CN111756733A - 一种身份认证方法和相关装置 - Google Patents

Abstract

本申请实施例公开了一种身份认证方法，所述方法包括：接收调用方框架向被调用方框架发送的认证请求，所述认证请求包括所述调用方框架的身份证书和所述调用方框架的第一服务标识；根据所述第一服务标识，确定所述调用方框架对应的根证书；根据所述根证书和所述身份证书，对所述调用方框架进行身份认证。基于本申请实施例提供的方法，处理设备可以通过获取调用方框架对应的根证书来对调用方框架的身份证书进行验证的方式，实现对调用方框架的身份认证，一定程度上避免了由于证书类型不同导致认证失败的问题。

Description

一种身份认证方法和相关装置

技术领域

本申请涉及计算机领域，特别是涉及一种身份认证方法和相关装置。

背景技术

微服务框架是当下较为流行的一种架构风格，通过微服务框架可以使一个复杂的系统中包括多种微服务，每一个微服务都可以独立部署，用于处理该系统中的某一项业务，且微服务之间可以互相调用。在调用时，被调用方微服务框架需要对调用方微服务框架的身份证书进行认证，在认证成功后才允许调用方微服务框架调用服务。

在相关技术中，同一系统中的不同微服务可以由不同的开发者进行开发，当不同开发者开发的微服务之间进行调用时，可能会出现调用失败，无法正常调用的问题。

发明内容

为了解决上述技术问题，本申请提供了一种身份认证方法，通过获取调用方框架对应的根证书来对调用方框架的身份证书进行验证的方式，实现对调用方框架的身份认证，一定程度上避免了由于证书类型不同导致认证失败的问题。

本申请实施例公开了如下技术方案：

第一方面，本申请实施例提供了一种身份认证方法，所述方法包括：

接收调用方框架向被调用方框架发送的认证请求，所述认证请求包括所述调用方框架的身份证书和所述调用方框架的第一服务标识；

根据所述第一服务标识，确定所述调用方框架对应的根证书；

根据所述根证书和所述身份证书，对所述调用方框架进行身份认证。

第二方面，本申请实施例提供了一种身份认证装置，所述装置包括第一接收单元、第一确定单元和第一认证单元：

所述第一接收单元，用于接收调用方框架向被调用方框架发送的认证请求，所述认证请求包括所述调用方框架的身份证书和所述调用方框架的第一服务标识；

所述第一确定单元，用于根据所述第一服务标识，确定所述调用方框架对应的根证书；

所述第一认证单元，用于根据所述根证书和所述身份证书，对所述调用方框架进行身份认证。

第三方面，本申请实施例提供了一种用于身份认证的设备，所述设备包括处理器以及存储器：

所述存储器用于存储程序代码，并将所述程序代码传输给所述处理器；

所述处理器用于根据所述程序代码中的指令执行第一方面中所述的身份认证方法。

第四方面，本申请实施例提供了一种计算机可读存储介质，所述计算机可读存储介质用于存储计算机程序，所述计算机程序用于执行第一方面中所述的身份认证方法。

由上述技术方案可以看出，本申请提供了一种身份认证方法，在微服务架构中，处理设备能够接受调用方框架向被调用方框架发送的认证请求，然后通过认证请求中所包括的服务标识，确定出调用方框架所对应的根证书，并通过该根证书对调用方框架的身份证书进行认证，从而对该调用方框架进行身份认证，从而在一定程度上确保了进行认证的根证书和身份证书对应于同一开发者，即对应于同一证书类型，从而避免了由于证书类型不同导致不同开发者开发的微服务框架在进行相互调用时，无法对调用方框架进行正常身份认证的问题，提高了身份认证的准确度。

附图说明

为了更清楚地说明本申请实施例或相关技术中的技术方案，下面将对实施例或相关技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本申请实施例提供的一种实际应用场景中身份认证方法的示意图；

图2为本申请实施例提供的一种身份认证方法的流程图；

图3为本申请实施例提供的一种实际应用场景中身份认证方法的示意图；

图4为本申请实施例提供的一种实际应用场景中身份认证方法的示意图；

图5为本申请实施例提供的一种实际应用场景中身份认证方法的示意图；

图6为本申请实施例提供的一种身份认证装置的结构框图；

图7为本申请实施例提供的一种用于身份认证的设备的结构图；

图8为本申请实施例提供的一种服务器的结构图。

具体实施方式

下面结合附图，对本申请的实施例进行描述。

在相关技术中，当微服务框架之间需要进行相互调用时，可以通过用根证书对身份证书进行验证的方法对调用方框架进行身份认证。但是，由于在实际的微服务架构中，同一系统内可能存在有多个不同的开发者开发的微服务框架，不同的开发者所采用的证书类型可能不同，因此当不同开发者开发的微服务框架之间进行相互调用时，可能会出现由于调用方框架的身份证书和被调用方框架的根证书的证书类型不同，导致认证失败的问题。

为了解决上述技术问题，本申请提供了一种身份认证方法，在进行身份认证时，可以确定出调用方框架对应的根证书对调用方框架的身份证书进行验证，从而一定程度上保证了身份证书与根证书为同一证书类型，避免了由于证书类型不同导致认证失常的问题。

可以理解的是，该方法可以应用于处理设备上，该处理设备为能够进行身份认证的处理设备，例如可以为具有身份认证功能的服务器。该方法可以通过服务器独立执行，也可以应用于终端设备和服务器通信的网络场景，通过终端设备和服务器配合执行。其中，终端设备可以为计算机、个人数字助理(Personal Digital Assistant，简称PDA)、平板电脑等设备。服务器可以理解为是应用服务器，也可以为Web服务器，在实际部署时，该服务器可以为独立服务器，也可以为集群服务器。同时，在硬件环境上，本技术已经实现的环境有：ARM架构处理器、X86架构处理器；在软件环境上，本技术已经实现的环境有：Android平台、Windows xp及以上操作系统或Linux操作系统。

为了便于理解本申请的技术方案，下面将结合实际应用场景，对本申请实施例提供的身份认证方法进行介绍。

参见图1，图1为本申请提供的一种身份认证方法的应用场景示意图，在该应用场景中，处理设备为服务器101。在该服务器101中包含有多个微服务框架，例如微服务框架A、B。其中，在一次微服务调用中，用户可能想要调用微服务框架B中所包括的微服务。此时，用户可以通过服务器101中与自身对应的微服务框架A向微服务框架B发起服务调用。

在调用服务之前，为了确定微服务框架A是否具有调用服务的资格，作为被调用方框架的微服务框架B首先要对作为调用方框架的微服务框架A进行身份认证。服务器101可以接收微服务框架A向微服务框架B发送的认证请求，在该认证请求中包括有微服务框架A的身份证书和服务标识，该身份证书用于在微服务架构中标识微服务框架A的身份，该服务标识用于标识微服务框架A所支持的微服务。

服务器101能够获取上述身份证书和服务标识，并通过对该身份证书进行认证来完成对微服务框架A的身份认证。其中，身份证书认证的方法可以包括多种，在本实际应用场景中，服务器101可以通过根证书的方式对身份证书进行验证。根证书是指包括与身份证书相关密钥的证书，服务器101能够通过根证书，对身份证书进行解读，从而判断该身份证书是否能够通过验证。可以理解的是，若对身份证书进行认证的根证书与该身份证书的类型不同，可能会导致根证书无法正常对身份证书进行认证。

为了防止出现上述问题，服务器101可以通过与身份证书相同类型的根证书来进行证书验证。在本实际应用场景中，服务器101可以根据从认证请求中获取的服务标识，确定出微服务框架A对应的根正书。由于服务器101所获取的身份证书同样为微服务框架A对应的身份证书，因此，该根证书和该身份证书对应于同一微服务框架。在大多数情况下，同一微服务框架对应的身份证书和根证书属于同一证书类型，因此，服务器101可以根据该根证书对该身份证书进行验证，从而对微服务框架A进行身份认证。若该身份证书通过验证，说明微服务框架A可以通过此次身份认证，从而可以对微服务框架B中的微服务发起调用。

由此可见，在本实际应用场景中，服务器101能够根据作为调用方的微服务框架A的服务标识，确定出微服务框架A对应的根证书，并利用该根证书对微服务框架A的身份证书进行验证，从而在一定层度上能够确保在对微服务框架A进行身份认证时，所利用的根证书与身份证书属于同一证书类型，避免了由于根证书与身份证书类型不同导致身份认证失常的问题。

接下来，将结合附图，对本申请实施例提供的一种身份认证方法进行介绍。

参见图2，图2展示了一种身份认证方法的流程图，该方法包括：

S201：接收调用方框架向被调用方框架发送的认证请求。

在处理设备所包括的微服务架构中具有多个微服务架构，其中每一个微服务架构都可以为某一用户提供微服务业务。为了拓展用户所能够开通了微服务功能的用户不仅可以调用自己拥有的微服务业务，还能够在微服务架构中，通过自身的微服务框架去调用其他微服务框架中的服务。例如，在图1所示的示意图中，微服务框架A对应的用户可以通过微服务框架A去调用微服务框架B中的服务。

当出现框架之间的服务调用时，为了防止没有调用资格的用户对微服务进行调用，处理设备可以对发起调用的调用方框架进行身份认证，只有在认证通过时，处理设备才允许调用方框架对被调用方框架的微服务进行调用。其中，对调用方框架进行身份认证的方法可以包括多种，在一种可能的实现方式中，处理设备可以通过利用根证书对调用方框架的身份证书进行验证的方法来实现对调用方框架的身份认证。

在本申请实施例中，在需要进行微服务框架之间的服务调用时，处理设备可以接收调用方框架向被调用方框架发送的认证请求，该认证请求用于使处理设备能够对该调用方框架进行身份认证。其中，为了进行身份认证，在该认证请求中可以包括调用方框架的身份证书和调用方框架的第一服务标识。该身份证书能够使处理设备识别调用方框架的身份。

S202：根据第一服务标识，确定调用方框架对应的根证书。

可以理解的是，为了提高微服务架构的可开发程度，在一个微服务架构中可能包括多个开发者开发的微服务。在开发过程中，不同开发者开发的微服务框架所包含的身份证书类型也可能不同。当出现微服务框架之间的调用时，由于本申请实施例采用的为通过根证书对身份证书进行认证的方法，因此若被调用方框架采用自身的根证书对调用方框架的身份证书进行验证，可能会由于根证书与身份证书的证书类型不同而导致验证失败的问题。

为了防止出现上述问题，处理设备可以通过获取调用方框架对应的根证书来对调用方框架发送的身份证书进行验证，由于通过该方式获取的根正书与身份证书对应于同一开发者开发的同一微服务框架，从而在一定程度上确保了进行验证的根证书和身份证书属于同一证书类型。

基于此，为了获取该调用方框架对应的根证书，处理设备需要确定某一能够体现出调用方框架开发信息的标识。由上述内容可知，在调用方框架发送的认证请求中还包括调用方框架的第一服务标识，该第一服务标识能够体现出调用方框架所对应的微服务，例如可以为调用方框架所能够提供的微服务的服务名。通过该第一服务标识，处理设备能够获知调用方框架的服务开发信息，从而能够确定出调用方框架的开发者所使用的证书类型，进而确定出调用方框架对应的根证书。

例如，服务标识为服务名时，处理设备可以根据该服务名，确定出调用方框架对应的证书前缀，该证书前缀可以用于标识该调用方框架对应的证书类型。处理设备可以根据该证书前缀，确定出调用方框架对应的根证书。

S203：根据根证书和身份证书，对调用方框架进行身份认证。

处理设备在根据第一服务标识获取到调用方框架对应的根证书后，可以通过该根正书，对调用方框架发送的身份证书进行验证。例如，处理设备可以通过根证书中所包括的公钥，对该身份证书进行解密，根据解密结果调用方框架进行身份认证。

由上述技术方案可以看出，本申请提供了一种身份认证方法，在微服务架构中，处理设备能够接受调用方框架向被调用方框架发送的认证请求，然后通过认证请求中所包括的服务标识，确定出调用方框架所对应的根证书，并通过该根证书对调用方框架的身份证书进行认证，从而对该调用方框架进行身份认证，从而在一定程度上确保了进行认证的根证书和身份证书对应于同一开发者，即对应于同一证书类型，从而避免了由于证书类型不同导致不同开发者开发的微服务框架在进行相互调用时，无法对调用方框架进行正常身份认证的问题，提高了身份认证的准确度。

可以理解的是，为了防止第一服务标识在认证请求的传输过程中出现异常，提高身份认证的准确性，在调用方框架发送的认证请求中，还可以包括用于验证第一服务标识的签名信息。其中，该签名信息是根据调用方框架所对应的服务标识、随机数以及生成时刻的时间标识，利用私钥进行加密生成的。调用方框架可以将该签名信息、第一服务标识、随机数以及时间标识随认证请求发送给被调用方框架。

处理设备在获取上述信息后，可以利用公钥对签名信息进行解密，将解密得到的服务标识、随机数和时间标识与在认证请求中接收得到的第一服务标识、随机数和时间标识进行对应验证，若验证结果为相同，则说明在传输过程中并没有出现信息异常，可以进行正常认证；若验证结果出现不同，则说明在传输过程中出现了信息异常，此时处理设备可以终止此次身份认证，来保障服务安全。

可以理解的是，在调用方框架通过身份认证后，为了使该调用方框架在对同一被调用方框架进行服务调用时，不需要多次进行身份认证，提高服务调用效率，处理设备可以为该调用方框架分配一个令牌标识，该令牌标识用于体现出该调用方框架已经通过对被调用方框架进行服务调用的身份认证。拥有该令牌标识的调用方框架在对同一被调用方框架调用服务时，可以直接发起调用请求，而无需再发起认证身份的认证请求。

可以理解的是，为了进一步提高服务调用的安全性，同时为被调用方框架的用户提供更多的筛选条件设置选择，从而对向被调用方框架发起服务调用的调用方框架进行进一步的筛选，处理设备在生成令牌标识时，可以根据被调用方框架用户所设置的筛选条件，在该令牌标识中添加与调用方框架相关的各类信息。

例如，在一种可能的实现方式中，被调用方框架对应的用户为了防止自己的微服务被恶意调用，可以只允许与自己同一公司的用户调用自己的微服务。可以理解的是，同一公司开发的微服务框架中，所用的身份证书类型可以为同一证书类型，因此，处理设备为了确定调用方框架是否为同一公司的微服务框架，可以判断调用方框架所包括的身份证书的证书类型，若证书类型为相同类型，则允许该调用方框架进行服务调用。

为了能够对调用方框架的证书类型进行判断，在一种可能的实现方式中，在对该调用方框架进行身份认证后，若通过该身份认证，处理设备可以根据根证书，确定身份证书的证书类型。其中，根据根证书确定证书类型的方法可以有多种，例如，处理设备可以将被调用方框架的根证书与调用方框架对应的根证书进行比较，由于该根证书与调用方框架的身份证书为同一证书类型，因此，若两个根证书为不同的根证书，则该调用方框架对应的证书类型为不一致的证书类型。

在确定出证书类型后，处理设备可以根据该证书类型，生成对应于调用方框架的令牌标识，并向调用方框架返回该令牌标识。调用方框架在需要进行服务调用时，可以基于该令牌标识，发起第一调用请求。处理设备能够接收调用方框架向被调用方框架发起的第一调用请求，其中，在该第一调用请求中包括第一认证标识，该第一认证标识是根据令牌标识生成的，能够用于标识调用方框架所对应的证书类型，例如可以为服务令牌(ServiceToken，ST)标识。调用方框架在获取到令牌标识后，可以通过令牌标识对应的密钥进行解密，获取其中的ST标识，并在发起第一调用请求时，将该ST标识发送给被调用方框架进行认证。

处理设备在接收到该第一调用请求后，可以根据该第一认证标识，确定调用方框架对应的证书类型。例如，当该第一认证标识为ST标识时，处理设备可以采用对应于ST标识的密钥vas_key对ST标识进行解密，获取其中所包括的证书类型。随后，处理设备可以根据该证书类型，判断是否通过第一调用请求。例如，当被调用方框架对应的用户不想让其他公司的开发者来调用自己的微服务时，可以设置不允许证书类型不同的微服务框架调用自己的微服务。此时，处理设备如果确定出证书类型为不一致的类型，则拒绝该第一调用请求；若确定为一致的类型，则通过该第一调用请求。

此外，除了对证书类型进行验证外，为了进一步加强服务调用的安全性，在调用方框架通过前述身份认证的基础上，在发起服务调用时，处理设备还可以进一步的对该调用方框架进行二次身份认证。在一种可能的实现方式中，处理设备可以接收调用方框架向被调用方框架发起的第二调用请求，在第二调用请求中可以包括第二认证标识、第二服务标识和第二时间标识。其中，第二认证标识用于使处理设备对调用方框架进行身份认证，即处理设备能够通过接收到第二认证标识，对第二服务标识和第二时间标识进行验证，从而防止在信息传输的过程中出现标识信息异常的情况。第二时间标识用于标识与该第二调用请求相关的某一时间点，例如可以为某一特定时间戳标识。

处理设备在获取到第二认证标识后，可以根据该第二认证标识，获取第一服务标识和第一时间标识。其中，该第一服务标识为调用方框架自身所拥有的服务标识，在调用方框架中，可以根据第一服务标识和第一时间标识来生成第二认证标识，并将第一服务标识、第一时间标识和第二认证标识添加到第二调用请求中。处理设备通过第二认证标识对接收到的第二服务标识和第二时间标识认证，实际上是检验在信息传输过程中，第一时间标识和第一服务标识是否出现异常。

处理设备可以根据第一服务表示对第二服务标识进行第一标识认证，根据第一时间标识对第二时间标识进行第二标识认证，若第一标识认证和第二标识认证都通过，说明在第二调用请求的传输过程中标识信息并没有出现异常，此时处理设备可以通过第二调用请求。

可以理解的是，上述第二调用请求在一定程度上确保了被调用方框架接收到的标识信息的准确性，处理设备除了可以根据准确性判断是否通过调用请求外，还可以进一步的通过验证后的服务标识，来判断该调用方框架是否为通过了身份认证的微服务框架。若是，则允许该调用方框架进行服务调用。

此外，可以理解的是，为了提高验证的灵活性，以适应不同场合下验证需求，在一种可能的实现方式中，第一调用请求和第二调用请求可以为两个不同的调用请求，即处理设备可以根据其中的某一验证方法单独对调用方框架发起的调用请求进行验证。此外，处理设备也可以采用两种验证方式一起对调用请求进行验证。例如，在一种实际应用方式中，该第二认证标识可以为客户端令牌(Client Token，CT)标识，该CT标识可以由处理设备根据调用方框架的服务名和生成时刻的时间戳标识以及调用方框架独有的服务令牌密钥(Service Token Key，st_key)生成。处理设备可以通过st_key对该服务名和时间戳标识进行加密，生成CT标识，然后将ST标、CT标识、服务名和时间戳标识随调用请求一起发送给被调用方框架。

处理设备在获取该调用请求后，可以通过vas_key对ST标识进行解密，获取st_key和证书类型，然后通过st_key对CT标识进行解密，用解密得到的服务名和时间戳标识对接收到的服务名以及时间戳标识进行检验，判断是否出现传输异常的问题。在确定没有出现传输异常的问题后，处理设备可以根据得到的服务名以及证书类型，判断是否通过该调用请求。

可以理解的是，由于在本申请实施例中是采用验证身份证书的方式来对调用方框架进行身份认证，因此，为了防止出现微服务框架盗用其他微服务框架身份证书的情况，提高身份认证的安全性，处理设备还可以对微服务框架自身所拥有的身份证书进行检验。在一种可能的实现方式中，处理设备可以将调用方框架或被调用方框架作为目标框架，在接收调用方框架向被调用方框架发送的认证请求之前，获取该目标框架对应的第一认证因子和目标身份证书。其中，该第一认证因子是根据目标框架所包括的业务参数生成的，由于不同的微服务框架中所包括的业务参数基本不同，因此该第一认证因子与目标框架具有一一对应的关系。例如，该第一认证因子可以为根据目标框架包括的微服务业务代码所生成的应用程序编程接口(Application Programming Interface，API)列表唯一因子。目标身份证书为目标框架所具有的身份证书。

处理设备可以对目标身份证书进行解读，得到其中所包括的第二认证因子，并判断第一认证因子与根据目标身份证书得到的第二认证因子是否相同，得到第一判断结果，并根据第一判断结果确定目标身份证书是否通过认证。可以理解的是，若第一认证因子与第二认证因子相同，则说明该身份证书为对应于目标框架的身份证书，即该目标框架并未盗用其他微服务框架的身份证书，或该目标框架的身份证书并没有出现异常。因此，当第一判断结果相同时，处理设备可以确定目标身份证书通过认证。

此外，为了进一步提高对目标身份证书认证的准确度，除了认证因子外，处理设备还可以通过其他的认证方式进一步对目标身份证书进行认证。例如，在一种可能的实现方式中，处理设备可以获取目标框架对应的第一认证因子和第三服务标识，该第三服务标识用于标识目标框架所能够提供的微服务，例如可以为目标框架所对应的服务名。处理设备可以通过解读目标身份证书，得到目标身份证书中所包括的第四服务标识，该第四服务标识用于体现目标身份证书所对应的微服务。

处理设备可以判断第三服务标识与根据目标身份证书得到的第四服务标识是否相同，得到第二判断结果，然后根据第一判断结果和第二判断结果确定目标身份证书是否通过认证。例如，当第一判断结果和第二判断结果都为相同时，说明目标身份证书与目标框架不仅对应于同一微服务，还拥有相同的认证因子，进一步说明目标身份证书为该目标框架的身份证书。

接下来，将结合一种实际应用场景，对本申请实施例提供的身份认证方法进行介绍。在该实际应用场景中，处理设备为包括微服务架构的服务器。调用方用户在想要调用服务器中所包括的微服务框架中的服务时，需要先在该服务器中开通微服务业务，即建立自己的微服务框架。其中，在微服务框架建立完成后，服务器可以对该微服务框架中的身份证书进行验证。如图3所示，图3为一种实际应用场景中身份认证方法的示意图。服务软件开发工具包(Software Development Kit，SDK)是服务器中用于进行认证的相关工具，微服务框架可以调用服务SDK的init接口输入自身API列表的唯一因子以及服务名来进行自检。

服务器可以通过服务SDK加载该微服务框架的身份证书，该身份证书在编译生成的时候是通过该服务SDK进行加密并写入该微服务框架的配置文件中进行存储。其中，对证书进行加密的方式可以有多种，在本实际应用场景中，可以通过开源软件jenkins调用服务SDK进行加密。在加载身份证书时，服务器可以通过服务SDK对身份证书进行解密来获取证书密码，然后先通过该证书密码对该身份证书进行验证，检查是否能够通过该密码打开此次加载的证书，若能够打开则说明该证书是由该服务SDK进行加密的证书。

在打开证书后，服务器可以获取证书中所包括的API列表唯一因子和和服务名，并与通过服务SDK从微服务框架中获取的API列表唯一因子以及服务名进行比对，若一致，则证明该证书为该微服务框架的身份证书，没有发生身份证书的异常或盗用情况，此时服务器可以通过服务SDK，向该微服务框架返回认证成功的信息；若不一致，说明该证书并不是该微服务框架的身份证书，此时可以直接强制退出服务。

在通过身份证书自检后，用户可以通过该微服务框架，向服务器中的其他微服务框架发起服务调用。在进行服务调用之前，该微服务框架作为调用方框架，首先要接收被调用方框架的身份认证，来确定该微服务框架是否具有调用该微服务的资格。如图4所示，图4为一种实际应用场景中进行身份认证的示意图。调用方框架先与被调用方框架建立连接，然后调用方框架通过服务SDK的接口向服务器请求自身的身份证书和签名信息。服务器接收到该请求后，可以通过服务SDK利用随机数、调用方框架的服务名以及时间戳标识，通过私钥加密生成签名信息。

调用方框架拿到身份证书和签名信息后，可以向被调用者框架发起身份认证，然后将该身份证书、签名信息、服务名以及该随机数随着认证请求发送给被调用者框架。被调用者框架在接收到该请求后，可以调用服务SDK中的身份认证接口，使服务器对调用方框架进行身份认证。服务器首先用公钥对签名信息进行解密，获取其中的服务名和随机数，然后用该服务名以及随机数对接收到的服务名以及随机数进行验证。

在验证通过后，服务器判断此次信息传输并没有出现信息异常，即获取到的服务名为有效的服务名。此时，服务器可以通过该服务名，确定出对应的证书前缀，并根据该证书前缀确定出调用方框架对应的根证书。之后，服务器可以通过该根证书，对身份证书进行验证，若验证通过，则说明该身份证书符合要求，即该调用方框架通过身份认证。此时，服务器可以根据被调用方框架的根证书确定出调用方框架对应的证书类型，然后生成一个随机的st_key，并通过相关算法，利用st_key、服务名S以及证书类型生成ST标识，该ST标识是通过vas_key进行加密的。在生成ST标识后，服务器可以基于该ST标识，生成令牌标识token，通过被调用方框架返回给调用方框架。

调用方框架在接收到该token后，可以调用服务SDK进行token解析，获得其中的ST标识和st_key，然后根据这些信息，向被调用方框架中的微服务业务发起业务调用。如图5所示，图5为一种实际应用场景中身份认证的示意图。调用方框架首先确定与被调用方框架之间的连接已经建立，然后调用服务SDK中的CT接口来生成CT标识，该CT标识是通过相关算法，利用st_key对服务名和时间戳标识进行加密得到的。在获取CT标识后，调用方框架可以向被调用方框架发起调用请求，该调用请求中包括ST标识、CT标识、服务名以及时间戳标识。

被调用方框架接收到该调用请求后，可以调用服务SDK中的CT验证接口，使服务器对该调用请求进行认证。首先，服务器可以通过vas_key解密ST标识得到st_key和证书类型，然后通过st_key对CT标识进行解密，用解密得到服务名和时间戳标识对调用请求中的服务名和时间戳标识进行验证，若验证通过，则说明在传输过程中没有发生信息异常。此时，服务器可以通过服务名以及证书类型，判断是否允许该调用方框架调用被调用方框架中的微服务业务，并向被调用方框架返回认证结果。若认证通过，被调用方框架则进行业务调用，并将业务结果返回给调用方框架，来完成业务调用。

基于上述实施例提供的身份认证方法，本申请实施例还提供了一种身份认证装置600，参见图6，装置600包括第一接收单元601、第一确定单元602和第一认证单元603：

第一接收单元601，用于接收调用方框架向被调用方框架发送的认证请求，认证请求包括调用方框架的身份证书和调用方框架的第一服务标识；

第一确定单元602，用于根据第一服务标识，确定调用方框架对应的根证书；

第一认证单元603，用于根据根证书和身份证书，对调用方框架进行身份认证。

在一种可能的实现方式中，装置600还包括第二确定单元、第一生成单元和返回单元：

第二确定单元，用于若通过身份认证，根据根证书，确定身份证书的证书类型；

第一生成单元，用于根据证书类型，生成对应于调用方框架的令牌标识；

返回单元，用于向调用方框架返回令牌标识。

在一种可能的实现方式中，装置600还包括第二接收单元、第三确定单元和第一判断单元：

第二接收单元，用于接收调用方框架向被调用方框架发起的第一调用请求，第一调用请求包括第一认证标识，第一认证标识是根据令牌标识生成的；

第三确定单元，用于根据第一认证标识，确定调用方框架对应的证书类型；

第一判断单元，用于根据证书类型，判断是否通过第一调用请求。

在一种可能的实现方式中，装置600还包括第三接收单元、第一获取单元、第二认证单元、第三认证单元和许可单元：

第三接收单元，用于接收调用方框架向被调用方框架发起的第二调用请求，第二调用请求包括第二认证标识、第二服务标识和第二时间标识；

第一获取单元，用于根据第二认证标识，获取第一服务标识和第一时间标识；

第二认证单元，用于根据第一服务标识对第二服务标识进行第一标识认证；

第三认证单元，用于根据第一时间标识对第二时间标识进行第二标识认证；

许可单元，用于若第一标识认证和第二标识认证都通过，通过第二调用请求。

在一种可能的实现方式中，第一调用请求和第二调用请求为两个不同的调用请求。

在一种可能的实现方式中，装置600还包括第二获取单元、第二判断单元和第四确定单元：

第二获取单元，用于获取目标框架对应的第一认证因子和目标身份证书，第一认证因子是根据目标框架所包括的业务参数生成的；

第二判断单元，用于判断第一认证因子与根据目标身份证书得到的第二认证因子是否相同，得到第一判断结果；

第四确定单元，用于根据第一判断结果确定目标身份证书是否通过认证。

在一种可能的实现方式中，第二获取单元具体用于：

获取目标框架对应的第一认证因子和第三服务标识；

装置600还包括第三判断单元：

第三判断单元，用于判断第三服务标识与根据目标身份证书得到的第四服务标识是否相同，得到第二判断结果；

第四确定单元具体用于：

根据第一判断结果和第二判断结果确定目标身份证书是否通过认证。

本申请实施例还提供了一种用于身份认证的设备，下面结合附图对该设备进行介绍。请参见图7所示，本申请实施例提供了一种设备700，该设备700还可以是终端设备，该终端设备可以为包括手机、平板电脑、个人数字助理(Personal Digital Assistant，简称PDA)、销售终端(Point of Sales，简称POS)、车载电脑等任意智能终端，以终端设备为手机为例：

图7示出的是与本申请实施例提供的终端设备相关的手机的部分结构的框图。参考图7，手机包括：射频(Radio Frequency，简称RF)电路710、存储器720、输入单元730、显示单元740、传感器750、音频电路760、无线保真(wireless fidelity，简称WiFi)模块770、处理器780、以及电源790等部件。本领域技术人员可以理解，图7中示出的手机结构并不构成对手机的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。

下面结合图7对手机的各个构成部件进行具体的介绍：

RF电路710可用于收发信息或通话过程中，信号的接收和发送，特别地，将基站的下行信息接收后，给处理器780处理；另外，将设计上行的数据发送给基站。通常，RF电路710包括但不限于天线、至少一个放大器、收发信机、耦合器、低噪声放大器(Low NoiseAmplifier，简称LNA)、双工器等。此外，RF电路710还可以通过无线通信与网络和其他设备通信。上述无线通信可以使用任一通信标准或协议，包括但不限于全球移动通讯系统(Global System of Mobile communication，简称GSM)、通用分组无线服务(GeneralPacket Radio Service，简称GPRS)、码分多址(Code Division Multiple Access，简称CDMA)、宽带码分多址(Wideband Code Division Multiple Access，简称WCDMA)、长期演进(Long Term Evolution，简称LTE)、电子邮件、短消息服务(Short Messaging Service，简称SMS)等。

存储器720可用于存储软件程序以及模块，处理器780通过运行存储在存储器720的软件程序以及模块，从而执行手机的各种功能应用以及数据处理。存储器720可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序(比如声音播放功能、图像播放功能等)等；存储数据区可存储根据手机的使用所创建的数据(比如音频数据、电话本等)等。此外，存储器720可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他易失性固态存储器件。

输入单元730可用于接收输入的数字或字符信息，以及产生与手机的用户设置以及功能控制有关的键信号输入。具体地，输入单元730可包括触控面板731以及其他输入设备732。触控面板731，也称为触摸屏，可收集用户在其上或附近的触摸操作(比如用户使用手指、触笔等任何适合的物体或附件在触控面板731上或在触控面板731附近的操作)，并根据预先设定的程式驱动相应的连接装置。可选的，触控面板731可包括触摸检测装置和触摸控制器两个部分。其中，触摸检测装置检测用户的触摸方位，并检测触摸操作带来的信号，将信号传送给触摸控制器；触摸控制器从触摸检测装置上接收触摸信息，并将它转换成触点坐标，再送给处理器780，并能接收处理器780发来的命令并加以执行。此外，可以采用电阻式、电容式、红外线以及表面声波等多种类型实现触控面板731。除了触控面板731，输入单元730还可以包括其他输入设备732。具体地，其他输入设备732可以包括但不限于物理键盘、功能键(比如音量控制按键、开关按键等)、轨迹球、鼠标、操作杆等中的一种或多种。

显示单元740可用于显示由用户输入的信息或提供给用户的信息以及手机的各种菜单。显示单元740可包括显示面板741，可选的，可以采用液晶显示器(Liquid CrystalDisplay，简称LCD)、有机发光二极管(Organic Light-Emitting Diode，简称OLED)等形式来配置显示面板741。进一步的，触控面板731可覆盖显示面板741，当触控面板731检测到在其上或附近的触摸操作后，传送给处理器780以确定触摸事件的类型，随后处理器780根据触摸事件的类型在显示面板741上提供相应的视觉输出。虽然在图7中，触控面板731与显示面板741是作为两个独立的部件来实现手机的输入和输入功能，但是在某些实施例中，可以将触控面板731与显示面板741集成而实现手机的输入和输出功能。

手机还可包括至少一种传感器750，比如光传感器、运动传感器以及其他传感器。具体地，光传感器可包括环境光传感器及接近传感器，其中，环境光传感器可根据环境光线的明暗来调节显示面板741的亮度，接近传感器可在手机移动到耳边时，关闭显示面板741和/或背光。作为运动传感器的一种，加速计传感器可检测各个方向上(一般为三轴)加速度的大小，静止时可检测出重力的大小及方向，可用于识别手机姿态的应用(比如横竖屏切换、相关游戏、磁力计姿态校准)、振动识别相关功能(比如计步器、敲击)等；至于手机还可配置的陀螺仪、气压计、湿度计、温度计、红外线传感器等其他传感器，在此不再赘述。

音频电路760、扬声器761，传声器762可提供用户与手机之间的音频接口。音频电路760可将接收到的音频数据转换后的电信号，传输到扬声器761，由扬声器761转换为声音信号输出；另一方面，传声器762将收集的声音信号转换为电信号，由音频电路760接收后转换为音频数据，再将音频数据输出处理器780处理后，经RF电路710以发送给比如另一手机，或者将音频数据输出至存储器720以便进一步处理。

WiFi属于短距离无线传输技术，手机通过WiFi模块770可以帮助用户收发电子邮件、浏览网页和访问流式媒体等，它为用户提供了无线的宽带互联网访问。虽然图7示出了WiFi模块770，但是可以理解的是，其并不属于手机的必须构成，完全可以根据需要在不改变发明的本质的范围内而省略。

处理器780是手机的控制中心，利用各种接口和线路连接整个手机的各个部分，通过运行或执行存储在存储器720内的软件程序和/或模块，以及调用存储在存储器720内的数据，执行手机的各种功能和处理数据，从而对手机进行整体监控。可选的，处理器780可包括一个或多个处理单元；优选的，处理器780可集成应用处理器和调制解调处理器，其中，应用处理器主要处理操作系统、用户界面和应用程序等，调制解调处理器主要处理无线通信。可以理解的是，上述调制解调处理器也可以不集成到处理器780中。

手机还包括给各个部件供电的电源790(比如电池)，优选的，电源可以通过电源管理系统与处理器780逻辑相连，从而通过电源管理系统实现管理充电、放电、以及功耗管理等功能。

尽管未示出，手机还可以包括摄像头、蓝牙模块等，在此不再赘述。

在本实施例中，该终端设备所包括的处理器780还具有以下功能：

接收调用方框架向被调用方框架发送的认证请求，所述认证请求包括所述调用方框架的身份证书和所述调用方框架的第一服务标识；

根据所述第一服务标识，确定所述调用方框架对应的根证书；

根据所述根证书和所述身份证书，对所述调用方框架进行身份认证。

本申请实施例还提供一种服务器，请参见图8所示，图8为本申请实施例提供的服务器800的结构图，服务器800可因配置或性能不同而产生比较大的差异，可以包括一个或一个以上中央处理器(Central Processing Units，简称CPU)822(例如，一个或一个以上处理器)和存储器832，一个或一个以上存储应用程序842或数据844的存储介质830(例如一个或一个以上海量存储设备)。其中，存储器832和存储介质830可以是短暂存储或持久存储。存储在存储介质830的程序可以包括一个或一个以上模块(图示没标出)，每个模块可以包括对服务器中的一系列指令操作。更进一步地，中央处理器822可以设置为与存储介质830通信，在服务器800上执行存储介质830中的一系列指令操作。

服务器800还可以包括一个或一个以上电源826，一个或一个以上有线或无线网络接口850，一个或一个以上输入输出接口858，和/或，一个或一个以上操作系统841，例如Windows ServerTM，Mac OS XTM，UnixTM,LinuxTM，FreeBSDTM等等。

上述实施例中由服务器所执行的步骤可以基于图8所示的服务器结构。

本申请实施例还提供一种计算机可读存储介质，用于存储计算机程序，该计算机程序用于执行前述各个实施例所述的身份认证方法中的任意一种实施方式。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质可以是下述介质中的至少一种：只读存储器(英文：read-only memory，缩写：ROM)、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

需要说明的是，本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于设备及系统实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的设备及系统实施例仅仅是示意性的，其中作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述，仅为本申请的一种具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应该以权利要求的保护范围为准。

Claims (10)

1.一种身份认证方法，其特征在于，所述方法包括：

接收调用方框架向被调用方框架发送的认证请求，所述认证请求包括所述调用方框架的身份证书和所述调用方框架的第一服务标识；

根据所述第一服务标识，确定所述调用方框架对应的根证书；

根据所述根证书和所述身份证书，对所述调用方框架进行身份认证。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

若通过所述身份认证，根据所述根证书，确定所述身份证书的证书类型；

根据所述证书类型，生成对应于所述调用方框架的令牌标识；

向所述调用方框架返回所述令牌标识。

3.根据权利要求2所述的方法，其特征在于，所述方法还包括：

接收所述调用方框架向所述被调用方框架发起的第一调用请求，所述第一调用请求包括第一认证标识，所述第一认证标识是根据所述令牌标识生成的；

根据所述第一认证标识，确定所述调用方框架对应的所述证书类型；

根据所述证书类型，判断是否通过所述第一调用请求。

4.根据权利要求3所述的方法，其特征在于，所述方法还包括：

接收所述调用方框架向所述被调用方框架发起的第二调用请求，所述第二调用请求包括第二认证标识、第二服务标识和第二时间标识；

根据所述第二认证标识，获取所述第一服务标识和第一时间标识；

根据所述第一服务标识对所述第二服务标识进行第一标识认证；

根据所述第一时间标识对所述第二时间标识进行第二标识认证；

若所述第一标识认证和所述第二标识认证都通过，通过所述第二调用请求。

5.根据权利要求4所述的方法，其特征在于，所述第一调用请求和所述第二调用请求为两个不同的调用请求。

6.根据权利要求1所述的方法，其特征在于，将所述调用方框架或所述被调用方框架作为目标框架，在所述接收调用方框架向被调用方框架发送的认证请求之前，所述方法还包括：

获取所述目标框架对应的第一认证因子和目标身份证书，所述第一认证因子是根据所述目标框架所包括的业务参数生成的；

判断所述第一认证因子与根据所述目标身份证书得到的第二认证因子是否相同，得到第一判断结果；

根据所述第一判断结果确定所述目标身份证书是否通过认证。

7.根据权利要求6所述的方法，其特征在于，所述获取目标框架对应的第一认证因子，包括：

获取所述目标框架对应的第一认证因子和第三服务标识；

所述方法还包括：

判断所述第三服务标识与根据所述目标身份证书得到的第四服务标识是否相同，得到第二判断结果；

所述根据所述第一判断结果确定所述目标身份证书是否通过认证，包括：

根据所述第一判断结果和所述第二判断结果确定所述目标身份证书是否通过认证。

8.一种身份认证装置，其特征在于，所述装置包括第一接收单元、第一确定单元和第一认证单元：

所述第一接收单元，用于接收调用方框架向被调用方框架发送的认证请求，所述认证请求包括所述调用方框架的身份证书和所述调用方框架的第一服务标识；

所述第一确定单元，用于根据所述第一服务标识，确定所述调用方框架对应的根证书；

所述第一认证单元，用于根据所述根证书和所述身份证书，对所述调用方框架进行身份认证。

9.一种用于身份认证的设备，其特征在于，所述设备包括处理器以及存储器：

所述存储器用于存储程序代码，并将所述程序代码传输给所述处理器；

所述处理器用于根据所述程序代码中的指令执行权利要求1-7中任意一项所述的身份认证方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质用于存储计算机程序，所述计算机程序用于执行权利要求1-7中任意一项所述的身份认证方法。

Images