一种基于令牌的电子资源服务中非正常访问的处理方法技术

本发明专利技术公开了一种基于令牌的电子资源服务中非正常访问的处理方法，包括：接收产品服务端发起的校验用户访问是否正常的请求；根据三个维度的访问控制列表判断是否存在非正常访问；存在非正常访问情况，则进入相关业务处理；记录用户访问日志；更新三个维度的访问控制列表；返回产品服务请求处理结果。本发明专利技术能够基于登录令牌相关的行为分析判断用户访问是否存在非正常访问，并基于用户IP、账号与登录令牌的关系进而分析判断用户IP、账号的访问是否存在非正常访问；为电子资源的主动防御保护提供了一种解决方案。护提供了一种解决方案。护提供了一种解决方案。

【技术实现步骤摘要】
一种基于令牌的电子资源服务中非正常访问的处理方法


[0001]本专利技术属于网络安全
，涉及电子资源反批量爬取的相关主动防御技术，尤其涉及一种基于令牌的电子资源服务中非正常访问的处理方法。

技术介绍

[0002]随着数字化信息资源建设和互联网的飞速发展，电子资源被非正常访问的风险越来越严重。特别是在数字出版行业，电子资源是公司的命脉，识别非正常访问行为并采取措施进行保护具有非常重要的意义。同时，用于提供电子资源服务的负载能力非常昂贵且有限，大量的非正常访问挤占了大量服务资源，导致服务成本的提高和服务质量的下降。
[0003]很多高校、科研院所等机构从运营商那里购买云服务为单位内部人员提供电子资源服务。通常相同单位的读者们会使用同一个机构账号，通过IP自动登录方式使用电子资源服务。因个别读者的非正常访问导致机构账号或IP被封的情况时有发生。
[0004]非正常访问电子资源的行为大多数来自运行在机器上的网络爬虫程序或脚本。防止爬取的方法很多，比如配置Robots协议、限制IP、智能验证码等等，防爬与爬取就是一个不断进化的攻防博弈过程。

技术实现思路

[0005]为解决上述技术问题，本专利技术的目的是提供一种基于令牌的电子资源服务中非正常访问的处理方法。
[0006]本专利技术的目的通过以下的技术方案来实现：
[0007]一种基于令牌的电子资源服务中非正常访问的处理方法，包括：
[0008]A、接收产品服务端发起的校验用户访问是否正常的请求；
[0009]B、根据三个维度的访问控制列表判断是否存在非正常访问；
[0010]C、存在非正常访问情况，则进入相关业务处理；
[0011]D、记录用户访问日志；
[0012]E、更新三个维度的访问控制列表；
[0013]F、返回产品服务请求处理结果。
[0014]与现有技术相比，本专利技术的一个或多个实施例可以具有如下优点：
[0015]基于三个维度的访问控制列表，组合搭配后可以适应更多的业务场景；特别是基于登录令牌访问控制列表，可以识别机构单位内部非正常访问的用户个体，并进行限制；
[0016]可有效应对网络爬取技术的迭代更新导致的相关主动防御技术失效的问题。
附图说明
[0017]图1是基于令牌的电子资源服务中的非正常访问的处理方法流程图；
[0018]图2是根据三个维度的访问控制列表判断是否存在非正常访问流程图；
[0019]图3是更新三个维度的访问控制列表流程图；
[0020]图4是更新登录令牌访问控制列表流程图；
[0021]图5是更新IP访问控制列表流程图；
[0022]图6是更新账号访问控制列表流程图。
具体实施方式
[0023]为使本专利技术的目的、技术方案和优点更加清楚，下面将结合实施例及附图对本专利技术作进一步详细的描述。
[0024]如图1所示，为基于令牌的电子资源服务中的非正常访问的处理方法，包括：
[0025]步骤10接收产品服务端发起的校验用户访问是否正常的请求；
[0026]接收产品服务端发起的校验用户访问是否正常的请求，是本解决方案最终提供的服务形式，也是最主要的数据输入通道。请求内容包含登录令牌、用户IP、操作类型、操作对象四种信息。其中，登录令牌是用户登录系统后获取的通行码，通过登录令牌能够获取登录所使用的账号信息；用户IP是用户终端设备的IP；操作类型可以是浏览、下载、在线阅读等针对电子资源的操作；操作对象是指文献、图书、视频等具体的电子资源。
[0027]步骤20根据三个维度的访问控制列表判断是否存在非正常访问；
[0028]三个维度的访问控制列表包含登录令牌访问控制列表、IP访问控制列表、账号访问控制列表，由系统根据规则算法对用户访问日志进行分析得出,分别保存了存在非正常访问情况的登录令牌、IP和账号，以及非正常访问的异常信息代码。所述异常信息代码是将所有非正常访问情况穷举后进行的编码。
[0029]如图2所示，为根据三个维度的访问控制列表判断是否存在非正常访问流程图，具体包括：
[0030]第一步：本次登录是否存在非正常访问。根据登录令牌查询登录令牌访问控制列表，若存在，进入限制登录令牌使用的处理过程。
[0031]第二步：使用IP是否存在非正常访问。首先，判断IP是否存在于IP白名单中，若存在，直接进入下一步。其次，考虑到多个账号共用一个IP访问的情况，可将账号和IP组合起来作为IP访问控制列表的主键；根据登录令牌查询账号与登录令牌的关联关系获取账号，根据账号IP的组合查询IP访问控制列表，若存在，进入限制IP使用的处理过程。
[0032]第三步：使用账号是否存在非正常访问。首先，判断账号是否存在于账号白名单中，若存在，直接进入下一步。其次，根据登录令牌查询账号与登录令牌的关联关系获取账号，根据账号查询账号访问控制列表，若存在，进入限制账户使用的处理过程。
[0033]第四步：上述三步均通过，则返回正常访问。
[0034]步骤30若存在非正常访问情况时，进入相关业务处理流程；
[0035]当用户存在非正常访问情况，针对登录令牌、IP和账号三个维度的不同情况，根据规则对用户访问采取相应的限制措施。所述方法包括：
[0036](1)登录令牌存在非正常访问时，限制登录令牌的使用。限制手段主要是导入人机校验过程，通过让用户输入验证码的方式，阻断机器行为的访问。当用户n次输入验证码后，非正常访问的情况依然存在，则直接令登录令牌失效，用户需要重新登录。所述参数n，可定期的通过历史用户日志数据的正负样本集训练或直接统计得出，允许业务人员修改设定。
[0037](2)IP存在非正常访问时，限制IP的使用。
[0038]根据登录令牌分析出来的非正常访问IP，以及根据每次操作都重新登录的情况分析出来的非正常访问IP，只针对相关账号在使用该IP的过程中导入人机校验过程。当某个账号m次输入验证码后，非正常访问的情况依然存在，则直接禁止该账号通过该IP使用服务n个小时。所述参数m、n，可定期的通过历史用户日志数据的正负样本集训练或直接统计得出，允许业务人员修改设定。
[0039]根据单个IP使用账号数量和操作次数确定出来的非正常访问IP，直接禁止该IP使用服务n个小时。所述参数n，可定期的通过历史用户日志数据的正负样本集训练或直接统计得出，允许业务人员修改设定。
[0040](3)账号存在非正常访问时，禁止账号使用服务n个小时。所述参数n，可定期的通过历史用户日志数据的正负样本集训练或直接统计得出，允许业务人员修改设定。
[0041]步骤40记录用户访问日志；
[0042]记录的用户访问日志内容包括登录令牌、账号、用户IP、操作类型、操作对象、操作时间；其中账号通过登录令牌查询关联关系得到，操作时间取系统时间，登录令牌、用户IP、操作类型、操作对象从接收产品服务端发起的校验用本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种基于令牌的电子资源服务中非正常访问的处理方法，其特征在于，包括：A、接收产品服务端发起的校验用户访问是否正常的请求；B、根据三个维度的访问控制列表判断是否存在非正常访问；C、存在非正常访问情况，则进入相关业务处理；D、记录用户访问日志；E、更新三个维度的访问控制列表；F、返回产品服务请求处理结果。2.如权利要求1所述的基于令牌的电子资源服务中非正常访问的处理方法，其特征在于，所述A中请求内容包括登录令牌、用户IP、操作类型、操作对象四种信息。3.如权利要求1所述的基于令牌的电子资源服务中非正常访问的处理方法，其特征在于，三个维度的访问控制列表包含登录令牌访问控制列表、IP访问控制列表与账号访问控制列表；其中B具体包括：B1、判断本次登录是否存在非正常访问，是，限制登录令牌使用；否则执行B2；B2、判断IP是否存在于IP白名单中，是，判断使用账号是否存在于账号白名单，否则，判断使用IP是否存在非正常访问，若IP为非正常使用，限制IP使用，否则执行B3；B3、判断使用账号是否存在于账号白名单，是，记录用户行为日志，否则，判断使用账号是否存在非正常访问；使用账号存在非正常访问，则限制账号使用，否则记录用户行为日志；B4、进行正常访问。4.如权利要求1所述的基于令牌的电子资源服务中非正常访问的处理方法，其特征在于，所述C具体包括:C1、登录令牌存在非正常访问时，限制登录令牌的使用C2、IP存在非正常访问时，限制IP的使用；C3、账号存在非正常访问时，禁止账号使用服务n个小时。5.如权利要求1所述的基于令牌的电子资源服务中非正常访问的处理方法，其特征在于，所述D中记录用户访问日志内容包括：登录令牌、账号、用户IP、操作类型、操作对象、操作时间；所述账号通过登录令牌查询关联关系得到，操作时间取系统时间；登录令牌、用户IP、操作类型、操作对象从接收产品服务端发起的校验用户访问是否正常的请求中获取。6.如权利要求1所述的基于令牌的电子资源服务中非正常访问的处理方法，其特征在于，所述步骤E具体包括：更新登录令牌访问控制列表、更新IP访问控制列表、更新账号访问控制列表。7.如权利要求6所述的基于令牌的电子资源服务中非正常访问的处理方法，其特征在于，所述更新登录令牌访问控制列表具体包括：1)根据登录令牌和操作类型聚合当日用户访问日志，得到包含登录令牌、操作类型、操作次数、最早操作...

【专利技术属性】
技术研发人员：张良，邵明昳，陈伟，黄坤，单建帅，李宁，
申请(专利权)人：同方知网北京技术有限公司，
类型：发明
国别省市：