【技术实现步骤摘要】
本专利技术涉及信息安全，尤其涉及一种防止跨站请求伪造csrf的方法及装置。
技术介绍
1、csrf跨站请求伪造，是一种挟制用户在当前已登录的web应用程序上执行非本意的操作的攻击方法，csrf利用的是网站对用户网页浏览器的信任，即攻击者盗用了你的身份，以你的名义发送恶意请求，而浏览器无法识别请求是否为真正的用户本人。
2、目前，大部分防御csrf攻击的方式是在登录时设置多重用户认证方式或者复杂化认证流程，比如验证码认证、安全口令验证登，从而在一定程度上确保安全性。然而，上述认证方式既考验了浏览器的兼容性能，又容易对用户不友好，造成用户较差的体验感，提高了系统的繁琐程度。
技术实现思路
1、本专利技术提供一种防止跨站请求伪造csrf的方法及装置，用以解决现有技术中复杂化认证流程以致用户体验感较差的缺陷，提高防御能力的同时优化登入流程。
2、本专利技术提供一种防止跨站请求伪造csrf的方法，包括：接收用户端发起的登录请求；根据所述登录请求中的用户标识，确定对应预存mac地址和预存ip地址；确定所述预存mac地址与所述登录请求的登录mac地址匹配，以及确定所述预存ip地址与所述登录请求的登录ip地址匹配，则基于所述登录请求向用户端返回第一安全口令；接收所述用户端基于所述第一安全口令返回的数据交互请求；其中，所述数据请求中携带有所述用户端基于所述第一安全口令生成的防伪字符串；响应所述数据交互请求，对所述防伪字符串进行合法性认证，并基于认证通过，向所述用户端返回请求交
3、根据本专利技术提供的一种防止跨站请求伪造csrf的方法，所述防伪字符串为所述用户端接收所述第一安全口令后，对所述登录mac地址和所述登录ip地址进行哈希处理、并对哈希处理结果添加第一防伪标识后得到的。
4、根据本专利技术提供的一种防止跨站请求伪造csrf的方法，所述响应所述数据交互请求，对所述防伪字符串进行合法性认证，包括：响应所述数据交互请求，根据所述数据交互请求中的用户标识，获取对应预设防伪哈希值；所述预设伪哈希值为预先基于所述预存mac地址和所述预存ip地址进行哈希处理、并对哈希处理结果添加第二防伪标识后得到的；将所述预设防伪哈希值与所述防伪字符串进行匹配，并在确定匹配的情况下，通过合法性认证。
5、根据本专利技术提供的一种防止跨站请求伪造csrf的方法，所述方法，还包括：确定所述预存mac地址与所述登录请求的登录mac地址不匹配，和/或，确定所述预存ip地址与所述登录请求的登录ip地址不匹配，基于所述登录请求向所述用户端返回第二安全口令；接收所述用户端基于所述第二安全口令返回的数据交互请求，所述数据交互请求中携带有验证信息，所述验证信息包括用户标识、随机数、所述数据交互请求的发送时间戳和第一签名信息，所述第一签名信息是所述用户端基于所述第二安全口令生成的；根据所述数据交互请求、所述用户标识、所述随机数和所述数据交互请求的发送时间戳，结合预存算法，得到第二签名信息；将所述第二签名信息与所述第一签名信息进行匹配，并在确定匹配的情况下，通过合法性认证，并向所述用户端返回请求交互的数据。
6、根据本专利技术提供的一种防止跨站请求伪造csrf的方法，所述根据所述数据交互请求、所述用户标识、所述随机数和所述数据交互请求的发送时间戳，得到第二签名信息，包括：根据所述用户标识，确定对应预存算法，所述预存算法包括第一预存加密算法、第二预存算法、第三预存加密算法、预存排序顺序和第四预存加密算法；根据所述数据交互请求请求调用的应用程序api接口，利用所述第一预存加密算法，得到第一加密字符串；根据所述数据交互请求请求访问的网址中用于表征条件的条件参数，利用所述第二预存算法，得到第二字符串；根据所述数据交互请求请求头中的消息体字符串，利用所述第三预存加密算法，得到第三加密字符串；将所述第一加密字符串、所述第二字符串、所述第三加密字符串、根据所述用户标识确定的安全指令、所述用户标识、所述随机数和所述数据交互请求的发送时间戳，按所述预存排序顺序进行排序并拼接，得到第四字符串；根据所述第四字符串，利用所述第四预存加密算法，得到第二签名信息。
7、根据本专利技术提供的一种防止跨站请求伪造csrf的方法，所述根据所述数据交互请求请求访问的网址中用于表征条件的条件参数，利用所述第二预存算法，得到第二字符串，包括：根据所述数据交互请求，确定请求访问的网址中用于表征条件的条件参数，并根据预设关键指标，获取所述条件参数中的关键值；根据各所述关键值的预设权重，对所述关键值进行排序；根据所述关键值及其对应的预设权重，利用所述第二预存算法，对各所述关键值进行加权处理，并按排序结果进行拼接，得到第二字符串。
8、根据本专利技术提供的一种防止跨站请求伪造csrf的方法，所述第一签名信息是所述用户端根据所述第二安全口令生成的数据交互请求、用户标识、随机生成的随机数和所述数据交互请求的发送时间戳，结合预设算法生成的。
9、本专利技术还提供一种防止跨站请求伪造csrf的装置，包括：登录请求接收模块，接收用户端发起的登录请求；地址获取模块，根据所述登录请求中的用户标识，确定对应预存mac地址和预存ip地址；地址匹配模块，确定所述预存mac地址与所述登录请求的登录mac地址匹配，以及确定所述预存ip地址与所述登录请求的登录ip地址匹配，基于所述登录请求向所述用户端返回第一安全口令；交互请求接收模块，接收所述用户端基于所述第一安全口令返回的数据交互请求；其中，所述数据请求中携带有所述用户端基于所述第一安全口令生成的防伪字符串；认证模块，响应所述数据交互请求，对所述防伪字符串进行合法性认证，并基于认证通过，向所述用户端返回请求交互的数据。
10、本专利技术还提供一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如上述任一种所述防止跨站请求伪造csrf的方法的步骤。
11、本专利技术还提供一种非暂态计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现如上述任一种所述防止跨站请求伪造csrf的方法的步骤。
12、本专利技术还提供一种计算机程序产品，包括计算机程序，所述计算机程序被处理器执行时实现如上述任一种所述防止跨站请求伪造csrf的方法的步骤。
13、本专利技术提供的防止跨站请求伪造csrf的方法及装置，通过判断用户的登录mac地址和登录ip地址是否与用户对应的预存mac地址和预存ip地址一致，从而初步确定用户是否在常用设备上登录，并在确定用户在常用设备上登录的情况下，基于验证用户端的防伪字符串，以对用户进行合法性验证，以进一步确定用户并非他人冒充或盗用，提高了登录的安全性；在初步确定用户并非在常用设备上登录时，通过校验用户端发送的第一签名信息，以确保用户登录的安全性，避免用户使用新设备情况下被认为是盗用，进一步提高用户认证的准确性；此外，通过确定登录mac地址和登录ip地址是否与用户对应的预存mac地址和预存ip地址一致，本文档来自技高网...
【技术保护点】
1.一种防止跨站请求伪造CSRF的方法，其特征在于，包括：
2.根据权利要求1所述的防止跨站请求伪造CSRF的方法，其特征在于，所述防伪字符串为所述用户端接收所述第一安全口令后，对所述登录MAC地址和所述登录IP地址进行哈希处理、并对哈希处理结果添加第一防伪标识后得到的。
3.根据权利要求1所述的防止跨站请求伪造CSRF的方法，其特征在于，所述响应所述数据交互请求，对所述防伪字符串进行合法性认证，包括：
4.根据权利要求1所述的防止跨站请求伪造CSRF的方法，其特征在于，所述方法，还包括：
5.根据权利要求4所述的防止跨站请求伪造CSRF的方法，其特征在于，所述根据所述数据交互请求、所述用户标识、所述随机数和所述数据交互请求的发送时间戳，得到第二签名信息，包括：
6.根据权利要求5所述的防止跨站请求伪造CSRF的方法，其特征在于，所述根据所述数据交互请求请求访问的网址中用于表征条件的条件参数，利用所述第二预存算法，得到第二字符串，包括：
7.根据权利要求4所述的防止跨站请求伪造CSRF的方法，其特征在于，所述
8.一种防止跨站请求伪造CSRF的装置，其特征在于，包括：
9.一种电子设备，包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1至7任一项所述防止跨站请求伪造CSRF的方法的步骤。
10.一种非暂态计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1至7任一项所述防止跨站请求伪造CSRF的方法的步骤。
...【技术特征摘要】
1.一种防止跨站请求伪造csrf的方法，其特征在于，包括：
2.根据权利要求1所述的防止跨站请求伪造csrf的方法，其特征在于，所述防伪字符串为所述用户端接收所述第一安全口令后，对所述登录mac地址和所述登录ip地址进行哈希处理、并对哈希处理结果添加第一防伪标识后得到的。
3.根据权利要求1所述的防止跨站请求伪造csrf的方法，其特征在于，所述响应所述数据交互请求，对所述防伪字符串进行合法性认证，包括：
4.根据权利要求1所述的防止跨站请求伪造csrf的方法，其特征在于，所述方法，还包括：
5.根据权利要求4所述的防止跨站请求伪造csrf的方法，其特征在于，所述根据所述数据交互请求、所述用户标识、所述随机数和所述数据交互请求的发送时间戳，得到第二签名信息，包括：
6.根据权利要求5所述的防止跨站请求伪造csrf的方法，其特征在于，...
【专利技术属性】
技术研发人员：朱家雄，李明慧，王筱，王倩丽，
申请(专利权)人：商飞智能技术有限公司，
类型：发明
国别省市：
还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。