CN113037741A - 一种鉴权方法和相关装置 - Google Patents

Abstract

本申请实施例公开了一种鉴权方法和相关装置，至少涉及基于身份信息校验用户权限，包括：接收终端设备的登陆请求，登陆请求为目标用户通过多种登陆方式登陆业务系统中的一种登陆方式对应的请求，不同用户标识与统一账号均具有绑定关系。根据绑定关系和登陆请求中携带的用户标识获得目标用户的统一账号，该统一账号与目标用户在业务系统中的系统权限具有映射关系，根据统一账号生成鉴权令牌，将鉴权令牌发送给终端设备，以便在后续接收终端设备的鉴权请求后，根据鉴权令牌和映射关系验证目标用户在业务系统中是否具有对应的系统权限。通过统一账号与系统权限的映射关系实现后续的鉴权，需要维护的映射关系数量大大减少，降低了业务系统的维护成本。

Description

一种鉴权方法和相关装置

技术领域

本申请涉及计算机技术领域，特别是涉及一种鉴权方法和相关装置。

背景技术

业务系统，如网站的服务器、智能手机中的第三方应用程序(Application，APP)的服务器等，一般会允许用户通过多种登陆方式进行登陆，例如，用户可以通过在C网站注册的网站账号登陆C网站，还可以通过A聊天软件的账号或B聊天软件的账号登陆C网站。

业务系统通过识别不同登陆方式对应的用户标识与系统权限间的映射关系，从而实现用户的权限校验。但是不同的登陆方式颁发给同一个用户的用户标识不同，例如，用户在A聊天软件的账号与在B聊天软件的账号不同。

相关技术中，为了能够实现用户的系统权限校验，需要维护多种登陆方式对应的用户标识与系统权限间的映射关系，维护成本较高。

发明内容

为了解决上述技术问题，本申请提供了一种鉴权方法，用于解决业务系统维护成本较高的问题。

本申请实施例公开了如下技术方案：

一方面，本申请提供一种鉴权方法，所述方法应用在鉴权系统，包括：

接收终端设备的登陆请求，所述登陆请求为目标用户通过多种登陆方式登陆业务系统中的一种登陆方式对应的请求，不同的登陆方式对应不同的用户标识，所述目标用户的不同用户标识与统一账号均具有绑定关系；

根据所述绑定关系和所述登陆请求携带的用户标识获得所述目标用户的统一账号，所述统一账号与所述目标用户在所述业务系统中的系统权限具有映射关系；

根据所述统一账号生成鉴权令牌，将所述鉴权令牌发送给所述终端设备；

通过所述业务系统接收所述终端设备的鉴权请求，所述鉴权请求中携带所述鉴权令牌；

根据所述鉴权令牌和所述映射关系验证所述目标用户在所述业务系统中是否具有对应的系统权限。

另一方面，本申请提供一种鉴权装置，所述装置包括：接收单元、获得单元、执行单元和验证单元；

所述接收单元，用于接收终端设备的登陆请求，所述登陆请求为目标用户通过多种登陆方式登陆业务系统中的一种登陆方式对应的请求，不同的登陆方式对应不同的用户标识，所述目标用户的不同用户标识与统一账号均具有绑定关系；

所述获得单元，用于根据所述绑定关系和所述登陆请求携带的用户标识获得所述目标用户的统一账号，所述统一账号与所述目标用户在所述业务系统中的系统权限具有映射关系；

所述执行单元，用于根据所述统一账号生成鉴权令牌，将所述鉴权令牌发送给所述终端设备；

所述接收单元，还用于通过所述业务系统接收所述终端设备的鉴权请求，所述鉴权请求中携带所述鉴权令牌；

所述验证单元，用于根据所述鉴权令牌和所述映射关系验证所述目标用户在所述业务系统中是否具有对应的系统权限。

另一方面，本申请提供一种计算机设备，所述设备包括处理器以及存储器：

所述存储器用于存储程序代码，并将所述程序代码传输给所述处理器；

所述处理器用于根据所述程序代码中的指令执行上述方面所述的方法。

另一方面，本申请实施例提供了一种计算机可读存储介质，所述计算机可读存储介质用于存储计算机程序，所述计算机程序用于执行上述方面所述的方法。

另一方面，本申请实施例提供了一种计算机程序产品或计算机程序，该计算机程序产品或计算机程序包括计算机指令，该计算机指令存储在计算机可读存储介质中。计算机设备的处理器从计算机可读存储介质读取该计算机指令，处理器执行该计算机指令，使得该计算机设备执行上述方面所述的方法。

由上述技术方案可以看出，接收终端设备的登陆请求，该登陆请求为目标用户登陆业务系统使用的通过多种登陆方式中的一种登陆方式对应的请求，不同的登陆方式对应不同的用户标识，不同用户标识与统一账号均具有绑定关系。根据绑定关系和登陆请求中携带的用户标识可以获得目标用户的统一账号，该统一账号与目标用户在业务系统中的系统权限具有映射关系，根据统一账号生成鉴权令牌，将鉴权令牌发送给终端设备，以便在后续接收终端设备的鉴权请求后，可以依据鉴权请求中携带的鉴权令牌，以及鉴权令牌对应的统一账号与系统权限的映射关系，验证目标用户在业务系统中是否具有对应的系统权限。由此，即使目标用户通过不同的登陆方式登陆业务系统，均会转换为统一账号，通过统一账号与系统权限的映射关系实现后续的鉴权，故仅需维护统一账号与系统权限间的映射关系，相比于维护多种登陆方式对应的多种用户标识与系统权限间的映射关系，需要维护的映射关系数量大大减少，降低了业务系统的维护成本。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本申请实施例提供的鉴权方法的应用场景示意图；

图2为本申请实施例提供的一种鉴权方法的流程示意图；

图3为本申请实施例提供的一种生成鉴权令牌的示意图；

图4为本申请实施例提供的一种JWT内部的示意图；

图5为本申请实施例提供的一种鉴权方法的示意图；

图6为本申请实施例提供的一种鉴权方法的场景示意图；

图7为本申请实施例提供的一种鉴权装置的示意图；

图8为本申请实施例提供的服务器的结构示意图；

图9为本申请实施例提供的终端设备的结构示意图。

具体实施方式

下面结合附图，对本申请的实施例进行描述。

相关技术中，不同登陆方式对应不同的用户标识，不同的用户标识与业务系统的系统权限间均具有映射关系，业务系统需要保存多种用户标识与系统权限的映射关系，以便实现用户的系统权限校验。为了保证校验的准确性，需要对多种用户标识与系统权限的映射关系进行维护，维护成本较高。

基于此，本申请实施例提供一种鉴权方法和相关装置，可以降低需要维护的映射关系数量，从而降低维护成本。

本申请提供的鉴权方法可以应用于具有数据处理能力的鉴权设备，如服务器，该服务器可以是独立于业务系统的服务器，还可以是集成在业务系统中的鉴权设备，本申请对此不做具体限定。其中，服务器可以是独立的物理服务器，也可以是多个物理服务器构成的服务器集群或者分布式系统，还可以是提供云计算服务的云服务器。服务器可以通过有线或无线通信方式进行直接或间接地连接，本申请在此不做限制。

为了便于理解本申请的技术方案，下面结合实际应用场景，对本申请实施例提供的鉴权方法进行介绍。

参见图1，该图为本申请实施例提供的鉴权方法的应用场景示意图。在图1所示的应用场景中，包括鉴权系统100、业务系统200，鉴权系统100与业务系统200为不同的服务器，鉴权系统100用于实现目标用户在业务系统200中的系统权限校验。

当目标用户通过终端设备300登陆业务系统200时，鉴权系统100接收终端设备300的登陆请求。其中，在目标用户登陆业务系统200的过程中，业务系统200为目标用户提供多种登陆方式，目标用户可以通过其中一种登陆方式登陆业务系统200。由于不同登陆方式之间数据不互通等原因，不同登陆方式对应不同的用户标识，目标用户的不同用户标识与目标用户的统一账号均具有绑定关系，即使目标用户具有多个登陆方式对应的多个用户标识，均可以转化为该目标用户对应的一个统一账号，其中，该绑定关系存储在鉴权系统100中。

鉴权系统100根据登陆请求中携带的用户标识，利用绑定关系可以获得目标用户的统一账号，该统一账号与目标用户具有一一对应关系。统一账号与目标用户在业务系统200中的系统权限具有映射关系。由此，即使目标用户通过不同的登陆方式登陆业务系统200，均会转换为统一账号，通过统一账号与系统权限的映射关系实现后续的鉴权。

鉴权系统100根据统一账号生成鉴权令牌，将鉴权令牌发送给终端设备300，统一账号通过鉴权令牌这个载体被发送给终端设备300，终端设备300在后续的鉴权过程中，可以发送携带有鉴权令牌的鉴权请求给业务系统。鉴权系统100在接收业务系统转发的鉴权请求后，可以依据鉴权请求中携带的鉴权令牌，以及鉴权令牌对应的统一账号与系统权限间的映射关系，验证目标用户在业务系统200中是否具有对应的系统权限。

由此，将根据用户标识获取系统权限转换为根据统一账号获取系统权限，仅需维护统一账号与系统权限间的映射关系，相比于维护多种登陆方式对应的多种用户标识与系统权限间的映射关系，需要维护的映射关系数量大大减少，降低了业务系统的维护成本。

下面结合附图，以服务器作为鉴权设备，对本申请实施例提供的一种鉴权方法进行介绍。

参见图2，图2为本申请实施例提供的一种鉴权方法的流程示意图。如图2所示，该鉴权方法包括以下步骤：

S201：接收终端设备的登陆请求。

目标用户可以通过终端设备登陆业务系统，一般业务系统提供多种登陆方式供用户选择，例如，通过目标用户在该业务系统注册的账号进行登陆，或者通过目标用户在其他业务系统注册的账号进行登陆，即通过第三方登陆方式进行登陆。目标用户可以在多种登录方式中选择其中的一种登陆方式登陆业务系统。

由于不同的登陆方式之间信息不互相共享等原因，不同的登陆方式对应不同的用户标识，业务系统需要根据用户标识判断用户身份，以便能够验证不同的用户标识在业务系统对应的系统权限。相关技术中，通过建立多种登陆方式对应的用户标识与系统权限之间的映射关系，并保存在业务系统中，以便根据用户标识验证对应的用户在业务系统中的系统权限。业务系统不仅需要保存较多的映射关系，在验证系统权限的时候查找速度较慢，而且若用户的系统权限发生改变，需要对应修改较多用户标识与系统权限间的映射关系，维护成本较高。

基于此，本申请将目标用户的不同用户标识与统一账号进行绑定，将绑定关系存储在鉴权系统中，通过统一账号即可识别对应的目标用户，从而根据统一账号验证用户在业务系统的系统权限。

需要说明的是，鉴权系统可以作为子系统内置于业务系统中，还可以作为独立的系统独立于业务系统，本申请对此不做具体限定。

其中，若鉴权系统内置与业务系统中，由于统一账号的数量少于用户标识的数量，鉴权系统对应保存的映射关系数量减少，提高了查找用户身份的速度，且对应修改映射关系的数量也较少，降低了维护成本。

若鉴权系统独立于业务系统，对于业务系统而言，无需保存多种登陆方式与系统权限的映射关系，降低了存储压力，且统一账号的数量少于用户标识的数量，通过统一账号即可知晓其对应的用户，提高了查找用户身份的速度。

S202：根据绑定关系和登陆请求携带的用户标识获得目标用户的统一账号。

鉴权系统中不仅存储统一账号与用户标识的绑定关系，还存储统一账号与系统权限的映射关系，从而根据登陆请求中携带的用户标识和绑定关系，可以获取到目标用户的统一账号，以便根据目标用户的统一账号验证目标用户在业务系统的系统权限。

需要说明的是，该统一账号与目标用户具有一一对应的关系，具有全局唯一性，通过统一账号无需判断过程即可识别该统一账号对应的用户。

需要说明的是，统一账号为目标用户预先在鉴权系统中注册的账号，若目标用户没有在鉴权系统中预先注册统一账号，则本次登录请求鉴权失败，可以提醒目标用户在鉴权系统中注册统一账号。

S203：根据统一账号生成鉴权令牌，将鉴权令牌发送给终端设备。

在获得目标用户对应的统一账号后，根据统一账号生成鉴权专用的鉴权令牌(token)，又或者称为通用登录票据，表征目标用户在业务系统的登陆态，即目标用户登录之后的登录有效凭证，可以具有时效性。

作为一种可能的实现方式，若业务系统与鉴权系统为两个独立的系统，鉴权系统可以通过业务系统将鉴权令牌返回给终端设备，终端设备发起鉴权请求均需携带鉴权系统下发的鉴权令牌，以便鉴权系统根据鉴权令牌进行鉴权。

参见图3，该图为本申请实施例提供的一种生成鉴权令牌的示意图。目标用户可以提前在鉴权系统中注册统一账号，以便进行鉴权。目标用户可以在A聊天软件注册的账号、B聊天软件注册的账号、办公自动化系统(Office Automation，OA)中选择一种进行登录，鉴权系统根据不同登录方式分别对应的用户标识A_openid、B_openid、OA_openid获取其对应的统一账号，根据统一账号生成鉴权令牌，并将鉴权令牌返回给终端设备，以便终端设备访问业务系统时，鉴权系统依赖于鉴权令牌进行鉴权。

由此，无论目标用户何种登录方式，均可转化为统一账号，并通过根据统一账号生成的鉴权令牌进行鉴权。通过将登录方式与鉴权逻辑解耦，无论业务系统拓展多少种登录方式，均可以方便的实现鉴权。

S204：通过业务系统接收终端设备的鉴权请求。

在终端设备接收鉴权令牌后，终端设备每次访问业务系统时均会在鉴权请求中携带该鉴权令牌，业务系统在执行该业务接口前均会将该鉴权请求中携带的鉴权令牌在鉴权系统中进行鉴权。

例如，若业务系统的下游服务，如广告推荐业务需要鉴权或者识别目标用户身份，业务系统可以将该鉴权令牌传递给下游服务，以便下游服务发送携带该鉴权令牌的鉴权请求给鉴权系统，鉴权系统根据鉴权令牌和映射关系验证目标用户在下游服务中是否具有对应的系统权限。从而无需下游服务重新建立不同登陆方式的用户标识与系统权限的映射关系，降低了维护成本和改造成本。

S205：根据鉴权令牌和映射关系验证目标用户在业务系统中是否具有对应的系统权限。

由上述技术方案可以看出，接收终端设备的登陆请求，该登陆请求为目标用户登陆业务系统使用的通过多种登陆方式中的一种登陆方式对应的请求，不同的登陆方式对应不同的用户标识，不同用户标识与统一账号均具有绑定关系。根据绑定关系和登陆请求中携带的用户标识可以获得目标用户的统一账号，该统一账号与目标用户在业务系统中的系统权限具有映射关系，根据统一账号生成鉴权令牌，将鉴权令牌发送给终端设备，以便在后续接收终端设备的鉴权请求后，可以依据鉴权请求中携带的鉴权令牌，以及鉴权令牌对应的统一账号与系统权限的映射关系，验证目标用户在业务系统中是否具有对应的系统权限。由此，即使目标用户通过不同的登陆方式登陆业务系统，均会转换为统一账号，通过统一账号与系统权限的映射关系实现后续的鉴权，故仅需维护统一账号与系统权限间的映射关系，相比于维护多种登陆方式对应的多种用户标识与系统权限间的映射关系，需要维护的映射关系数量大大减少，降低了业务系统的维护成本。

作为一种可能的实现方式，鉴权令牌的格式可以为Json web token(JWT)，JWT为在网络应用环境间传递声明而执行的一种基于JSON(javascript object notation，一种轻量级的数据交换格式)的开放标准，允许在网络中传输，并且支持添加额外的信息。由于其本身可以实现安全和有效性校验，故无需额外的服务检验安全性和有效性。

JWT包括三个部分，分别为头部部分(header)、载荷部分(payload)和签名部分(signature)，其中，头部部分中存储了加密算法，方便服务解密；载荷部分中存储了非敏感信息，如统一账号信息；签名部分由前两部分加密后形成，作为JWT的签名避免被篡改。在根据统一账号生成鉴权令牌时，可以将统一账号写入载荷部分，将第一加密方式写入头部部分，根据第一加密方式对头部部分和载荷部分进行加密，生成签名部分，根据头部部分、载荷部分和签名部分生成鉴权令牌。

参见图4，该图为本申请实施例提供的一种JWT内部的示意图。第一加密方式为HS256(一种JWT的签名算法)，以“alg”形式写入头部部分中。统一账号以“access Token”的形式写入载荷部分中。

作为一种可能的实现方式，为了提高JWT的安全性，根据第二加密方式对载荷部分进行加密，即对载荷部分中存储的非敏感信息进行加密，例如使用如图4所示的高级加密标准(Advanced Encryption Standard，AES)加密方式进行加密，获得加密后的载荷部分，根据第一加密方式对头部部分和加密后的载荷部分进行加密生成签名部分，通过两次加密生成JWT，提高JWT的安全性。

需要说明的是，第一加密方式可以和第二加密方式相同，也可以不同，本申请对此不做具体限定。

作为一种可能的实现方式，不仅可以将统一账号写入载荷部分，还可以将用户标识、鉴权令牌的有效时间、登录方式对应的服务器地址等登陆信息写入载荷部分。可以理解的是，用户标识、登陆方式对应的服务器地址等登陆信息来自于登陆请求。

继续参见图4，当目标用户使用不同的登录方式进行登录后，将该种方式对应的用户标识(iat)、鉴权令牌的有效时间(expire)、登录方式对应的服务器地址(host)等登陆信息与统一账号一同打包到JWT内部的载荷部分中，在经过二次加密之后，返回给业务系统。业务系统将此JWT作为token种植到终端设备的cookie(一种小型文本文件)中，之后终端设备每次访问业务系统都会带着此token，由业务系统转发该token给鉴权系统进行鉴权。

作为一种可能实现方式，为了保证鉴权的安全性，可以定期生成鉴权令牌。根据鉴权令牌携带的鉴权令牌的有效时间验证鉴权令牌的有效性，若鉴权令牌有效，即鉴权令牌在有效期规定的时间内，则根据鉴权令牌和映射关系验证目标用户在业务系统中是否具有对应的系统权限；若鉴权令牌无效，即鉴权令牌不在有效期规定的时间内，则提示目标用户重新登陆业务系统，以便生产新的鉴权令牌。

作为一种可能的实现方式，JWT的载荷部分还可以包括业务系统对应的系统标识，通过系统标识区分不同的业务系统，如图4所示，在载荷部分中，通过“projectid”表征当前的登陆方式为第4种，使得不同的登陆方式认证的接入工作对于所有的业务系统均可以被复用，大大节约人力成本，降低业务系统的改造成本。

参见图5，该图为本申请实施例提供的一种鉴权方法的示意图。图5所示为目标用户通过客户端或浏览器等终端设备登陆业务系统的过程。在获取如图所示的多种登陆方式中的一种登陆方式的登陆授权后，终端设备发送登陆请求给鉴权系统，该登陆请求携带对应登陆方式的用户标识与所需请求的业务系统，以便鉴权系统在获得对应的统一账号后，生成请求对应业务系统的鉴权令牌，将鉴权令牌发送给对应的客户端或浏览器，目标用户通过该客户端或浏览器发送携带该鉴权令牌的鉴权请求访问业务系统，业务系统将鉴权请求中携带的鉴权令牌发送给鉴权系统，验证目标用户对应的权限，以便目标用户在业务系统获取对应的服务。

通过前述对JWT内部设计，对于鉴权系统而言，在目标用户登陆成功后给终端设备派发鉴权令牌；属于一种算法，无中心存储，防止拖库；通过双重加密，以私钥进行签名，可以保证鉴权系统唯一；鉴权令牌具有生命周期，密钥可以定期更换，保证安全性；鉴权令牌经过压缩更为精简，实现最小化传输；通过超文本传输安全协议(HyperText TransferProtocol Secure，HTTPS)加密传输，防劫持；派发鉴权令牌过程具有可追溯性，可以实现安全审计能力。

对于终端设备而言，cookie内容加密，cookie设置http-only防跨站脚本攻击(Cross-Site Scripting，XSS)防注入攻击；cookie设置secure为true，可以防中间人劫持；根据cookie域匹配可以实现最小授权原则；设置cookie有效期，提高安全性。

为了更好的理解本申请实施例提供的鉴权方法，下面以目标用户通过第三方认证系统登陆业务系统为例，对本申请实施例提供的鉴权方法进行说明。

参见图6，该图为本申请实施例提供的一种鉴权方法的场景示意图。在图6所示场景中，目标用户通过第三方登陆方式登陆业务系统，鉴权系统独立于业务系统。

1、目标用户通过终端设备访问业务系统。

2、业务系统唤起第三方登陆系统。

业务系统提供多种第三方登陆方式，当目标用户选择其中一种登陆方式后，业务系统唤起对应的第三方登陆页面。可以理解的是，该第三方登陆页面有第三方登陆系统提供。

3、登陆成功，第三方登陆系统回调鉴权系统。

若第三方登陆系统验证目标用户登陆成功，如登陆账号和登陆密码正确，第三方登陆系统将用户标识、鉴权令牌的有效时间等目标用户的其他登陆信息发送给鉴权系统。

4、鉴权系统获取统一账号，生成JWT。

鉴权系统根据用户标识获取目标用户的统一账号，根据用户标识、统一账号、鉴权令牌的有效时间、登陆方式对应的服务器地址等信息生成JWT。

5、鉴权系统将JWT发送给业务系统。

6、业务系统将JWT存储在目标用户的终端设备中，如cookie。

7、终端设备发送携带JWT的鉴权请求给业务系统。

若目标用户再次访问业务系统，终端设备发送携带有JWT的鉴权请求给业务系统。

8、业务系统携带JWT的鉴权请求给给鉴权系统。

9、鉴权系统返回鉴权结果给业务系统。

10、业务系统返回鉴权结果给终端设备。

由此，通过利用JWT将登陆方式与鉴权逻辑进行解耦，不同的第三方登录的颁发的用户标识与鉴权逻辑没有关联，将各种用户标识都抽象到上层的统一账号去管理，使用JWT来承载用户的各种登录方式对应的用户标识，换句话说，通过重新颁发一套鉴权标识(即统一账号)作为统一鉴权的唯一依据，减少维护和改造成本，业务系统不需要处理登录和鉴权的逻辑，使登录和鉴权模块不再成为业务的能力拓展的短板，可以使业务系统快速拓展多种登录方式。

针对上述实施例提供的鉴权方法，本申请实施例还提供了一种鉴权装置。

参见图7，该图为本申请实施例提供的一种鉴权装置的示意图。如图7所示，该鉴权装置700包括：接收单元701、获得单元702、执行单元703和验证单元704；

所述接收单元701，用于接收终端设备的登陆请求，所述登陆请求为目标用户通过多种登陆方式登陆业务系统中的一种登陆方式对应的请求，不同的登陆方式对应不同的用户标识，所述目标用户的不同用户标识与统一账号均具有绑定关系；

所述获得单元702，用于根据所述绑定关系和所述登陆请求携带的用户标识获得所述目标用户的统一账号，所述统一账号与所述目标用户在所述业务系统中的系统权限具有映射关系；

所述执行单元703，用于根据所述统一账号生成鉴权令牌，将所述鉴权令牌发送给所述终端设备；

所述接收单元701，还用于通过所述业务系统接收所述终端设备的鉴权请求，所述鉴权请求中携带所述鉴权令牌；

所述验证单元704，用于根据所述鉴权令牌和所述映射关系验证所述目标用户在所述业务系统中是否具有对应的系统权限。

作为一种可能的实现方式，所述执行单元703，用于：

将所述统一账号写入载荷部分，将第一加密方式写入头部部分；

根据所述第一加密方式对所述头部部分和所述载荷部分进行加密，生成签名部分；

根据所述头部部分、所述载荷部分和所述签名部分生成鉴权令牌。

作为一种可能的实现方式，所述执行单元703，用于：

将所述业务系统对应的系统标识和所述统一账号写入载荷部分。

作为一种可能的实现方式，所述执行单元703，用于：

根据第二加密方式将所述载荷部分进行加密，获得加密后的载荷部分；

根据所述第一加密方式对所述头部部分和所述加密后的载荷部分进行加密，生成签名部分。

作为一种可能的实现方式，所述执行单元703，用于：

将所述统一账号、所述用户标识、所述鉴权令牌的有效时间、登陆方式对应的服务器地址写入载荷部分。

作为一种可能的实现方式，所述验证单元704，用于：

根据所述鉴权令牌的有效时间验证所述鉴权令牌的有效性，若所述鉴权令牌有效，则根据所述鉴权令牌和所述映射关系验证所述目标用户在所述业务系统中是否具有对应的系统权限；

若所述鉴权令牌无效，则提示所述目标用户重新登陆所述业务系统。

作为一种可能的实现方式，所述验证单元704，还用于：

若接收所述业务系统的下游服务的鉴权请求，根据所述鉴权令牌和所述映射关系验证所述目标用户在所述下游服务中是否具有对应的系统权限，所述鉴权请求携带的鉴权令牌为所述业务系统发送的。

本申请实施例提供鉴权装置，接收终端设备的登陆请求，该登陆请求为目标用户登陆业务系统使用的通过多种登陆方式中的一种登陆方式对应的请求，不同的登陆方式对应不同的用户标识，不同用户标识与统一账号均具有绑定关系。根据绑定关系和登陆请求中携带的用户标识可以获得目标用户的统一账号，该统一账号与目标用户在业务系统中的系统权限具有映射关系，根据统一账号生成鉴权令牌，将鉴权令牌发送给终端设备，以便在后续接收终端设备的鉴权请求后，可以依据鉴权请求中携带的鉴权令牌，以及鉴权令牌对应的统一账号与系统权限的映射关系，验证目标用户在业务系统中是否具有对应的系统权限。由此，即使目标用户通过不同的登陆方式登陆业务系统，均会转换为统一账号，通过统一账号与系统权限的映射关系实现后续的鉴权，故仅需维护统一账号与系统权限间的映射关系，相比于维护多种登陆方式对应的多种用户标识与系统权限间的映射关系，需要维护的映射关系数量大大减少，降低了业务系统的维护成本。

前述所述的鉴权设备可以为一种计算机设备，该计算机设备可以为服务器，还可以为终端设备，下面将从硬件实体化的角度对本申请实施例提供的计算机设备进行介绍。其中，图8所示为服务器的结构示意图，图9所示为终端设备的结构示意图。

参见图8，图8是本申请实施例提供的一种服务器结构示意图，该服务器1400可因配置或性能不同而产生比较大的差异，可以包括一个或一个以上中央处理器(centralprocessing units，CPU)1422(例如，一个或一个以上处理器)和存储器1432，一个或一个以上存储应用程序1442或数据1444的存储介质1430(例如一个或一个以上海量存储设备)。其中，存储器1432和存储介质1430可以是短暂存储或持久存储。存储在存储介质1430的程序可以包括一个或一个以上模块(图示没标出)，每个模块可以包括对服务器中的一系列指令操作。更进一步地，中央处理器1422可以设置为与存储介质1430通信，在服务器1400上执行存储介质1430中的一系列指令操作。

服务器1400还可以包括一个或一个以上电源1426，一个或一个以上有线或无线网络接口1450，一个或一个以上输入输出接口1458，和/或，一个或一个以上操作系统1441，例如Windows ServerTM，Mac OS XTM，UnixTM,LinuxTM，FreeBSDTM等等。

上述实施例中由服务器所执行的步骤可以基于该图8所示的服务器结构。

其中，CPU 1422用于执行如下步骤：

接收终端设备的登陆请求，所述登陆请求为目标用户通过多种登陆方式登陆业务系统中的一种登陆方式对应的请求，不同的登陆方式对应不同的用户标识，所述目标用户的不同用户标识与统一账号均具有绑定关系；

根据所述绑定关系和所述登陆请求携带的用户标识获得所述目标用户的统一账号，所述统一账号与所述目标用户在所述业务系统中的系统权限具有映射关系；

根据所述统一账号生成鉴权令牌，将所述鉴权令牌发送给所述终端设备；

通过所述业务系统接收所述终端设备的鉴权请求，所述鉴权请求中携带所述鉴权令牌；

根据所述鉴权令牌和所述映射关系验证所述目标用户在所述业务系统中是否具有对应的系统权限。

可选的，CPU 1422还可以执行本申请实施例中鉴权方法任一具体实现方式的方法步骤。

参见图9，图9为本申请实施例提供的一种终端设备的结构示意图。图9示出的是与本申请实施例提供的终端设备相关的智能手机的部分结构的框图，该智能手机包括：射频(Radio Frequency，简称RF)电路1510、存储器1520、输入单元1530、显示单元1540、传感器1550、音频电路1560、无线保真(wireless fidelity，简称WiFi)模块1570、处理器1580、以及电源1590等部件。本领域技术人员可以理解，图9中示出的智能手机结构并不构成对智能手机的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。

下面结合图9对智能手机的各个构成部件进行具体的介绍：

RF电路1510可用于收发信息或通话过程中，信号的接收和发送，特别地，将基站的下行信息接收后，给处理器1580处理；另外，将设计上行的数据发送给基站。通常，RF电路1510包括但不限于天线、至少一个放大器、收发信机、耦合器、低噪声放大器(Low NoiseAmplifier，简称LNA)、双工器等。此外，RF电路1510还可以通过无线通信与网络和其他设备通信。上述无线通信可以使用任一通信标准或协议，包括但不限于全球移动通讯系统(Global System of Mobile communication，简称GSM)、通用分组无线服务(GeneralPacket Radio Service，简称GPRS)、码分多址(Code Division Multiple Access，简称CDMA)、宽带码分多址(Wideband Code Division Multiple Access，简称WCDMA)、长期演进(Long Term Evolution，简称LTE)、电子邮件、短消息服务(Short Messaging Service，简称SMS)等。

存储器1520可用于存储软件程序以及模块，处理器1580通过运行存储在存储器1520的软件程序以及模块，从而实现智能手机的各种功能应用以及数据处理。存储器1520可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序(比如声音播放功能、图像播放功能等)等；存储数据区可存储根据智能手机的使用所创建的数据(比如音频数据、电话本等)等。此外，存储器1520可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他易失性固态存储器件。

输入单元1530可用于接收输入的数字或字符信息，以及产生与智能手机的用户设置以及功能控制有关的键信号输入。具体地，输入单元1530可包括触控面板1531以及其他输入设备1532。触控面板1531，也称为触摸屏，可收集用户在其上或附近的触摸操作(比如用户使用手指、触笔等任何适合的物体或附件在触控面板1531上或在触控面板1531附近的操作)，并根据预先设定的程式驱动相应的连接装置。可选的，触控面板1531可包括触摸检测装置和触摸控制器两个部分。其中，触摸检测装置检测用户的触摸方位，并检测触摸操作带来的信号，将信号传送给触摸控制器；触摸控制器从触摸检测装置上接收触摸信息，并将它转换成触点坐标，再送给处理器1580，并能接收处理器1580发来的命令并加以执行。此外，可以采用电阻式、电容式、红外线以及表面声波等多种类型实现触控面板1531。除了触控面板1531，输入单元1530还可以包括其他输入设备1532。具体地，其他输入设备1532可以包括但不限于物理键盘、功能键(比如音量控制按键、开关按键等)、轨迹球、鼠标、操作杆等中的一种或多种。

显示单元1540可用于显示由用户输入的信息或提供给用户的信息以及智能手机的各种菜单。显示单元1540可包括显示面板1541，可选的，可以采用液晶显示器(LiquidCrystal Display，简称LCD)、有机发光二极管(Organic Light-Emitting Diode，简称OLED)等形式来配置显示面板1541。进一步的，触控面板1531可覆盖显示面板1541，当触控面板1531检测到在其上或附近的触摸操作后，传送给处理器1580以确定触摸事件的类型，随后处理器1580根据触摸事件的类型在显示面板1541上提供相应的视觉输出。虽然在图9中，触控面板1531与显示面板1541是作为两个独立的部件来实现智能手机的输入和输入功能，但是在某些实施例中，可以将触控面板1531与显示面板1541集成而实现智能手机的输入和输出功能。

智能手机还可包括至少一种传感器1550，比如光传感器、运动传感器以及其他传感器。具体地，光传感器可包括环境光传感器及接近传感器，其中，环境光传感器可根据环境光线的明暗来调节显示面板1541的亮度，接近传感器可在智能手机移动到耳边时，关闭显示面板1541和/或背光。作为运动传感器的一种，加速计传感器可检测各个方向上(一般为三轴)加速度的大小，静止时可检测出重力的大小及方向，可用于识别智能手机姿态的应用(比如横竖屏切换、相关游戏、磁力计姿态校准)、振动识别相关功能(比如计步器、敲击)等；至于智能手机还可配置的陀螺仪、气压计、湿度计、温度计、红外线传感器等其他传感器，在此不再赘述。

音频电路1560、扬声器1561，传声器1562可提供用户与智能手机之间的音频接口。音频电路1560可将接收到的音频数据转换后的电信号，传输到扬声器1561，由扬声器1561转换为声音信号输出；另一方面，传声器1562将收集的声音信号转换为电信号，由音频电路1560接收后转换为音频数据，再将音频数据输出处理器1580处理后，经RF电路1510以发送给比如另一智能手机，或者将音频数据输出至存储器1520以便进一步处理。

WiFi属于短距离无线传输技术，智能手机通过WiFi模块1570可以帮助用户收发电子邮件、浏览网页和访问流式媒体等，它为用户提供了无线的宽带互联网访问。虽然图9示出了WiFi模块1570，但是可以理解的是，其并不属于智能手机的必须构成，完全可以根据需要在不改变发明的本质的范围内而省略。

处理器1580是智能手机的控制中心，利用各种接口和线路连接整个智能手机的各个部分，通过运行或执行存储在存储器1520内的软件程序和/或模块，以及调用存储在存储器1520内的数据，执行智能手机的各种功能和处理数据，从而对智能手机进行整体监控。可选的，处理器1580可包括一个或多个处理单元；优选的，处理器1580可集成应用处理器和调制解调处理器，其中，应用处理器主要处理操作系统、用户界面和应用程序等，调制解调处理器主要处理无线通信。可以理解的是，上述调制解调处理器也可以不集成到处理器1580中。

智能手机还包括给各个部件供电的电源1590(比如电池)，优选的，电源可以通过电源管理系统与处理器1580逻辑相连，从而通过电源管理系统实现管理充电、放电、以及功耗管理等功能。

尽管未示出，智能手机还可以包括摄像头、蓝牙模块等，在此不再赘述。

在本申请实施例中，该智能手机所包括的存储器1520可以存储程序代码，并将所述程序代码传输给所述处理器。

该智能手机所包括的处理器1580可以根据所述程序代码中的指令执行上述实施例提供的鉴权方法。

本申请实施例还提供一种计算机可读存储介质，用于存储计算机程序，该计算机程序用于执行上述实施例提供的鉴权方法。

本申请实施例还提供了一种计算机程序产品或计算机程序，该计算机程序产品或计算机程序包括计算机指令，该计算机指令存储在计算机可读存储介质中。计算机设备的处理器从计算机可读存储介质读取该计算机指令，处理器执行该计算机指令，使得该计算机设备执行上述方面的各种可选实现方式中提供的鉴权方法。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质可以是下述介质中的至少一种：只读存储器(英文：read-only memory，缩写：ROM)、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

需要说明的是，本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于设备及系统实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的设备及系统实施例仅仅是示意性的，其中作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述，仅为本申请的一种具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应该以权利要求的保护范围为准。

Claims (10)

1.一种鉴权方法，其特征在于，所述方法应用在鉴权系统，包括：

接收终端设备的登陆请求，所述登陆请求为目标用户通过多种登陆方式登陆业务系统中的一种登陆方式对应的请求，不同的登陆方式对应不同的用户标识，所述目标用户的不同用户标识与统一账号均具有绑定关系；

根据所述绑定关系和所述登陆请求携带的用户标识获得所述目标用户的统一账号，所述统一账号与所述目标用户在所述业务系统中的系统权限具有映射关系；

根据所述统一账号生成鉴权令牌，将所述鉴权令牌发送给所述终端设备；

通过所述业务系统接收所述终端设备的鉴权请求，所述鉴权请求中携带所述鉴权令牌；

根据所述鉴权令牌和所述映射关系验证所述目标用户在所述业务系统中是否具有对应的系统权限。

2.根据权利要求1所述的方法，其特征在于，所述根据所述统一账号生成鉴权令牌，包括：

将所述统一账号写入载荷部分，将第一加密方式写入头部部分；

根据所述第一加密方式对所述头部部分和所述载荷部分进行加密，生成签名部分；

根据所述头部部分、所述载荷部分和所述签名部分生成鉴权令牌。

3.根据权利要求2所述的方法，其特征在于，所述将所述统一账号写入载荷部分，包括：

将所述业务系统对应的系统标识和所述统一账号写入载荷部分。

4.根据权利要求2所述的方法，其特征在于，所述根据所述第一加密方式对所述头部部分和所述载荷部分进行加密，生成签名部分，包括：

根据第二加密方式将所述载荷部分进行加密，获得加密后的载荷部分；

根据所述第一加密方式对所述头部部分和所述加密后的载荷部分进行加密，生成签名部分。

5.根据权利要求2所述的方法，其特征在于，所述将所述统一账号写入载荷部分，包括：

将所述统一账号、所述用户标识、所述鉴权令牌的有效时间、登陆方式对应的服务器地址写入载荷部分。

6.根据权利要求5所述的方法，其特征在于，所述根据所述鉴权令牌和所述映射关系验证所述目标用户在所述业务系统中是否具有对应的系统权限，包括：

根据所述鉴权令牌的有效时间验证所述鉴权令牌的有效性；

若所述鉴权令牌有效，则根据所述鉴权令牌和所述映射关系验证所述目标用户在所述业务系统中是否具有对应的系统权限。

7.根据权利要求6所述的方法，其特征在于，所述方法还包括：

若所述鉴权令牌无效，则提示所述目标用户重新登陆所述业务系统。

8.根据权利要求1-7任意一项所述的方法，其特征在于，所述方法还包括：

若接收所述业务系统的下游服务的鉴权请求，根据所述鉴权令牌和所述映射关系验证所述目标用户在所述下游服务中是否具有对应的系统权限，所述鉴权请求携带的鉴权令牌为所述业务系统发送的。

9.一种鉴权装置，其特征在于，所述装置包括：接收单元、获得单元、执行单元和验证单元；

所述接收单元，用于接收终端设备的登陆请求，所述登陆请求为目标用户通过多种登陆方式登陆业务系统中的一种登陆方式对应的请求，不同的登陆方式对应不同的用户标识，所述目标用户的不同用户标识与统一账号均具有绑定关系；

所述获得单元，用于根据所述绑定关系和所述登陆请求携带的用户标识获得所述目标用户的统一账号，所述统一账号与所述目标用户在所述业务系统中的系统权限具有映射关系；

所述执行单元，用于根据所述统一账号生成鉴权令牌，将所述鉴权令牌发送给所述终端设备；

所述接收单元，还用于通过所述业务系统接收所述终端设备的鉴权请求，所述鉴权请求中携带所述鉴权令牌；

所述验证单元，用于根据所述鉴权令牌和所述映射关系验证所述目标用户在所述业务系统中是否具有对应的系统权限。

10.一种计算机设备，其特征在于，所述设备包括处理器以及存储器：

所述存储器用于存储程序代码，并将所述程序代码传输给所述处理器；

所述处理器用于根据所述程序代码中的指令执行权利要求1-8任意一项所述的方法。

Images