CN103795731B - 一种用户账户登录方法 - Google Patents

Abstract

本申请公开了一种用户账户登录方法，该方法利用移动终端设备保存用户的账户息，并对其进行加密，用户在网站登陆界面不需要输入账户信息，只需扫入二维码。采用本发明，可以在保证账户安全的前提下快速登陆帐户。

Description

一种用户账户登录方法

技术领域

本发明涉及互联网技术，特别是涉及一种用户账户登录方法。

背景技术

随着网络技术的日趋成熟，各类门户网站、社交网站、电商网站如雨后春笋般涌现。为了享受更多的功能和更好的服务，用户往往需要在各个网站上注册相应账户。对于经常穿梭于各大网站的人们，记住自己的用户名和密码成为一项必备技能。如果不能够准确的记住密码，则需要反复去匹配信息，或者是根据指示一步步地找回账户信息。不仅费时，还影响用户体验。

为了帮助用户快速登录，目前许多网站提供自动登陆功能。网站在用户的硬盘上植入cookie，当用户再次访问该网站时，网站可以通过读取cookie获取用户相关信息，不用用户输入ID、密码就可直接登陆。还有一些网站提供了授权登陆功能，即使用授权网站的账户信息就可登陆，无需注册。授权的过程为被授权网站调用授权网站的登陆接口进行身份验证，而调用网站对用户的敏感核心信息是未知的。例如，A、B两个网站，B网站授权给A网站。用户可以用B网站的账户登陆A网站，无需注册新账户。

网站读取cookie获取用户信息以达到快速登陆或自动登陆的目的。但这也意味着他人也可使用“被记住的账户信息”进行登陆。多数的账号丢失、登录串号其实都和cookie有关，很多木马都是通过窃取Cookie来盗取用户的账号。Cookie不是跨浏览器和机器的，当用户更换其他浏览器或计算机登陆时，cookie就发挥不了作用了。授权登陆也存在一定风险，虽然用户不必再记住多个账户和密码，但若授权账户被盗或泄露，则被授权的网站也变得不再安全。

目前尚未提出一种可以在保证账户安全的前提下实现快速登陆的方法。

发明内容

有鉴于此，本发明的主要目的在于提供一种用户账户登录方法，该方法可以在保证账户安全的前提下快速登陆帐户。

为了达到上述目的，本发明提出的技术方案为：

a、预先将用户的账户信息保存在移动终端设备中，所述账户信息包括账户所属网站的标识信息以及账户名和登录密码；

b、当所述用户利用客户端访问所述网站的登陆界面时，所述网站的服务器生成由所述网站和所述客户端的组合唯一识别的标识码ID并通知给所述客户端，所述用户利用所述移动终端设备扫描登陆界面中显示的登陆二维码，对所述登陆二维码进行解析，并利用所述网站的数字证书中的公钥对所述解析结果进行解密，所述登陆二维码包括网站的标识信息、网站登陆验证接口地址和所述标识码，所述登陆二维码为利用所述公钥对应的私钥进行加密的信息；

c、所述移动终端设备确定自身是否保存与所述解密后得到的网站的标识信息对应的所述账户信息，如果是，则转入d；否则，通知所述用户当前未保存网站账户信息登陆失败，结束所述登陆方法；

d、所述移动终端设备将所述用户在所访问网站的账户名、登录密码以及所述标识码通过所述公钥加密后，根据所述网站登陆验证接口地址向所访问网站的服务器发送登陆请求消息；

e、所述服务器利用所述私钥对所述登陆请求消息进行解密，利用解密后得到的所述账户名、登录密码对所述用户进行身份验证，如果验证成功，则根据解密后得到的所述标识码确定出与所述标识码绑定的客户端，并通知所述客户端登录成功。

综上所述，本发明提出的用户账户登录方法，利用移动终端保存用户的账户信息，并对其进行加密，用户在网站登陆界面不需要输入账户信息，只需扫入二维码，如此可以在保证账户安全的前提下快速登陆帐户。

附图说明

图1为本发明实施例一的流程示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图及具体实施例对本发明作进一步地详细描述。

本发明的核心思想是：用户将账户信息录入到移动终端设备中，该账户信息将包括网站与账户的对应关系信息，并进行加密。这样，用户在登录用户帐户时不需要在网站登陆界面输入账户信息，只需由移动终端扫入二维码，并通过识别二维码中的信息对账户进行验证。如此，可以避免他人用“被记住的密码”登陆，或是cookies泄露账户信息，同时，还可确保用户保存的账户信息的安全性。

图1为本发明实施例一的流程示意图，如图1所示，该实施例主要包括：

步骤101、预先将用户的账户信息保存在移动终端设备中，所述账户信息包括账户所属网站的标识信息以及账户名和登录密码。

具体地，所述移动终端设备可以为手机等终端设备。

所述标识信息包括网站名称和/或网站域名。

在实际应用中，可以通过手工录入或同步录入的方式进行保存上述信息。具体的同步录入方法即：

当用户在一网站注册账户时，输入其账户的账户名、登录密码和移动终端设备识别号，该网站的网站服务器在用户完成所述账户注册后，将所述账户信息发送到所述移动终端设备识别号对应的移动移动终端设备中。

步骤102、当所述用户利用客户端访问所述网站的登陆界面时，所述网站的服务器生成由所述网站和所述客户端的组合唯一识别的标识码ID并通知给所述客户端，所述用户利用所述移动终端设备扫描登陆界面中显示的登陆二维码，对所述登陆二维码进行解析，并利用所述网站的数字证书中的公钥对所述解析结果进行解密。

这里，所述登陆二维码包括网站的标识信息、网站登陆验证接口地址和所述标识码，所述登陆二维码为利用所述公钥对应的私钥进行加密的信息。

在实际应用中，网站的数字证书可以是用户注册所述账户时获得的，并保存在移动终端设备中；也可以是在用户登陆网站账户时从网站处获得的。

较佳的，为了进一步提高登录的安全性，可以在登录网站时根据网站的数字证书所访问网站的安全性进行检查，具体地，可采用下述方法实现：

在进行所述扫描之前，所述客户端判断当前是否保存所访问网站的数字证书，如果有，则从所述数字证书中获取所述公钥，否则，向所访问网站请求所述数字证书，所述客户端根据所请求到的数字证书确定所述网站是否属于安全网站，如果是，则从所述数字证书中获取所述公钥，并触发所述用户执行所述扫描的操作。

这里需要说明的是，本步骤中，服务器需要随机生成一个具有唯一性的标识码（包含在登陆二维码中），每次刷新页面时都会不一样。如此，可以保证一个标识码ID将会与一个账号和密码进行绑定，从而可以提高登录的安全性。

步骤103～104、所述移动终端设备确定自身是否保存与所述解密后得到的网站的标识信息对应的所述账户信息，如果是，则转入步骤105；否则，通知所述用户当前未保存网站账户信息登陆失败，结束本次登录。

本步骤中，如果移动终端设备发现自身未保存所访问网站（即登陆二维码所包含的网站的标识信息所指示的网站）的账户信息，则说明没有注册该网站的账户，因此将直接结束本次登录。而当移动终端设备检测到当前保存了所访问网站的账户信息时，说明该用户有所访问网站的账户，可以进入步骤105继续进行相应的账户登录。

步骤105、所述移动终端设备将所述用户在所访问网站的账户名、登录密码以及所述标识码通过所述公钥加密后，根据所述网站登陆验证接口地址向所访问网站的服务器发送登陆请求消息。

本步骤，移动终端设备需要将所述用户在所访问网站的账户名、登录密码以及所述标识码发给网站，以便网站基于此进行用户的身份验证和客户端的识别。

这里，为了确保网站与移动终端设备之前信息传输的安全性，利用网站的公钥对账户名、登录密码以及所述标识码进行加密，从而可以提高账户登录的安全性。

步骤106、所述服务器利用所述私钥对所述登陆请求消息进行解密，利用解密后得到的所述账户名、登录密码对所述用户进行身份验证，如果验证成功，则根据解密后得到的所述标识码确定出与所述标识码绑定的客户端，并通知所述客户端登录成功。

综上所述，以上仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (4)

1.一种用户账户登陆方法，其特征在于，包括：

a、预先将用户的账户信息保存在移动终端设备中，所述账户信息包括账户所属网站的标识信息以及账户名和登录密码；

b、当所述用户利用客户端访问所述网站的登陆界面时，所述网站的服务器生成由所述网站和所述客户端的组合唯一识别的标识码ID并通知给所述客户端，所述用户利用所述移动终端设备扫描登陆界面中显示的登陆二维码，对所述登陆二维码进行解析，并利用所述网站的数字证书中的公钥对所述解析结果进行解密，所述登陆二维码包括网站的标识信息、网站登陆验证接口地址和所述标识码，所述登陆二维码为利用所述公钥对应的私钥进行加密的信息；

c、所述移动终端设备确定自身是否保存与所述解密后得到的网站的标识信息对应的所述账户信息，如果是，则转入d；否则，通知所述用户当前未保存网站账户信息登陆失败，结束所述登陆方法；

d、所述移动终端设备将所述用户在所访问网站的账户名、登录密码以及所述标识码通过所述公钥加密后，根据所述网站登陆验证接口地址向所访问网站的服务器发送登陆请求消息；

e、所述服务器利用所述私钥对所述登陆请求消息进行解密，利用解密后得到的所述账户名、登录密码对所述用户进行身份验证，如果验证成功，则根据解密后得到的所述标识码确定出与所述标识码绑定的客户端，并通知所述客户端登录成功。

2.根据权利要求1所述的方法，其特征在于，所述网站的标识信息包括网站名称和/或网站域名。

3.根据权利要求1所述的方法，其特征在于，所述步骤b进一步包括：

在进行所述扫描之前，所述客户端判断当前是否保存所访问网站的数字证书，如果有，则从所述数字证书中获取所述公钥，否则，向所访问网站请求所述数字证书，所述客户端根据所请求到的数字证书确定所述网站是否属于安全网站，如果是，则从所述数字证书中获取所述公钥，并触发所述用户执行所述扫描的操作。

4.根据权利要求1所述的方法，其特征在于，所述数字证书为所述用户注册所述账户时获得并保存在所述移动终端设备中。