CN107317787A - 服务授信方法、设备及系统 - Google Patents

Abstract

本发明提供了服务授信方法、设备和系统。在服务授信方法中，从服务调用方接收授信请求；从密钥服务设备接收第一密钥；生成针对所述授信请求的使用所述第一密钥加密的授信令牌；以及向所述服务调用方发送所述授信令牌。第一密钥与业务服务设备用于验证服务调用方的服务请求的第二密钥是配对密钥。根据该技术方案，可以使应用系统内部的授信服务和业务服务去依赖并解耦合，提升处理效率和稳定性。

Description

服务授信方法、设备及系统

技术领域

本发明涉及服务授权领域，具体涉及服务授信方法、设备及系统。

背景技术

在基于服务化方式构建的应用系统中，服务调用方调用服务前需进行服务授信处理。只有经过授信后才允许服务调用方调用应用系统中其他服务，若未经授信的服务调用请求则被拒绝。

现有多服务体系应用系统中，会有专门的授信服务提供对调用方的认证授信，通过发放授信令牌来表明调用方身份的合法性。调用方经过授信后方可请求对应的业务服务，业务服务请求信服务核实调用方身份令牌的合法性。

图1示出了现有技术中的一种授信系统。如图1所示，授信服务判断身份令牌的真实性以及是否在有效期内，令牌校验成功才允许继续进行业务服务处理，若失败则返回错误信息。

在图1的技术方案中，每次业务服务处理调用请求都需要再次调用授信服务去核实调用方身份令牌的合法性，增加了服务依赖和耦合，降低了服务处理性能。一旦在服务处理过程中，认证授信服务出现临时故障，会引发其他所有业务服务均无法正常提供服务。这种集中式的处理技术存在中心单点故障可能。

因此，需要一种能够解决上述中心单点故障的服务授信方案。

发明内容

为了解决上述问题，本发明实施例提供了服务授信方法、设备和系统。

根据本发明的一个方案，提供了一种服务授信方法，包括：从服务 调用方接收授信请求；从密钥服务设备接收第一密钥；生成针对所述授信请求的使用所述第一密钥加密的授信令牌；以及向所述服务调用方发送所述授信令牌，其中，所述第一密钥与业务服务设备用于验证所述服务调用方的服务请求的第二密钥是配对密钥。

根据本发明的第二方案，提供了一种服务授信方法，包括：从密钥服务设备接收第二密钥；从服务调用方接收携带授信令牌的服务请求，所述授信令牌由授信服务设备生成，并使用与所述第二密钥配对的第一密钥加密；以及使用所述第二密钥对所述授信令牌解密，以验证所述服务请求是否合法。

根据本发明的第三方案，提供了一种服务授信方法，包括：向授信服务设备发送授信请求；接收所述授信服务设备发送的对所述授信请求的响应，所述响应包括使用第一密钥加密的授信令牌；生成携带所述授信令牌的业务请求；以及向业务服务设备发送所述业务请求。

根据本发明的第四方案，提供了一种授信服务设备，包括：第一接收装置，用于从服务调用方接收授信请求；第二接收装置，从密钥服务设备接收第一密钥；令牌生成装置，用于生成针对所述授信请求的使用所述第一密钥加密的授信令牌；以及发送装置，向所述服务调用方发送所述授信令牌，其中，所述第一密钥与业务服务设备用于验证所述服务调用方的服务请求的第二密钥是配对密钥。

根据本发明的第五方案，提供了一种业务服务设备，包括：第一接收装置，用于从密钥服务设备接收第二密钥；第二接收装置，用于从服务调用方接收携带授信令牌的服务请求，所述授信令牌由授信服务设备生成，并使用与所述第二密钥配对的第一密钥加密；以及验证装置，用于使用所述第二密钥对所述授信令牌解密，以验证所述服务请求是否合法。

根据本发明的第六方案，提供了一种服务调用设备，包括：第一发送装置，用于向授信服务设备发送授信请求；接收装置，用于接收所述授信服务设备发送的对所述授信请求的响应，所述响应包括使用第一密钥加密的授信令牌；业务请求生成装置，用于生成携带所述授信令牌的业务请求；以及第二发送装置，用于向业务服务设备发送所述业务请求。

根据本发明的第七方案，提供了一种服务授信系统。所述服务授信系统包括上述授信服务设备、上述业务服务设备以及上述服务调用设备。所述服务授信系统还包括：密码服务设备，用于向所述授信服务设备发送第一密钥，向所述业务服务设备发送与所述第一密钥配对的第二密钥。

上述方法、设备和系统使应用系统内部的授信服务和业务服务去依赖并解耦合，提升处理效率和稳定性。

附图说明

通过下面结合附图对发明进行的详细描述，将使本发明的上述特征和优点更加明显，其中：

图1示出了现有技术的服务授信系统的示意图；

图2示出了根据本发明的实施例的服务授信方法的示意性流程图；

图3示出了根据本发明的实施例的另一服务授信方法的示意性流程图；

图4示出了根据本发明的实施例的另一服务授信方法的示意性流程图；

图5示出了根据本发明的实施例的授信服务设备的简要框图；

图6示出了根据本发明的实施例的业务服务设备的简要框图；

图7示出了根据本发明的实施例的服务调用设备的简要框图；以及

图8示出了根据本发明的实施例的服务授信系统的示意图。

具体实施方式

下面，参考附图详细说明本发明的优选实施方式。在附图中，虽然示于不同的附图中，但相同的附图标记用于表示相同的或相似的组件。为了清楚和简明，包含在这里的已知的功能和结构的详细描述将被省略，以避免使本发明的主题不清楚。

图2示出了根据本发明的实施例在授信服务设备处的服务授信方法的示意性流程图。如图2所示，该服务授信方法包括：步骤S210，从服务调用方接收授信请求；步骤S220，从密钥服务设备接收第一密钥；步骤S230，生成针对授信请求的使用第一密钥加密的授信令牌；以及步骤 S240，向服务调用方发送授信令牌。其中，第一密钥与业务服务设备用于验证服务调用方的服务请求的第二密钥是配对密钥。

在一些示例中，服务授信方法还可包括与密钥服务设备定期或不定期地同步第一密钥。更新密钥的周期可根据各种实际因素而定，例如客户需求、业务特性和具体环境等等。在不同的示例中，可以是1年、1个月、1周、1天或者更长或更短的时间。

在一些示例中，第一密钥与第二密钥可具有相同的有效期。同样地，该有效期也可根据各种实际因素而定。例如，可以是1年、1个月、1周、1天或者更长或更短的时间。

在本文中所说的“配对”指的是两个密钥是用于加密/解密的一对密钥。根据所采用的加密方法的不同，该对密钥(第一密钥和第二密钥)可具有不同的形式，例如是对称密钥或不对称密钥或其他形式的密钥，在此不再赘述

图3示出了根据本发明的实施例在业务服务设备处的服务授信方法的示意性流程图。该方法包括：步骤S310，从密钥服务设备接收第二密钥；步骤S320，从服务调用方接收携带授信令牌的服务请求，授信令牌由授信服务设备生成，并使用与第二密钥配对的第一密钥加密；以及步骤S330，使用第二密钥对授信令牌解密，以验证服务请求是否合法。

在一些示例中，如果验证(S340)通过(例如，成功解码)，在步骤S350中执行对服务请求的处理；以及如果验证(S340)未通过，在步骤S360中向服务调用方返回出错信息。

在一些示例中，该方法还可包括与密钥服务设备定期或不定期地同步第二密钥。与图1的情况相似，更新密钥的周期可根据各种实际因素而定，例如客户需求、业务特性和具体环境等等。在不同的示例中，该周期可以是1年、1个月、1周、1天或者更长或更短的时间。

类似地，在一些示例中，第一密钥与第二密钥可具有相同的有效期。同样地，该有效期也可根据各种实际因素而定。例如，可以是1年、1个月、1周、1天或者更长或更短的时间

图4示出了根据本发明的实施例在服务调用设备处的服务授信方法的示意性流程图。该方法包括：步骤S410，向授信服务设备发送授信请 求；步骤S420，接收授信服务设备发送的对授信请求的响应，响应包括使用第一密钥加密的授信令牌；步骤S430，生成携带授信令牌的业务请求；以及步骤S440，向业务服务设备发送业务请求。

与图1和图2的情况相似，第一密钥也可具有有效期。

图5示出了根据本发明的实施例的授信服务设备的示意性框图。该设备包括：第一接收装置510，用于从服务调用方接收授信请求；第二接收装置520，从密钥服务设备接收第一密钥；令牌生成装置530，用于生成针对授信请求的使用第一密钥加密的授信令牌；以及发送装置540，向服务调用方发送授信令牌。其中，第一密钥与业务服务设备用于验证服务调用方的服务请求的第二密钥是配对密钥。

在一些示例中，授信服务设备还可包括：密钥同步装置550，用于与密钥服务设备定期或不定期地同步第一密钥。

在一些示例中，与图2所述的方法相似，第一密钥与第二密钥可具有相同的有效期。

图6出了根据本发明的实施例的业务服务设备的示意性框图。该业务服务设备包括：第一接收装置610，用于从密钥服务设备接收第二密钥；第二接收装置620，用于从服务调用方接收携带授信令牌的服务请求，授信令牌由授信服务设备生成，并使用与第二密钥配对的第一密钥加密；以及验证装置630，用于使用第二密钥对授信令牌解密，以验证服务请求是否合法。

在一些示例中，业务服务设备还可包括：服务执行装置640，用于在验证通过的情况下执行对服务请求的处理；和/或发送装置650，用于在验证未通过的情况下向服务调用方返回出错信息。

在一些示例中，业务服务设备还可包括：密钥同步装置660，用于与密钥服务设备定期或不定期地同步第二密钥。

在一些示例中，与上述关于图3所述的类似，第一密钥与第二密钥具有相同的有效期。

图7出了根据本发明的实施例的服务调用设备的示意性框图。服务调用设备包括：第一发送装置710，用于向授信服务设备发送授信请求；接收装置720，用于接收授信服务设备发送的对授信请求的响应，响应包 括使用第一密钥加密的授信令牌；业务请求生成装置730，用于生成携带授信令牌的业务请求；以及第二发送装置740，用于向业务服务设备发送业务请求。

此外，在一些实例中，服务调用设备还可包括用于生成授信请求的授信请求生成装置760。

在一些示例中，服务调用设备还可包括用于存储服务调用设备在计算和处理过程中所需或所产生数据的存储器750。

在一些示例中，如上关于图4所述，第一密钥具有有效期。

图8出了根据本发明的实施例的服务授信系统的示意图。该服务授信系统包括上述的授信服务设备、业务服务设备以及服务调用设备。该服务授信系统还包括密码服务设备，用于向授信服务设备发送第一密钥，向业务服务设备发送与第一密钥配对的第二密钥。

下面结合图8所示的服务授信系统，对在该系统中进行的授信流程进行详细的描述。

在授信流程的开始，在步骤1中，服务调用方/设备可通过第一发送装置710向授信服务设备发送授信请求，以请求来自授信服务设备的授信。

授信服务设备可在通过第二接收装置530接收到该请求后，或在接收到该请求前的任何时间，通过第一接收装置510从密钥服务设备接收针对授信服务设备的密钥(例如，第一密钥)。例如，密钥服务设备可在服务调用方在业务系统中建立账户时针对该账户的特定服务设置密钥对(例如第一密钥和第二密钥)，或在建立账户之后的任何时刻设置密钥对。然后，密钥对被分别发送给授信服务设备和业务服务设备。如上所述，根据具体使用的加密方法的不同，该密钥对可以具有不同的形式。

在密钥服务设备设置密钥对之后，在密钥服务设备与授信服务设备之间以及密钥服务设备与业务服务设备之间可定期或不定期地同步(更新)密钥。例如，可基于参考图2至图7所述的方式进行密钥同步。优选地，密钥服务设备与授信服务设备之间以及密钥服务设备与业务服务设备之间的密钥同步同时进行。

回到图8，在步骤2中，授信服务设备通过令牌生成装置530生成针对授信请求的授信令牌并通过发送装置550向服务调用方返回所生成的 授信令牌。其中，该授信令牌在发送之前使用通过第二接收装置520从密码服务设备处接收到的密钥(第一密钥)进行了加密。

在步骤3中，服务调用方可通过第二发送装置740向业务服务设备发送携带授信令牌的业务请求消息，以向业务服务设备请求该授信令牌所针对的业务。

业务服务设备在通过第二接收装置630接收到该业务请求之后，在验证装置630中使用通过第一接收装置610从密钥服务设备接收到的密钥(第二密钥)对业务请求中的授信令牌进行解密，以验证服务请求是否合法。

如果解密成功(即，验证成功)，则在步骤5.1中，业务服务设备通过服务执行装置640继续进行正常业务处理。

相反，如果解密失败(即，验证失败)，则在步骤5.2中，业务服务设备通过发送装置650向服务调用方返回出错信息，结束服务流程。在一些示例中，出错信息中可包括具体的出错理由。例如，解密出错可能是因为服务密钥已更新，需要调用方重新认证以获取新的身份令牌，也可能是因为业务请求是伪造身份请求，需要直接拒绝服务。

在本发明的技术方案中，为了让授信服务和业务服务做到依赖分离，授信服务设备只发放身份令牌，业务服务设备中不再调用授信服务设备去核实身份令牌。通过在应用系统中引入密钥服务设备，授信服务设备和业务服务设备分别可在启动时请求从密钥服务设备获取密钥。例如，在某个时间期间(比如当月)，密钥服务发放相同的密钥且密钥有效期都相同(当月有效)，授信服务设备通过该密钥加密发放的身份令牌，被该密钥加密的身份令牌默认带有该密钥有效期的时间属性。

本发明中使用的密钥可具有有效期。根据密钥的有效期时间属性为授信服务发放的身份令牌添加有效期属性，因此，完全可通过控制密钥的有效时间在应用系统服务端控制令牌的有效时间，在面临安全事件时(比如密钥泄漏)可临时更新密钥，由此将已发放的所有令牌全部过期，所有调用方请求需重新授信。

需要注意的是，本文中对第一接收装置、第二接收装置的命名仅是为了区分向不同方向的接收。在一些示例中，可通过同一设备/装置来实 现第一接收装置、第二接收装置二者，而在另一些示例中，可使用不同的设备/装置来分别实现第一接收装置和第二接收装置，本发明不被这些装置的具体实现方式所限制。同样的解释适用于各图中的第一发送装置、第二发送装置等。

此外，为了使附图简洁并更清楚地反映本发明的技术方案，在例如图5至图7的简化框图中省略了相关设备的一些装置/单元/模块。例如，图5和图6中也可以存在用于存储相应设备在计算和处理过程中所需或所产生数据的存储器。再例如，图7中也可以存在用于从业务服务设备接收出错信息的接收装置(未示出)。因此，本发明不应受附图中的具体形式所限制。

在本发明所提供的几个实施例中，应该理解到，所揭露的方法和设备，可以通过其它的方式实现。以上所描述的设备实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，如：多个单元或组件可以结合，或可以集成到另一个系统，或一些特征可以忽略，或不执行。另外，所显示或讨论的各组成部分相互之间的耦合、或直接耦合、或通信连接可以是通过一些接口，设备或单元的间接耦合或通信连接，可以是电性的、机械的或其它形式的。

上述作为分离部件说明的单元可以是、或也可以不是物理上分开的，作为单元显示的部件可以是、或也可以不是物理单元，即可以位于一个地方，也可以分布到多个网络单元上；可以根据实际的需要选择其中的部分或全部单元来实现本实施例方案的目的。

另外，在本发明各实施例中的各功能单元可以全部集成在一个第二处理单元中，也可以是各单元分别单独作为一个单元，也可以两个或两个以上单元集成在一个单元中；上述集成的单元既可以采用硬件的形式实现，也可以采用硬件加软件功能单元的形式实现。

上面的描述仅用于实现本发明的实施方式，本领域的技术人员应该理解，在不脱离本发明的范围的任何修改或局部替换，均应该属于本发明的权利要求来限定的范围，因此，本发明的保护范围应该以权利要求书的保护范围为准。

Claims (19)

1.一种服务授信方法，包括：

从服务调用方接收授信请求；

从密钥服务设备接收第一密钥；

生成针对所述授信请求的使用所述第一密钥加密的授信令牌；以及

向所述服务调用方发送所述授信令牌，

其中，所述第一密钥与业务服务设备用于验证所述服务调用方的服务请求的第二密钥是配对密钥。

2.根据权利要求1所述的服务授信方法，还包括：

与所述密钥服务设备定期或不定期地同步所述第一密钥。

3.根据权利要求1或2所述的服务授信方法，其中，所述第一密钥与所述第二密钥具有相同的有效期。

4.一种服务授信方法，包括：

从密钥服务设备接收第二密钥；

从服务调用方接收携带授信令牌的服务请求，所述授信令牌由授信服务设备生成，并使用与所述第二密钥配对的第一密钥加密；以及

使用所述第二密钥对所述授信令牌解密，以验证所述服务请求是否合法。

5.根据权利要求4所述的服务授权方法，还包括：

如果验证通过，执行对所述服务请求的处理；以及

如果验证未通过，向所述服务调用方返回出错信息。

6.根据权利要求4或5所述的服务授权方法，还包括：

与所述密钥服务设备定期或不定期地同步所述第二密钥。

7.根据权利要求4或5所述的服务授权方法，其中，所述第一密钥与所述第二密钥具有相同的有效期。

8.一种服务授信方法，包括：

向授信服务设备发送授信请求；

接收所述授信服务设备发送的对所述授信请求的响应，所述响应包括使用第一密钥加密的授信令牌；

生成携带所述授信令牌的业务请求；以及

向业务服务设备发送所述业务请求。

9.根据权利要求8所述的服务授信方法，其中，所述第一密钥具有有效期。

10.一种授信服务设备，包括：

第一接收装置，用于从服务调用方接收授信请求；

第二接收装置，从密钥服务设备接收第一密钥；

令牌生成装置，用于生成针对所述授信请求的使用所述第一密钥加密的授信令牌；以及

发送装置，向所述服务调用方发送所述授信令牌，

其中，所述第一密钥与业务服务设备用于验证所述服务调用方的服务请求的第二密钥是配对密钥。

11.根据权利要求10所述的授信服务设备，还包括：

密钥同步装置，用于与所述密钥服务设备定期或不定期地同步所述第一密钥。

12.根据权利要求10或11所述的授信服务设备，其中，所述第一密钥与所述第二密钥具有相同的有效期。

13.一种业务服务设备，包括：

第一接收装置，用于从密钥服务设备接收第二密钥；

第二接收装置，用于从服务调用方接收携带授信令牌的服务请求，所述授信令牌由授信服务设备生成，并使用与所述第二密钥配对的第一密钥加密；以及

验证装置，用于使用所述第二密钥对所述授信令牌解密，以验证所述服务请求是否合法。

14.根据权利要求13所述的业务服务设备，还包括：

服务执行装置，用于在验证通过的情况下执行对所述服务请求的处理；以及

发送装置，用于在验证未通过的情况下向所述服务调用方返回出错信息。

15.根据权利要求13或14所述的业务服务设备，还包括：

密钥同步装置，用于与所述密钥服务设备定期或不定期地同步所述第二密钥。

16.根据权利要求13或14所述的业务服务设备，其中，所述第一密钥与所述第二密钥具有相同的有效期。

17.一种服务调用设备，包括：

第一发送装置，用于向授信服务设备发送授信请求；

接收装置，用于接收所述授信服务设备发送的对所述授信请求的响应，所述响应包括使用第一密钥加密的授信令牌；

业务请求生成装置，用于生成携带所述授信令牌的业务请求；以及

第二发送装置，用于向业务服务设备发送所述业务请求。

18.根据权利要求17所述的服务调用设备，其中，所述第一密钥具有有效期。

19.一种服务授信系统，包括根据权利要求10-12中任一项所述的授信服务设备、根据权利要求13-16中任一项所述的业务服务设备以及根据权利要求17-18中任一项所述的服务调用设备，所述服务授信系统还包括：

密码服务设备，用于向所述授信服务设备发送第一密钥，向所述业务服务设备发送与所述第一密钥配对的第二密钥。