CN109743338A - 一种自动登陆的验证方法、系统、服务器及可读存储介质 - Google Patents

Abstract

本申请公开了一种自动登陆的验证方法，区别于现有基于自动登陆凭证方式实现自动登陆目的的方法，本申请在现有生成的自动登陆凭证中增加了凭证有效期，因此即使该自动登陆凭证被第三方窃取到，如果经凭证有效期验证该自动登陆凭证已经失效，第三方就无法通过登陆至用户的个人账户空间，而真正的用户当然可以通过重复输入登陆信息的方式正常登陆至个人账户空间，能够尽可能的防止因自动登陆凭证被窃取导致个人数据丢失的问题出现。本申请还同时公开了一种自动登陆的验证系统、服务器及计算机可读存储介质，具有上述有益效果。

Description

一种自动登陆的验证方法、系统、服务器及可读存储介质

技术领域

本申请涉及登陆验证技术领域，特别涉及一种自动登陆的验证方法、系统、服务器及计算机可读存储介质。

背景技术

为了提升用户的使用体验，多数应用的客户端都开发了自动登陆功能，其原理就是在用户首次登陆至其个人账户空间时记录并保存输入的用户登陆信息(用户名加密码的组合)，之后再需要登陆时，客户端直接利用之前保存的用户登陆信息自动重复执行，进而减少登陆步骤，提升用户体验。

为了减少用户登陆信息在网络上的流通，使用预先保存的用户登陆信息以自动重复执行的方式，逐渐转变为了使用不同于用户登录信息的自动登陆凭证。该自动登陆凭证通常由服务器根据用户注册时发来的登陆认证信息生成，并在生成后返回相应的客户端，以便客户端下次登陆时直接使用该自动登陆凭证就可以通过服务器的验证，进而登陆至个人的账户空间。

虽然该自动登陆凭证并不是简单的用户登陆信息的组合，也无法从中破解得到真正的用户登陆信息，但现今还出现了另一种仿冒登陆窃取用户个人信息的方式，即数据重放。因为自动登陆凭证是以密文的形式存在，只有服务器能够对其进行验证，但第三方通过拖库等手段获取了保存在服务器上的大量自动登陆凭证时，就可以在无需解密的情况下直接将这些自动登陆凭证由自己重新发送给服务器，以将自己仿冒为真正持有该自动登陆凭证的客户端，且由于其发送的是真实的自动登陆凭证，是可以通过这种方式登陆至相应用户的个人账户空间，进而对用户个人数据造成威胁。

因此，如何克服现有采用自动登陆凭证方式实现自动登陆存在的各种技术缺陷，提供一种安全性更高的自动登陆验证方法，是本领域技术人员亟待解决的问题。

发明内容

本申请的主要目的在于提供一种自动登陆的验证方法、系统、服务器及计算机可读存储介质，旨在解决现有基于自动登陆凭证方式实现自动登陆时，第三方易通过数据重放的方式仿冒身份登陆至相应用户的个人账户空间的问题，以尽可能防止通过数据重放方式登陆用户个人账户空间的几率，减少对用户个人数据造成的威胁。

为实现上述目的，本申请提供了一种自动登陆的验证方法，该方法包括：

接收客户端发来的自动登陆凭证；

解密所述自动登陆凭证，得到解密结果，并从所述解密结果中提取得到凭证有效期；

根据所述凭证有效期判断所述自动登陆凭证是否有效；

若根据所述凭证有效期判断所述自动登陆凭证有效，则允许所述客户端使用所述自动登陆凭证登陆至对应的个人账户空间；

若根据所述凭证有效期判断所述自动登陆凭证无效，则不允许所述客户端使用所述自动登陆凭证登陆至对应的个人账户空间。

可选的，在不允许所述客户端使用所述自动登陆凭证登陆至对应的个人账户空间之后，还包括：

向所述客户端返回自动登陆失败的通知信息，以使所述客户端在接收到所述通知信息后重新输入登陆认证信息进行登陆。

可选的，该验证方法还包括：

当所述客户端注册时，接收所述客户端发来的登录认证信息；

按预设规则计算得到所述登陆认证信息的凭证有效期；

加密由所述登陆认证信息和所述凭证有效期构成的数据组合，得到所述自动登陆凭证；

返回所述自动登陆凭证至所述客户端。

可选的，该验证方法还包括：

接收所述客户端随所述自动登陆凭证一并发来的实际客户端特征信息；其中，所述客户端特征信息包括客户端类型、平台类型、操作系统类型、设备类型中的至少一项；

对应的，在根据所述凭证有效期判断所述自动登陆凭证有效后、在允许所述客户端使用所述自动登陆凭证登陆至对应的个人账户空间前，还包括：

从所述解密结果中提取得到真实客户端特征信息；

判断所述实际客户端特征信息是否与所述真实客户端特征信息一致；

若所述实际客户端特征信息与所述真实客户端特征信息一致，则执行允许所述客户端使用所述自动登陆凭证登陆至对应的个人账户空间的步骤；

若所述实际客户端特征信息与所述真实客户端特征信息不一致，则执行所述不允许所述客户端使用所述自动登陆凭证登陆至对应的个人账户空间的步骤。

可选的，该验证方法还包括：

设置每个自动登陆凭证在其凭证有效期内的可使用次数为预设次数。

为实现上述目的，本申请还提供了一种自动登陆的验证系统，该系统包括：

自动登陆凭证接收单元，用于接收客户端发来的自动登陆凭证；

解密及凭证有效期提取单元，用于解密所述自动登陆凭证，得到解密结果，并从所述解密结果中提取得到凭证有效期；

自动登陆凭证有效判断单元，用于根据所述凭证有效期判断所述自动登陆凭证是否有效；

允许登陆判定单元，用于当根据所述凭证有效期判断所述自动登陆凭证有效时，允许所述客户端使用所述自动登陆凭证登陆至对应的个人账户空间；

不允许登陆判定单元，用于当根据所述凭证有效期判断所述自动登陆凭证无效时，不允许所述客户端使用所述自动登陆凭证登陆至对应的个人账户空间。

可选的，该验证系统还包括：

通知信息返回单元，用于在不允许所述客户端使用所述自动登陆凭证登陆至对应的个人账户空间之后，向所述客户端返回自动登陆失败的通知信息，以使所述客户端在接收到所述通知信息后重新输入登陆认证信息进行登陆。

可选的，该验证系统还包括：

登陆认证信息接收单元，用于当所述客户端注册时，接收所述客户端发来的登录认证信息；

凭证有效期计算单元，用于按预设规则计算得到所述登陆认证信息的凭证有效期；

自动登陆凭证生成单元，用于加密由所述登陆认证信息和所述凭证有效期构成的数据组合，得到所述自动登陆凭证；

自动登陆凭证返回单元，用于返回所述自动登陆凭证至所述客户端。

可选的，该验证系统还包括：

实际客户端特征信息接收单元，用于接收所述客户端随所述自动登陆凭证一并发来的实际客户端特征信息；其中，所述实际客户端特征信息包括客户端类型、平台类型、操作系统类型、设备类型中的至少一项；

对应的，该验证系统还包括：

真实客户端特征信息提取单元，用于在根据所述凭证有效期判断所述自动登陆凭证有效后、在允许所述客户端使用所述自动登陆凭证登陆至对应的个人账户空间前，从所述解密结果中提取得到真实客户端特征信息；

客户端特征信息一致判断单元，用于判断所述实际客户端特征信息是否与所述真实客户端特征信息一致；

允许登陆执行单元，用于当所述实际客户端特征信息与所述真实客户端特征信息一致时，执行允许所述客户端使用所述自动登陆凭证登陆至对应的个人账户空间的步骤；

不允许登陆执行单元，用于当所述实际客户端特征信息与所述真实客户端特征信息不一致时，执行所述不允许所述客户端使用所述自动登陆凭证登陆至对应的个人账户空间的步骤。

可选的，该验证系统还包括：

使用次数设置单元，用于设置每个自动登陆凭证在其凭证有效期内的可使用次数为预设次数。

为实现上述目的，本申请还进一步提供了一种服务器，所述服务器包括存储器、处理器以及总线，所述存储器上存储有可在所述处理器上运行的自动登陆验证程序，所述自动登陆验证程序被所述总线传输至所述处理器，并在被所述处理器执行时实现如上述内容所描述的自动登陆的验证方法。

为实现上述目的，本申请还进一步提供了一种计算机可读存储介质，所述计算机可读存储介质上存储有自动登陆验证程序，所述自动登陆验证程序可被一个或者多个处理器执行，以实现如上述内容所描述的自动登陆的验证方法。

显然，本申请提供的自动登陆的验证方法，区别于现有基于自动登陆凭证方式实现自动登陆目的的方法，本申请在现有生成的自动登陆凭证中增加了凭证有效期，因此即使该自动登陆凭证被第三方窃取到，如果经凭证有效期验证该自动登陆凭证已经失效，第三方就无法通过登陆至用户的个人账户空间，而真正的用户当然可以通过重复输入登陆信息的方式正常登陆至个人账户空间，能够尽可能的防止因自动登陆凭证被窃取导致个人数据丢失的问题出现。本申请同时还提供了一种自动登陆的验证系统、服务器及计算机可读存储介质，具有上述有益效果，在此不再赘述。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本申请实施例提供的一种自动登陆的验证方法的流程图；

图2为本申请实施例提供的自动登陆的验证方法中客户端注册在服务器上时的流程图；

图3为本申请实施例提供的另一种自动登陆的验证方法的流程图；

图4为本申请实施例提供的一种自动登陆的验证系统的结构框图；

图5为本申请实施例提供的一种服务器的结构示意图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”、“第三”、“第四”等(如果存在)是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的实施例能够以除了在这里图示或描述的内容以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

需要说明的是，在本发明中涉及“第一”、“第二”等的描述仅用于描述目的，而不能理解为指示或暗示其相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”的特征可以明示或者隐含地包括至少一个该特征。另外，各个实施例之间的技术方案可以相互结合，但是必须是以本领域普通技术人员能够实现为基础，当技术方案的结合出现相互矛盾或无法实现时应当认为这种技术方案的结合不存在，也不在本发明要求的保护范围之内。

实施例一

请参见图1，图1为本申请实施例提供的一种自动登陆的验证方法的流程图，需要说明的是，本实施例所提供的方案应用于对来自客户端的自动登陆凭证进行验证的服务器，即由服务器通过对接收到的自动登陆凭证进行验证来判别发来该自动登陆凭证的客户端能够进行登陆操作，其包括以下步骤：

S101：接收客户端发来的自动登陆凭证；

本步骤旨在接收由客户端发来的自动登陆凭证，该自动登陆凭证用于使该客户端在无需用户输入登陆信息的基础上自动登陆至服务器上的个人账户空间。该自动登陆凭证是由服务器在该客户端首次登陆时(注册)根据用户登录认证信息生成的，并在生成后返回给相应的客户端，以使客户端之后只需要使用该自动登陆凭证就可以便捷、快速的登陆至个人账户空间。

进一步的，除该自动登陆凭证之外，客户端在试图进行登陆时，还可能根据登陆机制存在的特殊要求，发送一些其它的、辅助验证用的参数，例如客户端特征信息、认证随机数、时间戳等等，其中，客户端特征信息又可包括例如客户端类型、设备类型、操作系统类型等等，可用于进一步验证视图登陆用户个人账户空间的客户端是否不同于注册时的客户端，以减少仅验证自动登陆凭证时可能存在的漏洞。

S102：解密自动登陆凭证，得到解密结果，并从解密结果中提取得到凭证有效期；

在S101的基础上，由于该自动登陆凭证通常是以密文形式存在，因此首先需要进行解密，并从解密结果中提取一些可用于验证的信息来完成验证。本步骤旨在从解密结果中提取得到该自动登陆凭证的凭证有效期。应当理解的是，之所以能够从中提取得到凭证有效期，是因为本申请在现有生成自动登陆凭证的基础上，还加入了有效期机制，使得每个自动登陆凭证均拥有其各自的有效期。即通过引入有效期机制，使得每个自动登陆凭证将会在一定时间后失效，而失效的自动登陆凭证将无法通过验证，也就无法登陆至真正用户的个人账户，从而尽可能的减少窃取到该自动登陆凭证的第三方利用该自动登陆凭证来登陆至真正用户的个人账户空间的几率，保护用户个人数据的安全。

举个例子，由于现有技术下的自动登陆凭证并未引入有效期机制，使得一个用户的自动登陆凭证可以无限期的多次使用，当保存该自动登陆凭证的数据库被拖库，第三方就可以直接使用该自动登陆凭证无限制的登陆至真正用户的个人账户空间。在本申请引入有效期机制后，在自动登陆凭证被窃取后，存在两种可能，一种是在被窃取或被真正使用时已经过了该自动登陆凭证的有效期，这种情况将因额外引入的有效期机制很好的防止用户个人数据的泄露；另一种是在被真正使用时还未过该自动登陆凭证的有效期，针对此种情况，无法很好的防止用户个人数据的泄露。

更进一步的，为了尽可能的减少上述第二种情况(被真正使用时还未过该自动登陆凭证的有效期)下对用户个人数据的泄露，还可以在有效期的基础上引入使用次数限制机制，极端一点可以将有效期内的自动登陆凭证的可使用次数设置为1次，这样可以尽可能的减少用户个人数据的泄露。同理，还可以引入对单次登陆的时长限制机制，以防止第三方在登陆上后就长时间在线的方式出现，也能够尽可能的减少用户个人数据的泄露。

需要说明的是，引入的有效期机制、使用次数限制机制以及时长限制机制的具体参数此处均不作具体限定，例如一个自动登陆凭证的有效期可以设定为1天、2两、一周或者12小时等等，可以根据实际应用场景的要求灵活选择最合适的参数。

S103：根据凭证有效期判断自动登陆凭证是否有效；

在S102的基础上，本步骤旨在根据提取得到的凭证有效期来判断对应的自动登陆凭证是否有效，即通过凭证有效期的有效期上限与当前时间点进行比较，若当前时间点在时间轴上排列于有效期上限之后，则说明对应的自动登陆凭证已经过了有效期，也就是无效，无法用于自动登陆；反之，若有效期上限在时间轴上排列于当前时间点之后，则说明对应的自动登陆凭证还处在有效期内，也就是有效，可用于自动登陆。

S104：允许客户端使用自动登陆凭证登陆至对应的个人账户空间；

本步骤建立在S103的判断结果为根据凭证有效期判断自动登陆凭证有效的基础上，由于该自动登陆凭证经凭证有效期判定还在有效期内，因此将允许客户端使用自动登陆凭证登陆至对应的个人账户空间。

S105：不允许客户端使用自动登陆凭证登陆至对应的个人账户空间。

本步骤建立在S103的判断结果为根据凭证有效期判断自动登陆凭证无效的基础上，由于该自动登陆凭证经凭证有效期判定已经超出有效期，因此将不允许客户端使用自动登陆凭证登陆至对应的个人账户空间。

进一步的，在不允许客户端使用自动登陆凭证登陆至对应的个人账户空间之后，还可以向客户端返回自动登陆失败的通知信息，以使客户端在接收到该通知信息后重新输入登陆认证信息进行登陆。即在无法使用自动登陆凭证进行自动登陆时，向客户端及时反馈，以使用户重新输入登陆认证信息来登陆。真正的用户当然没有问题，而第三方窃取者将因没有真正的登陆认证信息而丧失登陆至用户个人账户空间的机会。

基于上述技术方案，区别于现有基于自动登陆凭证方式实现自动登陆目的的方法，本申请在现有生成的自动登陆凭证中增加了凭证有效期，因此即使该自动登陆凭证被第三方窃取到，如果经凭证有效期验证该自动登陆凭证已经失效，第三方就无法通过登陆至用户的个人账户空间，而真正的用户当然可以通过重复输入登陆信息的方式正常登陆至个人账户空间，能够尽可能的减少因自动登陆凭证被窃取导致个人数据丢失问题的出现几率。

实施例二

请参见图2，图2为本申请实施例提供的自动登陆的验证方法中客户端注册在服务器上时的流程图，包括如下步骤：

S201：当客户端注册时，接收客户端发来的登录认证信息；

客户端注册的过程，也就是客户端在该服务器上创建个人账户空间的过程，也就是首次登陆至服务器的过程，为了能够生成自动凭证需要接收客户端发来的登陆认证信息。具体的，该登陆认证信息可以用户用于登陆的用户名和密码、注册时的时间、注册时所使用的设备的类型、操作系统类型、唯一识别码、注册使用的应用程序的类型、固件版本号等等。进一步的，为了防止完整的用户名和密码被传输至服务器，还可以设置这部分内容在客户端发送至服务器之前，对其进行加固处理，即将不完整的用户名和密码发往服务器，但加固后的用户名和密码与完整的用户名和密码存在唯一对应关系。

S202：按预设规则计算得到登陆认证信息的凭证有效期；

在S201的基础上，本步骤旨在按照预先设定好的规则来计算将根据登陆认证信息生成的自动登陆凭证的有效期，即凭证有效期。其中，该预设规则可基于多种原则制定得到，例如按照不同客户端的类型，客户端账号的VIP等级、所在地区、服务器状态等等，此处并不做具体限定，目的在于为将生成的自动登陆凭证引入有效期机制，使其的可用性受到有效期的制约。

S203：加密由登陆认证信息和凭证有效期构成的数据组合，得到自动登陆凭证；

在S202的基础上，本步骤对应实施例一种的S102步骤，即加密由登陆认证信息和凭证有效期构成的数据组合，得到以密文形式存在的自动登陆凭证。需要说明的是，本步骤将登陆认证信息和凭证有效期加密为数据组合所使用的加密算法可以为任意一种服务器支持且具有加密能力的算法，例如DES(Data Encryption Standard，数据加密标准)算法、AES(Advanced Encryption Standard，高级加密标准)算法，以及这两种的各种变种加密算法等等，加密操作只是为了不让登陆认证信息和凭证有效期以明文形式存在且进行传输，同时还包含一定封装、打包的操作。由于本申请的发明点并不在于如何加密，如何对怎样的内容进行加密，其本领域技术人员可在本步骤内容对应的思想下给出多种具体实现方式，此处不再一一列举。

除了上述基于凭证有效期对减少直接使用无限制的自动登陆凭证登陆用户个人空间所造成的影响之外，还可以基于在形成自动登陆凭证的过程中增加一些其它可用于验证使用自动登陆凭证登陆的客户端的身份信息，例如可以增加包含于登陆认证信息中的任意项，例如用户名、设备唯一识别码、应用程序类型、客户端类型等等。

S204：返回自动登陆凭证至客户端。

在S203的基础上，本步骤旨在由服务器将生成的自动登陆凭证返回至相应的客户端，后续可接实施例一自S101开始的后续步骤。

本实施例在实施例一的基础上，提供了一种服务器如何生成自动登陆凭证的方式，以使客户端可以通过服务器返回的自动登陆凭证完成后续的自动登陆操作，使得方案更加完整。

实施例三

请参见图3，图3为本申请实施例提供的另一种自动登陆的验证方法的流程图，本实施例在上述任意实施例的基础上，在进行有效期验证之后、允许登陆之前，还根据和自动登陆凭证一并发来的实际客户端特征信息与包含与自动登陆凭证中的真实客户端特征信息进行对比，来进一步验证是否为真正的用户在尝试登陆，以期进一步的减少用户个人数据泄露的可能性，包括如下步骤：

S301：接收客户端发来的自动登陆凭证和实际客户端特征信息；

本步骤区别于S101，在客户端试图通过自动登陆凭证实现自动登陆目的是，还需要和该自动登陆凭证一道发送一些发出该自动登陆凭证的客户端的特征信息，此处的特征信息被称为实际客户端特征信息。

其中，该实际客户端信息为实际使用自动登陆凭证进行登陆操作的客户端的信息，将用于与包含在自动登陆凭证中的用户在注册时使用的一些身份认证信息进行一致性比对。

S302：解密自动登陆凭证，得到解密结果，并从解密结果中提取得到凭证有效期和真实客户端特征信息；

在S301的基础上，本步骤区别于S102，不仅仅从解密结果中提取得到凭证有效期，还提取得到当初包含于登陆认证信息中的客户端特征信息，由于包含于登陆认证信息中的客户端特征信息是该用户在注册于该服务器时使用的，其代表着真实的客户端特征信息，因此提取得到的客户端特征信息将被称为真实客户端特征信息。

S303：根据凭证有效期判断自动登陆凭证是否有效；

在S303的基础上，本步骤首先执行与S103一样的验证操作，即根据凭证有效期判断自动登陆凭证是否有效。

S304：判断实际客户端特征信息是否与真实客户端特征信息一致；

本步骤建立在S303的判断结果为根据凭证有效期判断自动登陆凭证有效的基础上，还进一步的判断实际客户端特征信息是否与真实客户端特征信息一致，即验证发来该自动登陆凭证的客户端是否与当初注册时使用的客户端一致。为了更加符合实际情况，还可以在确认本次登陆为真正的用户登录时，更新包含于自动登陆凭证中的客户端特征信息，甚至可以在用户登录状态下进行修改。

S305：允许客户端使用自动登陆凭证登陆至对应的个人账户空间；

本步骤建立在S304的判断结果为实际客户端特征信息与真实客户端特征信息一致的基础上，即此时不仅通过了有效期的验证，也通过了客户端的一致性验证，将允许客户端使用自动登陆凭证登陆至对应的个人账户空间。

S306：不允许客户端使用自动登陆凭证登陆至对应的个人账户空间；

本步骤建立在S303的判断结果为根据凭证有效期判断自动登陆凭证无效或S304的判断结果为实际客户端特征信息与真实客户端特征信息不一致的基础上，即并没有完全通过有上述两次验证，因此将不允许客户端使用自动登陆凭证登陆至对应的个人账户空间。

S307：向客户端返回自动登陆失败的通知信息。

在S306的基础上，本步骤还向客户端返回自动登陆失败的通知信息，以使客户端在接收到该通知信息后重新输入登陆认证信息进行登陆。

需要说明的是，本实施例也可以引入自动登陆凭证的使用次数限制机制和单次登陆时长限制机制，在此不再赘述。

为加深理解，本申请还提供了一种具体的生成自动登陆凭证的方法：

AutoLoginKey＝AES(UserId+ExpireTime+DeviceId+ProductType+ClinetType，AES_KEY)

AES_KEY＝MD5SHA512(UserId+加固存储的用户名和密码+DeviceId)；

其中，AutoLoginKey为自动登陆凭证，UserId为用户名，ExpireTime为凭证有效期，DeviceId为设备唯一识别码或唯一识别码的MD5值(一种基于哈希算法计算得到的特征码)、ProductType为应用程序类型、ClientType为客户端类型，该AES_KEY为将UserId+加固处理后的用户名和密码+DeviceId先按照MD5算法再按照SHA512算法进行处理后得到的值。可以看出，此处形成的自动登陆凭证中除凭证有效期外，还包含一些可用于验证实际进行登陆操作的设备的身份的参数，得以使得通过重放的方式假冒登陆至用户个人空间的行为得到进一步的遏制。

在本申请的另一实施例中，其场景特点如下，整个业务系统专门设立有用于验证客户端发来的自动登陆凭证是否可以登陆的验证服务器，业务服务器则是独立于该验证服务器的另一个专门的服务器，客户端在经验证服务器的验证通过后，验证服务器将会将客户端的连接转接至业务服务器(通过创建一个会话ID)，通常条件下业务服务器会无条件的信任验证服务器的验证结果，但在极端情况下无条件的信任可能也是存在漏洞的，因此业务服务器也可以采用类似于客户端与验证服务器间的验证方式向验证服务器发起再验证请求，以进一步增强可靠性的安全性。

因为情况复杂，无法一一列举进行阐述，本领域技术人员应能意识到根据本申请提供的基本方法原理结合实际情况可以存在很多的例子，在不付出足够的创造性劳动下，应均在本申请的保护范围内。

实施例四

请参见图4，图4为本申请实施例提供的一种自动登陆的验证系统的结构框图，该验证系统可以包括：

自动登陆凭证接收单元100，用于接收客户端发来的自动登陆凭证；

解密及凭证有效期提取单元200，用于解密自动登陆凭证，得到解密结果，并从解密结果中提取得到凭证有效期；

自动登陆凭证有效判断单元300，用于根据凭证有效期判断自动登陆凭证是否有效；

允许登陆判定单元400，用于当根据凭证有效期判断自动登陆凭证有效时，允许客户端使用自动登陆凭证登陆至对应的个人账户空间；

不允许登陆判定单元500，用于当根据凭证有效期判断自动登陆凭证无效时，不允许客户端使用自动登陆凭证登陆至对应的个人账户空间。

进一步的，该验证系统还可以包括：

通知信息返回单元，用于在不允许客户端使用自动登陆凭证登陆至对应的个人账户空间之后，向客户端返回自动登陆失败的通知信息，以使客户端在接收到通知信息后重新输入登陆认证信息进行登陆。

进一步的，该验证系统还可以包括：

登陆认证信息接收单元，用于当客户端注册时，接收客户端发来的登录认证信息；

凭证有效期计算单元，用于按预设规则计算得到登陆认证信息的凭证有效期；

自动登陆凭证生成单元，用于加密由登陆认证信息和凭证有效期构成的数据组合，得到自动登陆凭证；

自动登陆凭证返回单元，用于返回自动登陆凭证至客户端。

进一步的，该验证系统还可以包括：

实际客户端特征信息接收单元，用于接收客户端随自动登陆凭证一并发来的实际客户端特征信息；其中，实际客户端特征信息包括客户端类型、平台类型、操作系统类型、设备类型中的至少一项；

对应的，该验证系统还可以包括：

真实客户端特征信息提取单元，用于在根据凭证有效期判断自动登陆凭证有效后、在允许客户端使用自动登陆凭证登陆至对应的个人账户空间前，从解密结果中提取得到真实客户端特征信息；

客户端特征信息一致判断单元，用于判断实际客户端特征信息是否与真实客户端特征信息一致；

允许登陆执行单元，用于当实际客户端特征信息与真实客户端特征信息一致时，执行允许客户端使用自动登陆凭证登陆至对应的个人账户空间的步骤；

不允许登陆执行单元，用于当实际客户端特征信息与真实客户端特征信息不一致时，执行不允许客户端使用自动登陆凭证登陆至对应的个人账户空间的步骤。

更进一步的，该验证系统还可以包括：

使用次数设置单元，用于设置每个自动登陆凭证在其凭证有效期内的可使用次数为预设次数。

实施例五

以上已通过多个实施例对如何在新型自动登陆凭证的基础上通过新型的自动登陆验证方式，实现尽可能减少自动登陆凭证被窃取对用户个人数据造成这一目的进行了详细的描述，本申请还提供一种与该方法对应的实体硬件装置，此部分内容原理与方案部分相对应，实现原理的部分此处不再赘述，以下将对该实体硬件装置的硬件组成进行描述，请参见图5，图5为本申请实施例提供的一种服务器的结构示意图：

该服务器600包括存储器610、处理器620以及总线630，存储器610上存储有可在处理器620上运行的自动登陆验证程序，该自动登陆验证程序通过总线630被传输至处理器620，并在被处理器620执行时可实现如上述实施例所描述的各步骤。

其中，存储器610至少包括一种类型的可读存储介质，可读存储介质包括闪存、硬盘、卡型存储器(例如，SD或DX存储器等)、磁性存储器、磁盘、光盘等。存储器610在一些实施例中可以是服务器600的内部存储单元，例如该服务器600的硬盘。存储器610在另一些实施例中也可以是服务器600的外部存储设备，例如服务器600上配备的插接式硬盘，智能存储卡(Smart Media Card,SMC)，安全数字(Secure Digital,SD)卡，闪存卡(Flash Card)等。进一步地，存储器610还可以同时由内部存储单元和外部存储设备同时组成。进一步的，存储器610不仅可以用于存储安装于服务器600中的各种应用软件和各类数据，还可以用于暂时地存储已经输出或者将要输出的数据。

处理器620在一些实施例中可以是中央处理器(Central Processing Unit,CPU)、控制器、微控制器、微处理器或其他数据处理芯片，用于运行存储器610中存储的程序代码或处理数据，例如执行自动登陆验证程序等。

总线630可以是外设部件互连标准(peripheral component interconnect，简称PCI)总线或扩展工业标准结构(extended industry standard architecture，简称EISA)总线等。该总线可以分为地址总线、数据总线、控制总线等。为便于表示，图5中仅用一条双向中空指示线表示，但并不表示仅有一根总线或一种类型的总线。

在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。在本申请所提供的几个实施例中，应该理解到，所揭露的系统，装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例中所给出的方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-OnlyMemory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

需要说明的是，上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。并且本文中的术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、装置、物品或者方法不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、装置、物品或者方法所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、装置、物品或者方法中还存在另外的相同要素。

以上仅为本发明的优选实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (10)

1.一种自动登陆的验证方法，其特征在于，包括：

接收客户端发来的自动登陆凭证；

解密所述自动登陆凭证，得到解密结果，并从所述解密结果中提取得到凭证有效期；

根据所述凭证有效期判断所述自动登陆凭证是否有效；

若根据所述凭证有效期判断所述自动登陆凭证有效，则允许所述客户端使用所述自动登陆凭证登陆至对应的个人账户空间；

若根据所述凭证有效期判断所述自动登陆凭证无效，则不允许所述客户端使用所述自动登陆凭证登陆至对应的个人账户空间。

2.根据权利要求1所述的验证方法，其特征在于，在不允许所述客户端使用所述自动登陆凭证登陆至对应的个人账户空间之后，还包括：

向所述客户端返回自动登陆失败的通知信息，以使所述客户端在接收到所述通知信息后重新输入登陆认证信息进行登陆。

3.根据权利要求1所述的验证方法，其特征在于，还包括：

当所述客户端注册时，接收所述客户端发来的登录认证信息；

按预设规则计算得到所述登陆认证信息的凭证有效期；

加密由所述登陆认证信息和所述凭证有效期构成的数据组合，得到所述自动登陆凭证；

返回所述自动登陆凭证至所述客户端。

4.根据权利要求1至3任一项所述的验证方法，其特征在于，还包括：

接收所述客户端随所述自动登陆凭证一并发来的实际客户端特征信息；其中，所述实际客户端特征信息包括客户端类型、平台类型、操作系统类型、设备类型中的至少一项；

对应的，在根据所述凭证有效期判断所述自动登陆凭证有效后、在允许所述客户端使用所述自动登陆凭证登陆至对应的个人账户空间前，还包括：

从所述解密结果中提取得到真实客户端特征信息；

判断所述实际客户端特征信息是否与所述真实客户端特征信息一致；

若所述实际客户端特征信息与所述真实客户端特征信息一致，则执行允许所述客户端使用所述自动登陆凭证登陆至对应的个人账户空间的步骤；

若所述实际客户端特征信息与所述真实客户端特征信息不一致，则执行所述不允许所述客户端使用所述自动登陆凭证登陆至对应的个人账户空间的步骤。

5.根据权利要求4所述的验证方法，其特征在于，还包括：

设置每个自动登陆凭证在其凭证有效期内的可使用次数为预设次数。

6.一种自动登陆的验证系统，其特征在于，包括：

自动登陆凭证接收单元，用于接收客户端发来的自动登陆凭证；

解密及凭证有效期提取单元，用于解密所述自动登陆凭证，得到解密结果，并从所述解密结果中提取得到凭证有效期；

自动登陆凭证有效判断单元，用于根据所述凭证有效期判断所述自动登陆凭证是否有效；

允许登陆判定单元，用于当根据所述凭证有效期判断所述自动登陆凭证有效时，允许所述客户端使用所述自动登陆凭证登陆至对应的个人账户空间；

不允许登陆判定单元，用于当根据所述凭证有效期判断所述自动登陆凭证无效时，不允许所述客户端使用所述自动登陆凭证登陆至对应的个人账户空间。

7.一种服务器，其特征在于，所述服务器包括存储器、处理器以及总线，所述存储器上存储有可在所述处理器上运行的自动登陆验证程序，所述自动登陆验证程序被所述总线传输至所述处理器，并在被所述处理器执行时可实现如下步骤：

接收客户端发来的自动登陆凭证；

解密所述自动登陆凭证，得到解密结果，并从所述解密结果中提取得到凭证有效期；

根据所述凭证有效期判断所述自动登陆凭证是否有效；

若根据所述凭证有效期判断所述自动登陆凭证有效，则允许所述客户端使用所述自动登陆凭证登陆至对应的个人账户空间；

若根据所述凭证有效期判断所述自动登陆凭证无效，则不允许所述客户端使用所述自动登陆凭证登陆至对应的个人账户空间。

8.根据权利要求7所述的服务器，其特征在于，所述自动登陆验证程序在被所述处理器执行还可实现如下步骤：

当所述客户端注册时，接收所述客户端发来的登录认证信息；

按预设规则计算得到所述登陆认证信息的凭证有效期；

加密由所述登陆认证信息和所述凭证有效期构成的数据组合，得到所述自动登陆凭证；

返回所述自动登陆凭证至所述客户端。

9.根据权利要求8所述的服务器，其特征在于，所述自动登陆验证程序在被所述处理器执行还可实现如下步骤：

接收所述客户端随所述自动登陆凭证一并发来的实际客户端特征信息；其中，所述客户端特征信息包括客户端类型、平台类型、操作系统类型、设备类型中的至少一项；

对应的，在根据所述凭证有效期判断所述自动登陆凭证有效后、在允许所述客户端使用所述自动登陆凭证登陆至对应的个人账户空间前，还包括：

从所述解密结果中提取得到真实客户端特征信息；

判断所述实际客户端特征信息是否与所述真实客户端特征信息一致；

若所述实际客户端特征信息与所述真实客户端特征信息一致，则执行允许所述客户端使用所述自动登陆凭证登陆至对应的个人账户空间的步骤；

若所述实际客户端特征信息与所述真实客户端特征信息不一致，则执行所述不允许所述客户端使用所述自动登陆凭证登陆至对应的个人账户空间的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有自动登陆验证程序，所述自动登陆验证程序可被一个或者多个处理器执行，以实现如权利要求1至5任一项所述的自动登陆的验证方法。