CN109587126A - 用户鉴权方法和系统 - Google Patents

Abstract

本发明提供了一种用户鉴权方法和系统，包括：客户端向第一服务器发送登录请求消息；第一服务器对用户进行鉴权，若鉴权成功，为用户建立第一会话消息，并向客户端发送唯一会话标识和第一令牌，以指示客户端通过唯一会话标识和第一令牌访问第一服务器所对应的子系统；若第一服务器对用户鉴权失败，则请求第二服务器对用户进行鉴权；若第二服务器通过对用户的鉴权，则为用户建立第二会话消息并通过第一服务器向客户端发送唯一会话标识和第二令牌，以指示客户端通过唯一会话标识和第二令牌访问第一服务器所对应的子系统和第二服务器所对应的子系统。通过这种方法，实现了内部用户和外部用户的鉴权，同时降低了单台服务器的计算开销和存储开销。

Description

用户鉴权方法和系统

技术领域

本发明属于计算机技术领域，尤其涉及一种用户鉴权方法和系统。

背景技术

随着计算机与网络技术的发展，人们的工作和生活与各种信息系统密切相关，与此同时，信息安全面临着日益严重的威胁，在众多的安全技术和服务中，访问控制是确保系统安全的一个重要手段，是所有信息系统必不可少的模块。

现在的一些集团公司，或者是政府部门的信息管理平台都会涉及到多个子系统以及内部用户和外部用户，内部用户通过登录鉴权后对信息管理平台的所有子系统有访问权限，外部用户通过登录鉴权后只对部分子系统拥有访问权限，现有的对内部用户和外部用户的鉴权方式是服务器维护两个注册表单，一个注册表单用于对内部用户进行鉴权，一个表单用户对外部用户进行鉴权，当海量用户需要进行登录鉴权时存在这样的问题：一方面，服务器需要维护表单数据量庞大，占用过多的存储空间，另一方面，服务器对所有用户进行鉴权使得服务器的计算负荷过大。

发明内容

有鉴于此，本发明实施例提供了一种用户鉴权方法和系统，以解决现有技术中单一服务器对内部用户和外部用户进行鉴权负载过大的问题。

本发明实施例的第一方面提供了一种用户鉴权方法，包括：

当用户通过客户端首次登录系统时，所述客户端向所述第一服务器发送登录请求消息，所述登录请求消息中携带所述用户的登录凭证信息；

所述第一服务器通过预获取的所述系统的外部用户的注册表单和所述用户的登录凭证信息对用户进行鉴权，若所述第一服务器对所述用户鉴权成功，则所述第一服务器为所述用户建立第一会话消息，并向所述客户端发送唯一会话标识和第一令牌，以指示所述客户端通过所述唯一会话标识和所述第一令牌访问所述第一服务器所对应的子系统，其中，所述第一会话消息中包含所述唯一会话标识和所述第一令牌的唯一映射关系；

若所述第一服务器对所述用户鉴权失败，则所述第一服务器调用所述第二服务器的鉴权接口，请求所述第二服务器对所述用户进行鉴权；

若所述第二服务器通过预获取的所述系统的内部用户的注册表单和所述用户的登录凭证信息通过对所述用户的鉴权，则所述第二服务器为所述用户建立第二会话消息并向所述第一服务器发送所述唯一会话标识和第二令牌，所述第一服务器向所述客户端发送所述唯一会话标识和所述第二令牌，以指示所述客户端通过所述唯一会话标识和所述第二令牌访问所述第一服务器所对应的子系统和所述第二服务器所对应的子系统，其中，所述第二会话消息中包含所述唯一会话标识和所述第二令牌的唯一映射关系。

本发明实施例的第二方面提供了一种用户鉴权系统，该系统用于：

当用户通过客户端首次登录系统时，所述客户端向所述第一服务器发送登录请求消息，所述登录请求消息中携带所述用户的登录凭证信息；

所述第一服务器通过预获取的所述系统的外部用户的注册表单和所述用户的登录凭证信息对用户进行鉴权，若所述第一服务器对所述用户鉴权成功，则所述第一服务器为所述用户建立第一会话消息，并向所述客户端发送唯一会话标识和第一令牌，以指示所述客户端通过所述唯一会话标识和所述第一令牌访问所述第一服务器所对应的子系统，其中，所述第一会话消息中包含所述唯一会话标识和所述第一令牌的唯一映射关系；

若所述第一服务器对所述用户鉴权失败，则所述第一服务器调用所述第二服务器的鉴权接口，请求所述第二服务器对所述用户进行鉴权；

若所述第二服务器通过预获取的所述系统的内部用户的注册表单和所述用户的登录凭证信息通过对所述用户的鉴权，则所述第二服务器为所述用户建立第二会话消息并向所述第一服务器发送所述唯一会话标识和第二令牌，所述第一服务器向所述客户端发送所述唯一会话标识和所述第二令牌，以指示所述客户端通过所述唯一会话标识和所述第二令牌访问所述第一服务器所对应的子系统和所述第二服务器所对应的子系统，其中，所述第二会话消息中包含所述唯一会话标识和所述第二令牌的唯一映射关系。

本发明提供了一种用户鉴权方法和系统，第一服务器维护外部用户的注册信息，第一服务器对应外部用户具有访问权限的子系统，第二服务器维护内部用户的注册信息，第二服务器对应内部用户有权限访问，而外部用户无权限访问的子系统。当用户首次登陆系统时，向第一服务器发送登录请求消息，若该用户为外部用户，由第一服务器对该用户的身份进行鉴权，并向该用户发送第一令牌，用于指示该用户为外部用户，使得该用户通过第一令牌访问第一服务器所对应的子系统，即外部用户拥有访问权限的子系统。若该用户为内部用户，则第一服务器无法完成对该用户身份的鉴权，请求由第二服务器对该用户的身份进行鉴权。第二服务器完成对该用户的鉴权后，通过第一服务器向该用户发送第二令牌，同时第一服务器维护第二服务器为该用户创建的第二会话消息，使得该用户通过第二令牌，既可以访问第一服务器所对应的子系统，又可以访问第二服务器所对应的子系统。通过这种方法，不但完成了对内部用户和外部用户权限的区分，也降低了单台服务器的计算开销和存储开销。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的一种用户鉴权方法的流程示意图；

图2为本发明实施例提供的另一种用户鉴权方法的流程示意图；

图3为本发明实施例提供的一种用户鉴权系统的示意图；

图4为本发明实施例提供的另一种用户鉴权系统的示意图；

图5为本发明实施例提供的一种用户鉴权的终端设备的示意图。

具体实施方式

以下描述中，为了说明而不是为了限定，提出了诸如特定系统结构、技术之类的具体细节，以便透彻理解本发明实施例。然而，本领域的技术人员应当清楚，在没有这些具体细节的其它实施例中也可以实现本发明。在其它情况中，省略对众所周知的系统、装置、电路以及方法的详细说明，以免不必要的细节妨碍本发明的描述。

为了说明本发明所述的技术方案，下面通过具体实施例来进行说明。

本发明实施例提供了一种用户鉴权方法。结合图1，该方法包括：

S101，当用户通过客户端首次登录系统时，客户端向所述第一服务器发送登录请求消息，登录请求消息中携带用户的登录凭证信息。

具体的，用户的登录凭证信息可以为用户的账户名和密码信息。

S102，第一服务器通过预获取的系统的外部用户的注册表单和用户的登录凭证信息对用户进行鉴权，若第一服务器对用户鉴权成功，则第一服务器为用户建立第一会话消息，并向客户端发送唯一会话标识和第一令牌，以指示客户端通过唯一会话标识和第一令牌访问第一服务器所对应的子系统，其中，第一会话消息中包含唯一会话标识和第一令牌的唯一映射关系。

其中，第一服务器与外部用户和内部用户都可以访问的子系统相连，或第一服务器即是内部用户和外部用户都可以访问的子系统的服务器。第一服务器维护外部用户的注册表单，第二服务器维护内部用户的注册表单。用户通过客户端首次登陆系统时，向第一服务器发送登录请求消息，登录请求消息中携带用户的账户名和密码等用户的登录凭证信息。

第一服务器首先通过其维护的外部用户的注册表单对该用户的身份进行鉴权，若鉴权通过，说明该用户为外部用户，第一服务器为该用户建立第一会话消息，并向该用户所使用的客户端发送唯一会话标识和第一令牌。其中，唯一会话标识用于在会话过程中唯一标识该用户，第一令牌用于指示该令牌为第一服务器所发送的令牌，如该第一令牌为一个统一的X令牌。并且，第一服务器所建立的第一会话消息中包含用户的唯一会话标识和第一令牌的唯一映射关系。

客户端通过接收到的唯一会话标识和第一令牌访问第一服务器所对应的子系统，即该用户通过鉴权为外部用户，该用户通过该唯一会话标识和第一令牌访问第一服务器所对应的子系统，即内部用户和外部用户都有权限访问的子系统。

具体的，会话建立后，客户端将该外部用户的唯一会话标识和第一令牌保存在客户端一侧所维护的会话消息中，当该外部用户访问第一服务器所对应的子系统，即内部用户和外部用户都有权限访问的子系统的过程如下：

第一服务器接收客户端发送的数据请求消息，数据请求消息中包含用户请求访问的子系统的标识、唯一会话标识和第一令牌；若第一服务器根据子系统的标识判断子系统为第一服务器所对应的子系统，则第一服务器将数据请求消息中所携带的第一令牌和第一会话消息中的第一令牌进行匹配；若匹配成功，则第一服务器根据数据请求消息，获取对应的服务数据，并将对应的服务数据发送至客户端。

即，外部用户携带第一令牌，只有访问第一服务器所对应的子系统的权限。当第一服务器接收到一个用户发送的数据请求消息后，第一服务器首先判断该用户请求访问的子系统是否是第一服务器所对应的子系统，若是，则第一服务器再根据数据请求消息中所携带的令牌信息和唯一会话标识信息判断该用户是否已成功登陆，即第一服务器是否已为该用户创建对应的会话消息。若用户携带的是第一令牌，则该用户为外部用户，第一服务器将数据请求消息中所携带的第一令牌和第一会话消息中的第一令牌进行匹配，匹配成功，第一服务器认证该用户为外部用户，拥有访问第一服务器所对应的子系统的权限，则的第一服务器根据数据请求消息，获取对应的服务数据，并将对应的服务数据发送至客户端。

S103，若第一服务器对用户鉴权失败，则第一服务器调用第二服务器的鉴权接口，请求第二服务器对用户进行鉴权。

若第一服务器对用户鉴权失败，说明该用户的登录凭证信息不在第一服务器所维护的外部用户的注册表单中，此时，第一服务器调用第二服务器的鉴权接口，请求第二服务器对用户进行鉴权。

S104，若第二服务器通过预获取的系统的内部用户的注册表单和用户的登录凭证信息通过对用户的鉴权，则第二服务器为用户建立第二会话消息并向第一服务器发送唯一会话标识和第二令牌，第一服务器向客户端发送唯一会话标识和第二令牌，以指示客户端通过唯一会话标识和第二令牌访问第一服务器所对应的子系统和第二服务器所对应的子系统，其中，第二会话消息中包含唯一会话标识和第二令牌的唯一映射关系。

具体的，可能存在如下两种情况，若第二服务器通过维护的内部用户的注册表单和用户的登录凭证信息对该用户鉴权失败，说明该用户既不是内部用户，也不是外部用户，则第二服务器通过第一服务器拒绝该用户的登录请求。

第二种情况是第二服务器通过维护的内部用户的注册表单和用户的登录凭证信息对该用户鉴权成功，则说明该用户是内部用户，此时，第二服务器为该用户建立第二会话消息，并向第一服务器发送唯一会话标识和第二令牌，第一服务器向客户端发送唯一会话标识和第二令牌，以指示客户端通过唯一会话标识和第二令牌访问第一服务器所对应的子系统和第二服务器所对应的子系统，其中，第二会话消息中包含唯一会话标识和第二令牌的唯一映射关系。

此时，在该内部用户登录成功后，第一服务器和第二服务器都维护该用户所对应的第二会话消息。

具体的，会话建立后，客户端将该内部用户的唯一会话标识和第二令牌保存在客户端一侧所维护的会话消息中。根据所述唯一会话标识和所述第二令牌，该内部用户具有访问第一服务器所对应的子系统的权限，也具有访问第二服务器所对应的子系统的权限。当该内部用户访问第一服务器所对应的子系统，或该内部用户访问第二服务器所对应的子系统时，其过程如下：

第一服务器接收客户端发送的数据请求消息，数据请求消息中包含用户请求访问的子系统的标识、唯一会话标识和第二令牌；若第一服务器根据子系统的标识判断子系统为第一服务器所对应的子系统，则第一服务器将数据请求消息中所携带的第二令牌和第二会话消息中的第二令牌进行匹配，若匹配成功，则第一服务器根据数据请求消息，获取对应的服务数据，并将对应的服务数据发送至客户端；若第一服务器根据子系统的标识判断子系统不是第一服务器所对应的子系统，则第一服务器将数据请求消息发送至第二服务器；若第二服务器根据子系统的标识判断子系统为第二服务器所对应的子系统，则第二服务器根据数据请求消息中所携带的第二令牌和第二会话消息中的第二令牌进行匹配，若匹配成功，则第二服务器根据数据请求消息，获取对应的服务数据并发送至第一服务器，以使得第一服务器将服务数据发送至客户端。

进一步的，当用户与第一服务器建立会话后，或用户与第一服务器和第二服务器建立会话后，当存在如下两种情况时，会话结束，用户退出登录。

第一种，即用户主动注销登录，具体的，包括：所述第一服务器接收所述客户端发送的注销请求消息，所述注销请求消息包含所述唯一会话标识；所述第一服务器根据所述唯一会话标识确定并删除所述第一会话消息；或，所述第一服务器和所述第二服务器根据所述唯一会话标识确定并删除所述第二会话消息。

第二种，第一服务器和第二服务器根据用户的访问情况判断是否结束此次会话，具体的，包括：所述第一服务器为所述第一会话消息创建时间戳，或，所述第一服务器和所述第二服务器为所述第二会话消息创建时间戳；若在预设时间内所述第一服务器没有接收到所述客户端发送的数据请求消息，则所述第一服务器删除所述第一会话消息；或，若在所述预设时间内所述第一服务器和所述第二服务器没有接收到所述客户端发送的数据请求消息，则所述第一服务器和所述第二服务器删除所述第二会话消息。

再进一步的，当一个用户通过客户端完成首次登录之后，客户端维护该用户接收到的第一令牌或第二令牌，第一令牌用于表示该用户是由第一服务器鉴权成功的用户，第二令牌用于表示该用户是由第二服务器鉴权成功的用户。当该用户通过同一客户端再次登录系统时，该方法还包括：

所述第一服务器建立所述第二令牌与所述第二服务器的映射关系；当所述用户通过所述客户端再次登录所述系统时，所述用户向所述第一服务器发送登录请求消息，所述登录请求消息中包含所述用户的登录凭证信息和令牌信息；若所述令牌信息为所述第一令牌，则所述第一服务器根据所述用户的登录凭证信息对所述用户进行鉴权；若所述令牌信息为所述第二令牌，则所述第一服务器根据所述第二令牌与所述第二服务器的映射关系，将所述登录请求消息发送至所述第二服务器，以使得所述第二服务器对所述用户进行鉴权。

即，当第一服务器接收到用户的登录请求后，根据该用户的登录请求中所携带的令牌信息直接判断该用户应该由哪个服务器进行鉴权。若该用户的登录请求中所携带的令牌信息是第一令牌，则说明该用户是外部用户，第一服务器直接对该用户进行鉴权，若该用户的登录请求中所携带的令牌信息是第二令牌，则说明该用户是内部用户，第一服务器不对该用户进行鉴权，直接将该用户的登录请求消息发送至第二服务器，由第二服务器对该用户进行鉴权。通过这种方法，避免了对内部用户的鉴权过程中，第一服务器对用户鉴权失败后再由第二服务器对该用户进行鉴权的过程，而是第一服务器根据用户携带的第二令牌将该用户的登录请求消息直接发送至第二服务器，由第二服务器对该内部用户进行鉴权，从而降低了第一服务器的计算开销，并且提高了内部用户的登陆速度。

本发明实施例提供了一种用户鉴权方法，第一服务器维护外部用户的注册信息，第一服务器对应外部用户具有访问权限的子系统，第二服务器维护内部用户的注册信息，第二服务器对应内部用户有权限访问，而外部用户无权限访问的子系统。当用户首次登陆系统时，向第一服务器发送登录请求消息，若该用户为外部用户，由第一服务器对该用户的身份进行鉴权，并向该用户发送第一令牌，用于指示该用户为外部用户，使得该用户通过第一令牌访问第一服务器所对应的子系统，即外部用户拥有访问权限的子系统。若该用户为内部用户，则第一服务器无法完成对该用户身份的鉴权，请求由第二服务器对该用户的身份进行鉴权。第二服务器完成对该用户的鉴权后，通过第一服务器向该用户发送第二令牌，同时第一服务器维护第二服务器为该用户创建的第二会话消息，使得该用户通过第二令牌，既可以访问第一服务器所对应的子系统，又可以访问第二服务器所对应的子系统。通过这种方法，不但完成了对内部用户和外部用户权限的区分，也降低了单台服务器的计算开销和存储开销。

进一步的，结合图2，本发明实施例还提供了一种用户鉴权的方法，该方法应用于第一服务器和第二服务器都对应有多个子系统的情景下，此时，如图3所示，第一服务器分别与多个子系统服务器相连，第二服务器也分别与多个子系统服务器相连，该方法包括：

S201，第一服务器将所述第一会话消息存储至共享存储中心，或，所述第二服务器将所述第二会话消息存储至共享存储中心。

如图3所示，在用户鉴权系统中增加共享存储中心，每个子系统服务器都可以直接访问该共享存储中心。当完成如图1所对应的用户登录过程后，若该用户为外部用户，则第一服务器为该用户创建第一会话消息，第一会话消息中携带该用户的唯一会话标识与第一令牌的唯一映射关系，并将第一会话消息存储至共享存储中心，每个子系统服务器都可以通过共享存储中心访问该第一会话消息。

若该用户为内部用户，则第二服务器为该用户创建第二会话消息，第二会话消息中携带该用户的唯一会话标识与第二令牌的唯一映射关系，并将第二会话消息存储至共享存储中心，每个子系统服务器都可以通过共享存储中心访问该第二会话消息。

S202，针对任一子系统，所述客户端向该子系统所对应的子系统服务器发送数据请求消息，所述数据请求消息中包含所述唯一会话标识和所述第一令牌，若所述子系统服务器是与所述第一服务器相连的服务器，则所述子系统服务器根据所述唯一会话标识从所述共享存储中心中获取所述第一会话消息，并对所述第一令牌验证，验证通过后，根据所述数据请求消息将对应的服务数据发送至所述客户端，若所述子系统服务器是与所述第二子系统服务器相连的服务器，则所述子系统服务器拒绝所述客户端发送的数据请求；或，针对任一子系统服务器，所述客户端向该子系统所对应的子系统服务器发送数据请求消息，所述数据请求消息中包含所述唯一会话标识和所述第二令牌，所述子系统服务器根据所述唯一会话标识从所述共享存储中心中获取所述第二会话消息，并对所述第二令牌验证，验证通过后，根据所述数据请求消息将对应的服务数据发送至所述客户端。

具体的，针对图3中的任一子系统，已完成登录的用户访问该子系统服务器，该子系统服务器通过该用户访问请求中携带的唯一会话标识到共享存储中心中获取该用户所对应的会话消息，并在会话消息中获取该用户的唯一会话标识所对应的令牌。

即，若该用户为外部用户，该用户的唯一会话标识所对应的令牌为第一令牌，该子系统服务器根据第一令牌判断该用户为外部用户，只能访问第一服务器所对应的多个子系统，若该子系统服务器是与第一服务器相连的子系统服务器，则该子系统服务器将用户请求的服务数据发送至该用户，若该子系统服务器不是与第一服务器相连的子系统，说明外部用户请求访问只有内部用户有权限访问的子系统，则该子系统服务器拒绝该用户的数据请求。

若该用户为内部用户，该用户的唯一会话标识所对应的令牌为第二令牌，该子系统服务器根据第二令牌判断该用户为内部用户，由于内部用户拥有访问所有子系统的权限，则子系统服务器直接将用户请求访问的服务数据发送至用户所对应的客户端。

本发明实施例提供了一种用户鉴权方法，在用户鉴权系统中增加共享存储中心，第一服务器将为外部用户创建的第一会话消息存储至该共享存储中心，第二服务器将为内部用户创建的第二会话消息存储至共享该共享存储中心，使得用户可以直接访问第一服务器所对应的任一子系统服务器，或访问第二服务器所对应的任一子系统服务器。子系统服务器通过在共享存储中心中获取用户所对应的会话消息，并根据会话消息中的令牌信息判断该用户的访问权限，实现内部用户和外部用户的权限鉴别，从而进一步降低了第一服务器和第二服务器的计算开销和存储开销。

图4为本发明实施例提供的一种用户鉴权系统示意图，结合图4，该系统包括：客户端41、第一服务器42和第二服务器43，该系统用于：

当用户通过客户端41首次登录系统时，所述客户端41向所述第一服务器42发送登录请求消息，所述登录请求消息中携带所述用户的登录凭证信息；

所述第一服务器42通过预获取的所述系统的外部用户的注册表单和所述用户的登录凭证信息对用户进行鉴权，若所述第一服务器42对所述用户鉴权成功，则所述第一服务器42为所述用户建立第一会话消息，并向所述客户端41发送唯一会话标识和第一令牌，以指示所述客户端41通过所述唯一会话标识和所述第一令牌访问所述第一服务器42所对应的子系统，其中，所述第一会话消息中包含所述唯一会话标识和所述第一令牌的唯一映射关系；

若所述第一服务器42对所述用户鉴权失败，则所述第一服务器42调用所述第二服务器43的鉴权接口，请求所述第二服务器43对所述用户进行鉴权；

若所述第二服务器43通过预获取的所述系统的内部用户的注册表单和所述用户的登录凭证信息通过对所述用户的鉴权，则所述第二服务器43为所述用户建立第二会话消息并向所述第一服务器42发送所述唯一会话标识和第二令牌，所述第一服务器42向所述客户端41发送所述唯一会话标识和所述第二令牌，以指示所述客户端41通过所述唯一会话标识和所述第二令牌访问所述第一服务器42所对应的子系统和所述第二服务器43所对应的子系统，其中，所述第二会话消息中包含所述唯一会话标识和所述第二令牌的唯一映射关系。

进一步的，该系统还用于：

所述第一服务器42接收所述客户端41发送的数据请求消息，所述数据请求消息中包含所述用户请求访问的子系统的标识、所述唯一会话标识和所述第一令牌；

若所述第一服务器42根据所述子系统的标识判断所述子系统为所述第一服务器42所对应的子系统，则所述第一服务器42将所述数据请求消息中所携带的第一令牌和所述第一会话消息中的第一令牌进行匹配；

若匹配成功，则所述第一服务器42根据所述数据请求消息，获取对应的服务数据，并将所述对应的服务数据发送至所述客户端41。

进一步的，该系统还用于：

所述第一服务器42接收所述客户端41发送的数据请求消息，所述数据请求消息中包含所述用户请求访问的子系统的标识、所述唯一会话标识和所述第二令牌；

若所述第一服务器42根据所述子系统的标识判断所述子系统为所述第一服务器42所对应的子系统，则所述第一服务器42将所述数据请求消息中所携带的第二令牌和所述第二会话消息中的第二令牌进行匹配，若匹配成功，则所述第一服务器42根据所述数据请求消息，获取对应的服务数据，并将所述对应的服务数据发送至所述客户端41；

若所述第一服务器42根据所述子系统的标识判断所述子系统不是所述第一服务器42所对应的子系统，则所述第一服务器42将所述数据请求消息发送至所述第二服务器43；

若所述第二服务器43根据所述子系统的标识判断所述子系统为所述第二服务器43所对应的子系统，则所述第二服务器43根据所述数据请求消息中所携带的第二令牌和所述第二会话消息中的第二令牌进行匹配，若匹配成功，则所述第二服务器43根据所述数据请求消息，获取对应的服务数据并发送至所述第一服务器42，以使得所述第一服务器42将所述服务数据发送至所述客户端41。

进一步的，该系统还用于：

所述第一服务器42接收所述客户端41发送的注销请求消息，所述注销请求消息包含所述唯一会话标识；

所述第一服务器42根据所述唯一会话标识确定并删除所述第一会话消息；或，

所述第一服务器42和所述第二服务器43根据所述唯一会话标识确定并删除所述第二会话消息。

进一步的，该系统还用于：

所述第一服务器42为所述第一会话消息创建时间戳，或，所述第一服务器42和所述第二服务器43为所述第二会话消息创建时间戳；

若在预设时间内所述第一服务器42没有接收到所述客户端41发送的数据请求消息，则所述第一服务器42删除所述第一会话消息；

或，若在所述预设时间内所述第一服务器42和所述第二服务器43没有接收到所述客户端41发送的数据请求消息，则所述第一服务器42和所述第二服务器43删除所述第二会话消息。

进一步的，该系统还用于：

所述第一服务器42建立所述第二令牌与所述第二服务器43的映射关系；

当所述用户通过所述客户端41再次登录所述系统时，所述用户向所述第一服务器42发送登录请求消息，所述登录请求消息中包含所述用户的登录凭证信息和令牌信息；

若所述令牌信息为所述第一令牌，则所述第一服务器42根据所述用户的登录凭证信息对所述用户进行鉴权；

若所述令牌信息为所述第二令牌，则所述第一服务器42根据所述第二令牌与所述第二服务器43的映射关系，将所述登录请求消息发送至所述第二服务器43，以使得所述第二服务器43对所述用户进行鉴权。

进一步的，所述第一服务器42分别与多个子系统服务器相连，所述第二服务器43分别与多个子系统服务器相连，该系统还用于：

所述第一服务器42将所述第一会话消息存储至共享存储中心，或，所述第二服务器43将所述第二会话消息存储至共享存储中心；

针对任一子系统，所述客户端41向该子系统所对应的子系统服务器发送数据请求消息，所述数据请求消息中包含所述唯一会话标识和所述第一令牌，若所述子系统服务器是与所述第一服务器42相连的服务器，则所述子系统服务器根据所述唯一会话标识从所述共享存储中心中获取所述第一会话消息，并对所述第一令牌验证，验证通过后，根据所述数据请求消息将对应的服务数据发送至所述客户端41，若所述子系统服务器是与所述第二子系统服务器相连的服务器，则所述子系统服务器拒绝所述客户端41发送的数据请求；

或，针对任一子系统服务器，所述客户端41向该子系统所对应的子系统服务器发送数据请求消息，所述数据请求消息中包含所述唯一会话标识和所述第二令牌，所述子系统服务器根据所述唯一会话标识从所述共享存储中心中获取所述第二会话消息，并对所述第二令牌验证，验证通过后，根据所述数据请求消息将对应的服务数据发送至所述客户端41。

本发明实施例提供了一种用户鉴权系统，包括客户端、第一服务器和第二服务器，第一服务器维护外部用户的注册信息，第一服务器对应外部用户具有访问权限的子系统，第二服务器维护内部用户的注册信息，第二服务器对应内部用户有权限访问，而外部用户无权限访问的子系统。当用户首次登陆系统时，向第一服务器发送登录请求消息，若该用户为外部用户，由第一服务器对该用户的身份进行鉴权，并向该用户发送第一令牌，用于指示该用户为外部用户，使得该用户通过第一令牌访问第一服务器所对应的子系统，即外部用户拥有访问权限的子系统。若该用户为内部用户，则第一服务器无法完成对该用户身份的鉴权，请求由第二服务器对该用户的身份进行鉴权。第二服务器完成对该用户的鉴权后，通过第一服务器向该用户发送第二令牌，同时第一服务器维护第二服务器为该用户创建的第二会话消息，使得该用户通过第二令牌，既可以访问第一服务器所对应的子系统，又可以访问第二服务器所对应的子系统。通过这种方法，不但完成了对内部用户和外部用户权限的区分，也降低了单台服务器的计算开销和存储开销。

图5为本发明实施例提供的一种终端设备的示意图，该终端设备为图3或图4所示的用户鉴权系统中的任一设备，如图5所示，该实施例的终端设备5包括：处理器50、存储器51以及存储在所述存储器51中并可在所述处理器50上运行的计算机程序52，例如用户鉴权程序。所述处理器50执行所述计算机程序52时实现上述各个用户鉴权方法实施例中的步骤，例如图1所示的步骤101至105。

示例性的，所述计算机程序52可以被分割成一个或多个模块/单元，所述一个或者多个模块/单元被存储在所述存储器51中，并由所述处理器50执行，以完成本发明。所述一个或多个模块/单元可以是能够完成特定功能的一系列计算机程序指令段，该指令段用于描述所述计算机程序52在所述终端设备5中的执行过程。

所述终端设备5可以是桌上型计算机、笔记本、掌上电脑及云端服务器等计算设备。所述终端设备可包括，但不仅限于，处理器50、存储器51。本领域技术人员可以理解，图5仅仅是终端设备5的示例，并不构成对终端设备5的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件，例如所述终端设备还可以包括输入输出设备、网络接入设备、总线等。

所述处理器50可以是中央处理单元(Central Processing Unit，CPU)，还可以是其他通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。

所述存储器51可以是所述终端设备5的内部存储单元，例如终端设备5的硬盘或内存。所述存储器51也可以是所述终端设备5的外部存储设备，例如所述终端设备5上配备的插接式硬盘，智能存储卡(Smart Media Card,SMC)，安全数字(Secure Digital,SD)卡，闪存卡(Flash Card)等。进一步地，所述存储器51还可以既包括所述终端设备5的内部存储单元也包括外部存储设备。所述存储器51用于存储所述计算机程序以及所述终端设备所需的其他程序和数据。所述存储器51还可以用于暂时地存储已经输出或者将要输出的数据。

本发明实施例还提供一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行时实现上述任一实施例所述用户鉴权方法的步骤。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-OnlyMemory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使对应技术方案的本质脱离本发明各实施例技术方案的精神和范围，均应包含在本发明的保护范围之内。

Claims (10)

1.一种用户鉴权方法，其特征在于，该方法包括：

当用户通过客户端首次登录系统时，所述客户端向所述第一服务器发送登录请求消息，所述登录请求消息中携带所述用户的登录凭证信息；

所述第一服务器通过预获取的所述系统的外部用户的注册表单和所述用户的登录凭证信息对用户进行鉴权，若所述第一服务器对所述用户鉴权成功，则所述第一服务器为所述用户建立第一会话消息，并向所述客户端发送唯一会话标识和第一令牌，以指示所述客户端通过所述唯一会话标识和所述第一令牌访问所述第一服务器所对应的子系统，其中，所述第一会话消息中包含所述唯一会话标识和所述第一令牌的唯一映射关系；

若所述第一服务器对所述用户鉴权失败，则所述第一服务器调用所述第二服务器的鉴权接口，请求所述第二服务器对所述用户进行鉴权；

若所述第二服务器通过预获取的所述系统的内部用户的注册表单和所述用户的登录凭证信息通过对所述用户的鉴权，则所述第二服务器为所述用户建立第二会话消息并向所述第一服务器发送所述唯一会话标识和第二令牌，所述第一服务器向所述客户端发送所述唯一会话标识和所述第二令牌，以指示所述客户端通过所述唯一会话标识和所述第二令牌访问所述第一服务器所对应的子系统和所述第二服务器所对应的子系统，其中，所述第二会话消息中包含所述唯一会话标识和所述第二令牌的唯一映射关系。

2.根据权利要求1所述的用户鉴权方法，其特征在于，该方法还包括：

所述第一服务器接收所述客户端发送的数据请求消息，所述数据请求消息中包含所述用户请求访问的子系统的标识、所述唯一会话标识和所述第一令牌；

若所述第一服务器根据所述子系统的标识判断所述子系统为所述第一服务器所对应的子系统，则所述第一服务器将所述数据请求消息中所携带的第一令牌和所述第一会话消息中的第一令牌进行匹配；

若匹配成功，则所述第一服务器根据所述数据请求消息，获取对应的服务数据，并将所述对应的服务数据发送至所述客户端。

3.根据权利要求1所述的用户鉴权方法，其特征在于，该方法还包括：

所述第一服务器接收所述客户端发送的数据请求消息，所述数据请求消息中包含所述用户请求访问的子系统的标识、所述唯一会话标识和所述第二令牌；

若所述第一服务器根据所述子系统的标识判断所述子系统为所述第一服务器所对应的子系统，则所述第一服务器将所述数据请求消息中所携带的第二令牌和所述第二会话消息中的第二令牌进行匹配，若匹配成功，则所述第一服务器根据所述数据请求消息，获取对应的服务数据，并将所述对应的服务数据发送至所述客户端；

若所述第一服务器根据所述子系统的标识判断所述子系统不是所述第一服务器所对应的子系统，则所述第一服务器将所述数据请求消息发送至所述第二服务器；

若所述第二服务器根据所述子系统的标识判断所述子系统为所述第二服务器所对应的子系统，则所述第二服务器根据所述数据请求消息中所携带的第二令牌和所述第二会话消息中的第二令牌进行匹配，若匹配成功，则所述第二服务器根据所述数据请求消息，获取对应的服务数据并发送至所述第一服务器，以使得所述第一服务器将所述服务数据发送至所述客户端。

4.根据权利要求1-3任一项所述的用户鉴权方法，其特征在于，该方法还包括：

所述第一服务器接收所述客户端发送的注销请求消息，所述注销请求消息包含所述唯一会话标识；

所述第一服务器根据所述唯一会话标识确定并删除所述第一会话消息；或，

所述第一服务器和所述第二服务器根据所述唯一会话标识确定并删除所述第二会话消息。

5.根据权利要求1-3任一项所述的用户鉴权方法，其特征在于，该方法还包括：

所述第一服务器为所述第一会话消息创建时间戳，或，所述第一服务器和所述第二服务器为所述第二会话消息创建时间戳；

若在预设时间内所述第一服务器没有接收到所述客户端发送的数据请求消息，则所述第一服务器删除所述第一会话消息；

或，若在所述预设时间内所述第一服务器和所述第二服务器没有接收到所述客户端发送的数据请求消息，则所述第一服务器和所述第二服务器删除所述第二会话消息。

6.根据权利要求1所述的用户鉴权方法，其特征在于，该方法还包括：

所述第一服务器建立所述第二令牌与所述第二服务器的映射关系；

当所述用户通过所述客户端再次登录所述系统时，所述用户向所述第一服务器发送登录请求消息，所述登录请求消息中包含所述用户的登录凭证信息和令牌信息；

若所述令牌信息为所述第一令牌，则所述第一服务器根据所述用户的登录凭证信息对所述用户进行鉴权；

若所述令牌信息为所述第二令牌，则所述第一服务器根据所述第二令牌与所述第二服务器的映射关系，将所述登录请求消息发送至所述第二服务器，以使得所述第二服务器对所述用户进行鉴权。

7.根据权利要求1所述的用户鉴权方法，其特征在于，所述第一服务器分别与多个子系统服务器相连，所述第二服务器分别与多个子系统服务器相连，该方法还包括：

所述第一服务器将所述第一会话消息存储至共享存储中心，或，所述第二服务器将所述第二会话消息存储至共享存储中心；

针对任一子系统，所述客户端向该子系统所对应的子系统服务器发送数据请求消息，所述数据请求消息中包含所述唯一会话标识和所述第一令牌，若所述子系统服务器是与所述第一服务器相连的服务器，则所述子系统服务器根据所述唯一会话标识从所述共享存储中心中获取所述第一会话消息，并对所述第一令牌验证，验证通过后，根据所述数据请求消息将对应的服务数据发送至所述客户端，若所述子系统服务器是与所述第二子系统服务器相连的服务器，则所述子系统服务器拒绝所述客户端发送的数据请求；

或，针对任一子系统服务器，所述客户端向该子系统所对应的子系统服务器发送数据请求消息，所述数据请求消息中包含所述唯一会话标识和所述第二令牌，所述子系统服务器根据所述唯一会话标识从所述共享存储中心中获取所述第二会话消息，并对所述第二令牌验证，验证通过后，根据所述数据请求消息将对应的服务数据发送至所述客户端。

8.一种用户鉴权系统，其特征在于，该系统包括客户端、第一服务器和第二服务器，该系统用于：

当用户通过客户端首次登录系统时，所述客户端向所述第一服务器发送登录请求消息，所述登录请求消息中携带所述用户的登录凭证信息；

所述第一服务器通过预获取的所述系统的外部用户的注册表单和所述用户的登录凭证信息对用户进行鉴权，若所述第一服务器对所述用户鉴权成功，则所述第一服务器为所述用户建立第一会话消息，并向所述客户端发送唯一会话标识和第一令牌，以指示所述客户端通过所述唯一会话标识和所述第一令牌访问所述第一服务器所对应的子系统，其中，所述第一会话消息中包含所述唯一会话标识和所述第一令牌的唯一映射关系；

若所述第一服务器对所述用户鉴权失败，则所述第一服务器调用所述第二服务器的鉴权接口，请求所述第二服务器对所述用户进行鉴权；

若所述第二服务器通过预获取的所述系统的内部用户的注册表单和所述用户的登录凭证信息通过对所述用户的鉴权，则所述第二服务器为所述用户建立第二会话消息并向所述第一服务器发送所述唯一会话标识和第二令牌，所述第一服务器向所述客户端发送所述唯一会话标识和所述第二令牌，以指示所述客户端通过所述唯一会话标识和所述第二令牌访问所述第一服务器所对应的子系统和所述第二服务器所对应的子系统，其中，所述第二会话消息中包含所述唯一会话标识和所述第二令牌的唯一映射关系。

9.根据权利要求8所述的用户鉴权系统，其特征在于，该系统还用于：

所述第一服务器接收所述客户端发送的数据请求消息，所述数据请求消息中包含所述用户请求访问的子系统的标识、所述唯一会话标识和所述第一令牌；

若所述第一服务器根据所述子系统的标识判断所述子系统为所述第一服务器所对应的子系统，则所述第一服务器将所述数据请求消息中所携带的第一令牌和所述第一会话消息中的第一令牌进行匹配；

若匹配成功，则所述第一服务器根据所述数据请求消息，获取对应的服务数据，并将所述对应的服务数据发送至所述客户端。

10.根据权利要求8所述的用户鉴权系统，其特征在于，该系统还用于：

所述第一服务器接收所述客户端发送的数据请求消息，所述数据请求消息中包含所述用户请求访问的子系统的标识、所述唯一会话标识和所述第二令牌；

若所述第一服务器根据所述子系统的标识判断所述子系统为所述第一服务器所对应的子系统，则所述第一服务器将所述数据请求消息中所携带的第二令牌和所述第二会话消息中的第二令牌进行匹配，若匹配成功，则所述第一服务器根据所述数据请求消息，获取对应的服务数据，并将所述对应的服务数据发送至所述客户端；

若所述第一服务器根据所述子系统的标识判断所述子系统不是所述第一服务器所对应的子系统，则所述第一服务器将所述数据请求消息发送至所述第二服务器；

若所述第二服务器根据所述子系统的标识判断所述子系统为所述第二服务器所对应的子系统，则所述第二服务器根据所述数据请求消息中所携带的第二令牌和所述第二会话消息中的第二令牌进行匹配，若匹配成功，则所述第二服务器根据所述数据请求消息，获取对应的服务数据并发送至所述第一服务器，以使得所述第一服务器将所述服务数据发送至所述客户端。