CN112953719B - 一种令牌认证方法和装置 - Google Patents

一种令牌认证方法和装置 Download PDF

Info

Publication number
CN112953719B
CN112953719B CN201911175840.0A CN201911175840A CN112953719B CN 112953719 B CN112953719 B CN 112953719B CN 201911175840 A CN201911175840 A CN 201911175840A CN 112953719 B CN112953719 B CN 112953719B
Authority
CN
China
Prior art keywords
service
token
value
interface
service provider
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201911175840.0A
Other languages
English (en)
Other versions
CN112953719A (zh
Inventor
高鹏
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Jingdong Century Trading Co Ltd
Beijing Jingdong Shangke Information Technology Co Ltd
Original Assignee
Beijing Jingdong Century Trading Co Ltd
Beijing Jingdong Shangke Information Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Jingdong Century Trading Co Ltd, Beijing Jingdong Shangke Information Technology Co Ltd filed Critical Beijing Jingdong Century Trading Co Ltd
Priority to CN201911175840.0A priority Critical patent/CN112953719B/zh
Publication of CN112953719A publication Critical patent/CN112953719A/zh
Application granted granted Critical
Publication of CN112953719B publication Critical patent/CN112953719B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H04L9/3213—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority using tickets or tokens, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/133—Protocols for remote procedure calls [RPC]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Power Engineering (AREA)
  • Telephonic Communication Services (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

本发明公开了一种令牌认证方法和装置，涉及计算机技术领域。该方法的一具体实施方式包括：获取发送至服务接口的令牌值、服务使用方的应用标识和服务提供方的服务接口标识；将服务使用方的应用标识和服务提供方的服务接口标识作为键，从本地存储的键值对中获取对应的键值；其中，键值对的键包括服务使用方的应用标识和服务提供方的服务接口标识，键值是为服务使用方生成的令牌值；判断拦截到的令牌值与从本地存储中获取的键值是否相同，若拦截到的令牌值与从本地存储中获取的键值相同，则令牌认证成功。该方法通过基于服务使用方的应用标识、服务提供方的服务接口标识和令牌值的认证机制，实现了更细粒度的令牌认证。

Description

一种令牌认证方法和装置
技术领域
本发明涉及计算机领域，尤其涉及一种令牌认证方法和装置。
背景技术
微服务架构是一种将单应用程序作为一套小型服务开发的方法，每种应用程序都在其自己的进程中运行，并与轻量级机制(通常是应用程序接口)进行通信。在微服务模式下，可以通过Dubbo框架下的远程过程调用(RPC，Remote Procedure Call)实现不同服务器之间通讯。RPC涉及服务提供方和服务使用方，服务提供方为了限制哪些服务使用方可以调用自身函数或方法，通常会采用令牌(Token)认证机制。即服务提供方为服务使用方创建Token并发送至服务使用方；服务使用方在每次调用服务提供方的函数或方法时，将Token传递给服务提供方；服务提供方验证Token，验证合法后会为服务使用方提供服务。其中，Dubbo为一种开源的分布式RPC，目前被广泛地应用为分布式微服务框架。
在实现本发明过程中，发明人发现现有技术中至少存在如下问题：
(1)服务提供方为不同服务使用方提供同一个Token，容易造成Token泄露，且Token认证粒度粗糙；另外，当该Token被公开后，Token认证也会失效，导致任何服务使用方都可以在未经授权的情况下调用服务使用方提供的服务；
(2)服务提供方和服务使用方都通过配置文件保存Token，容易造成Token泄露；另外，在修改Token后，由于其保存在配置文件中，需要重启服务器，导致服务中断。
发明内容
有鉴于此，本发明实施例提供一种令牌认证方法和装置，通过基于服务使用方的应用标识、服务提供方的服务接口标识和令牌值的认证机制，限制了可以调用服务接口的服务使用方，以及服务使用方具体可以调用的服务接口，进而实现了更细粒度的令牌认证。
为实现上述目的，根据本发明实施例的一个方面，提供了一种令牌认证方法。
本发明实施例的一种令牌认证方法，包括：获取发送至服务接口的令牌值、服务使用方的应用标识和服务提供方的服务接口标识；将所述服务使用方的应用标识和所述服务提供方的服务接口标识作为键，从本地存储的键值对中获取对应的键值；其中，所述键值对的键包括所述服务使用方的应用标识和所述服务提供方的服务接口标识，所述键值是为所述服务使用方生成的令牌值；判断拦截到的所述令牌值与从本地存储中获取的所述键值是否相同，若拦截到的所述令牌值与从本地存储中获取的所述键值相同，则令牌认证成功。
可选地，为所述服务使用方生成令牌值，包括：接收来自所述服务使用方的令牌生成请求信息，验证所述令牌生成请求信息是否有效；在验证所述令牌生成请求信息有效后，为所述服务使用方生成包括所述服务提供方的应用标识的令牌值，将所述令牌值返回至所述服务使用方。
可选地，所述获取发送至服务接口的令牌值、服务使用方的应用标识和服务提供方的服务接口标识的步骤之前，还包括：将所述令牌值保存到存储服务器的令牌信息中；其中，所述令牌信息包括为所述服务使用方生成的令牌值、所述服务使用方的应用标识和所述服务提供方的服务接口标识；启动调用令牌导出接口的调度线程，以从所述存储服务器中获取与所述服务提供方相对应的令牌信息，之后将所述令牌信息以所述键值对的形式更新到本地存储。
可选地，所述获取发送至服务接口的令牌值、服务使用方的应用标识和服务提供方的服务接口标识，包括：使用拦截器对至少一个服务接口进行拦截，以分别获取发送至所述服务接口的令牌值、服务使用方的应用标识和服务提供方的服务接口标识。
可选地，所述调度线程为定期调度线程；所述启动调用令牌导出接口的调度线程，包括：启动所述定期调度线程，以按照预设频率自动调用令牌导出接口。
可选地，所述令牌信息包括服务等级协议；所述方法还包括：按照所述服务等级协议，在所述服务接口上为多个所述服务使用方分别提供不同等级的服务内容和流量控制策略。
为实现上述目的，根据本发明实施例的另一方面，提供了一种令牌认证装置。
本发明实施例的一种令牌认证装置，包括：第一获取模块，用于获取发送至服务接口的令牌值、服务使用方的应用标识和服务提供方的服务接口标识；第二获取模块，用于将所述服务使用方的应用标识和所述服务提供方的服务接口标识作为键，从本地存储的键值对中获取对应的键值；其中，所述键值对的键包括所述服务使用方的应用标识和所述服务提供方的服务接口标识，所述键值是为所述服务使用方生成的令牌值；判断认证模块，用于判断拦截到的所述令牌值与从本地存储中获取的所述键值是否相同，若拦截到的所述令牌值与从本地存储中获取的所述键值相同，则令牌认证成功。
可选地，所述装置还包括：生成模块，用于接收来自所述服务使用方的令牌生成请求信息，验证所述令牌生成请求信息是否有效；以及在验证所述令牌生成请求信息有效后，为所述服务使用方生成包括所述服务提供方的应用标识的令牌值，将所述令牌值返回至所述服务使用方。
可选地，所述装置还包括：存储更新模块，用于将所述令牌值保存到存储服务器的令牌信息中；其中，所述令牌信息包括为所述服务使用方生成的令牌值、所述服务使用方的应用标识和所述服务提供方的服务接口标识；以及启动调用令牌导出接口的调度线程，以从所述存储服务器中获取与所述服务提供方相对应的令牌信息，之后将所述令牌信息以所述键值对的形式更新到本地存储。
可选地，所述调度线程为定期调度线程；所述存储更新模块，还用于：启动所述定期调度线程，以按照预设频率自动调用令牌导出接口。
可选地，所述令牌信息包括服务等级协议；所述装置还包括：服务治理模块，用于按照所述服务等级协议，在所述服务接口上为多个所述服务使用方分别提供不同等级的服务内容和流量控制策略。
为实现上述目的，根据本发明实施例的再一方面，提供了一种电子设备。
本发明实施例的一种电子设备，包括：一个或多个处理器；存储装置，用于存储一个或多个程序，当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现本发明实施例的一种令牌认证方法。
为实现上述目的，根据本发明实施例的再一方面，提供了一种计算机可读介质。
本发明实施例的一种计算机可读介质，其上存储有计算机程序，所述程序被处理器执行时实现本发明实施例的一种令牌认证方法。
上述发明中的一个实施例具有如下优点或有益效果：提供了基于服务使用方的应用标识、服务提供方的服务接口标识和令牌值的认证机制，限制了可以调用服务接口的服务使用方，以及服务使用方具体可以调用的服务接口，进而实现了更细粒度的动态令牌认证，对现有系统侵入性小；不同的租户(即服务使用方)可以从服务提供方获取独立的令牌值，多租户通过服务提供方的应用标识实现数据隔离，保证了各租户间数据的隔离性；使用存储服务器为不同的服务使用方生成了不同的令牌信息并集中管理，使得即使在某个服务使用方的令牌值泄露情况下，也不会造成其他服务使用方和其他服务接口的令牌值失效；使用调度线程访问存储服务器获取更新后的令牌信息，无需重启服务器；使用定时调度线程，按照预设频率调用令牌导出接口，定时自动更新本地存储的令牌信息，实现了令牌信息的自动生效；将服务等级协议保存在令牌信息中，使得服务提供方能够在一个服务接口上为不同的服务使用方提供不同等级的服务内容和流量控制策略。
上述的非惯用的可选方式所具有的进一步效果将在下文中结合具体实施方式加以说明。
附图说明
附图用于更好地理解本发明，不构成对本发明的不当限定。其中：
图1是根据本发明实施例的令牌认证方法的主要步骤的示意图；
图2是根据本发明实施例的令牌认证方法的主要流程示意图；
图3是根据本发明实施例的令牌认证方法的主要原理示意图；
图4是根据本发明实施例的令牌认证装置的主要模块的示意图；
图5是本发明实施例可以应用于其中的示例性系统架构图；
图6是适用于来实现本发明实施例的电子设备的计算机装置的结构示意图。
具体实施方式
以下结合附图对本发明的示范性实施例做出说明，其中包括本发明实施例的各种细节以助于理解，应当将它们认为仅仅是示范性的。因此，本领域普通技术人员应当认识到，可以对这里描述的实施例做出各种改变和修改，而不会背离本发明的范围和精神。同样，为了清楚和简明，以下的描述中省略了对公知功能和结构的描述。
图1是根据本发明实施例的令牌认证方法的主要步骤的示意图。如图1所示，本发明实施例的令牌认证方法，主要包括如下步骤：
步骤S101：获取发送至服务接口的令牌值、服务使用方的应用标识和服务提供方的服务接口标识。服务使用方将包括令牌值、服务使用方的应用标识和服务提供方的服务接口标识的接口调用请求信息发送至服务提供方。其中，所述令牌值是服务提供方为服务使用方生成的。服务提供方使用拦截器对自身的至少一个服务接口进行拦截，以分别获取发送至所述服务接口的接口调用请求信息，解析接口调用请求信息即可获取对应的令牌值、服务使用方的应用标识和服务提供方的服务接口标识。
步骤S102：将所述服务使用方的应用标识和所述服务提供方的服务接口标识作为键，从本地存储的键值对中获取对应的键值；其中，所述键值对的键包括所述服务使用方的应用标识和所述服务提供方的服务接口标识，所述键值是为所述服务使用方生成的令牌值。服务提供方将为服务使用方生成的令牌值发送到存储服务器；存储服务器根据收到的令牌值生成令牌信息并存储；服务提供方启动调用存储服务器的令牌导出接口的调度线程，以从存储服务器中获取与其相对应的令牌信息，并将令牌信息以键值对的形式更新到本地存储。当服务提供方获取到来自服务使用方的接口调用请求信息时，以接口调用请求信息的服务使用方的应用标识和服务提供方的服务接口标识为键，从本地存储的键值对中获取对应的键值。
步骤S103：判断拦截到的所述令牌值与从本地存储中获取的所述键值是否相同，若拦截到的所述令牌值与从本地存储中获取的所述键值相同，则令牌认证成功。服务使用方判断拦截到的令牌值与从本地存储中获取的键值是否相同，如果拦截到的令牌值与从本地存储中获取的键值相同，则拦截到的令牌值有效，令牌认证成功；如果拦截到的令牌值与从本地存储中获取的键值不同，则拦截到的令牌值无效，令牌认证失败。
图2是根据本发明实施例的令牌认证方法的主要流程示意图。如图2所示，本发明实施例的令牌认证方法，主要包括如下步骤：
步骤S201：服务使用方检测本地缓存中是否保存有来自服务提供方的有效的令牌值，如果本地缓存中不存在对应的令牌值或者失效，则执行步骤S202；如果本地缓存中保存有对应的令牌值且有效，则执行步骤S207。服务使用方检测本地是否缓存有其要访问的服务提供方的令牌值，如果服务使用方本地不存在对应的令牌值或者令牌值缓存已超时，则需调用接口以从对应的服务提供方中获取令牌值。
步骤S202：服务使用方将令牌生成请求信息发送至服务提供方。其中，所述令牌生成请求信息包括服务使用方的应用标识和时间戳。服务使用方的应用标识通常与发布系统相关，用于唯一标识该服务使用方应用的身份，实施例中用consumerAppName表示。
步骤S203：服务提供方接收到令牌生成请求信息后，验证令牌生成请求信息是否有效，如果有效，则执行步骤S204；如果无效，则不做处理。服务提供方根据令牌生成请求信息中的时间戳，判断该令牌生成请求信息是否超时，同时，判断该令牌生成请求信息的服务使用方的应用标识是否有效，如果该令牌生成请求信息未超时且服务使用方的应用标识有效，则该令牌生成请求信息有效；否则，该令牌生成请求信息无效。
在一优选的实施例中，步骤S202中，服务使用方可以将服务使用方的应用标识和时间戳加密后作为令牌生成请求信息，之后发送至服务提供方。相应的，服务提供方在接收到令牌生成请求信息后，对令牌生成请求信息解密即可得到服务使用方的应用标识和时间戳。
步骤S204：服务提供方为服务使用方生成令牌值，将生成的令牌值分别发送至服务使用方和存储服务器。令牌值的生成方式有多种，比如可以为包括服务使用方的应用标识、过期时间、创建时间等字段的加密字符串，还可以为一个随机数。在一优选的实施例中，令牌值中还包含了服务提供方的应用标识字段，用于隔离多租户，不同的租户可以获取独立的令牌值。服务提供方的应用标识用于唯一标识该服务提供方应用的身份，实施例中用providerAppName表示。
步骤S205：存储服务器根据令牌值生成令牌信息，之后发送至数据库进行存储。其中，令牌信息包括来自服务提供方的令牌值、令牌值对应的服务使用方的应用标识和服务提供方的服务接口标识。存储服务器用于对令牌信息进行统一管理。实施例中，存储服务器为RPC服务器，能够将令牌信息存储到数据库中，还可以通过Dubbo框架对外提供令牌信息的导出、添加、修改、删除等功能。由于数据库仅对存储服务器开放，即只有存储服务器能够访问直接数据库，其他系统只能通过存储服务器提供的接口访问数据库，避免了令牌信息泄露到代码库的风险。该步骤中存储服务器为不同的服务使用方生成了不同的令牌信息，使得即使在某个服务使用方的令牌值泄露情况下，也不会造成其他服务使用方和其他服务接口的令牌值失效。
步骤S206：服务提供方通过调度线程调用存储服务器的令牌导出接口，以从存储服务器中获取对应的令牌信息，之后更新本地存储的键值对形式的令牌信息。实施例中，为每个服务提供方嵌入一个jar包形式的代理模块，用于通过RPC与存储服务器进行令牌信息同步。而且并不限定该步骤的执行顺序，实际工程应用中，在服务提供方系统启动后，代理模块即会启动调度线程调用存储服务器的令牌导出接口，更新本地存储的令牌信息，无需重启服务器。令牌信息以HashMap键值对的形式存储在服务提供方本地。服务提供方系统启动时，HashMap为空，每次调用存储服务器的令牌导出接口后就会获取到该服务提供方的令牌信息，之后以键值对的形式更新到HashMap。该键值对包括键(Key)和键值(Value)，具体为：
Key＝consumerAppName+“.”+serviceName
Value＝Token
在一优选的实施例中，调度线程为定期调度线程，定期调度线程能够按照预设频率自动调用存储服务器的令牌导出接口，更新本地存储的令牌信息，实现了令牌信息的自动生效。
需要注意的是，如果代理模块调用存储服务器的令牌导出接口失败，则不更新本地存储的HashMap，后续令牌认证时使用上一次有效的令牌值与拦截到的令牌值进行比较，确认令牌认证是否成功。如果在预设时间段内代理模块调用令牌导出接口一直失败，则可以直接放行该时间段内所有的接口调用请求信息，直到本地存储的令牌信息更新成功后，再进行令牌认证。
步骤S207：服务使用方将接口调用请求信息发送至服务提供方，其中，所述接口调用请求信息包括令牌值、服务使用方的应用标识和服务提供方的服务接口标识。实施例中，服务接口标识为服务提供方的远程服务接口名称，用serviceName表示。
步骤S208：服务提供方使用拦截器对至少一个服务接口进行拦截，以分别获取对应服务接口的接口调用请求信息。服务提供方使用Dubbo框架的拦截器(Filter)对自身的每个服务接口进行拦截，获取相应的接口调用请求信息。
步骤S209：服务提供方以接口调用请求信息的服务使用方的应用标识和服务提供方的服务接口标识为键，从本地存储的键值对中获取对应的键值。服务提供方以键值对的形式存储有从存储服务器中获取的该服务提供方的令牌信息。该键值对的键包括服务使用方的应用标识和服务提供方的服务接口标识，该键值对的键值是为服务使用方生成的令牌值。
步骤S210：服务提供方判断拦截到的令牌值与从本地存储中获取的键值是否相同，如果拦截到的令牌值与从本地存储中获取的键值相同，则结束本流程；否则，执行步骤S211。如果拦截到的令牌值与从本地存储中获取的键值相同，则拦截到的令牌值有效，令牌认证成功；如果拦截到的令牌值与从本地存储中获取的键值不同，则拦截到的令牌值无效，令牌认证失败。
实施例中，假设应用标识为C的服务使用方调用应用名称为S的服务提供方的服务接口名称为getGoods的服务方法，服务使用方会把预先从服务提供方申请的Token传入请求数据内，服务提供方以C.getGoods作为Key获取本地存储的HashMap中对应的Token，将该Token与请求数据中传入的Token进行比较，如果相同，则令牌认证成功；否则，令牌认证失败。
步骤S211：服务提供方将认证失败的异常信息发送至服务使用方。如果令牌认证失败，服务提供方可以直接抛出认证失败的异常信息至服务使用方。
在一优选的实施例中，令牌信息中还可以包括令牌申请人信息、申请原因、与服务相关的上下文环境信息、服务等级协议(Service-LevelAgreement，SLA)信息等。其中，上下文环境信息为当前调用过程中所需的环境信息，比如服务使用方的应用标识。SLA信息是在一定开销下保障服务的性能和可用性的指标，可以包括响应速度要求、吞吐量要求等。令牌信息中包含上下文环境信息和SLA信息，便于进行服务治理。实施例中，服务提供方按照SLA信息，在一个服务接口上为多个服务使用方分别提供不同等级的服务内容和流量控制策略。
图3是根据本发明实施例的令牌认证方法的实现原理示意图。如图3所示，本发明实施例的令牌认证方法基于服务使用方、服务提供方、嵌入在服务提供方的代理模块、存储服务器和数据库实现。服务使用方将带有令牌值的接口调用请求信息发送至服务提供方。服务提供方的代理模块定期通过RPC从存储服务器中同步令牌信息。存储服务器将令牌信息保存到数据库。服务提供方拦截自身服务接口，获取对应的接口调用请求信息；之后以接口调用请求信息的服务使用方的应用标识和服务提供方的服务接口标识为键，从本地存储的键值对中获取对应的键值；之后判断拦截到的令牌值与从本地存储中获取的键值是否相同，以确定令牌认证是否成功。
通过本发明实施例的令牌认证方法可以看出，提供了基于服务使用方的应用标识、服务提供方的服务接口标识和令牌值的认证机制，限制了可以调用服务接口的服务使用方，以及服务使用方具体可以调用的服务接口，进而实现了更细粒度的动态令牌认证，对现有系统侵入性小；不同的租户(即服务使用方)可以从服务提供方获取独立的令牌值，多租户通过服务提供方的应用标识实现数据隔离，保证了各租户间数据的隔离性；使用存储服务器为不同的服务使用方生成了不同的令牌信息并集中管理，使得即使在某个服务使用方的令牌值泄露情况下，也不会造成其他服务使用方和其他服务接口的令牌值失效；使用调度线程访问存储服务器获取更新后的令牌信息，无需重启服务器；使用定时调度线程，按照预设频率调用令牌导出接口，定时自动更新本地存储的令牌信息，实现了令牌信息的自动生效；将服务等级协议保存在令牌信息中，使得服务提供方能够在一个服务接口上为不同的服务使用方提供不同等级的服务内容和流量控制策略。
图4是根据本发明实施例的令牌认证装置的主要模块的示意图。如图4所示，本发明实施例的令牌认证装置400，主要包括：
第一获取模块401，用于获取发送至服务接口的令牌值、服务使用方的应用标识和服务提供方的服务接口标识。服务使用方将包括令牌值、服务使用方的应用标识和服务提供方的服务接口标识的接口调用请求信息发送至服务提供方。其中，所述令牌值是服务提供方为服务使用方生成的。服务提供方使用拦截器对自身的至少一个服务接口进行拦截，以分别获取发送至所述服务接口的接口调用请求信息，解析接口调用请求信息即可获取对应的令牌值、服务使用方的应用标识和服务提供方的服务接口标识。
第二获取模块402，用于将所述服务使用方的应用标识和所述服务提供方的服务接口标识作为键，从本地存储的键值对中获取对应的键值；其中，所述键值对的键包括所述服务使用方的应用标识和所述服务提供方的服务接口标识，所述键值是为所述服务使用方生成的令牌值。服务提供方将为服务使用方生成的令牌值发送到存储服务器；存储服务器根据收到的令牌值生成令牌信息并存储；服务提供方启动调用存储服务器的令牌导出接口的调度线程，以从存储服务器中获取与其相对应的令牌信息，并将令牌信息以键值对的形式更新到本地存储。当服务提供方获取到来自服务使用方的接口调用请求信息时，以接口调用请求信息的服务使用方的应用标识和服务提供方的服务接口标识为键，从本地存储的键值对中获取对应的键值。
判断认证模块403，用于判断拦截到的所述令牌值与从本地存储中获取的所述键值是否相同，若拦截到的所述令牌值与从本地存储中获取的所述键值相同，则令牌认证成功。服务使用方判断拦截到的令牌值与从本地存储中获取的键值是否相同，如果拦截到的令牌值与从本地存储中获取的键值相同，则拦截到的令牌值有效，令牌认证成功；如果拦截到的令牌值与从本地存储中获取的键值不同，则拦截到的令牌值无效，令牌认证失败。
另外，本发明实施例的令牌认证装置400还可以包括：生成模块和存储更新模块(图4中未示出)。其中，生成模块，用于接收来自所述服务使用方的令牌生成请求信息，验证所述令牌生成请求信息是否有效；以及在验证所述令牌生成请求信息有效后，为所述服务使用方生成包括所述服务提供方的应用标识的令牌值，将所述令牌值返回至所述服务使用方。存储更新模块，用于将所述令牌值保存到存储服务器的令牌信息中；其中，所述令牌信息包括为所述服务使用方生成的令牌值、所述服务使用方的应用标识和所述服务提供方的服务接口标识；以及启动调用令牌导出接口的调度线程，以从所述存储服务器中获取与所述服务提供方相对应的令牌信息，之后将所述令牌信息以所述键值对的形式更新到本地存储。
从以上描述可以看出，提供了基于服务使用方的应用标识、服务提供方的服务接口标识和令牌值的认证机制，限制了可以调用服务接口的服务使用方，以及服务使用方具体可以调用的服务接口，进而实现了更细粒度的动态令牌认证，对现有系统侵入性小；不同的租户(即服务使用方)可以从服务提供方获取独立的令牌值，多租户通过服务提供方的应用标识实现数据隔离，保证了各租户间数据的隔离性；使用存储服务器为不同的服务使用方生成了不同的令牌信息并集中管理，使得即使在某个服务使用方的令牌值泄露情况下，也不会造成其他服务使用方和其他服务接口的令牌值失效；使用调度线程访问存储服务器获取更新后的令牌信息，无需重启服务器；使用定时调度线程，按照预设频率调用令牌导出接口，定时自动更新本地存储的令牌信息，实现了令牌信息的自动生效；将服务等级协议保存在令牌信息中，使得服务提供方能够在一个服务接口上为不同的服务使用方提供不同等级的服务内容和流量控制策略。
图5示出了可以应用本发明实施例的令牌认证方法或令牌认证装置的示例性系统架构500。
如图5所示，系统架构500可以包括终端设备501、502、503，网络504和服务器505。网络504用以在终端设备501、502、503和服务器505之间提供通信链路的介质。网络504可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。
用户可以使用终端设备501、502、503通过网络504与服务器505交互，以接收或发送消息等。终端设备501、502、503上可以安装有各种通讯客户端应用，例如购物类应用、网页浏览器应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件等。
终端设备501、502、503可以是具有显示屏并且支持网页浏览的各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等等。
服务器505可以是提供各种服务的服务器，例如对管理员利用终端设备501、502、503发送的服务接口的令牌值、服务使用方的应用标识和服务提供方的服务接口标识进行分析的后台管理服务器。后台管理服务器可以对接收到的上述信息与本地存储的键值对进行比较等处理，并将处理结果(例如令牌认证失败信息)反馈给终端设备。
需要说明的是，本申请实施例所提供的令牌认证方法一般由服务器505执行，相应地，令牌认证装置一般设置于服务器505中。
应该理解，图5中的终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。
根据本发明的实施例，本发明还提供了一种电子设备和一种计算机可读介质。
本发明的电子设备包括：一个或多个处理器；存储装置，用于存储一个或多个程序，当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现本发明实施例的一种令牌认证方法。
本发明的计算机可读介质，其上存储有计算机程序，所述程序被处理器执行时实现本发明实施例的一种令牌认证方法。
下面参考图6，其示出了适用于来实现本发明实施例的电子设备的计算机系统600的结构示意图。图6示出的电子设备仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。
如图6所示，计算机系统600包括中央处理单元(CPU)601，其可以根据存储在只读存储器(ROM)602中的程序或者从存储部分608加载到随机访问存储器(RAM)603中的程序而执行各种适当的动作和处理。在RAM 603中，还存储有计算机系统600操作所需的各种程序和数据。CPU 601、ROM 602以及RAM 603通过总线604彼此相连。输入/输出(I/O)接口605也连接至总线604。
以下部件连接至I/O接口605：包括键盘、鼠标等的输入部分606；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分607；包括硬盘等的存储部分608；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分609。通信部分609经由诸如因特网的网络执行通信处理。驱动器610也根据需要连接至I/O接口605。可拆卸介质611，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器610上，以便于从其上读出的计算机程序根据需要被安装入存储部分608。
特别地，根据本发明公开的实施例，上文主要步骤图描述的过程可以被实现为计算机软件程序。例如，本公开的实施例包括一种计算机程序产品，其包括承载在计算机可读介质上的计算机程序，该计算机程序包含用于执行主要步骤图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分609从网络上被下载和安装，和/或从可拆卸介质611被安装。在该计算机程序被中央处理单元(CPU)601执行时，执行本发明的系统中限定的上述功能。
需要说明的是，本发明所示的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本发明中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本发明中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、电线、光缆、RF等等，或者上述的任意合适的组合。
附图中的流程图和框图，图示了按照本发明各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。
描述于本发明实施例中所涉及到的模块可以通过软件的方式实现，也可以通过硬件的方式来实现。所描述的模块也可以设置在处理器中，例如，可以描述为：一种处理器包括第一获取模块、第二获取模块和判断认证模块。其中，这些模块的名称在某种情况下并不构成对该模块本身的限定，例如，第一获取模块还可以被描述为“获取发送至服务接口的令牌值、服务使用方的应用标识和服务提供方的服务接口标识的模块”。
作为另一方面，本发明还提供了一种计算机可读介质，该计算机可读介质可以是上述实施例中描述的设备中所包含的；也可以是单独存在，而未装配入该设备中。上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被一个该设备执行时，使得该设备包括：获取发送至服务接口的令牌值、服务使用方的应用标识和服务提供方的服务接口标识；将所述服务使用方的应用标识和所述服务提供方的服务接口标识作为键，从本地存储的键值对中获取对应的键值；其中，所述键值对的键包括所述服务使用方的应用标识和所述服务提供方的服务接口标识，所述键值是为所述服务使用方生成的令牌值；判断拦截到的所述令牌值与从本地存储中获取的所述键值是否相同，若拦截到的所述令牌值与从本地存储中获取的所述键值相同，则令牌认证成功。
从以上描述可以看出，提供了基于服务使用方的应用标识、服务提供方的服务接口标识和令牌值的认证机制，限制了可以调用服务接口的服务使用方，以及服务使用方具体可以调用的服务接口，进而实现了更细粒度的动态令牌认证，对现有系统侵入性小；不同的租户(即服务使用方)可以从服务提供方获取独立的令牌值，多租户通过服务提供方的应用标识实现数据隔离，保证了各租户间数据的隔离性；使用存储服务器为不同的服务使用方生成了不同的令牌信息并集中管理，使得即使在某个服务使用方的令牌值泄露情况下，也不会造成其他服务使用方和其他服务接口的令牌值失效；使用调度线程访问存储服务器获取更新后的令牌信息，无需重启服务器；使用定时调度线程，按照预设频率调用令牌导出接口，定时自动更新本地存储的令牌信息，实现了令牌信息的自动生效；将服务等级协议保存在令牌信息中，使得服务提供方能够在一个服务接口上为不同的服务使用方提供不同等级的服务内容和流量控制策略。
上述产品可执行本发明实施例所提供的方法，具备执行方法相应的功能模块和有益效果。未在本实施例中详尽描述的技术细节，可参见本发明实施例所提供的方法。
上述具体实施方式，并不构成对本发明保护范围的限制。本领域技术人员应该明白的是，取决于设计要求和其他因素，可以发生各种各样的修改、组合、子组合和替代。任何在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明保护范围之内。

Claims (13)

1.一种令牌认证方法，其特征在于，包括：
拦截发送至服务接口的令牌值、服务使用方的应用标识和服务提供方的服务接口标识；
将所述服务使用方的应用标识和所述服务提供方的服务接口标识作为键，从服务提供方本地预先存储的键值对中获取对应的键值；其中，所述键值对的键包括服务使用方的应用标识和服务提供方的服务接口标识，所述键值是为服务使用方预先生成的令牌值；
判断拦截发送至服务接口的令牌值与从本地预先存储中获取的所述键值是否相同，若拦截发送至服务接口的令牌值与从本地预先存储中获取的所述键值相同，则令牌认证成功。
2.根据权利要求1所述的方法，其特征在于，为服务使用方预先生成令牌值，包括：
接收来自所述服务使用方的令牌生成请求信息，验证所述令牌生成请求信息是否有效；
在验证所述令牌生成请求信息有效后，为所述服务使用方生成包括所述服务提供方的应用标识的令牌值，将所述令牌值返回至所述服务使用方。
3.根据权利要求1或2所述的方法，其特征在于，所述拦截发送至服务接口的令牌值、服务使用方的应用标识和服务提供方的服务接口标识的步骤之前，还包括：
获取为服务使用方预先生成的令牌值并发送至存储服务器，以将所述令牌值保存到存储服务器的令牌信息中；其中，所述令牌信息包括为服务使用方预先生成的令牌值、服务使用方的应用标识和服务提供方的服务接口标识；
启动调用令牌导出接口的调度线程，以从所述存储服务器中获取与所述服务提供方相对应的令牌信息，之后将所述令牌信息以所述键值对的形式更新到本地存储。
4.根据权利要求1或2所述的方法，其特征在于，所述拦截发送至服务接口的令牌值、服务使用方的应用标识和服务提供方的服务接口标识，包括：
使用拦截器对至少一个服务接口进行拦截，以分别获取发送至所述服务接口的令牌值、服务使用方的应用标识和服务提供方的服务接口标识。
5.根据权利要求3所述的方法，其特征在于，所述调度线程为定期调度线程；
所述启动调用令牌导出接口的调度线程，包括：启动所述定期调度线程，以按照预设频率自动调用令牌导出接口。
6.根据权利要求3所述的方法，其特征在于，所述令牌信息包括服务等级协议；
所述方法还包括：按照所述服务等级协议，在所述服务接口上为多个所述服务使用方分别提供不同等级的服务内容和流量控制策略。
7.一种令牌认证装置，其特征在于，包括：
第一获取模块，用于拦截发送至服务接口的令牌值、服务使用方的应用标识和服务提供方的服务接口标识；
第二获取模块，用于将所述服务使用方的应用标识和所述服务提供方的服务接口标识作为键，从服务提供方本地预先存储的键值对中获取对应的键值；其中，所述键值对的键包括服务使用方的应用标识和服务提供方的服务接口标识，所述键值是为服务使用方预先生成的令牌值；
判断认证模块，用于判断拦截发送至服务接口的令牌值与从本地预先存储中获取的所述键值是否相同，若拦截发送至服务接口的令牌值与从本地预先存储中获取的所述键值相同，则令牌认证成功。
8.根据权利要求7所述的装置，其特征在于，所述装置还包括：生成模块，用于
接收来自所述服务使用方的令牌生成请求信息，验证所述令牌生成请求信息是否有效；以及
在验证所述令牌生成请求信息有效后，为所述服务使用方生成包括所述服务提供方的应用标识的令牌值，将所述令牌值返回至所述服务使用方。
9.根据权利要求6或7所述的装置，其特征在于，所述装置还包括：存储更新模块，用于
获取为服务使用方预先生成的令牌值并发送至存储服务器，以将所述令牌值保存到存储服务器的令牌信息中；其中，所述令牌信息包括为服务使用方预先生成的令牌值、服务使用方的应用标识和服务提供方的服务接口标识；以及
启动调用令牌导出接口的调度线程，以从所述存储服务器中获取与所述服务提供方相对应的令牌信息，之后将所述令牌信息以所述键值对的形式更新到本地存储。
10.根据权利要求9所述的装置，其特征在于，所述调度线程为定期调度线程；
所述存储更新模块，还用于：启动所述定期调度线程，以按照预设频率自动调用令牌导出接口。
11.根据权利要求9所述的装置，其特征在于，所述令牌信息包括服务等级协议；所述装置还包括：
服务治理模块，用于按照所述服务等级协议，在所述服务接口上为多个所述服务使用方分别提供不同等级的服务内容和流量控制策略。
12.一种电子设备，其特征在于，包括：
一个或多个处理器；
存储装置，用于存储一个或多个程序，
当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如权利要求1-6中任一所述的方法。
13.一种计算机可读介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现如权利要求1-6中任一所述的方法。
CN201911175840.0A 2019-11-26 2019-11-26 一种令牌认证方法和装置 Active CN112953719B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201911175840.0A CN112953719B (zh) 2019-11-26 2019-11-26 一种令牌认证方法和装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201911175840.0A CN112953719B (zh) 2019-11-26 2019-11-26 一种令牌认证方法和装置

Publications (2)

Publication Number Publication Date
CN112953719A CN112953719A (zh) 2021-06-11
CN112953719B true CN112953719B (zh) 2023-03-07

Family

ID=76225105

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201911175840.0A Active CN112953719B (zh) 2019-11-26 2019-11-26 一种令牌认证方法和装置

Country Status (1)

Country Link
CN (1) CN112953719B (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114168450A (zh) * 2021-11-11 2022-03-11 北京达佳互联信息技术有限公司 令牌有效性检验方法、装置、设备及存储介质
CN117235708B (zh) * 2023-11-13 2024-03-26 紫光同芯微电子有限公司 应用程序运行时的接口授权调用方法、装置、系统和介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105991614A (zh) * 2015-03-03 2016-10-05 阿里巴巴集团控股有限公司 一种开放授权、资源访问的方法及装置、服务器
CN107493280A (zh) * 2017-08-15 2017-12-19 中国联合网络通信集团有限公司 用户认证的方法、智能网关及认证服务器
CN108234122A (zh) * 2016-12-09 2018-06-29 杭州海康汽车技术有限公司 令牌校验方法和装置
CN110266642A (zh) * 2019-05-15 2019-09-20 网宿科技股份有限公司 身份认证方法及服务器、电子设备

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9154482B2 (en) * 2013-02-15 2015-10-06 Verizon Patent And Licensing Inc. Secure access credential updating

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105991614A (zh) * 2015-03-03 2016-10-05 阿里巴巴集团控股有限公司 一种开放授权、资源访问的方法及装置、服务器
CN108234122A (zh) * 2016-12-09 2018-06-29 杭州海康汽车技术有限公司 令牌校验方法和装置
CN107493280A (zh) * 2017-08-15 2017-12-19 中国联合网络通信集团有限公司 用户认证的方法、智能网关及认证服务器
CN110266642A (zh) * 2019-05-15 2019-09-20 网宿科技股份有限公司 身份认证方法及服务器、电子设备

Also Published As

Publication number Publication date
CN112953719A (zh) 2021-06-11

Similar Documents

Publication Publication Date Title
US20210297410A1 (en) Mec platform deployment method and apparatus
US10965772B2 (en) Interface invocation method and apparatus for hybrid cloud
CN112422532B (zh) 业务通信方法、系统、装置及电子设备
CN111741016B (zh) 用于管理应用接口的方法、计算设备和计算机存储介质
US9544288B2 (en) Messaging gateway
CN112261172B (zh) 服务寻址访问方法、装置、系统、设备及介质
US10021195B2 (en) Cross-device synchronization system for account-level information
CN111651739B (zh) 登录认证服务系统及方法、认证服务节点、电子设备
US11914986B2 (en) API gateway self paced migration
CN113271296B (zh) 一种登录权限管理的方法和装置
US11893405B2 (en) Workspace resiliency with multi-feed status resource caching
CN109918191B (zh) 一种业务请求防频的方法和装置
CN112953719B (zh) 一种令牌认证方法和装置
CN110795741B (zh) 对数据进行安全性处理的方法和装置
CN112202744A (zh) 一种多系统数据通信方法和装置
CN113010238A (zh) 一种微应用调用接口的权限确定方法、装置和系统
CN113761566A (zh) 一种数据处理方法和装置
CN116244682A (zh) 数据库的访问方法、装置、设备以及存储介质
CN112214500A (zh) 数据对比的方法、装置、电子设备和存储介质
CN110765445B (zh) 处理请求的方法和装置
US20210256600A1 (en) Connector leasing for long-running software operations
CN115080274A (zh) 业务处理方法、装置和系统、以及接口映射系统
CN113824675B (zh) 管理登录态的方法和装置
CN114726596A (zh) 一种敏感数据处理方法和装置
CN114528140A (zh) 一种业务降级的方法和装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant