网页防御方法及相关设备技术

本申请公开了网页防御方法及相关设备，该方法包括：为访问目标网页的客户端生成对应的有效令牌，并保存有效令牌信息于缓存库中；面对客户端后续向目标网页发送的操作请求，验证操作请求携带的待验令牌是否有效，以确定是否允许客户端操作目标网页；其中，客户端有多个时，采用负载均衡规则将各客户端的操作请求发给服务端。本申请能自动生成相应的有效令牌，使得网页前端开发人员无需手动修改每一个网页接口，从而减少人工工作量，提升开发效率；能均衡快捷的转发各请求，避免资源堵塞和延时；支持自动验证客户端后续向目标网页发送的操作请求，从而高效预防攻击者恶意地冒名操作页面，影响信息财产安全。影响信息财产安全。影响信息财产安全。

【技术实现步骤摘要】
网页防御方法及相关设备


[0001]本申请实施例涉及互联网
，尤其涉及网页防御方法及相关设备。

技术介绍

[0002]信息发展的时代，计算机应用受到恶意攻击的案例屡见不鲜。对于跨站请求伪造攻击CSRF(Cross
‑
Site Request Forgery)而言，攻击者伪造HTTP链接，诱使用户向已登录的网站发送请求(如修改密码、转账等请求)，从而达到攻击者的目的，而这个请求是由用户发送的，对于应用后台来说，这个请求是完全合法的，难以检测。
[0003]目前防御CSRF攻击，需要web前端人员对每一个可能出现CSRF攻击的HTTP接口都做相应修改，使得应用前端发送请求时能携带从后台获取到的token，如此造成的开发工作量较大容易出错，且都是重复工作，效率低下。针对于此，有必要提供有效的解决方案。

技术实现思路

[0004]本申请实施例提供了网页防御方法及相关设备，用于自动添加并验证令牌。
[0005]本申请实施例第一方面提供一种网页防御方法，应用于服务端，包括：
[0006]为访问目标网页的客户端生成对应的有效令牌，并保存所述有效令牌信息于缓存库中；所述目标网页包含被访问网站的各页面；
[0007]面对所述客户端后续向所述目标网页发送的操作请求，验证所述操作请求对应的网址是否在白名单上；其中，所述客户端有多个时，采用负载均衡规则将各所述客户端的操作请求发给所述服务端；
[0008]若在所述白名单上，则确定所述操作请求携带的待验令牌有效，并允许所述客户端操作所述目标网页；
[0009]若不在所述白名单上，则判断所述待验令牌信息是否保存在所述缓存库中，并确定未缓存的所述待验令牌无效，且向所述客户端返回禁止操作网页的提醒。
[0010]本申请实施例第二方面提供一种网页防御方法，应用于客户端，包括：
[0011]从被访问网站返回的html格式文件中，查找服务端为所述客户端生成的待验令牌信息；
[0012]基于所述待验令牌信息配置针对所述目标网页的操作请求，使得所述服务端接收所述操作请求后，得以验证所述待验令牌是否为有效令牌，并在为有效令牌的情况下允许所述客户端操作所述目标网页；其中，所述客户端有多个时，采用负载均衡规则将各所述客户端的操作请求发给所述服务端。
[0013]本申请实施例第三方面提供一种服务端，包括第一处理单元，所述第一处理单元用于：
[0014]为访问目标网页的客户端生成对应的有效令牌，并保存所述有效令牌信息于缓存库中；所述目标网页包含被访问网站的各页面；
[0015]面对所述客户端后续向所述目标网页发送的操作请求，验证所述操作请求对应的
网址是否在白名单上；
[0016]若在所述白名单上，则确定所述操作请求携带的待验令牌有效，并允许所述客户端操作所述目标网页；
[0017]若不在所述白名单上，则判断所述待验令牌信息是否保存在所述缓存库中，并确定未缓存的所述待验令牌无效，且向所述客户端返回禁止操作网页的提醒。
[0018]本申请实施例第四方面提供一种客户端，包括第二处理单元，所述第二处理单元用于：
[0019]从被访问网站返回的html格式文件中，查找服务端为所述客户端生成的待验令牌信息；
[0020]基于所述待验令牌信息配置针对所述目标网页的操作请求，使得所述服务端接收所述操作请求后，得以验证所述待验令牌是否为有效令牌，并在为有效令牌的情况下允许所述客户端操作所述目标网页。
[0021]本申请实施例第五方面提供一种电子设备，包括：
[0022]中央处理器，存储器以及输入输出接口；
[0023]所述存储器为短暂存储存储器或持久存储存储器；
[0024]所述中央处理器配置为与所述存储器通信，并执行所述存储器中的指令操作以执行本申请实施例第一方面或第二方面所描述的方法。
[0025]本申请实施例第六方面提供一种计算机可读存储介质，包括指令，当所述指令在计算机上运行时，使得计算机执行如本申请实施例第一方面或第二方面所描述的方法。
[0026]本申请实施例第五方面提供一种包含指令或计算机程序的计算机程序产品，当所述计算机程序产品在计算机上运行时，使得计算机执行如本申请实施例第一方面或第一方面的任一具体实现方式所描述的方法。
[0027]从以上技术方案可以看出，本申请实施例至少具有以下优点：
[0028]可以在客户端访问目标网页时自动生成相应的有效令牌，使得网页前端开发人员无需手动修改每一个网页接口，从而减少人工修改接口的工作量，提升开发效率。能均衡快捷的转发各请求，避免资源堵塞和延时；同时，支持自动验证客户端后续向所述目标网页发送的操作请求，从而高效预防攻击者恶意地冒名操作页面，影响信息财产安全。
附图说明
[0029]为了更清楚地说明本申请实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请中记载的一些实施例，对于本领域普通技术人员来讲，还可以根据这些附图获得其他的附图。
[0030]需要说明的是，虽然各实施例所涉及的流程性示意图(若存在)中各个步骤按照箭头的指示依次绘制，但除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，这些步骤可以以其它的顺序执行。而且，各实施例所涉及的流程图中的至少一部分步骤可以包括多个步骤或者多个阶段，这些步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，这些步骤或者阶段的执行顺序也不必然是依次进行，而是可以与其它步骤或者其它步骤中的步骤或者阶段的至少一部分轮流或者交替地执行。
[0031]图1至图4为本申请实施例网页防御方法的流程示意图；
[0032]图5为本申请实施例电子设备的一个结构示意图。
具体实施方式
[0033]为了使本申请的目的、技术方案和优点更加清楚，下面将结合附图对本申请作进一步地详细描述，所描述的实施例不应视为对本申请的限制，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本申请保护的范围。
[0034]本申请的说明书和权利要求书及附图中的术语“第一”、“第二”、“第三”、“第四”等(如果存在)是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的实施例能够以除了在这里图示或描述的内容以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。
[0035]在以下的描述中，涉及到“一个具体实施方式”或“一个具体示例”等类似表达，其描述了所有可能实施例的子集，但是可以理解，“一个具体实施方式”或“一个具体示例”可以是所有本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种网页防御方法，其特征在于，应用于服务端，包括：为访问目标网页的客户端生成对应的有效令牌，并保存所述有效令牌信息于缓存库中；所述目标网页包含被访问网站的各页面；面对所述客户端后续向所述目标网页发送的操作请求，验证所述操作请求对应的网址是否在白名单上；其中，所述客户端有多个时，采用负载均衡规则将各所述客户端的操作请求发给所述服务端；若在所述白名单上，则确定所述操作请求携带的待验令牌有效，并允许所述客户端操作所述目标网页；若不在所述白名单上，则判断所述待验令牌信息是否保存在所述缓存库中，并确定未缓存的所述待验令牌无效，且向所述客户端返回禁止操作网页的提醒。2.根据权利要求1所述的网页防御方法，其特征在于，若不在所述白名单上，则判断所述待验令牌信息是否保存在所述缓存库中之后，所述方法还包括：确定被缓存的所述待验令牌有效，并允许所述客户端操作所述目标网页。3.根据权利要求1所述的网页防御方法，其特征在于，为访问目标网页的客户端生成对应的有效令牌之前，所述方法还包括：判断所述目标网页被访问时，返回给所述客户端的文件是否为html格式文件；若是，则执行所述为访问目标网页的客户端生成对应的有效令牌的步骤。4.根据权利要求1或3所述的网页防御方法，其特征在于，所述为访问目标网页的客户端生成对应的有效令牌，包括：基于所述客户端的设备标识和/或注册信息配置令牌参数，并通过当前时间设置令牌有效时间，以生成所述有效令牌。5.一种网页防御方法，其特征在于，应用于客户端，包括：从被访问网站返回的html格式文件中，查找服务端为所述客户端生成的待验令牌信息；基于所述待验令牌信息配置针对所述目标网页的操作请求，使得所述服务端接收所述操作请求后，得以验证所述待验令牌是否为有效令牌，并在为有效令牌的情况下允许所述客户端操作所述目标网页；其中，所述客户端有多个时，采用负载均衡规则将各所...

【专利技术属性】
技术研发人员：陈扬，戴裕文，王欢，陈明哲，许丹昊，杨建明，
申请(专利权)人：深圳证券信息有限公司，
类型：发明
国别省市：