以包括：
[0101] 分别将X个会话的有序的操作列表中包括的用户标识，保存至所述流量中每个会 话的还原文件中。
[0102] 可选的，为了实现离线渲染，避免原始资源的路径改变对渲染过程的影响，在S104 之后，所述方法还可以包括：
[0103] 将每个DOM树中的资源节点中的路径替换为原始服务器的绝对路径。
[0104] 其中，资源可以包括层叠样式、Javascript脚本、图片等静态资源。
[0105] 具体的，请求时使用的相对路径，而绝对路径在部署该Web应用时是知道路径前 缀（Content)的，因此，原始服务器的绝对路径为原始服务器的IP地址加上Content加上 请求时的相对路径。
[0106] 可选的，本发明提供的流量还原方法为了避免对原始服务器产生干扰，可以通过 沙盒技术拦截上述执行SlOl至S105过程中向原始服务器发送的请求，因此，所述方法还可 以包括：
[0107] 若操作中包含提交原始服务器的请求，拦截提交原始服务器的请求，并向发送提 交原始服务器的请求的客户端返回预设结果。
[0108] 其中，所述预设结果可以根据实际请求设置内容，可以对不同的请求设置不同的 预设结果，本发明对此不进行具体限定。
[0109] 优选的，本发明提供的流量还原方法为了避免对原始服务器产生干扰，若操作的 页面形式为异步请求响应，可以通过沙盒技术拦截上述执行SlOl至S105过程中向原始服 务器发送的请求，因此，所述方法还可以包括：
[0110] 若页面形式为异步请求响应的操作中包含提交原始服务器的请求，拦截提交原始 服务器的请求，并向发送提交原始服务器的请求的客户端返回预设结果。
[0111] 本发明实施例提供的流量还原方法，生成的流量还原文件，是根据操作的特征自 动获取的，不再需要人工参与，且处理过程快，实现了对审计系统的管理员专业知识要求 低、简单且节约时间的超文本传输流量还原，以达到在审计过程中轻松获取定位责任方的 证据的目的。
[0112] 进一步的，根据操作的页面形式的不同，将提交的数据按照不同的方式填充至DOM 树中，使得流量的还原更准确。
[0113] 实施例2
[0114] 本发明实施例2提供一种流量还原装置30,所述流量还原装置可以为服务器。
[0115] 如图3所示，所述流量还原装置30可以包括：
[0116] 获取单元301，用于获取包含至少一个操作的流量；其中，一个所述操作包括请求 和响应；所述请求包括会话标识和前驱操作标识；
[0117] 关联单元302,用于分别将所述获取单元301获取的包含相同会话标识的每组操 作，根据操作中的前驱操作标识，进行关联排序，获取X个会话的有序的操作列表；其中，所 述至少一个操作中包括X种会话标识，所述X种会话标识指示所述X个会话；
[0118] 渲染单元303,用于分别对所述获取单元301获取的所述X个会话的有序的操作 列表中相互匹配的请求和响应中的每个响应所属的操作进行渲染，构建文档对象模型DOM 树；其中，相互匹配的请求和响应为所述有序的操作列表中连续的请求和响应；
[0119] 填充单元304,用于分别将所述获取单元301获取的所述X个会话的有序的操作列 表中相互匹配的请求和响应中的每个请求中包含的提交数据，填充至与其相互匹配的响应 所属的操作的DOM树中的数据填充节点；
[0120] 保存单元305,用于分别所述X个会话中所述填充单元填充后的DOM树进行可视化 保存，作为所述流量中每个会话的还原文件。
[0121] 具体的，对于所述第一组操作，所述关联单元302具体可以用于：
[0122] 遍历所述第一组操作中的每个操作，分别将每个操作关联至该操作中的前驱操作 标识指示的操作，获取所述第一组操作的会话标识指示的会话的有序的操作列表；其中，所 述第一组操作为所述至少一个操作中，任意一组包含相同会话标识的操作；
[0123] 或者，
[0124] 先将所述第一组操作中的每个操作按照请求时间顺序依次排列，再将请求时间相 同的操作中每个操作，关联至该操作中的前驱操作标识指示的操作，获取所述第一组操作 的会话标识指示的会话的有序的操作列表。
[0125] 进一步的，所述填充单元304具体用于：
[0126] 分别根据所述X个会话的有序的操作列表中每个操作的数据内容，确定每个操作 的页面形式；
[0127] 分别将所述X个会话的有序的操作列表中相互匹配的请求和响应中的每个请求 中包含的提交数据，按照所述相互匹配的请求和响应所属的操作的页面形式，填充至与其 相互匹配的响应所属的操作的DOM树中的数据填充节点。
[0128] 进一步的，所述请求中还包括用户标识；
[0129] 所述保存单元305还可以用于：
[0130] 分别将所述X个会话的有序的操作列表中包括的用户标识，保存至所述流量中每 个会话的还原文件中。
[0131] 可选的，所述保存单元305具体可以用于：
[0132] 分别将所述X个会话中填充后的DOM树，加载各自的层叠样式及图片，可视化保存 为比特流。
[0133] 可选的，所述保存单元305具体可以用于：
[0134] 分别将所述X个会话中填充后的DOM树，加载各自的层叠样式及图片，可视化保存 为比特流；
[0135] 将每个所述比特流生成图片化的快照。
[0136] 进一步的，所述填充单元304还可以用于：
[0137] 将每个DOM树中的资源节点中的路径替换为原始服务器的绝对路径。
[0138] 进一步的，参见图4,所述装置30还可以包括：
[0139] 拦截发送单元306,用于若所述获取单元301获取的页面形式为异步请求响应的 操作中包含提交所述原始服务器的请求，拦截所述提交原始服务器的请求，并向发送所述 提交原始服务器的请求的客户端返回预设结果。
[0140] 需要说明的是，本发明实施例提供的流量还原装置30中功能模块的具体描述可 以参考方法实施例中对应内容的具体描述，本发明实施例在此不再详细赘述。
[0141] 本发明实施例提供的流量还原装置30,生成的流量还原文件，是根据操作的特征 自动获取的，不再需要人工参与，且处理过程快，实现了对审计系统的管理员专业知识要求 低、简单且节约时间的超文本传输流量还原，以达到在审计过程中轻松获取定位责任方的 证据的目的。
[0142] 通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解到，为描述的 方便和简洁，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上 述功能分配由不同的功能模块完成，即将装置的内部结构划分成不同的功能模块，以完成 以上描述的全部或者部分功能。上述描述的装置的具体工作过程，可以参考前述方法实施 例中的对应过程，在此不再赘述。
[0143] 在本申请所提供的几个实施例中，应该理解到，所揭露的装置和方法，可以通过其 它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述模块或单元的 划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件 可以结合或者可以集成到另一个装置，或一些特征可以忽略，或不执行。另一点，所显示或 讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦 合或通信连接，可以是电性，机械或其它的形式。
[0144] 所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显 示的部件可以是一个物理单元或多个物理单元，即可以位于一个地方，或者也可以分布到 多个不同地方。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的 目的。
[0145] 另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以 是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单 元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。
[0146] 所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用 时，可以存储在一个可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说 对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出 来，该软件产品存储在一个存储介质中，包括若干指令用以使得一个设备（可以是单片机， 芯片等）或处理器（processor)执行本发明各个实施例所述方法的全部或部分步骤。而前 述的存储介质包括：U盘、移动硬盘、只读存储器（ROM，Read-On