CN106888225B - 一种单点登录应用的控制方法、移动终端和计算机可读介质 - Google Patents

Abstract

本发明公开了一种单点登录应用的控制方法、移动终端和计算机可读介质，包含：设置对多语言应用进行统一认证和准入控制的全局用户登录认证系统；以及在每个应用的网关接入层设置独立的网关校验模块；接收到第一应用的登录请求时，第一应用的网关校验模块拦截和识别所述登录请求；如果识别结果符合准入要求，则放行；否则第一应用的网关校验模块将登录请求重定向到全局用户登录认证系统，接收用户输入的有效的帐号和密码，并向用户返回认证标志。本发明实现一种更高效的单点登录应用的控制方法移动终端和计算机可读介质，避免代码改造，实现综合成本低。

Description

一种单点登录应用的控制方法、移动终端和计算机可读介质

技术领域

本发明涉及移动终端技术领域，尤其涉及一种单点登录应用的控制方法、移动终端和计算机可读介质。

背景技术

随着业务发展，后端系统服务越来越复杂庞大，各种监控系统，性能数据报表，日志统计等IT支撑系统名目繁多。为了保证信息安全，每个应用都需要用户准入，只有用户登陆认证后才能使用。然而，每个应用集成一个用户登录模块和用户管理模块，不仅费时费力，重复的开发还造成资源的极大浪费。多个应用共享同一帐号信息的情况日益普遍，单点登陆方案成为了业界首选。

然而，后端系统服务从应用保障，数据库支撑，出口流量监控，日志统计等等各种应用，或者采用团队自己研发，或者使用业界成熟的开源产品。

不管是自研还是开源，不同IT应用无法保证语言统一，甚至是团队内部也有PHP、Java、Python等开发语言的区别。不同语言开发的应用在进行单点登陆接入部署时会有开发语言上的区别，需要进行相应语言的代码改造适配，代码改造将阻碍单点登陆方案的使用。

如何屏蔽系统开发语言带来的单点登陆使用困难，对不同系统的单点登录接入进行统一简化处理，无疑能减轻接入部署成本和提高用户体验。

发明内容

本发明的主要目的在于提出一种单点登录应用的控制方法、移动终端和计算机可读介质，旨在解决现有单点登录技术对于不同语言开发的应用部署接入困难、需要进行代码改造的问题。

为实现上述目的，本发明提供的一种单点登录应用的控制方法，所述方法包括以下步骤：

设置对多语言应用进行统一认证和准入控制的全局用户登录认证系统；以及在每个应用的网关接入层设置独立的网关校验模块；

接收到第一应用的登录请求，第一应用的网关校验模块拦截和识别所述登录请求；

如果识别结果符合准入要求，则放行；否则第一应用的网关校验模块将登录请求重定向到全局用户登录认证系统，接收用户输入的有效的帐号和密码，并向用户返回认证标志。

进一步的，所述步骤如果识别结果符合准入要求，则放行；否则第一应用的网关校验模块将登录请求重定向到全局用户登录认证系统，接收用户输入的有效的帐号和密码、并向用户返回认证标志之后还包含：

全局用户登录认证系统将用户输入的有效的帐号和密码、认证标志写入到已运行的所有应用的网关校验模块缓存中。

进一步的，还包含步骤：

重定向所述登录请求，跳转回第一应用，第一应用的网关校验模块再次拦截和识别所述登录请求，识别结果符合准入要求并放行。

进一步的，还包含步骤：

接收到第二应用的登录请求，如果所述第二应用与第一应用部署于同一网关下，则第二应用直接放行。

进一步的，还包含步骤：

接收到第二应用的登录请求，如果所述第二应用与第一应用部署于不同网关下，则第二应用的网关校验模块从缓存中读取帐号和密码缓存数据，如果读取到有效的缓存帐号和密码数据，则放行。

进一步的，所述识别结果符合准入要求具体包含：读取用户认证标志，检验所述认证标志的有效性，如果所述认证标志有效，则判定符合准入要求。

进一步的，还包含步骤：

定期删除所有网关校验模块中的缓存数据。

进一步的，还包含步骤：

对所有网关校验模块中的缓存数据设置有效期。

此外，为实现上述目的，本发明还提出一种移动终端，所述移动终端包括：存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述计算机程序被所述处理器执行时实现上述任一种单点登录应用的控制方法。

此外，为实现上述目的，本发明还提出一种计算机可读介质，所述计算机可读介质存储有单点登录应用的控制程序，

当所述单点登录应用的控制程序被至少一个处理器执行时，导致所述至少一个处理器执行时实现上述任一种单点登录应用的控制方法。

本发明提出的一种单点登录应用的控制方法、移动终端和计算机可读介质，将独立运行的网关校验模块单独部署在每个待接入的应用的网关接入层，对用户的登录请求进行统一的拦截识别校验，完成对后端应用具体语言形态的屏蔽，从而解决不同开发语言应用的接入部署困难问题，同时直接避免了在接入部署单点登录时需要对现有应用进行改造的工作。

附图说明

图1为实现本发明各个实施例的移动终端的硬件结构示意图；

图2为如图1所示的移动终端的无线通信系统示意图；

图3为本发明第一实施例提供的一种单点登录应用的控制方法的流程示意图；

图4本发明第二实施例提供的一种单点登录应用的控制方法的流程示意图；

图5本发明第三实施例提供的一种单点登录应用的控制方法的流程示意图；

图6本发明移动终端内部署框架示意图。

本发明目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。

具体实施方式

应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

在后续的描述中，使用用于表示元件的诸如“模块”、“部件”或“单元”的后缀仅为了有利于本发明的说明，其本身没有特定的意义。因此，“模块”、“部件”或“单元”可以混合地使用。

终端可以以各种形式来实施。例如，本发明中描述的终端可以包括诸如手机、平板电脑、笔记本电脑、掌上电脑、个人数字助理(Personal Digital Assistant，PDA)、便捷式媒体播放器(Portable Media Player，PMP)、导航装置、可穿戴设备、智能手环、计步器等移动终端，以及诸如数字TV、台式计算机等固定终端。

后续描述中将以移动终端为例进行说明，本领域技术人员将理解的是，除了特别用于移动目的的元件之外，根据本发明的实施方式的构造也能够应用于固定类型的终端。

请参阅图1，其为实现本发明各个实施例的一种移动终端的硬件结构示意图，该移动终端100可以包括：RF(Radio Frequency，射频)单元101、WiFi模块102、音频输出单元103、A/V(音频/视频)输入单元104、传感器105、显示单元106、用户输入单元107、接口单元108、存储器109、处理器110、以及电源111等部件。本领域技术人员可以理解，图1中示出的移动终端结构并不构成对移动终端的限定，移动终端可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。

下面结合图1对移动终端的各个部件进行具体的介绍：

射频单元101可用于收发信息或通话过程中，信号的接收和发送，具体的，将基站的下行信息接收后，给处理器110处理；另外，将上行的数据发送给基站。通常，射频单元101包括但不限于天线、至少一个放大器、收发信机、耦合器、低噪声放大器、双工器等。此外，射频单元101还可以通过无线通信与网络和其他设备通信。上述无线通信可以使用任一通信标准或协议，包括但不限于GSM(Global System of Mobile communication，全球移动通讯系统)、GPRS(General Packet Radio Service，通用分组无线服务)、CDMA2000(CodeDivision Multiple Access 2000，码分多址2000)、WCDMA(Wideband Code DivisionMultiple Access,宽带码分多址)、TD-SCDMA(Time Division-Synchronous CodeDivision Multiple Access，时分同步码分多址)、FDD-LTE(Frequency DivisionDuplexing-Long Term Evolution，频分双工长期演进)和TDD-LTE(Time DivisionDuplexing-Long Term Evolution，分时双工长期演进)等。

WiFi属于短距离无线传输技术，移动终端通过WiFi模块102可以帮助用户收发电子邮件、浏览网页和访问流式媒体等，它为用户提供了无线的宽带互联网访问。虽然图1示出了WiFi模块102，但是可以理解的是，其并不属于移动终端的必须构成，完全可以根据需要在不改变发明的本质的范围内而省略。

音频输出单元103可以在移动终端100处于呼叫信号接收模式、通话模式、记录模式、语音识别模式、广播接收模式等等模式下时，将射频单元101或WiFi模块102接收的或者在存储器109中存储的音频数据转换成音频信号并且输出为声音。而且，音频输出单元103还可以提供与移动终端100执行的特定功能相关的音频输出(例如，呼叫信号接收声音、消息接收声音等等)。音频输出单元103可以包括扬声器、蜂鸣器等等。

A/V输入单元104用于接收音频或视频信号。A/V输入单元104可以包括图形处理器(Graphics Processing Unit，GPU)1041和麦克风1042，图形处理器1041对在视频捕获模式或图像捕获模式中由图像捕获装置(如摄像头)获得的静态图片或视频的图像数据进行处理。处理后的图像帧可以显示在显示单元106上。经图形处理器1041处理后的图像帧可以存储在存储器109(或其它计算机可读介质)中或者经由射频单元101或WiFi模块102进行发送。麦克风1042可以在电话通话模式、记录模式、语音识别模式等等运行模式中经由麦克风1042接收声音(音频数据)，并且能够将这样的声音处理为音频数据。处理后的音频(语音)数据可以在电话通话模式的情况下转换为可经由射频单元101发送到移动通信基站的格式输出。麦克风1042可以实施各种类型的噪声消除(或抑制)算法以消除(或抑制)在接收和发送音频信号的过程中产生的噪声或者干扰。

移动终端100还包括至少一种传感器105，比如光传感器、运动传感器以及其他传感器。具体地，光传感器包括环境光传感器及接近传感器，其中，环境光传感器可根据环境光线的明暗来调节显示面板1061的亮度，接近传感器可在移动终端100移动到耳边时，关闭显示面板1061和/或背光。作为运动传感器的一种，加速计传感器可检测各个方向上(一般为三轴)加速度的大小，静止时可检测出重力的大小及方向，可用于识别手机姿态的应用(比如横竖屏切换、相关游戏、磁力计姿态校准)、振动识别相关功能(比如计步器、敲击)等；至于手机还可配置的指纹传感器、压力传感器、虹膜传感器、分子传感器、陀螺仪、气压计、湿度计、温度计、红外线传感器等其他传感器，在此不再赘述。

显示单元106用于显示由用户输入的信息或提供给用户的信息。显示单元106可包括显示面板1061，可以采用液晶显示器(Liquid Crystal Display，LCD)、有机发光二极管(Organic Light-Emitting Diode,OLED)等形式来配置显示面板1061。

用户输入单元107可用于接收输入的数字或字符信息，以及产生与移动终端的用户设置以及功能控制有关的键信号输入。具体地，用户输入单元107可包括触控面板1071以及其他输入设备1072。触控面板1071，也称为触摸屏，可收集用户在其上或附近的触摸操作(比如用户使用手指、触笔等任何适合的物体或附件在触控面板1071上或在触控面板1071附近的操作)，并根据预先设定的程式驱动相应的连接装置。触控面板1071可包括触摸检测装置和触摸控制器两个部分。其中，触摸检测装置检测用户的触摸方位，并检测触摸操作带来的信号，将信号传送给触摸控制器；触摸控制器从触摸检测装置上接收触摸信息，并将它转换成触点坐标，再送给处理器110，并能接收处理器110发来的命令并加以执行。此外，可以采用电阻式、电容式、红外线以及表面声波等多种类型实现触控面板1071。除了触控面板1071，用户输入单元107还可以包括其他输入设备1072。具体地，其他输入设备1072可以包括但不限于物理键盘、功能键(比如音量控制按键、开关按键等)、轨迹球、鼠标、操作杆等中的一种或多种，具体此处不做限定。

进一步的，触控面板1071可覆盖显示面板1061，当触控面板1071检测到在其上或附近的触摸操作后，传送给处理器110以确定触摸事件的类型，随后处理器110根据触摸事件的类型在显示面板1061上提供相应的视觉输出。虽然在图1中，触控面板1071与显示面板1061是作为两个独立的部件来实现移动终端的输入和输出功能，但是在某些实施例中，可以将触控面板1071与显示面板1061集成而实现移动终端的输入和输出功能，具体此处不做限定。

接口单元108用作至少一个外部装置与移动终端100连接可以通过的接口。例如，外部装置可以包括有线或无线头戴式耳机端口、外部电源(或电池充电器)端口、有线或无线数据端口、存储卡端口、用于连接具有识别模块的装置的端口、音频输入/输出(I/O)端口、视频I/O端口、耳机端口等等。接口单元108可以用于接收来自外部装置的输入(例如，数据信息、电力等等)并且将接收到的输入传输到移动终端100内的一个或多个元件或者可以用于在移动终端100和外部装置之间传输数据。

存储器109可用于存储软件程序以及各种数据。存储器109可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序(比如声音播放功能、图像播放功能等)等；存储数据区可存储根据手机的使用所创建的数据(比如音频数据、电话本等)等。此外，存储器109可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他易失性固态存储器件。

处理器110是移动终端的控制中心，利用各种接口和线路连接整个移动终端的各个部分，通过运行或执行存储在存储器109内的软件程序和/或模块，以及调用存储在存储器109内的数据，执行移动终端的各种功能和处理数据，从而对移动终端进行整体监控。处理器110可包括一个或多个处理单元；优选的，处理器110可集成应用处理器和调制解调处理器，其中，应用处理器主要处理操作系统、用户界面和应用程序等，调制解调处理器主要处理无线通信。可以理解的是，上述调制解调处理器也可以不集成到处理器110中。

移动终端100还可以包括给各个部件供电的电源111(比如电池)，优选的，电源111可以通过电源管理系统与处理器110逻辑相连，从而通过电源管理系统实现管理充电、放电、以及功耗管理等功能。

尽管图1未示出，移动终端100还可以包括蓝牙模块等，在此不再赘述。

为了便于理解本发明实施例，下面对本发明的移动终端所基于的通信网络系统进行描述。

请参阅图2，图2为本发明实施例提供的一种通信网络系统架构图，该通信网络系统为通用移动通信技术的LTE系统，该LTE系统包括依次通讯连接的UE(User Equipment，用户设备)201，E-UTRAN(Evolved UMTS Terrestrial Radio Access Network，演进式UMTS陆地无线接入网)202，EPC(Evolved Packet Core，演进式分组核心网)203和运营商的IP业务204。

具体地，UE201可以是上述终端100，此处不再赘述。

E-UTRAN202包括eNodeB2021和其它eNodeB2022等。其中，eNodeB2021可以通过回程(backhaul)(例如X2接口)与其它eNodeB2022连接，eNodeB2021连接到EPC203，eNodeB2021可以提供UE201到EPC203的接入。

EPC203可以包括MME(Mobility Management Entity，移动性管理实体)2031，HSS(Home Subscriber Server，归属用户服务器)2032，其它MME2033，SGW(Serving Gate Way，服务网关)2034，PGW(PDN Gate Way，分组数据网络网关)2035和PCRF(Policy andCharging Rules Function，政策和资费功能实体)2036等。其中，MME2031是处理UE201和EPC203之间信令的控制节点，提供承载和连接管理。HSS2032用于提供一些寄存器来管理诸如归属位置寄存器(图中未示)之类的功能，并且保存有一些有关服务特征、数据速率等用户专用的信息。所有用户数据都可以通过SGW2034进行发送，PGW2035可以提供UE 201的IP地址分配以及其它功能，PCRF2036是业务数据流和IP承载资源的策略与计费控制策略决策点，它为策略与计费执行功能单元(图中未示)选择及提供可用的策略和计费控制决策。

IP业务204可以包括因特网、内联网、IMS(IP Multimedia Subsystem，IP多媒体子系统)或其它IP业务等。

虽然上述以LTE系统为例进行了介绍，但本领域技术人员应当知晓，本发明不仅仅适用于LTE系统，也可以适用于其他无线通信系统，例如GSM、CDMA2000、WCDMA、TD-SCDMA以及未来新的网络系统等，此处不做限定。

基于上述移动终端硬件结构以及通信网络系统，提出本发明方法各个实施例。

实施例一

本发明第一实施例提出一种单点登录应用的控制方法，如图3所示，所述方法包括以下步骤：

S101，设置对多个语言的应用进行统一认证和准入控制的全局用户登录认证系统；以及在每个应用的网关接入层设置独立的网关校验模块；

全局用户登录系统，指终端全部应用都可以访问的全局用户登录认证系统。全局用户登录认证系统对移动终端的所有应用的登录进行统一认证和准入控制。即由用户预存或者预设用户登录信息，比如用户名、密码、登录验证问题、安全邮箱、及其他实名验证信息，并在用户输入信息时，将输入的信息与预存的对应信息进行比较，以判断输入的信息是否合法有效。

在每个应用的网关接入层设置独立的网关校验模块，一个网关校验模块可以部署多个应用，也可以一个网关校验模块部署一个应用，所述网关校验模块对登录其下所部署的应用的请求进行统一的拦截和识别，并判断该登录请求是否有效，做出给予登录放行或拒绝登录的决定。通过在网关接入层设置独立的网关校验模块对用户的请求进行统一的拦截识别校验，完成对后端应用具体语言形态的屏蔽，从而解决不同开发语言应用的接入部署困难问题，同时直接避免了在接入部署单点登录时需要对现有系统进行改造的工作。

例如现有技术中，通常的做法是在原生应用A的代码中增加或替换成认证服务器的过滤器或拦截器对应用的登录请求进行拦截和识别，这样用户访问A应用时，请求已到达应用A，请求会被刚才替换的过滤器或拦截器优先捕获，在这里进行是否登录的校验。新应用要接入单点登录功能，就要按照其他已登录应用的方式对现登录应用进行过滤器改造，集成已登录应用的过滤器或拦截器，因此需要对现登录应用改动代码。

与现有技术的几种方式相比，将实施过滤拦截操作的网关校验模块放到网关接入层，意味着用户请求还没到具体应用就提前被拦截、提前进行是否登陆判断；且提取和识别也是放在网关接入层，同样在请求还没到具体应用的时候做。不需要改造原来应用的代码，只需要在原应用的接入层，如nginx加一个模块就可以，也不会被原来应用开发语言所限制，可以支持任何语言开发的应用。

S102，接收到第一应用的登录请求，第一应用的网关校验模块拦截和识别所述登录请求；

如图6所示，移动终端100包含多个应用，如图中的应用A、应用B、应用C···，其中应用A和应用B部署于同一网关下，该网关的网关接入层设置网关校验模块M；应用C部署于另一个网关下，该网关的网关接入层设置网关校验模块N。

当用户第一次访问应用的时候，发出登录第一应用的请求，该第一应用可以为图6所示的应用A、应用B、应用C中的任意一个应用。第一应用的网关校验模块拦截和识别所述登录请求，如果识别到用户未携带有效凭证，会被引导到全局用户登录认证系统D中进行登录；根据用户提供的登录信息，全局用户登录认证系统进行身份校验，如果通过校验，返回给用户一个认证的凭据－－ticket；用户再访问别的应用的时候，就会将这个ticket带上，作为自己认证的凭据，网关校验模块接收到请求之后会检查ticket的合法性。

S103，如果识别结果符合准入要求，则放行；否则第一应用的网关校验模块将登录请求重定向到全局用户登录认证系统，接收用户输入的有效的帐号和密码，并向用户返回认证标志。

所谓识别结果符合准入要求，即指用户访问某一应用时，将ticket发送给应用，应用读取用户认证标志，与缓存的认证标志进行比较以检验所述认证标志的有效性，如果所述认证标志有效，则判定符合准入要求。

例如用户访问第一应用时，将ticket发送给第一应用，如果第一应用的网关校验模块M识别结果符合准入要求，则放行，即准许访问请求登录第一应用；如果识别结果不符合准入要求，例如ticket已经过期失效的情况下，则第一应用的网关校验模块将登录请求重定向到全局用户登录认证系统，要求用户输入的有效的帐号和密码，以对用户的身份进行重新确认，输入的账号、密码信息被接收后，再向用户返回新的有效的认证标志。然后重定向所述对第一应用的登录请求，跳转回第一应用，第一应用的网关校验模块再次拦截和识别所述登录请求，识别结果符合准入要求并放行。

以上实现的单点登录应用的控制方法，通过在每个应用的网关接入层设置独立的网关校验模块对用户的请求进行统一的拦截识别校验，完成对后端应用具体语言形态的屏蔽，从而解决不同开发语言应用的接入部署困难问题，同时直接避免了在接入部署单点登录时需要对现有应用进行改造的工作，使单点登录的实现更容易、成本更低。

实施例二

本发明第二实施例提出一种单点登录应用的控制方法，如图4所示，所述方法包括以下步骤：

S201，设置对多个语言的应用进行统一认证和准入控制的全局用户登陆认证系统；以及在每个应用的网关接入层设置独立的网关校验模块；

S202，接收到第一应用的登录请求，第一应用的网关校验模块拦截和识别所述登录请求；

S203，如果识别结果符合准入要求，则放行；否则第一应用的网关校验模块将登录请求重定向到全局用户登陆认证系统，接收用户输入的有效的帐号和密码，并向用户返回认证标志。

S204，全局用户登陆认证系统将用户输入的有效的帐号和密码、认证标志写入到已运行的所有应用的网关校验模块缓存中。

将用户输入的被接收为有效的帐号和密码、认证标志写入到已运行的所有应用的网关校验模块缓存中，方便任一应用接收到登录请求时，对用户携带的认证标志进行真伪判断，并直接所处是否放行的决定。

S205，接收到第二应用的登录请求；

S206，判断所述第二应用与第一应用是否部署于同一网关下，如果是，则执行S207，否则执行S208；

S207，第二应用直接放行；

S208，第二应用的网关校验模块从缓存中读取帐号和密码数据，如果读取到有效的缓存帐号和密码数据，则放行。

以上实现的单点登录应用的控制方法，通过网关接入模块对用户的登录请求进行拦截和识别，实现用户一次有效登录，其他所有应用都可以直接访问，避免再次重复验证的麻烦，且其他实现单点登录的应用都不需要进行代码改造，实现步骤简单，效率高、成本低。

实施例三

本发明第三实施例提出一种单点登录应用的控制方法，如图5所示，所述方法包括以下步骤：

S301，设置对多个语言的应用进行统一认证和准入控制的全局用户登陆认证系统；在每个应用的网关接入层设置独立的网关校验模块；

S302，接收到第一应用的登录请求，第一应用的网关校验模块拦截和识别所述登录请求；

S303，如果识别结果符合准入要求，则放行；否则第一应用的网关校验模块将登录请求重定向到全局用户登陆认证系统，接收用户输入的有效的帐号和密码，并向用户返回认证标志；

S304，全局用户登陆认证系统将用户输入的有效的帐号和密码、认证标志写入到已运行的所有应用的网关校验模块缓存中；

S305，定期删除所有网关校验模块中的缓存数据。

为了保障用户安全，对用户单点登录的效力进行定期验证，所以对网关校验模块中的缓存数据实施统一定期删除，例如一个月删除一次或半个月删除一次，这个定期是以最近一次登录应用的时间点为起算点，即如果用户在半个月或一个月都未登录应用，则对网关校验模块中的缓存数据进行删除，删除后，用户再次登录应用，会被重定位到全局用户登陆认证系统进行用户名和密码输入验证。

作为另一种可选的方式，可以对所有网关校验模块的缓存数据进行分别设定定期删除，即在设定的删除时间内，例如一个月或半个月中用户未登录某一个应用，则删除该应用对应的网关校验模块中的缓存数据，其他一直持续登录的应用的网关校验模块中的缓存数据不删除。被删除缓存数据的应用，用户再次登录该应用时，会被重定位到全局用户登陆认证系统进行用户名和密码输入验证。

作为可选的另一实施方式，对所有网关校验模块中的缓存数据设置有效期，即计时器所设的周期到达时，对网关校验模块中的缓存数据实施失效处理，当实施失效处理后，用户再次登录该应用时，所获取的用户的认证标志与缓存的认证标志不符，会被重定位到全局用户登陆认证系统进行用户名和密码输入验证。

以上实现的单点登录应用的控制方法，通过对网关校验模块中的缓存数据实施定期删除或设定有效期，以保障账户安全。

实施例四

本发明第四实施例提供一种移动终端，如图1所示，所述移动终端100包含存储器109和处理器110，所述处理器110实施以下操作：

第一步，设置对多个语言的系统应用进行统一认证和准入控制的全局用户登陆认证系统；以及在每个应用的网关接入层设置独立的网关校验模块；

第二步，接收到第一应用的登录请求，第一应用的网关校验模块拦截和识别所述登录请求；

第三步，如果识别结果符合准入要求，则放行；否则第一应用的网关校验模块将登录请求重定向到全局用户登陆认证系统，接收用户输入的有效的帐号和密码，并向用户返回认证标志。

以上步骤中，全局用户登录系统，指终端全部应用都可以访问的全局用户登录认证系统。全局用户登录认证系统对移动终端的所有应用的登录进行统一认证和准入控制。即由用户预存或者预设用户登录信息，比如用户名、密码、登录验证问题、安全邮箱、及其他实名验证信息，并在用户输入信息时，将输入的信息与预存的对应信息进行比较，以判断输入的信息是否合法有效。

在每个应用的网关接入层设置独立的网关校验模块，一个网关校验模块可以部署多个应用，也可以一个网关校验模块部署一个应用，所述网关校验模块对登录其下所部署的应用的请求进行统一的拦截和识别，并判断该登录请求是否有效，做出给予登录放行或拒绝登录的决定。通过在网关接入层设置独立的网关校验模块对用户的请求进行统一的拦截识别校验，完成对后端应用具体语言形态的屏蔽，从而解决不同开发语言的应用的接入部署困难问题，同时直接避免了在接入部署单点登录时需要对现有终端系统进行改造的工作。

例如现有技术中，通常的做法是在原生应用A的代码中增加或替换成认证移动终端的过滤器或拦截器对应用的登录请求进行拦截和识别，这样用户访问A应用时，请求已到达应用A，请求会被刚才替换的过滤器或拦截器优先捕获，在这里进行是否登录的校验。新应用要接入单点登录功能，就要按照其他已登录应用的方式对现登录应用进行过滤器改造，集成已登录应用的过滤器或拦截器，因此需要对现登录应用改动代码。

与现有技术的几种方式相比，将实施过滤拦截操作的网关校验模块放到网关接入层，意味着用户请求还没到具体应用就提前被拦截、提前进行是否登陆判断；且提取和识别也是放在网关接入层，同样在请求还没到具体应用的时候做。不需要改造原来应用的代码，只需要在原应用的接入层，如nginx加一个模块就可以，也不会被原来应用开发语言所限制，可以支持任何语言开发的应用。

如图6所示，移动终端100包含多个应用，如图中的应用A、应用B、应用C···，其中应用A和应用B部署于同一网关下，该网关的网关接入层设置网关校验模块M；应用C部署于另一个网关下，该网关的网关接入层设置网关校验模块N。

当用户第一次访问应用的时候，发出登录第一应用的请求，该第一应用可以为图6所示的应用A、应用B、应用C中的任意一个应用。第一应用的网关校验模块拦截和识别所述登录请求，如果识别到用户未携带有效凭证，会被引导到全局用户登录认证系统D中进行登录；根据用户提供的登录信息，全局用户登录认证系统进行身份校验，如果通过校验，返回给用户一个认证的凭据－－ticket；用户再访问别的应用的时候，就会将这个ticket带上，作为自己认证的凭据，网关校验模块接收到请求之后会检查ticket的合法性。

所谓识别结果符合准入要求，即指用户访问某一应用时，将ticket发送给应用，应用读取用户认证标志，与缓存的认证标志进行比较以检验所述认证标志的有效性，如果所述认证标志有效，则判定符合准入要求。

例如用户访问第一应用时，将ticket发送给第一应用，如果第一应用的网关校验模块M识别结果符合准入要求，则放行，即准许访问请求登录第一应用；如果识别结果不符合准入要求，例如ticket已经过期失效的情况下，则第一应用的网关校验模块将登录请求重定向到全局用户登录认证系统，要求用户输入的有效的帐号和密码，以对用户的身份进行重新确认，输入的账号、密码信息被接收后，再向用户返回新的有效的认证标志。然后重定向所述对第一应用的登录请求，跳转回第一应用，第一应用的网关校验模块再次拦截和识别所述登录请求，识别结果符合准入要求并放行。

本实施例实现的移动终端，通过其处理器执行单点登录应用的控制程序，在每个应用的网关接入层设置独立的网关校验模块对用户的请求进行统一的拦截识别校验，完成对后端应用具体语言形态的屏蔽，从而解决不同开发语言应用的接入部署困难问题，同时直接避免了在接入部署单点登录时需要对现有应用进行改造的工作，使单点登录的实现更容易、成本更低。

实施例五

本发明第五实施例提供一种移动终端，所述移动终端100包含存储器109和处理器110，所述处理器110实施以下操作：

第一步，设置对多个语言的应用进行统一认证和准入控制的全局用户登陆认证系统；以及在每个应用的网关接入层设置独立的网关校验模块；

第二步，接收到第一应用的登录请求，第一应用的网关校验模块拦截和识别所述登录请求；

第三步，如果识别结果符合准入要求，则放行；否则第一应用的网关校验模块将登录请求重定向到全局用户登陆认证系统，接收用户输入的有效的帐号和密码，并向用户返回认证标志。

第四步，全局用户登陆认证系统将用户输入的有效的帐号和密码、认证标志写入到已运行的所有应用的网关校验模块缓存中。

将用户输入的被接收为有效的帐号和密码、认证标志写入到已运行的所有应用的网关校验模块缓存中，方便任一应用接收到登录请求时，对用户携带的认证标志进行真伪判断，并直接所处是否放行的决定。

第五步，接收到第二应用的登录请求；

第六步，判断所述第二应用与第一应用是否部署于同一网关下，如果是，则执行第七步，否则执行第八步；

第七步，第二应用直接放行；

第八步，第二应用的网关校验模块从缓存中读取帐号和密码数据，如果读取到有效的缓存帐号和密码数据，则放行。

本实施例实现的移动终端，除了具备实施例四移动终端的功能外，还实现：由处理器执行单点登录应用的控制程序，实现用户一次有效登录，其他所有应用都可以直接访问，避免再次重复验证的麻烦，且其他实现单点登录的应用都不需要进行代码改造，实现步骤简单，效率高、成本低。

实施例六

本发明第六实施例提供一种移动终端，如图1所示，所述移动终端100包含存储器109和处理器110，所述处理器110实施以下操作：

第一步，设置对多个语言的应用进行统一认证和准入控制的全局用户登陆认证系统；在每个应用的网关接入层设置独立的网关校验模块；

第二步，接收到第一应用的登录请求，第一应用的网关校验模块拦截和识别所述登录请求；

第三步，如果识别结果符合准入要求，则放行；否则第一应用的网关校验模块将登录请求重定向到全局用户登陆认证系统，接收用户输入的有效的帐号和密码，并向用户返回认证标志；

第四步，全局用户登陆认证系统将用户输入的有效的帐号和密码、认证标志写入到已运行的所有应用的网关校验模块缓存中；

第五步，定期删除所有网关校验模块中的缓存数据。

为了保障用户安全，对用户单点登录的效力进行定期验证，所以对网关校验模块中的缓存数据实施统一定期删除，例如一个月删除一次或半个月删除一次，这个定期是以最近一次登录应用的时间点为起算点，即如果用户在半个月或一个月都未登录应用，则对网关校验模块中的缓存数据进行删除，删除后，用户再次登录应用，会被重定位到全局用户登陆认证系统进行用户名和密码输入验证。

作为另一种可选的方式，可以对所有网关校验模块的缓存数据进行分别设定定期删除，即在设定的删除时间内，例如一个月或半个月中用户未登录某一个应用，则删除该应用对应的网关校验模块中的缓存数据，其他一直持续登录的应用的网关校验模块中的缓存数据不删除。被删除缓存数据的应用，用户再次登录该应用时，会被重定位到全局用户登陆认证系统进行用户名和密码输入验证。

作为可选的另一实施方式，对所有网关校验模块中的缓存数据设置有效期，即计时器所设的周期到达时，对网关校验模块中的缓存数据实施失效处理，当实施失效处理后，用户再次登录该应用时，所获取的用户的认证标志与缓存的认证标志不符，会被重定位到全局用户登陆认证系统进行用户名和密码输入验证。

本实施例相对于实现的移动终端，与实施例五及实施例四相比，进一步实现：移动终端执行单点登录应用的控制程序，对网关校验模块中的缓存数据实施定期删除或设定有效期，以保障账户安全。

实施例七

本发明第七实施例提供一种计算机可读介质，所述计算机可读介质存储有单点登录应用的控制程序，当所述单点登录应用的控制程序被至少一个处理器执行时，导致所述至少一个处理器执行以下操作：

第一步，设置对多个语言的系统应用进行统一认证和准入控制的全局用户登陆认证系统；以及在每个应用的网关接入层设置独立的网关校验模块；

第二步，接收到第一应用的登录请求，第一应用的网关校验模块拦截和识别所述登录请求；

第三步，如果识别结果符合准入要求，则放行；否则第一应用的网关校验模块将登录请求重定向到全局用户登陆认证系统，接收用户输入的有效的帐号和密码，并向用户返回认证标志。

可选的，进一步包含步骤：全局用户登陆认证系统将用户输入的有效的帐号和密码、认证标志写入到已运行的所有应用的网关校验模块缓存中。

可选的，进一步包含步骤：重定向所述登录请求，跳转回第一应用，第一应用的网关校验模块再次拦截和识别所述登录请求，识别结果符合准入要求并放行。

可选的，进一步包含步骤：接收到第二应用的登录请求，如果所述第二应用与第一应用部署于同一网关下，则第二应用直接放行。

可选的，进一步包含步骤：接收到第二应用的登录请求，如果所述第二应用与第一应用部署于不同网关下，则第二应用的网关校验模块从缓存中读取帐号和密码数据，如果读取到有效的缓存帐号和密码数据，则放行。

可选的，进一步包含步骤：定期删除所有网关校验模块中的缓存数据。

或者可选的，进一步包含步骤：对所有网关校验模块中的缓存数据设置有效期。

以上第四、五、六实施例中各步骤的具体设置过程适用于本实施例中对应步骤的设置。

本实施例所实现的计算机可读介质中存储的单点登录应用的控制程序，使读取该控制程序的计算机实现以下功能：

通过在每个应用的网关接入层设置独立的网关校验模块对用户的应用登录请求进行统一的拦截识别校验，完成对后端应用具体语言形态的屏蔽，从而解决不同开发语言应用的接入部署困难问题，同时直接避免了在接入部署单点登录时需要对现有应用进行改造的工作，使单点登录的实现更容易、成本更低。以及实现用户一次有效登录，将该有效登录信息缓存到所有网关校验模块中，并对网关校验模块中的缓冲信息定期删除，使其他所有应用都可以直接访问，避免再次重复验证的麻烦，且保障账户安全。

需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者装置中还存在另外的相同要素。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个计算机可读介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端(可以是手机，计算机，服务器，空调器，或者网络设备等)执行本发明各个实施例所述的方法。

上面结合附图对本发明的实施例进行了描述，但是本发明并不局限于上述的具体实施方式，上述的具体实施方式仅仅是示意性的，而不是限制性的，本领域的普通技术人员在本发明的启示下，在不脱离本发明宗旨和权利要求所保护的范围情况下，还可做出很多形式，这些均属于本发明的保护之内。

Claims (9)

1.一种单点登录应用的控制方法，其特征在于：所述方法包括以下步骤：

设置对多语言应用进行统一认证和准入控制的全局用户登录认证系统，以及在每个应用的网关接入层设置独立的网关校验模块，包括：

在每个应用的网关接入层设置独立的网关校验模块，每个网关校验模块部署一个或多个应用，所述网关校验模块对登录其下所部署的应用的请求进行统一的拦截和识别，并判断该登录请求是否有效，做出给予登录放行或拒绝登录的决定；

接收到第一应用的登录请求，第一应用的网关校验模块拦截和识别所述登录请求；

如果识别结果符合准入要求，则放行；否则第一应用的网关校验模块将登录请求重定向到全局用户登录认证系统，接收用户输入的有效的账号号和密码，并向用户返回认证标志；

全局用户登录认证系统将用户输入的有效的账号和密码、认证标志写入到已运行的所有应用的网关校验模块缓存中。

2.根据权利要求1所述的单点登录应用的控制方法，其特征在于，还包含步骤：

重定向所述登录请求，跳转回第一应用，第一应用的网关校验模块再次拦截和识别所述登录请求，识别结果符合准入要求并放行。

3.根据权利要求2所述的单点登录应用的控制方法，其特征在于，还包含步骤：

接收到第二应用的登录请求，如果所述第二应用与第一应用部署于同一网关下，则第二应用直接放行。

4.根据权利要求2所述的单点登录应用的控制方法，其特征在于，还包含步骤：

接收到第二应用的登录请求，如果所述第二应用与第一应用部署于不同网关下，则第二应用的网关校验模块从缓存中读取账号和密码缓存数据，如果读取到有效的缓存账号和密码数据，则放行。

5.根据权利要求1或2所述的单点登录应用的控制方法，其特征在于：所述识别结果符合准入要求具体包含：读取用户认证标志，检验所述认证标志的有效性，如果所述认证标志有效，则判定符合准入要求。

6.根据权利要求1所述的单点登录应用的控制方法，其特征在于，还包含步骤：

定期删除所有网关校验模块中的缓存数据。

7.根据权利要求1所述的单点登录应用的控制方法，其特征在于，还包含步骤：

对所有网关校验模块中的缓存数据设置有效期。

8.一种移动终端，其特征在于：所述移动终端包括：存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述计算机程序被所述处理器执行时实现权利要求1-7任一种单点登录应用的控制方法。

9.一种计算机可读介质，所述计算机可读介质存储有单点登录应用的控制程序，

当所述单点登录应用的控制程序被至少一个处理器执行时，导致所述至少一个处理器执行时实现权利要求1-7任一种单点登录应用的控制方法。

Images