CN107872440A - 身份鉴权方法、装置和系统 - Google Patents

Abstract

本发明涉及一种身份鉴权方法、装置和系统。所述方法包括：通过业务移动版服务端获取移动终端通过办公自动化应用服务端发起的业务访问请求和办公自动化应用服务端的网络地址，业务访问请求中包括用户信息，用户信息包括用户标识和移动终端的基于位置服务信息；通过业务移动版服务端对所述办公自动化应用服务端的网络地址进行鉴权，若鉴权通过，则将业务移动版服务端的网络地址和用户信息发送给业务个人计算机版服务端；通过业务移动版服务端接收所述业务个人计算机版服务端对所述业务移动版的网络地址和用户信息的鉴权结果，并将鉴权结果通过所述办公自动化应用服务端返回给所述移动终端的办公自动化应用客户端。提高了身份识别的安全性。

Description

身份鉴权方法、装置和系统

技术领域

本发明涉及计算机安全领域，特别是涉及一种身份鉴权方法、装置和系统。

背景技术

身份鉴权又称身份验证，在日常生活中的各种场景中非常多见，是指通过一定的手段，完成对用户身份的确认。例如，在企业中，为了保证企业内部信息安全，需要对员工的登录、接入、查看等敏感操作做相应的身份鉴权，通常需要员工或合作伙伴输入鉴权信息进行验证通过后，才能访问企业内部信息。

为了保证业务数据的安全，传统的处理方式是处理业务需要上企业内网环境的计算机或远程登录VPN(Virtual Private Network，虚拟专用网络)，然后登录业务系统查看和处理业务，然而，紧急的业务发生的时间随机性强，通常无法及时远程登录VPN或登录内网环境的计算机，导致业务处理不及时，为此通过移动终端输入静态密码进行验证后，访问业务，然而静态密码验证安全性低。

发明内容

基于此，有必要针对传统的静态密码验证安全性低的问题，提供一种身份鉴权方法、装置和系统，能提高身份识别的安全性。

一种身份鉴权方法，包括：

通过业务移动版服务端获取移动终端通过办公自动化应用服务端发起的业务访问请求和办公自动化应用服务端的网络地址，所述业务访问请求中包括用户信息，所述用户信息包括用户标识和移动终端的基于位置服务信息；

通过所述业务移动版服务端对所述办公自动化应用服务端的网络地址进行鉴权，若鉴权通过，则将所述业务移动版服务端的网络地址和用户信息发送给业务个人计算机版服务端；

通过所述业务移动版服务端接收所述业务个人计算机版服务端对所述业务移动版的网络地址和用户信息的鉴权结果，并将所述鉴权结果通过所述办公自动化应用服务端返回给所述移动终端的办公自动化应用客户端。

一种身份鉴权方法，包括：

登录办公自动化应用客户端，通过办公自动化应用客户端向办公自动化应用服务端发起携带有用户信息的业务访问请求，以使所述办公自动化应用服务端将所述业务访问请求和所述办公自动化应用服务端的网络地址发送给业务移动版服务端，所述用户信息包括用户标识和移动终端的基于位置服务信息；

接收业务移动服务端通过所述办公自动化应用服务端返回的鉴权结果，所述鉴权结果为所述业务移动版服务端对所述办公自动化应用服务端的网络地址进行鉴权通过后，所述业务个人计算机版服务端对所述业务移动版的网络地址和用户信息的鉴权结果。

一种身份鉴权装置，包括：

请求获取模块，用于通过业务移动版服务端获取移动终端通过办公自动化应用服务端发起的业务访问请求和办公自动化应用服务端的网络地址，所述访问请求中包括用户信息，所述用户信息包括用户标识和移动终端的基于位置服务信息；

鉴权模块，用于通过所述业务移动版服务端对所述办公自动化应用服务端的网络地址进行鉴权，若鉴权通过，则将所述业务移动版服务端的网络地址和用户信息发送给业务个人计算机版服务端；

鉴权结果返回模块，用于通过所述业务移动版服务端接收所述业务个人计算机版服务端对所述业务移动版的网络地址和用户信息的鉴权结果，将所述鉴权结果通过所述办公自动化应用服务端返回给所述移动终端。

一种身份鉴权装置，包括：

请求发起模块，用于登录办公自动化应用客户端，通过办公自动化应用客户端向办公自动化应用服务端发起携带有用户信息的业务访问请求，以使所述办公自动化应用服务端将所述业务访问请求和办公自动化应用服务端的网络地址发送给业务移动版服务端，所述用户信息包括用户标识和移动终端的基于位置服务信息；

鉴权结果接收模块，用于接收业务移动服务端通过所述办公自动化应用服务端返回的鉴权结果，所述鉴权结果为所述业务移动版服务端对所述办公自动化应用服务端的网络地址进行鉴权通过后，所述业务个人计算机版服务端对所述业务移动版的网络地址和用户信息的鉴权结果。

一种身份鉴权系统，包括：

移动终端，用于登录办公自动化应用客户端，向网页服务器上的办公自动化应用服务端发起业务访问请求，所述业务访问请求中包括用户信息，所述用户信息包括用户标识和移动终端的基于位置服务信息；

所述网页服务器，用于将所述业务访问请求和办公自动化服务端的网络地址发送给身份鉴权服务器；

所述身份鉴权服务器，用于通过业务移动版服务端对所述办公自动化服务端的网络地址进行鉴权，鉴权通过后，通过所述业务移动版服务端将所述用户信息和所述业务移动版服务端的网络地址发送给业务个人计算机版服务端，通过所述个人计算机版服务端对所述业务移动版服务端的网络地址进行鉴权，以及调用基于位置服务特征库中基于位置服务数据和身份鉴权信息库中鉴权数据对所述用户信息进行鉴权，得到鉴权结果，并将所述鉴权结果通过所述网页服务器返回给所述移动终端。

上述身份鉴权方法、装置和系统，通过业务移动版服务端获取移动终端通过办公自动化应用服务端发起的业务访问请求和办公自动化应用服务端的网络地址，对办公自动化应用服务端的网络地址进行鉴权通过后，业务移动版服务端将用户信息和业务移动版服务端的网络地址发送给业务个人计算机版服务端进行鉴权，业务个人计算机版服务端对用户信息中的用户标识和基于位置服务信息进行鉴权得到鉴权结果，实现了办公自动化应用服务端的网络地址、业务移动版服务端的网络地址、用户标识和基于位置服务信息等多维度的鉴权，提高了身份识别的安全性，也提高了身份鉴权的精准度，且使得通过校验的用户能通过移动终端登录业务系统及时处理业务。

附图说明

图1为一个实施例中身份鉴权方法和身份鉴权方法的应用环境示意图；

图2A为一个实施例中移动终端的内部结构示意图；

图2B为一个实施例中身份鉴权服务器的内部结构示意图；

图3为一个实施例中身份鉴权方法的流程图；

图4为另一个实施例中身份鉴权方法的流程图；

图5为一个实施例中身份鉴权方法应用于安全工单的过程示意图；

图6为一个实施例中身份鉴权装置的结构框图；

图7为另一个实施例中身份鉴权装置的结构框图；

图8为另一个实施例中身份鉴权装置的结构框图；

图9为另一个实施例中身份鉴权装置的结构框图；

图10为一个实施例中身份鉴权系统的结构框图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

可以理解，本发明所使用的术语“第一”、“第二”等可在本文中用于描述各种元件，但这些元件不受这些术语限制。这些术语仅用于将第一个元件与另一个元件区分。举例来说，在不脱离本发明的范围的情况下，可以将第一客户端称为第二客户端，且类似地，可将第二客户端称为第一客户端。第一客户端和第二客户端两者都是客户端，但其不是同一客户端。

图1为一个实施例中身份鉴权方法的应用环境示意图。如图1所示，该应用环境包括移动终端110、Web服务器120、身份鉴权服务器130、LBS(Location Based Service，基于位置服务)服务信息特征库140和身份鉴权信息库150。移动终端110上安装有办公自动化应用客户端(MOA，Manager Office Automation)，Web服务器120上的安装有办公自动化应用服务端。移动终端110获取用户登录办公自动化应用客户端，通过办公自动化应用客户端访问Web服务器120上的办公自动化应用服务端，并发起携带有用户信息的业务访问请求，该用户信息包括用户标识和移动终端所在的LBS服务信息，Web服务器120将办公自动化应用服务端的网络地址和业务访问请求一起发送给身份鉴权服务器130；身份鉴权服务器130对办公自动化应用服务端的网络地址进行鉴权，以及调用LBS服务信息特征库140和身份鉴权信息库150中存储的数据对用户信息进行鉴权，鉴权通过后，则允许移动终端110获取业务数据。通过对办公自动化应用服务端的网络地址、用户标识和LBS服务信息进行鉴权，实现了对用户身份的鉴权，能提高身份识别的安全性，且不需要借助内网环境或VPN远程登录，使得通过校验的用户登录业务系统及时处理业务。

图2A为一个实施例中移动终端的内部结构示意图。如图2A所示，该移动终端包括通过系统总线连接的处理器、非易失性存储介质、内存储器和网络接口、声音采集装置、扬声器、显示屏和输入装置。其中，移动终端的非易失性存储介质存储有操作系统，还包括一种身份鉴权装置，该身份鉴权装置用于实现一种身份鉴权方法。该处理器用于提供计算和控制能力，支撑整个终端的运行。移动终端中的内存储器为非易失性存储介质中的身份鉴权装置的运行提供环境，该内存储器中可储存有计算机可读指令，该计算机可读指令被所述处理器执行时，可使得所述处理器执行一种身份鉴权方法。网络接口用于与服务器进行网络通信，如发送业务访问请求至Web服务器，接收Web服务器返回的鉴权结果等。移动终端的显示屏可以是液晶显示屏或者电子墨水显示屏等，输入装置可以是显示屏上覆盖的触摸层，也可以是终端外壳上设置的按键、轨迹球或触控板，也可以是外接的键盘、触控板或鼠标等。该移动终端可以是手机、平板电脑或者个人数字助理或穿戴式设备等。本领域技术人员可以理解，图2A中示出的结构，仅仅是与本申请方案相关的部分结构的框图，并不构成对本申请方案所应用于其上的终端的限定，具体的终端可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。

图2B为一个实施例中身份鉴权服务器(或云端等)的内部结构示意图。如图2B所示，该服务器包括通过系统总线连接的处理器、非易失性存储介质、内存储器和网络接口。其中，该身份鉴权服务器的非易失性存储介质存储有操作系统、数据库和身份鉴权装置，数据库中存储有LBS服务信息和身份鉴权信息，该身份鉴权装置用于实现适用于服务器的一种身份鉴权方法。该身份鉴权服务器的处理器用于提供计算和控制能力，支撑整个身份鉴权服务器的运行。该身份鉴权服务器的内存储器为非易失性存储介质中的身份鉴权装置的运行提供环境，该内存储器中可储存有计算机可读指令，该计算机可读指令被所述处理器执行时，可使得所述处理器执行一种身份鉴权方法。该身份鉴权服务器的网络接口用于据以与外部的Web服务器通过网络连接通信等。身份鉴权服务器可以用独立的服务器或者是多个服务器组成的服务器集群来实现。本领域技术人员可以理解，图2B中示出的结构，仅仅是与本申请方案相关的部分结构的框图，并不构成对本申请方案所应用于其上的服务器的限定，具体的服务器可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。

图3为一个实施例中身份鉴权方法的流程图。如图3所示，一种身份鉴权方法，运行于图1中的身份鉴权服务器上，包括步骤302至步骤306。其中：

步骤302，通过业务移动版服务端获取移动终端通过办公自动化应用服务端发起的业务访问请求和办公自动化应用服务端的网络地址，所述业务访问请求中包括用户信息，所述用户信息包括用户标识和移动终端的基于位置服务信息。

本实施例中，用户标识是用于唯一表示用户身份的字符串。用户标识可为用户的即时通信账号、移动通信号码、电子邮箱或办公自动化应用账号等。移动终端的基于位置服务信息是指通过网络运营商的无线通讯网络或外部定位方式，获取移动终端用户的位置信息，在GIS(Geographic Information System，地理信息系统)平台的支持下，完成定位以及用户提供相应服务。基于位置服务信息可精确定位到移动终端当前所处位置的1公里范围内旅馆、影院、图书馆、加油站等的名称和地址，精度较高。办公自动化应用服务端的网络地址是指办公自动化应用服务端所在服务器的网络地址。

在一个实施例中，步骤302包括：通过业务移动版服务端获取移动终端根据即时通信消息或短信提醒或电子邮件提醒登录办公自动化应用客户端，访问所述办公自动化应用服务端，并通过所述办公自动化应用服务端发起的业务访问请求。

具体地，移动终端接收到关于业务的即时通信消息或短信息。该业务可为安全工单业务或敏感信息维护等业务。安全工单是指当企业的各类安全检测系统发现各个业务的运营系统中有安全风险或漏洞问题时，会第一时间通过安全工单平台发送任务通知和风险详情给相关的接口人，并要求接口人及时响应这个安全事件，修复漏洞、提交再次审核、完成工单的流程。

步骤304，通过所述业务移动版服务端对所述办公自动化应用服务端的网络地址进行鉴权，若鉴权通过，则将所述业务移动版服务端的网络地址和用户信息发送给业务个人计算机版服务端。

本实施例中，身份鉴权服务器上配置有业务移动版服务端和业务个人计算机版服务端。业务移动版服务端是指针对业务移动版提供服务。业务个人计算机版服务端是针对业务个人计算机版提供服务的，服务于内网计算机或通过VPN远程登录的计算机，其安全性高。为了保证安全，业务个人计算机版服务端提供API接口(Application ProgrammingInterface，应用程序编程接口)给业务移动版服务端接入。业务个人计算机服务端通过API接口对业务移动版服务端的网络地址进行过滤，过滤掉非法业务移动版服务端的网络地址。通过业务服务业务移动版服务端用于对办公自动化应用服务端的网络地址进行鉴权，将发送业务访问请的办公自动化应用服务端的网络地址与预设的办公自动化应用服务端的网络地址进行比对，若相同，则鉴权通过，将业务移动版服务端的网络地址和用户信息发送给业务个人计算机版服务端，若不同，则鉴权失败，禁止业务访问请求，并记录日志，发出告警信号。

步骤306，通过所述业务移动版服务端接收所述业务个人计算机版服务端对所述业务移动版的网络地址和用户信息的鉴权结果，并将所述鉴权结果通过所述办公自动化应用服务端返回给所述移动终端的办公自动化应用客户端。

本实施例中，业务个人计算机版服务端将业务移动版服务端的网络地址与预设的业务移动版服务端的网络地址进行比较，若相同，则业务移动版服务端鉴权通过，若不同，则业务移动版服务端鉴权失败，禁止该业务访问请求，并记录日志，发出告警信号。

若鉴权结果为鉴权通过，则允许移动终端访问业务，若鉴权结果为鉴权失败，则禁止访问业务，或生成基于位置服务信息鉴权失败且需要提供进一步验证的验证提示信息，将该验证提示信息返回给移动终端的办公自动化应用客户端。

业务个人计算机版服务端将业务访问请求中的用户信息与预先记录的用户信息进行比较，即业务个人计算机版服务端将业务访问请求中的用户标识与预先记录的用户标识进行比较，若相同，则用户标识鉴权通过，若不同，则鉴权失败，禁止业务访问请求，并记录日志，发出告警信号；业务个人计算机版服务端根据该用户标识从用户标识与基于位置服务信息的对应关系中查找到对应预先记录的基于位置服务信息，将业务访问请求中的基于位置服务信息与预先记录的基于位置服务信息进行比较，若相同，则鉴权通过，若不同，则鉴权失败，可禁止业务访问请求，也可生成基于位置服务信息鉴权失败且需要提供进一步验证的验证提示信息，将该验证提示信息返回给移动终端的办公自动化应用客户端。移动终端获取用户根据验证提示信息输入的验证信息，并将输入的验证信息通过办公自动化应用服务端发送给业务移动版服务端，由业务移动版服务端将该验证信息发送给业务个人计算机版服务端，业务个人计算机版服务端将输入的验证信息与预先记录的验证信息进行比较，若相同，则验证通过，允许访问业务，若不同，则验证失败，禁止访问业务。

上述身份鉴权方法，通过业务移动版服务端获取移动终端通过办公自动化应用服务端发起的业务访问请求和办公自动化应用服务端的网络地址，对办公自动化应用服务端的网络地址进行鉴权通过后，业务移动版服务端将用户信息和业务移动版服务端的网络地址发送给业务个人计算机版服务端进行鉴权，业务个人计算机版服务端对用户信息中的用户标识和基于位置服务信息进行鉴权得到鉴权结果，实现了办公自动化应用服务端的网络地址、业务移动版服务端的网络地址、用户标识和基于位置服务信息等多维度的鉴权，提高了身份识别的安全性，也提高了身份鉴权的精准度，且使得通过校验的用户能通过移动终端登录业务系统及时处理业务，将LBS验证和普通的用户鉴权一起也不增加用户的体验。

在一个实施例中，上述身份鉴权方法还包括：通过所述业务移动版服务端接收到所述业务个人计算机版服务端对所述移动终端的基于位置服务信息的鉴权结果为所述移动终端的基于位置服务信息为首次提取的基于位置服务信息，则将所述移动终端的基于位置服务信息存储到基于位置服务信息特征库中。

本实施例中，首次提取的基于位置服务信息是指第一次提供基于位置服务信息。可将首次提取的基于位置服务信息保存，后续验证时，将该保存的基于位置服务信息作为参考。此外，还可定期更新基于位置服务信息特征库中的各用户标识对应的基于位置服务信息。例如，可将基于位置服务信息鉴权失败，然后通过验证信息验证通过的当前移动中的基于位置服务信息作为一个新的基于位置服务信息保存到基于位置服务信息特征库中。其中，验证信息可包括密码、验证码、信令卡、指纹、人脸、虹膜、移动终端标识和移动终端绑定的网络地址中的一种或多种。密码可为字符密码、图形密码、声纹密码等。验证码可为身份鉴权服务器给移动终端发送的短信验证码等。信令卡是指预先分配的唯一的身份卡。移动终端标识是指移动终端的设备号码或MAC(Media Access Control，硬件位址)地址等。通过存储LBS信息，方便下次进行鉴权验证，提高鉴权的准确性，定期更新LBS信息，可减少鉴权错误，提高鉴权的准确性。

在一个实施例中，上述身份鉴权方法还包括：通过所述业务移动版服务端接收上传的根据鉴权提示信息采集的验证信息，所述验证信息包括密码、验证码、信令卡、指纹、人脸、虹膜、移动终端标识和移动终端绑定的网络地址中的一种或多种，并将所述验证信息发送给所述业务个人计算机服务端进行验证。

本实施例中，在鉴权结果为鉴权通过或鉴权失败时，业务移动版服务端可将鉴权提示信息通过办公自动化应用服务端发送给移动终端的办公自动化应用客户端。通过验证信息和用户信息一起多种组合鉴权，进一步提高了鉴权的精准度。

在一个实施例中，上述身份鉴权方法还包括：若鉴权结果为鉴权通过，通过业务移动版服务端接收所述业务个人计算机版服务端根据所述用户标识的权限提供的对应的业务数据，并将所述业务数据返回给所述移动终端的办公自动化应用客户端。

本实施例中，业务个人计算机版服务端根据用户标识查询到对应的权限，再根据对应的权限查找对应的业务数据，将业务数据返回给移动终端的办公自动化应用客户端。

不同的用户角色对应的权限不同。例如用户标识为处理人角色，则对业务数据的权限为处理和转移。用户标识为关注人角色，则对业务数据的权限为查看。用户标识为审核人角色，则对业务数据的权限为审查。用户标识为发单人角色，则对业务数据的权限为分配任务。

图4为另一个实施例中身份鉴权方法的流程图。如图4所示，一种身份鉴权方法，运行于图1中的移动终端上，包括：

步骤402，登录办公自动化应用客户端，通过办公自动化应用客户端向办公自动化应用服务端发起携带有用户信息的业务访问请求，以使所述办公自动化应用服务端将所述业务访问请求和所述办公自动化应用服务端的网络地址发送给业务移动版服务端，所述用户信息包括用户标识和移动终端的基于位置服务信息。

步骤404，接收业务移动服务端通过所述办公自动化应用服务端返回的鉴权结果，所述鉴权结果为所述业务移动版服务端对所述办公自动化应用服务端的网络地址进行鉴权通过后，所述业务个人计算机版服务端对所述业务移动版的网络地址和用户信息的鉴权结果。

若所述鉴权结果为鉴权通过，则接收与所述用户标识对应的业务数据。

具体地，若鉴权结果为鉴权不通过，则接收鉴权失败的结果，或者接收业务移动版服务端通过办公自动化应用服务端返回的鉴权提示信息，获取根据所述鉴权提示信息采集的验证信息，并将该验证信息上传到办公自动化应用服务端，并由所述办公自动化应用服务端通过所述业务移动版服务端发送给所述业务个人计算机版服务端，由所述业务个人计算机版服务端对所述验证信息进行验证得到验证结果；接收所述业务移动版服务端通过办公自动化应用服务端返回的验证结果。

上述身份鉴权方法，通过移动终端的办公自动化应用客户端向办公自动化应用服务端发起的业务访问请求，由业务移动版服务端对办公自动化应用服务端的网络地址进行鉴权通过后，业务移动版服务端将用户信息和业务移动版服务端的网络地址发送给业务个人计算机版服务端进行鉴权，业务个人计算机版服务端对用户信息中的用户标识和基于位置服务信息进行鉴权得到鉴权结果，实现了办公自动化应用服务端的网络地址、业务移动版服务端的网络地址、用户标识和基于位置服务信息等多维度的鉴权，提高了身份识别的安全性，也提高了身份鉴权的精准度，且使得通过校验的用户能通过移动终端登录业务系统及时处理业务，将LBS验证和普通的用户鉴权一起也不增加用户的体验。

在一个实施例中，上述身份鉴权方法还包括：获取根据鉴权提示信息采集的验证信息，所述验证信息包括密码、验证码、信令卡、指纹、人脸、虹膜、移动终端标识和移动终端绑定的网络地址中的一种或多种；将所述采集的验证信息上传到办公自动化应用服务端，并由所述办公自动化应用服务端通过所述业务移动版服务端发送给所述业务个人计算机版服务端，由所述业务个人计算机版服务端对所述验证信息进行验证得到验证结果；接收所述业务移动版服务端通过办公自动化应用服务端返回的验证结果。

本实施例中，可在鉴权结果为鉴权通过或鉴权结果为鉴权失败后，业务个人计算机版服务端将鉴权提示信息通过业务移动版服务端和办公自动化应用服务端发送给移动终端的办公自动化应用客户端，并展示在移动终端上；移动终端获取根据鉴权提示信息采集的验证信息。

验证信息可包括密码、验证码、信令卡、指纹、人脸、虹膜、移动终端标识和移动终端绑定的网络地址中的一种或多种。密码可为字符密码、图形密码、声纹密码等。验证码可为身份鉴权服务器给移动终端发送的短信验证码等。信令卡是指预先分配的唯一的身份卡。移动终端标识是指移动终端的设备号码或MAC地址等。通过验证信息验证和用户信息的鉴权，进一步提高了验证的精确度。

为了进一步说明身份鉴权方法的工作原理，下面结合具体的应用场景进行描述，以身份鉴权方法应用于安全工单为例。如图5所示，该应用于安全工单的身份鉴权方法的具体过程如下：

(1)移动终端接收到即时通信消息或短信提醒或电子邮件提醒，获取用户根据即时通信消息或短信提醒或电子邮件提醒跳转到办公自动化应用客户端；

(2)办公自动化应用客户端向办公自动化服务端发起安全工单访问请求，该安全工单访问请求中包括用户标识和移动终端的LBS信息，办公自动化服务端将安全工单访问请求和办公自动化服务端的IP(Internet Protocol，网络)地址发送给身份鉴权服务器上的安全工单移动版服务端；

(3)安全工单移动版服务端对办公自动化服务端的网络地址进行鉴权，若办公自动化应用服务端的网络地址属于安全工单移动版服务端的预设的办公自动化应用服务端的网络地址，则办公自动化服务端的网络地址鉴权通过，然后将用户信息和安全工单移动版服务端的网络地址发送给安全工单PC(个人计算机)版服务端；

(4)安全工单PC版服务端对用户标识和LBS信息进行鉴权，得到鉴权结果，并将鉴权结果返回给安全工单移动版服务端；

(5)安全工单移动版服务端将鉴权结果返回给办公自动化应用服务端，有办公自动化应用服务端将鉴权结果发送给办公自动化应用客户端。

例如，用户A接收到安全工单的即时通信消息，此时用户A正在开会，不方便在登录内网环境中的计算机进行安全工单处理，用户A可通过移动终端登录办公自动化应用客户端，办公自动化应用客户端采集用户标识，并同时采集移动终端的LBS信息(如深圳B大厦)，将用户标识和LBS信息一起发送给办公自动化应用服务端，安全工单移动版服务端对办公自动化应用服务端的网络地址进行鉴权，安全工单PC版服务端对用户标识和LBS信息进行鉴权，同时还提供鉴权提示信息采集验证信息，对验证信息进行鉴权，实现了多种组合鉴权，提高了身份识别的安全性和精准度。

图6为一个实施例中身份鉴权装置的结构框图。如图6所示，一种身份鉴权装置600，包括请求获取模块602、鉴权模块604和鉴权结果返回模块606。其中：

请求获取模块602用于通过业务移动版服务端获取移动终端通过办公自动化应用服务端发起的业务访问请求和办公自动化应用服务端的网络地址，所述访问请求中包括用户信息，所述用户信息包括用户标识和移动终端的基于位置服务信息；

本实施例中，请求获取模块602还用于通过业务移动版服务端获取移动终端根据即时通信消息或短信提醒登录办公自动化应用客户端，访问所述办公自动化应用服务端，并通过所述办公自动化应用服务端发起的业务访问请求。

鉴权模块604用于通过所述业务移动版服务端对所述办公自动化应用服务端的网络地址进行鉴权，若鉴权通过，则将所述业务移动版服务端的网络地址和用户信息发送给业务个人计算机版服务端；

鉴权结果返回模块606用于通过所述业务移动版服务端接收所述业务个人计算机版服务端对所述业务移动版的网络地址和用户信息的鉴权结果，将所述鉴权结果通过所述办公自动化应用服务端返回给所述移动终端。

上述身份鉴权装置，通过业务移动版服务端获取移动终端通过办公自动化应用服务端发起的业务访问请求和办公自动化应用服务端的网络地址，对办公自动化应用服务端的网络地址进行鉴权通过后，业务移动版服务端将用户信息和业务移动版服务端的网络地址发送给业务个人计算机版服务端进行鉴权，业务个人计算机版服务端对用户信息中的用户标识和基于位置服务信息进行鉴权得到鉴权结果，实现了办公自动化应用服务端的网络地址、业务移动版服务端的网络地址、用户标识和基于位置服务信息等多维度的鉴权，提高了身份识别的安全性，也提高了身份鉴权的精准度，且使得通过校验的用户能通过移动终端登录业务系统及时处理业务。

图7为另一个实施例中身份鉴权装置的结构框图。如图7所示，一种身份鉴权装置700，包括请求获取模块702、鉴权模块704、鉴权结果返回模块706、存储模块708、验证信息接收模块710和业务数据返回模块712。其中：请求获取模块702、鉴权模块704、鉴权结果返回模块706与图6中的对应模块功能相同。

存储模块708用于通过所述业务移动版服务端接收到所述业务个人计算机版服务端对所述移动终端的基于位置服务信息的鉴权结果为所述移动终端的基于位置服务信息为首次提取的基于位置服务信息，则将所述移动终端的基于位置服务信息存储到基于位置服务信息特征库中。

验证信息接收模块710用于通过所述业务移动版服务端接收上传的根据鉴权提示信息采集的验证信息，所述验证信息包括密码、验证码、信令卡、指纹、人脸、虹膜、移动终端标识和移动终端绑定的网络地址中的一种或多种，并将所述验证信息发送给所述业务个人计算机服务端进行验证。

业务数据返回模块712用于若鉴权结果为鉴权通过，通过业务移动版服务端接收所述业务个人计算机版服务端根据所述用户标识的权限提供的对应的业务数据，并将所述业务数据返回给所述移动终端。

在其他实施例中，一种身份鉴权装置，包括请求获取模块、鉴权模块、鉴权结果返回模块、存储模块、验证信息接收模块和业务数据返回模块中任意可能的组合。

图8为一个实施例中身份鉴权装置的结构框图。如图8所示，一种身份鉴权装置800，包括请求发起模块802和鉴权结果接收模块804。其中：

请求发起模块802用于登录办公自动化应用客户端，通过办公自动化应用客户端向办公自动化应用服务端发起携带有用户信息的业务访问请求，以使所述办公自动化应用服务端将所述业务访问请求和办公自动化应用服务端的网络地址发送给业务移动版服务端，所述用户信息包括用户标识和移动终端的基于位置服务信息；

鉴权结果接收模块804用于接收业务移动服务端通过所述办公自动化应用服务端返回的鉴权结果，所述鉴权结果为所述业务移动版服务端对所述办公自动化应用服务端的网络地址进行鉴权通过后，所述业务个人计算机版服务端对所述业务移动版的网络地址和用户信息的鉴权结果。

上述身份鉴权装置，通过移动终端的办公自动化应用客户端向办公自动化应用服务端发起的业务访问请求，由业务移动版服务端对办公自动化应用服务端的网络地址进行鉴权通过后，业务移动版服务端将用户信息和业务移动版服务端的网络地址发送给业务个人计算机版服务端进行鉴权，业务个人计算机版服务端对用户信息中的用户标识和基于位置服务信息进行鉴权得到鉴权结果，实现了办公自动化应用服务端的网络地址、业务移动版服务端的网络地址、用户标识和基于位置服务信息等多维度的鉴权，提高了身份识别的安全性，也提高了身份鉴权的精准度，且使得通过校验的用户能通过移动终端登录业务系统及时处理业务，将LBS验证和普通的用户鉴权一起也不增加用户的体验。

图9为另一个实施例中身份鉴权装置的结构框图。如图9所示，一种身份鉴权装置900，包括请求发起模块902、鉴权结果接收模块904、业务数据接收模块906、验证信息采集模块908、上传模块910和验证结果接收模块912。其中，请求发起模块902、鉴权结果接收模块904与图8中对应的模块功能相同。

业务数据接收模块906用于若所述鉴权结果为鉴权通过，则接收与所述用户标识对应的业务数据。

验证信息采集模块908用于获取根据鉴权提示信息采集的验证信息，所述验证信息包括密码、验证码、信令卡、指纹、人脸、虹膜、移动终端标识和移动终端绑定的网络地址中的一种或多种；

上传模块910用于将所述采集的验证信息上传到办公自动化应用服务端，并由所述办公自动化应用服务端通过所述业务移动版服务端发送给所述业务个人计算机版服务端，由所述业务个人计算机版服务端对所述验证信息进行验证得到验证结果；

验证结果接收模块912用于接收所述业务移动版服务端通过办公自动化应用服务端返回的验证结果。

通过验证信息验证和用户信息的鉴权，进一步提高了验证的精确度。

图10为一个实施例中身份鉴权系统的结构框图。如图10所示，一种身份鉴权系统，包括移动终端1002、网页服务器1004、身份鉴权服务器1006、基于位置服务特征库1008和身份鉴权信息库1010。其中：

移动终端1002用于登录办公自动化应用客户端，向网页服务器1004上的办公自动化应用服务端发起业务访问请求，所述业务访问请求中包括用户信息，所述用户信息包括用户标识和移动终端的基于位置服务信息。

本实施例中，用户标识是用于唯一表示用户身份的字符串。用户标识可为用户的即时通信账号、移动通信号码、电子邮箱或办公自动化应用账号等。

移动终端接收到即时通信消息或短信提醒或电子邮件提醒后，根据即时通信消息或短信提醒或电子邮件提醒登录办公自动化应用客户端，访问所述办公自动化应用服务端，并通过所述办公自动化应用服务端发起的业务访问请求。

网页服务器1004用于将所述业务访问请求和办公自动化服务端的网络地址发送给身份鉴权服务器1006。

身份鉴权服务器1006用于通过业务移动版服务端对所述办公自动化服务端的网络地址进行鉴权，鉴权通过后，通过所述业务移动版服务端将所述用户信息和所述业务移动版服务端的网络地址发送给业务个人计算机版服务端，通过所述个人计算机版服务端对所述业务移动版服务端的网络地址进行鉴权，以及调用基于位置服务特征库1008中基于位置服务数据和身份鉴权信息库1010中鉴权数据对所述用户信息进行鉴权，得到鉴权结果，并将所述鉴权结果通过所述网页服务器返回给所述移动终端。

本实施例中，身份鉴权服务器上配置有业务移动版服务端和业务个人计算机版服务端。业务移动版服务端是指针对业务移动版提供服务。业务个人计算机版服务端是针对业务个人计算机版提供服务的，服务于内网计算机或通过VPN远程登录的计算机，其安全性高。为了保证安全，业务个人计算机版服务端提供API接口给业务移动版服务端接入。业务个人计算机服务端通过API接口对业务移动版服务端的网络地址进行过滤，过滤掉非法业务移动版服务端的网络地址。通过业务服务业务移动版服务端用于对办公自动化应用服务端的网络地址进行鉴权，将发送业务访问请的办公自动化应用服务端的网络地址与预设的办公自动化应用服务端的网络地址进行比对，若相同，则鉴权通过，将业务移动版服务端的网络地址和用户信息发送给业务个人计算机版服务端，若不同，则鉴权失败，禁止业务访问请求，并记录日志，发出告警信号。

业务个人计算机版服务端将业务移动版服务端的网络地址与预设的业务移动版服务端的网络地址进行比较，若相同，则业务移动版服务端鉴权通过，若不同，则业务移动版服务端鉴权失败，禁止该业务访问请求，并记录日志，发出告警信号。

若鉴权结果为鉴权通过，则允许移动终端访问业务，若鉴权结果为鉴权失败，则禁止访问业务，或生成基于位置服务信息鉴权失败且需要提供进一步验证的验证提示信息，将该验证提示信息返回给移动终端的办公自动化应用客户端。

业务个人计算机版服务端将业务访问请求中的用户信息与预先记录的用户信息进行比较，即业务个人计算机版服务端将业务访问请求中的用户标识与预先记录的用户标识进行比较，若相同，则用户标识鉴权通过，若不同，则鉴权失败，禁止业务访问请求，并记录日志，发出告警信号；业务个人计算机版服务端根据该用户标识从用户标识与基于位置服务信息的对应关系中查找到对应预先记录的基于位置服务信息，将业务访问请求中的基于位置服务信息与预先记录的基于位置服务信息进行比较，若相同，则鉴权通过，若不同，则鉴权失败，可禁止业务访问请求，也可生成基于位置服务信息鉴权失败且需要提供进一步验证的验证提示信息，将该验证提示信息返回给移动终端的办公自动化应用客户端。移动终端获取用户根据验证提示信息输入的验证信息，并将输入的验证信息通过办公自动化应用服务端发送给业务移动版服务端，由业务移动版服务端将该验证信息发送给业务个人计算机版服务端，业务个人计算机版服务端将输入的验证信息与预先记录的验证信息进行比较，若相同，则验证通过，允许访问业务，若不同，则验证失败，禁止访问业务。

基于位置服务特征库1008中存储有各个用户标识对应的基于位置服务数据。

身份鉴权信息库1010中存储有各个用户标识对应的鉴权数据，鉴权数据可包括用户标识、预设的密码、验证码、信令卡、指纹、人脸、虹膜、移动终端标识和移动终端绑定的网络地址中的一种或多种等。

上述身份鉴权系统，通过业务移动版服务端获取移动终端通过办公自动化应用服务端发起的业务访问请求和办公自动化应用服务端的网络地址，对办公自动化应用服务端的网络地址进行鉴权通过后，业务移动版服务端将用户信息和业务移动版服务端的网络地址发送给业务个人计算机版服务端进行鉴权，业务个人计算机版服务端对用户信息中的用户标识和基于位置服务信息进行鉴权得到鉴权结果，实现了办公自动化应用服务端的网络地址、业务移动版服务端的网络地址、用户标识和基于位置服务信息等多维度的鉴权，提高了身份识别的安全性，也提高了身份鉴权的精准度，且使得通过校验的用户能通过移动终端登录业务系统及时处理业务。

在一个实施例中，身份鉴权服务器1006通过所述业务移动版服务端接收到所述业务个人计算机版服务端对所述移动终端的基于位置服务信息的鉴权结果为所述移动终端的基于位置服务信息为首次提取的基于位置服务信息，则将所述移动终端的基于位置服务信息存储到基于位置服务信息特征库中。

本实施例中，首次提取的基于位置服务信息是指第一次提供基于位置服务信息。可将首次提取的基于位置服务信息保存，后续验证时，将该保存的基于位置服务信息作为参考。此外，还可定期更新基于位置服务信息特征库中的各用户标识对应的基于位置服务信息。例如，可将基于位置服务信息鉴权失败，然后通过验证信息验证通过的当前移动中的基于位置服务信息作为一个新的基于位置服务信息保存到基于位置服务信息特征库中。其中，验证信息可包括密码、验证码、信令卡、指纹、人脸、虹膜、移动终端标识和移动终端绑定的网络地址中的一种或多种。密码可为字符密码、图形密码、声纹密码等。验证码可为身份鉴权服务器给移动终端发送的短信验证码等。信令卡是指预先分配的唯一的身份卡。移动终端标识是指移动终端的设备号码或MAC(Media Access Control，硬件位址)地址等。通过存储LBS信息，方便下次进行鉴权验证，提高鉴权的准确性，定期更新LBS信息，可减少鉴权错误，提高鉴权的准确性。

在一个实施例中，移动终端1002接收到身份鉴权服务器1006通过网页服务器1004返回的鉴权提示信息采集的验证信息，并通过网页服务器1004上传到身份鉴权服务器1006，身份鉴权服务器1006通过所述业务移动版服务端接收上传的根据鉴权提示信息采集的验证信息，所述验证信息包括密码、验证码、信令卡、指纹、人脸、虹膜、移动终端标识和移动终端绑定的网络地址中的一种或多种，并将所述验证信息发送给所述业务个人计算机服务端进行验证，个人计算机服务端将采集的验证信息与存储在身份鉴权信息库1010中的鉴权信息进行比较，若相同，则验证通过，若不同，则验证失败。

本实施例中，在鉴权结果为鉴权通过或鉴权失败时，业务移动版服务端可将鉴权提示信息通过办公自动化应用服务端发送给移动终端的办公自动化应用客户端。通过验证信息和用户信息一起多种组合鉴权，进一步提高了鉴权的精准度。

若鉴权结果为鉴权通过，身份鉴权服务器1006通过业务移动版服务端接收所述业务个人计算机版服务端根据所述用户标识的权限提供的对应的业务数据，并将所述业务数据返回给所述移动终端1002的办公自动化应用客户端。

本实施例中，业务个人计算机版服务端根据用户标识查询到对应的权限，再根据对应的权限查找对应的业务数据，将业务数据返回给移动终端的办公自动化应用客户端。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一非易失性计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)等。

以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。

Claims (15)

1.一种身份鉴权方法，包括：

通过业务移动版服务端获取移动终端通过办公自动化应用服务端发起的业务访问请求和办公自动化应用服务端的网络地址，所述业务访问请求中包括用户信息，所述用户信息包括用户标识和移动终端的基于位置服务信息；

通过所述业务移动版服务端对所述办公自动化应用服务端的网络地址进行鉴权，若鉴权通过，则将所述业务移动版服务端的网络地址和用户信息发送给业务个人计算机版服务端；

通过所述业务移动版服务端接收所述业务个人计算机版服务端对所述业务移动版的网络地址和用户信息的鉴权结果，并将所述鉴权结果通过所述办公自动化应用服务端返回给所述移动终端的办公自动化应用客户端。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

通过所述业务移动版服务端接收到所述业务个人计算机版服务端对所述移动终端的基于位置服务信息的鉴权结果为所述移动终端的基于位置服务信息为首次提取的基于位置服务信息，则将所述移动终端的基于位置服务信息存储到基于位置服务信息特征库中。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

通过所述业务移动版服务端接收上传的根据鉴权提示信息采集的验证信息，所述验证信息包括密码、验证码、信令卡、指纹、人脸、虹膜、移动终端标识和移动终端绑定的网络地址中的一种或多种，并将所述验证信息发送给所述业务个人计算机服务端进行验证。

4.根据权利要求1所述的方法，其特征在于，所述通过业务移动版服务端获取移动终端通过办公自动化应用服务端发起的业务访问请求，包括：

通过业务移动版服务端获取移动终端根据即时通信消息或短信提醒或电子邮件提醒登录办公自动化应用客户端，访问所述办公自动化应用服务端，并通过所述办公自动化应用服务端发起的业务访问请求。

5.根据权利要求1所述的方法，其特征在于，所述方法还包括：

若鉴权结果为鉴权通过，通过业务移动版服务端接收所述业务个人计算机版服务端根据所述用户标识的权限提供的对应的业务数据，并将所述业务数据返回给所述移动终端的办公自动化应用客户端。

6.一种身份鉴权方法，包括：

登录办公自动化应用客户端，通过办公自动化应用客户端向办公自动化应用服务端发起携带有用户信息的业务访问请求，以使所述办公自动化应用服务端将所述业务访问请求和所述办公自动化应用服务端的网络地址发送给业务移动版服务端，所述用户信息包括用户标识和移动终端的基于位置服务信息；

接收业务移动服务端通过所述办公自动化应用服务端返回的鉴权结果，所述鉴权结果为所述业务移动版服务端对所述办公自动化应用服务端的网络地址进行鉴权通过后，所述业务个人计算机版服务端对所述业务移动版的网络地址和用户信息的鉴权结果。

7.根据权利要求6所述的方法，其特征在于，所述方法还包括：

获取根据鉴权提示信息采集的验证信息，所述验证信息包括密码、验证码、信令卡、指纹、人脸、虹膜、移动终端标识和移动终端绑定的网络地址中的一种或多种；

将所述采集的验证信息上传到办公自动化应用服务端，并由所述办公自动化应用服务端通过所述业务移动版服务端发送给所述业务个人计算机版服务端，由所述业务个人计算机版服务端对所述验证信息进行验证得到验证结果；

接收所述业务移动版服务端通过办公自动化应用服务端返回的验证结果。

8.一种身份鉴权装置，其特征在于，包括：

请求获取模块，用于通过业务移动版服务端获取移动终端通过办公自动化应用服务端发起的业务访问请求和办公自动化应用服务端的网络地址，所述访问请求中包括用户信息，所述用户信息包括用户标识和移动终端的基于位置服务信息；

鉴权模块，用于通过所述业务移动版服务端对所述办公自动化应用服务端的网络地址进行鉴权，若鉴权通过，则将所述业务移动版服务端的网络地址和用户信息发送给业务个人计算机版服务端；

鉴权结果返回模块，用于通过所述业务移动版服务端接收所述业务个人计算机版服务端对所述业务移动版的网络地址和用户信息的鉴权结果，将所述鉴权结果通过所述办公自动化应用服务端返回给所述移动终端。

9.根据权利要求8所述的装置，其特征在于，所述装置还包括：

存储模块，用于通过所述业务移动版服务端接收到所述业务个人计算机版服务端对所述移动终端的基于位置服务信息的鉴权结果为所述移动终端的基于位置服务信息为首次提取的基于位置服务信息，则将所述移动终端的基于位置服务信息存储到基于位置服务信息特征库中。

10.根据权利要求8所述的装置，其特征在于，所述装置还包括：

验证信息接收模块，用于通过所述业务移动版服务端接收上传的根据鉴权提示信息采集的验证信息，所述验证信息包括密码、验证码、信令卡、指纹、人脸、虹膜、移动终端标识和移动终端绑定的网络地址中的一种或多种，并将所述验证信息发送给所述业务个人计算机服务端进行验证。

11.根据权利要求8所述的装置，其特征在于，所述请求获取模块还用于通过业务移动版服务端获取移动终端根据即时通信消息或短信提醒登录办公自动化应用客户端，访问所述办公自动化应用服务端，并通过所述办公自动化应用服务端发起的业务访问请求。

12.根据权利要求8所述的装置，其特征在于，所述装置还包括：

业务数据返回模块，用于若鉴权结果为鉴权通过，通过业务移动版服务端接收所述业务个人计算机版服务端根据所述用户标识的权限提供的对应的业务数据，并将所述业务数据返回给所述移动终端。

13.一种身份鉴权装置，其特征在于，包括：

请求发起模块，用于登录办公自动化应用客户端，通过办公自动化应用客户端向办公自动化应用服务端发起携带有用户信息的业务访问请求，以使所述办公自动化应用服务端将所述业务访问请求和办公自动化应用服务端的网络地址发送给业务移动版服务端，所述用户信息包括用户标识和移动终端的基于位置服务信息；

鉴权结果接收模块，用于接收业务移动服务端通过所述办公自动化应用服务端返回的鉴权结果，所述鉴权结果为所述业务移动版服务端对所述办公自动化应用服务端的网络地址进行鉴权通过后，所述业务个人计算机版服务端对所述业务移动版的网络地址和用户信息的鉴权结果。

14.根据权利要求13所述的装置，其特征在于，所述装置还包括：

验证信息采集模块，用于获取根据鉴权提示信息采集的验证信息，所述验证信息包括密码、验证码、信令卡、指纹、人脸、虹膜、移动终端标识和移动终端绑定的网络地址中的一种或多种；

上传模块，用于将所述采集的验证信息上传到办公自动化应用服务端，并由所述办公自动化应用服务端通过所述业务移动版服务端发送给所述业务个人计算机版服务端，由所述业务个人计算机版服务端对所述验证信息进行验证得到验证结果；

验证结果接收模块，用于接收所述业务移动版服务端通过办公自动化应用服务端返回的验证结果。

15.一种身份鉴权系统，其特征在于，包括：

移动终端，用于登录办公自动化应用客户端，向网页服务器上的办公自动化应用服务端发起业务访问请求，所述业务访问请求中包括用户信息，所述用户信息包括用户标识和移动终端的基于位置服务信息；

所述网页服务器，用于将所述业务访问请求和办公自动化服务端的网络地址发送给身份鉴权服务器；

所述身份鉴权服务器，用于通过业务移动版服务端对所述办公自动化服务端的网络地址进行鉴权，鉴权通过后，通过所述业务移动版服务端将所述用户信息和所述业务移动版服务端的网络地址发送给业务个人计算机版服务端，通过所述个人计算机版服务端对所述业务移动版服务端的网络地址进行鉴权，以及调用基于位置服务特征库中基于位置服务数据和身份鉴权信息库中鉴权数据对所述用户信息进行鉴权，得到鉴权结果，并将所述鉴权结果通过所述网页服务器返回给所述移动终端。