CN107517179B - 一种鉴权方法、装置和系统 - Google Patents

Abstract

本申请实施例公开了一种鉴权方法、装置和系统，服务器与合法用户预先设置了密钥，当接收到待鉴权用户发送的资源请求时，服务器可以利用预设的密钥和所述资源请求中的第一标识鉴定所述资源请求中的鉴权信息是否合法，由于所述第一标识为标识相对于所述资源的合法用户，且合法的鉴权信息为通过所述第一标识以所述密钥加密得到，故若判断所述鉴权信息为通过所述第一标识和所述密钥加密得到，则可以根据所述鉴权信息确定所述待鉴权用户为具有所述资源的访问权限的所述合法用户，由此服务器具有能够有效的鉴别出访问所述资源用户的访问权限的功能。

Description

一种鉴权方法、装置和系统

技术领域

本申请涉及数据处理领域，特别是涉及一种鉴权方法、装置和系统。

背景技术

随着网络技术的发展，在网络上进行资源共享越来越常见，资源提供者可以将保存在服务器中的资源通过网络共享给其他用户。一般的资源共享流程是，资源提供者将希望共享资源的资源地址以各种共享方式提供到网络上，而其他用户根据资源提供者的共享方式，最终利用资源地址访问到对应的资源，从而实现了资源在网络上的共享。

一般情况下，资源提供者希望将资源提供给具有访问该资源权限的合法用户，而不希望不相关的用户访问该资源。然而第三方总会想方设法获取资源的资源地址，然后再将该资源地址通过自己的网页或其他方式在网络上散布，使得该资源可以会被大量不具有访问权限的用户访问，对资源提供者造成不必要的损失。

为了避免上述情况的发生，资源提供者需要能够鉴别出试图访问该资源的用户是合法用户还是非法用户。然而，目前并没有有效的鉴权方式，来鉴别访问资源的用户是否具有访问权限，即是否为合法用户。

发明内容

为了解决上述技术问题，本申请提供了一种鉴权方法、装置和系统，通过将唯一标识用户的第一标识作为生成鉴权信息的基础，使得服务器能够具有有效的鉴别出访问所述资源用户的访问权限的功能。

本申请实施例公开了如下技术方案：

一种鉴权系统，所述系统包括用户设备和服务器：

所述用户设备向所述服务器发送待鉴权用户请求访问资源的资源请求，所述资源请求中包括鉴权信息和第一标识，所述第一标识用于标识相对于所述资源的合法用户；

所述服务器接收所述资源请求；通过预设的密钥和所述第一标识判断所述鉴权信息是否为通过所述第一标识和所述密钥加密得到；若判断所述鉴权信息为通过所述第一标识和所述密钥加密得到，根据所述鉴权信息确定所述待鉴权用户为具有访问所述资源权限的所述合法用户。

可选的，所述资源请求还包括第二标识，所述第二标识为所述待鉴权用户用于发起所述资源请求所需的标识，所述服务器获取通过比对合法标识和所述待鉴权用户的第二标识得到的比对结果；根据所述比对结果确定所述待鉴权用户是否为具有访问所述资源权限的所述合法用户。

可选的，所述系统还包括鉴权中心：

所述服务器向所述鉴权中心发送包括所述第一标识和第二标识的认证请求；

所述鉴权中心根据所述第一标识查找到包括所述第一标识和所述合法标识对应关系，根据查找出的所述合法标识比对所述第二标识，得到所述比对结果；

所述服务器从所述鉴权中心获取所述比对结果。

一种鉴权方法，所述方法包括：

服务器接收待鉴权用户请求访问资源的资源请求，所述资源请求中包括鉴权信息和第一标识，所述第一标识用于标识相对于所述资源的合法用户；

所述服务器通过预设的密钥和所述第一标识判断所述鉴权信息是否为通过所述第一标识和所述密钥加密得到；

若判断所述鉴权信息为通过所述第一标识和所述密钥加密得到，所述服务器根据所述鉴权信息确定所述待鉴权用户为具有访问所述资源权限的所述合法用户。

可选的，所述资源请求还包括第二标识，所述第二标识为所述待鉴权用户用于发起所述资源请求所需的标识，所述若判断所述鉴权信息为通过所述第一标识和所述密钥加密得到之后，还包括：

所述服务器获取通过比对合法标识和所述待鉴权用户的第二标识得到的比对结果；

所述服务器根据所述比对结果确定所述待鉴权用户是否为具有访问所述资源权限的所述合法用户。

可选的，所述服务器根据所述比对结果确定所述待鉴权用户是否为具有访问所述资源权限的所述合法用户，包括：

若所述比对结果为所述第二标识与所述合法标识中任一个相同，所述服务器根据所述比对结果确定所述待鉴权用户为具有访问所述资源权限的所述合法用户；

若所述比对结果为所述第二标识与所述合法标识不同，所述服务器根据所述比对结果确定所述待鉴权用户为不具有访问所述资源权限的非法用户。

可选的，所述合法标识包括前n次以所述第一标识成功访问所述资源时的资源请求中携带的第二标识，n为大于等于1的整数，所述合法标识的数量小于等于n。

可选的，所述服务器获取比对结果，包括：

所述服务器向鉴权中心发送包括所述第一标识和第二标识的认证请求，使得所述鉴权中心根据所述第一标识查找到包括所述第一标识和所述合法标识对应关系，根据查找出的所述合法标识比对所述第二标识，得到所述比对结果；

所述服务器从所述鉴权中心获取所述比对结果。

可选的，所述服务器从鉴权中心获取包括所述第一标识和所述合法标识的对应关系，则所述服务器获取比对结果，包括：

所述服务器根据所述第一标识查找到所述对应关系；

所述服务器根据查找出的所述合法标识比对所述第二标识，得到所述比对结果。

可选的，所述第二标识包括所述待鉴权用户发起所述资源请求时的IP地址或浏览器缓存Cookie。

一种鉴权装置，包括：

接收单元，用于接收待鉴权用户请求访问资源的资源请求，所述资源请求中包括鉴权信息和第一标识，所述第一标识用于标识相对于所述资源的合法用户；

判断单元，用于通过预设的密钥和所述第一标识判断所述鉴权信息是否为通过所述第一标识和所述密钥加密得到；

若所述判断单元的判断结果为所述鉴权信息为通过所述第一标识和所述密钥加密得到，触发确定单元，所述确定单元，用于根据所述鉴权信息确定所述待鉴权用户为具有访问所述资源权限的所述合法用户。

可选的，所述资源请求还包括第二标识，所述第二标识为所述待鉴权用户用于发起所述资源请求所需的标识，若所述判断单元的判断结果为所述鉴权信息为通过所述第一标识和所述密钥加密得到，还包括：

识别单元，用于获取通过比对合法标识和所述待鉴权用户的第二标识得到的比对结果；

所述确定单元，还用于根据所述比对结果确定所述待鉴权用户是否为具有访问所述资源权限的所述合法用户。

可选的，若所述比对结果为所述第二标识与所述合法标识中任一个相同，所述确定单元还用于根据所述比对结果确定所述待鉴权用户为具有访问所述资源的权限的所述合法用户；

若所述比对结果为所述第二标识与所述合法标识不同，所述确定单元还用于根据所述比对结果确定所述待鉴权用户为不具有访问所述资源权限的非法用户。

可选的，所述识别单元包括：

发送子单元，用于向鉴权中心发送包括所述第一标识和第二标识的认证请求，使得所述鉴权中心根据所述第一标识查找到包括所述第一标识和所述合法标识对应关系，根据查找出的所述合法标识比对所述第二标识，得到所述比对结果；

获取子单元，用于从所述鉴权中心获取所述比对结果。

可选的，所述识别单元包括：

获取子单元，用于从鉴权中心获取包括所述第一标识和所述合法标识的对应关系；

查找子单元，用于根据所述第一标识查找到所述对应关系；

比对子单元，用于根据查找出的所述合法标识比对所述第二标识，得到所述比对结果。

由上述技术方案可以看出，服务器与合法用户预先设置了密钥，当接收到待鉴权用户发送的资源请求时，服务器可以利用预设的密钥和所述资源请求中的第一标识鉴定所述资源请求中的鉴权信息是否合法，由于所述第一标识为标识相对于所述资源的合法用户，且合法的鉴权信息为通过所述第一标识以所述密钥加密得到，故若判断所述鉴权信息为通过所述第一标识和所述密钥加密得到，则可以根据所述鉴权信息确定所述待鉴权用户为具有所述资源的访问权限的所述合法用户，由此服务器具有能够有效的鉴别出访问所述资源用户的访问权限的功能。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1a为本申请实施例提供的一种鉴权系统的系统结构图；

图1b为本申请实施例提供的一种鉴权系统的系统结构图；

图1为本申请实施例提供的一种鉴权方法的方法流程图；

图2为本申请实施例提供的一种二次鉴权方法的方法流程图；

图3为本申请实施例提供的一种鉴权装置的装置结构图。

具体实施方式

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

随着网络技术的发展，在网络上进行资源共享越来越常见，资源提供者可以将保存在服务器中的资源通过网络共享给其他用户。尤其是随着超文本标记语言第五代(英文：Hyper Text Markup Language 5，缩写：HTML5)的出现，使得网络中跨平台的资源共享成为可能。利用HTML5技术进行资源共享的方式可以是，资源提供者(例如可以是内容分发网络(英文：Content Delivery Network，缩写：CDN))可以将资源的地址例如统一资源定位符(英文：Uniform Resource Locator，缩写：URL)嵌入到HTML页面的代码中，而资源使用者(例如可以是用户)可以通过访问该HTML页面实现对该资源的访问。例如若该资源为流媒体视频资源，那么资源使用者可以通过访问嵌入了该视频资源地址的HTML页面，根据该视频资源的地址下载该视频资源，或者进一步通过调用浏览器中播放组件播放该视频资源。

然而在基于HTML技术的资源共享中，由于资源连接在网页代码中的嵌入方式主要是以明文形式，故嵌入HTML页面中的资源地址很容易被第三方通过调用页面代码等方式获取，然后将该资源地址嵌入到自己的HTML页面中或者通过其他方式在网络上散布该资源地址，使得该资源可以被大量不合法用户或者说不具有该资源访问权限的用户非法访问，例如资源为视频时，这种非法访问可以理解为对视频的盗播。这种资源盗取链接的方式会对资源提供者带来损失，例如额外的服务器带宽维护费用、版权成本等。

资源提供者虽然难以防止上述盗取连接行为的发生，但是为了避免资源被非法访问，资源提供者还可以通过鉴权的方式，鉴别出试图访问该资源的用户是合法用户还是非法用户。然而，目前并没有有效的鉴权方式，来鉴别访问资源的用户是否具有访问权限，即是否为合法用户。

为此，本申请实施例提供了一种鉴权方法、装置和系统，服务器与合法用户预先设置了密钥，当接收到待鉴权用户发送的资源请求时，服务器可以利用预设的密钥和所述资源请求中的第一标识鉴定所述资源请求中的鉴权信息是否合法，由于所述第一标识为唯一标识一个相对于所述资源的合法用户，且合法的鉴权信息为通过所述第一标识以所述密钥加密得到，故若判断所述鉴权信息为通过所述第一标识和所述密钥加密得到，则可以根据所述鉴权信息确定所述待鉴权用户为具有所述资源的访问权限的所述合法用户，由此服务器具有能够有效的鉴别出访问所述资源用户的访问权限的功能。

资源提供者与合法用户约定好密钥、加密方式和加密内容，若合法用户需要访问该资源，可以在用于请求访问该资源的资源请求中携带通过约定的加密方式对加密内容加密得到鉴权信息。而传统的获得鉴权信息的方式中，多是以资源地址或者资源地址加上时间戳作为加密鉴权信息的基础，而资源地址和时间戳等内容相对比较固定且非常易于被第三方获得，故即使被加密成鉴权信息，也容易被第三方破解并提供给非法用户，非法用户携带破解得到的鉴权信息访问资源将难以被资源提供者所识别，导致传统的鉴权信息不能成为可靠的识别依据。

参见图1a，在本申请实施例提供的鉴权系统中，包括用户设备10和服务器20。用户设备10向服务器20发送待鉴权用户请求访问资源的资源请求，所述资源请求中包括鉴权信息和第一标识，所述第一标识用于标识相对于所述资源的合法用户。服务器20接收所述资源请求；通过预设的密钥和所述第一标识判断所述鉴权信息是否为通过所述第一标识和所述密钥加密得到；若判断所述鉴权信息为通过所述第一标识和所述密钥加密得到，根据所述鉴权信息确定所述待鉴权用户为具有访问所述资源权限的所述合法用户。

可以看出，在本申请实施例中，生成本申请实施例所提供的鉴权信息的依据包括用户的第一标识，所述第一标识可以标识相对于访问资源的合法用户，而且相对于基本属于公开的资源地址和时间戳等信息，用户的第一标识一般不容易被第三方获得。例如一个资源地址可以为：http://www.example.com/example.mp4，时间戳为：1448265730，一般用于标识这个资源地址或资源请求的访问的过期时间(若超过该时间戳所标识时间，资源请求将被直接拒绝)，用户的第一标识可以为：1111111，密钥可以为：abcd1234，如果加密方式为信息摘要算法第五版(英文：Message-Digest Algorithm 5，缩写：MD5)的方式，那么对上述资源地址、时间戳和用户的第一标识以上述密钥进行MD5加密后得到的MD5值：4b2989f29ba11473f40e3fea64345251就可以是鉴权信息。由于第三方难以得到构成鉴权信息的全部内容(例如难以得到用户的第一标识)，故而本申请实施例中通过第一标识加密得到的鉴权信息的安全性更高，第三方难以合理构造得到，能够更为有效的作为识别合法用户的依据。

但是，由于在HTML5技术中，鉴权信息一般会被合法用户以参数的形式携带在资源请求里，例如根据上述例子中的资源地址、时间戳、合法用户的第一标识、密钥和加密方式等信息，合法用户的资源请求可以是：http://www.example.com/example.mp4？k＝4b2989f29ba11473f40e3fea64345251&t＝1448265730&id＝1111111。故虽然第三方难以直接构造出本申请实施例中的鉴权信息，但是可以通过合法用户的正常资源请求获取到合法的鉴权信息甚至合法用户的第一标识，再通过合法的鉴权信息实现盗链的目的，第三方这种获取鉴权信息的方式使得资源提供者不容易辨别出使用合法鉴权信息访问资源的非法用户。

针对这种情况，在本申请实施例所提供的鉴权系统中，所述资源请求还包括第二标识，所述第二标识为所述待鉴权用户用于发起所述资源请求所需的标识，在此基础上，相应的还提供了一种二次鉴权的方式，所述服务器若判断所述鉴权信息为通过所述第一标识和所述密钥加密得到，还可以用于获取通过比对合法标识和所述待鉴权用户的第二标识得到的比对结果；根据所述比对结果确定所述待鉴权用户是否为具有访问所述资源权限的所述合法用户。

申请人发现一个资源从发布到被盗链出现非法访问的用户需要一个的过程，第一个或前几个以同一个第一标识请求访问资源的资源请求一般都是由合法用户发起的，随着时间的推移，之后以这一个第一标识请求访问资源的资源请求的用户里就越有可能出现非法用户。申请人依据发现的这一特点，针对资源提供者提供用于分享的一个资源，记录前n个以同一个第一标识请求访问且访问成功的资源请求中的用户第二标识，并将这些第二标识作为合法标识和第二次鉴权的鉴权依据。而一个用户的第二标识为这个用户用于发起资源请求时所需的标识，且也携带在资源请求中，可见这个第二标识与这个用于之间具有对应关系。如果一个非法用户试图访问一个资源，且这个非法用户资源请求中携带的第一标识是非法获取的一个合法用户的第一标识，那么这个非法用户的第二标识显然将与服务器侧预先获取的合法标识难以匹配相符，由此，用于鉴权的服务器可以有效的通过合法标识识别出持有合法鉴权信息的非法用户，并可以拒绝这种不具有资源访问权限的非法用户访问资源，从而资源提供者可以较为准确的识别合法用户和非法用户，降低了资源提供者的损失。在本申请的鉴权系统中，为了有效实现二次鉴权，所述系统还可以包括鉴权中心，可参见图1b所示。服务器20若判断所述鉴权信息为通过所述第一标识和所述密钥加密得到，还可以向鉴权中心30发送包括所述第一标识和第二标识的认证请求；鉴权中心30，用于根据所述第一标识查找到包括所述第一标识和所述合法标识对应关系，根据查找出的所述合法标识比对所述第二标识，得到所述比对结果；服务器20在向鉴权中心30发送包括所述第一标识和第二标识的认证请求之后，可以从鉴权中心30获取所述比对结果。在鉴权中心30的协助下，服务器20可以得到准确的比对结果，实现二次鉴权。

接下来将从服务器的角度，进一步对本申请实施例提供的鉴权方法进行说明。

图1为本申请实施例提供的一种鉴权方法的方法流程图，所述方法包括：

S101：服务器接收待鉴权用户请求访问资源的资源请求，所述资源请求中包括鉴权信息和第一标识，所述第一标识用于标识相对于所述资源的合法用户。

举例说明，所述服务器可以是用于鉴定用户访问权限或认证用户合法性的服务器，在CDN的应用场景中，所述服务器可以是CDN的边缘节点，也可以是本地认证服务器等。所述资源为资源提供者所提供的用于共享的资源，所述资源可以存储在所述服务器中，也可以存储在网络中的其他位置。

所述资源请求可以是URL格式的请求，例如可以是：http://www.example.com/example.mp4？k＝4b2989f29ba11473f40e3fea64345251&t＝1448265730&id＝1111111，其中，4b2989f29ba11473f40e3fea64345251可以为鉴权信息，1111111可以为用户的第一标识。一个合法的鉴权信息由所述第一标识通过预设密钥加密得到，本申请不限定所述鉴权信息是仅由所述第一标识加密得到，还是由包括所述第一标识的一组数据加密得到。本申请还不限定通过密钥加密的方式，加密方式可以由资源提供者和合法用户之间预先确定好，例如可以是MD5加密方式，也可以是其他加密方式，这里不再一一赘述。

所述第一标识是一个能够标识相对于所述资源的合法用户的标识，例如可以是一个字符串形式的ID。具体的，所述第一标识可以是一个对所述资源合法用户的统一标识。所述第一标识也可以是唯一标识一个所述资源合法用户的标识，也就是不同合法用户的标识可以不同。所述第一标识可以由该合法用户周期性的改变，以提高安全性。所述服务器可以预先知晓所述第一标识，也可以通过合法用户发送的资源请求获知。所述第一标识直接携带在所述资源请求中，也可以通过加密，以加密形式携带在所述资源请求中，加密所述第一标识的方式可以预先告知所述服务器，为了方便起见，加密所述第一标识的方式可以与将第一标识加密得到鉴权信息的加密方式相同，并也是使用相同的密钥对所述第一标识加密。

S102：所述服务器通过预设的密钥和所述第一标识判断所述鉴权信息是否为通过所述第一标识和所述密钥加密得到。若判断所述鉴权信息为通过所述第一标识和所述密钥加密得到，执行S103。

举例说明，本申请并不限定所述服务器判断所述鉴权信息的方式，所述服务器可以以相同的加密方式对所述第一标识通过所述密钥加密，将加密得到的结果与所述鉴权信息进行比对是否相同，所述服务器也可以对所述鉴权信息依据所述密钥以相同的加密方式反向解密，比对解密结果与所述第一标识以确定解密结果中是否具有所述第一标识等等判断方式。不论使用何种判断方式，最终希望可以判断出所述鉴权信息是否为通过所述第一标识和所述密钥加密得到，即判断出所述鉴权信息是否为一个合法的鉴权信息。

S103：所述服务器根据所述鉴权信息确定所述待鉴权用户为具有访问所述资源权限的所述合法用户。

举例说明，若能够判断所述鉴权信息为通过所述第一标识和所述密钥加密得到，那么可以理解为所述待鉴权用户就是所述合法用户，具有访问所述资源的权限。那么所述服务器可以允许所述待鉴权用户访问所述资源。若判断所述鉴权信息并非为通过所述第一标识和所述密钥加密得到，则所述服务器可以确定所述待鉴权用户为一个相对于所述资源的非法用户，并未具有访问所述资源的权限，将拒绝所述待鉴权用户访问所述资源。

可见看出，服务器与合法用户预先设置了密钥，当接收到待鉴权用户发送的资源请求时，服务器可以利用预设的密钥和所述资源请求中的第一标识鉴定所述资源请求中的鉴权信息是否合法，由于所述第一标识为标识相对于所述资源的合法用户，且合法的鉴权信息为通过所述第一标识以所述密钥加密得到，故若判断所述鉴权信息为通过所述第一标识和所述密钥加密得到，则可以根据所述鉴权信息确定所述待鉴权用户为具有所述资源的访问权限的所述合法用户，由此服务器具有能够有效的鉴别出访问所述资源用户的访问权限的功能。

而且针对传统的获得鉴权信息的方式中，多是以资源地址或者资源地址加上时间戳作为加密鉴权信息的基础，而资源地址和时间戳等内容相对比较固定且非常易于被第三方获得，故即使被加密成鉴权信息，也容易被第三方破解并提供给非法用户，非法用户携带破解得到的鉴权信息访问资源将难以被资源提供者所识别，导致传统的鉴权信息不能成为可靠的识别依据。在本申请实施例中，由于第三方难以得到构成鉴权信息的全部内容(例如难以得到用户的第一标识)，故而本申请实施例中通过第一标识加密得到的鉴权信息的安全性更高，第三方难以合理构造得到，能够更为有效的作为识别合法用户的依据。

需要注意的是，虽然第三方难以直接构造出本申请实施例中的鉴权信息，但是可以通过合法用户的正常资源请求获取到合法的鉴权信息甚至合法用户的第一标识，再通过合法的鉴权信息实现盗链的目的，第三方这种获取鉴权信息的方式使得资源提供者不容易辨别出使用合法鉴权信息访问资源的非法用户。

针对这种情况，可选的，本申请实施例还提供了一种二次鉴权的处理模式，以便用于鉴权的服务器能够有效的通过合法标识识别出持有合法鉴权信息的非法用户。在本申请实施例中，所述二次鉴权可以理解为比对合法标识和所述待鉴权用户的第二标识的过程，属于在图1所对应实施例中介绍的第一次鉴权基础上实施的第二次鉴权。在图1所对应实施例的基础上，图2为一种二次鉴权方法的方法流程图，所述资源请求还包括第二标识，所述第二标识为所述待鉴权用户用于发起所述资源请求所需的标识，所述方法包括：

S201：服务器接收待鉴权用户请求访问资源的资源请求，所述资源请求中包括鉴权信息和所述待鉴权用户的第一标识，所述第一标识用于标识相对于所述资源的合法用户。

S202：所述服务器通过预设的密钥和所述第一标识判断所述鉴权信息是否为通过所述第一标识和所述密钥加密得到。若判断所述鉴权信息为通过所述第一标识和所述密钥加密得到，执行S203。

S203：所述服务器根据所述鉴权信息确定所述待鉴权用户为具有访问所述资源权限的所述合法用户。

S204：所述服务器获取通过比对合法标识和所述待鉴权用户的第二标识得到的比对结果。

S205：所述服务器根据所述比对结果确定所述待鉴权用户是否为具有访问所述资源权限的所述合法用户。

举例说明，所述合法标识是已经明确属于一个资源的合法用户的第二标识，所述合法标识所包括第二标识的数量可以为至少一个。通过比对所述合法标识和所述资源请求中的第二标识，可以明确所述资源请求中的第二标识是否属于该资源的一个合法用户。

举例说明，申请人发现一个资源从发布到被盗链出现非法访问的用户需要一个的过程，第一个或前几个以同一个第一标识请求访问资源的资源请求一般都是由合法用户发起的，随着时间的推移，之后以这个第一标识请求访问资源的资源请求的用户里就越有可能出现非法用户。故可选的，所述合法标识包括前n次以所述第一标识成功访问所述资源时的资源请求中携带的第二标识，n为大于等于1的整数，所述合法标识的数量小于等于n。也就是说，若以第一标识为标识a，标识a对应的用户具有访问资源a的权限为例，那么服务器接收到的用于请求访问资源a且成功通过鉴权的资源请求中，由于鉴权信息被第三方获取的可能性随着使用标识a的时长变长或次数变大而增大，故首次或最先n个携带标识a的资源请求是由合法用户发起的可能性是最大的，这n次资源请求中携带的第二标识为合法用户的标识的可能性就越高，故这n次资源请求携带的第二标识适宜作为所述合法标识，以用于在二次鉴权中作为比对的依据。所述合法标识可以包括所述合法用户发起资源请求时的所使用IP地址或浏览器缓存Cookie。Cookie可以理解为一种浏览器缓存，是储存在用户本地终端上的数据，IP地址和Cookie等信息可以在一定程度上标识一个用户。相应的，所述第二标识也可以包括所述待鉴权用户发起所述资源请求时的IP地址或浏览器缓存Cookie。所述合法标识相当于所述合法用户携带的一种令牌(英文：Token)信息，所述第二标识相当于所述待鉴权用户携带的一种令牌信息。

其中，本申请实施例中n的具体数值可以随着应用场景的不同要求或者资源的重要程度等情况相应设置，n的数值越小可以理解为二次鉴权的严格性越高。所述合法标识的数量可以等于或少于n的数值，少于n的数值的情况可以理解为，前n次资源请求中，出现有几次所携带的第二标识相同的情况。

可选的，在执行S203之后，本申请实施例提供了至少三种实施二次鉴权的方式。这三种方式中均使用到鉴权中心，所述鉴权中心中保存有所述合法标识与所述第一标识之间的对应关系。可以根据不同的应用场景或需求从上述方式中选取适合的二次鉴权方式。

第一种方式中，鉴权中心设置在其他网络设备中，与所述服务器之间为相互独立的设备，由鉴权中心协助所述服务器进行所述合法标识与所述第二标识的比对。第二种方式中，鉴权中心设置在其他网络设备中，与所述服务器之间为相互独立的设备，所述服务器先从鉴权中心获取包括所述合法标识的对应关系，再由所述服务器进行所述合法标识与所述第二标识的比对。第三种方式中，鉴权中心本身就设置在所述服务器中，由所述服务器独自完成对所述鉴权信息的判断和所述合法标识与所述第二标识的比对。接下来将依次对这三种方式的具体方案进行描述。

针对所述第一种方式：

由于鉴权中心与所述服务器之间为相互独立的设备，所述服务器需要向所述鉴权中心发送包括所述第一标识和第二标识的认证请求，使得所述鉴权中心根据所述第一标识查找到包括所述第一标识和所述合法标识对应关系，根据查找出的所述合法标识比对所述第二标识，得到所述比对结果。

所述服务器从所述鉴权中心获取所述比对结果。

举例说明，在所述第一种方式的情况下，所述鉴权中心可以相当于一个存储用户身份信息的中心认证服务器，作为中心认证服务器，所述鉴权中心可以为至少一个服务器提供二次鉴权的服务，相应的，所述鉴权中心会存储大量的分别针对不同合法用户的对应关系(即合法标识和第一标识之间的对应关系)。例如在CDN中，鉴权中心作为中心认证服务器可以为多个边缘节点或本地认证服务器提供二次鉴权的服务。

针对所述第二种方式：

举例说明，所述第二种方式可以有效缓解所述第一种方式中统一进行二次鉴权为鉴权中心带来的处理压力。在所述第二种方式中，所述服务器可以预先从鉴权中心获取包括所述第一标识和所述合法标识的对应关系，这样，所述服务器就具有了独自实施对所述第一标识所对应的所述合法用户进行二次鉴权的数据基础。

所述服务器可以根据所述第一标识查找到所述对应关系。

所述服务器根据查找出的所述合法标识比对所述第二标识，得到所述比对结果。

通过在所述服务器实施所述二次鉴权，可以有效缓解所述鉴权中心的处理压力，消除了访问所述鉴权中心所带来的延时，提高了二次鉴权的鉴权效率。

针对所述第三种方式：

举例说明，所述第三种方式主要是基于所述第一种方式上，针对一些小规模的场景的二次鉴权方式。小规模场景的数据规模小，可能并不需要相对于所述服务器独立的鉴权中心来专门处理、实施二次鉴权。这种情况下，所述鉴权中心设置在所述服务器中。所述鉴权中心可以作为所述服务器数据库的一部分内容，或者所述服务器的一个功能模块等。

可选的，针对S205，本申请实施例提供了一种具体的比对方式。在执行S204时，若所述比对结果为所述第二标识与所述合法标识中任一个相同，所述服务器根据所述比对结果确定所述待鉴权用户为具有访问所述资源的权限的所述合法用户。若所述比对结果为所述第二标识与所述合法标识不同。所述服务器根据所述比对结果确定所述待鉴权用户为不具有访问所述资源权限的非法用户。

举例说明，对于确定所述待鉴权用户为具有访问所述资源的权限的所述合法用户，若所述服务器根据所述比对结果确定所述待鉴权用户为具有访问所述资源的权限的所述合法用户，所述服务器允许具有访问所述资源的权限的所述待鉴权用户访问所述资源。若所述服务器根据所述比对结果确定所述待鉴权用户为不具有访问所述资源权限的非法用户，所述服务器将会拒绝所述待鉴权用户对所述资源的访问。

通过图2所对应的实施例可以看出，通过比对所述合法标识和所述第二标识得到比对结果，所述服务器可以有效的通过所述比对结果识别出持有合法鉴权信息的非法用户，并拒绝这种不具有资源访问权限的非法用户访问资源，从而可以较为准确的识别合法用户和非法用户，降低了资源提供者的损失。

图3为本申请实施例提供的一种鉴权装置的装置结构图，包括：

接收单元301，用于接收待鉴权用户请求访问资源的资源请求，所述资源请求中包括鉴权信息和第一标识，所述第一标识用于标识相对于所述资源的合法用户；

判断单元302，用于通过预设的密钥和所述第一标识判断所述鉴权信息是否为通过所述第一标识和所述密钥加密得到；

若所述判断单元302的判断结果为所述鉴权信息为通过所述第一标识和所述密钥加密得到，触发确定单元303，所述确定单元303，用于根据所述鉴权信息确定所述待鉴权用户为具有访问所述资源权限的所述合法用户。

可选的，所述资源请求还包括第二标识，所述第二标识为所述待鉴权用户用于发起所述资源请求所需的标识，若所述判断单元的判断结果为所述鉴权信息为通过所述第一标识和所述密钥加密得到，还包括：

识别单元，用于获取通过比对合法标识和所述待鉴权用户的第二标识得到的比对结果；

所述确定单元，还用于根据所述比对结果确定所述待鉴权用户是否为具有访问所述资源权限的所述合法用户。

可选的，若所述比对结果为所述第二标识与所述合法标识中任一个相同，所述确定单元还用于根据所述比对结果确定所述待鉴权用户为具有访问所述资源的权限的所述合法用户；

若所述比对结果为所述第二标识与所述合法标识不同，所述确定单元还用于根据所述比对结果确定所述待鉴权用户为不具有访问所述资源权限的非法用户。

可选的，所述识别单元包括：

发送子单元，用于向鉴权中心发送包括所述第一标识和第二标识的认证请求，使得所述鉴权中心根据所述第一标识查找到包括所述第一标识和所述合法标识对应关系，根据查找出的所述合法标识比对所述第二标识，得到所述比对结果；

获取子单元，用于从所述鉴权中心获取所述比对结果。

可选的，所述识别单元包括：

获取子单元，用于从鉴权中心获取包括所述第一标识和所述合法标识的对应关系；

查找子单元，用于根据所述第一标识查找到所述对应关系；

比对子单元，用于根据查找出的所述合法标识比对所述第二标识，得到所述比对结果。

可选的，所述鉴权中心设置在所述服务器中。

可选的，所述第二标识包括所述待鉴权用户发起所述资源请求时的IP地址或浏览器缓存Cookie。

可以看出，服务器与合法用户预先设置了密钥，当接收到待鉴权用户发送的资源请求时，服务器可以利用预设的密钥和所述资源请求中的第一标识鉴定所述资源请求中的鉴权信息是否合法，由于所述第一标识为唯一标识一个相对于所述资源的合法用户，且合法的鉴权信息为通过所述第一标识以所述密钥加密得到，故若判断所述鉴权信息为通过所述第一标识和所述密钥加密得到，则可以根据所述鉴权信息确定所述待鉴权用户为具有所述资源的访问权限的所述合法用户，由此服务器具有能够有效的鉴别出访问所述资源用户的访问权限的功能。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质可以是下述介质中的至少一种：只读存储器(英文：read-only memory，缩写：ROM)、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

需要说明的是，本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于设备及系统实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的设备及系统实施例仅仅是示意性的，其中作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述，仅为本申请较佳的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应该以权利要求的保护范围为准。

Claims (11)

1.一种鉴权系统，其特征在于，所述系统包括用户设备和服务器：

所述用户设备向所述服务器发送待鉴权用户请求访问资源的资源请求，所述资源请求中包括鉴权信息和用于标识相对于所述资源的合法用户的第一标识；

所述服务器接收所述资源请求；通过预设的密钥和所述第一标识判断所述鉴权信息是否为通过所述第一标识和所述密钥加密得到；若判断所述鉴权信息为通过所述第一标识和所述密钥加密得到，则根据所述鉴权信息确定所述待鉴权用户为具有访问所述资源权限的所述合法用户，

所述资源请求还包括第二标识，所述第二标识为所述待鉴权用户用于发起所述资源请求所需的标识，所述服务器获取通过比对合法标识和所述待鉴权用户的第二标识得到的比对结果；根据所述比对结果确定所述待鉴权用户是否为具有访问所述资源权限的所述合法用户，其中，所述合法标识包括前n次以所述第一标识成功访问所述资源时的资源请求中携带的第二标识，n为大于等于1的整数，所述合法标识的数量小于等于n。

2.根据权利要求1所述的系统，其特征在于，所述系统还包括鉴权中心：

所述服务器向所述鉴权中心发送包括所述第一标识和第二标识的认证请求；

所述鉴权中心根据所述第一标识查找到包括所述第一标识和所述合法标识对应关系，根据查找出的所述合法标识比对所述第二标识，得到所述比对结果；

所述服务器从所述鉴权中心获取所述比对结果。

3.一种鉴权方法，其特征在于，所述方法包括：

服务器接收待鉴权用户请求访问资源的资源请求，所述资源请求中包括鉴权信息和用于标识相对于所述资源的合法用户的第一标识；

所述服务器通过预设的密钥和所述第一标识判断所述鉴权信息是否为通过所述第一标识和所述密钥加密得到；

若判断所述鉴权信息为通过所述第一标识和所述密钥加密得到，所述服务器根据所述鉴权信息确定所述待鉴权用户为具有访问所述资源权限的所述合法用户，

其中，所述资源请求还包括第二标识，所述第二标识为所述待鉴权用户用于发起所述资源请求所需的标识，在判断出所述鉴权信息为通过所述第一标识和所述密钥加密得到之后，所述方法还包括：

所述服务器获取通过比对合法标识和所述待鉴权用户的第二标识得到的比对结果，其中，所述合法标识包括前n次以所述第一标识成功访问所述资源时的资源请求中携带的第二标识，n为大于等于1的整数，所述合法标识的数量小于等于n；

所述服务器根据所述比对结果确定所述待鉴权用户是否为具有访问所述资源权限的所述合法用户。

4.根据权利要求3所述的方法，其特征在于，所述服务器根据所述比对结果确定所述待鉴权用户是否为具有访问所述资源权限的所述合法用户，包括：

若所述比对结果为所述第二标识与所述合法标识中任一个相同，所述服务器根据所述比对结果确定所述待鉴权用户为具有访问所述资源权限的所述合法用户；

若所述比对结果为所述第二标识与所述合法标识不同，所述服务器根据所述比对结果确定所述待鉴权用户为不具有访问所述资源权限的非法用户。

5.根据权利要求3所述的方法，其特征在于，所述服务器获取比对结果，包括：

所述服务器向鉴权中心发送包括所述第一标识和第二标识的认证请求，使得所述鉴权中心根据所述第一标识查找到包括所述第一标识和所述合法标识对应关系，根据查找出的所述合法标识比对所述第二标识，得到所述比对结果；

所述服务器从所述鉴权中心获取所述比对结果。

6.根据权利要求3所述的方法，其特征在于，所述服务器从鉴权中心获取包括所述第一标识和所述合法标识的对应关系，则所述服务器获取比对结果，包括：

所述服务器根据所述第一标识查找到所述对应关系；

所述服务器根据查找出的所述合法标识比对所述第二标识，得到所述比对结果。

7.根据权利要求3至6任一项所述的方法，其特征在于，所述第二标识包括所述待鉴权用户发起所述资源请求时的IP地址或浏览器缓存Cookie。

8.一种鉴权装置，其特征在于，包括：

接收单元，用于接收待鉴权用户请求访问资源的资源请求，所述资源请求中包括鉴权信息和用于标识相对于所述资源的合法用户的第一标识；

判断单元，用于通过预设的密钥和所述第一标识判断所述鉴权信息是否为通过所述第一标识和所述密钥加密得到；

若所述判断单元的判断结果为所述鉴权信息为通过所述第一标识和所述密钥加密得到，触发确定单元，所述确定单元，用于根据所述鉴权信息确定所述待鉴权用户为具有访问所述资源权限的所述合法用户，

所述资源请求还包括第二标识，所述第二标识为所述待鉴权用户用于发起所述资源请求所需的标识，

所述鉴权装置还包括：

识别单元，用于获取通过比对合法标识和所述待鉴权用户的第二标识得到的比对结果，其中，所述合法标识包括前n次以所述第一标识成功访问所述资源时的资源请求中携带的第二标识，n为大于等于1的整数，所述合法标识的数量小于等于n；

所述确定单元，还用于根据所述比对结果确定所述待鉴权用户是否为具有访问所述资源权限的所述合法用户。

9.根据权利要求8所述的装置，其特征在于，若所述比对结果为所述第二标识与所述合法标识中任一个相同，所述确定单元还用于根据所述比对结果确定所述待鉴权用户为具有访问所述资源的权限的所述合法用户；

若所述比对结果为所述第二标识与所述合法标识不同，所述确定单元还用于根据所述比对结果确定所述待鉴权用户为不具有访问所述资源权限的非法用户。

10.根据权利要求8所述的装置，其特征在于，所述识别单元包括：

发送子单元，用于向鉴权中心发送包括所述第一标识和第二标识的认证请求，使得所述鉴权中心根据所述第一标识查找到包括所述第一标识和所述合法标识对应关系，根据查找出的所述合法标识比对所述第二标识，得到所述比对结果；

获取子单元，用于从所述鉴权中心获取所述比对结果。

11.根据权利要求8所述的装置，其特征在于，所述识别单元包括：

获取子单元，用于从鉴权中心获取包括所述第一标识和所述合法标识的对应关系；

查找子单元，用于根据所述第一标识查找到所述对应关系；

比对子单元，用于根据查找出的所述合法标识比对所述第二标识，得到所述比对结果。

Images