[发明专利]一种基于密钥签名的API防CC方法

摘要

本发明提供了一种基于密钥签名的API防CC方法，此方法根据客户端访问服务器的请求特征，客户端使用系统生成的密钥，利用签名算法对原始请求进行签名，系统收到请求后，用密钥对签名后的请求进行校验，放行校验通过的请求，拦截校验失败的请求，能够更加准确有效地检测出CC攻击。此外，自定义URL防护规则不限定是具体的URL，也可以通过关键字匹配；若签名中包含原始请求过期时间，如果系统节点接收到签名后的请求，经过解析后对比过期时间早于当前时间，则直接拦截请求。

主权项

一种基于密钥签名的API防CC方法，其特征在于，包括以下步骤：步骤1：系统为用户增加API防CC功能配置入口；步骤2：开启API防CC功能，系统自动为当前用户生成密钥AUTH_TOKEN；步骤3：用户进入API防CC规则设置页面，查看系统为用户生成的密钥AUTH_TOKEN，设置API防CC规则；步骤4：客户端访问API时，将签名算法ALGO、步骤2中生成的密钥AUTH_TOKEN、请求过期时间EXP_TIME、随机字符串NONCE、请求地址URL按照ASCII顺序，用‘|’拼接的到字符串PARAMS_A；步骤5：客户端按照签名算法ALGO对步骤4中得到的字符串PARAMS_A进行签名，得到签名字符串SIGNATURE_A；步骤6：客户端使用‘|’将ALGO、EXP_TIME、NONCE、SIGNATURE_A按照ASCII顺序拼接得到字符串API_AUTH；步骤7：客户端设置HTTP请求自定义头X‑API_AUTH值为步骤6中的API_AUTH，发送请求；步骤8：系统接收到请求时，判断请求的URL是否匹配步骤3中设置的API防CC规则，如果不匹配，允许请求访问Web服务器，Web服务器正常响应请求；如果匹配，进行步骤9；步骤9：系统解析HTTP头信息，从自定义头X‑API_AUTH中提取出信息，包括ALGO、EXP_TIME、NONCE、URL、SIGNATURE_A，从网站配置中提取出步骤2中生成的密钥AUTH_TOKEN；步骤10：系统使用‘|’将ALGO、AUTH_TOKEN、EXP_TIME、NONCE、URL按照ASCII顺序拼接得到字符串PARAMS_B；步骤11：使用签名算法ALGO计算得到签名字符串SIGNATURE_B；步骤12：进行校验，如果SIGNATYRE_A和SIGNATURE_B相同且EXP_TIME大于当前时间，则允许请求访问Web服务器，否则的话，校验失败，系统直接拦截请求，返回403状态码。