CN102404392A - 一种Web应用或网站集成登录的方法 - Google Patents

Abstract

本发明公开了一种Web应用或网站集成登录的方法，属于计算机软件应用开发领域。该方法包括身份提供端及被集成应用或网站端：所述身份提供端为身份提供者，即身份认证服务器，用于提供用户信息，为有效的用户生成用户令牌，传递给该用户访问的应用或者网站;所述被集成应用或网站端为服务提供者，即各种被集成的应用或者网站，通过身份提供端提供的用户令牌验证用户，为用户提供服务。与现有技术相比，本发明的Web应用或网站集成登录的方法具有构思合理、使用方便、节省人力、智能化程度高等特点，具有很好的推广应用价值。

Description

一种Web应用或网站集成登录的方法

 

技术领域

本发明涉及一种计算机软件应用开发领域，具体地说是一种Web应用或网站集成登录的方法。

背景技术

现在随着信息化技术的不断发展，行业软件系统的整合互联，以及网站间的业务的交互，越来越多。在多个应用或网站中，用户需要一次登录就可以访问多个应用或者网站。而不是在每个应用或网站中，多次登录。这样就必须提供一种方案来实现各应用或网站间的一次登录，来操作应用或网站的业务，即单点登录。

发明内容

本发明的技术任务是针对上述现有技术的不足，提供一种使用方便、智能化程度高的Web应用或网站集成登录的方法。

本发明的技术任务是按以下方式实现的：一种Web应用或网站集成登录的方法，包括身份提供端及被集成应用或网站端，

所述身份提供端为身份提供者，即身份认证服务器，用于提供用户信息，为有效的用户生成用户令牌，传递给该用户访问的应用或者网站;

所述被集成应用或网站端为服务提供者，即各种被集成的应用或者网站，通过身份提供端提供的用户令牌验证用户，为用户提供服务。

被集成应用或网站端如果发现用户尚未登录，需要重定向到身份提供端的单点登录服务，并需要携带以下参数:     a、用户初次请求的资源URL,

 b、被集成应用或网站端方提供令牌验证和消费服务，用于验证令牌的合法性及根据令牌生成该网站的安全上下文。

Web应用或网站间数据的传输方式，包括通过Http  Get、Post方式或Soap方式进行数据提交（每种方式可以由用户自定义选择），

Get方式里面可以对用户令牌进行压缩编码浏览器显示提交;

Post方式为模板隐式提交;

Soap方式是通过构造信封进行传递。

为加强应用或网站间用户令牌数据的安全性，所述用户令牌中主要包含用户相关信息及安全信息，包括

①　用户名：用户在被集成应用或网站端上的用户账号;

②　时间戳：包括身份提供端当前时间和令牌过期时间，用于抗重放攻击;

③　身份提供端数字签名:身份提供端使用自己的私钥对令牌内容进行签名，用于防止信息的篡改。

被集成应用或网站端的令牌消费服务接收到用户令牌后，需要做以下处理：

①　验证令牌的时效性：比对系统时间和令牌过期时间，确定令牌是否过期;

②　验证签名值：根据身份提供端 提供的公钥对签名值进行解密，与用户名和令牌过期时间的散列值相比对，确定令牌没有被篡改;

校验成功后，则重定向至用户请求资源URL。

本发明的Web应用或网站集成登录的方法与现有技术相比具有以下突出的有益效果：

（一）本方法在保证身份信息在网络间传递安全性前提下基本上能够成为通用集成的模板，并能够站在尽量减少集成和被集成放交互角度进行实施;

（二）采用了公钥、时间戳机制来保证安全性，交互次数减少为一次交互，运行的流程性比较固定可以通用。

附图说明

附图1是本发明Web应用或网站集成登录的方法的登录流程示意图。

具体实施方式

参照说明书附图以具体实施例对本发明的Web应用或网站集成登录的方法作以下详细地说明。

实施例：

本发明的Web应用或网站集成登录的方法，包括身份提供端及被集成应用或网站端，

所述身份提供端为身份提供者，即身份认证服务器，用于提供用户信息，为有效的用户生成用户令牌，传递给该用户访问的应用或者网站;

所述被集成应用或网站端为服务提供者，即各种被集成的应用或者网站，通过身份提供端提供的用户令牌验证用户，为用户提供服务。

Web应用或网站间数据的传输方式，提供通过Http  Get、Post请求方式或Soap方式进行数据传送，每种方式可以由用户自定义选择。其中Get方式里面可以对用户令牌进行压缩编码浏览器显示提交，Post方式为模板隐式提交，Soap方式是通过构造信封进行传递。

    被集成应用或网站端如果发现用户尚未登录，需要重定向到身份提供端的单点登录服务，服务为”/SingleSignOnService/*”。

并需要携带以下参数: 用户初次请求的资源URL,使用参数名为”relayState”来指定，被集成应用或网站端方提供令牌验证和消费服务，用于验证令牌的合法性及根据令牌生成该网站的安全上下文，使用参数名为“tokenConsumerService”来指定。

为加强应用或网站间用户令牌数据的安全性，用户令牌主要包含用户相关信息及安全信息，主要包括

①　用户名：用户在被集成应用或网站端上的用户账号

②　时间戳：包括身份提供端当前时间和令牌过期时间，用于抗重放攻击

③　身份提供端数字签名:身份提供端使用自己的私钥对令牌内容进行签名，用于防止信息的篡改。

其具体的参数约定和说明如下：

①　用户名，表明用户身份，使用参数”userId”来指定

②　令牌过期时间，格式为” yyyy-mm-dd hh:mm:ss.xxx”,其中yyyy-mm-dd表示年月日，hh:mm:ss表示时分秒，xxx表示毫秒数。使用参数” expirationTime”来指定

③　签名值，用于说明前两部分的签名值，使用参数”signatureValue”来指定

④　公钥，使用参数名为”publicKey”来指定。

被集成应用或网站端的令牌消费服务接收到用户令牌后，需要做以下处理：

①　验证令牌的时效性。比对系统时间和令牌过期时间，确定令牌是否过期

②　验证签名值。根据身份提供端提供的公钥对签名值进行解密，与用户名和令牌过期时间的散列值相比对，确定令牌没有被篡改

如果以上两步均无误，则重定向至用户请求资源URL。

如附图1所示，身份提供端和被集成应用或网站端间交互的流程如下：

1．用户还未登录 ，需要用户输入身份;

2．用户输入身份信息，身份提供端进行验证;

3．用户通过身份提供端提供的被集成应用或网站端的链接访问业务业务服务;

4．被集成应用或网站端如果检查到用户没有在自己的服务器登录，则将用户请求的资源保存在一个模板变量中（模板实现html form的提交，里面放置了用户令牌、用户请求的操作等变量），然后通过自定义选择传输方式执行身份提供端的单点登录服务;

5．身份提供端检查到用户已经在自己的服务器登录,根据用户信息生成用户令牌，并将用户令牌和用户请求的资源保存到模板变量中，并通过自定义选择传输方式执行被集成应用或网站端的用户认证服务;

被集成应用或网站端验证用户令牌，将用户在本系统上状态置为登录，重定向至用户请求的资源。

Claims (5)

1.一种Web应用或网站集成登录的方法，其特征在于：包括身份提供端及被集成应用或网站端，

所述身份提供端为身份提供者，即身份认证服务器，用于提供用户信息，为有效的用户生成用户令牌，传递给该用户访问的应用或者网站;

  所述被集成应用或网站端为服务提供者，即各种被集成的应用或者网站，通过身份提供端提供的用户令牌验证用户，为用户提供服务。

2.根据权利要求1所述的Web应用或网站集成登录的方法，其特征在于，

被集成应用或网站端如果发现用户尚未登录，需要重定向到身份提供端的单点登录服务，并需要携带以下参数: 

a、用户初次请求的资源URL,

 b、被集成应用或网站端方提供令牌验证和消费服务，用于验证令牌的合法性及根据令牌生成该网站的安全上下文。

3.根据权利要求1所述的Web应用或网站集成登录的方法，其特征在于，

Web应用或网站间数据的传输方式，包括通过Http  Get、Post方式或Soap方式进行数据提交，

Get方式里面可以对用户令牌进行压缩编码浏览器显示提交;

Post方式为模板隐式提交;

Soap方式是通过构造信封进行传递。

4.根据权利要求1所述的Web应用或网站集成登录的方法，其特征在于，所述用户令牌中主要包含用户相关信息及安全信息，包括

a、用户名：用户在被集成应用或网站端上的用户账号;

b、时间戳：包括身份提供端当前时间和令牌过期时间，用于抗重放攻击;

c、身份提供端数字签名:身份提供端使用自己的私钥对令牌内容进行签名，用于防止信息的篡改。

5.根据权利要求1所述的Web应用或网站集成登录的方法，其特征在于，被集成应用或网站端的令牌消费服务接收到用户令牌后，需要做以下处理：

a、验证令牌的时效性：比对系统时间和令牌过期时间，确定令牌是否过期;

b、验证签名值：根据身份提供端 提供的公钥对签名值进行解密，与用户名和令牌过期时间的散列值相比对，确定令牌没有被篡改;

校验成功后，则重定向至用户请求资源URL。

Images