CN112688773A - 一种令牌的生成和校验方法及装置 - Google Patents

Abstract

本申请提供一种令牌的生成和校验方法及装置，所述方法包括：接收用户的登录请求，登录请求中包含用户验证信息；在用户验证信息通过校验的情况下，确定用户的登录信息，其中，登录信息包含用户标识、所述用户的访问标识信息；根据登录信息生成用户的登录令牌。通过本申请的技术方案，可以提高基于令牌对访问请求进行验证的安全性，降低了被恶意攻击的风险。

Description

一种令牌的生成和校验方法及装置

技术领域

本申请涉及网络技术领域，具体涉及一种令牌的生成和校验方法及装置。

背景技术

随着网络信息安全技术领域的不断发展，令牌作为身份验证技术之一，已经被越来越多的行业应用。在相关技术中，令牌一般为服务器随机生成的一串字符串，服务器将随机生成的令牌发送至用户，从而在下次访问过程中因访问请求中所携带的令牌通过验证而获得资源的访问权限。

然而，若用户的令牌一旦被窃取，则窃取者便可基于被窃取用户的令牌访问资源、获取相应的服务，使得用户的身份安全无法得到保障。

发明内容

有鉴于此，本申请提供一种令牌的生成和校验方法及装置，可以生成包含访问标识信息的登录令牌，使得即便窃取者盗取了用户的令牌，也将因访问标识信息的差异，致使窃取者因令牌校验失败而无法访问资源或获取服务，从而提高了基于令牌对访问请求进行验证的安全性，降低了被恶意攻击的风险。

为实现上述目的，本申请提供技术方案如下：

根据本申请的第一方面，提出了一种令牌的生成方法，所述方法包括：

接收用户的登录请求，所述登录请求中包含用户验证信息；

在所述用户验证信息通过校验的情况下，确定所述用户的登录信息，其中，所述登录信息包含用户标识、所述用户的访问标识信息；

根据所述登录信息生成所述用户的登录令牌。

可选的，所述登录信息还包括所述用户的访问方式。

可选的，所述根据所述登录信息生成所述用户的登录令牌，包括：

基于预配置的第一密钥对所述登录信息进行签名处理。

可选的，还包括：

基于预配置的第二密钥对经过所述签名处理后的登录信息进行加密处理。

可选的，所述第一密钥和所述第二密钥为支持跨域功能的多个服务器所共享的密钥。

根据本申请的第二方面，提出了一种令牌的校验方法，所述方法包括：

接收访问请求，所述访问请求中包含用于访问验证的登录令牌；

确定所述登录令牌中包含的访问标识信息；

在所述登录令牌中包含的访问标识信息与所述访问请求中包含的访问标识信息一致的情况下，确定所述登录令牌通过指向性校验。

可选的，所述确定所述登录令牌中包含的访问标识信息，包括：

基于预配置的密钥对所述登录令牌进行有效性校验，在有效性校验通过的情况下，确定所述登录令牌中包含的访问标识信息。

可选的，所述基于预配置的密钥对所述登录令牌进行有效性校验，包括：

基于预配置的第一密钥对所述登录令牌进行签名验证。

可选的，所述基于预配置的密钥对所述登录令牌进行有效性校验，包括：

基于预配置的第二密钥对所述登录令牌进行解密校验；

在解密校验通过的情况下，获取所述登录令牌对应的解密信息；

基于预配置的第一密钥对所述解密信息进行签名验证。

可选的，所述第一密钥和所述第二密钥为支持跨域功能的多个服务器所共享的密钥。

可选的，所述判定所述登录令牌中包含的访问标识信息与所述访问请求中包含的访问标识信息一致，包括：

获取所述访问请求中包含的访问标识信息；

在确定所获取的访问标识信息与所述登录令牌中包含的访问标识信息相同的情况下，判定所述登录令牌中包含的访问标识信息与所述访问请求中包含的访问标识信息一致。

可选的，所述登录令牌中还包含访问方式；所述判定所述登录令牌中包含的访问标识信息与所述访问请求中包含的访问标识信息一致，包括：

获取访问请求的访问方式；

在所述访问请求的访问方式与所述登录令牌中包含的访问方式相同的情况下，获取所述访问请求中对应于所述访问方式的访问标识信息；

在确定通过所述访问请求获取的访问标识信息与所述登录令牌中包含的访问标识信息相同的情况下，判定所述登录令牌中包含的访问标识信息与所述访问请求中包含的访问标识信息一致。

根据本申请的第三方面，提出了一种令牌的生成装置，所述装置包括：

接收单元，接收用户的登录请求，所述登录请求中包含用户验证信息；

确定单元，在所述用户验证信息通过校验的情况下，确定所述用户的登录信息，其中，所述登录信息包含用户标识、所述用户的访问标识信息；

生成单元，根据所述登录信息生成所述用户的登录令牌。

可选的，所述登录信息还包括所述用户的访问方式。

可选的，所述生成单元具体用于：

基于预配置的第一密钥对所述登录信息进行签名处理。

可选的，所述生成单元实现基于预配置的第一密钥对所述登录信息进行签名处理后还包括：

基于预配置的第二密钥对经过所述签名处理后的登录信息进行加密处理。

可选的，所述第一密钥和所述第二密钥为支持跨域功能的多个服务器所共享的密钥。

根据本申请的第四方面，提出了一种令牌的校验装置，所述装置包括：

请求接收单元，接收访问请求，所述访问请求中包含用于访问验证的登录令牌；

信息确定单元，确定所述登录令牌中包含的访问标识信息；

校验确定单元，在判定所述登录令牌中包含的访问标识信息与所述访问请求中包含的访问标识信息一致的情况下，确定所述登录令牌通过指向性校验。

可选的，信息确定单元具体用于：

基于预配置的第一密钥对所述登录令牌进行签名验证。

可选的，信息确定单元具体用于：

基于预配置的第二密钥对所述登录令牌进行解密校验；

在解密校验通过的情况下，获取所述登录令牌对应的解密信息；

基于预配置的第一密钥对所述解密信息进行签名验证。

可选的，所述第一密钥和所述第二密钥为支持跨域功能的多个服务器所共享的密钥。

可选的，校验确定单元具体用于：

获取所述访问请求中包含的访问标识信息；

在确定所获取的访问标识信息与所述登录令牌中包含的访问标识信息相同的情况下，判定所述登录令牌中包含的访问标识信息与所述访问请求中包含的访问标识信息一致。

可选的，所述登录令牌中还包含访问方式；第二确定单元具体用于：

获取访问请求的访问方式；

在所述访问请求的访问方式与所述登录令牌中包含的访问方式相同的情况下，获取所述访问请求中对应于所述访问方式的访问标识信息；

在确定通过所述访问请求获取的访问标识信息与所述登录令牌中包含的访问标识信息相同的情况下，判定所述登录令牌中包含的访问标识信息与所述访问请求中包含的访问标识信息一致。

根据本申请的第五方面，提出了一种电子设备，包括：

处理器；

用于存储处理器可执行指令的存储器；

其中，所述处理器被配置为可执行指令以实现上述第一方面所述的方法。

根据本申请的第六方面，提出了一种计算机可读存储介质，其上存储有计算机指令，该指令被处理器执行时实现上述第一方面所述方法的步骤。

根据本申请的第七方面，提出了一种电子设备，包括：

处理器；

用于存储处理器可执行指令的存储器；

其中，所述处理器被配置为可执行指令以实现上述第二方面所述的方法。

根据本申请的第八方面，提出了一种计算机可读存储介质，其上存储有计算机指令，该指令被处理器执行时实现上述第二方面所述方法的步骤。

由以上技术方案可见，通过本申请所生成的登录令牌即便被窃取者盗取，也将因访问标识信息的差异而致使登录令牌的校验失败，从而无法访问资源或获取服务，进而提高了基于令牌对访问请求进行验证的安全性，降低了被恶意攻击的风险。

附图说明

图1是根据本申请一示例性实施例中的一种令牌的生成方法的流程图；

图2是根据本申请一示例性实施例中的另一种令牌的生成方法的流程图；

图3是根据本申请一示例性实施例中的一种令牌的校验方法的流程图；

图4是根据本申请一示例性实施例中的另一种令牌的校验方法的流程图；

图5是根据本申请一示例性实施例中的一种电子设备的示意结构图；

图6是根据本申请一示例性实施例中的一种令牌的生成装置的框图；

图7是根据本申请一示例性实施例中的另一种电子设备的示意结构图；

图8是根据本申请一示例性实施例中的一种令牌的校验装置的框图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本申请可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本申请范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

跨域认证规范(JSON Web Token，JWT)是一种用于双方之间传递安全信息的简洁的、URL安全的声述性声明规范。JWT作为一个开放的标准，定义了一种简洁的、自包含的方法，用于通信双方之间以Json对象的形式安全的传递信息。

相关技术在基于JWT实现跨域认证的过程中，在服务器对用户的发送的用户名和密码验证通过的情况下，服务器生成session ID并将所生成的session ID返回给客户端，客户端将接收到的session ID保存至cookie中，进而客户端在后续对同一服务器的访问请求中将自动携带cookie中的session ID，以由服务器对接收到的session ID进行验证。

然而，通过相关技术中生成的session ID很容易被窃取者截取，安全性能低，若服务器下发的session ID一旦被窃取，则窃取者便可盗用身份，进而通过访问获取资源或服务，使得用户的身份安全无法得到保障。

有鉴于此，本申请提供一种令牌的生成和校验方法及装置，以解决相关技术中的问题。

请参考图1，图1是根据本申请一示例性实施例中的一种令牌的生成方法的流程图，如图1所示，该方法可以包括以下步骤：

步骤101，接收用户的登录请求，所述登录请求中包含用户验证信息。

在一实施例中，用户验证信息可以为基于用户输入的用户账号和登录密码而生成的信息，具体的，用户账号可以为用户在注册过程中由服务器随机分配的标识信息，或者用户自定义的标识信息；用户验证信息也可以为基于用户输入的指纹、虹膜等生物特征信息所生成的信息，本申请对用户验证信息中包含的内容或是用户验证信息的生成方式不做限制。

步骤102，在所述用户验证信息通过校验的情况下，确定所述用户的登录信息，其中，所述登录信息包含所述用户账号对应的用户标识、所述用户的访问标识信息。

在一实施例中，服务器可以对于用户验证信息未通过校验的登录请求返回提示信息，以由用户在确定重新发送登录请求后，服务器可接收到包含重新输入后的用户验证信息的登录请求。

在另一实施例中，登录请求中的用户账号或登录密码或者用户验证信息的组合可以为终端设备自动读取的，并填充至登录页面中，从而简化了用户的操作过程。

步骤103，根据所述登录信息生成所述用户的登录令牌。

在一实施例中，所述登录信息还包括所述用户的访问方式，访问方式可以包括基于移动端中应用程序的访问或者基于浏览器的访问，可以通过设置标识信息以区别地表征用户所采用的访问方式。

在一实施例中，确定登录信息的过程可以由应用程序所在的移动终端完成，即服务器在确定用户验证信息通过校验的情况下，向移动设备返回响应信息，以由移动终端根据该响应信息确定用户账号对应的登录信息，并将所确定的登录信息发送至服务器，从而在充分发挥移动端本身的处理能力的情况下条，降低了服务器的负荷，提高了服务器的响应效率。

在另一实施例中，确定登录信息的过程可以由服务器完成，简化了客户端开发、维护和使用过程，降低移动端应用程序的系统维护与升级成本和工作量。

在一实施例中，服务器可以基于预配置的第一密钥对登录信息进行签名处理，以生成登录信息对应的数字签名，降低登录信息中的信息被恶意篡改的可能性。

在另一实施例中，服务器可以在基于预配置的第一密钥对登录信息进行签名处理后，基于预配置的第二密钥对经过签名处理后的登录信息进行加密处理，使得原本以“.”分隔开的签名信息进一步进行加密处理，且所生成的加密信息不具备分隔标识，实现了在原本签名信息的基础上进一步提高了破译难度，增加了用户身份信息的安全性。

进一步的，第一密钥和第二密钥可以为支持跨域功能的多个服务器所共享的密钥，使得支持跨域功能的服务器可直接与访问请求中包含的登录令牌进行校验，在验证通过的情况下，则可基于访问请求响应对应的资源、服务等，而无需用户进行用户验证信息的验证过程，不仅简化了用户的管理过程，且提高了验证效率和准确性。

通过上述实施例中，在确定用户验证信息通过校验的情况下，本申请可以确定包含用户标识、用户的访问标识信息的登录信息，进而基于所确定的登录信息生成登录令牌，使得本申请所生成的登录令牌中包含有与用户的访问方式有关的访问标识信息，因而，在由服务器对令牌进行的校验过程中，将需获取令牌发送方用户的当前访问方式信息，从而在所获取的当前访问方式信息与令牌中包含的访问标识信息一致的情况下，确定令牌通过关于访问方式的校验，所以即便令牌被窃取者盗取，也将因盗取者的访问方式与访问标识信息的差异而致使登录令牌的校验失败，从而无法访问资源或获取服务，提高了基于令牌对访问请求进行验证过程的安全性，降低了被令牌盗取者攻击的风险。

图2是根据本申请一示例性实施例中的另一种令牌的生成方法的流程图，如图2所示，该方法可以包括以下步骤：

步骤201，接收用户的登录请求。

步骤202，校验登录请求中的用户验证信息，若认证成功则进入步骤203。

在一实施例中，对于所接收的登录请求，服务器获取该登录请求中包含的用户验证信息，用户验证信息可以包括用户的用户账号和登录密码，以确定用户验证信息的认证结果。

在用户验证信息未通过认证的情况下，服务器可以向用户返回提示信息，该提示信息用于告知用户所发送的登录请求中的用户验证信息无法通过认证。

用户在确定重新发送登录请求后，服务器可接收到包含重新输入后的用户验证信息的登录请求，并对用户重新发送的登录请求中包含的用户验证信息进行认证。

在另一实施例中，登录请求中的用户账号或登录密码或者用户验证信息可以为终端设备自动读取的，可以填充至登录页面中，使得用户可以对登录页面中所填充的用户账号或登录密码进行确定，所发送的登录请求中可包含自动获取的用户验证信息中的之一或者两者。

在具体实施过程中，客户端在接收到加载登录页面的指令信息后，可以查询本地是否存在预先保存的用户账号或登录密码，在本地存在一组用户账号或登录密码的记录的情况下，终端可以直接将该组用户账号或登录密码作为登录请求中包含的用户账号或登录密码，相应的，填充至登录页面中并进行显示；在本地存在不止一组用户账号或登录密码的记录的情况下，终端可以对多组用户账号或登录密码进行展示，进而将用户的选择结果确定待发送登录请求中的用户验证信息。

步骤203，确定包含用户访问标识信息的登录信息。

在用户的用户验证信息匹配的情况下，可以根据用户账号查询数据库以确定该用户账号对应的用户标识，用户标识为能够唯一确定用户的标识信息，诸如身份证号或者由服务器生成的具有唯一指代性的标识信息。

在一实施例中，确定的登录信息中可以包括用户账号对应的用户标识、用户的访问方式和访问标识信息。

用户的访问方式可以为基于移动端中应用程序的访问或者基于浏览器的访问，可以对于不同的访问方式设置标识信息以区别地表征用户所采用的不同的访问方式，基于不同网络环境下的终端的浏览器或者不同的移动端应用程序进行访问的情况下，可以通过访问标识信息对应的参数值反映用户实际访问过程中所处的网络环境信息或是所使用的设备信息。

诸如当用户通过浏览器进行访问时，用户的访问方式为浏览器，可以将针对访问方式所设置的标识信息置位，以表示用户的访问方式为浏览器，访问标识信息可以该浏览器所处的且具有唯一标识性质的网络环境信息，诸如IP地址(Internet ProtocolAddress，又称网际协议地址)；当用户通过移动端的应用程序进行访问时，可以将针对访问方式所设置的标识信息复位，以表示用户的访问方式为移动端中的应用程序，访问标识信息可以为发送登录请求的移动终端的设备标识信息，诸如设备的通用唯一识别码(Universally Unique Identifier，UUID)。

关于确定登录信息的计算过程可以基于C/S(Client/Server，客户机/服务器)架构模式，由移动端的客户机确定用户账号对应的用户标识以及用户的访问方式和访问标识信息中的之一或者两者，以获得该用户对应的登录信息，进而将所获得的登录信息发送至服务器，在本实施例中，充分发挥了移动端本身的处理资源，减轻服务器的负荷，提高了服务器响应效率。

关于确定登录信息的计算过程也可以基于B/S(Browser/Server，浏览器/服务器)架构模式，浏览器作为用户访问数据和发送包含用户验证信息的登录请求的传输工具，而由服务器承担对登录信息的确定过程，即服务器根据登录请求中的用户账号，查询该用户账号对应的用户标识信息，并根据该登录请求对应的访问日志确定用户发送该登录请求的访问方式和访问标识信息，简化了客户端开发、维护和使用过程，降低移动端应用程序的系统维护与升级成本和工作量。

在另一实施例中，确定的登录信息中包括用户账号对应的用户标识、用户的访问标识信息。在本实施例中，所确定的登录信息中可以包括用户账号对应的用户标识、用户的访问方式信息，以减少登录信息的字符串长度，提高与登录信息有关过程的处理效率。

步骤204，对所确定的登录信息进行签名处理。

在一实施例中，服务器可以基于预配置的第一密钥对登录信息进行签名处理，以生成登录信息对应的数字签名，所生成的数字签名信息可以用来提高登录信息的安全性，降低登录信息中的信息被恶意篡改的可能性。

在另一实施例中，可以为签名处理后的数字签名设置过期期限，使得所生成的数字签名仅在未到达过期期限的情况下，具备进行签名验证的有效性。

在又一实施例中，第一密钥可以为支持跨域功能的多个服务器所共享的密钥，使得任一服务器基于所共享的密钥对登录信息进行签名处理后所得到的签名信息，可被除该服务器之外的其他支持跨域功能的服务器基于所共享的第一密钥进行签名验证。

可以存在多个支持跨域功能的服务器组，在同一组内的服务器共享一套包含相同第一密钥的配置文件，且区别于其他组的配置文件中的第一密钥，使得服务器可以对组内的其他服务器所生成的签名信息进行验证，而对于位于不同组的服务器而言，即便支持跨域功能也将因配置文件中的密钥不同，而无法实现对不同组的服务器所生成的签名信息的验证。

步骤205，对登录信息对应的签名信息进行加密处理。

在一实施例中，服务器确定根据登录信息进行签名处理后所得到的签名信息，进而基于预配置的第二密钥对签名信息进行加密处理，得到签名信息对应的加密信息。在本实施例中，对原本以“.”分隔开的签名信息进一步进行加密处理，且所生成的加密信息不具备分隔标识，实现了在原本签名信息的基础上进一步提高了破译难度，增加了用户身份信息的安全性。

具体的，进行加密处理的加密算法可以为对称加密算法，例如DESC、DES或是AES，由于在大多数的对称加密算法中，加密过程和解密过程所使用的密钥是相同的，所以服务器可以基于相同的密钥进行加解密，尤其对于加密过程和解密过程由不同的服务器进行处理的情况下，基于相同的密钥进行加、解密不仅简化了校验由不同服务器所生成的令牌过程中的密钥确定过程，提高了服务器的校验效率，以及令牌生成过程中的加密密钥的确定效率，而且受益于对称加密算法的加解密过程的高速度和使用长密钥时的难破解性，进一步提升了对经过加密处理的令牌的生成过程及校验过程的处理效率。

在另一实施例中，可以对加密处理后的加密信息设置有效期限，使得所生成的加密信息仅在所设置的有效期限内，具备进行解密处理的有效性。

在又一实施例中，第二密钥可以为支持跨域功能的多个服务器所共享的密钥，使得任一服务器基于所共享的密钥可以对签名信息进行加密处理后得到的加密信息，可被除该服务器之外的其他支持跨域功能的服务器基于所共享的第二密钥进行解密。

可以存在多个支持跨域功能的服务器组，在同一组内的服务器共享一套包含相同第二密钥的配置文件，且区别于其他组的配置文件中的第二密钥，使得服务器可以对组内的其他服务器生成的加密信息进行解密，而对于不同组的服务器而言，即便支持跨域功能也将因配置文件中的密钥不同，而无法实现对不同组的服务器所生成的解密信息进行解密。

步骤206，基于加密处理所得到的加密信息生成用户的登录令牌。

在一实施例中，可以设置定期刷新登录令牌的机制，保持登录令牌的定期更新，以提高用户身份数据的安全性。

由上述实施例可知，对于包含用户访问方式的登录信息进行二层加密，进而基于签名处理和加密处理后的加密信息生成登录令牌，使得所生成的令牌不仅有破译难度高，且即便被破译，攻击者的访问方式也很难匹配登录令牌中包含的用户访问标识信息等指向性信息，从而能够有效地避免攻击者使用盗取的登陆令牌，杜绝通过假冒身份访问资源、获得服务等不良现象。

图3是根据本申请一示例性实施例中的一种令牌的校验方法的流程图，如图3所示，该方法可以包括以下步骤：

步骤301，接收访问请求，所述访问请求中包含用于访问验证的登录令牌。

在一实施例中，访问请求中所包含的用于访问验证的登录令牌可以通过前述实施例中的令牌生成方法而生成，具体的生成过程及相应的技术特征此处不再赘述。

步骤302，确定所述登录令牌中包含的访问标识信息。

在一实施例中，可以基于预配置的密钥对所述登录令牌进行有效性校验，在有效性校验通过的情况下，确定所述登录令牌中包含的访问标识信息。

在另一实施例中，服务器可以基于预配置的第一密钥对所述登录令牌进行签名验证。

在又一实施例中，服务器可以基于预配置的第二密钥对所述登录令牌进行解密校验；在解密校验通过的情况下，获得所述登录令牌对应的解密信息；进而基于预配置的第一密钥对所述解密信息进行签名验证。

进一步的，第一密钥和第二密钥可以为支持跨域功能的多个服务器所共享的密钥。

步骤303，在所述登录令牌中包含的访问标识信息与所述访问请求中包含的访问标识信息一致的情况下，确定所述登录令牌通过指向性校验。

在一实施例中，可以获取访问请求中包含的访问标识信息；在确定所获取的访问标识信息与登录令牌中包含的访问标识信息相同的情况下，判定登录令牌中包含的访问标识信息与访问请求中包含的访问标识信息一致。

在另一实施例中，登录令牌中还可以包含访问方式，进而对于所获取的访问请求的访问方式与登录令牌中包含的访问方式相同的情况下，获取访问请求中对应于访问方式的访问标识信息；在确定通过访问请求获取的访问标识信息与登录令牌中包含的访问标识信息相同的情况下，判定所述登录令牌中包含的访问标识信息与所述访问请求中包含的访问标识信息一致。

由上述实施例可知，对于通过加密信息的有效性检验的登录令牌，还需要对登录令牌中包含的访问标识信息进行验证，使得当访问请求中的访问标识信息与登录令牌中包含的访问标识信息一致的情况下，确定登录令牌通过指向性校验，进而允许通过指向性校验的登录令牌所在的访问请求进行访问，能够有效地避免攻击者使用盗取的登陆令牌，杜绝通过假冒身份访问资源、获得服务等不良现象。

图4是根据本申请一示例性实施例中的另一种令牌的校验方法的流程图，如图4所示，该方法可以包括以下步骤：

步骤401，接收访问请求中用于访问验证的登录令牌。

用户在访问过程中，可以在访问请求中携带登录令牌，使得服务器对登录令牌通过校验的情况下，便可基于用户的访问请求响应所访问的资源、服务等。

步骤402，基于第二密钥对登录令牌进行验证，若验证通过则进入步骤403，否则，拒绝访问请求。

在一实施例中，服务器可以基于预配置文件中的第二密钥对登录令牌进行解密验证，若验证通过，则可以确定登录令牌通过解密处理后得到的签名信息，进而由服务器基于第一密钥对得到的签名信息进行签名验证。

在另一实施例中，若生成登录令牌的服务器中预配置文件的第二密钥与对登录令牌进行验证的服务器中预配置文件中的第二密钥相同，诸如验证登录令牌的服务器与生成登录令牌的服务器均支持跨域功能，或者验证登录令牌的服务器与生成登录令牌的服务器处于支持跨域功能的多个服务器组的同一组内，则将可由配置有包含相同的第二密钥的配置文件的服务器通过解密验证。

步骤403，基于第一密钥对解密处理后得到的解密信息进行签名验证，若验证通过则确定登录令牌对应的访问标识信息，进入步骤404，否则，拒绝访问请求。

在一实施例中，服务器可以基于预配置文件中的第一密钥对解密信息进行签名验证，若验证通过，则可以基于得到的验签后的信息确定登录令牌对应的访问标识信息；或者在验证通过的情况下，可以基于得到的验签后的信息确定登录令牌对应的访问方式和访问标识信息。

在另一实施例中，在验证通过后，可以基于得到的验签后的信息确定登录令牌对应的访问方式和访问标识信息，以在指向性校验的过程中优先根据访问方式获得属于该访问方式的访问标识信息，进而对所获得的访问标识信息进行判断，提高指向性校验过程的信息验证效率。

在又一实施例中，若生成登录令牌的服务器中预配置文件的第一密钥与对登录令牌进行验证的服务器中预配置文件中的第一密钥相同，诸如验证登录令牌的服务器与生成登录令牌的服务器均支持跨域功能，或者验证登录令牌的服务器与生成登录令牌的服务器处于支持跨域功能的多个服务器组的同一组内，则将可由配置有包含相同的第一密钥的配置文件的服务器通过签名验证。

步骤404，判断登录令牌对应的访问标识信息与访问请求的访问标识信息是否相同，若是，则允许访问，否则，拒绝访问请求。

在一实施例中，服务器可以获取访问请求中包含的访问标识信息，进而判断登录令牌中包含的访问标识信息与所获取的访问标识信息是否相同，在定所获取的访问标识信息与所述登录令牌中包含的访问标识信息相同的情况下，判定所述登录令牌中包含的访问标识信息与所述访问请求中包含的访问标识信息一致。

在另一实施例中，服务器可以优先获取访问请求的访问方式，以判断访问请求的访问方式与登录令牌中包含的访问方式是否相同，若两者不相同，则直接确定登录令牌未通过指向性校验，提高了对指向性校验的判断效率。

若两者相同，则获取访问请求中对应于该访问方式的访问标识信息，以判断访问标识信息与登录令牌中包含的访问标识信息是否相同，若两者不想通过，则确定登录令牌未通过指向性校验；若两者相同，则判定所述登录令牌中包含的访问标识信息与所述访问请求中包含的访问标识信息一致。

本实施例中存在与图3所示的技术方案类似的技术特征，本实施例对类似的技术特征不再赘述。

由上述实施例可知，对于通过加密信息的有效性检验的登录令牌，还需要对登录令牌中包含的访问标识信息进行验证，使得当访问请求中的访问标识信息与登录令牌中包含的访问标识信息一致的情况下，确定登录令牌通过指向性校验，进而允许通过指向性校验的登录令牌所在的访问请求进行访问，能够有效地避免攻击者使用盗取的登陆令牌，杜绝通过假冒身份访问资源、获得服务等不良现象。

此外，对于支持跨域功能的服务器可直接与访问请求中包含的登录令牌进行校验，在验证通过的情况下，则可基于访问请求响应对应的资源、服务等，而无需用户进行用户验证信息的验证过程，不仅简化了用户的管理过程，且提高了验证效率和准确性。

图5是根据本申请一示例性实施例中的一种电子设备的示意结构图。请参考图5，在硬件层面，该电子设备包括处理器、内部总线、网络接口、内存以及非易失性存储器，当然还可能包括其他业务所需要的硬件。处理器从非易失性存储器中读取对应的计算机程序到内存中然后运行，在逻辑层面上形成令牌的生成装置。当然，除了软件实现方式之外，本申请并不排除其他实现方式，比如逻辑器件抑或软硬件结合的方式等等，也就是说以下处理流程的执行主体并不限定于各个逻辑单元，也可以是硬件或逻辑器件。

请参考图6，图6是根据本申请一示例性实施例中的一种令牌的生成装置的框图，在软件实施方式中，令牌的生成装置可以包括：

接收单元601，接收用户的登录请求，所述登录请求中包含用户验证信息；

确定单元602，在所述用户验证信息通过校验的情况下，确定所述用户的登录信息，其中，所述登录信息包含用户标识、所述用户的访问标识信息；

生成单元603，根据所述登录信息生成所述用户的登录令牌。

可选的，所述登录信息还包括所述用户的访问方式。

可选的，所述生成单元603具体用于：

基于预配置的第一密钥对所述登录信息进行签名处理。

可选的，所述生成单元603实现基于预配置的第一密钥对所述登录信息进行签名处理后还包括：

基于预配置的第二密钥对经过所述签名处理后的登录信息进行加密处理。

可选的，所述第一密钥和所述第二密钥为支持跨域功能的多个服务器所共享的密钥。

图7是根据本申请一示例性实施例中的另一种电子设备的示意结构图。请参考图7，在硬件层面，该电子设备包括处理器、内部总线、网络接口、内存以及非易失性存储器，当然还可能包括其他业务所需要的硬件。处理器从非易失性存储器中读取对应的计算机程序到内存中然后运行，在逻辑层面上形成令牌的校验装置。当然，除了软件实现方式之外，本申请并不排除其他实现方式，比如逻辑器件抑或软硬件结合的方式等等，也就是说以下处理流程的执行主体并不限定于各个逻辑单元，也可以是硬件或逻辑器件。

请参考图8，图8是根据本申请一示例性实施例中的一种令牌的校验装置的框图，在软件实施方式中，令牌的校验装置可以包括：

请求接收单元801，接收访问请求，所述访问请求中包含用于访问验证的登录令牌；

信息确定单元802，确定所述登录令牌中包含的访问标识信息；

校验确定单元803，在所述登录令牌中包含的访问标识信息与所述访问请求中包含的访问标识信息一致的情况下，确定所述登录令牌通过指向性校验。

可选的，信息确定单元802具体用于：

基于预配置的密钥对所述登录令牌进行有效性校验，在有效性校验通过的情况下，确定所述登录令牌中包含的访问标识信息。

可选的，信息确定单元802具体用于：

基于预配置的第一密钥对所述登录令牌进行签名验证。

可选的，信息确定单元802具体用于：

基于预配置的第二密钥对所述登录令牌进行解密校验；

在解密校验通过的情况下，获取所述登录令牌对应的解密信息；

基于预配置的第一密钥对所述解密信息进行签名验证。

可选的，所述第一密钥和所述第二密钥为支持跨域功能的多个服务器所共享的密钥。

可选的，校验确定单元803具体用于：

获取所述访问请求中包含的访问标识信息；

在确定所获取的访问标识信息与所述登录令牌中包含的访问标识信息相同的情况下，判定所述登录令牌中包含的访问标识信息与所述访问请求中包含的访问标识信息一致。

可选的，所述登录令牌中还包含访问方式；第二确定单元803具体用于：

获取访问请求的访问方式；

在所述访问请求的访问方式与所述登录令牌中包含的访问方式相同的情况下，获取所述访问请求中对应于所述访问方式的访问标识信息；

在确定通过所述访问请求获取的访问标识信息与所述登录令牌中包含的访问标识信息相同的情况下，判定所述登录令牌中包含的访问标识信息与所述访问请求中包含的访问标识信息一致。

所述装置与上述方法相对应，更多相同的细节不再一一赘述。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本申请方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

虽然本说明书包含许多具体实施细节，但是这些不应被解释为限制任何发明的范围或所要求保护的范围，而是主要用于描述特定发明的具体实施例的特征。本说明书内在多个实施例中描述的某些特征也可以在单个实施例中被组合实施。另一方面，在单个实施例中描述的各种特征也可以在多个实施例中分开实施或以任何合适的子组合来实施。此外，虽然特征可以如上所述在某些组合中起作用并且甚至最初如此要求保护，但是来自所要求保护的组合中的一个或多个特征在一些情况下可以从该组合中去除，并且所要求保护的组合可以指向子组合或子组合的变型。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

Claims (18)

1.一种令牌的生成方法，其特征在于，所述方法包括：

接收用户的登录请求，所述登录请求中包含用户验证信息；

在所述用户验证信息通过校验的情况下，确定所述用户的登录信息，其中，所述登录信息包含用户标识、所述用户的访问标识信息；

根据所述登录信息生成所述用户的登录令牌。

2.根据权利要求1所述方法，其特征在于，所述登录信息还包括所述用户的访问方式。

3.根据权利要求1所述方法，其特征在于，所述根据所述登录信息生成所述用户的登录令牌，包括：

基于预配置的第一密钥对所述登录信息进行签名处理。

4.根据权利要求3所述方法，其特征在于，还包括：

基于预配置的第二密钥对经过所述签名处理后的登录信息进行加密处理。

5.根据权利要求4所述方法，其特征在于，所述第一密钥和所述第二密钥为支持跨域功能的多个服务器所共享的密钥。

6.一种令牌的校验方法，其特征在于，所述方法包括：

接收访问请求，所述访问请求中包含用于访问验证的登录令牌；

确定所述登录令牌中包含的访问标识信息；

在所述登录令牌中包含的访问标识信息与所述访问请求中包含的访问标识信息一致的情况下，确定所述登录令牌通过指向性校验。

7.根据权利要求6所述方法，其特征在于，所述确定所述登录令牌中包含的访问标识信息，包括：

基于预配置的密钥对所述登录令牌进行有效性校验，在有效性校验通过的情况下，确定所述登录令牌中包含的访问标识信息。

8.根据权利要求7所述方法，其特征在于，所述基于预配置的密钥对所述登录令牌进行有效性校验，包括：

基于预配置的第一密钥对所述登录令牌进行签名验证。

9.根据权利要求7所述方法，其特征在于，所述基于预配置的密钥对所述登录令牌进行有效性校验，包括：

基于预配置的第二密钥对所述登录令牌进行解密校验；

在解密校验通过的情况下，获取所述登录令牌对应的解密信息；

基于预配置的第一密钥对所述解密信息进行签名验证。

10.根据权利要求9所述方法，其特征在于，所述第一密钥和所述第二密钥为支持跨域功能的多个服务器所共享的密钥。

11.根据权利要求6所述方法，其特征在于，所述判定所述登录令牌中包含的访问标识信息与所述访问请求中包含的访问标识信息一致，包括：

获取所述访问请求中包含的访问标识信息；

在确定所获取的访问标识信息与所述登录令牌中包含的访问标识信息相同的情况下，判定所述登录令牌中包含的访问标识信息与所述访问请求中包含的访问标识信息一致。

12.根据权利要求6所述方法，其特征在于，所述登录令牌中还包含访问方式；所述判定所述登录令牌中包含的访问标识信息与所述访问请求中包含的访问标识信息一致，包括：

获取访问请求的访问方式；

在所述访问请求的访问方式与所述登录令牌中包含的访问方式相同的情况下，获取所述访问请求中对应于所述访问方式的访问标识信息；

在确定通过所述访问请求获取的访问标识信息与所述登录令牌中包含的访问标识信息相同的情况下，判定所述登录令牌中包含的访问标识信息与所述访问请求中包含的访问标识信息一致。

13.一种令牌的生成装置，其特征在于，所述装置包括：

接收单元，接收用户的登录请求，所述登录请求中包含用验证信息；

确定单元，在所述用户验证信息通过校验的情况下，确定所述用户的登录信息，其中，所述登录信息包含所述用户账号对应的用户标识、所述用户的访问标识信息；

生成单元，根据所述登录信息生成所述用户的登录令牌。

14.一种令牌的校验装置，其特征在于，所述装置包括：

请求接收单元，接收访问请求，所述访问请求中包含用于访问验证的登录令牌；

信息确定单元，确定所述登录令牌中包含的访问标识信息；

校验确定单元，在判定所述登录令牌中包含的访问标识信息与所述访问请求中包含的访问标识信息一致的情况下，确定所述登录令牌通过指向性校验。

15.一种电子设备，其特征在于，包括：

处理器；

用于存储处理器可执行指令的存储器；

其中，所述处理器被配置为可执行指令以实现如权利要求1-5中任一项所述的方法。

16.一种计算机可读存储介质，其上存储有计算机指令，其特征在于，该指令被处理器执行时实现如权利要求1-5中任一项所述方法的步骤。

17.一种电子设备，其特征在于，包括：

处理器；

用于存储处理器可执行指令的存储器；

其中，所述处理器被配置为可执行指令以实现如权利要求6-12中任一项所述的方法。

18.一种计算机可读存储介质，其上存储有计算机指令，其特征在于，该指令被处理器执行时实现如权利要求6-12中任一项所述方法的步骤。

Images