CN101207485B - 对用户进行统一身份安全认证的系统及其方法 - Google Patents

Abstract

本发明公开了一种对用户进行统一身份安全认证的方法，首先认证中心服务模块生成含有用户权限信息的会话数据，向用户终端下发用户身份标识；然后其对使用者的合法性进行确认，向应用服务模块发送会话数据；再次应用服务模块会话数据确认该使用者的访问权限，从而向所述用户终端发送所需应用数据。本发明通过增加一个认证中心服务模块，实现对所有应用服务模块的统一管理；采用本发明可以方便用户一次性登陆多个应用模块，而不需要重新输入用户身份识别信息。

Description

对用户进行统一身份安全认证的系统及其方法

技术领域

本发明涉及软件系统集成应用中的身份安全认证技术，具体涉及一种在软件系统集成应用中对用户进行统一身份安全认证的系统及方法。

背景技术

在一些大型WEB企业应用软件中，往往包括多种分别提供不同服务的应用系统，比如在企业办公平台中，常常会包括财务软件系统、客户关系管理系统、电子邮件系统、内部办公系统、外网门户系统等多个可能均由不同软件提供商提供的系统，不同的软件提供商在其提供的产品中往往都会有自己的用户权限管理模块，用来为其产品提供管理用户的权限管理和身份验证功能。

对于这种情况，企业系统管理员会为用户在每个应用服务系统中均建立一套使用帐号、密码、个人资料，并为其在各系统中分配一定的模块权限。企业用户在使用某一项服务时，需要先打开此系统的登陆界面，然后使用其在此系统中的帐号和密码登入系统，登入成功后才有权限使用某功能模块，这使得用户在使用不同的应用服务器系统时，需要多次申请帐号及密码，然后多次登陆应用服务器系统才可以对多个不同的应用服务器进行访问。

从上所述可以看出，目前在对多个应用服务器进行访问时存在一定的缺陷，需要进一步的改进，特别是在企业管理的应用中。

发明内容

为了解决现有对多个应用服务器系统进行访问时用户操作繁琐、及不利用统一管理的问题，本发明提供了一种对用户进行统一身份安全认证的系统及其方法。

本发明的一种对用户进行统一身份安全认证的系统，包括用户终端和至少一个为用户终端提供服务的应用服务模块，所述应用服务模块接收用户终端的服务访问请求、并向用户终端提供所需的服务数据；所述系统还包括：认证中心服务模块，用于为用户终端提供访问资源、统一管理各个应用服务模块和用户终端的会话数据、统一管理用户终端使用者的用户身份标识及用户访问权限；所述认证中心服务模块与各个应用服务模块之间通过简单对象访问协议接口连接；所述用户终端通过网络服务器访问所述认证中心服务模块的访问资源。

其中，所述认证中心服务模块与各个应用服务模块之间的简单对象访问协议接口数据采用数字水印技术。

其中，所述认证中心服务模块通过三重数据加密算法标准对用户身份标识进行加密处理后发送给用户终端。

采用上述系统的本发明的对用户进行统一身份安全认证的方法，按以下步骤进行：

A、认证中心服务模块与用户终端建立会话，所述认证中心服务模块生成含有用户权限信息的会话数据；

B、所述认证中心服务模块向所述用户终端下发该使用者的用户身份标识；

C、所述用户终端根据该使用者提供的用户身份标识和服务请求向所需的应用服务模块发出访问请求；

D、被请求的应用服务模块接收所述用户终端的访问请求，并向所述认证中心服务模块发出认证请求；

E、所述认证中心服务模块接收上述认证请求，并对该使用者的合法性进行确认；

F、所述认证中心服务模块向被请求的应用服务模块发送该使用者的会话数据；

G、被请求的应用服务模块根据接收到的会话数据确认该使用者的访问权限，从而确定向所述用户终端发送所需应用数据。

其中，所述方法还增加以下步骤：

H、所述用户终端根据使用者的其他服务请求或再次要求服务的请求，向所需应用服务模块发出访问请求；

I、被请求的应用服务模块接收来自用户终端的访问请求，并定时向所述认证中心服务模块发出检查用户在线情况的请求；

J、所述认证中心服务模块根据上述请求检查该使用者的在线情况；若该使用者在线，则更新相关会话数据并重复至步骤G；若使用者不在线，所述认证中心服务模块向应用服务器发出使用者需重新登陆的信息。

其中，所述方法还可以在步骤A之前增加预设置以下步骤：

首先，所述认证中心服务模块收集各个应用服务模块，并为每个应用服务模块分配唯一的模块编号；

然后，所述认证中心服务模块为所述用户终端的使用者建立用户登陆帐号和密码，并为该使用者分配可以访问的应用服务模块以及相应的访问地址。

其中，所述认证中心服务模块与各个应用服务模块之间的传输数据都经过数字水印技术加密。

其中，所述认证中心服务模块通过三重数据加密算法标准对用户终端使用者的相关信息进行加密处理形成用户身份标识。

其中，所述方法步骤E中，所述认证中心服务模块通过解密认证请求中的用户身份标识获得所需验证信息、并将该信息与认证请求中相关信息进行比较，确认一致性，从而确定使用者的合法性。

其中，所述方法步骤E中，还增加所述认证中心服务模块检查用户终端使用者的在线情况并更新相关会话数据的步骤。

其中，所述方法步骤E中，所述认证中心服务模块采用以下步骤对使用者的合法性进行确认：

E1、验证认证请求数据包数字水印的合法性；

E2、将认证请求中的用户身份标识信息解密，并比较其中包含的用户终端IP地址信息是否和认证请求中的用户终端IP地址一致；

如果不一致，则说明使用者不合法，提示重新登陆；

如果一致，则执行E3步；

E3、查看用户身份标识信息中用户帐号名信息是否一致；

如果不一致，则说明使用者不合法，提示重新登陆；

如果一致，则确定使用者的身份合法。

其中，所述方法步骤E中，所述认证中心服务模块的确认过程增加以下步骤：E4、检查此用户终端使用者是否仍然在线；如果在线则，更新会话数据中的最新在线时间，确定使用者的身份合法；如果不在线，则说明该用户终端已经登出，需要提示重新登陆。

发明效果：本发明通过增加一个认证中心服务模块，实现了对各个应用服务模块的统一管理、并且统一分配每个用户终端使用者的用户帐号和密码、及分配应用服务器的权限、统一管理应用服务模块与用户终端的会话数据(Session Data)、及保证在登陆所有应用服务模块时会话数据的一致性。本发明的认证中心通过简单对象访问协议(SOAP，Simple Object AccessProtocol)接口来和各应用模块进行统一协调。本发明认证中心保管所有的会话数据(Session Data)，并将其中必要的数据传递给各应用服务器，各个应用模块则将其会话状态和会话时间信息定时汇报给认证中心，由认证中心来统一来更新会话数据(Session Data)。在企业的系统管理中采用本发明，可以方便统一管理用户的帐号和权限；方便用户终端使用者在同一个地址进行一次登陆或退出操作，即可同时登入所有服务系统或从所有系统中安全退出；也便于用户会话的统一维护和随时跟踪用户会话状态，并保持用户在所有系统中的会话状态一致。

附图说明

图1是本发明对用户进行统一身份安全认证的系统结构示意图；

图2是本发明对用户进行统一身份安全认证的方法流程图；

图3是本发明认证中心服务模块对使用者的合法性进行确认的具体过程流程图；

图4是本发明被请求的应用服务模块根据会话数据确认用户终端使用者访问权限的方法流程图。

具体实施方式

以下将详细描述本发明的各较佳实施例。

如图1所示，本发明的身份安全认证的系统，包括用户终端1、至少一个为用户终端提供服务的应用服务模块3、和认证中心服务模块2；应用服务模块3接收用户终端1的服务访问请求、并向用户终端1提供所需的服务数据；认证中心服务模块2用于为用户终端1提供访问资源、统一管理各个应用服务模块3和用户终端1的会话数据、统一管理用户终端1使用者的用户身份标识及用户访问权限；认证中心服务模块2与各个应用服务模块3之间通过简单对象访问协议接口连接；用户终端1通过网络服务器访问认证中心服务模块2的访问资源。上述认证中心服务模块2与各个应用服务模块3之间的简单对象访问协议(即SOAP，Simple Object AccessProtocol)接口数据采用数字水印技术。上述认证中心服务模块2通过三重数据加密算法标准对用户身份标识进行加密处理后发送给用户终端1。

上述认证中心服务模块2负责用户帐号和权限的统一分配、负责单点登陆认证功能，并提供进入各个应用服务模块3的入口；负责用户终端1会话数据(Session Data)的建立、保持、状态跟踪以及销毁，负责将权限数据分发给各应用服务模块。上述各个应用服务模块负责将会话(Session)状态定时向所述认证中心服务模块2汇报，并获取权限数据进行使用权的判定。上述各个模块的功能如何实现操作的，可参见下述有关方法的相关描述。

另外，本发明的认证中心服务模块2和各个应用服务模块3之间的SOAP接口数据可以采用数字水印技术，即由认证中心服务模块2和各个应用服务模块3之间协商好一个密钥，将传输的SOAP核心业务数据和该密钥组合起来并进行不可逆的信息摘要(比如MD5，Message Digest 5)，最终生成难以伪造的数字水印。那么，所述认证中心服务模块2或各个应用服务模块3在接收到相关SOAP数据时，必须使用相同的算法和密钥来验证数字水印的合法性。这样既能有效保证信息的合法来源，也能保证SOAP业务数据很难被抓包并篡改。

采用上述系统，若用户终端1首次向其中一个应用服务模块3发出一项服务请求的话，如图1和图2所示，本发明对用户进行统一身份安全认证的方法，可按以下步骤进行：

S201、用户终端1的使用者首先要登陆认证中心服务模块2为其提供的登陆界面，从而使认证中心服务模块2与用户终端1建立会话，认证中心服务模块2生成含有用户权限信息的会话数据；

S202、认证中心服务模块2向用户终端1下发该使用者的用户身份标识，其具体可以通过向应用服务模块3加载含有用户身份标识的访问地址来实现；

S203、用户终端1的使用者通过上述访问地址请求应用服务模块3，系统会自动将访问地址上加载的用户身份标识信息提供给应用服务模块3，那么用户终端1根据该使用者提供的用户身份标识和服务请求向所需的应用服务模块3发出访问请求；

S204、被请求的应用服务模块3接收用户终端1的访问请求，并向认证中心服务模块2发出认证请求；

S205、认证中心服务模块2接收上述认证请求，并对该使用者的合法性进行确认；

S206、认证中心服务模块2向被请求的应用服务模块3发送该使用者的会话数据；

S207、被请求的应用服务模块3根据接收到的会话数据确认该使用者的访问权限，从而确定向所述用户终端1发送所需应用数据。

上述S201步中，认证中心服务模块2与用户终端1建立会话时，会自动生成一会话ID；认证中心服务模块2生成的含有用户权限信息的会话数据(Session Data)主要包括以下五点内容：(1)会话ID(SID，SeSSionIdentification)，一次会话的唯一标志，用于区分用户终端使用者的多次会话数据、方便更新和管理会话数据；(2)用户帐号名(Username)，用户终端使用者的身份象征；(3)用户权限数据(ModIDsMap)，其中包含用户终端使用者可以访问的应用服务模块3的ID(Identification)，以及对每个应用服务模块ID的访问权值，这由管理员设定；(4)用户登陆地址(LoginPageURL，Login Page Uniform Resource Locator)，用户终端使用者在浏览网页时在Internet的WWW服务程序上用于指定信息位置的表示信息；(5)用户最新在线时间(Last Online Time)，即该用户终端使用者最后一次操作时间。其中，用户帐号名和用户权限数据是必须的。

上述认证中心服务模块2通过三重数据加密算法标准(3DES，TripleDES Encryption)对用户终端1的使用者的相关信息进行加密处理形成用户身份标识UID(User Identification)，这体现了本发明的一个安全性措施，有效地防止了非法用户终端使用者伪造UID的情况发生。其具体做法是：需要对UID进行加密并作base64编码后传输，加密公式如下：

UID＝base64Encode(3DES(Username+ClientIP+PrivateKey))

加密方式采用3DES，需要加密的数据包括用户帐号名(Username)、用户终端IP(ClientIP)、密钥(PrivateKey)。最后，认证中心服务模块2将SID和UID信息附载在应用服务模块3的访问地址上，并提供给用户终端使用者，也就是上述02步的具体执行步骤。

上述S203步骤中，应用服务模块3发出的访问请求数据至少应该包括用户身份标识(UID)，用于应用服务模块3与该用户终端1建立私有会话数据。当然，该访问请求数据还可以包括会话ID，用于方便应用服务模块3对会话数据进行管理。用户终端1向应用服务模块3提供SID和UID的途径有多种，可以由它们之间建立的私有会话(通常的web session技术)保持，也可以通过URL(Uniform Resource Locator)来传递。

上述S204步骤中，当应用服务模块3第一次接收到用户终端1发送来的服务访问请求时，会建立自己和用户终端1的私有会话，并将SID、UID等信息保存在私有会话数据中，然后再通过SOAP接口去认证中心服务模块2上进行认证，认证请求数据包数据包括以下四点信息：(1)会话ID，由用户终端1传递过来的SID，用于作为认证中心服务模块2查找对应会话数据的标识；(2)用户身份标识，由用户终端1传递过来的UID；(3)用户终端IP(Client IP)；(4)登出本应用系统的地址(LogoutURL，Logout UniformResource Locator)，主要用于用户终端使用者在登出系统时，认证中心服务模块2会自动在用户终端1加载此地址，让该使用者也能从各应用服务模块3中安全退出。对于认证请求数据包至少应该包括关于用户帐号名信息的UID和用户终端IP(Client IP)，用于认证中心服务模块2对用户终端的相关信息进行认证。

上述S205步骤中，认证中心服务模块2在收到此认证请求时，通过解密认证请求中的用户身份标识获得所需验证信息、并将该信息与认证请求中相关信息进行比较，确认一致性，从而确定使用者的合法性；如图3所示，具体可以采用以下步骤对使用者的合法性进行确认：

S051、验证认证请求数据包数字水印的合法性；

S052、将认证请求中的UID信息解密，并比较其中包含的ClientIP信息是否和认证请求中的ClientIP一致；如果一致，则可以进行其它项的认证；如果不一致，则说明不合法；

S053、查看UID中Username信息是否一致，即将UID解密信息中的Username与认证中心服务模块2存储的相关会话数据(根据SID查找到的对应的会话数据)中的Usemame比较一致性；

S054、检查此用户终端使用者是否仍然在线；如果在线，则更新会话数据中的最新在线时间，如果不在线，则说明该用户终端已经登出，需要提示重新登陆；

以上条件均得到肯定以后，验证才能通过，否则均提示重新登陆。这样不仅防止了非法用户盗用服务地址，同时也防止了非法用户通过抓包等手段来恶意伪造SOAP数据。认证中心服务模块在认证通过的同时，会更新相关会话数据(根据SID查找到的对应的会话数据)中的用户最新在线时间，确保进行后续程序。对于步骤S051，只要是认证中心服务模块和应用服务模块之间进行数据交换时，都必须首先认证双方数据包水印的合法性，因为从上述本发明系统的相关描述中可以看出，认证中心服务模块2与各个应用服务模块3之间的传输数据都经过数字水印技术加密，这体现了本发明的又一安全性措施。上述步骤S052、S053是对用户终端使用者合法性的判断，S054步是可以后续再添加步骤，主要是为了避免非法用户的盗用，进一步增加安全性。

上述S207步骤中，应用服务模块3会将会话数据(Session Data)暂时保存下来，直到用户终端使用者退出系统，这样使用者在此次会话中第一次访问此应用服务模块3时的初始化认证工作结束就结束了。其中，如图4所示，应用服务模块3从会话数据(Session Data)中提取用户权限数据信息，并检查用户终端使用者是否有权限访问此服务；如果无权访问，则给与用户终端提示；如果有权限访问，则允许用户终端使用此服务，并向此用户终端发送所需应用数据。

如图2所示，用户终端使用者使用第一次请求的服务以后往往会再次请求此应用系统的其他服务，那么本发明的方法还可以增加以下步骤：

S208，用户终端1根据使用者的其他服务请求或再次要求服务的请求，向所需应用服务模块发出访问请求；

S209，被请求的应用服务模块3接收来自用户终端1的访问请求，并定时向所述认证中心服务模块2发出检查用户在线情况的请求；

S210，认证中心服务模块2根据上述请求检查该使用者的在线情况；若该使用者在线，则更新相关会话数据并重复至S207步骤；若使用者不在线，所述认证中心服务模块向应用服务模块发出使用者需重新登陆的信息。此过程中，认证中心服务模块2通过检查此次会话是否有效，即此次会话存在且最新在线时间仍然在有效期内，来判断用户终端使用者是否在线。如果会话有效，即该使用者在线，则会继续更新此次会话数据中的最新在线时间并继续上述方法S207步骤进行权限判定，从而来决定用户是否有权限继续访问其他服务；如果会话无效，则说明该使用者已经退出或者超时。

从上面可以看出，当应用服务模块3再次接收到用户的服务请求后，会定时通过SOAP接口去认证中心服务模块2检查此用户是否在线。定时条件是上次检查在线的时间是否在N秒钟(这个由管理员决定)之前，如果是则满足条件，此定时条件是为了防止应用系统因为用户的操作速度较快而频繁的去检查，这样会大大节省认证中心服务模块2的性能资源。检查在线的请求数据包包括以下信息：

(1)会话ID(SID)；(2)用户终端IP(ClientIP)。

在用户终端使用者使用服务过程中，应用服务模块3需要定时去认证中心服务模块2检查使用者的在线状态，如果在线，认证中心需要更新用户最新在线时间。如果用户终端使用者长时间无操作的话，最新在线时间得不到及时更新，那下次检查在线状态时，得到的结果将是不在线，应用系统应该提示用户重新登陆。

用户终端使用者可以随时主动退出系统；退出系统功能由认证中心服务模块2提供，在退出中，认证中心服务模块2会销毁此次会话的SessionData，并且会在用户终端自动加载此次会话中各应用服务模块2提供的认证请求数据包中LogoutURL，这样也会让各应用服务模块3销毁和用户终端之间建立的私有会话。

如图2所示，本发明的方法还可以在上述S201步骤之前预先进行下面两步的设置处理：

首先，认证中心服务模块2收集各个应用服务模块3，并为每个应用服务模块3分配唯一的模块编号；

然后，认证中心服务模块2为所述用户终端1的使用者建立用户登陆帐号和密码，并为该使用者分配可以访问的应用服务模块以及相应的访问地址。针对企业系统管理中，管理员都可以预先进行上述两步的设置，事先分配使用者用户登陆帐号和密码，方便使用者登陆认证中心服务模块2提供给用户终端的登陆界面。

综上所述，本发明可以用在企业软件应用系统集成中，可以为企业大大节省了系统管理员的维护工作量，减少了出错的几率；让企业用户在使用上更加方便，不用保管多套帐号和密码，不用忙碌于反复登陆各种服务系统，为企业用户节省了时间，同时也为企业提高了效益，具有显著的进步性和实用性。

应当理解的是，上述各具体的举例说明较为具体，并不能因此而认为是对本发明的专利保护范围的限制，本发明的专利保护范围应以所附权利要求为准。

Claims (8)

1.一种对用户进行统一身份安全认证的方法，该方法由一种对用户进行统一身份安全认证的系统来实现，所述系统包括用户终端和至少一个为用户终端提供服务的应用服务模块，所述应用服务模块接收用户终端的服务访问请求、并向用户终端提供所需的服务数据；所述系统还包括：认证中心服务模块，用于为用户终端提供访问资源、统一管理各个应用服务模块和用户终端的会话数据、统一管理用户终端使用者的用户身份标识及用户访问权限；所述认证中心服务模块与各个应用服务模块之间通过简单对象访问协议接口连接；所述用户终端通过网络服务器访问所述认证中心服务模块的访问资源，其特征在于，所述方法按以下步骤进行：

A、认证中心服务模块与用户终端建立会话，所述认证中心服务模块生成含有用户权限信息的会话数据；

B、所述认证中心服务模块向所述用户终端下发使用者的用户身份标识；

C、所述用户终端根据该使用者提供的用户身份标识和服务请求向所需的应用服务模块发出访问请求；

D、被请求的应用服务模块接收所述用户终端的访问请求，并向所述认证中心服务模块发出认证请求；

E、所述认证中心服务模块接收上述认证请求，并对该使用者的合法性进行确认；

F、所述认证中心服务模块向被请求的应用服务模块发送该使用者的会话数据；

G、被请求的应用服务模块根据接收到的会话数据确认该使用者的访问权限，从而确定向所述用户终端发送所需应用数据。 

2.根据权利要求1所述的方法，其特征在于，所述方法还增加以下步骤：

H、所述用户终端根据使用者的其他服务请求或再次要求服务的请求，向所需应用服务模块发出访问请求；

I、被请求的应用服务模块接收来自用户终端的访问请求，并定时向所述认证中心服务模块发出检查用户在线情况的请求；

J、所述认证中心服务模块根据该请求检查该使用者的在线情况；若该使用者在线，则更新相关会话数据并返回至步骤G；若使用者不在线，所述认证中心服务模块向应用服务器发出使用者需重新登陆的信息。

3.根据权利要求2所述的方法，其特征在于，所述方法还可以在步骤A之前增加预设置以下步骤：

首先，所述认证中心服务模块收集各个应用服务模块，并为每个应用服务模块分配唯一的模块编号；

然后，所述认证中心服务模块为所述用户终端的使用者建立用户登陆帐号和密码，并为该使用者分配可以访问的应用服务模块以及相应的访问地址。

4.根据权利要求3所述的方法，其特征在于，所述认证中心服务模块与各个应用服务模块之间的传输数据都经过数字水印技术加密。

5.根据权利要求4所述的方法，其特征在于，所述认证中心服务模块通过三重数据加密算法标准对用户终端使用者的相关信息进行加密处理形成用户身份标识。

6.根据权利要求5所述的方法，其特征在于，所述方法步骤E中，所述认证中心服务模块通过解密认证请求中的用户身份标识获得所需验证信息、并将该信息与认证请求中相关信息以及认证中心服务模块中存储的相 关会话数据进行比较，确认一致性，从而确定使用者的合法性。

7.根据权利要求6所述的方法，其特征在于，所述方法步骤E中，所述认证中心服务模块采用以下步骤对使用者的合法性进行确认：

E1、验证认证请求数据包数字水印的合法性；

E2、将认证请求中的用户身份标识信息解密，并比较其中包含的用户终端IP地址信息是否和认证请求中的用户终端IP地址一致；

如果不一致，则说明使用者不合法，提示重新登陆；

如果一致，则执行步骤E3；

E3、比较用户身份标识解密信息中包含的用户账号信息是否与认证中心服务模块中存储的相关会话数据中的用户账号信息一致；

如果不一致，则说明使用者不合法，提示重新登陆；

如果一致，则确定使用者的身份合法。

8.根据权利要求7所述的方法，其特征在于，所述方法步骤E中，所述认证中心服务模块的确认过程增加以下步骤：

E4、检查此用户终端使用者是否仍然在线；如果在线则更新会话数据中的最新在线时间，确定使用者的身份合法；如果不在线，则说明该用户终端已经登出，需要提示重新登陆。 

Images