CN101902327B - 一种实现单点登录的方法、设备及其系统 - Google Patents

Abstract

本发明公开了一种实现单点登录的方法，以解决现有单点登录过程中针对不支持门户认证的应用系统模块，数据传输的安全可靠性较低以及门户服务器工作负荷较大问题。该方法，在不支持门户验证的应用系统模块所在的应用服务器上集成有代理服务模块；代理服务模块接收门户服务器发送请求登录该应用系统模块的用户进行身份认证的信息，根据记录的映射关系得到与接收的信息对应的该应用系统模块对该用户进行身份认证所使用的信息，将得到的信息发送至应用系统模块，应用系统模块根据该信息对该用户进行身份认证以及根据认证结果对登录该应用系统模块请求进行处理。采用本发明技术方案，可提高单点登录过程中数据传输的安全可靠性和减轻门户服务器工作负荷。

Description

一种实现单点登录的方法、设备及其系统

技术领域

本发明涉及通信领域，尤指一种实现单点登录的方法、设备及其系统。 

背景技术

SSO(Single Sign On，单点登录)，是目前比较流行的企业业务整合的解决方案之一，在多个应用系统模块中定义SSO，用户只需要登录一次就可以访问所有相互信任的应用系统模块。由于在企业网站实现单点登录，即可将企业内部的各种应用系统模块集成在一起，体现了企业应用系统模块的整体性和完整性，简化了企业用户的操作，减轻了用户的管理和系统维护的成本，因此实现单点登录意义比较重大。 

目前，实现单点登录的方法常常是在portal(门户服务器)进行门户登录、身份认证。针对支持门户验证的应用系统模块，portal在用户通过身份认证之后为其产生一个表示认证通过的认证凭据——票据，并将该票据发送到用户请求访问的应用系统模块，以便该应用系统模块根据该票据允许用户登录并访问该应用系统模块；而针对不支持门户验证的应用系统模块，portal在对用户进行身份认证并认证通过之后，由portal采取代填服务的方式将应用系统模块对该用户进行身份认证的信息通过网络传输给应用系统模块，以便该应用系统模块对该用户进行身份认证以及根据认证结果处理用户的登录请求。 

参见图1，为现有技术中实现单点登录的系统架构图，该系统可包括portal11、应用系统模块12(该应用系统模块支持门户验证)、应用系统模块13(该应用系统模块不支持门户验证)，portal 11与应用系统模块12所在设备或与应用系统模块13所在设备之间通过网络进行信息交互，其中： 

portal 11中包括登录服务模块、验证服务模块、单点登录用户信息存储模 块、用户信息映射表、代填服务模块、票据验证服务模块；应用系统模块12中包括门户验证客户端与用户信息存储模块；应用系统模块13中包括系统认证服务模块与用户信息存储模块。 

Portal 11中的单点登录用户信息存储模块中存储有Portal 11对用户进行身份认证所使用的信息；应用系统模块12中的用户信息存储模块存储的用户信息与单点登录用户信息存储模块存储的信息保持同步；应用系统模块13中的用户信息存储模块中存储有应用系统模块13对该用户进行身份认证所使用的信息；用户信息映射表记录有portal 11对用户进行身份认证所使用的信息与应用系统模块13对该用户进行身份认证所使用的信息的映射关系。 

参见图2，为现有技术基于图1所示系统架构实现单点登录的流程示意图，该流程包括以下步骤： 

步骤201～202、用户当前所在的客户端通过portal 11的登录服务模块提供的登录界面向portal 11发送登录应用系统模块的登录请求，其中携带登录该应用系统模块时所使用的用户登录信息(用户登录信息包括用户名(如用户ID号)、登录密码)与业务请求信息；portal 11提取该登录请求中的用户登录信息，由验证服务模块根据单点登录用户信息存储模块中存储的该用户登录应用系统模块时所使用的用户登录信息对该用户进行身份验证。 

在验证通过后，portal 11根据业务请求信息，判断该用户是访问应用系统模块12，还是应用系统模块13，如果访问应用系统模块12，则执行步骤203～205；如果访问应用系统模块13，则执行步骤206～207。 

在步骤203～205中，portal 11中的票据验证服务模块根据用户发送的用户登录信息生成与其相关联的票据，然后将该用户登录信息及票据发送至应用系统模块12；应用系统模块12的门户验证客户端解析出票据后对其合法性(如票据格式等)进行验证，并根据验证结果决定是否允许该用户登录应用系统模块12。 

在步骤206～208中，portal 11的代填服务模块根据用户发送的用户登录信 息以及用户信息映射表，得到该用户在应用系统模块13中的用户登录信息，再将业务请求信息和得到的用户登录信息通过网络发送到应用系统模块13的系统认证服务模块；系统认证服务模块根据接收到的用户登录信息与用户信息存储模块中的用户登录信息对用户进行身份认证，并根据认证结果决定是否允许该用户登录应用系统模块13。 

在上述流程的步骤206中，portal 11将获取到的用户登录信息及业务请求信息发送至应用系统模块13的发送方式通常有以下四种： 

方式一：采用URL(Uniform Resource Locater，统一资源定位系统)链接。Portal 11使用指向应用系统模块13的URL地址，并通过该URL地址将获取到的用户登录信息及业务请求信息采用明文或加密的方式经过网络传输层发送至应用系统模块13。采用该种方式向应用系统模块13发送用户登录信息及业务请求信息，无论从URL地址的跳转还是从网络侧的角度，在网络传输过程中，该用户登录信息及业务请求信息都易于被截取或破解，因而安全可靠性较低。 

方式二、在portal 11中内嵌入一个用户名域以及一个密码域，将需要传送的用户登录信息中的用户名与密码分别加入到所述用户名域与密码域中，并采用https提交方式将该用户登录信息及业务请求信息通过网络传输层传送至应用系统模块13。由于在网络传输中传输用户登录信息及业务请求信息采用了https协议，因此采用该种方式与方式一相比，在安全可靠性上有所提高，但是这种采用https协议传输信息的缺陷在于，用户名域与密码域中的信息内容易于在客户端截获，因此，从客户端来说，安全可靠性较低。并且采用https协议可能还需要特定的证书，因此处理起来比较复杂。 

方式三：用代码在用户终端的后台模拟一个https协议提交，Portal 11在后台用网络程序去模拟一个From提交，采用该种方式，虽然安全性得到保障，但是采用了Https协议，因此存在https协议的证书问题；并且在Portal 11需要模拟一个From提交，因此需要特定的开发工作量，在接口的调试上也会存在 工作量，网络的技术上也需要进行相应的公关，该方案的难度最高。 

综上所述，由于现有单点登录技术中，针对不支持门户认证的应用程序需要portal进行代填服务，即需要Portal代该应用程序填写用来进行用户身份认证的信息并通过网络传输该应用程序进行身份认证，一方面，由于用来进行身份认证的信息是通过网络传输到应用系统模块中的，通过这种方式传输信息很容易被截取或破解，因此，安全可靠性较差；另一方面，当在网络中集成有大量这种不支持门户验证的应用系统模块时，portal需要执行大量的代填服务以及用户信息映射的维护工作，因而导致portal的工作负荷较大。 

发明内容

本发明实施例提供一种实现单点登录的方法及系统，以解决现有单点登录过程中针对不支持门户认证的应用系统模块，数据传输的安全可靠性较低以及门户服务器工作负荷较大问题。 

一种实现单点登录的方法，在不支持门户验证的应用系统模块所在的应用服务器上集成有代理服务模块，所述代理服务模块中记录有门户服务器对用户进行身份认证所使用的信息与所述应用系统模块对该用户进行身份认证所使用的信息的映射关系，当门户服务器接收到用户登录所述应用系统模块的请求并对该用户的身份认证通过后，该方法包括： 

所述代理服务模块接收门户服务器发送的对该用户进行身份认证所使用的信息，并根据所述映射关系得到与接收到的信息对应的应用系统模块对用户进行身份认证所使用的信息； 

所述代理服务模块将得到的所述应用系统模块对用户进行身份认证所使用的信息发送到所述应用系统模块，所述应用系统模块根据所述应用系统模块对用户进行身份认证所使用的信息对该用户进行身份认证以及根据认证结果对登录该应用系统模块的请求进行处理。 

一种实现单点登录的应用服务器，包括不支持门户验证的应用系统模块，还包括代理服务模块，该代理服务模块中记录有门户服务器对用户进行身份认证所使用的信息与所述应用系统模块对该用户进行身份认证所使用的信息的映射关系； 

代理服务模块，用于在门户服务器接收到用户登录所述应用系统模块的请 求并对该用户的身份认证通过后，接收门户服务器发送的对该用户进行身份认证所使用的信息，并根据所述映射关系得到与接收到的信息对应的应用系统模块对用户进行身份认证所使用的信息，并将得到的所述应用系统模块对用户进行身份认证所使用的信息发送到所述应用系统模块；所述代理服务模块包括用户信息映射表存储子模块，用于存储所述映射关系； 

所述应用系统模块，用于根据接收到的所述应用系统模块对用户进行身份认证所使用的信息对该用户进行身份认证以及根据认证结果对登录该应用系统模块的请求进行处理。 

一种实现单点登录的系统，包括： 

门户服务器，用于接收用户登录应用系统模块的请求，并对该用户的身份认证通过后，发送对用户进行身份认证所使用的信息； 

应用服务器，集成有代理服务模块与不支持门户验证的应用系统模块，所述代理服务模块中记录有门户服务器对用户进行身份认证所使用的信息与所述应用系统模块对该用户进行身份认证所使用的信息的映射关系；所述代理服务模块用于接收门户服务器发送的对用户进行身份认证所使用的信息，根据所述映射关系得到与接收到的信息对应的应用系统模块对用户进行身份认证所使用的信息，并将所述应用系统模块对用户进行身份认证所使用的信息发送给应用系统模块；所述应用系统模块根据接收到的所述应用系统模块对用户进行身份认证所使用的信息对该用户进行身份认证以及根据认证结果对登录该应用系统模块的请求进行处理；所述代理服务模块包括用户信息映射表存储子模块，用于存储所述映射关系。 

本发明的上述实施例，在不支持门户认证的应用系统模块所在的设备上设置有代理服务模块，并在该代理服务模块上设置有用户登录所述应用系统模块时所使用的用户登录信息与该用户在该应用系统模块中所对应的用户登录信息的用户信息映射表，通过该代理服务模块对用户登录该应用系统模块进行代填服务以及用户信息映射维护，一方面，由于代理服务模块与不支持门户认证的应用系统模块集成在同一物理设备上，代理服务模块在对用户登录该应用系统模块进行代填服务后，可通过所在设备内部的通信连接将用于进行身份认证的信息发送到同一设备上的应用系统模块，因此发送的用户登录信息不需要经 过网络层传输，因而避免了在网络层传输过程中被截取或被破解的可能性，提高信息传输的安全可靠性；另一方面，由于代填服务由代理服务模块实现，而代理服务模块与门户服务器不在同一物理设备上，因而，与现有单点登录技术相比，不需要在门户服务器针对各个不支持门户认证的应用系统模块进行代填服务与用户信息映射维护，因而从一定程度上减轻了门户服务器的工作量。 

附图说明

图1为现有技术中实现单点登录的系统结构图； 

图2为现有技术中基于图1所示系统结构的实现单点登录的流程示意图； 

图3为本发明实施例中实现单点登录的系统结构图； 

图4为本发明实施例中基于图3所示系统结构的实现单点登录的流程示意图。 

具体实施方式

本发明实施例提供了实现单点登录的方法、设备及其系统，以解决现有单点登录过程中针对不支持门户验证的应用系统模块，其登录过程安全可靠性较低以及门户服务器工作负荷较大问题。 

在本发明实施例所提供的单点登录实现方法中，可在不支持门户验证的应用系统模块所在的设备(如应用服务器)上集成代理服务模块，在该代理服务模块记录有门户服务器对用户进行身份认证所使用的信息与所述应用系统模块对该用户进行身份认证所使用的信息的映射关系(如可以建立用户信息映射表，在该信息映射表中存储该映射关系)。当用户请求登录该不支持门户验证的应用系统模块时，执行以下步骤： 

用户通过所在客户端将登录该应用系统模块的登录请求发送给portal； 

portal从该登录请求中提取用于对该用户进行身份认证的信息，并对该用户身份认证通过后，将信息发送至代理服务模块； 

代理服务模块接收portal发送的信息，根据存储的映射关系得到与接收到的信息对应的应用系统模块对用户进行身份认证所使用的信息，并将该得到的信息发送至相应的应用系统模块(如可以通过通过所在设备的内部连接将得到的用户登录信息发送到该设备上相应的应用系统模块)，以便该应用系统模块根据该用户信息对该用户进行身份认证以及根据认证结果对登录该应用系统模块的请求进行处理。 

该方法可应用于局域网络。如果局域网络中有多个不支持门户验证的应用系统模块，且这些应用系统模块分布在不同的物理设备上，则可在每个部署有不支持门户验证的应用系统模块所在的物理设备上配置上述代理服务模块。 

下面结合说明书附图，对本发明实施例进行更为详细的描述。 

参见图3，为本发明实施例中实现单点登录的系统结构图，该系统包括portal 31，以及至少一个物理设备30，物理设备30上集成有代理服务模块32和不支持门户认证的应用系统模块33，portal 31与物理设备30之间通过网络进行通信，其中： 

portal 31可包括登录服务模块311、验证服务模块312、单点登录用户信息存储模块313、票据验证服务模块314、portlet服务模块315； 

代理服务模块32可包括信息收发子模块321、代理主程序子模块322、门户验证客户端323、代填服务子模块324、用户信息映射表存储子模块325，可选的，还包括用户信息存储子模块326与单点登录用户信息存储子模块327； 

应用系统模块33可包括系统认证服务模块331、系统业务服务模块332以及用户信息存储模块333。 

其中，单点登录用户信息存储模块313中存储有portal 31对用户进行身份认证所使用的用户登录信息，单点登录用户信息存储子模块327与单点登录用户信息存储模块313中存储的用户登录信息保持同步；用户信息存储模块333存储有应用系统模块33对该用户进行身份认证所使用的用户登录信息，用户信息存储子模块326与用户信息存储模块333中存储的用户登录信息保持同 步。用户信息映射表存储子模块325中的映射表存储有单点登录用户信息存储子模块327中的用户登录信息对应的用户标识与用户信息存储子模块326中存储的用户登录信息对应的用户标识的映射关系。 

参见图4，为本发明实施例基于图3所示系统架构的实现单点登录的流程示意图，该流程包括以下步骤： 

步骤401、用户通过所在客户端向portal 31发送登录应用系统模块33的登录请求。 

该步骤中，用户通过portal 31中的登录服务模块311提供的登录界面，输入登录应用系统模块33的用户登录信息及业务请求信息，以请求登录应用系统模块33。 

步骤402、登录服务模块311将该用户登录信息发送至验证服务模块312进行验证，验证服务模块312将该用户登录信息与单点登录用户信息存储模块313中存储的用户登录信息进行比较，若存在该用户登录信息，则用户身份验证通过。 

步骤403、在验证服务模块312对用户身份认证通过后，由票据验证服务模块314根据该用户登录信息生成与该用户登录信息相关联的票据，并对该票据进行加密。 

步骤404、票据验证服务模块314将该用户登录信息、业务请求信息及加密后的票据发送至代理服务模块32。 

在该步骤中，可以通过portlet服务模块315分配一个指向应用系统模块33的URL地址，票据验证服务模块314通过该URL地址，将用户登录信息、业务请求信息及票据通过网络层发送至代理服务模块32。 

由信息收发子模块321接收该用户登录信息、业务请求信息以及票据，信息收发子模块321将业务请求信息发送至代理主程序子模块322，代理主程序子模块322根据该业务请求信息读取配置文件，调用门户验证客户端323。 

步骤406、代理服务模块32根据用户信息映射表存储子模块325中的映射 表，获取用户信息存储子模块326中与该用户登录信息相对应的用户登录信息。 

该步骤中，代理主程序322查找配置文件中的代填实现程序，代填实现程序根据该用户的ID号从用户信息映射表存储子模块325中查找出与该用户相对应的用户ID号，再根据该查找出的用户ID号从用户信息存储子模块326中获取与该ID号对应的用户登录信息。 

步骤407、代理服务模块32将从用户信息存储子模块326中获取到的用户登录信息与前述业务请求信息通过物理设备30的内部连接发送至应用系统模块33。 

该步骤中，由代填服务子模块324向应用系统模块33发送用户登录信息及业务请求信息。 

步骤408、应用系统模块33根据接收到的用户登录信息对该用户进行身份认证，并在认证通过后，进行系统初始化工作。 

该步骤中，应用系统模块33中的系统认证服务模块331将接收到的用户登录信息与用户信息存储模块333中存储的用户登录信息进行比较，若存在该用户登录信息，则认证通过，并进行系统初始化(如权限初始化、首页用户相关业务信息的获取、代办任务、菜单权限等)。 

步骤409、应用系统模块33向该用户所在的客户端展示该用户请求的业务的相关信息。 

步骤410、应用系统模块33对该用户的资源权限进行认证。 

上述流程中，代理服务模块32接收到票据后，还包括步骤405，将其保存到门户验证客户端323中。 

应用系统模块33在对用户资源权限认证通过之后，用户通过所在的客户端向应用系统模块33发送业务请求的流程，该流程包括以下步骤： 

步骤411、客户端向代理服务模块32发送携带有票据的业务请求。 

步骤412、代理服务模块32解析该票据，根据门户验证客户端323存储的票据对接收到票据的有效性进行验证。 

该步骤中，门户验证客户端323将解析出的票据与存储的对应的票据进行比较，若两者一致，则有效性验证通过。 

步骤413～414、在代理服务模块32对验证票据有效后，应用系统模块33对该用户的资源权限进行认证，并在认证通过之后，向发起业务请求的用客户端发送业务数据。 

本发明实施例中的portal 31相比较于现有技术中的portal 11来说，其改进点在于，现有技术通过portal 11来实现代填服务与用户信息映射维护，而本发明实施例是通过在不支持门户认证的应用系统模块33所在的物理设备上集成代理服务模块32，并通过该代理服务模块32来实现代填服务与用户信息映射维护；而上述的代填服务与用户信息映射维护都是针对不支持门户认证的应用系统模块，portal 31针对支持门户认证的应用系统模块并没有做改动，因此，本发明实施例中的portal 31与支持门户认证的应用系统模块是兼容的。 

本发明实施例提供的技术方案，在不支持门户认证的应用系统模块所在的设备上设置有代理服务模块，并在该代理服务模块上设置有用户信息映射表，该映射表记录有门户服务器对用户进行身份认证所使用的信息与所述应用系统模块对该用户进行身份认证所使用的信息的映射关系，通过该代理服务模块对用户登录该应用系统模块进行代填服务以及用户信息映射维护，一方面，由于代理服务模块与不支持门户认证的应用系统模块集成在同一物理设备上，代理服务模块在对用户登录该应用系统模块进行代填服务后，可通过所在设备内部的通信连接将用于进行身份认证的信息发送到同一设备上的应用系统模块，因此发送的用户登录信息不需要经过网络层传输，因而避免了在网络层传输过程中被截取或被破解的可能性，提高信息传输的安全可靠性；另一方面，由于代填服务由代理服务模块实现，而不需要在portal针对各个不支持门户认证的应用系统模块进行代填服务与用户信息映射维护，因而从一定程度上减轻了portal的工作量。 

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发 明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。 

Claims (6)

1.一种实现单点登录的方法，其特征在于，在不支持门户验证的应用系统模块所在的应用服务器上集成有代理服务模块，所述代理服务模块中记录有门户服务器对用户进行身份认证所使用的信息与所述应用系统模块对该用户进行身份认证所使用的信息的映射关系，当门户服务器接收到用户登录所述应用系统模块的请求并对该用户的身份认证通过后，该方法包括：

所述代理服务模块接收门户服务器发送的对该用户进行身份认证所使用的信息，并根据所述映射关系得到与接收到的信息对应的应用系统模块对用户进行身份认证所使用的信息；

所述代理服务模块将得到的所述应用系统模块对用户进行身份认证所使用的信息发送到所述应用系统模块，所述应用系统模块根据所述应用系统模块对用户进行身份认证所使用的信息对该用户进行身份认证以及根据认证结果对登录该应用系统模块的请求进行处理。

2.如权利要求1所述的方法，其特征在于，所述进行身份认证所使用的信息包括：用户标识和密码。

3.如权利要求1所述的方法，其特征在于，所述门户服务器对所述用户的身份认证通过后，还包括：

所述门户服务器为该用户登录所述应用系统模块生成认证信息并发送给所述代理服务模块；

所述代理服务模块对该认证信息的合法性验证通过后，保存该认证信息；

当所述应用系统模块允许所述用户登录后，还包括：

所述代理服务模块接收所述用户发送给所述应用系统模块的携带有认证信息的业务请求，并根据存储的认证信息对接收到的认证信息的有效性进行验证，如果验证通过，则允许该用户访问所述应用系统模块；否则，不允许该用户访问所述应用系统模块。

4.一种实现单点登录的应用服务器，包括不支持门户验证的应用系统模块，其特征在于，还包括代理服务模块，该代理服务模块中记录有门户服务器对用户进行身份认证所使用的信息与所述应用系统模块对该用户进行身份认证所使用的信息的映射关系；

代理服务模块，用于在门户服务器接收到用户登录所述应用系统模块的请求并对该用户的身份认证通过后，接收门户服务器发送的对该用户进行身份认证所使用的信息，并根据所述映射关系得到与接收到的信息对应的应用系统模块对用户进行身份认证所使用的信息，并将得到的所述应用系统模块对用户进行身份认证所使用的信息发送到所述应用系统模块；所述代理服务模块包括用户信息映射表存储子模块，用于存储所述映射关系；

所述应用系统模块，用于根据接收到的所述应用系统模块对用户进行身份认证所使用的信息对该用户进行身份认证以及根据认证结果对登录该应用系统模块的请求进行处理。

5.一种实现单点登录的系统，其特征在于，包括：

门户服务器，用于接收用户登录应用系统模块的请求，并对该用户的身份认证通过后，发送对用户进行身份认证所使用的信息；

应用服务器，集成有代理服务模块与不支持门户验证的应用系统模块，所述代理服务模块中记录有门户服务器对用户进行身份认证所使用的信息与所述应用系统模块对该用户进行身份认证所使用的信息的映射关系；所述代理服务模块用于接收门户服务器发送的对用户进行身份认证所使用的信息，根据所述映射关系得到与接收到的信息对应的应用系统模块对用户进行身份认证所使用的信息，并将所述应用系统模块对用户进行身份认证所使用的信息发送给应用系统模块；所述应用系统模块根据接收到的所述应用系统模块对用户进行身份认证所使用的信息对该用户进行身份认证以及根据认证结果对登录该应用系统模块的请求进行处理；所述代理服务模块包括用户信息映射表存储子模块，用于存储所述映射关系。

6.如权利要求5所述的系统，其特征在于，所述应用服务器为一个或多个。

Images