CN105847220A - 一种认证方法、系统和服务平台 - Google Patents

Abstract

本发明公开了一种认证方法、系统和服务平台，所述方法包括用户登录服务平台时，所述服务平台根据用户提交的认证信息向认证中心申请令牌；申请成功后，认证中心为用户颁发令牌并将该令牌发送给服务平台，服务平台将认证中心颁发的令牌授权给在其上注册的每个应用服务；每个应用服务将所述服务平台授权的令牌保存到自身的外部缓存中。在用户使用服务平台上的某一应用服务时，该应用服务根据授权的令牌向认证中心请求验证，如果验证通过，则服务平台允许用户使用该应用服务。本发明的技术方案能够避免应用服务之间的相互认证，并且无需依赖session和cookie，有效提高认证效率。

Description

一种认证方法、系统和服务平台

技术领域

本发明涉及WEB安全认证技术领域，特别涉及一种认证方法、系统和服务平台。

背景技术

如果一个用户拥有两项或多项应用服务：一项是应用服务A，另一个是应用服务B。由于应用服务A与应用服务B是由两家不同的服务提供商提供的，所以用户在这两家服务提供商的网站上各自注册了一个用户，当用户要使用应用服务B和应用服务A时，用户可能先登录应用服务A，再登录应用服务B，这种方式安全但处理比较繁琐，效率低下。

为实现应用服务之间的认证授权，现有的方案是：应用服务A与应用服务B之间预先签订认证服务协议，在用户登录应用服务A时，需要通过认证中心的认证，认证中心认证后为本次认证颁发一个令牌(TOKEN)，使用该令牌用户就可以登录应用服务A。在用户登录应用服务B时，认证中心通过cookie检查是否已经为应用服务A颁发过令牌，如果颁发过，则用户使用该同一个令牌就可以登录应用服务B。其中，在计算机中，尤其是在网络或互联网的WEB应用中，session称为“会话”；cookie是某些网站为了辨别用户身份、进行session跟踪而储存在用户本地终端上的数据。

现有方案的缺陷是：应用服务之间需要预先签订认证服务协议；且令牌颁发后应用服务之间的会话过期时间由session控制，并且认证中心的认证查验依赖cookie。一旦session和cookie中之一失效，则用户需要认证中心的重新认证。

发明内容

本发明的主要目的在于提供了一种认证方法、系统和服务平台，以克服现有应用服务之间需要预先签订认证服务协议的问题。

为达到上述目的，本发明的技术方案是这样实现的：

一方面，本发明提供了一种认证方法，建立一服务平台，该服务平台上注册有多个应用服务；该方法包括：

用户登录服务平台时，所述服务平台根据用户提交的认证信息向认证中心申请令牌；

申请成功后，认证中心为用户颁发令牌并将该令牌发送给服务平台，服务平台将认证中心颁发的令牌授权给在其上注册的每个应用服务；

在用户使用服务平台上的某一应用服务时，该应用服务根据授权的令牌向认证中心请求验证，如果验证通过，则服务平台允许用户使用该应用服务。

优选地，该方法还包括：

所述每个应用服务将所述服务平台授权的令牌保存到自身的外部缓存中。

进一步优选地，所述在用户使用服务平台上的某一应用服务时，该应用服务根据授权的令牌向认证中心请求验证包括：

在用户使用服务平台上的某一应用服务时，该应用服务检查自身的外部缓存中是否有认证中心为该用户颁发的令牌，如果有，则应用服务通过接口向认证中心请求验证该令牌的有效性。

优选地，该方法还包括：

在用户使用服务平台上的某一应用服务时，如果该应用服务根据授权的令牌向认证中心请求验证失败，则需要用户重新提交认证信息，服务平台根据用户重新提交的认证信息向认证中心重新申请令牌。

本技术方案在用户登录服务平台时，服务平台根据用户提交的认证信息向认证中心申请令牌，将认证中心颁发的令牌统一授权给服务平台上每一个应用服务，使用户能够在使用任一应用服务时，应用服务只需直接根据已授权的令牌向认证中心验证该令牌的有效性即可，避免同一用户在使用不同服务提供商提供的应用服务时，需要应用服务之间进行认证授权，提高认证效率。

并且，本实施例将服务平台授权的令牌保存到每个应用服务自身的外部缓存中，因此无需依赖于session和cookie，方便用户能够快速通过认证中心的验证，减小认证中心的压力。

另一方面，本发明提供了一种认证系统，包括：服务平台、认证中心、多个应用服务，所述多个应用服务注册在所述服务平台上；

所述服务平台，用于用户登录时，根据用户提交的认证信息向认证中心申请令牌；申请成功后将认证中心为用户颁发的令牌授权给在其上注册的每个应用服务；以及在用户使用服务平台上的某一应用服务时，如果该应用服务根据授权的令牌向认证中心请求验证通过，则允许用户使用该应用服务；

所述认证中心，用于接收所述服务平台根据用户提交的认证信息的令牌申请，如果申请成功为用户颁发令牌并将该令牌发送给所述服务平台；以及在用户使用服务平台上的某一应用服务时，对该应用服务根据授权的令牌请求验证进行验证；

所述多个应用服务，用于在用户使用服务平台上的自身的应用服务时，根据所述服务平台授权的令牌向所述认证中心请求验证。

优选地，所述多个应用服务，还用于将所述服务平台授权的令牌保存到自身的外部缓存中。

进一步优选地，所述多个应用服务，具体用于在用户使用服务平台上的自身的应用服务时，检查自身的外部缓存中是否有所述认证中心为该用户颁发的令牌，如果有，则通过接口向认证中心请求验证该令牌的有效性。

优选地，所述服务平台，还用于在用户使用服务平台上的某一应用服务时，如果该应用服务根据授权的令牌向认证中心请求验证失败，则根据用户重新提交的认证信息向认证中心重新申请令牌。

本技术方案的服务平台在用户登录时，根据用户提交的认证信息向认证中心申请令牌，将认证中心颁发的令牌统一授权给服务平台上每一个应用服务，使用户能够在使用任一应用服务时，应用服务只需直接根据已授权的令牌向认证中心验证该令牌的有效性即可，避免同一用户在使用不同服务提供商提供的应用服务时，需要应用服务之间进行认证授权，提高认证效率。

并且，本实施例的服务平台将认证中心颁发的令牌保存到每个应用服务自身的外部缓存中，因此无需依赖于session和cookie，方便用户能够快速通过认证中心的验证，减小认证中心的压力。

又一方面，本发明提供了一种服务平台，该服务平台上注册有多个应用服务；该服务平台包括：

令牌申请单元，用于用户登录时，根据用户提交的认证信息向认证中心申请令牌；

令牌授权单元，用于所述令牌申请单元向认证中心申请令牌成功后，将认证中心为用户颁发的令牌授权给在其上注册的每个应用服务；

服务允许单元，用于在用户使用其上的某一应用服务时，如果该应用服务根据授权的令牌向认证中心请求验证通过，则允许用户使用该应用服务。

优选地，该服务平台还包括：

令牌重新申请单元，用于在用户使用服务平台上的某一应用服务时，如果该应用服务根据授权的令牌向认证中心请求验证失败，则根据用户重新提交的认证信息向认证中心重新申请令牌。

本技术方案的服务平台能够使用户登录其上注册的任一应用服务，避免同一用户在使用不同服务提供商提供的应用服务时，需要应用服务之间进行认证授权。

附图说明

图1本发明实施例提供的一种的认证方法的流程示意图；

图2为本发明实施例提供的一种基于服务平台向认证中心进行认证的技术流程图；

图3为本发明实施例提供的应用服务验证令牌有效性的技术流程图；

图4为本发明实施例提供的一种的认证系统的组成结构示意图；

图5为本发明实施例提供的一种服务平台结构示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明实施方式作进一步地详细描述。

本发明的整体思路是：建立一个注册有多个应用服务的服务平台，用户在登录该服务平台时，服务平台根据用户提供的认证信息向认证中心申请令牌TOKEN，并将认证中心颁发的令牌TOKEN保存在该服务平台上的每个应用服务的外部缓存中，从而使用户在使用服务平台上的任一应用服务时，可以直接根据已授权的令牌TOKEN向认证中心进行验证，通过验证后用户即可使用该应用服务。

本技术方案在向认证中心认证前，建立一服务平台，该服务平台上注册有多个应用服务。

如图1所示，为本发明实施例提供的一种的认证方法的流程示意图，该方法包括如下步骤：

S100，用户登录服务平台时，所述服务平台根据用户提交的认证信息向认证中心申请令牌TOKEN。

S101，申请成功后，认证中心为用户颁发令牌TOKEN并将该令牌发送给服务平台，服务平台将认证中心颁发的令牌TOKEN授权给在其上注册的每个应用服务。

优选地，每个应用服务将服务平台授权的令牌TOKEN保存到自身的外部缓存中；其中外部缓存可以为memcached或Ehcache，借助于memcached和Ehcache高性能、高可用性以及分布式的特点，可以提高认证中心验证应用服务中令牌TOKEN有效性的效率。

以Ehcache为例，该服务平台上注册的每个应用服务上通过jar包方式添加Ehcache，每个应用服务将所述服务平台授权的令牌TOKEN保存到自身的Ehcache中。

其中，Ehcache是目前最流行的纯java开源缓存框架，具有快速轻量、配置简单、结构清晰、功能强大等特点。由于只需要很小的jar包(Ehcache2.2.3仅需要668kbjar包)就可以将Ehcache添加到APP(Application，应用程序)中，而且Ehcache的线程机制使得APP很容易部署上线和运行，因此能够保证本服务平台上的各种应用服务都能成功添加Ehcache缓存框架。此外，Ehcache的线程采用Doug Lea的设计思想，在保证线程安全的条件下能够获得较高的性能，在大内存环境下，能够做到数百G的吞吐。因此本实施例优选使用Ehcache缓存框架存储服务平台授权的令牌TOKEN。

S102，在用户使用服务平台上的某一应用服务时，该应用服务根据授权的令牌TOKEN向认证中心请求验证，如果验证通过，则服务平台允许用户使用该应用服务。

具体的，在用户使用服务平台上的某一应用服务时，该应用服务检查自身的外部缓存中是否有认证中心为该用户颁发的令牌TOKEN，如果有，则应用服务通过http(Hypertext transfer protocol，超文本传送协议)接口、RMI(Remote Method Invocation，远程方法调用)接口或SOAP(Simple ObjectAccess Protocol，简单对象访问协议)接口向认证中心请求验证该令牌TOKEN的有效性。

其中http定义了万维网客户进程怎样向万维网服务器请求万维网文档以及服务器怎样把文档传输给客户进程；http是一种面向应用层的协议，由请求和响应构成，具有简单快速、灵活、支持客户服务器模式以及无状态的特点；

RMI是Java的一组拥护开发分布式应用程序的API，使用Java语言接口定义远程对象，使用Java远程消息交换协议进行通信，RMI具有强大的开发分布式网络应用能力，能够实现程序组件在不同操作系统之间的通信；

SOAP是交换数据的一种轻量的、简单的、基于XML(标准通用标记语言下的一个子集)的协议，SOAP可以和HTTP、SMTP(简单邮件传输协议)以及MIME(多用途网际邮件扩充协议)结合使用，支持从消息系统到远程调用等大量的应用程序；并且SOAP使用基于XML的数据结构和超文本传输协议的组合定了一个标准方法使用因特网上各种操作环境中的分布式对象。

在实际应用中，在用户使用服务平台上的某一应用服务时，如果该应用服务根据授权的令牌TOKEN向认证中心请求验证失败，则需要用户重新提交认证信息，服务平台根据用户重新提交的认证信息向认证中心重新申请令牌TOKEN。

图2为本发明实施例提供的一种基于服务平台向认证中心进行认证的技术流程图，假设该服务平台上包括N个应用服务，N为大于1的正整数。

用户通过web浏览器访问服务平台，向服务平台提交认证信息。

服务平台根据用户提供的认证信息(账号密码等信息)向认证中心申请令牌TOKEN，申请成功后，服务平台将认证中心颁发的令牌TOKEN授权给每一个应用服务，每一个应用服务将认证授权的令牌TOKEN保存到自身的Ehcache中。

当用户需要使用服务平台上的某一应用服务时，根据该应用服务的Ehcache中保存的令牌TOKEN向认证中心请求验证令牌TOKEN的有效性。

具体的，如图3所示，为本发明实施例提供的应用服务验证令牌有效性的技术流程图。假设用户已通过web浏览器与服务平台建立服务，并请求使用服务平台中的应用服务1，应用服务1检查其Ehcache中是否存在令牌TOKEN，如果存在，则应用服务1通过http接口向认证中心请求验证Ehcache中为该用户颁发令牌TOKEN的有效性，如果认证中心验证该令牌TOKEN有效，则用户即可使用应用服务1；如果无效，则用户重新提交认证信息(账户密码等信息)，服务平台根据用户重新提交的认证信息再次向认证中心申请令牌TOKEN，并授权包括应用服务1的每一个应用服务。

需要说明的是，Ehcache中可以存储多个用户的授权令牌TOKEN。并且当某一用户的令牌失效，再次通过服务平台向认证中心申请获得新的令牌TOKEN时，服务平台会将新的令牌TOKEN授权给每个应用服务，每个应用服务器再将新的授权令牌TOKEN保存在Ehcache中，当用户申请使用某一应用服务时，由于该应用服务的Ehcache中的旧令牌已过期失效，认证中心将根据该应用服务器的请求验证信息验证其Ehcache中保存的新的授权令牌TOKEN，以提高认证效率。

本实施例在用户登录服务平台时，服务平台根据用户提交的认证信息向认证中心申请令牌TOKEN，将认证中心颁发的令牌TOKEN授权给服务平台上每一个应用服务，使用户能够在使用任一应用服务时，只需直接根据已授权的令牌TOKEN向认证中心验证该令牌TOKEN的有效性即可，避免同一用户在使用不同服务提供商提供的应用服务时，需要应用服务之间进行认证授权。

并且，本实施例将服务平台授权的令牌TOKEN保存到每个应用服务自身的外部缓存中，因此无需依赖于session和cookie，且方便用户能够快速通过认证中心的验证，减小认证中心的压力。

至此，本发明实施例基于服务平台完成多个应用服务的统一认证，能够避免应用服务之间的相互认证。并且，优选实施例中将服务平台授权的令牌TOKEN保存到每个应用服务自身的外部缓存中，相比于传统方案，本实施例不需要通过cookie维持应用服务的会话session，无需依赖于session和cookie，因此能够避免依赖于session和cookie可能导致的各种问题。

图4为本发明实施例提供的一种的认证系统的组成结构示意图，所述系统包括服务平台41、认证中心42、多个应用服务43，所述多个应用服务43注册在服务平台41上。

服务平台41，用于用户登录时，根据用户提交的认证信息向认证中心42申请令牌TOKEN；申请成功后将认证中心42为用户颁发的令牌TOKEN授权给在其上注册的每个应用服务43；以及在用户使用服务平台41上的某一应用服务43时，如果该应用服务43根据授权的令牌TOKEN向认证中心42请求验证通过，则允许用户使用该应用服务43；

认证中心42，用于接收服务平台41根据用户提交的认证信息的令牌TOKEN申请，如果申请成功为用户颁发令牌并将该令牌TOKEN发送给服务平台41；

多个应用服务43，用于在用户使用服务平台41上的自身的应用服务时，根据服务平台41授权的令牌TOKEN向认证中心42请求验证。

优选地，多个应用服务43，还用于将服务平台41授权的令牌TOKEN保存到自身的外部缓存中。

具体的，多个应用服务43，用于在用户使用服务平台41上的自身的应用服务时，检查自身的外部缓存中是否有认证中心42为该用户颁发的令牌TOKEN，如果有，则通过接口向认证中心42请求验证该令牌TOKEN的有效性。

优选地，服务平台41，还用于在用户使用服务平台41上的某一应用服务43时，如果该应用服务43根据授权的令牌TOKEN向认证中心42请求验证失败，则根据用户重新提交的认证信息向认证中心42重新申请令牌TOKEN。

本实施例的服务平台在用户登录时，根据用户提交的认证信息向认证中心申请令牌TOKEN，将认证中心颁发的令牌TOKEN授权给服务平台上每一个应用服务，使用户能够在使用任一应用服务时，只需直接根据已授权的令牌TOKEN向认证中心验证该令牌TOKEN的有效性即可，避免同一用户在使用不同服务提供商提供的应用服务时，需要应用服务之间进行认证授权。

并且，本实施例的服务平台将认证中心颁发的令牌TOKEN保存到每个应用服务自身的外部缓存中，因此无需依赖于session和cookie，方便用户能够快速通过认证中心的验证，减小认证中心的压力。

图5为本发明实施例提供的一种服务平台结构示意图，所述服务平台包括令牌申请单元51、令牌授权单元52、服务允许单元53。

令牌申请单元51，用于用户登录时，根据用户提交的认证信息向认证中心申请令牌TOKEN；

令牌授权单元52，用于令牌申请单元51向认证中心申请令牌TOKEN成功后，将认证中心为用户颁发的令牌TOKEN授权给在其上注册的每个应用服务；

服务允许单元53，用于在用户使用其上的某一应用服务时，如果该应用服务根据授权的令牌TOKEN向认证中心请求验证通过，则允许用户使用该应用服务。

优选地，该服务平台还包括：

令牌重新申请单元，用于在用户使用服务平台上的某一应用服务时，如果该应用服务根据授权的令牌向认证中心请求验证失败，则根据用户重新提交的认证信息向认证中心重新申请令牌。

本实施例的服务平台能够使用户可以直接登录应用服务，使该应用服务快速安全的向认证中心进行认证，提高认证效率。

综上所述，本发明实施例提供了一种认证方法、系统和服务平台，所述方法通过在用户登录服务平台时，服务平台根据用户提交的认证信息向认证中心申请令牌TOKEN，将认证中心颁发的令牌TOKEN授权给服务平台上每一个应用服务，使用户能够在使用任一应用服务时，只需直接根据已授权的令牌TOKEN向认证中心验证该令牌TOKEN的有效性即可，避免同一用户在使用不同服务提供商提供的应用服务时，需要应用服务之间进行认证授权。并且，本发明将服务平台授权的令牌TOKEN保存到每个应用服务自身的外部缓存中，因此无需依赖于session和cookie，方便用户能够快速通过认证中心的验证，减小认证中心的压力。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims (10)

1.一种认证方法，其特征在于，建立一服务平台，该服务平台上注册有多个应用服务；该方法包括：

用户登录服务平台时，所述服务平台根据用户提交的认证信息向认证中心申请令牌；

申请成功后，认证中心为用户颁发令牌并将该令牌发送给服务平台，服务平台将认证中心颁发的令牌授权给在其上注册的每个应用服务；

在用户使用服务平台上的某一应用服务时，该应用服务根据授权的令牌向认证中心请求验证，如果验证通过，则服务平台允许用户使用该应用服务。

2.根据权利要求1所述的认证方法，其特征在于，该方法还包括：

所述每个应用服务将所述服务平台授权的令牌保存到自身的外部缓存中。

3.根据权利要求2所述的认证方法，其特征在于，所述在用户使用服务平台上的某一应用服务时，该应用服务根据授权的令牌向认证中心请求验证包括：

在用户使用服务平台上的某一应用服务时，该应用服务检查自身的外部缓存中是否有认证中心为该用户颁发的令牌，如果有，则应用服务通过接口向认证中心请求验证该令牌的有效性。

4.根据权利要求1-3所述的认证方法，其特征在于，该方法还包括：

在用户使用服务平台上的某一应用服务时，如果该应用服务根据授权的令牌向认证中心请求验证失败，则需要用户重新提交认证信息，服务平台根据用户重新提交的认证信息向认证中心重新申请令牌。

5.一种认证系统，其特征在于，包括：服务平台、认证中心、多个应用服务，所述多个应用服务注册在所述服务平台上；

所述服务平台，用于用户登录时，根据用户提交的认证信息向认证中心申请令牌；申请成功后将认证中心为用户颁发的令牌授权给在其上注册的每个应用服务；以及在用户使用服务平台上的某一应用服务时，如果该应用服务根据授权的令牌向认证中心请求验证通过，则允许用户使用该应用服务；

所述认证中心，用于接收所述服务平台根据用户提交的认证信息的令牌申请，如果申请成功为用户颁发令牌并将该令牌发送给所述服务平台；以及在用户使用服务平台上的某一应用服务时，对该应用服务根据授权的令牌请求验证进行验证；

所述多个应用服务，用于在用户使用服务平台上的自身的应用服务时，根据所述服务平台授权的令牌向所述认证中心请求验证。

6.根据权利要求5所述的认证系统，其特征在于，所述多个应用服务，还用于将所述服务平台授权的令牌保存到自身的外部缓存中。

7.根据权利要求6所述的认证系统，其特征在于，

所述多个应用服务，具体用于在用户使用服务平台上的自身的应用服务时，检查自身的外部缓存中是否有所述认证中心为该用户颁发的令牌，如果有，则通过接口向认证中心请求验证该令牌的有效性。

8.根据权利要求5-7任一项所述的认证系统，其特征在于，

所述服务平台，还用于在用户使用服务平台上的某一应用服务时，如果该应用服务根据授权的令牌向认证中心请求验证失败，则根据用户重新提交的认证信息向认证中心重新申请令牌。

9.一种服务平台，其特征在于，该服务平台上注册有多个应用服务；该服务平台包括：

令牌申请单元，用于用户登录时，根据用户提交的认证信息向认证中心申请令牌；

令牌授权单元，用于所述令牌申请单元向认证中心申请令牌成功后，将认证中心为用户颁发的令牌授权给在其上注册的每个应用服务；

服务允许单元，用于在用户使用其上的某一应用服务时，如果该应用服务根据授权的令牌向认证中心请求验证通过，则允许用户使用该应用服务。

10.根据权利要求9所述的服务平台，其特征在于，该服务平台还包括：

令牌重新申请单元，用于在用户使用服务平台上的某一应用服务时，如果该应用服务根据授权的令牌向认证中心请求验证失败，则根据用户重新提交的认证信息向认证中心重新申请令牌。