CN104469758B - 多设备安全登录方法 - Google Patents

Abstract

一种多设备安全登录方法，所述安全登录方法包括：已连接到接入点的第一设备向接入点发送连接网络的请求；接收来自接入点的包含加密第一身份信息的第一页面跳转信息，所述第一身份信息包括第一设备信息和接入点信息；通过所述第一页面跳转信息重定向至认证服务器，向认证服务器轮询，查看认证服务器特定字段的状态并等待；通过所述特定字段的状态获知等待成功，从所述认证服务器获得包含加密第一上网控制信息的第二页面跳转信息，所述上网控制信息与所述第一身份信息对应；通过所述第二页面跳转信息重定向至接入点，发送加密第一上网控制信息至接入点；若所述接入点确认所述第一上网控制信息，所述第一设备获得上网许可。

Description

多设备安全登录方法

技术领域

本发明涉及通信技术领域，特别是涉及一种多设备安全登录方法。

背景技术

无线网络与有线网络的用途十分类似，最大的不同在于传输媒介的不同，利用无线电技术取代网线，可以和有线网络互为备份。

接入点又称无线局域网收发器，是用户进入以太网的接入点。通过接入点连接至网络带来极大的便利。但是，由于接入点信号覆盖范围的不确定性，用户信息的安全性得不到保证，通过接入点接入网络的安全性有待提高。

另外，同一用户使用多个设备通过同一个接入点接入网络时，需多次验证，过程繁琐，用户体验有待改善。

发明内容

本发明解决的问题是如何实现多设备安全登录无线网络。

为解决上述问题，本发明实施例提供一种多设备安全登录方法，所述方法包括：

已连接到接入点的第一设备向接入点发送连接网络的请求；

接收来自接入点的包含加密第一身份信息的第一页面跳转信息，所述第一身份信息包括第一设备信息和接入点信息；

通过所述第一页面跳转信息重定向至认证服务器，向认证服务器轮询，查看认证服务器特定字段的状态并等待；

通过所述特定字段的状态获知等待成功，从所述认证服务器获得包含加密第一上网控制信息的第二页面跳转信息，所述上网控制信息与所述第一身份信息对应；

通过所述第二页面跳转信息重定向至接入点，发送加密第一上网控制信息至接入点；

若所述接入点确认所述第一上网控制信息，所述第一设备获得上网许可。

可选的，根据权利要求1所述的多设备安全登录方法，其特征在于，所述加密第一身份信息是采用对称加密算法AES对所述第一身份信息进行加密，而后进行base64编码。

可选的，所述第一上网控制信息包括：根据所述第一身份信息和当前信息生成的上网控制参数；所述设备请求连接的统一资源定位符。

可选的，所述当前信息包括：当前时间；上行限速；下行限速。

可选的，所述第一上网控制信息还包括：所述当前信息；所述接入点生成的时间戳。

可选的，所述加密的第一上网控制信息是采用对称加密算法AES对所述第一上网控制信息进行加密，而后进行base64编码。

可选的，所述确认所述第一上网控制信息包括：对所述加密第一上网控制信息解密；对所述第一上网控制信息进行验证。

可选的，所述通过所述特定字段的状态获知等待成功包括：获知归属于同一用户的第二设备已获得上网许可。

可选的，所述第二设备通过如下步骤获得上网许可：

第二设备通过第一设备获得包含加密第一身份信息的第三页面跳转信息；

第二设备通过所述第三页面跳转信息重定向至认证服务器，提交认证信息至认证服务器，所述认证信息包括加密第二身份信息和用户验证信息；

若所述认证信息验证通过，第二设备从认证服务器接收包含加密第二上网控制信息的第四页面跳转信息，所述上网控制信息与所述第二设备对应；

第二设备通过所述第四页面跳转信息重定向至接入点，发送加密第二上网控制信息至接入点；

若所述接入点确认所述第二上网控制信息，第二设备获得上网许可。

可选的，所述加密第二身份信息是采用对称加密算法AES对所述第二身份信息进行加密，而后进行base64编码。

可选的，所述第二上网控制信息包括：根据解密所述加密第二身份信息得到的第二设备信息和接入点信息，以及当前信息生成上网控制参数；所述第一设备请求连接的统一资源定位符。

可选的，所述第二上网控制信息还包括：当前信息；所述接入点生成的时间戳。

可选的，所述加密的第二上网控制信息是指采用对称加密算法AES对所述第二上网控制信息进行加密，而后进行base64编码。

可选的，所述确认所述第二上网控制信息包括：对所述加密第二上网控制信息解密；对所述上网控制信息进行验证。

可选的，所述第二设备通过第一设备获得所述页面跳转信息包括以下任一种：

第一设备生成二维码，第二设备扫描所述二维码，获得所述页面跳转信息；

第一设备生成特定地址，第二设备访问所述地址，获得所述页面跳转信息。

可选的，所述第二身份信息包括：解密所述加密第一身份信息得到的第一设备信息和接入点信息，以及第二设备信息。

可选的，所述第二设备信息包括：第二设备物理地址。

可选的，生成所述控制信息1时，通过解密所述第二身份信息得到所述第一身份信息。

可选的，所述用户验证信息包括：设备对应的通信号码和验证码。

可选的，所述第一设备信息包括：携带在所述连接网络的请求中的第一设备物理地址。

可选的，所述第一设备信息还包括以下至少一种：第一设备物理地址认证状态、第一设备内网地址；第一设备请求连接的统一资源定位符。

可选的，所述接入点信息包括以下至少一种：接入点内网地址、接入点端口、接入点生成的时间戳、接入点物理地址、会话地址。

可选的，所述第一设备向认证服务器轮询的方式包括：发送HTTP长连接。

与现有技术相比，本发明的技术方案具有以下优点：

通过接收来自接入点的包含加密身份信息的第一页面跳转信息，从认证服务器接收包含加密上网控制信息的第二页面跳转信息，发送加密上网控制信息至接入点，使得所述身份信息以密文的形式传递，在登录无线网络的同时，降低了身份信息被恶意获取的可能，从而提升了登录无线网络的安全性。

进一步，第二设备通过第一设备获得包含加密第一身份信息的第三页面跳转信息，使得第二设备无需像接入点发送连接网络的请求；第二设备获得上网许可后，特定字段状态改变，第一设备获知等待成功，并获得加密上网控制信息，进而获得上网许可，使得第一设备无需重复输入用户验证信息，从而简化了同一用户使用多个设备通过过同一接入点接入网络的过程，改善了用户体验。

进一步，通过采用对称加密算法AES对所述身份信息进行加密，而后进行base64编码的处理方式，使得所述身份信息转换为加密身份信息，从而为所述身份信息提供保护，使得登录方法的安全性得到提升。

进一步，由于所述上网控制信息与加密身份信息对应，通过截获控制信息也可以获取身份信息，故通过采用对称加密算法AES对所述控制信息进行加密，而后进行base64编码的处理方式，使得所述控制信息转换为加密控制信息，从而为所述身份信息提供保护，使得登录方法的安全性得到提升。

进一步，由于第二身份信息包含第一设备信息、第二设备信息、接入点信息，使得用户信息验证通过后，认证服务器可以根据所需信息直接生成控制信息并进行加密，而不需要提前保存或再次获取，从而在登录过程中为用户信息提供安全保证，并提高了登录方法的效率。

附图说明

图1是本发明实施例中一种多设备安全登录方法的硬件基础；

图2是本发明实施例中一种多设备安全登录方法的流程图；

图3是本发明实施例中一种第二设备获得上网许可的流程图。

具体实施方式

如前所述，现有无线网络的登录方法，身份信息以明文的方式传递，由于无线网络覆盖范围的不确定性，身份信息易被恶意获取，登录无线网络的安全性有待提高。

另外，同一用户使用多个设备通过同一个接入点接入网络时，需多次验证，过程繁琐，用户体验有待改善。

针对上述问题，本发明实施例通过接收来自接入点的包含加密身份信息的第一页面跳转信息，从认证服务器接收包含加密上网控制信息的第二页面跳转信息，发送加密上网控制信息至接入点，使得所述身份信息以密文的形式传递，在登录无线网络的同时，降低了身份信息被恶意获取的可能，从而提升了登录无线网络的安全性。

在本发明实施例中，第二设备通过第一设备获得包含加密第一身份信息的第三页面跳转信息，使得第二设备无需像接入点发送连接网络的请求；第二设备获得上网许可后，特定字段状态改变，第一设备获知等待成功，并获得加密上网控制信息，进而获得上网许可，使得第一设备无需重复输入用户验证信息，从而简化了同一用户使用多个设备通过同一接入点接入网络的过程，改善了用户体验。

为使本发明的上述目的、特征和优点能够更为明显易懂，下面结合附图对本发明的具体实施例做详细的说明。

图1是本发明实施例中安全登录方法的硬件基础，以下对登录方法的硬件基础进行详细说明。

第一设备111是请求连接网络的设备。

在具体实施中，上述设备可以是手机、平板电脑、台式电脑等设备。

接入点12是一个无线网络的接入点，俗称“热点”，是使用前述设备的用户进入有线网络的接入点，主要用于宽带家庭、大楼内部、校园内部、园区内部以及仓库、工厂等地方，典型距离覆盖几十米至上百米，也有可以用于远距离传送，目前最远的可以达到30KM左右。大多数接入点还带有接入点客户端模式，可以和其它接入点进行无线连接，延展网络的覆盖范围。

但是，由于接入点信号覆盖范围的不确定性，用户信息的安全性得不到保证，通过接入点接入网络的安全性有待提高。

认证服务器13是认证接入认证服务器的设备的后台服务器，实现如接入认证、上网认证等功能。接入点可以通过网线与认证服务器相连接。

在具体实施中，工作过程如下：

第一设备111通过无线连接方式连接到接入点12，向接入点12请求上网；

接入点12对第一设备111的请求进行解析，获取第一设备111的设备信息，此处设备信息可以是第一设备111的物理地址，接入点12将自身信息、第一设备111的设备信息和指向认证服务器的跳转链接加密，发送至第一设备111；

第一设备111通过前述跳转链接重定向到认证服务器13，向认证服务器13轮询并等待，此处轮询和等待可以是通过发送FTTP长连接查询特定字状态完成。在第二设备成功登陆网络后，特定字状态改变，等待完成。

第一设备111的等待过程中，第二设备112通过第一设备111获得含加密第一身份信息的第三页面跳转信息，通过第三页面跳转信息重定向至认证服务器13，此处认证信息包含加密的接入点12的信息、第一设备111的信息和第二设备112的信息

认证服务器13对第二设备112提供的认证信息进行验证，如果验证通过，认证服务器根据接入点12的信息和第二设备112的信息生成第二上网控制信息，并对第二上网控制信息进行加密，并通过页面跳转信息将加密的第二上网控制信息发送给第二设备112；

第二设备112向接入点12提供加密的第二上网控制信息，接入点12对加密的第二上网控制信息进行解密，之后验证控制信息，如果验证通过，则允许第二设备112上网。

在第二设备112成功登陆网络后，特定字状态改变，第一设备111等待完成，认证服务器根据接入点12的信息和第一设备111的信息生成第一上网控制信息，对上网控制信息进行加密，并通过页面跳转信息将加密的第一上网控制信息发送给第一设备111。

第一设备111向接入点12提供加密的第一上网控制信息，接入点12对加密的上网控制信息进行解密，之后验证第一控制信息，如果验证通过，则允许第一设备111上网。

在现有的登录方式中，第一设备111和第二设备112的信息以明文的方式直接传输，而如前所述，接入点的信号覆盖范围具有不确定性，所以在传输过程中，第一设备111和第二设备112的信息可能被恶意获取，安全性得不到保证，通过接入点接入网络的安全性有待提高。另外，同一用户使用多个设备通过同一个接入点接入网络时，需多次验证，过程繁琐，用户体验有待改善。

参照图2所示的多设备安全登录方法的流程图，以下通过具体步骤进行详细说明。

S11，已连接到接入点的第一设备向接入点发送连接网络的请求。

在具体实施中，所述连接网络的请求可以是符合传输控制协议/因特网互联协议TCP/IP的请求。

在本发明一实施例中，所述连接网络的请求是通过浏览器发送HTTP请求。

S12，接收来自接入点的包含加密第一身份信息的第一页面跳转信息。

在具体实施中，第一身份信息可以是第一设备信息和接入点信息。

在具体实施中，第一设备信息可以是携带在连接网络请求中的第一设备物理地址，接入点通过解析连接网络请求，获得第一设备的物理地址。

在具体实施中，第一设备信息还可以包括第一设备物理地址认状态、第一设备内网地址、第一设备请求连接的统一资源定位符中的一种或多种。

在具体实施中，接入点信息可以是接入点的内网地址、接入点端口、接入点生成的时间戳、接入点物理地址、会话地址中的一种或多种。

在具体实施中，可以采用对称加密算法AES对第一身份信息进行加密，而后进行base64编码，得到加密第一身份信息，使得所述第一身份信息转换为加密第一身份信息，从而为所述第一身份信息提供保护，使得登录方法的安全性得到提升。

AES加密算法是美国联邦政府采用的一种区块加密标准，这个标准用来替代原先的DES，已经被多方分析且广为全世界所使用。AES的基本要求是，采用对称分组密码体制，密钥长度的最少支持为128、192、256，分组长度128位，算法应易于各种硬件和软件实现，分组密码算法通常由密钥扩展算法和加密算法两部分组成，从而抵御已知明文的差分和线性攻击。

Base64编码可用于在HTTP环境下传递较长的标识信息。采用Base64编码不仅比较简短，同时也具有不可读性，即所编码的数据不会被人用肉眼所直接看到。Base64要求把每三个8Bit的字节转换为四个6Bit的字节(3*8＝4*6＝24)，然后把6Bit再添两位高位0，组成四个8Bit的字节，也就是说，转换后的字符串理论上将要比原来的长1/3。Base64编码规则：把3个字符变成4个字符，每76个字符加一个换行符，最后的结束符也要处理。

在具体实施中，第一页面跳转信息可以由加密第一身份信息和指向认证服务器的页面跳转链接组成。

S13，通过所述第一页面跳转信息重定向至认证服务器，向认证服务器轮询，查看认证服务器特定字段的状态并等待。

在具体实施中，向认证服务器轮询可以通过向认证服务器发送HTTP长连接完成。

S14，通过所述特定字段的状态获知等待成功，从所述认证服务器获得包含加密第一上网控制信息的第二页面跳转信息。

在具体实施中，第一上网控制信息可以由上网控制参数1和第一设备请求连接的统一资源定位符组成，其中上网控制参数1可以根据第一设备信息、接入点信息和当前信息生成。

在具体实施中，当前信息可以是当前时间、上行限速和下行限速。

在具体实施中，第一上网控制信息还可以包括当前信息和接入点生成的时间戳。

在具体实施中，加密第一上网控制信息是采用对称加密算法AES对所述第一上网控制信息进行加密，而后进行base64编码得到的。由于所述第一上网控制信息与第一设备信息对应，截获控制信息也可以获取身份信息，故通过采用对称加密算法AES对所述控制信息进行加密，而后进行base64编码的处理方式，使得所述第一上网控制信息转换为加密第一上网控制信息，从而为第一设备信息提供保护，使得登录方法的安全性得到提升。

在本发明一实施例中，第二设备获得上网许可的流程图如图3所示，下面通过具体步骤进行详细说明。

S141，第二设备通过第一设备获得包含加密第一身份信息的第三页面跳转信息。

在具体实施中，第三页面跳转信息可以由加密第一身份信息和指向认证服务器的页面跳转链接组成。

S142，第二设备通过所述第三页面跳转信息重定向至认证服务器，提交认证信息至认证服务器。

在具体实施中，认证信息可以是加密第二身份信息和用户验证信息。

在本发明一实施例中，第二身份信息通过解密加密第一身份信息获得第一身份信息，添加第二设备信息，得到第二身份信息。

在本发明另一实施例中，第二设备信息是第二设备的物理地址。

在具体实施中，用户验证信息可以是第二设备对应的通信号码和验证码。

在具体实施中，第二设备可以先连接至接入点，利用接入点信号重定向至认证服务器。

在本发明一实施例中，第二设备为手机，对应的通信号码为手机号。

S143，若所述认证信息验证通过，第二设备从认证服务器接收包含加密第二上网控制信息的第四页面跳转信息。

在具体实施中，第二上网控制信息可以由第二上网控制参数和第一设备请求连接的统一资源定位符组成，其中第二上网控制参数可以根据第二设备信息、接入点信息和当前信息生成。

在具体实施中，第二上网控制信息还可以包括当前信息和接入点生成的时间戳。

在具体实施中，加密第二上网控制信息是采用对称加密算法AES对所述第二上网控制信息进行加密，而后进行base64编码得到的。由于所述第二上网控制信息与第二设备信息对应，故通过采用对称加密算法AES对所述控制信息进行加密，而后进行base64编码的处理方式，使得所述第二上网控制信息转换为加密第二上网控制信息从而为所述第二设备信息提供保护，使得登录方法的安全性得到提升。

S144，第二设备通过所述第四页面跳转信息重定向至接入点，发送加密第二上网控制信息至接入点。

在具体实施中，确认第二上网控制信息的过程可以是先对加密第二上网控制信息进行解密，之后对第二上网控制信息验证的过程。

S145，若所述接入点确认所述第二上网控制信息，第二设备获得上网许可。

在具体实施中，可以将页面信息重定向至第一设备最初向接入点发送的连接网络请求中包含的统一资源定位符。

在具体实施中，第一设备获知等待成功后，进入步骤S15。

S15，通过所述第二页面跳转信息重定向至接入点，发送加密第一上网控制信息至接入点。

在具体实施中，确认第一上网控制信息的过程可以是先对加密第一上网控制信息进行解密，之后对第一上网控制信息验证的过程。

S16，若所述接入点确认所述第一上网控制信息，所述第一设备获得上网许可。

在具体实施中，可以将页面信息重定向至设备最初向接入点发送的连接网络请求中包含的统一资源定位符。

本发明实施例通过接收来自接入点的包含加密身份信息的第一页面跳转信息，从认证服务器接收包含加密上网控制信息的第二页面跳转信息，发送加密上网控制信息至接入点，使得所述身份信息以密文的形式传递，在登录无线网络的同时，降低了身份信息被恶意获取的可能，从而提升了登录无线网络的安全性。

在本发明一实施例中，第二设备通过第一设备获得包含加密第一身份信息的第三页面跳转信息，使得第二设备无需像接入点发送连接网络的请求；第二设备获得上网许可后，特定字段状态改变，第一设备获知等待成功，并获得加密上网控制信息，进而获得上网许可，使得第一设备无需重复输入用户验证信息，从而简化了同一用户使用多个设备通过同一接入点接入网络的过程，改善了用户体验。

在具体实施中，通过采用对称加密算法AES对所述身份信息进行加密，而后进行base64编码的处理方式，使得所述身份信息转换为加密身份信息，从而为所述身份信息提供保护，使得登录方法的安全性得到提升。由于所述上网控制信息与加密身份信息对应，通过截获控制信息也可以获取身份信息，故通过采用对称加密算法AES对所述控制信息进行加密，而后进行base64编码的处理方式，使得所述控制信息转换为加密控制信息，从而为所述身份信息提供保护，使得登录方法的安全性得到提升。由于第二身份信息包含第一设备信息、第二设备信息、接入点信息，使得用户信息验证通过后，认证服务器可以根据所需信息直接生成控制信息并进行加密，而不需要提前保存或再次获取，从而在登录过程中为用户信息提供安全保证，并提高了登录方法的效率。

虽然本发明披露如上，但本发明并非限定于此。任何本领域技术人员，在不脱离本发明的精神和范围内，均可作各种更动与修改，因此本发明的保护范围应当以权利要求所限定的范围为准。

Claims (22)

1.一种多设备安全登录方法，其特征在于，包括：

已连接到接入点的第一设备向接入点发送连接网络的请求；

接收来自接入点的包含加密第一身份信息的第一页面跳转信息，所述第一身份信息包括第一设备信息和接入点信息；

通过所述第一页面跳转信息重定向至认证服务器，向认证服务器轮询，查看认证服务器特定字段的状态并等待；

通过所述特定字段的状态获知等待成功，从所述认证服务器获得包含加密第一上网控制信息的第二页面跳转信息，所述第一上网控制信息与所述第一身份信息对应；

通过所述第二页面跳转信息重定向至接入点，发送加密第一上网控制信息至接入点；

若所述接入点确认所述第一上网控制信息，所述第一设备获得上网许可；

所述第一上网控制信息包括：根据所述第一身份信息和当前信息生成的上网控制参数；所述设备请求连接的统一资源定位符。

2.根据权利要求1所述的多设备安全登录方法，其特征在于，所述加密第一身份信息是采用对称加密算法AES对所述第一身份信息进行加密，而后进行base64编码。

3.根据权利要求1所述的多设备安全登录方法，其特征在于，所述当前信息包括：当前时间；上行限速；下行限速。

4.根据权利要求1所述的多设备安全登录方法，其特征在于，所述第一上网控制信息还包括：所述当前信息；所述接入点生成的时间戳。

5.根据权利要求1所述的多设备安全登录方法，其特征在于，所述加密第一上网控制信息是采用对称加密算法AES对所述第一上网控制信息进行加密，而后进行base64编码。

6.根据权利要求1所述的多设备安全登录方法，其特征在于，所述确认所述第一上网控制信息包括：对所述加密第一上网控制信息解密；对所述第一上网控制信息进行验证。

7.根据权利要求1所述的多设备安全登录方法，其特征在于，所述通过所述特定字段的状态获知等待成功包括：获知归属于同一用户的第二设备已获得上网许可。

8.根据权利要求7所述的多设备安全登录方法，其特征在于，所述第二设备通过如下步骤获得上网许可：

第二设备通过第一设备获得包含加密第一身份信息的第三页面跳转信息；

第二设备通过所述第三页面跳转信息重定向至认证服务器，提交认证信息至认证服务器，所述认证信息包括加密第二身份信息和用户验证信息；

若所述认证信息验证通过，第二设备从认证服务器接收包含加密第二上网控制信息的第四页面跳转信息，所述第二上网控制信息与所述第二设备对应；

第二设备通过所述第四页面跳转信息重定向至接入点，发送加密第二上网控制信息至接入点；

若所述接入点确认所述第二上网控制信息，第二设备获得上网许可。

9.根据权利要求8所述的多设备安全登录方法，其特征在于，所述加密第二身份信息是采用对称加密算法AES对所述第二身份信息进行加密，而后进行base64编码。

10.根据权利要求8所述的多设备安全登录方法，其特征在于，所述第二上网控制信息包括：根据解密所述加密第二身份信息得到的第二设备信息和接入点信息，以及当前信息生成上网控制参数；所述第一设备请求连接的统一资源定位符。

11.根据权利要求10所述的多设备安全登录方法，其特征在于，所述第二上网控制信息还包括：当前信息；所述接入点生成的时间戳。

12.根据权利要求8所述的多设备安全登录方法，其特征在于，所述加密第二上网控制信息是指采用对称加密算法AES对所述第二上网控制信息进行加密，而后进行base64编码。

13.根据权利要求8所述的多设备安全登录方法，其特征在于，所述确认所述第二上网控制信息包括：对所述加密第二上网控制信息解密；对所述上网控制信息进行验证。

14.根据权利要求8所述的多设备安全登录方法，其特征在于，所述第二设备通过第一设备获得所述页面跳转信息包括以下任一种：

第一设备生成二维码，第二设备扫描所述二维码，获得所述页面跳转信息；

第一设备生成特定地址，第二设备访问所述地址，获得所述页面跳转信息。

15.根据权利要求8所述的多设备安全登录方法，其特征在于，所述第二身份信息包括：解密所述加密第一身份信息得到的第一设备信息和接入点信息，以及第二设备信息。

16.根据权利要求15所述的多设备安全登录方法，其特征在于，所述第二设备信息包括：第二设备物理地址。

17.根据权利要求15所述的多设备安全登录方法，其特征在于，生成所述第二上网控制信息时，通过解密所述第二身份信息得到所述第一身份信息。

18.根据权利要求8所述的多设备安全登录方法，其特征在于，所述用户验证信息包括：设备对应的通信号码和验证码。

19.根据权利要求1所述的多设备安全登录方法，其特征在于，所述第一设备信息包括：携带在所述连接网络的请求中的第一设备物理地址。

20.根据权利要求19所述的多设备安全登录方法，其特征在于，所述第一设备信息还包括以下至少一种：第一设备物理地址认证状态、第一设备内网地址；第一设备请求连接的统一资源定位符。

21.根据权利要求1或权利要求8所述的多设备安全登录方法，其特征在于，所述接入点信息包括以下至少一种：接入点内网地址、接入点端口、接入点生成的时间戳、接入点物理地址、会话地址。

22.根据权利要求1所述的多设备安全登录方法，其特征在于，所述第一设备向认证服务器轮询的方式包括：发送HTTP长连接。