关键字匹配方法及装置与流程

本发明涉及数据解析技术领域，具体而言，涉及一种关键字匹配方法及装置。

背景技术：

随着网络的日益普及，利用网络实施犯罪的新型网络违法与行为也随之增多。

网络安全审计系统用于为互联网行为提供有效的行为审计、内容审计等相关审计功能，以实现从管理上为互联网提供有效监督、预防、制止数据泄密，并提供完整的上网记录，便于信息追踪，系统安全管理和防范。在实际的网络环境中，大多数的业务流量都是http协议(hypertexttransferprotocol,超文本传输协议)，因此http协议的解析对于审计系统显得尤为重要。但在现有的http协议解析中，其通过将解析得到的关键字字符串与数据库中数据一一比对，从而实现网络安全审计，但该方式运算量大，对设备的硬软件要求高，导致其实际应用受到限制。

技术实现要素：

有鉴于此，本发明的目的在于提供一种关键字匹配方法及装置，其能够有效改善上述问题。

本发明实施例的实现方式如下：

第一方面，本发明实施例提供了一种关键字匹配方法。所述方法包括：解析流量数据，获取所述流量数据中的待测关键字；判断所述待测关键字中的多个字符是否均对应在预先设定的目标字典树的一分支中，在为是时，获取所述流量数据中与所述待测关键字对应的数据信息，其中，所述分支包括多个节点，每个所述节点对应一所述字符。

第二方面，本发明实施例提供了一种关键字匹配装置。所述装置包括：解析获取模块，用于解析流量数据，获取所述流量数据中的待测关键字。匹配处理模块，用于判断所述待测关键字中的多个字符是否均对应在预先设定的目标字典树的一分支中，在为是时，获取所述流量数据中与所述待测关键字对应的数据信息。

本发明实施例的有益效果是：

通过将获取的待测关键字与预先设置的字典树匹配，并判断该待测关键字是否对应在目标字典树的一分支中，在为是时，则获取流量数据中与待测关键字对应的数据信息，进而通过获取的数据信息实现网络安全审计。因此，通过字典树中每个节点与其他节点建立链接的导向功能，避免了待测关键字的逐一匹配，极大的降低了运算，同时也降低了对设备的硬软件要求，使得其实际应用不再受限。

本发明的其他特征和优点将在随后的说明书阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明实施例而了解。本发明的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。通过附图所示，本发明的上述及其余目的、特征和优势将更加清晰。在全部附图中相同的附图标记指示相同的部分。并未刻意按实际尺寸等比例缩放绘制附图，重点在于示出本发明的主旨。

图1示出了本发明实施例提供的一种关键字匹配系统的结构框图；

图2示出了本发明第一实施例提供的一种关键字匹配方法的第一流程图；

图3示出了本发明第一实施例提供的一种关键字匹配方法的第一流程图中步骤s200的方法子流程图；

图4示出了本发明第一实施例提供的一种关键字匹配方法的第二流程图；

图5示出了本发明第一实施例提供的一种关键字匹配方法的第二流程图中步骤s500的方法子流程图；

图6示出了本发明第二实施例提供的一种关键字匹配装置的第一结构框图；

图7示出了本发明第二实施例提供的一种关键字匹配装置的第一结构框图中模型建立模块的结构框图；

图8示出了本发明第二实施例提供的一种关键字匹配装置的第二结构框图；

图9示出了本发明第二实施例提供的一种关键字匹配装置的第二结构框图中匹配处理模块的结构框图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本发明实施例的组件可以以各种不同的配置来布置和设计。

因此，以下对在附图中提供的本发明的实施例的详细描述并非旨在限制要求保护的本发明的范围，而是仅仅表示本发明的选定实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。术语“第一”、“第二”等仅用于区分描述，而不能理解为指示或暗示相对重要性。

在本发明的描述中，还需要说明的是，除非另有明确的规定和限定，术语“设置”、“安装”、“相连”、“连接”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明中的具体含义。

请参阅图1，图1是关键字匹配系统10的方框示意图。所述关键字匹配系统10包括：关键字匹配装置、存储器101、存储控制器102、处理器103、外设接口104、输入输出单元105、显示单元106。

所述存储器101、存储控制器102、处理器103、外设接口104、输入输出单元105、显示单元106，各元件相互之间直接或间接地电性连接，以实现数据的传输或交互。例如，这些元件相互之间可通过一条或多条通讯总线或信号线实现电性连接。所述弹幕数据展示装置包括至少一个可以软件或固件(firmware)的形式存储于所述存储器中或固化在所述关键字匹配系统10的操作系统中的软件功能模块。所述处理器103用于执行存储器101中存储的可执行模块，例如所述关键字匹配装置包括的软件功能模块或计算机程序。

其中，存储器101可以是，但不限于，随机存取存储器(randomaccessmemory，ram)，只读存储器(readonlymemory，rom)，可编程只读存储器(programmableread-onlymemory，prom)，可擦除只读存储器(erasableprogrammableread-onlymemory，eprom)，电可擦除只读存储器(electricerasableprogrammableread-onlymemory，eeprom)等。其中，存储器101用于存储程序，所述处理器103在接收到执行指令后，执行所述程序，后续本发明实施例任一实施例揭示的过程定义的关键字匹配系统10所执行的方法可以应用于处理器103中，或者由处理器103实现。

处理器103可以是一种集成电路芯片，具有信号的处理能力。上述的处理器可以是通用处理器，包括中央处理器(centralprocessingunit，简称cpu)、网络处理器(networkprocessor，简称np)等；还可以是数字信号处理器(dsp)、专用集成电路(asic)、现成可编程门阵列(fpga)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件，可以实现或者执行本发明实施例中的公开的各方法、步骤及逻辑框图。通用处理器103可以是微处理器或者该处理器也可以是任何常规的处理器等。

所述外设接口104将各种输入输出单元105耦合至处理器103以及存储器101。在一些实施例中，外设接口，处理器以及存储控制器可以在单个芯片中实现。在其他一些实例中，他们可以分别由独立的芯片实现。

输入输出单元105用于提供给用户输入数据实现用户与数据采集终端的交互。所述输入输出单元可以是，但不限于，鼠标和键盘等。

显示单元106在所述移动终端与用户之间提供一个交互界面，例如用户操作界面，或用于显示图像数据给用户参考。在本实施例中，所述显示单元可以是液晶显示器或触控显示器。若为触控显示器，其可为支持单点和多点触控操作的电容式触控屏或电阻式触控屏等。支持单点和多点触控操作是指触控显示器能感应到来自该触控显示器上一个或多个位置处同时产生的触控操作，并将该感应到的触控操作交由处理器进行计算和处理。

第一实施例

在本实施例中，在实现通过对基于http协议的流量数据进行解析，以得到关键字，并对关键字进行匹配以实现网络安全审计时，其需要预先在关键字匹配系统中建立关键字匹配所需的数据库。

请参阅图2，本发明第一实施例提供了一种关键字匹配方法，该关键字匹配方法应用于关键字匹配系统，该关键字匹配方法包括：步骤s100、步骤s200和步骤s300。

步骤s100：获取并解析多个预存关键字。

在建立数据库时，关键字匹配系统首先需要获取多个预存关键字。获取多个预存关键字的方式可以为操作人员将多个预存关键字存储到关键字匹配系统，但并不限定。之后，关键字匹配系统再基于操作人员的操作建立每个预存关键字与回调函数之间的对应关系。本实施例中，回调函数用于调用函数来实现网络安全审计。再进一步的，关键字匹配系统再在内存中分配一定的存储空间，以用于存储之后建立的至少一个字典树。

为便于建立至少一个字典树，关键字匹配系统对获取的多个预存关键字进行解析，按照预先设定的解析格式解析每个预存关键字，以将每个预存关键字转换为关键字匹配系统可识别的结构体进行存储。

此外，为便于获取的多个预存关键字为基于http协议的预存关键字，本实施例中，关键字匹配系统中可预先设置一个第一判断标准，即判断预存关键字的配置信息格式头是否为http字符串标识头，在为是时，则将该预存关键字保留，在为否时，则将该预存关键字跳过。进而最终得到的多个预存关键字均为基于http协议的预存关键字。

步骤s200：根据所述多个预存关键字，按预设规则建立至少一个字典树，其中，所述预设规则为每个所述字典树的一分支中，该所述分支中的多个所述节点与一所述预存关键字中多个字符对应。

将多个预存关键字解析并存储后，关键字匹配系统则可按照预设规则根据多个预存关键字建立至少一个字典树。具体的，每个预存关键字内均包含了多个字符，多个字符按照一定顺序依次排列，其中，每个预存关键字中，排列最靠前字符的为该预存关键字内的首字符。在按照预设规则建立至少一个字典树的过程中，针对每个预存关键字，关键字匹配系统将以预存关键字中的首字符为根节点建立对应该预存关键字的一字典树，并判断该预存关键字的首字符是否与其余的预存关键字的首字符相同。在判定为否时，则该预存关键字建立的一字典树无需在更改。在判定为是时，关键字匹配系统则将首字符相同的至少两个预存关键字所对应的字典树进行组合，即将两个字典树进行组合，以获得组合后的字典数。通过上述的预设规则，关键字匹配则能够建立至少一个字典树。

需要说明的是，字典树包括了多个节点，位于字典树的树根处的节点可以为根节点，其余节点可以为子节点或子节点的分支节点。字典树的根节点对应至少一个预存关键字中的首字符。字典树中的每个子节点与根节点具有链接关系，子节点的分支节点与根节点具有链接关系，或者子节点与子节点也具有链接关系，或者子节点与子节点的分支节点也具有链接关系。字典数的一个分支由具备链接关系的一根节点和至少一个子节点构成，每个分支均对应表示一预存关键字，而每个分支中的根节点对应表示一预存关键字中的首字符，而每个分支中的至少一个子节点则对应表示一预存关键字中除了首字符的其余字符，且至少一个子节点在该字典数中的指向顺序也与其余字符在该预存关键字中的排列顺序相同。

步骤s300：将所述至少一个字典树存储。

关键字匹配系统在建立至少一个字典树之后，则可认为建立了用于后续匹配的数据库，进而将该至少一个字典树存储到内存中，以便于后续流程的执行。

也需要说明的是，建立并存储至少一个字典树的数据库的流程在执行之后，后续匹配的过程调用存储的至少一个字典树即可，其无需再执行该建立并存储至少一个字典树的数据库的流程。

请参阅图3，本发明第一实施例提供了一种关键字匹配方法中，步骤s200的方法子流程包括：步骤210和步骤220。

步骤210：针对每个所述预存关键字，获取所述预存关键字的多个所述字符中的首字符。

关键字匹配系统在根据存储的多个预存关键字建立至少一个字典树时，关键字匹配系统在根据多个预存关键字的存储顺序处理每个预存关键字时，关键字匹配系统首先获取该预存关键字的多个所述字符中的首字符。例如，存储顺序为预存关键字1、预存关键字2，预存关键字1的字符为：abc，预存关键字2的字符为：cde。则关键字匹配系统处理到预存关键字2，首先获取预存关键字2的首字符c。

步骤220：针对每个所述预存关键字，判断是否存在所述字符与所述预存关键字中的首字符相同的一目标预存关键字，在为否时，按所述预存关键字的所述多个字符的排列顺序建立对应的一所述字典树，在为是时，将所述预存关键字的所述多个字符按排列顺序，组合到所述目标预存关键字的所述多个字符按排列顺序建立对应的一目标字典树中，获得组合后的所述字典树，以使组合后的所述字典树中每个所述分支均对应一所述预存关键字。

为减小字典树在存储时的所占空间，以及减小运算量，本实施例中，可对字典树进行组合。在针对每个预存关键字，建立每个预存关键字对应一字典树时，关键字匹配系统需要判断该字典树是否可以组合。

本实施例中，由于对每个预存关键字的建立对应的字典树的先后顺序是按照各预存关键字的存储顺序，进而关键字匹配系统判定该当前预存关键字的是否存在可组合预存关键字时，该可组合预存关键字是之前已经建立对应的字典树的预存关键字。进而关键字匹配系统将该当前预存关键字对应的字典树组合到之前的字典树中时，即是对之前的字典树的更新。

在具体的判断处理过程中，关键字匹配系统判断预存关键字中的首字符是否与其余预存关键字中的任意首字符相同。在判定为否时，则可认为该预存关键字可建立对应的一独立的字典树。例如，多个预存关键字中，预存关键字1为：abc，a为首字符，预存关键字2为：fre。关键字匹配系统首先基于预存关键字1建立一独立的字典树a→b→c，并通过进一步的判断，再基于预存关键字2建立一独立的字典树f→r→e。

在判定为是时，将之前可组合一预存关键字作为目标预存关键字，并将当前预存关键字的多个字符按排列顺序组合到该目标预存关键字的多个字符按排列顺序建立的一对应的目标字典树中，以获取组合更新后的字典树。并在该预存关键字组合结束后返回一个第一标识数据段以告知该预存关键字组合结束。其中，该组合更新的字典树中的每一分支均对应一预存关键字。具体的，关键字匹配系统首先按目标预存关键字的字符顺序分析该目标预存关键字是哪一个字符与预存关键字中的首字符相同，确定之后，再将预存关键字的多个字符按顺序组合到目标字典树中。

例如，预存关键字1为：abcd，预存关键字2为：bcf。关键字匹配系统首先已经建立预存关键字1对应的字典树a→b→c→d，该字典树的a作为一根节点。通过进一步的判断，预存关键字2的首字符b与预存关键字1的首字符a不同，则按照预存关键字2的字符顺序创建b→c→f节点，同时将b字符在字典树中对应的节点作为预存关键字2的根节点。

又例如，预存关键字1为：abcd，预存关键字2为：abcf。关键字匹配系统首先已经建立预存关键字1对应的字典树a→b→c→d，该字典树的a作为一根节点。通过判断，判定预存关键字2的首字符a与预存关键字1首字符a大小相同，为同样的重复字符，则关键字匹配系统认为可将预存关键字1和预存关键字2组合建立一字典树。由于预存关键字1的首字符为a，而预存关键字2的首字符也为a，则该字典树的a仍作为一根节点。之后，预存关键字2的字符b与预存关键字1的字符b大小相同，为同样的重复字符，并将b跳过。之后，关键字匹配系统进一步判断预存关键字2的字符c与预存关键字1的c字符大小相同，为同样的重复字符，并也将c跳过。之后，关键字匹配系统判断预存关键字2的字符d与预存关键字1的f字符大小不相同，为不同的字符，进而按照预存关键字2的字符顺序将f作为d节点的分支节点跟在cd后面，即f为子节点的分支节点。之后，关键字匹配系统检测到f之后没有数据了，故返回一个第一标识数据段以告知预存关键字2的处理结束。进而预存关键字1和预存关键字2组合形成的一字典数为：a→b→c→d→f。其中，该字典数的分支1为a→b→c→d，其对应预存关键字1，并且a→b，b→c，c→d之间的连接关系为子节点关系；分支2为a→b→c→d→f，其对应预存关键字2并且a→b，b→c，c→d之间的连接关系为子节点关系，d→f之间的连接关系为分支节点关系。

请参阅图4，本发明第一实施例提供了一种关键字匹配方法中，该关键字匹配方法的方法流程还包括：步骤400和步骤500。

步骤400：解析流量数据，获取所述流量数据中的待测关键字。

在解析流量数据之前，需要先获取该流量数据中所对应的流量数据。具体的，关键字匹配系统可采用使用libpcap软件包进行流量数据捕获。此外，为保证获取的流量数据为基于http协议的流量数据，关键字匹配系统可通过设置抓包时的过滤端口，只获取指定端口的流量数据，进而通过限制端口使得获取的流量数据为http协议的流量数据。其中，该端口可以为80端口，但并不限定。在获取到流量数据后，关键字匹配系统可对该流量数据执行tcp重组，以避免流量数据中的数据混乱。之后，关键字匹配系统基于http协议的解析规则解析该流量数据，以根据流程数据的数据格式将流量数据中的待测关键字解析出来。可以理解到，所获取的待测关键字可以为多个，本实施例将针对其中任意一个待测关键字做详细说明。

此外，为便于获取的多个待测关键字为基于http协议的待测关键字，本实施例中，关键字匹配系统中预先设置了一个第一判断标准，即判断待测关键字的配置信息格式头是否为http字符串标识头，在为是时，则将该待测关键字保留，在为否时，则将该待测关键字跳过。进而最终得到的多个待测关键字为基于http协议的待测关键字。

步骤500：判断所述待测关键字中的多个字符是否均对应在预先设定的目标字典树的一分支中，在为是时，获取所述流量数据中与所述待测关键字对应的数据信息，其中，所述分支包括多个节点，每个所述节点对应一所述字符。

获取到待测关键字后，关键字匹配则需要判断该待测关键字是否与预先设定的目标字典树匹配。本实施例中，待测关键字也包括了多个字符，多个字符按顺序排列构成该待测关键字，其中，位于多个字符首端的字符则为该多个字符中的首字符。若该待测关键字与目标字典树匹配，则待测关键字应当对应在该目标字典树中。由于目标字典树包括了至少一个分支，且每个分支均多个节点构成，即由根节点和至少一个子节点构成，存在匹配时，则该待测关键字的每个字符均与一节点对应匹配，即该待测关键字的首字符与一分支的根节点对应匹配，首字符之后的每一字符也均与分支中对应的一子节点或子节点的分支节点匹配，且该待测关键字的字符顺序也与一分支中节点的顺序对应。

当关键字匹配系统判定待测关键字的首字符和首字符之后的每一字符均对应匹配在一分支中，且该待测关键字多个字符的顺序也与一分支中子节点或节点的分支节点的顺序对应时，关键字匹配系统则判定匹配。之后，关键字匹配系统调用函数，在流量数据中获取到与该待测关键字的数据格式匹配的数据信息，进而操作人员根据该数据信息的内容则可对应的进行网络安全审计。

当关键字匹配系统判定待测关键字中由任意一个字符与目标字典树中的所有分支均不对应时，则关键字匹配系统则判定不匹配，进而将该待测关键字抛掉。

请参阅图5，本发明第一实施例提供了一种关键字匹配方法中，步骤s500的方法子流程包括：步骤s510、步骤s520和步骤s530。

步骤s510：按所述待测关键字中多个所述字符的排列顺序，获取所述待测关键字中的首字符。

关键字匹配系统获取到待测关键字后，关键字匹配系统根据该待测关键字中多个字符的排列顺序，则能够获取待测关键字中位于多个字符首端的首字符。例如，待测关键字为abc，则关键字匹配系统能够获取到待测关键字中的首字符a。

步骤s520：判断所述首字符是否与预先设定的至少一个字典树中的一字典树对应，在为是时，将所述字典树作为所述目标字典树。

本实施例中，关键字匹配系统中预先存储了至少一个字典树，且每个字典树的根节点与其余字典树的根节点均不相同。为减小匹配时的运算量，关键字匹配系统在获取首字符后，首先根据该首字符去至少一个字典树中确定出根节点与该首字符匹配的字典树。当通过一一匹配，在至少一个字典树没有查找到根节点与该首字符匹配的字典树时，则关键字匹配系统判定该待测关键字不匹配，继而将该待测关键字抛掉。当通过一一匹配，在至少一个字典树查找到根节点与该首字符匹配的目标字典树时，则通过一一匹配，在至少一个字典树没有查找到根节点与该首字符匹配的字典树时，关键字匹配系统则判定该待测关键字可在该根节点匹配的字典树中作进一步的匹配，进而将该字典树作为目标字典树，以便于后续流程的执行。

可以理解到，通过上述的匹配，当一待测关键字的首字符都不匹配时，则说明该待测关键字没有必要再进行后续匹配，进而减少了运算量。

步骤s530：判断所述待测关键字中所述首字符之后的每个所述字符是否均对应在所述目标字典树的一分支中，在为是时，获取所述流量数据中与所述待测关键字对应的所述数据信息。

获取到目标字典树后，关键字匹配系统在该目标字典树对该待测关键字进行进一步的匹配，以判断该待测关键字中在首字符之后的每一字符是否均对应在该目标字典树中。具体的，关键字匹配系统按待测关键字中首字符之后多个字符排列顺序，逐一查找每个字符是否在目标字典树均有一子节点或子节点的分支节点对应匹配。应当理解的是，若该待测关键字对应在目标字典树的一分支中，分支中的子节点或子节点的分支节点与其他子节点是具有链接关系的，继而在匹配过程中，该分支中匹配的每个子节点或子节点的分支节点与匹配的其余子节点是具有链接关系。

在逐一匹配的过程中，关键字匹配系统则逐一判断该待测关键字的首字符之后的每一字符是否存在与目标字典树的一分支中对应位置的子节点或子节点的分支节点不匹配。

在为否时，则判定待测关键字中首字符之后的每个字符均对应在所述目标字典树的一分支中，即该待测关键字的首字符之后的每一字符均与目标字典树的一分支中对应位置的子节点或子节点的分支节点匹配。进而当匹配至关键字匹配系统检测到最后一字符的后一位无数据，且对应分支的最后一节点之后也无数据时，故返回一个第二一标识数据段以告知待测关键字的匹配成功。之后，关键字匹配系统则根据第二一标识数据段调用函数，在流量数据中获取到与该待测关键字的数据格式匹配的数据信息，进而操作人员根据该数据信息的内容则可对应的进行网络安全审计。

例如，目标字典树为a→b→c→d，其包括分支1为a→b→c，分支2为a→b→c→d，待测关键字为abc。在步骤s530的匹配过程中，关键字匹配系统首先检测到待测关键字的字符b，并判断该字符b与分支1的子节点b的数据相同，并也判断与分支2的子节点b的数据相同，则该字符b匹配。之后，关键字匹配系统检测到待测关键字的字符c，并判断该字符c与分支1的子节点c的数据相同，并也判断与分支2的子节点c的数据相同，则该字符c匹配。之后，关键字匹配系统再检测到待测关键字的字符c之后无数据，且分支1的子节点c之后也无数据，进而也相同，故返回一个第二一标识数据段以告知该待测关键字的匹配成功。

在为是时，则判定待测关键字中首字符之后的有一字符与所述目标字典树的一分支中的任意子节点或子节点的分支节点均不对应匹配，即该待测关键字与目标字典树不匹配。进而关键字匹配系统则判定匹配失败，并该待测关键字抛掉，以继续执行对下一个待测关键字的匹配。

例如，目标字典树为a→b→c→d，其包括分支1为a→b→c，分支2为a→b→c→d，待测关键字为abe。在步骤s530的匹配过程中，关键字匹配系统首先检测到待测关键字的字符b，并判断该字符b与分支1的子节点b的数据相同，并也判断与分支2的子节点b的数据相同，则该字符b匹配。之后，关键字匹配系统检测到待测关键字的字符e，并判断该字符e与分支1的子节点c的数据不相同，并也判断与分支2的子节点c的数据也不相同，则该字符e不匹配。即判定该待测关键字abe不匹配，并将其抛掉。

又例如，目标字典树为a→b→c→d，其包括分支1为a→b→c，分支2为a→b→c→d，待测关键字为ab。在步骤s530的匹配过程中，关键字匹配系统首先检测到待测关键字的字符b，并判断该字符b与分支1的子节点b的数据相同，并也判断与分支2的子节点b的数据相同，则该字符b匹配。之后，关键字匹配系统检测到待测关键字的字符b之后一位无数据，进一步判断字符b所在节点的第一标识数据段是否为空，如果不为空则判定该待测关键字ab匹配成功，如果为空则即判定该待测关键字ab不匹配并将其抛掉。

第二实施例

请参阅图6，本发明第二实施例提供了一种关键字匹配装置100，该关键字匹配装置100应用于关键字匹配系统，该关键字匹配装置100包括：

获取解析模块110，用于获取并解析多个预存关键字。

模型建立模块120，用于根据所述多个预存关键字，按预设规则建立至少一个字典树，其中，所述预设规则为每个所述字典树的一分支中，该所述分支中的多个所述节点与一所述预存关键字中多个字符对应。

存储模块130，用于将所述至少一个字典树存储。

请参阅图7，本发明第二实施例中，模型建立模块120包括：

第一模型建立单元121，用于针对每个所述预存关键字，获取所述预存关键字的多个所述字符中的首字符。

第二模型建立单元122，用于针对每个所述预存关键字，判断是否存在所述字符与所述预存关键字中的首字符相同的一目标预存关键字，在为否时，按所述预存关键字的所述多个字符的排列顺序建立对应的一所述字典树，在为是时，将所述预存关键字的所述多个字符按排列顺序，组合到所述目标预存关键字的所述多个字符按排列顺序建立对应的一目标字典树中，获得组合后的所述字典树，以使组合后的所述字典树中每个所述分支均对应一所述预存关键字。

请参阅图8，本发明第二实施例中，该关键字匹配装置100还包括：

解析获取模块140，用于解析流量数据，获取所述流量数据中的待测关键字。

匹配处理模块150，用于判断所述待测关键字中的多个字符是否均对应在预先设定的目标字典树的一分支中，在为是时，获取所述流量数据中与所述待测关键字对应的数据信息，其中，所述分支包括多个节点，每个所述节点对应一所述字符。

请参阅图9，本发明第二实施例中，匹配处理模块150包括：

获取单元151，用于按所述待测关键字中多个所述字符的排列顺序，获取所述待测关键字中的首字符。

判断单元152，用于判断所述首字符是否与预先设定的至少一个字典树中的一字典树对应，在为时是，将所述字典树作为所述目标字典树。

判断处理单元153，用于判断所述待测关键字中所述首字符之后的每个所述字符是否均对应在所述目标字典树的一分支中，在为是时，获取所述流量数据中与所述待测关键字对应的所述数据信息。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统、装置和方法，可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，又例如，多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些通信接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：u盘、移动硬盘、只读存储器(rom，read-onlymemory)、随机存取存储器(ram，randomaccessmemory)、磁碟或者光盘等各种可以存储程序代码的介质。

综上所述，本发明实施例提供了一种关键字匹配方法及装置。方法包括：解析流量数据，获取流量数据中的待测关键字；判断待测关键字中的多个字符是否均对应在预先设定的目标字典树的一分支中，在为是时，获取流量数据中与待测关键字对应的数据信息，其中，分支包括多个节点，每个节点对应一字符。

通过将获取的待测关键字与预先设置的字典树匹配，并判断该待测关键字是否对应在目标字典树的一分支中，在为是时，则获取流量数据中与待测关键字对应的数据信息，进而通过获取的数据信息实现网络安全审计。因此，通过字典树中每个节点与其他节点建立链接的导向功能，避免了待测关键字的逐一匹配，极大的降低了运算，同时也降低了对设备的硬软件要求，使得其实际应用不再受限。

以上仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。