请求处理系统、方法、电子设备及存储介质与流程

1.本发明涉及数据安全技术领域，尤其涉及一种请求处理系统、方法、电子设备及存储介质。


背景技术：

2.通常企业或者机构采用传统防火墙作为安全保障的第一道防线，传统防火墙在第三层(网络层)可以有效的阻断一些数据包。而随着web应用的功能越来越丰富，web服务器因为其强大的计算能力，处理性能，蕴含较高的价值，逐渐成为主要的攻击目标(主要攻击在应用层)。由于传统防火墙在阻止攻击者利用应用程序漏洞进行的攻击方面存在缺陷，在此背景下，waf(web application firewall，web应用防护系统)应运而生。
3.相关技术中，waf部署在web服务器之前，对基于http协议的通信进行检测和识别。通俗的说，waf类似于地铁站的安检，对于http请求进行快速安全检查，通过解析http数据，在不同的字段分别在特征、规则等维度进行判断，判断的结果作为是否拦截的依据，从而决定是否放行http请求至web服务器。
4.由于攻击的多样性和不可预测性，导致waf的检测规则和策略需要不断更新维护，从而有可能导致waf出现故障，或者有些攻击针对waf，有可能导致waf瘫痪。在waf出现故障或者瘫痪的情况下，整个数据链路中断，进而导致web业务中断，web业务稳定性无法保障。


技术实现要素：

5.本发明实施例的目的在于提供一种请求处理系统、方法、电子设备及存储介质，以实现提高数据链路稳定性、web业务稳定性的有益效果。具体技术方案如下：
6.在本发明实施例的第一方面，首先提供了请求处理系统，所述系统包括：目标控制设备、waf设备以及业务服务设备，其中，所述目标控制设备与所述业务服务设备相连接，所述waf设备作为旁路与所述目标控制设备相连接；
7.在所述目标控制设备接收到用户请求的情况下，所述目标控制设备将所述用户请求转发至所述waf设备；
8.所述waf设备根据预设安全规则对所述用户请求进行攻击检测，并将攻击检测结果返回至所述目标控制设备；
9.所述目标控制设备根据所述攻击检测结果确定是否拦截所述用户请求；
10.若所述目标控制设备确定未拦截所述用户请求，所述目标控制设备将所述用户请求发送至所述业务服务设备，以使所述业务服务设备对所述用户请求进行处理。
11.在一个可选的实施方式中，所述目标控制设备根据所述攻击检测结果确定是否拦截所述用户请求，包括：
12.在预设时间段内所述目标控制设备判断是否接收到所述攻击检测结果；
13.在预设时间段内若所述目标控制设备接收到所述攻击检测结果，所述目标控制设备则根据所述攻击检测结果确定是否拦截所述用户请求。
14.在一个可选的实施方式中，所述系统还包括：
15.在预设时间段内若所述目标控制设备未接收到所述攻击检测结果，所述目标控制设备则确定所述waf设备攻击检测超时，并将所述用户请求直接发送至所述业务服务设备。
16.在一个可选的实施方式中，所述系统还包括：
17.若所述目标控制设备确定拦截所述用户请求，所述目标控制设备构建自定义响应消息；
18.所述目标控制设备将所述自定义响应消息反馈至所述用户请求的发送方。
19.在一个可选的实施方式中，所述在所述目标控制设备接收到用户请求的情况下，所述目标控制设备将所述用户请求转发至所述waf设备，包括：
20.在所述目标控制设备接收到用户请求的情况下，所述目标控制设备获取本地系统配置信息；
21.所述目标控制设备根据所述系统配置信息确定是否开启waf；
22.若所述目标控制设备确定开启waf，所述目标控制设备将所述用户请求转发至所述waf设备；
23.若所述目标控制设备确定未开启waf，所述目标控制设备将所述用户请求直接发送至所述业务服务设备。
24.在一个可选的实施方式中，所述系统还包括负载均衡设备，以及所述控制设备为多台，其中，多台所述控制设备均与所述负载均衡设备相连接；
25.所述在所述目标控制设备接收到用户请求的情况下，所述目标控制设备将所述用户请求转发至所述waf设备，包括：
26.在所述负载均衡设备接收到用户请求的情况下，所述负载均衡设备根据负载均衡算法从多台所述控制设备中确定控制所述用户请求的目标控制设备；
27.所述负载均衡设备将所述用户请求发送至所述目标控制设备；
28.在所述目标控制设备接收到所述用户请求的情况下，所述目标控制设备将所述用户请求转发至所述waf设备。
29.在一个可选的实施方式中，多台所述控制设备对应于所述waf设备，与所述waf设备分别相连接；
30.或者，
31.所述waf设备为多台，多台所述控制设备对应于多台所述waf设备，所述控制设备与所述waf设备一一对应相连接；
32.所述在所述目标控制设备接收到用户请求的情况下，所述目标控制设备将所述用户请求转发至所述waf设备，包括：
33.在所述目标控制设备接收到用户请求的情况下，所述目标控制设备将所述用户请求转发至所述目标控制设备对应的所述waf设备。
34.在本发明实施例的第二方面，还提供了一种请求处理方法，应用于目标控制设备，其中，所述目标控制设备与业务服务设备相连接，waf设备作为旁路与所述目标控制设备相连接，所述方法包括：
35.在接收到用户请求的情况下，将所述用户请求转发至所述waf设备，其中，所述waf设备根据预设安全规则对所述用户请求进行攻击检测，并将攻击检测结果返回至所述目标
控制设备；
36.接收所述攻击检测结果，并根据所述攻击检测结果确定是否拦截所述用户请求；
37.若确定未拦截所述用户请求，将所述用户请求发送至所述业务服务设备，以使所述业务服务设备对所述用户请求进行处理。
38.在本发明实施例的第三方面，还提供了一种请求处理装置，应用于目标控制设备，其中，所述目标控制设备与业务服务设备相连接，waf设备作为旁路与所述目标控制设备相连接，所述装置包括：
39.请求转发模块，用于在接收到用户请求的情况下，将所述用户请求转发至所述waf设备，其中，所述waf设备根据预设安全规则对所述用户请求进行攻击检测，并将攻击检测结果返回至所述目标控制设备；
40.拦截确定模块，用于接收所述攻击检测结果，并根据所述攻击检测结果确定是否拦截所述用户请求；
41.请求发送模块，用于若确定未拦截所述用户请求，将所述用户请求发送至所述业务服务设备，以使所述业务服务设备对所述用户请求进行处理。
42.在本发明实施例的第四方面，还提供了一种电子设备，包括处理器、通信接口、存储器和通信总线，其中，处理器，通信接口，存储器通过通信总线完成相互间的通信；
43.存储器，用于存放计算机程序；
44.处理器，用于执行存储器上所存放的程序时，实现上述所述的请求处理方法。
45.在本发明实施例的五方面，还提供了一种存储介质，所述存储介质中存储有指令，当其在计算机上运行时，使得计算机执行上述所述的请求处理方法。
46.在本发明实施例的第六方面，还提供了一种包含指令的计算机程序产品，当其在计算机上运行时，使得计算机执行上述所述的请求处理方法。
47.本发明实施例提供的技术方案，目标控制设备与业务服务设备相连接，waf设备作为旁路与目标控制设备相连接，在目标控制设备接收到用户请求的情况下，目标控制设备将用户请求转发至waf设备，waf设备根据预设安全规则对用户请求进行攻击检测，将攻击检测结果返回至目标控制设备，目标控制设备根据攻击检测结果确定是否拦截用户请求，若目标控制设备确定未拦截用户请求，目标控制设备将用户请求发送至业务服务神，由业务服务设备对用户请求进行处理。如此将waf设备作为旁路与目标控制设备相连接，在waf出现故障或者瘫痪的情况下，整个数据链路无影响，提高了数据链路稳定性、web业务稳定性。
附图说明
48.此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本发明的实施例，并与说明书一起用于解释本发明的原理。
49.为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，对于本领域普通技术人员而言，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。
50.图1为本发明实施例中示出的一种请求处理系统的结构示意图；
51.图2为本发明实施例中示出的一种请求处理方法的交互流程示意图；
52.图3为本发明实施例中示出的另一种请求处理系统的结构示意图；
53.图4为本发明实施例中示出的另一种请求处理系统的结构示意图；
54.图5为本发明实施例中示出的另一种请求处理方法的交互流程示意图；
55.图6为本发明实施例中示出的一种负载均衡交互流程示意图；
56.图7为本发明实施例中示出的一种请求处理方法的实施流程示意图；
57.图8为本发明实施例中示出的一种请求处理装置的结构示意图；
58.图9为本发明实施例中示出的一种电子设备的结构示意图。
具体实施方式
59.为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明的一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。
60.需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。
61.如图1所示，为本发明实施例提供的一种请求处理系统的架构示意图，该请求处理系统中具体包括目标控制设备、waf设备以及业务服务设备，其中，目标控制设备与业务服务设备相连接，waf设备作为旁路与目标控制设备相连接，则目标控制设备与业务服务设备所在的数据链路为主路。
62.对于目标控制设备，可以是nginx，是一个高性能的http和反向代理web服务器，本发明实施例对此不作限定。对于业务服务设备，可以是具体地业务服务器，本发明实施例对此不作限定。
63.如图2所示，为本发明实施例提供的一种请求处理方法的交互流程示意图，该方法具体可以包括以下步骤：
64.s201，在所述目标控制设备接收到用户请求的情况下，所述目标控制设备将所述用户请求转发至所述waf设备。
65.在本发明实施例中，用户可以在客户端触发用户请求，客户端将用户请求发送至负载均衡设备，负载均衡设备将该用户请求发送至目标控制设备，如此目标控制设备可以接收到用户请求，以确定是否拦截该用户请求。
66.在目标控制设备接收到用户请求的情况下，为了确定是否拦截该用户请求，该目标控制设备将该用户请求转发至waf设备进行攻击检测，如此由旁路的waf设备对该用户请求进行攻击检测。
67.例如，在目标nginx接收到负载均衡设备发送的用户请求的情况下，为了确定是否拦截该用户请求，避免对业务服务器的攻击，目标nginx将该用户请求转发至waf设备进行
攻击检测。
68.由于攻击的多样性和不可预测性，导致waf的检测规则和策略需要不断更新维护，从而有可能导致waf出现故障，或者有些攻击针对waf，有可能导致waf瘫痪，在此背景下，目标控制设备在将用户请求转发至waf设备之前，目标控制设备检测waf设备是否处于瘫痪、崩溃、异常等状态，在确定waf设备处于正常状态的情况下，目标控制设备将该用户请求转发至waf设备。
69.另外，在确定waf设备处于正常状态的情况下，目标控制设备还需进一步确定是否开启waf，即目标控制设备获取本地系统配置信息，根据该系统配置信息确实是否开启waf，如果确定开启waf，将该用户请求转发至waf设备，如果确定不开启waf，将该用户请求直接发送至业务服务设备，无需进行攻击检测。
70.需要说明的是，本发明实施例中目标控制设备将用户请求转发至waf设备，其实质是目标控制设备复制该用户请求发送至waf设备，本发明实施例对此不作限定。
71.s202，所述waf设备根据预设安全规则对所述用户请求进行攻击检测，并将攻击检测结果返回至所述目标控制设备。
72.waf设备接收目标控制设备转发的用户请求，根据预设安全规则对该用户请求进行攻击检测，并将攻击检测结果返回至目标控制设备。
73.其中，对于用户请求，即thhp请求，waf设备进行快速安全检查，通过解析http数据，在不同的字段分别在特征、规则等维度进行判断，判断的结果作为是否拦截的依据，从而目标控制设备决定是否放行http请求至业务服务设备。
74.s203，所述目标控制设备根据所述攻击检测结果确定是否拦截所述用户请求。
75.对于目标控制设备，接收waf设备返回的攻击检测结果，根据攻击检测结果确定是否拦截该用户请求。
76.例如，对于目标nginx，接收waf设备返回的攻击检测结果，如果该攻击检测结果显示为403，则确定拦截该用户请求，如果该攻击检测结果显示为其它信息，则确定不拦截该用户请求，可以放行至业务服务器。
77.s204，若所述目标控制设备确定未拦截所述用户请求，所述目标控制设备将所述用户请求发送至所述业务服务设备，以使所述业务服务设备对所述用户请求进行处理。
78.对于目标控制设备，如果确定不拦截该用户请求，可以放行至业务服务设备，即将该用户请求发送至业务服务设备，以使业务服务设备对该用户请求进行处理。
79.对于目标控制设备，如果确定拦截该用户请求，可以构建自定义响应消息，将该自定义响应消息反馈至用户请求的发送方，比如通过负载均衡设备发送至客户端，如此避免对业务服务设备的攻击。
80.通过上述对本发明实施例提供的技术方案的描述，目标控制设备与业务服务设备相连接，waf设备作为旁路与目标控制设备相连接，在目标控制设备接收到用户请求的情况下，目标控制设备将用户请求转发至waf设备，waf设备根据预设安全规则对用户请求进行攻击检测，将攻击检测结果返回至目标控制设备，目标控制设备根据攻击检测结果确定是否拦截用户请求，若目标控制设备确定未拦截用户请求，目标控制设备将用户请求发送至业务服务神，由业务服务设备对用户请求进行处理。如此将waf设备作为旁路与目标控制设备相连接，在waf出现故障或者瘫痪的情况下，整个数据链路无影响，提高了数据链路稳定
性、web业务稳定性。
81.为了进一步提高数据链路稳定性、web业务稳定性，防止因单个控制设备故障导致数据链路中断，如图3所示，为本发明实施例提供的另一种请求处理系统的架构示意图，该请求处理系统具体可以包括负载均衡设备，多台控制设备，waf设备以及业务服务设备。
82.其中，多台控制设备均与负载均衡设备相连接，多台控制设备均与业务服务设备相连接，多台控制设备对应于waf设备，均与waf设备相连接。
83.或者，为了进一步提高数据链路稳定性、web业务稳定性，防止因单个控制设备故障导致数据链路中断，同时兼顾攻击检测效率，如图4所示，为本发明实施例提供的另一种请求处理系统的架构示意图，该请求处理系统具体可以包括负载均衡设备，多台控制设备，多台waf设备以及业务服务设备。
84.其中，多台控制设备均与负载均衡设备相连接，多台控制设备均与业务服务设备相连接，多台控制设备对应于多台waf设备，控制设备与waf设备一一对应相连接。
85.基于上述请求处理系统的架构示意图，如图5所示，为本发明实施例提供的另一种请求处理方法的交互流程示意图，该方法具体可以包括以下步骤：
86.s501，在所述目标控制设备接收到用户请求的情况下，所述目标控制设备将所述用户请求转发至所述waf设备。
87.在负载均衡设备接收到用户请求的情况下，负载均衡设备根据负载均衡算法从多台控制设备中确定控制用户请求的目标控制设备。其中，该用户请求可以由客户端发送至负载均衡设备。
88.对于负载均衡算法，例如可以是轮询、随机等，当然还可以是其它负载均衡算法，本发明实施例在此不再一一赘述。
89.在确定控制用户请求的目标控制设备之后，负载均衡设备可以将该用户请求发送至目标控制设备。
90.目标控制设备可以接收该用户请求，在接收到用户请求的情况下，可以将该用户请求转发至waf设备，如图6所示。
91.另外，如果控制设备与waf设备一一对应相连接，在目标控制设备接收到用户请求的情况下，目标控制设备将该用户请求转发至目标控制设备对应的waf设备。
92.需要说明的是，对于转发用户请求至waf设备的执行流程，具体可以参考上述实施例，本发明实施例在此不再一一赘述。
93.s502，所述waf设备根据预设安全规则对所述用户请求进行攻击检测，并将攻击检测结果返回至所述目标控制设备。
94.在本发明实施例中，本步骤与上述步骤s102类似，本发明实施例在此不再一一赘述。
95.s503，在预设时间段内所述目标控制设备判断是否接收到所述攻击检测结果。
96.在本发明实施例中，为了避免攻击检测对数据链路产生的影响，避免数据链路出现延迟，因此预设设置时间段，waf设备在预设时间段内进行攻击检测，如果未在预设时间段内完成攻击检测，则目标控制设备直接将用户请求发送至业务服务设备。为此，本发明实施例目标控制设备，在预设时间段内判断是否接收到上述攻击检测结果。
97.例如，预设时间段2秒，在2秒内，目标nginx判断是否接收到waf设备返回的攻击检
测结果。
98.s504，在预设时间段内若所述目标控制设备接收到所述攻击检测结果，所述目标控制设备则根据所述攻击检测结果确定是否拦截所述用户请求。
99.对于目标控制设备，如果在预设时间段内接收到waf设备返回的攻击检测结果，则表明waf设备进行攻击检测未超时，此时目标控制设备可以根据攻击检测结果确实是否拦截该用户请求。
100.例如，在2秒内，目标nginx接收到waf设备返回的攻击检测结果，可以根据该攻击检测结果确定是否拦截用户请求。
101.s505，在预设时间段内若所述目标控制设备未接收到所述攻击检测结果，所述目标控制设备则确定所述waf设备攻击检测超时，并将所述用户请求直接发送至所述业务服务设备。
102.对于目标设备，如果在预设时间段内未接收到waf设备返回的攻击检测结果，则表明waf设备进行攻击检测超时，为了避免攻击检测对数据链路产生的影响，避免数据链路出现延迟，将用户请求直接发送至业务服务设备，并不进行拦截。
103.例如，在2秒内，目标nginx未接收到waf设备返回的攻击检测结果，则确定waf设备攻击检测超时，将用户请求直接发送至业务服务器。
104.s506，若所述目标控制设备确定未拦截所述用户请求，所述目标控制设备将所述用户请求发送至所述业务服务设备，以使所述业务服务设备对所述用户请求进行处理。
105.在本发明实施例中，本步骤与上述步骤s204类似，本发明实施例在此不再一一赘述。
106.如图7所示，为本发明实施例提供的一种请求处理方法的实施流程示意图，应用于目标控制设备，该方法具体可以包括以下步骤：
107.s701，在接收到用户请求的情况下，将所述用户请求转发至所述waf设备，其中，所述waf设备根据预设安全规则对所述用户请求进行攻击检测，并将攻击检测结果返回至所述目标控制设备。
108.s702，接收所述攻击检测结果，并根据所述攻击检测结果确定是否拦截所述用户请求。
109.s703若确定未拦截所述用户请求，将所述用户请求发送至所述业务服务设备，以使所述业务服务设备对所述用户请求进行处理。
110.其中，目标控制设备执行的具体步骤可以参考上述实施例，本发明实施例在此不再一一赘述。
111.与上述方法实施例相对应，本发明实施例还提供了一种请求处理装置，如图8所示，应用于目标控制设备，其中，目标控制设备与业务服务设备相连接，waf设备作为旁路与目标控制设备相连接，该装置可以包括：请求转发模块810、拦截确定模块820、请求发送模块830。
112.请求转发模块810，用于在接收到用户请求的情况下，将所述用户请求转发至所述waf设备，其中，所述waf设备根据预设安全规则对所述用户请求进行攻击检测，并将攻击检测结果返回至所述目标控制设备；
113.拦截确定模块820，用于接收所述攻击检测结果，并根据所述攻击检测结果确定是
否拦截所述用户请求；
114.请求发送模块830，用于若确定未拦截所述用户请求，将所述用户请求发送至所述业务服务设备，以使所述业务服务设备对所述用户请求进行处理。
115.本发明实施例还提供了一种电子设备，如图9所示，包括处理器91、通信接口92、存储器93和通信总线94，其中，处理器91，通信接口92，存储器93通过通信总线94完成相互间的通信，
116.存储器93，用于存放计算机程序；
117.处理器91，用于执行存储器93上所存放的程序时，实现如下步骤：
118.在接收到用户请求的情况下，将所述用户请求转发至所述waf设备，其中，所述waf设备根据预设安全规则对所述用户请求进行攻击检测，并将攻击检测结果返回至所述目标控制设备；接收所述攻击检测结果，并根据所述攻击检测结果确定是否拦截所述用户请求；若确定未拦截所述用户请求，将所述用户请求发送至所述业务服务设备，以使所述业务服务设备对所述用户请求进行处理。
119.上述电子设备提到的通信总线可以是外设部件互连标准(peripheral component interconnect，简称pci)总线或扩展工业标准结构(extended industry standard architecture，简称eisa)总线等。该通信总线可以分为地址总线、数据总线、控制总线等。为便于表示，图中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。
120.通信接口用于上述电子设备与其他设备之间的通信。
121.存储器可以包括随机存取存储器(random access memory，简称ram)，也可以包括非易失性存储器(non-volatile memory)，例如至少一个磁盘存储器。可选的，存储器还可以是至少一个位于远离前述处理器的存储装置。
122.上述的处理器可以是通用处理器，包括中央处理器(central processing unit，简称cpu)、网络处理器(network processor，简称np)等；还可以是数字信号处理器(digital signal processing，简称dsp)、专用集成电路(application specific integrated circuit，简称asic)、现场可编程门阵列(field－programmable gate array，简称fpga)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。
123.在本发明提供的又一实施例中，还提供了一种存储介质，该存储介质中存储有指令，当其在计算机上运行时，使得计算机执行上述实施例中任一所述的请求处理方法。
124.在本发明提供的又一实施例中，还提供了一种包含指令的计算机程序产品，当其在计算机上运行时，使得计算机执行上述实施例中任一所述的请求处理方法。
125.在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行所述计算机程序指令时，全部或部分地产生按照本发明实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在存储介质中，或者从一个存储介质向另一个存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(dsl))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务
器、数据中心等数据存储设备。所述可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，dvd)、或者半导体介质(例如固态硬盘solid state disk(ssd))等。
126.需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个
……”
限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
127.本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
128.以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本发明的保护范围内。