CN107294916A - 单点登录方法、单点登录终端及单点登录系统 - Google Patents

Abstract

本发明涉及通信领域，公开了一种单点登录方法及其终端、系统。本发明方法包括：第一平台接收登录的主账号信息，并提交至认证中心进行验证，验证通过后生成根票据；在接收到指示一集成至第一平台并且属于第二平台的集成应用打开的指令时，将根票据和集成应用的标识提交至认证中心；判断主账号信息是否绑定了用于集成应用登录的从账号；如果判定为已绑定，则获取从账号，向第一平台返回子票据；所述第一平台利用接收到的子票据单点登录所述集成应用；认证中心验证所述子票据通过，将从账号返回给所述集成应用，单点登录成功。根据本发明，单点登录不受平台限制，便于统一多平台的登录账号，使得单点登录更为灵活，利于推广。

Description

单点登录方法、单点登录终端及单点登录系统

技术领域

本发明涉及通信领域，特别涉及单点登录方法及其终端、系统。

背景技术

单点登录(Single Sign On)，简称为SSO，是目前比较流行的企业业务整合的解决方案之一。SSO的定义是在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统。

在现有技术中，单点登录的方法有很多，其中一种方法是：企业将自己开发的应用都集成在同一应用平台，只要登录该应用平台，就可以实现该应用平台下所有应用系统单点登录到资源平台访问资源，当用户第一次访问应用平台的时候，会被引导到认证系统中进行登录；认证系统根据用户提供的登录信息，到资源平台获取资源平台保存的账号信息进行身份校验，如果通过校验，应该返回给用户一个认证的凭据－票据，平台登录成功；当用户再访问平台中其他应用系统的时候，应用平台会把申请子票据请求送到认证系统，认证系统会验证票据对应的账号是否存在，如果存在会生成子票据返回应用平台，应用平台携带子票据登录应用系统，应用系统对子票据进行校验，检查票据的合法性(即验证票据对应的账号信息是否合法)，如果验证通过登录应用系统成功。

从中可见，上述单点登录方法需要应用平台和和该应用平台上集成的APP拥有相同账号信息才能登陆成功。当有其他平台上的APP与该平台集成时，相当于已有的应用平台A有自己的一套账号及集成APP，第三方应用平台B也有自己的一套账号及集成APP，这时如果想要平台A与平台B做单点登录，首先要保证平台A与平台B的账号一致才能进行单点登录访问开放资源平台。但是现实情况是平台A与平台B都已经运行过一段时间了，都维护着自己系统内部的用户，这样做账号同步会造成麻烦，而账号互相无法统一，就无法实现单点登录，限制了单点登录在多平台上的推广应用。

发明内容

本发明的目的在于提供一种单点登录方法及其终端、系统，使得单点登录不受平台限制，便于统一多平台的登录账号，单点登录更为灵活且利于推广。

为解决上述技术问题，本发明的实施方式提供了一种单点登录方法，包含以下步骤：

第一平台接收用户输入的用于登录所述第一平台的主账号信息，并将所述主账号信息提交至认证中心进行验证，并接收所述认证中心验证通过后生成的根票据；

所述第一平台在接收到指示一集成至所述第一平台并且属于第二平台的集成应用打开的指令时，将所述根票据和所述集成应用的标识提交至所述认证中心；

所述认证中心根据所述根票据和所述集成应用的标识判断所述主账号信息是否绑定了用于所述集成应用登录的从账号；

如果判定为已绑定，则获取从账号，向所述第一平台返回子票据；

所述第一平台利用接收到的所述子票据单点登录所述集成应用；

所述集成应用向所述认证中心验证子票据；

所述认证中心验证所述子票据通过，将所述从账号返回给所述集成应用，单点登录成功。

本发明的实施方式还提供了一种单点登录终端，包含：

接收模块，用于接收用于第一平台登录的主账号信息,还用于接收指示一集成应用打开的指令；

提交模块，用于将所述主账号信息提交至认证中心进行认证,还用于在所述接收模块接收到指示一集成应用打开的指令时，将所述根票据和所述集成应用的标识提交至所述认证中心；

获取模块，用于从所述认证中心获取表示主账号认证通过的根票据,还用于接收来自所述认证中心的子票据；

登录模块，用于利用所述获取模块接收到的所述子票据登录所述集成应用。

本发明的实施方式还提供了一种单点登录系统，包含：认证中心，和上述的单点登录终端；所述认证中心，用于认证接收到的主账号；在通过认证时，发送根票据；还用于判断所述主账号是否绑定了用于需登录的集成应用的从账号；在判定已绑定时，返回子票据。

本发明实施方式相对于现有技术而言，主要区别及其效果在于：在第一平台上集成了第三方应用平台的应用系统，第一平台与集成的应用系统分别拥有不同的账号，用于登录第一平台的账号为主账号，用于登录集成应用的账号为从账号，主账号绑定了从账号。在单点登录时，首先对主账号进行认证，如果认证通过，可以获得根票据；当用户需要登录某一集成应用时，由认证中心判断该主账号是否绑定了所对应需登录的集成应用的从账号，一旦确认从账号已被绑定，即可获得子票据，该子票据可以用于登录对应的集成应用。其中，由于主账号绑定了从账号，生成根票据并根据根票据票和对应集成应用的标识可以生成不同的子票据，在验证子票据的过程中可以从子票据中解析出集成应用对应的从账号，这样，单点登录就不受具体账号的影响。另外，由于利用第三方认证中心对主账号和从账号进行认证，所以主从账号的关系一旦绑定，就不受登录地点和终端的影响，均可实现本发明实施方式中的单点登录，使得单点登录不受平台限制，便于统一多平台的登录账号，使得单点登录更为灵活，利于推广。再者，由于子票据获取时，只需要确定主从账号的绑定关系，并不需要具体的登录密码，所以利于用户和集成应用的后台对账号密码的保护，提升网络安全性。

作为进一步改进，所述对主账号绑定对应所述集成应用登录的从账号的步骤中，包含以下子步骤：提示用户输入用于所述集成应用登录的从账号信息；将接收到的从账号信息提交至认证中心进行验证；所述认证中心将验证成功的从账号和所述主账号绑定。

进一步限定可以由用户手动输入从账号信息进行主从账号的绑定，使绑定过程灵活便捷，实用性高。

作为进一步改进，所述认证中心判断所述主账号是否绑定了对应所述集成应用的从账号的步骤中，所述认证中心调用预设的账号管理库的数据判断所述主账号是否绑定了对应所述集成应用的从账号。利用账号管理库保存主从账号的绑定关系，便于绑定关系的确认，以及从账号的查找。

作为进一步改进，所述集成应用的标识包含：所述集成应用所属平台的系统标识和所述集成应用所属平台集成的应用编码。利用系统标识和所属平台集成的应用编码组合的唯一性，可以方便快捷地标识具体的集成应用。

作为进一步改进，根票据和/或子票据通过对称加密算法加密。保证了网络传输中的安全性。

作为进一步改进，主账号和从账号不同。进一步限定主从账号可以是不同的账号，由于主从账号存在绑定关系即可实现本发明实施方式中的单点登录方法，又由于现有不同平台的集成应用一般都采用不同的账号，所以可以使得本发明实施方式中的单点登录便于应用在多平台的单点登录，进一步拓展本发明的应用场景。

附图说明

图1是根据背景技术中的单点登录方法流程图；

图2是根据本发明第一实施方式中的单点登录方法流程图；

图3是根据本发明第二实施方式中的单点登录方法中绑定过程的流程图；

图4是根据本发明第三实施方式中的单点登录终端的结构示意图；

图5是根据本发明第四实施方式中的单点登录系统的结构示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明的各实施方式进行详细的阐述。然而，本领域的普通技术人员可以理解，在本发明各实施方式中，为了使读者更好地理解本申请而提出了许多技术细节。但是，即使没有这些技术细节和基于以下各实施方式的种种变化和修改，也可以实现本申请各权利要求所要求保护的技术方案。

本发明的核心思想是：针对现有技术的方案中，企业自己开发的第一平台中的集成应用都进行了账号统一管理，当登录第一平台时，就可以单点登录到第一平台中集成的所有应用，而当第二平台的应用集成到第一平台时会因为账号不统一的问题，无法实现单点登录，因此提出一种单点登录的方法，首先通过登录第一平台，将第一平台的账号信息(主账号)发送给认证中心进行验证，验证通过后，生成根票据并将所述根票据返回所述第一平台，此后打开第一平台中集成的第二平台中的应用时，第一平台将根票据和所述集成应用的标识提交至所述认证中心以获取子票据；认证中心判断所述主账号是否绑定了用于集成应用登录的从账号；如果判定为已绑定，则认证中心向所述第一平台返回子票据；第一平台利用接收到的所述子票据单点登录所述集成应用。本发明的方法即使第一平台和第二平台的账号不同也可以实现单点登录，不需要进行账号统一。

本发明的第一实施方式涉及一种单点登录方法。其流程如图2所示，具体如下：

步骤201，第一平台接收用户输入的用于登录所述第一平台的主账号信息，并将所述主账号信息提交至认证中心进行验证，并接收所述认证中心验证通过后生成的根票据。

第一平台可以是企业开发的集成应用平台，可以设置在终端中，第一平台可以通过预设的登录页接收主账号信息。在用户打开第一平台登录页时，在预设的账号输入框中输入主账号信息，主账号信息可以是：手机号/账号+密码。

具体举例说明，某些平台(例如电信智能网管)将自己的服务封装成开放资源，供第三方使用，这些平台我们叫开放平台pasm，用于进行账号管理，OpenCA是连接第三方与开放平台之间的桥梁，叫开放资源认证(即认证中心)。OpenCA连接了两个服务端，一端为机端，一端为pasm端，OpenCA向手机客户端提供接口服务。通过OpenCA到pasm获取Pasm平台所保存的帐号信息，与手机端所具有的ME平台集成的所有应用系统做单点登录。现有技术中具体的单点登录方法如图1所示：用户访问ME平台时，输入用户名+密码，调用OpenCA的http认证接口，OpenCA调用pasm的rmi接口认证用户名和密码。认证成功生成根票据，返回给ME平台，ME平台登录成功。

本实施方式中的认证中心可以是OpenCA登录，更具体的说，可以预设一个账号管理库(如pasm)，pasm中预存有主账号信息。OpenCA在认证时，调用pasm中所保存的账号信息，验证预存的账号信息和接收到主账号信息是否一致，如果接收到的主账号信息和预存的账号信息一致，即为认证通过。随后，OpenCA将生成根票据返回终端，根票据包括：登录成功标识、账号信息(主账号信息)、pasm密码，也就是说，根票据可以解析出主账号信息。即表示主账号信息被认证成功，第一平台从OpenCA获取表示主账号认证通过的根票据。

步骤202，所述第一平台在接收到指示一集成至所述第一平台并且属于第二平台的集成应用打开的指令时，将所述根票据和所述集成应用的标识提交至所述认证中心。

参见图1，在现有技术中，与ME平台集成的APP需要进行单点的时候，用户点击me平台上集成的APP，ME平台带着根票据调用OpenCA申请子票据的接口，OpenCA验证根票据的合法性，并生成子票据返回ME平台，ME平台呼起集成APP，把子票据传给集成APP，集成APP再调用OpenCA的验证子票据接口到服务端验证子票据。验证成功之后返回me平台账号信息。集成APP登录成功。

而在本发明实施例中，在第一平台接收到指示一集成至所述第一平台并且属于第二平台的集成应用打开的指令时，与现有技术不同的是在本发明实施例中第一平台将根票据和集成应用的标识提交至认证中心。认证中心可以根据根票据和集成应用的标识解析出主账号，并根据集成应用的标识判断主账号是否绑定了集成应用的从账号，如果主账号绑定了集成应用的从账号，就生成子票据返回第一平台。

其中，集成应用的标识可以包含：集成应用所属平台的系统标识(systemKey)和集成应用所属平台集成的应用编码(appCode)。利用系统标识和所属平台集成的应用编码组合的唯一性，可以方便快捷地标识具体的集成应用。

值得一提的是，本步骤是第一平台向认证中心申请子票据的步骤。

步骤203，所述认证中心根据所述根票据和所述集成应用的标识判断所述主账号信息是否绑定了用于所述集成应用登录的从账号。

具体的说，认证中心可以调用预设的账号管理库的数据判断主账号是否绑定了对应集成应用的从账号。

更具体的说，预设的账号管理库可以是pasm，其中保存有主账号对应不同集成应用所绑定的从账号，而具体的集成应用可以由systemKey+appCode的组合来标识。

步骤204，如果判定为已绑定，则获取从账号，向所述第一平台返回子票据。

具体的说，如果认证中心调用pasm中的数据后，查询到主账号对应待登录集成应用所绑定的从账号，那么就判定为主账号已绑定相应从账号，然后openCA调用pasm接口获取从账号，保存从账号信息，并生成与根票据对应的子票据，并发送给me平台。

如果认证中心没有查询到主账号对应的相应从账号，那么就可以判定主账号是第一次登录该集成应用，尚未绑定相应的从账号，那么就执行相应的绑定程序。

步骤205，所述第一平台利用接收到的所述子票据单点登录所述集成应用。

具体的说，当用户点击第一平台中集成的属于第二平台的集成应用时，第一平台会发出打开所述集成应用的命令，所述命令携带子票据。

步骤206，所述集成应用向所述认证中心验证子票据；

集成应用在接收到打开请求后，会向验证中心发送验证子票据的请求。

步骤207，所述认证中心验证所述子票据通过，将所述从账号返回给所述集成应用，单点登录成功。

所述认证中心解析并验证子票据，如果验证子票据通过，则返回所述集成应用从账号信息，所述集成应用登录成功。

另外，还需说明的是，由于主从账号存在绑定关系即可实现本发明实施方式中的单点登录，所以可以不限制需登录的集成应用隶属于哪个平台，拓展本发明单点登录方法的应用场景。而且，主账号和从账号可以不同。在实际应用中，集成应用可以来自于其他平台中，可以存在其他来源的用户，当用户先使用了该应用，后使用了第一平台时，即使会出现用户具有不同的主从账号，也不必必须统一账号才能单点登录，消除了对用户造成的极大不便，不再限制单点登录的推广应用。

本实施方式相对于现有技术而言，主要区别及其效果在于：现有技术必须同步登录平台和集成应用的账号信息，而本实施方式不需要同步用于登录第一平台的主账号，和用于登录集成应用的从账号，在同一平台可以具有两套分别独立的账号。在进行单点登录时，首先对主账号进行认证，如果认证通过，可以获得根票据；当用户需要登录某一集成应用时，由认证中心判断该主账号是否绑定了所对应需登录的集成应用的从账号，一旦确认从账号已被绑定，即可获得子票据，该子票据可以用于登录对应的集成应用。其中，由于是对具体的集成应用获取子票据，所以不同的集成应用可以设有不同的从账号，只需获取不同的子票据即可登录不同的集成应用，这样，单点登录就不受具体账号的影响。另外，由于利用第三方认证中心(openCA)对主账号和从账号进行认证，所以主从账号的关系一旦绑定，就不受登录地点和终端的影响，均可实现本实施方式中的单点登录，使得单点登录不受平台限制，便于统一多平台的登录账号，使得单点登录更为灵活，利于推广。再者，由于子票据获取时，只需要主从账号的绑定关系，并不需要具体的登录密码，所以利于用户和集成应用的后台对账号密码的保护，提升网络安全性。

此外，本实施方式还可以进一步优化，上述根票据和/或子票据通过对称加密算法加密，具体的说，可以是DES对称加密算法加密算法。保证了网络传输中的安全性。

本发明的第二实施方式涉及一种单点登录方法。第二实施方式与第一实施方式大致相同，主要区别之处在于：在本发明第二实施方式中，给出了一种具体的主从账号的绑定方法，由用户手动输入从账号信息进行绑定，使绑定过程灵活便捷，实用性高。

对主账号绑定对应集成应用登录的从账号的绑定过程如图3所示，具体如下：

步骤301，提示用户输入用于集成应用登录的从账号信息。

具体的说，可以通过绑定页面，提示用户输入用于集成应用登录的从账号信息。具体的说，认证中心在判定为未绑定后，将回调认证的url页面，以参数形式传到OpenCA，OpenCA指示终端弹出绑定页面，提示用户输入集成应用的从账号和密码。

步骤302，将接收到的从账号信息提交至认证中心进行验证。

具体的说，提交的信息可以包含根票据、systemKey、appCode和收到的从账号信息，认证中心调用集成应用的端口验证从账号的有效性。

步骤303，认证中心将验证成功的从账号和主账号绑定。

具体的说，认证中心对从账号信息验证成功后，将认证成功的从账号、对应的集成应用的systemKey和appCode，还有从根票据中解析出的主账号发送至pasm保存，以完成整个绑定步骤。

值得一提的是，本实施方式中pasm可以通过管理员维护主账号，各个业务系统维护(集成应用)自己的账号(从账号)，主从账号关系通过用户自己维护保存到pasm中。

上面各种方法的步骤划分，只是为了描述清楚，实现时可以合并为一个步骤或者对某些步骤进行拆分，分解为多个步骤，只要包含相同的逻辑关系，都在本专利的保护范围内；对算法中或者流程中添加无关紧要的修改或者引入无关紧要的设计，但不改变其算法和流程的核心设计都在该专利的保护范围内。

本发明第三实施方式涉及一种单点登录终端，如图4所示，包含：

接收模块，用于接收用于第一平台登录的主账号信息；

提交模块，用于将主账号信息提交至认证中心进行认证；

获取模块，用于从认证中心获取表示主账号认证通过的根票据；

接收模块，还用于接收指示一集成应用打开的指令；

提交模块，还用于在接收模块接收到指示一集成应用打开的指令时，将根票据和集成应用的标识提交至认证中心；具体的说，集成应用的标识可以包含：集成应用所属平台的系统标识和集成应用所属平台集成的应用编码。

获取模块，还用于接收来自认证中心的子票据；

登录模块，用于利用获取模块接收到的子票据登录集成应用。

本实施方式可以进一步优化，单点登录终端还包含：加解密模块，用于对接收到的根票据或子票据，通过对称解密算法解密；或者，对需发送的根票据或子票据，通过对称加密算法加密。

不难发现，本实施方式为与第一实施方式相对应的系统实施例，本实施方式可与第一实施方式互相配合实施。第一实施方式中提到的相关技术细节在本实施方式中依然有效，为了减少重复，这里不再赘述。相应地，本实施方式中提到的相关技术细节也可应用在第一实施方式中。

值得一提的是，本实施方式中所涉及到的各模块均为逻辑模块，在实际应用中，一个逻辑单元可以是一个物理单元，也可以是一个物理单元的一部分，还可以以多个物理单元的组合实现。此外，为了突出本发明的创新部分，本实施方式中并没有将与解决本发明所提出的技术问题关系不太密切的单元引入，但这并不表明本实施方式中不存在其它的单元。

本发明第四实施方式涉及一种单点登录系统。如图5所示，具体包含：认证中心、和根据第三实施方式得到的单点登录终端。

具体的说，认证中心，用于认证接收到的主账号；在通过认证时，发送根票据；还用于判断主账号是否绑定了用于需登录的集成应用的从账号；在判定已绑定时，返回子票据。

本领域的普通技术人员可以理解，上述各实施方式是实现本发明的具体实施例，而在实际应用中，可以在形式上和细节上对其作各种改变，而不偏离本发明的精神和范围。

Claims (10)

1.一种单点登录方法，其特征在于，包含以下步骤：

第一平台接收用户输入的用于登录所述第一平台的主账号信息，并将所述主账号信息提交至认证中心进行验证，并接收所述认证中心验证通过后生成的根票据；

所述第一平台在接收到指示一集成至所述第一平台并且属于第二平台的集成应用打开的指令时，将所述根票据和所述集成应用的标识提交至所述认证中心；

所述认证中心根据所述根票据和所述集成应用的标识判断所述主账号信息是否绑定了用于所述集成应用登录的从账号；

如果判定为已绑定，则获取从账号，向所述第一平台返回子票据；

所述第一平台利用接收到的所述子票据单点登录所述集成应用；

所述集成应用向所述认证中心验证子票据；

所述认证中心验证所述子票据通过，将所述从账号返回给所述集成应用，单点登录成功。

2.根据权利要求1所述的单点登录方法，其特征在于，如果查询结果判定为未绑定，则执行以下步骤：

认证中心提供提示用户输入用于所述集成应用登录的从账号信息的页面；

接收用户输入的从账号信息提交至认证中心进行验证；

所述认证中心将验证成功的从账号和所述主账号进行绑定。

3.根据权利要求1所述的单点登录方法，其特征在于，所述认证中心判断所述主账号是否绑定了对应所述集成应用的从账号的步骤中，所述认证中心根据调用到的预设的账号管理库的数据判断所述主账号是否绑定了对应所述集成应用的从账号；

其中，所述预设的账号管理库中存有所述主账号已绑定的从账号，如果在所述账号管理库中查找到所述主账号存在对应所述集成应用的从账号，则判定所述主账号绑定了对应所述集成应用的从账号。

4.根据权利要求1所述的单点登录方法，其特征在于，所述集成应用的标识包含：所述集成应用所属平台的系统标识和所述集成应用所属平台集成的应用编码。

5.根据权利要求1至4中任意一项所述的单点登录方法，其特征在于，所述根票据和/或子票据通过对称加密算法加密。

6.一种单点登录终端，其特征在于，包含：

接收模块，用于接收用于第一平台登录的主账号信息,还用于接收指示一集成应用打开的指令；

提交模块，用于将所述主账号信息提交至认证中心进行认证,还用于在所述接收模块接收到指示一集成应用打开的指令时，将所述根票据和所述集成应用的标识提交至所述认证中心；其中,所述集成应用不属于所述第一平台；

获取模块，用于从所述认证中心获取表示主账号认证通过的根票据,还用于接收来自所述认证中心的表示所述主账号已绑定用于所述集成应用登录的从账号的子票据；

登录模块，用于利用所述获取模块接收到的所述子票据登录所述集成应用。

7.根据权利要求6所述的单点登录终端，其特征在于，所述单点登录终端还包含：

加解密模块，用于对接收到的所述根票据或子票据，通过对称解密算法解密；或者对需发送的所述根票据或子票据，通过对称加密算法加密。

8.一种单点登录系统，其特征在于，包含：认证中心和如权利要求6或权利要求7所述的单点登录终端；

所述认证中心包含：认证模块、发送模块和绑定判断模块；

所述认证模块，用于认证接收到的主账号；

所述发送模块，用于在所述认证模块通过认证时，发送根票据；还用于在所述绑定判断模块判定已绑定时，返回对应所述根票据的子票据；

所述绑定判断模块，用于判断所述主账号是否绑定了用于需登录的集成应用的从账号。

9.根据权利要求8所述的单点登录系统，其特征在于，所述单点登录终端还包含：提示模块，用于在所述绑定判断模块判定为未绑定时，提示用户输入用于所述集成应用登录的从账号信息；

所述单点登录终端的提交模块还用于将接收到的从账号信息提交至所述认证中心；

所述认证中心还包含：

验证模块，用于验证接收到的从账号信息；

绑定模块，用于将验证成功的从账号和所述主账号绑定。

10.根据权利要求8所述的单点登录系统，其特征在于，所述绑定判断模块，根据调用到的预设的账号管理库的数据，判断所述主账号是否绑定了用于需登录的集成应用的从账号；

其中，所述预设的账号管理库中存有所述主账号已绑定的从账号，如果在所述账号管理库中查找到所述主账号存在对应所述集成应用的从账号，则判定所述主账号绑定了对应所述集成应用的从账号。