CN106603556B - 单点登录方法、装置及系统 - Google Patents

Abstract

本发明实施例提供的单点登录方法、装置及系统，涉及数据通信领域。所述方法包括：通过应用系统接收到未登录用户的客户端发起的业务访问时，查找单点登录服务器的公网地址；再向发起所述业务访问的客户端发送目标为所述公网地址的重定向信息，所述重定向信息还携带有所述应用系统地址；然后接收所述客户端基于所述公网地址在所述单点登录服务器完成登录后，再基于所述单点登录服务器发送的目标为所述应用系统地址发起的重定向信息发起的访问请求，以此解决NAT组网下多网络集群门户的单点登录问题，实现简单，可扩展性强。

Description

单点登录方法、装置及系统

技术领域

本发明涉及数据通信领域，具体而言，涉及一种单点登录方法、装置及系统。

背景技术

现有大部分业务系统一般集成比较多的应用系统，并提供统一的入口地址和单点登录，这种门户系统在实际部署中一般会采用NAT(Network Address Translation，网络地址转换)组网模式，以解决公网地址紧缺和安全性问题。由于单点登录服务器、应用系统是分布式部署的，因此集群门户、应用系统重定向到单点登录服务器的地址无法确定(单点登录服务器在NAT设备上映射了多个地址)。

该问题业界一般处理方式为使用DNS(Domain Name System，域名系统)来解决，即在每个网络中增加一个DNS服务器，将单点登录服务器地址(所在网络内网地址)和域名的外网地址和端口配置在DNS服务器中，集群门户和应用系统重定向单点登录服务器的地址为域名，然后客户端的浏览器首先查找DNS服务器，解析到单点登录服务器的域名对应的IP地址和端口，然后通过NAT设备转换为内网的地址和端口，从而单点登录服务器完成单点登录认证。但该实现方案存在如下问题：每个网络都需要额外的DNS服务器，新增网络也涉及DNS服务器和配置的变更，必然会增加客户的投资和部署复杂度，扩展性较差。

发明内容

有鉴于此，本发明实施例的目的在于提供一种单点登录方法、装置及门户系统，以改善上述问题。

第一方面，本发明实施例提供了一种单点登录方法，所述方法包括：应用系统接收到未登录用户的客户端发起的业务访问时，获取单点登录服务器的公网地址；向发起所述业务访问的客户端发送目标为所述公网地址的重定向信息，所述重定向信息还携带有所述应用系统地址；接收所述客户端基于所述公网地址在所述单点登录服务器完成登录后，再基于所述单点登录服务器发送的目标为应用系统地址的重定向信息发起的访问请求。

第二方面，本发明实施例提供了一种单点登录方法，所述方法包括：应用系统接收到未登录用户的客户端发起的业务访问时，获取单点登录服务器的公网地址；所述应用系统向发起所述业务访问的客户端发送目标为所述公网地址的重定向信息，所述重定向信息还携带有所述应用系统地址；所述客户端基于所述公网地址通过NAT设备向所述单点登录服务器发送携带所述应用系统地址的登录请求；所述单点登录服务器验证成功后，向所述客户端发送目标为所述应用系统地址的重定向信息；所述客户端基于所述目标为所述应用系统地址的重定向信息，访问所述应用系统。

第三方面，本发明实施例提供了一种单点登录装置，应用于应用系统，所述装置包括：获取单元，用于接收到未在所述应用系统登录的用户的客户端发起的业务访问时，获取单点登录服务器的公网地址；发送单元，用于向发起所述业务访问的客户端发送目标为所述公网地址的重定向信息，所述重定向信息还携带有所述应用系统地址；接收单元，用于接收所述客户端基于所述公网地址在所述单点登录服务器完成登录后，再基于所述单点登录服务器发送的目标为应用系统地址的重定向信息发起的访问请求。

第四方面，本发明实施例提供了一种单点登录系统，所述系统包括应用系统、单点登录服务器、NAT设备，所述应用系统、单点登录服务器位于所述NAT设备的局域网侧；所述应用系统，用于接收到未登录用户的客户端发起的业务访问时，获取单点登录服务器的公网地址以及向发起所述业务访问的客户端发送目标为所述公网地址的重定向信息，所述重定向信息还携带有所述应用系统地址；所述单点登录服务器，用于接收所述客户端基于所述公网地址通过所述NAT设备发送携带所述应用系统地址的登录请求，以及验证所述登录请求成功后，向所述客户端发送目标为所述应用系统地址的重定向信息；所述应用系统，还用于接收所述客户端基于所述应用系统地址发送的访问请求。

本发明实施例提供的单点登录方法、装置及系统，通过应用系统接收到未登录用户的客户端发起的业务访问时，获取单点登录服务器的公网地址；再向发起所述业务访问的客户端发送目标为所述公网地址的重定向信息，所述重定向信息还携带有所述应用系统地址；然后接收所述客户端基于所述公网地址在所述单点登录服务器完成登录后，再基于所述单点登录服务器发送的目标为应用系统地址的重定向信息发起的访问请求，以此解决NAT组网下多网络集群门户的单点登录问题，实现简单，可扩展性强。

本发明的其他特征和优点将在随后的说明书阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明实施例了解。本发明的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本发明的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1为本发明实施例的应用环境示意图；

图2为本发明第一实施例提供的单点登录方法的流程图；

图3为本发明第二实施例提供的单点登录方法的时序图；

图4为本发明第三实施例提供的单点登录装置的结构框图。

具体实施方式

下面将结合本发明实施例中附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本发明实施例的组件可以以各种不同的配置来布置和设计。因此，以下对在附图中提供的本发明的实施例的详细描述并非旨在限制要求保护的本发明的范围，而是仅仅表示本发明的选定实施例。基于本发明的实施例，本领域技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。同时，在本发明的描述中，术语“第一”、“第二”等仅用于区分描述，而不能理解为指示或暗示相对重要性。

本发明各实施例如无特别说明均可应用于如图1所示的环境中，如图1所示，单点登录系统中，包括应用系统100、单点登录服务器200、NAT设备300。所述应用系统100、单点登录服务器200位于所述NAT设备300的局域网侧。其中，应用系统100包括业务系统和/或集群门户。例如，政府、学校门户管理系统。客户端400可以为PC(personal computer)电脑、平板电脑、手机、电子阅读器、笔记本电脑、智能电视、机顶盒、车载终端等终端设备安装的网页浏览器或者应用客户端。所述网络500可以为有线或网线网络。

客户端400通过网络500可以访问NAT设备300的局域网内的应用系统100。在本实施例中，应用系统100，用于接收到未登录用户的业务访问时，获取单点登录服务器200的公网地址以及向发起所述业务访问的客户端400发送目标为所述公网地址的重定向信息，所述重定向信息还携带有所述应用系统地址。

其中，单点登录服务器200，用于接收所述客户端400基于所述公网地址通过所述NAT设备300发送携带所述应用系统地址的登录请求，以及验证所述登录请求成功后，向所述客户端400发送目标为所述应用系统地址的重定向信息。

应用系统100，还用于接收所述客户端400基于所述应用系统地址发送的访问请求。

本发明实施例中客户端400为浏览器或者APP。

第一实施例

请参照图2，本发明实施例提供的一种单点登录方法，应用于上述单点登录系统，所述方法包括：

步骤S200：所述应用系统接收到未登录用户的客户端发起的业务访问时，获取单点登录服务器的公网地址；

当用户通过客户端如浏览器经过NAT设备访问到内网的应用系统如集群门户或业务系统。集群门户或业务系统会该用户判断是否已经登录。如果集群门户或业务系统判断该用户已经登录，该用户可以直接访问到该集群门户或业务系统。

如果集群门户或业务系统判断该用户未登录或登录过期，则该用户需要访问单点登录服务器进行登录认证后才可以进一步的访问集群门户或业务系统。则应用系统会查找单点登录服务器的公网地址。作为一种方式，应用系统可以根据访问客户端的IP地址来对应分配单点登录服务器的公网地址。即所述应用系统会获取所述客户端的IP地址段，然后查找与所述IP地址段对应的单点登录服务器的公网地址。进一步地，应用系统可以基于本地存储的映射表查找与所述IP地址段对应的单点登录服务器的公网地址，所述映射表保存有对应的IP地址段以及单点登录服务器的公网地址。

例如，设应用系统获取到该用户所绑定的客户端的IP地址为a.xxx.xxx.xxx，而预先存储的映射表中与地址段a.xxx.xxx.xxx对应的单点登录服务器地址为119.75.217.10，应用系统通过查找该映射表则可以得到与IP地址a.xxx.xxx.xxx对应的单点登录服务器地址119.75.217.10。

步骤S210：向发起所述业务访问的客户端发送目标为所述公网地址的重定向信息，所述重定向信息还携带有所述应用系统地址；

应用系统查找到单点登录服务器的公网地址之后，发送目标为所述公网地址的重定向信息给发起所述业务访问的客户端。同时所述重定向信息还携带有所述应用系统地址。作为一种方式，所述应用系统地址为所述应用系统认证的指向所述应用系统的URL地址，该认证方式有多种，例如可以采用token认证。

步骤S220：接收所述客户端基于所述公网地址访问所述单点登录服务器完成登录后，再基于所述单点登录服务器发送的目标为应用系统地址的重定向信息发起的访问请求；

发起所述业务访问的用户所绑定的客户端接收到目标为所述公网地址的重定向信息后，向所述NAT设备发起访问请求，NAT设备基于获取的单点登录服务器的公网地址，得到该单点登录服务器的局域网地址，再基于该局域网地址将客户端发起的访问请求转发给单点登录服务器。单点登录服务器需要认证该用户的登录信息。用户的登录信息可以包括用户的登录账号信息(可以是用户名、手机号、邮箱地址等)。

可以理解，在用户第一次访问该应用系统时，用户可以在该应用系统上注册账号信息，应该系统会将该账号信息上报给单点登录服务器，单点登录服务器将其记录在账号列表中。此时，单点登录服务器会将此时用户的登录信息与预先存储的该用户的登录信息进行验证，若一致，则认证成功。

认证成功表明该用户在单点登录服务器上完成了登录。此时，单点登录服务器发送向所述客户端发送目标为所述应用系统地址的重定向信息，最后，所述客户端基于所述目标为所述应用系统地址的重定向信息，访问所述应用系统。其中，所述应用系统地址为基于token认证的指向所述应用系统的URL地址。客户端如终端浏览器根据所述应用系统地址访问认证过后的应用系统如集群门户或业务系统。

本发明实施例提供的单点登录方法，通过应用系统接收到未登录用户的客户端发起的业务访问时，获取单点登录服务器的公网地址；再向发起所述业务访问的客户端发送目标为所述公网地址的重定向信息，所述重定向信息还携带有所述应用系统地址；然后接收所述客户端基于所述公网地址在所述单点登录服务器完成登录后，再基于所述单点登录服务器发送的目标为所述应用系统地址的重定向信息发起的访问请求，以此解决NAT组网下多网络集群门户的单点登录问题，实现简单，可扩展性强。

第二实施例

请参照图3，本发明实施例提供了一种单点登录方法，所述方法包括：

步骤S400：客户端经过NAT设备向应用系统发起业务请求；

用户通过客户端经过NAT设备访问到所述NAT设备局域网内的应用系统；

步骤S410：应用系统判断发起业务请求的该用户是否登录，若该用户没有登录，则通过本地存储的映射表，查找单点登录服务器的公网地址；

具体地，所述应用系统接收到未登录用户的客户端发起的业务访问时，获取所述客户端的IP地址段；查找与所述IP地址段对应的单点登录服务器的公网地址。所述应用系统基于本地存储的映射表查找与所述IP地址段对应的单点登录服务器的公网地址，所述映射表保存有对应的IP地址段以及单点登录服务器的公网地址。

步骤S420：应用系统向发起所述业务访问的客户端发送目标为所述公网地址的重定向信息，所述重定向信息还携带有所述应用系统地址；

步骤S430：所述客户端基于所述公网地址向所述NAT设备发送访问请求；

步骤S440：NAT设备基于获取的单点登录服务器的公网地址，获得该单点登录服务器的局域网地址；再基于该局域网地址将客户端发送的访问请求转发给单点登录服务器；

步骤S450：单点登录服务器验证所述NAT设备转发的访问请求，认证成功后，向所述客户端发送目标为所述应用系统地址的重定向信息；

步骤S460：所述客户端基于所述目标为应用系统地址的重定向信息，访问所述应用系统。

其中，所述应用系统地址为基于token认证的指向所述应用系统的URL地址。

用户通过客户端基于所述目标为应用系统地址的重定向信息，访问认证后的应用系统如集群门户或业务系统。

本发明实施例提供的单点登录方法，通过在应用系统存储映射表查找到单点登录地址服务器的公网地址，实现客户端可以直接访问到该应用系统，以此解决NAT组网下多网络集群门户的单点登录问题，实现简单，可扩展性强。

第三实施例

请参照图4，本发明实施例提供了一种单点登录装置600，应用于应用系统100，所述装置600包括：

获取单元610，用于接收到未在所述应用系统登录的用户的客户端发起的业务访问时，获取单点登录服务器的公网地址。

作为一种实施方式，获取单元610包括获取子单元611以及查找子单元612。

获取子单元611，用于获取所述客户端的IP地址段。

查找子单元612，用于查找与所述IP地址段对应的单点登录服务器的公网地址。

查找子单元612，具体用于基于本地存储的映射表查找与所述IP地址段对应的单点登录服务器的公网地址，所述映射表保存有对应的IP地址段以及单点登录服务器的公网地址。

发送单元620，用于向发起所述业务访问的客户端发送目标为所述公网地址的重定向信息，所述重定向信息还携带有所述应用系统地址。

所述应用系统地址为所述应用系统基于token认证的指向所述应用系统的URL地址。

接收单元630，用于接收所述客户端基于所述公网地址在所述单点登录服务器完成登录后，再基于所述登录服务器发送的目标为应用系统地址的重定向信息发起的访问请求。

本发明实施例提供的单点登录装置600，其实现原理及产生的技术效果和前述方法实施例相同，为简要描述，装置实施例部分未提及之处，可参考前述方法实施例中相应内容。

本发明实施例提供的单点登录方法、装置及系统，通过应用系统接收到未登录用户的客户端发起的业务访问时，获取单点登录服务器的公网地址；再向发起所述业务访问的客户端发送目标为所述公网地址的重定向信息，所述重定向信息还携带有所述应用系统地址；然后接收所述客户端基于所述公网地址访问在所述单点登录服务器完成登录后，再基于所述单点登录服务器发送的目标为所述应用系统地址的重定向信息发起的访问请求，以此解决NAT组网下多网络集群门户的单点登录问题，实现简单，可扩展性强。

在本申请所提供的几个实施例中，应该理解到，所揭露的装置和方法，也可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，附图中的流程图和框图显示了根据本发明的多个实施例的装置、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现方式中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

另外，在本发明各个实施例中的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。

所述功能如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

Claims (10)

1.一种单点登录方法，其特征在于，所述方法包括：

应用系统接收到未登录用户的客户端发起的业务访问时，获取单点登录服务器的公网地址；

向发起所述业务访问的客户端发送目标为所述公网地址的重定向信息，所述重定向信息还携带有所述应用系统地址，以使所述客户端基于所述公网地址通过NAT设备向所述单点登录服务器发送携带所述应用系统地址的登录请求，其中，所述应用系统、单点登录服务器位于所述NAT设备的局域网侧；

接收所述客户端基于所述公网地址在所述单点登录服务器完成登录后，再基于所述单点登录服务器发送的目标为所述应用系统地址的重定向信息发起的访问请求。

2.根据权利要求1所述的方法，其特征在于，所述获取单点登录服务器的公网地址，包括：

获取所述客户端的IP地址段；

查找与所述IP地址段对应的单点登录服务器的公网地址。

3.根据权利要求2所述的方法，其特征在于，所述查找与所述IP地址段对应的单点登录服务器的公网地址，包括：

基于本地存储的映射表查找与所述IP地址段对应的单点登录服务器的公网地址，所述映射表保存有对应的IP地址段以及单点登录服务器的公网地址。

4.根据权利要求1-3任一所述的方法，其特征在于，所述应用系统地址为所述应用系统认证的指向所述应用系统的URL地址。

5.一种单点登录方法，其特征在于，所述方法包括：

应用系统接收到未登录用户的客户端发起的业务访问时，获取单点登录服务器的公网地址；

所述应用系统向发起所述业务访问的客户端发送目标为所述公网地址的重定向信息，所述重定向信息还携带有所述应用系统地址；

所述客户端基于所述公网地址通过NAT设备向所述单点登录服务器发送携带所述应用系统地址的登录请求，其中，所述应用系统、单点登录服务器位于所述NAT设备的局域网侧；

所述单点登录服务器验证成功后，向所述客户端发送目标为所述应用系统地址的重定向信息；

所述客户端基于所述目标为所述应用系统地址的重定向信息，访问所述应用系统。

6.一种单点登录装置，其特征在于，应用于应用系统，所述装置包括：

获取单元，用于接收到未登录用户的客户端发起的业务访问时，获取单点登录服务器的公网地址；

发送单元，用于向发起所述业务访问的客户端发送目标为所述公网地址的重定向信息，所述重定向信息还携带有所述应用系统地址，以使所述客户端基于所述公网地址通过NAT设备向所述单点登录服务器发送携带所述应用系统地址的登录请求，其中，所述应用系统、单点登录服务器位于所述NAT设备的局域网侧；

接收单元，用于接收所述客户端基于所述公网地址在所述单点登录服务器完成登录后，再基于所述单点登录服务器发送的目标为所述应用系统地址的重定向信息发起的访问请求。

7.根据权利要求6所述的装置，其特征在于，所述获取单元包括：

获取子单元，用于获取所述客户端的IP地址段；

查找子单元，用于查找与所述IP地址段对应的单点登录服务器的公网地址。

8.根据权利要求7所述的装置，其特征在于，所述查找子单元，具体用于基于本地存储的映射表查找与所述IP地址段对应的单点登录服务器的公网地址，所述映射表保存有对应的IP地址段以及单点登录服务器的公网地址。

9.根据权利要求6-8任一项所述的装置，其特征在于，所述应用系统地址为所述应用系统认证的指向所述应用系统的URL地址。

10.一种单点登录系统，其特征在于，所述系统包括应用系统、单点登录服务器、NAT设备，所述应用系统、单点登录服务器位于所述NAT设备的局域网侧；

所述应用系统，用于接收到未登录用户的客户端发起的业务访问时，获取单点登录服务器的公网地址以及向发起所述业务访问的客户端发送目标为所述公网地址的重定向信息，所述重定向信息还携带有所述应用系统地址；

所述单点登录服务器，用于接收所述客户端基于所述公网地址通过所述NAT设备发送携带所述应用系统地址的登录请求，以及验证所述登录请求成功后，向所述客户端发送目标为所述应用系统地址的重定向信息；

所述应用系统，还用于接收所述客户端基于所述应用系统地址发送的访问请求。