CN108924154B - 身份认证方法及装置 - Google Patents

Abstract

本发明涉及互联网技术领域，具体涉及一种身份认证方法及装置，该方法包括：接收客户终端发起的访问请求，分析访问请求中携带的授权令牌，并对该授权令牌进行验证，若验证通过，则将访问请求转发至后端系统应用，进而该后端系统应用将会针对该访问请求进行处理，并将处理结果反馈至认证服务器，进一步地，该认证服务器将处理结果发送至客户终端进行显示。可见，本方案通过认证服务器统一接收客户终端发送的所有访问请求，并对该访问请求进行验证以转发至对应的后端系统应用，以使得后端系统应用可不再对客户终端的访问请求再次验证，而是直接针对该访问请求进行处理，以避免了客户终端发起访问需要反复跳转的问题，极大地减少了系统的复杂度。

Description

身份认证方法及装置

技术领域

本发明涉及互联网技术领域，具体而言，涉及一种身份认证方法及装置。

背景技术

目前客户终端访问后端系统应用，需要先通过认证服务器完成认证授权，获得认证服务器下发的Cookie/Token，进而该客户终端再根据获取的Cookie/Token去到对应的后端系统应用再一次验证，若验证无误，才可访问该后端系统应用，此外各个后端系统应用需事先与认证服务器达成统一的认证协议，该后端系统应用才可对客户终端获取的Cookie/Token进行验证。

采用此种方案，每一个后端系统应用都需要具备完整的身份认证模块，并需要不断的与认证服务器进行通讯完成用户信息信息的同步。一旦同步失败，则很容易出现登录信息不同步的情况。此外该种方式还具有以下缺点：

缺点一：后端系统应用需要身份认证的系统中，需要按照认证服务器的认证协议，各自实现认证模块，并需要对加解密的协议、密钥通讯、算法规则进行同步，一旦认证服务器有改动，后端系统应用全部都需要更新一遍，非常不灵活。

缺点二：后端应用系统需要不断的与认证服务器进行同步，如果通讯间隔过长，那么在认证服务器变更用户信息或者停用用户身份之后，在间隔期间用户身份依然在后端系统应用中有效，存在巨大的安全隐患。如果同步时间过短，则认证中心，后端系统应用的消耗过大，严重影响整个系统的性能。

缺点三：用户终端需要在认证服务器与各个后端系统应用之间反复做跳转以验证Cookie/Token,尤其是在一些认证严格的场景中(oauth,openid)可能反复跳转3次以上，这样的机制严重影响了用户体验。

发明内容

本发明的目的在于提供一种身份认证方法及装置，以解决上述问题。

为了实现上述目的，本发明实施例采用的技术方案如下：

第一方面，本发明实施例提供了一种身份认证方法，应用于认证服务器，所述认证服务器与客户终端连接，且所述认证服务器与后端系统应用通信，所述方法包括：接收所述客户终端发起的访问请求；分析所述访问请求中携带的授权令牌，若所述授权令牌验证通过，则将所述访问请求转发至对应的后端系统应用；接收所述后端系统应用针对所述访问请求的处理结果，并将所述处理结果发送至所述客户终端进行显示。

第二方面，本发明实施例还提供了一种身份认证装置，应用于认证服务器，所述认证服务器与客户终端连接，且所述认证服务器与后端系统应用通信，所述装置包括：接收模块，用于接收所述客户终端发起的访问请求；分析模块，用于分析所述访问请求中携带的授权令牌，若所述授权令牌验证通过，则将所述访问请求转发至对应的后端系统应用；发送模块，用于接收所述后端系统应用针对所述访问请求的处理结果，并将所述处理结果发送至所述客户终端进行显示。

本发明实施例提供的一种身份认证方法及装置，该身份认证方法及装置应用于认证服务器，该认证服务器与客户终端连接，且该认证服务器与后端系统应用通信。该方法包括：接收客户终端发起的访问请求，分析访问请求中携带的授权令牌，并对该授权令牌进行验证，若验证通过，则将访问请求转发至后端系统应用，进而该后端系统应用将会针对该访问请求进行处理，并将处理结果反馈至认证服务器，进一步地，该认证服务器将处理结果发送至客户终端进行显示。

由此可见，本方案通过认证服务器统一接收客户终端发送的所有访问请求，并对该访问请求进行验证以转发至对应的后端系统应用，以使得后端系统应用可不再对客户终端的访问请求再次验证，而是直接针对该访问请求进行处理，并将处理结果通过认证服务器发送至客户终端，以避免了客户终端发起访问需要反复跳转的问题，极大地减少了系统的复杂度。

为使本发明的上述目的、特征和优点能更明显易懂，下文特举较佳实施例，并配合所附附图，作详细说明如下。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本发明的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1示出了本发明实施例提供的一种身份认证方法的应用环境示意图。

图2示出了本发明实施例提供的一种身份认证方法的流程示意图。

图3示出了本发明实施例提供的一种身份认证装置的功能模块示意图。

图示：100-客户终端；200-认证服务器；300-后端系统应用；210-身份认证装置；211-接收模块；212-分析模块；213-发送模块。

具体实施方式

下面将结合本发明实施例中附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本发明实施例的组件可以以各种不同的配置来布置和设计。因此，以下对在附图中提供的本发明的实施例的详细描述并非旨在限制要求保护的本发明的范围，而是仅仅表示本发明的选定实施例。基于本发明的实施例，本领域技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。同时，在本发明的描述中，术语“第一”、“第二”等仅用于区分描述，而不能理解为指示或暗示相对重要性。

请参照图1，是本发明实施例提供的一种身份认证方法的应用环境示意图，该身份认证方法应用于认证服务器200，该认证服务器200与客户终端100连接，该认证服务器200还与后端系统应用300通信。容易理解的，该客户终端100可以是，但不限于，手机或平板电脑等可连接网络的智能电子设备，该后端系统应用300为需要使用网络的应用程序，如QQ或微信等。

在本方案中，该客户终端100直接向认证服务器200发起访问请求，该认证服务器200对该访问请求进行验证，待验证通过后，该认证服务器200即将该访问请求发送至对应的后端系统应用300中进行执行，并将后端系统应用300的执行结果反馈至客户终端100显示于用户。本方案中直接通过认证服务器200对所有访问请求进行验证，使得后端系统应用300中可不再安装身份认证模块，减少了业务跳转流程，减少了系统的复杂程度，同时保证了访问的安全性。

请参照图2，是本发明实施例提供的一种身份认证方法的流程示意图，该方法应用于认证服务器200，该方法包括：

步骤S110，接收所述客户终端发起的访问请求。

具体为，在开始运行前，各个后端系统应用300将向认证服务器200发送注册申请，提供自身的IP地址和端口号，进而该认证服务器200将记录下各个后端系统应用300的IP地址和端口号。需要说明的是，若该多个后端系统应用300共用一个域名，则其中一个后端系统应用300注册后，同属于一个域名下的其他后端系统应用300可不用再注册；若该多个后端系统应用300各自使用不同的域名，则需独立注册。

此外，该认证服务器200与多个后端系统应用300通过协议进行约束，使得后端系统应用300可直接接收并响应认证服务器200发送的访问请求。容易理解的，由于该认证服务器200需要对所有客户终端100发起的访问请求进行验证，并转发至后端系统应用300中，故认证服务器200的负载较大，则可根据实际需要设置多台认证服务器200以分担负载。

当客户终端100第一次向认证服务器200发起请求时，该请求中将包含登录一个后端系统应用300的账号名和登录密码，该认证服务器200对该账号名和登录密码进行验证通过后，将下发授权令牌(Cookie/Token)至客户终端100中，该授权令牌为一串密文且具有一定的生命周期。之后在该生命周期内该客户终端100可根据该授权令牌访问后端系统应用300，可不必再次输入账号名和登录密码进行访问，该授权令牌验证方式相对于账号名和登录密码的验证方式更加安全。

即将客户终端100再次发起的请求定义为访问请求，该客户终端100通过该访问请求意图访问后端系统应用300。

步骤S120，分析所述访问请求中携带的授权令牌，若所述授权令牌验证通过，则将所述访问请求转发至对应的后端系统应用。

具体为，该认证服务器200接收到客户终端100发起的访问请求后，将分析该访问请求中携带的授权令牌，并将该授权令牌与预存储的该客户终端100对应的授权令牌进行比较，若比较一致，则该授权令牌验证通过，进而认证服务器200将该访问请求转发至需要访问的后端系统应用300。如该客户终端100需要访问QQ空间，则该认证服务器200对访问请求验证通过后，会将该访问请求发送至QQ空间这一后端系统应用300中。

步骤S130，接收所述后端系统应用针对所述访问请求的处理结果，并将所述处理结果发送至所述客户终端进行显示。

具体为，该后端系统应用300通过防火墙与公网进行隔离，只接收来自认证服务器200转发的访问请求，以较好地保证数据访问的安全性。该后端系统应用300针对访问请求进行处理得到处理结果，如针对访问QQ空间的访问请求进行处理得到QQ空间的展示内容。进而，将处理结果发送至认证服务器200，该认证服务器200进一步将该处理结果发送至客户终端100以显示于用户。

由此可见，本发明实施例提供的一种身份认证方法，该后端系统应用300完全与客户终端100进行隔离，只接受来自认证服务器200的访问，安全性大大提高，且该后端系统应用300也不需要用户认证模块以及用户身份信息同步模块，只需简单地接收并处理来自认证服务器200的访问请求即可。

此外，该客户终端100整个访问过程只需要发起一次访问请求，不需要经过两次或三次跳转重新发起访问请求，其业务流程更加简单，且用户信息被篡改或拦截的概率大大降低；且使用的带宽更少，系统的负载更低，使得响应速度更快。

请参照图3，是本发明实施例提供的一种身份认证装置210的功能模块示意图，该装置包括接收模块211、分析模块212以及发送模块213。

接收模块211，用于接收所述客户终端发起的访问请求。

在本发明实施例中，步骤S110可以由接收模块211执行。

分析模块212，用于分析所述访问请求中携带的授权令牌，若所述授权令牌验证通过，则将所述访问请求转发至对应的后端系统应用。

在本发明实施例中，步骤S120可以由分析模块212执行。

发送模块213，用于接收所述后端系统应用针对所述访问请求的处理结果，并将所述处理结果发送至所述客户终端进行显示。

在本发明实施例中，步骤S130可以由发送模块213执行。

由于在身份认证方法部分已经详细描述，在此不再赘述。

综上所述，本发明实施例提供的一种身份认证方法及装置，该身份认证方法及装置应用于认证服务器，该认证服务器与客户终端连接，且该认证服务器与后端系统应用通信。该方法包括：接收客户终端发起的访问请求，分析访问请求中携带的授权令牌，并对该授权令牌进行验证，若验证通过，则将访问请求转发至后端系统应用，进而该后端系统应用将会针对该访问请求进行处理，并将处理结果反馈至认证服务器，进一步地，该认证服务器将处理结果发送至客户终端进行显示。

由此可见，本方案通过认证服务器统一接收客户终端发送的所有访问请求，并对该访问请求进行验证以转发至对应的后端系统应用，以使得后端系统应用可不再对客户终端的访问请求再次验证，而是直接针对该访问请求进行处理，并将处理结果通过认证服务器发送至客户终端，以避免了客户终端发起访问需要反复跳转的问题，极大地减少了系统的复杂度。

在本申请所提供的几个实施例中，应该理解到，所揭露的装置和方法，也可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，附图中的流程图和框图显示了根据本发明的多个实施例的装置、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现方式中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

另外，在本发明各个实施例中的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。

所述功能如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。

Claims (8)

1.一种身份认证方法，应用于认证服务器，所述认证服务器与客户终端连接，且所述认证服务器与后端系统应用通信，其特征在于，所述方法包括：

接收所述客户终端发起的访问请求；

分析所述访问请求中携带的授权令牌，若所述授权令牌验证通过，则将所述访问请求转发至对应的后端系统应用，以使得后端系统应用不再对客户终端的访问请求再次验证，直接针对所述访问请求进行处理；

接收所述后端系统应用针对所述访问请求的处理结果，并将所述处理结果发送至所述客户终端进行显示；

所述方法还包括：

接收所述客户终端发起的初次请求，所述初次请求中包含账号名和登录密码；

对所述初次请求进行验证，若验证通过，则下发授权令牌至所述客户终端。

2.如权利要求1所述的方法，其特征在于，所述授权令牌的验证方式为：

将接收的所述授权令牌与预存储的所述客户终端的授权令牌进行比较，若一致，则所述授权令牌验证通过。

3.如权利要求1所述的方法，其特征在于，所述方法还包括：

接收多个所述后端系统应用的注册申请；

响应所述注册申请记录每个后端系统应用的IP地址和端口号。

4.如权利要求1所述的方法，其特征在于，所述认证服务器可以为多台以分担负载，所述后端系统应用通过防火墙与公网进行隔离。

5.一种身份认证装置，应用于认证服务器，所述认证服务器与客户终端连接，且所述认证服务器与后端系统应用通信，其特征在于，所述装置包括：

接收模块，用于接收所述客户终端发起的访问请求；

分析模块，用于分析所述访问请求中携带的授权令牌，若所述授权令牌验证通过，则将所述访问请求转发至对应的后端系统应用，以使得后端系统应用不再对客户终端的访问请求再次验证，直接针对所述访问请求进行处理；

发送模块，用于接收所述后端系统应用针对所述访问请求的处理结果，并将所述处理结果发送至所述客户终端进行显示；

所述接收模块还用于：

接收所述客户终端发起的初次请求，所述初次请求中包含账号名和登录密码；

对所述初次请求进行验证，若验证通过，则下发授权令牌至所述客户终端。

6.如权利要求5所述的装置，其特征在于，所述授权令牌的验证方式为：

将接收的所述授权令牌与预存储的所述客户终端的授权令牌进行比较，若一致，则所述授权令牌验证通过。

7.如权利要求5所述的装置，其特征在于，所述接收模块还用于：

接收多个所述后端系统应用的注册申请；

响应所述注册申请记录每个后端系统应用的IP地址和端口号。

8.如权利要求5所述的装置，其特征在于，所述认证服务器可以为多台以分担负载，所述后端系统应用通过防火墙与公网进行隔离。

Images