CN100586066C - 一种实现单点登录的系统及方法 - Google Patents

Abstract

本发明提供了一种实现单点登录的方法及系统，该方法包括：用户由已登录网站A向认证服务器发送带有用户身份信息、欲登录网站B网址的跳转请求；认证服务器接收跳转请求生成随机密码，然后生成用户身份信息、随机密码、目标网站B网址并保存，将用户身份信息、随机密码、目标网站B网址返回网站A；网站A将用户浏览器重定向到网站B，依次通过用户、网站B将用户身份信息、随机密码、目标网站B网址传递至认证服务器；认证服务器查找是否存在网站B发送的相同用户身份信息、目标网站B网址及随机密码，如果有则向网站B返回认证成功标志，准予用户登录；该系统包括：已登录网站A、欲登录网站B、认证服务器。

Description

一种实现单点登录的系统及方法

技术领域

本发明涉及互联网技术领域，特别是涉及一种实现单点登录的系统及方法。

背景技术

随着互联网络应用的普及，越来越多的人们开始使用互联网上提供的服务，然而各网站的服务器和系统架构例如网络域名，包括不同根域名的网站或同一根域名下的多个子域名网站、各自的服务逻辑是相互独立的，用户在使用网站提供的服务时，都需要单独进行注册后才能登录。于是，随着用户网络身份的增多，用户需要记住大量的用户名、密码，给用户造成记忆上的负担，同时，频繁输入用户名和密码也增大了密码被破解的可能性。因此为了方便用户也为了网站管理，通过采取单点登录的方式，即通过一定的机制在各网站之间建立某种信任关系，用户在其中任何一个网站认证后，再访问其他网站时都不需要再次认证。这样用户只需要记忆一组用户名和密码，并且在使用多个网站时只需要输入一次用户名和密码。

在现有技术方案中，为实现单点登录，一般建立独立于各网站的认证服务器。例如，当用户访问网站A需要认证时，将该用户的浏览器重定向到认证服务器，认证服务器为用户提供一个登录页面，在用户认证成功后被重定向回网站A，此时认证信息被包含在重定向消息中，并且认证信息经过加密算法进行加密，由网站A向用户传送该认证信息，并保存在用户端服务器；用户成功登录网站A后，向登录网站B发送登录请求，该请求信息包括加密后的认证信息等。网站B接到加密的认证信息后根据各网站与认证服务器之间事先协商好的加密密钥进行解密，若解密成功并核对信息成功，则认为用户身份合法，准许用户登录网站B。

所述加密、解密算法是由认证服务器与服务网站事先协商按照一定的规则生成的。为了防止消息的重放攻击，即加密信息在传递途中被截获，截获者可以根据截获的信息寻求一定的加密规律，在以后的某个时刻重发认证信息给网站B，以骗取认证身份的通过。因此，认证服务器对网站A发来的请求进行加密时，加密信息中包含有认证服务器当前的时间，称其为时间戳。当加密信息到达网站B并进行解密时，网站B当前时间减去时间戳的时间不大于预设失效时限，则认为时间认证通过，所述失效时限是指预先设定的用户登录时间。由于用于比较的时间一个是认证服务器的时间，一个是服务网站的时间，所以要求认证服务器与各网站之间的时间要同步，若不同步，会造成网站B当前时间减去时间戳的时间过长或过短，过长，则认证信息被截获骗取合法身份的可能性增大，过短，则会导致合法身份用于登录失败，并且时间同步难于控制，导致耦合性大。

综上所述，现有技术为了提高安全性需要在认证服务器中配置高速加密解密部件，初始成本高，并且高强度的加密算法复杂、耗时大，与网站服务的实时性形成矛盾；并且要求各网站和认证服务器的时间要尽可能一直，耦合性大。

发明内容

本发明要解决的问题是实现单点登录的系统及方法，运用该系统及方法能够实现底成本的单点登录，且网站间耦合性小，安全性高。

为解决上述技术问题，本发明的目的是通过以下技术方案实现的：

步骤a：网站A接收到已登录用户跳转到网站B的请求后，向认证服务器发送带有用户身份信息、欲登录网站B网址的认证请求；

步骤b：认证服务器接收认证请求后生成随机密码，与用户身份信息、目标网站B网址进行保存，并返回网站A；

步骤c：网站A将用户浏览器重定向到网站B，用户身份信息、随机密码、目标网站B网址通过用户浏览器发送给网站B，，再经网站B传递至认证服务器；

步骤d：认证服务器查找是否存在网站B发送的相同的用户身份信息、目标网站B网址及随机密码，如果有则向网站B返回认证成功标志，准予用户登录。

其中，步骤d进一步包括：

在向网站B返回认证成功标志后，认证服务器删除用户身份信息、目标网站B网址及随机密码记录。

其中，步骤b进一步包括：认证服务器还生成创建时间参数；

步骤d进一步包括：认证服务器找到相同用户身份信息、目标网站B网址及随机密码，若认证服务器当前时间减去创建时间大于预置的失效时限，则向网站B返回认证失败标志，并删除用户身份信息、创建时间、目标网站B网址及随机密码记录，网站B将用户浏览器重定向到登录界面，若不大于则向网站B返回认证成功标志，准予用户登录。

其中，步骤b进一步包括：认证服务器将用户身份信息、随机密码拼合至目标网站B网址，将该网址返回网站A；

步骤c包括：网站A将用户浏览器重定向到网站B，并通过用户将拼合后的目标网站网址参数传递至网站B，网站B将该参数分解为目标网站B网址、随机密码、用户身份信息后传递至认证服务器。

其中，步骤b进一步包括：

认证服务器生成随机密码后查找是否包含有相同用户身份信息、随机密码、目标网站B网址的记录，如果有则重新生成随机密码进行密码更新，如果没有则继续使用之前生成的随机密码。

其中，步骤a进一步包括：网站A向认证服务器发送的认证请求中还包括可选数据，该可选数据包括字符串以外的类型或较长数据；

步骤b进一步包括：将可选数据进行保存；步骤d进一步包括：在认证服务器认证成功，则将可选数据发送至网站B。

为实现上述方法，本发明还提供了一种系统，该系统包括：

已登录网站A、欲登录网站B、认证服务器，其中：

认证服务器，用于接收网站A发送来的带有用户身份信息、欲登录网站B网址的认证请求，生成随机密码，保存用户身份信息、欲登录网站B网址和随机密码，并将用户身份信息、欲登录网站B网址和随机密码返回网站A；查找是否包含网站B发送的相同的用户身份信息、欲登录网站B网址及随机密码，并向网站B返回认证成功或失败标志；

已登录网站A用于接收用户的跳转请求，向认证服务器发送认证请求，将用户浏览器重定向到网站B，通过用户浏览器将认证服务器返回的用户身份信息、随机密码和欲登录网站B网址传递至网站B；

欲登录网站B用于将接收到的用户身份信息、随机密码和欲登录网站B网址传递至认证服务器，接收认证服务器返回的认证标志，若为认证成功标志则准予用于登录。

其中，所述认证服务器进一步用于在向网站B返回认证成功标志后删除数据中用户身份信息、随机密码和欲登录网站B网址。

其中，所述认证服务器接收到认证请求后进一步用于生成创建时间参数，在查找到包含网站B发送的相同的用户身份信息、欲登录网站B网址及随机密码后，判断服务器当前时间减去创建时间是否大于预置失效时间，若是则向网站B返回认证失败标志，若否则返回认证成功标志，并删除数据库中创建时间参数。

其中，所述认证服务器进一步用于在生成随机密码后查找是否包含有相同用户身份信息、随机密码、欲登陆网站B网址的记录，如果有则进行随机密码更新，并将用户身份信息、新随机密码拼合至欲登录网站B网址并发送至网址A；在收到网站B发送的拼合成的欲登录网站B网址后将该网址拆分成用户身份信息、随机密码及欲登录网站B网址，所述拼合成的欲登陆网站B网址由网站A将用户浏览器重定向到网站B，并通过用户发送至网站B。

其中，所述认证服务器包括用于存储用户身份信息、欲登录网站B网址、随机密码和创建时间的数据库或将该数据库外置于认证服务器。

本发明通过算法本身采用随机密码方式，一次性使用后即废弃，即一次一密，彻底防止尝试破解且防止消息重放攻击能力强。因为随机密码是一次一密，所以在传输中不必加密，不必购置加密解密模块，极大地节省了处理时间和投资。且网站加入到本方案的单点登录服务中，硬件不需改动，软件修改量小、成本低。本发明处理逻辑简单，处理能力大；且本发明比对失效时限均是使用认证服务器时间，所以各服务器间不需保持时间同步，耦合性小。

综上所述，本发明不需配置高速加密部件减少了成本，耦合性小，安全性高，处理能力大，避免了高强度加密带来的耗时长问题。

附图说明

图1为本发明实施例流程图；

图2为本发明实施例流程图；

图3为本发明实施例流程图；

图4为本发明实施例流程图；

图5为本发明的系统组网图。

具体实施方式

本发明提供了一种单点登录的方法，该方法用于实现简单、安全、耦合性小、底成本的单点登录。

参照图1，举例说明本发明的实现方法。

步骤101：用户向已登陆网站A发送连接到网站B的跳转请求；

步骤102：网站A接收到跳转请求后，向认证服务器发送带有用户身份信息的和欲登录网站B网址的认证请求；

步骤103：认证服务器接收认证请求后生成随机密码，并生成一条包含用户身份信息、随机密码、目标网站B网址的会话期记录保存至数据库，并返回给网站A；

步骤104：网站A将用户浏览器重定向到网站B，并将用户身份信息、随机密码、目标网站B网址三个参数通过用户发送至目标网站B；

步骤105：网站B接收到访问请求后，将用户身份信息、随机密码、目标网站B网址发送至认证服务器请求认证；

步骤106：认证服务器根据接收到的三个参数在数据库中查找、判断是否有相同的记录存在，若是则执行步骤107，若否则执行步骤108；

步骤107：认证服务器向网站B返回认证成功信息，允许用户访问网站B；

步骤108：认证服务器向网站B发送认证失败信息；

步骤109：将用户浏览器定向到登录界面，提示用户重新登录。

本方法较简单的实现了低成本、耦合性小、安全性高的单点登录，但为了更好的防止消息重放攻击，可以采取以下实施方式，参照图2，举例说明本发明的实现方法。

步骤201：用户向已登陆网站A发送连接到网站B的跳转请求；

步骤202：网站A接收到跳转请求后，向认证服务器发送带有用户身份信息的和欲登录网站B网址的认证请求；

步骤203：认证服务器接收认证请求后生成随机密码，并生成一条包含用户身份信息、随机密码、目标网站B网址和时间参数的会话期记录保存至数据库，并用户身份信息、随机密码、目标网站B网址将返回给网站A；

步骤204：网站A将用户浏览器重定向到网站B，并将用户身份信息、随机密码、目标网站B网址三个参数通过用户发送至目标网站B；

步骤205：网站B接收到访问请求后，将用户身份信息、随机密码、目标网站B网址发送至认证服务器请求认证；

步骤206：认证服务器根据接收到的三个参数在数据库中查找、判断是否有相同的记录存在，若是则执行步骤207，若否则执行步骤209；

步骤207：判断认证请求是否超过失效时限，该失效实现是指认证服务器当前时间减去时间参数是否超过预设的一个失效时间，若否则执行步骤208，若是则执行步骤209；

步骤208：认证服务器向网站B返回认证成功信息，允许用户访问网站B；

步骤209：认证服务器向网站B发送认证失败信息并删除数据库中但前记录；

步骤210：将用户浏览器定向到登录界面，提示用户重新登录。

为了使消息传递过程更高效可以采取以下实施方式，参照图3，举例说明本发明的实现方法。

步骤301：用户向已登陆网站A发送连接到网站B的跳转请求；

步骤302：网站A接收到跳转请求后，向认证服务器发送带有用户身份信息的和欲登录网站B网址的认证请求；

步骤303：认证服务器接收认证请求后生成随机密码，并生成一条包含用户身份信息、随机密码、目标网站B网址和时间参数的会话期记录保存至数据库，并用户身份信息、随机密码拼合至目标网站B网址中返回给网站A；

步骤304：网站A将用户浏览器重定向到网站B，并将拼合成的目标网站B网址通过用户发送至网站B；

步骤305：网站B将该目标网站B网址发送至认证服务器；

步骤306：认证服务器将接收到的目标网站B网址拆分成用户身份信息、随机密码及目标网站B网址，并判断数据库中是否有相同记录存在，若是则执行步骤307，若否则执行步骤309：

步骤307：判断认证请求是否超过失效时限，该失效实现是指认证服务器当前时间减去时间参数是否超过预设的一个失效时间，若否则执行步骤308，若是则执行步骤309；

步骤308：认证服务器向网站B返回认证成功信息，允许用户访问网站B；

步骤309：认证服务器向网站B发送认证失败信息并删除数据库中当前记录；

步骤310：将用户浏览器定向到登录界面，提示用户重新登录。

为进一步提高安全性，防止随机密码被冒名重复使用可以采取以下实施方式，参照图4，举例说明本发明的实现方法。

步骤401：用户向已登陆网站A发送连接到网站B的跳转请求；

步骤402：网站A接收到跳转请求后，向认证服务器发送带有用户身份信息、欲登录网站B网址及可选数据的认证请求，该可选数据可以保持较长的和复杂的数据格式；

步骤403：认证服务器查找数据库中是否有相同记录，若没有则执行步骤405，若有则执行步骤404

步骤404：重新生成新密码，并进行密码更新，将用户身份信息、新密码拼合至欲登录网站B网址并发送A；

步骤405：认证服务器接收认证请求后生成随机密码，并生成一条包含用户身份信息、随机密码、目标网站B网址和时间参数的会话期记录保存至数据库，并用户身份信息、随机密码拼合至目标网站B网址中返回给网站A；

步骤406：网站A将用户浏览器重定向到网站B，并将拼合成的目标网站B网址通过用户发送至网站B；

步骤407：网站B将该目标网站B网址发送至认证服务器；

步骤408：认证服务器将接收到的目标网站B网址拆分成用户身份信息、随机密码及目标网站B网址，并判断数据库中是否有相同记录存在，若是则执行步骤409，若否则执行步骤413；

步骤409：判断认证请求是否超过失效时限，该失效实现是指认证服务器当前时间减去时间参数是否超过预设的一个失效时间，若否则执行步骤410，若是则执行步骤413；

步骤410：认证服务器向网站B发送认证成功信息及可选数据；

步骤411：认证服务器删除数据库中用户身份信息、随机密码、目标网站B网址及时间参数；

步骤412：用户访问网站B；

步骤413：认证服务器向网站B发送认证失败信息并删除数据库中当前记录；

步骤414：将用户浏览器重定向至认证服务器，提示用户需重新登录。

在该实施例中，假定随机密码被截获。首先，在该次单点登录跳转完成后，数据库中的对应记录被删除，防止了随机密码被冒名重复使用。其次，随机密码是随机生成，且是对全部用户的跳转请求生成随机序列，在运行环境中，用户并发访问量很大，某段随机序列被分配给某用户的连续请求的可能性几乎不存在，且某个请求分配到的随机密码无法预测，所以窃密者既难于分析随机序列生成规律，又难于伪造出合法的请求。事实上，窃密者唯一能够成功的机会是先截获用户的网站B跳转网址，并先于用户将该跳转网址发向网站B。由于用户的重定向是连续过程，所以这个时间间隔非常小。只有用户重定向失败，该跳转网址直至超过失效时限才自动失效的情况下，窃密者的尝试时间较长，约等于失效时限。且现有技术的每个请求都存在失效时限供窃密者尝试，而本方案只有在极少数情况下才会出现。所以安全性仍远大于现有技术。

本发明提供了一种单点登录的系统，该系统用于实现简单、安全、耦合性小、低成本的单点登录。

参照图5，该系统包括：已登录网站A、欲登录网站B、认证服务器。

其中，认证服务器包括两个接口：创建单点登录(create_sso_session)接口和检测单点登录(check_sso_session)接口。create_sso_session接口用于实现网站A与认证服务器的通信，并在此接口根据网站A发送来的用户登录网站B的请求生成随机密码，生成并保存包括用户身份信息、随机密码、欲登录网站B网址、和创建时间的会话期表格，将前两个参数拼合成一个欲登录网站B网址参数；check_sso_session接口，用于实现网站B与认证服务器的通信，并在此接口分解网站B发送来的拼合的网站B的网址地址，查找会话期表格中是否包含相同的上述参数，并向网站B返回认证成功标志或认证失败标志，删除会话期表格中的所有参数；

已登录网站A用于将用户浏览器重定向到网站B，通过用户将用户身份信息、随机密码和欲登录网站B网址传递至网站B；

欲登录网站B用于将用户传送的参数传递至认证服务器，接收认证服务器返回的认证标志，若为认证成功标志则准予用于登录，若为认证失败标志则将用户浏览器重定向到登录界面。

假设用户通过输入用户名和密码在网站A成功登录，网站B的网址地址为：http://abc.com，用户想通过网站A登录网站B。于是，网站A接到用户发送的登录网站B的请求，网站A将用户ID yyy(yyy为用户ID对应的参数值)、网站B的网址地址http://abc.com发送到认证服务器create_sso_session接口，在该接口生成一随机密码xxx，并形成一条以随机密码xxx、用户ID yyy、网站B的网址地址http://abc.com、及记录创建时间为参数的登录请求记录，保存到数据库中，其中，记录创建时间为数据库当前时间。同时，认证服务器以随机密码xxx、用户ID yyy、网站B的网址地址http://abc.com为参数形成一拼合的网站B的网址地址：http://abc.com？uid＝xxx&pid＝yyy，其中uid、pid为用户ID、随机密码参数名，认证服务器把该拼合的网站B的网址地址返还给网站A，网站A再将该拼合的地址依次经由用户、网站B返还到认证服务器的check_sso_session接口，认证服务器在check_sso_session接口把拼合的网站B的网址地址http://abc.com？uid＝xxx&pid＝yyy分解成用户ID为yyy、随机密码为xxx、网站B的网址地址为http://abc.com，并与数据库中保存的登录请求记录进行比较，若用户ID、随机密码、网站B的网址地址都与记录中的内容相符，数据库当前时间减去该条记录创建时间大于预设失效时限，则认证服务器认为核对成功，将一成功标志发送到网站B，同时删除认证服务器中保存的该条登录请求记录，网站B接收到的成功标志认为用户身份合法，准予登录，实现了用户不需要再次输入用户名和密码即可登录网站B的目的。若认证服务器核对失败，则将一失败标志发送到网站B，网站B接收到失败标志认为用户身份不合法，提示用户登录失败。

其中，预设失效时限为预设的从网站A重定向到网站B并完成单店登录检查的最大合理时间。

本发明技术方案，适用于跨域名的单点登录，也适用于同一根域名下的单点登录，其实现原理同跨域名的单点登录相同。

以上对本发明所提供的单点登录方法和系统进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (11)

1、一种实现单点登录的方法，其特征在于，该方法包括：

步骤a：网站A接收到已登录用户跳转到网站B的请求后，向认证服务器发送带有用户身份信息、欲登录网站B网址的认证请求；

步骤b：认证服务器接收认证请求后生成随机密码，与用户身份信息、目标网站B网址进行保存，并返回网站A；

步骤c：网站A将用户浏览器重定向到网站B，用户身份信息、随机密码、目标网站B网址通过用户浏览器发送给网站B，，再经网站B传递至认证服务器；

步骤d：认证服务器查找是否存在网站B发送的相同的用户身份信息、目标网站B网址及随机密码，如果有则向网站B返回认证成功标志，准予用户登录。

2、根据权利要求1所述的实现单点登录的方法，其特征在于，步骤d进一步包括：

在向网站B返回认证成功标志后，认证服务器删除用户身份信息、目标网站B网址及随机密码记录。

3、根据权利要求1所述的实现单点登录的方法，其特征在于，

步骤b进一步包括：认证服务器还生成创建时间参数；

步骤d进一步包括：认证服务器找到相同用户身份信息、目标网站B网址及随机密码，若认证服务器当前时间减去创建时间大于预置的失效时限，则向网站B返回认证失败标志，并删除用户身份信息、创建时间、目标网站B网址及随机密码记录，网站B将用户浏览器重定向到登录界面，若不大于则向网站B返回认证成功标志，准予用户登录。

4、根据权利要求2所述的实现单点登录的方法，其特征在于，

步骤b进一步包括：认证服务器将用户身份信息、随机密码拼合至目标网站B网址，将该网址返回网站A；

步骤c包括：网站A将用户浏览器重定向到网站B，并通过用户将拼合后的目标网站网址参数传递至网站B，网站B将该参数分解为目标网站B网址、随机密码、用户身份信息后传递至认证服务器。

5、根据权利要求4所述的实现单点登录的方法，其特征在于，步骤b进一步包括：

认证服务器生成随机密码后查找是否包含有相同用户身份信息、随机密码、目标网站B网址的记录，如果有则重新生成随机密码进行密码更新，如果没有则继续使用之前生成的随机密码。

6、根据权利要求5所述的实现单点登录的方法，其特征在于，

步骤a进一步包括：网站A向认证服务器发送的认证请求中还包括可选数据，该可选数据包括字符串以外的类型或较长数据；

步骤b进一步包括：将可选数据进行保存；步骤d进一步包括：在认证服务器认证成功，则将可选数据发送至网站B。

7、一种实现单点登录的系统，其特征在于，该系统包括：已登录网站A、欲登录网站B、认证服务器，其中：

认证服务器，用于接收网站A发送来的带有用户身份信息、欲登录网站B网址的认证请求，生成随机密码，保存用户身份信息、欲登录网站B网址和随机密码，并将用户身份信息、欲登录网站B网址和随机密码返回网站A；查找是否包含网站B发送的相同的用户身份信息、欲登录网站B网址及随机密码，并向网站B返回认证成功或失败标志；

已登录网站A用于接收用户的跳转请求，向认证服务器发送认证请求，将用户浏览器重定向到网站B，通过用户浏览器将认证服务器返回的用户身份信息、随机密码和欲登录网站B网址传递至网站B；

欲登录网站B用于将接收到的用户身份信息、随机密码和欲登录网站B网址传递至认证服务器，接收认证服务器返回的认证标志，若为认证成功标志则准予用于登录。

8、根据权利要求7所述的实现单点登录的系统，其特征在于，所述认证服务器进一步用于在向网站B返回认证成功标志后删除数据中用户身份信息、随机密码和欲登录网站B网址。

9、根据权利要求8所述的实现单点登录的系统，其特征在于，所述认证服务器接收到认证请求后进一步用于生成创建时间参数，在查找到包含网站B发送的相同的用户身份信息、欲登录网站B网址及随机密码后，判断服务器当前时间减去创建时间是否大于预置失效时间，若是则向网站B返回认证失败标志，若否则返回认证成功标志，并删除数据库中创建时间参数。

10、根据权利要求8或9所述的实现单点登录的系统，其特征在于，所述认证服务器进一步用于在生成随机密码后查找是否包含有相同用户身份信息、随机密码、欲登陆网站B网址的记录，如果有则进行随机密码更新，并将用户身份信息、新随机密码拼合至欲登录网站B网址并发送至网址A；在收到网站B发送的拼合成的欲登录网站B网址后将该网址拆分成用户身份信息、随机密码及欲登录网站B网址，所述拼合成的欲登录网站B网址由网站A将用户浏览器重定向到网站B，并通过用户发送至网站B。

11、根据权利要求10所述的实现单点登录的系统，其特征在于，所述认证服务器包括保存用户身份信息、欲登录网站B网址、时间参数和随机密码的数据库或将该数据库外置于认证服务器。

Images