CN107294920A - 一种反向信任登录方法和装置 - Google Patents

Abstract

本申请提供一种反向信任登录方法和装置，其中该方法应用于用户由第一网站信任登录至第二网站后，由所述第二网站反向信任登录至第一网站，包括：第一网站在接收到用户的反向信任登录请求时，对所述反向信任登录请求进行签名验证，并获取所述反向信任登录请求中携带的第一令牌；在签名验证通过，且确定所述第一令牌存储在与所述用户对应的存储空间时，所述第一网站执行反向信任登录，所述第一令牌是第一网站预先根据用户的反向信任登录指示生成的与用户对应的访问令牌。本申请提高了网站之间反向信任登录的安全性。

Description

一种反向信任登录方法和装置

技术领域

本申请涉及网络技术，特别涉及一种反向信任登录方法和装置。

背景技术

随着互联网的发展，越来越多的网站为了能够给用户更好的体验，考虑提供一种反向信任登录的方式，该反向信任登录也应用在具有相同账户体系或关联账户体系的两个网站之间。反向信任登录，即当用户登录网站A，并由网站A信任登录至网站B之后，应当允许用户再由网站B信任登录至网站A。反向信任登录也主要依靠签名验证，比如，信任登录至网站B后，若用户要想从网站B反向信任登录至网站A，只要通过经网站B签名的URL向网站A发送反向信任登录请求即可，而网站A在签名验证通过后即可信任登录，不再需要输入网站A的用户名和密码，实现了反向信任登录。但是这种反向信任登录方式存在安全隐患，比如，若攻击者获取了B网站反向请求A网站信任登录的URL，那么A网站就会验证签名通过而允许攻击者登录访问，容易造成A网站中的用户信息泄露。

发明内容

有鉴于此，本申请提供一种反向信任登录方法和装置，以提高网站之间反向信任登录的安全性。

具体地，本申请是通过如下技术方案实现的：

第一方面，提供一种反向信任登录方法，所述方法应用于用户由第一网站信任登录至第二网站后，由所述第二网站反向信任登录至第一网站，所述方法包括：

所述第一网站在接收到用户的反向信任登录请求时，对所述反向信任登录请求进行签名验证，并获取所述反向信任登录请求中携带的第一令牌；

在签名验证通过，且确定所述第一令牌存储在与所述用户对应的存储空间时，所述第一网站执行反向信任登录，所述第一令牌是第一网站预先根据用户的反向信任登录指示生成的与用户对应的访问令牌。

第二方面，提供一种反向信任登录方法，所述方法应用于用户由第一网站信任登录至第二网站后，由所述第二网站反向信任登录至第一网站，所述方法包括：

所述第二网站获取到用户向第一网站的反向信任登录触发；

所述第二网站根据所述反向信任登录触发，向第一网站发送反向信任登录请求，携带第一令牌，所述第一令牌是第一网站生成的与用户对应的访问令牌。

第三方面，提供一种反向信任登录装置，所述装置应用于用户由第一网站信任登录至第二网站后，由所述第二网站反向信任登录至第一网站，所述装置包括：

信息获取模块，用于在接收到用户的反向信任登录请求时，对所述反向信任登录请求进行签名验证，并获取反向信任登录请求中携带的第一令牌；

登录处理模块，用于在签名验证通过，且确定所述第一令牌存储在与所述用户对应的存储空间时，执行反向信任登录，所述第一令牌是第一网站预先根据用户的反向信任登录指示生成的与用户对应的访问令牌。

第四方面，提供一种反向信任登录装置，所述装置应用于用户由第一网站信任登录至第二网站后，由所述第二网站反向信任登录至第一网站，所述装置包括：

指示接收模块，用于获取到用户向第一网站的反向信任登录触发；

请求发送模块，用于根据所述反向信任登录触发，向第一网站发送反向信任登录请求，携带第一令牌，所述第一令牌是第一网站生成的与用户对应的访问令牌。

本申请提供的反向信任登录方法和装置，通过在签名验证通过，并且与反向信任登录用户对应的存储空间中存储有令牌时，才允许执行反向信任登录，这种在反向信任登录的验证中加入了令牌验证的方式，使得攻击者即使伪造了请求URL后，签名验证通过后，也会在令牌校验处失败，从而被拒绝访问，提高了网站之间反向信任登录的安全性。

附图说明

图1是本申请一示例性实施例示出的一种反向信任登录方法的流程图；

图2是本申请一示例性实施例示出的一种反向信任登录装置的结构图；

图3是本申请一示例性实施例示出的另一种反向信任登录装置的结构图；

图4是本申请一示例性实施例示出的又一种反向信任登录装置的结构图；

图5是本申请一示例性实施例示出的又一种反向信任登录装置的结构图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

反向信任登录是一种用于简化用户在网站之间的访问跳转流程的方式，比如，假设用户通过输入用户名和密码，登录了网站A，并且在网站A信任登录至网站B，如果网站A和网站B之间支持反向信任登录，那么已经信任登录至网站B的用户，还可以在网站B中再信任登录至网站A，即为反向信任登录。而如果网站A和网站B之间不支持反向信任登录，用户在信任登录至网站B后，如果要由该网站B再通过点击网站A的链接地址信任登录至网站A，则还需要输入用户在网站A的用户名和密码才能登录。上述反向信任登录执行所在的网站(比如，网站A或网站B)，用户可以通过多种方式登录该网站，比如，可以在PC上通过浏览器登录网站，或者，还可以在智能移动设备(比如，手机)上通过浏览器登录该网站，又或者，还可以在智能移动设备上以APP等应用的形式登录网站，例如，在网站A的应用APP中，利用网站B的账号登录到网站A中。

在反向信任登录的过程中，网站B通过一个经B签名的URL向网站A发送反向信任登录请求，但是该URL容易被攻击者伪造，如果攻击者使用相同的URL向网站A请求反向信任登录，网站A验签通过即可执行反向信任登录。为了提高反向信任登录的安全性，本申请提供了一种反向信任登录方法，该方法的目的是使得即使攻击者获取了反向信任登录请求的URL，网站A能够识别并拒绝攻击者的访问。

参见图1所示的流程，该流程以用户由网站A(可以称为第一网站)信任登录至网站B(可以称为第二网站)之后，再由网站B反向信任登录至网站A为例，其中，网站A至网站B的信任登录可以采用现有的信任登录方式，不再详述，主要对于网站B至网站A的反向信任登录的方式进行说明。

如图1所示，步骤101至103显示了用户登录网站A，并信任登录至网站B的过程。当用户信任登录至网站B后，可以访问网站B，比如，如果网站B是一个购物网站，用户可以在网站B中浏览商品进行选购。可能出现的情况是，用户在访问网站B的过程中，又有了回到网站A的需求，想要重新去访问网站A，并且网站B中有网站A的链接地址。当用户点击网站A的链接地址时，就可以开始执行本申请的反向信任登录方法，以使得用户在点击了网站A的链接地址后，不用再需要网站A的用户名和密码等登录信息而直接登录至网站A。

请继续参见图1，当用户点击网站B中的网站A的链接地址时，就相当于网站B获取到了用户要访问网站A的反向信任登录触发。此时，在步骤104中，网站B可以创建B-TOKEN，该令牌可以称为第二令牌(该第二是用于与后续出现的第一令牌进行区分)，并将该B-TOKEN存储在该用户对应的存储空间，比如用户的session中。例如，当步骤103用户在网站B登录成功时，网站B就可以创建一个与该用户对应的session，本步骤中，可以将根据反向信任登录触发生成的B-TOKEN保存在session中，后续的例子中，也将以网站在本地的session中存储TOKEN为例，该本地的session可以是网站的服务端所存储的session。

在步骤105中，网站B可以向网站A发送反向信任登录指示，该反向信任登录指示是用于通知网站A，某个用户(即在步骤103中登录且点击了网站A地址要访问的用户)要反向信任登录至网站A。需要说明的是，网站B接收到用户的反向信任登录触发，可以是用户点击了B中的网站A链接地址，而本步骤中的反向信任登录指示是用于表示这是个用于通知网站A知晓用户要反向信任登录网站A的信息，当然也可以将该指示称为反向信任登录请求，只是网站A在接收到该请求后不会立刻进行登录相关的验证，而是会生成本次反向信任登录的访问令牌，后续步骤将说明。

此外，网站A可以依据一定的信息确定本次登录请求是反向信任登录而不是正向信任登录，比如，在步骤101至103的正向信任登录时，网站A可以记录下向网站B进行信任登录的信息，这样当接收到网站B的信任登录请求时就可以确定这是反向信任登录，从而执行本申请的反向信任登录过程。

在步骤106中，网站A可以根据反向信任登录指示，生成A-TOKEN(可以称为第一令牌)，并将该A-TOKEN存储在与该用户对应的存储空间，比如存储在与该用户对应的一个缓存中。在步骤107中，网站A可以将A-TOKEN和在步骤105中接收到的B-TOKEN，都发送至网站B。

在步骤108中，网站B在接收到网站A的反馈后，例如，可以验证反馈中携带的B-TOKEN是否存储在本地与用户对应的session中。如果B-TOKEN与该用户的session中存储的一致，表明步骤107的反馈是真实的网站A的反馈信息，其中的A-TOKEN可以使用。假设攻击者获取了步骤107中的URL，向网站B返回令牌，那么网站B将会查询攻击者对应的session中是否存在B-TOKEN，当然检查结果是否定的，攻击者的session中并未存储B-TOKEN，该B-TOKEN是网站B为步骤103中的登录用户创建，并存储在该用户对应的session中。那么，网站B将不会为攻击者再执行后续流程，不会为攻击者向网站A去执行反向信任登录。

这里简单说明下网站B所创建的会话session：Session中文是“会话”的意思，代表服务器与客户端之间的“会话”，比如，当用户在访问一个网站时，用户在浏览器中浏览的该网站页面即为网站客户端，而对应的还有一个网站服务器，用户访问网站的过程涉及到服务器与客户端之间的会话。网站服务器端可以为每一个登录到网站的用户(也即每个客户端)创建一个对应的会话session，并可以用SessionID来标识这个会话。服务器创建session后，可以将SessionID返回给客户端保存在用户的浏览器中，当客户端向服务器传输数据时可以携带该SessionID，以使得服务器根据该SessionID将这个用户的会话信息都存储在对应的session中。不同的用户用不同的Session来记录，Session是一个用于存储用户登录访问信息的数据结构。

如果步骤108的B-TOKEN校验通过，则网站B可以在步骤109中生成经B签名的反向信任登录请求，并将A-TOKEN携带在该反向信任登录请求中。网站B在步骤110中将该请求发送至网站A。

网站A在接收到用户的反向信任登录请求时，在步骤111中进行签名验证，若签名验证通过，则执行步骤112，检查反向信任登录请求中携带的A-TOKEN，是否存储在本地的该用户对应的存储空间中，其中的反向信任登录请求中可以携带用于标识该用户的一些信息，以知道本次反向信任登录是哪个用户所请求，比如可以是USREID。如果A-TOKEN与本地缓存中的相同，则网站A执行反向信任登录，如步骤113。

假如一个攻击者获取了图1中的步骤110中的反向信任登录请求的URL，并通过该URL向网站A发送反向信任登录请求，网站A能够识别到并拒绝其访问，原理如下：网站A在接收到攻击者的反向信任登录请求后，在步骤111中验证签名将通过，但是，在步骤112中，尽管攻击者伪造的URL中也携带了A-TOKEN，该A-TOKEN是不能被网站A在本地查找到的，因为网站A也将为不同的用户创建不同的存储空间，将去攻击者对应的缓存中查找是否存储有A-TOKEN，而攻击者的缓存中是未存储的。步骤112的验证将失败，网站A将拒绝反向信任登录访问。

由图1所示的反向信任登录流程可以看到，在反向信任登录请求的目标网站，比如上述例子中的网站A中，会在首次接收到用户的反向信任登录请求时(即网站B发送的反向信任登录指示)，预先创建一个与该用户的本次反向信任登录对应的令牌，并将令牌存储在该用户对应的存储空间；这样当后续再次接收到用户的反向信任登录请求时，可以使用该令牌进行验证，令牌通过才允许访问。这样攻击者伪造了URL后，即使签名验证通过，也会在令牌校验处失败，从而被拒绝访问，提高了反向信任登录的安全性。

本申请实施例还提供了反向信任登录装置，以应用于网站，使得网站可以执行本申请的反向信任登录方法。如图2所示的反向信任登录装置，该装置可以应用于信任登录请求的目的网站，比如在网站B向网站A反向信任登录时的网站A。该装置可以包括：信息获取模块21和登录处理模块22。

信息获取模块21，用于在接收到用户的反向信任登录请求时，对所述反向信任登录请求进行签名验证，并获取反向信任登录请求中携带的第一令牌；

登录处理模块22，用于在签名验证通过，且确定所述第一令牌存储在与所述用户对应的存储空间时，执行反向信任登录，第一令牌是第一网站预先根据用户的反向信任登录指示生成的与用户对应的访问令牌。

参见图3，该装置还可以包括：令牌创建模块23和令牌发送模块24。

令牌创建模块23，用于在接收到用户的反向信任登录请求之前，还接收到第二网站发送的反向信任登录指示，并根据所述反向信任登录指示，创建与该用户对应的第一令牌，并将第一令牌存储在与该用户对应的存储空间。

所述反向信任登录指示中携带第二令牌，所述第二令牌是第二网站在获取到用户的反向信任登录触发时创建。令牌发送模块24，用于将所述第一令牌发送至第二网站，并携带所述第二令牌。

如图4所示的信任登录装置，该装置可以应用于反向信任登录请求的源网站，比如在网站B向网站A反向信任登录时的网站B。该装置可以包括：指示接收模块41和请求发送模块42。

指示接收模块41，用于获取到用户向第一网站的反向信任登录触发；

请求发送模块42，用于根据所述反向信任登录触发，向第一网站发送反向信任登录请求，携带第一令牌，所述第一令牌是第一网站生成的与用户对应的访问令牌。

参见图5，该装置还可以包括：令牌生成模块43、指示发送模块44和请求处理模块45。

令牌生成模块43，用于创建第二令牌，将第二令牌存储在与用户对应的存储空间；

指示发送模块44，用于向第一网站发送反向信任登录指示，携带所述第二令牌，以使得第一网站根据反向信任登录指示生成第一令牌；

请求处理模块45，用于接收第一网站反馈的所述第一令牌，并在确认随第一令牌携带反馈的第二令牌存储在与用户对应的存储空间时，生成所述反向信任登录请求，并将第一令牌携带在所述反向信任登录请求中。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

Claims (10)

1.一种反向信任登录方法，其特征在于，所述方法应用于用户由第一网站信任登录至第二网站后，由所述第二网站反向信任登录至第一网站，所述方法包括：

所述第一网站在接收到用户的反向信任登录请求时，对所述反向信任登录请求进行签名验证，并获取所述反向信任登录请求中携带的第一令牌；

在签名验证通过，且确定所述第一令牌存储在与所述用户对应的存储空间时，所述第一网站执行反向信任登录，所述第一令牌是第一网站预先根据用户的反向信任登录指示生成的与用户对应的访问令牌。

2.根据权利要求1所述的方法，其特征在于，在所述第一网站接收到用户的反向信任登录请求之前，所述方法还包括：

所述第一网站还接收到第二网站发送的反向信任登录指示；

所述第一网站根据所述反向信任登录指示，创建与该用户对应的第一令牌，并将第一令牌存储在与该用户对应的存储空间。

3.根据权利要求2所述的方法，其特征在于，所述反向信任登录指示中携带第二令牌，所述第二令牌是第二网站在获取到用户的反向信任登录触发时创建；所述方法还包括：

所述第一网站将所述第一令牌发送至第二网站，并携带所述第二令牌。

4.一种反向信任登录方法，其特征在于，所述方法应用于用户由第一网站信任登录至第二网站后，由所述第二网站反向信任登录至第一网站，所述方法包括：

所述第二网站获取到用户向第一网站的反向信任登录触发；

所述第二网站根据所述反向信任登录触发，向第一网站发送反向信任登录请求，携带第一令牌，所述第一令牌是第一网站生成的与用户对应的访问令牌。

5.根据权利要求4所述的方法，其特征在于，在所述第二网站获取到用户向第一网站的反向信任登录触发之后，向第一网站发送反向信任登录请求之前，还包括：

所述第二网站创建第二令牌，将第二令牌存储在与用户对应的存储空间；

所述第二网站向第一网站发送反向信任登录指示，携带所述第二令牌，以使得第一网站根据反向信任登录指示生成第一令牌；

所述第二网站接收第一网站反馈的所述第一令牌，并在确认随第一令牌携带反馈的第二令牌存储在与用户对应的存储空间时，生成所述反向信任登录请求，并将第一令牌携带在所述反向信任登录请求中。

6.一种反向信任登录装置，其特征在于，所述装置应用于用户由第一网站信任登录至第二网站后，由所述第二网站反向信任登录至第一网站，所述装置包括：

信息获取模块，用于在接收到用户的反向信任登录请求时，对所述反向信任登录请求进行签名验证，并获取反向信任登录请求中携带的第一令牌；

登录处理模块，用于在签名验证通过，且确定所述第一令牌存储在与所述用户对应的存储空间时，执行反向信任登录，所述第一令牌是第一网站预先根据用户的反向信任登录指示生成的与用户对应的访问令牌。

7.根据权利要求6所述的装置，其特征在于，所述装置还包括：

令牌创建模块，用于在接收到用户的反向信任登录请求之前，还接收到第二网站发送的反向信任登录指示，并根据所述反向信任登录指示，创建与该用户对应的第一令牌，并将第一令牌存储在与该用户对应的存储空间。

8.根据权利要求7所述的装置，其特征在于，所述反向信任登录指示中携带第二令牌，所述第二令牌是第二网站在获取到用户的反向信任登录触发时创建；所述装置还包括：

令牌发送模块，用于将所述第一令牌发送至第二网站，并携带所述第二令牌。

9.一种反向信任登录装置，其特征在于，所述装置应用于用户由第一网站信任登录至第二网站后，由所述第二网站反向信任登录至第一网站，所述装置包括：

指示接收模块，用于获取到用户向第一网站的反向信任登录触发；

请求发送模块，用于根据所述反向信任登录触发，向第一网站发送反向信任登录请求，携带第一令牌，所述第一令牌是第一网站生成的与用户对应的访问令牌。

10.根据权利要求9所述的装置，其特征在于，所述装置还包括：

令牌生成模块，用于创建第二令牌，将第二令牌存储在与用户对应的存储空间；

指示发送模块，用于向第一网站发送反向信任登录指示，携带所述第二令牌，以使得第一网站根据反向信任登录指示生成第一令牌；

请求处理模块，用于接收第一网站反馈的所述第一令牌，并在确认随第一令牌携带反馈的第二令牌存储在与用户对应的存储空间时，生成所述反向信任登录请求，并将第一令牌携带在所述反向信任登录请求中。