CN110808993A - 数据传输控制方法、装置、计算机***和介质 - Google Patents

Abstract

本公开提供了一种用于中间***的数据传输控制方法，所述中间***与服务端部署于第一网络。所述方法包括：拦截来自部署于第二网络的客户端的请求数据，所述请求数据包括来源标识；确定所述来源标识是否符合第一过滤条件；以及在所述来源标识不符合第一过滤条件且所述请求数据携带解密标识的情况下，对所述请求数据的加密报文体进行解密，以便得到明文请求数据，并经由所述第一网络将所述明文请求数据发送至所述服务端。本公开还提供了一种用于中间***的数据传输控制装置、一种用于客户端的数据传输控制方法和装置、一种计算机***以及一种计算机可读存储介质。

Description

数据传输控制方法、装置、计算机***和介质

技术领域

本公开涉及计算机技术领域，更具体地，涉及一种用于中间***的数据传输控制方法和装置、用于中间***的数据传输控制方法和装置、计算机***和介质。

背景技术

在客户端与服务端之间进行数据传输的场景中，一种数据传输方案是：客户端与服务端之间约定传输方式(明文传输或密文传输)，然后按照所约定的传输方式进行数据传输。如果切换传输方式，则需要客户端与服务端之间重新约定传输方式然后再进行数据传输，该切换过程较为繁琐，无法进行快速切换。

发明内容

有鉴于此，本公开提供了一种改进的数据传输控制方法和装置。

本公开的一个方面提供了一种用于中间***的数据传输控制方法，该中间***与服务端部署于第一网络。该方法包括：拦截来自部署于第二网络的客户端的请求数据，该请求数据包括来源标识。然后确定该来源标识是否符合第一过滤条件。在该来源标识不符合第一过滤条件且请求数据携带解密标识的情况下，对请求数据的加密报文体进行解密，以便得到明文请求数据，并经由第一网络将该明文请求数据发送至服务端。

根据本公开的实施例，上述方法还包括：在该来源标识符合第一过滤条件的情况下，经由第一网络将请求数据直接发送至服务端。

根据本公开的实施例，上述方法还包括：在来源标识不符合第一过滤条件且请求数据未携带解密标识的情况下，经由第一网络将请求数据发送至服务端。

根据本公开的实施例，上述方法还包括：获取请求数据的请求URI，该请求URI作为上述来源标识。将该请求URI与预置的过滤排除名单进行匹配，如果匹配成功，则确定请求数据的来源标识符合第一过滤条件。

根据本公开的实施例，上述方法还包括：在来源标识不符合第一过滤条件且请求数据携带解密标识的情况下，确定解密标识的取值是否为预定字符串。如果是，则对请求数据携带的cookie数据进行解密，以便得到明文cookie数据。上述经由第一网络将明文请求数据发送至服务端包括：经由第一网络将携带明文cookie数据的明文请求数据发送至服务端。

根据本公开的实施例，上述方法还包括：确定请求数据的报文头中是否存在解密标识，如果是，则确定请求数据携带解密标识。

根据本公开的实施例，上述方法还包括：接收来自服务端的响应数据，该响应数据包括目的地标识。然后确定该目的地标识是否符合第二过滤条件。在该目的地标识不符合第二过滤条件的情况下，对响应数据的报文体进行加密，以便得到包含加密报文体的响应数据，并将该包含加密报文体的响应数据发送至客户端。

根据本公开的实施例，上述方法还包括：在该目的地标识符合第二过滤条件的情况下，将响应数据直接发送至符合该目的地标识的客户端。

根据本公开的实施例，上述方法还包括：在目的地标识不符合第二过滤条件的情况下，在上述包含加密报文体的响应数据中添加加密标识。

根据本公开的实施例，上述方法还包括：在目的地标识不符合第二过滤条件的情况下，对响应数据携带的cookie数据进行加密，以便得到加密cookie数据。上述在包含加密报文体的响应数据中添加加密标识包括：在该响应数据的报文头中添加加密标识，并设置该加密标识的取值为预定字符串。上述将包含加密报文体的响应数据发送至客户端包括：将携带加密cookie数据且包含加密报文体的响应数据发送至客户端。

本公开的另一个方面提供了一种用于客户端的数据传输控制方法，该客户端部署于第二网络。该方法包括：确定客户端是否符合第一过滤条件。在客户端不符合第一过滤条件的情况下，确定请求数据的报文体是否符合第一加密条件。如果是，则对请求数据的报文体进行加密，并在请求数据中添加解密标识，以便得到包含加密报文体且携带解密标识的密文请求数据。接着，将该密文请求数据发送至部署于第一网络的中间***，由中间***基于上述解密标识对该密文请求数据进行解密以得到明文请求数据，并由中间***将该明文请求数据发送至部署于第一网络的服务端。

根据本公开的实施例，上述方法还包括：在确定请求数据的报文体符合第一加密条件的情况下，确定请求数据携带的cookie数据是否符合第二加密条件。如果是，对密文请求数据携带的cookie数据进行加密，以便得到加密cookie数据，并设置解密标识的取值为预定字符串。上述将密文请求数据发送至部署于第一网络的中间***包括：将携带加密cookie数据的密文请求数据发送至中间***。

本公开的另一个方面提供了一种用于中间***的数据传输控制装置，中间***与服务端部署于第一网络。该用于中间***的数据传输控制装置包括：拦截模块、确定模块和处理模块。其中，拦截模块用于拦截来自部署于第二网络的客户端的请求数据，该请求数据包括来源标识。确定模块用于确定该来源标识是否符合第一过滤条件。处理模块用于在该来源标识不符合第一过滤条件且请求数据携带解密标识的情况下，对请求数据的加密报文体进行解密，以便得到明文请求数据，并经由第一网络将该明文请求数据发送至服务端。

本公开的另一个方面提供了一种用于客户端的数据传输控制装置，

该客户端部署于第二网络。该装置包括：第一判定模块、第二判定模块、加密模块和发送模块。其中，第一判定模块用于确定客户端是否符合第一过滤条件。第二判定模块用于在客户端不符合第一过滤条件的情况下，确定请求数据的报文体是否符合第一加密条件。加密模块，用于在报文体符合第一加密条件的情况下，对请求数据的报文体进行加密，并在请求数据中添加解密标识，以便得到包含加密报文体且携带解密标识的密文请求数据。发送模块用于将该密文请求数据发送至部署于第一网络的中间***，由中间***基于上述解密标识对该密文请求数据进行解密以得到明文请求数据，并由中间***将该明文请求数据发送至部署于第一网络的服务端。本公开的另一方面提供了一种计算机***，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如上所述的方法。

本公开的另一方面提供了一种计算机可读存储介质，存储有计算机可执行指令，所述指令在被执行时用于实现如上所述的方法。

本公开的另一方面提供了一种计算机程序，所述计算机程序包括计算机可执行指令，所述指令在被执行时用于实现如上所述的方法。

根据本公开的实施例，在中间***与服务端之间进行数据传输时，由于传输双方部署于同一网络环境，数据传输的安全信任度高，可以进行明文传输。在中间***或服务端与客户端之间进行数据传输时，由于传输双方部署于不同的网络环境，作为外网通信，数据传输的安全信任度低，较为重要的数据需要通过密文传输。根据本公开实施例的数据传输方法提供了中间***对来自客户端的请求数据进行针对性处理的方案。对于客户端来说，在进行数据传输时可以根据需要自如地选择明文传输或密文传输，例如对涉及到用户隐私的数据进行密文传输，而对测试时的测试数据进行明文传输，而不必每次切换传输方式前进行握手约定，只需在请求数据中添加解密标识。对于服务端来说，无论客户端发送的是明文数据还是密文数据，均可以经由中间***的针对性处理而接收到来自中间***的明文数据。实现了传输方式的快速切换，兼顾数据传输的安全性和效率。

附图说明

通过以下参照附图对本公开实施例的描述，本公开的上述以及其他目的、特征和优点将更为清楚，在附图中：

图1示意性示出了根据本公开实施例的应用数据传输控制方法和装置的示例性***架构；

图2示意性示出了根据本公开实施例的应用数据传输控制方法的架构图；

图3示意性示出了根据本公开实施例的用于中间***的数据传输控制方法的流程图；

图4示意性示出了根据本公开实施例的请求消息的示例示意图；

图5示意性示出了根据本公开实施例的用于中间***的数据传输过程的示例流程图；

图6示意性示出了根据本公开实施例的用于客户端的数据传输控制方法的流程图；

图7示意性示出了根据本公开实施例的用于中间***的数据传输控制装置的框图；

图8示意性示出了根据本公开实施例的用于客户端的数据传输控制装置的框图；以及

图9示意性示出了根据本公开实施例的计算机***的框图。

具体实施方式

以下，将参照附图来描述本公开的实施例。但是应该理解，这些描述只是示例性的，而并非要限制本公开的范围。在下面的详细描述中，为便于解释，阐述了许多具体的细节以提供对本公开实施例的全面理解。然而，明显地，一个或多个实施例在没有这些具体细节的情况下也可以被实施。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本公开的概念。

在此使用的术语仅仅是为了描述具体实施例，而并非意在限制本公开。在此使用的术语“包括”、“包含”等表明了所述特征、步骤、操作和/或部件的存在，但是并不排除存在或添加一个或多个其他特征、步骤、操作或部件。

在此使用的所有术语(包括技术和科学术语)具有本领域技术人员通常所理解的含义，除非另外定义。应注意，这里使用的术语应解释为具有与本说明书的上下文相一致的含义，而不应以理想化或过于刻板的方式来解释。

在使用类似于“A、B和C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B和C中至少一个的***”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的***等)。在使用类似于“A、B或C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B或C中至少一个的***”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的***等)。

本公开的实施例提供了一种用于中间***的数据传输控制方法和装置，中间***与服务端部署于第一网络，二者之间的数据传输为同一网络内的，因而具有较高的安全信任度。该方法包括：拦截过程、第一发送过程和第二发送过程。在拦截过程中，中间***拦截来自部署于第二网络的客户端的请求数据，该请求数据包括来源标识。在该来源标识符合第一过滤条件的情况下，确定请求数据是明文数据，则可以进行第一发送过程。经由第一网络将请求数据直接发送至服务端。在该来源标识不符合第一过滤条件且请求数据携带解密标识的情况下，确定该请求数据是密文数据，则可以进行第二发送过程。先对请求数据的加密报文体进行解密，以便得到明文请求数据，然后再经由第一网络将该明文请求数据发送至服务端。

图1示意性示出了根据本公开实施例的可以应用数据传输控制方法和装置的示例性***架构100。需要注意的是，图1所示仅为可以应用本公开实施例的***架构的示例，以帮助本领域技术人员理解本公开的技术内容，但并不意味着本公开实施例不可以用于其他设备、***、环境或场景。

如图1所示，根据该实施例的***架构100可以包括终端设备101、102、103，网络104和服务器105。网络104用以在终端设备101、102、103和服务器105之间提供通信链路的介质。网络104可以包括各种连接类型，例如各种有线、无线通信链路等等。

终端设备101、102、103可以通过网络104与服务器105进行数据传输，以接收或发送消息等。终端设备101、102、103上可以安装有各种客户端应用，例如网页浏览器应用、即时通信应用、邮箱客户端应用等等，在此不做限制。

终端设备101、102、103可以是具有显示屏并且支持网页浏览的各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等等。

服务器105可以是能够提供各种服务的服务端，例如对用户利用终端设备101、102、103所浏览的网站提供支持的后台管理服务器(仅为示例)。后台管理服务器可以对接收到的请求数据进行分析等处理，并将处理结果(例如根据请求数据获取或生成的网页、信息、或数据等)反馈给终端设备。

应该理解，图1中的终端设备、网络和服务器的数目仅仅是示意性的。根据实际需要，可以具有任意数目的终端设备、网络和服务器。

在客户端与服务端之间进行数据传输的场景中，一种数据传输方案是：客户端与服务端之间约定传输方式(明文传输或密文传输)，然后按照所约定的传输方式进行数据传输。如果不切换传输方式，则一直按照同一传输方式进行数据传输。此种情况下，若始终采用明文传输则数据安全性过低，而若始终采用密文传输则对于某些数据(例如开发、测试阶段的数据)是不必要的。如果切换传输方式，则需要客户端与服务端之间重新约定传输方式然后再进行数据传输，该切换过程较为繁琐，无法进行快速切换。

图2示意性示出了根据本公开实施例的应用数据传输控制方法的架构图。

如图2所示，根据本公开实施例，在客户端210和服务端220之间还部署有中间***230，中间***230与服务端220处于同一网络环境(例如第一网络)，而一个或多个客户端210处于另一网络环境(例如第二网络)。根据本公开实施例提供了一种用于中间***的数据传输控制方法，下面从中间***的角度出发进行说明。应注意，以下方法中各个操作的序号仅作为该操作的表示以便描述，而不应被看作表示该各个操作的执行顺序。除非明确指出，否则该方法不需要完全按照所示顺序来执行。

图3示意性示出了根据本公开实施例的用于中间***的数据传输控制方法的流程图。

如图3所示，该方法可以包括如下操作S301～S303。

在操作S301，拦截来自部署于第二网络的客户端的请求数据。

其中，请求数据包括来源标识，以表征该请求数据的来源。

接着，在操作S302，确定该来源标识是否符合第一过滤条件。

其中，第一过滤条件的作用是将已确定按照明文传输的请求数据筛选出来。当请求数据中的来源标识符合第一过滤条件时，表明该请求数据是明文数据，中间***可以不加处理直接将该请求数据转发至服务端。基于第一过滤条件的过滤过程可以大幅降低中间***的工作负荷，提高数据传输效率。

接着，在操作S303，在该来源标识不符合第一过滤条件且请求数据携带解密标识的情况下，对请求数据的加密报文体(body)进行解密，以便得到明文请求数据，并经由第一网络将该明文请求数据发送至服务端。

其中，当请求数据中的来源标识不符合第一过滤条件时，表明该请求数据可能是明文数据也可能是密文数据。需要进一步判断请求数据是否携带解密标识，该解密标识用于表征请求数据是否需要解密。如果请求数据携带解密标识，表明该请求数据为密文数据，需要中间***对该请求数据解密后再发送至服务端。如果请求数据没有携带解密标识，表明该请求数据为明文数据，中间***可以直接发送至服务端。

本领域技术人员可以理解，在中间***与服务端之间进行数据传输时，由于传输双方部署于同一网络环境，数据传输的安全信任度高，可以进行明文传输。在中间***或服务端与客户端之间进行数据传输时，由于传输双方部署于不同的网络环境，作为外网通信，数据传输的安全信任度低，较为重要的数据需要通过密文传输。根据本公开实施例的数据传输方法提供了中间***对来自客户端的请求数据进行针对性处理的方案。对于客户端来说，在进行数据传输时可以根据需要自如地选择明文传输或密文传输，例如对涉及到用户隐私的数据进行密文传输，而对测试时的测试数据进行明文传输，而不必每次切换传输方式前进行握手约定，只需在请求数据中添加解密标识。对于服务端来说，无论客户端发送的是明文数据还是密文数据，均可以经由中间***的针对性处理而接收到来自中间***的明文数据。实现了传输方式的快速切换，兼顾数据传输的安全性和效率。

进一步地，根据本公开实施例的用于中间***的数据传输控制方法还可以包括：在该来源标识符合第一过滤条件的情况下，经由第一网络将请求数据直接发送至服务端。

示例性地，在判断请求数据中的来源标识是否符合第一过滤条件时，可以获取请求数据的请求URI(Uniform Resource Identifier，统一资源标识符)，以该请求URI作为该请求数据的来源标识。然后将该请求URI与预置的过滤排除名单进行匹配，该匹配过程可以是部分匹配也可以是全部匹配，在此不做限制。如果匹配成功，则确定该请求数据的来源标识符合第一过滤条件。

例如，过滤排除名单是由服务端预先设置，该过滤排除名单包括已确定与该服务端之间始终采用明文传输的一个或多个客户端的相关URI。该过滤排除名单以JAR文件(Java Archive File)形式传输至中间***，中间***启动时基于该JAR文件获取过滤排除名单。

再例如，过滤排除名单包括已确定与该服务端之间始终采用明文传输的一个或多个客户端的路径信息，该路径信息为URI的一部分。

进一步地，一些请求数据携带有cookie数据，为了保护cookie数据中的数据安全，根据本公开实施例的用于中间***的数据传输方法还提供了对于cookie数据是否为密文数据以及cookie数据的传输方式的切换。示例性地，在请求数据中的来源标识不符合第一过滤条件且请求数据携带解密标识的情况下，还确定该解密标识的取值是否为预定字符串。如果是，则表明该请求数据携带的cookie数据是密文传输的，故中间***还需要对请求数据携带的cookie数据进行解密，以便得到明文cookie数据。在此基础上，上述经由第一网络将明文请求数据发送至服务端包括：经由第一网络将携带该明文cookie数据的明文请求数据发送至服务端。如果否，则表明该请求数据携带的cookie数据是明文传输的，故中间***无需对该cookie数据进行解密，只需对请求数据中的报文体解密即可。

依据本实施例的方案，客户端不仅能够灵活地选择请求数据的传输方式，还可以在选择加密传输后进一步深入地选择是否对请求数据所携带的cookie数据进行加密。相关技术中的密文传输仅保证了请求数据的报文体的安全传输，缺少对cookie数据中数据的保护。例如cookie数据中包含有用户敏感信息(如用户的登录信息)的情况下，对cookie数据的保护是非常重要的。中间***可以基于解密标识的取值来确定是否需要对cookie数据进行解密。

示例性地，解密标识可以设置于请求数据的报文头(header)中，故中间***在判断请求数据是否携带解密标识时，仅需判断报文头中是否存在解密标识即可，如果存在，则确定请求数据携带解密标识。

图4示意性示出了根据本公开实施例的请求消息的示例示意图。

如图4所示，以HTTP(Hyper Text Transfer Protocol，超文本传输协议)请求数据为例，该HTTP请求数据可以包括请求行410、报文头420和报文体430。请求行410可以包括请求方法411、请求URI 412、以及HTTP协议及版本413。本例中请求方法411为POST方法，请求URI 412为一个URL地址，该URL地址和报文头420中的Host属性组合起来是一个完整的请求URL。报文头420可以包括多个属性，例如Accept属性(指定客户端能够接收的内容类型)、Accept-Language属性(指定客户端可接受的语言)、User-Agent属性(包含发出请求的用户信息)、Host属性(指定请求的服务端的域名和端口号)、Content-Length属性(请求的内容长度)、Connection属性(表示是否需要持久连接)、cookie属性、等等，各属性均以键值对(key-value)形式记录。报文体430中的“name＝tom＆password＝1234＆realName＝tomson”以键值对的形式记录了用户名、密码以及真实名称。

例如，预先定义“wpe”这个字段作为上文所述的解密标识。中间***拦截图4所示的HTTP请求数据，先获取其请求URI。将该请求URI与预置的过滤排除名单进行匹配，如果匹配成功，则中间***将该HTTP请求数据发送至相应的服务端。如果匹配失败，则中间***进一步查看该HTTP请求数据的报文头中是否包含“wpe”字段。在图4所示的例子中未包含，则中间***将该HTTP请求数据发送至相应的服务端。如果该HTTP请求数据的报文头中包含“wpe”字段，则中间***确定该HTTP请求数据携带解密标识，从而再进一步查看该“wpe”字段的取值是否等于预定字符串(例如该预定字符串为“cookie”)。如果是，则确定该HTTP请求数据中的报文体和cookie数据(即上文所述的cookie属性)是密文传输的，需要对报文体和cookie数据均进行解密，以得到明文HTTP请求数据，然后再将该明文HTTP请求数据发送至服务端。如果“wpe”字段的取值不等于预定字符串，则确定该HTTP请求数据中仅报文体为密文传输，对报文体进行解密，以得到明文HTTP请求数据，然后再将该明文HTTP请求数据发送至服务端。

上文中已经对数据传输的请求过程进行了说明，下面对数据传输的响应过程进行说明。根据本公开实施例的用于中间***的数据传输方法还可以包括：接收来自服务端的响应数据，该响应数据包括目的地标识。然后，在该目的地标识符合第二过滤条件的情况下，将响应数据发送至符合目的地标识的客户端。接着，在该目的地标识不符合第二过滤条件的情况下，对响应数据的报文体进行加密，以便得到包含加密报文体的响应数据，并将该包含加密报文体的响应数据发送至上述符合目的地标识的客户端。

示例性地，目的地标识用于表征响应数据的发送目标，例如作为该响应数据的发送目标的客户端的标识信息。将该标识信息与上文所述的过滤排除名单进行匹配，如果匹配成功，表明可以对该响应数据进行明文传输。如果匹配失败，表明需要对该响应数据进行密文传输。

为了使得接收到该响应数据的客户端能够确定该响应数据是否进行加密，中间***在对响应数据的报文体进行加密得到包含加密报文体的响应数据后，还在该包含加密报文体的响应数据中添加加密标识。

一些情况下，响应数据中携带有cookie数据。如果该cookie数据记录较为重要的信息，则还需对cookie数据进行加密后再传输至客户端。根据本公开实施例的用于中间***的数据传输方法还可以包括：在响应数据的目的地标识不符合第二过滤条件的情况下，对响应数据携带的cookie数据进行加密，以便得到加密cookie数据。在此基础上，上述在该包含加密报文体的响应数据中添加加密标识包括：在该响应数据的报文头中添加加密标识，并设置该加密标识的取值为预定字符串。上述将包含加密报文体的响应数据发送至相应的客户端包括：将携带加密cookie数据以及加密报文体的响应数据发送至相应的客户端。

在其他情况下，如果响应数据所携带的cookie数据未记录重要信息，则仅需对响应文件的报文体进行加密，不再考虑对该cookie数据进行加密。

在本公开的一个实施例中，中间***针对服务端返回的响应数据的处理可以按照如下方式进行：示例性地，响应数据A是针对请求数据a发出的。情况1，如果中间***对该请求数据a的报文体进行解密但未对cookie数据进行解密，即客户端发送该请求数据a时报文体为密文形式而cookie数据为明文形式，则中间***仅对响应数据A的报文体进行加密，而不对其携带的cookie数据进行加密，从而使得响应数据A的报文体以密文形式发送至客户端，而cookie数据以明文形式发送至客户端。情况2，如果中间***对该请求数据a的报文体进行解密并对cookie数据进行解密，即客户端发送该请求数据a时报文体为密文形式且cookie数据为密文形式，则中间***对响应数据A的报文体进行加密且对其携带的cookie数据进行加密，从而使得响应数据A的报文体和cookie数据均以密文形式发送至客户端。情况3，如果客户端发送该请求数据a时报文体和cookie数据均为明文形式，则中间***无需对响应数据A的报文体和cookie数据进行加密，从而使得响应数据A的报文体和cookie数据均以明文形式发送至客户端。

图5示意性示出了根据本公开实施例的用于中间***的数据传输过程的示例流程图。

如图5所示，以HTTP数据传输为例，开始进行数据传输后，在操作S501，拦截HTTP请求数据。

然后，在操作S502，确定该HTTP请求数据中的请求路径是否为过滤排除路径。如果是，则执行操作S503，如果否，则执行操作S504。

本操作中，请求路径为HTTP请求数据的请求URI的一部分，上文中的过滤排除名单中记录有多个路径信息，该多个路径信息被称为“过滤排除路径”。

在操作S503，推送该HTTP请求数据至服务端，然后执行操作S504。

在操作S504，获取来自服务端的HTTP响应数据，然后执行操作S511。

在操作S505，确定该HTTP请求数据中是否存在解密标识。如果是，则执行操作S506，如果否，则执行操作S503。

在操作S506，对该HTTP请求的报文体进行解密。

在操作S507，确定解密标识的取值是否等于“cookie”。如果是，则执行操作S508，如果否，则执行操作S509。

本操作中以“cookie”作为预定字符串的具体示例，在其他例子中可以根据需要任意设置。

在操作S508，对HTTP请求数据所携带的cookie数据进行解密。

在操作S509，推送解密后的HTTP请求数据至服务端。

在操作S510，获取来自服务端的HTTP响应数据，对该HTTP响应数据的报文体进行加密，并在该HTTP响应数据中添加加密标识。

在操作S511，推送HTTP响应数据至客户端。

至此结束本次数据传输。

对应于上文中各实施例所述的用于中间***的数据传输方法，根据本公开的实施例，还提供了一种用于客户端的数据传输控制方法。例如可以应用于如图2所示的部署于第二网络的客户端210，客户端210通过该用于客户端的数据传输控制方法与中间***230相互配合，以最终将明文请求数据发送至服务端220。下面从客户端的角度出发进行说明。

图6示意性示出了根据本公开实施例的用于客户端的数据传输控制方法的流程图。

如图6所示，该方法可以包括如下操作S601～S604。

在操作S601，确定客户端是否符合第一过滤条件。

其中，第一过滤条件的含义在上文中已详细说明，在此不再赘述。示例性地，客户端可以基于自身的标识信息来确定是否符合第一过滤条件，如果符合，表明客户端已预先与服务端约定使用明文传输请求数据。如果不符合，表明客户端可以根据实际需要选择明文传输或密文传输。

然后，在操作S602，在客户端不符合第一过滤条件的情况下，确定请求数据的报文体是否符合第一加密条件。

接着，在操作S603，如果是，则对请求数据的报文体进行加密，并在请求数据中添加解密标识，以便得到包含加密报文体且携带解密标识的密文请求数据。

其中，客户端对报文体进行加密的过程与上文中中间***对加密报文体进行解密的过程相对应，解密标识的含义在上文中已详细说明，在此不再赘述。

接着，在操作S604，将该密文请求数据发送至部署于第一网络的中间***，由中间***基于上述解密标识对该密文请求数据进行解密以得到明文请求数据，并由中间***将该明文请求数据发送至部署于第一网络的服务端。

本领域技术人员可以理解，在中间***与服务端之间进行数据传输时，由于传输双方部署于同一网络环境，数据传输的安全信任度高，可以进行明文传输。在中间***或服务端与客户端之间进行数据传输时，由于传输双方部署于不同的网络环境，作为外网通信，数据传输的安全信任度低，较为重要的数据需要通过密文传输。根据本公开实施例的数据传输方法提供了客户端在向中间***发送请求数据之前对请求数据进行针对性处理的方案。对于客户端来说，在进行数据传输时可以根据需要自如地选择明文传输或密文传输，例如对涉及到用户隐私的数据进行密文传输，而对测试时的测试数据进行明文传输，而不必每次切换传输方式前进行握手约定，只需在请求数据中添加解密标识。对于服务端来说，无论客户端发送的是明文数据还是密文数据，均可以经由中间***的针对性处理而接收到来自中间***的明文数据。实现了传输方式的快速切换，兼顾数据传输的安全性和效率。

根据本公开的实施例，根据本公开实施例的用于客户端的数据传输控制方法还可以包括：在确定请求数据的报文体符合第一加密条件的情况下，进一步确定请求数据携带的cookie数据是否符合第二加密条件。如果是，对密文请求数据携带的cookie数据进行加密，以便得到加密cookie数据，并设置解密标识的取值为预定字符串。上述将密文请求数据发送至部署于第一网络的中间***包括：将携带加密cookie数据的密文请求数据发送至中间***。以使中间***在确认解密标识的取值为预定字符串后，既对报文体进行解密也对cookie数据进行解密，最终将明文请求数据发送至服务端。

图7示意性示出了根据本公开实施例的用于中间***的数据传输控制装置的框图。其中，中间***与服务端部署于第一网络。

如图7所示，用于中间***的数据传输控制装置700包括：拦截模块710、确定模块720、和处理模块730。

拦截模块710用于拦截来自部署于第二网络的客户端的请求数据，该请求数据包括来源标识。

确定模块720用于确定该来源标识是否符合第一过滤条件。

处理模块730用于在该来源标识不符合第一过滤条件且请求数据携带解密标识的情况下，对请求数据的加密报文体进行解密，以便得到明文请求数据，并经由第一网络将该明文请求数据发送至服务端。

图8示意性示出了根据本公开实施例的用于客户端的数据传输控制装置的框图。其中，该客户端部署于第二网络。

如图8所示，该用于客户端的数据传输控制装置800包括：第一判定模块810、第二判定模块820、加密模块830和发送模块840。

第一判定模块810用于确定客户端是否符合第一过滤条件。

第二判定模块820用于在客户端不符合第一过滤条件的情况下，确定请求数据的报文体是否符合第一加密条件。

加密模块830用于在报文体符合第一加密条件的情况下，对请求数据的报文体进行加密，并在请求数据中添加解密标识，以便得到包含加密报文体且携带解密标识的密文请求数据。

发送模块840用于将该密文请求数据发送至部署于第一网络的中间***，由中间***基于上述解密标识对该密文请求数据进行解密以得到明文请求数据，并由中间***将该明文请求数据发送至部署于第一网络的服务端。需要说明的是，装置部分实施例中各模块/单元/子单元等的实施方式、解决的技术问题、实现的功能、以及达到的技术效果分别与方法部分实施例中各对应的步骤的实施方式、解决的技术问题、实现的功能、以及达到的技术效果相同或类似，在此不再赘述。

根据本公开的实施例的模块、子模块、单元、子单元中的任意多个、或其中任意多个的至少部分功能可以在一个模块中实现。根据本公开实施例的模块、子模块、单元、子单元中的任意一个或多个可以被拆分成多个模块来实现。根据本公开实施例的模块、子模块、单元、子单元中的任意一个或多个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上***、基板上的***、封装上的***、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式的硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，根据本公开实施例的模块、子模块、单元、子单元中的一个或多个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。

例如，拦截模块710、确定模块720、和处理模块730中的任意多个可以合并在一个模块中实现，或者其中的任意一个模块可以被拆分成多个模块。或者，这些模块中的一个或多个模块的至少部分功能可以与其他模块的至少部分功能相结合，并在一个模块中实现。根据本公开的实施例，拦截模块710、确定模块720、和处理模块730中的至少一个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上***、基板上的***、封装上的***、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式等硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，拦截模块710、确定模块720、和处理模块730中的至少一个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。

图9示意性示出了根据本公开实施例的适于实现上文描述的方法的计算机***的框图。图9示出的计算机***仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。

如图9所示，根据本公开实施例的计算机***900包括处理器901，其可以根据存储在只读存储器(ROM)902中的程序或者从存储部分908加载到随机访问存储器(RAM)903中的程序而执行各种适当的动作和处理。处理器901例如可以包括通用微处理器(例如CPU)、指令集处理器和/或相关芯片组和/或专用微处理器(例如，专用集成电路(ASIC))，等等。处理器901还可以包括用于缓存用途的板载存储器。处理器901可以包括用于执行根据本公开实施例的方法流程的不同动作的单一处理单元或者是多个处理单元。

在RAM 903中，存储有***900操作所需的各种程序和数据。处理器901、ROM 902以及RAM 903通过总线904彼此相连。处理器901通过执行ROM 902和/或RAM 903中的程序来执行根据本公开实施例的方法流程的各种操作。需要注意，所述程序也可以存储在除ROM 902和RAM 903以外的一个或多个存储器中。处理器901也可以通过执行存储在所述一个或多个存储器中的程序来执行根据本公开实施例的方法流程的各种操作。

根据本公开的实施例，***900还可以包括输入/输出(I/O)接口905，输入/输出(I/O)接口905也连接至总线904。***900还可以包括连接至I/O接口905的以下部件中的一项或多项：包括键盘、鼠标等的输入部分906；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分907；包括硬盘等的存储部分908；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分909。通信部分909经由诸如因特网的网络执行通信处理。驱动器910也根据需要连接至I/O接口905。可拆卸介质911，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器910上，以便于从其上读出的计算机程序根据需要被安装入存储部分908。

根据本公开的实施例，根据本公开实施例的方法流程可以被实现为计算机软件程序。例如，本公开的实施例包括一种计算机程序产品，其包括承载在计算机可读存储介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分909从网络上被下载和安装，和/或从可拆卸介质911被安装。在该计算机程序被处理器901执行时，执行本公开实施例的***中限定的上述功能。根据本公开的实施例，上文描述的***、设备、装置、模块、单元等可以通过计算机程序模块来实现。

本公开还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中描述的设备/装置/***中所包含的；也可以是单独存在，而未装配入该设备/装置/***中。上述计算机可读存储介质承载有一个或者多个程序，当上述一个或者多个程序被执行时，实现根据本公开实施例的方法。

根据本公开的实施例，计算机可读存储介质可以是非易失性的计算机可读存储介质，例如可以包括但不限于：便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行***、装置或者器件使用或者与其结合使用。例如，根据本公开的实施例，计算机可读存储介质可以包括上文描述的ROM 902和/或RAM 903和/或ROM 902和RAM 903以外的一个或多个存储器。

附图中的流程图和框图，图示了按照本公开各种实施例的***、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的***来实现，或者可以用专用硬件与计算机指令的组合来实现。

本领域技术人员可以理解，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合，即使这样的组合或结合没有明确记载于本公开中。特别地，在不脱离本公开精神和教导的情况下，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合。所有这些组合和/或结合均落入本公开的范围。

以上对本公开的实施例进行了描述。但是，这些实施例仅仅是为了说明的目的，而并非为了限制本公开的范围。尽管在以上分别描述了各实施例，但是这并不意味着各个实施例中的措施不能有利地结合使用。本公开的范围由所附权利要求及其等同物限定。不脱离本公开的范围，本领域技术人员可以做出多种替代和修改，这些替代和修改都应落在本公开的范围之内。

Claims (16)

1.一种用于中间***的数据传输控制方法，所述中间***与服务端部署于第一网络，所述方法包括：

拦截来自部署于第二网络的客户端的请求数据，所述请求数据包括来源标识；

确定所述来源标识是否符合第一过滤条件；以及

在所述来源标识不符合第一过滤条件且所述请求数据携带解密标识的情况下，对所述请求数据的加密报文体进行解密，以便得到明文请求数据，并经由所述第一网络将所述明文请求数据发送至所述服务端。

2.根据权利要求1所述的方法，还包括：

在所述来源标识符合第一过滤条件的情况下，经由所述第一网络将所述请求数据发送至所述服务端。

3.根据权利要求1所述的方法，还包括：

在所述来源标识不符合第一过滤条件且所述请求数据未携带解密标识的情况下，经由所述第一网络将所述请求数据发送至所述服务端。

4.根据权利要求1所述的方法，其中，所述确定所述来源标识是否符合第一过滤条件包括：

获取所述请求数据的请求URI，所述请求URI作为所述来源标识；

将所述请求URI与预置的过滤排除名单进行匹配；以及

如果匹配成功，则确定所述请求数据的来源标识符合第一过滤条件。

5.根据权利要求1所述的方法，还包括：

在所述来源标识不符合第一过滤条件且所述请求数据携带解密标识的情况下，确定所述解密标识的取值是否为预定字符串；以及

如果是，则对所述请求数据携带的cookie数据进行解密，以便得到明文cookie数据；

所述经由所述第一网络将所述明文请求数据发送至所述服务端包括：经由所述第一网络将携带所述明文cookie数据的所述明文请求数据发送至所述服务端。

6.根据权利要求1所述的方法，还包括：

确定所述请求数据的报文头中是否存在所述解密标识；以及

如果是，则确定所述请求数据携带所述解密标识。

7.根据权利要求1所述的方法，还包括：

接收来自所述服务端的响应数据，所述响应数据包括目的地标识；

确定所述目的地标识是否符合第二过滤条件；以及

在所述目的地标识不符合第二过滤条件的情况下，对所述响应数据的报文体进行加密，以便得到包含加密报文体的响应数据，并将所述包含加密报文体的响应数据发送至所述客户端。

8.根据权利要求7所述的方法，还包括：在所述目的地标识符合第二过滤条件的情况下，将所述响应数据发送至符合所述目的地标识的客户端。

9.根据权利要求7所述的方法，还包括：

在所述目的地标识不符合第二过滤条件的情况下，在所述包含加密报文体的响应数据中添加加密标识。

10.根据权利要求9所述的方法，还包括：在目的地标识不符合第二过滤条件的情况下，对所述响应数据携带的cookie数据进行加密，以便得到加密cookie数据；

所述在所述包含加密报文体的响应数据中添加加密标识包括：在所述响应数据的报文头中添加所述加密标识，并设置所述加密标识的取值为预定字符串；

所述将所述包含加密报文体的响应数据发送至所述客户端包括：将携带所述加密cookie数据且包含加密报文体的响应数据发送至所述客户端。

11.一种用于客户端的数据传输控制方法，所述客户端部署于第二网络，所述方法包括：

确定所述客户端是否符合第一过滤条件；

在所述客户端不符合第一过滤条件的情况下，确定请求数据的报文体是否符合第一加密条件；

如果是，则对请求数据的报文体进行加密，并在所述请求数据中添加解密标识，以便得到包含加密报文体且携带解密标识的密文请求数据；以及

将所述密文请求数据发送至部署于第一网络的中间***，由所述中间***基于所述解密标识对所述密文请求数据进行解密以得到明文请求数据，并由所述中间***将所述明文请求数据发送至部署于第一网络的服务端。

12.根据权利要求11所述的方法，还包括：

在确定请求数据的报文体符合第一加密条件的情况下，确定请求数据携带的cookie数据是否符合第二加密条件；以及

如果是，对所述密文请求数据携带的cookie数据进行加密，以便得到加密cookie数据，并设置所述解密标识的取值为预定字符串；

所述将所述密文请求数据发送至部署于第一网络的中间***包括：将携带所述加密cookie数据的密文请求数据发送至所述中间***。

13.一种用于中间***的数据传输控制装置，所述中间***与服务端部署于第一网络，所述装置包括：

拦截模块，用于拦截来自部署于第二网络的客户端的请求数据，所述请求数据包括来源标识；

确定模块，用于确定所述来源标识是否符合第一过滤条件；以及

处理模块，用于在所述来源标识不符合第一过滤条件且所述请求数据携带解密标识的情况下，对所述请求数据的加密报文体进行解密，以便得到明文请求数据，并经由所述第一网络将所述明文请求数据发送至所述服务端。

14.一种用于客户端的数据传输控制装置，所述客户端部署于第二网络，所述装置包括：

第一判定模块，用于确定所述客户端是否符合第一过滤条件；

第二判定模块，用于在所述客户端不符合第一过滤条件的情况下，确定请求数据的报文体是否符合第一加密条件；

加密模块，用于在所述报文体符合第一加密条件的情况下，对请求数据的报文体进行加密，并在所述请求数据中添加解密标识，以便得到包含加密报文体且携带解密标识的密文请求数据；以及

发送模块，用于将所述密文请求数据发送至部署于第一网络的中间***，由所述中间***基于所述解密标识对所述密文请求数据进行解密以得到明文请求数据，并由所述中间***将所述明文请求数据发送至部署于第一网络的服务端。

15.一种计算机***，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现：

如权利要求1～12中任一项所述的方法。

16.一种计算机可读存储介质，其上存储有可执行指令，该指令被处理器执行时使处理器执行：

如权利要求1～12中任一项所述的方法。

Images