CN110830493A - 基于智慧企业门户的单点登录实现方法 - Google Patents

基于智慧企业门户的单点登录实现方法 Download PDF

Info

Publication number
CN110830493A
CN110830493A CN201911114512.XA CN201911114512A CN110830493A CN 110830493 A CN110830493 A CN 110830493A CN 201911114512 A CN201911114512 A CN 201911114512A CN 110830493 A CN110830493 A CN 110830493A
Authority
CN
China
Prior art keywords
portal
verification
security token
application system
module
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201911114512.XA
Other languages
English (en)
Other versions
CN110830493B (zh
Inventor
王波
刘东宇
孟祥超
张羽
费廷伟
王学勇
杨研
杨志娅
张谦
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Jinghang Computing Communication Research Institute
Original Assignee
Beijing Jinghang Computing Communication Research Institute
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Jinghang Computing Communication Research Institute filed Critical Beijing Jinghang Computing Communication Research Institute
Priority to CN201911114512.XA priority Critical patent/CN110830493B/zh
Publication of CN110830493A publication Critical patent/CN110830493A/zh
Application granted granted Critical
Publication of CN110830493B publication Critical patent/CN110830493B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0869—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving random numbers or seeds
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3297—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving time stamps, e.g. generation of time stamps

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明属于互联网技术领域，具体涉及一种基于智慧企业门户的单点登录实现方法。该方法对各类技术架构开发的应用系统可以使用统一的认证标准，尤其实现了CS架构系统的认证，对应用系统改造工作量少，标准化程度高。该方法对https、域名无强制要求，且对BS系统验证全过程均在后台服务端进行，使用高强度的加密方式和完备的鉴权手段，相对于其他使用Cookie存储验证信息的方式，能够有效降低验证信息被恶意拦截篡改的风险。该方法作为智慧企业门户系统的功能模块，与门户统一用户、统一权限结合使用，有效的解决了企业信息孤岛的问题。

Description

基于智慧企业门户的单点登录实现方法
技术领域
本发明属于互联网技术领域，具体涉及一种基于智慧企业门户的单点登录实现方法。
背景技术
近年来，随着OA、PDM、ERP等各类系统的深入应用，以有效整合现有信息资源，实现异构信息共享等为特征的智慧企业门户系统建设逐渐成为国内外企业IT建设的重点。在国外，门户系统已被列入了许多跨国企业、大中型企业的信息化规划中。在国内，电信、金融、石化、电力、航天、军工等行业的企业门户系统的建设走在前列。如中国航天科工集团，通过构建智慧企业门户系统，集成企业内OA、邮件、AVIDM等多种应用系统，通过跨系统的单点登陆和统一用户界面等实现了企业门户的整合，为员工构建了统一工作平台。
其中单点登录(SSO Single Sign-On)是介于门户和集成的应用系统之间的认证服务，用户登录门户之后，只做一次身份验证，就可以对所有被授权的网络资源进行无缝的访问，不需要再次输入其他应用系统的验证信息，从而可以提高用户的工作效率，降低系统出错的机率。
目前主流的单点登录方法有以Cookie作为凭证媒介、通过JSONP实现、通过页面重定向的方式这几种方式，从而衍生出来CAS、Oauth2等单点登录技术和协议，在互联网企业中应用较为广泛。但在国有企业中，企业信息化建设是分阶段、持续性的，横跨了很多年，在不同时期建设的应用系统，从开发技术、架构设计都可能不同，如采用C#开发的PDM系统、MRPII系统，采用.Net开发的OA系统，采用PHP开发的网站系统、采用JAVA开发的财务系统，采用Python开发的检索系统。其中有CS架构的也有BS架构的。而使用CAS、Oauth2需要应用系统进行客户端改造开发，对早期的技术兼容性较差，友好性不高，改造工作量大。针对CS架构的系统，基本无法使用这种方法进行改造。同时CAS认证机制建议使用https协议和域名访问，但在许多企业尤其是军工企业内网环境中，无法满足以上要求。虽然在开发过程中可以通过其他技术手段绕过，但是会造成认证过程存在风险，整体安全性减低的问题。
发明内容
(一)要解决的技术问题
本发明要解决的技术问题是：如何基于智慧企业门户系统(以下简称门户系统)的建设，在门户系统中实现符合国有企业信息化建设现状的单点登录方法，解决应用系统改造难度高，认证过程存在风险的问题。
(二)技术方案
为解决上述技术问题，本发明提供一种基于智慧企业门户的单点登录实现方法，所述方法基于单点登录实现系统来实施，所述单点登录实现系统包括：门户系统端组件和应用系统端组件；
所述门户系统端组件包括：认证模块、缓存服务模块、安全令牌获取模块、比对模块、解密模块、验证模块、反馈模块；
所述认证模块包括：安全令牌生成单元、地址调用及信息发送单元；
所述应用系统端组件包括：注册申请模块、回调模块；
所述方法包括如下步骤：
步骤1：所述注册申请模块向门户系统发送注册信息，对其所属的应用系统进行注册；
所述注册信息包括：应用系统的名称、应用系统唯一标识、单点登录认证接口地址；
步骤2：当用户在门户系统中访问应用系统时，由认证模块根据应用系统注册信息，主动向应用系统发起认证请求，进行握手验证；
具体包括：
步骤21：由安全令牌生成单元对此次认证请求生成安全令牌；所述安全令牌包括：会话控制信息、用户唯一身份标识、应用系统唯一标识、当前请求服务器的时间戳和随机数；然后由加密模块将以上信息进行加密，以键值对的模式把随机数和安全令牌，存入到缓存服务模块中；
步骤22：在安全令牌生成单元生成安全令牌后，由地址调用及信息发送单元调用应用系统的单点登录认证接口地址，开始第一次握手过程，向应用系统发送包括安全令牌、随机数、门户回调验证地址的门户系统调用请求；
步骤3：当应用系统接收到门户系统调用请求后，获取到安全令牌、随机数、门户系统回调验证地址；
步骤4：回调模块通过调用门户系统回调验证地址，将安全令牌，随机数和应用系统唯一标识这三个参数形成验证信息，传递给门户系统，开始第二次握手过程；
步骤5：当门户系统接收到应用系统返回的验证信息后，在缓存服务模块中，由安全令牌获取模块以键值对的方式，通过随机数获取安全令牌；
在服务运行稳定、网络通讯通畅、未被恶意攻击等情况下，通过该方式能够获取到安全令牌，并执行步骤6，进行下一步验证步骤；
若无法获取到安全令牌，则表明验证过程出现异常，执行步骤9，进行异常处理；
步骤6：门户系统获取到安全令牌后，进行信息校验；
由比对模块对缓存服务模块中获取到的安全令牌和应用系统回调的验证信息中返回的安全令牌进行比对；
如果比对信息不一致，则表明该次请求有可能被恶意拦截并且篡改了，进入步骤10，异常处理；
若信息比对一致，则由解密模块对安全令牌进行解密，然后由验证模块将解密后获得的会话控制信息、用户唯一身份标识、应用系统唯一标识、时间戳和随机数，进行有效性验证；
若有效性验证通过，进行步骤7，开始第三次握手过程；
若未通过，表明验证信息失效，进行步骤9，异常处理；
步骤7：进入到该步骤，表明身份验证请求通过，门户系统的反馈模块将用户唯一标识、验证成功标识生成验证结果成功反馈信息并返回给应用系统；
步骤8：应用系统的登录模块接收到验证结果成功反馈信息和用户唯一标识，进行本系统登录；第三次握手过程结束，单点登录过程结束；
步骤9：反馈模块将步骤5、步骤6中的验证未通过的失败标识和具体适配原因生成验证结果失败反馈信息返回给应用系统；单点登录过程结束。
其中，所述步骤21中，由加密模块将所述会话控制信息、用户唯一身份标识、应用系统唯一标识、当前请求服务器的时间戳和随机数采用对称加密算法进行加密。
其中，所述步骤22中，针对BS架构的应用系统，地址调用及信息发送单元通过支持HTTP协议的客户端编程工具包，将加密后的安全令牌、随机数、门户回调验证地址写入到HTTP协议的消息头中，形成门户系统调用请求并传送给应用系统，以减少被恶意系统拦截篡改的几率。
其中，所述步骤22中，针对CS架构的应用系统，若门户系统使用IE浏览器，则地址调用及信息发送单元通过IE浏览器的组件对象模型，通过脚本命令调用起CS客户端；
若门户系统使用的为火狐、谷歌浏览器，则地址调用及信息发送单元采用“网景插件应用程序编程接口”插件，调用起CS客户端；然后将安全令牌、随机数、门户系统回调验证地址形成门户系统调用请求，并以参数方式传递给CS客户端。
其中，所述步骤3中，当BS架构的应用系统接收到门户系统调用请求后，在HTTP协议的消息头中获取到安全令牌、随机数、门户系统回调验证地址。
其中，所述步骤3中，当CS架构的应用系统接收到门户请求，通过客户端获取到安全令牌、随机数、门户系统回调验证地址后，传递给CS架构的应用系统的服务器端。
其中，所述步骤4中的应用系统唯一标识为步骤1中进行注册的应用系统唯一标识保持一致。
其中，所述步骤6中验证模块将解密后获得的会话控制信息、用户唯一身份标识、应用系统唯一标识、时间戳和随机数，进行如下有效性验证：
步骤61：验证会话控制信息是否在当前门户系统中有效；
步骤62：验证应用系统唯一标识和应用系统回调的验证信息中返回的应用系统唯一标识是否一致；
步骤63：验证时间戳与门户系统服务器当前时间的差值，若两个时间差值大于预先设定的认证时间阈值，则该次请求无效。
其中，所述步骤63中，认证时间阈值为1500ms。
其中，所述步骤7中将验证结果成功反馈信息并返回给应用系统的同时，还删除缓存服务模块中的本次请求安全令牌数据。
(三)有益效果
与现有技术相比较，本发明具备如下有益效果：
(1)该方法对各类技术架构开发的应用系统可以使用统一的认证标准，尤其实现了CS架构系统的认证，对应用系统改造工作量少，标准化程度高。
(2)该方法对https、域名无强制要求，且对BS系统验证全过程均在后台服务端进行，使用高强度的加密方式和完备的鉴权手段，相对于其他使用Cookie存储验证信息的方式，能够有效降低验证信息被恶意拦截篡改的风险。
(3)该方法作为智慧企业门户系统的功能模块，与门户统一用户、统一权限结合使用，有效的解决了企业信息孤岛的问题。
综上所述，该方法相对于CAS、Oauth2等技术，更符合国有企业各类信息系统集成的要求。
附图说明
图1为单点登录认证流程示意图。
图2为门户与应用系统交互示意图。
具体实施方式
为使本发明的目的、内容、和优点更加清楚，下面结合附图和实施例，对本发明的具体实施方式作进一步详细描述。
为解决现有技术问题，本发明提供一种基于智慧企业门户的单点登录实现方法，如图1及图2所示，所述方法基于单点登录实现系统来实施，所述单点登录实现系统包括：门户系统端组件和应用系统端组件；
所述门户系统端组件包括：认证模块、缓存服务模块、安全令牌获取模块、比对模块、解密模块、验证模块、反馈模块；
所述认证模块包括：安全令牌生成单元、地址调用及信息发送单元；
所述应用系统端组件包括：注册申请模块、回调模块；
所述方法包括如下步骤：
步骤1：所述注册申请模块向门户系统发送注册信息，对其所属的应用系统进行注册；
所述注册信息包括：应用系统的名称、应用系统唯一标识、单点登录认证接口地址；
步骤2：当用户在门户系统中访问应用系统时，由认证模块根据应用系统注册信息，主动向应用系统发起认证请求，进行握手验证；
具体包括：
步骤21：由安全令牌生成单元对此次认证请求生成安全令牌；所述安全令牌包括：会话控制信息(session)、用户唯一身份标识、应用系统唯一标识、当前请求服务器的时间戳和随机数；然后由加密模块将以上信息采用对称加密算法(AES)进行加密，以键值对的模式把随机数和安全令牌，存入到缓存服务模块中；
步骤22：在安全令牌生成单元生成安全令牌后，由地址调用及信息发送单元调用应用系统的单点登录认证接口地址，开始第一次握手过程，向应用系统发送包括安全令牌、随机数、门户回调验证地址的门户系统调用请求；
针对BS架构的应用系统，地址调用及信息发送单元通过支持HTTP协议的客户端编程工具包，将加密后的安全令牌、随机数、门户回调验证地址写入到HTTP协议的消息头中，形成门户系统调用请求并传送给应用系统，以减少被恶意系统拦截篡改的几率；
针对CS架构的应用系统，若门户系统使用IE浏览器，则地址调用及信息发送单元通过IE浏览器的组件对象模型(ActiveX控件)，通过脚本命令调用起CS客户端；若门户系统使用的为火狐、谷歌浏览器，则地址调用及信息发送单元采用“网景插件应用程序编程接口(NPAPI)”插件，调用起CS客户端；然后将安全令牌、随机数、门户系统回调验证地址形成门户系统调用请求，并以参数方式传递给CS客户端；
步骤3：当BS架构的应用系统接收到门户系统调用请求后，在HTTP协议的消息头中获取到安全令牌、随机数、门户系统回调验证地址；
当CS架构的应用系统接收到门户请求，通过客户端获取到安全令牌、随机数、门户系统回调验证地址后，传递给CS架构的应用系统的服务器端；
步骤4：BS/CS架构的应用系统，回调模块通过调用门户系统回调验证地址，将安全令牌，随机数和应用系统唯一标识(与门户系统中注册一致)这三个参数形成验证信息，传递给门户系统，开始第二次握手过程；
步骤5：当门户系统接收到应用系统返回的验证信息后，在缓存服务模块中，由安全令牌获取模块以键值对的方式，通过随机数获取安全令牌；
在服务运行稳定、网络通讯通畅、未被恶意攻击等情况下，通过该方式能够获取到安全令牌，并执行步骤6，进行下一步验证步骤；
若无法获取到安全令牌，则表明验证过程出现异常，执行步骤9，进行异常处理；
步骤6：门户系统获取到安全令牌后，进行信息校验；
由比对模块对缓存服务模块中获取到的安全令牌和应用系统回调的验证信息中返回的安全令牌进行比对；
如果比对信息不一致，则表明该次请求有可能被恶意拦截并且篡改了，进入步骤10，异常处理；
若信息比对一致，则由解密模块对安全令牌进行解密，然后由验证模块将解密后获得的会话控制信息(session)、用户唯一身份标识、应用系统唯一标识、时间戳和随机数，进行以下三方面有效性验证；
步骤61：验证会话控制信息(session)是否在当前门户系统中有效；
步骤62：验证应用系统唯一标识和应用系统回调的验证信息中返回的应用系统唯一标识是否一致；
步骤63：验证时间戳与门户系统服务器当前时间的差值，若两个时间差值大于预先设定的认证时间阈值(比如1500ms)，则该次请求无效；
若以上有效性验证均通过，进行步骤7，开始第三次握手过程；
若有一项未通过，表明验证信息失效，进行步骤9，异常处理；
步骤7：进入到该步骤，表明身份验证请求通过，门户系统的反馈模块将用户唯一标识、验证成功标识生成验证结果成功反馈信息并返回给应用系统，同时删除缓存服务模块中的本次请求安全令牌数据；
步骤8：应用系统的登录模块接收到验证结果成功反馈信息和用户唯一标识，进行本系统登录；第三次握手过程结束，单点登录过程结束；
步骤9：反馈模块将步骤5、步骤6中的验证未通过的失败标识和具体适配原因生成验证结果失败反馈信息返回给应用系统；单点登录过程结束。
其中，所述步骤21中，由加密模块将所述会话控制信息、用户唯一身份标识、应用系统唯一标识、当前请求服务器的时间戳和随机数采用对称加密算法(AES)进行加密。
其中，所述步骤22中，针对BS架构的应用系统，地址调用及信息发送单元通过支持HTTP协议的客户端编程工具包，将加密后的安全令牌、随机数、门户回调验证地址写入到HTTP协议的消息头中，形成门户系统调用请求并传送给应用系统，以减少被恶意系统拦截篡改的几率。
其中，所述步骤22中，针对CS架构的应用系统，若门户系统使用IE浏览器，则地址调用及信息发送单元通过IE浏览器的组件对象模型(ActiveX控件)，通过脚本命令调用起CS客户端；
若门户系统使用的为火狐、谷歌浏览器，则地址调用及信息发送单元采用“网景插件应用程序编程接口(NPAPI)”插件，调用起CS客户端；然后将安全令牌、随机数、门户系统回调验证地址形成门户系统调用请求，并以参数方式传递给CS客户端。
其中，所述步骤3中，当BS架构的应用系统接收到门户系统调用请求后，在HTTP协议的消息头中获取到安全令牌、随机数、门户系统回调验证地址。
其中，所述步骤3中，当CS架构的应用系统接收到门户请求，通过客户端获取到安全令牌、随机数、门户系统回调验证地址后，传递给CS架构的应用系统的服务器端。
其中，所述步骤4中的应用系统唯一标识为步骤1中进行注册的应用系统唯一标识保持一致。
其中，所述步骤6中验证模块将解密后获得的会话控制信息(session)、用户唯一身份标识、应用系统唯一标识、时间戳和随机数，进行如下有效性验证：
步骤61：验证会话控制信息(session)是否在当前门户系统中有效；
步骤62：验证应用系统唯一标识和应用系统回调的验证信息中返回的应用系统唯一标识是否一致；
步骤63：验证时间戳与门户系统服务器当前时间的差值，若两个时间差值大于预先设定的认证时间阈值(比如1500ms)，则该次请求无效。
其中，所述步骤63中，认证时间阈值为1500ms。
其中，所述步骤7中将验证结果成功反馈信息并返回给应用系统的同时，还删除缓存服务模块中的本次请求安全令牌数据。
实施例1
如图1及图2所示，本实施例中，包括如下步骤：
步骤1：本发明基于门户系统实现单点登录方法，门户系统中已经实现了应用系统注册的功能。以某系统实现单点登录为例，在应用系统注册功能中，注册了系统的名称、系统唯一标识、单点登录认证接口地址。用户进入门户系统，点击门户系统中的该系统菜单，开始向该系统发起认证请求，进行握手验证。
步骤2：门户后台生成安全令牌，安全令牌将控制信息(session)、用户名、系统唯一标识、当前服务器时间、随机数以字符串形式进行拼接，使用AES对称加密算法进行加密，自行编写加密函数EncryptAES()，然后将加密后的安全令牌和随机数以键值对的方式，放入到缓存服务中。
步骤3：门户系统将安全令牌、随机数、门户系统回调验证地址这三个参数，使用支持HTTP协议的客户端编程工具包(HttpClient技术)写入到HTTP协议的消息头中，传递到应用系统的单点登录接口中。
步骤4：应用系统的单点登录接口代码逻辑中，使用request.getHeader()方法获取HTTP协议的消息头中的安全令牌、随机数、门户系统回调验证地址等参数。
步骤5：应用系统使用CXF、Axis、Axis2、RPC等技术调用门户系统回调验证地址，将安全令牌、随机数、系统唯一标识回传给门户系统。
步骤6：门户系统得到回传参数后，使用随机数作为键key，从缓存服务中，获取安全令牌。
步骤7：门户进行验证过程。如果应用系统返回的安全令牌等于从缓存服务中获取的安全令牌，则进行有效性验证。对安全令牌进行AES解密，获得到得控制信息(session)、用户名、系统唯一标识、时间戳和随机数。进行以下三方面有效性验证：1、验证控制信息(session)是否在当前门户系统中有效。2、验证系统唯一标识和应用系统回调验证返回的系统唯一标识是否一致。3、验证服务器时间参数time，与当前服务器时间进行比较nowTime，是否时间参数差值(nowTime-time)小于设定的安全阈值。若以上验证通过，进入步骤8。
步骤8：则返回验证成功消息和用户名。删除Redis中的Token值。
步骤9：应用系统接收到返回成功值和用户名唯一标识，登录应用系统。
以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明技术原理的前提下，还可以做出若干改进和变形，这些改进和变形也应视为本发明的保护范围。

Claims (10)

1.一种基于智慧企业门户的单点登录实现方法，其特征在于，所述方法基于单点登录实现系统来实施，所述单点登录实现系统包括：门户系统端组件和应用系统端组件；
所述门户系统端组件包括：认证模块、缓存服务模块、安全令牌获取模块、比对模块、解密模块、验证模块、反馈模块；
所述认证模块包括：安全令牌生成单元、地址调用及信息发送单元；
所述应用系统端组件包括：注册申请模块、回调模块；
所述方法包括如下步骤：
步骤1：所述注册申请模块向门户系统发送注册信息，对其所属的应用系统进行注册；
所述注册信息包括：应用系统的名称、应用系统唯一标识、单点登录认证接口地址；
步骤2：当用户在门户系统中访问应用系统时，由认证模块根据应用系统注册信息，主动向应用系统发起认证请求，进行握手验证；
具体包括：
步骤21：由安全令牌生成单元对此次认证请求生成安全令牌；所述安全令牌包括：会话控制信息、用户唯一身份标识、应用系统唯一标识、当前请求服务器的时间戳和随机数；然后由加密模块将以上信息进行加密，以键值对的模式把随机数和安全令牌，存入到缓存服务模块中；
步骤22：在安全令牌生成单元生成安全令牌后，由地址调用及信息发送单元调用应用系统的单点登录认证接口地址，开始第一次握手过程，向应用系统发送包括安全令牌、随机数、门户回调验证地址的门户系统调用请求；
步骤3：当应用系统接收到门户系统调用请求后，获取到安全令牌、随机数、门户系统回调验证地址；
步骤4：回调模块通过调用门户系统回调验证地址，将安全令牌，随机数和应用系统唯一标识这三个参数形成验证信息，传递给门户系统，开始第二次握手过程；
步骤5：当门户系统接收到应用系统返回的验证信息后，在缓存服务模块中，由安全令牌获取模块以键值对的方式，通过随机数获取安全令牌；
在服务运行稳定、网络通讯通畅、未被恶意攻击等情况下，通过该方式能够获取到安全令牌，并执行步骤6，进行下一步验证步骤；
若无法获取到安全令牌，则表明验证过程出现异常，执行步骤9，进行异常处理；
步骤6：门户系统获取到安全令牌后，进行信息校验；
由比对模块对缓存服务模块中获取到的安全令牌和应用系统回调的验证信息中返回的安全令牌进行比对；
如果比对信息不一致，则表明该次请求有可能被恶意拦截并且篡改了，进入步骤10，异常处理；
若信息比对一致，则由解密模块对安全令牌进行解密，然后由验证模块将解密后获得的会话控制信息、用户唯一身份标识、应用系统唯一标识、时间戳和随机数，进行有效性验证；
若有效性验证通过，进行步骤7，开始第三次握手过程；
若未通过，表明验证信息失效，进行步骤9，异常处理；
步骤7：进入到该步骤，表明身份验证请求通过，门户系统的反馈模块将用户唯一标识、验证成功标识生成验证结果成功反馈信息并返回给应用系统；
步骤8：应用系统的登录模块接收到验证结果成功反馈信息和用户唯一标识，进行本系统登录；第三次握手过程结束，单点登录过程结束；
步骤9：反馈模块将步骤5、步骤6中的验证未通过的失败标识和具体适配原因生成验证结果失败反馈信息返回给应用系统；单点登录过程结束。
2.如权利要求1所述的基于智慧企业门户的单点登录实现方法，其特征在于，所述步骤21中，由加密模块将所述会话控制信息、用户唯一身份标识、应用系统唯一标识、当前请求服务器的时间戳和随机数采用对称加密算法进行加密。
3.如权利要求1所述的基于智慧企业门户的单点登录实现方法，其特征在于，所述步骤22中，针对BS架构的应用系统，地址调用及信息发送单元通过支持HTTP协议的客户端编程工具包，将加密后的安全令牌、随机数、门户回调验证地址写入到HTTP协议的消息头中，形成门户系统调用请求并传送给应用系统，以减少被恶意系统拦截篡改的几率。
4.如权利要求1所述的基于智慧企业门户的单点登录实现方法，其特征在于，所述步骤22中，针对CS架构的应用系统，若门户系统使用IE浏览器，则地址调用及信息发送单元通过IE浏览器的组件对象模型，通过脚本命令调用起CS客户端；
若门户系统使用的为火狐、谷歌浏览器，则地址调用及信息发送单元采用“网景插件应用程序编程接口”插件，调用起CS客户端；然后将安全令牌、随机数、门户系统回调验证地址形成门户系统调用请求，并以参数方式传递给CS客户端。
5.如权利要求3所述的基于智慧企业门户的单点登录实现方法，其特征在于，所述步骤3中，当BS架构的应用系统接收到门户系统调用请求后，在HTTP协议的消息头中获取到安全令牌、随机数、门户系统回调验证地址。
6.如权利要求4所述的基于智慧企业门户的单点登录实现方法，其特征在于，所述步骤3中，当CS架构的应用系统接收到门户请求，通过客户端获取到安全令牌、随机数、门户系统回调验证地址后，传递给CS架构的应用系统的服务器端。
7.如权利要求1所述的基于智慧企业门户的单点登录实现方法，其特征在于，所述步骤4中的应用系统唯一标识为步骤1中进行注册的应用系统唯一标识保持一致。
8.如权利要求1所述的基于智慧企业门户的单点登录实现方法，其特征在于，所述步骤6中验证模块将解密后获得的会话控制信息、用户唯一身份标识、应用系统唯一标识、时间戳和随机数，进行如下有效性验证：
步骤61：验证会话控制信息是否在当前门户系统中有效；
步骤62：验证应用系统唯一标识和应用系统回调的验证信息中返回的应用系统唯一标识是否一致；
步骤63：验证时间戳与门户系统服务器当前时间的差值，若两个时间差值大于预先设定的认证时间阈值，则该次请求无效。
9.如权利要求8所述的基于智慧企业门户的单点登录实现方法，其特征在于，所述步骤63中，认证时间阈值为1500ms。
10.如权利要求1所述的基于智慧企业门户的单点登录实现方法，其特征在于，所述步骤7中将验证结果成功反馈信息并返回给应用系统的同时，还删除缓存服务模块中的本次请求安全令牌数据。
CN201911114512.XA 2019-11-14 2019-11-14 基于智慧企业门户的单点登录实现方法 Active CN110830493B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201911114512.XA CN110830493B (zh) 2019-11-14 2019-11-14 基于智慧企业门户的单点登录实现方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201911114512.XA CN110830493B (zh) 2019-11-14 2019-11-14 基于智慧企业门户的单点登录实现方法

Publications (2)

Publication Number Publication Date
CN110830493A true CN110830493A (zh) 2020-02-21
CN110830493B CN110830493B (zh) 2022-02-25

Family

ID=69555191

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201911114512.XA Active CN110830493B (zh) 2019-11-14 2019-11-14 基于智慧企业门户的单点登录实现方法

Country Status (1)

Country Link
CN (1) CN110830493B (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111935107A (zh) * 2020-07-23 2020-11-13 珠海大横琴科技发展有限公司 身份认证的方法及装置、系统、电子设备、存储介质
CN114430428A (zh) * 2022-04-02 2022-05-03 中国光大银行股份有限公司 客户端接口统一方法、服务系统、存储介质和电子设备

Citations (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20130290719A1 (en) * 2011-01-13 2013-10-31 Infosys Limited System and method for accessing integrated applications in a single sign-on enabled enterprise solution
CN104378376A (zh) * 2014-11-18 2015-02-25 深圳中兴网信科技有限公司 基于soa的单点登录方法、认证服务器和浏览器
US20160021097A1 (en) * 2014-07-18 2016-01-21 Avaya Inc. Facilitating network authentication
CN106790272A (zh) * 2017-02-16 2017-05-31 济南浪潮高新科技投资发展有限公司 一种单点登录的系统及方法、一种应用服务器
CN107508837A (zh) * 2017-09-28 2017-12-22 山东浪潮通软信息科技有限公司 一种基于智能密码钥匙认证的跨平台异构系统登录方法
CN107872455A (zh) * 2017-11-09 2018-04-03 武汉虹旭信息技术有限责任公司 一种跨域单点登录系统及其方法
CN108234122A (zh) * 2016-12-09 2018-06-29 杭州海康汽车技术有限公司 令牌校验方法和装置
CN108243183A (zh) * 2017-12-20 2018-07-03 北京车和家信息技术有限公司 门户系统的集成控制方法、系统和计算机设备
CN109379369A (zh) * 2018-11-09 2019-02-22 中国平安人寿保险股份有限公司 单点登录方法、装置、服务器及存储介质
CN110381031A (zh) * 2019-06-21 2019-10-25 中国平安财产保险股份有限公司 单点登录方法、装置、设备及计算机可读存储介质

Patent Citations (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20130290719A1 (en) * 2011-01-13 2013-10-31 Infosys Limited System and method for accessing integrated applications in a single sign-on enabled enterprise solution
US20160021097A1 (en) * 2014-07-18 2016-01-21 Avaya Inc. Facilitating network authentication
CN104378376A (zh) * 2014-11-18 2015-02-25 深圳中兴网信科技有限公司 基于soa的单点登录方法、认证服务器和浏览器
CN108234122A (zh) * 2016-12-09 2018-06-29 杭州海康汽车技术有限公司 令牌校验方法和装置
CN106790272A (zh) * 2017-02-16 2017-05-31 济南浪潮高新科技投资发展有限公司 一种单点登录的系统及方法、一种应用服务器
CN107508837A (zh) * 2017-09-28 2017-12-22 山东浪潮通软信息科技有限公司 一种基于智能密码钥匙认证的跨平台异构系统登录方法
CN107872455A (zh) * 2017-11-09 2018-04-03 武汉虹旭信息技术有限责任公司 一种跨域单点登录系统及其方法
CN108243183A (zh) * 2017-12-20 2018-07-03 北京车和家信息技术有限公司 门户系统的集成控制方法、系统和计算机设备
CN109379369A (zh) * 2018-11-09 2019-02-22 中国平安人寿保险股份有限公司 单点登录方法、装置、服务器及存储介质
CN110381031A (zh) * 2019-06-21 2019-10-25 中国平安财产保险股份有限公司 单点登录方法、装置、设备及计算机可读存储介质

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111935107A (zh) * 2020-07-23 2020-11-13 珠海大横琴科技发展有限公司 身份认证的方法及装置、系统、电子设备、存储介质
CN111935107B (zh) * 2020-07-23 2022-06-10 珠海大横琴科技发展有限公司 身份认证的方法及装置、系统、电子设备、存储介质
CN114430428A (zh) * 2022-04-02 2022-05-03 中国光大银行股份有限公司 客户端接口统一方法、服务系统、存储介质和电子设备

Also Published As

Publication number Publication date
CN110830493B (zh) 2022-02-25

Similar Documents

Publication Publication Date Title
CN110826049B (zh) 基于智慧企业门户的单点登录实现系统
US10785207B2 (en) Automatic login method and device between multiple websites
CN114679293A (zh) 基于零信任安全的访问控制方法、设备及存储介质
WO2017028804A1 (zh) 一种Web实时通信平台鉴权接入方法及装置
US10320771B2 (en) Single sign-on framework for browser-based applications and native applications
WO2015143855A1 (zh) 一种对数据资源进行访问的方法、装置和系统
EP3888322A1 (en) Systems and methods for securely calling apis on an api gateway from applications needing first party authentication
CN102638454A (zh) 一种面向http身份鉴别协议的插件式单点登录集成方法
CN109362074B (zh) 一种混合模式APP中h5与服务端安全通讯的方法
WO2012136083A1 (zh) 一种基于云平台访问第三方应用的系统及方法
US10630574B2 (en) Link processing method, apparatus, and system
WO2015196908A1 (zh) 业务处理方法、终端、服务器及系统
CN108322416B (zh) 一种安全认证实现方法、装置及系统
CN113381979B (zh) 一种访问请求代理方法及代理服务器
US20180173884A1 (en) Application-to-application messaging over an insecure application programming interface
CN106911684A (zh) 一种鉴权方法及系统
CN113742676B (zh) 一种登录管理方法、装置、服务器、系统及存储介质
CN110830493B (zh) 基于智慧企业门户的单点登录实现方法
Huang et al. A token-based user authentication mechanism for data exchange in RESTful API
Fett et al. Analyzing the BrowserID SSO system with primary identity providers using an expressive model of the web
US20210377224A1 (en) Secure and auditable proxy technology using trusted execution environments
CN112118238A (zh) 认证登录的方法、装置、系统、设备及存储介质
CN113297562A (zh) 认证方法、装置、系统、电子设备及存储介质
CN104243488A (zh) 一种跨网站服务器的登录认证方法
CN107395566A (zh) 认证方法及装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant