在很多對安全性要求較高的專案中，需要提供至少一種對整個專案的安全控制方案，常用的比如身份認證、訪問控制、安全審計等等。由於設計不合理而導致的安全問題可能會給專案帶來非常大的隱患，正是因為如此，安全問題也得到了廣大web專案開發者的重視，尤其是在電子政務和電子商務的開發中，更是需要提供一定層次上的安全性要求。
本文的重點在於實現一種防止惡意重新整理頁面的方法，筆者在實現該功能時，查找了很多資料並且進行了多次討論協商，提出了這種針對特定需求的，獨立性較高的方案。

    下面，我們來具體說一下客戶的需求。
     該功能是在某電子政務的安全審計子系統中要求實現的一個功能，因為安全審計子系統涉及多方面的內容，包括外網訪問日誌，專網和內網辦公日誌，

資料庫操作日誌等等的控制和查詢等等，通過這些功能，可以提供給管理員各種介面，從而可以檢視系統的使用狀況，並對誤操作或者惡意操作進行有效追蹤和審計。而外網作為電子政務的門戶，是為廣大公眾提供訪問的介面，那麼保證其正常瀏覽是作為電子政務系統中不可或缺的功能需求，因此，實現防止惡意重新整理的功能便是提供良好功能保障的眾多手段中的一種。

    這裡所說的惡意重新整理並不是指網路上通常所指的如何通過javascript指令碼來遮蔽F5鍵等方案，而是通過過濾機制，由程式實現的一種對某次會話中的惡意訪問的控制，該方案中制定的規則是：來自某一客戶的訪問如果在10秒中內超過10次則被假設為惡意訪問。這樣的方案也是比較合理的，既避免了惡意使用者使用F5鍵來頻繁重新整理某一固定頁面，也防止了使用者漫無目的地亂點頁面。同時，該方案還提供了輔助功能，在規則設定方面比較靈活，預設為10次/10秒，這兩個引數是可以通過程式來設定的；在惡意控制方面，如果使用者的訪問違反了該規則，則通過過濾器機制提取該使用者的IP地址，將其置為拒絕提供服務的IP列表中，將拒絕再次為來自該IP的請求提供服務。
    下面，我們來具體說明一下該方案的實現方法。
    首先，從整個方案的實施體系來講，我們提取出如下的控制流程。

從上圖可以看出，來自客戶端的請求首先要經過IP過濾器的過濾，只有不在惡意IP列表中的IP地址的請求才有可能被響應，然後還要經過惡意重新整理過濾器的驗證才能得到伺服器的最終響應。如果該IP在10秒內連續請求的次數達到了10次，那麼，它將被記入到惡意IP列表中，將不會通過IP過濾器的驗證，不會得到伺服器的響應，從而，我們就實現了對惡意使用者的過濾。當然，通過IP過濾器的作用，我們還可以將某些IP直接列入黑名單中，比如某些具有攻擊性的網站的IP地址或者曾經通過網路入侵檢測軟體的診斷，將危險IP也加入黑名單，這樣，可以提高我們的應用的安全性和可用性。

    接下來，我們通過程式碼來看一下如何具體實現我們的功能。通過上面的流程圖，我們可以清晰看到，在應用中，我們配置了兩個過濾器（關於過濾器的原理和實現，請讀者參考相關資料），當然，我們也可以將其寫在一個過濾器的doFilter()方法中。
本文方案的實現中採用了兩個過濾器，下面我們來簡單看一下IP過濾器。以下是具體的程式碼實現，通過程式碼中的註釋，可以清楚看到我們的實現思路。

從上圖可以看出，來自客戶端的請求首先要經過IP過濾器的過濾，只有不在惡意IP列表中的IP地址的請求才有可能被響應，然後還要經過惡意重新整理過濾器的驗證才能得到伺服器的最終響應。如果該IP在10秒內連續請求的次數達到了10次，那麼，它將被記入到惡意IP列表中，將不會通過IP過濾器的驗證，不會得到伺服器的響應，從而，我們就實現了對惡意使用者的過濾。當然，通過IP過濾器的作用，我們還可以將某些IP直接列入黑名單中，比如某些具有攻擊性的網站的IP地址或者曾經通過網路入侵檢測軟體的診斷，將危險IP也加入黑名單，這樣，可以提高我們的應用的安全性和可用性。

    接下來，我們通過程式碼來看一下如何具體實現我們的功能。通過上面的流程圖，我們可以清晰看到，在應用中，我們配置了兩個過濾器（關於過濾器的原理和實現，請讀者參考相關資料），當然，我們也可以將其寫在一個過濾器的doFilter()方法中。
本文方案的實現中採用了兩個過濾器，下面我們來簡單看一下IP過濾器。以下是具體的程式碼實現，通過程式碼中的註釋，可以清楚看到我們的實現思路。

HttpServletRequest req = (HttpServletRequest)request; HttpServletResponse res = (HttpServletResponse)response; String ip = request.getRemoteAddr(); //得到客戶端IP地址 if(!req.getRequestURI().toUpperCase().equals("ERR.JSP")) ...{ IP ipControl = new IP(); //生成一個IP類的事例 try ...{ // getDangerousIP(ip)將查詢指定IP是否在IP黑名單的資料庫中 if((ip != null )&&(ipControl.getDangerousIP(ip) !=0)) ...{ res.sendRedirect("/err.jsp?errmsg=ip"); } else ...{ //如果該IP安全，則繼續執行 chain.doFilter(request, response); } } catch (ServletException ex) ...{ ex.printStackTrace(); } catch (IOException ex) ...{ ex.printStackTrace(); } catch (Exception ex) ...{ ex.printStackTrace(); } finally...{ ipControl.closeConn();//關閉資料庫連線 } 下面，我們來著重討論如何實現惡意重新整理的過濾器。因為我們的需求是在任何的10秒中記錄請求數而不是在以10秒為一個時間段，那麼就需要保證時間的連續性，鑑於此需求，我們需要儲存使用者連續10次請求的時間，如果其最後一次的請求時間與第一次的時間差小於10秒並且次數已經達到10次，則違背設定規則，我們設計了下面的類來儲存使用者的訪問時間序列。

public class ArrayTime ...{ private long[] time; private int length = 10; //預設為十次（10s內重新整理10次則違反規則） public ArrayTime() ...{ } public void init() ...{ time = new long[length]; } public int getLength() ...{ return this.length; } public void setLength(int len) ...{ this.length = len; } public long getLast() ...{ return this.time[length-1]; } public long getFirst() ...{ return this.time[0]; } public long getElement(int i) ...{ return time[i]; } public void insert(long nextTime) ...{ if (this.getLast() != 0)//陣列已經滿了 ...{ //去掉首元素，將陣列元素順序前移，nextTime插到最後 for(int i = 0 ;i < this.length-1;i++) ...{ time[i] = time[i+1]; } this.time[length-1] = nextTime; } else ...{ //插到下一個，不用排序 int j=0; while(time[j] != 0) ...{ j++; } time[j] = nextTime; } } }  這裡要注意的是，因為我們為管理員提供了規則設定的介面，所以儲存時間序列的陣列長度是可設定的。下面是來自客戶端的訪問者類的實現：
public class Visitor ...{ /**//* Creates a new instance of Visitor *外網訪問者，以sessionID作為標識 *違反訪問規則將其IP列為受限IP，拒絕訪問 */ private String sessionID = null; private ArrayTime requestTimeQueue= new ArrayTime(); public Visitor() ...{ } public void setSessionID(String sessionID) ...{ this.sessionID = sessionID; } public String getSessionID() ...{ return this.sessionID; } public void setRequestTimeQueue(ArrayTime requestTimeQueue) ...{ this.requestTimeQueue = requestTimeQueue; } public ArrayTime getRequestTimeQueue() ...{ return this.requestTimeQueue; } }     該類中採用了訪問者的會話ID來標識來自客戶端的請求，讀者可以很方便地修改該標識，比如修改為註冊會員的使用者名稱，這樣，就可以實現對會員的惡意訪問的遮蔽，同時這樣的好處還在於，可以屏棄對session和cookies的依賴，因為如果使用者瀏覽器如果禁用cookie，通常利用session和cookies實現的惡意重新整理就失去了作用。雖然，我們這樣做也可能是一種消耗記憶體的方式，但是，的確是一種值得采用並進行優化的折中方案。
最後，也是最關鍵的就是我們如何來通過過濾器實現對惡意使用者的請求進行遮蔽。下面是該過濾器的doFliter()方法的核心部分的實現。
//---------------防止惡意重新整理的過濾器-------- HttpServletRequest req = (HttpServletRequest)request; HttpServletResponse res = (HttpServletResponse)response; String sessionID = ((HttpServletRequest)request).getSession().getId();//會話ID Date now =new Date(); Visitor vis = (Visitor) visitors.get(sessionID);//通過sessionID查詢訪問者， if(vis!= null)//找到訪問者，則說明該使用者為再次訪問 ...{ //小於10秒，但訪問超過10次 vis.getRequestTimeQueue().insert(now.getTime());//插入當前請求時間 //得到最後一次和第一次的訪問時間差 Long span = vis.getRequestTimeQueue().getLast() - vis.getRequestTimeQueue().getFirst(); if(span < interval && vis.getRequestTimeQueue().getLast() != 0) ...{ //將該使用者加入黑名單 IP ip = new IP(); ip.setIP(request.getRemoteAddr()); //得到當前時間 Calendar cal = Calendar.getInstance(); SimpleDateFormat formatter = new SimpleDateFormat("yyyy-MM-dd HH:mm:ss"); String time=formatter.format(cal.getTime()); ip.setComments("重新整理太快，IP已經被封鎖"); try ...{ ip.insertIP(); res.sendRedirect("err.jsp?errmsg=refresh"); return; }catch(Exception e) ...{ e.printStackTrace(); }finally...{ ip.closeConn();} } } else ...{ //當前訪問者為初次訪問 ArrayTime timeQueue = new ArrayTime(); timeQueue.setLength(maxCount); timeQueue.init(); vis=new Visitor(); vis.setSessionID(sessionID); vis.setRequestTimeQueue(timeQueue); vis.getRequestTimeQueue().insert(now.getTime()); visitors.put(sessionID,vis); }     本文中的實現方案為管理員提供了靈活的介面，可以根據實際需要設定相應規則，重新整理過濾器中的兩個引數都是可設定的，比如：
//以下兩個值可從檔案或資料庫設定，從而達到引數的可設定 private static long interval= GlobalConfig.getInt("refresh.interval",10000); //預設10秒鐘 private static int maxCount = GlobalConfig.getInt("refresh.count",10);//預設最大訪問次數    該方案的實現中採用了儲存時間序列的方案，而這樣，就要在記憶體中開闢一個可變可控的陣列，在一定程度上浪費了資源，但是，也提供了在保證連續時間下防止惡意重新整理的功能，並且可以屏棄對session和cookies的依賴，達到完全的可自控，保證了有效性。同時，提供了IP過濾機制來保證功能體系的完善和有效，目前該方案在專案中應用良好。如果讀者對此有更加適合的解