CN112883357A - 无状态登录鉴权方法和装置 - Google Patents

Abstract

本发明公开了一种无状态登录鉴权方法和装置。应用于服务端的方法包括接收客户端的登录请求，转发登录请求到认证中心；经认证中心校验通过后生成令牌，其中，令牌是请求spring‑security由用户信息及用户权限信息加密生成的；将令牌存储到redis缓存中；将所述令牌写入cookie，并将写入令牌的cookie返回给客户端。应用于客户端的方法包括向服务端发送登录请求；接收服务端返回的携带有令牌的cookie。这种方法和装置使用了令牌，客户端与认证服务只需建立一次连接就可以，后续客户端访问资源服务，无需再次验证，在资源服务端即可完成校验，从而减轻了认证服务器的压力。

Description

无状态登录鉴权方法和装置

技术领域

本发明涉及用户认证和授权技术，更为具体来说，本发明涉及一种无状态登录鉴权方法和装置。

背景技术

在开发软件时，经常会遇到账号体系，那么就不可避免地涉及到了权限控制或者权限管理，目前绝大多数软件使用的权限管理是用户通过用户名密码登录后，通常会在服务端保存一个会话(session)并把sessionID放到cookie返回给客户端。然后下次请求，客户端携带cookie访问，服务端会到内存中搜索对应的sessionID，如果找到了对应的sessionID，说明用户处于登录状态，有相应的权限，这种方式目前来看最方便，但是也有一些缺陷，服务端保留大量数据，增加服务端的压力。

因此，目前亟需一种基于spring-security框架的无状态登陆以及鉴权方法。

发明内容

本发明创新地提供了一种无状态登录鉴权方法和装置，服务端不保存任何客户端请求者的信息，客户端的每次请求携带自身的权限信息，通过这些有效信息识别客户端的身份，这样可以使服务端对客户端透明，减小服务端鉴权压力。

为实现上述的技术目的，一方面，本发明公开了一种无状态登录鉴权方法，应用于服务端。所述无状态登录鉴权方法包括：接收客户端发来的登录请求，转发所述登录请求到认证中心；经认证中心校验通过后生成令牌，其中，所述令牌是请求spring-security由用户信息以及用户权限信息加密生成的；将所述令牌存储到redis缓存中；将所述令牌写入cookie，并将写入令牌的cookie返回给客户端。

进一步地，所述的无状态登录鉴权方法还包括：接收客户端的资源服务请求，所述资源服务请求携带有令牌；根据所携带的令牌查询redis缓存中的令牌是否过期；如果没有过期，则将所述资源服务请求转发到相应的资源服务上。

进一步地，所述的无状态登录鉴权方法还包括：如果令牌过期，则拒绝用户访问资源并要求用户重新登录。

进一步地，对于所述无状态登录鉴权方法，所述令牌是采用bcrypt方法对信息进行加密后生成的。

为实现上述的技术目的，另一方面，本发明公开了一种无状态登录鉴权方法，应用于客户端。所述无状态登录鉴权方法包括：向服务端发送登录请求；接收服务端返回的携带有令牌的cookie。

进一步地，所述无状态登录鉴权方法还包括：向服务端发送资源服务请求，所述资源服务请求携带有所述令牌。

为实现上述的技术目的，再一方面，本发明公开了一种无状态登录鉴权装置，位于服务端。所述无状态登录鉴权装置包括：登录请求接收单元，用于接收客户端发来的登录请求，转发所述登录请求到认证中心；令牌生成单元，用于经认证中心校验通过后生成令牌，其中，所述令牌是请求spring-security由用户信息以及用户权限信息加密生成的；令牌存储单元，用于将所述令牌存储到redis缓存中；令牌发送单元，用于将所述令牌写入cookie，并将写入令牌的cookie返回给客户端。

为实现上述的技术目的，又一方面，本发明公开了一种无状态登录鉴权装置，位于客户端。所述无状态登录鉴权装置包括：登录请求发送单元，用于向服务端发送登录请求；令牌接收单元，用于接收服务端返回的携带有令牌的cookie。

为实现上述的技术目的，还有一方面，本发明公开了一种计算设备。所述计算设备包括：一个或多个处理器，以及与所述一个或多个处理器耦合的存储器，所述存储器存储指令，当所述指令被所述一个或多个处理器执行时，使得所述一个或多个处理器执行上述方法。

为实现上述的技术目的，又有一方面，本发明公开了一种机器可读存储介质。所述机器可读存储介质存储有可执行指令，所述指令当被执行时使得所述机器执行上述方法。

本发明的有益效果为：

本发明实施例提供的无状态登录鉴权方法和装置使用了令牌，客户端与认证服务只需建立一次连接就可以，后续客户端访问资源服务，无需再次验证，在资源服务端即可完成校验，从而减轻了认证服务器的压力。本发明实施例这种基于Spring Security框架的无状态登录鉴权方法和装置，能够使客户端对服务端无状态化，而且在大访问量的情况下降低服务压力。

附图说明

图中，

图1为本发明实施例1提供的无状态登录鉴权方法的流程图，该无状态登录鉴权方法应用于服务端；

图2为本发明实施例2提供的无状态登录鉴权方法的流程图，该无状态登录鉴权方法应用于客户端；

图3为本发明实施例3提供的无状态登录鉴权装置的结构示意图，该无状态登录鉴权装置位于服务端；

图4为本发明实施例4提供的无状态登录鉴权装置的结构示意图，该无状态登录鉴权装置位于客户端；

图5为根据本发明实施例的用于无状态登录鉴权处理的计算设备的结构框图。

具体实施方式

下面结合说明书附图对本发明提供的无状态登录鉴权方法和装置进行详细的解释和说明。

Spring-security是基于Spring的框架，提供了一套web应用安全性的完整解决方案，一般来说，web应用的安全性包括如下两部分：

(一)用户认证：用户认证指的是验证某个用户是否为系统中的合法主体，也就是说用户能否访问该系统。用户认证一般要求用户提供用户名和密码。系统通过校验用户名和密码来完成认证过程。

(二)用户授权：用户授权指的是验证某个用户是否有权限执行某个操作。在一个系统中，不同用户所具有的权限是不同的。比如对一个文件来说，有的用户只能进行读取，而有的用户可以进行修改。

对于上面提到的两种应用场景，Spring-security框架都有很好的支持。

在用户认证方面，Spring-security框架支持主流的认证方式，包括HTTP基本认证、HTTP表单验证、HTTP摘要验证、OpenId和LDAP等。

在用户授权方面，Spring-Security框架提供了基于角色的访问控制和访问控制列表(Access Control List，ACL)，可以对应用中的领域对象进行细粒度的控制。

Apache Shiro是一个强大且易用的Java安全框架，执行身份验证、授权、密码和会话管理。Apache Shiro包含了如下3个核心概念：

(1)主体(subject)：将用户的概念理解为当前操作的主体，可能是一个通过浏览器请求的用户，也可能是其他的程序。Subject代表了当前用户的安全操作，安全管理器(SecurityManager)则管理所有用户的安全操作。

(2)安全管理器(SecurityManager)：管理着所有的Subject，是Shiro的核心，与其他组件交互，例如与会话管理和/或缓存管理交互。

(3)Realm：起到一个桥梁作用，主要通过realm来获取用户相关的安全数据，例如获取用户在数据库中的密码信息、角色信息、和/或操作权限信息等。

整体流程：用户通过Subject来进行认证和授权，而Subject又委托给SecurityManager，而SecurityManager又需要通过自定义的Realm来获取密码和/或权限等数据来进行校验和比对。

图1为本发明实施例1提供的无状态登录鉴权方法的流程图，该无状态登录鉴权方法应用于服务端。

如图1所示，在步骤S110，接收客户端发来的登录请求，转发登录请求到认证中心。

在步骤S120，经认证中心校验通过后生成令牌。其中，令牌是请求spring-security由用户信息以及用户权限等信息通过加密算法算出来的唯一值。其中，用户信息可以为用户密码，加密算法可以为openssl加解密工具包中的算法。

在步骤S130，将所述令牌存储到redis缓存中。

在步骤S140，将所述令牌写入cookie，并将写入令牌的cookie返回给客户端。

作为一种可选实施方式，实施例1的无状态登录鉴权方法还可以包括如下步骤：接收客户端的资源服务请求，资源服务请求携带有令牌。根据所携带的令牌查询redis缓存中的令牌是否过期。如果没有过期，则将资源服务请求转发到相应的资源服务上。如果令牌过期，则拒绝用户访问资源并要求用户重新登录。

作为一种可选实施方式，令牌可以是采用bcrypt方法对信息进行加密后生成的。用户鉴权时采用bcrypt方法对信息进行加密，对用户密码进行加密，后台存储加密之后的密码会更安全。

图2为本发明实施例2提供的无状态登录鉴权方法的流程图，该无状态登录鉴权方法应用于客户端。

如图2所示，在步骤S210，向服务端发送登录请求。

在步骤S220，接收服务端返回的携带有令牌的cookie。

作为一种可选实施方式，实施例2的无状态登录鉴权方法还可以包括如下步骤：向服务端发送资源服务请求，其中，资源服务请求携带有令牌。

图3为本发明实施例3提供的无状态登录鉴权装置的结构示意图，该无状态登录鉴权装置位于服务端。如图3所示，实施例3提供的无状态登录鉴权装置300包括登录请求接收单元310、令牌生成单元320、令牌存储单元330和令牌发送单元340。

登录请求接收单元310用于接收客户端发来的登录请求，转发所述登录请求到认证中心。登录请求接收单元310的操作可以参照上面图1描述的步骤S110的操作。

令牌生成单元320用于经认证中心校验通过后生成令牌，其中，令牌是请求spring-security由用户信息以及用户权限信息加密生成的。令牌生成单元320的操作可以参照上面图1描述的步骤S120的操作。

令牌存储单元330用于将令牌存储到redis缓存中。令牌存储单元330的操作可以参照上面图1描述的步骤S130的操作。

令牌发送单元340用于将令牌写入cookie，并将写入令牌的cookie返回给客户端。令牌发送单元340的操作可以参照上面图1描述的步骤S140的操作。

图4为本发明实施例4提供的无状态登录鉴权装置的结构示意图，该无状态登录鉴权装置位于客户端。如图4所示，实施例4提供的无状态登录鉴权装置400包括登录请求发送单元410和令牌接收单元420。

登录请求发送单元410用于向服务端发送登录请求。登录请求发送单元410的操作可以参照上面图2描述的步骤S210的操作。

令牌接收单元420用于接收服务端返回的携带有令牌的cookie。令牌接收单元420的操作可以参照上面图2描述的步骤S220的操作。

本发明实施例5提供一种无状态登录鉴权系统包括上述实施例3的无状态登录鉴权装置和上述实施例4的无状态登录鉴权装置。实施例5的无状态登录鉴权系统还可以包括认证中心、授权中心、资源中心、用户中心。认证中心用于对登录用户进行校验。资源中心用于对用户资源进行统一管理。授权中心是整个认证项目的核心，用于对用户授权。用户中心用于对用户信息进行管理，同时对用户信息进行加密，向认证中心提供用户校验时的用户信息。

下面，通过一个更具体的例子对本发明实施例提供的无状态登录鉴权方法进行说明。

首先，用户登陆输入用户名和密码，服务端发送登录请求到认证中心，认证中心接收到用户请求，调用用户中心接口，校验用户信息通过后，由授权中心生成令牌，令牌是由用户信息以及用户权限信息通过openssl加解密工具包加密生成的。其中，openssl是第三方加密工具。由授权中心将令牌存入redis缓存中，服务端将令牌写入cookie，返回给客户端。

然后，redis中的令牌主要供认证中心调用，认证中心从cookie中获取令牌，去查询令牌是否过期，如果过期则拒绝用户访问资源。

最后，认证中心调用鉴权模块对访问用户的令牌进行校验，用户访问经过鉴权模块进行校验，根据用户携带的令牌，对redis缓存里的令牌是否过期进行校验，当校验全部通过之后，通过资源中心将请求转发到相应的资源服务上。

流转步骤如下：

步骤一，用户通过浏览器登录，登录请求调用系统服务端，由服务端向认证中心请求认证。

步骤二，认证中心调用用户中心中的用户数据校验用户是否合法，如果合法则发送请求向授权中心申请令牌，同时将令牌存储至redis缓存中，认证服务向cookie写入令牌。

步骤三，客户端携带cookie中的令牌访问资源服务。

步骤四，鉴权模块通过用户携带令牌与redis缓存中的令牌对比校验令牌的合法性，如果令牌已过期则要求用户重新登录。

步骤五，鉴权模块校验成功后，资源服务完成授权。资源服务校验令牌，完成授权，拥有权限的方法正常执行，没有权限的方法将拒绝访问。

图5为根据本发明实施例的用于无状态登录鉴权处理的计算设备的结构框图。

如图5所示，计算设备500可以包括至少一个处理器510、存储器520、内存530、通信接口540以及内部总线550，并且至少一个处理器510、存储器520、内存530和通信接口540经由总线550连接在一起。该至少一个处理器510执行在计算机可读存储介质(即，存储器520)中存储或编码的至少一个计算机可读指令(即，上述以软件形式实现的元素)。

在一个实施例中，在存储器520中存储有计算机可执行指令，当其执行时使得至少一个处理器510执行：接收客户端发来的登录请求，转发所述登录请求到认证中心；经认证中心校验通过后生成令牌，其中，所述令牌是请求spring-security由用户信息以及用户权限信息加密生成的；将所述令牌存储到redis缓存中；将所述令牌写入cookie，并将写入令牌的cookie返回给客户端，或者执行：向服务端发送登录请求；接收服务端返回的携带有令牌的cookie。

应该理解的是，在存储器520中存储的计算机可执行指令当执行时使得至少一个处理器510进行本发明的各个实施例中以上结合图1-4描述的各种操作和功能。

在本发明中，计算设备500可以包括但不限于：个人计算机、服务器计算机、工作站、桌面型计算机、膝上型计算机、笔记本计算机、移动计算设备、智能电话、平板计算机、蜂窝电话、个人数字助理(PDA)、手持装置、消息收发设备、可佩戴计算设备、消费电子设备等等。

根据一个实施例，提供了一种例如非暂时性机器可读介质的程序产品。非暂时性机器可读介质可以具有指令(即，上述以软件形式实现的元素)，该指令当被机器执行时，使得机器执行本发明的各个实施例中以上结合图1-4描述的各种操作和功能。

具体地，可以提供配有可读存储介质的系统或者装置，在该可读存储介质上存储着实现上述实施例中任一实施例的功能的软件程序代码，且使该系统或者装置的计算机或处理器读出并执行存储在该可读存储介质中的指令。

在这种情况下，从可读介质读取的程序代码本身可实现上述实施例中任何一项实施例的功能，因此机器可读代码和存储机器可读代码的可读存储介质构成了本发明的一部分。

可读存储介质的实施例包括软盘、硬盘、磁光盘、光盘(如CD-ROM、CD-R、CD-RW、DVD-ROM、DVD-RAM、DVD-RW、DVD-RW)、磁带、非易失性存储卡和ROM。可选择地，可以由通信网络从服务器计算机上或云上下载程序代码。

以上所述仅为本发明的实施例，并非因此限制本发明的权利要求保护范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明权利要求的保护范围内。

Claims (10)

1.一种无状态登录鉴权方法，应用于服务端，其特征在于，包括：

接收客户端发来的登录请求，转发所述登录请求到认证中心；

经认证中心校验通过后生成令牌，其中，所述令牌是请求spring-security由用户信息以及用户权限信息加密生成的；

将所述令牌存储到redis缓存中；

将所述令牌写入cookie，并将写入令牌的cookie返回给客户端。

2.根据权利要求1所述的无状态登录鉴权方法，其特征在于，还包括：

接收客户端的资源服务请求，所述资源服务请求携带有令牌；

根据所携带的令牌查询redis缓存中的令牌是否过期；

如果没有过期，则将所述资源服务请求转发到相应的资源服务上。

3.根据权利要求2所述的无状态登录鉴权方法，其特征在于，还包括：如果令牌过期，则拒绝用户访问资源并要求用户重新登录。

4.根据权利要求1所述的无状态登录鉴权方法，其特征在于，所述令牌是采用bcrypt方法对信息进行加密后生成的。

5.一种无状态登录鉴权方法，应用于客户端，其特征在于，包括：

向服务端发送登录请求；

接收服务端返回的携带有令牌的cookie。

6.根据权利要求5所述的无状态登录鉴权方法，其特征在于，还包括：向服务端发送资源服务请求，所述资源服务请求携带有所述令牌。

7.一种无状态登录鉴权装置，位于服务端，其特征在于，包括：

登录请求接收单元，用于接收客户端发来的登录请求，转发所述登录请求到认证中心；

令牌生成单元，用于经认证中心校验通过后生成令牌，其中，所述令牌是请求spring-security由用户信息以及用户权限信息加密生成的；

令牌存储单元，用于将所述令牌存储到redis缓存中；

令牌发送单元，用于将所述令牌写入cookie，并将写入令牌的cookie返回给客户端。

8.一种无状态登录鉴权装置，位于客户端，其特征在于，包括：

登录请求发送单元，用于向服务端发送登录请求；

令牌接收单元，用于接收服务端返回的携带有令牌的cookie。

9.一种计算设备，其特征在于，包括：

一个或多个处理器，以及

与所述一个或多个处理器耦合的存储器，所述存储器存储指令，当所述指令被所述一个或多个处理器执行时，使得所述一个或多个处理器执行如权利要求1到4中任一项所述的方法或者执行如权利要求5到6中任一项所述的方法。

10.一种机器可读存储介质，其特征在于，所述机器可读存储介质存储有可执行指令，所述指令当被执行时使得所述机器执行如权利要求1到4中任一项所述的方法或者执行如权利要求5到6中任一项所述的方法。

Images