[发明专利]数据传输时进行安全性验证的方法及系统

说明书

技术领域

本发明涉及数据传输技术，尤其涉及数据传输时进行安全性验证的方法及系统。

背景技术

在互联网应用中，用户终端基于浏览器平台与服务器之间进行数据传输。具体地，浏览器向服务器发送关于各页面的请求消息；服务器对接收的页面请求消息进行处理，并反馈处理后的信息；浏览器接收服务器反馈的信息后进行解释、显示。

一般地，通过超文件传输协议(HTTP，hypertext transmission protocol)通道在浏览器与服务器之间进行数据传输，由于HTTP通道对于收发的数据不做安全性处理，导致传输的数据存在泄露的风险。

为了提高数据传输的安全性，可采用HTTPS通道进行数据传输，HTTPS通道会对浏览器与服务器之间传输的页面请求消息进行加解密处理。在统一资源定位器(URL，Uniform Resource Locator)地址中包含“HTTPS:”就表明通过HTTPS通道进行数据传输，HTTPS存在不同于HTTP的默认端口及一个加密/身份验证层。

虽然采用HTTPS通道提高了数据传输的安全性，但如果第三方进行了页面伪造，修改了发送给服务器的页面请求消息，将导致服务器进行错误的处理，大大降低安全性。下面以在本地应用平台上运行第三方应用的情况进行举例说明，该第三方应用例如为网络游戏应用。

首先，需要对cookie进行简要说明。cookie方法是在浏览器储存数据的一种方法，cookie对应于域名，不同的域名对应不同的cookie。与某一域名对应的所有页面共享同一个cookie，并且，各域名对应的cookie互相独立，一个域名不能获取另一个网站的cookie，某一域名对应的各页面不能获取另一域名对应的cookie。

域是一个网络概念，指的是一个网络单位，是一个网络单位与其它网络单位之间的界限，可以将域理解为一组有组织管理和访问控制的计算机的集合。对于不同域的访问是有限制的，其他域不能轻易访问本域里的资源，比如www.sina.com和www.sohu.com，就属于两个不同的域，两者的Cookie是分开的。

下面对在本地应用平台上运行网络游戏的过程进行说明。浏览器首先显示用户登录页面，用户输入用户名等登录信息，浏览器将登录信息保存在用户登录页面所对应域的网页本地缓存字段(Cookie)中，该用户登录页面的域(domain)名例如为qq.com。而后，用户选择调用网络游戏，浏览器显示网络游戏页面，这里，将该网络游戏页面的域名表示为app.com，在网络游戏中，用户拥有虚拟资产，如各种道具等，虚拟物品具有类似实物的可购买行及有价属性。用户在使用虚拟卡、币等购买虚拟物品时，浏览器根据用户操作显示虚拟物品交换页面，该虚拟物品交换页面可具体为充值支付页面，一般地，充值支付页面与用户登录页面的域名相同，这里都为qq.com；用户在充值支付页面中输入充值数量和购买物品；浏览器通过HTTPS通道向服务器发送当前页面请求消息，该当前页面请求消息中包含充值数量和购买物品；并且，根据浏览器的特点，会在当前页面请求消息的头部添加与该充值支付页面所对应域的cookie，也就是添加qq.com对应的cookie。服务器接收页面请求消息后进行相应处理，包括从该用户的账户扣除虚拟卡或币，并向用户配送其购买的物品。网络游戏中有较多的即时小额购买行为，浏览器会频繁地向服务器发送关于充值支付页面的请求消息，提高数据传输时的安全性成为较重要的问题。

在上述实例中，虽然浏览器采用了HTTPS通道向服务器发送页面请求消息，以提高安全性；但是，如果当前页面是第三方伪造的，第三方会对用户在当前页面输入的信息进行修改，再向服务器发送修改后的当前页面请求消息时，这将导致服务器进行错误的处理，不能保证数据传输的安全性。

发明内容

本发明提供了一种数据传输时进行安全性验证的方法，该方法能够提高数据传输的安全性。

本发明提供了一种数据传输时进行安全性验证的系统，该系统能够提高数据传输的安全性。

一种数据传输时进行安全性验证的方法，该方法包括：

浏览器提取当前页面所对应域的cookie，将cookie加入待签名信息中；

浏览器对待签名信息进行签名，将签名后信息放入当前页面请求消息的内容部分；

浏览器向服务器发送当前页面请求消息；

服务器从当前页面请求消息头部提取出cookie，从内容部分提取出签名后信息，由cookie确定出待签名信息，对待签名信息进行签名，得到当前签名后信息；