CN109472167A - 一种数字签名方法及装置 - Google Patents

Abstract

本发明提供了一种数字签名方法及装置。所述方法，包括：应用服务端根据用户的访问指令，向客户端发送第一长连接建立请求；客户端根据第一长连接建立请求，与应用服务端建立长连接；根据长连接，接收应用服务端发送的待签名数据的签名请求；根据签名请求，对待签名数据进行签名，获得签名结果；将签名结果通过长连接发送至应用服务端。通过在客户端与应用服务端之间建立长连接，能够实现数字证书的实时在线，当应用服务端有需要客户端签名的时候，应用服务端主动发起请求，由客户端进行数字签名。无论客户端使用什么浏览器，由于HTTP请求没有兼容性问题，因此解决了插件需要进行多浏览器适配的问题，能够提高用户体验。

Description

一种数字签名方法及装置

技术领域

本发明涉及计算机技术领域，具体涉及一种数字签名方法及装置。

背景技术

现有技术中，在进行数字签名时，一般都是通过安装浏览器插件(ActivX)或者SDK实现数字证书在客户机器上的数字签名。在该过程中，插件和SDK的安装受客户机器环境的影响比较大，经常无法正常工作，需要技术人员排查问题；有的时候技术人员也无法马上定位问题，并解决问题，不得已让用户更换电脑进行重试，给用户的体验非常差。

发明内容

针对现有技术中的缺陷，本发明提供一种数字签名方法及装置，能够避免大量的由于浏览器和控件的安装和适配问题，用户体验较好。

第一方面，本发明提供了一种数字签名方法，包括：

应用服务端根据用户的访问指令，向客户端发送第一长连接建立请求；

客户端根据所述第一长连接建立请求，与所述应用服务端建立长连接；

根据所述长连接，接收所述应用服务端发送的待签名数据的签名请求；

根据所述签名请求，对所述待签名数据进行签名，获得签名结果；

将所述签名结果通过所述长连接发送至所述应用服务端。

可选的，所述应用服务端根据用户的访问指令，向客户端发送第一长连接建立请求，包括：

应用服务端根据用户的访问指令，向指定服务端发送认证请求；所述认证请求，包括：应用服务端ID信息和会话令牌；

所述指定服务端验证所述认证请求中的所述应用服务端ID信息和会话令牌；根据验证成功的所述认证请求生成TokenA；并将所述TokenA发送至所述应用服务端；

所述应用服务端根据所述TokenA生成TokenB；

向所述客户端发送第一长连接建立请求；所述第一长连接建立请求包含有所述TokenA和TokenB。

可选的，所述客户端根据所述第一长连接建立请求，与所述应用服务端建立长连接，包括：

所述客户端根据所述第一长连接建立请求，向所述指定服务端发送TokenA验证请求；

所述指定服务端对所述TokenA验证请求中的TokenA进行验证，并将验证结果发送至所述客户端；

当所述验证结果为TokenA正确时，所述客户端向所述应用服务端发送含有TokenB的第二长连接建立请求；

所述应用服务端对所述第二长连接建立请求中的TokenB进行验证；若验证成功，则与所述客户端通过特定网页建立长连接；若验证失败，则向所述客户端发送验证失败信息。

可选的，在所述根据所述长连接，接收所述应用服务端发送的待签名数据的签名请求的步骤之前，还包括：

所述应用服务端根据用户的访问指令，生成待签名数据；

对所述待签名数据进行加密，生成加密待签名数据；

基于所述长连接，将所述加密待签名数据发送至所述客户端；

所述根据所述长连接，接收所述应用服务端发送的待签名数据的签名请求，包括：

所述客户端根据所述长连接，接收所述应用服务端发送的加密待签名数据的签名请求。

可选的，对所述待签名数据进行加密，生成加密待签名数据，包括：

采用数字签名或者TokenB，对待签名数据进行加密，生成加密待签名数据。

可选的，所述根据所述签名请求，对所述待签名数据进行签名，获得签名结果，包括：

根据所述签名请求，对所述加密待签名数据中的加密信息进行验证；

若验证失败，则向用户显示待签名数据验证失败信息；

若验证成功，则对所述待签名数据进行签名，获得签名结果。

可选的，还包括：

应用服务端对所述签名结果进行验证；

若验证成功，则保存所述签名结果；

若验证失败，则向所述客户端发送签名验证失败信息。

可选的，在所述根据所述签名请求，对所述待签名数据进行签名，获得签名结果的步骤之前，还包括：

检测签名证书的有效性。

第二方面，本发明提供一种数字签名装置，包括：

第一请求发送模块，用于应用服务端根据用户的访问指令，向客户端发送第一长连接建立请求；

长连接建立模块，用于客户端根据所述第一长连接建立请求，与所述应用服务端建立长连接；

签名请求接收模块，用于根据所述长连接，接收所述应用服务端发送的待签名数据的签名请求；

数字签名模块，用于根据所述签名请求，对所述待签名数据进行签名，获得签名结果；

签名结果发送模块，用于将所述签名结果通过所述长连接发送至所述应用服务端。

本发明提供了一种数字签名方法，通过在客户端与应用服务端之间建立长连接，能够实现数字证书的实时在线，当应用服务端有需要客户端签名的时候，应用服务端主动发起请求，由客户端进行数字签名。不用安装和适配浏览器插件，能够避免大量的由于浏览器和控件的安装和适配问题，无论客户端使用什么浏览器，由于HTTP请求没有兼容性问题，因此解决了插件需要进行多浏览器适配的问题，能够提高用户体验。

本发明提供的一种数字签名装置，与上述一种数字签名方法出于相同的发明构思，具有相同的有益效果。

附图说明

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍。在所有附图中，类似的元件或部分一般由类似的附图标记标识。附图中，各元件或部分并不一定按照实际的比例绘制。

图1为本发明第一实施例提供的一种数字签名方法的流程图；

图2为本发明第一实施例提供的一种数字签名过程中数据交互的示意图；

图3为本发明第二实施例提供的一种数字签名装置的示意图。

具体实施方式

下面将结合附图对本发明技术方案的实施例进行详细的描述。以下实施例仅用于更加清楚地说明本发明的技术方案，因此只是作为示例，而不能以此来限制本发明的保护范围。

需要注意的是，除非另有说明，本申请使用的技术术语或者科学术语应当为本发明所属领域技术人员所理解的通常意义。

本发明提供了以上，为本发明提供的一种数字签名方法及装置。下面结合附图对本发明的实施例进行说明。

第一实施例：

请参考图1，图1为本发明具体实施例提供的一种数字签名方法的流程图，本实施例提供的一种数字签名方法，包括：

步骤S101：应用服务端根据用户的访问指令，向客户端发送第一长连接建立请求。

步骤S102：客户端根据所述第一长连接建立请求，与所述应用服务端建立长连接。

步骤S103：根据所述长连接，接收所述应用服务端发送的待签名数据的签名请求。

步骤S104：根据所述签名请求，对所述待签名数据进行签名，获得签名结果。

步骤S105：将所述签名结果通过所述长连接发送至所述应用服务端。

在本发明中，客户端安装有相应的应用程序，应用服务端也安装有相应的应用中间件。应用服务端是指用户访问特定网页对应的服务端。指定服务端是指客户端对应的后台服务端。其中，客户端可以设置在PC端、手机端等。

用户在客户端访问特定网页时，客户端可以检测到用户访问网页的访问指令，若相应的应用服务端产生的待签名数据需要进行数字签名时，应用服务端、客户端和指定服务端会执行本发明提供的一种数字签名方法。

其中，特定网页可以包括：特定网站、特定web应用等。例如，付款页面。

在本发明提供的一个具体实施例中，所述应用服务端根据用户的访问指令，向客户端发送第一长连接建立请求，包括：应用服务端根据用户的访问指令，向指定服务端发送认证请求；所述认证请求，包括：应用服务端ID信息和会话令牌；所述指定服务端验证所述认证请求中的所述应用服务端ID信息和会话令牌；根据验证成功的所述认证请求生成TokenA；并将所述TokenA发送至所述应用服务端；所述应用服务端根据所述TokenA生成TokenB；向所述客户端发送第一长连接建立请求；所述第一长连接建立请求包含有所述TokenA和TokenB。

用户在访问网页时，实质是在访问应用服务端，应用服务端可以根据用户的访问指令，向客户端发送第一长连接建立请求，在发送第一长连接建立请求时，应用服务端可以根据用户的访问指令，将应用服务端ID信息和会话令牌进行打包，生成认证请求，并将认证请求发送至指定服务端。

指定服务端可以对应用服务端ID信息和会话令牌进行验证，通过验证应用服务端ID信息和会话令牌，能够保证应用服务端为授权的、可信任服务端。若验证通过，则生成TokenA，并将该TokenA发送至相应的应用服务端。应用服务端在接收到TokenA后，产生TokenB，并根据TokenA和TokenB向客户端发送第一长连接建立请求，其中，第一长连接建立请求包含TokenA和TokenB。

在本发明提供的一个具体实施例中，所述客户端根据所述第一长连接建立请求，与所述应用服务端建立长连接，包括：所述客户端根据所述第一长连接建立请求，向所述指定服务端发送TokenA验证请求；所述指定服务端对所述TokenA验证请求中的TokenA进行验证，并将验证结果发送至所述客户端；当所述验证结果为TokenA正确时，所述客户端向所述应用服务端发送含有TokenB的第二长连接建立请求；所述应用服务端对所述第二长连接建立请求中的TokenB进行验证；若验证成功，则与所述客户端通过特定网页建立长连接；若验证失败，则向所述客户端发送验证失败信息。

客户端在接收到第一长连接建立请求之后，需要提取中其中的TokenA，并向指定服务端发送TokenA验证请求，指定服务端可以验证TokenA的有效性，若TokenA为无效，则向客户端反馈该TokenA为无效，客户端则不会与应用服务端建立连接；若TokenA是有效的，则向客户端反馈该TokenA为有效，则客户端向应用服务端发送含有TokenB的第二长连接建立请求，应用服务端可以对TokenB进行验证，进而能够确定连接到正确的客户端。

应用服务端验证TokenB有效时，与相应的客户端建立长连接。其中，长连接是指通过特定网页建立的连接，该特定网页打开，与相应的应用服务端建立连接。

在本发明提供的一个具体实施例中，在所述根据所述长连接，接收所述应用服务端发送的待签名数据的签名请求的步骤之前，还包括：所述应用服务端根据用户的访问指令，生成待签名数据；对所述待签名数据进行加密，生成加密待签名数据；基于所述长连接，将所述加密待签名数据发送至所述客户端；所述根据所述长连接，接收所述应用服务端发送的待签名数据的签名请求，包括：所述客户端根据所述长连接，接收所述应用服务端发送的加密待签名数据的签名请求。

其中，待签名数据是指用户访问应用服务端产生的业务数据。

在建立好长连接后，应用服务端可以根据用户的访问指令，生成待签名数据，应用服务端可以直接将待签名数据发送至客户端进行签名，也可以对待签名数据进行加密，生成加密待签名数据。这都在本发明的保护范围内。通过对待签名数据进行加密，能够保证签名请求的准确性，以免在信息传输过程中签名请求被恶意篡改。

其中，在对待签名数据进行加密时，可以采用多种方式进行加密。例如，可以采用数字签名进行加密，也可以采用TokenB进行加密，生成加密待签名数据。

在本发明提供的一个具体实施例中，所述根据所述签名请求，对所述待签名数据进行签名，获得签名结果，包括：根据所述签名请求，对所述加密待签名数据中的加密信息进行验证；若验证失败，则向用户显示待签名数据验证失败信息；若验证成功，则对所述待签名数据进行签名，获得签名结果。

客户端在接收到签名请求后，若签名请求中的待签名数据没有加密，则直接对待签名数据进行签名；若签名请求中的待签名数据为加密待签名数据，则需要对加密信息进行验证，若验证成功，则表明签名请求在传输过程中没有被篡改，可以对待签名数据进行签名，并获得签名结果，并将签名结果通过建立的长连接发送至应用服务端。

若验证失败，则表明签名请求在传输过程中可能已被篡改，并向用户显示签名请求错误信息，并询问用户是否继续进行数字签名，若用户同意进行数字签名，则继续对待签名数据进行数字签名，并获得签名结果，将签名结果通过建立的长连接发送至应用服务端；若用户不同意进行数字签名，则向用户显示签名失败，用户可以重新访问该网页，重新进行数字签名。

通过验证加密信息的正确性，能够使客户端确认待验证数据是否被篡改，进而提高数字签名的可靠性。

在本发明提供的一个具体实施例中，还可以包括：应用服务端对所述签名结果进行验证；若验证成功，则保存所述签名结果；若验证失败，则向所述客户端发送签名验证失败信息。

在客户端对待签名数据进行签名完成后，将签名结果发送至应用服务端，应用服务端可以对签名结果进行验证，若验证正确，则完成数字签名过程，并保存签名结果，应用服务端通过长连接在客户端的浏览器上显示相应的网页；若验证错误，则通过长连接，向客户端发送验证错误信息，并不显示相应的网页。

通过验证签名的有效性，能够保证网页的安全。

在本发明提供的一个具体实施例中，在所述根据所述签名请求，对所述待签名数据进行签名，获得签名结果的步骤之前，还可以包括：检测签名证书的有效性。

在客户端对待签名数据进行签名之前，需要确保客户端存储有相应的签名证书，并且需要确保签名证书的有效性。

在本发明中，客户端中设置有证书库，存储有多种不同网页需要的数字签名证书，在启动客户端应用程序后，应用程序可以检测各个签名证书的有效性，即检测签名证书是否存在，是否可用。

通过检测签名证书的有效性，能够确保后期签名的成功性。

本发明通过在客户端与应用服务端之间建立长连接，能够实现数字证书的实时在线，当应用服务端需要客户端签名时，应用服务端主动发起请求，由客户端进行数字签名。不用安装和适配浏览器插件，能够避免大量的由于浏览器和控件的安装和适配问题，无论客户端使用什么浏览器，由于HTTP请求没有兼容性问题，因此解决了插件需要进行多浏览器适配的问题，能够提高用户体验。

第二实施例：

基于与上述第一实施例提供的一种数字签名方法相同的发明构思，与之相对应的，本发明实施例还提供了一种数字签名装置，如图3所示。由于装置实施例基本相似与方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。

本发明提供的一种数字签名装置，包括：

第一请求发送模块101，用于应用服务端根据用户的访问指令，向客户端发送第一长连接建立请求；

长连接建立模块102，用于客户端根据所述第一长连接建立请求，与所述应用服务端建立长连接；

签名请求接收模块103，用于根据所述长连接，接收所述应用服务端发送的待签名数据的签名请求；

数字签名模块104，用于根据所述签名请求，对所述待签名数据进行签名，获得签名结果；

签名结果发送模块105，用于将所述签名结果通过所述长连接发送至所述应用服务端。

在本发明提供的一个具体实施例中，所述第一请求发送模块101，包括：

请求认证单元，用于应用服务端根据用户的访问指令，向指定服务端发送认证请求；所述认证请求，包括：应用服务端ID信息和会话令牌；

信息认证单元，用于所述指定服务端验证所述认证请求中的所述应用服务端ID信息和会话令牌；根据验证成功的所述认证请求生成TokenA；并将所述TokenA发送至所述应用服务端；

TokenB生成单元，用于所述应用服务端根据所述TokenA生成TokenB；

第一连接请求发送单元，用于向所述客户端发送第一长连接建立请求；所述第一长连接建立请求包含有所述TokenA和TokenB。

在本发明提供的一个具体实施例中，所述长连接建立模块102，包括：

第一验证请求发送单元，用于所述客户端根据所述第一长连接建立请求，向所述指定服务端发送TokenA验证请求；

第一验证单元，用于所述指定服务端对所述TokenA验证请求中的TokenA进行验证，并将验证结果发送至所述客户端；

第二连接请求发送单元，用于当所述验证结果为TokenA正确时，所述客户端向所述应用服务端发送含有TokenB的第二长连接建立请求；

第二验证单元，用于所述应用服务端对所述第二长连接建立请求中的TokenB进行验证；若验证成功，则与所述客户端通过特定网页建立长连接；若验证失败，则向所述客户端发送验证失败信息。

在本发明提供的一个具体实施例中，所述装置，还包括：

数据生成模块，用于所述应用服务端根据用户的访问指令，生成待签名数据；

数据加密模块，用于对所述待签名数据进行加密，生成加密待签名数据；

数据发送模块，用于基于所述长连接，将所述加密待签名数据发送至所述客户端；

所述签名请求接收模块103，具体用于：

所述客户端根据所述长连接，接收所述应用服务端发送的加密待签名数据的签名请求。

在本发明提供的一个具体实施例中，所述数据加密模块，具体用于：

采用数字签名或者TokenB，对待签名数据进行加密，生成加密待签名数据。

在本发明提供的一个具体实施例中，所述数字签名模块104，包括：

加密信息验证单元，用于根据所述签名请求，对所述加密待签名数据中的加密信息进行验证；

若验证失败，则向用户显示待签名数据验证失败信息；

若验证成功，则对所述待签名数据进行签名，获得签名结果。

在本发明提供的一个具体实施例中，所述装置，还包括：

签名结果验证模块，用于应用服务端对所述签名结果进行验证；

若验证成功，则保存所述签名结果；

若验证失败，则向所述客户端发送签名验证失败信息。

在本发明提供的一个具体实施例中，所述装置，还包括：

证书检测模块，用于检测签名证书的有效性。

以上，为本发明提供的一种数字签名装置。

本发明的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不必须针对的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任一个或多个实施例或示例中以合适的方式结合。此外，在不相互矛盾的情况下，本领域的技术人员可以将本说明书中描述的不同实施例或示例以及不同实施例或示例的特征进行结合和组合。

最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围，其均应涵盖在本发明的权利要求和说明书的范围当中。

Claims (9)

1.一种数字签名方法，其特征在于，包括：

应用服务端根据用户的访问指令，向客户端发送第一长连接建立请求；

客户端根据所述第一长连接建立请求，与所述应用服务端建立长连接；

根据所述长连接，接收所述应用服务端发送的待签名数据的签名请求；

根据所述签名请求，对所述待签名数据进行签名，获得签名结果；

将所述签名结果通过所述长连接发送至所述应用服务端。

2.根据权利要求1所述的方法，其特征在于，所述应用服务端根据用户的访问指令，向客户端发送第一长连接建立请求，包括：

应用服务端根据用户的访问指令，向指定服务端发送认证请求；所述认证请求，包括：应用服务端ID信息和会话令牌；

所述指定服务端验证所述认证请求中的所述应用服务端ID信息和会话令牌；根据验证成功的所述认证请求生成TokenA；并将所述TokenA发送至所述应用服务端；

所述应用服务端根据所述TokenA生成TokenB；

向所述客户端发送第一长连接建立请求；所述第一长连接建立请求包含有所述TokenA和TokenB。

3.根据权利要求2所述的方法，其特征在于，所述客户端根据所述第一长连接建立请求，与所述应用服务端建立长连接，包括：

所述客户端根据所述第一长连接建立请求，向所述指定服务端发送TokenA验证请求；

所述指定服务端对所述TokenA验证请求中的TokenA进行验证，并将验证结果发送至所述客户端；

当所述验证结果为TokenA正确时，所述客户端向所述应用服务端发送含有TokenB的第二长连接建立请求；

所述应用服务端对所述第二长连接建立请求中的TokenB进行验证；若验证成功，则与所述客户端通过特定网页建立长连接；若验证失败，则向所述客户端发送验证失败信息。

4.根据权利要求1所述的方法，其特征在于，在所述根据所述长连接，接收所述应用服务端发送的待签名数据的签名请求的步骤之前，还包括：

所述应用服务端根据用户的访问指令，生成待签名数据；

对所述待签名数据进行加密，生成加密待签名数据；

基于所述长连接，将所述加密待签名数据发送至所述客户端；

所述根据所述长连接，接收所述应用服务端发送的待签名数据的签名请求，包括：

所述客户端根据所述长连接，接收所述应用服务端发送的加密待签名数据的签名请求。

5.根据权利要求4所述的方法，其特征在于，对所述待签名数据进行加密，生成加密待签名数据，包括：

采用数字签名或者TokenB，对待签名数据进行加密，生成加密待签名数据。

6.根据权利要求4所述的方法，其特征在于，所述根据所述签名请求，对所述待签名数据进行签名，获得签名结果，包括：

根据所述签名请求，对所述加密待签名数据中的加密信息进行验证；

若验证失败，则向用户显示待签名数据验证失败信息；

若验证成功，则对所述待签名数据进行签名，获得签名结果。

7.根据权利要求1所述的方法，其特征在于，还包括：

应用服务端对所述签名结果进行验证；

若验证成功，则保存所述签名结果；

若验证失败，则向所述客户端发送签名验证失败信息。

8.根据权利要求1所述的方法，其特征在于，在所述根据所述签名请求，对所述待签名数据进行签名，获得签名结果的步骤之前，还包括：

检测签名证书的有效性。

9.一种数字签名装置，其特征在于，包括：

第一请求发送模块，用于应用服务端根据用户的访问指令，向客户端发送第一长连接建立请求；

长连接建立模块，用于客户端根据所述第一长连接建立请求，与所述应用服务端建立长连接；

签名请求接收模块，用于根据所述长连接，接收所述应用服务端发送的待签名数据的签名请求；

数字签名模块，用于根据所述签名请求，对所述待签名数据进行签名，获得签名结果；

签名结果发送模块，用于将所述签名结果通过所述长连接发送至所述应用服务端。