[发明专利]一种动态分配请求验证方法

说明书

一种动态分配请求验证方法，根据权重参数计算接口的权重值，选择权重值对应的验证方法，根据权重参数的可变性，动态地分配请求验证方法给客户端。能够灵活的使用多种请求验证方式，在HTTPS的基础上进一步增加与服务器数据交互的安全性。在多种请求验证下，即使被抓包，使之不能通过伪造或破解其中一种方式去攻击所有的接口。本发明通过动态分配机制，使得接口能够得到合理的安全保障，节省服务器的资源。

技术领域

本发明属于计算机信息安全领域，涉及数据加密、存储及隐私保护等内容和方法，可用于互联网数据传输时的安全和隐私保护。

背景技术

如今处于大数据时代下，越来越多的网站，APP应用在活跃地与服务器进行数据交互，随之衍生出来的就是与服务器进行安全数据交互的问题，在HTTP协议下，请求包很容易被抓包，这个问题在HTTPS协议的出现后，抓包攻击的泛滥有了一定的遏制，在HTTPS协议下，目前的请求验证方式大多数都是固定的，采用单一的一种请求验证方式，安全性能不高。

发明内容

为解决现有技术的不足，提供一种动态分配请求验证方法，能更好地提高客户端与服务器数据交互的安全性。

为实现上述目的，本发明采用以下技术方案：

一种动态分配请求验证方法，采用如下步骤：

第一步：从数据库中取得前一天所有接口的访问次数、接口的类型，赋予接口不同的权重值，接口涉及的数据字段根据接口的权重值进行计算，计算方法如下：

对于系统的重要性的量化参数，根据后台设定的三种接口类型对应的权重，根据权重值计算式子计算权重值，权重计算式子：

w=Aa+Bb+Cc，

其中，w为权重值，A为接口访问次数的参数，a为接口访问次数，B为接口类型的参数，b为接口访问类型对应的值，C为接口数据敏感度的参数，c为接口数据敏感度；

数据字段权重值的范围和请求验证方法的加密特征值相对应，接口名称和接口的请求验证方式的加密特征值相对应，分别以权重值范围对应的枚举值和接口名称作为键名，请求验证方法的加密特征值作为键值存储于数据库中，请求验证方法的加密特征值为其接口名称在SHA256计算后的hash值；

第二步：客户端请求时，通过本地存储的接口验证方法是否过期决定是否调用获取接口验证方法的接口A，若已过期则请求接口A；接口A使用JSON格式的数据返回各个接口的接口名称的对称加密值、对应验证方法的加密特征值、以及验证方式过期的时间的数据给客户端。

第三步：客户端进行代码混淆保护验证方式执行的代码，对于第二步返回的接口对应的请求方法的数据，提取接口名称的加密值和验证方法的特征值，对接口名称的加密值进行解密，使用键值对的方式存储在客户端的私有存储空间，将接口名称和过期时间存储在私有的内存空间内；

第四步：客户端调用接口前，判断接口的验证方式是否过期，若不是，从私有存储空间中提取接口名称对应的验证方法的特征值，使用加密值对应的请求验证方式与服务器进行数据交互；若过期，则跳转并执行第二步。

本案所述接口A为获取请求验证方法的接口，认证方式为固定方式，安全性为整个系统最高。

代码混淆(Obfuscated code)亦称花指令，是将计算机程序的代码，转换成一种功能上等价，但是难于阅读和理解的形式的行为。代码混淆可以用于程序源代码，也可以用于程序编译而成的中间代码。执行代码混淆的程序被称作代码混淆器。目前已经存在许多种功能各异的代码混淆器

接口类型有三种，数据获取接口，数据修改接口，复杂操作接口，接口类型为数据获取的分配较低的权重，接口类型为修改数据的分配较高的权重，复杂操作接口分配最高的权重。