[发明专利]提供针对跨域交互的运行时脆弱性防护的方法和系统

说明书

技术领域

本发明一般地涉及Web应用，并且具体而言涉及一种用于为Web应 用提供针对跨域交互的运行时脆弱性防护的方法和系统。

背景技术

Web应用是一种基于Web的应用，指的是用户界面驻留在Web浏览 器中的任何应用程序，它是一些Web网页和用来完成某些任务的其它资源 的集合。Web应用是典型的客户机/服务器体系结构的产物，其能够通过网 络使得客户机和服务器进行通信。常见的留言版、聊天室和论坛(BBS) 等，都是Web应用。不过这些应用相对比较简单，而Web应用的真正核 心主要是对数据进行处理。

近来，随着SaaS(Software-as-a-Service，软件即服务)应用的发展， 经常需要将来自多个源(它们处于不同域)的内容合并为集成的内容。SaaS 应用是一种Web应用，它是随着因特网技术的发展和应用软件的成熟而逐 渐发展的一种完全创新的软件应用模式。它是一种通过因特网提供软件的 模式，供应商将应用软件统一部署在自己的服务器上。用户可以根据自己 实际需求，通过因特网向供应商定购所需的应用软件服务，按定购的服务 多少和时间长短向供应商支付费用，并通过因特网获得供应商提供的服务。 用户不用购买软件，而是向供应商租用基于Web的软件，来管理企业经营 活动，且无需对软件进行维护，而供应商会全权管理和维护软件。供应商 在向客户提供因特网应用的同时，也提供软件的离线操作和本地数据存储， 让用户随时随地都可以使用其定购的软件和服务。

在类似于SaaS应用的Web应用的上下文中，常常需要将来自多个源 的内容合并在一起。例如，在销售人员自动管理(SFA，Sales Force Automation)应用中，可能需要将来自另一服务器的联系人管理信息集成 进来。此时需要进行跨域的内容交互。在实践中，由于SaaS应用常常需 要合并来自处于不同域的其它源的数据，其不得不在安全性和功能性之间 做出选择。在一些传统方案中，对于安全性的考虑通常涉及以下几种方案， 但它们均具有各自的局限性。

·输入验证。输入验证主要基于预先定义的模式来过滤用户输入值。 但是，如果用户直接从第三方服务器获得内容，则输入验证功能将被绕开， 从而无法防止来自该内容的潜在的、恶意的攻击。

·浏览器端插件。浏览器端插件(诸如Flash插件)可以支持在各个 域之间的通信，并提供多种跨域能力。但是，出于安全性、隐私性或者兼 容性等等的原因，一些用户不愿意安装浏览器端插件。

·服务器端代理。服务器端代理过滤来自第三方服务器的数据，并使 得所述数据对于客户端呈现为同源数据。由此，浏览器可以首先连接到代 理以获取第三方内容。该方案的缺点在于，增加了通过代理连接到第三方 服务器的等待时间。

·片段标识符(fragment identifier)消息传送。一些方案可以采用片 段标识符来实现跨域通信。其将#message附加到URL(统一资源定位符) 之后用于传输消息。该方案的缺点在于，当用户按下浏览器中的“后退” 按钮时将会中断该通信。并且，所传送的消息具有长度限制。

现今，在很多Web应用中，使用基于AJAX的富Web应用(Rich Web Application)进行跨域交互。术语AJAX是“Asynchronous(异步) JavaScript+XML”的简写。AJAX的核心JavaScript对象XmlHttpRequest 支持异步请求。简而言之，XmlHttpRequest对象允许客户端的JavaScript 脚本向服务器提出请求并处理响应，而不用在浏览器中重新刷新页面，并 且不会阻塞用户。对XmlHttpRequest对象的详细定义与描述请参见W3C (万维网联盟)的规范(http://www.w3.org/TR/XMLHttpRequest)。然 而，出于安全性的考虑，基于AJAX的富Web应用只能访问应用所在的 当前域中的资源，而不能实现跨域访问，这也被称为同源限制(same origin constraint)的策略。例如，站点domain1.com中的AJAX只能访问本站 点内的资源，而不能跨域访问站点domain2.com中的资源。然而，在SaaS 应用中，属于某一域的Web应用有时需要对属于另一域的服务器做出 AJAX请求，以便调用该服务器中的服务或资源。上述的跨域访问受到现 有的XmlHttpRequest实现的限制。