CN111010368B - 基于认证链的权限认证方法、装置、介质及电子设备 - Google Patents

Abstract

本发明实施例提供了一种基于认证链的权限认证方法、装置、介质及电子设备，该方法通过将业务功能系统与权限认证组件进行对接，可以直接利用业务功能系统的系统信息和认证链信息为其生成认证链，并在后续需要对各种业务场景下的业务功能进行权限认证时，只需要在数据库中查询相应的认证链即可。该权限认证方法具有无需重复开发代码，可复用性强等优点，能够高效地为各种复杂的需求多样化的业务功能系统提供可配置的适用性强的权限认证服务。

Description

基于认证链的权限认证方法、装置、介质及电子设备

技术领域

本发明涉及计算机技术领域，具体而言，涉及一种基于认证链的权限认证方法、基于认证链的权限认证装置、计算机可读介质及电子设备。

背景技术

在一般的面客系统中，均会涉及到权限认证的需求，对不同系统、不同功能块、不同身份以及不同业务条件的认证要求是不同的，对认证结果的判断和处理方式也是不同的。

目前，针对该类需求，市场上的普遍处理办法是单一系统针对特定数据、功能块以及不同身份进行一对一的绑定式开发。这种处理办法造成了大量的重复开发工作，效率较低，且代码复用性较差，开发价值相对较小。

随着互联网技术的快速发展，权限认证类需求也在日益增长，权限认证手段也呈现出多样化和复杂化的趋势。因此，目前亟需一种新型的权限认证方法，从而满足不同系统、不同场景的权限认证需求。

需要说明的是，在上述背景技术部分公开的信息仅用于加强对本发明的背景的理解，因此可以包括不构成对本领域普通技术人员已知的现有技术的信息。

发明内容

本发明实施例的目的在于提供一种基于认证链的权限认证方法、基于认证链的权限认证装置、计算机可读介质及电子设备，进而至少在一定程度上克服由于相关技术的缺陷和限制而导致的认证方法复用性差且无法满足复杂多样化的认证需求等问题。

本发明的其他特性和优点将通过下面的详细描述变得显然，或部分地通过本发明的实践而习得。

根据本发明实施例的第一方面，提供一种基于认证链的权限认证方法，所述方法包括：

在与权限认证组件相对应的数据库中配置业务功能系统的系统信息和认证链信息，以根据所述系统信息和所述认证链信息生成认证链；

当所述业务功能系统接收到针对目标业务场景的业务请求时，获取所述目标业务场景的业务场景信息以及所述业务请求的请求方身份信息，并根据所述业务场景信息、所述请求方身份信息以及所述业务功能系统的系统信息生成权限认证请求；

所述业务功能系统将所述权限认证请求发送至所述权限认证组件，以由所述权限认证组件判断所述数据库中是否存在与所述权限认证请求相关的目标认证链；

若所述数据库中存在所述目标认证链，则利用所述目标认证链对所述业务请求进行权限认证，并在认证通过时在所述业务功能系统上提供与所述业务请求相对应的业务功能页面。

在本发明的一些实施例中，基于以上技术方案，所述根据所述系统信息和所述认证链信息生成认证链，包括：

根据所述系统信息确定与所述业务功能系统相关的多个业务场景；

根据所述认证链信息确定与所述业务场景相关联的多个认证单元并为各个所述认证单元配置相应的认证序号；

按照所述认证序号对各个所述认证单元进行排序并组合形成认证链。

在本发明的一些实施例中，基于以上技术方案，所述按照所述认证序号对各个所述认证单元进行排序并组合形成认证链，包括：

筛选具有相同认证序号的认证单元，并将所述具有相同认证序号的认证单元进行横向排序以形成横向认证链；

将认证序号不同的各个所述认证单元以及所述横向认证链按照所述认证序号的大小进行纵向排序以形成纵向认证链。

在本发明的一些实施例中，基于以上技术方案，所述认证单元包括手势密码认证单元、账号密码认证单元、手机验证码认证单元和人脸识别认证单元中的至少两种。

在本发明的一些实施例中，基于以上技术方案，所述业务功能系统将所述权限认证请求发送至所述权限认证组件，包括：

所述业务功能系统调用所述权限认证组件提供的认证链查询与跳转接口；

利用所述认证链查询与跳转接口向所述权限认证组件发送所述权限认证请求信息。

在本发明的一些实施例中，基于以上技术方案，所述目标认证链是由多个依次排列的认证层组成的纵向认证链，所述认证层为一个认证单元或者由多个认证单元组成的横向认证链；所述利用所述目标认证链对所述业务请求进行权限认证，包括：

按照各个所述认证层的排列顺序从所述纵向认证链中选取一个当前认证层；

若所述当前认证层为一个目标认证单元，则生成与所述目标认证单元相对应的权限认证页面；

若所述当前认证层为一个横向认证链，则根据认证单元选取指令从所述横向认证链中选取一个目标认证单元，并生成与所述目标认证单元相对应的权限认证页面；

利用所述权限认证页面对所述业务请求进行权限认证，并判断认证是否通过；

当认证通过时，继续从所述目标认证链中选取下一认证层并进行权限认证，直至出现认证失败或者完成所述纵向认证链中的全部认证层的权限认证。

在本发明的一些实施例中，基于以上技术方案，在利用所述权限认证页面对所述业务请求进行权限认证之前，所述方法还包括：

判断所述数据库中是否存在与所述目标认证单元相对应的有效认证记录；

若所述数据库中存在所述有效认证记录，则跳过所述目标认证单元所在认证层的权限认证步骤。

根据本发明实施例的第二方面，提供一种基于认证链的权限认证装置，所述装置包括：

认证链生成模块，被配置为在与权限认证组件相对应的数据库中配置业务功能系统的系统信息和认证链信息，以根据所述系统信息和所述认证链信息生成认证链；

权限认证请求生成模块，被配置为当所述业务功能系统接收到针对目标业务场景的业务请求时，获取所述目标业务场景的业务场景信息以及所述业务请求的请求方身份信息，并根据所述业务场景信息、所述请求方身份信息以及所述业务功能系统的系统信息生成权限认证请求；

认证链选取模块，被配置为所述业务功能系统将所述权限认证请求发送至所述权限认证组件，以由所述权限认证组件判断所述数据库中是否存在与所述权限认证请求相关的目标认证链；

权限认证模块，被配置为若所述数据库中存在所述目标认证链，则利用所述目标认证链对所述业务请求进行权限认证，并在认证通过时在所述业务功能系统上提供与所述业务请求相对应的业务功能页面。

根据本发明实施例的第三方面，提供了一种计算机可读介质，其上存储有计算机程序，所述程序被处理器执行时实现如上述实施例中第一方面所述的基于认证链的权限认证方法。

根据本发明实施例的第四方面，提供了一种电子设备，包括：一个或多个处理器；存储装置，用于存储一个或多个程序，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现如上述实施例中第一方面所述的基于认证链的权限认证方法。

本发明实施例提供的技术方案可以包括以下有益效果：

在本发明的一些实施例所提供的技术方案中，通过将业务功能系统与权限认证组件进行对接，可以直接利用业务功能系统的系统信息和认证链信息为其生成认证链，并在后续需要对各种业务场景下的业务功能进行权限认证时，只需要在数据库中查询相应的认证链即可。针对不同的业务功能系统或者不同的业务场景，可以配置不同形式、不同复杂程度的认证链。而针对同一业务功能系统的同一业务场景，也可以通过对配置信息的更新实现对认证链的动态调整。该权限认证方法具有无需重复开发代码，可复用性强等优点，能够高效地为各种复杂的需求多样化的业务功能系统提供可配置的适用性强的权限认证服务。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本发明。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本发明的实施例，并与说明书一起用于解释本发明的原理。显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。在附图中：

图1示意性地示出了本发明实施例中的基于认证链的权限认证方法的步骤流程图。

图2示意性地示出了在本发明实施例中生成认证链的步骤流程图。

图3示意性地示出了本发明实施例中按照认证序号形成认证链的步骤流程图。

图4示意性地示出了基于表1中配置的认证链信息生成的认证链结构示意图。

图5示意性地示出了基于接口发送权限认证请求的步骤流程图。

图6示意性地示出了本发明实施例中利用目标认证链进行权限认证的步骤流程图。

图7示意性地示出了本发明实施例在缓存机制下的权限认证步骤流程图。

图8示意性地示出了本发明实施例在一应用场景下的权限认证步骤流程图。

图9示意性地示出了本发明实施例中的基于认证链的权限认证装置的结构框图。

图10示出了适于用来实现本发明实施例的电子设备的计算机系统的结构示意图。

具体实施方式

现在将参考附图更全面地描述示例实施方式。然而，示例实施方式能够以多种形式实施，且不应被理解为限于在此阐述的范例；相反，提供这些实施方式使得本发明将更加全面和完整，并将示例实施方式的构思全面地传达给本领域的技术人员。

此外，所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多实施例中。在下面的描述中，提供许多具体细节从而给出对本发明的实施例的充分理解。然而，本领域技术人员将意识到，可以实践本发明的技术方案而没有特定细节中的一个或更多，或者可以采用其它的方法、组元、装置、步骤等。在其它情况下，不详细示出或描述公知方法、装置、实现或者操作以避免模糊本发明的各方面。

附图中所示的方框图仅仅是功能实体，不一定必须与物理上独立的实体相对应。即，可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。

附图中所示的流程图仅是示例性说明，不是必须包括所有的内容和操作/步骤，也不是必须按所描述的顺序执行。例如，有的操作/步骤还可以分解，而有的操作/步骤可以合并或部分合并，因此实际执行的顺序有可能根据实际情况改变。

图1示意性地示出了本发明实施例中的基于认证链的权限认证方法的步骤流程图。如图1所示，该方法主要可以包括以下步骤：

步骤S110.在与权限认证组件相对应的数据库中配置业务功能系统的系统信息和认证链信息，以根据系统信息和认证链信息生成认证链。

业务功能系统可以是直接面向用户的第三方系统，当用户需要使用业务功能系统提供的各项业务功能时，一般需要先通过一定的权限认证，只有认证通过时才能继续使用相应的业务功能。业务功能系统预先在与权限认证组件相对应的数据库中配置系统信息和认证链信息，根据这些信息便可以生成该业务功能系统专属的认证链，用以对用户的业务使用权限进行认证。

步骤S120.当业务功能系统接收到针对目标业务场景的业务请求时，获取目标业务场景的业务场景信息以及业务请求的请求方身份信息，并根据业务场景信息、请求方身份信息以及业务功能系统的系统信息生成权限认证请求。

业务功能系统一般可以为用户提供多种业务场景，在不同的业务场景下需要进行的权限认证种类也可能存在差异。例如，在金融服务类系统中，当用户登录系统时需要进行权限认证，而在后续的查询账户余额、转账等其他业务场景下同样需要进行权限认证。不同业务场景下的权限认证方法可以相同也可以不同。当业务功能系统接收到根据用户需求而触发的针对目标业务场景的业务请求时，本步骤将获取该目标业务场景的业务场景信息以及该业务请求的请求方身份信息，同时根据获取到的业务场景信息、请求方身份信息以及该业务功能系统的系统信息生成一权限认证请求。

步骤S130.业务功能系统将权限认证请求发送至权限认证组件，以由权限认证组件判断数据库中是否存在与权限认证请求相关的目标认证链。

由步骤S120生成权限认证请求后，业务功能系统将把其发送至权限认证组件，然后由权限认证组件根据权限认证请求中包含的相关信息在数据库中进行查询，判断数据库中是否存在与该权限认证请求相关的目标认证链。一般而言，如果业务功能系统与权限认证组件之间正确进行对接，而且通过步骤S110已正确配置了覆盖目标业务场景的业务功能系统的系统信息和认证链信息，那么本步骤便可以从数据库中查询到与权限认证请求相关的目标认证链。

步骤S140.若数据库中存在目标认证链，则利用目标认证链对业务请求进行权限认证，并在认证通过时在业务功能系统上提供与业务请求相对应的业务功能页面。

如果权限认证组件在数据库中查询到与权限认证请求相关的目标认证链，那么本步骤将利用目标认证链对相应的业务请求进行权限认证。具体可以是利用目标认证链中的认证逻辑对用户的相关信息进行核验，核验成功时，可以认为用户具有在目标业务场景下获取业务服务的权限，此时可以在业务功能系统上向用户提供与业务请求相对应的业务功能页面。而如果核验失败，则可以认为当前用户不具有在目标业务场景下获取业务服务的权限，此时可以在业务功能系统上向用户提供认证失败的信息提示，同时可以为用户提供限定次数的继续进行权限认证的机会。另外，如果权限认证组件在数据库中没有查询到与权限认证请求相关的目标认证链，那么可以认为目标业务场景下的业务服务无需进行权限认证，此时可以直接在业务功能系统上向用户提供与业务请求相对应的业务功能页面。

在本发明实施例提供的基于认证链的权限认证方法中，通过将业务功能系统与权限认证组件进行对接，可以直接利用业务功能系统的系统信息和认证链信息为其生成认证链，并在后续需要对各种业务场景下的业务功能进行权限认证时，只需要在数据库中查询相应的认证链即可。针对不同的业务功能系统或者不同的业务场景，可以配置不同形式、不同复杂程度的认证链。而针对同一业务功能系统的同一业务场景，也可以通过对配置信息的更新实现对认证链的动态调整。该权限认证方法具有无需重复开发代码，可复用性强等优点，能够高效地为各种复杂的需求多样化的业务功能系统提供可配置的适用性强的权限认证服务。

对于一个涉及多种业务场景的业务功能系统而言，权限认证组件可以根据配置信息分别为各个业务场景配置相应的认证链，图2示意性地示出了在本发明实施例中生成认证链的步骤流程图。如图2所示，在以上实施例的基础上，步骤S110中的根据系统信息和认证链信息生成认证链，可以包括以下步骤：

步骤S210.根据系统信息确定与业务功能系统相关的多个业务场景。

根据业务功能系统在数据库中配置的系统信息，可以确定与业务功能系统相关的多个业务场景，每个业务场景可以对应一种或者多种需要进行权限认证的业务功能，例如系统登录功能、信息查询功能等等。

步骤S220.根据认证链信息确定与业务场景相关联的多个认证单元并为各个认证单元配置相应的认证序号。

根据业务功能系统在数据库中配置的认证链信息，可以确定分别与各个业务场景相关联的多个认证单元。针对不同的业务场景，可以配置不同数量、不同种类的认证单元，认证单元的数量和种类也决定了最终形成的认证链的复杂程度。与此同时，本步骤还根据认证链信息为与业务场景相关联的各个认证单元配置相应的认证序号，该认证序号即作为各个认证单元进行权限认证的先后顺序。对于同一种类的一个认证单元而言，在不同的业务场景下或者不同的业务功能系统中可以为其配置不同的认证序号。在一些可选的实施方式中，与业务场景相关联的认证单元可以包括手势密码认证单元、账号密码认证单元、手机验证码认证单元和人脸识别认证单元中的至少两种。

步骤S230.按照认证序号对各个认证单元进行排序并组合形成认证链。

针对与一个业务场景相关联的多个认证单元，按照步骤S210中配置的认证序号可以对这些认证单元进行排序并组合形成认证链。换言之，本步骤中生成的认证链是由多个认证单元按照一定的认证顺序进行排列而形成的，当使用该认证链在相应的业务场景下进行权限认证时，即按照认证顺序依次利用各个认证单元进行权限认证。

用于生成认证链的各个认证单元的认证序号可以是相同的序号也可以是不同的序号，认证序号之间的数值关系决定了最终生成认证链的认证逻辑。图3示意性地示出了本发明实施例中按照认证序号形成认证链的步骤流程图。如图3所示，在以上实施例的基础上，步骤S230.按照认证序号对各个认证单元进行排序并组合形成认证链，可以进一步包括以下步骤：

步骤S310.筛选具有相同认证序号的认证单元，并将具有相同认证序号的认证单元进行横向排序以形成横向认证链。

当两个认证单元的认证序号相同时，可以认为这两个认证单元处于同一认证层级中，本步骤通过筛选具有相同认证序号的认证单元，可以将这些处于同一认证层级的认证单元进行横向排序以形成横向认证链。在权限认证过程中，用户只需要通过横向认证链中的任意一个认证单元，便可以认为其通过了当前认证层级的权限认证，而不必再使用横向认证链中的其他认证单元进行权限认证。例如，在某一业务场景下配置有分别对应于人脸识别、手势密码和手机验证码三种认证方式的认证单元，这三种认证方式处于同一认证层级中。当用户触发该业务场景的业务功能时，权限认证组件会要求用户在人脸识别、手势密码和手机验证码三种认证方式中选择一种方式进行认证。当用户选择其中一种方式并通过该种方式的认证后，会直接通过本层认证，而无需进行本层中另外两种方式的认证。

步骤S320.将认证序号不同的各个认证单元以及横向认证链按照认证序号的大小进行纵向排序以形成纵向认证链。

完成横向认证链中认证单元的筛选和组合后，本步骤将把认证序号不同的各个认证单元以及横向认证链按照认证序号的大小进行纵向排序以形成纵向认证链。纵向认证链由不同认证层级的认证单元或横向认证链组成，各个认证单元或横向认证链的认证序号即代表了相应的认证层级。尤其是针对某些保密要求较高的功能或数据，需要对该功能或数据配置多层安全校验，且每一层校验均为必验项。当且仅当用户通过本层校验后才能进入下一层校验，只有用户通过全部安全校验项才能进入相关功能或看到相关数据，这种多层认证方式即通过纵向认证链来实现。例如，本发明实施例可以为支付功能配置人脸识别、手势密码、手机验证码三重认证。其中，手势密码为第一层安全校验，手机验证码为第二层安全认证，人脸识别为第三层认证校验。当用户点击支付后，触发认证校验功能，权限认证组件会要求用户进行第一层安全认证“手势密码”；当用户通过手势密码认证后，权限认证组件会继续要求用户进行“手机验证码”认证；当用户通过手机验证码认证后，权限认证组件会要求用户进行“人脸识别”认证。当用户通过人脸识别认证，才会进入支付页面。

下面结合一应用场景对认证链的生成机制进行详细说明。在该应用场景中涉及的业务功能系统是一种保险业务管理系统，保险业务管理系统可以提供多种与保险业务相关的业务功能，其中一种业务功能是保单查询。如下方表1所示的认证链信息配置表，针对“保单查询”这一业务场景，对应配置有四个用于进行权限认证的认证单元，具体分别是“手势密码”、“账户密码”、“手机验证码”和“人脸识别”。其中，与手势密码认证单元相对应的认证序号是1，与账户密码认证单元相对应的认证序号也是1，与手机验证码认证单元相对应的认证序号是2，与人脸识别认证单元相对应的认证序号是3。

表1认证链信息配置表

业务功能系统	业务场景	认证单元	认证序号
				保险业务管理系统	保单查询	手势密码	1
保险业务管理系统	保单查询	账号密码	1
				保险业务管理系统	保单查询	手机验证码	2
保险业务管理系统	保单查询	人脸识别	3

根据表1所示的认证链信息，手势密码认证单元和账号密码认证单元具有相同的认证序号，因此二者处于同一认证层级，可以形成一个横向认证链，而手机验证码认证单元、人脸识别认证单元以及该横向认证链具有不同的认证序号，因此处于不同的认证层级，相应地可以形成纵向认证链。

图4示意性地示出了基于表1中配置的认证链信息生成的认证链结构示意图。如图4所示，该认证链整体为一个纵向认证链，纵向认证链的第一个认证层级包含由手势密码认证单元和账号密码认证单元组成的横向认证链，纵向认证链的第二个认证层级为手机验证码认证单元，纵向认证链的第三个认证层级为人脸识别认证单元。在认证链的使用过程中，需要按照图4所示的认证逻辑自上向下依次进行权限认证。

在本发明的一些实施例中，为了向不同的业务功能系统提供权限认证服务，权限认证组件可以配置一个认证链查询与跳转接口。图5示意性地示出了基于接口发送权限认证请求的步骤流程图。如图5所示，在以上实施例的基础上，步骤S130中的业务功能系统将权限认证请求发送至权限认证组件，可以进一步包括以下步骤：

步骤S510.业务功能系统调用权限认证组件提供的认证链查询与跳转接口。

步骤S520.利用认证链查询与跳转接口向权限认证组件发送权限认证请求信息。

在提供认证链查询与跳转接口的基础上，各种业务功能系统可以直接与权限认证组件进行对接，在查询到相应的目标认证链后便可以获得权限认证组件提供的权限认证服务。这种权限认证方式可以避免对认证代码的重复开发，而且可以适用于各种具有复杂多样的业务功能认证需求的业务功能系统。

在本发明的一些实施例中，权限认证组件提供的用于进行权限认证的目标认证链可以是由多个依次排列的认证层组成的纵向认证链，认证层为一个认证单元或者由多个认证单元组成的横向认证链。在此基础上，图6示意性地示出了本发明实施例中利用目标认证链进行权限认证的步骤流程图。如图6所示，在以上实施例的基础上，步骤S140中的利用目标认证链对业务请求进行权限认证，可以进一步包括以下步骤：

步骤S610.按照各个认证层的排列顺序从纵向认证链中选取一个当前认证层。

本步骤首先按照各个认证层在纵向认证链中排列的先后顺序，从中选取一个当前认证层。一般而言，在首次进行权限认证时，可以选取纵向认证链中排在第一位的认证层作为当前认证层。

步骤S620.若当前认证层为一个目标认证单元，则生成与目标认证单元相对应的权限认证页面。

由以上实施例的说明可知，纵向认证链中的各个认证层可能是一个单独的目标认证单元，也可能是一个由多个认证单元组成的横向认证链。如果判断当前认证层为一个目标认证单元，那么本步骤可以直接生成与该目标认证单元相对应的权限认证页面。

步骤S630.若当前认证层为一个横向认证链，则根据认证单元选取指令从横向认证链中选取一个目标认证单元，并生成与目标认证单元相对应的权限认证页面。

如果判断当前认证层是由多个认证单元组成的横向认证链，那么本步骤可以根据用户触发的认证单元选取指令从横向认证链中选取一个目标认证单元，然后生成与该目标认证单元相对应的权限认证页面。例如，横向认证链中包括有三个认证单元，用户可以选择其中一个作为目标认证单元。

步骤S640.利用权限认证页面对业务请求进行权限认证，并判断认证是否通过。

通过步骤S620或者步骤S630生成权限认证页面后，本步骤可以利用该权限认证页面对业务请求进行权限认证，然后根据认证结果判断是否认证通过。例如，当目标认证单元为人脸识别认证单元时，相应可以生成一个要求用户进行人脸识别验证的权限认证页面。在该页面中可以通过采集用户的人脸图像完成对用户的身份核验，如果身份核验成功便确定权限认证通过，而如果身份核验失败则确定权限认证未通过。

步骤S650.当认证通过时，继续从目标认证链中选取下一认证层并进行权限认证，直至出现认证失败或者完成纵向认证链中的全部认证层的权限认证。

当针对当前认证层的权限认证结果为认证通过时，本步骤可以继续从目标认证链中选取下一认证层并继续利用下一认证层执行步骤S620至步骤S640中的方案进行权限认证。不断重复这一过程直至出现认证失败或者完成对纵向认证链中的全部认证层的权限认证。

为了提高认证效率，本发明实施例还可以引入缓存机制，将用户通过权限认证的认证结果存入权限认证组件的缓存中。当业务功能系统在不同的业务场景下进行切换时，通过用户信息判断不同业务场景下的用户是否为同一用户，如果该用户为同一用户，且该用户即将进行的认证在缓存中已经认证过，且该认证仍在有效时间内，则系统默认该认证通过而不必再进行重复认证。

图7示意性地示出了本发明实施例在缓存机制下的权限认证步骤流程图。如图7所示，在以上实施例的基础上，在步骤S140中的利用目标认证链对业务请求进行权限认证之前，权限认证方法还可以包括以下步骤：

步骤S710.判断数据库中是否存在与目标认证单元相对应的有效认证记录。

步骤S720.若数据库中存在有效认证记录，则跳过目标认证单元所在认证层的权限认证步骤。

对于同一种安全认证方式，当用户在业务功能系统中已经通过了该认证，则在规定时间内，该用户在使用其他业务功能系统提供的业务功能或者同一业务功能系统中的不同业务功能时，如果需要通过该种认证方式的校验，则权限认证组件默认该认证方式已经通过安全校验。

举例而言，在保险业务管理系统中，在对应保单查询功能的纵向认证链第二层需要进行人脸识别认证，而在保单回执功能的纵向认证链第一层同样需要使用人脸识别认证。当用户在使用保单查询功能时已经通过了人脸识别认证，则该用户在人脸识别认证有效时间内使用保单回执功能时，权限认证组件默认该用户已经通过了人脸识别认证，不需要重复认证即可通过保单回执功能的第一层安全认证。通过系统间共享认证结果的功能，既保障了认证的安全性，也减少了用户不必要的认证次数。

图8示意性地示出了本发明实施例在一应用场景下的权限认证步骤流程图。如图8所示，在该应用场景下基于认证链的权限认证方法主要包括以下步骤：

步骤S801.开始认证。

响应于用户触发的权限认证请求或者其他触发条件(如权限认证页面的跳转)，开始进入权限认证流程，由当前认证层中的目标认证单元提供权限认证页面。

步骤S802.判断当前认证是否为第一次认证。

基于当前认证层提供的权限认证页面，判断当前认证层是否为目标认证链中排在第一位的认证层。如果不是第一次认证，则继续执行步骤S803。如果是第一次认证，则跳转至步骤S805。

步骤S803.判断上一步认证是否通过。

由于当前认证层并非目标认证链中排在第一位的认证层，那么本步骤可以获取排在当前认证层之前的上一认证层的认证结果，判断上一认证层是否认证通过。如果判断上一认证层认证未通过，则继续执行步骤S804。如果判断上一认证层认证通过，则跳转至步骤S805。

步骤S804.返回上一步认证。

如果上一认证层没有通过认证，本步骤将返回上一认证层，由上一认证中的目标认证单元提供权限认证页面，然后跳转回步骤S802。

步骤S805.判断本次需要认证的项目是否已经通过认证。

基于缓存机制，在一定的有效时长内，认证通过的记录将被保存下来。针对当前认证层中的目标认证单元，本步骤可以判断数据库中是否存在与该目标认证单元相对应的有效认证记录。如果不存在有效认证记录，那么可以判定当前认证层尚未通过认证，继续执行步骤S806。如果存在有效认证记录，那么可以直接判定当前认证层已经通过认证，跳转至步骤S808。

步骤S806.判断本次认证是否通过。

数据库中不存在与本次认证相对应的有效认证记录，因此本步骤利用当前认证层中的目标认证单元提供的权限认证页面对用户权限进行核验，并基于核验结果判断本次认证是否通过。如果认证未通过，则继续执行步骤S807。如果认证通过，则跳转至步骤S808。

步骤S807.返回当前认证。

在进行权限认证时，针对同一认证项目，一般会向用户提供多次认证机会。当步骤S806进行认证的结果为认证失败时，如果没有超过认证失败的次数上限，便可以向用户返回当前认证层中的目标认证单元提供的权限认证页面，然后跳转回步骤S801，对当前认证层再次进行认证。

步骤S808判断是否存在下一步认证。

在当前认证层通过认证后，本步骤判断目标认证链中是否存在下一认证层。如果目标认证链中存在下一认证层，则继续执行步骤S809。如果目标认证链中不存在下一认证层，即当前认证层是目标认证层中的最后一个认证层，则跳转至步骤S810。

步骤S809.返回下一步认证。

针对目标认证链中的下一认证层，本步骤可以向用户返回下一认证中的目标认证单元提供的权限认证页面。此时下一认证层即成为新的当前认证层，然后跳转回步骤S801，针对新的当前认证层继续进行认证。

步骤S810.认证通过，进入业务功能页面。

在利用目标认证链完成认证后，便可以进入与用户的业务请求相对应的业务功能页面。与此同时，此次认证过程的认证结果也将被保存在缓存中，以供后续其他认证过程进行查询。

以下介绍本发明的装置实施例，可以用于执行本发明上述的基于认证链的权限认证方法。

图9示意性地示出了本发明实施例中的基于认证链的权限认证装置的结构框图。如图9所示，权限认证装置900主要可以包括：认证链生成模块910、权限认证请求生成模块920、认证链选取模块930和权限认证模块940。

认证链生成模块910被配置为在与权限认证组件相对应的数据库中配置业务功能系统的系统信息和认证链信息，以根据系统信息和认证链信息生成认证链；

权限认证请求生成模块920被配置为当业务功能系统接收到针对目标业务场景的业务请求时，获取目标业务场景的业务场景信息以及业务请求的请求方身份信息，并根据业务场景信息、请求方身份信息以及业务功能系统的系统信息生成权限认证请求；

认证链选取模块930被配置为业务功能系统将权限认证请求发送至权限认证组件，以由权限认证组件判断数据库中是否存在与权限认证请求相关的目标认证链；

权限认证模块940被配置为若数据库中存在目标认证链，则利用目标认证链对业务请求进行权限认证，并在认证通过时在业务功能系统上提供与业务请求相对应的业务功能页面。

在本发明的一些实施例中，认证链生成模块910可以进一步包括：

业务场景确定模块，被配置为根据系统信息确定与业务功能系统相关的多个业务场景；

认证单元确定模块，被配置为根据认证链信息确定与业务场景相关联的多个认证单元并为各个认证单元配置相应的认证序号；

认证单元组合模块，被配置为按照认证序号对各个认证单元进行排序并组合形成认证链。

在本发明的一些实施例中，认证单元组合模块可以进一步包括：

横向组合模块，被配置为筛选具有相同认证序号的认证单元，并将具有相同认证序号的认证单元进行横向排序以形成横向认证链；

纵向组合模块，被配置为将认证序号不同的各个认证单元以及横向认证链按照认证序号的大小进行纵向排序以形成纵向认证链。

在本发明的一些实施例中，认证单元包括手势密码认证单元、账号密码认证单元、手机验证码认证单元和人脸识别认证单元中的至少两种。

在本发明的一些实施例中，认证链选取模块930主要可以包括：

接口调用模块，被配置为业务功能系统调用权限认证组件提供的认证链查询与跳转接口；

请求发送模块，被配置为利用认证链查询与跳转接口向权限认证组件发送权限认证请求信息。

在本发明的一些实施例中，目标认证链是由多个依次排列的认证层组成的纵向认证链，认证层为一个认证单元或者由多个认证单元组成的横向认证链；权限认证模块940主要可以包括：

当前认证层选取模块，被配置为按照各个认证层的排列顺序从纵向认证链中选取一个当前认证层；

第一页面生成模块，被配置为若当前认证层为一个目标认证单元，则生成与目标认证单元相对应的权限认证页面；

第二页面生成模块，被配置为若当前认证层为一个横向认证链，则根据认证单元选取指令从横向认证链中选取一个目标认证单元，并生成与目标认证单元相对应的权限认证页面；

页面认证模块，被配置为利用权限认证页面对业务请求进行权限认证，并判断认证是否通过；

下一认证层选取模块，被配置为当认证通过时，继续从目标认证链中选取下一认证层并进行权限认证，直至出现认证失败或者完成纵向认证链中的全部认证层的权限认证。

在本发明的一些实施例中，权限认证模块940还包括：

记录查询模块，被配置为判断数据库中是否存在与目标认证单元相对应的有效认证记录；

认证跳过模块，被配置为若数据库中存在有效认证记录，则跳过目标认证单元所在认证层的权限认证步骤。

由于本发明的示例实施例的基于认证链的权限认证装置的各个功能模块与上述基于认证链的权限认证方法的示例实施例的步骤对应，因此对于本发明装置实施例中未披露的细节，请参照本发明上述的基于认证链的权限认证的实施例。

下面参考图10，其示出了适于用来实现本发明实施例的电子设备的计算机系统1000的结构示意图。图10示出的电子设备的计算机系统1000仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。

如图10所示，计算机系统1000包括中央处理单元(CPU)1001，其可以根据存储在只读存储器(ROM)1002中的程序或者从存储部分1008加载到随机访问存储器(RAM)1003中的程序而执行各种适当的动作和处理。在RAM 1003中，还存储有系统操作所需的各种程序和数据。CPU 1001、ROM 1002以及RAM 1003通过总线1004彼此相连。输入/输出(I/O)接口1005也连接至总线1004。

以下部件连接至I/O接口1005：包括键盘、鼠标等的输入部分1006；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分1007；包括硬盘等的存储部分1008；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分1009。通信部分1009经由诸如因特网的网络执行通信处理。驱动器1010也根据需要连接至I/O接口1005。可拆卸介质1011，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器1010上，以便于从其上读出的计算机程序根据需要被安装入存储部分1008。

特别地，根据本发明的实施例，上文参考流程图描述的过程可以被实现为计算机软件程序。例如，本发明的实施例包括一种计算机程序产品，其包括承载在计算机可读介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分1009从网络上被下载和安装，和/或从可拆卸介质1011被安装。在该计算机程序被中央处理单元(CPU)1001执行时，执行本申请的系统中限定的上述功能。

需要说明的是，本发明所示的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本发明中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本发明中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、电线、光缆、RF等等，或者上述的任意合适的组合。

附图中的流程图和框图，图示了按照本发明各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

描述于本发明实施例中所涉及到的单元可以通过软件的方式实现，也可以通过硬件的方式来实现，所描述的单元也可以设置在处理器中。其中，这些单元的名称在某种情况下并不构成对该单元本身的限定。

作为另一方面，本申请还提供了一种计算机可读介质，该计算机可读介质可以是上述实施例中描述的电子设备中所包含的；也可以是单独存在，而未装配入该电子设备中。上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被一个该电子设备执行时，使得该电子设备实现如上述实施例中所述的基于认证链的权限认证。

应当注意，尽管在上文详细描述中提及了用于动作执行的设备的若干模块或者单元，但是这种划分并非强制性的。实际上，根据本发明的实施方式，上文描述的两个或更多模块或者单元的特征和功能可以在一个模块或者单元中具体化。反之，上文描述的一个模块或者单元的特征和功能可以进一步划分为由多个模块或者单元来具体化。

通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本发明实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、触控终端、或者网络设备等)执行根据本发明实施方式的方法。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本发明的其它实施方案。本申请旨在涵盖本发明的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本发明的一般性原理并包括本发明未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本发明的真正范围和精神由下面的权利要求指出。

应当理解的是，本发明并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本发明的范围仅由所附的权利要求来限制。

Claims (9)

1.一种基于认证链的权限认证方法，其特征在于，所述方法包括：

在与权限认证组件相对应的数据库中配置业务功能系统的系统信息和认证链信息，根据所述系统信息确定与所述业务功能系统相关的多个业务场景；根据所述认证链信息确定与所述业务场景相关联的多个认证单元并为各个所述认证单元配置相应的认证序号；按照所述认证序号对各个所述认证单元进行排序并组合形成认证链；

当所述业务功能系统接收到针对目标业务场景的业务请求时，获取所述目标业务场景的业务场景信息以及所述业务请求的请求方身份信息，并根据所述业务场景信息、所述请求方身份信息以及所述业务功能系统的系统信息生成权限认证请求；

所述业务功能系统将所述权限认证请求发送至所述权限认证组件，以由所述权限认证组件判断所述数据库中是否存在与所述权限认证请求相关的目标认证链；

若所述数据库中存在所述目标认证链，则利用所述目标认证链对所述业务请求进行权限认证，并在认证通过时在所述业务功能系统上提供与所述业务请求相对应的业务功能页面。

2.根据权利要求1所述的基于认证链的权限认证方法，其特征在于，所述按照所述认证序号对各个所述认证单元进行排序并组合形成认证链，包括：

筛选具有相同认证序号的认证单元，并将所述具有相同认证序号的认证单元进行横向排序以形成横向认证链；

将认证序号不同的各个所述认证单元以及所述横向认证链按照所述认证序号的大小进行纵向排序以形成纵向认证链。

3.根据权利要求1所述的基于认证链的权限认证方法，其特征在于，所述认证单元包括手势密码认证单元、账号密码认证单元、手机验证码认证单元和人脸识别认证单元中的至少两种。

4.根据权利要求1所述的基于认证链的权限认证方法，其特征在于，所述业务功能系统将所述权限认证请求发送至所述权限认证组件，包括：

所述业务功能系统调用所述权限认证组件提供的认证链查询与跳转接口；

利用所述认证链查询与跳转接口向所述权限认证组件发送所述权限认证请求信息。

5.根据权利要求1至4中任一项所述的基于认证链的权限认证方法，其特征在于，所述目标认证链是由多个依次排列的认证层组成的纵向认证链，所述认证层为一个认证单元或者由多个认证单元组成的横向认证链；所述利用所述目标认证链对所述业务请求进行权限认证，包括：

按照各个所述认证层的排列顺序从所述纵向认证链中选取一个当前认证层；

若所述当前认证层为一个目标认证单元，则生成与所述目标认证单元相对应的权限认证页面；

若所述当前认证层为一个横向认证链，则根据认证单元选取指令从所述横向认证链中选取一个目标认证单元，并生成与所述目标认证单元相对应的权限认证页面；

利用所述权限认证页面对所述业务请求进行权限认证，并判断认证是否通过；

当认证通过时，继续从所述目标认证链中选取下一认证层并进行权限认证，直至出现认证失败或者完成所述纵向认证链中的全部认证层的权限认证。

6.根据权利要求5所述的基于认证链的权限认证方法，其特征在于，在利用所述权限认证页面对所述业务请求进行权限认证之前，所述方法还包括：

判断所述数据库中是否存在与所述目标认证单元相对应的有效认证记录；

若所述数据库中存在所述有效认证记录，则跳过所述目标认证单元所在认证层的权限认证步骤。

7.一种基于认证链的权限认证装置，其特征在于，包括：

认证链生成模块，被配置为在与权限认证组件相对应的数据库中配置业务功能系统的系统信息和认证链信息，根据所述系统信息确定与所述业务功能系统相关的多个业务场景；根据所述认证链信息确定与所述业务场景相关联的多个认证单元并为各个所述认证单元配置相应的认证序号；按照所述认证序号对各个所述认证单元进行排序并组合形成认证链；

权限认证请求生成模块，被配置为当所述业务功能系统接收到针对目标业务场景的业务请求时，获取所述目标业务场景的业务场景信息以及所述业务请求的请求方身份信息，并根据所述业务场景信息、所述请求方身份信息以及所述业务功能系统的系统信息生成权限认证请求；

认证链选取模块，被配置为所述业务功能系统将所述权限认证请求发送至所述权限认证组件，以由所述权限认证组件判断所述数据库中是否存在与所述权限认证请求相关的目标认证链；

权限认证模块，被配置为若所述数据库中存在所述目标认证链，则利用所述目标认证链对所述业务请求进行权限认证，并在认证通过时在所述业务功能系统上提供与所述业务请求相对应的业务功能页面。

8.一种计算机可读介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现如权利要求1至6中任一项所述的基于认证链的权限认证方法。

9.一种电子设备，其特征在于，包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现如权利要求1至6中任一项所述的基于认证链的权限认证方法。

Images