还用于向终端设备发送第六信息；第六信息用于指示访问请求的优先级对应的第二验证措施；第二验证措施包括：密码验证、短信验证码验证、以及无验证中的至少一项；处理单元，还用于根据访问请求的优先级对应的第二加密措施对第七信息进行处理生成第八信息；第二加密措施包括：非对称加密、对称加密、以及不加密中的至少一项；第七信息包括：目标数据的标识、以及数据库服务器的用户名和密码中的至少一项；通信单元，还用于向数据库服务器发送第八信息。

第三方面，本申请提供了一种应用防护装置，该装置包括：处理器和通信接口；通信接口和处理器耦合，处理器用于运行计算机程序或指令，以实现如第一方面和第一方面的任一种可能的实现方式中所描述的应用防护方法。

第四方面，本申请提供了一种计算机可读存储介质，计算机可读存储介质中存储有指令，当指令在终端上运行时，使得终端执行如第一方面和第一方面的任一种可能的实现方式中描述的应用防护方法。

第五方面，本申请提供一种包含指令的计算机程序产品，当计算机程序产品在应用防护装置上运行时，使得应用防护装置执行如第一方面和第一方面的任一种可能的实现方式中所描述的应用防护方法。

第六方面，本申请提供一种芯片，芯片包括处理器和通信接口，通信接口和处理器耦合，处理器用于运行计算机程序或指令，以实现如第一方面和第一方面的任一种可能的实现方式中所描述的应用防护方法。

具体的，本申请中提供的芯片还包括存储器，用于存储计算机程序或指令。

附图说明

图1为本申请实施例提供的一种通信系统的结构图；

图2为本申请实施例提供的一种应用防护方法的流程图；

图3为本申请实施例提供的另一种应用防护方法的流程图；

图4为本申请实施例提供的另一种应用防护方法的流程图；

图5为本申请实施例提供的另一种应用防护方法的流程图；

图6为本申请实施例提供的另一种应用防护方法的流程图；

图7为本申请实施例提供的一种应用防护装置的结构示意图。

具体实施方式

下面结合附图对本申请实施例提供的应用防护方法、装置及存储介质进行详细地描述。

本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。

本申请的说明书以及附图中的术语“第一”和“第二”等是用于区别不同的对象，或者用于区别对同一对象的不同处理，而不是用于描述对象的特定顺序。

此外，本申请的描述中所提到的术语“包括”和“具有”以及它们的任何变形，意图在于覆盖不排他的包含。例如包含了一系列步骤或单元的过程、方法、系统、产品或设备没有限定于已列出的步骤或单元，而是可选地还包括其他没有列出的步骤或单元，或可选地还包括对于这些过程、方法、产品或设备固有的其它步骤或单元。

需要说明的是，本申请实施例中，“示例性的”或者“例如”等词用于表示作例子、例证或说明。本申请实施例中被描述为“示例性的”或者“例如”的任何实施例或设计方案不应被解释为比其它实施例或设计方案更优选或更具优势。确切而言，使用“示例性的”或者“例如”等词旨在以具体方式呈现相关概念。

在本申请的描述中，除非另有说明，“多个”的含义是指两个或两个以上。

以下，对本申请实施例涉及的名词进行解释，以方便读者理解。

一、基于规则的防护方法

基于规则的防护手段包括：WAF、IDS、IPS、以及内容鉴别。上述基于规则的防护过程为：应用服务器根据技术人员的防护经验，设置的敏感字段或者敏感内容。若应用服务器检测到访问请求中包括上述敏感字段或者敏感内容，则将上述访问请求定义为异常访问请求。在该情况下，应用服务器将上述检测结果告知终端设备，并拒绝为上述异常访问请求的终端设备提供目标数据。若应用服务器检测到访问请求中不包括上述敏感字段或者敏感内容，则将上述访问请求定义为正常访问请求。在该情况下，应用服务器将上述检测结果告知终端设备，并为上述正常访问请求的终端设备提供目标数据。

二、基于机器学习的防护方法

基于机器学习的防护过程为：应用服务器将访问请求输入目标检测模型中，得到该访问请求是否为正常访问请求的输出结果，并向终端设备发送上述输出结果。若该访问请求为正常访问请求，则应用服务器拒绝为上述异常访问请求的终端设备提供目标数据。若该访问请求为异常访问请求，则应用服务器可以为上述正常访问请求的终端设备提供目标数据。上述目标检测模型需要基于大量的样本数据进行多次的训练和测试得到。该方法对样本数据的要求较高，需要包括多种异常访问请求。

以上是对本申请实施例中涉及到的部分概念所做的简单介绍。

如图1所示，图1示出了本申请实施例提供的一种通信系统的结构示意图。该通信系统可以包括：至少一个应用服务器101、至少一个终端设备102、以及至少一个数据库服务器103。图1以一个应用服务器101、一个终端设备102、以及一个数据库服务器103为例进行说明。

其中，应用服务器101主要用于获取访问请求，确定访问请求的优先级，并根据访问请求的优先级对应的防护措施对应用进行防护。

可选的，应用服务器101可以是服务器集群(由多个服务器组成)中的一个服务器，也可以是该服务器中的芯片，还可以是该服务器中的片上系统，还可以通过部署在物理机上的虚拟机实现，本申请实施例对此不作限定。

终端设备102位于应用服务器101的覆盖范围内，与应用服务器101进行连接，并可以向应用服务器101发送访问请求。终端设备102可以为终端(terminal equipment)或者用户设备(user equipment，UE)或者移动台(mobile station，MS)或者移动终端(mobileterminal，MT)等。具体的，终端设备102可以是手机(mobile phone)、平板电脑或带无线收发功能的电脑，还可以是虚拟现实(virtual reality，VR)终端、增强现实(augmentedreality，AR)终端、工业控制中的无线终端、无人驾驶中的无线终端、远程医疗中的无线终端、智能电网中的无线终端、智慧城市(smart city)中的无线终端、智能家居、车载终端等。本申请实施例中，用于实现终端设备102的功能的装置可以是终端设备102，也可以是能够支持终端设备102实现该功能的装置，例如芯片系统。

需要说明的是，应用服务器101和终端设备102之间的通信链路可以用于传输访问请求。例如，如图1所示，应用服务器101和终端设备102之间的通信链路可以用于传输访问请求#1、访问请求#2、访问请求#3、以及访问请求#4。

数据库服务器103用于存储多个目标数据。

需要指出的是，应用服务器101和数据库服务器103之间的通信链路可以用于传输目标数据。例如，如图1所示，应用服务器101和数据库服务器103之间的通信链路可以用于传输目标数据#1、目标数据#2、目标数据#3、以及目标数据#4。

需要说明的是，上述应用服务器101和数据库服务器103均可以为代理(agent)。由于agent具有便于安装和普遍适用性，因此，将上述应用服务器101和数据库服务器103部署为agent可以缩短部署时间。

需要指出的是，应用服务器可以由至少一个应用服务器101和至少一个数据库服务器103组成。关于应用服务器101和数据库服务器103的具体说明可参见上述描述，此处不再赘述。

此外，本申请实施例描述的通信系统是为了更加清楚的说明本申请实施例的技术方案，并不构成对于本申请实施例提供的技术方案的限定，本领域普通技术人员可知，随着网络架构的演变和新通信系统的出现，本申请实施例提供的技术方案对于类似的技术问题，同样适用。

随着互联网技术的不断发展，应用已经成为我们日常生活中必不可少的一部分。目前应用已可以应用于购物、医疗、学习、旅行等多个日常生活领域中。因此，应用中存储着大量的用户信息。上述大量的用户信息如果被不法分子利用，将会损害用户的利益。为了保护应用中的用户信息，本领域技术人员通常采用基于规则的防护手段、以及基于机器学习的防护手段对应用进行防护。

但是，对应用进行防护均是通过对访问该应用的访问请求进行防护实现的，而上述两种防护手段对不同的访问请求的防护措施均是固定的，不能根据不同的访问请求的访问需求进行动态调整，因而不能根据不同访问请求进行针对性防护，这样对一些重点访问请求不能进行增加防护力度，从而导致对重点访问请求的防护力度不佳。

为了解决上述现有技术中存在的问题，本申请实施例提出了一种应用防护方法，能够对访问应用的不同访问请求进行针对性的防护，提高了对应用的防护力度。如图2所示，该方法包括：

S201、终端设备向应用服务器发送访问请求。相应的，应用服务器接收来自终端设备的访问请求。

其中，访问请求用于请求访问应用。访问请求中包括：目标资源路径和目标数据的标识。目标资源路径用于建立终端设备与应用服务器的连接。目标数据为应用中终端设备待获取的数据。

在一些示例中，上述应用可以为Web应用，还可以为云应用。

在一些示例中，目标资源路径可以为xxx/add、xxx/info、xxx/delete、以及xxx/resource中的一项。目标数据的标识可以为财产(property)、信息(info)、以及日期(data)中的一项。

一种可能的实现方式中，目标资源路径可以为统一资源定位符(uniformresource locator，URL)。目标数据可以以数据表的形式表示。

S202、应用服务器根据访问请求，确定目标资源路径的优先级和目标数据的优先级。

需要说明的是，目标资源路径的优先级和目标数据的优先级的表示方式需要一致。例如，若目标资源路径的优先级可以分为I级、II级、以及III级，则目标数据的优先级也可以分为I级、II级、以及III级。又例如，若目标资源路径的优先级可以分为A级、B级、以及C级，则目标数据的优先级也可以分为A级、B级、以及C级。

作为一种可选的实现方式，上述S202的具体实现过程为：应用服务器根据上述访问请求中包括的目标资源路径，确定该目标资源路径的优先级。应用服务器根据上述访问请求中的目标数据的标识，生成用于请求目标数据的优先级的信息(即第一信息)，并向数据库服务器发送第一信息。在数据库服务器接收到来自应用服务器的第一信息之后，数据库服务器根据第一信息指示的目标数据的标识，确定该目标数据的优先级，并生成用于指示该目标数据的优先级的第二信息。数据库服务器向应用服务器发送第二信息。在应用服务器接收到来自数据库服务器的第二信息之后，应用服务器可以根据上述第二信息确定该目标数据的优先级。

S203、应用服务器根据目标资源路径的优先级和目标数据的优先级，确定访问请求的优先级。

作为一种可选的实现方式，上述S203的具体实现过程为：应用服务器可以先对比目标资源路径的优先级和目标数据的优先级，再根据上述对比结果确定访问请求的优先级。

S204、应用服务器根据访问请求的优先级对应的防护措施对应用进行防护。

需要说明的是，由于访问请求用于访问应用的，对用于访问应用的访问请求进行各种防护处理可以避免恶意访问请求访问应用，导致应用被攻击的问题，因此对应用进行防护可以通过对访问请求进行防护实现。

在一种可行的实现方式中，上述防护措施包括：验证措施和/或加密措施。其中，验证措施为用于验证终端设备的合法性。加密措施用于生成加密信息，以便于后续数据库服务器可以基于上述加密信息验证应用服务器的合法性。

上述技术方案至少带来以下有益效果：本申请提供的应用防护方法，应用服务器接收到来自终端设备的访问请求之后，先确定上述访问请求中目标资源路径的优先级和目标数据的优先级，再根据上述目标资源路径的优先级和目标数据的优先级，确定访问请求的优先级，最终根据上述访问请求的优先级对应的防护措施对上述访问请求进行防护。由此，本申请的应用服务器可以将访问请求划分为不同优先级的访问请求，并在对应用进行防护的过程中，根据上述访问请求的优先级对应的防护措施对应用进行防护，这样应用服务器可以对不同优先级的访问请求分别进行不同力度的防护，例如，对一些优先级较高的重点访问请求进行防护力度较高的防护，提高了对重点访问请求的防护力度，进而实现了对访问应用的不同访问请求进行针对性的防护，提高了对应用的防护力度。

在一种可选的实施例中，如S203所示，计算设备需要预先确定访问请求的优先级，以便于后续计算设备根据访问请求的优先级对应的防护措施对应用进行防护。因此本实施例在图2示出的方法实施例的基础上，提供一种可能的具体实现方式，结合图2，如图3所示，计算设备确定访问请求的优先级的具体实现过程可以通过以下S301确定。

S301、应用服务器将目标资源路径的优先级和目标数据的优先级中，优先级较高的优先级为访问请求的优先级。

作为一种可选的实现方式，上述S301的具体实现过程为：应用服务器对比上述目标资源路径的优先级和目标数据的优先级。

若目标资源路径的优先级高于目标数据的优先级，则应用服务器确定目标资源路径的优先级为访问请求的优先级。示例性的，若目标资源路径的优先级为I级，目标数据的优先级为II级，则应用服务器可以确定访问请求的优先级为I级(即目标资源路径的优先级)。

若目标数据的优先级高于目标资源路径的优先级，则应用服务器确定目标数据的优先级为访问请求的优先级。示例性的，若目标资源路径的优先级为III级，目标数据的优先级为II级，则应用服务器可以确定访问请求的优先级为II级(即目标数据的优先级)。

若目标资源路径的优先级等于目标数据的优先级，则应用服务器确定目标资源路径的优先级或者目标数据的优先级(即上述目标资源路径的优先级和目标数据的优先级中的任一个优先级)为访问请求的优先级。示例性的，若目标资源路径的优先级为II级，目标数据的优先级为II级，则应用服务器可以确定访问请求的优先级为II级(即目标资源路径的优先级或者目标数据的优先级)。

结合上述实现方式，上述访问请求的优先级可以满足以下公式1：

M＝max{N₁，N₂} 公式1

其中，M为访问请求的优先级。N₁为目标资源路径的优先级。N₂为目标数据的优先级。

上述技术方案至少带来以下有益效果：本申请提供的应用防护方法，应用服务器从上述目标资源路径的优先级和目标数据的优先级中，确定优先级较高的优先级为访问请求的优先级，这样使得访问请求对应的防护措施能够满足目标资源路径的优先级对应的防护措施和目标数据的优先级对应的防护措施，避免了因防护力度不够导致的数据泄露。

在一种可选的实施例中，如S202所示，计算设备需要预先确定目标资源路径的优先级和目标数据的优先级，以便于后续计算设备根据目标资源路径的优先级和目标数据的优先级确定访问请求的优先级。因此本实施例在图3示出的方法实施例的基础上，提供一种可能的具体实现方式，结合图3，如图4所示，计算设备确定目标资源路径的优先级的具体实现过程可以通过以下S401至S403确定。

S401、应用服务器根据目标资源路径和预设优先级集合，确定目标资源路径的优先级。

其中，预设优先级集合包括多个资源路径、以及与多个资源路径中每个资源路径的优先级。多个资源路径中包括目标资源路径。

需要说明的是，上述多个资源路径可以为终端设备与应用服务器之间的所有或者部分资源路径。上述多个资源路径可以根据实际情况进行设置，只需包括目标资源路径即可，本申请对此不作其他限制。

S402、应用服务器向数据库服务器发送第一信息。相应的，数据库服务器接收来自应用服务器的第一信息。

其中，第一信息用于请求目标数据的优先级。

需要指出的是，上述第一信息可以携带目标数据的标识。

S403、数据库服务器向应用服务器发送第二信息。相应的，应用服务器接收来自数据库服务器的第二信息。

其中，第二信息用于指示目标数据的优先级。

在一种可选的方式中，数据库服务器可以基于私钥将上述目标数据的优先级加密，生成第二信息。

可选的，在应用服务器接收到来自数据库服务器的第二信息之后，应用数据库可以根据上述第二信息确定目标数据的优先级。

在一种可能的实现方式中，若数据库服务器确定目标数据的优先级为无需加密对应的优先级，则第二信息可以包括目标数据。在该种实现方式中，应用服务器无需执行以下S601-S602或者S604-S605。

上述技术方案至少带来以下有益效果：本申请提供的应用防护方法，应用服务器可以根据目标资源路径和预设优先级集合，确定目标资源路径的优先级，这样为后续应用服务器确定访问请求的优先级提供数据基础。并且，应用服务器可以先向数据库服务器请求目标数据的优先级，再接收来自数据库服务器的目标数据的优先级，从而确定了目标数据的优先级，这样也为后续应用服务器确定访问请求的优先级提供数据基础。

需要说明的是，在应用服务器向数据库服务器发送第一信息之前，应用服务器可以先向终端设备发送目标资源路径的优先级对应的第一验证措施，这样使得终端设备可以基于上述第一验证措施进行验证。在上述验证通过后，应用服务器再向数据库服务器发送第一信息，而在上述验证未通过的情况下，应用服务器可以不向数据库服务器发送第一信息，这样可以在一定程度上减少了通信开销。结合图4，如图5所示，应用服务器根据对上述终端设备进行验证的具体实现过程可以通过以下S501确定。

S501、应用服务器向终端设备发送第三信息。相应的，终端设备接收来自应用服务器的第三信息。

其中，第三信息用于指示目标资源路径的优先级对应的第一验证措施。第一验证措施包括：密码验证、短信验证码验证、以及无验证中的至少一项。

在一种示例中，如下表1所示，若目标资源路径的优先级分为I级、II级、III级，则I级的目标资源路径对应的第一验证措施可以包括密码验证和短信验证码验证，II级的目标资源路径对应的第一验证措施可以为密码验证或者短信验证码验证，III级的目标资源路径对应的第一验证措施可以为无验证。

表1

由上述表1可知，对于优先级较高的目标资源路径，应用服务器可以增加验证的力度，例如，增加验证措施的数量，从而提高了对重点访问请求的防护力度。对于优先级较低的目标资源路径，应用服务器可以无需对终端设备进行验证，这样对一些较为不重要的访问请求可以直接响应，减少了响应时间，提升了用户体验。

可选的，在终端设备接收到来自应用服务器的第三信息之后，应用服务器验证终端设备的具体实现过程可以为：终端设备基于第三信息提示用户输入信息，获取并存储上述输入信息(例如，用户手机号、用户密码、以及用户验证码)。终端设备向应用服务器发送上述用户输入信息。在应用服务器接收到上述输入信息之后，应用服务器对比上述输入信息与应用服务器存储的该用户名对应的信息是否一致。在上述输入信息与应用服务器存储的与该用户名对应的信息一致的情况下，应用服务器确定终端设备验证通过。在上述信息与应用服务器存储的与该用户名对应的信息不一致的情况下，应用服务器确定终端设备验证不通过。

上述技术方案至少带来以下有益效果：本申请提供的应用防护方法，应用服务器在向数据库服务器发送第一信息之前，先向终端设备发送目标资源路径的优先级对应的第一验证措施(即第三信息)，这样使得终端设备可以先基于上述第一验证措施进行验证。在上述验证通过后，应用服务器再向数据库服务器发送第一信息，以便于推进后续防护流程。而在上述验证未通过的情况下，应用服务器可以不向数据库服务器发送第一信息，这样可以在一定程度上减少了通信开销。

需要说明的是，应用服务器是根据目标资源路径的优先级和目标数据的优先级确定的访问请求的优先级。因此，上述访问请求的优先级可以分为以下两种情况：情况1、访问请求的优先级为目标资源路径的优先级，且基于第一验证措施对终端设备验证成功。情况2、访问请求的优先级为目标数据的优先级，且基于第一验证措施对终端设备验证成功。在不同的情况下，应用服务器根据访问请求的优先级对应的防护措施对应用进行防护的具体实现过程不同。以下对上述两种情况分别进行说明。

情况1、访问请求的优先级为目标资源路径的优先级，且基于第一验证措施对终端设备验证成功。

在情况1中，结合图5，如图6所示，计算设备确定访问请求的优先级的具体实现过程可以通过以下S601至S602确定。

S601、应用服务器根据目标资源路径的优先级对应的第一加密措施对第四信息进行处理生成第五信息。

其中，第一加密措施包括：非对称加密、对称加密、以及不加密中的至少一项。第四信息包括：目标数据的标识、以及数据库服务器的用户名和密码中的至少一项。

在一种示例中，如下表2所示，若目标资源路径的优先级分为I级、II级、III级，则I级的目标资源路径对应的第一加密措施可以为非对称加密，II级的目标资源路径对应的第一加密措施可以为对称加密，III级的目标资源路径对应的第一加密措施可以为不加密。

表2

需要指出的是，非对称加密是指将目标数据的标识、数据库的用户名、以及数据库的密钥通过公钥进行加密，后续应用服务器基于与该公钥对应的私钥进行解密。在该情况下，上述公钥、以及与该公钥对应的私钥是不同的密钥。

对称加密是指将目标数据的标识、以及数据库的用户名通过公钥进行加密，后续应用服务器基于与该公钥对应的私钥进行解密。在该情况下，上述公钥、以及与该公钥对应的私钥是相同的密钥。

可以理解的是，在该情况下，访问请求的优先级为目标资源路径的优先级，即访问请求的优先级对应的验证措施与目标资源路径对应的验证措施相同，由于先前应用服务器已基于目标资源路径的优先级对应的第一验证措施验证过终端设备，因此应用服务器无需再向终端设备发送新的验证措施。若应用服务器基于第一验证措施对终端设备验证成功，则应用服务器可以向数据库服务器发送基于访问请求的优先级对应的第一加密措施生成的第五信息。

S602、应用服务器向数据库服务器发送第五信息。相应的，数据库服务器接收来自应用服务器的第五信息。

可选的，在数据库服务器接收到上述第五信息之后，数据库服务器可以基于自身存储的私钥验证上述第五信息的合法性。在上述验证之后，数据库服务器向应用服务器发送第九信息。相应的，应用服务器接收来自数据库服务器的第九信息。在数据库服务器可以验证上述第五信息是正确的情况下，第九信息用于表示目标数据，在数据库服务器可以验证上述第五信息是不正确的情况下，第九信息用于表示第五信息证失败。

在一种示例中，用户A基于银行账户余额查询的需求，触发终端设备生成访问请求#1，该访问请求#1中包括：目标资源路径#1(例如，xxbank/inquire)和财务(account)数据#1。上述目标资源路径#1的优先级为I级。应用服务器向终端设备发送I级对应的第一验证措施#1，这样终端设备基于上述第一验证措施#1进行验证，若验证成功，则终端设备向应用服务器发送验证成功信息。应用服务器向数据库服务器发送用于请求财务数据#1的优先级的信息。数据库服务器向应用服务器发送财务数据#1为I级的信息。应用服务器根据目标资源路径#1的优先级和财务数据#1的优先级确定访问优先级为I级，并根据I级对应的加密措施(例如，非对称加密)对信息#1(例如，财务数据#1、数据库服务器的用户名和密码)进行处理生成加密信息，并向数据库服务器发送上述加密信息。数据库服务器对上述加密信息进行验证，若上述加密信息验证通过，则数据库服务器向应用服务器发送目标数据；若上述加密信息验证未通过，则数据库服务器向应用服务器发送上述加密信息验证未通过的信息。

情况2、访问请求的优先级为目标数据的优先级，且基于第一验证措施对终端设备验证成功。

在情况2中，结合图5，如图6所示，计算设备确定访问请求的优先级的具体实现过程可以通过以下S603至S605确定。

S603、应用服务器向终端设备发送第六信息。

其中，第六信息用于指示访问请求的优先级对应的第二验证措施。第二验证措施包括：密码验证、短信验证码验证、以及无验证中的至少一项。

需要指出的是，访问请求的优先级对应第二验证措施可以参考上述第一验证措施进行理解，此处不再赘述。

S604、应用服务器根据访问请求的优先级对应的第二加密措施对第七信息进行处理生成第八信息。

其中，第二加密措施包括：非对称加密、对称加密、以及不加密中的至少一项。第七信息包括：目标数据的标识、以及数据库服务器的用户名和密码中的至少一项。

需要指出的是，访问请求的优先级对应第二加密措施可以参考上述目标资源路径对应的第一加密措施进行理解，此处不再赘述。

S605、应用服务器向数据库服务器发送第八信息。相应的，数据库服务器接收来自应用服务器的第八信息。

需要指出的是，关于S605可参考上述S602进行理解，此处不再赘述。

可以理解的是，在该情况下，访问请求的优先级高于目标资源路径的优先级，即访问请求的优先级对应的防护措施与目标资源路径对应的防护措施不同，并且先前基于第一验证措施验证的终端设备无法满足访问请求的优先级对应的验证需求，因此应用服务器需要再次向终端设备发送新的验证措施(即访问请求的优先级对应的验证措施)。应用服务器还可以向数据库服务器发送基于访问请求的优先级对应的第二加密措施生成的第八信息。

可选的，在数据库服务器接收到上述第八信息之后，数据库服务器可以基于自身存储的私钥验证上述第八信息的合法性。在上述验证之后，数据库服务器向应用服务器发送第九信息。相应的，应用服务器接收来自数据库服务器的第九信息。在数据库服务器可以验证上述第八信息是正确的情况下，第九信息用于表示目标数据，在数据库服务器可以验证上述第八信息是不正确的情况下，第九信息用于表示第八信息证失败。

上述技术方案至少带来以下有益效果：本申请提供的应用防护方法，应用服务器向终端设备发送目标资源路径的优先级对应的第一验证措施或者访问请求的优先级对应的第二验证措施，以便于终端设备可以基于上述验证措施进行验证，并向数据库服务器发送基于目标资源路径的优先级对应的第一加密措施或者访问请求的优先级对应的第二加密措施生成的加密信息，以便于数据库服务器可以基于上述加密信息验证信息是否正确，这样便于数据库服务器根据终端设备的验证结果和加密信息的验证结果判断是否通过应用服务器向终端设备发送目标数据。

可以理解的是，上述应用防护方法可以由应用防护装置实现。应用防护装置为了实现上述功能，其包含了执行各个功能相应的硬件结构和/或软件模块。本领域技术人员应该很容易意识到，结合本文中所公开的实施例描述的各示例的模块及算法步骤，本申请公开实施例能够以硬件或硬件和计算机软件的结合形式来实现。某个功能究竟以硬件还是计算机软件驱动硬件的方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请公开实施例的范围。

本申请公开实施例可以根据上述方法示例生成的应用防护装置进行功能模块的划分，例如，可以对应各个功能划分各个功能模块，也可以将两个或两个以上的功能集成在一个处理模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。需要说明的是，本申请公开实施例中对模块的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。

图7为本发明实施例提供的一种应用防护装置的结构示意图。如图7所示，应用防护装置70可以用于执行图2-图6所示的应用防护方法。该应用防护装置70包括：通信单元701和处理单元702。

通信单元701，用于接收来自终端设备的访问请求。

其中，访问请求用于请求访问应用，访问请求中包括：终端设备的目标资源路径和终端设备的目标数据的标识。目标资源路径用于建立终端设备与应用服务器的连接。目标数据为应用中终端设备待获取的数据。

处理单元702，用于根据访问请求，确定目标资源路径的优先级和目标数优先级。

处理单元702，还用于根据目标资源路径的优先级和目标数据的优先级，确定访问请求的优先级。

处理单元702，还用于根据访问请求的优先级对应的防护措施对应用进行防护。

在一种可能的实现方式中，处理单元702，具体用于将目标资源路径的优先级和目标数据的优先级中，优先级较高的优先级为访问请求的优先级。

在一种可能的实现方式中，处理单元702，还用于根据目标资源路径和预设优先级集合，确定目标资源路径的优先级；预设优先级集合包括：多个资源路径、以及与多个资源路径中每个资源路径的优先级；多个资源路径中包括目标资源路径；通信单元701，还用于向数据库服务器发送第一信息；第一信息用于请求目标数据的优先级；通信单元701，还用于接收来自数据库服务器的第二信息；第二信息用于指示目标数据的优先级。

在一种可能的实现方式中，通信单元701，还用于向终端设备发送第三信息；第三信息用于指示目标资源路径的优先级对应的第一验证措施；第一验证措施包括：密码验证、短信验证码验证、以及无验证中的至少一项。

在一种可能的实现方式中，在访问请求的优先级为目标资源路径的优先级的情况下，处理单元702，还用于根据目标资源路径的优先级对应的第一加密措施对第四信息进行处理生成第五信息；第一加密措施包括：非对称加密、对称加密、以及不加密中的至少一项；第四信息包括：目标数据的标识、以及数据库服务器的用户名和密码中的至少一项；通信单元701，还用于向数据库服务器发送第五信息。

在一种可能的实现方式中，在访问请求的优先级为目标数据的优先级的情况下，通信单元701，还用于向终端设备发送第六信息；第六信息用于指示访问请求的优先级对应的第二验证措施；第二验证措施包括：密码验证、短信验证码验证、以及无验证中的至少一项；处理单元702，还用于根据访问请求的优先级对应的第二加密措施对第七信息进行处理生成第八信息；第二加密措施包括：非对称加密、对称加密、以及不加密中的至少一项；第七信息包括：目标数据的标识、以及数据库服务器的用户名和密码中的至少一项；通信单元701，还用于向数据库服务器发送第八信息。

通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将装置的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。上述描述的系统，装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

其中，计算机可读存储介质，例如可以是但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机存取存储器(Random Access Memory，RAM)、只读存储器(Read-Only Memory，ROM)、可擦式可编程只读存储器(Erasable Programmable Read Only Memory，EPROM)、寄存器、硬盘、光纤、便携式紧凑磁盘只读存储器(Compact Disc Read-Only Memory，CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合、或者本领域熟知的任何其它形式的计算机可读存储介质。一种示例性的存储介质耦合至处理器，从而使处理器能够从该存储介质读取信息，且可向该存储介质写入信息。当然，存储介质也可以是处理器的组成部分。处理器和存储介质可以位于特定用途集成电路(Application Specific Integrated Circuit，ASIC)中。在本申请实施例中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

以上，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何在本申请揭露的技术范围内的变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应该以权利要求的保护范围为准。

Claims (10)

1.一种应用防护方法，其特征在于，应用于应用服务器，包括：

接收来自终端设备的访问请求；所述访问请求用于请求访问应用，所述访问请求中包括：目标资源路径和目标数据的标识；所述目标资源路径用于建立所述终端设备与所述应用服务器的连接；所述目标数据为所述应用中所述终端设备待获取的数据；

根据所述目标资源路径和预设优先级集合，确定所述目标资源路径的优先级；所述预设优先级集合包括：多个资源路径、以及所述多个资源路径中每个资源路径的优先级；所述多个资源路径中包括所述目标资源路径；

向数据库服务器发送第一信息；所述第一信息用于请求所述目标数据的优先级；

接收来自所述数据库服务器的第二信息；所述第二信息用于指示所述目标数据的优先级；

将所述目标资源路径的优先级和所述目标数据的优先级中，优先级较高的优先级确定为所述访问请求的优先级；

根据所述访问请求的优先级对应的防护措施对所述应用进行防护。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

向所述终端设备发送第三信息；所述第三信息用于指示所述目标资源路径的优先级对应的第一验证措施；所述第一验证措施包括：密码验证、短信验证码验证、以及无验证中的至少一项。

3.根据权利要求2所述的方法，其特征在于，在所述访问请求的优先级为所述目标资源路径的优先级，且基于所述第一验证措施对所述终端设备验证成功的情况下，所述根据所述访问请求的优先级对应的防护措施对所述应用进行防护，包括：

根据所述目标资源路径的优先级对应的第一加密措施对第四信息进行处理生成第五信息；所述第一加密措施包括：非对称加密、对称加密、以及不加密中的至少一项；所述第四信息包括：所述目标数据的标识、以及所述数据库服务器的用户名和密码中的至少一项；

向所述数据库服务器发送所述第五信息。

4.根据权利要求2所述的方法，其特征在于，在所述访问请求的优先级为所述目标数据的优先级，且基于所述第一验证措施对所述终端设备验证成功的情况下，所述根据所述访问请求的优先级对应的防护措施对所述应用进行防护，包括：

向所述终端设备发送第六信息；所述第六信息用于指示所述访问请求的优先级对应的第二验证措施；所述第二验证措施包括：密码验证、短信验证码验证、以及无验证中的至少一项；

根据所述访问请求的优先级对应的第二加密措施对第七信息进行处理生成第八信息；所述第二加密措施包括：非对称加密、对称加密、以及不加密中的至少一项；所述第七信息包括：所述目标数据的标识、以及所述数据库服务器的用户名和密码中的至少一项；

向所述数据库服务器发送所述第八信息。

5.一种应用防护装置，其特征在于，所述装置包括：通信单元和处理单元；

所述通信单元，用于接收来自终端设备的访问请求；所述访问请求用于请求访问应用，所述访问请求中包括：目标资源路径和目标数据的标识；所述目标资源路径用于建立所述终端设备与所述应用服务器的连接；所述目标数据为所述应用中所述终端设备待获取的数据；

所述处理单元，用于根据所述目标资源路径和预设优先级集合，确定所述目标资源路径的优先级；所述预设优先级集合包括：多个资源路径、以及所述多个资源路径中每个资源路径的优先级；所述多个资源路径中包括所述目标资源路径；

所述通信单元，还用于向数据库服务器发送第一信息；所述第一信息用于请求所述目标数据的优先级；

所述通信单元，还用于接收来自所述数据库服务器的第二信息；所述第二信息用于指示所述目标数据的优先级；

所述处理单元，还用于将所述目标资源路径的优先级和所述目标数据的优先级中，优先级较高的优先级为所述访问请求的优先级；

所述处理单元，还用于根据所述访问请求的优先级对应的防护措施对所述应用进行防护。

6.根据权利要求5所述的装置，其特征在于，

所述通信单元，还用于向所述终端设备发送第三信息；所述第三信息用于指示所述目标资源路径的优先级对应的第一验证措施；所述第一验证措施包括：密码验证、短信验证码验证、以及无验证中的至少一项。

7.根据权利要求6所述的装置，其特征在于，在所述访问请求的优先级为所述目标资源路径的优先级的情况下，

所述处理单元，还用于根据所述目标资源路径的优先级对应的第一加密措施对第四信息进行处理生成第五信息；所述第一加密措施包括：非对称加密、对称加密、以及不加密中的至少一项；所述第四信息包括：所述目标数据的标识、以及所述数据库服务器的用户名和密码中的至少一项；

所述通信单元，还用于向所述数据库服务器发送所述第五信息。

8.根据权利要求6所述的装置，其特征在于，在所述访问请求的优先级为所述目标数据的优先级的情况下，

所述通信单元，还用于向所述终端设备发送第六信息；所述第六信息用于指示所述访问请求的优先级对应的第二验证措施；所述第二验证措施包括：密码验证、短信验证码验证、以及无验证中的至少一项；

所述处理单元，还用于根据所述访问请求的优先级对应的第二加密措施对第七信息进行处理生成第八信息；所述第二加密措施包括：非对称加密、对称加密、以及不加密中的至少一项；所述第七信息包括：所述目标数据的标识、以及所述数据库服务器的用户名和密码中的至少一项；

所述通信单元，还用于向所述数据库服务器发送所述第八信息。

9.一种应用防护装置，其特征在于，包括：处理器和通信接口；所述通信接口和所述处理器耦合，所述处理器用于运行计算机程序或指令，以实现如权利要求1-4任一项中所述的应用防护方法。

10.一种计算机可读存储介质，所述计算机可读存储介质中存储有指令，其特征在于，当计算机执行该指令时，该计算机执行上述权利要求1-4任一项中所述的应用防护方法。

Images