CN103414696A - 基于受限跳转的第三方登录方法及装置 - Google Patents

Abstract

本发明提供一种基于受限跳转的第三方登录方法及装置。本发明实施例在OpenID登录方式中，OP对客户端的用户身份进行认证成功之后，并不是直接执行跳转操作以将客户端跳转到RP，而是根据所述跳转地址和/或所述认证请求的源地址，有选择地执行跳转操作，因此，能够避免现有技术中由于OP直接执行跳转操作将客户端跳转到RP而导致的伪RP执行钓鱼操作的问题，从而提高了OpenID登录方式的安全性。

Description

基于受限跳转的第三方登录方法及装置

【技术领域】

本发明涉及多媒体处理技术，尤其涉及一种基于受限跳转的第三方登录方法及装置。

【背景技术】

目前绝大部分网站都是通过用户名和密码来登录认证用户身份，这就意味着用户在每个网站都需要注册一个用户帐号，即用户名和密码。现有技术中，客户端可以采用开放账号（OpenID）登录方式，登录多个网站，即客户端利用OpenID提供方（OpenID Provider，OP）的网站注册的一个用户名和密码，在OP的网站登录认证用户身份成功之后，跳转到OpenID的依赖方（Relying Part，RP）的网站，以实现登录所有RP的网站。

然而，在OpenID登录方式中，由于OP对客户端的用户身份进行认证成功之后，直接将客户端跳转到RP，可能会出现伪RP执行钓鱼操作，即存在不怀好意的RP即伪RP，伪造真实的RP向OP发送OpenID登录方式的认证请求，将客户端跳转到伪RP的网站，从而导致了OpenID登录方式的安全性的降低。

【发明内容】

本发明的多个方面提供一种基于受限跳转的第三方登录方法及装置，用以提高OpenID登录方式的安全性。

本发明的一方面，提供一种基于受限跳转的第三方登录方法，包括：

OP接收RP发送的OpenID登录方式的认证请求，所述认证请求中包含客户端的跳转地址；

所述OP根据所述认证请求，向所述客户端发送所述OP的登录页面；

所述OP接收所述客户端利用所述登录页面发送的登录请求，所述登录请求中包含所述客户端的UserID和密码；

所述OP根据所述UserID和所述密码，对所述客户端的用户身份进行认证；

若所述认证成功，所述OP根据所述跳转地址和/或所述认证请求的源地址，确定是否执行跳转操作。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述OP根据所述跳转地址和/或所述认证请求的源地址，确定是否执行跳转操作，包括：

若所述跳转地址为可信地址，或者若所述跳转地址与所述源地址为相互关联的地址，所述OP确定执行跳转操作；

若所述跳转地址为不可信地址，或者若所述跳转地址与所述源地址为相互不关联的地址，所述OP确定不执行跳转操作。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述OP接收所述客户端利用所述登录页面发送的登录请求之后，还包括：

所述OP根据时间戳和所述UserID，生成所述客户端的OpenID。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述OP确定执行跳转操作之后，还包括：

所述OP根据所述跳转地址，向所述RP发送认证响应，所述认证响应中包含所述OpenID。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述OP根据所述跳转地址，向所述RP发送认证响应之后，还包括：

所述OP接收所述RP发送的用于获取UserID的获取请求，所述获取请求中包含所述OpenID；

所述OP根据所述OpenID，获得与所述OpenID对应的UserID；

所述OP向所述RP发送所述UserID。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述OP根据时间戳和所述UserID，生成所述客户端的OpenID，包括：

所述OP根据时间戳和所述UserID，以及所述RP的标识信息，生成所述客户端的OpenID。

本发明的另一方面，提供一种基于受限跳转的第三方登录装置，包括：

接收单元，用于接收RP发送的OpenID登录方式的认证请求，所述认证请求中包含客户端的跳转地址；

发送单元，用于根据所述认证请求，向所述客户端发送所述OP的登录页面；

所述接收单元，还用于接收所述客户端利用所述登录页面发送的登录请求，所述登录请求中包含所述客户端的UserID和密码；

认证单元，用于根据所述UserID和所述密码，对所述客户端的用户身份进行认证；

跳转单元，用于若所述认证单元所进行的所述认证成功，根据所述跳转地址和/或所述认证请求的源地址，确定是否执行跳转操作。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述跳转单元，具体用于

若所述跳转地址为可信地址，或者若所述跳转地址与所述源地址为相互关联的地址，确定执行跳转操作；

若所述跳转地址为不可信地址，或者若所述跳转地址与所述源地址为相互不关联的地址，确定不执行跳转操作。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述装置还包括生成单元，用于

根据时间戳和所述UserID，生成所述客户端的OpenID。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述发送单元，还用于

根据所述跳转地址，向所述RP发送认证响应，所述认证响应中包含所述OpenID。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，

所述接收单元，还用于

接收所述RP发送的用于获取UserID的获取请求，所述获取请求中包含所述OpenID；

所述装置还包括获得单元，用于

根据所述OpenID，获得与所述OpenID对应的UserID；

所述发送单元，还用于

向所述RP发送所述UserID。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述生成单元，具体用于

根据时间戳和所述UserID，以及所述RP的标识信息，生成所述客户端的OpenID。

由上述技术方案可知，本发明实施例在OpenID登录方式中，OP对客户端的用户身份进行认证成功之后，并不是直接执行跳转操作以将客户端跳转到RP，而是根据所述跳转地址和/或所述认证请求的源地址，有选择地执行跳转操作，因此，能够避免现有技术中由于OP直接执行跳转操作将客户端跳转到RP而导致的伪RP执行钓鱼操作的问题，从而提高了OpenID登录方式的安全性。

【附图说明】

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明一实施例提供的基于受限跳转的第三方登录方法的流程示意图；

图2为本发明另一实施例提供的基于受限跳转的第三方登录装置的结构示意图；

图3为本发明另一实施例提供的基于受限跳转的第三方登录装置的结构示意图；

图4为本发明另一实施例提供的基于受限跳转的第三方登录装置的结构示意图。

【具体实施方式】

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的全部其他实施例，都属于本发明保护的范围。

需要说明的是，本发明实施例中所涉及的终端可以包括但不限于手机、个人数字助理（Personal Digital Assistant，PDA）、无线手持装置、无线上网本、个人电脑、便携电脑、MP3播放器、MP4播放器等。

另外，本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。另外，本文中字符“/”，一般表示前后关联对象是一种“或”的关系。

图1为本发明一实施例提供的基于受限跳转的第三方登录方法的流程示意图，如图1所示。

101、OP接收RP发送的OpenID登录方式的认证请求，所述认证请求中包含客户端的跳转地址。

102、所述OP根据所述认证请求，向所述客户端发送所述OP的登录页面。

103、所述OP接收所述客户端利用所述登录页面发送的登录请求，所述登录请求中包含所述客户端的用户标识（UserID）和密码。

104、所述OP根据所述UserID和所述密码，对所述客户端的用户身份进行认证。

105、若所述认证成功，所述OP根据所述跳转地址和/或所述认证请求的源地址，确定是否执行跳转操作。

其中，所述UserID为所述客户端的用户在OP的网站上的唯一标识，是一个固定的字符串。

可以理解的是，所述客户端可以是安装在终端上的应用程序，或者还可以是浏览器的一个网页，只要能够实现第三方登录功能，以提供登录之后的RP服务的客观存在形式都可以，本实施例对此不进行限定。

这样，在OpenID登录方式中，OP对客户端的用户身份进行认证成功之后，并不是直接执行跳转操作以将客户端跳转到RP，而是根据所述跳转地址和/或所述认证请求的源地址，有选择地执行跳转操作，因此，能够避免现有技术中由于OP直接执行跳转操作将客户端跳转到RP而导致的伪RP执行钓鱼操作的问题，从而提高了OpenID登录方式的安全性。

另外，采用本发明提供的技术方案，由于采用了受限的跳转机制，使得可以在不安全的网络环境中，进行客户端的安全登录。

可选地，在本实施例的一个可能的实现方式中，若104中OP所执行的所述认证成功，在105中，所述OP具体可以若所述跳转地址为可信地址，或者若所述跳转地址与所述源地址为相互关联的地址，确定执行跳转操作；或者还可以若所述跳转地址为不可信地址，或者若所述跳转地址与所述源地址为相互不关联的地址，确定不执行跳转操作。

这样，OP通过执行这种有选择地执行跳转操作，不会出现伪RP执行钓鱼操作，使得能够将客户端成功跳转到真实RP的网站，能够提高OpenID登录方式的安全性。

可选地，在本实施例的一个可能的实现方式中，在103之后，所述OP还可以进一步根据时间戳和所述UserID，生成所述客户端的OpenID。

相应地，在105中，如果OP确定执行跳转操作，那么，所述OP进而则可以根据所述跳转地址，向所述RP发送认证响应，所述认证响应中包含所述OpenID。

这样，由于OP所生成的OpenID是同时考虑了时间戳和UserID的结果，因此，即使被不怀好意的RP即伪RP截获，该伪RP也无法执行非法操作，例如，中间人（relay）攻击操作、UserID的获取操作等，能够进一步提高OpenID登录方式的安全性。

进一步地，所述OP还可以进一步接收所述RP发送的用于获取UserID的获取请求，所述获取请求中包含所述OpenID。然后，所述OP则可以根据所述OpenID，获得与所述OpenID对应的UserID，并向所述RP发送所述UserID。例如，RP具体可以调用OP提供的用户基本信息（profile）应用程序编程接口（Application Programming Interface，API），以获取客户端的UserID。

具体地，所述OP可以在根据时间戳和所述UserID，生成所述客户端的OpenID的同时或者之后，保存时间戳、UserID与OpenID的对应关系。由于只有OP保存有OpenID与UserID的对应关系，RP需要利用所获得的OpenID，向OP请求获得UserID。

可选地，在本实施例的一个可能的实现方式中，所述OP具体可以根据时间戳和所述UserID，以及所述RP的标识信息，例如，RP的独立密码等，生成所述客户端的OpenID。

这样，由于OP所生成的OpenID是同时考虑了时间戳、UserID和RP的标识信息的结果，因此，对于不同RP来说，同一个客户端的UserID，也会对应不同的OpenID。即使部分RP的OpenID被泄露，也不会影响其他RP使用其对应的UserID，能够进一步提高OpenID登录方式的安全性。

本实施例中，在OpenID登录方式中，OP对客户端的用户身份进行认证成功之后，并不是直接执行跳转操作以将客户端跳转到RP，而是根据所述跳转地址和/或所述认证请求的源地址，有选择地执行跳转操作，因此，能够避免现有技术中由于OP直接执行跳转操作将客户端跳转到RP而导致的伪RP执行钓鱼操作的问题，从而提高了OpenID登录方式的安全性。

另外，采用本发明提供的技术方案，由于采用了受限的跳转机制，使得可以在不安全的网络环境中，进行客户端的安全登录。

另外，采用本发明提供的技术方案，由于OP不是直接执行跳转操作，而是有选择地执行跳转操作，即跳转操作是受限的，因此，OP只可以向受信的RP提供第三方登录服务，从而进一步提高了OpenID登录方式的安全性。

需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明并不受所描述的动作顺序的限制，因为依据本发明，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本发明所必须的。

在上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

图2为本发明另一实施例提供的基于受限跳转的第三方登录装置的结构示意图，如图2所示。本实施例的基于受限跳转的第三方登录装置可以包括接收单元21、发送单元22、认证单元23和跳转单元24。其中，接收单元21，用于接收RP发送的OpenID登录方式的认证请求，所述认证请求中包含客户端的跳转地址；发送单元22，用于根据所述认证请求，向所述客户端发送所述OP的登录页面；所述接收单元21，还用于接收所述客户端利用所述登录页面发送的登录请求，所述登录请求中包含所述客户端的UserID和密码；认证单元23，用于根据所述UserID和所述密码，对所述客户端的用户身份进行认证；跳转单元24，用于若所述认证单元23所进行的所述认证成功，根据所述跳转地址和/或所述认证请求的源地址，确定是否执行跳转操作。

其中，所述UserID为所述客户端的用户在OP的网站上的唯一标识，是一个固定的字符串。

需要说明的是，本实施例提供的装置可以是OP。

可以理解的是，所述客户端可以是安装在终端上的应用程序，或者还可以是浏览器的一个网页，只要能够实现第三方登录功能，以提供登录之后的RP服务的客观存在形式都可以，本实施例对此不进行限定。

这样，在OpenID登录方式中，认证单元对客户端的用户身份进行认证成功之后，跳转单元并不是直接执行跳转操作以将客户端跳转到RP，而是根据所述跳转地址和/或所述认证请求的源地址，有选择地执行跳转操作，因此，能够避免现有技术中由于OP直接执行跳转操作将客户端跳转到RP而导致的伪RP执行钓鱼操作的问题，从而提高了OpenID登录方式的安全性。

另外，采用本发明提供的技术方案，由于采用了受限的跳转机制，使得可以在不安全的网络环境中，进行客户端的安全登录。

可选地，在本实施例的一个可能的实现方式中，所述跳转单元24，具体用于若所述跳转地址为可信地址，或者若所述跳转地址与所述源地址为相互关联的地址，确定执行跳转操作；或者还可以若所述跳转地址为不可信地址，或者若所述跳转地址与所述源地址为相互不关联的地址，确定不执行跳转操作。

这样，跳转单元24通过执行这种有选择地执行跳转操作，不会出现伪RP执行钓鱼操作，使得能够将客户端成功跳转到真实RP的网站，能够提高OpenID登录方式的安全性。

可选地，在本实施例的一个可能的实现方式中，如图3所示，本实施例提供的基于受限跳转的第三方登录装置还可以进一步包括生成单元31，用于根据时间戳和所述UserID，生成所述客户端的OpenID。

相应地，如果跳转单元24确定执行跳转操作，那么，所述发送单元22，还可以进一步用于根据所述跳转地址，向所述RP发送认证响应，所述认证响应中包含所述OpenID。

这样，由于生成单元31所生成的OpenID是同时考虑了时间戳和UserID的结果，因此，即使被不怀好意的RP即伪RP截获，该伪RP也无法执行非法操作，例如，中间人（relay）攻击操作、UserID的获取操作等，能够进一步提高OpenID登录方式的安全性。

进一步地，所述接收单元21，还可以进一步用于接收所述RP发送的用于获取UserID的获取请求，所述获取请求中包含所述OpenID；如图4所示，本实施例提供的基于受限跳转的第三方登录装置还可以进一步包括获得单元41，用于根据所述OpenID，获得与所述OpenID对应的UserID；所述发送单元22，则可以进一步用于向所述RP发送所述UserID。

具体地，所述装置可以在生成单元31根据时间戳和所述UserID，生成所述客户端的OpenID的同时或者之后，保存时间戳、UserID与OpenID的对应关系。由于只有OP保存有OpenID与UserID的对应关系，RP需要利用所获得的OpenID，向OP请求获得UserID。

可选地，在本实施例的一个可能的实现方式中，所述生成单元31，具体可以用于根据时间戳和所述UserID，以及所述RP的标识信息，例如，RP的独立密码等，生成所述客户端的OpenID。

这样，由于生成单元31所生成的OpenID是同时考虑了时间戳、UserID和RP的标识信息的结果，因此，对于不同RP来说，同一个客户端的UserID，也会对应不同的OpenID。即使部分RP的OpenID被泄露，也不会影响其他RP使用其对应的UserID，能够进一步提高OpenID登录方式的安全性。

本实施例中，在OpenID登录方式中，认证单元对客户端的用户身份进行认证成功之后，跳转单元并不是直接执行跳转操作以将客户端跳转到RP，而是根据所述跳转地址和/或所述认证请求的源地址，有选择地执行跳转操作，因此，能够避免现有技术中由于OP直接执行跳转操作将客户端跳转到RP而导致的伪RP执行钓鱼操作的问题，从而提高了OpenID登录方式的安全性。

另外，采用本发明提供的技术方案，由于采用了受限的跳转机制，使得可以在不安全的网络环境中，进行客户端的安全登录。

另外，采用本发明提供的技术方案，由于OP不是直接执行跳转操作，而是有选择地执行跳转操作，即跳转操作是受限的，因此，OP只可以向受信的RP提供第三方登录服务，从而进一步提高了OpenID登录方式的安全性。

可以理解的是，本实施例所涉及的OP，可以理解为一服务器，为OP提供相应的服务；相应地，RP，可以理解为另一服务器，为RP提供相应的服务。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统，装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本发明所提供的几个实施例中，应该理解到，所揭露的系统，装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用硬件加软件功能单元的形式实现。

上述以软件功能单元的形式实现的集成的单元，可以存储在一个计算机可读取存储介质中。上述软件功能单元存储在一个存储介质中，包括若干指令用以使得一台计算机装置（可以是个人计算机，服务器，或者网络装置等）或处理器（processor）执行本发明各个实施例所述方法的部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器（Read-Only Memory，ROM）、随机存取存储器（Random Access Memory，RAM）、磁碟或者光盘等各种可以存储程序代码的介质。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (12)

1.一种基于受限跳转的第三方登录方法，其特征在于，包括：

OP接收RP发送的OpenID登录方式的认证请求，所述认证请求中包含客户端的跳转地址；

所述OP根据所述认证请求，向所述客户端发送所述OP的登录页面；

所述OP接收所述客户端利用所述登录页面发送的登录请求，所述登录请求中包含所述客户端的UserID和密码；

所述OP根据所述UserID和所述密码，对所述客户端的用户身份进行认证；

若所述认证成功，所述OP根据所述跳转地址和/或所述认证请求的源地址，确定是否执行跳转操作。

2.根据权利要求1所述的方法，其特征在于，所述OP根据所述跳转地址和/或所述认证请求的源地址，确定是否执行跳转操作，包括：

若所述跳转地址为可信地址，或者若所述跳转地址与所述源地址为相互关联的地址，所述OP确定执行跳转操作；

若所述跳转地址为不可信地址，或者若所述跳转地址与所述源地址为相互不关联的地址，所述OP确定不执行跳转操作。

3.根据权利要求1或2所述的方法，其特征在于，所述OP接收所述客户端利用所述登录页面发送的登录请求之后，还包括：

所述OP根据时间戳和所述UserID，生成所述客户端的OpenID。

4.根据权利要求3所述的方法，其特征在于，所述OP确定执行跳转操作之后，还包括：

所述OP根据所述跳转地址，向所述RP发送认证响应，所述认证响应中包含所述OpenID。

5.根据权利要求4所述的方法，其特征在于，所述OP根据所述跳转地址，向所述RP发送认证响应之后，还包括：

所述OP接收所述RP发送的用于获取UserID的获取请求，所述获取请求中包含所述OpenID；

所述OP根据所述OpenID，获得与所述OpenID对应的UserID；

所述OP向所述RP发送所述UserID。

6.根据权利要求3～5任一权利要求所述的方法，其特征在于，所述OP根据时间戳和所述UserID，生成所述客户端的OpenID，包括：

所述OP根据时间戳和所述UserID，以及所述RP的标识信息，生成所述客户端的OpenID。

7.一种基于受限跳转的第三方登录装置，其特征在于，包括：

接收单元，用于接收RP发送的OpenID登录方式的认证请求，所述认证请求中包含客户端的跳转地址；

发送单元，用于根据所述认证请求，向所述客户端发送所述OP的登录页面；

所述接收单元，还用于接收所述客户端利用所述登录页面发送的登录请求，所述登录请求中包含所述客户端的UserID和密码；

认证单元，用于根据所述UserID和所述密码，对所述客户端的用户身份进行认证；

跳转单元，用于若所述认证单元所进行的所述认证成功，根据所述跳转地址和/或所述认证请求的源地址，确定是否执行跳转操作。

8.根据权利要求7所述的装置，其特征在于，所述跳转单元，具体用于

若所述跳转地址为可信地址，或者若所述跳转地址与所述源地址为相互关联的地址，确定执行跳转操作；

若所述跳转地址为不可信地址，或者若所述跳转地址与所述源地址为相互不关联的地址，确定不执行跳转操作。

9.根据权利要求7或8所述的装置，其特征在于，所述装置还包括生成单元，用于

根据时间戳和所述UserID，生成所述客户端的OpenID。

10.根据权利要求9所述的装置，其特征在于，所述发送单元，还用于

根据所述跳转地址，向所述RP发送认证响应，所述认证响应中包含所述OpenID。

11.根据权利要求10所述的装置，其特征在于，

所述接收单元，还用于

接收所述RP发送的用于获取UserID的获取请求，所述获取请求中包含所述OpenID；

所述装置还包括获得单元，用于

根据所述OpenID，获得与所述OpenID对应的UserID；

所述发送单元，还用于

向所述RP发送所述UserID。

12.根据权利要求9～11任一权利要求所述的装置，其特征在于，所述生成单元，具体用于

根据时间戳和所述UserID，以及所述RP的标识信息，生成所述客户端的OpenID。

Images