CN102065063A - Web认证装置、系统和方法 - Google Patents

Abstract

提供一种WEB认证系统和方法，所述系统包括客户端安全装置，服务端认证装置以及通信装置，其中，所述客户端安全装置中存储有认证号；所述服务端认证装置用于：监听来自客户端的登录请求，所述登录请求包括用户的用户名和口令；在监听到来自客户端的登录请求后，经由通信装置获取所述客户端安全装置的认证号；以及针对所述登录请求，对所述认证号、用户名和口令一起进行认证；以及所述通信装置用于负责所述认证号在客户端安全装置与服务端认证装置之间的传输。还提供了一种WEB服务端认证装置和WEB客户端安全装置。

Description

WEB认证装置、系统和方法

技术领域

本发明涉及互联网，特别是涉及在互联网中的WEB认证装置、系统和方法。

背景技术

随着WEB应用的发展，WEB系统的安全性变得越来越重要。在现有的WEB系统中，通常使用的确保WEB系统安全性的方法是用户认证。对用户进行认证的最常见的做法是在用户登录时验证用户名和口令。然而，这一方法的安全性不高，在实际的应用中，尤其是例如在电子商务和因特网银行业等的应用中不够安全。

已经提出一些相关的解决方法。在申请号为200410091743.0的中国专利申请中公开了以下内容：当用户从网络终端(WEB浏览器)请求认证时，服务端将认证信息发往用户的其他终端(比如移动终端)，再由网络终端返回。例如，当用户要求登录某WEB系统时，该WEB系统生成一个随机数并以短信的方式发送到用户的手机上，用户在WEB系统的登录页面输入这个随机数来进行安全认证。另外，在申请号为200810055778.7的中国专利申请中进一步公开了：当用户从网络终端(WEB浏览器)请求认证时，服务端将认证消息发往用户的网络终端，再由用户的其他终端(比如移动终端)返回。

尽管以上解决方法相对于一般的只对用户名和口令进行认证的方式具有较高的安全性。但是，这些解决方法仍然存在以下问题：

1)以上方法中的其他终端通常是指手机等移动终端，对于网上服务提供方，尤其是中小型的网上服务提供方而言，是难实现的；

2)需要用户具有网络终端(WEB浏览器)之外的其他终端，不适合所有用户使用，对用户不够友好；

3)以上认证方法只适合在用户登录时对用户进行认证，用户登录成功以后，如果每次安全操作都需要这样的认证，不仅让用户感觉繁琐而且浪费网络资源。

发明内容

鉴于现有技术中的上述问题，本发明提供了WEB认证的装置、系统和方法，以期解决现有技术中的上述或其他问题，提高WEB认证的安全性。

根据本发明的一个方面，提供一种WEB服务端认证装置，用于WEB认证系统中，所述WEB认证系统还包括客户端安全装置和通信装置，所述客户端安全装置中存储有认证号，所述WEB服务端认证装置包括：请求监听模块，监听来自客户端的登录请求，所述登录请求包括用户的用户名和口令；认证号获取模块，在监听到来自客户端的登录请求后，经由所述通信装置获取所述客户端安全装置的认证号；以及认证模块，针对所述登录请求，对所述认证号、用户名和口令一起进行认证。

根据本发明的另一方面，提供一种WEB客户端安全装置，用于WEB认证系统中，所述WEB认证系统还包括服务端认证装置和通信装置，所述客户端安全装置中存储有认证号，包括：认证号请求监听模块，监听经由所述通信装置来自服务端认证装置的认证号请求；以及认证号回复模块，响应于所述认证号请求，经由所述通信装置向所述服务端认证装置回复所述认证号。

本发明还提供了一种WEB认证系统，包括客户端安全装置，服务端认证装置以及通信装置，其中，所述客户端安全装置中存储有认证号；所述服务端认证装置用于：监听来自客户端的登录请求，所述登录请求包括用户的用户名和口令；在监听到来自客户端的登录请求后，经由通信装置获取所述客户端安全装置的认证号；以及针对所述登录请求，对所述认证号、用户名和口令一起进行认证；以及所述通信装置用于负责所述认证号在客户端安全装置与服务端认证装置之间的传输。

根据本发明提供的WEB安全认证装置、系统和方法，在每次用户进行登录请求或页面请求时，服务端都要对客户端安全装置的认证号进行认证，要求具有一致的认证号、用户名和口令，三者缺一不可。因此，可以保证在用户名和口令泄漏的情况下，防止非法访问者对WEB系统的访问。由此，本发明提供的WEB认证装置、系统和方法比一般的只对用户名和口令进行认证的机制具有更高的安全性。

在本发明的WEB安全认证装置和方法中，由于客户端安全装置与WEB浏览器部署在同一台网络终端上，因此不需要用户具有除此网络终端之外的其他终端，降低了用户的使用门槛；同时也不需要网上服务提供方具有发送短信到手机终端的能力，降低了对网上服务提供方的要求。

进一步，在本发明中，用户登录成功之后，每次页面刷新或跳转时(包括用户执行一些安全性较高的操作)，可以对客户端安全装置的认证号和用户名同时进行认证，根据本发明，对客户端安全装置的认证号的认证是以一种透明的方法来进行的，用户完全无法察觉，由此避免了用户通过手机终端获取认证码并输入认证的麻烦，提高了用户体验。

综上，本发明提供的WEB认证装置、系统和方法不仅具有很高的安全性，而且对用户和网上服务提供方而言都具有使用方便的特性。

附图说明

以下将参考附图详细描述本发明的优选实施例。通过参考下面结合附图对本发明实施例的说明，本发明的以上和其他目的、特点和优点将会更加明显。在附图中，相同的或类似的技术特征或部件将采用相同或类似的附图标记来表示。在各个附图中：

图1是示出了根据本发明的WEB认证系统的示意图；

图2是示出了根据本发明一实施例的如图1中所示的系统中包括的服务端认证装置的组成的示意性框图；

图3是示出了根据本发明一实施例的如图1中所示的系统中包括的客户端安全装置的组成的示意性框图；

图4是示出了根据本发明一实施例的在用户发送显示登录页面请求时服务端认证装置的处理流程图；

图5是示出了根据本发明一实施例的在用户发送请求登录时服务端认证装置的处理流程图；

图6是示出了根据本发明一实施例的在用户发送页面请求时服务端认证装置的处理流程图；

图7示出了根据本发明一实施例的在用户发送登录请求时在客户端和服务端之间的数据流的示图；

图8示出了如图1所示的WEB认证系统中包括的通信装置的一种具体实施方式；

图9示出了基于图8所示的系统结构获取认证号的序列图；

图10示出了如图1所示的WEB认证系统中包括的通信装置的另一种具体实施方式；

图11示出基于图10所示的系统结构获取认证号的序列图；

图12示出了根据本发明一实施例的服务端认证装置针对用户的登录请求的具体处理的流程图；以及

图13示出了根据本发明一实施例的服务端认证装置针对用户的页面请求的具体处理的流程图。

具体实施方式

在下文中，将参考附图详细描述根据实施例的WEB认证系统、装置和方法。

关于众所周知的功能或者结构的详细描述可能会使本公开内容的主题内容不清楚。因此，在下文中，将仅对与本公开内容的技术范围直接相关的必要组件进行描述。

尽管将参考Browser/Server(B/S)结构的互联网来描述实施例，但是所述实施例不限于B/S互联网，而是适用各种结构的需要进行WEB认证的互联网中。

图1示出了根据本发明的WEB认证系统1的示意图。如图1中所示，根据本发明的WEB认证系统1包括位于客户端10的客户端安全装置101，位于服务端20的服务端认证装置201，以及通信装置301。

所述客户端安全装置101存储有认证号，其用于监听经由所述通信装置301来自所述服务端认证装置201的认证号请求，以及响应于所述认证号请求，经由所述通信装置301向所述服务端认证装置201回复所述认证号。

根据本发明的具体实施例，所述认证号可以是任意长度的字符串。优选地，该认证号以硬编码的形式存储于客户端安全装置101中。所述认证号可对应于一个或一组用户。

所述服务端认证装置201用于针对来自客户端10的各种请求(包括登录页面显示请求、登录请求，页面请求等)获取客户端安全装置101的认证号，对包括认证号的参数进行认证并返回认证结果。具体的，所述服务端认证装置201可用于监听来自客户端10的登录请求，所述登录请求包括用户的用户名和口令；在监听到来自客户端10的登录请求后，经由通信装置301获取所述客户端安全装置101的认证号；以及针对所述登录请求，对所述认证号、用户名和口令一起进行认证。所述服务端认证装置201还可用于监听来自客户端10的页面请求；在用户登录成功之后，每次进行页面请求时，重新获取所述客户端安全装置101的认证号；以及针对所述页面请求，对所述认证号和用户名二者进行认证。另外，所述服务端认证装置201还可用于监听来自客户端10的显示登录页面的请求；在监听到来自客户端10的显示登录页面的请求后，经由所述通信装置301获取所述客户端安全装置101的认证号；针对所述显示登录页面的请求，对所述认证号进行认证。

所述通信装置301用于负责所述认证号在客户端安全装置101与服务端认证装置201之间的传输。所述通信装置可以在客户端10实现，也可以在服务端20实现。在所述通信装置位于客户端时，根据一个具体实施例，所述客户端安全装置为在客户端固定端口对认证号请求监听并回复自身认证号的socket通信服务端，所述通信装置为socket客户端。在所述通信装置位于服务端时，根据一个具体实施例，在所述通信装置中加入HTTP隧道和NAT的功能。另外，所述通信装置可包括在客户端浏览器中运行Applet和Javascript程序的模块或者在服务端运行能够与客户端安全装置进行通信的网页动态编程语言程序的模块。其中，所述网页动态编程语言程序包括JSP、ASP或PHP。

另外，如图1中所示，所述系统1还包括位于客户端10的浏览器102，服务端20借助于浏览器102向用户提供登录页面以及各种网络页面等等，而用户则通过浏览器102来进行登录、浏览以及其他操作。通过使用浏览器102请求服务端20进行认证。此外，所述系统1还包括位于服务端20的数据库202。根据本发明的实施例，在数据库202中，存储有包括合法的认证号的认证号表，以及包括认证号、用户名和口令的三元组的用户表，所述用户表体现了之前提到的认证号与一个或一组用户的对应关系。服务端认证装置201通过查询所述认证号表或用户表中的相应的记录对来自客户端10的包括认证号的请求进行认证。

以下简单描述根据图1的WEB认证系统1进行安全性认证的一般操作流程。如图1中所示，首先，用户通过客户端浏览器102向服务端20发送请求(包括显示登录页面的请求、登录请求、页面请求等)(流程1)；接收到用户的请求后，服务端认证装置201经由通信装置301向客户端安全装置101发送认证号请求(流程2，3)；经由通信装置301接收到来自服务端认证装置201的认证号请求后，客户端安全装置102经由通信装置301向服务端认证装置201返回自身的认证号(流程4和5)；接收到来自客户端安全装置101的认证号后，服务端认证装置201基于数据库202中的记录对所述认证号进行认证，在所述认证号合法的情况下，向客户端浏览器102显示所请求的页面(流程6)。之后将会结合图7详细描述根据本发明一具体实施例的在用户请求登录时在WEB认证系统1中的客户端和服务端之间的数据流图。

现在结合图2和图3来分别描述根据本发明实施例的如图1中所示的系统1中包括的服务端认证装置201和客户端安全装置101的组成。

有关服务端认证装置201的组成，如图2中所示，服务端认证装置201可包括请求监听模块2011，认证号获取模块2012以及认证模块2013。其中，所述请求监听模块2011用于监听来自用户的各种请求，包括来自用户的请求显示登录页面的请求、登录请求、页面请求等；所述认证号获取模块2012用于在请求监听模块2011监听到来自用户的请求之后，经由通信装置301向客户端10发送认证号请求并经由通信装置301获得客户端安全装置101的认证号。具体的，所述认证号获取模块2012可用于在用户进行登录请求时，获取所述客户端安全装置的认证号，其中，所述登录请求包括用户的用户名和口令，可用于在用户登录成功之后，每次进行页面请求时，重新获取所述客户端安全装置的认证号，以及还可用于在请求监听模块2011监听到来自客户端的显示登录页面的请求后，经由所述通信装置获取所述客户端安全装置的认证号。所述认证模块2013用于在认证号获取模块2012获取客户端安全装置101的认证号后进行相应的认证并返回认证结果。具体地以及优选地，针对来自用户的显示登录页面的请求，所述认证模块2013对认证号进行认证；针对来自用户的登录请求，所述认证模块2013对认证号、用户名和口令进行认证；而针对来自用户的页面请求，则所述认证模块2013对认证号和用户名进行认证。当然，以上仅是本发明优选的实施方案，不应当理解为对本发明认证方案的限制。本发明不限于上述优选认证方案，而是也可以实施其他的替换的认证方案。例如，针对实际需要，针对认证号、用户名和口令的不同的组合进行验证。

其中，所述请求监听模块2011、所述认证号获取模块2012以及所述认证模块2013可通过网页动态编程语言来实现。所述网页动态编程语言包括但不限于：JSP、ASP或PHP。

有关客户端安全装置101的组成，如图3中所示，客户端安全装置101可包括认证号请求监听模块1011和认证号回复模块1012。其中，所述认证号请求监听模块1011用于监听经由通信装置103来自服务端认证装置201的认证号请求；认证号回复模块1012用于在监听到认证号请求后，经由通信装置301向服务端20回复所述客户端安全装置101的认证号。

所述客户端安全装置101可以在用户登录WEB系统之前，从WEB系统管理员处获取，然后在客户端10安装并启动。为进一步防止未授权的用户使用本系统进行安全性认证，优选地，可设置启动客户端安全装置101的密码。在启动客户端安全装置101时要求用户输入相应的启动密码。所述客户端安全装置101的密码可提供给一个用户或一组用户，相应地，所述客户端安全装置101的认证号对应于所述一个用户或一组用户。根据本发明的该优选实施方式，所述客户端安全装置101还包括密码验证模块(未示出)，对用户输入的用于启动所述客户端安全装置的密码进行验证。

图4-图6分别示出了根据本发明实施例的服务端认证装置201的处理的流程图。以下结合图2来描述图4-6中示出的处理流程。

图4示出了根据本发明一实施例的在用户发送显示登录页面请求时服务端认证装置201的处理流程，其中包括以下步骤：

步骤S401：请求监听模块2011监听来自用户的请求，且在监听到来自用户的显示登录页面的请求后，经由通信装置301向客户端10发送请求客户端安全装置101的认证号的认证号请求；

步骤S402：认证号获取模块2012获取来自客户端10的客户端安全装置101的认证号；以及

步骤S403：认证模块2013对认证号获取模块2012获取的客户端安全装置101的认证号进行认证并向客户端10返回认证结果。如之前提到的，在服务端20的数据库202中存储有包括认证号的认证号表，所述认证模块2013对认证号进行认证的过程可包括：在所述认证号表中进行查询，确定其中是否存在与所述认证号获取模块2012获取的认证号相同的认证号，如果存在相同的认证号，则认证成功，认证模块2013向用户显示登录页面，如果不存在相同的认证号，则向用户显示认证号认证失败页面或其他类似页面。

在步骤S403中认证成功之后，用户可通过所述登录页面输入用户名、口令进行登录请求。

图5示出了根据本发明一实施例的在用户发送登录请求时服务端认证装置201的处理流程，其中包括以下步骤：

步骤S501：请求监听模块2011监听来自用户的请求，且在监听到用户的登录请求后，经由通信装置301向客户端10发送请求客户端安全装置101的认证号的认证号请求，其中，所述登录请求包括用户名和口令；

步骤S502：认证号获取模块2012获取来自客户端10的客户端安全装置101的认证号；以及

步骤S503：认证模块2013对认证号、用户名和口令进行认证并向客户端10返回认证结果。还如之前提到的，在服务端20的数据库202中存储有包括认证号、用户名和口令的三元组的用户表。所述认证模块2013对认证号、用户名和口令进行认证的过程可包括：在所述用户表中进行查询，确定其中是否存在相同的记录，如果存在相同的记录，则认证成功，认证模块2013向用户显示登录成功页面，如果不存在相同的记录，则向用户显示登录失败页面或其他类似页面。

根据一优选实施例，在步骤S501中，在监听到来自客户端10的登录请求之后，以及在经由通信装置301向客户端10发送请求客户端安全装置101的认证号的认证号请求之前，判断所述登录请求中的用户名和口令是否有效。在确认所述登录请求中的用户名和口令是否有效的情况下，执行所述经由通信装置301向客户端10发送请求客户端安全装置101的认证号的认证号请求的操作。

图6示出了根据本发明一实施例的在用户发送页面请求时服务端认证装置201的处理流程，其中包括以下步骤：

步骤S601：请求监听模块2011监听来自用户的请求，且在监听到用户的页面请求后，经由通信装置301向客户端10发送请求客户端安全装置101的认证号的认证号请求；

步骤S602：认证号获取模块2012获取来自客户端10的客户端安全装置101的认证号；以及

步骤S603：认证模块2013对由认证号获取的客户端安全装置101的认证号和用户名进行认证并向客户端10返回认证结果。如之前提到的，在服务端20的数据库202中存储有包括认证号、用户名和口令的用户表。所述认证模块2013对认证号和用户名进行认证的过程可包括：在所述用户表中进行查询，确定其中是否存在包含所述认证号和用户名的记录，如果存在包含所述认证号和用户名的记录，则认证成功，认证模块2013向用户显示所请求的页面；如果不存在相同的记录，则向用户显示页面请求失败页面。

根据一优选实施例，在步骤S601，在监听到来自用户的页面请求之后以及在发送认证号请求之前，确定用户是否已成功登录，如果是，则继续所述认证号请求的发送，否则向用户显示登录页面。

以上分别描述了在不同的用户请求下，服务端认证装置201的一般处理流程。其中，对用户显示登录页面的请求的处理可在对用户的登录请求和页面请求的处理之前进行。对用户显示登录页面的请求的处理可通过对客户端安全模块101的认证号的单独认证来完成。在认证号认证失败的情况下，所述用户被确定为非授权用户，将无法进行登录请求和页面请求。通过对用户显示登录页面的请求的处理，可在无需对用户名、口令进行认证的情况下初步地排除非授权用户对WEB系统的访问，避免了服务端认证装置201对所述非授权用户的登录请求和页面请求的确认和处理工作量，由此提高了系统的工作效率。当然，本发明不限于以上的处理顺序，而是可以根据实际的需要，可以相应地规定接收以及处理显示登录页面的请求、登录请求和页面请求的顺序。

以下将结合图7来描述根据本发明实施例的在用户发送登录请求时在WEB认证系统1中的客户端和服务端之间的数据流，以便于更清楚地理解WEB系统的整个认证过程。

图7详细地示出了根据本发明实施例的在用户请求登录时在WEB认证系统1中的客户端和服务端之间的数据流图。在图7中，首先，包含用户名和口令的登录请求在客户端10加密之后，被发送到服务端20，服务端认证装置201监听到该登录请求之后，发出认证号请求(CNR)，所述CNR首先被发送到通信装置301，然后在通信装置301处被转发，到达客户端安全装置101；客户端安全装置101接收到该CNR之后，回复其自身的请求号(CN)作为响应；所述CN同样经由通信装置301被转发至服务端认证装置201；服务端认证装置201接收到所述CN之后，对CN、用户名和口令进行认证，判断其是否合法。如果所述认证号、用户名、口令合法，则服务端认证装置向客户端10显示登录成功页面，否则，显示登录失败页面。其中，判断认证号、用户名、口令是否合法的操作可包括：查询数据库202中的用户表，确定其中是否有相同的记录，如果存在相同的记录，则确认其合法，否则确认其不合法。

在用户进行请求显示登录页面的请求或页面请求时，服务端认证装置201和客户端安全装置101之间的有关CNR请求和CN回复的过程与图7中示出的过程类似。

图8示出如图1所示的WEB认证系统1中包括的通信装置301的一种具体实施方式。如图8中所示，通信装置301在客户端10运行，由一个Applet小程序和一段Javascript代码组成。服务端认证装置201可以使用ASP、JSP或PHP等动态编程语言实现。其中，客户端安全装置101作为Socket服务端，可以使用任意能够进行socket编程的语言实现；通信装置301的Applet小程序作为socket客户端，其与本机的客户端安全装置101进行socket通信以获得认证号。图8中所示的进行安全性认证的操作流程1-6与图1中的操行流程1-6相对应，这里不再重述。

图9示出基于图8所示的系统结构获取认证号的序列图。为获取客户端安全装置101的认证号，服务端认证装置201通过通信装置301向客户端安全装置101发送认证号请求，客户端安全装置101响应于该认证号请求经由通信装置301返回其自身的认证号，由此，服务端认证装置201获得客户端安全装置101的认证号。根据该具体实施例，服务端认证装置201通过通信装置301获取客户端安全装置101的认证号的过程包括：服务端认证装置201调用通信装置301中的Javascript代码(S901)；所述Javascript进一步调用Applet程序(S902)；所述被调用的Applet程序作为socket客户端与作为socket服务端的客户端安全装置101进行socket通信，向客户端安全装置101发送来自服务端认证装置201的认证号请求(S903)；客户端安全装置101响应于该认证号请求返回其自身的认证号(S904)；Javascript程序获得该认证号(S905)；由通信装置301中的Javascript代码构造表单，将所获得的认证号加入表单中(S906)，并将包含认证号的表单以HTTP请求的形式提交给服务端认证装置201(S907)。因此，在此实施例中，每次用户进行显示登录页面请求、登录请求或页面请求时，浏览器端都需要进行两次HTTP请求：一次用于发送显示登录页面请求、登录请求或页面请求，另一次用于发送包含了认证号的表单。第一次请求是在用户点击登录按钮或者页面中的超链接时执行，第二次则是经由WEB认证系统中的通信装置301自动执行的，对于用户来说是完全透明的。

图10示出图1所示的WEB认证系统1中包括的通信装置301的另一种具体实施方式。其中，通信装置301在服务端20运行，其可以使用ASP、JSP或PHP等网页动态编程语言来实现。由于客户端10有可能处于一个局域网内部，不具有独立的IP，并且可能位于防火墙之后，因此，根据一具体实施例，在通信装置301中加入HTTP隧道和NAT的功能，使得认证号的传输能够穿越防火墙，并且通信装置301能够与内网客户端通信。图10中所示的进行安全性认证的操作流程1-6与图1中的操作流程1-6相对应，这里不再重述。

图11示出基于图10所示的系统结构获取认证号的序列图。为获取客户端安全装置101的认证号，服务端认证装置201通过通信装置301向客户端安全装置101发送认证号请求；客户端安全装置101响应于该认证号请求经由通信装置301返回其自身的认证号。由此，服务端认证装置201获得客户端安全装置101的认证号。根据该具体实施例，服务端认证装置201通过通信装置301获取客户端安全装置101的认证号的过程包括：收到来自客户端10的请求后，服务端认证装置201解析出客户端的IP地址，然后调用通信装置301(S1101)向该IP地址以及一个固定端口发出socket连接，经由该连接向客户端安全装置10发送认证号请求(S1102)，客户端安全装置101响应于该认证号请求返回其自身的认证号(S1103)，通信装置301将该认证号发送至服务端认证装置201(S1104)。在客户端10处于局域网内部，不具有独立IP的情况下，借助于通信装置301中的HTTP隧道和NAT的功能，所述认证号请求能够穿越防火墙到达内网客户端安全装置。在此实施例中，认证号的请求直接通过socket通信进行传输。

如之前在结合图8和9的实施例中提到的，每次用户进行显示登录页面请求、登录请求或页面请求时，浏览器端都需要进行两次HTTP请求。其中的第二次HTTP请求是用于发送包含了认证号的表单，且是经由WEB认证系统中的通信装置301自动执行的。由于包含认证号的表单是通过HTTP请求发送，且是经由WEB认证系统中的通信装置301自动执行的，因此，在服务端认证装置201监听到来自用户的请求，需要获取认证号时，系统可能会向其提供前一次的包含旧的认证号的HTTP请求，由此降低了所述WEB认证系统的安全性。为防止提交旧的认证号，进一步避免非授权用户获得认证，本发明提供了如下结合图12和图13描述的实施例。

图12和图13分别示出根据本发明实施例的服务端认证装置201针对用户的登录请求和页面请求的具体处理的流程图。

图12示出根据本发明一实施例的服务端认证装置201针对用户的登录请求的具体处理的流程图。其中包括以下步骤：

步骤S1200：要求用户进行登录。具体包括：要求用户通过客户端浏览器102在登录页面上输入用户名和口令，然后向服务端20提交包括用户名、口令的登录请求。

步骤1201：服务端20收到用户的登录请求后，由服务端认证装置201首先判断其中是否包含认证码或者session中的变量refreshed是否为true。

如之前提到的，为防止未经授权的用户获得系统认证，提高WEB系统认证的安全性，需要对所获取的客户端安全装置101的认证号进行判断，以确保所获得的认证号是新的认证号，而不是上次提交的旧的认证号，由此可获得改进的、实时的安全性认证。这就要求所述WEB系统具有记录服务端与客户端会话状态的功能。但是，因为WEB系统所基于的HTTP协议是一种请求-响应模式，在一次HTTP请求-响应周期中，客户端连接服务端并发出一个HTTP请求，服务端接收并处理该请求，然后返回一个HTTP响应给客户端，至此本次HTTP请求-响应周期结束，而在下一次HTTP请求-响应周期中，服务端不会记得前一次HTTP请求-响应周期中的会话信息，所以HTTP协议本身并不支持服务端保存客户端的会话状态信息。因此，WEB系统引入了session的概念，来解决此问题。session是服务端使用的一种以类似于散列表的形式保存会话状态信息的机制。当程序需要为某个客户端的请求创建一个session的时候，服务器首先检查这个客户端的请求里是否已包含了一个session标识-称为session id，如果已包含一个session id，则说明以前已经为此客户端创建过session，服务器就按照session id把这个session检索出来使用(如果检索不到，可能会新建一个)，如果客户端请求不包含session id，则为此客户端创建一个session并且生成一个与此session相关联的session id，sessionid的值是一个既不会重复，又不容易被找到规律以仿造的字符串，这个session id将在本次响应中返回给客户端保存。session保存在服务端，而session id保存在客户端。服务端根据客户端请求中的session id来检索该客户端对应的session，然后根据session变量的名称来查询、修改或删除该session变量的值。为判断所获得的认证号是否是新的认证号，根据本发明的具体实施例，服务端认证装置201设置了一个session变量refreshed来指示所接收的认证号的新与旧，其中，refreshed＝true表明认证号为新，而refreshed！＝true表明认证号为旧。在收到用户的登录请求后，服务端认证装置201检查登录请求中是否有认证号，同时还检查该session变量refreshed是否为true，在登录请求中不包括认证号或者refreshed不为true(即为旧)的情况下，进行到步骤S1202，否则进行到步骤S1204。

步骤S1202：服务端认证装置201进一步判断登录请求中的用户名或者口令是否为空，如果是则进入步骤S1209，否则进入步骤S1203。

步骤S1203：在登录请求中的用户名和口令不为空的情况下，服务端认证装置201调用通信装置301获取客户端安全装置101的认证号并构造包含认证号、用户名和口令的登录请求提交给服务端认证装置201，此时将变量refreshed设置为true，之后，返回到之前的步骤S1201。其中调用通信装置301获取认证号的具体步骤可参考如之前结合图8和9描述的序列图。这里需要说明的是，如果采用图11的序列图来执行获取认证号的步骤，因为认证号的请求直接通过socket通信进行传输，因此也就不存在提交旧的认证号的问题，相应地也无需使用session以及类似图12描述的流程来进行认证。

步骤S1204：在登录请求中具有认证号并且变量refreshed为true的情况下，服务端认证装置201将变量refreshed设置为false；继续进行步骤S1205；

步骤S1205：判断认证号是否合法，以在认证号不合法的情况下尽早结束进程，减少处理量。例如可以判断认证号是否在预定的范围内或者是否满足预定的条件，例如，如果认证号小于零则判断其不合法。如果判断认证号不合法，则进行到步骤S1210；如果认证号合法，则继续进行到步骤S1206；

步骤S1206：查询数据库202中存储的用户表中的相关记录。如之前提到的，在服务端数据库202中，存储有包括认证号、用户名和口令的三元组的用户表，在此情况下，服务端认证装置201通过查询该数据库202中的用户表来对认证号、用户名、口令这三者进行认证；继续到判断步骤S1207；

步骤S1207：基于上述查询结果判断用户表中是否存在相应的记录，如果在所述用户表中存在与当前获得的认证号、用户名和口令相一致的记录，则进入步骤S1208；如果不存在一致的记录则进入步骤S1211；

步骤S1208：提示登录成功，将用户名写session，以备之后对页面请求进行处理时使用；

步骤S1209：在登录请求中的用户名或口令为空的情况下，重新向用户显示登录页面，要求用户输出用户名和口令(步骤S1200)；

步骤S1210：在认证号不合法的情况下，提示错误，消除session；

步骤S1211：提示登录失败，消除session；

图13为示出根据本发明一实施例的服务端认证装置201针对用户的页面请求的具体处理的流程图。其中包括以下步骤：

步骤S1300：接收用户发送的页面请求；

步骤S1301：服务端20收到用户的页面请求后，由服务端认证装置201判断其中是否包含认证码；

与之前图12中描述的类似，为防止系统在响应认证号请求时提交旧的认证号，根据本发明的实施例，服务端认证装置201设置session变量refreshed来指示所接收的认证号的新与旧，其中，refreshed＝true表明认证号为新，而refreshed！＝true表明认证号为旧。在收到用户的页面请求后，服务端认证装置201检查页面请求中是否有认证号，同时还检查该session变量refreshed是否为true，在页面请求中不包括认证号或者refreshed不为true(即为旧)的情况下，进行到步骤S1302；否则进行到步骤S1303；

步骤S1302：在页面请求中不包含认证号或者refreshed不为true的情况下，服务端认证装置201调用通信装置301获取客户端安全装置101的认证号并构造包含认证号的表单提交给服务端认证装置201，此时将变量refreshed设置为true，返回到之前的步骤S1301。其中调用通信装置301获取认证号的具体步骤可参考如之前结合图8和9描述的序列图。同样，这里需要说明的是，如果采用图11的序列图来执行获取认证号的步骤，因为认证号的请求直接通过socket通信进行传输，因此也就不存在提交旧的认证号的问题，相应地也无需使用session以及类似图13描述的具体流程来进行认证。

步骤S1303：在页面请求中具有认证号或者变量refreshed为true的情况下，服务端认证装置201将变量refreshed设置为false；继续进行步骤S1304；

步骤S1304：判断认证号是否合法，以便在认证号不合法的情况下尽早结束进程，减少处理量。如之前结合图12的说明中所提到的，例如可以判断认证号是否在预定的范围内或者是否满足预定的条件，例如，如果认证号小于零则判断其不合法。如果判断认证号不合法，则进入步骤S1312；如果认证号合法，则继续进行到步骤S1305.

步骤S1305：服务端认证装置201检查session中是否已有该用户的用户名，如果session中已有该用户的用户名，则表明该用户已成功登录，则进入步骤S1306，如果session中没有该用户的用户名，则进入步骤S1309。

步骤S1306：查询数据库中存储的用户表中的记录。如之前提到的，在服务端数据库202中，存储有包括认证号、用户名和口令的三元组的用户表，在此情况下，服务端认证装置201通过查询该数据库202中的用户表来对认证号和用户名进行认证；继续进行到步骤S1307；

S1307：基于上述查询结果判断用户表中是否存在相应的记录，如果在所述用户表中存在与当前获得的认证号、用户名相一致的记录，则进入步骤S1308；如果不存在一致的记录则进入步骤S1309；

步骤S1308：对页面请求的验证通过，向用户显示所请求的页面。

步骤S1309：查询数据库202中存储的认证号表中的记录，对页面请求中的认证号进行认证；继续到步骤S1310；

步骤S1310：基于上述查询结果判断认证号表中是否存在相应的记录，如果在所述认证号表中存在与当前获得的认证号相一致的记录，则进入步骤S1311；如果不存在一致的记录则进入步骤S1312；

步骤S1311：提示用户未登录，向用户显示登录页面；以及

步骤S1312：提示错误，消除session。

本发明的认证方法通过设置session变量(refreshed)，防止了系统在响应认证号请求时提交旧的表单。根据本发明的上述方法，在登录请求或页面请求时不能使用前一次获得的认证号再次提交，而是需要重新获取客户端安全装置101的认证号。由此，在客户端安全装置101停止运行的情况下，未经授权的用户无法获得系统认证，因而提高了系统认证的安全性。

本发明还提供了一种包括其中存储的机器可读取的指令代码的程序产品，其中，所述指令代码在被读取和执行时，能够使所述机器执行之前图4-6、7、9以及11-13中描述的、以及虽然没有在附图中具体地示出，但是已经在本说明书中充分地披露的各种功能。

此外，根据本发明上述各个实施例所述的方法可以通过存储有机器可读取的指令代码的程序产品进来实现。这些指令代码由机器例如计算机读取并执行时，可执行根据本发明上述实施例的WEB安全性认证的各个操作过程和步骤。该程序产品可以具有任意的表现形式，例如，目标程序、解释器执行的程序或者提供给操作系统的脚本程序等。

相应地，用于承载上述存储有机器可读取的指令代码的程序产品的存储介质也包括在本发明的公开中。所述存储介质包括但不限于软盘、光盘、磁光盘、存储卡、存储棒，等等。

以上结合附图和实施例对本发明进行了描述。应当理解，本发明不限于上述具体的描述，而是在所附权项或其等同内容的范围内可根据设计要求和其他因素进行各种修改、组合、子组合或者替换。例如，除了设置客户端安全装置的认证号之外，还可以在客户端安全装置中嵌入反木马，防盗号的程序，对客户端进行实时监视，使得安全性更高。

通过上面对本发明的实施例的描述可知，本发明涵盖的技术方案包括但不限于如下的内容：

附记1.一种WEB服务端认证装置，用于WEB认证系统中，所述WEB认证系统还包括客户端安全装置和通信装置，所述客户端安全装置中存储有认证号，所述WEB服务端认证装置包括：

请求监听模块，监听来自客户端的登录请求，所述登录请求包括用户的用户名和口令；

认证号获取模块，在监听到来自客户端的登录请求后，经由所述通信装置获取所述客户端安全装置的认证号；以及

认证模块，针对所述登录请求，对所述认证号、用户名和口令一起进行认证。

附记2.如附记1所述的WEB服务端认证装置，其中，

所述请求监听模块还用于监听来自客户端的页面请求；

所述认证号获取模块还用于在用户登录成功之后，每次进行页面请求时，重新获取所述客户端安全装置的认证号；以及

所述认证模块还用于在用户登录成功之后，针对所述页面请求，对所述认证号和用户名二者进行认证。

附记3.如附记1所述的WEB服务端认证装置，其中，

所述请求监听模块还用于监听来自客户端的显示登录页面的请求；

认证号获取模块还用于在监听到来自客户端的显示登录页面的请求后，经由所述通信装置获取所述客户端安全装置的认证号；以及

所述认证模块还用于针对所述显示登录页面的请求，对所述认证号进行认证。

附记4.如附记1所述的WEB服务端认证装置，其中，所述请求监听模块、所述认证号获取模块和所述认证模块通过网页动态编程语言来实现。

附记5.如附记4所述的WEB服务端认证装置，其中，所述网页动态编程语言包括JSP，ASP或PHP。

附记6.一种WEB客户端安全装置，用于WEB认证系统中，所述WEB认证系统还包括服务端认证装置和通信装置，所述客户端安全装置中存储有认证号，包括：

认证号请求监听模块，监听经由所述通信装置来自服务端认证装置的认证号请求；以及

认证号回复模块，响应于所述认证号请求，经由所述通信装置向所述服务端认证装置回复所述认证号。

附记7.如附记6所述的WEB客户端安全装置，其中，所述认证号对应于一个或一组用户。

附记8.如附记6所述的WEB客户端安全装置，其中，所述认证号以硬编码的形式存储于所述客户端安全装置中。

附记9.如附记6所述的WEB客户端安全装置，还包括：密码验证模块，对用户输入的用于启动所述客户端安全装置的密码进行验证。

附记10.一种WEB认证系统，包括客户端安全装置，服务端认证装置以及通信装置，其中，

所述客户端安全装置中存储有认证号；

所述服务端认证装置用于：监听来自客户端的登录请求，所述登录请求包括用户的用户名和口令；在监听到来自客户端的登录请求后，经由通信装置获取所述客户端安全装置的认证号；以及针对所述登录请求，对所述认证号、用户名和口令一起进行认证；以及

所述通信装置用于负责所述认证号在客户端安全装置与服务端认证装置之间的通信。

附记11.如附记10所述的WEB认证系统，其中：

所述服务端认证装置还用于：监听来自客户端的页面请求；在用户登录成功之后，每次进行页面请求时，重新获取所述客户端安全装置的认证号；以及针对所述页面请求，对所述认证号和用户名二者进行认证。

附记12.如附记10所述的WEB认证系统，其中，所述服务端认证装置还用于：监听来自客户端的显示登录页面的请求；在监听到来自客户端的显示登录页面的请求后，经由所述通信装置获取所述客户端安全装置的认证号；针对所述显示登录页面的请求，对所述认证号进行认证。

附记13.如附记10所述的WEB认证系统，其中，所述客户端安全装置用于监听经由所述通信装置来自所述服务端认证装置的认证号请求，以及响应于所述认证号请求，经由所述通信装置向所述服务端认证装置回复所述认证号。

附记14.如附记10所述的WEB认证系统，其中，所述通信装置位于客户端或服务端。

附记15.如附记14所述的WEB认证系统，其中，所述通信装置包括在客户端浏览器中运行Applet和Javascript程序的模块或者在服务端运行能够与客户端安全装置进行通信的网页动态编程语言程序的模块。

附记16.如附记14所述的WEB认证系统，其中，所述网页动态编程语言程序包括JSP、ASP或PHP。

附记17.如附记14所述的WEB认证系统，其中，在所述通信装置位于客户端时，所述客户端安全装置为在客户端固定端口对认证号请求监听并回复自身认证号的socket通信服务端，所述通信装置为socket客户端。

附记18.如附记14所述的WEB认证系统，其中，在所述通信装置位于服务端时，在所述通信装置中加入HTTP隧道和NAT的功能。

附记19.一种WEB认证方法，所述方法用于浏览器/服务器结构的WEB认证系统中，所述WEB认证系统包括客户端安全装置、服务端认证装置以及通信装置，所述客户端安全装置中存储有认证号，所述方法包括：

服务端认证装置在监听到来自用户的登录请求后，经由所述通信装置向所述客户端安全装置发送认证号请求，其中，所述登录请求中包括用户名和口令；

经由所述通信装置接收来自所述客户端安全装置的认证号；

对所述认证号、用户名和口令进行认证并返回认证结果。

附记20.如附记19所述的WEB认征方法，其中所述对所述认证号、用户名和口令进行认证的步骤包括：

确定所述认证号、用户名和口令是否与服务端数据库中的用户表中的记录相匹配；如果所述用户表中有包括所述认证号、用户名和口令的记录，则确定匹配。

附记21.如附记20所述的WEB认证方法，其中，所述对所述认证号、用户名和口令进行认证的步骤可进一步包括：在确定所述认证号、用户名和口令是否与服务端数据库中的用户表中的记录相匹配的步骤之前，判断所述认证号是否合法的步骤；如果所述认证号在预定的范围内，则判断其合法。

附记22.如附记19-21中的任何一项所述的WEB认证方法，其中，在确认所述登录请求中的用户名和口令有效的情况下，执行所述经由所述通信装置向所述客户端安全装置发送认证号请求的操作。

附记23.如附记19所述的WEB认证方法，还包括：

所述服务端认证装置在监听到来自用户的页面请求后，经由所述通信装置向所述客户端安全装置发送认证号请求；

经由所述通信装置接收来自所述客户端安全装置的认证号；以及

所述服务端认证装置对所述认证号和用户名进行认证，

在所述认证成功的情况下，向客户端显示所请求的页面。

附记24.如附记19所述的WEB认证方法，还包括：

在监听到来自用户的页面请求后以及在发送认证号请求之前，确定用户是否已成功登录，如果是，则继续所述认证号请求的发送，否则向用户显示登录页面。

附记25.如附记19所述的WEB认证方法，还包括：

所述服务端认证装置在监听到来自用户的请求显示登录页面的请求后，经由所述通信装置向所述客户端安全装置发送认证号请求；

经由所述通信装置接收来自所述客户端安全装置的认证号；以及

对所述认证号进行认证，认证成功后向用户显示登录页面。

附记26.如附记25所述的WEB认证方法，进一步包括，

用户通过所述登录页面输入用户名、口令进行登录请求，以及

所述服务端认证装置对所述认证号、用户名和口令进行认证并返回认证结果。

附记27.一种程序产品，其中包括机器可读取的指令代码，其中，所述指令代码当被计算机读取和执行，可使所述机器执行根据附记19-26中的任何一个的方法。

附记28.一种机器可读取的存储介质，其中存储有根据附记27的程序产品。

在之前对本发明的具体实施例的描述中，针对一种实施方式描述和/或示出的特征可以以相同或类似的方式在一个或更多个其它实施方式中使用，与其它实施方式中的特征相组合，或替代其它实施方式中的特征。

此外，本发明的方法不限于按照说明书中描述的流程顺序来执行，也可以按照实际的需要按照其他的流程顺序地、并行地或独立地执行。因此，本说明书中描述的方法的执行顺序不对本发明的技术范围构成限制。

虽然已经详细说明了本发明及其优点，但是应当理解在不脱离由所附的权利要求所限定的本发明的精神和范围的情况下可以进行各种改变、替代和变换。而且，本申请的范围不仅限于说明书所描述的装置、系统、的结构、方法和步骤的具体实施例。本领域内的普通技术人员从本发明的公开内容将容易理解，根据本发明可以使用执行与在此所述的相应实施例基本相同的功能或者获得与其基本相同的结果的、现有和将来要被设计的装置和系统的结构、方法或者步骤。因此，所附的权利要求旨在它们的范围内包括这样的装置和系统的结构、方法或者步骤。

Claims (10)

1.一种WEB服务端认证装置，用于WEB认证系统中，所述WEB认证系统还包括客户端安全装置和通信装置，所述客户端安全装置中存储有认证号，所述WEB服务端认证装置包括：

请求监听模块，监听来自客户端的登录请求，所述登录请求包括用户的用户名和口令；

认证号获取模块，在监听到来自客户端的登录请求后，经由所述通信装置获取所述客户端安全装置的认证号；以及

认证模块，针对所述登录请求，对所述认证号、用户名和口令一起进行认证。

2.如权利要求1所述的WEB服务端认证装置，其中，

所述请求监听模块还用于监听来自客户端的页面请求；

所述认证号获取模块还用于在用户登录成功之后，每次进行页面请求时，重新获取所述客户端安全装置的认证号；以及

所述认证模块还用于在用户登录成功之后，针对所述页面请求，对所述认证号和用户名二者进行认证。

3.如权利要求1所述的WEB服务端认证装置，其中，

所述请求监听模块还用于监听来自客户端的显示登录页面的请求；

认证号获取模块还用于在监听到来自客户端的显示登录页面的请求后，经由所述通信装置获取所述客户端安全装置的认证号；以及

所述认证模块还用于针对所述显示登录页面的请求，对所述认证号进行认证。

4.一种WEB认证系统，包括客户端安全装置，服务端认证装置以及通信装置，其中，

所述客户端安全装置中存储有认证号；

所述服务端认证装置用于：监听来自客户端的登录请求，所述登录请求包括用户的用户名和口令；在监听到来自客户端的登录请求后，经由通信装置获取所述客户端安全装置的认证号；以及针对所述登录请求，对所述认证号、用户名和口令一起进行认证；以及

所述通信装置用于负责所述认证号在客户端安全装置与服务端认证装置之间的传输。

5.如权利要求4所述的WEB认证系统，其中：

所述服务端认证装置还用于：监听来自客户端的页面请求；在用户登录成功之后，每次进行页面请求时，重新获取所述客户端安全装置的认证号；以及针对所述页面请求，对所述认证号和用户名二者进行认证。

6.如权利要求4所述的WEB认证系统，其中，所述服务端认证装置还用于：监听来自客户端的显示登录页面的请求；在监听到来自客户端的显示登录页面的请求后，经由所述通信装置获取所述客户端安全装置的认证号；针对所述显示登录页面的请求，对所述认证号进行认证。

7.如权利要求4所述的WEB认证系统，其中，所述客户端安全装置用于监听经由所述通信装置来自所述服务端认证装置的认证号请求，以及响应于所述认证号请求，经由所述通信装置向所述服务端认证装置回复所述认证号。

8.一种WEB认证方法，所述方法用于浏览器/服务器结构的WEB认证系统中，所述WEB认证系统包括客户端安全装置、服务端认证装置以及通信装置，所述客户端安全装置中存储有认证号，所述方法包括：

服务端认证装置在监听到来自用户的登录请求后，经由所述通信装置向所述客户端安全装置发送认证号请求，其中，所述登录请求中包括用户名和口令；

经由所述通信装置接收来自所述客户端安全装置的认证号；

对所述认证号、用户名和口令进行认证并返回认证结果。

9.如权利要求8所述的WEB认证方法，还包括：

所述服务端认证装置在监听到来自用户的页面请求后，经由所述通信装置向所述客户端安全装置发送认证号请求；

经由所述通信装置接收来自所述客户端安全装置的认证号；以及

所述服务端认证装置对所述认证号和用户名进行认证，

在所述认证成功的情况下，向客户端显示所请求的页面。

10.如权利要求9所述的WEB认证方法，进一步包括，

用户通过所述登录页面输入用户名、口令进行登录请求，以及

所述服务端认证装置对所述认证号、用户名和口令进行认证并返回认证结果。

Images