一种WEB服务防盗链方法技术

本发明专利技术涉及一种ＷＥＢ服务防盗链方法，该方法涉及到ＷＥＢ门户网站，ＷＥＢ服务器，密钥发布服务器。在ＷＥＢ服务中，利用ＷＥＢ门户发布的ＵＲＬ携带用户信息，并将用户信息利用ＡＥＳ加密算法进行保护，保证一旦ＵＲＬ中有字段被修改，就会对ＡＥＳ加密后产生不同的字段，同时保证同一个文件在不同时刻被同一用户点击，或者同一文件在相同时刻被不同用户点击时产生的ＵＲＬ都不相同。由于ＵＲＬ加密的密钥是不公开的并且会在一段时间后更新，所以密钥基本不会被破解，从而确保ＷＥＢ门户上呈现的ＵＲＬ不被盗链，保护运营商和合法用户的正当利益不受侵害。

【技术实现步骤摘要】

本专利技术涉及WEB服务的防盗链方法。
技术介绍
在传统web(网络)服务中，由于超级链接所指向的URL(统一资源定位器)恒定且直接暴露在浏览器中，因此不能提供有效的对用户鉴权的机制，使得服务提供者提供的URL容易被盗链，典型的盗链包括如下几种情况1、其它网页未经允许私自发布超级链接指向合法的URL。2、未注册用户未经允许访问注册用户才可以访问的URL。3、用户通过更改URL来访问未发布的URL。4、用户在合法的URL过期后还试图访问该URL。现有的web服务模型如下在服务提供商生成的web页面上通过一个超级链接链接到指定的资源(包括web页面，文件，音频视频信息等URL)，用户通过点击该超级链接来访问指定的资源。这样做的缺点在于用户可以通过查看web页面源码等方式很容易的得到特定资源的URL，并在其它web页面上生成指向该URL的超级链接。这使得用户可以不用通过访问服务提供商提供的web页面就直接访问想要的资源，这对web服务的鉴权和计费都有很大影响。如何防止这些非法的接入请求，保证合法用户和服务提供商的权益是本专利技术要解决的问题。
技术实现思路
本专利技术的目的在于针对现有技术中的不足，提供一种WEB服务防盗链方法，在相关协议的框架内提供一种WEB服务系统防止非法用户盗用URL机制，该方法具有下列优点1、防止用户修改门户呈现的URL并通过修改后的URL接入WEB服务器；2、阻止非法用户的接入请求；3、防止未经许可的其它网站对本网站资源的盗链。本专利技术的技术方案是一种WEB服务防盗链方法，其特征在于使用WEB门户网站和WEB服务器以及新增加的密钥发布服务器共同构建加密URL，利用IETF RFC2396协议关于向URL中插入其它信息的规定，向门户呈现的URL中添加用户的IP，点击时的时间戳信息，使对同一个媒体文件在不同时刻，由不同用户访问时的URL都不相同，保证每个URL都只能在一段时间内为一个特定的用户所用；同时，在URL中还加入对以上内容的AES加密校验串，防止URL被修改。该方法通过在WEB服务所发布的URL中增加由用户信息和时间戳信息并经AES加密组成的密文字符串来确保使用该URL的用户的合法性并能够保证用户无法修改WEB门户提供的URL，防止URL被盗链和改写；通过对用户请求接入的URL中的附加信息字符串进行比较，检查URL和用户的合法性，为合法的用户提供WEB服务，保证运营商及合法用户的正当权利不受侵害。如上所述的WEB服务防盗链方法，其特征在于为了防止上述方法中AES加密算法中AES的密钥被破解，增加一个密钥发布服务器，用于按照某种特定的机制，在一段时间间隔后产生新的密钥并发布给WEB门户网站和WEB服务器。如上所述的WEB服务防盗链方法，其特征在于本专利技术的流程包括密钥发布流程，加密URL生成流程，加密URL检查流程；密钥发布流程主要包括以下步骤①密钥发布服务器启动，按照一定规则生成密钥，根据网管的配置开启密钥管理监听线程，等待WEB服务器的连接，此时密钥分发服务器的WEB服务器列表为空；②WEB服务器启动后，根据网管的配置，向密钥发布服务器的密钥发布端口发起连接，发送密钥请求消息，从收到的密钥回复消息，得到密钥；③在程序运行过程中，密钥发布服务器定时向WEB服务器列表中的WEB服务器发送密钥回复消息；④WEB服务器收到回复消息后，需要将密钥请求定时器重启。此外，WEB服务器还需要对消息中密钥和当前密钥进行比较，如果密钥相同，则不作其他处理；如果密钥不同，WEB服务器在一定时长内(WEB服务器自定)，对URL同时使用新旧密钥进行解密，避免更换新密钥后对使用旧密钥的部分合法URL解密失败；加密URL生成流程在WEB门户上执行，主要包括以下步骤①据用户信息生成明文附加信息字段，包括IP，点击时的时间戳等信息；②将以上信息加入原始URL中，生成包含附加信息的URL；③根据包含附加信息的URL生成哈希校验串；④对哈希校验串用从密钥发布服务器收到的密钥进行AES加密；⑤将加密后生成的串合入包含附加信息的URL，并将此URL在门户上呈现；加密URL检查流程在WEB服务器上执行，主要包括以下步骤①收到的URL中得到包含附加信息的URL；②将收到的URL中的IP与用户实际的IP相比较，如果不相符，就说明是非法用户，WEB服务器就拒绝此次接入请求；③将收到的URL中时间戳字段与当前时间对比，如果与当前时间相差太久，就说明该URL过期，WEB服务器就拒绝此次接入请求；④根据从密钥发布服务器得到的密钥对包含附加信息的URL加密，得到加密字符串； ⑤将生成的加密字符串与收到的URL中的加密字符串相比较，如果相同，就认为是合法的URL，如果不同，就认为URL被修改过，WEB服务器就拒绝此次接入请求。有益效果本专利技术可以在WEB服务中有效防止对URL的盗链和修改，有效保护运营商和WEB服务提供商以及合法用户的利益不受侵害。并且本专利技术也可以应用于其它基于WEB的服务中，如流媒体服务等。附图说明图1是本专利技术实施例的密钥发布过程流程图。图2是本专利技术实施例的密钥更新过程流程图。具体实施例方式对URL加密的具体实施方式如下A.生成URL中的附加字段用户使用的IP地址。B.生成URL中的附加字段用户点击时生成的时戳(精确到秒)。C.生成URL中的附加字段经过AES算法加密的哈希串。D.将A-D生成的附加字段用”&”连接到URL中，其形式为”rtsp//hostip(port)/filepath/filename？ip&timestamp&AES string”其中过程D中加密串的生成过程包括1、将A和B生成的字段用“&”连接，即生成ip&timestamp格式的字符串。2、将1中生成的字符串与媒体文件存放的原始URL通过“？”相连接，生成“rtsp//hostip(port)/filepath/filename？ip&timestamp”格式的串。其中“rtsp//hostip(port)/filepath/filename”是原始的URL。3、对2中得到的串取其哈希校验码。4、对3中得到的哈希校验码进行AES加密，得到最终的加密串。其中AES加密算法的密钥根据一定的规则和一定的间隔生成，并且同时由WEB门户和WEB服务器知晓。图1中密钥发布流程的具体实施如下1、密钥发布服务器启动后生成密钥。2、WEB门户启动后连接密钥发布服务器并获取当前密钥。3、WEB服务器启动后连接密钥发布服务器并获取当前密钥。图2中密钥更新流程的具体实施如下1、密钥发布服务器定时产生新密钥。1、密钥发布服务器主动将新密钥下发给WEB门户。2、密钥发布服务器也将新密钥主动下发给WEB服务器。从上述实施例中可见，本专利技术的WEB服务防盗链方法具有下列特征1、不同时刻门户生成的URL时戳不同，就会导致最后的加密哈希串不同，从而可以有效防止盗链。2、不同用户具有不同的IP，不同的IP也会导致加密哈希串不同。3、AES加密密钥定时更新，有效防止破解密钥的攻击。4、WEB服务器收到用户请求的URL后，根据前述A-C的过程进行运算，得到新的AES加密串，与原始AES加密本文档来自技高网...

【技术保护点】
一种ＷＥＢ服务防盗链方法，其特征在于：使用ＷＥＢ门户网站和ＷＥＢ服务器以及新增加的密钥发布服务器共同构建加密ＵＲＬ，利用ＩＥＴＦＲＦＣ２３９６协议关于向ＵＲＬ中插入其它信息的规定，向门户呈现的ＵＲＬ中添加用户的ＩＰ，点击时的时间 戳信息，使对同一个媒体文件在不同时刻，由不同用户访问时的ＵＲＬ都不相同，保证每个ＵＲＬ都只能在一段时间内为一个特定的用户所用；同时，在ＵＲＬ中还加入对以上内容的ＡＥＳ加密校验串，防止ＵＲＬ被修改。

【技术特征摘要】

【专利技术属性】
技术研发人员：张欣，
申请(专利权)人：北京北方烽火科技有限公司，
类型：发明
国别省市：11[中国|北京]