[发明专利]控制web系统越权访问的方法及装置

权利要求书

1.一种控制web系统越权访问的方法，其特征在于，包括以下步骤：

接收到用户发送的页面访问请求时，根据预设的识别策略，从用户的页面访问请求中提取该用户对应的用户唯一标识信息，同时提取所述页面访问请求对应的应答页面中的表单及该表单中不可修改参数；

将所述表单及不可修改参数与所述用户唯一标识信息绑定后记录到参数列表中；

检测到用户提交请求页面的表单时，将所述请求页面的表单及不可修改参数与该用户对应的所述参数列表中记录的表单及不可修改参数进行比对，控制该用户的网络访问。

2.如权利要求1所述的方法，其特征在于，所述检测到用户提交请求页面的表单时，将所述请求页面的表单及不可修改参数与该用户对应的所述参数列表中记录的表单及不可修改参数进行比对，控制该用户的网络访问，包括：

检测到用户提交请求页面的表单时，获取该用户对应的用户唯一标识信息；

根据所述用户唯一标识信息，查找所述参数列表中记录的与所述用户唯一标识信息对应的表单及不可修改参数；

识别用户提交的请求页面的表单对应的不可修改参数与所述参数列表中记录的不可修改参数是否一致；

若二者不一致，则禁止该用户对所述请求页面的访问；

若二者一致，则允许该用户对所述请求页面的访问。

3.如权利要求1或2所述的方法，其特征在于，所述根据预设的识别策略，从用户的页面访问请求中提取该用户对应的用户唯一标识信息，包括：

当预设的所述识别策略为：http请求头中cookie传递的参数时，从所述页面访问请求中提取http请求头中cookie的username字段，将提取的所述username字段值作为该用户对应的用户唯一标识信息。

4.如权利要求1或2所述的方法，其特征在于，所述提取所述页面访问请求对应的应答页面中的表单及该表单中不可修改参数，包括：

扫描应答页面，提取所述应答页面中的表单及对应的隐藏域，根据提取的隐藏域获取所述表单中不可修改参数。

5.如权利要求1或2所述的方法，其特征在于，所述提取所述页面访问请求对应的应答页面中的表单及该表单中不可修改参数，包括：

虚拟执行所述应答页面包含的脚本程序，提取动态构建的隐藏域和对已有隐藏域的赋值，获取所述应答页面中的表单及该表单不可修改参数。

6.一种控制web系统越权访问的装置，其特征在于，包括：

参数提取模块，用于接收到用户发送的页面访问请求时，根据预设的识别策略，从用户的页面访问请求中提取该用户对应的用户唯一标识信息，同时提取所述页面访问请求对应的应答页面中的表单及该表单中不可修改参数；

参数绑定模块，用于将所述表单及不可修改参数与所述用户唯一标识信息绑定后记录到参数列表中；

越权检测模块，用于检测到用户提交请求页面的表单时，将所述请求页面的表单及不可修改参数与该用户对应的所述参数列表中记录的表单及不可修改参数进行比对，控制该用户的网络访问。

7.如权利要求6所述的装置，其特征在于，所述越权检测模块用于：

检测到用户提交请求页面的表单时，获取该用户对应的用户唯一标识信息；

根据所述用户唯一标识信息，查找所述参数列表中记录的与所述用户唯一标识信息对应的表单及不可修改参数；

识别用户提交的请求页面的表单对应的不可修改参数与所述参数列表中记录的不可修改参数是否一致；

若二者不一致，则禁止该用户对所述请求页面的访问；

若二者一致，则允许该用户对所述请求页面的访问。

8.如权利要求6或7所述的装置，其特征在于，所述参数提取模块用于：

当预设的所述识别策略为：http请求头中cookie传递的参数时，从所述页面访问请求中提取http请求头中cookie的username字段，将提取的所述username字段值作为该用户对应的用户唯一标识信息。

9.如权利要求6或7所述的装置，其特征在于，所述参数绑定模块用于：

扫描应答页面，提取所述应答页面中的表单及对应的隐藏域，根据提取的隐藏域获取所述表单中不可修改参数。

10.如权利要求6或7所述的装置，其特征在于，所述参数绑定模块还用于：

虚拟执行所述应答页面包含的脚本程序，提取动态构建的隐藏域和对已有隐藏域的赋值，获取所述应答页面中的表单及该表单不可修改参数。