CN111669351B - 鉴权方法、业务服务器、客户端及计算机可读存储介质 - Google Patents

Abstract

本发明实施例公开了一种鉴权方法及相关设备，包括：第一应用程序对应的业务服务器中的鉴权模块当接收到第一应用程序的客户端发送的登录请求时，首先从鉴权服务器中获取用户登录与第一应用程序相关联的第二应用程序所使用的第一账号信息；接着根据第一账号信息，生成鉴权令牌；然后向客户端发送鉴权信息，该鉴权信息包括第一账号信息和鉴权令牌。所述业务服务器中的功能模块则可以接收客户端发送的业务请求，并根据业务请求携带的鉴权信息对客户端进行鉴权以便执行业务请求对应的业务逻辑。采用本发明实施例，可以优化鉴权服务器的访问频率、提高鉴权效率。

Description

鉴权方法、业务服务器、客户端及计算机可读存储介质

技术领域

本发明涉及互联网技术领域，尤其涉及一种鉴权方法及相关设备。

背景技术

为了维护用户的数据安全和建立以用户为中心的服务体系，在跨平台使用用户信息时，资源拥有者/业务提供者通常需要对资源请求者/业务请求者进行鉴权，其中，资源拥有者/业务提供者可以将用户的部分重要数据托管于独立的鉴权服务器，并通过鉴权服务器完成对资源请求者/业务请求者的鉴权。如图1所示，在现有技术中，应用程序对应的业务服务器（业务提供者）中包括的多个功能模块，用于完成客户端请求的多种业务功能。当应用程序的客户端（业务请求者）针对不同的功能模块发送业务请求时，功能模块需要分别访问鉴权服务器进行鉴权，若鉴权成功，则功能模块执行对应的业务功能并返回执行结果。尽管这种方法可以有效地保护数据安全，但是鉴权服务器的访问频率高、鉴权效率低。

发明内容

本发明提供一种鉴权方法及相关设备，可以优化鉴权服务器的访问频率、提高鉴权效率。

第一方面，本发明实施例提供了一种鉴权方法，包括：

鉴权模块当接收到第一应用程序的客户端发送的登录请求时，从鉴权服务器中获取用户登录所述第一应用程序相关联的第二应用程序所使用的第一账号信息；

所述鉴权模块根据所述第一账号信息，生成鉴权令牌；

所述鉴权模块向客户端发送鉴权信息，所述鉴权信息包括所述第一账号信息和所述鉴权令牌；

所述功能模块接收所述客户端发送的业务请求，所述业务请求携带所述鉴权信息；

所述功能模块根据所述鉴权信息，对所述客户端进行鉴权。

其中，所述业务服务器还包括密钥模块；

所述密钥模块生成所述第一账号信息对应的密钥，所述密钥包括加密密钥；

所述鉴权模块根据所述第一账号信息，生成鉴权令牌包括：

所述鉴权模块根据所述加密密钥，对所述第一账号信息进行加密得到所述鉴权令牌。

其中，所述密钥还包括解密密钥；

所述功能模块根据所述鉴权信息，对所述客户端进行鉴权包括：

所述功能模块根据所述解密密钥，对所述鉴权令牌进行解密得到第二账号信息；

所述功能模块根据所述第一账号信息和所述第二账号信息，对所述客户端进行鉴权。

其中，所述功能模块根据所述第一账号信息和所述第二账号信息，对所述客户端进行鉴权包括：

所述功能模块将所述第一账号信息和所述第二账号信息进行匹配；

所述功能模块当所述第一账号信息与所述第二账号信息相同时，确定所述客户端鉴权成功。

其中，所述鉴权信息还包括所述第一账号信息对应的账号在所述第一应用程序中的第一登录态信息；

所述功能模块根据所述解密密钥，对所述鉴权令牌进行解密得到第二账号信息之前，还包括：

所述功能模块获取所述第一账号信息对应的账号在所述第一应用程序中的第二登录态信息；

所述功能模块将所述第一登录态信息和所述第二登录态信息进行匹配；

所述功能模块当所述第一登录态信息与所述第二登录态信息相匹配时，执行所述根据所述解密密钥，对所述鉴权令牌进行解密得到第二账号信息的操作。

其中，所述鉴权模块向所述客户端发送鉴权信息之前，还包括：

所述鉴权模块建立所述第一账号信息对应的账号在所述第一应用程序中的登录态；

所述鉴权模块根据所述登录态，确定所述第一登录态信息。

其中，所述业务请求还携带开通请求和拉码请求中的至少一项，所述开通请求用于指示所述功能模块执行开通业务逻辑、以及所述拉码请求用于指示所述功能模块执行拉码业务逻辑。

第二方面，本发明实施例提供了另一种鉴权方法，包括：

所述客户端向所述鉴权模块发送登录请求，所述登录请求用于指示所述鉴权模块从鉴权服务器中获取用户登录所述第一应用程序相关联的第二应用程序所使用的账号信息；

所述客户端接收所述鉴权模块发送的鉴权信息，所述鉴权信息包括所述账号信息和鉴权令牌，所述鉴权令牌由所述鉴权模块根据所述账号信息生成；

所述客户端向所述功能模块发送业务请求，所述业务请求携带所述鉴权信息，所述鉴权信息用于指示所述功能模块对所述客户端进行鉴权。

其中，所述业务请求还携带开通请求和拉码请求中的至少一项；所述开通请求用于指示所述功能模块执行开通业务逻辑、以及所述拉码请求用于指示所述功能模块执行拉码业务逻辑。

其中，所述客户端向所述功能模块发送所述业务请求之后，还包括：

所述客户端接收所述功能模块发送的提示信息，所述提示信息用于指示所述客户端通知用户所述开通业务逻辑和/或所述拉码业务逻辑的执行结果。

其中，所述鉴权信息还包括所述账号信息对应的账号在所述第一应用程序中的登录态信息。

第三方面，本发明实施例提供了一种业务服务器，包括：

鉴权模块，用于当接收到所述第一应用程序的客户端发送的登录请求时，从鉴权服务器中获取用户登录所述第一应用程序相关联的第二应用程序所使用的第一账号信息；

所述鉴权模块，还用于根据所述第一账号信息，生成鉴权令牌；

所述鉴权模块，还用于向所述客户端发送鉴权信息，所述鉴权信息包括所述第一账号信息和所述鉴权令牌；

功能模块，用于接收所述客户端发送的业务请求，所述业务请求携带所述鉴权信息；

所述功能模块，还用于根据所述鉴权信息，对所述客户端进行鉴权。

其中，所述业务服务器还包括密钥模块，用于：

生成所述第一账号信息对应的密钥，所述密钥包括加密密钥；

所述鉴权模块还用于：

根据所述加密密钥，对所述第一账号信息进行加密得到所述鉴权令牌。

其中，所述密钥还包括解密密钥；

所述功能模块还用于：

根据所述解密密钥，对所述鉴权令牌进行解密得到第二账号信息；

根据所述第一账号信息和所述第二账号信息，对所述客户端进行鉴权。

其中，所述功能模块还用于：

将所述第一账号信息和所述第二账号信息进行匹配；

当所述第一账号信息与所述第二账号信息相同时，确定所述客户端鉴权成功。

其中，所述鉴权信息还包括所述第一账号信息对应的账号在所述第一应用程序中的第一登录态信息；

所述功能模块还用于：

获取所述第一账号信息对应的账号在所述第一应用程序中的第二登录态信息；

将所述第一登录态信息和所述第二登录态信息进行匹配；

当所述第一登录态信息与所述第二登录态信息相匹配时，执行所述根据所述解密密钥，对所述鉴权令牌进行解密得到第二账号信息的操作。

其中，所述鉴权模块还用于：

建立所述第一账号信息对应的账号在所述第一应用程序中的登录态；

根据所述登录态，确定所述第一登录态信息。

其中，所述业务请求还携带开通请求和拉码请求中的至少一项，所述开通请求用于指示所述功能模块执行开通业务逻辑、以及所述拉码请求用于指示所述功能模块执行拉码业务逻辑。

第四方面，本发明实施例提供了一种客户端，包括：

发送模块，用于向所述鉴权模块发送登录请求，所述登录请求用于指示所述鉴权模块从鉴权服务器中获取用户登录所述第一应用程序相关联的第二应用程序所使用的账号信息；

接收模块，用于接收所述鉴权模块发送的鉴权信息，所述鉴权信息包括所述账号信息和鉴权令牌，所述鉴权令牌由所述鉴权模块根据所述账号信息生成；

所述发送模块，还用于向所述功能模块发送业务请求，所述业务请求携带所述鉴权信息，所述鉴权信息用于指示所述功能模块对所述客户端进行鉴权。

其中，所述业务请求还携带开通请求和拉码请求中的至少一项；所述开通请求用于指示所述功能模块执行开通业务逻辑、以及所述拉码请求用于指示所述功能模块执行拉码业务逻辑。

其中，所述接收模块还用于：

接收所述功能模块发送的提示信息，所述提示信息用于指示所述客户端通知用户所述开通业务逻辑和/或所述拉码业务逻辑的执行结果。

其中，所述鉴权信息还包括所述账号信息对应的账号在所述第一应用程序中的登录态信息。

第五方面，本发明实施例提供了一种业务服务器，包括：处理器、存储器和通信总线，其中，通信总线用于实现处理器和存储器之间连接通信，处理器执行存储器中存储的程序用于实现上述第一方面提供的一种鉴权方法中的步骤。

第六方面，本发明实施例提供了一种客户端，包括：处理器、存储器和通信总线，其中，通信总线用于实现处理器和存储器之间连接通信，处理器执行存储器中存储的程序用于实现上述第二方面提供的一种鉴权方法中的步骤。

本发明实施例的又一方面提供了一种计算机可读存储介质，所述计算机可读存储介质中存储有多条指令，所述指令适于由处理器加载并执行上述各方面所述的方法。

本发明实施例的又一方面提供了一种包含指令的计算机程序产品，当其在计算机上运行时，使得计算机执行上述各方面所述的方法。

实施本发明实施例，第一应用程序对应的业务服务器中的鉴权模块当接收到第一应用程序的客户端发送的登录请求时，首先从鉴权服务器中获取用户登录第一应用程序相关联的第二应用程序所使用的第一账号信息；接着根据第一账号信息，生成鉴权令牌；然后向客户端发送鉴权信息，该鉴权信息包括第一账号信息和鉴权令牌。所述业务服务器中的功能模块则可以接收客户端发送的业务请求，业务请求携带所述鉴权信息，并根据鉴权信息对客户端进行鉴权以便执行业务请求对应的业务逻辑。可以优化鉴权服务器的访问频率、提高鉴权效率。

附图说明

为了更清楚地说明本发明实施例或背景技术中的技术方案，下面将对本发明实施例或背景技术中所需要使用的附图进行说明。

图1是现有技术提供的一种鉴权系统示意图；

图2是本发明实施例提供的一种鉴权系统示意图；

图3是本发明实施例提供的一种鉴权方法的流程示意图；

图4是本发明实施例提供的另一种鉴权方法的流程示意图；

图5是本发明实施例提供的一种鉴权方法的具体实施流程示意图；

图6是本发明实施例提供的一种业务服务器的结构示意图；

图7是本发明实施例提供的一种客户端的结构示意图；

图8是本发明实施例提出的另一种业务服务器的结构示意图；

图9是本发明实施例提出的另一种客户端的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

请参见图2，图2是本发明实施例提供的一种鉴权系统的结构示意图。如图所示，该鉴权系统包括客户端、鉴权服务器、以及所述客户端所属的应用程序对应的业务服务器。其中，鉴权服务器用于在该应用程序需要获取与之相关联的应用程序中的账号信息时，对该应用程序进行鉴权。业务服务器包括鉴权模块、密钥模块和至少一个功能模块，鉴权模块用于与鉴权服务器进行对接以完成鉴权、密钥模块用于生成密钥和分发密钥、功能模块用于执行该应用程序的业务逻辑。其中，鉴权模块、密钥模块和功能模块是业务服务器中相互独立的模块。客户端可以向鉴权模块发送登录请求以指示鉴权模块向鉴权服务器发起鉴权、以及向功能模块发送业务请以指示功能模块执行对应的业务逻辑，其中，功能模块在执行业务逻辑之前也需要对客户端进行鉴权。基于上述鉴权系统，本发明实施例提供了如下鉴权方法。

请参见图3，图3是本发明实施例提供的一种鉴权方法的流程示意图，本发明实施例的执行主体为第一应用程序对应的业务服务器，所述业务服务器包括功能模块和鉴权模块，该方法包括但不限于如下步骤：

S301，所述鉴权模块当接收到所述第一应用程序的客户端发送的登录请求时，从鉴权服务器中获取用户登录所述第一应用程序相关联的第二应用程序所使用的第一账号信息。

具体实现中，客户端可以首先将登录请求发送到业务服务器的处理器，再由该处理器将登录请求分配给鉴权模块进行处理。其中，第一应用程序与第二应用程序相关联，因此第一应用程序可以利用用户在第二应用程序中的登录账号的账号信息建立登录态。登录请求中可以包括第二应用程序为第一应用程序分配的身份认证信息。例如，第一应用程序为基于第二应用程序实现的、在第二应用程序中不需要下载即可使用的应用程序，则第一应用程序在接入第二应用程序之前需向第二应用程序申请身份认证信息appid和appsecret。鉴权模块可以首先提取登录请求中的第一应用程序的身份认证信息，再将该身份认证信息携带在鉴权请求中转发给鉴权服务器，其中，鉴权服务器在第一应用程序与第二应用程序之间起到桥梁的作用，第二应用程序可以但不限于将为其他应用程序分配的身份认证信息以及用户在该第二应用程序中登录的账号信息托管于鉴权服务器。鉴权服务器在第一应用程序鉴权成功后，向鉴权模块发送第一账号信息，所述第一账号信息可以但不限于包括第二应用程序中的登录账号对应的用户标识信息，如openid和union_id等。其中，若接收到的第一应用程序的身份认证信息与鉴权服务器中存储的第一应用程序的身份认证信息相同，则确定第一应用程序鉴权成功。

例如：第一应用程序对应的业务服务器的鉴权模块向鉴权服务器发送appid和appsecret，鉴权服务器对appid和appsecret进行校验后，向鉴权模块发送第二应用程序中的登录账号对应的用户标识信息openid；鉴权模块再根据openid向鉴权服务器申请用户在第一应用程序中的用户标识信息union_id。其中，第二应用程序中可以接入多个应用程序，即与第二应用程序相关联的应用程序有多个，openid为用户在第二应用程序中的唯一标识，union_id为用户在与第二应用程序相关联的多个应用程序中每个应用程序内的唯一标识，也就是说，针对与第二应用程序相关联的多个应用程序，用户的openid相同，但union_id不同。

S302，所述鉴权模块根据所述第一账号信息，生成鉴权令牌。

具体实现中，业务服务器中包括的密钥模块可以生成第一账号信息对应的密钥，该密钥可以包括加密密钥和解密密钥，其中，密钥模块可以但不限于按照预设加密算法，如RSA算法，生成相对应的一对公钥和私钥，公钥可以作为加密密钥，私钥可以作为解密密钥。鉴权模块可以根据该加密密钥对第一账号信息进行加密，并将加密后的第一账号信息作为鉴权令牌。

S303，所述鉴权模块向所述客户端发送鉴权信息，所述鉴权信息包括所述第一账号信息和所述鉴权令牌。

S304，所述功能模块接收所述客户端发送的业务请求，所述业务请求携带所述鉴权信息。

具体实现中，业务请求用于指示功能模块执行相应地业务逻辑，以便为用户提供服务，因此业务请求中还可以携带功能请求，如开通请求、拉码请求等。

S305，所述功能模块根据鉴权信息，对所述客户端进行鉴权。

具体实现中，功能模块根据加密模块生成的解密密钥，对客户端发送的鉴权信息所包含的鉴权令牌进行解密得到第二账号信息，然后将第二账号信息与鉴权信息中包含的第二账号信息进行匹配，若第一账号信息与第二账号信息相同，则功能模块可以确定客户端是可信任的，从而确定客户端鉴权成功。客户端鉴权成功后，鉴权模块执行客户端所请求的业逻辑。其中，当业务请求中携带开通请求时，功能模块执行业务开通逻辑；当业务请求中携带拉码请求时，功能模块执行拉码业务逻辑。

在本发明实施例中，第一应用程序对应的业务服务器中的鉴权模块当接收到第一应用程序的客户端发送的登录请求时，首先从鉴权服务器中获取用户登录第一应用程序相关联的第二应用程序所使用的第一账号信息；接着根据第一账号信息，生成鉴权令牌；然后向客户端发送鉴权信息，该鉴权信息包括第一账号信息和鉴权令牌。所述业务服务器中的功能模块则可以接收客户端发送的业务请求，业务请求携带所述鉴权信息，并根据鉴权信息，对客户端进行鉴权。可以减少对鉴权服务器的访问次数、提高鉴权效率。

请参见图4，图4是本发明实施例提供的另一种鉴权方法的流程示意图，本发明实施例中的方法应用于第一应用程序，所述第一应用程序包括客户端，所述第一应用程序对应的业务服务器包括鉴权模块、功能模块和密钥模块。该方法包括但不限于如下步骤：

S401，客户端向鉴权模块发送登录请求。

具体实现中，当客户端没有登录态，即没有任何账号在第一应用程序中登录时，客户端可以向鉴权模块发送登录请求，其中，登录请求的一种可能传输方式是：客户端首先将登录请求发送到业务服务器的处理器，再由处理器将登录请求分配给鉴权模块进行处理。其中，第一应用程序与第二应用程序相关联，因此第一应用程序可以利用用户在第二应用程序中的登录账号的账号信息建立登录态，登录请求中可以携带第二应用程序为第一应用程序分配的身份认证信息。

S402，鉴权模块向鉴权服务器发送鉴权请求。

具体实现中，鉴权模块首先提取登录请求中的第一应用程序的身份认证信息，再将该身份认证信息携带在鉴权请求中转发给鉴权服务器，其中，鉴权服务器用于连接第一应用程序与第二应用程序。第二应用程序可以但不限于将为其他应用程序分配的身份认证信息以及用户在该第二应用程序中登录的账号信息托管于鉴权服务器。

S403，鉴权服务器向功能模块发送第一账号信息。

具体实现中，鉴权服务器可以在第一应用程序鉴权成功后，向鉴权模块发送用户登录第二应用程序所使用的账号信息，该账号信息可以但不限于包括第二应用程序中的登录账号对应的用户标识信息，如openid和union_id等。其中，若接收到的第一应用程序的身份认证信息与鉴权服务器中存储的第一应用程序的身份认证信息相同，则鉴权服务器确定第一应用程序鉴权成功。

S404，密钥模块生成所述第一账号信息对应的密钥，所述密钥包括加密密钥和解密密钥。

具体实现中，密钥模块可以按照预设的加密算法，如RSA算法，生成相对应的一对公钥和私钥，其中，公钥可以作为加密密钥，私钥可以作为解密密钥。

S405，鉴权模块根据所述加密密钥和所述第一账号信息，生成鉴权令牌。

具体实现中，鉴权模块可以利用加密密钥对第一账号信息进行加密，并将加密后的第一账号信息作为鉴权令牌。

S406，鉴权模块建立所述第一账号信息对应的账号在所述第一应用程序中的登录态。

具体实现中，鉴权模块可以根据获取到的第一账号信息建立第一账号信息对应的账号在第一应用程序中的登录态，并根据该登录态生成对应的登录态信信息（记为skey），skey用于在第一应用程序中唯一地标识第一账号信息对应的账号在第一应用程序中的登录状态，skey可以但不限于为字符、数字和字符串。

S407，鉴权模块向客户端发送鉴权信息，所述鉴权信息包括所述第一账号信息、所述鉴权令牌和登录态信息。

S408，客户端向功能模块发送业务请求，所述业务请求包括所述鉴权信息。

具体实现中，业务请求用于指示功能模块执行相应的业务逻辑，以便为用户提供服务，因此业务请求还可以包括开通请求、拉码请求等功能请求。鉴权信息用于功能模块对客户端进行鉴权。其中，客户端可以显示第一应用程序对应的用户交互界面并接收用户输入的指令，则客户端当接收到用户输入的指令时，根据该指令向功能模块发送业务请求，业务请求的一种可能传输方式为：客户端首先将业务请求发送到业务服务器的处理器，再由处理器将业务请求分配给功能模块进行处理。例如，客户端显示的用户交互界面中包括“拉码业务”的按钮，则客户端当检测到用户点击“拉码业务”的按钮时，向业务服务器发送业务请求，该业务请求中携带鉴权信息和拉码请求。

S409，功能模块根据所述鉴权信息，对客户端进行鉴权，

具体实现中，功能模块可以首先从鉴权模块中获取该模块生成的登录态信息，并将获取到的登录态信息skey-1与接收到的鉴权信息中的登录态信息skey-2进行匹配。当skey-1与skey-2相同时，功能模块从密钥模块中获取解密密钥，并根据解密密钥对接收到的鉴权信息中的鉴权令牌进行解密得到第二账号信息；然后将第二账号信息和接收到的鉴权信息中的第一账号信息进行匹配，若第一账号信息和第二账号信息相同，则确定客户端鉴权成功。客户端鉴权成功后，功能模块执行业务客户端所请求的业逻辑，其中，当业务请求中携带开通请求时，执行业务开通逻辑；当业务请求中携带拉码请求时，执行拉码业务逻辑。

其中，由于加密密钥和解密密钥均是业务服务器中独立的密钥模块生成和分发的，若其他客户端通过伪造的鉴权令牌或第一账号信息在功能模块中进行鉴权，则首先将由于鉴权令牌的解密密钥与密钥模块生成的解密密钥不同导致鉴权失败，还将由于鉴权令牌解密后得到的第二账号信息与第一账号信息不同导致鉴权失败。因此，只有当鉴权令牌和第一账号信息均来自鉴权模块，也就是鉴权模块接收到的业务请求来自经过鉴权模块认证的客户端时，功能模块才能对该客户端进行顺利的鉴权，从而确保功能模块利用鉴权信息对客户端进行鉴权的有效性和可靠性。

可选的，功能模块在执行完业务逻辑之后，还可以向客户端发送提示信息，该提示信息用于指示客户端通知用户业务逻辑（如开通业务、拉码业务）的执行结果，其中，客户端可以显示业务逻辑的执行结果页面或展示业务逻辑执行完成的语音或文字信息。

以下通过一个完整的例子来对上述鉴权方法的具体实施流程进行说明：

如图5所示，当应用程序Pear的客户端没有登录态时，向Pear的业务服务器的鉴权模块发送登录请求，该登录请求中携带应用程序Grape为应用程序Pear分配的身份认证信息appid和appsecret。Pear的鉴权模块则根据appid和appsecret向鉴权服务器发起鉴权，鉴权服务器对appid和appsecret进行校验，校验通过后返回应用程序Grape中的登录账号对应的用户标识信息openid。Pear的鉴权模块再根据openid向鉴权服务器请求用户标识信息union_id。接着Pear的鉴权模块根据openid和union_id自建登录态并生成登录态skey，然后利用密钥模块生成的RSA公钥对openid和union_id进行加密作为鉴权令牌，其中，鉴权模块将登录态skey、openid、union_id和鉴权令牌发送给Pear的客户端。Pear的客户端可以当接收到用户的指令时，向Pear的开通拉码功能模块发送开通请求，与开通请求同时发送给开通拉码功能模块的还包括登录态skey、openid、union_id和鉴权令牌。Pear的开通拉码功能模块则首先校验接收到的登录态skey与鉴权模块生成的登录态skey是否相同，若相同，则从密钥模块获取RSA私钥对接收到的鉴权令牌进行解密；接着将解密鉴权令牌得到的openid和union_id与接收到的openid和union_id进行匹配，若两者相同，则执行开通业务逻辑，并在执行完成后向客户端发送提示信息。如图所示，Pear的客户端还可以向开通拉码功能模块发送拉码请求，在开通拉码功能模块中针对拉码请求和开通请求的处理流程类似，这里不再赘述。

在本发明实施例中，当客户端请求登录时业务服务器通过独立的鉴权模块与鉴权服务器对接以便完成对客户端（第一应用程序）的鉴权，并从鉴权服务器中获取用户登录第二应用程序所使用的账号信息，并根据该账号信息建立第一应用程序的登录态、以及生成鉴权令牌。同时，在业务服务器中设置独立的密钥模块用于生成和分发密钥，其中，鉴权令牌就是鉴权模块利用加密密钥对账号信息进行加密得到的。鉴权模块可以将登录态信息、账号信息和鉴权令牌发送给客户端作为客户端在功能模块中进行鉴权的鉴权凭证（鉴权信息），则功能模块在执行客户端请求的业务逻辑之前，无需再通过访问鉴权服务器对客户端进行鉴权，只需对鉴权凭证进行校验即可。相比于现有技术中功能模块访问鉴权服务器来完成对客户端的鉴权的方法，本申请实施例所提供的方法不仅可以有效减少鉴权服务器的访问次数、提高鉴权效率，而且基于独立密钥模块的加解密机制可以确保鉴权的有效性和信息的安全性。

上述详细阐述了本发明实施例的方法，下面提供了本发明实施例的相关设备。

请参见图6，图6是本发明实施例提供的一种业务服务器的结构示意图，该业务服务器与第一应用程序相对应，该业务服务器可以包括：

鉴权模块601，用于当接收到所述第一应用程序的客户端发送的登录请求时，从鉴权服务器中获取用户登录所述第一应用程序相关联的第二应用程序所使用的第一账号信息。

具体实现中，客户端可以首先将登录请求发送到业务服务器的处理器，再由该处理器将登录请求分配给鉴权模块进行处理。其中，第一应用程序与第二应用程序相关联，因此第一应用程序可以利用用户在第二应用程序中的登录账号的账号信息建立登录态。登录请求中可以包括第二应用程序为第一应用程序分配的身份认证信息。例如，第一应用程序为基于第二应用程序实现的、在第二应用程序中不需要下载即可使用的应用程序，则第一应用程序在接入第二应用程序之前需向第二应用程序申请身份认证信息appid和appsecret。鉴权模块可以首先提取登录请求中的第一应用程序的身份认证信息，再将该身份认证信息携带在鉴权请求中转发给鉴权服务器，其中，鉴权服务器在第一应用程序与第二应用程序之间起到桥梁的作用，第二应用程序可以但不限于将为其他应用程序分配的身份认证信息以及用户在该第二应用程序中登录的账号信息托管于鉴权服务器。鉴权服务器在第一应用程序鉴权成功后，向鉴权模块发送第一账号信息，所述第一账号信息可以但不限于包括第二应用程序中的登录账号对应的用户标识信息，如openid和union_id等。其中，若接收到的第一应用程序的身份认证信息与鉴权服务器中存储的第一应用程序的身份认证信息相同，则确定第一应用程序鉴权成功。

本发明实施例中的业务服务器还包括密钥模块，用于生成第一账号信息对应的密钥，该密钥可以包括加密密钥和解密密钥，其中，密钥模块可以但不限于按照预设加密算法，如RSA算法，生成相对应的一对公钥和私钥，公钥可以作为加密密钥，私钥可以作为解密密钥。

鉴权模块601，还用于根据所述第一账号信息，生成鉴权令牌。其中，可以根据该加密密钥对第一账号信息进行加密，并将加密后的第一账号信息作为鉴权令牌。

鉴权模块601，还用于向所述客户端发送鉴权信息，所述鉴权信息包括所述第一账号信息和所述鉴权令牌。

功能模块602，用于接收所述客户端发送的业务请求，所述业务请求携带所述鉴权信息。

具体实现中，业务请求用于指示功能模块执行相应地业务逻辑，以便为用户提供服务，因此业务请求中还可以携带功能请求，如开通请求、拉码请求等。

功能模块602，还用于根据鉴权信息，对所述客户端进行鉴权。

具体实现中，功能模块根据加密模块生成的解密密钥，对客户端发送的鉴权信息所包含的鉴权令牌进行解密得到第二账号信息，然后将第二账号信息与鉴权信息中包含的第二账号信息进行匹配，若第一账号信息与第二账号信息相同，则功能模块可以确定客户端是可信任的，从而确定客户端鉴权成功。客户端鉴权成功后，功能模块602执行业务客户端所请求的业逻辑，其中，当业务请求中携带开通请求时，执行业务开通逻辑；当业务请求中携带拉码请求时，执行拉码业务逻辑。

可选的，功能模块602在执行完业务逻辑之后，还可以向客户端发送提示信息，该提示信息用于指示客户端通知用户业务逻辑的（如开通业务、拉码业务）执行结果，其中，客户端可以显示业务逻辑的执行结果页面或展示业务逻辑执行完成的语音或文字信息。

可选的，鉴权模块601还用于鉴权模块可以根据获取到的第一账号信息建立第一账号信息对应的账号在第一应用程序中的登录态，并根据该登录态生成对应的登录态信信息（记为skey），skey用于在第一应用程序中唯一地标识第一账号信息对应的账号在第一应用程序中的登录状态，skey可以但不限于为字符、数字和字符串。其中，鉴权模块601还可以将登陆态信息作为鉴权信息发送给客户端。

可选的，功能模块602在对鉴权令牌进行解密之前，还可以首先从鉴权模块中获取该模块生成的登录态信息，并将获取到的登录态信息skey-1与接收到的鉴权信息中携带的登录态信息skey-2进行匹配。当skey-1与skey-2相同时，对鉴权令牌进行解密。

在本发明实施例中，鉴权模块当接收到第一应用程序的客户端发送的登录请求时，首先从鉴权服务器中获取用户登录第一应用程序相关联的第二应用程序所使用的第一账号信息；接着根据第一账号信息，生成鉴权令牌；然后向客户端发送鉴权信息，该鉴权信息包括第一账号信息和鉴权令牌。所述业务服务器中的功能模块则可以接收客户端发送的业务请求，业务请求携带所述鉴权信息，并根据鉴权信息，对客户端进行鉴权。可以减少对鉴权服务器的访问次数、提高鉴权效率。

请参见图7，图7是本发明实施例提供的一种客户端的结构示意图，所述客户端所属的第一应用程序对应的业务服务器包括鉴权模块和功能模块，该客户端可以包括：

发送模块701，用于向所述鉴权模块发送登录请求，所述登录请求用于指示所述鉴权模块从鉴权服务器中获取用户登录所述第一应用程序相关联的第二应用程序所使用的账号信息。

具体实现中，当客户端没有登录态，即没有任何账号在第一应用程序中登录时，可以向鉴权模块发送登录请求，其中，登录请求的一种可能传输方式是：客户端首先将登录请求发送到业务服务器的处理器，再由处理器将登录请求分配给鉴权模块进行处理。其中，第一应用程序与第二应用程序相关联，因此第一应用程序可以利用用户在第二应用程序中的登录账号的账号信息建立登录态，登录请求可以携带第二应用程序为第一应用程序分配的身份认证信息。

接收模块702，用于接收所述鉴权模块发送的鉴权信息，所述鉴权信息包括所述账号信息和鉴权令牌，所述鉴权令牌由所述鉴权模块根据所述账号信息生成。

可选的，鉴权信息还可以包括所述账号信息对应的账号在第二应用程序中的登录态信息。

发送模块701，还用于向所述功能模块发送业务请求，所述业务请求携带所述鉴权信息，所述鉴权信息用于指示所述功能模块对所述客户端进行鉴权。

具体实现中，业务请求用于指示功能模块执行相应的业务逻辑，以便为用户提供服务，因此业务请求还可以包括开通请求、拉码请求等功能请求。鉴权信息用于功能模块对客户端进行鉴权。其中，接收模块702还可以显示第一应用程序对应的用户交互界面并接收用户输入的指令，则接收模块702当接收到用户输入的指令时，指示发送模块701根据该指令向功能模块发送业务请求，业务请求的一种可能传输方式为：发送模块701首先将业务请求发送到业务服务器的处理器，再由处理器将业务请求分配给功能模块进行处理。例如，用户交互界面中包括“拉码业务”的按钮，则接收模块702当检测到用户点击“拉码业务”的按钮时，指示发送模块701向业务服务器发送业务请求，该业务请求中携带鉴权信息和拉码请求。

可选的，接收模块702还用于接收功能模块在执行完业务逻辑之后发送的提示信息，并根据提示信息通知用户业务逻辑（如开通业务、拉码业务）执行完成，其中，可以显示业务逻辑的执行结果页面或展示业务逻辑执行完成的语音或文字信息。

在本发明实施例中，客户端接收业务服务器的鉴权模块发送的鉴权信息，并在向业务服务器的功能模块发送业务请求时将该鉴权信息携带于业务请求中，以便功能模块可以在该模块内部完成对客户端的鉴权，避免了对鉴权服务器的频繁访问，可以提高鉴权效率，从而提升业务执行效率和用户体验。

请参见图8，图8是本发明实施例提供的另一种业务服务器的结构示意图。如图所示，该业务服务器可以包括：至少一个处理器801，至少一个通信接口802，至少一个存储器803和至少一个通信总线804。

其中，处理器801可以是中央处理器单元，通用处理器，数字信号处理器，专用集成电路，现场可编程门阵列或者其他可编程逻辑器件、晶体管逻辑器件、硬件部件或者其任意组合。其可以实现或执行结合本发明公开内容所描述的各种示例性的逻辑方框，模块和电路。所述处理器也可以是实现计算功能的组合，例如包含一个或多个微处理器组合，数字信号处理器和微处理器的组合等等。通信总线804可以是外设部件互连标准PCI总线或扩展工业标准结构EISA总线等。所述总线可以分为地址总线、数据总线、控制总线等。为便于表示，图8中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。通信总线804用于实现这些组件之间的连接通信。其中，本发明实施例中业务服务器的通信接口802用于与其他节点设备进行信令或数据的通信。存储器803可以包括易失性存储器，例如非挥发性动态随机存取内存（Nonvolatile Random Access Memory，NVRAM）、相变化随机存取内存（PhaseChange RAM，PRAM）、磁阻式随机存取内存（Magetoresistive RAM，MRAM）等，还可以包括非易失性存储器，例如至少一个磁盘存储器件、电子可擦除可编程只读存储器（ElectricallyErasable Programmable Read-Only Memory，EEPROM）、闪存器件，例如反或闪存（NORflash memory)或是反及闪存(NAND flash memory)、半导体器件，例如固态硬盘（SolidState Disk，SSD）等。存储器803可选的还可以是至少一个位于远离前述处理器801的存储装置。存储器803中存储一组程序代码，且处理器801执行存储器803中的程序：

当接收到所述第一应用程序的客户端发送的登录请求时，从鉴权服务器中获取用户登录所述第一应用程序相关联的第二应用程序所使用的第一账号信息；

根据所述第一账号信息，生成鉴权令牌；

向所述客户端发送鉴权信息，所述鉴权信息包括所述第一账号信息和所述鉴权令牌；

接收所述客户端发送的业务请求，所述业务请求携带所述鉴权信息；

根据所述鉴权信息，对所述客户端进行鉴权。

可选的，所述业务服务器还包括密钥模块；

处理器801还用于执行如下操作步骤：

生成所述第一账号信息对应的密钥，所述密钥包括加密密钥；

根据所述第一账号信息，生成鉴权令牌包括：

根据所述加密密钥，对所述第一账号信息进行加密得到所述鉴权令牌。

可选的，所述密钥还包括解密密钥；

处理器801还用于执行如下操作步骤：

根据所述解密密钥，对所述鉴权令牌进行解密得到第二账号信息；

根据所述第一账号信息和所述第二账号信息，对所述客户端进行鉴权。

可选的，处理器801还用于执行如下操作步骤：

将所述第一账号信息和所述第二账号信息进行匹配；

当所述第一账号信息与所述第二账号信息相同时，确定所述客户端鉴权成功。

可选的，所述鉴权信息还包括所述第一账号信息对应的账号在所述第一应用程序中的第一登录态信息；

处理器801还用于执行如下操作步骤：

获取所述第一账号信息对应的账号在所述第一应用程序中的第二登录态信息；

将所述第一登录态信息和所述第二登录态信息进行匹配；

当所述第一登录态信息与所述第二登录态信息相匹配时，执行所述根据所述解密密钥，对所述鉴权令牌进行解密得到第二账号信息的操作。

可选的，处理器801还用于执行如下操作步骤：

建立所述第一账号信息对应的账号在所述第一应用程序中的登录态；

根据所述登录态，确定所述第一登录态信息。

进一步的，处理器还可以与存储器和通信接口相配合，执行上述发明实施例中业务服务器的操作。

请参见图9，图9是本发明实施例提供的另一种客户端的结构示意图，该客户端所属的第一应用程序对应的业务服务器包括鉴权模块和功能模块，该客户端包括处理器901，通信接口902，存储器903和通信总线904。

其中，处理器901可以是前文提及的各种类型的处理器。通信总线904可以是外设部件互连标准PCI总线或扩展工业标准结构EISA总线等。所述总线可以分为地址总线、数据总线、控制总线等。为便于表示，图9中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。通信总线904用于实现这些组件之间的连接通信。其中，本申请实施例中客户端的通信接口902用于与其他节点设备进行信令或数据的通信。存储器903可以是前文提及的各种类型的存储器。存储器903可选的还可以是至少一个位于远离前述处理器901的存储装置。存储器903中存储一组程序代码，且处理器901执行存储器903中上述通信设备所执行的程序：

向所述鉴权模块发送登录请求，所述登录请求用于指示所述鉴权模块从鉴权服务器中获取用户登录所述第一应用程序相关联的第二应用程序所使用的账号信息；

接收所述鉴权模块发送的鉴权信息，所述鉴权信息包括所述账号信息和鉴权令牌，所述鉴权令牌由所述鉴权模块根据所述账号信息生成；

向所述功能模块发送业务请求，所述业务请求携带所述鉴权信息，所述鉴权信息用于指示所述功能模块对所述客户端进行鉴权。

可选的，处理器901还用于执行如下操作步骤：

接收所述功能模块发送的提示信息，所述提示信息用于指示所述客户端通知用户所述开通业务逻辑和/或所述拉码业务逻辑的执行结果。

进一步的，处理器还可以与存储器和通信接口相配合，执行上述发明实施例中客户端的操作。

在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行所述计算机程序指令时，全部或部分地产生按照本发明实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线（例如同轴电缆、光纤、数字用户线（DSL））或无线（例如红外、无线、微波等）方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，DVD)、或者半导体介质（例如固态硬盘Solid State Disk (SSD)）等。

以上所述的具体实施方式，对本发明的目的、技术方案和有益效果进行了进一步详细说明。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (12)

1.一种鉴权方法，其特征在于，所述方法应用于第一应用程序对应的业务服务器，所述业务服务器包括鉴权模块、功能模块以及密钥模块，所述方法包括：

所述密钥模块生成第一账号信息对应的密钥，所述密钥包括加密密钥和解密密钥；

所述鉴权模块当接收到所述第一应用程序的客户端发送的登录请求时，从鉴权服务器中获取用户登录所述第一应用程序相关联的第二应用程序所使用的第一账号信息；

所述鉴权模块根据所述加密密钥，对所述第一账号信息进行加密得到鉴权令牌；

所述鉴权模块向所述客户端发送鉴权信息，所述鉴权信息包括所述第一账号信息和所述鉴权令牌，还包括所述第一账号信息对应的账号在所述第一应用程序中的第一登录态信息；

所述功能模块接收所述客户端发送的业务请求，所述业务请求携带所述鉴权信息；

所述功能模块获取所述第一账号信息对应的账号在所述第一应用程序中的第二登录态信息；

所述功能模块将所述第一登录态信息和所述第二登录态信息进行匹配；

当所述第一登录态信息与所述第二登录态信息相匹配时，所述功能模块根据所述解密密钥，对所述鉴权令牌进行解密得到第二账号信息；

所述功能模块根据所述第一账号信息和所述第二账号信息，对所述客户端进行鉴权。

2.如权利要求1所述的方法，其特征在于，所述功能模块根据所述第一账号信息和所述第二账号信息，对所述客户端进行鉴权包括：

所述功能模块将所述第一账号信息和所述第二账号信息进行匹配；

所述功能模块当所述第一账号信息与所述第二账号信息相同时，确定所述客户端鉴权成功。

3.如权利要求1所述的方法，其特征在于，所述鉴权模块向所述客户端发送鉴权信息之前，还包括：

所述鉴权模块建立所述第一账号信息对应的账号在所述第一应用程序中的登录态；

所述鉴权模块根据所述登录态，确定所述第一登录态信息。

4.如权利要求1-3任一项所述的方法，其特征在于，所述业务请求还携带开通请求和拉码请求中的至少一项，所述开通请求用于指示所述功能模块执行开通业务逻辑、以及所述拉码请求用于指示所述功能模块执行拉码业务逻辑。

5.一种鉴权方法，其特征在于，所述方法应用于第一应用程序的客户端，所述第一应用程序对应的业务服务器包括鉴权模块、功能模块以及密钥模块，所述方法包括：

所述客户端向所述业务服务器发送登录请求，所述登录请求用于指示所述业务服务器的鉴权模块从鉴权服务器中获取用户登录所述第一应用程序相关联的第二应用程序所使用的第一账号信息，所述鉴权模块还根据加密密钥对所述第一账号信息进行加密得到鉴权令牌，所述加密密钥包含在所述密钥模块生成的所述第一账号信息对应的密钥中，所述第一账号信息对应的密钥还包含解密密钥；

所述客户端接收所述业务服务器发送的鉴权信息，所述鉴权信息包括所述第一账号信息和鉴权令牌，还包括所述第一账号信息对应的账号在所述第一应用程序中的第一登录态信息；

所述客户端向所述业务服务器发送业务请求，所述业务请求携带所述鉴权信息，所述鉴权信息用于指示所述业务服务器的功能模块获取所述第一账号信息对应的账号在所述第一应用程序中的第二登录态信息，将所述第一登录态信息和所述第二登录态信息进行匹配，当所述第一登录态信息与所述第二登录态信息相匹配时，所述功能模块根据所述解密密钥，对所述鉴权令牌进行解密得到第二账号信息，所述功能模块根据所述第一账号信息和所述第二账号信息，对所述客户端进行鉴权。

6.如权利要求5所述的方法，其特征在于，所述业务请求还携带开通请求和拉码请求中的至少一项；所述开通请求用于指示所述功能模块执行开通业务逻辑、以及所述拉码请求用于指示所述功能模块执行拉码业务逻辑。

7.如权利要求6所述的方法，其特征在于，所述客户端向所述功能模块发送所述业务请求之后，还包括：

所述客户端接收所述功能模块发送的提示信息，所述提示信息用于指示所述客户端通知用户所述开通业务逻辑和/或所述拉码业务逻辑的执行结果。

8.一种业务服务器，其特征在于，所述业务服务器与第一应用程序相对应，所述业务服务器包括：

密钥模块，用于生成第一账号信息对应的密钥，所述密钥包括加密密钥和解密密钥；

鉴权模块，用于当接收到所述第一应用程序的客户端发送的登录请求时，从鉴权服务器中获取用户登录所述第一应用程序相关联的第二应用程序所使用的第一账号信息；

所述鉴权模块，还用于根据所述加密密钥，对所述第一账号信息进行加密得到鉴权令牌；

所述鉴权模块，还用于向所述客户端发送鉴权信息，所述鉴权信息包括所述第一账号信息和所述鉴权令牌，还包括所述第一账号信息对应的账号在所述第一应用程序中的第一登录态信息；

功能模块，用于接收所述客户端发送的业务请求，所述业务请求携带所述鉴权信息；

所述功能模块，还用于获取所述第一账号信息对应的账号在所述第一应用程序中的第二登录态信息，将所述第一登录态信息和所述第二登录态信息进行匹配；当所述第一登录态信息与所述第二登录态信息相匹配时，所述功能模块根据所述解密密钥，对所述鉴权令牌进行解密得到第二账号信息；

所述功能模块，还用于根据所述第一账号信息和所述第二账号信息，对所述客户端进行鉴权。

9.一种客户端，其特征在于，所述客户端为第一应用程序的客户端，所述第一应用程序对应的业务服务器包括鉴权模块、功能模块以及密钥模块，所述客户端包括：

发送模块，用于向所述业务服务器发送登录请求，所述登录请求用于指示所述业务服务器的鉴权模块从鉴权服务器中获取用户登录所述第一应用程序相关联的第二应用程序所使用的第一账号信息，所述鉴权模块还根据加密密钥对所述第一账号信息进行加密得到鉴权令牌，所述加密密钥包含在所述密钥模块生成的所述第一账号信息对应的密钥中，所述第一账号信息对应的密钥还包含解密密钥；

接收模块，用于接收所述业务服务器发送的鉴权信息，所述鉴权信息包括所述第一账号信息和鉴权令牌，还包括所述第一账号信息对应的账号在所述第一应用程序中的第一登录态信息；

所述发送模块，还用于向所述业务服务器发送业务请求，所述业务请求携带所述鉴权信息，所述鉴权信息用于指示所述业务服务器的功能模块获取所述第一账号信息对应的账号在所述第一应用程序中的第二登录态信息，将所述第一登录态信息和所述第二登录态信息进行匹配，当所述第一登录态信息与所述第二登录态信息相匹配时，所述功能模块根据所述解密密钥，对所述鉴权令牌进行解密得到第二账号信息，所述功能模块根据所述第一账号信息和所述第二账号信息，对所述客户端进行鉴权。

10.一种业务服务器，其特征在于，包括处理器、存储器和通信总线，其中，通信总线用于实现处理器和存储器之间连接通信，处理器执行存储器中存储的程序用于实现如权利要求1-4中任一项所述的鉴权方法。

11.一种客户端，其特征在于，包括处理器、存储器和通信总线，其中，通信总线用于实现处理器和存储器之间连接通信，处理器执行存储器中存储的程序用于实现如权利要求5-7中任一项所述的鉴权方法。

12.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中存储有多条指令，所述指令适于由处理器加载并执行如权利要求1-7中任一项所述的鉴权方法。

Images