CN112613020B - 一种身份验证方法及装置 - Google Patents

Abstract

本申请公开了一种身份验证方法及装置，包括：响应于客户端发送的登录请求，获取客户端采集的人脸信息。将人脸信息与人脸数据库中已登记人脸信息进行匹配，如果匹配成功，且匹配相似度大于第一阈值，获取目标已登记人脸信息对应的账号标识，向客户端发送一级登录成功响应信息。响应于客户端发送的使用目标功能的请求，判断目标功能是否属于预设功能。若是，向客户端发送二级登录提示信息。获取客户端根据二级登录提示信息采集的用户标识对应的密码。将用户标识与用户标识对应的密码进行匹配，如果匹配成功，向客户端发送二级登录成功响应信息。通过设置一级登录和二级登录身份验证，提高了身份验证的灵活性和系统的安全性。

Description

一种身份验证方法及装置

技术领域

本申请涉及计算机技术领域，尤其涉及一种身份验证方法及装置。

背景技术

用户访问平台时需要进行安全验证，以防非法用户进行非法登录。

目前，通过账号和密码登录来进行用户的安全验证，该方式实现简便且易被用户所接受，但单因素的认证安全性仍然受到限制，其并非一种便捷、灵活的用户身份验证方法。

发明内容

为了解决上述技术问题，本申请提供了一种身份验证方法及装置，用于安全、灵活地对用户进行身份验证。

为了实现上述目的，本申请实施例提供的技术方案如下：

本申请实施例提供一种身份验证方法，该方法包括：

响应于客户端发送的登录请求，获取所述客户端采集的人脸信息；

将所述人脸信息与人脸数据库中已登记人脸信息进行匹配，如果所述人脸信息与所述人脸数据库中目标已登记人脸信息匹配成功，且匹配相似度大于第一阈值，获取所述目标已登记人脸信息对应的账号标识，向所述客户端发送一级登录成功响应信息；

响应于所述客户端发送的使用目标功能的请求，判断所述目标功能是否属于预设功能；

如果所述目标功能属于预设功能，向所述客户端发送二级登录提示信息；

获取所述客户端根据所述二级登录提示信息采集的所述用户标识对应的密码；

将所述用户标识与所述用户标识对应的密码进行匹配，如果所述用户标识与所述用户标识对应的密码匹配成功，向所述客户端发送二级登录成功响应信息，所述二级登录成功响应信息用于向所述客户端进行使用所述目标功能的授权。

可选的，所述方法还包括：

在将所述人脸信息与人脸数据库中已登记人脸信息进行匹配之后，如果所述人脸信息与所述人脸数据库中的已登记人脸信息均未匹配成功，记录人脸信息未匹配成功次数；

如果所述人脸信息未匹配成功次数未达到第二阈值，重新执行获取所述客户端采集的人脸信息，将所述人脸信息与人脸数据库中已登记人脸信息进行匹配；

如果所述人脸信息未匹配成功次数达到所述第二阈值，向所述客户端发送一级登录提示信息，获取所述客户端根据所述一级登录提示信息采集的用户标识以及所述用户标识对应的密码；

将所述用户标识与用户标识对应的密码进行匹配，如果所述用户标识与所述用户标识对应的密码匹配成功，向所述客户端发送所述账号标识的一级登录成功响应信息。

可选的，所述方法还包括：

在将所述用户标识与所述用户标识对应的密码进行匹配之后，如果所述用户标识与所述用户标识对应的密码未匹配成功，记录密码未匹配成功次数；

如果所述密码未匹配成功次数未达到第三阈值，重新获取所述用户标识对应的密码，将所述用户标识与用户标识对应的密码进行匹配；

如果所述密码未匹配成功次数达到第三阈值，确定登录失败。

可选的，所述方法还包括：

根据历史登录数据动态调整所述第一阈值、所述第二阈值和/或所述第三阈值。

可选的，所述方法还包括：

如果所述客户端发送登录请求时的时间不属于预设时间段，或者所述客户端不属于预设设备，在向所述客户端发送一级登录成功响应信息之前，向所述客户端发送验证问题信息，接收所述客户端发送的所述验证问题信息的答案信息，如果对所述答案信息验证通过，向所述客户端发送一级登录成功响应信息；

如果所述客户端发送使用目标功能的请求时的时间不属于预设时间段，或者所述客户端不属于预设设备，在向所述客户端发送二级登录成功响应信息之前，向所述客户端发送验证问题信息，接收所述客户端发送的所述验证问题信息的答案信息，如果对所述答案信息验证通过，向所述客户端发送二级登录成功响应信息；

响应于所述客户端触发的敏感操作，向所述客户端发送验证问题信息，接收所述客户端发送的所述验证问题信息的答案信息，如果对所述答案信息验证通过，执行所述敏感操作。

本申请实施例还提供了一种身份验证装置，该装置包括：

第一获取单元，用于响应于客户端发送的登录请求，获取所述客户端采集的人脸信息；

第一匹配单元，用于将所述人脸信息与人脸数据库中已登记人脸信息进行匹配，如果所述人脸信息与所述人脸数据库中目标已登记人脸信息匹配成功，且匹配相似度大于第一阈值，获取所述目标已登记人脸信息对应的账号标识，向所述客户端发送一级登录成功响应信息；

判断单元，用于响应于所述客户端发送的使用目标功能的请求，判断所述目标功能是否属于预设功能；

第一发送单元，用于如果所述目标功能属于预设功能，向所述客户端发送二级登录提示信息；

第二获取单元，用于获取所述客户端根据所述二级登录提示信息采集的所述用户标识对应的密码；

第二匹配单元，用于将所述用户标识与所述用户标识对应的密码进行匹配，如果所述用户标识与所述用户标识对应的密码匹配成功，向所述客户端发送二级登录成功响应信息，所述二级登录成功响应信息用于向所述客户端进行使用所述目标功能的授权。

可选的，所述装置还包括：

第一记录单元，用于在将所述人脸信息与人脸数据库中已登记人脸信息进行匹配之后，如果所述人脸信息与所述人脸数据库中的已登记人脸信息均未匹配成功，记录人脸信息未匹配成功次数；

第三匹配单元，用于如果所述人脸信息未匹配成功次数未达到第二阈值，重新执行获取所述客户端采集的人脸信息，将所述人脸信息与人脸数据库中已登记人脸信息进行匹配；

第三获取单元，用于如果所述人脸信息未匹配成功次数达到所述第二阈值，向所述客户端发送一级登录提示信息，获取所述客户端根据所述一级登录提示信息采集的用户标识以及所述用户标识对应的密码；

第四匹配单元，用于将所述用户标识与用户标识对应的密码进行匹配，如果所述用户标识与所述用户标识对应的密码匹配成功，向所述客户端发送所述账号标识的一级登录成功响应信息。

可选的，所述装置还包括：

第二记录单元，用于在将所述用户标识与所述用户标识对应的密码进行匹配之后，如果所述用户标识与所述用户标识对应的密码未匹配成功，记录密码未匹配成功次数；

第五匹配单元，用于如果所述密码未匹配成功次数未达到第三阈值，重新获取所述用户标识对应的密码，将所述用户标识与用户标识对应的密码进行匹配；

确定单元，用于如果所述密码未匹配成功次数达到第三阈值，确定登录失败。

可选的，所述装置还包括：

动态调整单元，用于根据历史登录数据动态调整所述第一阈值、所述第二阈值和/或所述第三阈值。

可选的，所述装置还包括：

第二发送单元，用于如果所述客户端发送登录请求时的时间不属于预设时间段，或者所述客户端不属于预设设备，在向所述客户端发送一级登录成功响应信息之前，向所述客户端发送验证问题信息，接收所述客户端发送的所述验证问题信息的答案信息，如果对所述答案信息验证通过，向所述客户端发送一级登录成功响应信息；

第三发送单元，用于如果所述客户端发送使用目标功能的请求时的时间不属于预设时间段，或者所述客户端不属于预设设备，在向所述客户端发送二级登录成功响应信息之前，向所述客户端发送验证问题信息，接收所述客户端发送的所述验证问题信息的答案信息，如果对所述答案信息验证通过，向所述客户端发送二级登录成功响应信息；

第四发送单元，响应于所述客户端触发的敏感操作，向所述客户端发送验证问题信息，接收所述客户端发送的所述验证问题信息的答案信息，如果对所述答案信息验证通过，执行所述敏感操作。

通过上述技术方案可知，本申请具有以下有益效果：

本申请实施例提供了一种身份验证方法及装置，包括：响应于客户端发送的登录请求，获取客户端采集的人脸信息。将人脸信息与人脸数据库中已登记人脸信息进行匹配，如果人脸信息与人脸数据库中目标已登记人脸信息匹配成功，且匹配相似度大于第一阈值，获取目标已登记人脸信息对应的账号标识，向客户端发送一级登录成功响应信息。响应于客户端发送的使用目标功能的请求，判断目标功能是否属于预设功能。如果目标功能属于预设功能，向客户端发送二级登录提示信息。获取客户端根据二级登录提示信息采集的用户标识对应的密码。将用户标识与用户标识对应的密码进行匹配，如果用户标识与用户标识对应的密码匹配成功，向客户端发送二级登录成功响应信息，二级登录成功响应信息用于向客户端进行使用目标功能的授权。通过设置一级登录和二级登录身份验证，提高了身份验证的灵活性和系统的安全性。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本申请实施例提供的一种身份验证方法的流程图；

图2为本申请实施例提供的一种身份验证方法的示例性应用场景的流程图；

图3为本申请实施例提供的发送请求时间引发的二次验证的示意图；

图4为本申请实施例提供的登录渠道引发的二次验证的示意图；

图5为本申请实施例提供的敏感操作引发的二次验证的示意图；

图6为本申请实施例提供的一种身份验证装置的流程图。

具体实施方式

为使本申请的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本申请实施例作进一步详细的说明。

参见图1，图1为本申请实施例提供的一种身份验证方法的流程图，该方法应用于登录服务器。如图1所示，该方法可以包括S101-S106：

S101：响应于客户端发送的登录请求，获取客户端采集的人脸信息。

登录服务器响应于客户端发送的登录请求，获取客户端采集的人脸信息。其中，该人脸信息为待登录用户的人脸信息。作为一种示例，用户登录客户端时，客户端通过摄像头采集现场的用户人脸信息照片。

需要说明的是，当用户第一次向客户端发送请求要登录客户端时，客户端第一次采集该用户的人脸信息，则需要进行首次人脸信息匹配，并将该用户的人脸信息存储到人脸数据库，以避免在正式登录客户端时，由于采集的人脸信息与用户本人差异过大导致无法正常登录。

S102：将人脸信息与人脸数据库中已登记人脸信息进行匹配，如果人脸信息与人脸数据库中目标已登记人脸信息匹配成功，且匹配相似度大于第一阈值，获取目标已登记人脸信息对应的账号标识，向客户端发送一级登录成功响应信息。

检索人脸数据库，将获得的客户端采集的待登录用户的人脸信息与人脸数据库中已登记人脸信息进行匹配，如果人脸信息与人脸数据库中目标已登记人脸信息匹配成功，且匹配相似度大于第一阈值，获取目标已登记人脸信息对应的账号标识，向客户端发送一级登录成功响应信息。可以理解的是，当匹配相似度等于第一阈值时，登录服务器也向客户端发送一级登录成功响应信息。另外，非第一次登录的待登录用户的人脸信息已经存储在人脸数据库中。

需要说明的是，一级登录为人脸识别登录。其中，人脸识别指分析比较人脸视觉特征信息进行身份鉴别的计算机技术。另外。登录指向需要表明操作身

表1登录安全策略表

份的计算机系统内输入操作者的身份信息并提交给系统，以便系统识别和验证对应用户身份并提供相应的服务和操作权限的过程。本申请中的登录分为一级登录和二级登录，一级登录和二级登录分别对应不同的权限级别，不同的目标功能可以配置不同权限。其中，一级登录指用户登录系统并获得第一级权限的过程。一级登录较二级登录安全性差，但操作方便，适用于安全级别低的操作。二级登录指用户登录系统并获得第二级权限的过程。二级登录较一级登录安全性高，但操作相对繁琐，适用于安全级别高的操作。

具体实施时，登录服务器将获得的客户端采集的待登录用户的人脸信息发送给人脸识别服务器，人脸识别服务器将待登录用户的人脸信息与人脸数据库中已登记人脸信息进行匹配，并返回给登录服务器匹配结果，该匹配结果包括人脸信息与人脸数据库中目标已登记人脸信息是否匹配成功，以及当匹配成功后的匹配相似度。之后，登录服务器将匹配相似度和第一阈值进行比较判断。若匹配相似度大于第一阈值则获取目标已登记人脸信息对应的账号标识，向客户端发送一级登录成功响应信息。也就是说，登录服务器在确认用户通过一级登录后，为了后续可能存在的二级登录或二次验证，登录服务器自动通过目标已登记人脸信息获取其对应的账号标识，而不需要用户手动选择账号或输入账号，从而提高了用户体验和操作效率。

需要说明的是，第一阈值的初始阈值是由安全策略专家根据专家经验设定。随着登录服务器运行的过程中，实时根据用户使用情况数据对第一阈值进行自动优化，以满足安全策略符合整体要求。作为一种示例，第一阈值用S表示。参见表1，表1为登录安全策略表。如表1所示，可知第一阈值的范围为0-100分，例如90分。另外，详细的第一阈值的调整过程请见后续叙述。

S103：响应于客户端发送的使用目标功能的请求，判断目标功能是否属于预设功能。

当登录服务器向客户端发送一级登录成功响应信息之后，若用户想使用目标功能，则登录服务器会接收到客户端发送的用户使用目标功能的请求。登录服务器响应于客户端发送的使用目标功能的请求，判断目标功能是否属于预设功能。其中，预设功能为表1中需进行二级登录的权限所对应的功能。作为一种示例，R为需进行二级登录的权限集合。从表1中可知，敏感信息查询、敏感信息下载、敏感信息修改、系统用户管理、系统参数管理等均属于需要进行二级登录验证的权限。

需要说明的是，如果已经完成用户的一级登录验证后用户又需要使用二级权限的功能，即预设功能，则需要对用户进行二级登录验证，可提高用户登录的安全性。

在一些实施方式中，当用户向客户端发送登录请求时，若登录服务器判断得到用户所需的功能安全级别较低，则只需要进行一级登录验证。若登录服务器判断用户所需的功能安全级别较高或者用户需要登录客户端的时间属于特殊时期，则直接需要用户进行一级登录验证和二级登录验证。

S104：如果目标功能属于预设功能，向客户端发送二级登录提示信息。

当判断得知用户所要使用的目标功能属于预设功能时，登录服务器向客户端发送二级登录提示信息。

S105：获取客户端根据二级登录提示信息采集的用户标识对应的密码。

登录服务器向客户端发送二级登录提示信息时，客户端根据二级登录提示信息采集用户标识对应的密码，并将密码发送给登录服务器。作为一种示例，用户标识为用户账号，用户标识对应的密码即为用户账号对应的密码。

S106：将用户标识与用户标识对应的密码进行匹配，如果用户标识与用户标识对应的密码匹配成功，向客户端发送二级登录成功响应信息，二级登录成功响应信息用于向客户端进行使用目标功能的授权。

登录服务器将用户标识与用户标识对应的密码进行匹配，如果用户标识与用户标识对应的密码匹配成功，向客户端发送二级登录成功响应信息，二级登录成功响应信息用于向客户端进行使用目标功能的授权。

需要说明的是，用户使用客户端的过程中，如涉及修改密码、到期更换密码等变动密码操作，登录服务器会启动人脸信息识别和验证即重新启动一级登录。在人脸信息匹配的情况下，则可进行下一步变动密码操作。此方式可保障用户账户和密码的安全性，避免密码被恶意篡改。若是客户端被非法访问，则可以通过人脸信息追溯入侵者的真实身份。

另外，在一级登录的过程中，还存在人脸信息与人脸数据库中已登记人脸信息不匹配的情况，应对该情况的方式如下：

在将人脸信息与人脸数据库中已登记人脸信息进行匹配之后，如果人脸信息与人脸数据库中的已登记人脸信息均未匹配成功，记录人脸信息未匹配成功次数；

如果人脸信息未匹配成功次数未达到第二阈值，重新执行获取客户端采集的人脸信息，将人脸信息与人脸数据库中已登记人脸信息进行匹配；

如果人脸信息未匹配成功次数达到第二阈值，向客户端发送一级登录提示信息，获取客户端根据一级登录提示信息采集的用户标识以及用户标识对应的密码；

将用户标识与用户标识对应的密码进行匹配，如果用户标识与用户标识对应的密码匹配成功，向客户端发送账号标识的一级登录成功响应信息。

可以理解的是，当用户通过人脸信息识别和验证未通过一级登录时，可能存在误识别的因素。此时，直接向客户端发送一级登录提示信息，获取客户端根据一级登录提示信息采集的用户标识以及用户标识对应的密码，即使用户通过用户标识和用户标识对应的密码进行此时的一级登录验证。需要说明的是，客户端提示用户手动输入用户标识和用户标识对应的密码，并进行用户标识和密码的采集，将采集到的用户标识和用户标识对应的密码发送给登录服务器。

作为一种示例，第二阈值通过T进行表示。如表1所示，第二阈值的初始值例如为5次。需要说明的是，第二阈值的初始阈值是由安全策略专家根据专家经验设定。随着登录服务器运行的过程中，实时根据用户使用情况数据对第二阈值进行自动优化，以满足安全策略符合整体要求。详细的第二阈值的调整过程请见后续叙述。

另外，在二级登录的过程中，还存在用户标识与用户标识对应的密码未匹配成功的情况，应对该情况的方式如下：

在将用户标识与用户标识对应的密码进行匹配之后，如果用户标识与用户标识对应的密码未匹配成功，记录密码未匹配成功次数；

如果密码未匹配成功次数未达到第三阈值，重新获取用户标识对应的密码，将用户标识与用户标识对应的密码进行匹配；

如果密码未匹配成功次数达到第三阈值，确定登录失败。

作为一种示例，第三阈值通过Q进行表示。如表1所示，第三阈值的初始值例如为3次。通常，第三阈值小于第二阈值。需要说明的是，第三阈值的初始阈值是由安全策略专家根据专家经验设定。随着登录服务器运行的过程中，实时根据用户使用情况数据对第三阈值进行自动优化，以满足安全策略符合整体要求。详细的第三阈值的调整过程请见后续叙述。作为一种示例，当密码未匹配成功次数达到第三阈值，确定登录失败，并临时禁用用户的账户。

需要说明的是，根据历史登录数据动态调整第一阈值、第二阈值和/或第三阈值。具体的，根据历史登录数据和用户的输入行为动态调整第一阈值、第二阈值和/或第三阈值。

具体实施时，随着系统的运行，系统至少包括客户端和登录服务器，登录服务器的第一阈值、第二阈值和/或第三阈值根据用户的历史登录数据、用户的输入行为实时调整，从而既保证系统的安全，不被恶意用户入侵，同时最大限度降低用户的使用成本并提高效率。对每个用户维护一套个性化的安全参数(S,T,Q,C)，其中，S为第一阈值，T为第二阈值，Q为第三阈值，C为用户参数更新的速度，例如0.1，可参见表1。根据如下策略进行更新和调整：

当用户因人脸信息匹配相似度未达到第一阈值S且用户尝试进行一级登录的尝试次数超过第二阈值T导致登录失败时，若二级登录成功，则认为系统进行了一次误报，此时需要降低S或增大T。具体的S和T的变化值可通过用户历史登录数据的人脸信息匹配相似度或一级登录尝试次数，以及参数C共同确定，同时需要保证调整完的S不低于S_m，T不高于T_M。参见表1，S_m和T_M分别表示人脸信息匹配相似度允许的最小值和用户尝试进行一级登录的次数的最大值。

当用户长期都没有因人脸信息匹配相似度未达到第一阈值S且用户尝试进行一级登录的尝试次数超过第二阈值T导致登录失败时，则认为系统安全策略过于宽松，此时需要增大S并减小T，具体的变化值通过用户历史登录数据的人脸信息匹配相似度或一级登录尝试次数，以及参数C共同确定。

计算用户历史登录数据中的历史输入密码的平均次数，以及因超过第三阈值Q失败的次数，若平均次数接近Q或失败次数过多，说明此时Q过小，则相应增大Q的值，否则减小Q，具体变化值由C和历史平均次数、失败次数共同确定。

每当参数S、T或Q调整时，比较调整后该用户的误报次数变化和客户端其它用户变化的平均值，若该用户的变化显著大于其它用户，说明该用户的调整幅度过大，引起的变化过于激进，则降低C的值，反之则说明幅度过小过于保守，从而增加C的值。

按照以上策略，系统将自动对每个用户的安全策略进行个性化调整，随着系统运行，所有用户的C值都将逐渐减小，使得每个用户的动态参数都最终趋于稳定，从而达到安全和效率的平衡。系统自动针对每个用户调整其个性化的安全策略以达到安全和效率大平衡。

通过本申请实施例提供的一种身份验证方法，响应于客户端发送的登录请求，获取客户端采集的人脸信息。将人脸信息与人脸数据库中已登记人脸信息进行匹配，如果人脸信息与人脸数据库中目标已登记人脸信息匹配成功，且匹配相似度大于第一阈值，获取目标已登记人脸信息对应的账号标识，向客户端发送一级登录成功响应信息。响应于客户端发送的使用目标功能的请求，判断目标功能是否属于预设功能。如果目标功能属于预设功能，向客户端发送二级登录提示信息。获取客户端根据二级登录提示信息采集的用户标识对应的密码。将用户标识与用户标识对应的密码进行匹配，如果用户标识与用户标识对应的密码匹配成功，向客户端发送二级登录成功响应信息，二级登录成功响应信息用于向客户端进行使用目标功能的授权。通过设置一级登录和二级登录身份验证，提高了身份验证的灵活性和系统的安全性。

参见图2，图2为本申请实施例提供的一种身份验证方法的示例性应用场景的流程图。如图2所示，该示例性应用场景包括如下步骤：

步骤201：登录过程开始，用户请求登录客户端。

步骤202：客户端采集待登录用户的人脸信息，并将采集到的信息发送到登录服务器准备一级登录。

步骤203：登录服务器判断系统是否处于敏感时期(如安全保障重点时期、社会大型活动举办时期等)。

当系统处于敏感时期时，开启活体检测功能，可增强了一级登录的可靠性。

步骤204：如系统处于敏感时期，需对用户进行活体检测。

当系统处于敏感时期时，需要对用户进行活体检测。例如，向用户发送提示信息用以提示用户进行眨眼操作。

步骤205：如活体检测成功，则进入下一步骤；如检测失败，则登录失败。

当对用户进行活体检测成功，则可进入下一步骤。即对用户的眨眼操作验证成功后，进入下一步骤。

步骤206：登录服务器接收到客户端的一级登录请求，并通过人脸识别服务器检索是否有匹配的待登录用户人脸信息。人脸识别服务器根据登录服务器的请求信息，在已经登记的用户人脸数据库中检索匹配的用户人脸信息，并将结果返回给登录服务器。

步骤207：登录服务器判断是否在人脸数据库中成功匹配到了一个已经登记过的用户，并判断其匹配相似度是否大于设定的第一阈值S。

步骤208：人脸信息与人脸数据库中目标已登记人脸信息匹配成功，且匹配相似度大于第一阈值S时，登录服务器根据人脸信息，获得待登录的用户账号标识，完成该用户的一级登录，向客户端发送一级登录成功响应信息。记录用户登录的时间、地点、用户人脸信息等相关信息，以备后续查阅。

步骤209：根据安全策略检查用户所需使用的功能是否需要进行二级登录。若不需要，则通知客户端登录成功并给予相应的授权；若需要，则通知客户端进一步进行二级登录验证。

步骤210：客户端提示用户输入账号标识对应的密码，并发送给登录服务器；此处无需输入账号，因为在前序步骤206或2012中已经获得账号信息。

步骤211：根据账号标识和密码在用户数据库中检索。

步骤212：若账号标识和密码匹配，则二级登录成功，向所述客户端发送二级登录成功响应信息，通知客户端并进行二级登录相应的授权。

步骤2011：人脸信息匹配失败后，判断用户的一级登录尝试次数或时间是否已经超过安全策略中设定的第二阈值T。若没有超过则返回202步重新进行一级登录，否则终止一级登录流程。

步骤2012：客户端提示用户手动输入账号标识和账号标识对应的密码，并发送给登录服务器。

步骤213：密码登录失败后，判断用户的二级登录尝试次数是否已经超过安全策略中设定的第三阈值Q。若没有超过则返回207步重新输入密码，否则终止二级登录流程。

需要说明的是，安全策略指在特定安全系统中用于所有安全相关活动的规则。安全策略包括登录时间、登录渠道、登录后操作等安全因素，安全因素的变化对系统登录验证方式产生影响。当安全因素不符合要求时，会进行二次验证。二次验证即为双重认证，指为保护账户及信息安全，用户在触发系统安全策略时，系统自动发起的第二次身份验证。二次验证方法与首次验证方法不同。

系统记录用户登录操作时间，当登录时间点超过设定安全时间阈值时，用户登录需进行二次验证。系统记录用户登录终端地址，当登录渠道发生变化，用户登录需进行二次验证。系统记录用户对敏感功能(如敏感信息下载)的操作时间和频度，当操作时间及频度超过安全阈值，用户需进行二次验证；二次验证方式包括安全问题回答、按用户预留联系方式发送验证码等；对于频繁登录用户，可增加验证等方式降低登录频率，并生成预警信息。具体实施时，如下：

一方面，如果客户端发送登录请求时的时间不属于预设时间段，或者客户端不属于预设设备，在向客户端发送一级登录成功响应信息之前，向客户端发送验证问题信息，接收客户端发送的验证问题信息的答案信息，如果对答案信息验证通过，向客户端发送一级登录成功响应信息。

如果客户端发送使用目标功能的请求时的时间不属于预设时间段，或者客户端不属于预设设备，在向客户端发送二级登录成功响应信息之前，向客户端发送验证问题信息，接收客户端发送的验证问题信息的答案信息，如果对答案信息验证通过，向客户端发送二级登录成功响应信息。

具体实施时，参见图3和图4，图3为本申请实施例提供的发送请求时间引发的二次验证的示意图，图4为本申请实施例提供的登录渠道引发的二次验证的示意图。系统记录用户登录的时间，如用户在常规登录时间段V1-V2登录，仅登录验证用户身份。其中，常规登录时间段V1-V2即为预设时间段。如用户在0-V1点和V2-24点非常规时间段登录，系统启动安全问题作为用户身份的二次验证方法。其中，安全问题为验证问题信息。用户正确回答安全问题后，可登录成功。系统记录用户登录的渠道，如用户使用常规登录渠道登录，仅登录验证用户身份。如使用非常规登录渠道登录，在登录验证完成后，系统启动安全问题作为用户身份的二次验证方法。用户正确回答安全问题后，可登录成功。

可以理解的是，不论是一级登录验证还是二级登录验证时，当用户登录时间和登录渠道等安全因素不符合要求时，便会触发二次验证。

另一方面，响应于客户端触发的敏感操作，向客户端发送验证问题信息，接收客户端发送的验证问题信息的答案信息，如果对答案信息验证通过，执行敏感操作。具体实施时，参见图5，图5为本申请实施例提供的敏感操作引发的二次验证的示意图。系统记录用户操作情况，用户完成登录验证后，若进行敏感操作，如敏感信息查询、敏感信息下载、敏感信息修改、系统用户管理、系统参数配置等，则需要进行二次验证。作为一种示例，基于用户预留系统中的通讯渠道(电话或邮件)，通过客户端采集接收到的验证码，利用验证码进行二次验证。验证码校验通过后，可允许用户进行敏感操作。其中，验证码为验证问题信息。作为一种示例，系统启动安全问题作为用户身份的二次验证方法。用户正确回答安全问题后，可登录成功。

可以理解的是，二次验证方式的设计，可在用户操作过程中动态的发起安全预警，能提高安全监控的时效性和敏感操作的安全级别。

参见图6，图6为本申请实施例提供的一种身份验证装置的流程图。该装置包括：

第一获取单元601，用于响应于客户端发送的登录请求，获取所述客户端采集的人脸信息；

第一匹配单元602，用于将所述人脸信息与人脸数据库中已登记人脸信息进行匹配，如果所述人脸信息与所述人脸数据库中目标已登记人脸信息匹配成功，且匹配相似度大于第一阈值，获取所述目标已登记人脸信息对应的账号标识，向所述客户端发送一级登录成功响应信息；

判断单元603，用于响应于所述客户端发送的使用目标功能的请求，判断所述目标功能是否属于预设功能；

第一发送单元604，用于如果所述目标功能属于预设功能，向所述客户端发送二级登录提示信息；

第二获取单元605，用于获取所述客户端根据所述二级登录提示信息采集的所述用户标识对应的密码；

第二匹配单元606，用于将所述用户标识与所述用户标识对应的密码进行匹配，如果所述用户标识与所述用户标识对应的密码匹配成功，向所述客户端发送二级登录成功响应信息，所述二级登录成功响应信息用于向所述客户端进行使用所述目标功能的授权。

可选的，在本申请实施例的一些实施方式中，所述装置还包括：

第一记录单元，用于在将所述人脸信息与人脸数据库中已登记人脸信息进行匹配之后，如果所述人脸信息与所述人脸数据库中的已登记人脸信息均未匹配成功，记录人脸信息未匹配成功次数；

第三匹配单元，用于如果所述人脸信息未匹配成功次数未达到第二阈值，重新执行获取所述客户端采集的人脸信息，将所述人脸信息与人脸数据库中已登记人脸信息进行匹配；

第三获取单元，用于如果所述人脸信息未匹配成功次数达到所述第二阈值，向所述客户端发送一级登录提示信息，获取所述客户端根据所述一级登录提示信息采集的用户标识以及所述用户标识对应的密码；

第四匹配单元，用于将所述用户标识与用户标识对应的密码进行匹配，如果所述用户标识与所述用户标识对应的密码匹配成功，向所述客户端发送所述账号标识的一级登录成功响应信息。

可选的，在本申请实施例的一些实施方式中，所述装置还包括：

第二记录单元，用于在将所述用户标识与所述用户标识对应的密码进行匹配之后，如果所述用户标识与所述用户标识对应的密码未匹配成功，记录密码未匹配成功次数；

第五匹配单元，用于如果所述密码未匹配成功次数未达到第三阈值，重新获取所述用户标识对应的密码，将所述用户标识与用户标识对应的密码进行匹配；

确定单元，用于如果所述密码未匹配成功次数达到第三阈值，确定登录失败。

可选的，在本申请实施例的一些实施方式中，所述装置还包括：

动态调整单元，用于根据历史登录数据动态调整所述第一阈值、所述第二阈值和/或所述第三阈值。

可选的，在本申请实施例的一些实施方式中，所述装置还包括：

第二发送单元，用于如果所述客户端发送登录请求时的时间不属于预设时间段，或者所述客户端不属于预设设备，在向所述客户端发送一级登录成功响应信息之前，向所述客户端发送验证问题信息，接收所述客户端发送的所述验证问题信息的答案信息，如果对所述答案信息验证通过，向所述客户端发送一级登录成功响应信息；

第三发送单元，用于如果所述客户端发送使用目标功能的请求时的时间不属于预设时间段，或者所述客户端不属于预设设备，在向所述客户端发送二级登录成功响应信息之前，向所述客户端发送验证问题信息，接收所述客户端发送的所述验证问题信息的答案信息，如果对所述答案信息验证通过，向所述客户端发送二级登录成功响应信息；

第四发送单元，响应于所述客户端触发的敏感操作，向所述客户端发送验证问题信息，接收所述客户端发送的所述验证问题信息的答案信息，如果对所述答案信息验证通过，执行所述敏感操作。

通过本申请实施例提供的一种身份验证装置，响应于客户端发送的登录请求，获取客户端采集的人脸信息。将人脸信息与人脸数据库中已登记人脸信息进行匹配，如果人脸信息与人脸数据库中目标已登记人脸信息匹配成功，且匹配相似度大于第一阈值，获取目标已登记人脸信息对应的账号标识，向客户端发送一级登录成功响应信息。响应于客户端发送的使用目标功能的请求，判断目标功能是否属于预设功能。如果目标功能属于预设功能，向客户端发送二级登录提示信息。获取客户端根据二级登录提示信息采集的用户标识对应的密码。将用户标识与用户标识对应的密码进行匹配，如果用户标识与用户标识对应的密码匹配成功，向客户端发送二级登录成功响应信息，二级登录成功响应信息用于向客户端进行使用目标功能的授权。通过设置一级登录和二级登录身份验证，提高了身份验证的灵活性和系统的安全性。

通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到上述实施例方法中的全部或部分步骤可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者诸如媒体网关等网络通信设备，等等)执行本申请各个实施例或者实施例的某些部分所述的方法。

需要说明的是，本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的方法而言，由于其与实施例公开的系统相对应，所以描述的比较简单，相关之处参见系统部分说明即可。

还需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本申请。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本申请的精神或范围的情况下，在其它实施例中实现。因此，本申请将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (8)

1.一种身份验证方法，其特征在于，所述方法包括：

响应于客户端发送的登录请求，获取所述客户端采集的人脸信息；

将所述人脸信息与人脸数据库中已登记人脸信息进行匹配，如果所述人脸信息与所述人脸数据库中目标已登记人脸信息匹配成功，且匹配相似度大于第一阈值，获取所述目标已登记人脸信息对应的账号标识，向所述客户端发送一级登录成功响应信息；

响应于所述客户端发送的使用目标功能的请求，判断所述目标功能是否属于预设功能；

如果所述目标功能不属于预设功能，向所述客户端进行使用所述目标功能的授权；

如果所述目标功能属于预设功能，向所述客户端发送二级登录提示信息；

获取所述客户端根据所述二级登录提示信息采集的所述账号标识对应的密码；

将所述账号标识与所述账号标识对应的密码进行匹配，如果所述账号标识与所述账号标识对应的密码匹配成功，向所述客户端发送二级登录成功响应信息，所述二级登录成功响应信息用于向所述客户端进行使用所述目标功能的授权；

所述方法还包括：

在将所述人脸信息与人脸数据库中已登记人脸信息进行匹配之后，如果所述人脸信息与所述人脸数据库中的已登记人脸信息均未匹配成功，记录人脸信息未匹配成功次数；

如果所述人脸信息未匹配成功次数未达到第二阈值，重新执行获取所述客户端采集的人脸信息，将所述人脸信息与人脸数据库中已登记人脸信息进行匹配；

如果所述人脸信息未匹配成功次数达到所述第二阈值，向所述客户端发送一级登录提示信息，获取所述客户端根据所述一级登录提示信息采集的账号标识以及所述账号标识对应的密码；

将所述账号标识与账号标识对应的密码进行匹配，如果所述账号标识与所述账号标识对应的密码匹配成功，向所述客户端发送所述账号标识的一级登录成功响应信息；

当所述人脸信息未匹配成功次数达到所述第二阈值，且向所述客户端发送一级登录提示信息后，获取的账号标识对应的密码与所述账号标识匹配成功，则降低所述第一阈值或增大所述第二阈值；

当在预设时间内所述人脸信息未匹配成功次数均未达到第二阈值，则增大所述第一阈值，降低所述第二阈值。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

在将所述账号标识与所述账号标识对应的密码进行匹配之后，如果所述账号标识与所述账号标识对应的密码未匹配成功，记录密码未匹配成功次数；

如果所述密码未匹配成功次数未达到第三阈值，重新获取所述账号标识对应的密码，将所述账号标识与账号标识对应的密码进行匹配；

如果所述密码未匹配成功次数达到第三阈值，确定登录失败。

3.根据权利要求2所述的方法，其特征在于，所述方法还包括：

根据历史登录数据动态调整所述第三阈值。

4.根据权利要求1-3任一项所述的方法，其特征在于，所述方法还包括：

如果所述客户端发送登录请求时的时间不属于预设时间段，或者所述客户端不属于预设设备，在向所述客户端发送一级登录成功响应信息之前，向所述客户端发送验证问题信息，接收所述客户端发送的所述验证问题信息的答案信息，如果对所述答案信息验证通过，向所述客户端发送一级登录成功响应信息；

如果所述客户端发送使用目标功能的请求时的时间不属于预设时间段，或者所述客户端不属于预设设备，在向所述客户端发送二级登录成功响应信息之前，向所述客户端发送验证问题信息，接收所述客户端发送的所述验证问题信息的答案信息，如果对所述答案信息验证通过，向所述客户端发送二级登录成功响应信息；

响应于所述客户端触发的敏感操作，向所述客户端发送验证问题信息，接收所述客户端发送的所述验证问题信息的答案信息，如果对所述答案信息验证通过，执行所述敏感操作。

5.一种身份验证装置，其特征在于，所述装置包括：

第一获取单元，用于响应于客户端发送的登录请求，获取所述客户端采集的人脸信息；

第一匹配单元，用于将所述人脸信息与人脸数据库中已登记人脸信息进行匹配，如果所述人脸信息与所述人脸数据库中目标已登记人脸信息匹配成功，且匹配相似度大于第一阈值，获取所述目标已登记人脸信息对应的账号标识，向所述客户端发送一级登录成功响应信息；

判断单元，用于响应于所述客户端发送的使用目标功能的请求，判断所述目标功能是否属于预设功能；

第一匹配单元，还用于如果所述目标功能不属于预设功能，向所述客户端进行使用所述目标功能的授权；

第一发送单元，用于如果所述目标功能属于预设功能，向所述客户端发送二级登录提示信息；

第二获取单元，用于获取所述客户端根据所述二级登录提示信息采集的所述账号标识对应的密码；

第二匹配单元，用于将所述账号标识与所述账号标识对应的密码进行匹配，如果所述账号标识与所述账号标识对应的密码匹配成功，向所述客户端发送二级登录成功响应信息，所述二级登录成功响应信息用于向所述客户端进行使用所述目标功能的授权；

所述装置还包括：

第一记录单元，用于在将所述人脸信息与人脸数据库中已登记人脸信息进行匹配之后，如果所述人脸信息与所述人脸数据库中的已登记人脸信息均未匹配成功，记录人脸信息未匹配成功次数；

第三匹配单元，用于如果所述人脸信息未匹配成功次数未达到第二阈值，重新执行获取所述客户端采集的人脸信息，将所述人脸信息与人脸数据库中已登记人脸信息进行匹配；

第三获取单元，用于如果所述人脸信息未匹配成功次数达到所述第二阈值，向所述客户端发送一级登录提示信息，获取所述客户端根据所述一级登录提示信息采集的账号标识以及所述账号标识对应的密码；

第四匹配单元，用于将所述账号标识与账号标识对应的密码进行匹配，如果所述账号标识与所述账号标识对应的密码匹配成功，向所述客户端发送所述账号标识的一级登录成功响应信息；

动态调整单元，用于当所述人脸信息未匹配成功次数达到所述第二阈值，且向所述客户端发送一级登录提示信息后，获取的账号标识对应的密码与所述账号标识匹配成功，则降低所述第一阈值或增大所述第二阈值；当在预设时间内所述人脸信息未匹配成功次数均未达到第二阈值，则增大所述第一阈值，降低所述第二阈值。

6.根据权利要求5所述的装置，其特征在于，所述装置还包括：

第二记录单元，用于在将所述账号标识与所述账号标识对应的密码进行匹配之后，如果所述账号标识与所述账号标识对应的密码未匹配成功，记录密码未匹配成功次数；

第五匹配单元，用于如果所述密码未匹配成功次数未达到第三阈值，重新获取所述账号标识对应的密码，将所述账号标识与账号标识对应的密码进行匹配；

确定单元，用于如果所述密码未匹配成功次数达到第三阈值，确定登录失败。

7.根据权利要求6所述的装置，其特征在于，所述动态调整单元，还用于根据历史登录数据动态调整所述第三阈值。

8.根据权利要求5-7任一项所述的装置，其特征在于，所述装置还包括：

第二发送单元，用于如果所述客户端发送登录请求时的时间不属于预设时间段，或者所述客户端不属于预设设备，在向所述客户端发送一级登录成功响应信息之前，向所述客户端发送验证问题信息，接收所述客户端发送的所述验证问题信息的答案信息，如果对所述答案信息验证通过，向所述客户端发送一级登录成功响应信息；

第三发送单元，用于如果所述客户端发送使用目标功能的请求时的时间不属于预设时间段，或者所述客户端不属于预设设备，在向所述客户端发送二级登录成功响应信息之前，向所述客户端发送验证问题信息，接收所述客户端发送的所述验证问题信息的答案信息，如果对所述答案信息验证通过，向所述客户端发送二级登录成功响应信息；

第四发送单元，响应于所述客户端触发的敏感操作，向所述客户端发送验证问题信息，接收所述客户端发送的所述验证问题信息的答案信息，如果对所述答案信息验证通过，执行所述敏感操作。