CN113067827A

CN113067827A - 一种系统统一认证方法及装置

Info

Publication number: CN113067827A
Application number: CN202110318151.1A
Authority: CN
Inventors: 刘慕雨; 孙才婵; 张锦涛; 黄镜澄
Original assignee: Industrial and Commercial Bank of China Ltd ICBC
Current assignee: Industrial and Commercial Bank of China Ltd ICBC
Priority date: 2021-03-25
Filing date: 2021-03-25
Publication date: 2021-07-02
Anticipated expiration: 2041-03-25
Also published as: CN113067827B

Abstract

本发明提供了一种系统统一认证方法及装置，涉及金融技术领域，方法包括：从用户端发送的登录请求报文中提取用户ID并根据用户ID查询预存的公钥；登录请求报文包括：第一密文和用户ID；通过公钥从登录请求报文中获取登录成功跳转地址；将获取的用户信息使用本地私钥进行加密生成第二密文返回至用户端，以使用户端生成第三密文；使用统一认证公钥对第三密文进行验签并将第三密文保存，返回登陆成功信息至用户端。

Description

一种系统统一认证方法及装置

技术领域

本申请属于信息安全技术领域，具体地讲，涉及一种系统统一认证方法及装置。

背景技术

传统的统一认证方式是在企业内搭建一套统一认证系统，企业员工入职后即给相应的人员分配一个统一认证ID作为员工在企业的编号，并将员工的其他信息录入统一认证系统。当员工试图通过浏览器访问企业内的某个Web系统时，这个系统会判断会话中有无该用户的信息，如果没有，则跳转到统一认证系统做人员的身份认证。员工使用自己的ID和密码登录到统一认证系统，统一认证系统对用户做身份校验，校验通过后从数据库中查询出用户的详细信息再重定向回原系统，原系统将用户信息写入会话，之后用户就可以正常进入系统。但是这种传统方式存在信息安全上的缺陷和不足，例如企业的统一认证系统无法确定请求的来源，任何系统都可以访问统一认证服务器做身份认证，但用户信息是需要保密的，所以导致很多外部测试系统无权访问企业的统一认证服务器。

发明内容

本申请提供了一种系统统一认证方法及装置，以至少解决当前统一认证系统缺乏信息安全可靠性的问题。

根据本申请的一个方面，提供了一种系统统一认证方法，包括：

从用户端发送的登录请求报文中提取用户ID并根据用户ID查询预存的公钥；登录请求报文包括：第一密文和用户ID；

通过公钥从登录请求报文中获取登录成功跳转地址；

将获取的用户信息使用本地私钥进行加密生成第二密文返回至用户端，以使用户端生成第三密文；

使用统一认证公钥对第三密文进行验签并将第三密文保存，返回登陆成功信息至用户端。

在一实施例中，通过公钥从登录请求报文中获取跳转地址，包括：

验证公钥的有效期；

如果验证通过，则使用公钥对登录请求报文中的第一密文进行验签；

验签成功后提取第一密文中的登录成功跳转地址。

在一实施例中，系统统一认证方法还包括：

根据用户提供的用户ID和密钥申请请求，使用非对称加密算法生成一对公私钥；

将公钥、公钥的有效期和用户ID存入数据库；

将用户ID、私钥以及统一认证公钥返回给用户端。

在一实施例中，系统统一认证方法还包括：

根据获取的待跳转系统地址获取预存的第三密文；

通过待跳转系统地址访问待跳转系统的认证接口；

根据第三密文生成第四密文发送至待跳转系统，以使待跳转系统使用统一认证公钥对第四密文进行验签获取用户信息，并重定向到登录成功跳转地址。

根据本申请的另一个方面，还提供了一种系统统一认证装置，包括：

ID及公钥获取单元，用于从用户端发送的登录请求报文中提取用户ID并根据用户ID查询预存的公钥；登录请求报文包括：第一密文和用户ID；

登录成功地址维持单元，用于通过公钥从登录请求报文中获取登录成功跳转地址；

密文生成单元，用于将获取的用户信息使用本地私钥进行加密生成第二密文返回至用户端，以使用户端生成第三密文并返回；

登录单元，用于使用统一认证公钥对第三密文进行验签并将第三密文保存，返回登陆成功信息至用户端。

在一实施例中，登录成功地址维持单元包括：

验证模块，用于验证公钥的有效期；

验签模块，用于如果验证通过，则使用公钥对登录请求报文中的第一密文进行验签；

提取模块，用于验签成功后提取第一密文中的登录成功跳转地址。

在一实施例中，系统统一认证装置还包括：

公私钥生成单元，用于根据用户提供的用户ID和密钥申请请求，使用非对称加密算法生成一对公私钥；

存储单元，用于将公钥、公钥的有效期和用户ID存入数据库；

返回单元，用于将用户ID、私钥以及统一认证公钥返回给用户端。

在一实施例中，系统统一认证装置还包括：

密文获取单元，用于根据获取的待跳转系统地址获取预存的第三密文；

访问单元，用于通过待跳转系统地址访问待跳转系统的认证接口；

信息获取及重定向单元，用于根据第三密文生成第四密文发送至待跳转系统，以使待跳转系统使用统一认证公钥对第四密文进行验签获取用户信息，并重定向到登录成功跳转地址。

本申请提供的方法旨在解决上述安全问题，尤其是如何在前后端分离模式下解决web系统统一认证的安全可信问题。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本申请提供的一种系统统一认证方法流程图。

图2为本申请实施例中通过公钥从登录请求报文中获取跳转地址的方法流程图。

图3为本申请另一实施例中一种系统统一认证方法的流程图。

图4为本申请另一实施例中一种系统统一认证方法的流程图。

图5为本申请提供的一种系统统一认证装置的结构框图。

图6为本申请实施例中登录成功地址维持单元的结构框图。

图7为本申请实施例中一种系统统一认证装置的结构框图。

图8为本申请实施例中另一种系统统一认证装置的结构框图。

图9为本申请实施例中一种电子设备的具体实施方式。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。本申请的具体实施方式可以应用于金融领域，也可应用于除金融领域之外的其他技术领域。

企业人员的身份管理包括两层意义，一是管理人员的信息，如人员的编号、姓名、部门等信息，而是企业内不同的应用系统之间相互其切换时，只需认证一次即可登录所有应用系统，不需要每次打开时都重复登录认证，所以就出现了企业统一认证方法，统一认证方法指的是当企业内部管理系统越来越多，企业需要一个用来管理企业内部人员的统一认证系统。

传统的统一认证系统的做法是，在企业内搭建一套统一认证平台，企业员工入职后即给相应的人员分配一个统一认证ID作为员工在企业的编号，并将员工的其他信息录入统一认证系统。当员工试图通过浏览器访问企业内的某个Web系统时，这个系统会判断会话中有无该用户的信息，如果没有，则跳转到统一认证系统做人员的身份认证。员工使用自己的ID和密码登录到统一认证系统，统一认证系统对用户做身份校验，校验通过后从数据库中查询出用户的详细信息再重定向回原系统，原系统将用户信息写入会话，之后用户就可以正常进入系统。但是这种传统方式存在信息安全上的缺陷和不足，例如企业的统一认证系统无法确定请求的来源，任何系统都可以访问统一认证服务器做身份认证，但用户信息是需要保密的，所以导致很多外部测试系统无权访问企业的统一认证服务器。

为了解决上述问题，本申请基于前后端分离模式来实现，完整的认证过程涉及前端和后端。如图1所示，本申请提供的一种系统统一认证方法，包括：

S101：从用户端发送的登录请求报文中提取用户ID并根据用户ID查询预存的公钥。登录请求报文包括：第一密文和用户ID。

S102：通过公钥从登录请求报文中获取登录成功跳转地址。

S103：将获取的用户信息使用本地私钥进行加密生成第二密文返回至用户端，以使用户端生成第三密文。

S104：使用统一认证公钥对第三密文进行验签并将第三密文保存，返回登陆成功信息至用户端。

在一具体实施例中，用户端发送登录请求报文给统一认证服务器，统一认证服务器根据用户ID去统一认证数据库查询有效期内的公钥，如果查询不到公钥或者公钥已过期则拒绝请求，否则使用公钥对登录请求中的密文验签获得登录成功跳转地址(redirect_url)的值，并保持在内存中再重定向到统一认证登录页面。用户在用户端上输入统一认证账号和密码登录，用户端将统一认证账号和密码上传至统一认证服务器，统一认证服务器校验通过后从数据库中获取该用户的信息并用自己的私钥加密，然后将密文返回给用户端。用户端将密文发送给应用系统服务器，应用系统服务器使用统一认证公钥进行验签后将获得的用户信息存储到session后即返回登录成功信息。

在一实施例中，如图2所示，通过公钥从登录请求报文中获取跳转地址，包括：

S201：验证公钥的有效期。

S202：如果验证通过，则使用公钥对登录请求报文中的第一密文进行验签。

S203：验签成功后提取第一密文中的登录成功跳转地址。

在一具体实施例中，用户端发送登录请求报文给统一认证服务器，请求报文中包括一串使用应用自身的私钥加密的密文和用户ID，被加密的字段为：redirect_url＝xxxxx(登陆成功后跳转的地址)。统一认证服务器根据用户ID去统一认证数据库中查询对应的公钥，并验证该公钥是否处于有效期内，如果是，用该公钥对请求报文中的密文验签，验签成功后获取到redirect_url的值，保持在内存中后，重定向到统一认证登录页面。

在一实施例中，如图3所示，系统统一认证方法还包括：

S301：根据用户提供的用户ID和密钥申请请求，使用非对称加密算法生成一对公私钥。

S302：将公钥、公钥的有效期和用户ID存入数据库。

S303：将用户ID、私钥以及统一认证公钥返回给用户端。

在一具体实施例中，在首次登陆之前，应用系统管理员登陆统一认证控制台，统一认证服务器校验登陆密码通过后返回登陆成功信息，用户注册用户ID并申请密钥，针对用户注册信息，统一认证服务器使用非对称加密算法RSA生成一对公私钥，然后将公钥、公钥有效期和用户ID插入数据库，如果数据库中之前已经存在，则更新相关信息。将入库后的这条记录的主键ID(用户ID)、刚生成的私钥以及统一认证服务器自己的公钥返回给用户。

在一实施例中，如图4所示，系统统一认证方法还包括：

S401：根据获取的待跳转系统地址获取预存的第三密文。

S402：通过待跳转系统地址访问待跳转系统的认证接口。

S403：根据第三密文生成第四密文发送至待跳转系统，以使待跳转系统使用统一认证公钥对第四密文进行验签获取用户信息，并重定向到登录成功跳转地址。

在一具体实施例中，假设要从系统A跳转到系统B，系统A的前端发送要跳转的B系统的uri地址(例如：index.html)给系统A的后端服务器，系统A的后端服务器从session中获取密文，然后访问系统B的认证接口，将密文和uri两个参数拼接到地址后面，例如：http://b.com/auth？auth_key＝xxxxxxxxx&redirect_site＝index.html。然后将请求转发到系统B，系统B使用统一认证公钥对请求进行验签，将解密出的用户信息放入session，然后重定向到redirect_site地址(http://b.com/index.html)。

本申请基于双向认证技术提供了一种安全可信的企业统一登录认证方法，将密钥和用户信息都存储在系统后端，既保障了应用系统的安全，也保障了公司统一认证系统的安全。

基于同一发明构思，本申请实施例还提供了一种系统统一认证装置，可以用于实现上述实施例中所描述的方法，如下面实施例所述。由于该系统统一认证装置解决问题的原理与系统统一认证方法相似，因此系统统一认证装置的实施可以参见系统统一认证方法的实施，重复之处不再赘述。以下所使用的，术语“单元”或者“模块”可以实现预定功能的软件和/或硬件的组合。尽管以下实施例所描述的系统较佳地以软件来实现，但是硬件，或者软件和硬件的组合的实现也是可能并被构想的。

根据本申请的另一个方面，还提供了一种系统统一认证装置，如图5所示，包括：

ID及公钥获取单元501，用于从用户端发送的登录请求报文中提取用户ID并根据用户ID查询预存的公钥；登录请求报文包括：第一密文和用户ID；

登录成功地址维持单元502，用于通过公钥从登录请求报文中获取登录成功跳转地址；

密文生成单元503，用于将获取的用户信息使用本地私钥进行加密生成第二密文返回至用户端，以使用户端生成第三密文并返回；

登录单元504，用于使用统一认证公钥对第三密文进行验签并将第三密文保存，返回登陆成功信息至用户端。

在一实施例中，如图6所示，登录成功地址维持单元502包括：

验证模块601，用于验证公钥的有效期；

验签模块602，用于如果验证通过，则使用公钥对登录请求报文中的第一密文进行验签；

提取模块603，用于验签成功后提取第一密文中的登录成功跳转地址。

在一实施例中，如图7所示，系统统一认证装置还包括：

公私钥生成单元701，用于根据用户提供的用户ID和密钥申请请求，使用非对称加密算法生成一对公私钥；

存储单元702，用于将公钥、公钥的有效期和用户ID存入数据库；

返回单元703，用于将用户ID、私钥以及统一认证公钥返回给用户端。

在一实施例中，如图8所示，系统统一认证装置还包括：

密文获取单元801，用于根据获取的待跳转系统地址获取预存的第三密文；

访问单元802，用于通过待跳转系统地址访问待跳转系统的认证接口；

信息获取及重定向单元803，用于根据第三密文生成第四密文发送至待跳转系统，以使待跳转系统使用统一认证公钥对第四密文进行验签获取用户信息，并重定向到登录成功跳转地址。

本申请适用前后端分离架构，提出了一种系统统一认证方法及装置，使得企业内部通的系统之间也使用一致的认证方式，实现了session的共享，并且，在同一企业内的不同系统间切换跳转时不需要重复登录。

本申请的实施例还提供能够实现上述实施例中的方法中全部步骤的一种电子设备的具体实施方式，参见图9，所述电子设备具体包括如下内容：

处理器(processor)901、内存902、通信接口(Communications Interface)903、总线904和非易失性存储器905；

其中，所述处理器901、内存902、通信接口903通过所述总线904完成相互间的通信；

所述处理器901用于调用所述内存902和非易失性存储器905中的计算机程序，所述处理器执行所述计算机程序时实现上述实施例中的方法中的全部步骤，例如，所述处理器执行所述计算机程序时实现下述步骤：

S102：通过公钥从登录请求报文中获取登录成功跳转地址。

本申请的实施例还提供能够实现上述实施例中的方法中全部步骤的一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，该计算机程序被处理器执行时实现上述实施例中的方法的全部步骤，例如，所述处理器执行所述计算机程序时实现下述步骤：

S102：通过公钥从登录请求报文中获取登录成功跳转地址。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于硬件+程序类实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。虽然本说明书实施例提供了如实施例或流程图所述的方法操作步骤，但基于常规或者无创造性的手段可以包括更多或者更少的操作步骤。实施例中列举的步骤顺序仅仅为众多步骤执行顺序中的一种方式，不代表唯一的执行顺序。在实际中的装置或终端产品执行时，可以按照实施例或者附图所示的方法顺序执行或者并行执行(例如并行处理器或者多线程处理的环境，甚至为分布式数据处理环境)。术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、产品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、产品或者设备所固有的要素。在没有更多限制的情况下，并不排除在包括所述要素的过程、方法、产品或者设备中还存在另外的相同或等同要素。为了描述的方便，描述以上装置时以功能分为各种模块分别描述。当然，在实施本说明书实施例时可以把各模块的功能在同一个或多个软件和/或硬件中实现，也可以将实现同一功能的模块由多个子模块或子单元的组合实现等。以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。本领域技术人员应明白，本说明书的实施例可提供为方法、系统或计算机程序产品。因此，本说明书实施例可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本说明书实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本说明书实施例的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不必须针对的是相同的实施例或示例。此外，在不相互矛盾的情况下，本领域的技术人员可以将本说明书中描述的不同实施例或示例以及不同实施例或示例的特征进行结合和组合。以上所述仅为本说明书实施例的实施例而已，并不用于限制本说明书实施例。对于本领域技术人员来说，本说明书实施例可以有各种更改和变化。凡在本说明书实施例的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本说明书实施例的权利要求范围之内。

Claims

1.一种系统统一认证方法，其特征在于，包括：

从用户端发送的登录请求报文中提取用户ID并根据所述用户ID查询预存的公钥；所述登录请求报文包括：第一密文和用户ID；

通过所述公钥从所述第一密文中获取登录成功跳转地址并根据所述登录成功跳转地址重定向至统一认证登录页面；

将从所述统一认证登录页面获取的用户信息使用本地私钥进行加密生成第二密文返回至用户端，以使所述用户端生成第三密文并返回；

使用统一认证公钥对所述第三密文验签成功后返回登录成功信息至用户端并将所述第三密文保存。

2.根据权利要求1所述的系统统一认证方法，其特征在于，所述通过所述公钥从所述第一密文中获取登录成功跳转地址，包括：

验证所述公钥的有效期；

如果验证通过，则使用公钥对所述登录请求报文中的所述第一密文进行验签；

验签成功后提取所述第一密文中的登录成功跳转地址。

3.根据权利要求2所述的系统统一认证方法，其特征在于，还包括：

将所述公钥、公钥的有效期和用户ID存入数据库；

将所述用户ID、私钥以及所述统一认证公钥返回给用户端。

4.根据权利要求3所述的系统统一认证方法，其特征在于，还包括：

根据获取的待跳转系统地址获取预存的第三密文；

通过所述待跳转系统地址访问待跳转系统的认证接口；

根据所述第三密文生成第四密文发送至待跳转系统，以使所述待跳转系统使用所述统一认证公钥对所述第四密文进行验签获取用户信息，并重定向到所述登录成功跳转地址。

5.一种系统统一认证装置，其特征在于，包括：

ID及公钥获取单元，用于从用户端发送的登录请求报文中提取用户ID并根据所述用户ID查询预存的公钥；所述登录请求报文包括：第一密文和用户ID；

登录成功地址维持单元，用于通过所述公钥从所述第一密文中获取登录成功跳转地址根据所述登录成功跳转地址重定向至统一认证登录页面；

密文生成单元，用于将从所述统一认证登录页面获取的用户信息使用本地私钥进行加密生成第二密文返回至用户端，以使所述用户端生成第三密文并返回；

登录单元，用于使用统一认证公钥对所述第三密文进行验签成功后返回登录成功信息至用户端并将所述第三密文保存。

6.根据权利要求5所述的系统统一认证装置，其特征在于，所述登录成功地址维持单元包括：

验证模块，用于验证所述公钥的有效期；

验签模块，用于如果验证通过，则使用公钥对所述登录请求报文中的所述第一密文进行验签；

提取模块，用于验签成功后提取所述第一密文中的登录成功跳转地址。

7.根据权利要求6所述的系统统一认证装置，其特征在于，还包括：

存储单元，用于将所述公钥、公钥的有效期和用户ID存入数据库；

返回单元，用于将所述用户ID、私钥以及所述统一认证公钥返回给用户端。

8.根据权利要求7所述的系统统一认证装置，其特征在于，还包括：

访问单元，用于通过所述待跳转系统地址访问待跳转系统的认证接口；

信息获取及重定向单元，用于根据所述第三密文生成第四密文发送至待跳转系统，以使所述待跳转系统使用所述统一认证公钥对所述第四密文进行验签获取用户信息，并重定向到所述登录成功跳转地址。

9.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现权利要求1至4任一项所述的系统统一认证方法的步骤。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现权利要求1至4任一项所述的系统统一认证方法的步骤。