CN110120952A

CN110120952A - 一种综合管理系统单点登录方法、装置、计算机设备以及存储介质

Info

Publication number: CN110120952A
Application number: CN201910407489.7A
Authority: CN
Inventors: 陈宝音; 魏国洲
Original assignee: Jizhi (shanghai) Enterprise Management Consulting Co Ltd
Current assignee: Jizhi (shanghai) Enterprise Management Consulting Co Ltd
Priority date: 2019-05-16
Filing date: 2019-05-16
Publication date: 2019-08-13

Abstract

本发明公开了一种综合管理系统单点登录方法、装置、计算机设备以及存储介质，该单点登录方法包括以下步骤：S1：用户登录综合管理系统；S2：判断用户有哪些模块的操作权限；S3：根据相应的权限展示对应的系统模块；S4：当用户操作其他系统时，再次验证权限；S5：若权限通过，则发送指令到到需要访问的系统；若没有权限，则拒绝操作，并给出提示结果。本发明能够解决传统的管理系统用户多个账号、多个系统、不易于统一管理和不利于权限的控制的问题。本发明通过将多个系统的管理集中在一块，提供了统一的权限管理。在安全性方面，隔离了用户直接与其他系统的操作，保证了系统的安全。

Description

一种综合管理系统单点登录方法、装置、计算机设备以及存储介质

技术领域

本发明涉及网络登录技术领域，涉及一种综合管理系统单点登录方法、装置、计算机设备以及存储介质。

背景技术

随着互联网的飞速发展，同一企业内部各类应用系统不断增多，而各个应用系统的访问机制和安全策略各异，因此，在各个应用系统之间的登录成了让人头疼的问题。单点登录(SSO，Single Sign On)是指在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统，是目前比较流行的进行企业的应用系统整合的解决方案之一。

单点登录(Single Sign On)系统，简称为SSO系统，主要是指在多应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统。为了提高应用系统的响应效率，越来越多的应用系统开始采用前后端分离架构，这种架构前端关注页面的样式与动态数据的解析及渲染，后端关注业务逻辑计算，能够提高系统性能，随着采用前后端分离架构的多应用系统的快速发展，研究一种应用于采用前后端分离架构的多应用系统的单点登录系统变得越来越重要。

现有的单点登录系统主要基于Cookie的技术实现的，具体实现方案为：使用某个域名作为登录域，并增加P3P(Platform for Privacy Preferences，隐私设定平台规范)文件头，在验证完用户信息之后，向服务器请求动态加载某些js(Javascript,是一种编程语言)，并且通过iframe(标签)写入其他子应用所在域的Cookie。由于采用前后端分离架构的应用系统会存在Cookie跨域失效问题，导致在采用前后端分离架构的多应用系统中，应用现有的单点登录系统会存在浏览器跨域失效，从而无法实现各应用系统间的跨域单点登录。

目前在系统管理中，每个系统都会有一个单独的后台管理系统，并分配单独账号，其特点是权限容易控制，功能单一。又或者直接操作目标系统的数据库，带来很大的安全风险。随着系统的越来越多，后台管理系统也越来越多，导致对系统的管理越来越复杂。

传统的管理系统通过对每个系统开发一套单独的后台管理系统，管理人员以及运营人员需要登陆各自的系统进行工作，操作复杂，重复工作，效率低下。

发明内容

针对现有技术中的缺陷，本发明的目的之一是提供一种综合管理系统单点登录方法，实现对多个系统的统一管理，通过单一账号管理所有的系统，免了用户通过管理系统直接操作应用系统的数据库。

为达到上述目的，本发明提供如下技术方案：

一种综合管理系统单点登录方法，该方法应用于综合管理系统单点登录装置中，所述单点登录装置包括登录单元、判断单元、展示单元，该方法包括以下步骤：

步骤1，登录单元使用用户身份登录综合管理系统；

步骤2，判断单元判断登录的用户有哪些模块的操作权限；

步骤3，展示单元根据相应的操作权限展示对应的系统模块；

其中，当用户操作其他子系统时，判断单元再次验证权限，并通过展示单元进行对应的子系统模块展示，具体包括：若再次验证权限通过，则发送指令到需要访问的子系统模块；若再次验证没有权限，则拒绝访问和操作，并给出提示结果。

进一步的，在判断用户有哪些模块的操作权限时，判断依据包括存储信任和验证信任。

进一步的，所述提示结果包括短信提示或通话提示。

进一步的，基于http协议来完成所述单点登录方法，所述指令为http请求。

一种综合管理系统单点登录装置，该装置用于实现上述单点登录方法，该单点登录装置包括登录单元、判断单元以及展示单元；

登录单元，用于使用用户身份登录综合管理系统；

判断单元，用于判断登录的用户有哪些模块的操作权限；

展示单元，用于根据相应的操作权限展示对应的系统模块；

进一步的，所述提示结果包括短信提示或通话提示。

一种计算机设备，包括存储器、处理器及储存在存储器上并能够在处理器上运行的计算机程序，其特征在于：所述处理器执行所述计算机程序时实现上述方法。

一种计算机可读存储介质，其上储存有计算机程序，其特征在于：所述计算机程序被处理器执行时实现上述方法。

本发明的有益效果体现在：本发明能够解决传统的管理系统用户多个账号、多个系统、不易于统一管理和不利于权限的控制的问题。本发明通过将多个系统的管理集中在一块，提供了统一的权限管理。在安全性方面，隔离了用户直接与其他系统的操作，保证了系统的安全。

附图说明

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍。在所有附图中，类似的元件或部分一般由类似的附图标记标识。附图中，各元件或部分并不一定按照实际的比例绘制。

图1为综合管理系统与其他系统交互方式；

图2为系统权限控制流程。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作进一步地详细描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

在本发明实施例中使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本发明。在本发明实施例和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义，“多种”一般包含至少两种。

应当理解，本文中使用的术语“和/或”仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。另外，本文中字符“/”，一般表示前后关联对象是一种“或”的关系。

应当理解，尽管在本发明实施例中可能采用术语第一、第二、第三等来描述……，但这些……不应限于这些术语。这些术语仅用来将……区分开。例如，在不脱离本发明实施例范围的情况下，第一……也可以被称为第二……，类似地，第二……也可以被称为第一……。

取决于语境，如在此所使用的词语“如果”、“若”可以被解释成为“在……时”或“当……时”或“响应于确定”或“响应于检测”。类似地，取决于语境，短语“如果确定”或“如果检测(陈述的条件或事件)”可以被解释成为“当确定时”或“响应于确定”或“当检测(陈述的条件或事件)时”或“响应于检测(陈述的条件或事件)”。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的商品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种商品或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的商品或者装置中还存在另外的相同要素。

如图1-2所示，本发明的一种综合管理系统单点登录方法，该方法应用于综合管理系统单点登录装置中，所述单点登录装置包括登录单元、判断单元、展示单元，该方法包括以下步骤：

步骤1，登录单元使用用户身份登录综合管理系统；

步骤2，判断单元判断登录的用户有哪些模块的操作权限；

步骤3，展示单元根据相应的操作权限展示对应的系统模块；

该方法可以实现系统的综合管理，实现该方案需要搭建通用管理系统(OPS)，并通过http协议与其他系统进行交互。

在具体应用场景中，管理人员登录系统时，进行权限验证，验证通过后展示有权限的模块。管理人员在对系统进行操作时，由统一关系系统对其他系统发出操作指令((http请求)。

接入统一管理的系统开放管理接口。

比如管理人员需要增加短信账户，只需要登录综合管理系统(ops)增加即可，由综合管理系统向短信系统发送增加用户的指令。

实现单点登录说到底就是要解决如何产生和存储该信任，再就是其他系统如何验证这个信任的有效性，因此要点也就以下两个：存储信任和验证信任。

单点登录有不同的实现方式，罗列如下：

(1)以Cookie作为凭证媒介

最简单的单点登录实现方式，是使用cookie作为媒介，存放用户凭证。

用户登录父应用之后，应用返回一个加密的cookie，当用户访问子应用的时候，携带上这个cookie，授权应用解密cookie并进行校验，校验通过则登录当前用户。

不难发现以上方式把信任存储在客户端的Cookie中，这种方式很容易令人质疑：(1)Cookie不安全；(2)不能跨域实现免登

对于第一个问题，通过加密Cookie可以保证安全性，当然这是在源代码不泄露的前提下。如果Cookie的加密算法泄露，攻击者通过伪造Cookie则可以伪造特定用户身份，这是很危险的。

对于第二个问题更是硬伤。目前对于跨域问题，可以使用JSONP实现。

用户在父应用中登录后，跟Session匹配的Cookie会存到客户端中，当用户需要登录子应用的时候，授权应用访问父应用提供的JSONP接口，并在请求中带上父应用域名下的Cookie，父应用接收到请求，验证用户的登录状态，返回加密的信息，子应用通过解析返回来的加密信息来验证用户，如果通过验证则登录用户。

这种方式虽然能解决跨域问题，但是安全性其实跟把信任存储到Cookie是差不多的。如果一旦加密算法泄露了，攻击者可以在本地建立一个实现了登录接口的假冒父应用，通过绑定Host来把子应用发起的请求指向本地的假冒父应用，并作出回应。

因为攻击者完全可以按照加密算法来伪造响应请求，子应用接收到这个响应之后一样可以通过验证，并且登录特定用户。

还有一种方式，是通过父应用和子应用来回重定向中进行通信，实现信息的安全传递，即通过页面重定向的方式。

父应用提供一个GET方式的登录接口，用户通过子应用重定向连接的方式访问这个接口，如果用户还没有登录，则返回一个的登录页面，用户输入账号密码进行登录。如果用户已经登录了，则生成加密的Token，并且重定向到子应用提供的验证Token的接口，通过解密和校验之后，子应用登录当前用户。

这种方式较前面两种方式，接解决了上面两种方法暴露出来的安全性问题和跨域的问题，但是并没有前面两种方式方便。

使用独立登录系统也是一种方式，一般说来，大型应用会把授权的逻辑与用户信息的相关逻辑独立成一个应用，称为用户中心。

用户中心不处理业务逻辑，只是处理用户信息的管理以及授权给第三方应用。第三方应用需要登录的时候，则把用户的登录请求转发给用户中心进行处理，用户处理完毕返回凭证，第三方应用验证凭证，通过后就登录用户。

在本发明的一种实施方式中，本发明提供了一种综合管理系统单点登录装置，该装置用于实现上述单点登录方法，该单点登录装置包括登录单元、判断单元以及展示单元。

登录单元，用于使用用户身份登录综合管理系统；

判断单元，用于判断登录的用户有哪些模块的操作权限；

展示单元，用于根据相应的操作权限展示对应的系统模块；

在本发明的另一实施例中，本公开实施例提供了一种非易失性计算机存储介质，所述计算机存储介质存储有计算机可执行指令，该计算机可执行指令可执行上述任意方法实施例中的方法。

在本发明的另一实施例中，本公开实施例提供了一种计算机设备，本公开实施例中的计算机设备可以包括但不限于诸如移动电话、笔记本电脑、数字广播接收器、PDA(个人数字助理)、PAD(平板电脑)、PMP(便携式多媒体播放器)、车载终端(例如车载导航终端)等等的移动终端以及诸如数字TV、台式计算机等等的固定终端。

计算机设备可以包括处理装置(例如中央处理器、图形处理器等)，其可以根据存储在只读存储器(ROM)中的程序或者从存储装置加载到随机访问存储器(RAM)中的程序而执行各种适当的动作和处理。在RAM中，还存储有计算机设备操作所需的各种程序和数据。处理装置、ROM以及RAM通过总线彼此相连。输入/输出(I/O)接口也连接至总线。

通常，以下装置可以连接至I/O接口：包括例如触摸屏、触摸板、键盘、鼠标、摄像头、麦克风、加速度计、陀螺仪等的输入装置；包括例如液晶显示器(LCD)、扬声器、振动器等的输出装置；包括例如磁带、硬盘等的存储装置；以及通信装置。通信装置可以允许计算机设备与其他设备进行无线或有线通信以交换数据。

特别地，根据本公开的实施例，上文参考流程图描述的过程可以被实现为计算机软件程序。例如，本公开的实施例包括一种计算机程序产品，其包括承载在计算机可读介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信装置从网络上被下载和安装，或者从存储装置被安装，或者从ROM被安装。在该计算机程序被处理装置执行时，执行本公开实施例的方法中限定的上述功能。

需要说明的是，本公开上述的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本公开中，计算机可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读信号介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：电线、光缆、RF(射频)等等，或者上述的任意合适的组合。

上述计算机可读介质可以是上述计算机设备中所包含的；也可以是单独存在，而未装配入该计算机设备中。

可以以一种或多种程序设计语言或其组合来编写用于执行本公开的操作的计算机程序代码，上述程序设计语言包括面向对象的程序设计语言—诸如Java、Smalltalk、C++，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络——包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。

附图中的流程图和框图，图示了按照本公开各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，该模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

描述于本公开实施例中所涉及到的单元可以通过软件的方式实现，也可以通过硬件的方式来实现。其中，单元的名称在某种情况下并不构成对该单元本身的限定，例如，第一获取单元还可以被描述为“获取至少两个网际协议地址的单元”。

Claims

1.一种综合管理系统单点登录方法，该方法应用于综合管理系统单点登录装置中，所述单点登录装置包括登录单元、判断单元、展示单元，其特征在于，该方法包括以下步骤：

步骤1，登录单元使用用户身份登录综合管理系统；

步骤2，判断单元判断登录的用户有哪些模块的操作权限；

步骤3，展示单元根据相应的操作权限展示对应的系统模块；

2.根据权利要求1所述的一种综合管理系统单点登录方法，其特征在于：在判断用户有哪些模块的操作权限时，判断依据包括存储信任和验证信任。

3.根据权利要求1所述的一种综合管理系统单点登录方法，其特征在于：所述提示结果包括短信提示或通话提示。

4.根据权利要求1所述的一种综合管理系统单点登录方法，其特征在于：基于http协议来完成所述单点登录方法，所述指令为http请求。

5.一种综合管理系统单点登录装置，该装置用于实现如权利要求1至4之一所述的单点登录方法，其特征在于，

该单点登录装置包括登录单元、判断单元以及展示单元；

登录单元，用于使用用户身份登录综合管理系统；

判断单元，用于判断登录的用户有哪些模块的操作权限；

展示单元，用于根据相应的操作权限展示对应的系统模块；

6.根据权利要求5所述的一种综合管理系统单点登录装置，其特征在于：在判断用户有哪些模块的操作权限时，判断依据包括存储信任和验证信任。

7.根据权利要求5所述的一种综合管理系统单点登录装置，其特征在于：所述提示结果包括短信提示或通话提示。

8.根据权利要求5所述的一种综合管理系统单点登录装置，其特征在于：基于http协议来完成所述单点登录方法，所述指令为http请求。

9.一种计算机设备，包括存储器、处理器及储存在存储器上并能够在处理器上运行的计算机程序，其特征在于：所述处理器执行所述计算机程序时实现如权利要求1-4任一项所述的方法。

10.一种计算机可读存储介质，其上储存有计算机程序，其特征在于：所述计算机程序被处理器执行时实现如权利要求1-4任一项所述的方法。