[发明专利]一种基于JS交互行为的人机验证检测方法

权利要求书

1.一种基于JS交互行为的人机验证检测方法，其特征在于，包括如下步骤：

步骤1，用户在客户端发送请求，服务端在业务响应发送之前，向评分系统发送调用请求，所述评分系统用以获取加密混淆过的mixToken，具体为：在评分系统中根据当前业务场景的sessionID生成realToken和disturbToken，对realToken和disturbToken做混淆排列生成mixToken，在业务响应头部加入mixToken，服务端在向客户端返回业务响应前，基于业务的sessionID存储realToken；

步骤2，在客户端中封装评分系统的JS-SDK，所述JS-SDK对mixToken解密校验以获得realToken，将所述realToken混淆排列生成JsmixToken；

步骤3，在JS-SDK中设置监听收集模块，所述监听收集模块监听并收集用户产生的交互事件，得到参数信息，所述交互事件包括：web端的键盘动作、鼠标动作和移动端的触屏动作，所述参数信息以数组追加的方式临时存储在JS-SDK的指定变量中，所述参数信息分类做格式化并进行序列化加密，在预设的关键时间节点向服务端上报，所述关键时间节点是指用户点击相关的提交按钮时；

步骤4，在服务端设置评分组件，所述评分组件用于接收客户端上报的参数信息，对序列化加密的参数信息进行反序列化解析；所述评分组件中预设行为分析模块，将反序列化解析的参数信息输入行为分析模块用于交互事件分析，得到交互事件分析结果。

2.如权利要求1所述的一种基于JS交互行为的人机验证检测方法，其特征在于，所述步骤1中，所述混淆排列的混淆规则具体为：随机生成16位的realToken和16位的disturbToken，将realToken和disturbToken按奇偶位穿插组合，组合成32位的字符串mixToken，所述奇偶位穿插组合具体为：所述realToken占奇数位从尾部逆向插入，所述disturbToken占偶数位从头部顺向插入。

3.如权利要求2所述的一种基于JS交互行为的人机验证检测方法，其特征在于，所述步骤2中，所述JsmixToken的生成方法遵循所述步骤1中的混淆规则，对JS代码进行控制流平坦化，使用nodeJS平台及工具uglyfy对JS代码进行压缩丑化，用于生成不止一套JS-SDK，服务端响应请求页面时随机切换JS-SDK；禁用浏览器控制台DEBUG。

4.如权利要求3所述的一种基于JS交互行为的人机验证检测方法，其特征在于：所述步骤3中，所述参数信息为Base64编码，使用Json对所述参数信息序列化加密，所述参数信息分类成参数项，所述参数项包括：JsMixToken、客户端IP、ActiveLogs、BusinessInfo；所述客户端IP由客户端通过JSOP方式跨域获取，用于后续与服务端识别IP进行核验；所述ActiveLogs由JS-SDK中的监听收集模块监听收集，包括交互事件产生的log记录，所述log记录包括：操作类型、屏幕坐标、时间信息，所述操作类型包括：键盘输入、滑动动作、鼠标移动、鼠标点击、触屏输入、触屏点击、触屏滑动，所述屏幕坐标包括：X轴页面点位、Y轴页面点位，所述时间信息包括时间戳，所述时间戳精确到毫秒级；所述BusinessInfo包含业务的sessionID。

5.如权利要求4所述的一种基于JS交互行为的人机验证检测方法，其特征在于，所述步骤4中，所述评分组件中包括用于对JsMixToken进行校验防伪、对IP业务限流和用户身份识别的过滤器；所述IP业务限流具体为：由服务端根据HTTP请求信息获取X_FORWARD_FOR，对多层反向代理的请求做内网过滤，得到IP，用于与之前客户端提报上的IP进行对比，若不相同，则判定为异常请求并进行拦截；所述用户身份识别具体为：指定登陆用户状态为Session形式或Token形式。