CN105337949A - 一种SSO认证方法、web服务器、认证中心和token校验中心 - Google Patents

Abstract

本发明公开了一种SSO认证方法，web服务器接收客户端发送的web应用访问请求；web服务器根据所述web应用访问请求向令牌token校验中心发起token校验请求；当web服务器接收到token校验中心返回的token校验成功的消息时，根据所述token校验成功的消息对客户端进行会话认证。本发明同时还公开了一种web服务器、认证服务器和token校验中心。

Description

一种SSO认证方法、web服务器、认证中心和token校验中心

技术领域

本发明涉及web技术领域，具体涉及一种SSO认证方法、web服务器、认证中心和token校验中心。

背景技术

单点登录(SSO，SingleSignOn)是指在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统，它是一种可以将单次主要的登录映射到其他应用中用于同一个用户的登录的机制，是目前比较流行的企业业务整合的解决方案之一。

目前经常采用的SSO方案为基于会话的SSO方案，其基本实现方法为：在用户登录某个应用时，客户端将用户名和密码发送至登录服务器进行验证，验证成功之后，就在客户端和登陆服务器之间建立一个会话，在这个会话维持期间，用户的本次登录就将是有效的。当客户端需要连接其它web应用服务器的时候，web应用服务器会去确认这个会话，如果会话存在，则允许后续操作，会话失效，则拒绝操作。

这种使用会话来实现的单点登录一般局限在同一个应用服务器里面或者小范围之内。但经过多年的建设，我国企业中建立起来了一些基于web的应用系统，这些系统运行在多重操作系统和应用服务器上面，由不同的技术人员在不同时期采用不同的技术建立，采用多种相互独立的用户管理、身份验证系统，因此，这样的环境中为实现单点登陆带来了一定的困难；

当前软件解决方案有：

1)成熟软件的解决方案：IBMWebpshere单点登录方案，微软的.Netpassport服务器，NetegritySiteMinder产品。

2)大多数企业都是通过建设统一认证门户来完成企业内部系统整合，通过各个内部系统局部改造，采用token认证或cookie票据校验的方式实现认证门户与Web应用之间的SSO认证，来完成企业内部系统统一认证。

以上解决方案相对比较成熟，但各自都存在一定的缺陷，具体如下：

1)IBMWebpshere单点登录方案只适合那些只是用IBMWebsphere或者Domino应用服务器的环境，支持Intranet，但不支持多Internet域；

2)微软的.Netpassport服务器不支持Intranet，但支持多Internet域；

3)NetegritySiteMinder产品支持的应用类型和系统平台多，但是产品价格昂贵；

4)基于token的SSO认证，实施成本较低，但是一旦跨域的url访问请求被拦截，可利用拦截的url发起伪造的恶意访问，因此存在安全隐患；

5)基于cookie的SSO认证，实施成本较低，将用户一次登录的验证票据保存在客户端cookie及验证服务器中，通过将本地cookie中的验证票据与验证服务器的票据相比较，完成SSO登录验证，该方法存在的问题是一旦客户端的cookie信息被非法获取，则可以根据cookie信息在其他机器中模仿发起url访问，以实现恶意访问，存在安全隐患。

发明内容

为了解决现有存在的技术问题，本发明期望提供一种SSO认证方法、web服务器、认证服务器和token校验中心。

本发明实施例提供了一种单点登陆SSO认证方法，所述方法包括：

网络web服务器接收客户端发送的web应用访问请求；

web服务器根据所述web应用访问请求向令牌token校验中心发起token校验请求；

当web服务器接收到token校验中心返回的token校验成功的消息时，根据所述token校验成功的消息对客户端进行会话认证。

上述方案中，所述web应用访问请求包括：由web应用地址、用户账号标识和token信息组成的URL。

上述方案中，所述web服务器根据所述web应用访问请求向token校验中心发起token校验请求，包括：

web服务器接收到所述web应用访问请求之后，提取所述web应用访问请求中的URL，对所述URL进行解析，获得用户账号标识和tokenID；

web服务器向token校验中心发送token校验请求，所述token校验请求包括：所述获得的用户账号标识和tokenID。

上述方案中，所述token校验成功的消息至少包括：对应于所述用户账号标识的sessionID。

上述方案中，所述web服务器根据所述token校验成功的消息对客户端进行会话认证，包括：

web服务器获取客户端本地的sessionID，判断所述客户端本地的sessionID与所述token校验成功的消息中的sessionID是否相同，相同时，确认所述客户端会话认证成功。

上述方案中，所述客户端本地的sessionID为认证中心发送给客户端之后，客户端利用cookie技术存储的sessionID或由认证中心写入客户端指定文件夹中的sessionID。

本发明实施例提供了一种单点登陆SSO认证方法，所述方法包括：

令牌token校验中心接收网络web服务器发送的token校验请求；

token校验中心根据所述token校验请求进行token信息校验，当确认所述token信息合法时，向web服务器返回token信息校验成功的消息。

上述方案中，所述token校验请求，包括：用户账号标识和token信息。

上述方案中，所述token校验中心根据所述token校验请求进行token信息校验，包括：

token校验中心提取所述token校验请求中的用户账号标识和token信息；

根据所述用户账号标识在本地查找与所述用户账号标识相对应的token信息；

判断所述token校验请求中的token信息与本地查找到的token信息是否相同，相同时，确认所述token信息合法。

上述方案中，所述token校验成功的消息包括：sessionID；所述sessionID为存储于token校验中心的、与所述用户账号标识相对应的sessionID。

上述方案中，所述token校验中心根据所述token校验请求进行token信息校验之前，所述方法还包括：

token校验中心接收认证中心发送的获取token信息请求，所述获取token信息请求，包括：用户账号信息和sessionID；

token校验中心提取所述用户账号信息和sessionID，生成与所述用户账号信息和sessionID唯一对应的token信息，并将所述token信息返回给认证中心；

token校验中心保存所述用户账号信息、sessionID及token信息。

本发明实施例提供了一种单点登陆SSO认证方法，所述方法包括：

客户端登陆认证中心之后，认证中心接收客户端发送的获取统一资源定位符URL请求，所述获取URL请求中包括客户端希望访问的web应用标识及用户账号标识；

认证中心根据所述网络web应用标识生成URL后，将所述URL返回给客户端，所述URL用于客户端对web服务器发起web应用访问请求。

上述方案中，所述认证中心根据所述web应用标识生成URL，包括：

认证中心提取所述获取URL请求中的web应用标识，在本地查找与所述web应用标识对应的web应用地址；

认证中心提取所述获取URL请求中的用户账号，并生成与所述用户账号唯一对应的用户账号标识；

认证中心向token校验中心发送获取token信息请求，并接收token校验中心返回的token信息，所述获取token信息请求，包括：用户账号信息和sessionID，所述用户账号信息包括：用户账号标识和用户账号；

认证中心根据所述web应用地址、token信息及用户账号标识生成URL。

上述方案中，所述认证中心根据所述web应用地址、token信息及用户账号标识生成URL，包括：

认证中心将用户账号标识和token信息置于web应用地址之后，拼成URL。

本发明实施例提供了一种网络web服务器，所述web服务器包括：访问请求接收模块、令牌token校验请求发送模块、token校验结果接收模块及会话认证模块；其中

所述访问请求接收模块，用于接收客户端发送的web应用访问请求；

所述token校验请求发送模块，用于根据所述web应用访问请求向token校验中心发起token校验请求；

所述token校验结果接收模块，用于接收到token校验中心返回的token校验结果，所述token校验结果包括token校验成功的消息；

所述会话认证模块，用于在token校验结果接收模块接收到token校验成功的消息时，根据所述token校验成功的消息对客户端进行会话认证。

上述方案中，所述web应用访问请求包括：由web应用地址、用户账号标识和token信息组成的统一资源定位符URL；

所述token校验请求发送模块，具体用于接收到web应用访问请求之后，提取所述web应用访问请求中的URL，对所述URL进行解析，获得用户账号标识和tokenID；token校验请求发送模块将所述获得的用户账号标识和tokenID封装在token校验请求中，并将所述token校验请求发送给token校验中心。

上述方案中，所述token校验成功的消息，包括：对应于所述用户账号的sessionID。

所述会话认证模块，具体用于获取客户端本地的sessionID，判断所述客户端本地的sessionID与所述token校验成功的消息中的sessionID是否相同，相同时，确认所述客户端会话认证成功。

上述方案中，所述客户端本地的sessionID为利用cookie技术存储的sessionID或由认证中心写入客户端指定文件夹中的sessionID。

本发明实施例提供了一种令牌token校验中心，所述token校验中心，包括：token校验请求接收模块、token校验模块及token校验结果发送模块；其中，

所述token校验请求接收模块，用于接收网络web服务器发送的token校验请求；

所述token校验模块，用于根据所述token校验请求进行token信息校验；

所述token校验结果发送模块，用于当确认所述token信息合法时，向web服务器返回token信息校验成功的消息。

上述方案中，所述token校验请求，包括：用户账号标识和token信息；

所述token校验模块，用于通过以下方式执行token校验：

提取所述token校验请求中的用户账号标识和token信息；

根据所述用户账号在本地查找与所述用户账号标识相对应的token信息；

判断所述token校验请求中的token信息与本地查找到的token信息是否相同，相同时，确认所述token信息合法。

上述方案中，所述token校验成功的消息包括：sessionID；所述sessionID为存储于token校验中心的、与所述用户账号标识相对应的sessionID。

本发明实施例提供了一种认证中心，所述认证中心包括：获取统一资源定位符URL请求接收模块、URL生成模块及URL发送模块；其中，

所述获取URL请求接收模块，用于客户端登陆认证中心之后，接收客户端发送的获取URL请求，所述获取URL请求中包括客户端希望访问的web应用标识及用户账号；

所述URL生成模块，用于根据所述获取URL请求中的web应用标识生成URL；

所述URL发送模块，用于将所述生成的URL返回给客户端，所述URL用于客户端对web服务器发起web应用访问请求。

上述方案中，所述URL生成模块根据以下方式生成URL：

所述URL生成模块提取所述获取URL请求中的web应用标识，在本地查找与所述web应用标识对应的web应用地址；提取所述获取URL请求中的用户账号，生成与所述用户账号唯一对应的用户账号标识；

所述URL生成模块向token校验中心发送获取token信息请求，并接收token校验中心返回的token信息，所述获取token信息请求，包括：用户账号信息和sessionID，所述用户账号信息包括：用户账号和用户账号标识；

所述URL生成模块将用户账号标识和token信息置于web应用地址之后，拼成URL。

本发明所提供的一种SSO认证方法、web服务器、认证服务器和token校验中心，web服务器接收客户端发送的web应用访问请求；web服务器根据所述web应用访问请求向token校验中心发起令牌token校验请求；当web服务器接收到token校验中心返回的token校验成功的消息时，根据所述token校验成功的消息对客户端进行会话认证。如此，在token校验中心和web服务器端同时对客户端的web应用访问请求进行认证，且web服务器端对客户端进行的会话认证是以token校验中心的校验结果为前提的，这样可以大大增加整个SSO过程的可靠性，在token校验中心和web服务器端进行的双重认证，相对于现有技术中基于cookie或会话的认证方法，可以大大减少认证信息被获取后带来非法访问及安全隐患；另外，可以看出本发明实施例提供的SSO认证方法只需要对现有SSO系统做比较小的改动，且不必依赖于任何特殊的运行环境，实现方式简单、快捷且成本低廉。

附图说明

图1为本发明实施例提供的SSO认证方法流程图一；

图2为本发明实施例提供的SSO认证方法流程图二；

图3为本发明实施例提供的SSO认证方法流程图三；

图4为本发明实施例提供的SSO认证方法流程图四；

图5为本发明实施例提供的SSO认证方法流程图五；

图6为本发明实施例提供的web服务器的基本结构图；

图7为本发明实施例提供的认证中心的基本结构图；

图8为本发明实施例提供的token校验中心的基本结构图。

具体实施方式

本发明实施例中，web服务器接收客户端发送的web应用访问请求；web服务器根据所述web应用访问请求向token校验中心发起令牌token校验请求；当web服务器接收到token校验中心返回的token校验成功的消息时，根据所述token校验成功的消息对客户端进行会话认证。

下面通过附图及具体实施例对本发明做进一步的详细说明。

实施例一

本发明实施例一提供了一种SSO认证方法，如图1所示，该方法包括以下步骤：

步骤101：web服务器接收客户端发送的web应用访问请求；

具体的，所述web应用访问请求包括：由web应用地址、用户账号标识和token信息组成的URL。

步骤102：web服务器根据所述web应用访问请求向token校验中心发起令牌token校验请求；

具体的，web服务器接收到所述web应用访问请求之后，提取所述web应用访问请求中的URL，对所述URL进行解析，获得用户账号标识和tokenID；

步骤103：当web服务器接收到token校验中心返回的token校验成功的消息时，根据所述token校验成功的消息对客户端进行会话认证。

具体的，所述token校验成功的消息至少包括：对应于所述用户账号标识的sessionID；所述token校验成功的消息还可以包括：用户账号信息，所述用户账号信息，包括：用户账号和用户账号标识。

所述web服务器根据所述token校验成功的消息对客户端进行会话认证，包括：web服务器获取客户端本地的sessionID，判断所述客户端本地的sessionID与所述token校验成功的消息中的sessionID是否相同，相同时，确认所述客户端会话认证成功；

具体的，所述客户端本地的sessionID为利用cookie技术存储的sessionID或由认证中心写入客户端指定文件夹中的sessionID。

实施例二

本发明实施例二提供了一种SSO认证方法，如图2所示，所述方法包括以下步骤：

步骤201：令牌token校验中心接收web服务器发送的token校验请求，所述token校验请求；

具体的，所述token校验请求，包括：用户账号标识和token信息；

步骤202：token校验中心根据所述token校验请求进行token信息校验，当确认所述token信息合法时，向web服务器返回token信息校验成功的消息；

token校验中心根据所述token校验请求进行token信息校验之前，所述方法还包括：

token校验中心接收认证中心发送的获取token信息请求，所述获取token信息请求，包括：用户账号信息和sessionID，所述用户账号信息包括：用户账号和用户账号标识；

token校验中心提取所述用户账号信息和sessionID，生成与所述用户账号信息和sessionID唯一对应的token信息，并将所述token信息返回给认证中心；

token校验中心保存所述用户账号信息、sessionID及token信息。

在这一步骤中，所述token校验中心根据所述token校验请求进行token信息校验，包括：

token校验中心提取所述token校验请求中的用户账号标识和token信息；

根据所述用户账号在本地查找与所述用户账号标识相对应的token信息；

判断所述token校验请求中的token信息与本地查找到的token信息是否相同，相同时，确认所述token信息合法。

当确认所述token信息合法时，token校验中心向web服务器返回token校验成功的消息，所述token校验成功的消息包括：sessionID；所述sessionID为存储于token校验中心本地的、与所述用户账号标识相对应的sessionID；所述token校验成功的消息还可以进一步包括：用户账号标识；

当确认所述token信息不合法时，token校验中心向web服务器返回token校验失败的消息，所述token校验失败的消息可以为任何可用于指示token校验失败的消息。

实施例三

本发明实施例三提供一种SSO认证方法，如图3所示，所述方法包括以下步骤：

步骤301：客户端登陆认证中心之后，认证中心接收客户端发起的获取统一资源定位符URL请求，所述获取URL请求中包括客户端希望访问的web应用标识及用户账号；

步骤302：认证中心根据所述web应用标识生成URL后，将所述URL返回给客户端，所述URL用于客户端对web服务器发起web应用访问请求。

具体的，所述认证中心根据所述web应用标识生成URL，包括：

认证中心提取所述获取URL请求中的web应用标识，在本地查找与所述web应用标识对应的web应用地址；

认证中心提取所述获取URL请求中的用户账号，并生成与所述用户账号唯一对应的用户账号标识；

认证中心向token校验中心发送获取token信息请求，并接收token校验中心返回的token信息，所述获取token信息请求，包括：用户账号信息和sessionID，所述用户账号信息包括：用户账号标识和用户账号；

认证中心根据所述web应用地址、token信息及用户账号标识生成URL。

进一步的，所述认证中心根据所述web应用地址、token信息及用户账号标识生成URL，包括：

认证中心将用户账号标识和token信息置于web应用地址之后，拼成一个URL。

实施例四

本发明实施例四提供了一种SSO认证方法，如图4所示，该方法包括以下步骤：

步骤401：客户端登陆认证中心；

这里，所述客户端登陆认证中心是指客户端通过强认证方式登陆认证中心，所谓强认证方式是指客户端向认证中心发送登陆请求，所述登陆请求包括：用户账号和密码，而认证中心对所述用户账号和密码的有效性进行验证的登陆认证方式；当客户端登陆成功后，客户端和认证中心之间建立起一个会话，认证中心向客户端返回本次登陆的会话信息，所述会话信息包括：sessionID和用户账号标识；所述用户账号标识是由认证中心生成的、与所述用户账号唯一对应的标识信息；同时认证中心在本地保存所述会话信息、用户账号和用户账号标识，这里，将用户账号和用户账号标识统称为用户账号信息；在会话维持期间，认证中心周期性修改客户端中保存的sessionID，具体的，认证中心周期性向客户端发送修改后的sessionID，并在本地保存修改后的sessionID。具体的，所述修改sessionID的周期可以根据实际需要进行设置，这里不作限制；

通过周期性修改sessionID，所述客户端和认证中心中关于本次会话的sessionID将是动态变化的；

步骤402：客户端成功登陆认证中心后，向认证中心发起获取统一资源定位符URL请求，所述获取URL请求中包括客户端希望访问的web应用的标识信息；

具体的，客户端登陆认证中心后，当所述客户端希望访问某一个web应用时，可以首先向认证中心发起获取统一资源定位符(URL，UniformResourceLocator)请求；所述获取URL请求中包括客户端希望访问的web应用的标识信息；这一步骤，实际应用中可以是用户登陆认证中心界面，通过点击认证中心界面上的按钮或链接实现；

步骤403：认证中心根据所述获取URL请求生成URL之后，将所述URL返回给客户端；

具体的，认证中心根据所述获取URL请求生成URL，包括以下步骤：

S501：认证中心对所述获取URL请求进行解析，得到web应用标识信息；

S502：认证中心在本地数据库中查找与所述web应用标识信息对应的web应用地址；

S503：认证中心向token校验中心发起获取token信息请求，所述获取token信息请求，包括：用户账号信息和sessionID；

S504：token校验中心接收到认证中心发送的获取token请求之后，对所述获取token请求进行解析，提取所述用户账号信息和sessionID，生成与所述用户账号信息和sessionID唯一对应的token信息，并返回给认证中心；同时token校验中心将所述用户账号信息、sessionID和token信息保存于本地；

S505：认证中心并接收token校验中心返回的token信息，

S506：认证中心根据查找到的web应用地址、用户账号标识及接收到的token信息生成URL；

本领域技术人员可以理解的是，在上述处理步骤中，S502和S503在执行时，并没有严格的先后顺序。

具体的，S506中所述根据查找到的web应用地址、用户账号及token信息生成URL，包括：

将用户账号标识和token信息置于web应用地址之后，拼成一个URL；

具体的，这三个信息之间以预设的分隔符相隔，可以用&符号作为分隔符，也可以用事先约定的其它符号或数字作为分隔符，这里不作限制；一个示例性的URL可以如下所示：

www.chinamobile.com.cn&yidong&1234567；

其中，www.chinamobile.com.cn为web应用地址，yidong为用户账号，1234567为token信息，这三种信息之间以“&”作为分隔符，加以区分；当然，用户账号和token信息可以以任意顺序置于web应用地址之后，并不局限于本示例中的实现方式。

步骤404：客户端接收所述URL，并根据所述URL向相应的web服务器发送web应用访问请求；

具体的，客户端将所述URL封装成web应用访问请求，并发送给相应的web服务器；

步骤405：web服务器根据接收到的web应用访问请求向token校验中心发起token校验请求；

具体的，web服务器接收到所述web应用访问请求之后，提取所述web应用访问请求中的URL，对所述URL进行解析，获得用户账号标识和tokenID；

web服务器向token校验中心发送token校验请求，所述token校验请求包括：所述获得的用户账号标识和tokenID；

步骤406：token校验中心根据所述token校验请求进行token信息校验；

具体的，token校验中心提取所述token校验请求中的用户账号标识和token信息，根据所述用户账号标识在本地查找与所述用户账号标识相对应的token信息；

判断所述token校验请求中的token信息与本地查找到的token信息是否相同，相同时，确认所述token信息合法；不相同时确认所述token信息不合法。

步骤407：token校验中心向web服务器返回token校验结果；

具体的，当确认token信息合法时，token校验中心向web服务器返回token校验成功的消息；

具体的，所述token校验成功的消息至少包括：sessionID，还可以进一步包括：用户账号标识；所述sessionID为token校验中心在本地查找到的、与web服务器发送的token校验请求中携带的用户账号标识相对应的sessionID；所述sessionID用于web服务器对客户端进行后续会话认证流程；

优选的，由于步骤401中已经指出认证中心会对客户端中的sessionID进行周期性修改，虽然通常一次会话认证流程的处理时间远远小于客户端中sessionID的修改周期，但是，为了防止本发明实施例提供的会话认证流程过程中由于客户端sessionID的修改导致的后续web服务器对客户端的会话认证失败；这里，token校验中心向web服务器返回sessionID的时候，可以设置sessionID的有效期，例如，将sessionID的有效期设置为从向web服务器返回的当前时刻开始的T时间长度内，所述T可以根据实际需要设置，只要保证在该T时刻内web服务器完全能够完成后续对客户端的会话认证。

当确认token信息不合法时，token校验中心向web服务器返回token校验失败的消息，所述token校验失败的消息可以为任何可用于指示token校验失败的消息。

步骤408：web服务器根据接收到的token校验结果执行相应处理；

具体的，当web服务器接收到的token校验结果为：token校验成功的消息时，web服务器获取客户端本地的sessionID，判断所述客户端本地的sessionID与所述token校验成功的消息中的sessionID是否相同，相同时，确认所述客户端会话认证成功；

当web服务器接收到的token校验结果为：token校验失败的消息时，web服务器向客户端返回校验失败的页面。

当所述客户端会话认证成功之后，则可以访问相应的web应用；可以看出，在以上步骤401至步骤408过程中，客户端只需要在认证中心登陆了一次之后，就可以根据认证中心返回的校验凭证(URL)实现后续的token校验及会话认证过程，也就是说，从步骤401至步骤408，客户端成功完成了一次SSO过程。

当然，后续只要客户端一直保持登陆状态，就可以以上述相同的方式再次发起对其它web应用的访问；

本领域技术人员能够理解的是，在实际应用中，所述token校验中心可与认证中心集成在一个系统中实现，也可以各自单独实现。

实施例五

下面以图5为例，对本发明实施例提供的SSO方法进行详细介绍，如图5所示，在实际应用中，用户通过客户端浏览器访问认证中心和web服务器，而客户端与认证中心之间、客户端与web服务器之间、认证中心与token校验中心之间以及token校验中心与web服务器之间的一系列交互过程则实现了单点登录。如图5所示，本发明实施例提供的SSO方法包括以下步骤：

步骤601：用户通过客户端浏览器输入用户名、密码，并完成到认证中心的强认证，登录认证中心门户；这里的用户名即为用户账号；

步骤602：登录成功后，认证中心生成一个sessionID以及一个与用户账号唯一对应的用户账号标识，写入客户端浏览器，同时存入本地数据库(另外认证中心的客户端浏览器页面将定时刷新sessionID，同时写入本地数据库及客户端浏览器缓存中)；

步骤603：用户点击认证中心页面中访问某个web应用的按钮或链接；

步骤604：向认证中心发起访问某个web应用的请求；

步骤605：认证中心向本地数据库获取当前用户的用户账号信息、sessionID、所请求web应用的地址信息；所述用户账号信息包括：用户账号标识和用户账号；

步骤606：认证中心调用token校验中心接口，接口参数中包含用户账号信息、会话ID；

步骤607：token校验中心生成与所述用户账号唯一对应的token值，并存储token值、用户账号信息及sessionID；

步骤608：token校验中心向认证中心返回token值；

步骤609：认证中心将web地址信息、用户账号标识及token值拼装成一个URL；

步骤610：认证中心向客户端浏览器返回所述URL；

步骤611：客户端浏览器根据返回的URL，发起对web服务器的访问请求；

步骤612：web服务器解析访问url中的token值及用户账号标识；

步骤613：web服务器调用token校验中心进行token校验，接口参数为用户账号信息和token信息；

步骤614：token校验中心校验用户账号标识和token值的合法性及时效性；

步骤615：token校验中心向web服务器返回token校验结果；当token校验成功时，返回的token校验结果包括：sessionID，还可以进一步包括用户账号标识；当token校验失败时，返回的token校验结果为token校验失败的消息；

步骤616：web服务器根据token校验结果向客户端浏览器返回登录信息，如token校验失败则提示登录失败中断登录，如校验成功则加载SessionID提取程序，请求提取客户端浏览器缓存中的sessionID；

步骤617：客户端向web服务器返回sessionID；

步骤618：进行sessionID信息一致性校验；

步骤619：返回校验结果；如果sessionID校验成功，则返回登录成功加载系统信息；如果sessionID校验不成功，则返回登录失败中断登录。

实施例六

本发明实施例六提供了一种web服务器，如图6所示，所述web服务器包括：访问请求接收模块61、令牌token校验请求发送模块62、token校验结果接收模块63及会话认证模块64；其中

所述访问请求接收模块61，用于接收客户端发送的web应用访问请求；

所述token校验请求发送模块62，用于根据所述web应用访问请求向token校验中心发起token校验请求；

所述token校验结果接收模块63，用于接收到token校验中心返回的token校验结果，所述token校验结果包括token校验成功的消息；

所述会话认证模块64，用于在token校验结果接收模块接收到token校验成功的消息时，根据所述token校验成功的消息对客户端进行会话认证。

具体的，所述web应用访问请求包括：由web应用地址、用户账号标识和token信息组成的统一资源定位符URL；

所述token校验请求发送模块62，具体用于接收到web应用访问请求之后，提取所述web应用访问请求中的URL，对所述URL进行解析，获得用户账号标识和tokenID；token校验请求发送模块将所述获得的用户账号标识和tokenID封装在token校验请求中，并将所述token校验请求发送给token校验中心。

所述token校验成功的消息，包括：对应于所述用户账号的sessionID。

所述会话认证模块64，具体用于获取客户端本地的sessionID，判断所述客户端本地的sessionID与所述token校验成功的消息中的sessionID是否相同，相同时，确认所述客户端会话认证成功；

具体的，所述客户端本地的sessionID为认证中心发送给客户端之后，客户端利用cookie技术存储的sessionID或由认证中心写入客户端指定文件夹中的sessionID。

实施例七

本发明实施例七提供了一种令牌token校验中心，如图7所示，所述token校验中心，包括：token校验请求接收模块71、token校验模块72及token校验结果发送模块73；其中，

所述token校验请求接收模块71，用于接收web服务器发送的token校验请求；

所述token校验模块72，用于根据所述token校验请求进行token信息校验；

所述token校验结果发送模块73，用于当确认所述token信息合法时，向web服务器返回token信息校验成功的消息。

具体的，所述token校验请求，包括：用户账号标识和token信息；

具体的，所述token校验模块72，具体用于通过以下方式执行token校验：

提取所述token校验请求中的用户账号标识和token信息；

根据所述用户账号标识在本地查找与所述用户账号标识相对应的token信息；

判断所述token校验请求中的token信息与本地查找到的token信息是否相同，相同时，确认所述token信息合法。

具体的，所述token校验成功的消息包括：sessionID；所述sessionID为存储于token校验中心的、与所述用户账号相对应的sessionID。

实施例八

本发明实施例八提供了一种认证中心，如图8所示，所述认证中心包括：获取统一资源定位符URL请求接收模块81、URL生成模块82及URL发送模块83；其中，

所述获取URL请求接收模块81，用于客户端登陆认证中心之后，接收客户端发送的获取URL请求，所述获取URL请求中包括客户端希望访问的web应用标识及用户账号；

所述URL生成模块82，用于根据所述获取URL请求中的web应用标识生成URL；

所述URL发送模块83，用于将所述生成的URL返回给客户端，所述URL用于客户端对web服务器发起web应用访问请求。

具体的，所述URL生成模块82根据以下方式生成URL：

所述URL生成模块82提取所述获取URL请求中的web应用标识，在本地查找与所述web应用标识对应的web应用地址；提取所述获取URL请求中的用户账号，并生成与所述用户账号唯一对应的用户账号标识；

所述URL生成模块82向token校验中心发送获取token信息请求，并接收token校验中心返回的token信息，所述获取token信息请求，包括：用户账号信息和sessionID，所述用户账号信息包括：用户账号标识和用户账号；

所述URL生成模块82将用户账号标识和token信息置于web应用地址之后，拼成一个URL。

在具体实施过程中，上述访问请求接收模块61及token校验结果接收模块63可以由web服务器内的通信功能芯片来实现；token校验请求接收模块71和token校验结果发送模块73可以由token校验中心内的通信功能芯片来实现；获取URL请求接收模块81和URL发送模块83可以由认证中心内的通信功能芯片来实现；令牌token校验请求发送模块62、会话认证模块64可以由web服务器内的中央处理器(CPU，CentralProcessingUnit)、微处理器(MPU，MicroProcessingUnit)、数字信号处理器(DSP，DigitalSignalProcessor)或可编程逻辑阵列(FPGA，Field－ProgrammableGateArray)来实现；所述token校验模块72可以由token校验中心内的CPU、MPU、DSP或FPGA来实现；所述URL生成模块82可以由认证中心内的CPU、MPU、DSP或FPGA来实现。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用硬件实施例、软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器和光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。

Claims (23)

1.一种单点登陆SSO认证方法，其特征在于，所述方法包括：

网络web服务器接收客户端发送的web应用访问请求；

web服务器根据所述web应用访问请求向令牌token校验中心发起token校验请求；

当web服务器接收到token校验中心返回的token校验成功的消息时，根据所述token校验成功的消息对客户端进行会话认证。

2.根据权利要求1所述的方法，其特征在于，所述web应用访问请求包括：由web应用地址、用户账号标识和token信息组成的URL。

3.根据权利要求2所述的方法，其特征在于，所述web服务器根据所述web应用访问请求向token校验中心发起token校验请求，包括：

web服务器接收到所述web应用访问请求之后，提取所述web应用访问请求中的URL，对所述URL进行解析，获得用户账号标识和tokenID；

web服务器向token校验中心发送token校验请求，所述token校验请求包括：所述获得的用户账号标识和tokenID。

4.根据权利要求1所述的方法，其特征在于，所述token校验成功的消息至少包括：对应于所述用户账号标识的sessionID。

5.根据权利要求4所述的方法，其特征在于，所述web服务器根据所述token校验成功的消息对客户端进行会话认证，包括：

web服务器获取客户端本地的sessionID，判断所述客户端本地的sessionID与所述token校验成功的消息中的sessionID是否相同，相同时，确认所述客户端会话认证成功。

6.根据权利要求5所述的方法，其特征在于，所述客户端本地的sessionID为认证中心发送给客户端之后，客户端利用cookie技术存储的sessionID或由认证中心写入客户端指定文件夹中的sessionID。

7.一种单点登陆SSO认证方法，其特征在于，所述方法包括：

令牌token校验中心接收网络web服务器发送的token校验请求；

token校验中心根据所述token校验请求进行token信息校验，当确认所述token信息合法时，向web服务器返回token信息校验成功的消息。

8.根据权利要中7所述的方法，其特征在于，所述token校验请求，包括：用户账号标识和token信息。

9.根据权利要求8所述的方法，其特征在于，所述token校验中心根据所述token校验请求进行token信息校验，包括：

token校验中心提取所述token校验请求中的用户账号标识和token信息；

根据所述用户账号标识在本地查找与所述用户账号标识相对应的token信息；

判断所述token校验请求中的token信息与本地查找到的token信息是否相同，相同时，确认所述token信息合法。

10.根据权利要求9所述的方法，其特征在于，所述token校验成功的消息包括：sessionID；所述sessionID为存储于token校验中心的、与所述用户账号标识相对应的sessionID。

11.根据权利要求7至10其中任一项所述的方法，其特征在于，所述token校验中心根据所述token校验请求进行token信息校验之前，所述方法还包括：

token校验中心接收认证中心发送的获取token信息请求，所述获取token信息请求，包括：用户账号信息和sessionID；

token校验中心提取所述用户账号信息和sessionID，生成与所述用户账号信息和sessionID唯一对应的token信息，并将所述token信息返回给认证中心；

token校验中心保存所述用户账号信息、sessionID及token信息。

12.一种单点登陆SSO认证方法，其特征在于，所述方法包括：

客户端登陆认证中心之后，认证中心接收客户端发送的获取统一资源定位符URL请求，所述获取URL请求中包括客户端希望访问的web应用标识及用户账号标识；

认证中心根据所述网络web应用标识生成URL后，将所述URL返回给客户端，所述URL用于客户端对web服务器发起web应用访问请求。

13.根据权利要求12所述的方法，其特征在于，所述认证中心根据所述web应用标识生成URL，包括：

认证中心提取所述获取URL请求中的web应用标识，在本地查找与所述web应用标识对应的web应用地址；

认证中心提取所述获取URL请求中的用户账号，并生成与所述用户账号唯一对应的用户账号标识；

认证中心向token校验中心发送获取token信息请求，并接收token校验中心返回的token信息，所述获取token信息请求，包括：用户账号信息和sessionID，所述用户账号信息包括：用户账号标识和用户账号；

认证中心根据所述web应用地址、token信息及用户账号标识生成URL。

14.根据权利要求13所述的方法，其特征在于，所述认证中心根据所述web应用地址、token信息及用户账号标识生成URL，包括：

认证中心将用户账号标识和token信息置于web应用地址之后，拼成URL。

15.一种网络web服务器，其特征在于，所述web服务器包括：访问请求接收模块、令牌token校验请求发送模块、token校验结果接收模块及会话认证模块；其中

所述访问请求接收模块，用于接收客户端发送的web应用访问请求；

所述token校验请求发送模块，用于根据所述web应用访问请求向token校验中心发起token校验请求；

所述token校验结果接收模块，用于接收到token校验中心返回的token校验结果，所述token校验结果包括token校验成功的消息；

所述会话认证模块，用于在token校验结果接收模块接收到token校验成功的消息时，根据所述token校验成功的消息对客户端进行会话认证。

16.根据权利要求15所述的web服务器，其特征在于，所述web应用访问请求包括：由web应用地址、用户账号标识和token信息组成的统一资源定位符URL；

所述token校验请求发送模块，具体用于接收到web应用访问请求之后，提取所述web应用访问请求中的URL，对所述URL进行解析，获得用户账号标识和tokenID；token校验请求发送模块将所述获得的用户账号标识和tokenID封装在token校验请求中，并将所述token校验请求发送给token校验中心。

17.根据权利要求15所述的web服务器，其特征在于，所述token校验成功的消息，包括：对应于所述用户账号的sessionID；

所述会话认证模块，具体用于获取客户端本地的sessionID，判断所述客户端本地的sessionID与所述token校验成功的消息中的sessionID是否相同，相同时，确认所述客户端会话认证成功。

18.根据权利要求17所述的web服务器，其特征在于，所述客户端本地的sessionID为利用cookie技术存储的sessionID或由认证中心写入客户端指定文件夹中的sessionID。

19.一种令牌token校验中心，其特征在于，所述token校验中心，包括：token校验请求接收模块、token校验模块及token校验结果发送模块；其中，

所述token校验请求接收模块，用于接收网络web服务器发送的token校验请求；

所述token校验模块，用于根据所述token校验请求进行token信息校验；

所述token校验结果发送模块，用于当确认所述token信息合法时，向web服务器返回token信息校验成功的消息。

20.根据权利要求19所述的token校验中心，其特征在于，所述token校验请求，包括：用户账号标识和token信息；

所述token校验模块，用于通过以下方式执行token校验：

提取所述token校验请求中的用户账号标识和token信息；

根据所述用户账号在本地查找与所述用户账号标识相对应的token信息；

判断所述token校验请求中的token信息与本地查找到的token信息是否相同，相同时，确认所述token信息合法。

21.根据权利要求19所述的token校验中心，其特征在于，所述token校验成功的消息包括：sessionID；所述sessionID为存储于token校验中心的、与所述用户账号标识相对应的sessionID。

22.一种认证中心，其特征在于，所述认证中心包括：获取统一资源定位符URL请求接收模块、URL生成模块及URL发送模块；其中，

所述获取URL请求接收模块，用于客户端登陆认证中心之后，接收客户端发送的获取URL请求，所述获取URL请求中包括客户端希望访问的web应用标识及用户账号；

所述URL生成模块，用于根据所述获取URL请求中的web应用标识生成URL；

所述URL发送模块，用于将所述生成的URL返回给客户端，所述URL用于客户端对web服务器发起web应用访问请求。

23.根据权利要求22所述的认证中心，其特征在于，所述URL生成模块根据以下方式生成URL：

所述URL生成模块提取所述获取URL请求中的web应用标识，在本地查找与所述web应用标识对应的web应用地址；提取所述获取URL请求中的用户账号，生成与所述用户账号唯一对应的用户账号标识；

所述URL生成模块向token校验中心发送获取token信息请求，并接收token校验中心返回的token信息，所述获取token信息请求，包括：用户账号信息和sessionID，所述用户账号信息包括：用户账号和用户账号标识；

所述URL生成模块将用户账号标识和token信息置于web应用地址之后，拼成URL。