CN105188060A - 一种面向移动终端的单点登录认证方法及系统 - Google Patents

Abstract

本发明涉及一种面向移动终端的单点登录认证方法及系统，包括如下步骤：安装手机端SSO代理程序，并配置好和访问控制服务器之间的连接；应用程序主动调用代理提供的API接口来验证应用程序本身的可信，以及验证用户身份信息，获取用户信息，以及退出。本发明的移动终端单点登录的方法和系统，是通过运行在移动终端设备上的一个功能组件，为同一设备上不同的应用之间实现SSO单点登录，能对应用本身进行鉴别，对谁在何时何地访问了什么应用系统进行详细的日志记录，对于安全性有很大的提高，有效解决了操作系统移动终端应用之间需要输入多次用户名密码的问题，同时采用应用身份鉴别、应用登录地址识别等手段，对应用可信安全有很好的保障。

Description

一种面向移动终端的单点登录认证方法及系统

技术领域

本发明涉及登录系统及方法的互联网领域，更具体地说，涉及一种面向移动终端的单点登录认证方法及系统。

背景技术

单点登录是在多个可信应用系统之间，用户只需要登录一次即可访问其他所有应用的技术。随着企业信息化程度越来越高，应用系统的种类和数量都有了很大的提高，同时随着智能手机和终端的发展，移动端应用也越来越多，跨系统的单点登录正成为越来越迫切的需要。单点登录SSO技术即是为了解决这一问题而提出的，采用单点登录后，用户只需登录一次就能够访问权限范围内所有系统，使用效率大为提高，同时，用户需要记忆和维护密码数量大幅减少，在一定程度上有助于提高系统的安全性。

发明内容

本发明要解决的技术问题在于，针对现有技术的缺陷，提供一种面向移动终端的单点登录认证方法及系统。

本发明解决其技术问题所采用的技术方案是：构造一种面向移动终端的单点登录认证方法，包括如下步骤：安装手机端SSO代理程序，并配置好和访问控制服务器之间的连接；应用程序主动调用代理提供的API接口来验证应用程序本身的可信，以及验证用户身份信息，获取用户信息，以及退出。

在本发明所述的一种面向移动终端的单点登录认证方法中，所述手机端SSO代理程序包括代理App应用系统和代理SDK开发包，其中，所述代理App应用系统包括如下步骤：手机用户首次登录界面，根据单点登录认证服务器的配置来生成不同的登录界面；单点登录认证服务器连接配置；手机用户会话管理机制；

所述代理SDK开发包是提供给用户App调用的若干程序包，包括如下步骤：判断用户是否已经登录本设备；跳转到代理App的登录界面，验证用户；获取用户信息；退出。

在本发明所述的一种面向移动终端的单点登录认证方法中，所述手机用户首次认证的步骤如下：

S1手机用户访问终端用户应用程序；

S2代理程序首先检查应用签名信息是否在应用可信列表中，如果不在则拒绝访问，如果应用在可信列表中则检查用户是否已认证；

S3代理程序去认证服务器根据事先配置的认证模块，获取认证模块信息；

S4认证服务器检测到用户未登陆，返回登录页面信息；

S5代理程序跳转到用户登录页面；

S6用户根据认证模块要求，输入相应的用户凭证信息；

S7代理程序将用户凭证传递给认证服务器进行验证；

S8验证通过后，生成加密的用户Token，并返回Token信息；

S9代理程序保存用户Token信息；

S10启动应用程序；

S11给终端用户显示应用信息。

在本发明所述的一种面向移动终端的单点登录认证方法中，所述手机用户登录过之后，再次访问其他可以单点登录的应用步骤如下：

S1手机用户访问终端用户应用程序；

S2代理程序首先检查应用签名信息是否在应用可信列表中，如果不在则拒绝访问，如果应用在可信列表中则检查用户是否已认证；

S3此时由于用户已经输入过用户名和密码，代理程序直接返回用户Token信息；

S4代理程序从Token中获取用户信息；

S5认证服务器从代理程序中获取用户信息；

S6认证服务器通过代理程序返回用户信息给用户程序；

S7给用户显示应用信息。

在本发明所述的一种面向移动终端的单点登录认证方法中，所述手机用户单点认证后退出的流程包括如下步骤：

S1手机用户点击任何一个用户程序的退出功能；

S2用户程序调用代理程序的退出代码；

S3代理程序调用认证服务器的退出代码；

S4代理程序销毁用户Token；

S5代理程序返回退出结果给用户程序；

S6显示退出页面给手机用户。

在本发明所述的一种面向移动终端的单点登录系统中，包括：

手机用户端，所述手机用户端用于基于用户指令构造访问请求，并将所述访问请求传送到认证服务器中的目标应用；

认证服务器，所述认证服务器用于解析所述访问请求并基于解析结果判断当前访问请求的状态，以及如果当前访问请求的状态是“首次访问”，则将所述访问请求转发到接入代理程序端；

代理程序端，所述代理程序端用于将接收到的所述访问请求分发到所述至单点登录服务器；

单点登录服务器，所述单点登录服务器在接收到所述访问请求后执行如下操作：a、查找与所述访问请求所对应的用户相关联的信息，并且如果查找到与所述访问请求所对应的用户相关联的信息，则生成与所述访问请求所对应的用户相关联的凭证，并将带有所述凭证的访问请求发送回所述认证服务器；b、如果未查找到与所述访问请求所对应的用户相关联的信息，则查找与所述访问请求所对应的用户相关联的信息，并且如果查找到与所述访问请求所对应的用户相关联的信息，则生成与所述访问请求所对应的用户相关联的凭证，并将带有所述凭证的访问请求发送回所述认证服务器；c、如果未查找到与所述访问请求所对应的用户相关联的信息，则经通信路径与所述访问请求所对应的用户进行交互以完成登录操作，并将与所述访问请求所对应的用户相关联的信息分别存储在程序中。

实施本发明的面向移动终端的单点登录认证方法，具有以下有益效果：本发明公开了一种实现移动终端单点登录的方法和系统，是通过运行在移动终端设备上的一个功能组件，为同一设备上不同的应用之间实现SSO单点登录。本发明不仅可以支持Andriod操作系统，也可以支持苹果的Ios系统。并且能对应用本身进行鉴别，对谁在何时何地访问了什么应用系统进行详细的日志记录，对于安全性有很大的提高。本发明有效的解决了Andriod和Ios操作系统移动终端应用之间需要输入多次用户名密码的问题，同时采用应用身份鉴别、应用登录地址识别等手段，对应用可信安全有很好的保障。同时本发明通过访问日志记录，对谁在什么时间、什么地点访问了什么应用系统都有完备的记录，有助于审计安全性。用户退出任何一个授信应用，则实现了全局单点退出，相当于退出了所有应用。

附图说明

下面将结合附图及实施例对本发明作进一步说明，附图中：

图1是本发明的面向移动终端的单点登录认证方法手机用户进行首次认证的流程图。

图2是本发明的面向移动终端的单点登录认证方法手机用户登录过后，再次访问其他可以单点登录的应用流程图。

图3是本发明的面向移动终端的单点登录认证方法手机用户单点登录退出流程图。

图4是本发明的面向移动终端的单点登录系统。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

如图1至图3所示，SSO(SingleSignOn):单点登录即用户只需要登录一次即可访问其具有访问权限的所有可信应用系统。App:特指移动终端应用，包括Andriod和Ios版本。SDK：软件开发工具包，用来进行代理开发的软件包。

具体地，一种面向移动终端的单点登录系统，包括：

手机用户端，所述手机用户端用于基于用户指令构造访问请求，并将所述访问请求传送到认证服务器中的目标应用；

认证服务器，所述认证服务器用于解析所述访问请求并基于解析结果判断当前访问请求的状态，以及如果当前访问请求的状态是“首次访问”，则将所述访问请求转发到接入代理程序端；

代理程序端，所述代理程序端用于将接收到的所述访问请求分发到所述至单点登录服务器；

单点登录服务器，所述单点登录服务器在接收到所述访问请求后执行如下操作：a、查找与所述访问请求所对应的用户相关联的信息，并且如果查找到与所述访问请求所对应的用户相关联的信息，则生成与所述访问请求所对应的用户相关联的凭证，并将带有所述凭证的访问请求发送回所述认证服务器；b、如果未查找到与所述访问请求所对应的用户相关联的信息，则查找与所述访问请求所对应的用户相关联的信息，并且如果查找到与所述访问请求所对应的用户相关联的信息，则生成与所述访问请求所对应的用户相关联的凭证，并将带有所述凭证的访问请求发送回所述认证服务器；c、如果未查找到与所述访问请求所对应的用户相关联的信息，则经通信路径与所述访问请求所对应的用户进行交互以完成登录操作，并将与所述访问请求所对应的用户相关联的信息分别存储在程序中。

具体地，SSO单点登录服务器是运行在Windows或者Linux上的一个J2EE应用程序，主要提供用户验证、代理注册、审计日志等功能，可以同时为MobileSSO代理、WebSSO代理等其他代理提供以上服务。

SSO单点登录服务器会自动记录以上API调用的审计日志，保存在数据库中供统计分析。

本发明的一种面向移动终端的单点登录认证方法，包括如下步骤：安装手机端SSO代理程序，并配置好和访问控制服务器之间的连接；应用程序主动调用代理提供的API接口来验证应用程序本身的可信，以及验证用户身份信息，获取用户信息，以及退出。在本实施例中，API（ApplicationProgrammingInterface，应用程序编程接口）是一些预先定义的函数，目的是提供应用程序与开发人员基于某软件或硬件得以访问一组例程的能力，而又无需访问源码，或理解内部工作机制的细节。

具体地，所述手机端SSO代理程序包括代理App应用系统和代理SDK开发包，

其中，所述代理App应用系统具有以下功能：手机用户首次登录界面，根据单点登录认证服务器的配置来生成不同的登录界面；单点登录认证服务器连接配置；手机用户会话管理机制；在本实施例中，SSO英文全称SingleSignOn，中文意思为单点登录，SSO是在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统，包括可以将这次主要的登录映射到其他应用中用于同一个用户的登录的机制。在本实施例中，代理SDK开发包，是提供给手机用户App调用的一些程序包。对于Android系统，则会是一个jar文件，对于Ios系统，则会是一些类库，其具有以下功能：

判断用户是否已经登录本设备，进一步地，通过isAuthenticated方法：

判断用户是否已经登陆过本移动设备，参数：无，返回值：True/False，跳转到MobielSSO代理的登录界面，验证用户。

login方法：认证用户，该方法会自动启动MobielSSO代理来认证用户，

认证成功后会自动返回手机用户端UserApp的当前活动，参数：手机用户端UserApp的当前活动，返回值：True/False，获取用户信息：getUserAttributes方法：获取当前用户的属性。参数：无；返回值：包含用户属性的android.os.Bundle对象：

Bundlebundle=client.getUserAttributes();

Iteratorit=bundle.keySet().iterator();

while(it.hasNext()){

Stringkey=it.next().toString();

Stringvalue=bundle.getString(key);

}

退出：logout方法：退出代理程序Agent，该方法会自动启动代理程序Agent

App来退出用户，退出成功后会自动返回UserApp的当前Activity。参数：手机用户端UserApp的当前活动，返回值：True/False。

SSO服务器提供以下RestfulAPI供MobileSSO代理调用：用户验证，调用格式：http(s)://<服务器地址和端口>/identity/authenticate?username=<用户名>&password=<用户密码>；返回数据：验证成功返回用户Token，否则返回错误信息；用户Token验证：调用格式:http(s)://<服务器地址和端口>/identity/attributes?subject=<用户Token>，返回数据：True或False，获取用户属性。调用格式：http(s)://<服务器地址和端口>/identity/isTokenValid?subject=<用户Token>，返回数据：用户属性值，格式如下：

userdetails.attribute.name=uid

userdetails.attribute.value=testuser1

userdetails.attribute.name=mail

userdetails.attribute.value=testuser1@example.com

userdetails.attribute.name=sn

userdetails.attribute.value=test

用户退出：调用格式：http(s)://<服务器地址和端口>/identity/logout?subject=<用户Token>，返回数据：True或False。

所述代理SDK开发包是提供给用户App调用的若干程序包，具有以下功能：判断用户是否已经登录本设备；跳转到代理App的登录界面，验证用户；获取用户信息；退出。

具体地，所述手机用户首次认证的步骤如下：

S1手机用户访问终端用户应用程序；S2代理程序首先检查应用签名信息是否在应用可信列表中，如果不在则拒绝访问，如果应用在可信列表中则检查用户是否已认证；S3代理程序去认证服务器根据事先配置的认证模块，获取认证模块信息；S4认证服务器检测到用户未登陆，返回登录页面信息；S5代理程序跳转到用户登录页面；S6用户根据认证模块要求，输入相应的用户凭证信息；S7代理程序将用户凭证传递给认证服务器进行验证；S8验证通过后，生成加密的用户Token，并返回Token信息；S9代理程序保存用户Token信息；S10启动应用程序；S11给终端用户显示应用信息。在本实施例中，Token在计算机身份认证中是令牌的意思，

具体地，所述手机用户登录过之后，再次访问其他可以单点登录的应用步骤如下：

S1手机用户访问终端用户应用程序；S2代理程序首先检查应用签名信息是否在应用可信列表中，如果不在则拒绝访问，如果应用在可信列表中则检查用户是否已认证；S3此时由于用户已经输入过用户名和密码，代理程序直接返回用户Token信息；S4代理程序从Token中获取用户信息；S5认证服务器从代理程序中获取用户信息；S6认证服务器通过代理程序返回用户信息给用户程序；S7给用户显示应用信息。

手机SSO代理运行在Andriod或者Ios的移动设备上，为同一设备上不同的应用之间实现单点登录。

同一个移动设备上的多个应用之间要想实现单点登录功能，必须满足以下条件：

1、安装手机端SSO代理程序，并配置好和访问控制服务器之间的连接。

2、应用程序主动调用代理提供的API接口来验证应用程序本身的可信，以及

验证用户身份信息，获取用户信息，以及退出。

该手机端SSO代理以下功能：SSO服务器连接配置，代理存储SSO服务器的

连接信息在配置文件中，代理安装时会有缺省的SSO服务器连接配置信息，用户在使用过程中可以修改配置。用户登录界面：用户访问代理时，代理会从SSO服务器中获取登录模块的配置信息，然后生成相应的登录界面。用户会话管理机制：用户验证成功后，代理会把用户Token保存在本地移动设备中，对于Android系统，会是App内置的存储数据库，对于Ios系统，会是UserDefaults中。

具体地，所述手机用户单点认证后退出的流程包括如下步骤：

S1手机用户点击任何一个用户程序的退出功能；S2用户程序调用代理程序的退出代码；S3代理程序调用认证服务器的退出代码；S4代理程序销毁用户Token；S5代理程序返回退出结果给用户程序；S6显示退出页面给手机用户。

本发明公开了一种实现移动终端单点登录的方法和系统，是通过运行在移动终端设备上的一个功能组件，为同一设备上不同的应用之间实现SSO单点登录。本发明不仅可以支持Andriod操作系统，也可以支持苹果的Ios系统。并且能对应用本身进行鉴别，对谁在何时何地访问了什么应用系统进行详细的日志记录，对于安全性有很大的提高。本发明有效的解决了Andriod和Ios操作系统移动终端应用之间需要输入多次用户名密码的问题，同时采用应用身份鉴别、应用登录地址识别等手段，对应用可信安全有很好的保障。同时本发明通过访问日志记录，对谁在什么时间、什么地点访问了什么应用系统都有完备的记录，有助于审计安全性。用户退出任何一个授信应用，则实现了全局单点退出，相当于退出了所有应用。

尽管通过以上实施例对本发明进行了揭示，但本发明的保护范围并不局限于此，在不偏离本发明构思的条件下，对以上各构件所做的变形、替换等均将落入本发明的权利要求范围内。

Claims (6)

1.一种面向移动终端的单点登录认证方法，其特征在于，包括如下步骤：安装手机端SSO代理程序，并配置好和访问控制服务器之间的连接；应用程序主动调用代理提供的API接口来验证应用程序本身的可信，以及验证用户身份信息，获取用户信息，以及退出。

2.如权利要求1所述的面向移动终端的单点登录认证方法，其特征在于，所述手机端SSO代理程序包括代理App应用系统和代理SDK开发包，其中，所述代理App应用系统包括如下步骤：手机用户首次登录界面，根据单点登录认证服务器的配置来生成不同的登录界面；单点登录认证服务器连接配置；手机用户会话管理机制；

所述代理SDK开发包是提供给用户App调用的若干程序包，包括如下步骤：判断用户是否已经登录本设备；跳转到代理App的登录界面，验证用户；获取用户信息；退出。

3.如权利要求2所述的面向移动终端的单点登录认证方法，其特征在于，所述手机用户首次认证的步骤如下：

S1手机用户访问终端用户应用程序；

S2代理程序首先检查应用签名信息是否在应用可信列表中，如果不在则拒绝访问，如果应用在可信列表中则检查用户是否已认证；

S3代理程序去认证服务器根据事先配置的认证模块，获取认证模块信息；

S4认证服务器检测到用户未登陆，返回登录页面信息；

S5代理程序跳转到用户登录页面；

S6用户根据认证模块要求，输入相应的用户凭证信息；

S7代理程序将用户凭证传递给认证服务器进行验证；

S8验证通过后，生成加密的用户Token，并返回Token信息；

S9代理程序保存用户Token信息；

S10启动应用程序；

S11给终端用户显示应用信息。

4.如权利要求3所述的面向移动终端的单点登录认证方法，其特征在于，所述手机用户登录过之后，再次访问其他可以单点登录的应用步骤如下：

S1手机用户访问终端用户应用程序；

S2代理程序首先检查应用签名信息是否在应用可信列表中，如果不在则拒绝访问，如果应用在可信列表中则检查用户是否已认证；

S3此时由于用户已经输入过用户名和密码，代理程序直接返回用户Token信息；

S4代理程序从Token中获取用户信息；

S5认证服务器从代理程序中获取用户信息；

S6认证服务器通过代理程序返回用户信息给用户程序；

S7给用户显示应用信息。

5.如权利要求4所述的面向移动终端的单点登录认证方法，其特征在于，所述手机用户单点认证后退出的流程包括如下步骤：

S1手机用户点击任何一个用户程序的退出功能；

S2用户程序调用代理程序的退出代码；

S3代理程序调用认证服务器的退出代码；

S4代理程序销毁用户Token；

S5代理程序返回退出结果给用户程序；

S6显示退出页面给手机用户。

6.一种面向移动终端的单点登录系统，其特征在于，包括：

手机用户端，所述手机用户端用于基于用户指令构造访问请求，并将所述访问请求传送到认证服务器中的目标应用；

认证服务器，所述认证服务器用于解析所述访问请求并基于解析结果判断当前访问请求的状态，以及如果当前访问请求的状态是“首次访问”，则将所述访问请求转发到接入代理程序端；

代理程序端，所述代理程序端用于将接收到的所述访问请求分发到所述至单点登录服务器；

单点登录服务器，所述单点登录服务器在接收到所述访问请求后执行如下操作：a、查找与所述访问请求所对应的用户相关联的信息，并且如果查找到与所述访问请求所对应的用户相关联的信息，则生成与所述访问请求所对应的用户相关联的凭证，并将带有所述凭证的访问请求发送回所述认证服务器；b、如果未查找到与所述访问请求所对应的用户相关联的信息，则查找与所述访问请求所对应的用户相关联的信息，并且如果查找到与所述访问请求所对应的用户相关联的信息，则生成与所述访问请求所对应的用户相关联的凭证，并将带有所述凭证的访问请求发送回所述认证服务器；c、如果未查找到与所述访问请求所对应的用户相关联的信息，则经通信路径与所述访问请求所对应的用户进行交互以完成登录操作，并将与所述访问请求所对应的用户相关联的信息分别存储在程序中。