CN1774901A - 便于安全启动的内容缓存的方法及设备 - Google Patents

Abstract

本发明的一个实施例提供了一种便于安全启动(security－enabled)内容缓存的系统。该系统的操作是：首先在缓存服务器从用户接收对受限制内容的请求，其中此缓存服务器为应用服务器存储内容。其次所述系统确定此受限制内容是否存储于缓存服务器中。如果是，所述系统确定此用户是否被授权访问受限制内容。如果用户被授权访问受限制内容，所述系统就从缓存服务器提供受限制内容给用户。从缓存服务器提供受限制内容，消除了请求和接收来自应用服务器的受限制内容所涉及的各项费时操作。

Description

便于安全启动的内容缓存的方法及设备

技术领域

本发明涉及缓存服务器。更具体地说，本发明涉及一种便于在缓存服务器安全启动的内容缓存的方法和设备。

背景技术

商务和个人两类计算机用户均转向万维网以求迅速传播内容。这种内容可包括商务数据如财务状况及库存量，以及一般数据如世界新闻。这种内容的提供商使用了许多装置和方法来帮助迅速地将内容传送给用户，并减少在内容源处所接收的请求内容的“点击”数量。上述这些装置之一便是缓存服务器(cache server)，其存储先前被访问过的数据，并随后作为对后续请求的响应，提供这类先前被访问过的数据。

图1展示缓存服务器104，该服务器将从应用服务器106接收到的内容提供给浏览器102。在操作期间，在浏览器102处的用户(没有示出)针对来自应用服务器106的内容发出请求108。请求108被路由至缓存服务器104，在此处缓存服务器104确定该内容是否可在缓存服务器104处取得。如果是，缓存服务器104提供内容114给浏览器102。如果内容不可在缓存服务器104处取得，缓存服务器104就针对该内容向应用服务器106发出请求110。应用服务器106产生内容，并将内容112提供给缓存服务器104。缓存服务器104随后存储内容112的拷贝，并将该内容作为内容114提供给浏览器102。请注意，在应用服务器106处产生内容可能是一个漫长的过程。

图2说明多个缓存服务器提供内容给浏览器。系统包括：应用服务器202，缓存服务器204、208、212及216；以及浏览器206、210、214及218。缓存服务器204、208、212及216可被置于不同的地理区域，以提供对来自应用服务器202的内容的本地化访问。例如，缓存服务器204可被置于日本，缓存服务器208可被置于美国，缓存服务器212可被置于欧洲，而缓存服务器216可被置于印度。请注意与图2所示的相比，可能有更多的浏览器与各个缓存服务器通信。这些浏览器、缓存服务器及应用服务器202以类似的方式操作，如同结合图1所作的描述。

这些内容缓存服务器(缓存服务器)在传统上仅被用于将“公共”(即非受限的)内容迅速传送给内容消费者。但在许多情况下，希望能够将特定类型的敏感内容传送给受限的用户子群。在这些情况下，现有的缓存服务器的设计就不能提供有效地传送这种内容的架构。尤其是，内容缓存器并不提供对于在传送内容给用户之前检验用户身份、及应用访问控制检查的支持。因此，受限制内容目前不得不从内容始发服务器(应用服务器)取得，所以应用服务器能够应用访问控制逻辑。这就导致对用户的响应较慢，降低了系统中的容量/可伸缩性，并增加了在应用服务器的数据业务量。

因此，需要一种便于对受限制内容进行有效的内容缓存、而没有上述问题的方法及设备。

发明内容

本发明的一个实施例提供了一种便于进行安全启动的(security-enabled)内容缓存的系统。该系统操作如下：首先在缓存服务器接收来自用户对受限制内容的请求，其中该缓存服务器为应用服务器存储内容。其次，所述系统确定所述受限制内容是否处于缓存服务器中。如果是，所述系统则确定该用户是否被授权访问所述受限制内容。如果该用户确被授权访问所述受限制内容，所述系统就从缓存服务器提供所述受限制内容给用户。从缓存服务器提供所述受限制内容，就消除了请求和接收来自应用服务器的受限制内容所涉及的费时操作。

在这个实施例的一个变化中，如果受限制内容不处于缓存服务器中，所述系统就向安全基础设施为用户请求访问授权。如果接收到访问授权，所述系统就请求来自应用服务器的受限制内容。在接收受限制内容之后，所述系统缓存受限制内容，并将受限制内容提供给用户。

在进一步的变化中，确定用户是否被授权访问受限制内容包含：首先向安全基础设施为用户请求访问授权；以及随后，如果接收到访问授权，则提供受限制内容给用户。

在进一步的变化中，如果受限制内容不是处于所述缓存服务器中，所述系统就为用户向应用服务器请求受限制内容。作为响应，所述系统从应用服务器接收受限制内容，包括提供访问授权信息的访问标记。所述系统缓存受限制内容，并将访问标记转发给安全基础设施。最后，所述系统将受限制内容提供给用户。

在进一步的变化中，确定用户是否被授权访问受限制内容包含：首先，向安全基础设施请求对用户的访问授权。安全基础设施使用访问标记来确定用户是否被授权接收受限制内容。一旦接收到访问授权，所述系统便向用户提供受限制内容。

在进一步的变化中，如果受限制内容不处于所述缓存服务器中，所述系统就为用户向应用服务器请求受限制内容。在从应用服务器接收到受限制内容之后，所述系统缓存受限制内容，并将此受限制内容提供给用户。

在进一步的变化中，确定用户是否被授权访问受限制内容包含：为用户向应用服务器请求授权，以便用户访问受限制内容；以及如果接收到授权，就给用户提供受限制内容。

附图说明

图1示例说明一缓存服务器，其将从应用服务器接收的内容提供给浏览器。

图2示例说明提供内容给浏览器的多个缓存服务器。

图3示例说明根据本发明的实施例、用于集中式管理的访问的缓存服务器。

图4展示了一流程图，说明根据本发明的实施例的集中式管理的访问的过程。

图5示例说明根据本发明的一个实施例、用于外部化应用(externalizable application)管理的访问的缓存服务器。

图6展示了一流程图，说明根据本发明的一实施例的外部化应用管理的访问的过程。

图7示例说明根据本发明的一个实施例、用于非外部化应用管理的访问的缓存服务器。

图8展示了一流程图，说明根据本发明的一个实施例的非外部化应用管理的访问的过程。定义

缓存服务器：一实体，例如在搜索引擎中参与实时内容传送及非实时内容传送，该实体离线检索内容。

具体实施方式

展开以下描述，为的是使本领域技术人员能够制造和使用本发明，且以下描述是在特殊应用及其要求的具体背景下提供的。对所公开实施例的各种修改对本领域技术人员来说将是显而易见的，而且本说明书所规定的一般原则可应用于其他实施例和应用，而无需偏离本发明的精神及范围。因此，不应将本发明限制于所示的实施例，而应使之对应于与本说明书所揭示的原则和特征相一致的最宽范围。

此详细描述中所说明的数据结构及代码典型地存储于计算机可读的存储介质上，该存储介质可以是任何能够存储代码和/或数据、以供计算机系统使用的器件或介质。这包括但不限于：磁或光存储器件，如磁盘驱动器、磁带、CD(光碟)及DVD(数字通用光碟或数字视盘)；以及包含在传输介质中的计算机指令信号(有或没有在其上调制信号的载波)。举例来说，传输介质可包括通信网络如因特网。

集中式管理的访问

图3说明根据本发明的一个实施例、用于集中式管理的访问的缓存服务器310。用户302、304分别利用浏览器306和浏览器308与缓存服务器310通信。

在操作期间，缓存服务器310从代表用户例如用户302的浏览器，如浏览器306接收对受限制内容的请求。作为对该请求的响应，缓存服务器310为用户302向安全基础设施312请求访问授权，以接收受限制内容。如果接收到访问授权，且受限制内容不能从缓存服务器310取得，缓存服务器310就向应用服务器314请求受限制内容。一旦从应用服务器314接收到受限制内容，缓存服务器310即存储受限制内容，并提供受限制内容的拷贝给浏览器306处的用户302。

如果缓存服务器310此后从不同的用户，比如在浏览器308处的用户304，接收到对于相同受限制内容的请求，缓存服务器310类似地向安全基础设施312请求访问授权。如果接收到对用户304的访问授权，缓存服务器310便提供受限制内容，该受限制内容是先前存储于缓存服务器310中的。从缓存服务器304取得受限制内容，就不需要联系应用服务器314、产生受限制内容、及将受限制内容返回到缓存服务器310所涉及的时间和通信量。

集中式管理的访问过程

图4展示了一流程图，说明根据本发明的一实施例的集中式管理的访问的过程。在集中式管理的访问中，缓存服务器310与安全基础设施312通信，以确定用户是否被授权访问来自应用服务器314的受限制内容。系统始于在缓存服务器处接收到对受限制内容的请求(步骤402)。其后，系统确定该受限制内容是否是存储在缓存服务器中(步骤404)。

如果受限制内容不能在缓存服务器处取得，系统便咨询安全基础设施，以确定是否用户具有对受限制内容的访问授权(步骤406)。如果用户没有对受限制内容的访问授权，过程被终止(步骤408)。否则，系统向应用服务器请求受限制内容(步骤410)。一旦接收到受限制内容，缓存服务器就存储受限制内容(步骤412)。最后，缓存服务器向用户转发受限制内容(步骤414)。

如果在步骤404中，受限制内容能在缓存服务器处取得，系统就咨询安全基础设施，以确定用户是否具有对受限制内容的访问授权(步骤416)。如果用户没有对受限制内容的访问授权，过程即被终止(步骤418)。否则，系统在步骤414向用户转发受限制内容。

外部化应用管理的访问

图5说明根据本发明的一实施例的用于外部化应用管理的访问的缓存服务器510。如图5所示，用户502、504分别利用浏览器506和浏览器508与缓存服务器510通信。在外部化应用管理的访问中，应用服务器514确定用户是否被授权访问来自应用服务器514的受限制内容。如果是，应用服务器514即发送标记与受限制内容。此标记包含元数据，元数据说明哪些用户被授权访问受限制内容。缓存服务器510将此标记转发至安全基础设施512。

在操作期间，缓存服务器510从代表用户(在此例中为用户502)的浏览器如浏览器506接收对于受限制内容的请求。响应该请求，缓存服务器510确定受限制内容是否可从缓存中得到。如果否，缓存服务器510便为用户502向应用服务器514请求受限制数据。应用服务器514随后确定哪些用户被授权访问受限制内容，并提供标记与受限制内容。一旦接收到受限制内容及标记，缓存服务器510便将标记转发至安全基础设施512，在缓存中存储受限制内容，并向用户502提供受限制内容。

在后续的操作中，如果缓存服务器510从不同的用户，比如在浏览器508处的用户504，接收到对相同受限制内容的请求，缓存服务器510就向安全基础设施512请求访问授权。安全基础设施512利用先前所接收的标记来确定，用户504被是否授权访问该受限制内容。如果从安全基础设施512接收到对用户504的访问授权，缓存服务器510就根据缓存服务器510先前所存储的内容，来提供该受限制内容。以这种方式从缓存服务器取得受限制内容，便消除了与联系应用服务器514、产生受限制内容、及将受限制内容返回至缓存服务器510有关的时间和通信量。

外部化应用管理的访问的过程

图6展示了一流程图，说明根据本发明的一实施例的外部化应用管理的访问的过程。系统开始于在缓存服务器处接收到对于受限制内容的请求的时候(步骤602)。作为对该请求的响应，系统确定此受限制内容是否存储于缓存服务器中(步骤604)。

如果受限制内容并未存储于缓存服务器处，缓存服务器就代表用户向应用服务器请求此受限制内容(步骤606)。应用服务器确定针对此受限制内容的访问规则，包括用户是否被授权访问此受限制内容(步骤608)。如果用户未被授权访问受限制内容，则过程即被终止(步骤610)。否则，应用服务器向缓存服务器提供此受限制内容与一标记(步骤612)。这一标记包括规定谁有对此受限制内容的访问授权的元数据。

一旦接收到受限制内容及标记，缓存服务器便在缓存中存储此受限制内容，并将标记传送至安全基础设施(步骤614)。最后，缓存服务器向用户传送受限制内容(步骤616)。

在步骤604，如果受限制内容确是存储于缓存服务器处，则缓存服务器向安全基础设施请求访问授权(步骤618)。安全基础设施通过利用先前所提供的标记，来确定用户是否拥有访问授权。如果用户没有访问授权，过程便被终止(步骤620)。否则，缓存服务器就在步骤616将受限制内容从缓存传送给用户。

非外部化应用管理的访问

图7说明根据本发明的一实施例的、用于非外部化应用管理的访问的缓存服务器。如图7所示，用户702、704分别利用浏览器706和浏览器708与缓存服务器710通信。在非外部化应用管理的访问中，总是应用服务器714来确定用户是否被授权访问来自应用服务器714的受限制内容。

在操作期间，缓存服务器710从代表用户(在此例中为用户702)的浏览器，比如浏览器706，接收对受限制内容的请求。作为对该请求的响应，缓存服务器710确定受限制内容是否可在缓存中取得。如果否，缓存服务器710就代表用户702向应用服务器714请求受限制数据。应用服务器714确定此用户是否被授权访问受限制内容，且如果是，就将受限制内容提供给缓存服务器710。一旦接收到受限制内容，缓存服务器710即在缓存中存储受限制内容，并将此受限制内容提供给用户702。

如果缓存服务器710此后从浏览器708处的不同用户(比如用户704)接收到对相同受限制内容的请求，缓存服务器710便向安全基础设施712请求访问授权。安全基础设施712则依次向应用服务器714请求授权。如果从应用服务器714接收了对用户704的访问授权，安全基础设施712就将此授权转发给缓存服务器710。缓存服务器710随后根据缓存服务器710先前所存储的内容，来提供受限制内容。由缓存来提供受限制内容，就消除了联系应用服务器714、产生受限制内容、及将受限制内容返回至缓存服务器710所包含的时间和通信量。请注意，联系应用服务器714以取得访问授权所需要的是最少的时间与通信量。

非外部化应用管理的访问过程

图8展示了一流程图，说明根据本发明的一实施例的非外部化应用管理的访问的过程。系统开始于在缓存服务器处接收到对受限制内容的请求的时候(步骤802)。作为对这一请求的响应，缓存服务器确定此受限制内容是否可在缓存服务器处取得(步骤804)。

如果受限制内容不能在缓存服务器处取得，缓存服务器就向应用服务器请求受限制内容(步骤806)。应用服务器随后确定是否该用户能够访问受限制内容(步骤808)。如果用户没有对受限制内容的访问授权，过程即终止(步骤810)。

如果应用服务器确定用户拥有对受限制内容的访问授权，应用服务器便将此受限制内容提供给缓存服务器(步骤812)。缓存服务器将此受限制内容存储在缓存中(步骤814)。最后，缓存服务器向用户传送受限制内容(步骤816)。

在步骤804，如果受限制内容可在缓存服务器处取得，缓存服务器就向安全基础设施请求访问授权(步骤818)。安全基础设施则依次向应用服务器请求授权(步骤820)。如果未从应用服务器接收到访问授权，则过程被终止(步骤822)。如果从应用服务器接收到访问授权，安全基础设施将此授权提供至缓存存服务器。随后在步骤816，缓存服务器向用户传送受限制内容。

提供本发明实施例的以上描述，仅仅是为了说明和描述。这些描述的用意不在于穷举本发明，或将本发明限制在所公开的方式。因而对本领域技术人员来说，许多修改和变化都是显而易见的。此外，以上公开并非打算限制本发明。本发明的范围是由所附权利要求规定的。

Claims (21)

1.一种便于安全启动的内容缓存的方法，包括：

在缓存服务器接收用户对于受限制内容的请求，其中所述缓存服务器为应用服务器存储内容；

确定所述受限制内容是否处于所述缓存服务器中；

如果是，确定所述用户是否被授权访问所述受限制内容；及

如果是，从所述缓存服务器向所述用户提供所述受限制内容；

由此从所述缓存服务器提供所述受限制内容，消除了在请求和接收来自所述应用服务器的所述受限制内容时所涉及的费时操作，且由此而使所述应用服务器无需担心强化安全。

2.如权利要求1所述的方法，其中如果所述受限制内容不处于所述缓存服务器中，所述方法进一步包括：

向安全基础设施为所述用户请求访问授权；及

如果接收到所述访问授权，就向处于所述应用服务器中的应用请求所述受限制内容；接收所述受限制内容；缓存所述受限制内容；并向所述用户提供所述受限制内容。

3.如权利要求2所述的方法，其中确定所述用户是否被授权访问所述受限制内容包括：

向所述安全基础设施为所述用户请求所述访问授权；及

如果接收到所述访问授权，就向所述用户提供所述受限制内容。

4.如权利要求1所述的方法，其中如果所述受限制内容不处于所述缓存服务器中，所述方法进一步包括：

代表所述用户向处于所述应用服务器中的应用请求所述受限制内容；

从所述应用接收所述受限制内容，其中所述受限制内容包括访问标记，该访问标记提供访问授权信息；

缓存所述受限制内容；

将所述访问标记转发至安全基础设施；及

向所述用户提供所述受限制内容。

5.如权利要求4所述的方法，其中确定所述用户是否被授权访问所述受限制内容包括：

向所述安全基础设施为所述用户请求访问授权，其中所述安全基础设施利用所述访问标记来确定所述用户是否被授权接收所述受限制内容；

接收所述访问授权；及

向所述用户提供所述受限制内容。

6.如权利要求1所述的方法，其中如果所述受限制内容不处于所述缓存服务器中，所述方法进一步包括：

代表所述用户向处于所述应用服务器中的应用请求所述受限制内容；

从所述应用接收所述受限制内容；

缓存所述受限制内容；及

向所述用户提供所述受限制内容。

7.如权利要求6所述的方法，其中确定所述用户是否被授权访问所述受限制内容包括：

向所述应用为所述用户请求授权，以访问所述受限制内容；及

如果接收到所述授权，向所述用户提供所述受限制内容。

8.一种计算机可读的存储介质，当其存储的指令为计算机所执行时，使得计算机执行一种便于安全启动的内容缓存的方法，所述方法包括：

在缓存服务器接收用户对受限制内容的请求，其中所述缓存服务器为应用服务器存储内容；

确定所述受限制内容是否处于所述缓存服务器中；

如果是，确定所述用户是否被授权访问所述受限制内容；及

如果是，从所述缓存服务器向所述用户提供所述受限制内容；

由此从所述缓存服务器提供所述受限制内容，消除了在请求和接收来自所述应用服务器的所述受限制内容时所涉及的费时操作，且由此而使所述应用服务器无需担心强化安全。

9.如权利要求8所述的计算机可读存储介质，其中如果所述受限制内容不处于所述缓存服务器中，所述方法进一步包括：

向安全基础设施为所述用户请求访问授权；及

如果接收到所述访问授权，就向处于所述应用服务器中的应用请求所述受限制内容；接收所述受限制内容；缓存所述受限制内容；和向所述用户提供所述受限制内容。

10.如权利要求9所述的计算机可读存储介质，其中确定所述用户是否被授权访问所述受限制内容包括：

向所述安全基础设施为所述用户请求所述访问授权；及

如果接收到所述访问授权，就向所述用户提供所述受限制内容。

11.如权利要求8所述的计算机可读存储介质，其中如果所述受限制内容不处于所述缓存服务器中，所述方法进一步包括：

代表所述用户向处于所述应用服务器中的应用请求所述受限制内容；

从所述应用接收所述受限制内容，其中所述受限制内容包括访问标记，该访问标记提供访问授权信息；

缓存所述受限制内容；

将所述访问标记转发至安全基础设施；及

向所述用户提供所述受限制内容。

12.如权利要求11所述的计算机可读存储介质，其中确定所述用户是否被授权访问所述受限制内容包括：

向所述安全基础设施为所述用户请求访问授权，其中所述安全基础设施利用所述访问标记来确定所述用户是否被授权接收所述受限制内容；

接收所述访问授权；及

向所述用户提供所述受限制内容。

13.如权利要求8所述的计算机可读存储介质，其中如果所述受限制内容不处于所述缓存服务器中，所述方法进一步包括：

代表所述用户向处于所述应用服务器中的应用请求所述受限制内容；

从所述应用接收所述受限制内容；

缓存所述受限制内容；及

向所述用户提供所述受限制内容。

14.如权利要求13所述的计算机可读存储介质，其中确定所述用户是否被授权访问所述受限制内容包括：

向所述应用请求授权，以使所述用户访问所述受限制内容；及

如果接收到所述授权，向所述用户提供所述受限制内容。

15.一种便于安全启动的内容缓存的设备，包括：

一接收装置，其被配置用于在缓存服务器接收用户对受限制内容的请求，其中所述缓存服务器存储应用服务器的内容；

一确定装置，其被配置用于确定所述受限制内容是否处于所述缓存服务器中；

其中所述确定装置被进一步配置用于：如果所述受限制内容处于所述缓存服务器中，确定所述用户是否被授权访问所述受限制内容；及

一内容提供装置，其被配置用于：如果所述用户被授权访问所述受限制内容，就从所述缓存服务器向所述用户提供所述受限制内容；

由此从所述缓存服务器提供所述受限制内容，消除了在请求和接收来自所述应用服务器的所述受限制内容时所涉及的费时操作，且由此而使所述应用服务器无需担心强化安全。

16.如权利要求15所述的设备，进一步包括：

一请求装置，其被配置用于向安全基础设施请求对用户的访问授权；

其中所述请求装置被进一步配置用于：如果接收到所述访问授权，就向处于所述应用服务器中的应用请求所述受限制内容；

其中所述接收装置被进一步配置用于接收所述受限制内容；及

一缓存装置，其被配置用于缓存所述受限制内容。

17.如权利要求16所述的设备，其中所述请求装置被进一步配置用于向所述安全基础设施请求对所述用户的所述访问授权。

18.如权利要求15所述的设备，进一步包括：

一请求装置，其被配置用于代表所述用户向处于所述应用服务器中的应用请求所述受限制内容；

其中所述接收装置被进一步配置用于从所述应用接收所述受限制内容，且其中所述受限制内容包括访问标记，该访问标记提供访问授权信息；

一缓存装置，其被配置用于缓存所述受限制内容以及所述访问标记；及

一转发装置，其被配置用于将所述访问标记转发至安全基础设施。

19.如权利要求18所述的设备，

其中所述请求装置被进一步配置用于：向所述安全基础设施请求对所述用户的访问授权，其中所述安全基础设施利用所述访问标记来确定所述用户是否被授权接收所述受限制内容；及

其中所述接收装置被进一步配置用于接收所述访问授权。

20.如权利要求15所述的设备，进一步包括：

一请求装置，其被配置用于代表所述用户向所述应用服务器处的应用请求所述受限制内容；

其中所述接收装置被进一步配置用于从所述应用接收所述受限制内容；及

一缓存装置，其被配置用于缓存所述受限制内容。

21.如权利要求20所述的设备，其中所述请求装置被进一步配置用于：为使所述用户访问所述受限制内容，而向所述应用请求授权。

Images