CN102546166A - 一种身份认证方法、系统及装置 - Google Patents

Abstract

本发明公开了一种身份认证方法、系统及装置，涉及计算机网络技术，该身份认证方法，包括：客户端在接收到访问平台的命令后，获取用户身份信息；客户端向认证中心提交用户身份信息；客户端接收认证中心发送的登录凭证并进行校验，其中，当认证中心中存储有用户的有效登录凭证时，认证中心直接将登录凭证发送给所述用户的客户端，否则，认证中心生成相应的登录凭证保存并发送给所述用户的客户端。由于在客户端和认证中心都存储表示用户已经登录的登录凭证，在用户登录该系统的其它平台时，即可直接从认证中心获取登录凭证，从而实现统一的身份认证，同时避免了认证中心和各平台间频繁的握手，也避免了Cookie共享存在的不安全因素。

Description

一种身份认证方法、系统及装置

技术领域

本发明涉及计算机网络技术，尤其涉及一种身份认证方法、系统及装置。

背景技术

随着网络技术的发展，互联网上资源越来越丰富，用户所要访问的站点也随之越来越多，很多情况下，用户不得不在各个站点中频繁切换身份，为了减轻用户操作的复杂性，同时减轻系统的维护成本，对所有子系统中的用户信息进行整合并提供统一的身份认证成为网络技术中亟待解决的问题。

目前互联网上的统一身份认证方法，都是通过部署认证中心，来提供统一认证界面，实现一次登录即可访问所有授权资源。具体的实现方式通常有以下几种：

1、主动通知方式。用户在认证中心登录之后，由认证中心对需要统一认证的资源平台发送认证通知，资源平台接收到通知后主动与认证中心进行信息握手，使得用户可以使用当前登录信息在该资源平台中进行登录。

这种方式的缺点是认证中心和各平台间的握手过于频繁，容易引起用户管理紊乱的问题，进而引起性能障碍。

2、共享Cookie(网站为了辨别用户身份而储存在用户本地终端上的数据)方式。用户登录某一系统之后，主动将存储的登录凭证进行共享，将此凭证信息发送给认证中心及各个需要统一认证的资源平台，接收到登录凭证的平台将该登录凭证记录到自身的Cookie中，在用户需要登录时直接从Cookie中获取登录凭证并通过认证中心进行认证。

这种方式的缺点是共享Cookie的过程比较复杂且不安全，容易引起认证不稳定的现象。

发明内容

本发明实施例提供一种身份认证方法、系统及装置，以实现在多个平台进行统一的身份认证。

一种身份认证方法，包括：

客户端在接收到访问平台的命令后，获取用户身份信息；

客户端向认证中心提交所述用户身份信息；

客户端接收所述认证中心发送的登录凭证并进行校验，其中，当所述认证中心中存储有所述用户的有效登录凭证时，认证中心直接将所述登录凭证发送给所述用户的客户端，否则，认证中心生成相应的登录凭证保存并发送给所述用户的客户端。

一种身份认证系统，包括：

客户端，用于在接收到访问平台的命令后，获取用户身份信息，向认证中心提交所述用户身份信息，接收所述认证中心发送的登录凭证并进行校验；

认证中心，用于接收所述用户身份信息，并当存储有所述用户的有效登录凭证时，直接将所述登录凭证发送给所述用户的客户端，否则，生成相应的登录凭证保存并发送给所述用户的客户端。

一种身份认证装置，包括：

获取单元，用于在接收到访问平台的命令后，获取用户身份信息；

提交单元，用于向认证中心提交所述用户身份信息；

校验单元，用于接收所述认证中心发送的登录凭证并进行校验。

一种身份认证装置，包括：

接收单元，用于接收所述用户身份信息；

发送单元，用于当存储有所述用户的有效登录凭证时，直接将所述登录凭证发送给所述用户的客户端，否则，生成相应的登录凭证保存并发送给所述用户的客户端。

本发明实施例提供一种身份认证方法、系统及装置，在客户端和认证中心都存储表示用户已经登录的登录凭证，在用户登录该系统的其它平台时，即可直接从认证中心获取登录凭证，从而实现统一的身份认证，同时避免了认证中心和各平台间频繁的握手，也避免了Cookie共享存在的不安全因素。

附图说明

图1为本发明实施例提供的身份认证方法流程图；

图2为本发明实施例提供的身份认证方法中统一退出的流程图；

图3为本发明实施例提供的身份认证系统的结构示意图；

图4为本发明实施例提供的身份认证装置的结构示意图之一；

图5为本发明实施例提供的身份认证装置的结构示意图之二。

具体实施方式

本发明实施例提供一种身份认证方法、系统及装置，在客户端和认证中心都存储表示用户已经登录的登录凭证，在用户登录该系统的其它平台时，即可直接从认证中心获取登录凭证，从而实现统一的身份认证，同时避免了认证中心和各平台间频繁的握手，也避免了由于Cookie共享而存在的不安全因素。

如图1所示，本发明实施例提供的身份认证方法，包括：

步骤S101、客户端在接收到访问平台的命令后，获取用户身份信息，用户身份信息通常包括用户名、密码等信息；

步骤S102、客户端向认证中心提交用户身份信息；

步骤S103、客户端接收认证中心发送的登录凭证并进行校验，其中，当认证中心中存储有用户的有效登录凭证时，认证中心直接将登录凭证发送给用户的客户端，否则，认证中心生成相应的登录凭证保存并发送给用户的客户端。

为了进一步提高用户登录的效率，客户端可以在获取到用户身份信息后，首先根据用户身份信息在客户端本地查找相应的登录凭证，如果存在相应的登录凭证，则直接对该登录凭证进行校验，如果该登录凭证有效，则可以直接使用此登录凭证登录到所要登录的平台中；如果不存在登录凭证或存在的登录凭证为无效凭证，再执行步骤S102，向认证中心提交用户身份信息。

在步骤S103中，认证中心在接收到用户身份信息时，首先检查该用户是否已有登录凭证，如果有则检查该登录凭证是否有效，如果有效，则将该登录凭证发送给客户端；如果不存在登录凭证或登录凭证无效，则根据该用户的用户身份信息对该用户进行登录验证，并生成加密的登录凭证发送给客户端。

客户端在接收到认证中心发送的登录凭证后，可以将经过校验的登录凭证保存到本地，以提高用户再次登录该平台的身份认证效率。

下面以一个具体的实施例进行说明：若平台1、平台2、平台3和平台4统一进行身份认证，用户在登录平台1时，由于用户是首次登录，所以客户端获取用户的用户身份信息后，在客户端本地内找不到平台1的登录凭证，客户端向认证中心提交用户身份信息，认证中心也找不到该用户的登录凭证，则根据提交的用户身份信息对该用户进行登录验证，再生成加密的登录凭证保存并发送给客户端，客户端接收到该登录凭证后，进行校验，并使用该登录凭证登录到平台1，同时保存该登录凭证。

用户在登录平台1后，若还需要再登录平台3，由于用户首次登录平台3，所以客户端获取用户的用户身份信息后，在客户端本地内也找不到平台3的登录凭证，客户端向认证中心提交用户身份信息，由于在用户登录平台1时，认证中心已经生成并存储了该用户的登录凭证，所以直接将该用户的登录凭证发送给客户端即可，客户端接收到该登录凭证后，进行校验，并使用该登录凭证登录到平台3，同时保存该登录凭证。

当用户再次登录平台1或平台3时，由于本地已经存储了相应的登录凭证，所以客户端获取用户的用户身份信息后，可以直接使用客户端本地存储的登录凭证登录到相应的平台。

进一步，由于目前很多平台针对不同的用户都提供不同的服务，例如对VIP用户就可以提供更多更优质的服务，或者对某个机构的用户提供针对该机构的业务的个性化服务，这种情况下，在客户端接收认证中心发送的登录凭证并进行校验后，客户端还需要获取当前用户的平台配置信息，在用户登录到平台时根据平台配置信息进行用户平台信息的初始化。其中，平台配置信息中可以包括用户的权限信息、平台关联信息等，当用户为某个机构中的用户时，用户权限信息中可以包括该机构的权限以及该用户的具体权限，平台关联信息可以根据由用户根据其常用的平台来自行设置，若用户通常仅使用平台1、平台2平台3、平台4中的前三个，那么用户在登录平台1后，则可以根据该用户的平台关联信息在平台1中显示平台2和平台3的链接，以便于用户登录平台2和平台3。

当前用户的平台配置信的具体获取方式同样包括：在客户端本地获取和通过认证中心获取，为保证登录效率，可以采用优先从客户端本地获取，在本地获取失败的情况下再通过认证中心获取的方式。此时，客户端在获取当前用户的平台配置信息时，首先确定在客户端中是否存储有用户的平台配置信息，如果是，直接获取客户端中存储的用户的平台配置信息，否则，客户端从认证中心获取用户的平台配置信息，客户端在接收到认证中心发送的该用户的平台配置信息后，可以将该用户的平台配置信息存储在本地，以便于下次登录时查找和使用，从而进一步提高下次登录的登录效率。

由于用户在退出平台时，若只是单一的在当前平台和认证中心退出，而没有退出用户同时登录的其它平台，也会引起管理混乱，针对这一点，本发明实施例进一步提供了统一退出的方法，如图2所示，包括：

步骤S201、客户端在接收到用户的退出平台的命令后，销毁该用户相应的登录凭证并向认证中心发送退出状态信息；

步骤S202、认证中心接收到退出状态信息后，销毁用户的登录凭证，并向客户端发送各平台的退出通知；

步骤S203、客户端在接收到各平台的退出通知后，销毁用户在各平台登录的登录凭证。

由于客户端销毁了用户在各平台登录的登录凭证，所以实现了用户的统一退出，认证中心向客户端发送各平台的退出通知时，可以采用异步通知的方式进行，以提高统一退出的效率，同时使得用户感受不到该退出通知的接收，提高用户的体验度。

仍然以平台1、平台2、平台3和平台4统一进行身份认证为例，若用户已经登录了平台1和平台3，并在平台1中发送退出平台的命令，那么客户端首先销毁客户端中对应于平台1的登录凭证，并向认证中心发送该用户的退出状态信息，认证中心接收到退出状态信息后，销毁认证中心中该用户的登录凭证，并向客户端发送各平台的退出通知，客户端在接收到各平台的退出通知后，销毁该用户在各平台登录的登录凭证，由于除平台1以外，该用户仅登录了平台3，那么客户端再销毁该用户在平台3登录的登录凭证即可。

本发明实施例还相应提供一种身份认证系统，如图3所示，包括：客户端301和认证中心302，其中：

客户端301，用于在接收到访问平台的命令后，获取用户身份信息，向认证中心302提交用户身份信息，接收认证中心301发送的登录凭证并进行校验；

认证中心302，用于接收用户身份信息，并当存储有用户的有效登录凭证时，直接将登录凭证发送给用户的客户端301，否则，生成相应的登录凭证保存并发送给用户的客户端301。

为了进一步提高用户登录的效率，客户端301可以在获取到用户身份信息后，首先根据用户身份信息在客户端301本地查找相应的登录凭证，如果存在相应的登录凭证，则直接对该登录凭证进行校验，如果该登录凭证有效，则可以直接使用此登录凭证登录到所要登录的平台中；如果不存在登录凭证或存在的登录凭证为无效凭证，再向认证中心302提交用户身份信息，此时，客户端301还用于：

在向认证中心302提交用户身份信息前，根据用户身份信息确定客户端301中不存在有效的登录凭证。

客户端301在接收到认证中心302发送的登录凭证后，还可以将经过校验的登录凭证保存到本地，以提高用户再次登录该平台的身份认证效率，此时，客户端301还用于：

在接收认证中心302发送的登录凭证并进行校验后，存储通过身份校验的登录凭证。

进一步，在平台针对不同的用户都提供不同的服务时，客户端301还用于：

在接收认证中心302发送的登录凭证并进行校验后，获取当前用户的平台配置信息，在用户登录到该平台时根据平台配置信息进行用户平台信息的初始化。

为进一步实现统一退出，客户端301还用于：在接收到用户的退出平台的命令后，销毁该用户相应的登录凭证并向认证中心302发送退出状态信息；在接收到各平台的退出通知后，销毁用户在各平台登录的登录凭证；

认证中心302还用于：接收到退出状态信息后，销毁用户的登录凭证，并向客户端301发送各平台的退出通知。

本发明实施例还提供一种身份认证装置，该身份认证装置可以具体为用户所使用的客户端，如图4所示，该装置包括：

获取单元401，用于在接收到访问平台的命令后，获取用户身份信息；

提交单元402，用于向认证中心提交用户身份信息；

校验单元403，用于接收认证中心发送的登录凭证并进行校验；

为了进一步提高用户登录的效率，客户端可以在获取到用户身份信息后，首先根据用户身份信息在客户端本地查找相应的登录凭证，如果存在相应的登录凭证，则直接对该登录凭证进行校验，如果该登录凭证有效，则可以直接使用此登录凭证登录到所要登录的平台中；如果不存在登录凭证或存在的登录凭证为无效凭证，再向认证中心提交用户身份信息，此时，提交单元402还用于：

在向认证中心提交用户身份信息前，根据用户身份信息确定客户端中不存在有效的登录凭证。

客户端在接收到认证中心发送的登录凭证后，还可以将经过校验的登录凭证保存到本地，以提高用户再次登录该平台的身份认证效率，此时，客户端中还包括：

存储单元，用于存储通过身份校验的登录凭证。

进一步，在平台针对不同的用户都提供不同的服务时，客户端中还包括：

初始化单元，用于获取当前用户的平台配置信息，允许用户登录到平台并根据平台配置信息进行用户平台信息的初始化。

为进一步实现统一退出，客户端中还包括：

退出单元，用于在接收到用户的退出平台的命令后，销毁该用户相应的登录凭证并向认证中心发送退出状态信息；在接收到认证中心发送的各平台的退出通知后，销毁用户在各平台登录的登录凭证。

本发明实施例还相应提供一种身份认证装置，该身份认证装置可以具体为认证中心，如图5所示，该装置包括：

接收单元501，用于接收用户身份信息；

发送单元502，用于当存储有用户的有效登录凭证时，直接将登录凭证发送给用户的客户端，否则，生成相应的登录凭证保存并发送给用户的客户端。

为进一步实现统一退出，认证中心还包括：

销毁单元，用于接收到退出状态信息后，销毁用户的登录凭证，并向客户端发送各平台的退出通知。

本发明实施例提供一种身份认证方法、系统及装置，在客户端和认证中心都存储表示用户已经登录的登录凭证，在用户登录该系统的其它平台时，即可直接从认证中心获取登录凭证，从而实现统一的身份认证，同时避免了认证中心和各平台间频繁的握手，也避免了Cookie共享存在的不安全因素。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (15)

1.一种身份认证方法，其特征在于，包括：

客户端在接收到访问平台的命令后，获取用户身份信息；

客户端向认证中心提交所述用户身份信息；

客户端接收所述认证中心发送的登录凭证并进行校验，其中，当所述认证中心中存储有所述用户的有效登录凭证时，认证中心直接将所述登录凭证发送给所述用户的客户端，否则，认证中心生成相应的登录凭证保存并发送给所述用户的客户端。

2.如权利要求1所述的方法，其特征在于，在所述客户端向认证中心提交所述用户身份信息前，还包括：

根据所述用户身份信息确定客户端中不存在有效的登录凭证。

3.如权利要求1所述的方法，其特征在于，在所述客户端接收所述认证中心发送的登录凭证并进行校验后，还包括：

获取当前用户的平台配置信息，在用户登录到所述平台时根据所述平台配置信息进行用户平台信息的初始化。

4.如权利要求3所述的方法，其特征在于，所述获取当前用户的平台配置信息，具体包括：

确定所述客户端是否存储有所述用户的平台配置信息，如果是，直接获取所述客户端中存储的所述用户的平台配置信息，否则，所述客户端从所述认证中心获取所述用户的平台配置信息。

5.如权利要求1所述的方法，其特征在于，还包括：

客户端在接收到用户的退出平台的命令后，销毁该用户相应的登录凭证并向所述认证中心发送退出状态信息；

所述认证中心接收到所述退出状态信息后，销毁所述用户的登录凭证，并向所述客户端发送各平台的退出通知；

客户端在接收到所述各平台的退出通知后，销毁所述用户在各平台登录的登录凭证。

6.一种身份认证系统，其特征在于，包括：

客户端，用于在接收到访问平台的命令后，获取用户身份信息，向认证中心提交所述用户身份信息，接收所述认证中心发送的登录凭证并进行校验；

认证中心，用于接收所述用户身份信息，并当存储有所述用户的有效登录凭证时，直接将所述登录凭证发送给所述用户的客户端，否则，生成相应的登录凭证保存并发送给所述用户的客户端。

7.如权利要求6所述的系统，其特征在于，所述客户端还用于：

在向认证中心提交所述用户身份信息前，根据所述用户身份信息确定客户端中不存在有效的登录凭证。

8.如权利要求6所述的系统，其特征在于，所述客户端还用于：

在接收所述认证中心发送的登录凭证并进行校验后，获取当前用户的平台配置信息，在用户登录到所述平台时根据所述平台配置信息进行用户平台信息的初始化。

9.如权利要求6所述的系统，其特征在于，所述客户端还用于：

在接收到用户的退出平台的命令后，销毁该用户相应的登录凭证并向所述认证中心发送退出状态信息；在接收到各平台的退出通知后，销毁所述用户在各平台登录的登录凭证；

所述认证中心还用于：接收到所述退出状态信息后，销毁所述用户的登录凭证，并向所述客户端发送各平台的退出通知。

10.一种身份认证装置，其特征在于，包括：

获取单元，用于在接收到访问平台的命令后，获取用户身份信息；

提交单元，用于向认证中心提交所述用户身份信息；

校验单元，用于接收所述认证中心发送的登录凭证并进行校验。

11.如权利要求10所述的装置，其特征在于，所述提交单元还用于：

在向认证中心提交所述用户身份信息前，根据所述用户身份信息确定客户端中不存在有效的登录凭证。

12.如权利要求10所述的装置，其特征在于，还包括：

初始化单元，用于获取当前用户的平台配置信息，在用户登录到所述平台时根据所述平台配置信息进行用户平台信息的初始化。

13.如权利要求10所述的装置，其特征在于，还包括：

退出单元，用于在接收到用户的退出平台的命令后，销毁该用户相应的登录凭证并向所述认证中心发送退出状态信息；在接收到认证中心发送的各平台的退出通知后，销毁所述用户在各平台登录的登录凭证。

14.一种身份认证装置，其特征在于，包括：

接收单元，用于接收所述用户身份信息；

发送单元，用于当存储有所述用户的有效登录凭证时，直接将所述登录凭证发送给所述用户的客户端，否则，生成相应的登录凭证保存并发送给所述用户的客户端。

15.如权利要求14所述的装置，其特征在于，所述认证中心还包括：

销毁单元，用于接收到所述退出状态信息后，销毁所述用户的登录凭证，并向所述客户端发送各平台的退出通知。

Images