[发明专利]资源访问授权验证方法及系统

说明书

技术领域

本发明涉及网络资源安全领域，更具体地说，涉及一种可用于至少两系统之间的资源访问授权验证方法及系统。

背景技术

当今网络发展越来越快，信息的传播速度日益增加。对于网络上的资源进行保护，也慢慢受广大IT企业关注。这里的资源包括，但不限于：发票票据、工资单、报销凭证的电子扫描件、加密文件传输、收费视频、音频、各种文档等等。如果资源不保护，很有可能发生盗链、文件泄密等事件。

一般浏览有一个重要的现象就是一个完整的页面并不是一次全部传送到客户端的。如果请求的是一个带有许多图片和其它信息的页面，那么最先的一个Http请求被传送回来的是这个页面的文本，然后通过客户端的浏览器对这段文本的解释执行，发现其中还有图片，那么客户端的浏览器会再发送一条Http请求，当这个请求被处理后那么这个图片文件会被传送到客户端，然后浏览器会将图片安放到页面的正确位置，就这样一个完整的页面也许要经过发送多条Http请求才能够被完整的显示。

基于这样的机制，就会产生一个问题，那就是盗链问题：就是一个网站中如果没有起页面中所说的信息，例如图片信息，那么它完全可以将这个图片的连接到别的网站。这样没有任何资源的网站利用了别的网站的资源来展示给浏览者，提高了自己的访问量，而大部分浏览者又不会很容易地发现，这样显然，对于那个被利用了资源的网站是不公平的。一些不良网站为了不增加成本而扩充自己站点内容，经常盗用其他网站的链接。一方面损害了原网站的合法利益，另一方面又加重了服务器的负担。

如果盗链者能够轻易的浏览服务器的影像资源，那么影像中包含的重要数据就存在泄密的可能，盗链者只需要知道图片的URL链接，即可对图片进行下载、存本地、转发到其他站点。

发明内容

本发明要解决的技术问题在于，提供一种可有效保证资源安全的资源访问授权验证方法及系统。

本发明解决其技术问题所采用的技术方案是：提供一种资源访问授权验证方法，用于客户端请求系统与资源提供系统之间的资源访问，包括以下步骤：

S1：客户端请求系统发出资源请求指令，所述资源请求指令中包含有验证密钥、以及用户参数信息；

S2：资源提供系统接收所述资源请求指令，并对所述验证密钥进行验证，验证通过则进入步骤S3；

S3：资源提供系统根据用户参数信息进行请求权限验证，在请求权限验证通过后，返回与所述资源请求指令对应的资源。

在本发明的资源访问授权验证方法中，所述客户端请求系统与资源提供系统为Web应用系统。

在本发明的资源访问授权验证方法中，所述方法还包括步骤S4：所述客户端请求系统和资源提供系统共同协商私有共用的密钥，所述资源提供系统中设置有密钥验证数据库；

在所述步骤S2中，对所述资源请求指令中的验证密钥在所述密钥验证数据库中进行验证，验证通过则进入步骤S3，否则返回无权访问信息。

在本发明的资源访问授权验证方法中，所述步骤S3包括：

S3-1：所述资源提供系统将所述用户参数信息与所述资源提供系统的内存中的匹配数据进行请求权限验证，在请求权限验证通过后，执行步骤S3-2，在请求权限验证无法通过时，执行步骤S3-3；

S3-2：所述资源提供系统根据所述资源请求指令加载资源输出页面，并在加载资源输出页面对应的资源时，再次从发出所述资源请求指令的客户端请求系统中获得用户参数信息，并与所述资源提供系统的内存中的匹配数据进行请求权限验证，在请求权限验证通过后，返回对应的资源；

S3-3：所述资源提供系统将所述用户参数信息与所述资源提供系统中存储的用户库进行匹配，当匹配通过后，将所述用户参数信息写入到所述资源提供系统的内存中的匹配数据中，再执行步骤S3-1和S3-2；当匹配无法通过时，返回无权访问信息。

在本发明的资源访问授权验证方法的所述步骤S3-1中，所述用户参数信息包括用户名、以及与用户名对应的用户权限；所述匹配数据包括授权用户名、以及与授权用户名对应的授权用户权限；在进行请求权限验证时，所述用户名和用户权限能与所述授权用户名和授权用户权限匹配时，通过请求权限验证，否则无法通过。

在本发明的资源访问授权验证方法的所述步骤S3-2中，在加载资源输出页面对应的资源时，解析资源对应标签的输出地址，把每地址转发给一个Handle处理；该Handle接收到地址的请求后，获取到地址中的参数值，并再次取客户端请求系统中获得用户参数信息，在请求权限验证通过后，根据地址中的参数值返回对应的资源。