[发明专利]用于防止跨站点请求伪造的方法、相关装置及系统

权利要求书

1.一种用于防止跨站点请求伪造的方法，其特征在于，包括：

客户端在接收到浏览器的页面消息时，获取发起该页面消息的目标网页页面的cookie信息；

客户端若接收到设置在所述目标网页页面上的转换脚本生成的第一转换标识，则生成包括所述第一转换标识和所述cookie信息的页面请求消息；

客户端将所述页面请求消息发送给服务器，使所述服务器根据所述cookie信息包括的用户标识和所述第一转换标识对所述页面请求消息进行鉴权；

其中，所述第一转换标识是所述转换脚本根据预置的转换算法对从目标网页页面的cookie信息提取的用户标识进行转换后得到的。

2.如权利要求1所述的方法，其特征在于，还包括：

客户端若没有接收到设置在所述目标网页页面上的转换脚本生成的第一转换标识，则生成包括所述cookie信息的页面请求消息发送给服务器。

3.如权利要求2所述的方法，其特征在于，所述服务器根据所述cookie信息包括的用户标识和所述第一转换标识对所述页面请求消息进行鉴权包括：

所述服务器在所述页面请求消息中包括cookie信息和第一转换标识时，采用与所述目标网页页面上的转换脚本协商的转换算法对从所述cookie信息提取的用户标识进行转换得到第二转换标识，将第二转换标识与所述第一转换标识进行比较，若两者匹配，则鉴权通过；

所述服务器在所述页面请求消息中仅包括cookie信息或者所述第二转换标识与所述第一转换标识不匹配时，则鉴权失败。

4.如权利要求1-3任一项所述的方法，其特征在于，所述客户端在接收到浏览器的页面消息时，获取发起该页面消息的目标网页页面的cookie信息之前，还包括：

客户端向所述服务器发送连接请求；

客户端接收所述服务器根据所述连接请求返回的包括用户标识的cookie信息。

5.一种用于防止跨站点请求伪造的方法，其特征在于，包括：

服务器在接收到客户端的关于目标网页页面的页面请求消息时，若所述页面请求消息中包括第一转换标识和所述目标网页页面的cookie信息，从所述cookie信息提取用户标识；

采用与客户端中设置在所述目标网页页面上的转换脚本协商的转换算法对所述用户标识进行转换，得到第二转换标识；

若所述第二转换标识与所述第一转换标识匹配，则鉴权成功，响应所述页面请求消息；

其中，所述第一转换标识是所述转换脚本根据预置的转换算法对从目标网页页面的cookie信息提取的用户标识进行转换后得到的。

6.如权利要求5所述的方法，其特征在于，还包括：

若所述页面请求消息中包括cookie信息或者所述第二转换标识与所述第一转换标识不匹配时，则确定鉴权失败。

7.如权利要求5或6所述的方法，其特征在于，所述服务器在接收到客户端的关于目标网页页面的页面请求消息时，若所述页面请求消息中包括第一转换标识和所述目标网页页面的cookie信息，从所述cookie信息提取用户标识之前，还包括：

服务器接收所述客户端发送的关于所述目标网页页面的连接请求；

服务器在对所述连接请求鉴权通过后，响应所述连接请求向所述客户端返回包括用户标识的cookie信息。

8.一种用于防止跨站点请求伪造的方法，其特征在于，包括：

客户端在接收到浏览器的页面消息时，获取发起该页面消息的目标网页页面的cookie信息；

客户端若接收到设置在所述目标网页页面上的转换脚本生成的第一转换标识，则生成包括所述第一转换标识和所述cookie信息的页面请求消息；所述第一转换标识是所述转换脚本根据预置的转换算法对从目标网页页面的cookie信息提取的用户标识进行转换后得到的；

客户端将所述页面请求消息发送给服务器；

服务器接收到页面请求消息后，从所述页面请求消息的cookie信息中提取用户标识；

服务器采用与所述目标网页页面上的转换脚本协商的转换算法对获取的用户标识进行转换得到第二转换标识；

服务器在判定所述第二转换标识与所述页面请求消息中的第一转换标识相匹配时，响应所述页面请求消息。