CN109934014B - 一种检测资源文件正确性的方法及终端 - Google Patents

Abstract

本发明提供一种检测资源正确性的方法及终端，获取当前页面带有预设属性的第一资源，依次获取第一资源的地址和预设属性的第一属性值，根据地址和第一属性值构建第一远程调用请求，将第一远程调用请求的integrity属性的值设置为第一属性值，监听第一远程调用请求的回调结果，根据回调结果检测第一资源的正确性；由于浏览器在检测到存在integrity属性的资源标签时，会自动验证其对应的资源内容是否符合integrity属性中包含的算法得到的字符串，由此便能够获知资源内容是否被篡改，巧妙地利用浏览器SRI校验机制自动地检测运营商或其他网络设备缓存的资源文件的正确性，提高了检测的效率，有效地保证用户使用体验及功能完整性。

Description

一种检测资源文件正确性的方法及终端

技术领域

本发明涉及计算机软件安全领域，尤其涉及一种检测资源文件正确性的方法及终端。

背景技术

运营商或其他网络设备通常使用缓存资源文件来提高响应速度，但由于当前的网络环境越来越复杂，可能存在不同的运营商或其他网络设备缓存有不同版本的资源文件，而该资源文件却不是产品方提供的正确版本文件，或是存在缓存的资源文件被篡改的情况，导致用户端出现与当前业务无关的功能或影响当前业务功能的现象，使得用户端出现异常。

比如在双11活动期间，用户在用户端上使用产品方的产品时，出现了支付宝领取红包的弹窗广告，但产品方并未投放相关广告，该广告只出现在某个地区的某个运营商的环境中，用户只能通过客服反馈给产品方，产品方通过与用户沟通协调，定位了产品中的某个脚本文件被篡改了相关内容。但由于互联网环境复杂和用户分布的地区较为广阔的问题，让用户来反馈问题的以解决产品问题的方式显得效率很低。

发明内容

本发明所要解决的技术问题是：提供一种检测资源文件正确性的方法及终端，能够自动地检测缓存的资源文件的正确性，提高了检测的效率。

为了解决上述技术问题，本发明采用的一种技术方案为：

一种检测资源正确性的方法，包括：

S1、获取当前页面带有预设属性的第一资源，所述预设属性用于指示第一资源的完整性；

S2、依次获取所述第一资源的地址和预设属性的第一属性值，所述第一属性值为将所述第一资源通过预设算法计算得到；

根据所述地址和所述第一属性值构建第一远程调用请求，将所述第一远程调用请求的integrity属性的值设置为所述第一属性值，并且所述integrity属性包含所述预设算法；

S3、监听所述第一远程调用请求的回调结果，根据所述回调结果检测所述第一资源的正确性。

为了解决上述技术问题，本发明采用的另一种技术方案为：

一种检测资源文件正确性的终端，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现以下步骤：

S1、获取当前页面带有预设属性的第一资源，所述预设属性用于指示第一资源的完整性；

S2、依次获取所述第一资源的地址和预设属性的第一属性值，所述第一属性值为将所述第一资源通过预设算法计算得到；

根据所述地址和所述第一属性值构建第一远程调用请求，将所述第一远程调用请求的integrity属性的值设置为所述第一属性值，并且所述integrity属性包含所述预设算法；

S3、监听所述第一远程调用请求的回调结果，根据所述回调结果检测所述第一资源的正确性。

本发明的有益效果在于：在html页面对应的html文件中增加指示预设资源完整性的预设属性，根据预设资源的地址和所述预设属性的属性值构建远程调用请求，并将远程调用请求的integrity属性的值设置为预设属性值，根据远程调用请求的回调结果检测预设资源的正确性；由于浏览器在检测到存在integrity属性的资源标签时，会自动验证其对应的资源内容是否符合integrity属性中包含的算法得到的字符串，由此便能够获知资源内容是否被篡改，巧妙地利用浏览器SRI校验机制自动地检测运营商或其他网络设备缓存的资源文件的正确性，提高了检测的效率，有效地保证用户使用体验及功能完整性。

附图说明

图1为本发明实施例的一种检测资源正确性的方法流程图；

图2为本发明实施例的一种检测资源正确性的终端结构示意图；

图3为本发明实施例的一种检测资源正确性的方法的交互图；

标号说明：

1、检测资源正确性的终端；2、存储器；3、处理器。

具体实施方式

为详细说明本发明的技术内容、所实现目的及效果，以下结合实施方式并配合附图予以说明。

本发明最关键的构思在于：在html页面对应的html文件中增加指示预设资源完整性的预设属性，根据预设资源的地址和所述预设属性的属性值构建远程调用请求，并将远程调用请求的integrity属性的值设置为预设属性值。

请参照图1，一种检测资源正确性的方法，包括：

S1、获取当前页面带有预设属性的第一资源，所述预设属性用于指示第一资源的完整性；

S2、依次获取所述第一资源的地址和预设属性的第一属性值，所述第一属性值为将所述第一资源通过预设算法计算得到；

根据所述地址和所述第一属性值构建第一远程调用请求，将所述第一远程调用请求的integrity属性的值设置为所述第一属性值，并且所述integrity属性包含所述预设算法；

S3、监听所述第一远程调用请求的回调结果，根据所述回调结果检测所述第一资源的正确性。

从上述描述可知，本发明的有益效果在于：在html页面对应的html文件中增加指示预设资源完整性的预设属性，根据预设资源的地址和所述预设属性的属性值构建远程调用请求，并将远程调用请求的integrity属性的值设置为预设属性值，根据远程调用请求的回调结果检测预设资源的正确性；由于浏览器在检测到存在integrity属性的资源标签时，会自动验证其对应的资源内容是否符合integrity属性中包含的算法得到的字符串，由此便能够获知资源内容是否被篡改，巧妙地利用浏览器SRI校验机制自动地检测运营商或其他网络设备缓存的资源文件的正确性，提高了检测的效率，有效地保证用户使用体验及功能完整性。

进一步的，所述S2之后还包括：

根据所述第一资源的资源内容和所述integrity属性中包含的预设算法计算所述第一资源的第二属性值，根据所述第一属性值和第二属性值判断所述第一资源是否正确；

根据所述第一资源的判断结果确定所述远程调用请求的回调结果。

由上述描述可知，由于第一资源的第一属性值由第一资源的原资源内容通过预设算法计算得到，若第一资源的资源内容发生改变，则通过预设算法计算得到的第二属性值与第一属性值不相等，则判断第一资源为不正确；提高了第一资源的正确性以及判断的准确性。

进一步的，所述integrity属性中包含的预设算法包括先进行哈希算法再进行base64编码；

所述根据所述第一资源的资源内容和所述integrity属性中包含的预设算法计算所述第一资源的第二属性值具体为：

根据所述哈希算法计算所述第一资源的哈希值，再对所述哈希值进行base64编码生成所述第一资源的第二属性值。

由上述描述可知，通过使用哈希算法以及base64编码计算第一资源的第二属性值，提高了算法的复杂度，防止遭受网络攻击。

进一步的，所述S3中根据所述回调结果检测所述第一资源的正确性包括：

若回调失败，则所述第一资源存在被篡改的可能；

否则，所述第一资源是正确的。

由上述描述可知，在浏览器的SRI即子资源完整机制中，只要第一资源被篡改，则根据第一资源的资源内容计算的第二属性值则不等于第一属性值，会自动触发远程回调的失败事件，从而若回调失败时，则说明所述第一资源存在被篡改的可能，从而使用户能够更直观地察觉第一资源是否被篡改。

进一步的，所述步骤S3还包括：

若回调失败，则重新发起一个同样地址的第二远程调用请求，所述第二远程调用请求无integrity属性；

通过所述第二远程调用请求获取所述地址对应的资源信息，将所述资源信息入库。

由上述描述可知，通过重新发起一个同样地址的无integrity属性的第二远程调用请求，因而不会触发浏览器的SRI机制，从而能够根据所述地址获取与所述地址对应的资源信息，并将所述资源信息入库，实现了对篡改的资源文件的追踪，方便了对资源文件的完整性的维护。

请参照图2，一种检测资源文件正确性的终端，包括存储器、处理器以及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现以下步骤：

S1、获取当前页面带有预设属性的第一资源，所述预设属性用于指示第一资源的完整性；

S2、依次获取所述第一资源的地址和预设属性的第一属性值，所述第一属性值为将所述第一资源通过预设算法计算得到；

根据所述地址和所述第一属性值构建第一远程调用请求，将所述第一远程调用请求的integrity属性的值设置为所述第一属性值，并且所述integrity属性包含所述预设算法；

S3、监听所述第一远程调用请求的回调结果，根据所述回调结果检测所述第一资源的正确性。

从上述描述可知，本发明的有益效果在于：在html页面对应的html文件中增加指示预设资源完整性的预设属性，根据预设资源的地址和所述预设属性的属性值构建远程调用请求，并将远程调用请求的integrity属性的值设置为预设属性值，根据远程调用请求的回调结果检测预设资源的正确性；由于浏览器在检测到存在integrity属性的资源标签时，会自动验证其对应的资源内容是否符合integrity属性中包含的算法得到的字符串，由此便能够获知资源内容是否被篡改，巧妙地利用浏览器SRI校验机制自动地检测运营商或其他网络设备缓存的资源文件的正确性，提高了检测的效率，有效地保证用户使用体验及功能完整性。

进一步的，所述S2之后还包括：

根据所述第一资源的资源内容和所述integrity属性中包含的预设算法计算所述第一资源的第二属性值，根据所述第一属性值和第二属性值判断所述第一资源是否正确；

根据所述第一资源的判断结果确定所述远程调用请求的回调结果。

由上述描述可知，由于第一资源的第一属性值由第一资源的原资源内容通过预设算法计算得到，若第一资源的资源内容发生改变，则通过预设算法计算得到的第二属性值与第一属性值不相等，则判断第一资源为不正确；提高了第一资源的正确性以及判断的准确性。

进一步的，所述integrity属性中包含的预设算法包括先进行哈希算法再进行base64编码；

所述根据所述第一资源的资源内容和所述integrity属性中包含的预设算法计算所述第一资源的第二属性值具体为：

根据所述哈希算法计算所述第一资源的哈希值，再对所述哈希值进行base64编码生成所述第一资源的第二属性值。

由上述描述可知，通过使用哈希算法以及base64编码计算第一资源的第二属性值，提高了算法的复杂度，防止遭受网络攻击。

进一步的，所述S3中根据所述回调结果检测所述第一资源的正确性包括：

若回调失败，则所述第一资源存在被篡改的可能；

否则，所述第一资源是正确的。

由上述描述可知，在浏览器的SRI即子资源完整机制中，只要第一资源被篡改，则根据第一资源的资源内容计算的第二属性值则不等于第一属性值，会自动触发远程回调的失败事件，从而若回调失败时，则说明所述第一资源存在被篡改的可能，从而使用户能够更直观地察觉第一资源是否被篡改。

进一步的，所述步骤S3还包括：

若回调失败，则重新发起一个同样地址的第二远程调用请求，所述第二远程调用请求无integrity属性；

通过所述第二远程调用请求获取所述地址对应的资源信息，将所述资源信息入库。

由上述描述可知，通过重新发起一个同样地址的无integrity属性的第二远程调用请求，因而不会触发浏览器的SRI机制，从而能够根据所述地址获取与所述地址对应的资源信息，并将所述资源信息入库，实现了对篡改的资源文件的追踪，方便了对资源文件的完整性的维护。

实施例一

请参照图1，一种检测资源正确性的方法，包括步骤：

S1、获取当前页面带有预设属性的第一资源，所述预设属性用于指示第一资源的完整性；

其中，所述用户端的浏览器中，所述第一资源与所述服务端的第二资源相对应，所述预设属性具体为data-integrity属性；

所述第一资源为当前页面的样式和脚本文件，在所述S1之前，服务端在本地工程目录扫描html文件，通过正则表达式解析出与第一资源对应的第二资源，所述第二资源包括解析得到的html文件的样式和脚本文件，通过第二资源的相对路径读取第二资源的资源内容，通过预设算法计算第二资源的第三属性值；

其中，所述预设算法包括先进行哈希算法再进行base64编码，所述哈希算法包括sha256、sha384或sha512算法；

其中通过预设算法计算第二资源的第三属性值具体为：通过sha256、sha384或sha512算法计算所述第二资源的哈希值，并对所述哈希值进行base64编码生成对应的格式，得到所述第二资源的第三属性值。

在所述解析的第二资源的标签上增加data-integrity属性，第三属性值作为所述data-integrity属性的属性值；

最后将所述第二资源保存回原有的html文件；

S2、依次获取所述第一资源的地址和预设属性的第一属性值，所述第一属性值为将所述第一资源通过预设算法计算得到；

根据所述地址和所述第一属性值构建第一远程调用请求，将所述第一远程调用请求的integrity属性的值设置为所述第一属性值，并且所述integrity属性包含所述预设算法；

具体的，所述integrity属性由浏览器SRI(子资源完整性)机制所规定的，所述integrity属性包括哈希算法的声明和经过预设算法计算得到的第一属性值；

其中，S2之前包括：创建一个沙盒隔离，浏览器中iframe元素具备有沙盒的机制；

所述依次获取所述第一资源的地址和预设属性的第一属性值具体为：

在沙盒中依次获取所述第一资源的地址和预设属性的第一属性值；

其中，所述S2之后还包括：根据所述第一资源的资源内容和所述integrity属性中包含的预设算法计算所述第一资源的第二属性值，根据所述第一属性值和第二属性值判断所述第一资源是否正确；

根据所述第一资源的判断结果确定所述远程调用请求的回调结果；

具体的，所述integrity属性中包含的预设算法包括先进行哈希算法再进行base64编码；

所述根据所述第一资源的资源内容和所述integrity属性中包含的预设算法计算所述第一资源的第二属性值具体为：

根据所述哈希算法计算所述第一资源的哈希值，再对所述哈希值进行base64编码生成所述第一资源的第二属性值；

S3、监听所述第一远程调用请求的回调结果，根据所述回调结果检测所述第一资源的正确性；

如果回调失败，则说明所述第一资源存在被篡改的可能，否则，所述第一资源是正确的。

实施例二

请参照图1和图3，本实施例与实施例一的区别在于；还包括：

若回调失败，则所述第一资源存在被篡改的可能的情况下，执行S4；

S4、重新发起一个同样地址的第二远程调用请求，所述第二远程调用请求无integrity属性；

通过所述第二远程调用请求获取所述地址对应的资源信息，将所述资源信息入库；

其中，所述对应的资源信息具体为所述第一资源对应的资源信息，包括对应资源的资源大小和地址信息，还包括所述第一资源对应的用户ip等信息；

其中，将所述资源信息入库包括：

将所述第一资源对应资源的资源大小、地址信息和所述第一资源对应的用户ip等信息发送至预设的接口中保存。

如图3所示，为本实施例方法的交互图，图3中资源服务为服务端中下发第一资源的服务，循环标识为循环使用资源地址和integrity的值向资源服务发起远程回调请求，数据上报服务为通过所述第二远程调用请求获取所述地址对应的资源信息入库的对象，即将这些资源信息发送到数据上报服务中。

实施例三

将本申请的技术方案应用至具体的应用场景中，如在双11活动期间，用户使用产品方的业务产品时，出现了支付宝领取红包的弹窗广告，用户使用本申请的技术方案获取当前页面带有预设的data-integrity属性的第一资源，所述第一资源为当前页面的样式和脚本文件，创建一个沙盒隔离，在沙盒中依次获取所述第一资源的地址和data-integrity属性的属性值，根据所述地址和属性值发送获取第一资源构建第一远程调用请求，将所述第一远程调用请求的integrity属性的值设置为所述data-integrity属性的属性值，监听所述第一远程调用的回调结果，若回调成功，则说明第一资源是正确的，该支付宝领取红包的弹窗广告是产品方的业务产品中带有的弹窗广告，若失败，则所述第一资源存在被篡改的可能，重新发起一个同样地址的无integrity属性的第二远程调用请求，通过所述第二远程调用请求获取所述地址对应的资源信息，将所述资源信息入库，开发团队通过监控入库的资源信息排查并处理相关问题。

实施例四

请参照图2，一种检测资源正确性的终端1，包括存储器2、处理器3及存储在存储器2上并可在处理器3上运行的计算机程序，所述处理器3执行所述计算机程序时实现实施例一中的步骤。

实施例五

请参照图2，一种检测资源正确性的终端1，包括存储器2、处理器3及存储在存储器2上并可在处理器3上运行的计算机程序，所述处理器3执行所述计算机程序时实现实施例二中的步骤。

实施例六

请参照图2，一种检测资源正确性的终端1，包括存储器2、处理器3及存储在存储器2上并可在处理器3上运行的计算机程序，所述处理器3执行所述计算机程序时实现实施例三中的步骤。

综上所述，本发明提供的一种检测资源正确性的方法及终端，在html页面对应的html文件中增加指示预设资源完整性的预设属性，根据预设资源的地址和所述预设属性的属性值构建远程调用请求，并将远程调用请求的integrity属性的值设置为预设属性值，根据远程调用请求的回调结果检测预设资源的正确性；若检测到预设资源存在被篡改的可能，通过重新发起一个同样地址但无integrity属性的第二远程调用请求，获取所述地址对应的资源信息，并将所述资源信息入库；由于浏览器在检测到存在integrity属性的资源标签时，会自动验证其对应的资源内容是否符合integrity属性中包含的算法得到的字符串，由此便能够获知资源内容是否被篡改，巧妙地利用浏览器SRI校验机制自动地检测运营商或其他网络设备缓存的资源文件的正确性，提高了检测的效率，有效地保证用户使用体验及功能完整性，并且通过再次发送不包含integrity属性的回调，能够实现对篡改的资源文件的追踪，方便了对资源文件的完整性保护。

以上所述仅为本发明的实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等同变换，或直接或间接运用在相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (10)

1.一种检测资源正确性的方法，其特征在于，包括：

S1、获取当前页面带有预设属性的第一资源，所述预设属性用于指示第一资源的完整性；

S2、依次获取所述第一资源的地址和预设属性的第一属性值，所述第一属性值为将所述第一资源通过预设算法计算得到；

根据所述地址和所述第一属性值构建第一远程调用请求，将所述第一远程调用请求的integrity属性的值设置为所述第一属性值，并且所述integrity属性包含所述预设算法；

S3、监听所述第一远程调用请求的回调结果，根据所述回调结果检测所述第一资源的正确性。

2.根据权利要求1所述的检测资源正确性的方法，其特征在于，所述S2之后还包括：

根据所述第一资源的资源内容和所述integrity属性中包含的预设算法计算所述第一资源的第二属性值，根据所述第一属性值和第二属性值判断所述第一资源是否正确；

根据所述第一资源的判断结果确定所述远程调用请求的回调结果。

3.根据权利要求2所述的检测资源正确性的方法，其特征在于，所述integrity属性中包含的预设算法包括先进行哈希算法再进行base64编码；

所述根据所述第一资源的资源内容和所述integrity属性中包含的预设算法计算所述第一资源的第二属性值具体为：

根据所述哈希算法计算所述第一资源的哈希值，再对所述哈希值进行base64编码生成所述第一资源的第二属性值。

4.根据权利要求1至3任一项所述的检测资源正确性的方法，其特征在于，所述S3中根据所述回调结果检测所述第一资源的正确性包括：

若回调失败，则所述第一资源存在被篡改的可能；

否则，所述第一资源是正确的。

5.根据权利要求4所述的检测资源正确性的方法，其特征在于，所述步骤S3还包括：

若回调失败，则重新发起一个同样地址的第二远程调用请求，所述第二远程调用请求无integrity属性；

通过所述第二远程调用请求获取所述地址对应的资源信息，将所述资源信息入库。

6.一种检测资源文件正确性的终端，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现以下步骤：

S1、获取当前页面带有预设属性的第一资源，所述预设属性用于指示第一资源的完整性；

S2、依次获取所述第一资源的地址和预设属性的第一属性值，所述第一属性值为将所述第一资源通过预设算法计算得到；

根据所述地址和所述第一属性值构建第一远程调用请求，将所述第一远程调用请求的integrity属性的值设置为所述第一属性值，并且所述integrity属性包含所述预设算法；

S3、监听所述第一远程调用请求的回调结果，根据所述回调结果检测所述第一资源的正确性。

7.根据权利要求6所述的检测资源文件正确性的终端，其特征在于，所述S2之后还包括：

根据所述第一资源的资源内容和所述integrity属性中包含的预设算法计算所述第一资源的第二属性值，根据所述第一属性值和第二属性值判断所述第一资源是否正确；

根据所述第一资源的判断结果确定所述远程调用请求的回调结果。

8.根据权利要求7所述的检测资源文件正确性的终端，其特征在于，所述integrity属性中包含的预设算法包括先进行哈希算法再进行base64编码；

所述根据所述第一资源的资源内容和所述integrity属性中包含的预设算法计算所述第一资源的第二属性值具体为：

根据所述哈希算法计算所述第一资源的哈希值，再对所述哈希值进行base64编码生成所述第一资源的第二属性值。

9.根据权利要求6至8任一项所述的检测资源文件正确性的终端，其特征在于，所述S3中根据所述回调结果检测所述第一资源的正确性包括：

若回调失败，则所述第一资源存在被篡改的可能；

否则，所述第一资源是正确的。

10.根据权利要求9所述的检测资源文件正确性的终端，其特征在于，所述步骤S3还包括：

若回调失败，则重新发起一个同样地址的第二远程调用请求，所述第二远程调用请求无integrity属性；

通过所述第二远程调用请求获取所述地址对应的资源信息，将所述资源信息入库。

Images