CN103188244B - 基于开放授权协议实现授权管理的系统及方法 - Google Patents

Abstract

本发明提出一种基于开放授权协议实现授权管理的系统，包括至少一服务提供方，存储受保护资源；发出授权并向拥有授权的至少一客户端开放上述受保护资源；至少一应用，分别包括至少一客户端，上述客户端分别根据用户的指令访问服务提供方存储的受保护资源；授权管理方，接受至少一客户端的委托，向至少一服务提供方分别请求用户对上述应用的授权；向上述应用返回授权，管理并存储获取到的授权信息；并根据至少一客户端的请求查找已存储的授权，供上述客户端再次访问服务提供方存储的受保护资源。本发明还提出一种基于开放授权协议实现授权管理的方法。本发明实现了用户到应用提供方做一次认证授权后，就可以通过客户端永久使用授权过的受保护资源。

Description

基于开放授权协议实现授权管理的系统及方法

所属技术领域

本发明涉及电数字数据处理领域，特别是涉及一种基于开放授权协议实现授权管理的系统及方法。

背景技术

随着互联网的发展，越来越多的互联网企业逐步开放其互联网应用程序的服务，将各种基于自身的功能、数据等开放出来，供客户端调用。采用应用编程接口(ApplicationProgrammingInterface，API)可把互联网应用服务封装成一系列计算机易识别的数据接口，将应用编程接口开放给客户端调用，该开放的应用程序接口简称为openAPI。OpenAPI是未来互联网发展方向的大势所趋。客户端通过OpenAPI可以方便快速地调用服务提供方提供的丰富的互联网应用，结合自身业务进行创新，就能形成对用户有吸引力的应用，带给用户更多更好的体验。

由于用户可能在不同的服务提供方注册不同的账号，客户端要使用服务提供方的OpenAPI，就需要取得用户的授权。开放授权协议(OAuth)是一个开放标准，允许用户让客户端访问该用户在某服务提供方上存储的受保护资源，而无需将用户在该服务提供方注册的账号信息(如用户名、密码等)提供给客户端。服务提供方(ServiceProvider)，用户使用服务提供方来存储受保护资源(ProtectedResource(s))，如照片，视频，联系人列表等；用户(User)，存放在服务提供方的受保护资源的拥有者。应用(Client，又称第三方系统或客户端)，要访问服务提供方资源的第三方应用，通常是网站，如提供照片打印服务的网站。应用可包括多个客户端，如网站的论坛、邮箱等分别是一客户端。在认证过程之前，应用要向服务提供者申请应用标识以验证应用的身份。开放授权协议使用访问令牌(AccessToken)来限制应用访问服务提供方01存储的受保护资源。

参照图1示出的现有技术授权流程示意图，使用开放授权协议进行认证和授权的流程如下：

步骤S1，用户要求通过客户端访问其存放在服务提供方的受保护资源，客户端根据用户指令，通过接口访问服务提供方，向服务提供方请求临时令牌)；

步骤S2，服务提供方根据用用标识验证应用的身份后，授予临时令牌；

步骤S3，应用获得临时令牌后，将用户引导至服务提供方的授权页面请求用户授权；在这个过程中将临时令牌和应用的回调连接发送给服务提供方；

步骤S4，用户在服务提供方的网页上提供账号信息，进行身份认证；

步骤S5，服务提供方根据用户提供的账号信息对用户进行身份认证，通过身份认证则提示用户是否授权应用访问受保护资源；

步骤S6，用户确认授权后，服务提供方引导用户返回应用的网页；

步骤S7，应用收到重定向的请求，从请求中获得授权信息；

步骤S8，应用根据临时令牌和授权信息，从服务提供方换取访问令牌及密钥；

步骤S9，客户端使用获得的访问令牌访问用户存放在服务提供方上的受保护资源。

开放授权协议为用户资源的授权提供了一个安全的、开放而又简易的标准。但在实际应用中，客户端每一次欲访问受保护资源，均需通过上述流程取得授权，用户需要重复对客户端所在应用进行授权，操作繁琐。另外，每个客户端需要开发授权获取及管理模块，而且为适应不同的服务提供方可能需要分别开发不同的授权获取及管理模块，系统开发难度大。

发明内容

本发明提出一种基于开放授权协议实现授权管理的系统，包括：至少一服务提供方，存储受保护资源以供用户使用；发出授权并向拥有授权的至少一客户端开放上述受保护资源；至少一应用，分别包括至少一客户端，上述至少一客户端分别根据用户的指令访问服务提供方存储的受保护资源；授权管理方，接受至少一客户端的委托，向至少一服务提供方分别请求用户对上述至少一应用的授权；向上述应用返回授权，管理并存储获取到的授权信息；并根据至少一客户端的请求查找已存储的授权，供上述客户端再次访问服务提供方存储的受保护资源。

优选地，上述授权包括访问令牌及其密钥；上述管理并存储获取到的授权信息，是将上述授权和授权对应的服务提供方信息作为用户的身份属性，依据其对应关系组织并存储。

优选地，上述授权管理方包括用于存储授权的数据库；上述数据库可根据客户端信息、服务提供方和/或用户信息查找授权。

优选地，上述授权管理方的工作流程包括：根据客户端的委托，向服务提供方获取临时令牌；重定向用户请求到服务提供方的认证授权页面；若授权管理方收到服务提供方发出的重定向的请求，则从请求中获得授权码；根据临时令牌和授权码，从服务提供方换取访问令牌及密钥；管理并存储获取到的授权信息；将获得的授权发送给应用。

优选地，上述授权管理方作为应用的模块，仅接受所属应用的至少一客户端委托，向一个以上的服务提供方请求一个以上的用户对所属应用的授权；获取到的授权发送给应用，供上述应用的至少一客户端访问受保护资源；管理并存储获取到的授权；并根据上述应用的至少一客户端的请求查找已存储的授权，供上述客户端再次访问服务提供方存储的受保护资源。

优选地，上述授权管理方独立运行，接受至少一客户端的委托，分别向至少一服务提供方请求至少一用户对发出委托的应用的授权；管理并存储获取到的授权信息；并根据至少一客户端的请求分别查找已存储的授权，将查找到的授权返回给发出请求的客户端所在的应用，供上述应用的至少一客户端再次访问服务提供方存储的资源。

本发明还提出一种基于开放授权协议实现授权管理的方法，基于服务提供方、应用和授权管理方实现授权管理，包括：客户端根据用户指令，要求访问存放在服务提供方的资源的步骤；授权管理方接受客户端的委托，向服务提供方请求客户对上述应用的授权的步骤；服务提供方向授权管理方提供用户对上述应用的授权的步骤；授权管理方向应用返回授权，管理并存储获取到的授权信息的步骤。

上述方法还包括：客户端向授权管理方发出查找授权的请求的步骤；授权管理方根据客户端的请求查找已存储的授权，将其返回给客户端的步骤；客户端根据查找到的授权访问服务提供方存储的资源的步骤。

优选地，上述授权管理方接受客户端的委托，向服务提供方请求客户对上述应用的授权的步骤包括：授权管理方根据客户端委托，向服务提供方获取临时令牌的步骤；授权管理方重定向用户请求到服务提供方的认证授权页面的步骤；服务提供方对用户进行身份认证，对通过身份认证的用户询问其是否要向上述应用授权，从而允许其访问用户存储在上述服务提供方的资源的步骤；对于用户同意向上述应用授权的，上述服务提供商重定向回授权管理方，根据上述授权管理方持有的临时令牌授予上述应用访问令牌的步骤；授权管理方将获得的授权发送给应用的步骤；授权管理方管理并存储获取到的授权信息的步骤。

优选地，上述方法还包括：授权管理方向用户展示上述用户对至少一应用的授权，供用户查看、编辑和/或取消对至少一应用的授权的步骤。

本发明基于开放授权协议实现了用户只需要在授权管理方的引导下，通过符合开放授权协议的流程到应用提供方做一次认证授权后，就可以通过客户端永久使用授权过的受保护资源，而不需要每次使用时都做授权。应用只需在调用互联网OpenAPI的时候，委托授权管理方获取对应的访问令牌即可供所有客户端使用，而不需要亲自实现用户认证授权的流程，降低了应用的开发难度。

附图说明

图1为现有技术授权流程示意图；

图2为本发明一实施例基于开放授权协议实现授权管理系统结构示意图；

图3为本发明另一实施例的授权信息对应关系示意图；

图4为本发明另一实施例的系统时序图；

图5为本发明又一实施例的服务提供方的授权流程示意图；

图6为本发明又一实施例应用的授权流程示意图；

图7为本发明又一实施例的授权管理方授权流程示意图；

图8为本发明再一实施例的基于开放授权协议实现授权管理系统结构示意图；

图9为为本发明一实施例基于开放授权协议实现授权管理的方法流程示意图。

具体实施方式

为详细说明本发明的技术内容、构造特征、所达成的目的及效果，下面将结合实施例并配合附图予以详细说明。

参阅图2示出的基于开放授权协议实现授权管理的系统结构示意图，包括至少一服务提供方01，存储受保护资源以供用户使用；发出授权并向拥有授权的至少一客户端开放受保护资源；至少一应用02，分别包括至少一客户端021，上述至少一客户端021分别根据用户的指令访问服务提供方03存储的受保护资源；

授权管理方03，接受至少一客户端021的委托，向至少一服务提供方01分别请求用户对上述至少一应用02的授权；向上述应用02返回授权，管理并存储获取到的授权信息；并根据至少一客户端021的请求查找已存储的授权，供上述客户端021再次访问服务提供方01存储的受保护资源。本实施例基于开放授权协议实现授权管理，采用授权管理方03负责请求、管理和存储授权，可接受多个客户端021的分别委托，也可分别向多个服务提供方01请求对整个应用的授权，得到授权后，属于该应用的所有客户端都可以使用该授权访问服务提供方的受保护资源。避免现有技术中每个客户端都需开发实现授权获取功能，大大降低客户端的开发难度。

另外，由于本发明的授权管理方03管理并存储获取到的授权，拥有该授权的应用的任一客户端021需要重复访问某服务提供方01存储的受保护资源，可从授权管理方03查找已取得的授权来使用，从而免去再次申请授权，用户再次授权的过程，简化交互步骤，便于用户使用。

基于上述实施例，本发明提出另一实施例。本实施例中的授权包括访问令牌及其密钥。其中访问令牌(AccessToken)为应用02于代表用户访问受保护资源的值。访问令牌可以设定有限的生命期，服务提供方01可以允许用户收回访问令牌。临时令牌(RequestToken，也称请求令牌)是用于应用向用户请求授权并换取访问令牌的值。授权码是服务提供方01根据用户许可的授权向应用02发出的，供应用02获取访问令牌的值。授权码结合请求令牌可以换取一访问令牌。请求令牌只能使用一次，不得用于其他用途。请求令牌可设置有限的生命期。令牌的密钥(TokenSecret)与令牌对应，为应用02用于建立对特定令牌所有权的密钥。根据密钥可对访问令牌或临时令牌进行校验。

参照图3示出的授权信息对应关系示意图，用户在应用02拥有唯一的身份。用户通过服务提供方01对应用02做出授权后，授权信息包括授权、和授权对应的服务提供方等一种或多种信息。一用户可以对应一项授权信息，也可对应多项授权信息，也可不对应任何授权信息。本实施例中授权管理方03获取到的授权信息，是将上述授权、和授权对应的服务提供方信息作为用户的身份属性，建立起用户在应用的身份信息、服务提供方信息及授权信息三者间的对应关系，依据对应关系组织并存储。

本实施例可采用多种数据结构管理并存储授权信息，其中一种方案是采用数据库，支持对授权信息的查询、新增、修改和删除。该数据库支持根据授权对应的服务提供方信息和/或用户身份等信息查找授权。

本发明又提出一实施例，图4示出本实施例的时序图。

参照图5，服务提供方01的授权流程包括：

步骤S11，接收授权管理方03发出的授权请求的步骤；

步骤S12，对授权管理方03进行验证，对通过验证的授权管理方03发送临时令牌的步骤；

步骤S13，接收授权管理方03的重定向，对用户进行身份验证的步骤；

步骤S14，对通过身份验证的，询问用户是否对应用02发出授权的步骤；

步骤S15，对用户同意发出授权的，向授权管理方03发出授权码的步骤；

步骤S16，根据授权管理方提供的临时令牌和授权码，向授权管理方发出访问令牌及密钥的步骤。

参照图6，应用02的授权流程包括：

步骤S21，向授权管理方03发出授权委托的步骤；

步骤S22，若成功获得授权，则接收授权管理方03发来的授权的步骤。

参照图7，授权管理方03其授权流程包括：

步骤S31，根据客户端021的委托，向服务提供方获取临时令牌的步骤；

步骤S32，重定向用户请求到服务提供方的认证授权页面的步骤；

步骤S33，若授权管理方收到服务提供方发出的重定向的请求，则从请求中获得授权码的步骤；

步骤S34，根据临时令牌和授权码，从服务提供方换取访问令牌及密钥的步骤；

步骤S35，管理并存储获取到的授权信息的步骤；

步骤S36，将获得的授权发送给应用的步骤。

参照图8所示的基于开放授权协议实现授权管理系统结构示意图，本发明再一实施例提出，授权管理方03作为应用02的模块，仅接受所属应用02的至少一客户端021委托，向一个以上的服务提供方01请求一个以上的用户对所属应用02的授权；获取到的授权发送给应用02，供应用02的至少一客户端021访问受保护资源；管理并存储获取到的授权；并根据应用02的至少一客户端021的请求查找已存储的授权，供客户端021再次访问服务提供方01存储的受保护资源。

参照图2示出的系统结构示意图，本发明的一实施例提出，授权管理方03可独立运行，接受至少一客户端021的委托，分别向至少一服务提供方01请求至少一用户对发出委托的应用02的授权；管理并存储获取到的授权信息；并根据至少一客户端021的请求分别查找已存储的授权，将查找到的授权返回给发出请求的客户端021所在的应用02，供该应用的至少一客户端再次访问服务提供方存储的资源。

本发明还提出，授权管理方03向用户展示用户对至少一应用02的授权，供用户查看、编辑和/或取消对至少一应用的授权的步骤。若用户取消对某应用的授权，则该授权失效；若用户对授权指定了期限，授权到期则失效。授权失效后，授权管理方03需根据客户端的委托，再次向服务提供方01申请授权。

参照图9示出的基于开放授权协议实现授权管理方法的流程示意图，本发明还提出一实施例，提供基于开放授权协议实现授权管理的方法，基于服务提供方、应用和授权管理方实现授权管理，本方法包括：

步骤S41，客户端根据用户指令，要求访问存放在服务提供方的资源的步骤；

步骤S42，授权管理方接受客户端的委托，向服务提供方请求客户对上述应用的授权的步骤；

步骤S43，服务提供方向授权管理方提供用户对上述应用的授权的步骤；

步骤S44，授权管理方向应用返回授权，管理并存储获取到的授权的步骤。

本发明提出一实施例，本方法还包括：

步骤S51，客户端向授权管理方发出查找授权的请求；

步骤S52，授权管理方根据客户端的请求查找已存储的授权，将其返回给客户端的步骤；

步骤S53，客户端根据查找到的授权访问服务提供方存储的资源的步骤。

本发明还提出一实施例，上述步骤S42，授权管理方接受客户端的委托，向服务提供方请求客户对上述应用的授权的步骤。

上述步骤S42包括：

步骤S421，授权管理方根据客户端委托，向服务提供方获取临时令牌的步骤；

步骤S422，授权管理方重定向用户请求到服务提供方的认证授权页面的步骤；

步骤S423，服务提供方对用户进行身份认证，对通过身份认证的用户询问其是否要向上述应用授权，从而允许其访问用户存储在上述服务提供方的资源的步骤；

步骤S424，对于用户同意向上述应用授权的，上述服务提供商重定向回授权管理方，向授权管理方03发出授权码的步骤；

步骤S425，授权管理方根据临时令牌和授权码，从服务提供方换取访问令牌及密钥的步骤；

步骤S426，授权管理方将获得的授权发送给应用的步骤；

步骤S427，授权管理方管理并存储获取到的授权信息的步骤。

本发明还提出，基于开放授权协议实现授权管理方法还包括授权管理方向用户展示用户对至少一应用的授权，供用户查看、编辑和/或取消对至少一应用的授权的步骤。

本发明的基于开放授权协议实现授权管理系统及方法由上述揭露的结构，可以达到上述目的和效果，然而以上所揭露仅为本发明的较佳实施例，自不能以此限定本发明的权利范围，至于本发明的其它等效修饰或变化，均应涵盖在本发明的权利要求范围内。

Claims (8)

1.一种基于开放授权协议实现授权管理的系统，其特征在于，包括：

至少一服务提供方，存储受保护资源以供用户使用；发出授权并向拥有授权的至少一客户端开放所述受保护资源；

至少一应用，分别包括至少一客户端，所述至少一客户端分别根据用户的指令向授权管理方发出授权委托，要求访问服务提供方存储的受保护资源；

授权管理方，接受至少一客户端的委托，向至少一服务提供方分别请求用户对所述至少一应用的授权；向所述应用返回授权，管理并存储获取到的授权信息；并根据至少一客户端的请求查找已存储的授权，供所述客户端再次访问服务提供方存储的受保护资源；

其中，所述授权管理方进一步：

根据客户端的委托，向服务提供方获取临时令牌；

重定向用户请求到服务提供方的认证授权页面；

若授权管理方收到服务提供方发出的重定向的请求，则从请求中获得授权码；

根据临时令牌和授权码，从服务提供方换取访问令牌及密钥；

管理并存储获取到的授权信息；

将获得的授权发送给应用。

2.根据权利要求1所述的基于开放授权协议实现授权管理的系统，其特征在于：

所述授权包括访问令牌及其密钥；所述管理并存储获取到的授权信息，是将所述授权和授权对应的服务提供方信息作为用户的身份属性，依据其对应关系组织并存储。

3.根据权利要求1所述的基于开放授权协议实现授权管理的系统，其特征在于，所述授权管理方包括用于存储授权的数据库；所述数据库可根据客户端信息、服务提供方和/或用户信息查找授权。

4.根据权利要求1至3任意一项所述的基于开放授权协议实现授权管理的系统，其特征在于：

所述授权管理方作为应用的模块，仅接受所属应用的至少一客户端委托，向一个以上的服务提供方请求一个以上的用户对所属应用的授权；获取到的授权发送给应用，供所述应用的至少一客户端访问受保护资源；管理并存储获取到的授权；并根据所述应用的至少一客户端的请求查找已存储的授权，供所述客户端再次访问服务提供方存储的受保护资源。

5.根据权利要求1至3任意一项所述的基于开放授权协议实现授权管理的系统，其特征在于：

所述授权管理方独立运行，接受至少一客户端的委托，分别向至少一服务提供方请求至少一用户对发出委托的应用的授权；管理并存储获取到的授权信息；并根据至少一客户端的请求分别查找已存储的授权，将查找到的授权返回给发出请求的客户端所在的应用，供所述应用的至少一客户端再次访问服务提供方存储的资源。

6.一种基于开放授权协议实现授权管理的方法，基于服务提供方、应用和授权管理方实现授权管理，其特征在于，包括：

客户端根据用户指令，向授权管理方发出授权委托，要求访问存放在服务提供方的资源的步骤；

授权管理方根据客户端委托，向服务提供方获取临时令牌的步骤；

授权管理方重定向用户请求到服务提供方的认证授权页面的步骤；

服务提供方接收授权管理方的重定向，对用户进行身份认证，对通过身份认证的用户询问其是否要向所述应用授权，从而允许其访问用户存储在所述服务提供方的资源的步骤；

对于用户同意向所述应用授权的，所述服务提供商重定向回授权管理方，向授权管理方发出授权码的步骤；

授权管理方接收服服务提供方发出的重定向的请求，从请求中获得授权码；

授权管理方根据所述临时令牌和授权码，从服务提供方换取所述应用的访问令牌及密钥的步骤；

授权管理方将获得的授权发送给应用的步骤；

授权管理方管理并存储获取到的授权信息的步骤。

7.如权利要求6所述的基于开放授权协议实现授权管理的方法，其特征在于，还包括：

客户端向授权管理方发出查找授权的请求的步骤；

授权管理方根据客户端的请求查找已存储的授权，将其返回给客户端的步骤；

客户端根据查找到的授权访问服务提供方存储的资源的步骤。

8.如权利要求6或7所述的基于开放授权协议实现授权管理的方法，其特征在于，还包括:

所述授权管理方向用户展示所述用户对至少一应用的授权，供用户查看、编辑和/或取消对至少一应用的授权的步骤。