CN109039880A - 一种利用api网关实现简单认证授权的方法 - Google Patents

Abstract

本发明公开了一种利用API网关实现简单认证授权的方法，包括步骤：1.终端用户访问API网关，2.API网关判断用户是否为已注册用户，若否转向步骤3；若是转向步骤8，3.转向注册服务器页面引导用户注册，4.判断注册是否成功，若是，转向步骤5；若否转向步骤3，5.向用户分配适合的访问权限生成访问令牌并返回给用户；6.将用户的访问权限和令牌信息发送到API网关，7.API网关将信息保存到高速缓存，8.网关判断用户是否有权限访问请求的资源。若是转向步骤9；若否拒绝访问，9.将用户的访问请求路由到提供资源的服务器，本发明的方法有助于分布式系统架构的进一步简化，提升了系统整体的可靠性和稳定性，提升了系统整体的吞吐率，节省了服务器资源。

Description

一种利用API网关实现简单认证授权的方法

技术领域

本发明涉及计算机软件的分布式系统技术领域，特别涉及一种利用API网关实现简单认证授权的方法。

背景技术

随着移动互联网的不断深入，越来越多的公司和企业逐渐开始面向互联网，并且把面向客户的服务和业务也迁移到线上。在开发这些线上业务时，随着客户数量的不断增多，业务平台的架构也在不断地变化演进。从早期的单体应用架构逐渐转变为微服务架构，集群和分布式也成为了标配的技术。

在构建微服务架构的基础平台的过程中，API网关是必不可少的核心组件之一。API网关为一组微服务提供统一的接口，以便客户端无需知道微服务内部的所有细节。由于API网关是终端用户访问的统一入口，而终端用户的访问少不了身份认证和授权，这是最常规的需求。

传统的解决方案是采用单点认证服务器对终端用户进行统一鉴权，或者是通过OAuth服务器提供的认证服务对终端用户进行认证鉴权。由于API网关是终端用户访问的统一入口，故可以在API网关层对终端用户提供统一的简单身份认证服务，这种方式有助于分布式系统架构的进一步简化，提升了系统整体的可靠性和稳定性。

发明内容

本发明的目的是基于上述背景技术，提供一种利用API网关实现简单认证授权的方法，该方法适用于采用了集群和/或分布式设计的系统，通过在API网关层对终端用户提供统一的简单身份认证服务，有助于分布式系统架构的进一步简化，提升了系统整体的可靠性和稳定性，同时系统整体的吞吐率也得到了进一步的提升，节省了服务器资源。

为了达到上述的技术效果，本发明采取以下技术方案：

一种利用API网关实现简单认证授权的方法，包括以下步骤：

A.用户通过智能终端向API网关发起访问请求，所述访问请求中包含用户的认证信息和服务信息；

其中，所述智能终端可以是PC端、笔记本端、智能手机端、平板电脑端等，用户可通过上述终端向API网关发起访问请求，该API网关是指微服务架构中的API网关服务，它是所有微服务访问的统一入口；

B.API网关验证所述用户的认证信息，判断当前发出请求的用户是否为已注册用户，若是则进入步骤H，否则，进入步骤C；

C.将页面跳转至注册服务器的页面引导用户进行注册，所述注册服务器用于向用户提供注册、登录、权限分配管理的服务；

D.注册服务器判断用户是否注册成功，若是则进入步骤E，否则，返回步骤C；

E.注册服务器向用户分配访问权限并生成访问令牌，将生成的访问令牌返回给用户；

具体的，注册服务器会为注册成功的终端用户分配适合的访问权限，并根据用户的注册信息和分配的权限生成相应的访问令牌并返回给终端用户，其中，所述的访问令牌信息与用户的注册信息和分配的权限信息相关；

F.注册服务器将用户的访问权限及访问令牌发送到API网关；具体的，注册服务器还会将用户注册时录入的基本信息一通上传至API网关；

G.API网关将收到的信息保存到高速缓存，以保证检索速度；

H.API网关根据收到的信息判断用户是否有权限访问请求的资源，如果有则进行步骤I，否则，拒绝访问；

I.API网关将用户的访问请求路由到提供资源的服务器。

进一步地，所述步骤A中的用户的认证信息包含用户名、密码、访问令牌、访问令牌的有效时间、终端IP地址中的一种或多种；所述服务信息至少包含请求的服务名。

进一步地，在所述API网关内设有内存数据库，所述内存数据库内保存有已注册用户的认证信息，所述步骤B中API网关验证所述用户的认证信息时是将收到的用户的认证信息与内存数据库中保存的认证信息进行比对，判断数据是否存在，若存在，则该用户为已注册用户，否则为未注册用户。

进一步地，所述注册服务器为OAuth认证服务器、SSO单点登录服务器或LDAP服务器，也可为纯用户管理的服务器。

进一步地，所述注册服务器内设有数据库，所述步骤E中还包括将成功注册的用户的注册信息保存至所述数据库的操作。

进一步地，所述步骤G中还包括API网关将收到的信息以异步方式存储到磁盘中的操作，以防止数据的丢失。

进一步地，所述步骤H具体包括以下步骤：

H1.API网关查看用户的访问令牌是否有效，若有效则进入步骤H2，否则拒绝访问；

H2.API网关查看用户的访问令牌是否在有效期内，若是，则进入步骤H3，否则拒绝访问；

H3.API网关查看用户所请求的服务是否存在，若是，则进入步骤H4，否则拒绝访问；

H4.API网关查看用户是否已分配了对服务资源的访问权限，若是，则进入步骤I，否则拒绝访问。

本发明与现有技术相比，具有以下的有益效果：

本发明的利用API网关实现简单认证授权的方法，通过在API网关层对终端用户提供统一的简单身份认证服务，这种方式有助于分布式系统架构的进一步简化，提升了系统整体的可靠性和稳定性，同时系统整体的吞吐率也得到了进一步的提升，节省了服务器资源，且当终端用户经过验证后继续访问API网关时，其再次的验证方式就非常简单，只需在高速缓存检查令牌的有效性，有效则路由请求到适合的服务器，从而极大的缩短了用户验证登录的时间。

附图说明

图1是本发明的利用API网关实现简单认证授权的方法的流程示意图。

具体实施方式

下面结合本发明的实施例对本发明作进一步的阐述和说明。

实施例：

如图1所示，一种利用API网关实现简单认证授权的方法，其步骤依次为：

步骤101，终端用户访问API网关。

其中，终端用户为PC端、笔记本端、智能手机端、平板电脑端的用户，这些用户通过对应的智能设备向API网关发起访问请求。

具体的，本实施例中的API网关是指微服务架构中的API网关服务，是所有微服务访问的统一入口。

且用户通过智能设备发起的请求包括终端用户的认证信息和服务信息，具体包括用户名、密码、令牌、令牌的有效时间、终端IP地址、请求的服务名等。

步骤102，API网关判断用户是否为已注册用户。

API网关根据上一步骤终端用户传输的信息，判断用户是否为已注册用户。如果否，转向步骤三；如果是，转向步骤八。

具体的，API网关判断用户是否为已注册用户的判断方法为使用终端用户传输的信息与数据库数据进行比对，判断数据是否存在。作为优选，该数据库数据通常为内存数据库，以保证API网关的高速访问。

步骤103，转向注册服务器页面，引导用户注册。

注册服务器主要是提供了用户的注册、登录、权限分配管理等服务，所述的注册服务器可以是OAuth(Open Authorization)认证服务器，SSO(Single Sign On)单点登录服务器，LDAP(Lightweight Directory Access Protocol)服务器，也可以是纯用户管理的服务器。

步骤104，注册服务器判断注册是否成功。

注册服务器判断终端用户是否注册成功。如果是，转向步骤五；如果否，转回步骤三。具体的，当终端用户注册成功，用户的注册信息将同时写入注册服务器的数据库。

步骤105，注册服务器向用户分配适合的访问权限，生成访问令牌，并返回给用户。

注册服务器会为注册成功的终端用户分配适合的访问权限，并根据用户的注册信息和分配的权限生成相应的访问令牌，返回给终端用户。其中，访问令牌信息与用户的注册信息和分配的权限信息相关。

步骤106，注册服务器将用户的访问权限和令牌信息发送到API网关。

注册服务器再将注册成功的用户的访问权限信息和令牌信息发送到API网关。其中，用户的访问权限信息和令牌信息还包括用户的基本信息。

步骤107，API网关将收到的信息保存到高速缓存。

API网关接收到注册服务器发送回来的信息后，将这些信息保存到高速缓存，以保证检索速度。这种保存方式的具体实施中还可以进一步做数据的持久化，即以异步方式存储一份到磁盘，以防止数据的丢失。

步骤108，网关判断用户是否有权限访问请求的资源。如果是，转向步骤九；如果否，拒绝访问。

API网关检索高速缓存，根据以下条件来判断用户是否有权限访问请求的资源，当有任一一项不满足时即拒绝访问：

1)查看用户的访问令牌是否有效；

2)令牌是否仍在有效期间；

3)所请求的服务是否存在；

4)用户是否已分配了对服务资源的访问权限。

具体的，如果用户不具备访问的权限，则API网关根据上述不满足的情况，返回相应的HTTP状态码和页面。比如返回401Unauthorized代表请求未授权，又比如返回403Forbidden表示禁止访问等。

步骤109，API网关将用户的请求路由到提供资源的服务器。

当终端用户继续访问API网关，其再次的验证方式就极其简单了，只需在高速缓存检查令牌的有效性，有效则路由请求到适合的服务器。

综上所述，为本发明提供的一种利用API网关实现简单认证授权的方法，通过在API网关层对终端用户提供统一的简单身份认证服务，这种方式有助于分布式系统架构的进一步简化，提升了系统整体的可靠性和稳定性，同时系统整体的吞吐率也得到了进一步的提升，节省了服务器资源。

可以理解的是，以上实施方式仅仅是为了说明本发明的原理而采用的示例性实施方式，然而本发明并不局限于此。对于本领域内的普通技术人员而言，在不脱离本发明的精神和实质的情况下，可以做出各种变型和改进，这些变型和改进也视为本发明的保护范围。

Claims (7)

1.一种利用API网关实现简单认证授权的方法，其特征在于，包括以下步骤：

A.用户通过智能终端向API网关发起访问请求，所述访问请求中包含用户的认证信息和服务信息；

B.API网关验证所述用户的认证信息，判断当前发出请求的用户是否为已注册用户，若是则进入步骤H，否则，进入步骤C；

C.将页面跳转至注册服务器的页面引导用户进行注册，所述注册服务器用于向用户提供注册、登录、权限分配管理的服务；

D.注册服务器判断用户是否注册成功，若是则进入步骤E，否则，返回步骤C；

E.注册服务器向用户分配访问权限并生成访问令牌，将生成的访问令牌返回给用户；

F.注册服务器将用户的访问权限及访问令牌发送到API网关；

G.API网关将收到的信息保存到高速缓存；

H.API网关根据收到的信息判断用户是否有权限访问请求的资源，如果有则进行步骤I，否则，拒绝访问；

I.API网关将用户的访问请求路由到提供资源的服务器。

2.根据权利要求1所述的一种利用API网关实现简单认证授权的方法，其特征在于，所述步骤A中的用户的认证信息包含用户名、密码、访问令牌、访问令牌的有效时间、终端IP地址中的一种或多种；所述服务信息至少包含请求的服务名。

3.根据权利要求1或2所述的一种利用API网关实现简单认证授权的方法，其特征在于，在所述API网关内设有内存数据库，所述内存数据库内保存有已注册用户的认证信息，所述步骤B中API网关验证所述用户的认证信息时是将收到的用户的认证信息与内存数据库中保存的认证信息进行比对，判断数据是否存在，若存在，则该用户为已注册用户，否则为未注册用户。

4.根据权利要求1或2所述的一种利用API网关实现简单认证授权的方法，其特征在于，所述注册服务器为OAuth认证服务器、SSO单点登录服务器或LDAP服务器。

5.根据权利要求1或2所述的一种利用API网关实现简单认证授权的方法，其特征在于，所述注册服务器内设有数据库，所述步骤E中还包括将成功注册的用户的注册信息保存至所述数据库的操作。

6.根据权利要求1或2所述的一种利用API网关实现简单认证授权的方法，其特征在于，所述步骤G中还包括API网关将收到的信息以异步方式存储到磁盘中的操作。

7.根据权利要求2所述的一种利用API网关实现简单认证授权的方法，其特征在于，所述步骤H具体包括以下步骤：

H1.API网关查看用户的访问令牌是否有效，若有效则进入步骤H2，否则拒绝访问；

H2.API网关查看用户的访问令牌是否在有效期内，若是，则进入步骤H3，否则拒绝访问；

H3.API网关查看用户所请求的服务是否存在，若是，则进入步骤H4，否则拒绝访问；

H4.API网关查看用户是否已分配了对服务资源的访问权限，若是，则进入步骤I，否则拒绝访问。