CN107249004B - 一种身份认证方法、装置及客户端 - Google Patents

Abstract

本发明公开了一种身份认证方法、装置及客户端，该身份认证方法包括：客户端向服务器发送用于获取验证码的请求及对应该请求的参数信息；服务器根据该请求生成验证码；客户端根据验证码与参数信息进行运算，得到第一运算结果，作为当前API请求的签名；服务器根据参数信息与客户端存储在服务器中的客户密钥进行运算得到第二运算结果；比较第二运算结果与API请求中包含的签名是否相同；根据比较结果生成身份认证结果。这样，就简化了身份认证的过程，同时还提高了身份认证的安全性。

Description

一种身份认证方法、装置及客户端

技术领域

本发明涉及通信领域，更具体地，涉及一种身份认证方法、装置及客户端。

背景技术

REST是一种在互联网环境下比较流行的基于HTTP协议的网络应用交互方式。由于这种通讯方式具有高效、轻量级和跨平台等特性，所以也十分适用于移动互联网应用调用服务端网络服务API的场景。

REST的全称是Representational State Transfer，表示表述性无状态传输，由于是基于HTTP协议的，也是无状态的无需session，所以每次请求都得带上身份认证信息。目前做法一般是基于API密钥和服务访问密钥机制的数字签名认证方式。

一般来说在用户在可以调用REST接口之前，首先需要向REST接口开放方申请接入许可，包括注册账号、申请资源访问权限等，当获准后会收到两个密钥：API密钥和服务访问密钥。其中API密钥相当于用户标识，系统会通过它区分不同用户，而服务访问密钥相当于提供给用户的密码，在接口使用过程中都不会在网络中传输，只有用户和应用系统知道。整个获取和使用密钥的过程比较繁琐，而且服务访问密钥容易泄漏安全性不高。

发明内容

本发明的一个目的是提供一种用于解决上述技术问题之一的新技术方案。

根据本发明的第一方面，提供了一种用于客户端的身份认证方法，包括：

向服务器的发送用于获取验证码的请求及对应所述请求的参数信息；

接收所述服务器根据所述请求生成的验证码；

根据所述验证码与所述参数信息进行运算，得到第一运算结果，作为当前API请求的签名；

将所述当前API请求发送至所述服务器。

可选的是，所述参数信息至少包括客户标志、时间和数字签名。

根据本发明的第二方面，提供了一种用于服务器的身份认证方法，包括：

接收客户端发送的用于获取验证码的请求及对应所述请求的参数信息；

根据所述请求生成验证码；

将所述验证码发送至所述客户端；

根据所述参数信息与所述客户端存储在所述服务器中的客户密钥进行运算得到第二运算结果；

接收所述客户端发送的API请求；

比较所述第二运算结果与所述API请求中包含的签名是否相同；

根据比较结果生成身份认证结果。

可选的是，所述方法还包括：

根据所述参数信息判断所述API请求是否在有效时间内，如是，则比较所述第二运算结果与所述API请求中包含的签名是否相同。

根据本发明的第三方面，提供了一种用于客户端的身份认证装置，包括：

第一发送模块，用于向服务器的发送用于获取验证码的请求及对应所述请求的参数信息；

第一接收模块，用于接收所述服务器根据所述请求生成的验证码；

第一运算模块，用于根据所述验证码与所述参数信息进行运算，得到第一运算结果，作为当前API请求的签名；

第二发送模块，用于将所述当前API请求发送至所述服务器。

可选的是，所述参数信息至少包括客户标志、时间和数字签名。

根据本发明的第四方面，提供了一种用于服务器的身份认证装置，包括：

第三接收模块，用于接收客户端发送的用于获取验证码的请求及对应所述请求的参数信息；

验证码生成模块，用于根据所述请求生成验证码；

第三发送模块，用于将所述验证码发送至所述客户端；

第二运算模块，用于根据所述参数信息与所述客户端存储在所述服务器中的客户密钥进行运算得到第二运算结果；

第四接收模块，用于接收所述客户端发送的API请求；

比较模块，用于比较所述第二运算结果与所述API请求中包含的签名是否相同；

认证结果生成模块，用于根据所述比较模块的比较结果生成身份认证结果。

可选的是，所述身份认证装置还包括：

判断模块，用于根据所述参数信息判断所述API请求是否在有效时间内，如是，则控制所述比较模块比较所述第二运算结果与所述API请求中包含的签名是否相同。

根据本发明的第五方面，提供了一种客户端，包括根据本发明第三方面所述的身份认证装置。

根据本发明的第六方面，提供了一种客户端，包括存储器和处理器，其中，所述存储器用于存储指令，所述指令用于控制所述处理器进行操作以执行根据本发明第一方面所述的身份认证方法。

本发明的发明人发现，在现有技术中，存在REST服务申请和数字签名生成过程繁琐以及服务访问密钥容易泄漏安全性不高的问题。因此，本发明所要实现的技术任务或者所要解决的技术问题是本领域技术人员从未想到的或者没有预期到的，故本发明是一种新的技术方案。

本发明的一个有益效果在于，通过本发明的方法可以使得用户无需使用基于用户名和密码的登录账号进行授权验证，无需保存固定的服务访问密钥，也不需要使用任何密码即可获得与客户端发送的参数信息绑定的验证码，生成API请求的签名，简化了身份认证过程，同时还提高了身份认证的安全性。

通过以下参照附图对本发明的示例性实施例的详细描述，本发明的其它特征及其优点将会变得清楚。

附图说明

被结合在说明书中并构成说明书的一部分的附图示出了本发明的实施例，并且连同其说明一起用于解释本发明的原理。

图1为根据本发明一种身份认证方法的一种实施方式的流程图；

图2为根据本发明一种身份认证装置的一种实施结构的方框原理图；

图3为根据本发明一种客户端的一种实施结构的方框原理图。

具体实施方式

现在将参照附图来详细描述本发明的各种示例性实施例。应注意到：除非另外具体说明，否则在这些实施例中阐述的部件和步骤的相对布置、数字表达式和数值不限制本发明的范围。

以下对至少一个示例性实施例的描述实际上仅仅是说明性的，决不作为对本发明及其应用或使用的任何限制。

对于相关领域普通技术人员已知的技术、方法和设备可能不作详细讨论，但在适当情况下，所述技术、方法和设备应当被视为说明书的一部分。

在这里示出和讨论的所有例子中，任何具体值应被解释为仅仅是示例性的，而不是作为限制。因此，示例性实施例的其它例子可以具有不同的值。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步讨论。

为了解决现有技术中存在的REST服务申请和数字签名生成过程繁琐以及服务访问密钥容易泄漏安全性不高的问题，提供了一种身份认证的方法。

图1为根据本发明一种身份认证方法的一种实施方式的流程图，图中实线代表客户端和服务器各自的实施流程，虚线代表客户端和服务器之间进行交互的实施流程。

根据图1所示，该方法包括以下步骤：

步骤S101，客户端向服务器发送用于获取验证码的请求及对应该请求的参数信息。

参数信息至少包括客户标志、时间和数字签名等，其中，客户标志例如可以是用户名或者是用户的手机号码、邮箱等；时间具体为该请求的发送时间；数字签名例如可以是用于输入的验证码。

步骤S102，服务器接收客户端发送的用于获取验证码的请求及对应该请求的参数信息。

步骤S103，服务器根据该请求生成验证码。

服务器接收端客户端发送的用于获取验证码的请求及对应该请求的参数信息后，可以生成一个随机数验证码，该验证码例如可以是随机的四位数字或者是六位数字等。

步骤S104，服务器将验证码发送至客户端。

具体的，服务器可以是通过短信或者网络等方式将该验证码发送至客户端。

步骤S105，客户端接收服务器生成的验证码。

步骤S106，客户端根据验证码与参数信息进行运算，得到第一运算结果，作为当前API请求的签名。

在本发明的一个具体实施例中，可以先将参数信息进行排序得到一字符串A，例如，客户标志可以是电话号码1234567，时间可以包含具体的年月日时分秒20161001090122，数字签名例如可以为随机数3256，那么将参数信息进行排序得到的字符串A例如就可以为1234567201610010901223256；再将该字符串A和接收的验证码进行例如是Hash运算，Hash运算可以是采用MD5算法或者是SHA-1算法，计算得到第一运算结果，并将该第一运算结果作为当前API请求的签名。

步骤S107，客户端将当前API请求发送至服务器。

这样，客户端就将包含第一运算结果的API请求发送至服务器，服务器能够从接收到的API请求中识别出其签名，即得到第一运算结果。

步骤S108，服务器根据参数信息与客户端存储在服务器中的客户密钥进行运算得到第二运算结果。

客户密钥可以是用户提前存储在数据库中的、用于身份认证的一组字符串，例如可以是六位数字或者是字符与数字的组合，根据参数信息与客户密钥进行运算具体也可以是先将参数信息进行排序得到字符串B，再将该字符串B和客户密钥进行例如是Hash运算，计算得到第二运算结果。其中，字符串B和字符串A可以相同；客户端进行的运算和服务器进行的运算可以相同，也可以不同。

步骤S109，服务器接收客户端发送的API请求。

步骤S110，服务器比较第二运算结果与API请求中包含的签名是否相同。

具体的，是将第一运算结果与第二运算结果进行比较，以判断第一运算结果和第二运算结果是否相同。

步骤S111，服务器根据比较结果生成身份认证结果。

具体的，可以是在比较结果为相同的情况下生成的身份认证结果成功，表面客户端为合法用户；在比较结果为不同的情况下生成的身份认证结果为失败，表明客户端为非法用户。

这样，通过本发明的方法可以使得用户无需使用基于用户名和密码的登录账号进行授权验证，无需保存固定的服务访问密钥，也不需要使用任何密码即可获得与客户端发送的参数信息绑定的验证码，生成API请求的签名，简化了身份认证过程，同时还提高了身份认证的安全性。

进一步地，服务器还可以将该身份认证结果发送至客户端，客户端接收到该身份认证结果后可以提示用于进行下一步操作，或者是进入其他界面。

在本发明的一个具体实施例中，该身份认证方法还可以包括：

服务器根据参数信息判断API请求是否在有效时间内，如是，再执行步骤S110，如否，则结束。

有效时间具体可以为验证码的有效时间，例如可以是十分钟，在有效时间内，服务器才会根据接收到的API请求来判断客户端是否合法，如果不在该有效时间内，服务器不进行身份认证的后续步骤，无法判断客户端是否合法，以保证用户密码的安全，这样能够避免API请求中的签名被截获后重复使用的问题，进一步提高身份认证的安全性。

与上述方法相对应的，本发明还提供了一种身份认证装置，该装置包括用于客户端的身份认证装置和用于服务器的身份认证装置，图2为根据本发明一种身份认证装置的一种实施结构的方框原理图。

根据图2所示，该装置包括用于客户端的身份认证装置210和用于服务器的身份认证装置220，其中，用于客户端的身份认证装置210包括第一发送模块211、第一接收模块212、第一运算模块213和第二发送模块214；用于服务器的身份认证装置220包括第三接收模块221、验证码生成模块222、第三发送模块223、第二运算模块224、第四接收模块225、比较模块226和认证结果生成模块227。

上述第一发送模块211用于向服务器的发送用于获取验证码的请求及对应请求的参数信息。

上述第一接收模块212用于接收服务器根据请求生成的验证码。

上述第一运算模块213用于根据验证码与参数信息进行运算，得到第一运算结果，作为当前API请求的签名。

上述第二发送模块214用于将当前API请求发送至服务器。

上述第三接收模块221用于接收客户端发送的用于获取验证码的请求及对应请求的参数信息。

上述验证码生成模块222用于根据请求生成验证码。

上述第三发送模块223用于将验证码发送至客户端。

上述第二运算模块224用于根据参数信息与客户端存储在服务器中的客户密钥进行运算得到第二运算结果。

上述第四接收模块225用于接收客户端发送的API请求。

上述比较模块226用于比较第二运算结果与API请求中包含的签名是否相同。

上述认证结果生成模块227用于根据比较模块的比较结果生成身份认证结果。

进一步地，参数信息至少包括客户标志、时间和数字签名。

在本发明的一个具体实施例中，该用于服务器的身份认证装置220还包括：

判断模块，用于根据参数信息判断API请求是否在有效时间内，如是，则控制比较模块比较第二运算结果与API请求中包含的签名是否相同。

本发明还提供了一种客户端，在一方面，该客户端包括本发明用于客户端的身份认证装置210。该客户端例如是手机、平板电脑、笔记本电脑等。

图3为根据本发明另一方面的该客户端的实施结构的方框原理图。

根据图3所示，该客户端300包括存储器301和处理器302，该存储器301用于存储指令，该指令用于控制处理器302进行操作以执行上述用于客户端的身份认证方法。

除此之外，根据图3所示，该电子设备300还包括接口装置303、输入装置304、显示装置305、通信装置306、扬声器307、麦克风308等等。尽管在图3中示出了多个装置，但是，本发明客户端可以仅涉及其中的部分装置，例如，处理器301、存储器302、接口装置303等。

上述通信装置306例如能够进行有有线或无线通信。

上述接口装置303例如包括耳机插孔、USB接口等，以使接口装置303的USB接口通过USB数据线与其他设备建立连接。

上述输入装置304例如可以包括触摸屏、按键等。

上述显示装置305例如是液晶显示屏、触摸显示屏等。

该客户端例如是手机、平板电脑、笔记本电脑等。

上述各实施例主要重点描述与其他实施例的不同之处，但本领域技术人员应当清楚的是，上述各实施例可以根据需要单独使用或者相互结合使用。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分相互参见即可，每个实施例重点说明的都是与其他实施例的不同之处，但本领域技术人员应当清楚的是，上述各实施例可以根据需要单独使用或者相互结合使用。另外，对于装置实施例而言，由于其是与方法实施例相对应，所以描述得比较简单，相关之处参见方法实施例的对应部分的说明即可。以上所描述的系统实施例仅仅是示意性的，其中作为分离部件说明的模块可以是或者也可以不是物理上分开的。

本发明可以是系统、方法和/或计算机程序产品。计算机程序产品可以包括计算机可读存储介质，其上载有用于使处理器实现本发明的各个方面的计算机可读程序指令。

计算机可读存储介质可以是可以保持和存储由指令执行设备使用的指令的有形设备。计算机可读存储介质例如可以是――但不限于――电存储设备、磁存储设备、光存储设备、电磁存储设备、半导体存储设备或者上述的任意合适的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、静态随机存取存储器(SRAM)、便携式压缩盘只读存储器(CD-ROM)、数字多功能盘(DVD)、记忆棒、软盘、机械编码设备、例如其上存储有指令的打孔卡或凹槽内凸起结构、以及上述的任意合适的组合。这里所使用的计算机可读存储介质不被解释为瞬时信号本身，诸如无线电波或者其他自由传播的电磁波、通过波导或其他传输媒介传播的电磁波(例如，通过光纤电缆的光脉冲)、或者通过电线传输的电信号。

这里所描述的计算机可读程序指令可以从计算机可读存储介质下载到各个计算/处理设备，或者通过网络、例如因特网、局域网、广域网和/或无线网下载到外部计算机或外部存储设备。网络可以包括铜传输电缆、光纤传输、无线传输、路由器、防火墙、交换机、网关计算机和/或边缘服务器。每个计算/处理设备中的网络适配卡或者网络接口从网络接收计算机可读程序指令，并转发该计算机可读程序指令，以供存储在各个计算/处理设备中的计算机可读存储介质中。

用于执行本发明操作的计算机程序指令可以是汇编指令、指令集架构(ISA)指令、机器指令、机器相关指令、微代码、固件指令、状态设置数据、或者以一种或多种编程语言的任意组合编写的源代码或目标代码，所述编程语言包括面向对象的编程语言—诸如Smalltalk、C++等，以及常规的过程式编程语言—诸如“C”语言或类似的编程语言。计算机可读程序指令可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络—包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。在一些实施例中，通过利用计算机可读程序指令的状态信息来个性化定制电子电路，例如可编程逻辑电路、现场可编程门阵列(FPGA)或可编程逻辑阵列(PLA)，该电子电路可以执行计算机可读程序指令，从而实现本发明的各个方面。

这里参照根据本发明实施例的方法、装置(系统)和计算机程序产品的流程图和/或框图描述了本发明的各个方面。应当理解，流程图和/或框图的每个方框以及流程图和/或框图中各方框的组合，都可以由计算机可读程序指令实现。

这些计算机可读程序指令可以提供给通用计算机、专用计算机或其它可编程数据处理装置的处理器，从而生产出一种机器，使得这些指令在通过计算机或其它可编程数据处理装置的处理器执行时，产生了实现流程图和/或框图中的一个或多个方框中规定的功能/动作的装置。也可以把这些计算机可读程序指令存储在计算机可读存储介质中，这些指令使得计算机、可编程数据处理装置和/或其他设备以特定方式工作，从而，存储有指令的计算机可读介质则包括一个制造品，其包括实现流程图和/或框图中的一个或多个方框中规定的功能/动作的各个方面的指令。

也可以把计算机可读程序指令加载到计算机、其它可编程数据处理装置、或其它设备上，使得在计算机、其它可编程数据处理装置或其它设备上执行一系列操作步骤，以产生计算机实现的过程，从而使得在计算机、其它可编程数据处理装置、或其它设备上执行的指令实现流程图和/或框图中的一个或多个方框中规定的功能/动作。

附图中的流程图和框图显示了根据本发明的多个实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或指令的一部分，所述模块、程序段或指令的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。对于本领域技术人员来说公知的是，通过硬件方式实现、通过软件方式实现以及通过软件和硬件结合的方式实现都是等价的。

以上已经描述了本发明的各实施例，上述说明是示例性的，并非穷尽性的，并且也不限于所披露的各实施例。在不偏离所说明的各实施例的范围和精神的情况下，对于本技术领域的普通技术人员来说许多修改和变更都是显而易见的。本文中所用术语的选择，旨在最好地解释各实施例的原理、实际应用或对市场中的技术的技术改进，或者使本技术领域的其它普通技术人员能理解本文披露的各实施例。本发明的范围由所附权利要求来限定。

Claims (9)

1.一种用于客户端的身份认证方法，其特征在于，包括：

向服务器发送用于获取验证码的请求及对应所述请求的参数信息，所述参数信息包括时间信息；

接收所述服务器根据所述请求生成的验证码；

根据所述验证码与所述参数信息进行运算，得到第一运算结果，作为当前API请求的签名；

将所述当前API请求发送至所述服务器，以使所述服务器在根据所述参数信息确定所述当前API请求在有效时间内的情况下，根据所述参数信息与存储在所述服务器中的客户密钥进行运算得到第二运算结果，并通过比较所述第二运算结果与所述当前API请求的签名是否相同来判断所述当前API请求的签名的正确性。

2.根据权利要求1所述的身份认证方法，其特征在于，所述参数信息至少还包括客户标志和数字签名。

3.一种用于服务器的身份认证方法，其特征在于，包括：

接收客户端发送的用于获取验证码的请求及对应所述请求的参数信息，所述参数信息包括时间信息；

根据所述请求生成验证码；

将所述验证码发送至所述客户端，以使所述客户端根据所述验证码和所述参数信息进行运算而得到用于作为API请求的签名的第一运算结果；

根据所述参数信息与所述客户端存储在所述服务器中的客户密钥进行运算得到第二运算结果；

接收所述客户端发送的包含有所述签名的API请求；

在根据所述参数信息确定所述API请求在有效时间内的情况下，比较所述第二运算结果与所述API请求中包含的签名是否相同；

根据比较结果生成身份认证结果。

4.一种用于客户端的身份认证装置，其特征在于，包括：

第一发送模块，用于向服务器发送用于获取验证码的请求及对应所述请求的参数信息，所述参数信息包括时间信息；

第一接收模块，用于接收所述服务器根据所述请求生成的验证码；

第一运算模块，用于根据所述验证码与所述参数信息进行运算，得到第一运算结果，作为当前API请求的签名；

第二发送模块，用于将所述当前API请求发送至所述服务器，以使所述服务器在根据所述参数信息确定所述当前API请求在有效时间内的情况下，根据所述参数信息与存储在所述服务器中的客户密钥进行运算得到第二运算结果，并通过比较所述第二运算结果与所述当前API请求的签名是否相同来判断所述当前API请求的签名的正确性。

5.根据权利要求4所述的身份认证装置，其特征在于，所述参数信息至少还包括客户标志和数字签名。

6.一种用于服务器的身份认证装置，其特征在于，包括：

第三接收模块，用于接收客户端发送的用于获取验证码的请求及对应所述请求的参数信息，所述参数信息包括时间信息；

验证码生成模块，用于根据所述请求生成验证码；

第三发送模块，用于将所述验证码发送至所述客户端，以使所述客户端根据所述验证码和所述参数信息进行运算而得到用于作为API请求的签名的第一运算结果；

第二运算模块，用于根据所述参数信息与所述客户端存储在所述服务器中的客户密钥进行运算得到第二运算结果；

第四接收模块，用于接收所述客户端发送的包含有所述签名的API请求；

比较模块，用于在根据所述参数信息确定所述API请求在有效时间内的情况下，比较所述第二运算结果与所述API请求中包含的签名是否相同；

认证结果生成模块，用于根据所述比较模块的比较结果生成身份认证结果。

7.根据权利要求6所述的身份认证装置，其特征在于，所述身份认证装置还包括：

判断模块，用于根据所述参数信息判断所述API请求是否在有效时间内。

8.一种客户端，其特征在于，包括权利要求4或5所述的身份认证装置。

9.一种客户端，其特征在于，包括存储器和处理器，其中，所述存储器用于存储指令，所述指令用于控制所述处理器进行操作以执行根据权利要求1或2所述的身份认证方法。

Images