CN101729540A - 基于应用层身份信息同步单点登录方法 - Google Patents

Abstract

本发明公开了一种基于应用层身份信息同步单点登录方法，该方法包括三个流程，统一目录验证、业务应用验证、身份信息同步，用户需先通过目录验证后，在访问代理服务器、应用层、数据库、目录服务器之间实现业务应用验证和身份信息同步，从而实现新增用户(更改用户身份信息)的操作。该方法的主要优点是独立于应用系统的数据库，减少数据库层面的耦合度；不需要单独开发身份信息的驱动，降低投入费用和开发周期；将即时信息同步改变为使用信息同步，成批更新身份信息，提高数据库的更新效率和降低服务器的负载；通过逻辑判断代理服务器真伪，分析是否存在第三者攻击，降低业务应用和代理服务器之间的契约要求。

Description

基于应用层身份信息同步单点登录方法

技术领域

本发明涉及基于应用层身份信息同步单点登录方法，它是通过应用层完成应用系统与目录之间的身份信息同步，从而实现用户单点登录。

背景技术

随着国内经济实力提升，企业的信息系统越来越多，用户需要记录大量的系统账号和口令，维护这些账号和口令给用户带来了诸多不便，特别是企业门户系统的建设，需要实现接入系统的单点登录。单点登录实现主要是集中存储身份信息，然后代替用户填写应用系统的身份信息(用户名和口令)，用户一次可以登录有权访问的应用系统。当用户身份信息更改时，需要将目录中集中存放的身份信息同步到业务应用系统中，保持目录和业务应用系统身份信息一致。当前大多数目录采用的数据库层同步：目录创建同步驱动，由驱动同步数据至数据库中间表，再由中间表通过同步触发器将数据传送给业务应用系统用户表。

从目录建设实际情况，采用数据库层同步方式，目录建设开发周期比较长，目录与集成的业务应用系统紧密耦合，不利于推广和维护。另外，数据库层同步方式在数据发生变动后立即将更新后的身份信息同步到业务系统，用户重新登录系统时发生用户信息的改变即可，也就是使用更新用户身份信息。

发明内容

本发明的目的是提供一种基于应用层身份信息同步单点登录方法，该方法区别于当前中心身份信息管理系统通过驱动将用户身份信息同步至业务应用系统数据库，是基于应用层实现用户登录时，中心身份信息管理系统同步用户身份信息至业务应用系统数据库的方法。

本发明的基于应用层身份信息同步单点登录方法，涉及访问代理服务器、认证服务器、目录服务器、应用层及数据库，它包括三个流程：统一目录验证、业务应用验证、身份信息同步，具体步骤如下：

步骤a：用户发出访问受保护业务应用系统资源页面的请求，访问代理服务器初始化保护资源的页面，并将请求重定向至认证服务器，同时传递给认证服务器与用户请求资源相关的契约；

步骤b：访问代理服务器和客户端浏览器建立会话，客户端浏览器发送一个请求至访问代理服务器的登录链接，该请求被访问代理服务器重定向至认证服务器的登录页面；

步骤c：用户在登录页面中输入目录中登录名和密码等身份信息，该身份信息被认证服务器发送至目录服务器认证，认证成功后，访问代理服务器保持该用户会话，并向业务应用系统传输用户身份信息；

步骤d：业务应用系统获取登录用户身份信息，并在本数据库中验证，如本数据库无该用户身份信息数据，则添加，否则发起目录服务器用户身份信息认证请求；

步骤e：业务应用系统将没有通过系统认证的用户身份信息发送至目录服务器，验证该用户身份信息的合法性；

步骤f：用户身份信息第二次在目录服务器中验证并被确认合法后，业务应用系统同步用户密码等不一致的身份信息至本数据库；

步骤g：业务应用定期比较目录服务器与本数据库用户身份信息异同，禁用目录服务器中已经禁用或删除的用户数据。

本发明的基于应用层身份信息同步单点登录方法，择时二次验证用户身份信息，通过应用层标准接口方式同步用户身份信息，它同数据库层身份信息同步相比具有以下优点：

1、独立于应用系统的数据库，减少数据库层面的耦合度；

2、不需要单独开发身份信息的驱动，降低投入费用和开发周期；

3、将即时信息同步改变为使用信息同步，成批更新身份信息，提高数据库的更新效率和降低服务器的负载；

4、通过逻辑判断代理服务器真伪，分析是否存在第三者攻击，降低业务应用和代理服务器之间的契约要求。

附图说明

图1为本发明总体架构图；

图2为用户通过单点登录应用系统的逻辑流程图。

具体实施方式

名称解释：

(para1，para2)@Point：站点Point的参数1(para1)和参数2(para2)；[(para1，para2)@point]’App：站点Point存储App的参数1(para1)和参数2(para2)；Response：响应用户请求；

Insert：在业务应用系统中添加新用户；

Update：业务应用系统更新用户身份信息

Reject：拒绝用户请求；

图1是本发明的逻辑结构，主要包含三个部分：统一目录验证(Verify@ED)、业务应用验证(Verify@AS)、身份信息同步(SynID@AS)。用如下形式表示完成的功能和应用模块之间的关系：

第一部分：统一目录验证(Verify@ED)

用户发出访问受保护业务应用系统资源页面的请求，访问代理服务器初始化保护资源的页面，并将请求重定向认证服务器，同时传递给认证服务器与用户请求资源相关的契约。访问代理服务器告知浏览器初始化一个特殊会话，浏览器发送一个请求至访问代理服务器的登录链接，该请求被访问代理服务器重定向至认证服务器的登录页面。用户输入身份信息，如果通过目录服务器认证，该用户身份信息进入“Verify@AS”验证，如果认证失败，访问请求被拒绝；

第二部分：业务应用验证(Verify@AS)

业务应用系统验证由访问代理服务器传送的用户身份信息合法性。如果本数据库中用户身份信息与访问代理服务器传输值保持一致，访问用户合法，业务应用系统返回请求资源。如果验证不成功，用户身份信息进入“SynID@AS”验证；

第三部分：身份信息同步(SynID@AS)

业务应用系统判断数据库中用户登录名与由访问代理服务器中获取的用户登录名(以下称为“代理用户名”同时称由代理服务器获取的密码为“代理密码”)是否一致。在“代理用户名”和“代理密码”值同目录服务器中所存的用户名和密码值一致的情况下，如果“代理用户名与目录服务器中用户登录名不一致，业务应用系统插入用户身份信息至本数据库中；“代理用户名”与本数据库中用户登录名一致，但“代理密码”与目录服务器中用户密码不一致，业务应用系统将本数据库中密码重置为新密码。“代理用户名”和“代理密码”与目录服务器中用户名和用户密码都不一致，该用户身份信息被业务应用系统认定为源于伪造访问代理服务器，从而丢弃。

。

Claims (1)

1.一种基于应用层身份信息同步单点登录方法，涉及访问代理服务器、认证服务器、目录服务器、应用层及数据库，其特征在于：它包括三个流程：统一目录验证、业务应用验证、身份信息同步，具体步骤如下：

步骤a：用户发出访问受保护业务应用系统资源页面的请求，访问代理服务器初始化保护资源的页面，并将请求重定向认证服务器，同时传递给认证服务器与用户请求资源相关的契约；

步骤b：访问代理服务器和客户端浏览器建立会话，客户端浏览器发送一个请求至访问代理服务器的登录链接，该请求被访问代理服务器重定向至认证服务器的登录页面；

步骤c：用户在登录页面中输入目录中登录名和密码等身份信息，该身份信息被认证服务器发送至目录服务器认证，认证成功后，访问代理服务器保持该用户会话，并向业务应用系统传输用户身份信息；

步骤d：业务应用系统获取登录用户身份信息，并在本数据库中验证，如本数据库无该用户身份信息数据，则添加，否则发起目录服务器用户身份信息认证请求；

步骤e：业务应用系统将没有通过系统认证的用户身份信息发送至目录服务器，验证该用户身份信息的合法性；

步骤f：用户身份信息第二次在目录服务器中验证并被确认合法后，业务应用系统同步用户密码等不一致的身份信息至本数据库；

步骤g：业务应用定期比较目录服务器与本数据库用户身份信息异同，禁用目录服务器中已经禁用或删除的用户数据。