[发明专利]一种针对移动端向导式验证的服务端数据处理方法

说明书

本发明公开了一种针对移动端向导式验证的服务端数据处理方法，该过程为：服务端对移动端发送的需要验证的业务数据进行数据验证；所述服务端对验证通过的业务数据用服务端私钥进行签名，并返回移动端；上述步骤在所述移动端向导步骤中完成；所述服务端将移动端最后一步提交的组装缓存的所有步骤的业务数据用公钥进行验签，若全部验签通过，则所提交的业务数据已经过所述服务端的验证。本发明针对移动端向导式验证的服务端数据处理方法，利用数据签名的特点，达到再次验证的效果；能简单有效地保障移动端向导式验证场景下，服务端进行数据处理的安全性。

技术领域

本发明涉及互联网通信中数据安全领域，尤其涉及一种当移动端向导式验证时服务端进行安全有效的数据处理方法。

背景技术

随着移动互联网时代的到来，移动端设备呈爆炸式增长，人们对移动端的应用需求越来越多，在安装和运行不同的软件过程中，移动端会出现很多向导式验证的场景。比如“注册绑卡流程”、“找回密码流程”、“修改资料流程”等，这些场景都有一个共同点：在向导式验证过程的每一步请求中，都有可能存在服务端验证需要，当所有步骤验证完成后，需要完成最后一步提交，并完成业务流程。

这种向导式验证的场景，会给系统带来一些安全方面的问题：向导式验证过程的请求步骤只发生验证过程，并不发生实际业务交互；最后一步提交时会发生实际业务交互，但对于服务端而言，最后一步和前面的请求验证步骤是分开的，中间环节中的数据安全不能保证。

针对上述技术缺陷，现有技术中存在两种可供选择的解决方案。方案一，服务端记住中间步骤中已验证过的数据，在最后一步提交时，由服务端组装前面已验证过的数据，并和最后一步移动端提交上来的数据组成完整数据源，完成业务处理。该方案的优点在于：服务端记住每一步已验证过的数据，移动端在最后一步时不用再提交以前验证过的数据，则已验证过的数据相对安全，原因在于客户端没机会再篡改已验证的数据。但缺点在于：(1)服务端设计不灵活，由于要在最后一步完成前缓存验证数据，并在最后一步组装，这样会对移动端向导式设计产生很强的依赖关系，如果移动端向导中每一步的数据结构发生改变，或者向导的步骤发生改变，服务端也需要跟着改变逻辑；(2)由于验证数据缓存在服务端，还要考虑客户端在向导过程中的回退修改问题；(3)由于客户端在前面的步骤验证完成后，未必会走完最后一步，可能最终放弃提交业务，因此还要考虑服务端验证数据缓存的时效性问题。

方案二，通过移动端记住每一步的数据，在最后一步提交时组装之前所有步骤的数据，组成完整的业务数据一起提交，提交后由服务端再次验证，完成业务处理。这种方案的优点在于：服务端验证和最后一步处理分开逻辑，服务端不用缓存数据，不依赖于客户端的向导式设计。但缺点在于：为保证最后执行业务时的数据安全性，服务端需要对最后一步提交的全部数据进行再次验证，以保证数据没有在验证过后被客户端篡改；但并不是所有的验证都能再次验证：比如手机验证码在验证成功后，最后一步无法再次验证手机验证码。

鉴于上述安全问题和现存解决方案的缺陷，本发明创造者经过长时间的研究和实践终于获得了本创作。

发明内容

本发明的目的在于提供一种针对移动端向导式验证的服务端数据处理方法，以解决现有技术中服务端设计不灵活，重复验证的问题。

为了实现上述目的，本发明的技术方案是：一种针对移动端向导式验证的服务端数据处理方法，包括如下步骤：

服务端对移动端发送的需要验证的业务数据进行数据验证；

所述服务端对验证通过的业务数据用服务端私钥进行签名，并返回移动端；上述步骤在所述移动端向导步骤中完成；

所述服务端将移动端最后一步提交的组装缓存的所有步骤的业务数据用公钥进行验签，若全部验签通过，则所提交的业务数据已经过通所述服务端的验证。

进一步地，在所述服务端的签名过程中，服务端采用私钥进行签名，并定义一个关键字，把关键字和签名值组装成键值对，格式为：关键字+签名值。