CN109639649A - 一种单点登录方法 - Google Patents

Abstract

本发明提供了一种单点登录方法，包括如下步骤：步骤S10、客户端登录权限服务器；步骤S20、权限服务器创建一用于身份验证的第一令牌以及一用于会话刷新保持的第二令牌并进行保存；步骤S30权限服务器将第一令牌以及第二令牌发送给客户端；客户端将第一令牌以及第二令牌存储至cookie中；步骤S40、客户端利用cookie访问资源服务器。本发明的优点在于：提高了单点登录的安全性以及对会话保持进行有效控制。

Description

一种单点登录方法

技术领域

本发明涉及信息技术领域，特别指一种单点登录方法。

背景技术

随着时代的发展，许多公司都有多个办公业务系统用于办理不同的业务。然而，当用户需要分别访问多个办公业务系统时，需要进行多次的登陆操作，导致用户需要记录的密码众多，严重影响了用户的体验，而且对密码进行保护也十分繁杂。

针对上述情况，传统的做法是通过单点登录机制实现用户一次登陆办公业务系统，多个办公业务系统共享会话信息，解决多次登录的问题。具体实现技术如下：当用户第一次访问办公业务系统时，引导到权限系统中进行登录，权限系统依据用户提供的登录信息进行身份校验，校验通过则返回一个token(令牌)作为认证凭据，而token通过cookie(浏览器缓存)技术保持在用户的浏览器中；当用户访问别的办公业务系统时，浏览器将token作为认证的凭证发送给别的办公业务系统，别的办公业务系统将token发送到权限系统中进行校验，校验通过即可登录。

但是，传统的做法存在有如下缺点：没有很好的实现单点登录的会话刷新与保持；刷新频率过高会导致系统性能下降，反之若不能及时刷新会话将不能达到保持会话在线的目的；且未考虑到会话保持的最大时长，用户可通过会话刷新一直保持在线，产生一定的安全隐患。

发明内容

本发明要解决的技术问题，在于提供一种单点登录方法，用于提高单点登录的安全性以及对会话保持进行有效控制。

本发明是这样实现的：一种单点登录方法，所述方法包括如下步骤：

步骤S10、客户端登录权限服务器；

步骤S20、权限服务器创建一用于身份验证的第一令牌以及一用于会话刷新保持的第二令牌并进行保存；

步骤S30权限服务器将第一令牌以及第二令牌发送给客户端；客户端将第一令牌以及第二令牌存储至cookie中；

步骤S40、客户端利用cookie访问资源服务器。

进一步地，所述步骤S10具体为：

客户端将用户输入的登录信息发送至权限服务器进行身份验证，若验证通过，则进入步骤S20；若验证不通过，则结束流程；

进一步地，所述步骤S20具体为：

权限服务器创建一用于身份验证的第一令牌，并在所述第一令牌的基础上创建一用于会话刷新保持的第二令牌，并将所述第一令牌以及第二令牌存储至权限服务器的缓存中。

进一步地，所述第一令牌设置一第一时限，所述第二令牌设置一第二时限；权限服务器创建一第三时限。

进一步地，所述第一时限小于所述第二时限，所述第二时限小于所述第三时限。

进一步地，所述步骤S40具体为：

步骤S41、客户端利用第一令牌以及第二令牌向会话过滤器发送访问资源服务器的验证请求，若验证通过，则进入步骤S42；若验证不通过，则结束流程；

步骤S42、允许客户端访问资源服务器。

进一步地，所述步骤S41具体为：

步骤S411、客户端利用第一令牌向会话过滤器发送访问资源服务器的验证请求，验证请求附带上客户端的ip，会话过滤器判断第一令牌是否存储于权限服务器，是，则进入步骤S412；否，则结束流程；

步骤S412、会话过滤器判断发送第一令牌所使用的ip与客户端的ip是否一致，若一致，则进入步骤S413；若不一致，则结束流程；

步骤S413、会话过滤器判断第一时限是否超时，若未超时，则进入步骤S42；若超时，则进入步骤S414；

步骤S414、客户端将存储在cookie中的第二令牌发送给权限服务器，权限服务器判断接收的第二令牌与存储在缓存中的第一令牌是否匹配，若匹配，则进入步骤S415；若不匹配，则结束流程；

步骤S415、权限服务器判断第二时限是否超时，若未超时，则进入步骤S417；若超时，则进入步骤S416；

步骤S416、权限服务器判断第二时限的刷新总时长是否超过第三时限，若未超过，则进入步骤S417；若超过，则结束流程；

步骤S417、权限服务器刷新第一时限以及第二时限，并进入步骤S30。

本发明的优点在于：

1、提高了单点登录的安全性以及实现了对会话保持进行有效的控制。

2、通过在第一令牌的基础上创建一用于会话刷新保持的第二令牌，便于后期身份验证时判断第一令牌或者第二令牌是否被仿冒，提高了安全性。

3、通过设置第三时限来控制用户登录的最大时长，避免用户一直刷新第二令牌而不下线，进而产生安全隐患。

4、通过设置第一令牌的第一时限以及第二令牌的第二时限，实现了最大空闲时间控制以及登录会话的刷新保持。

附图说明

下面参照附图结合实施例对本发明作进一步的说明。

图1是本发明一种单点登录方法的流程图。

具体实施方式

请参照图1所示，本发明一种单点登录方法的较佳实施例，包括如下步骤：

步骤S10、客户端登录权限服务器；

步骤S20、权限服务器创建一用于身份验证的第一令牌(accessToken)以及一用于会话刷新保持的第二令牌(freshToken)并进行保存；

步骤S30权限服务器将第一令牌以及第二令牌发送给客户端；客户端将第一令牌以及第二令牌存储至cookie中；

步骤S40、客户端利用cookie访问资源服务器。

所述步骤S10具体为：

客户端将用户输入的登录信息发送至权限服务器进行身份验证，若验证通过，则进入步骤S20；若验证不通过，则结束流程；

所述步骤S20具体为：

权限服务器创建一用于身份验证的第一令牌，并在所述第一令牌的基础上创建一用于会话刷新保持的第二令牌，并将所述第一令牌以及第二令牌存储至权限服务器的缓存中。通过在第一令牌的基础上创建一用于会话刷新保持的第二令牌，便于后期身份验证时判断第一令牌或者第二令牌是否被仿冒，提高了安全性。

所述第一令牌设置一第一时限，所述第二令牌设置一第二时限；通过设置第一时限以及第二时限，实现了最大空闲时间控制以及登录会话的刷新保持；权限服务器创建一第三时限；通过设置第三时限来控制用户登录的最大时长，避免用户一直刷新freshToken而不下线，进而产生安全隐患。

所述第一时限小于所述第二时限，所述第二时限小于所述第三时限。

所述步骤S40具体为：

步骤S41、客户端利用第一令牌以及第二令牌向会话过滤器发送访问资源服务器的验证请求，若验证通过，则进入步骤S42；若验证不通过，则结束流程；会话过滤器与权限服务器通过RPC框架保持连接，减少耦合；

步骤S42、允许客户端访问资源服务器。

所述步骤S41具体为：

步骤S411、客户端利用第一令牌向会话过滤器发送访问资源服务器的验证请求，验证请求附带上客户端的ip，会话过滤器判断第一令牌是否存储于权限服务器，是，则进入步骤S412；否，则结束流程；

步骤S412、会话过滤器判断发送第一令牌所使用的ip与客户端的ip是否一致，若一致，则进入步骤S413；若不一致，则结束流程；

步骤S413、会话过滤器判断第一时限是否超时，若未超时，则进入步骤S42；若超时，则进入步骤S414；

步骤S414、客户端将存储在cookie中的第二令牌发送给权限服务器，权限服务器判断接收的第二令牌与存储在缓存中的第一令牌是否匹配，若匹配，则进入步骤S415；若不匹配，则结束流程；

步骤S415、权限服务器判断第二时限是否超时，若未超时，则进入步骤S417；若超时，则进入步骤S416；

步骤S416、权限服务器判断第二时限的刷新总时长是否超过第三时限，若未超过，则进入步骤S417；若超过，则结束流程；

步骤S417、权限服务器刷新第一时限以及第二时限，并进入步骤S30。

第一时限的设置应尽量小，保证用户访问系统时可以及时触发刷新操作，如2秒；

第二时限的设置可以依据用户操作系统的屏保时间设置，如15分钟，当用户在15分钟内没有操作，需要进行刷新以保持会话；

第三时限的设置可以依据实际的情况来确定，如60分钟。

综上所述，本发明的优点在于：

1、提高了单点登录的安全性以及实现了对会话保持进行有效的控制。

2、通过在第一令牌的基础上创建一用于会话刷新保持的第二令牌，便于后期身份验证时判断第一令牌或者第二令牌是否被仿冒，提高了安全性。

3、通过设置第三时限来控制用户登录的最大时长，避免用户一直刷新第二令牌而不下线，进而产生安全隐患。

4、通过设置第一令牌的第一时限以及第二令牌的第二时限，实现了最大空闲时间控制以及登录会话的刷新保持。

虽然以上描述了本发明的具体实施方式，但是熟悉本技术领域的技术人员应当理解，我们所描述的具体的实施例只是说明性的，而不是用于对本发明的范围的限定，熟悉本领域的技术人员在依照本发明的精神所作的等效的修饰以及变化，都应当涵盖在本发明的权利要求所保护的范围内。

Claims (7)

1.一种单点登录方法，其特征在于：所述方法包括如下步骤：

步骤S10、客户端登录权限服务器；

步骤S20、权限服务器创建一用于身份验证的第一令牌以及一用于会话刷新保持的第二令牌并进行保存；

步骤S30权限服务器将第一令牌以及第二令牌发送给客户端；客户端将第一令牌以及第二令牌存储至cookie中；

步骤S40、客户端利用cookie访问资源服务器。

2.如权利要求1所述的一种单点登录方法，其特征在于：所述步骤S10具体为：

客户端将用户输入的登录信息发送至权限服务器进行身份验证，若验证通过，则进入步骤S20；若验证不通过，则结束流程。

3.如权利要求1所述的一种单点登录方法，其特征在于：所述步骤S20具体为：

权限服务器创建一用于身份验证的第一令牌，并在所述第一令牌的基础上创建一用于会话刷新保持的第二令牌，并将所述第一令牌以及第二令牌存储至权限服务器的缓存中。

4.如权利要求3所述的一种单点登录方法，其特征在于：所述第一令牌设置一第一时限，所述第二令牌设置一第二时限；权限服务器创建一第三时限。

5.如权利要求4所述的一种单点登录方法，其特征在于：所述第一时限小于所述第二时限，所述第二时限小于所述第三时限。

6.如权利要求4所述的一种单点登录方法，其特征在于：所述步骤S40具体为：

步骤S41、客户端利用第一令牌以及第二令牌向会话过滤器发送访问资源服务器的验证请求，若验证通过，则进入步骤S42；若验证不通过，则结束流程；

步骤S42、允许客户端访问资源服务器。

7.如权利要求6所述的一种单点登录方法，其特征在于：所述步骤S41具体为：

步骤S411、客户端利用第一令牌向会话过滤器发送访问资源服务器的验证请求，验证请求附带上客户端的ip，会话过滤器判断第一令牌是否存储于权限服务器，是，则进入步骤S412；否，则结束流程；

步骤S412、会话过滤器判断发送第一令牌所使用的ip与客户端的ip是否一致，若一致，则进入步骤S413；若不一致，则结束流程；

步骤S413、会话过滤器判断第一时限是否超时，若未超时，则进入步骤S42；若超时，则进入步骤S414；

步骤S414、客户端将存储在cookie中的第二令牌发送给权限服务器，权限服务器判断接收的第二令牌与存储在缓存中的第一令牌是否匹配，若匹配，则进入步骤S415；若不匹配，则结束流程；

步骤S415、权限服务器判断第二时限是否超时，若未超时，则进入步骤S417；若超时，则进入步骤S416；

步骤S416、权限服务器判断第二时限的刷新总时长是否超过第三时限，若未超过，则进入步骤S417；若超过，则结束流程；

步骤S417、权限服务器刷新第一时限以及第二时限，并进入步骤S30。