CN102984169A

CN102984169A - 单点登录方法、设备及系统

Info

Publication number: CN102984169A
Application number: CN2012105301415A
Authority: CN
Inventors: 涂红兵; 刘鹤敏; 张发源; 苏李亮; 林加镇; 侯斌; 王云福
Original assignee: China General Nuclear Power Corp; China Nuclear Power Engineering Co Ltd
Current assignee: China General Nuclear Power Corp; China Nuclear Power Engineering Co Ltd
Priority date: 2012-12-11
Filing date: 2012-12-11
Publication date: 2013-03-20

Abstract

本发明公开了一种单点登录方法，其包括：获取用户向应用服务器发送的访问请求；若所述访问请求中携带令牌，则判断所述令牌是否与单点登录服务器中保存的会话信息一致；若一致，则向所述应用服务器发送所述令牌一致的响应，以使所述应用服务器接受所述访问请求。本发明单点登录方法使应用服务器不需要对令牌进行验证操作，减轻了应用系统侧的工作负担，提高了应用系统侧的效率。此外，本发明还公开了一种单点登录设备和系统。

Description

单点登录方法、设备及系统

技术领域

本发明涉及通信领域，具体涉及一种单点登录方法、设备及系统。

背景技术

目前，企业中可能会存在许多不同的应用系统，如果每个应用系统都维护自己的用户信息，对于用户来说，登录每个应用系统都要输入自己的用户名和密码，需要在每个系统中维护用户信息，如果完成一项工作要同时在多个系统中进行处理，就需要频繁的输入用户名和密码，有些密码可能还不同，记忆也困难，这个体验将相当差。

对于开发来说，需要在每个系统中存储用户信息，处理登录逻辑，加密密码等复杂逻辑，对运维来说相同的数据要多次重复备份，对于信息安全来说，增加了需要防范的安全点增多，安全风险较高，如果一个系统的安全处理不当，导致密码泄露，就会波及到其他应用系统综上所述，由于现有单点登录（SingleSign On，SSO）技术中，需要应用服务器对每次访问的用户身份进行认证，或通过网络传输该应用程序进行身份认证。一方面，由于用来进行身份认证的信息是通过网络传输到应用系统中的，通过这种方式传输信息很容易被截取或破解，因此，安全可靠性较差；另一方面，当在网络中集成有大量这种不支持门户验证的应用系统时，应用服务器需要调动映射关系进行验证等维护工作，因而导致应用系统的工作负荷较重。

有鉴于此，确有必要提供一种能够减轻应用系统侧的用户登录验证工作，简化用户登录应用系统的操作的单点登录方法、设备及系统。

发明内容

本发明的目的在于：提供一种能够减轻应用系统侧的用户登录验证工作，简化用户登录应用系统的操作的单点登录方法、设备及系统。

为了实现上述发明目的，本发明提供了一种单点登录方法，该方法包括：

获取用户向应用服务器发送的访问请求；

若所述访问请求中携带令牌，则判断所述令牌是否与单点登录服务器中保存的会话信息一致；

若一致，则向所述应用服务器发送所述令牌一致的响应，以使所述应用服务器接受所述访问请求。

作为本发明单点登录方法的一种改进，在获取用户向应用服务器发送的访问请求后，还包括：

若访问请求中未携带所述令牌，则向所述单点登录服务器发送令牌获取请求，单点登录服务器根据所述令牌获取请求判断所述用户是否已登录；

若判断所述用户已登录，则单点登录服务器向应用服务器发送所述用户为合法用户的响应，以使所述应用服务器接受所述访问请求。

作为本发明单点登录方法的一种改进，若所述单点登录服务器根据所述令牌获取请求判断所述用户未登录，则单点登录服务器提示所述用户输入身份标识信息，将所述用户输入的身份标识信息与已保存的身份标识信息比较；

若相同，则单点登录服务器向所述用户发送令牌，向应用服务器发送所述用户为合法用户的响应，以使所述应用服务器接受所述访问请求。

作为本发明单点登录方法的一种改进，所述单点登录服务器向所述用户发送令牌包括：所述令牌为不重复且有效的令牌。

作为本发明单点登录方法的一种改进，所述单点登录服务器保存所述用户输入的身份标识信息和令牌的信息。

作为本发明单点登录方法的一种改进，单点登录服务器设置所述令牌的有效期，并监测所述令牌保存时间是否超过设置的有效期；若超过所述有效期，删除所述保存的令牌。

为了实现上述发明目的，本发明还提供了一种单点登录的设备，该设备包括：

获取模块，用于获取用户向应用服务器发送的访问请求；

第一判断模块，用于判断所述访问请求中是否携带令牌；

第二判断模块，用于若所述第一判断模块判断所述访问请求中携带令牌，则判断所述令牌是否与单点登录服务器中保存的会话信息一致；

响应模块，用于若所述第二判断模块判断所述令牌与单点登录服务器中保存的会话信息一致，则向所述应用服务器发送所述令牌一致的响应，以使所述应用服务器接受所述访问请求。

作为本发明单点登录的设备的一种改进，该设备还包括：

发送模块，用于若所述第一判断模块判断所述访问请求中未携带所述令牌，则向所述单点登录服务器发送令牌获取请求，以使单点登录服务器根据所述令牌获取请求判断所述用户是否已登录。

为了实现上述发明目的，本发明还提供了一种单点登录的系统，该系统包括：

代理服务器，用于获取用户向应用服务器发送的访问请求；若所述访问请求中携带令牌，则判断所述令牌是否与单点登录服务器中保存的会话信息一致；若一致，则向所述应用服务器发送所述令牌一致的响应，以使所述应用服务器接受所述访问请求；

所述应用服务器，用于接收用户的访问请求，根据代理服务器的响应确定是否接受用户的访问请求；

所述单点登录服务器，用于保存会话信息。

作为本发明单点登录的系统的一种改进，述代理服务器还用于若判断访问请求中未携带所述令牌，则向所述单点登录服务器发送令牌获取请求；

所述单点登录服务器还用于根据所述令牌获取请求判断所述用户是否已登录，若判断所述用户已登录，则向所述应用服务器发送所述用户为合法用户的响应；

所述应用服务器还用于根据所述响应接受所述访问请求。

作为本发明单点登录系统的一种改进，所述单点登录服务器还用于若根据所述令牌获取请求判断所述用户未登录，则提示所述用户输入身份标识信息，将所述用户输入的身份标识信息与已保存的身份标识信息比较；若相同，则单点登录服务器向所述用户发送令牌，向应用服务器发送所述用户为合法用户的响应。

作为本发明单点登录系统的一种改进，所述单点登录服务器还用于保存所述用户输入的身份标识信息和令牌的信息。

作为本发明单点登录系统的一种改进，所述单点登录服务器还用于设置所述令牌的有效期，并监测所述令牌保存时间是否超过设置的有效期；若超过所述有效期，删除所述保存的令牌。

与现有技术相比，本发明的单点登录方法、设备及系统具有以下有益技术效果：通过部署代理服务器对用户访问请求中的令牌进行验证，将会话信息保存在单点登录服务器上，使应用服务器不需要对令牌进行验证操作，减轻了应用系统侧的工作负担，减少应用系统侧消耗内存，提高了应用系统侧的效率，实现用户只需要一次登录，即可访问所有接入单点登录服务器上的应用系统，简化了操作，方便了用户，提高了用户感知。

附图说明

下面结合附图和具体实施方式，对本发明单点登录方法、设备及系统进行详细说明，其中：

图1提供了一种单点登录方法一个实施例的流程示意图。

图2提供了一种单点登录方法又一个实施例的流程示意图。

图3提供了一种单点登录设备一个实施例的结构示意图。

图4提供了一种单点登录系统一个实施例的结构示意图。

图5提供了一种单点登录系统一个实施例的流程示意图。

具体实施方式

为了使本发明的发明目的、技术方案及其有益技术效果更加清晰，以下结合附图和具体实施方式，对本发明进行进一步详细说明。应当理解的是，本说明书中描述的具体实施方式仅仅是为了解释本发明，并非为了限定本发明。

单点登录（Single Sign On，SSO），是目前比较流行的企业业务整合的解决方案之一，在多个应用系统模块中定义SSO，用户只需要登录一次就可以访问所有相互信任的应用系统。由于在企业网站实现单点登录，即可将企业内部的各种应用系统模块集成在一起，体现了企业应用系统模块的整体性和完整性，简化了企业用户的操作，减轻了用户的管理和系统维护的成本，因此实现单点登录意义比较重大。然而，由于应用系统中的SSO仍然需要对登录的用户进行验证或鉴权等操作，导致应用系统需要消耗部分内存；同时，由于每个应用系统均设置SSO模块，用户登录不同的应用系统仍然需要多次输入用户信息。

图1提供了一种单点登录方法的一个实施例，通过将各应用系统模块中定义的SSO进行集成，形成一个集各应用系统模块中定义的SSO功能的模块或器件。具体方法包括：

步骤101，获取用户向应用服务器发送的访问请求。

具体的，用户向应用服务器发送访问请求过程中，通过拦截或主动获取等方式获取用户向应用服务器发送的访问请求。进一步的，可以获取用户向多个应用服务器发送的一个或多个访问请求。该应用服务器可以是应用系统，也可以是应用平台，还可以是应用程序。

步骤103，若所述访问请求中携带令牌，则判断所述令牌是否与单点登录服务器中保存的会话信息一致。

检查用户的访问请求，例如检查用户发送的网页地址，又称统一资源定位符（Universal Resource Locator，URL）中是否有S token/stokes参数。若获取的访问请求中携带令牌，判断令牌与单点登录服务器中保存的会话信息是否一致。该单点登录服务器可以是单点登录系统或单点登录平台。

步骤105，若一致，则向所述应用服务器发送所述令牌一致的响应，以使所述应用服务器接受所述访问请求。

若判断令牌与单点登录服务器中保存的会话信息一致，则向应用服务器令牌与会话信息一致的响应，应用服务器收到该响应后，接受用户的访问请求。

通过获取用户发送应用服务器的访问请求，并对令牌进行验证，将会话信息保存在单点登录服务器上，使应用服务器不需要对令牌进行验证操作，减轻了应用系统侧的工作负担，减少应用系统侧消耗内存。

请结合参看图2，图2提供了一种单点登录方法的一个实施例的示意图。通过将各应用系统模块中定义的SSO进行集成，形成一个集各应用系统模块中定义的SSO功能的模块或器件。该方法包括

步骤201，获取用户向应用服务器发送的访问请求。

具体的，用户向应用服务器发送访问请求过程中，代理模块或代理服务器或代理平台，通过拦截或主动获取等方式获取用户向应用服务器发送的访问请求。进一步的，可以获取用户向多个应用服务器发送的一个或多个访问请求。该应用服务器可以是应用系统，也可以是应用平台，还可以是应用程序。

步骤203，判断访问请求中是否携带令牌。

代理模块或代理服务器或代理平台判断用户的访问请求，例如通过检查用户发送的网页地址，又称统一资源定位符（Universal Resource Locator，URL）中是否有S token/stokes参数，判断访问请求中是否携带令牌，若存在有Stoken/stokes参数，则判断携带有令牌。

步骤205，判断令牌与单点登录服务器中保存的会话信息是否一致。

具体的，单点登录服务器中存在SSO验证令牌接口，代理模块或代理服务器或代理平台通过该接口将保存在单点登录服务器中的会话信息与令牌进行对比，通过对比判断二者是否一致。

步骤207，向应用服务器发送令牌与会话信息一致的响应。

若代理模块或代理服务器或代理平台判断令牌与单点登录服务器中保存的会话信息一致，则向应用服务器发送令牌与会话信息一致的响应，并将令牌发送至刷新接口。

步骤209，向单点登录服务器发送令牌获取请求。

从图2可知，若代理模块或代理服务器或代理平台判断访问请求中未携带令牌，则向单点登录服务发送令牌获取请求。具体的，向单点登录服务器发送用户的访问请求，该访问请求携带有令牌获取请求。

步骤211，根据令牌获取判断该用户是否已登录。

单点登录服务器接收到令牌获取请求后，先判断该用户是否已登录。具体的，单点登录服务器根据令牌获取请求提取访问请求中的用户信息，通过该用户信息判断用户是否已登录。

步骤213，向应用服务器发送该用户为合法用户的响应。

若该用户已登录，单点登录服务器向应用服务器发送该用户为合法用户的响应。

步骤215，应用服务器接受用户的访问请求。

具体的，应用服务器接到若代理模块或代理服务器或代理平台令牌一致的响应，或接收到单点登录服务器判断用户为合法用户的响应后，接受用户的访问请求。

通过部署代理服务器对用户访问请求中的令牌进行验证，将会话信息保存在单点登录服务器上，使应用服务器不需要对令牌进行验证操作，减轻了应用系统侧的工作负担，减少应用系统侧消耗内存，提高了应用系统侧的效率，实现用户只需要一次登录，即可访问所有接入单点登录服务器上的应用系统，简化了操作，方便了用户，提高了用户感知。

请结合参看图3，图3提供了一种单点登录设备的一个实施例的示意图。该单点登录设备可以是实现单点登录中的一个设备，本实施例中的单点登录设备通过将各应用系统模块中定义的SSO进行集成，形成一个集各应用系统模块中定义的SSO功能的模块或器件，即单点登录设备。单点登录设备可以是代理模块或代理服务器或代理平台。具体包括：

获取模块301，用于获取用户向应用服务器发送的访问请求。

具体的，获取模块301通过拦截或主动获取等方式获取用户向应用服务器发送的访问请求。进一步的，获取模块301可以获取用户向多个应用服务器发送的一个或多个访问请求。

第一判断模块303，用于判断所述访问请求中是否携带令牌。

具体的，第一判断模303判断用户的访问请求，例如第一判断模块303通过检查用户发送的网页地址，又称统一资源定位符（Universal Resource Locator，URL）中是否有S token/stokes参数，判断访问请求中是否携带令牌，若存在有S token/stokes参数，则判断携带有令牌。

第二判断模块305，用于若第一判断模303块判断该访问请求中携带令牌，则判断令牌是否与单点登录服务器中保存的会话信息一致。

具体的，单点登录服务器中存在SSO验证令牌接口，第二判断模块305通过该接口将保存在单点登录服务器中的会话信息与令牌进行对比，通过对比判断二者是否一致。

响应模块307，用于若第二判断模块305判断所述令牌与单点登录服务器中保存的会话信息一致，则向所述应用服务器发送所述令牌一致的响应，以使所述应用服务器接受所述访问请求。

若第二判断模块305判断令牌与单点登录服务器中保存的会话信息一致，则响应模块307向应用服务器发送令牌与会话信息一致的响应。

可选的，该设备还包括：发送模块309，用于若第一判断模块303判断访问请求中未携带令牌，则向单点登录服务器发送令牌获取请求，以使单点登录服务器根据令牌获取请求判断用户是否已登录。

如前所述，本实施例所说的单点登录设备可以是代理模块或代理服务器或代理平台。既可以作为一个模块集成于应用系统上，也可以集成在单点登录系统侧，还可以作为一个独立的器件、设备独立于应用系统或单点登录系统。

通过单点登录设备对用户访问请求中的令牌进行验证，使应用服务器不需要对令牌进行验证操作，减轻了应用系统侧的工作负担，减少应用系统侧消耗内存，提高了应用系统侧的效率。

请结合参考图4，图4提供了一种单点登录系统的一个实施例，该系统包括：代理服务器401、应用服务器403以及单点登录服务器405。具体：

代理服务器401，用于获取用户向应用服务器403发送的访问请求；若该访问请求中携带令牌，则判断所述令牌是否与单点登录服务器405中保存的会话信息一致；若一致，则向应用服务器403发送令牌与会话信息一致的响应，以使应用服务器403接受访问请求。

应用服务器403，用于接收用户的访问请求，根据代理服务器401的响应确定是否接受用户的访问请求。

应用服务器可以是应用系统，也可以是应用平台，还可以是应用程序。

单点登录服务器405，用于保存用户的会话信息。

代理服务器401既可以作为一个模块集成于应用系统上，也可以集成在单点登录系统侧，还可以作为一个独立的器件、设备独立于应用系统或单点登录系统。

请结合参看图5，图5提供了一种单点登录系统的一个实施例，该系统包括代理服务器、应用服务器以及单点登录服务器。其中，代理服务器既可以作为一个模块集成于应用系统上，也可以集成在单点登录系统侧，还可以作为一个独立的器件、设备独立于应用系统或单点登录系统；应用服务器可以是应用系统，也可以是应用平台，还可以是应用程序；单点登录服务器可以是单点登录系统或是单点登录平台。系统通过如下操作实现单点登录。具体包括：

步骤501，用户客户端向应用服务器发送访问请求，代理服务器拦截客户端向应用服务器发送的访问请求。

具体的，用户向应用服务器发送访问请求过程中，代理模块或代理服务器或代理平台，通过拦截或主动获取等方式获取用户向应用服务器发送的访问请求。进一步的，可以获取用户向多个应用服务器发送的一个或多个访问请求。

步骤503，代理服务器判断访问请求中是否携带令牌。

代理服务器判断用户的访问请求，例如代理服务器通过检查用户发送的网页地址，又称统一资源定位符（Universal Resource Locator，URL）中是否有Stoken/stokes参数，判断访问请求中是否携带令牌，若存在有S token或stokes参数，则判断携带有令牌。

步骤505，代理服务器将令牌与保存在单点登录服务器中的会话信息进行比较。

若代理服务器判断访问请求中是否携带令牌，代理服务器通过单点登录服务器中存在SSO验证令牌接口，将保存在单点登录服务器中的会话信息与令牌进行对比，通过对比判断二者是否一致。

步骤507，代理服务器向应用服务器发送令牌与会话信息一致的响应。

代理服务器判断令牌与单点登录服务器中保存的会话信息一致，则向应用服务器发送令牌与会话信息一致的响应，并将令牌发送至刷新接口。

为了能够及时刷新单点登录服务器的令牌，本处还要将当前时间与SSO的最后刷新时间进行比较，如果超过一定的时间，例如可以设置为5分钟，就需要调用SSO刷新接口，同时将SSO的最后刷新时间更新为当前时间。

步骤509，若代理服务器判断访问请求中未携带令牌，单点登录服务器判断用户是否登录。

代理服务器判断访问请求中未携带令牌，则向单点登录服务发送令牌获取请求。具体的，向单点登录服务器发送用户的访问请求，该访问请求携带有令牌获取请求。单点登录服务器接收到令牌获取请求后，先判断该用户是否已登录。具体的，单点登录服务器根据令牌获取请求提取访问请求中的用户信息，通过该用户信息判断用户是否已登录。

步骤511，单点登录服务器提示用户输入用户信息。

若单点登录服务器通过用户信息判断用户已登录，则单点登录服务器向应用服务器发送该用户为合法用户的响应；若单点登录服务器通过用户信息判断用户未登录，则单点登录服务器提示用户输入用户信息。

步骤513，单点登录服务器验证用户输入的用户信息。

单点登录服务器验证用户输入的用户信息，该用户信息可以是用户名、密码或者RSA令牌。

可选的，单点登录服务器可以调用独立的或集成的身份验证模块，比如AD、RSA等第三方身份验证接口，校验用户信息。

步骤515，单点登录服务器产生令牌，并保存令牌和用户信息。

单点登录服务器若验证用户信息为非合法用户信息，提示其重新输入用户信息，以便再次验证。可选的，可以设置验证次数，避免无限制输入用户信息，例如，可以设置每日5次。超过每日5次验证失败，就结束提示用户信息输入。

单点登录服务器若验证用户信息为合法用户信息，单点登录服务器产生令牌，并保存令牌和用户信息，如身份信息、有效期、IP地址。

可选的，可以设置令牌或用户信息保存有效期，若令牌或用户信息保存一定时间，可以删除或注销保存的令牌或用户信息。

步骤517，单点登录服务器向应用服务器发送该用户为合法用户的响应。

步骤519，应用服务器接受用户的方法请求。

具体的，应用服务器接到代理服务器令牌与会话信息一致的响应，或接收到单点登录服务器判断用户为合法用户的响应后，接受用户的访问请求。

结合以上对本发明的详细描述可以看出，相对于现有技术，本发明至少具有以下有益技术效果：通过对各个不同设计平台下的数据信息根据管线层、支管层以及管件层进行重构，实现不同设计平台下的数据信息能够在管线层、支管层以及管件层进行快速比较，出错率低，提高了在不同设计平台之间转换过程中数据一致性校验的效率，解决了人工校验速度较慢、出错较高等效率较低的问题。

根据上述原理，本发明还可以对上述实施方式进行适当的变更和修改。因此，本发明并不局限于上面揭示和描述的具体实施方式，对本发明的一些修改和变更也应当落入本发明的权利要求的保护范围内。此外，尽管本说明书中使用了一些特定的术语，但这些术语只是为了方便说明，并不对本发明构成任何限制。

Claims

1.一种单点登录方法，其特征在于，所述方法包括：

获取用户向应用服务器发送的访问请求；

2.根据权利要求1所述的单点登录方法，其特征在于，所述获取用户向应用服务器发送的访问请求后，还包括：

3.根据权利要求2所述的单点登录方法，其特征在于，所述方法还包括：

若所述单点登录服务器根据所述令牌获取请求判断所述用户未登录，则单点登录服务器提示所述用户输入身份标识信息，将所述用户输入的身份标识信息与已保存的身份标识信息比较；

4.根据权利要求3所述的单点登录方法，其特征在于，所述单点登录服务器向所述用户发送令牌包括：所述令牌为不重复且有效的令牌。

5.根据权利要求3或4所述的单点登录方法，其特征在于，所述方法还包括：

所述单点登录服务器保存所述用户输入的身份标识信息和令牌的信息。

6.根据权利要求5所述的单点登录方法，其特征在于，所述方法包括：

单点登录服务器设置所述令牌的有效期，并监测所述令牌保存时间是否超过设置的有效期；若超过所述有效期，删除所述保存的令牌。

7.一种单点登录的设备，其特征在于，所述设备包括：

获取模块，用于获取用户向应用服务器发送的访问请求；

第一判断模块，用于判断所述访问请求中是否携带令牌；

8.根据权利要求7所述的设备，其特征在于，所述设备还包括：

9.一种单点登录系统，其特征在于，所述系统包括：

所述单点登录服务器，用于保存会话信息。

10.根据权利要求9所述的单点登录系统，其特征在于，所述代理服务器还用于若判断访问请求中未携带所述令牌，则向所述单点登录服务器发送令牌获取请求；

所述应用服务器还用于根据所述响应接受所述访问请求。

11.根据权利要求10所述的单点登录系统，其特征在于，所述单点登录服务器还用于若根据所述令牌获取请求判断所述用户未登录，则提示所述用户输入身份标识信息，将所述用户输入的身份标识信息与已保存的身份标识信息比较；若相同，则单点登录服务器向所述用户发送令牌，向应用服务器发送所述用户为合法用户的响应。

12.根据权利要求9-11中任一项所述的单点登录系统，其特征在于，所述单点登录服务器还用于保存所述用户输入的身份标识信息和令牌的信息。

13.根据权利要求9-11中任一项所述的单点登录系统，其特征在于，所述单点登录服务器还用于设置所述令牌的有效期，并监测所述令牌保存时间是否超过设置的有效期；若超过所述有效期，删除所述保存的令牌。