CN102355657A - 业务访问控制方法、装置和系统 - Google Patents

Abstract

本发明提供一种业务访问控制方法、装置和系统，其中方法包括：接收终端发送的业务访问请求，其中携带有所述终端要访问的业务服务器的统一资源定位符URL信息；向策略计费裁决功能实体发送信用控制请求，其中携带所述业务服务器的URL信息；接收所述策略计费裁决功能实体返回的信用控制应答，信用控制应答中携带所述URL信息对应的密钥信息，并采用所述密钥信息对所述终端用户的用户标识信息进行加密；将加密后的所述用户标识信息携带在所述业务访问请求中，并将已携带加密后的用户标识信息的业务访问请求发送至业务服务器，以使得所述业务服务器根据解密获得的用户标识信息向所述终端推送业务内容。本发明信大大提高了业务访问中用户信息的安全性。

Description

业务访问控制方法、装置和系统

技术领域

本发明涉及通信技术，特别涉及一种业务访问控制方法、装置和系统。

背景技术

在移动分组业务应用中，为了更高效地进行业务授权、提供个性化业务，业务服务器通常需要终端用户的移动终端号码(Mobile Station InternationalISDN Number，简称：MSISDN)、国际移动用户标识(International MobileSubscriber Identity，简称：IMSI)等用户标识信息，以根据该用户标识信息提供针对性的业务。

现有技术中，可以采用带内方式将用户标识信息发送至业务服务器，即将用户标识信息携带在终端向业务服务器发送的业务访问请求(即HTTP请求)中，具体可以将用户标识信息插入在HTTP请求的头信息中(称为HTTP头增强)。业务服务器在处理上述业务访问请求的同时就可以得到该用户标识信息，从而可以根据用户标识信息提供针对性的业务。例如，可以由网关GPRS支持节点(Gateway GPRS Support Node，简称：GGSN)在接收到终端发送的业务访问请求时，将用户标识信息加入至该请求中，再将已携带用户标识信息的业务访问请求转发至业务服务器。

但是，上述带内方式存在如下技术缺陷：将用户标识信息直接插入在HTTP请求的头信息后，将已携带用户标识信息的HTTP请求发送给业务服务器的过程中，很容易被其他中间网络设备截取到，存在用户隐私泄露的隐患，非常不安全。

发明内容

本发明的目的是提供一种业务访问控制方法、装置和系统，以保证业务访问中用户标识信息的安全性。

本发明一方面提供一种业务访问控制方法，包括：

接收终端发送的业务访问请求，所述业务访问请求中携带有所述终端要访问的业务服务器的统一资源定位符URL信息；

向策略计费裁决功能实体发送信用控制请求，所述信用控制请求中携带所述业务服务器的URL信息；

接收所述策略计费裁决功能实体返回的信用控制应答，所述信用控制应答中携带所述URL信息对应的密钥信息，并采用所述密钥信息对所述终端用户的用户标识信息进行加密；

将加密后的所述用户标识信息携带在所述业务访问请求中，并将已携带加密后的用户标识信息的业务访问请求发送至业务服务器，以使得所述业务服务器根据解密获得的用户标识信息向所述终端推送业务内容。

本发明另一方面提供一种业务访问控制方法，包括：

根据存储的业务服务器的URL信息与密钥信息的对应关系，将密钥信息发送给对应的URL信息所定位的业务服务器，以使得所述业务服务器根据所述密钥信息对业务访问请求中携带的加密用户标识信息进行解密后，根据解密获得的用户标识信息向终端推送业务内容；

接收策略计费执行功能实体发送的信用控制请求，所述信用控制请求中携带终端所要访问的业务服务器的URL信息；

根据所述信用控制请求中携带的业务服务器的URL信息，从存储的所述对应关系中查找到对应的密钥信息；

向所述策略计费执行功能实体返回信用控制应答，所述信用控制应答中携带查找到的所述业务服务器的URL信息对应的密钥信息，以使得所述策略计费执行功能实体采用所述密钥信息对用户标识信息进行加密后，携带在业务访问请求中发送至业务服务器。

本发明再一方面提供一种策略计费执行功能实体，包括：

第一接收模块，用于接收终端发送的业务访问请求，所述业务访问请求中携带有所述终端要访问的业务服务器的统一资源定位符URL信息；

第一发送模块，用于向策略计费裁决功能实体发送信用控制请求，所述信用控制请求中携带第一接收模块接收到得业务访问请求中携带的所述业务服务器的URL信息；

第二接收模块，用于接收所述策略计费裁决功能实体返回的信用控制应答，所述信用控制应答中携带所述URL信息对应的密钥信息；

加密模块，用于采用第二接收模块接收到得信用控制应答中携带的URL信息对应的密钥信息对所述终端用户的用户标识信息进行加密；

第二发送模块，用于将加密模块加密后的所述用户标识信息携带在所述业务访问请求中，并将已携带加密后的用户标识信息的业务访问请求发送至业务服务器，以使得所述业务服务器根据解密获得的用户标识信息向所述终端推送业务内容。

本发明再另一方面提供一种策略计费裁决功能实体，包括：

第一发送模块，用于根据存储模块存储的业务服务器的URL信息与密钥信息的对应关系，将密钥信息发送给对应的URL信息所定位的业务服务器，以使得所述业务服务器根据所述密钥信息对业务访问请求中携带的加密用户标识信息进行解密后，根据解密获得的用户标识信息向终端推送业务内容；

第一接收模块，用于接收策略计费执行功能实体发送的信用控制请求，所述信用控制请求中携带终端所要访问的业务服务器的URL信息；

查找模块，用于根据根据所述信用控制请求中携带的业务服务器的URL信息，从存储模块存储的所述对应关系中查找到对应的密钥信息；

第二发送模块，用于向所述策略计费执行功能实体返回信用控制应答，所述信用控制应答中携带查找到的所述业务服务器的URL信息对应的密钥信息，以使得所述策略计费执行功能实体采用所述密钥信息对用户标识信息进行加密后，携带在业务访问请求中发送至业务服务器。

本发明再另一方面提供一种业务服务器，包括：

第三接收模块，用于接收所述策略计费裁决功能实体发送的密钥信息；以及接收所述策略计费执行功能实体发送的业务访问请求；

解密模块，用于根据所述密钥信息对所述业务访问请求中携带的加密用户标识信息进行解密；

推送模块，用于根据所述解密模块解密后的用户标识信息，对用户标识信息对应的终端用户推送业务内容。

本发明再另一方面提供一种业务访问控制系统，包括：策略计费执行功能实体、策略计费裁决功能实体和业务服务器；

所述策略计费执行功能实体，用于接收终端发送的业务访问请求，所述业务访问请求中携带有所述终端要访问的业务服务器的统一资源定位符URL信息；向策略计费裁决功能实体发送信用控制请求，所述信用控制请求中携带所述业务服务器的URL信息；接收所述策略计费裁决功能实体返回的信用控制应答，所述信用控制应答中携带所述URL信息对应的密钥信息，并采用所述密钥信息对所述终端用户的用户标识信息进行加密；将加密后的所述用户标识信息携带在所述业务访问请求中，并将已携带加密后的用户标识信息的业务访问请求发送至业务服务器；

所述策略计费裁决功能实体，用于接收策略计费执行功能实体发送的信用控制请求；根据所述信用控制请求中携带的业务服务器的URL信息，从存储的业务服务器的URL信息与密钥信息的对应关系中查找到对应的密钥信息；向所述策略计费执行功能实体返回信用控制应答，所述信用控制应答中携带查找到的所述业务服务器的URL信息对应的密钥信息；

业务服务器，用于接收所述策略计费裁决功能实体发送的密钥信息，并在接收到所述策略计费执行功能实体发送的业务访问请求后，根据所述密钥信息对业务访问请求中的用户标识信息进行解密，根据解密后的用户标识信息向所述终端推送业务内容。

本发明的业务访问控制方法、装置和系统，通过将用户标识信息加密后再设置入业务访问请求中，解决了用户标识信息容易被截取的问题，大大提高了业务访问中用户标识信息的安全性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明业务访问控制方法实施例一的应用场景示意图；

图2为本发明业务访问控制方法实施例一的流程示意图；

图3为本发明业务访问控制方法实施例二的流程示意图；

图4为本发明业务访问控制方法实施例三的信令示意图；

图5为本发明策略计费执行功能实体实施例的结构示意图；

图6为本发明策略计费裁决功能实体实施例的结构示意图；

图7为本发明业务服务器实施例的结构示意图；

图8为本发明业务访问控制系统实施例的结构示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

为使得本发明实施例的说明更加清楚，提供本发明实施例的一种可选的应用场景图，图1为本发明业务访问控制方法实施例一的应用场景示意图，其中，在图1所示的场景中，GPRS服务支持节点(SERVICING GPRS SUPPORTNODE，简称：SGSN)与GGSN通信连接，用于将从网络接入节点获得的终端发送的业务访问请求通过GGSN转发给策略计费执行功能实体(Policy andCharging Enforcement Function，简称：PCEF)，PCEF分别与策略计费裁决功能实体(Policy and Charging Rule Function，简称：PCRF)和业务服务器连接。

下面以图1所示的应用场景为例，对本发明的技术方案进行详细描述。

实施例一

图2为本发明业务访问控制方法实施例一的流程示意图，可选地本实施例的业务访问控制方法可以是PCEF所执行。该方法可以包括以下步骤：

步骤101、PCEF在接收到终端发送的业务访问请求时，向PCRF发送信用控制请求；

例如，终端发送的业务访问请求中携带有终端所要访问业务服务器的统一资源定位符(Uniform/Universal Resource Locator，简称：URL)信息，如www.xyz.com。PCEF可以向PCRF发送信用控制请求(Credit Control Request，简称：CCR)，并且该CCR中携带上述的业务服务器的URL信息。

步骤102、PCEF接收PCRF返回的信用控制应答，其中包括密钥信息；

例如，PCEF接收的信用控制应答(Credit Control Answer，简称：CCA)中，可以携带密钥信息，该密钥信息与步骤101中的业务服务器的URL信息对应。

步骤103、PCEF对终端用户的用户标识信息进行加密；

例如，终端用户的用户标识信息可以包括MSISDN、IMSI等，PCEF可以采用步骤102中所接收到的密钥信息对用户标识信息进行加密。

步骤104、PCEF在所述业务访问请求中携带加密后的用户标识信息，并将已携带有加密后的用户标识信息的业务访问请求发送至业务服务器。

例如，业务访问请求可以为HTTP请求，PCEF可以将加密后的用户标识信息携带在HTTP请求的头信息中。由于对用户标识信息进行了加密，所以相对于现有技术中的用户标识信息直接插入方式，可以有效防止被其他中间网络设备截取，大大提高了业务访问中用户标识信息的安全性。

本实施例的业务访问控制方法，通过将用户标识信息加密后再携带在业务访问请求中，解决了用户标识信息容易被截取的问题，大大提高了业务访问中用户标识信息的安全性。

实施例二

图3为本发明业务访问控制方法实施例二的流程示意图，该方法可以是PCRF所执行。如图3所示，本实施例的业务访问控制方法可以包括以下步骤：

步骤201，PCRF根据存储的业务服务器的URL信息与密钥信息的对应关系，将密钥信息发送给对应的URL信息所定位的业务服务器；

例如，所述可以是运营商根据服务提供商的申请为服务提供商生成并存储在PCRF上的，PCRF在所述对应关系存储后立即将密钥信息发送给对应的URL信息所定位的业务服务器，即提出申请的服务提供商的业务服务器。

步骤202、PCRF接收PCEF发送的信用控制请求；

例如，该CCR中可以携带终端所要访问业务服务器的URL信息。其中，该业务服务器的URL信息可以是PCEF由其接收到的终端发送的业务访问请求中所获取的。

步骤203、PCRF从存储的所述对应关系中查找到对应的密钥信息；

步骤204、PCRF向PCEF返回信用控制应答，其中携带查找到得所述业务服务器的URL信息对应的密钥信息。

例如，携带有密钥信息的信用控制应答发送至PCEF之后，PCEF可以采用该密钥信息对终端对应的用户标识信息进行加密，并将加密后的用户标识信息设置在业务访问请求中发送至业务服务器。

可选地，PCRF在步骤201之后，还可以检测所述对应关系中的密钥信息是否发生变更；在检测到密钥信息发生变更时，将变更后的密钥信息通知对应的URL信息所定位的业务服务器。

本实施例的业务访问控制方法，通过将用户标识信息加密后再设置入业务访问请求中，解决了用户标识信息容易被截取的问题，大大提高了业务访问中用户标识信息的安全性。

实施例三

图4为本发明业务访问控制方法实施例三的信令示意图，本实施例对PCEF和PCRF之间的流程进行了详细的说明。在本实施例中在Gx接口传输的CCR、CCA中增加两个扩展属性值对(Attribute Value Pairs，简称：AVP)，通过这两个扩展AVP分别携带业务服务器的URL信息和密钥信息。

如图4所示，可以包括以下步骤：

步骤301、终端向PCEF发送业务访问请求；

例如，该业务访问请求可以为HTTP请求；其中携带了终端所要访问业务对应的业务服务器的URL信息，该业务服务器的URL信息，该URL例如可以为www.xyz.com。

步骤302、PCEF判断该业务访问请求是否需要进行HTTP头增强；

例如，PCEF中预先存储有与多种URL对应的配置信息，该配置信息用于指示URL是否需要进行HTTP头增强。

具体的，HTTP头增强是指在HTTP请求的头信息中增加新的信息。一个HTTP请求通常包含四个部分，如请求行部分、头信息部分、空行部分和请求数据部分等，其中的头信息部分可以用于携带相关的客户端信息以通知业务服务器。本实施例中服务提供商的业务服务器为了对终端提供更加具有针对性的业务，需要获取有关终端用户的用户标识信息，则可以将该用户标识信息增加在上述HTTP请求的头信息中，使得业务服务器在接收到HTTP请求时就可以同时得到其所需的用户标识信息。

例如，初始时，运营商在PCEF上将各URL对应的配置信息设置为用于指示不需要进行HTTP头增强的状态位。若URL www.xyz.com的服务提供商在运营商处注册了HTTP头增强功能，即当终端用户通过HTTP请求访问www.xyz.com时，需要对该HTTP请求进行头增强动作，则运营商可以根据该服务提供商的注册要求，在PCEF上将URL www.xyz.com对应的配置信息更新为用于指示需要进行HTTP头增强的状态位。这样当PCEF接收到终端发送的访问URL www.xyz.com的HTTP请求时，就会查询自身存储的配置信息，判断该HTTP请求是否需要进行头增强。

如果判断结果为针对该URL的HTTP请求需要进行头增强，则继续执行步骤303；否则，直接将业务访问请求发送给业务服务器，由业务服务器直接向用户推送统一的业务内容。

步骤303、PCEF向PCRF发送CCR，其中携带所述业务访问请求中的URL信息；

例如，PCEF将在步骤301中得到的HTTP请求中的URL www.xyz.com封装在CCR的扩展AVP中，以使CCR中携带所述业务服务器的URL信息，然后通过Gx接口将已携带所述业务服务器的URL信息的CCR发送给PCRF，该Gx接口即为3GPP中定义的PCEF和PCRF之间的接口，该CCR即相当于策略请求消息，用于向PCRF请求策略。

具体的，PCEF向PCRF发送的CCR的结构可以参见如下，在该CCR中增加了用于封装URL信息的SP-URL AVP：

步骤304、PCRF向PCEF发送CCA，其中携带所述业务访问请求中的URL对应的密钥信息；

例如，PCRF在接收到步骤303中发送的CCR时，可以根据CCR中的URL，从存储的业务服务器的URL信息与密钥信息的对应关系中查询到该URL对应的密钥信息，并将查询到的密钥信息封装在动态策略Charging-Rule-Definition的扩展AVP中，以使承载所述动态策略的CCA中携带密钥信息，然后通过Gx接口将已携带所述业务服务器的URL信息对应的密钥信息的CCA发送给PCEF。

具体的，PCRF向PCEF发送的CCA的结构可以参见如下，在该CCA承载的Charging-Rule-Definition中增加了用于封装密钥信息的KEY AVP：

具体的，上述的密钥信息可以是在服务提供商向运营商申请注册HTTP头增强业务时，运营商为服务提供商生成的，不同服务提供商的密钥信息可以是不同的。该密钥信息可以为一个密钥，也可以为密钥对，当为密钥对时包括公开密钥和私有密钥，公开密钥用于提供给PCEF进行用户标识信息的加密，私有密钥用于提供给服务提供商的业务服务器以对用户标识信息进行解密。运营商可以在PCRF上预先存储服务提供商的URL以及与该URL对应的密钥对信息。其中，密钥信息采用密钥对的方式，可以进一步提高加密的安全性。

需要说明的是，上述采用的密钥对的方式，可以如上所述将公开密钥发送至PCEF，将私有密钥发送至业务服务器；或者，也可以将私有密钥发送至PCEF，将公开密钥发送至业务服务器。

其中，PCRF可以检测密钥信息是否发生变更，若密钥信息变更，则PCRF可以通过简单对象访问协议(Simple Object Access Protocol，简称：SOAP)接口告知服务提供商的业务服务器。

具体的，目前RSA等非对称加密算法需要两个密钥：公开密钥(publickey)和私有密钥(privatekey)，公开密钥与私有密钥成对使用；如果用公开密钥对数据进行加密，只有用对应的私有密钥才能解密；如果用私有密钥对数据进行加密，那么只有用对应的公开密钥才能解密。PCRF根据运营商的指示生成和存储的既有公开密钥，也有私有密钥；PCRF向PCEF发送公开密钥，向业务服务器发送私有密钥；PCEF使用公开密钥加密，业务服务器使用私有密钥解密。出于增强安全性的考虑，一般密钥对会定期修改，当修改密钥的时候，PCRF会通知业务服务器。

PCRF中存储有业务服务器的URL信息与密钥信息的对应关系，在接收到步骤303中的CCR时，可以根据CCR中携带的URL信息，查询该对应关系，得到URL信息所对应的密钥信息中的公开密钥，并将该公开密钥携带在CCA中返回至PCEF。

步骤305、PCEF利用密钥对用户标识信息进行加密；

例如，用户标识信息可以包括MSISDN、IMSI，还可以包括接入点名称(Access Point Name，简称：APN)等信息，APN是终端在访问URLwww.xyz.com时所对应的接入点，由于APN对应于用户所要访问的业务，所以也可以视为用户标识信息。

其中，上述用户标识信息可以是PCEF在终端进行认证流程时获取的。终端在向PCEF发送业务访问请求之前，是需要先向认证服务器发送认证请求进行认证的，在该认证请求中包含了MSISDN、IMSI和APN等用户标识信息。当认证服务器得到认证结果为终端通过认证时，其可以为该终端分配访问业务的IP地址，并且将IP地址以及对应的上述用户标识信息发送至PCEF，告知PCEF进行存储。终端在认证通过后，就可以通过上述的IP地址向PCEF发送业务访问请求；PCEF在接收到该业务访问请求时，同时可以知道终端的IP地址信息，并可以通过该IP地址查找到与其对应的终端用户的用户标识信息。

例如，PCEF可以利用由PCRF获取的私有密钥采用RSA加密算法对用户标识信息进行加密。可选地，可以只对用户标识信息中的MSISDN、IMSI等用户个人敏感信息进行加密。

步骤306、PCEF将携带加密后的用户标识信息的业务访问请求发送给业务服务器；

例如，PCEF在对用户标识信息加密完成后，可以将加密后的用户标识信息设置在HTTP请求的头信息中，并将该HTTP请求发送至业务服务器。

由于对HTTP请求中的用户标识信息进行了加密，相对于现有技术直接插入用户标识信息的方式，有效增强了用户标识信息的安全性，从而避免了中间网络设备截取用户标识信息。

步骤307、业务服务器对业务访问请求中的用户标识信息进行解密；

例如，当PCEF和业务服务器采用同一个密钥对用户标识信息进行加密或解密时，业务服务器利用存储的PCRF预先发送的密钥对业务访问请求中的用户标识信息进行解密，获取得到终端用户的用户标识信息；当PCEF和业务服务器采用密钥对中的公开密钥和私有密钥分别对用户标识信息进行加密或解密时，业务服务器可以利用存储的PCRF预先发送的私有密钥对业务访问请求中的用户标识信息进行解密，获取得到终端用户的用户标识信息。

步骤308、业务服务器根据解密获得的用户标识信息向终端推送业务内容。

例如，业务服务器在步骤307中得到用户标识信息后，可以向用户推送更加具有针对性的业务。

此外，本实施例中的PCEF可以单独存在，或者在GPRS的情况下可以位于GGSN，在无线局域网络(Wireless Local Area Networks，简称：WLAN)的情况下可以位于分组业务数据网关(Packet Data Gataway，简称：PDG)等；也可以用在CDMA20001x的标准演变数据优化(Evolution-Data Optimized，简称：EV-DO)网络中的分组业务数据节点(Packet Data Serving Node，简称：PDSN)设备；或者数字用户专线(Digital Subscriber Line，简称：DSL)宽带网络的宽带远程接入服务器(Broadband Remote Access Server，简称：BRAS)设备上，在这里不再一一列举。

本实施例的业务访问控制方法，通过将用户标识信息加密后携带在业务访问请求中，解决了用户标识信息容易被截取的问题，大大提高了业务访问中用户标识信息的安全性。

实施例四

图5为本发明策略计费执行功能实体实施例的结构示意图，本实施例的PCEF可以执行本发明任意实施例所述的业务访问控制方法。如图5所示，该PCEF可以包括第一接收模块41、第一发送模块42、第二接收模块43、加密模块44和第二发送模块45。

其中，第一接收模块41，用于接收终端发送的业务访问请求，所述业务访问请求中携带有所述终端要访问的业务服务器的统一资源定位符URL信息；

第一发送模块42，用于向策略计费裁决功能实体发送信用控制请求，所述信用控制请求中携带第一接收模块41接收到得业务访问请求中携带的所述业务服务器的URL信息；

第二接收模块43，用于接收所述策略计费裁决功能实体返回的信用控制应答，所述信用控制应答中携带所述URL信息对应的密钥信息；

加密模块44，用于采用第二接收模块43接收到得信用控制应答中携带的URL信息对应的密钥信息对所述终端用户的用户标识信息进行加密；

第二发送模块45，用于将加密模块44加密后的所述用户标识信息携带在所述业务访问请求中，并将已携带加密后的用户标识信息的业务访问请求发送至业务服务器，以使得所述业务服务器根据解密获得的用户标识信息向所述终端推送业务内容。

进一步的，第一发送模块42，具体用于将所述业务服务器的URL信息封装在信用控制请求信令的第一扩展属性值对AVP中，以使信用控制请求中携带所述业务服务器的URL信息；通过Gx接口将已携带所述业务服务器的URL信息的信用控制请求发送给所述策略计费裁决功能实体。

本实施例的策略计费执行功能实体，通过设置加密模块等，可以将用户标识信息加密后再设置入业务访问请求中，解决了用户标识信息容易被截取的问题，大大提高了业务访问中用户标识信息的安全性。

实施例五

图6为本发明策略计费裁决功能实体实施例的结构示意图，本实施例的PCRF可以执行本发明任意实施例所述的业务访问控制方法。如图6所示，该PCRF可以包括存储模块50、第一发送模块51、第一接收模块52、查找模块53和第二发送模块54。

其中，第一发送模块51，用于根据存储模块50存储的业务服务器的URL信息与密钥信息的对应关系，将密钥信息发送给对应的URL信息所定位的业务服务器，以使得业务服务器根据所述密钥信息对业务访问请求中携带的加密用户标识信息进行解密后，根据解密获得的用户标识信息向终端推送业务内容；

第一接收模块52，用于接收策略计费执行功能实体发送的信用控制请求，所述信用控制请求中携带终端所要访问的业务服务器的URL信息；

查找模块53，用于根据根据所述信用控制请求中携带的业务服务器的URL信息，从存储模块50存储的所述对应关系中查找到对应的密钥信息；

第二发送模块54，用于向所述策略计费执行功能实体返回信用控制应答，所述信用控制应答中携带查找到的所述业务服务器的URL信息对应的密钥信息，以使得所述策略计费执行功能实体采用所述密钥信息对用户标识信息进行加密后，携带在业务访问请求中发送至业务服务器。

进一步的，本实施例的第二发送模块54，具体用于将所述业务服务器的URL信息对应的密钥信息封装在动态策略的第二扩展属性值对AVP中，以使承载所述动态策略的信用控制应答中携带密钥信息；通过Gx接口将已携带所述业务服务器的URL信息对应的密钥信息的信用控制应答发送给所述策略计费执行功能实体。

进一步的，本实施例的PCRF还可以包括更新模块55；该更新模块55可以检测存储模块50存储的所述对应关系中密钥信息是否变更；并在所述密钥信息发生变更时，指示第一发送模块将变更后的密钥信息通知对应的URL信息所定位的业务服务器。

本实施例的策略计费裁决功能实体，通过设置第二发送模块向PCEF发送密钥信息，可以将用户标识信息加密后再设置入业务访问请求中，解决了用户标识信息容易被截取的问题，大大提高了业务访问中用户标识信息的安全性。

实施例六

图7为本发明业务服务器实施例的结构示意图，本实施例的业务服务器可以执行本发明任意实施例所述的业务访问控制方法。如图7所示，该业务服务器可以包括第三接收模块61、解密模块62和推送模块63。

其中，第三接收模块61，用于接收所述策略计费裁决功能实体发送的密钥信息；以及接收所述策略计费执行功能实体发送的业务访问请求；

解密模块62，用于根据第三接收模块61接收到的所述密钥信息对所述业务访问请求中携带的加密用户标识信息进行解密；

推送模块63，用于根据所述解密模块62解密后的用户标识信息，对用户标识信息对应的终端用户推送业务内容。

本实施例的业务服务器，通过设置解密模块和推送模块等，可以将用户标识信息加密后再设置入业务访问请求中，解决了用户标识信息容易被截取的问题，大大提高了业务访问中用户标识信息的安全性。

实施例七

图8为本发明业务访问控制系统实施例的结构示意图，本实施例的业务访问控制系统可以执行本发明任意实施例所述的业务访问控制方法。如图8所示，该业务访问控制系统可以包括PCEF 71、PCRF 72和业务服务器73。

其中，PCEF 71，用于接收终端发送的业务访问请求，所述业务访问请求中携带有所述终端要访问的业务服务器的统一资源定位符URL信息；向策略计费裁决功能实体发送信用控制请求，所述信用控制请求中携带所述业务服务器的URL信息；接收所述策略计费裁决功能实体返回的信用控制应答，所述信用控制应答中携带所述URL信息对应的密钥信息，并采用所述密钥信息对所述终端用户的用户标识信息进行加密；将加密后的所述用户标识信息携带在所述业务访问请求中，并将已携带加密后的用户标识信息的业务访问请求发送至业务服务器；

PCRF 72，用于接收PCEF 71发送的信用控制请求；根据所述信用控制请求中携带的业务服务器的URL信息，从存储的业务服务器的URL信息与密钥信息的对应关系中查找到对应的密钥信息；向所述PCEF 71返回信用控制应答，所述信用控制应答中携带查找到的所述业务服务器的URL信息对应的密钥信息；

业务服务器73，用于接收所述PCRF 72发送的密钥信息，并在接收到所述PCEF 71发送的业务访问请求后，根据所述密钥信息对业务访问请求中的用户标识信息进行解密，根据解密后的用户标识信息向所述终端推送业务内容。

本实施例的业务访问控制系统，通过使得PCEF采用PCRF下发的密钥，对用户标识信息加密后再设置入业务访问请求中，解决了用户标识信息容易被截取的问题，大大提高了业务访问中用户标识信息的安全性。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (13)

1.一种业务访问控制方法，其特征在于，包括：

接收终端发送的业务访问请求，所述业务访问请求中携带有所述终端要访问的业务服务器的统一资源定位符URL信息；

向策略计费裁决功能实体发送信用控制请求，所述信用控制请求中携带所述业务服务器的URL信息；

接收所述策略计费裁决功能实体返回的信用控制应答，所述信用控制应答中携带所述URL信息对应的密钥信息，并采用所述密钥信息对所述终端用户的用户标识信息进行加密；

将加密后的所述用户标识信息携带在所述业务访问请求中，并将已携带加密后的用户标识信息的业务访问请求发送至业务服务器，以使得所述业务服务器根据解密获得的用户标识信息向所述终端推送业务内容。

2.根据权利要求1所述的业务访问控制方法，其特征在于，所述向策略计费裁决功能实体发送信用控制请求，具体为：

将所述业务服务器的URL信息封装在所述信用控制请求的第一扩展属性值对AVP中，以使信用控制请求中携带所述业务服务器的URL信息；

通过Gx接口将已携带所述业务服务器的URL信息的信用控制请求发送给所述策略计费裁决功能实体。

3.一种业务访问控制方法，其特征在于，包括：

根据存储的业务服务器的URL信息与密钥信息的对应关系，将密钥信息发送给对应的URL信息所定位的业务服务器，以使得所述业务服务器根据所述密钥信息对业务访问请求中携带的加密用户标识信息进行解密后，根据解密获得的用户标识信息向终端推送业务内容；

接收策略计费执行功能实体发送的信用控制请求，所述信用控制请求中携带终端所要访问的业务服务器的URL信息；

根据所述信用控制请求中携带的业务服务器的URL信息，从存储的所述对应关系中查找到对应的密钥信息；

向所述策略计费执行功能实体返回信用控制应答，所述信用控制应答中携带查找到的所述业务服务器的URL信息对应的密钥信息，以使得所述策略计费执行功能实体采用所述密钥信息对用户标识信息进行加密后，携带在业务访问请求中发送至业务服务器。

4.根据权利要求3所述的业务访问控制方法，其特征在于，所述向所述策略计费执行功能实体返回信用控制应答，具体为：

将所述业务服务器的URL信息对应的密钥信息封装在动态策略Charging-Rule-Definition的第二扩展属性值对AVP中，以使承载所述动态策略的信用控制应答中携带密钥信息；

通过Gx接口将已携带所述密钥信息的信用控制应答发送给所述策略计费执行功能实体。

5.根据权利要求3或4所述的业务访问控制方法，其特征在于，所述将密钥信息发送给对应的URL信息所定位的业务服务器后，还包括：

检测所述对应关系中的密钥信息是否发生变更；

在检测到密钥信息发生变更时，将变更后的密钥信息通知对应的URL信息所定位的业务服务器。

6.根据权利要求5所述的业务访问控制方法，其特征在于，所述密钥信息包括公开密钥和私有密钥；

将密钥信息发送给对应的URL信息所定位的业务服务器，具体为：将私有密钥发送至对应的URL信息所定位的业务服务器；

所述信用控制应答中携带查找到的所述业务服务器的URL信息对应的密钥信息，具体为：所述信用控制应答中携带查找到的所述业务服务器的URL信息对应的公开密钥；

或者，

将密钥信息发送给对应的URL信息所定位的业务服务器，具体为：将公开密钥发送至对应的URL信息所定位的业务服务器；

所述信用控制应答中携带查找到的所述业务服务器的URL信息对应的密钥信息，具体为：所述信用控制应答中携带查找到的所述业务服务器的URL信息对应的私有密钥。

7.一种策略计费执行功能实体，其特征在于，包括：

第一接收模块，用于接收终端发送的业务访问请求，所述业务访问请求中携带有所述终端要访问的业务服务器的统一资源定位符URL信息；

第一发送模块，用于向策略计费裁决功能实体发送信用控制请求，所述信用控制请求中携带第一接收模块接收到得业务访问请求中携带的所述业务服务器的URL信息；

第二接收模块，用于接收所述策略计费裁决功能实体返回的信用控制应答，所述信用控制应答中携带所述URL信息对应的密钥信息；

加密模块，用于采用第二接收模块接收到得信用控制应答中携带的URL信息对应的密钥信息对所述终端用户的用户标识信息进行加密；

第二发送模块，用于将加密模块加密后的所述用户标识信息携带在所述业务访问请求中，并将已携带加密后的用户标识信息的业务访问请求发送至业务服务器，以使得所述业务服务器根据解密获得的用户标识信息向所述终端推送业务内容。

8.根据权利要求7所述的策略计费执行功能实体，其特征在于，

所述第一发送模块，具体用于将所述业务服务器的URL信息封装在信用控制请求信令的第一扩展属性值对AVP中，以使信用控制请求中携带所述业务服务器的URL信息；通过Gx接口将已携带所述业务服务器的URL信息的信用控制请求发送给所述策略计费裁决功能实体。

9.一种策略计费裁决功能实体，其特征在于，包括：

第一发送模块，用于根据存储模块存储的业务服务器的URL信息与密钥信息的对应关系，将密钥信息发送给对应的URL信息所定位的业务服务器，以使得所述业务服务器根据所述密钥信息对业务访问请求中携带的加密用户标识信息进行解密后，根据解密获得的用户标识信息向终端推送业务内容；

第一接收模块，用于接收策略计费执行功能实体发送的信用控制请求，所述信用控制请求中携带终端所要访问的业务服务器的URL信息；

查找模块，用于根据根据所述信用控制请求中携带的业务服务器的URL信息，从存储模块存储的所述对应关系中查找到对应的密钥信息；

第二发送模块，用于向所述策略计费执行功能实体返回信用控制应答，所述信用控制应答中携带查找到的所述业务服务器的URL信息对应的密钥信息，以使得所述策略计费执行功能实体采用所述密钥信息对用户标识信息进行加密后，携带在业务访问请求中发送至业务服务器。

10.根据权利要求9所述的策略计费裁决功能实体，其特征在于，

所述第二发送模块，具体用于将所述业务服务器的URL信息对应的密钥信息封装在动态策略的第二扩展属性值对AVP中，以使承载所述动态策略的信用控制应答中携带密钥信息；通过Gx接口将已携带所述业务服务器的URL信息对应的密钥信息的信用控制应答发送给所述策略计费执行功能实体。

11.根据权利要求9所述的策略计费裁决功能实体，其特征在于，还包括：

更新模块，用于检测存储模块存储的所述对应关系中密钥信息是否变更；并在所述密钥信息发生变更时，指示第一发送模块将变更后的密钥信息通知对应的URL信息所定位的业务服务器。

12.一种业务服务器，其特征在于，包括：

第三接收模块，用于接收所述策略计费裁决功能实体发送的密钥信息；以及接收所述策略计费执行功能实体发送的业务访问请求；

解密模块，用于根据所述密钥信息对所述业务访问请求中携带的加密用户标识信息进行解密；

推送模块，用于根据所述解密模块解密后的用户标识信息，对用户标识信息对应的终端用户推送业务内容。

13.一种业务访问控制系统，其特征在于，包括：策略计费执行功能实体、策略计费裁决功能实体和业务服务器；

所述策略计费执行功能实体，用于接收终端发送的业务访问请求，所述业务访问请求中携带有所述终端要访问的业务服务器的统一资源定位符URL信息；向策略计费裁决功能实体发送信用控制请求，所述信用控制请求中携带所述业务服务器的URL信息；接收所述策略计费裁决功能实体返回的信用控制应答，所述信用控制应答中携带所述URL信息对应的密钥信息，并采用所述密钥信息对所述终端用户的用户标识信息进行加密；将加密后的所述用户标识信息携带在所述业务访问请求中，并将已携带加密后的用户标识信息的业务访问请求发送至业务服务器；

所述策略计费裁决功能实体，用于接收策略计费执行功能实体发送的信用控制请求；根据所述信用控制请求中携带的业务服务器的URL信息，从存储的业务服务器的URL信息与密钥信息的对应关系中查找到对应的密钥信息；向所述策略计费执行功能实体返回信用控制应答，所述信用控制应答中携带查找到的所述业务服务器的URL信息对应的密钥信息；

业务服务器，用于接收所述策略计费裁决功能实体发送的密钥信息，并在接收到所述策略计费执行功能实体发送的业务访问请求后，根据所述密钥信息对业务访问请求中的用户标识信息进行解密，根据解密后的用户标识信息向所述终端推送业务内容。

Images