CN103905376A - 一种基于oauth协议进行双向认证的方法和系统 - Google Patents

Abstract

本发明公开了一种基于OAUTH协议进行双向认证的方法和系统，开放平台接收到用户发送的OAuth协议的认证请求消息，认证请求消息中的参数包括：被使用方设备的标志CONSUMED_KEY；开放平台根据CONSUMED_KEY向被使用方设备发送CONSUMED_SECRET进行认证；被使用方设备通过认证后，向开放平台发送的响应消息中包括：被使用方设备的令牌CONSUMED_TOKEN；开放平台向用户发送CONSUMED_TOKEN。本发明的基于OAUTH协议进行双向认证的方法和系统，改进了现有的只面向开放接口使用方的单向认证方法，提供即面向开放接口使用方的认证，也面向开放接口的被使用方的认证，满足了实际的业务发展需求。

Description

一种基于OAUTH协议进行双向认证的方法和系统

技术领域

本发明涉及认证鉴权技术领域，尤其涉及一种基于OAUTH协议进行双向认证的方法和系统。

背景技术

把服务封装成一系列的数据接口开放出去，供第三方开发者使用，这些接口称为开放接口，提供开放接口的平台本身就被称为开放平台。企业通过开放接口可以更好地整合并利用第三方资源，第三方开发者为开放平台提供产品和服务的同时通过开放接口能够使用开放平台的各种资源。开放接口在开放平台中占据重要的位置，而开放接口的具体技术实现则直接影响开放平台的整体评价，认证方法是开放接口技术实现中需要重点考察的关键环节。

目前开放平台，即开放平台服务器，包括该领域的领先者腾讯和淘宝等，大多采用基于OAuth协议的认证方法。OAuth协议的认证是面向服务使用者和使用服务的应用的，二者均为服务使用方的，其主要流程为：使用者首先在开放平台进行登录认证，认证通过之后，平台会颁发给使用者一个Token，使用者将这个Token授权给服务使用应用之后，应用就可以使用这个Token来向平台获取使用者已获得授权的相关资源了。

上述的认证方法是仅面向使用方的单向认证方法。而在实际的业务中，这种单向的认证方法不能适用在诸多业务场景中。例如定位服务开放，定位服务的使用方是车辆保养服务商（使用者）和车辆保养系统（使用服务的应用），提供定位服务的开放平台是中国电信领航平台，在一次定位服务的业务过程中，除了要对定位服务的使用方（使用者和使用应用）进行认证外，还需要对被定位的车主进行认证，如果该车主因为隐私原因，不同意被定位，则业务不能完成。

需要改进现有的只面向开放接口使用方的单向认证方法，提供即面向开放接口使用方的认证，也面向开放接口的被使用方的认证，以满足实际的业务发展需求。

发明内容

有鉴于此，本发明要解决的一个技术问题是提供一种基于OAUTH协议进行双向认证的方法，提供面向开放接口的被使用方的认证。

一种基于OAUTH协议进行双向认证的方法，开放平台接收到用户发送的请求使用服务的认证请求消息；其中，所述认证请求消息基于OAuth协议；所述认证请求消息中的参数包括：被使用方设备的标志CONSUMED_KEY；其中，所述被使用方设备为所述用户请求使用的应用所对应的设备；所述开放平台根据所述CONSUMED_KEY向所述被使用方设备发送认证消息；所述被使用方设备通过认证后，向所述开放平台发送的响应消息中包括：被使用方设备的令牌CONSUMED_TOKEN；所述开放平台向所述用户发送的应答消息中包括所述CONSUMED_TOKEN，并提供服务。

根据本发明的方法的一个实施例，进一步的，所述认证请求消息中包括被使用方设备认证CONSUMED_AUTH_NEEDED参数；当CONSUMED_AUTH_NEEDED被设置为是时，所述开放平台向所述被使用方设备发送所述CONSUMED_SECRET进行认证。

根据本发明的方法的一个实施例，进一步的，所述认证请求消息中还包括:用户的标志CONSUMER_KEY、用户的密钥CONSUMER_SECRET；所述开放平台向所述用户发送的应答消息中还包括：被使用方设备密钥CONSUMED_SECRET。

根据本发明的方法的一个实施例，进一步的，当所述CONSUMED_AUTH_NEEDED参数设置为否时，所述开放平台根据所述CONSUMER_KEY和CONSUMER_SECRET对所述用户进行认证；当所述用户通过认证时，所述开放平台获取所述用户使用的应用所在的服务系统的request token，并将所述request token发送给所述用户。

根据本发明的方法的一个实施例，进一步的，用户通过所述服务系统使用所述第一应用服务；服务系统通过所述开放平台使用第一应用服务；其中，所述第一应用服务为需要被使用方设备认证的服务；所述开放平台对所述服务系统和用户进行了认证，并通过；所述开放平台判断用户发送的认证请求消息中的CONSUMED_AUTH_NEEDED参数设置为是时，对被使用方设备进行认证；所述开放平台对被使用方设备发起认证，被使用方设备确认后，向所述开放平台发送被使用方设备的令牌CONSUMED_TOKEN和被使用方设备密钥CONSUMED_SECRET；所述开放平台向所述服务系统发送所述CONSUMED_TOKEN，所述开放平台提供第一应用服务。

本发明要解决的一个技术问题是提供一种基于OAUTH协议进行双向认证的系统，提供面向开放接口的被使用方的认证。

一种基于OAUTH协议进行双向认证的系统，包括：开放平台、服务系统和被使用方设备；所述服务系统为用户使用的应用所在的服务系统，所述被使用方设备为用户使用的应用所对应的设备；所述开放平台接收到用户发送的OAuth协议的认证请求消息；所述认证请求消息中的参数包括：被使用方设备的标志CONSUMED_KEY；所述开放平台根据所述CONSUMED_KEY向所述被使用方设备发送认证消息；所述被使用方设备通过认证后，向所述开放平台发送的响应消息中包括：被使用方设备的令牌CONSUMED_TOKEN；所述开放平台向所述用户和服务系统发送的应答消息中包括所述CONSUMED_TOKEN，并提供服务。

根据本发明的系统的一个实施例，进一步的，所述认证请求消息中包括被使用方设备认证CONSUMED_AUTH_NEEDED参数；当CONSUMED_AUTH_NEEDED被设置为是时，所述开放平台向所述被使用方设备发送所述CONSUMED_SECRET进行认证。

根据本发明的系统的一个实施例，进一步的，所述认证请求消息还包括:用户的标志CONSUMER_KEY、用户的密钥CONSUMER_SECRET；所述开放平台向所述用户和服务系统的应答消息中还包括：被使用方设备密钥CONSUMED_SECRET。

根据本发明的系统的一个实施例，进一步的，当所述CONSUMED_AUTH_NEEDED参数设置为否时，所述开放平台根据所述CONSUMER_KEY和CONSUMER_SECRET对所述用户进行认证；当所述用户通过认证时，所述开放平台获取所述用户使用的应用所在的服务系统的request token，并将所述request token发送给所述用户。

根据本发明的系统的一个实施例，进一步的，用户通过所述服务系统使用第一应用服务；服务系统通过所述开放平台使用第一应用服务；其中，所述第一应用服务为需要被使用方设备认证的服务；所述开放平台对所述服务系统和用户进行了认证，并通过；所述开放平台判断用户发送的认证请求消息中的CONSUMED_AUTH_NEEDED参数设置为是时，对被使用方设备进行认证；所述开放平台对被使用方设备发起认证，被使用方设备确认后，向所述开放平台发送被使用方设备的令牌CONSUMED_TOKEN和被使用方设备密钥CONSUMED_SECRET；所述开放平台向所述服务系统发送所述CONSUMED_TOKEN，所述开放平台提供第一应用服务。

本发明的基于OAUTH协议进行双向认证的方法和系统，改进了现有的只面向开放接口使用方的单向认证方法，提供即面向开放接口使用方的认证，也面向开放接口的被使用方的认证，满足了实际的业务发展需求。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为根据本发明的基于OAUTH协议进行双向认证的方法的一个实施例的流程图；

图2为根据本发明的基于OAUTH协议进行双向认证的方法的另一个实施例的流程图；

图3为根据本发明的基于OAUTH协议进行双向认证的系统的一个实施例的示意图。

具体实施方式

下面参照附图对本发明进行更全面的描述，其中说明本发明的示例性实施例。下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。下面结合各个图和实施例对本发明的技术方案进行多方面的描述。

OAUTH协议为用户资源的授权提供了一个安全的、开放而又简易的标准。同时，任何第三方都可以使用OAUTH认证服务，任何服务提供商都可以实现自身的OAUTH认证服务，因而OAUTH是开放的。目前互联网很多服务如Open API，很多大公司如Google，Yahoo，Microsoft等都提供了OAUTH认证服务。

在OAUTH协议中认证过程包括：获取未授权的Request Token；请求用户授权Request Token；使用授权后的Request Token换取AccessToken；一般通过访问URL获取未授权的Request Token。

图1为根据本发明的基于OAUTH协议进行双向认证的方法的一个实施例的流程图。如图1所示：

步骤102，开放平台接收到用户发送的请求使用服务的认证请求消息；其中，认证请求消息基于OAuth协议；认证请求消息中的参数包括：被使用方设备的标志CONSUMED_KEY；其中，被使用方设备为用户请求使用的应用所对应的设备。

步骤103，开放平台根据CONSUMED_KEY向被使用方设备发送认证消息。

步骤104，被使用方设备通过认证后，向开放平台发送的响应消息中包括：被使用方设备的令牌CONSUMED_TOKEN。

步骤105，开放平台向用户发送的应答消息中包括CONSUMED_TOKEN，并提供服务。

根据本发明的一个实施例，本发明中的开放平台也可以是开放平台服务器、对用户开放的业务服务器等等。开放平台接收到用户发送认证请求消息中的参数包括：被使用方设备的标志CONSUMED_KEY、被使用方设备的密钥CONSUMED_SECRET；开放平台根据CONSUMED_KEY向被使用方设备发送CONSUMED_SECRET进行认证。被使用方设备通过认证后，向用户使用的应用所在的服务系统发送被使用方设备的令牌CONSUMED_TOKEN，服务系统向开放平台发送CONSUMED_TOKEN。

根据本发明的一个实施例，认证请求消息中包括被使用方设备认证CONSUMED_AUTH_NEEDED参数。当CONSUMED_AUTH_NEEDED被设置为是时，开放平台向被使用方设备发送CONSUMED_SECRET进行认证。

根据本发明的一个实施例，认证请求消息还包括:用户的标志CONSUMER_KEY、用户的密钥CONSUMER_SECRET。

根据本发明的一个实施例，当CONSUMED_AUTH_NEEDED参数设置为否时，开放平台根据CONSUMER_KEY和CONSUMER_SECRET对用户进行认证。当用户通过认证时，开放平台获取用户使用的应用所在的服务系统的request token，并将request token发送给用户。

根据本发明的方法的一个实施例，用户通过服务系统使用第一应用服务。服务系统通过开放平台使用第一应用服务。其中，第一应用服务为需要被使用方设备认证的服务。开放平台对服务系统和用户进行了认证，并通过。

开放平台判断用户发送的认证请求消息中的CONSUMED_AUTH_NEEDED参数设置为是时，对被使用方设备进行认证。

开放平台对被使用方设备发起认证，被使用方设备确认后，向开放平台发送被使用方设备的令牌CONSUMED_TOKEN。

开放平台向服务系统发送CONSUMED_TOKEN，开放平台提供第一应用服务。

本发明中的“第一”等仅仅用于描述区别方便，并没有其它特殊的含义。

本发明的基于OAUTH协议进行双向认证的方法，改进了开放平台中开放接口的单向认证方法的不足，提供一种用于开放平台开放接口的双向认证方法，能够对服务的使用方和被使用方均能够进行认证。为了实现双向认证，需要对OAuth协议的进行扩展。

首先，在原有的请求消息中，增加被使用方的标志、密钥、令牌三个参数，增加是否需要进行被使用方认证的标志，如下下表1所示：

CONSUMED_KEY
	CONSUMED_SECRET
CONSUMED_TOKEN
	CONSUMED_AUTH_NEEDED

表1－请求消息中新增的参数

其次，修改OAuth协议请求参数的Token为CONSUMER_TOKEN，用于区分使用方的认证通过令牌还是被使用方认证通过令牌。请求消息中的签名方法和用于防止重复消息的部分，可以在使用方认证和被使用方认证中复用。

需要被使用方的认证的业务大多需要被使用方明确的确认授权信息，因此被使用方的认证，没有采用OAUTH协议标准流程中的通过回调URL地址来完成授权的方式，采用了授权码方式来完成授权，具体的流程为：

当CUNSUMED_AUTH_NEEDED被设置时，进行被使用方认证。开放平台则向注册的被使用方（手机终端、车辆终端、PC等）发送授权码（CONSUMED_TOKEN），被使用方回送授权码给使用服务的应用，即通过该交互过程明确表达了授权意愿，开放平台收到使用服务的应用发送来的被使用方授权码后，标记被使用方认证通过。

图2为根据本发明的基于OAUTH协议进行双向认证的方法的另一个实施例的流程图；如图2所示:

步骤201，使用方向业务平台发送业务使用申请消息。业务使用申请消息中包括的参数如下：

CONSUMED_KEY：被使用方标志；

CONSUMED_AUTH_NEEDED：是否需要被使用方认证；

CONSUMER_KEY：使用方标志；

CONSUMER_SECRET：使用方密钥；

signature_method：加密签名模式；

signature：加密签名；

NONCE：防重复消息标志；

TIMESTAMP：时间戳。

步骤202，开放平台对使用方进行认证。对于认证通过的使用方，设置CONSUMER_TOKEN（使用方授权码）为合法。

步骤203，开放平台根据请求消息中的字段CONSUMED_AUTH_NEEDED（是否需要被使用方认证），判断是否需要进行被使用方认证。

步骤204，对于需要进行被使用方认证的使用请求，开放平台向被使用方发起认证请求请求，认证请求消息中包括的参数如下：

CONSUMED_KEY：被使用方标志；

signature_method：加密签名模式；

signature：加密签名；

NONCE：防重复消息标志；

TIMESTAMP：时间戳。

步骤205，被使用方同意授权后，设置CONSUMED_TOKEN（被使用方授权码）为合法。

步骤206，被使用方向开放平台发送被使用方认证结果消息，回送合法的CONSUMED_TOKEN，消息中包括的参数如下：

CONSUMED_KEY：被使用方标志；

CONSUMED_SECRET：被使用方密钥；

CONSUMED_TOKEN：被使用方授权码；

signature_method：加密签名模式；

signature：加密签名；

NONCE：防重复消息标志；

TIMESTAMP：时间戳。

步骤207，开放平台判断CONSUMED_TOKEN合法；

步骤208，开放平台向使用方回送使用请求的应答消息并提供服务，应答消息如下：

CONSUMED_KEY：被使用方标志；

CONSUMED_TOKEN：被使用方授权码；

CONSUMED_AUTH_NEEDED：是否需要被使用方认证；

CONSUMER_KEY：使用方标志；

CONSUMER_TOKEN：使用方授权码；

signature_method：加密签名模式；

s ignature：加密签名；

NONCE：防重复消息标志；

TIMESTAMP：时间戳。

图3为根据本发明的基于OAUTH协议进行双向认证的系统的一个实施例的示意图。如图3所示：基于OAUTH协议进行双向认证的系统，包括：开放平台31、服务系统32和被使用方设备33。服务系统32为用户使用的应用所在的服务系统，被使用方设备33为用户使用的应用所对应的设备。

开放平台31接收到用户34发送的OAuth协议的认证请求消息。认证请求消息中的参数包括：被使用方设备的标志CONSUMED_KEY（也可以包括被使用方设备的密钥CONSUMED_SECRET）。开放平台31根据CONSUMED_KEY向被使用方设备33发送CONSUMED_SECRET进行认证。

被使用方设备33通过认证后，向开放平台31发送的响应消息中包括：被使用方设备的令牌CONSUMED_TOKEN。开放平台31向服务系统32发送CONSUMED_TOKEN。

根据本发明的一个实施例，认证请求消息中包括被使用方设备认证CONSUMED_AUTH_NEEDED参数。当CONSUMED_AUTH_NEEDED被设置为是时，开放平台31向被使用方设备33发送CONSUMED_SECRET进行认证。

根据本发明的一个实施例，认证请求消息还包括:用户的标志CONSUMER_KEY、用户的密钥CONSUMER_SECRET。当CONSUMED_AUTH_NEEDED参数设置为否时，开放平台31根据CONSUMER_KEY和CONSUMER_SECRET对用户34进行认证。当用户34通过认证时，开放平台31获取用户34使用的应用所在的服务系统32的request token，并将request token发送给用户34。

根据本发明的一个实施例，用户34通过服务系统23使用第一应用服务。服务系统32通过开放平台31使用第一应用服务。其中，第一应用服务为需要被使用方设备33认证的服务。

开放平台31对服务系统32和用户34进行了认证，并通过。开放平台31判断用户34发送的认证请求消息中的CONSUMED_AUTH_NEEDED参数设置为是时，对被使用方设备33进行认证。开放平台31对被使用方设备33发起认证，被使用方设备33确认后，向服务系统32发送被使用方设备的令牌CONSUMED_TOKEN。服务系统32向开放平台31发送CONSUMED_TOKEN，开放平台提供第一应用服务。

根据本发明的一个实施例，举一个实际使用的例子：

渔政厅的渔业管理系统通过开放平台使用了渔船定位服务，根据渔民的要求，渔船定位服务设置为需要被使用方认证的服务。

渔政厅的渔政管理人员通过渔业管理系统在台风来临前使用定位服务，确定管辖范围内的所有渔船位置。

开放平台对渔政管理系统（使用服务的应用）和渔政管理人员（使用者）进行了认证，并通过。

开放平台判断CUNSUMED_AUTH_NEEDED设置为是，转入被使用方认证流程。

开放平台对被定位的渔船（被使用方，CUNSUMED_KEY）发起认证，被定位的渔船确认后，授权码被回传给渔政管理系统。

渔政管理系统向开放平台发送授权码(CUNSUMED_TOKEN)，开放平台认证通过后，开始提供定位服务，实现周期性的渔船定位，并将定位的经纬度信息发送给使用方（包括渔政管理人员和渔政管理系统）。

本发明的基于OAUTH协议进行双向认证的方法和系统，改进了现有的只面向开放接口使用方的单向认证方法，提供即面向开放接口使用方的认证，也面向开放接口的被使用方的认证，满足了实际的业务发展需求。

可能以许多方式来实现本发明的方法和系统。例如，可通过软件、硬件、固件或者软件、硬件、固件的任何组合来实现本发明的方法和系统。用于方法的步骤的上述顺序仅是为了进行说明，本发明的方法的步骤不限于以上具体描述的顺序，除非以其它方式特别说明。此外，在一些实施例中，还可将本发明实施为记录在记录介质中的程序，这些程序包括用于实现根据本发明的方法的机器可读指令。因而，本发明还覆盖存储用于执行根据本发明的方法的程序的记录介质。

本发明的描述是为了示例和描述起见而给出的，而并不是无遗漏的或者将本发明限于所公开的形式。很多修改和变化对于本领域的普通技术人员而言是显然的。选择和描述实施例是为了更好说明本发明的原理和实际应用，并且使本领域的普通技术人员能够理解本发明从而设计适于特定用途的带有各种修改的各种实施例。

Claims (10)

1.一种基于OAUTH协议进行双向认证的方法，其特征在于：

开放平台接收到用户发送的请求使用服务的认证请求消息；其中，所述认证请求消息基于OAuth协议；

所述认证请求消息中的参数包括：被使用方设备的标志CONSUMED_KEY；其中，所述被使用方设备为所述用户请求使用的应用所对应的设备；

所述开放平台根据所述CONSUMED_KEY向所述被使用方设备发送认证消息；

所述被使用方设备通过认证后，向所述开放平台发送的响应消息中包括：被使用方设备的令牌CONSUMED_TOKEN；

所述开放平台向所述用户发送的应答消息中包括所述CONSUMED_TOKEN，并提供服务。

2.如权利要求1所述的方法，其特征在于：

所述认证请求消息中包括被使用方设备认证CONSUMED_AUTH_NEEDED参数；

当CONSUMED_AUTH_NEEDED被设置为是时，所述开放平台向所述被使用方设备发送所述CONSUMED_SECRET进行认证。

3.如权利要求2所述的方法，其特征在于：

所述认证请求消息中还包括:用户的标志CONSUMER_KEY、用户的密钥CONSUMER_SECRET；

所述开放平台向所述用户发送的应答消息中还包括：被使用方设备密钥CONSUMED_SECRET。

4.如权利要求3所述的方法，其特征在于：

当所述CONSUMED_AUTH_NEEDED参数设置为否时，所述开放平台根据所述CONSUMER_KEY和CONSUMER_SECRET对所述用户进行认证；

当所述用户通过认证时，所述开放平台获取所述用户使用的应用所在的服务系统的request token，并将所述request token发送给所述用户。

5.如权利要求4所述的方法，其特征在于：

用户通过所述服务系统使用所述第一应用服务；

服务系统通过所述开放平台使用第一应用服务；其中，所述第一应用服务为需要被使用方设备认证的服务；

所述开放平台对所述服务系统和用户进行了认证，并通过；

所述开放平台判断用户发送的认证请求消息中的CONSUMED_AUTH_NEEDED参数设置为是时，对被使用方设备进行认证；

所述开放平台对被使用方设备发起认证，被使用方设备确认后，向所述开放平台发送被使用方设备的令牌CONSUMED_TOKEN和被使用方设备密钥CONSUMED_SECRET；

所述开放平台向所述服务系统发送所述CONSUMED_TOKEN，所述开放平台提供第一应用服务。

6.一种基于OAUTH协议进行双向认证的系统，其特征在于，包括：

开放平台、服务系统和被使用方设备；所述服务系统为用户使用的应用所在的服务系统，所述被使用方设备为用户使用的应用所对应的设备；

所述开放平台接收到用户发送的请求使用服务的认证请求消息；其中，所述认证请求消息基于OAuth协议；所述认证请求消息中的参数包括：被使用方设备的标志CONSUMED_KEY；

所述开放平台根据所述CONSUMED_KEY向所述被使用方设备发送认证消息；

所述被使用方设备通过认证后，向所述开放平台发送的响应消息中包括：被使用方设备的令牌CONSUMED_TOKEN；

所述开放平台向所述用户和服务系统发送的应答消息中包括所述CONSUMED_TOKEN，并提供服务。

7.如权利要求6所述的系统，其特征在于：

所述认证请求消息中包括被使用方设备认证CONSUMED_AUTH_NEEDED参数；

当CONSUMED_AUTH_NEEDED被设置为是时，所述开放平台向所述被使用方设备发送所述CONSUMED_SECRET进行认证。

8.如权利要求7所述的系统，其特征在于：

所述认证请求消息还包括:用户的标志CONSUMER_KEY、用户的密钥CONSUMER_SECRET；

所述开放平台向所述用户和服务系统的应答消息中还包括：被使用方设备密钥CONSUMED_SECRET。

9.如权利要求8所述的系统，其特征在于：

当所述CONSUMED_AUTH_NEEDED参数设置为否时，所述开放平台根据所述CONSUMER_KEY和CONSUMER_SECRET对所述用户进行认证；

当所述用户通过认证时，所述开放平台获取所述用户使用的应用所在的服务系统的request token，并将所述request token发送给所述用户。

10.如权利要求9所述的系统，其特征在于：

用户通过所述服务系统使用第一应用服务；

服务系统通过所述开放平台使用第一应用服务；其中，所述第一应用服务为需要被使用方设备认证的服务；

所述开放平台对所述服务系统和用户进行了认证，并通过；

所述开放平台判断用户发送的认证请求消息中的CONSUMED_AUTH_NEEDED参数设置为是时，对被使用方设备进行认证；

所述开放平台对被使用方设备发起认证，被使用方设备确认后，向所述开放平台发送被使用方设备的令牌CONSUMED_TOKEN和被使用方设备密钥CONSUMED_SECRET；

所述开放平台向所述服务系统发送所述CONSUMED_TOKEN，所述开放平台提供第一应用服务。

Images