CN105450637A - 多个应用系统的单点登录方法及装置 - Google Patents

Abstract

本发明提供了一种多个应用系统的单点登录方法及装置，其中的方法包括，在用户通过客户端首次登录应用系统时，跳转到认证系统进行认证，在跳转的同时将用户的账号信息、与客户端对应的设备标识加密上传到认证系统；在认证系统解密后验证用户的账号信息正确时，将设备标识、上传时的IP和当前系统时间用密钥加密生成具有时效性的票据；将票据保存到认证系统的数据库中，在账号关系映射表中，根据应用系统的标识建立票据与用户的账号信息的映射关系，将票据返回给用户的客户端；根据票据与应用系统的标识，在账号关系映射表中查询用户在应用系统的账号信息；根据查询到的账号信息登录应用系统。利用本发明能够实现多个应用系统的单点登录。

Description

多个应用系统的单点登录方法及装置

技术领域

本发明涉及单点登录技术领域，更为具体地，涉及一种多个应用系统的单点登录方法及装置。

背景技术

随着企业规模的扩大，企业移动门户客户端后期集成的系统越来越多，每个单独的系统都会有自己的安全体系和身份认证系统，长此以往，企业移动门户客户端会面临诸多的问题，例如：

(1)用户使用移动客户端的多个系统时，需要多次登录、多次认证，在认证的过程中耗费过长的时间，导致用户体验差；

(2)移动客户端内需要存储用户信息，各个系统有不同的登录和认证体系，导致需要分别存储处理不同系统的用户信息，占用不必要的内存空间；

(3)多个用户信息中的账号和密码会带来记忆繁琐、使用不便及安全风险的问题；

(4)多个身份认证系统会增加管理工作成本，无法统一分析用户的行为。

发明内容

鉴于上述问题，本发明的目的是提供一种多个应用系统的单点登录方法及装置，以解决上述背景技术中指出的问题。

本发明提供一种多个应用系统的单点登录方法，通过采集接入认证系统的各应用系统中用户的账号信息，并基于用户的账号信息和各应用系统的标识建立账号关系映射表，根据账号关系映射表对各应用系统的用户进行统一认证登录，该方法包括：

在用户通过客户端首次登录应用系统时，跳转到认证系统进行认证，在跳转的同时将用户的账号信息、与客户端一一对应的设备标识加密上传到认证系统；

在认证系统解密后验证用户的账号信息正确时，将设备标识、上传时的IP和当前系统时间用密钥加密生成具有时效性的票据；

将票据保存到认证系统的数据库中，同时，在账号关系映射表中，根据应用系统的标识建立票据与用户的账号信息的映射关系，以及，将票据返回给用户的客户端；

根据票据与应用系统的标识，在账号关系映射表中查询用户在应用系统的账号信息；

根据查询到的账号信息登录应用系统。

本发明还提供一种多个应用系统的单点登录装置，包括：

账号信息采集单元，用于通过采集接入认证系统的各应用系统中用户的账号信息；

映射表建立单元，用于基于用户的账号信息和各应用系统的标识建立账号关系映射表；

跳转认证单元，用于在用户通过客户端首次登录应用系统时，将用户跳转到认证系统进行认证；

用户信息上传单元，用于将用户的账号信息、与客户端一一对应的设备标识加密上传到认证系统；

票据生成单元，用于在认证系统解密后验证用户的账号信息正确时，将设备标识、上传时的IP和当前系统时间用密钥加密生成具有时效性的票据；

票据保存单元，用于将票据保存到认证系统的数据库中，并将票据返回给用户的客户端；

票据映射单元，用于在账号关系映射表中，根据应用系统的标识建立票据与用户的账号信息的映射关系；

账号信息查询单元，用于根据票据与应用系统的标识，在账号关系映射表中查询用户在应用系统的账号信息；

系统登录单元，用于根据查询到的账号信息登录应用系统。

利用上述本发明的多个应用系统的单点登录方法及装置，能够取得以下技术效果：

1、通过登录一次认证系统，就能访问该用户具有访问权限的系统，能够减少用户在登录不同系统时所耗费的时间，以及减少用户登录出错的可能性，优化用户体验；

2、能够避免处理和保存多套系统用户的认证信息；

3、增加安全性：在认证系统对生成的票据中，增加了设备标识、ip与系统时间，能够有效增加用户认证的安全性，避免被破解；

4、统一采集多个系统的用户的身份信息，能够减少管理工作成本，及统一分析用户的行为。

为了实现上述以及相关目的，本发明的一个或多个方面包括后面将详细说明并在权利要求中特别指出的特征。下面的说明以及附图详细说明了本发明的某些示例性方面。然而，这些方面指示的仅仅是可使用本发明的原理的各种方式中的一些方式。此外，本发明旨在包括所有这些方面以及它们的等同物。

附图说明

通过参考以下结合附图的说明及权利要求书的内容，并且随着对本发明的更全面理解，本发明的其它目的及结果将更加明白及易于理解。在附图中：

图1为根据本发明实施例的多个应用系统的单点登录方法的流程示意图；

图2为根据本发明实施例的多个应用系统的单点登录方法的情景流程示意图；

图3为根据本发明实施例的多个应用系统的单点登录装置的第一逻辑结构示意图。

在所有附图中相同的标号指示相似或相应的特征或功能。

具体实施方式

在下面的描述中，出于说明的目的，为了提供对一个或多个实施例的全面理解，阐述了许多具体细节。然而，很明显，也可以在没有这些具体细节的情况下实现这些实施例。在其它例子中，为了便于描述一个或多个实施例，公知的结构和设备以方框图的形式示出。

本发明的整体思路为：通过认证系统统一采集各应用系统中用户的账号信息，在用户登录应用系统时，先跳转到认证系统进行认证，在通过认证后认证系统根据用户的账号信息生成票据，返回给用户，用户根据票据登录该应用系统，或其它的应用系统。

认证系统采集各应用系统中用户的账号信息的过程为：在认证系统中建立含有用户标识的用户数据源，根据用户标识和各应用系统的标识在用户数据源、应用系统和应用系统的用户的账号信息三者之间建立映射关系，形成账号关系映射表，即将各应用系统的用户的账号信息通过定时或手动的方式映射到用户数据源中。其中，无论是通过定时映射方式或手动映射方式均需在用户跳转认证系统之前完成用户的账号信息的映射。

需要说明的是，用户标识为唯一确定用户身份的标志，可以为用户的身份证号或员工工号等等，应用系统的标识为唯一确定应用系统的标志，可以为应用系统的编号等等。以下将结合附图对本发明的具体实施例进行详细描述。

图1示出了根据本发明实施例的多个应用系统的单点登录方法的流程。

如图1所示，本发明实施例提供的多个应用系统的单点登录方法，包括：

步骤S101：在用户通过客户端首次登录应用系统时，跳转到认证系统进行认证，在跳转的同时将用户的账号信息、与客户端一一对应的设备标识加密上传到认证系统。

本发明将各应用系统接入认证系统，以认证系统作为各应用系统的认证中心，用户想要访问各应用系统先要经过认证系统的认证，只有经过认证的用户才可以访问应用系统，未经过认证的用户无权访问应用系统。

具体地，在用户通过客户端登录应用系统时，会跳转到认证系统进行认证，在跳转的同时，将用户登录应用系统时输入的账号信息(包括账号名称和密码)、与客户端一一对应的设备标识会加密形成用户登录信息，再将加密后用户登录信息的上传到认证系统。用户登录信息加密的方式可以通过一种加密算法实现，也可以通过几种加密算法的结合实现，加密算法为现有技术，故在此不再赘述。

需要说明的是，客户端可以为手机、笔记本、台式机或平板电脑等移动终端，每一个移动终端具有一个唯一的deviceID，将deviceID作为用户客户端的设备标识。

步骤S102：在认证系统解密后验证用户的账号信息正确时，将设备标识、上传时的IP和当前系统时间用密钥加密生成具有时效性的票据。

在认证系统收到加密后的用户登录信息后，对用户登录信息进行解密，并验证解密出的账户信息是否正确，也就是验证解密出的用户输入的账号名称和密码是否正确，如果用户输入的账号名称和密码正确，则将一同解密出的deviceID、上传用户登录信息时的IP地址以及认证系统的当前时间用密钥key加密生成具有时效性的票据。票据的时效性根据认证系统生成密钥key的时间确定，将在下文中详述。

在一个具体实施方式中，用户通过HTTP请求向认证系统上传用户登录信息，则IP地址包含在HTTP请求的head里。

IP地址和设备标识使票据具有唯一性，而认证系统记录的时间使票据具有时效性，如果票据不存在或者无法解密，意味着用户没有登录或者登录信息不正确，在这里加密的作用有两个，一是防止用户信息被泄露，二是保证票据不会被伪造。

步骤S103：将票据保存到认证系统的数据库中，同时，在账号关系映射表中，根据应用系统的标识建立票据与用户的账号信息的映射关系，以及，将票据返回给用户的客户端。

在认证系统生成票据后，需要对票据进行保存，一方面，将票据保存在认证系统的数据库中，另一方面，将票据返回至用户的客户端中进行保存。

此外，在账号关系映射表中，根据应用系统的标识建立票据与用户的账号信息的映射关系，实际是根据应用系统的标识建立票据与账号信息中账号名称和密码之间的映射关系。

另外，可以在账号关系映射表中对应于账号名称增加权限标识，通过识别该权限标识实现用户在应用系统中的权限控制，还可以在账号关系映射表中增加或删除用户的账号名称和密码，从而增加或禁止用户的访问权限，以减少系统管理员在不同的应用系统中增加、删除或修改用户权限的时间。

步骤S104：根据票据与应用系统的标识，在账号关系映射表中查询用户在应用系统的账号信息。

在账号关系映射表中，根据票据能够查询到用户想要登录的应用系统的账号名称和密码。

步骤S105：根据查询到的账号信息登录应用系统。

在用户通过客户端登录应用系统的过程中，根据票据在账号关系映射表中查询对应的账号名称和密码，根据查询到的账号名称和密码登录应用系统。

上述步骤S102-S105详细说明了用户通过客户端首次登陆应用系统的过程，当该用户通过同一客户端再次登陆该应用系统时，包括以下内容：

查询客户端的本地是否存有票据；如果客户端的本地存有票据，说明该客户端之前经过认证系统的认证，此时，验证该票据的时效性，如果该票据未超过规定的时效时，通过认证系统验证该票据是否正确，如果票据正确，则票据通过验证，用户根据该票据登录应用系统；如果客户端的本地未存有票据或票据的已超过规定的时效性，说明用户之前没有经过认证系统的认证或经过认证的票据已过时效性，则用户需要重新登录该应用系统，跳转到认证系统进行认证。

需要说明的是，本发明在客户端和认证系统端对票据进行双向验证，并从两方面对票据进行验证，一方面为票据的时效性，另一方面为票据的唯一性，且，先验证票据的时效性，如果票据已过时效性，则需要重新通过认证系统进行验证，票据通过时效性的验证后才验证其唯一性，只有通过时效性和唯一性两方面的验证才有资格登录应用系统，两方面的具体验证过程如下：

1、时效性

在生成票据时，预设一个时间段作为票据的时效性，在用户的客户端验证票据的时效性时，根据生成票据时认证系统的时间和客户端的当前时间，确定一个时间段，判断确定出的时间段是否大于与预设的时间段，如果大于，判断票据已过时效性；如果小于，则判断票据未过时效性。

2、唯一性

唯一性是通过认证系统进行验证的，具体过程如下：

(1)认证系统查找其数据库中是否存有上述票据：如果有，验证票据的时效性；如果没有，则重新登录应用系统；

需要说明的是，本发明从两个地方验证票据的时效性，一是在用户的客户端的本地进行验证，二是在认证系统中进行验证。

(2)认证系统对票据的时效性进行验证(验证过程参考时效性的验证)：如果票据未过时效性，验证票据的正确性；如果票据的时效性已过，则重新登录应用系统；

(3)通过加密的密钥解密票据；如果不能解密票据，则重新登录应用系统；如果能解密票据，解密出票据的设备标识和IP，并验证与上传票据的客户端的设备标识和上传票据时的IP是否一致；如果一致，票据通过验证，用户根据票据登录应用系统；如果不一致，则重新登录应用系统。

DeviceID和IP用于防止窃取票据信息，由于DeviceID和IP都具有唯一性，因此，通过验证票据信息是否与发送票据的设备信息一致，就能确定票据是否正确，如果不一致，说明用户与之前登录的终端不同或用户与之前登录的IP不同，可能有外来设备窃取该票据登录应用系统，认证系统不予票据通过验证，需要重新登录应用系统，如果一致，则说明用户通过同一客户端同一IP再次登录应用系统，即登录状态安全，认证系统给予票据通过验证，用户通过票据登录对应的应用系统。

图2示出了根据本发明实施例的多个应用系统的单点登录方法的情景流程。该情景以手机作为客户端，用户访问手机中APP(手机的第三方应用程序)的流程为例进行说明。

如图2所示，本发明实施例提供的多个应用系统的单点登录方法，包括：

步骤S200：用户在APP内点击某个功能，访问功能系统。

用户想要使用APP内的哪个功能就点击该功能，发出访问功能系统的请求。

步骤S201：判断用户是否登录APP；如果是，执行步骤S202；如果否，则执行步骤S205。

判断用户是否登录APP，首先需要判断APP本地内是否存有票据，如果APP本地内有票据，说明之前用户成功登录过APP，即通过认证系统的认证，此时，验证票据的时效性，如果票据未过时效性，认定用户登录APP，也就是说，只有在APP本地内存有票据，且票据未过时效时，认定用户登录APP。

步骤S202：用户携带票据请求功能系统的网络数据。

步骤S203：认证系统验证票据的有效性；如果有效，执行步骤S204，如果无效，执行步骤S205。

有效性的判断参考票据的时效性和唯一性的判断过程，故在此不再赘述。

步骤S204：调用后台应用系统，返回请求的数据，显示功能系统的页面。

在票据通过认证系统的验证时，调用后台应用系统，返回请求的数据，显示功能系统的页面。

步骤S205：跳转到登录页面，用户填写登录所需信息，提交用户信息到认证系统。

对于用户APP本地未存有票据、用户APP本地存有的票据时效性已过或票据未通过认证系统的验证的情况，只要属于前述三个情况中的任何一个，都需要跳转到APP登录页面，用户填写登录所需信息，提交用户信息到认证系统进行认证。

步骤S206：认证系统对用户的登录信息进行验证，如果验证通过，执行步骤S207；如果验证未通过，执行步骤S205。

认证系统验证用户的登录信息是否正确，也就是验证用户输入的账号名称和密码是否正确。

步骤S207：认证系统生成票据保存在认证系统本地和APP中，然后，执行步骤S204。

如果用户输入的账号名称和密码正确，通过认证系统的验证，认证系统生成票据，生成的票据保存在认证系统的数据库中和返回给APP中进行保存。

如果用户输入的账号名称和密码不正确，则跳转到登录页面，用户重新填写登录信息。

需要说明的是，一个用户访问同一个APP内的多个功能系统时，使用的是同一个票据，在用户登录APP后，认证系统为其生成一个票据，用户就能使用该票据访问该APP内的有权限的功能系统，本发明是通过输入的账号名称和密码区别是否为同一用户。

步骤S200～步骤S207为本发明提供的多应用系统的单点登录方法在一个应用情景时的流程，该流程可以增强用户登录的安全性。

上述内容详细描述了本发明提供的多个应用系统的单点登录方法。与上述方法相对应，本发明还提供一种多个应用系统的单点登录装置。

图3示出了根据本发明实施例的多个应用系统的单点登录装置的第一逻辑结构。

如图3所示，本发明实施例提供的多个应用系统的单点登录装置300，包括账号信息采集单元310、映射表建立单元320、跳转认证单元330、用户信息上传单元340、票据生成单元350、票据保存单元360、票据映射单元370、账号信息查询单元380和系统登录单元390。

其中，账号信息采集单元310用于通过采集接入认证系统的各应用系统中用户的账号信息。

映射表建立单元320用于基于用户的账号信息和各应用系统的标识建立账号关系映射表。

跳转认证单元330用于在用户通过客户端首次登录应用系统时，将用户跳转到认证系统进行认证。

用户信息上传单元340用于将用户的账号信息、与客户端一一对应的设备标识加密上传到认证系统。

票据生成单元350用于在认证系统解密后验证用户的账号信息正确时，将设备标识、上传时的IP和当前系统时间用密钥加密生成具有时效性的票据；

票据保存单元360用于将票据保存到认证系统的数据库中，并将票据返回给用户的客户端。

票据映射单元370用于在账号关系映射表中，根据应用系统的标识建立票据与用户的账号信息的映射关系。

账号信息查询单元380用于根据票据与应用系统的标识，在账号关系映射表中查询用户在应用系统的账号信息。

系统登录单元390用于根据查询到的账号信息登录应用系统。

另外，账号信息采集单元310采集的各应用系统的用户的账号信息包括账号名称、密码和用户标识；以及，映射表建立单元320根据用户的用户标识和应用系统的标识，在用户的账号名称、密码与应用系统之间建立映射关系，形成账号关系映射表。

此外，票据映射单元370建立的是票据与账号信息中用户名和密码的映射关系。

另外，多个应用系统的单点登录装置300，还包括票据查询单元400、票据时效性验证单元410和票据正确性验证单元420；其中，票据查询单元400用于在用户通过同一客户端再次登录应用系统时，判断客户端的本地是否存有票据；票据时效性验证单元410用于在客户端的本地存有票据时，验证票据的时效性；票据正确性验证单元420用于在票据未过时效性时，通过认证系统验证票据是否正确，在票据通过验证时登录应用系统；在客户端的本地未存有票据或票据的时效性已过时，重新登录应用系统。

再者，票据正确性验证单元420，包括：

票据查找模块421，用于查找认证系统的数据库中是否存有票据；如果认证系统的数据库中未存有所述票据，重新登录应用系统；

票据时效性检验模块422，用于在认证系统的数据库中存有票据时，通过票据的生成时间验证票据的时效性；如果票据的时效性已过，重新登录应用系统；

票据正确性检验模块423，用于在票据未过时效性时，验证票据的正确性；

票据解密模块424，用于通过密钥解密票据；在不能解密票据时，重新登录应用系统；在能解密票据时，解密出票据的设备标识和IP；

票据验证模块425，用于验证票据解密出的设备标识和IP与客户端的设备标识和上传票据时的IP是否一致；在一致时，票据通过验证，根据票据登录应用系统；在不一致时，重新登录应用系统。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。

Claims (10)

1.一种多个应用系统的单点登录方法，通过采集接入认证系统的各应用系统中用户的账号信息，并基于所述账号信息和各应用系统的标识建立账号关系映射表，根据所述账号关系映射表对各应用系统的用户进行统一认证登录，所述方法包括：

在用户通过客户端首次登录应用系统时，跳转到所述认证系统进行认证，在跳转的同时将所述用户的账号信息、与所述客户端一一对应的设备标识加密上传到所述认证系统；

在所述认证系统解密后验证所述用户的账号信息正确时，将所述设备标识、上传时的IP和当前系统时间用密钥加密生成具有时效性的票据；

将所述票据保存到所述认证系统的数据库中，同时，在所述账号关系映射表中，根据所述应用系统的标识建立所述票据与所述用户的账号信息的映射关系，以及，将所述票据返回给所述用户的客户端；

根据所述票据与所述应用系统的标识，在所述账号关系映射表中查询所述用户在所述应用系统的账号信息；

根据查询到的账号信息登录所述应用系统。

2.如权利要求1所述的多个应用系统的单点登录方法，其中，所述账号信息包括账号名称、密码和用户标识；以及，

在基于所述账号信息和各应用系统的标识建立账号关系映射表的过程中，

根据用户的用户标识和应用系统的标识，在用户的账号名称、密码与应用系统之间建立映射关系，形成账号关系映射表。

3.如权利要求2所述的多个应用系统的单点登录方法，其中，在根据所述应用系统的标识建立所述票据与所述账号信息的映射关系的过程中，

建立所述票据与所述账号信息中账号名称和密码的映射关系。

4.如权利要求1-3中任一项所述的多个应用系统的单点登录方法，其中，在用户通过同一客户端再次登录应用系统时，

查询所述客户端的本地是否存有票据；如果所述客户端的本地存有所述票据，验证所述票据的时效性，如果所述票据未过时效性，通过所述客户端将所述票据上传至所述认证系统进行验证，在所述票据通过验证时登录所述应用系统；如果所述客户端的本地未存有所述票据或所述票据的时效性已过，则重新登录所述应用系统。

5.如权利要求4所述的多个应用系统的单点登录方法，其中，在所述认证系统验证对所述票据进行验证的过程中，

查找所述认证系统的数据库中是否存有所述票据；如果有，验证所述票据的时效性；如果没有，则重新登录所述应用系统；其中，

通过所述票据的生成时间验证所述票据的时效性；如果所述票据未过时效性，验证所述票据的正确性；如果所述票据的时效性已过，则重新登录所述应用系统；以及，

在验证所述票据的正确性的过程中，通过所述密钥解密所述票据；如果不能解密所述票据，则重新登录所述应用系统；如果能解密所述票据，解密出所述票据的设备标识和IP，并验证与所述客户端的设备标识和上传所述票据时的IP是否一致；如果一致，所述票据通过验证，根据所述票据登录所述应用系统；如果不一致，则重新登录所述应用系统。

6.一种多个应用系统的单点登录装置，包括：

账号信息采集单元，用于通过采集接入所述认证系统的各应用系统中用户的账号信息；

映射表建立单元，用于基于用户的账号信息和各应用系统的标识建立账号关系映射表；

跳转认证单元，用于在用户通过客户端首次登录应用系统时，将用户跳转到认证系统进行认证；

用户信息上传单元，用于将所述用户的账号信息、与所述客户端一一对应的设备标识加密上传到所述认证系统；

票据生成单元，用于在所述认证系统解密后验证所述用户的账号信息正确时，将所述设备标识、上传时的IP和当前系统时间用密钥加密生成具有时效性的票据；

票据保存单元，用于将所述票据保存到所述认证系统的数据库中，并将所述票据返回给所述用户的客户端；

票据映射单元，用于在所述账号关系映射表中，根据所述应用系统的标识建立所述票据与所述用户的账号信息的映射关系；

账号信息查询单元，用于根据所述票据与所述应用系统的标识，在所述账号关系映射表中查询所述用户在所述应用系统的账号信息；

系统登录单元，用于根据查询到的账号信息登录所述应用系统。

7.如权利要求6所述的多个应用系统的单点登录装置，其中，所述账号信息采集单元采集的账号信息包括账号名称、密码和用户标识；以及，

所述映射表建立单元根据用户的用户标识和应用系统的标识，在用户的账号名称、密码与应用系统之间建立映射关系，形成账号关系映射表。

8.如权利要求7所述的多个应用系统的单点登录装置，其中，所述票据映射单元建立所述票据与所述账号信息中用户名和密码的映射关系。

9.如权利要求6-8中任一项所述的多个应用系统的单点登录装置，还包括：

票据查询单元，用于在用户通过同一客户端再次登录应用系统时，判断所述客户端的本地是否存有票据；

票据时效性验证单元，用于在所述客户端的本地存有所述票据时，验证所述票据的时效性；

票据正确性验证单元，用于在所述票据未过时效性时，通过所述认证系统验证所述票据是否正确，在所述票据通过验证时登录所述应用系统；在所述客户端的本地未存有所述票据或所述票据的时效性已过时，重新登录所述应用系统。

10.如权利要求9所述的多个应用系统的单点登录装置，其中，所述票据正确性验证单元，包括：

票据查找模块，用于查找所述认证系统的数据库中是否存有所述票据；如果所述认证系统的数据库中未存有所述票据，重新登录所述应用系统；

票据时效性检验模块，用于在所述认证系统的数据库中存有所述票据时，通过所述票据的生成时间验证所述票据的时效性；如果所述票据的时效性已过，重新登录所述应用系统；

票据正确性检验模块，用于在所述票据未过时效性时，验证所述票据的正确性；

票据解密模块，用于通过所述密钥解密所述票据；在不能解密所述票据时，重新登录所述应用系统；在能解密所述票据时，解密出所述票据的设备标识和IP；

票据验证模块，用于验证所述票据解密出的设备标识和IP与所述客户端的设备标识和上传所述票据时的IP是否一致；在一致时，所述票据通过验证，根据所述票据登录所述应用系统；在不一致时，重新登录所述应用系统。