CN101217367B - 引入鉴权客户端实现业务鉴权的系统及方法 - Google Patents

Abstract

本发明公开了一种引入鉴权客户端实现业务鉴权的系统，包括应用客户端、鉴权服务器、鉴权客户端和业务平台。所述鉴权客户端与应用客户端通信连接，用于预存鉴权数据，接收应用客户端的鉴权数据请求指令并将相关鉴权数据返回所述应用客户端；所述业务平台与所述应用客户端通信连接，用于接收应用客户端发来的包括鉴权数据的业务请求，对鉴权数据进行验证并将验证结果返回应用客户端。本发明还公开了一种基于上述系统的引入鉴权客户端实现业务鉴权的方法。本发明增加了鉴权客户端的新模块，与鉴权服务器以及业务平台共同完成业务鉴权功能，减小了鉴权服务器的处理压力，提高了业务鉴权系统的扩展性，降低了鉴权服务器的建设和扩容成本。

Description

引入鉴权客户端实现业务鉴权的系统及方法

技术领域

本发明涉及通信业务的鉴权系统及方法，尤其是通过业务平台与鉴权服务器之间信息交互完成鉴权的鉴权系统及方法。

背景技术

目前通信业务采用的鉴权方法都是通过业务平台与鉴权服务器之间的信息交互完成鉴权。如图1所示，用户通过应用客户端10发起业务请求后，业务平台12收到业务请求后与鉴权服务器11进行通信，确定该用户是否可以使用该应用。如果鉴权服务器11给出鉴权成功的回应，用户就可以开始使用该应用了，否则如果鉴权服务器12给出鉴权失败的回应，业务平台12将中止业务请求，并向应用客户端10发送鉴权失败消息，用户不能使用该应用。

在现有的鉴权方式下，用户每发起一个业务请求，业务平台都需要与鉴权服务器进行通信并得到鉴权回应，这种方式的鉴权效率并不高。如果大量用户短时间内频繁使用各种业务，鉴权服务器就可能会出现处理负荷过大的问题，从而影响业务的正常开展。

发明内容

本发明的目的是提供一种引入鉴权客户端实现业务鉴权的系统及基于该系统的业务鉴权方法，以解决上述鉴权服务器与业务平台频繁通信导致鉴权服务器负荷过大的问题，由鉴权客户端代理应用客户端发出鉴权请求，鉴权客户端、鉴权服务器以及业务平台共同完成业务鉴权功能。鉴权客户端通过预定一定量的鉴权相关数据来减少与鉴权服务器之间的通信量，从而减少鉴权服务器的处理压力。

为实现上述目的，本发明提供了一种引入鉴权客户端实现业务鉴权的系统，包括一应用客户端；还包括一鉴权客户端，与所述应用客户端通信连接，用于预存鉴权数据，接收应用客户端的鉴权数据请求指令并将相关鉴权数据返回给所述应用客户端；一业务平台，与所述应用客户端通信连接，用于接收应用客户端发来的包括鉴权数据的业务请求，对鉴权数据进行验证并将验证结果返回给应用客户端；一鉴权服务器，所述鉴权服务器与鉴权客户端通信连接，用于接收鉴权客户端的鉴权数据请求指令并将鉴权数据返回给鉴权客户端。

所述鉴权客户端是安装在用户终端中的客户端应用程序。

根据上述鉴权系统，所述鉴权服务器与业务平台通信连接，用于通知业务平台建立连接信息并接收业务平台返回的连接信息。

基于上述鉴权系统，本发明还提供了一种引入鉴权客户端实现业务鉴权的方法，包括：

鉴权客户端收到应用客户端发送的鉴权数据请求指令，查看是否保存有有效的鉴权数据，若有则将相关鉴权数据返回给应用客户端，否则代理应用客户端向鉴权服务器发出鉴权数据请求指令，获取鉴权数据，并将相关鉴权数据返回给应用客户端；

应用客户端向业务平台发送业务请求，所述业务请求中包括从鉴权客户端收到的鉴权数据；

业务平台对鉴权数据进行验证，通过则允许用户使用该业务；否则结束业务请求，并向所述应用客户端发送错误消息。

其中所述的鉴权数据为令牌或连接信息。所述令牌是一种用于表示鉴权凭证的数据结构，表明未来一段时间或若干次数内某用户可以使用某一种业务，所述令牌包含令牌标识、业务标识、终端标识、令牌时效和验证码等信息，验证码用于验证令牌信息的完整性和有效性。为保证令牌的信息安全，需要对令牌进行加密。所述令牌可在业务平台、鉴权服务器、应用客户端、鉴权客户端之间传递。所述连接信息也是一种数据结构，用来表明在应用客户端与业务平台之间存在一个可用的连接通路，所述连接信息包含连接标识、业务标识、终端标识、连接时效等信息。为保证连接信息的安全，需要对连接信息进行加密。

上述步骤中所述鉴权客户端收到应用客户端发送的鉴权数据请求指令，查看是否保存有有效的鉴权数据，若有则将相关鉴权数据返回给应用客户端，否则代理应用客户端向鉴权服务器发出鉴权数据请求指令，获取鉴权数据包括以下步骤：

步骤10：所述鉴权客户端收到鉴权数据请求指令后查看是否保存有有效的鉴权数据，若有则将相关鉴权数据返回给应用客户端，否则代理应用客户端向鉴权服务器发出鉴权数据请求指令；

步骤11：鉴权服务器收到鉴权数据请求指令后验证用户身份的合法性，不合法则向应用客户端返回错误信息，结束此次业务请求；合法则生成相应的鉴权数据，同时将所述鉴权数据返回给鉴权客户端；

步骤12：鉴权客户端接收并保存鉴权数据。

其中所述鉴权数据为令牌。

步骤11中所述鉴权数据还包括连接信息，且所述步骤11中生成相应的鉴权数据前还包括以下步骤：

步骤111：鉴权服务器通知业务平台建立相关的连接信息；

步骤112：业务平台建立并保存相关连接信息，同时将连接信息发送给鉴权服务器。

所述鉴权客户端收到应用客户端发送的鉴权数据请求指令，查看是否保存有有效的鉴权数据，若有则将相关鉴权数据返回给应用客户端，否则代理应用客户端向鉴权服务器发出鉴权数据请求指令，获取鉴权数据包括以下步骤：

步骤20：所述鉴权客户端收到鉴权数据请求指令后查看是否保存有有效的鉴权信息，若有则执行步骤22，否则代理应用客户端向鉴权服务器发出鉴权数据请求指令；

步骤21：鉴权服务器收到鉴权数据请求指令后验证用户身份的合法性，不合法则向应用客户端返回错误信息，结束此次业务请求；合法则产生相应的鉴权信息，同时将所述鉴权信息返回给鉴权客户端；所述鉴权信息为与用户鉴权相关的用户状态数据及用户订购关系数据，用于生成鉴权数据；

步骤22：鉴权客户端根据鉴权信息验证用户身份的合法性，若不合法则向应用客户端返回错误信息，结束此次业务请求；合法则生成相应的鉴权数据。

步骤22中所述的鉴权数据为令牌。

步骤20-22中所述鉴权信息是与用户鉴权相关的用户状态数据及用户订购关系数据。

由以上技术方案可知，与现有方案相比，本发明增加了鉴权客户端的新模块，可单独完成一部分鉴权功能，也可以与鉴权服务器和业务平台共同完成鉴权功能，因此，本发明的优点是：

1、由于大部分业务鉴权请求可以在终端由鉴权客户端完成，因此加快了业务鉴权请求的处理速度；

2、由于重复性的业务鉴权请求可以由鉴权客户端独立完成，不再需要鉴权服务器逐个处理，因此减小了鉴权服务器处理压力，提高了业务鉴权系统的扩展性，降低了鉴权服务器的建设和扩容成本。

下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。

附图说明

图1为本发明通信业务现有鉴权系统的结构图。

图2为本发明引入鉴权客户端实现业务鉴权的系统结构图。

图3为本发明具体实施例一的鉴权请求处理流程图。

图4为本发明具体实施例二的鉴权请求处理流程图。

图5为本发明具体实施例三的鉴权请求处理流程图。

具体实施方式

为了解决鉴权服务器处理负荷过大，从而影响业务正常开展的问题，本发明提供了一种引入鉴权客户端实现业务鉴权的系统，如图2所示，该系统包括：一应用客户端21；一鉴权客户端22，与所述应用客户端通信连接，用于预存鉴权数据，接收应用客户端的鉴权数据请求指令并将相关鉴权数据返回给所述应用客户端；一业务平台24，与所述应用客户端通信连接，用于接收应用客户端发来的包括鉴权数据的业务请求，对鉴权数据进行验证并将验证结果返回给应用客户端。

所述鉴权系统还包括一鉴权服务器23，所述鉴权服务器23与鉴权客户端22通信连接，用于接收鉴权客户端22的鉴权数据请求指令并将鉴权数据或鉴权信息返回鉴权客户端22。

根据上述鉴权系统，所述鉴权服务器23与业务平台24通信连接，用于通知业务平台24建立连接信息并接收业务平台24返回的连接信息。

上述鉴权系统中，所述应用客户端21是安装在用户终端中的业务应用客户端程序，比如流媒体播放器和在线游戏的客户端，所述应用客户端21发起业务请求时需要通过与鉴权客户端22的接口发出鉴权数据请求指令。

所述鉴权客户端22是安装在用户终端中的客户端应用程序，所述鉴权客户端22与所述应用客户端21通信连接，用于预存鉴权数据，接收应用客户端21发送的鉴权数据请求，并返回相应的鉴权数据，其中预存数据的获取方式为所述鉴权客户端22也与所述鉴权服务器23通信连接，用于代理应用客户端21向鉴权服务器23发出鉴权数据请求指令，获取鉴权数据。鉴权数据可以是令牌和/或业务平台24预设的连接信息。所述令牌是一种用于表示鉴权凭证的数据结构，表明未来一段时间或若干次数内某用户可以使用某一种业务，所述令牌包含令牌标识、业务标识、终端标识、令牌时效和验证码等信息，验证码用于验证令牌信息的完整性和有效性。为保证令牌的信息安全，需要对令牌进行加密。所述令牌可在业务平台24、鉴权服务器23、应用客户端21、鉴权客户端22之间传递。所述连接信息也是一种数据结构，用来表明在应用客户端21与业务平台24之间存在一个可用的连接通路，所述连接信息包含连接标识、业务标识、终端标识、连接时效等信息。为保证连接信息的安全，需要对连接信息进行加密。

所述鉴权服务器23具有最终的鉴权功能，并存储业务鉴权信息。所述鉴权信息是与用户鉴权相关的用户状态数据及用户订购关系数据。

所述业务平台24可以由应用服务器单独构成，也可以由应用服务器与业务网关共同构成。所述业务平台24与所述应用客户端21通信连接，用于对应用客户端21发来的鉴权数据进行验证，疏通所述应用客户端21与所述业务平台24之间的数据流，通过与所述鉴权服务器23之间的通信建立两者之间的互信关系。所述业务平台24还负责处理各种所述应用客户端21发出的业务请求并提供应用服务。

基于上述的用户鉴权系统，本发明还提供了一种引入鉴权客户端实现业务鉴权的方法，根据鉴权数据的内容和生成方法的不同，可以有以下三种具体的实施方式：

第一种实施方式：鉴权数据为令牌，令牌由鉴权服务器产生，鉴权客户端存储令牌，业务请求携带令牌，业务平台只对令牌进行有效性验证；

第二种实施方式：鉴权数据为令牌和/或连接信息，令牌由鉴权服务器产生，并在业务平台预设连接数据，鉴权客户端存储令牌和相关连接信息，业务请求携带连接信息，业务平台对比业务请求中的连接信息与预设的连接数据，进行有效性验证；

第三种实施方式：鉴权数据为令牌，鉴权客户端从鉴权服务器下载必要的业务鉴权信息，鉴权客户端存储业务鉴权信息，令牌由鉴权客户端根据业务鉴权信息产生，业务请求携带令牌，业务平台只对令牌进行有效性验证。此方式下，鉴权服务器只为鉴权客户端提供鉴权信息，鉴权决策是鉴权客户端根据鉴权信息来完成的。

如图3所示为本发明提供的鉴权方法的具体实施例一的流程图，包括以下步骤：

步骤101：应用客户端向鉴权客户端发起鉴权数据请求指令；

步骤102：鉴权客户端收到鉴权数据请求指令后查看保存的令牌状态，若发现无令牌或令牌无效，执行步骤103，若令牌有效，执行步骤107；

步骤103：鉴权客户端向鉴权服务器发出鉴权数据请求指令；

步骤104：鉴权服务器收到鉴权数据请求指令后验证用户身份的合法性，若合法执行步骤105，否则执行步骤110；

步骤105：鉴权服务器生成一定数量的令牌，并将生成的令牌发送给鉴权客户端；

步骤106：鉴权客户端接收并存储令牌；

步骤107：鉴权客户端回应应用客户端鉴权数据请求指令完成，并发送一个令牌给应用客户端；

步骤108：应用客户端向业务平台发送业务请求，所述业务请求中包括从鉴权客户端收到的令牌；

步骤109：业务平台收到令牌并验证令牌的合法性，若合法则业务鉴权完成，否则执行步骤111；

步骤110：鉴权服务器向鉴权客户端返回错误信息，鉴权客户端再将错误信息返回给应用客户端，结束此次鉴权数据请求；

步骤111：业务平台向应用客户端返回错误信息，结束此次业务请求。

如图4所示为本发明具体实施例二的流程图，与具体实施例一的区别是：令牌由鉴权服务器产生，并在业务平台预设连接数据，鉴权客户端存储令牌和相关连接信息，业务平台对比业务请求中的连接信息与预设的连接数据进行有效性验证。由于业务请求中的令牌自身携带了用于通过业务网关的全部验证信息，业务网关无需存储相关匹配信息，而连接信息在业务请求和业务网关中都存在，两者必须匹配才表示可用的通路，因此与具体实施例一相比，采用具体实施例二的方式进行业务鉴权更可靠，安全性更高。

具体实施例二具体包括以下步骤：

步骤201：应用客户端向鉴权客户端发起鉴权数据请求指令；

步骤202：鉴权服务器收到鉴权数据请求指令后查看保存的令牌状态，若发现无令牌或令牌无效，则执行步骤203，若令牌有效，则执行步骤209；

步骤203：鉴权客户端向鉴权服务器发出鉴权数据请求指令；

步骤204：鉴权服务器收到鉴权数据请求指令后验证用户身份的合法性，合法则执行步骤205，否则执行步骤212；

步骤205：鉴权服务器通知业务平台建立相关的连接信息；

步骤206：业务平台建立并保存相关连接信息，将连接信息发送给鉴权服务器；

步骤207：鉴权服务器产生一定数量的令牌，并将连接信息和令牌发送给鉴权客户端；

步骤208：鉴权客户端存储连接信息和令牌；

步骤209：鉴权客户端回应应用客户端鉴权数据请求指令完成，并将连接信息发送给应用客户端；

步骤210：应用客户端向业务平台发送业务请求，所述业务请求中包括从鉴权客户端收到的连接信息；

步骤211：业务平台收到连接信息，与步骤206存储的连接信息相比，以验证连接的合法性，若连接合法，则业务鉴权完成，否则执行步骤213。

步骤212：鉴权服务器向鉴权客户端返回错误信息，鉴权客户端将错误信息返回应用客户端，结束此次鉴权数据请求。

步骤213：业务平台向应用客户端返回错误信息，结束此次业务请求；

如图5所示为本发明具体实施例三的流程图，与具体实施例一的区别是，令牌由鉴权客户端根据业务鉴权信息产生，业务请求携带鉴权客户端产生的令牌，由于在本具体实施例中令牌不是由鉴权服务器而是由鉴权客户端根据鉴权信息产生，这样就减小了鉴权服务器的处理压力，提高了鉴权效率。

具体实施例三包括以下步骤：

步骤301：应用客户端向鉴权客户端发起鉴权数据请求指令；

步骤302：鉴权客户端收到鉴权数据请求指令后查看保存的鉴权信息状态，若发现无鉴权信息或鉴权信息无效，执行步骤303，否则执行步骤306；

步骤303：鉴权客户端向鉴权服务器发出鉴权数据请求指令；

步骤304：鉴权服务器收到鉴权数据请求指令后产生相应的鉴权信息，并将鉴权信息发送给鉴权客户端；

步骤305：鉴权客户端存储鉴权信息；

步骤306：鉴权客户端根据鉴权信息验证用户身份的合法性，合法执行步骤307，否则执行步骤310；

步骤307：鉴权客户端生成一个令牌，回应应用客户端鉴权数据请求指令完成，并将令牌发送给应用客户端；

步骤308：应用客户端向业务平台发送业务请求，所述业务请求中包括从鉴权客户端收到的令牌；

步骤309：业务平台收到令牌，并验证令牌的合法性，若令牌合法，业务鉴权完成，否则执行步骤311；

步骤310：鉴权客户端向应用客户端返回错误消息，结束此次鉴权数据请求；

步骤311：业务平台向应用客户端返回错误消息，结束此次业务请求。

最后所应说明的是，以上实施例仅用以说明本发明的技术方案而非限制，尽管参照较佳实施例对本发明进行了详细说明，本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明技术方案的精神和范围。

Claims (6)

1.一种引入鉴权客户端实现业务鉴权的系统，包括一应用客户端，其特征在于还包括：

一鉴权客户端，与所述应用客户端通信连接，用于预存鉴权数据，接收应用客户端的鉴权数据请求指令并将相关鉴权数据返回给所述应用客户端；

一业务平台，与所述应用客户端通信连接，用于接收应用客户端发来的包括鉴权数据的业务请求，对鉴权数据进行验证并将验证结果返回给应用客户端；

一鉴权服务器，所述鉴权服务器与鉴权客户端通信连接，用于接收鉴权客户端的鉴权数据请求指令并将鉴权数据返回给鉴权客户端。

2.根据权利要求1所述的引入鉴权客户端实现业务鉴权的系统，其特征在于，所述鉴权客户端是安装在用户终端中的客户端应用程序。

3.根据权利要求1或2所述的引入鉴权客户端实现业务鉴权的系统，其特征在于所述鉴权服务器与业务平台通信连接，用于通知业务平台建立连接信息并接收业务平台返回的连接信息。

4.一种引入鉴权客户端实现业务鉴权的方法，其特征在于包括：

鉴权客户端收到应用客户端发送的鉴权数据请求指令，查看是否保存有有效的鉴权数据，若有则将相关鉴权数据返回给应用客户端，否则代理应用客户端向鉴权服务器发出鉴权数据请求指令，获取鉴权数据，并将相关鉴权数据返回给应用客户端，所述鉴权数据为令牌；

应用客户端向业务平台发送业务请求，所述业务请求中包括从鉴权客户端收到的鉴权数据；

业务平台对鉴权数据进行验证，通过则允许用户使用该业务；否则结束业务请求，并向所述应用客户端发送错误消息。

5.根据权利要求4所述的引入鉴权客户端实现业务鉴权的方法，其特征在于，所述鉴权客户端收到应用客户端发送的鉴权数据请求指令，查看是否保存有有效的鉴权数据，若有则将相关鉴权数据返回给应用客户端，否则代理应用客户端向鉴权服务器发出鉴权数据请求指令，获取鉴权数据包括以下步骤：

步骤10：所述鉴权客户端收到鉴权数据请求指令后查看是否保存有有效的鉴权数据，若有则将相关鉴权数据返回给应用客户端，否则代理应用客户端向鉴权服务器发出鉴权数据请求指令；

步骤11：鉴权服务器收到鉴权数据请求指令后验证用户身份的合法性，不合法则向应用客户端返回错误信息，结束此次业务请求；合法则生成相应的鉴权数据，同时将所述鉴权数据返回给鉴权客户端；

步骤12：鉴权客户端接收并保存鉴权数据。

6.根据权利要求5所述的引入鉴权客户端实现业务鉴权的方法，其特征在于，步骤11中所述鉴权数据还包括连接信息，且所述步骤11中生成相应的鉴权数据前还包括以下步骤：

步骤111：鉴权服务器通知业务平台建立相关的连接信息；

步骤112：业务平台建立并保存相关连接信息，同时将连接信息发送给鉴权服务器。

Images