CN103051630B - 基于开放平台实现第三方应用授权的方法、装置及系统 - Google Patents

Abstract

本发明公开了一种基于开放平台实现第三方应用授权的方法、装置及系统。该方法包括：接收第三方应用发起的授权请求，确定接收的授权请求中未携带有第三方应用访问令牌信息；确定客户端中存储有单点登录SSO客户端应用映射的访问令牌，展示存储的访问令牌对应的用户信息；接收用户从展示的用户信息中选取的用户信息，映射为访问令牌，解析授权请求，获取第三方应用标识；将映射的访问令牌以及获取的第三方应用标识封装在代理授权请求中，输出至开放平台；接收开放平台返回的代理授权请求响应，将代理授权请求响应中携带的第三方应用访问令牌信息输出至第三方应用。应用本发明，可以提高应用授权效率。

Description

基于开放平台实现第三方应用授权的方法、装置及系统

技术领域

本发明涉及计算机通信技术，尤其涉及一种基于开放平台实现第三方应用授权的方法、装置及系统。

背景技术

开放平台通过软件系统公开应用程序编程接口（API）或函数（function)，将服务封装成一系列计算机易识别的数据接口，即开放的应用程序接口（OpenAPI），供第三方应用调用，使外部的第三方应用程序可以通过OpenAPI，增加该软件系统功能或使用该软件系统的资源。

随着移动互联网以及开放平台的兴起，同一客户端上安装有基于同一开放平台的多个应用的现象日益普遍。例如，目前的企业应用环境中，往往具有较多的应用系统，举例来说，在同一客户端上，安装有办公自动化（OA）应用系统、财务管理应用系统、档案管理应用系统、信息查询应用系统等，这些应用系统基于同一开放平台，服务于企业的信息化建设，为企业带来了较好的效益。但是，每一应用系统都需要用户预先设置用户名和密码信息进行注册，不同的应用系统，设置的用户名和密码信息不一定相同，用户每次在使用其中的任一应用系统时，都必须输入用户名和用户密码，进行身份验证，获取授权后才能使用该应用系统。这样，导致在同一客户端中，同一用户通过同一开放平台获取多个应用的授权时，需要用户相应执行多次输入用户名和用户密码以登录开放平台，开放平台根据用户输入的用户名和密码信息进行认证授权后，通知用户获取应用的授权，使得用户实现应用的授权操作繁琐，多应用登录流程复杂。

为了降低用户的多次登录流程，现有技术提出了客户端的单点登录（SSO，SingleSignOn）技术方案，即通过互联网浏览器应用的Cookie机制实现客户端的单点登录。其中，SSO是目前比较流行的企业业务整合的解决方案之一，通过SSO，在多个应用系统中，用户在同一个客户端上使用基于同一个开放平台的多个应用时，只需要向开放平台进行首次登录，开放平台为了便于辨别用户身份、进行session跟踪，将经过授权的用户相关信息储存在用户客户端中。Cookie信息由进行授权认证的开放平台生成，发送给用户代理（User-Agent），例如，客户端的系统浏览器，系统浏览器将开放平台生成的Cookie的键值（key/value）保存到指定目录下的文本文件内，通过将浏览器设置为启用cookie，在下一次请求同一应用的服务时，客户端可以获取文本文件内存储的Cookie信息，携带在授权请求中，发送至开放平台，从而减少用户进行授权需要输入的用户名和密码信息，简化用户操作。也就是说，通过Cookie机制，可以避免用户多次登录时需要多次输入认证信息的技术问题，通过用户在第一次登录授权时，设置Cookie，存储至客户端的系统浏览器内，再次进行授权时，可以通过设置的Cookie识别用户。

图1为现有基于开放平台实现第三方应用授权的方法流程示意图。参见图1，以用户通过开放平台获取第一应用（第三方应用）的授权为例，该流程包括：

步骤101，第一应用在客户端监听端口；

本步骤中，第一应用需要用户登录开放平台获取授权，首先在本地客户端监听一个端口，将自己作为web服务器。

步骤102，在首次认证时，调用开放平台浏览器，设置回调地址为应用的本地地址信息以及端口信息；

本步骤中，第一应用将自己作为web服务器，调用开放平台浏览器，打开该开放平台的授权页面，设置回调地址为应用的本地地址（localhost）以及端口。

步骤103，用户通过开放平台的授权页面执行登录及授权；

步骤104，授权页面将授权结果设置到统一资源定位符（URL，UniformResourceLocator）参数，设置该用户的Cookie信息到系统浏览器内，并重定向浏览器到回调地址；

本步骤中，用户登录并授权后，授权页面将授权结果设置到URL参数，设置该用户的Cookie到系统浏览器内，然后重定向浏览器到回调地址。这样，第一应用可以接收到用户的授权结果。

步骤105，第一应用进行再次登录，在客户端监听端口；

步骤106，调用开放平台的系统浏览器，设置回调地址为应用的本地地址信息以及端口信息；

本步骤中，通过设置回调地址为应用的本地地址信息，可以自动获取系统浏览器内的Cookie信息，从而无需用户再次输入用户名及密码信息，减少了输入操作。

步骤107，开放平台的授权页面通过系统浏览器请求时携带的Cookie，识别用户身份。

本步骤中，当第一应用需要用户再次登录开放平台时，按照与第一应用相似的方式打开开放平台的授权页面，此时，开放平台的授权页面通过浏览器请求时带来的Cookie识别出该用户的身份，使得用户不需要进行输入用户名及密码信息的操作。

由上述可见，现有基于开放平台实现第三方应用授权的方法，在基于同一开放平台的客户端中，对于客户端安装有多个应用、且不断有新的应用时，都需要用户输入相应的用户名及密码信息，使得用户实现应用的授权操作还是较为繁琐，获取应用授权所需的时间较长、应用授权效率较低；进一步地，应用必须通过系统浏览器进行授权操作，如果应用内部嵌入了浏览器，将无法共享Cookie，使得再次登录仍然需要用户名及密码信息；而且，Cookie信息具有生命周期，即具有过期时间限制，如果Cookie过期，将需要用户重新输入用户名及密码信息进行登录；此外，Cookie的生命周期不受应用控制，应用也无法自动重新刷新Cookie。

发明内容

本发明的实施例提供一种基于开放平台实现第三方应用授权的方法，提高应用授权效率。

本发明的实施例还提供一种基于开放平台实现第三方应用授权的装置，提高应用授权效率。

本发明的实施例还提供一种基于开放平台实现第三方应用授权的系统，提高应用授权效率。

为达到上述目的，本发明实施例提供的一种基于开放平台实现第三方应用授权的方法，包括：

接收第三方应用发起的授权请求，确定接收的授权请求中未携带有第三方应用访问令牌信息；

确定客户端中存储有单点登录SSO客户端应用映射的访问令牌，展示存储的访问令牌对应的用户信息；

接收用户从展示的用户信息中选取的用户信息，映射为访问令牌，解析授权请求，获取第三方应用标识；

将映射的访问令牌以及获取的第三方应用标识封装在代理授权请求中，输出至开放平台；

接收开放平台返回的代理授权请求响应，将代理授权请求响应中携带的第三方应用访问令牌信息输出至第三方应用。

其中，所述确定客户端中存储有SSO客户端应用映射的访问令牌包括：

确定客户端中安装有SSO客户端应用；

查询客户端中是否存储有SSO客户端应用映射的访问令牌信息，如果有，获取存储的访问令牌信息，执行所述展示存储的访问令牌对应的用户信息；否则，向开放平台发送SSO客户端应用授权请求，携带用户标识、密码信息以及SSO客户端应用标识，接收开放平台返回的SSO客户端应用授权请求响应，获取携带的访问令牌信息，执行所述展示存储的访问令牌对应的用户信息。

其中，所述方法进一步包括：

如果确定客户端中未安装有SSO客户端应用，将授权请求输出至开放平台。

其中，所述接收开放平台返回的代理授权请求响应包括：

开放平台接收代理授权请求，获取代理授权请求中携带的访问令牌；

根据存储的访问令牌与用户及应用的映射关系，获取用户及应用信息，对该用户及该应用进行认证；

认证通过后，获取代理授权请求中携带的第三方应用标识信息，对第三方应用进行合法性验证；

在合法性验证通过后，为该第三方应用及用户分配第三方应用访问令牌，携带在代理授权请求响应中，输出至客户端中的SSO客户端应用。

其中，所述访问令牌信息映射唯一的用户信息以及唯一的应用信息。

其中，所述方法进一步包括：

如果确定接收的授权请求中携带有第三方应用访问令牌信息，将授权请求输出至开放平台。

一种基于开放平台实现第三方应用授权的装置，该装置包括：第三方应用模块、SSO客户端应用模块以及访问令牌存储模块，其中，

第三方应用模块，用于向SSO客户端应用模块发起授权请求，携带第三方应用标识；接收SSO客户端应用模块输出的第三方应用访问令牌信息，存储至访问令牌存储模块；

SSO客户端应用模块，用于接收第三方应用模块发起的授权请求，确定接收的授权请求中未携带有第三方应用访问令牌信息；在确定访问令牌存储模块中存储有SSO客户端应用映射的访问令牌后，展示存储的访问令牌对应的用户信息；接收用户从展示的用户信息中选取的用户信息，映射为访问令牌，解析授权请求，获取第三方应用标识；将映射的访问令牌以及获取的第三方应用标识封装在代理授权请求中，输出至开放平台服务器；接收开放平台服务器返回的代理授权请求响应，将代理授权请求响应中携带的第三方应用访问令牌信息输出至第三方应用模块。

较佳地，所述SSO客户端应用模块包括：授权请求处理单元、第一判断单元、第二判断单元、SSO客户端应用单元、展示单元以及代理单元，其中，

授权请求处理单元，用于接收第三方应用模块发起的授权请求，判断接收的授权请求中是否携带有第三方应用访问令牌信息，如果没有，将授权请求输出至第一判断单元；如果有，将授权请求输出至开放平台服务器；

第一判断单元，用于接收授权请求，查询客户端中是否安装有SSO客户端应用，如果没有，将授权请求输出至开放平台服务器；如果有，将授权请求分别输出至第二判断单元以及代理单元；

第二判断单元，用于接收授权请求，查询访问令牌存储模块中是否存储有SSO客户端应用映射的访问令牌，如果有，将访问令牌对应的用户信息输出至展示单元；如果没有，向SSO客户端应用单元输出触发信息；

SSO客户端应用单元，用于接收触发信息，向开放平台服务器发送SSO客户端应用授权请求，携带用户标识、密码信息以及SSO客户端应用标识；接收开放平台服务器返回的SSO客户端应用授权请求响应，获取携带的访问令牌信息，存储至访问令牌存储模块，并将访问令牌对应的用户信息输出至展示单元；

展示单元，用于展示接收的用户信息；

代理单元，用于获取用户从展示单元展示的用户信息中选取的用户信息，映射为访问令牌，解析授权请求，获取第三方应用标识；将映射的访问令牌以及获取的第三方应用标识封装在代理授权请求中，输出至开放平台服务器；接收开放平台服务器返回的代理授权请求响应，将代理授权请求响应中携带的第三方应用访问令牌信息输出至第三方应用模块。

一种基于开放平台实现第三方应用授权的系统，该系统包括：客户端以及开放平台服务器，其中，

客户端，用于接收第三方应用发起的授权请求，确定接收的授权请求中未携带有第三方应用访问令牌信息；在确定存储有SSO客户端应用映射的访问令牌后，展示存储的访问令牌对应的用户信息；接收用户从展示的用户信息中选取的用户信息，映射为访问令牌，解析授权请求，获取第三方应用标识；将映射的访问令牌以及获取的第三方应用标识封装在代理授权请求中，输出至开放平台服务器；接收开放平台返回的代理授权请求响应，将代理授权请求响应中携带的第三方应用访问令牌信息输出至第三方应用；

开放平台服务器，用于解析接收的代理授权请求，获取代理授权请求中携带的访问令牌，根据存储的映射关系，获取访问令牌映射的用户信息，进行授权认证；根据代理授权请求中携带的第三方应用标识，进行验证，在验证通过后，根据用户信息以及第三方应用标识信息，生成第三方应用访问令牌，封装在代理授权请求响应中，输出至客户端。

较佳地，所述客户端包括：第三方应用模块、SSO客户端应用模块以及访问令牌存储模块，其中，

第三方应用模块，用于向SSO客户端应用模块发起授权请求，携带第三方应用标识；接收SSO客户端应用模块输出的第三方应用访问令牌信息，存储至访问令牌存储模块；

SSO客户端应用模块，用于接收第三方应用模块发起的授权请求，确定接收的授权请求中未携带有第三方应用访问令牌信息；在确定访问令牌存储模块中存储有SSO客户端应用映射的访问令牌后，展示存储的访问令牌对应的用户信息；接收用户从展示的用户信息中选取的用户信息，映射为访问令牌，解析授权请求，获取第三方应用标识；将映射的访问令牌以及获取的第三方应用标识封装在代理授权请求中，输出至开放平台服务器；接收开放平台服务器返回的代理授权请求响应，将代理授权请求响应中携带的第三方应用访问令牌信息输出至第三方应用模块。

由上述技术方案可见，本发明实施例提供的一种基于开放平台实现第三方应用授权的方法、装置及系统，接收第三方应用发起的授权请求，确定接收的授权请求中未携带有第三方应用访问令牌信息；确定客户端中存储有单点登录SSO客户端应用映射的访问令牌，展示存储的访问令牌对应的用户信息；接收用户从展示的用户信息中选取的用户信息，映射为访问令牌，解析授权请求，获取第三方应用标识；将映射的访问令牌以及获取的第三方应用标识封装在代理授权请求中，输出至开放平台；接收开放平台返回的代理授权请求响应，将代理授权请求响应中携带的第三方应用访问令牌信息输出至第三方应用。这样，第三方应用将授权请求发送至SSO客户端应用，SSO客户端应用读取存储的访问令牌信息，映射为用户信息并进行展示，用户可以通过SSO客户端应用展示的用户信息列表中选取用户信息，从而获取第三方应用授权时，无需用户手动输入用户名和密码信息，简化了用户操作，降低了第三方应用授权所需的时间，从而提高了应用授权效率。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，以下将对实施例或现有技术描述中所需要使用的附图作简单地介绍。显而易见地，以下描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员而言，还可以根据这些附图所示实施例得到其它的实施例及其附图。

图1为现有基于开放平台实现第三方应用授权的方法流程示意图。

图2为本发明实施例基于开放平台实现第三方应用授权的方法流程示意图。

图3为本发明实施例实现SSO客户端应用授权的方法流程示意图。

图4为本发明实施例基于SSO客户端应用实现第三方应用授权的方法流程示意图。

图5为本发明实施例实现第三方应用授权的方法另一流程示意图。

图6为本发明实施例基于开放平台实现第三方应用授权的系统结构示意图。

具体实施方式

以下将结合附图对本发明各实施例的技术方案进行清楚、完整的描述，显然，所描述的实施例仅仅是本发明的一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所得到的所有其它实施例，都属于本发明所保护的范围。

现有基于开放平台实现第三方应用授权的方法，在基于同一开放平台的客户端中，在获取应用授权时，都需要用户输入相应的用户名及密码信息，应用授权效率较低。

本发明实施例中，考虑到基于开放平台的客户端中，具有一些由开放平台授权的并有代理授权权限的客户端应用，例如，开放平台授权的并具有代理授权权限的官方客户端应用，即SSO客户端应用，而该SSO客户端应用可以代理其它未授权的第三方应用发起代理授权请求，因而，在第三方应用发起授权请求时，设置通过SSO客户端应用进行代理，由于SSO客户端应用经过授权后，在客户端存储有用户名和密码信息映射的访问令牌（access_token）信息，这样，用户可以通过SSO客户端应用展示的访问令牌列表中选取访问令牌，从而从开放平台获取授权认证，无需手动输入用户名和密码信息，降低第三方应用授权所需的时间，从而提高应用授权效率。

图2为本发明实施例基于开放平台实现第三方应用授权的方法流程示意图。在本发明实施例中，涉及三部分，第一部分为未授权的第三方应用，简称为第三方应用；第二部分为已授权的并且有代理授权权限的客户端应用，简称为SSO客户端应用；第三部分为服务授权的开放平台，简称为开放平台。参见图2，该流程包括：

步骤201，接收第三方应用发起的授权请求，确定接收的授权请求中未携带有第三方应用访问令牌信息；

本步骤中，基于同一开放平台的客户端中可能安装有一个或多个应用，在用户获取每一应用服务前，需要从开放平台获取该应用的授权。

如果用户已获取该应用的授权，则在客户端中，存储有由开放平台对用户进行授权认证后，下发的针对该用户以及该应用的访问令牌信息。也就是说，每一访问令牌信息映射唯一的用户标识以及唯一的应用标识，作为应用访问开放平台应用接口时的身份标识，包含有应用和用户的身份信息，代表了用户和应用的授权关系。其中，用户标识可以是用户名信息或用户账号信息。

如果接收的授权请求中未携带有第三方应用访问令牌信息，表明该用户为首次申请登录认证。

较佳地，该方法还可以进一步包括：

如果确定接收的授权请求中携带有第三方应用访问令牌信息，将授权请求输出至开放平台。

本步骤中，如果接收的授权请求中携带有第三方应用访问令牌信息，表明该用户为首次后的申请登录认证，与现有技术相同。

步骤202，确定客户端中存储有SSO客户端应用映射的访问令牌，展示存储的访问令牌对应的用户信息；

本步骤中，如前所述，访问令牌信息映射唯一的用户信息以及唯一的应用信息，用户信息以用户标识进行表示，可以是用户名信息或用户账号信息。

确定客户端中存储有SSO客户端应用映射的访问令牌包括：

A11，确定客户端中安装有SSO客户端应用；

本步骤中，可以通过客户端操作系统的本地服务机制检测客户端中是否安装有SSO客户端应用，关于检测的详细流程，具体可参见相关技术文献，在此不再赘述。

实际应用中，该方法可以进一步包括：

如果确定客户端中未安装有SSO客户端应用，将授权请求输出至开放平台。

A12，查询客户端中是否存储有SSO客户端应用映射的访问令牌信息，如果有，执行步骤A13，否则，执行步骤A14；

本步骤中，在预先设置的客户端用于存储访问令牌的文件目录中，查询是否存储有访问令牌信息。

A13，获取存储的访问令牌信息，执行所述展示存储的访问令牌对应的用户信息；

本步骤中，客户端中可能具有多个SSO客户端应用，对于每一SSO客户端应用中的不同用户，映射不同的访问令牌信息。将存储的所有访问令牌信息进行展示，以便用户进行选择。

A14，向开放平台发送SSO客户端应用授权请求，携带用户标识、密码信息以及SSO客户端应用标识；

本步骤中，对SSO客户端应用执行登录认证流程。如果有多个SSO客户端应用，则可以随机从中选取一个SSO客户端应用进行登录认证。

A15，接收开放平台返回的SSO客户端应用授权请求响应，获取携带的访问令牌信息，执行所述展示存储的访问令牌对应的用户信息。

本步骤中，开放平台对SSO客户端应用进行登录认证后，为该SSO客户端应用以及用户分配用于接入认证的访问令牌，并输出至客户端进行存储，客户端将接收的访问令牌对应的用户信息进行展示。

步骤203，接收用户从展示的用户信息中选取的用户信息，映射为访问令牌，解析授权请求，获取第三方应用标识；

本步骤中，如果展示的用户信息为多个，则根据预先设置的选取策略，从中选取一个进行登录认证。

步骤204，将映射的访问令牌以及获取的第三方应用标识封装在代理授权请求中，输出至开放平台；

本步骤中，客户端中的SSO客户端应用根据访问令牌以及第三方应用标识，生成代理授权请求，执行代理授权流程。

步骤205，接收开放平台返回的代理授权请求响应，将代理授权请求响应中携带的第三方应用访问令牌信息输出至第三方应用。

本步骤中，接收开放平台返回的代理授权请求响应包括：

A21，开放平台接收代理授权请求，获取代理授权请求中携带的访问令牌；

A22，根据存储的访问令牌与用户及应用的映射关系，获取用户及应用信息，对该用户及该应用进行认证；

本步骤中，开放平台中预先存储有各访问令牌映射的SSO客户端应用标识以及用户标识（uid），开放平台接收到SSO客户端应用的代理授权请求后，先根据存储的映射关系，通过接收的访问令牌获取到SSO客户端应用标识以及当前用户uid，通过SSO客户端应用标识检查该应用是否有SSO权限，以及该用户是否合法。因而，通过访问令牌获取用户uid，无需用户手动输入用户uid，这样，避免了用户再次登录的成本。

本发明实施例中，由于访问令牌具有应用和用户的一对一授权关系，开放平台通过保存这种映射的授权关系，从而可以通过接收的访问令牌，获知用户的身份，使得用户无需再次通过输入用户名和密码的方式进行身份验证。

根据用户及应用信息，对该用户及该应用进行认证的详细流程，具体可参见相关技术文献。

A23，认证通过后，获取代理授权请求中携带的第三方应用标识信息，对第三方应用进行合法性验证；

本步骤中，开放平台通过SSO客户端应用传递的第三方应用标识参数，验证第三方应用的权限，例如，通过第三方应用标识来检查该第三方应用是否处于被封禁等状态。

A24，在合法性验证通过后，为该第三方应用及用户分配第三方应用访问令牌，携带在代理授权请求响应中，输出至客户端中的SSO客户端应用。

本步骤中，开放平台通过第三方应用标识以及当前用户uid生成第三方应用访问令牌，在生成第三方应用访问令牌后，建立第三方应用访问令牌、第三方应用以及用户的映射关系，并进行存储。客户端在接收到代理授权请求响应后，建立第三方应用访问令牌、第三方应用以及用户的映射关系并存储。

下面举几个具体实施例，对本发明实施例的基于开放平台实现第三方应用授权的方法中各分支流程进行详细描述。

图3为本发明实施例实现SSO客户端应用授权的方法流程示意图。开放平台尚未授权SSO客户端应用，参见图3，该流程包括：

步骤301，SSO客户端应用向开放平台发起SSO客户端应用授权请求；

本步骤中，SSO客户端应用授权请求中携带有当前用户标识以及SSO客户端应用标识。

步骤302，开放平台根据当前用户标识查询该当前用户没有进行登录认证，向SSO客户端应用返回身份认证请求；

本步骤中，开放平台发送身份认证请求，要求验证用户身份。

步骤303，用户通过SSO客户端应用输入用户名及密码信息，SSO客户端应用向开放平台提交用户名及密码信息；

本步骤中，用户名及密码信息用于对用户进行身份验证。

步骤304，开放平台根据接收的用户名及密码信息进行分身验证，向SSO客户端应用返回访问令牌信息；

本步骤中，访问令牌映射SSO客户端应用以及用户名。

步骤305，SSO客户端应用存储访问令牌。

图4为本发明实施例基于SSO客户端应用实现第三方应用授权的方法流程示意图。开放平台已授权SSO客户端应用，参见图4，该流程包括：

步骤401，接收第三方应用发起的授权请求，获取客户端中存储的SSO客户端应用的访问令牌信息；

本步骤中，如果客户端存储有多个访问令牌信息，则获取所有SSO客户端应用映射的访问令牌信息。

步骤402，根据存储的映射关系，获取访问令牌信息映射的用户名信息并进行展示；

本步骤中，SSO客户端应用接收到第三方应用发送的授权请求时，检查SSO客户端应用中是否已经有登录用户，如果有，则显示账号列表让用户选择。即将存储的该SSO客户端应用下的访问令牌信息，分别映射为相应的用户名信息，向用户进行展示，以使用户从中选取。

步骤403，接收用户选取的用户信息，映射为访问令牌，解析授权请求，获取第三方应用标识（client_id）；

本步骤中，SSO客户端应用代理第三方应用，向开放平台发起代理授权请求，将当前用户的access_token以及第三方应用的client_id作为参数，传递给开放平台。

步骤404，将映射的访问令牌以及获取的第三方应用标识封装在代理授权请求中，输出至开放平台；

本步骤中，SSO客户端应用代理第三方应用，向开放平台发起代理授权请求。

步骤405，接收开放平台返回的代理授权请求响应，解析获取代理授权请求响应中携带的第三方应用访问令牌信息；

本步骤中，如果开放平台登录认证通过，则在向SSO客户端应用返回代理授权请求响应时，携带第三方应用访问令牌信息。

步骤406，将解析获取的第三方应用访问令牌信息输出至第三方应用；

步骤407，第三方应用通过访问令牌信息调用开放平台的应用接口，提供第三方应用服务。

本步骤中，SSO客户端应用将access_token传递给第三方应用后，第三方应用可通过access_token，以授权用户身份调用开放平台应用接口。

图5为本发明实施例实现第三方应用授权的方法另一流程示意图。参见图5，该流程包括：

步骤501，第三方应用向开放平台发送授权请求；

步骤502，开放平台向第三方应用返回身份认证请求；

步骤503，用户通过第三方应用输入用户名及密码信息，第三方应用向开放平台提交用户名及密码信息；

步骤504，开放平台根据接收的用户名及密码信息进行分身验证，向第三方应用返回访问令牌信息。

由上述可见，本发明实施例基于开放平台实现第三方应用授权的方法，由于SSO客户端应用经过授权后，在客户端存储有用户信息和SSO客户端应用信息映射的访问令牌信息，这样，第三方应用将授权请求发送至SSO客户端应用，SSO客户端应用读取存储的访问令牌信息，映射为用户信息并进行展示，用户可以通过SSO客户端应用展示的用户信息列表中选取用户信息，从而使SSO客户端应用代理第三方应用，通过传递该SSO客户端应用的访问令牌信息，由于该访问令牌参数是用户对SSO客户端应用的授权，开放平台通过该参数，可以识别用户身份，从而从开放平台获取授权认证，无需用户手动输入用户名和密码信息，简化了用户操作，降低了第三方应用授权所需的时间，从而提高了应用授权效率，不仅降低了第三方应用接入开放平台的成本，也降低了用户使用基于开放平台应用的成本。

图6为本发明实施例基于开放平台实现第三方应用授权的系统结构示意图。参见图6，该系统包括：客户端以及开放平台服务器，其中，

客户端，用于接收第三方应用发起的授权请求，确定接收的授权请求中未携带有第三方应用访问令牌信息；在确定存储有SSO客户端应用映射的访问令牌后，展示存储的访问令牌对应的用户信息；接收用户从展示的用户信息中选取的用户信息，映射为访问令牌，解析授权请求，获取第三方应用标识；将映射的访问令牌以及获取的第三方应用标识封装在代理授权请求中，输出至开放平台服务器；接收开放平台返回的代理授权请求响应，将代理授权请求响应中携带的第三方应用访问令牌信息输出至第三方应用；

开放平台服务器，用于解析接收的代理授权请求，获取代理授权请求中携带的访问令牌，根据存储的映射关系，获取访问令牌映射的用户信息，进行授权认证；根据代理授权请求中携带的第三方应用标识，进行验证，在验证通过后，根据用户信息以及第三方应用标识信息，生成第三方应用访问令牌，封装在代理授权请求响应中，输出至客户端。

其中，

客户端包括：第三方应用模块、SSO客户端应用模块以及访问令牌存储模块（图中未示出），其中，

第三方应用模块，用于向SSO客户端应用模块发起授权请求，携带第三方应用标识；接收SSO客户端应用模块输出的第三方应用访问令牌信息，存储至访问令牌存储模块；

SSO客户端应用模块，用于接收第三方应用模块发起的授权请求，确定接收的授权请求中未携带有第三方应用访问令牌信息；在确定访问令牌存储模块中存储有SSO客户端应用映射的访问令牌后，展示存储的访问令牌对应的用户信息；接收用户从展示的用户信息中选取的用户信息，映射为访问令牌，解析授权请求，获取第三方应用标识；将映射的访问令牌以及获取的第三方应用标识封装在代理授权请求中，输出至开放平台服务器；接收开放平台服务器返回的代理授权请求响应，将代理授权请求响应中携带的第三方应用访问令牌信息输出至第三方应用模块。

较佳地，SSO客户端应用模块包括：授权请求处理单元、第一判断单元、第二判断单元、SSO客户端应用单元、展示单元以及代理单元，其中，

授权请求处理单元，用于接收第三方应用模块发起的授权请求，判断接收的授权请求中是否携带有第三方应用访问令牌信息，如果没有，将授权请求输出至第一判断单元；如果有，将授权请求输出至开放平台服务器；

第一判断单元，用于接收授权请求，查询客户端中是否安装有SSO客户端应用，如果没有，将授权请求输出至开放平台服务器；如果有，将授权请求分别输出至第二判断单元以及代理单元；

第二判断单元，用于接收授权请求，查询访问令牌存储模块中是否存储有SSO客户端应用映射的访问令牌，如果有，将访问令牌对应的用户信息输出至展示单元；如果没有，向SSO客户端应用单元输出触发信息；

SSO客户端应用单元，用于接收触发信息，向开放平台服务器发送SSO客户端应用授权请求，携带用户标识、密码信息以及SSO客户端应用标识；接收开放平台服务器返回的SSO客户端应用授权请求响应，获取携带的访问令牌信息，存储至访问令牌存储模块，并将访问令牌对应的用户信息输出至展示单元；

展示单元，用于展示接收的用户信息；

代理单元，用于获取用户从展示单元展示的用户信息中选取的用户信息，映射为访问令牌，解析授权请求，获取第三方应用标识；将映射的访问令牌以及获取的第三方应用标识封装在代理授权请求中，输出至开放平台服务器；接收开放平台服务器返回的代理授权请求响应，将代理授权请求响应中携带的第三方应用访问令牌信息输出至第三方应用模块。

显然，本领域技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若对本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也包含这些改动和变型在内。

Claims (10)

1.一种基于开放平台实现第三方应用授权的方法，包括：

接收第三方应用发起的授权请求，确定接收的授权请求中未携带有第三方应用访问令牌信息；

确定客户端中存储有单点登录SSO客户端应用映射的访问令牌，展示存储的访问令牌对应的用户信息；

接收用户从展示的用户信息中选取的用户信息，映射为访问令牌，解析授权请求，获取第三方应用标识；

将映射的访问令牌以及获取的第三方应用标识封装在代理授权请求中，输出至开放平台；

接收开放平台返回的代理授权请求响应，将代理授权请求响应中携带的第三方应用访问令牌信息输出至第三方应用。

2.根据权利要求1所述的方法，其中，所述确定客户端中存储有SSO客户端应用映射的访问令牌包括：

确定客户端中安装有SSO客户端应用；

查询客户端中是否存储有SSO客户端应用映射的访问令牌信息，如果有，获取存储的访问令牌信息，执行所述展示存储的访问令牌对应的用户信息；否则，向开放平台发送SSO客户端应用授权请求，携带用户标识、密码信息以及SSO客户端应用标识，接收开放平台返回的SSO客户端应用授权请求响应，获取携带的访问令牌信息，执行所述展示存储的访问令牌对应的用户信息。

3.根据权利要求2所述的方法，其中，所述方法进一步包括：

如果确定客户端中未安装有SSO客户端应用，将授权请求输出至开放平台。

4.根据权利要求3所述的方法，其中，所述接收开放平台返回的代理授权请求响应包括：

开放平台接收代理授权请求，获取代理授权请求中携带的访问令牌；

根据存储的访问令牌与用户及应用的映射关系，获取用户及应用信息，对该用户及该应用进行认证；

认证通过后，获取代理授权请求中携带的第三方应用标识信息，对第三方应用进行合法性验证；

在合法性验证通过后，为该第三方应用及用户分配第三方应用访问令牌，携带在代理授权请求响应中，输出至客户端中的SSO客户端应用。

5.根据权利要求1至4任一项所述的方法，其中，所述访问令牌信息映射唯一的用户信息以及唯一的应用信息。

6.根据权利要求5所述的方法，其中，所述方法进一步包括：

如果确定接收的授权请求中携带有第三方应用访问令牌信息，将授权请求输出至开放平台。

7.一种基于开放平台实现第三方应用授权的装置，其特征在于，该装置包括：第三方应用模块、SSO客户端应用模块以及访问令牌存储模块，其中，

第三方应用模块，用于向SSO客户端应用模块发起授权请求，携带第三方应用标识；接收SSO客户端应用模块输出的第三方应用访问令牌信息，存储至访问令牌存储模块；

SSO客户端应用模块，用于接收第三方应用模块发起的授权请求，确定接收的授权请求中未携带有第三方应用访问令牌信息；在确定访问令牌存储模块中存储有SSO客户端应用映射的访问令牌后，展示存储的访问令牌对应的用户信息；接收用户从展示的用户信息中选取的用户信息，映射为访问令牌，解析授权请求，获取第三方应用标识；将映射的访问令牌以及获取的第三方应用标识封装在代理授权请求中，输出至开放平台服务器；接收开放平台服务器返回的代理授权请求响应，将代理授权请求响应中携带的第三方应用访问令牌信息输出至第三方应用模块。

8.根据权利要求7所述的装置，其特征在于，所述SSO客户端应用模块包括：授权请求处理单元、第一判断单元、第二判断单元、SSO客户端应用单元、展示单元以及代理单元，其中，

授权请求处理单元，用于接收第三方应用模块发起的授权请求，判断接收的授权请求中是否携带有第三方应用访问令牌信息，如果没有，将授权请求输出至第一判断单元；如果有，将授权请求输出至开放平台服务器；

第一判断单元，用于接收授权请求，查询客户端中是否安装有SSO客户端应用，如果没有，将授权请求输出至开放平台服务器；如果有，将授权请求分别输出至第二判断单元以及代理单元；

第二判断单元，用于接收授权请求，查询访问令牌存储模块中是否存储有SSO客户端应用映射的访问令牌，如果有，将访问令牌对应的用户信息输出至展示单元；如果没有，向SSO客户端应用单元输出触发信息；

SSO客户端应用单元，用于接收触发信息，向开放平台服务器发送SSO客户端应用授权请求，携带用户标识、密码信息以及SSO客户端应用标识；接收开放平台服务器返回的SSO客户端应用授权请求响应，获取携带的访问令牌信息，存储至访问令牌存储模块，并将访问令牌对应的用户信息输出至展示单元；

展示单元，用于展示接收的用户信息；

代理单元，用于获取用户从展示单元展示的用户信息中选取的用户信息，映射为访问令牌，解析授权请求，获取第三方应用标识；将映射的访问令牌以及获取的第三方应用标识封装在代理授权请求中，输出至开放平台服务器；接收开放平台服务器返回的代理授权请求响应，将代理授权请求响应中携带的第三方应用访问令牌信息输出至第三方应用模块。

9.一种基于开放平台实现第三方应用授权的系统，其特征在于，该系统包括：客户端以及开放平台服务器，其中，

客户端，用于接收第三方应用发起的授权请求，确定接收的授权请求中未携带有第三方应用访问令牌信息；在确定存储有SSO客户端应用映射的访问令牌后，展示存储的访问令牌对应的用户信息；接收用户从展示的用户信息中选取的用户信息，映射为访问令牌，解析授权请求，获取第三方应用标识；将映射的访问令牌以及获取的第三方应用标识封装在代理授权请求中，输出至开放平台服务器；接收开放平台返回的代理授权请求响应，将代理授权请求响应中携带的第三方应用访问令牌信息输出至第三方应用；

开放平台服务器，用于解析接收的代理授权请求，获取代理授权请求中携带的访问令牌，根据存储的映射关系，获取访问令牌映射的用户信息，进行授权认证；根据代理授权请求中携带的第三方应用标识，进行验证，在验证通过后，根据用户信息以及第三方应用标识信息，生成第三方应用访问令牌，封装在代理授权请求响应中，输出至客户端。

10.根据权利要求9所述的系统，其特征在于，所述客户端包括：第三方应用模块、SSO客户端应用模块以及访问令牌存储模块，其中，

第三方应用模块，用于向SSO客户端应用模块发起授权请求，携带第三方应用标识；接收SSO客户端应用模块输出的第三方应用访问令牌信息，存储至访问令牌存储模块；

SSO客户端应用模块，用于接收第三方应用模块发起的授权请求，确定接收的授权请求中未携带有第三方应用访问令牌信息；在确定访问令牌存储模块中存储有SSO客户端应用映射的访问令牌后，展示存储的访问令牌对应的用户信息；接收用户从展示的用户信息中选取的用户信息，映射为访问令牌，解析授权请求，获取第三方应用标识；将映射的访问令牌以及获取的第三方应用标识封装在代理授权请求中，输出至开放平台服务器；接收开放平台服务器返回的代理授权请求响应，将代理授权请求响应中携带的第三方应用访问令牌信息输出至第三方应用模块。