CN113630363B

CN113630363B - 分布式令牌鉴权方法、存储介质

Info

Publication number: CN113630363B
Application number: CN202010371455.XA
Authority: CN
Inventors: 刘德建; 伍张发; 陈波; 林琛
Original assignee: Fujian Tianyi Network Technology Co ltd
Current assignee: Fujian Tianyi Network Technology Co ltd
Priority date: 2020-05-06
Filing date: 2020-05-06
Publication date: 2023-09-08
Anticipated expiration: 2040-05-06
Also published as: CN113630363A

Abstract

本发明提供分布式令牌鉴权方法、存储介质，方法包括：客户端发送身份令牌注销请求至登陆服务器；登陆服务器提交注销身份令牌包括签名值的属性值至MQ服务器；鉴权服务器启动后向所述MQ服务器订阅消息；鉴权服务器存储所述MQ服务器发送过来的注销身份令牌的属性值至缓存；当鉴权服务器验证客户端的身份令牌为有效，且其签名值不存在于缓存中，则鉴权通过。不仅能够降低后端数据库服务器的存储与访问压力；而且能够实现全面地对身份令牌的有效性进行检查，从而增强令牌的安全性；支持客户端自主对其身份令牌进行注销，避免非法被利用；能够定时优化鉴权服务器的内存占用，确保鉴权服务器维持良好性能。

Description

分布式令牌鉴权方法、存储介质

技术领域

本发明涉及安全领域，具体涉及分布式令牌鉴权方法、存储介质。

背景技术

目前身份令牌鉴权一般都是通过将令牌存储在后端服务器中，令牌合法性检查通过后，访问数据库服务器返回令牌对应的用户基本信息。但面对未来物联网大量设备接入服务器，后端服务器的鉴权压力大大增加，需要水平扩展多台服务器来提供支持。因此提供了另外一种鉴权方式：通过将用户基本信息存储在令牌中下发到客户端，请求时携带令牌信息访问后端服务器，在后端服务器中做令牌有效性与签名认证，通过后仅从令牌信息中提取用户基本信息。通过减少访问数据库交换步骤，可以大大降低存储服务器压力。但相应地，如果用户注销令牌时，无法及时让已经授权的令牌失效，而只能等令牌自身有效期失效过期，则存在一定的安全隐患。

对此，本发明提供一种分布式身份信息鉴权方案，通过将用户基本信息存储在令牌中，以降低服务器存储与访问压力；但同时提供对令牌注销失效与否进行检查的方案，以增强令牌安全性。

发明内容

本发明所要解决的技术问题是：提供分布式令牌鉴权方法、存储介质，在降低服务器存储与访问压力的同时，增强令牌安全性。

为了解决上述技术问题，本发明采用的技术方案为：

分布式令牌鉴权方法，包括：

客户端发送身份令牌注销请求至登陆服务器；

登陆服务器提交注销身份令牌包括签名值的属性值至MQ服务器；

鉴权服务器启动后向所述MQ服务器订阅消息；

鉴权服务器存储所述MQ服务器发送过来的注销身份令牌的属性值至缓存；

当鉴权服务器验证客户端的身份令牌为有效，且其签名值不存在于缓存中，则鉴权通过。

本发明提供的另一个技术方案为：

一种计算机可读存储介质，其上存储有计算机程序，所述程序在被处理器执行时，能够实现上述分布式令牌鉴权方法所包含的步骤。

本发明的有益效果在于：本发明通过将用户基本信息存储在令牌中下发到客户端，降低了后端数据库服务器的存储与访问压力；同时，通过支持客户端自主注销身份令牌，并发布至MQ服务器，然后实时同步至鉴权服务器，以及增设对身份令牌注销与否的验证，实现全面地对身份令牌的有效性进行检查，从而增强令牌的安全性。

附图说明

图1为本发明一实施例一种分布式令牌鉴权方法的流程示意图；

图2为本发明实施例一至实施例四的信息交互示意图；

具体实施方式

为详细说明本发明的技术内容、所实现目的及效果，以下结合实施方式并配合附图予以说明。

本发明最关键的构思在于：通过将用户基本信息存储在令牌中下发到客户端，降低了后端存储服务器的存储与访问压力；同时，增设对身份令牌注销与否的验证，增强令牌的安全性。

本发明涉及的技术术语解释:

请参照图1，本发明提供分布式令牌鉴权方法，包括：

客户端发送身份令牌注销请求至登陆服务器；

鉴权服务器启动后向所述MQ服务器订阅消息；

从上述描述可知，本发明的有益效果在于：本发明既能通过将令牌存储在客户端，减少访问数据库的次数，从而减少存储服务器的存储压力和访问压力；同时，增设对令牌注销与否的检验，实现对令牌有效性的全面验证，增强令牌的安全性。

进一步地，还包括：

客户端向登陆服务器请求获取身份授权；

登陆服务器依据所述请求生成对应客户端的身份令牌，并将其返回给客户端；

网关服务器拦截客户端提交的身份令牌，并转发给鉴权服务器。

由上述描述可知，通过客户端与登陆服务器的一次交互，便可获取客户端的身份令牌并存储在本地，每次使用时通过鉴权服务器验证其有效性即可，能够大大降低后端存储服务器的压力。

进一步地，还包括：

鉴权通过后，网关服务器转发客户端提交的身份令牌至业务服务器。

由上述描述可知，只有鉴权服务器验证客户端提交的身份令牌合法后才允许客户端与业务服务器进行交互，能够确保客户端身份合法。

进一步地，还包括：

当鉴权服务器验证客户端的身份令牌为无效，或者其签名值存在于所述MQ服务器中，则鉴权不通过。

由上述描述可知，即使身份令牌的签名值和有效期验证通过，但若已被用户申请注销，一样无法鉴权通过，不仅给用户提供了自主决定身份令牌有效性的权利；而且能确保已被注销的令牌无法使用，杜绝了被非法利用的安全隐患。

进一步地，所述身份令牌为有效为身份令牌的签名值有效且身份令牌未过期。

由上述描述可知，只有在身份令牌的签名值有效、未过期且未被注销，才能通过鉴权，确保对身份令牌进行全面地检验。

进一步地，还包括：

定时清理所述缓存中已过期的注销身份令牌的记录。

由上述描述可知，能够及时释放存储空间，避免无效资源占用空间。

进一步地，所述属性值还包括过期时间；

所述鉴权服务器存储所述MQ服务器发送过来的注销身份令牌的属性值至缓存，具体为：

鉴权服务器存储所述MQ服务器发送过来的注销身份令牌的属性值至缓存的注销字典中，所述注销字典以签名值为键，以过期时间为值。

由上述描述可知，在鉴权服务器本地通过注销字典存储注销身份令牌的信息，能提高身份令牌的查验效率，且占用更少的资源，使鉴权服务器的性能更优。

进一步地，

所述方法还包括：

将注销身份令牌的属性值存储至注销字典的同时，也将其存储至定时检查表中；

鉴权服务器启动定时器，周期检索所述定时检索表，依据当前时间获取过期的注销身份令牌的属性值；

删除注销字典中对应所述过期的注销身份令牌的记录。

由上述描述可知，异步形式定期清除过期的注销身份令牌，能够在及时释放存储空间的同时，优化系统性能。

本发明提供的另一个技术方案为：

一种计算机可读存储介质，其上存储有计算机程序，所述程序在被处理器执行时，能够实现下述分布式令牌鉴权方法所包含的步骤：

客户端发送身份令牌注销请求至登陆服务器；

鉴权服务器启动后向所述MQ服务器订阅消息；

进一步地，还包括：

客户端向登陆服务器请求获取身份授权；

进一步地，还包括：

定时清理所述缓存中已过期的注销身份令牌的记录。

进一步地，所述属性值还包括过期时间；

进一步地，所述方法还包括：

删除注销字典中对应所述过期的注销身份令牌的记录。

从上述描述可知，对应本领域普通技术人员可以理解实现上述技术方案中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来实现的，所述的程序可存储于一计算机可读取的存储介质中，该程序在执行时，可包括如上述各方法的流程。所述程序在被处理器执行后，同样能够实现对应各方法的有益效果。

其中，所述的存储介质可以是磁盘、光碟、只读存储记忆体(Read-Only Memory，ROM)或随机存储记忆体(Random Access Memory，RAM)等。

实施例一

请参照图1，本实施例提供一种分布式令牌鉴权方法，特别适用于基于物联网大量设备接入的分布式服务之间进行身份令牌鉴权。方法通过用户基本信息存储在令牌中，降低服务器的存储压力与访问压力，同时提供及时检查令牌注销失效与否的方案，增强令牌安全性。

如图1所示，为本实施例的信息交互示意图，所述方法包括：

S1：客户端向登陆服务器请求获取身份授权；

S2：登陆服务器依据请求生成该客户端的身份令牌，并将其返回给客户端；其中，身份令牌中包括签名值(signature)和过期间隔时间(exp)和生成令牌时间(iat)等属性值；

S3：客户端将登陆服务器返回的身份令牌请求前端的网关服务器，网关服务器先拦截该请求并转发给后端的鉴权服务器；

S4：鉴权服务器接收身份令牌后，检验身份令牌的有效性；

具体而言，鉴权服务器将分别检验身份令牌的签名值是否有效以及身份令牌是否过期。其中，签名值是否有效将通过对应该客户端的密钥来进行验证；是否过期将依据身份令牌中的过期间隔时间(exp)和生成令牌时间(iat)这两个属性值，通过过期时间计算公式exp+iat来确定是否过期。过期时间的作用是为了判断令牌的有效周期，一般设置为1或2小时有效期。

S5：若身份令牌的有效性检验不通过，则鉴权服务器返回为对应未授权的提示信息至客户端；其中，验证不通过对应的是身份令牌的签名值不合法和/或身份令牌已过期的情况。

S6：若身份令牌的有效性验证通过，则鉴权服务器将对身份令牌是否已被注销进行判断。

其中，身份令牌的有效性通过对应的是其签名值合法且未过期的情况。

在本实施例的任意过程，任一客户端将通过下述过程注销其身份令牌：

1、客户端可以通过登录服务器，发起身份令牌注销请求；

2、登录服务器获取该客户端的身份令牌的签名值和过期时间属性值，提交到后期的MQ服务器中；其中，所述MQ服务器指的是消息队列MQ服务器，如RabbitMQ、kafka，用于提供消息发布与订阅功能，利用它在分布式的鉴权服务器之间(鉴权服务器负担较重，因此系统一般采用会水平扩展部署多个鉴权服务器)实现身份令牌的注销信息同步策略。

3、后端的鉴权服务器启动时，将会向后端的MQ服务器注册订阅消息，这样MQ服务器将会在收到注销身份令牌时，及时同步到各个鉴权服务器。

4、后端的鉴权服务器接收到MQ服务器发来的注销身份令牌后，将存储至缓存中。因此，缓存中将记录有至当前时间为止已经申请了注销的身份令牌。

因此，鉴权服务器验证身份令牌是否已注销的过程包括：

5、鉴权服务器判断客户端的身份令牌是否存在于缓存记录的注销身份令牌集中；若存在，则鉴权不通过；若不存在，则鉴权通过，执行下一步骤。

S7：鉴权服务器返回鉴权通知的信息至网关服务器；

S8：网关服务器放开拦截继续转发客户端提交的身份令牌至业务服务器进行后续处理。其中，该业务服务器也可以是分布式的，业务服务器将对接收到的身份令牌进行解密，获取用户的基本信息，进行相关业务处理。

实施例二

请参阅图2，本实施例提供在实施例一的基础上做进一步限定，具体对鉴权服务器缓存中存储注销身份令牌的方式进行限定，使检索效率得到提升，同时相比采用进程外缓存的方式而言，系统性能更优。

具体而言，每个鉴权服务器都会在进程(内存中)中维护一份注销缓存字典，用于存储从MQ服务器接收到的注销身份令牌。所述注销缓存字典位于进程(内存)内，它是内存通用的字典结构。具体地，注销缓存字典以注销身份令牌的签名值为键，以过期时间为值的方式存储注销身份令牌。

特别地，因为身份令牌的有效期一般在1-2小时左右，有效周期比较短，若用户在有效期内注销身份令牌，注销的身份令牌有效期一定小于1-2小时，因此它的缓存周期更小，用户注销的频率也不会太频繁，产生的缓存键较小。因此，这种场景直接采用进程内缓存实现比采用进程外缓存(第三方如：Redis、MemoryCache等)的性能更优。

实施例三

请参阅图2，本实施例对应实施例一或实施例做进一步限定，提供定时删除过期的注销身份令牌的功能，以优化注销身份令牌的存储。

具体而言，实施例一的方法还包括：

S9：定时清理鉴权服务器的缓存中已过期的注销身份令牌的记录。

优选地，后端的鉴权服务器接收到MQ服务器发来的注销身份令牌后，还将同时存储注销身份令牌的属性值至定时检查表中；后端的鉴权服务器启动定时器，定时检索所述定时检索表，依据当前时间获取过期的注销身份令牌的属性值；删除注销字典中对应所述过期的注销身份令牌的记录。

实施例四

请参阅图2，本实施例对应实施例一至实施例三，提供一具体运用场景：

1、客户端向登录服务器请求，获取用户的身份授权；登录服务器采用JSON WEBTOKEN(简写JWT)方式生成身份令牌，将用户的基本信息、过期时间通过base64加密后作为令牌的一部分，生成身份令牌成功后返回给客户端。

令牌示例如下：

令牌格式：{base64(header)}.{base64(playload)}.{signature}；

其中，header为头部数据：

{

'typ':'JWT',

'alg':'HS256'

}；

其中，playload为载荷数据：

{

"exp":7200,//过期间隔时间(秒)

"iat":1585215104,//生成令牌时间，以Unix时间戳格式

"uid":"5c20a5cc33b3f03cd03ac072",//用户的全局唯一标识

"name":"test01",//用户昵称

"tenant_id":101,//用户所在租户编号

"dept_id":100102//用户所属部门编号

}；

其中，signature为签名值(采用HMACSHA256签名算法)：

签名原串：base64(header)+”.”+base64(payload)

Secret密钥：VjRTiUotaojEXIKMUwkBcsNmgVs94Bmz//仅存储在服务端

签名值：HMACSHA256(签名原串,Secret)。

最后生成的身份令牌如下：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJleHAiOjcyMDAsImlhdCI6MTU4NTIxNTEwNCwidWlkIjoiNWMyMGE1Y2MzM2IzZjAzY2QwM2FjMDcyIiwibmFtZSI6InRlc3QwMSIsInRlbmFudF9pZCI6MTAxLCJkZXB0X2lkIjoxMDAxMDJ9.WZeOvOoA6ll9yxAwwh7Hip9LP29qc9wNEcMzzx9Tksg。

2、客户端依据登录服务器返回的身份令牌请求前端的网关服务器，网关服务器先拦截该请求并转发给后端的鉴权服务器；鉴权服务器可以通过Secret密钥验证signature签名值合法性(具体通过HMACSHA256签名算法重新计算身份令牌的header与playload两部分数据的签名值，与原身份令牌的signature签名值比较是否一致)；接着验证身份令牌是否过期(通过base64解密playload数据，获取iat令牌生成时间、exp过期间隔时间属性值，判断当前时间是否小于iat+exp的时间)；

3、在鉴权服务器中，若身份令牌的签名值无效或已过期，则返回403未授权出错码给客户端；

4、若身份令牌的签名值有效且未过期，则判断进程内的注销缓存字典中是否有注销此身份令牌的signature签名值；所述注销缓存字典是以注销了的身份令牌的signature签名值作为键，过期时间作为值；

5、若进程内的注销缓存字典中存在注销的signature签名值，则返回403未授权出错码给客户端；

6、若进程内的注销缓存字典中不存在注销的signature签名值，则说明鉴权成功，网关服务器则可以放开拦截继续转发到后端的多个业务服务器，业务服务器可以对身份令牌进行base64解密，获得用户的基本信息(uid、name、tenant_id、dept_id等属性)；

7、任一客户端在任意时刻都可以向登录服务器申请注销身份令牌，登陆服务器将获取其身份令牌的signature签名值、过期时间、uid等属性值，提交发布到后端的消息队列MQ服务器，消息示例：

{

"expried":1585222304,//时间为2020/3/26 19:31:44

"sign":"WZeOvOoA6ll9yxAwwh7Hip9LP29qc9wNEcMzzx9Tksg",

"uid":"5c20a5cc33b3f03cd03ac072"

}。

8、后端的鉴权服务器启动时，需向后端的消息队列MQ服务器注册，订阅注销身份令牌的消息；

9、后端的鉴权服务器接收到消息队列MQ服务器的注销身份令牌的消息(对应上述消息实例)，读取signature签名值与过期时间，将signature签名值作为键，过期时间作为值更新到进程内的注销缓存字典中，同时将signature签名值登记到定时检查表中。

其中，注销缓存字典结构如下所示：

{

"WZeOvOoA6ll9yxAwwh7Hip9LP29qc9wNEcMzzx9Tksg":1585222304

}；

其中，定时检查表结构(过期时间保留为年月日时格式)如下所示：

{

"202032619":[

"WZeOvOoA6ll9yxAwwh7Hip9LP29qc9wNEcMzzx9Tksg"

]

}。

注：如果存在定时检查表的键(202032619)，则追加到列表结构中。

10、后端的鉴权服务器启动定时器，每1分钟检索一次定时检查表，根据当前时间(保留到小时)获取过期的signature签名值列表，接着从进程内的注销缓存字典中删除的signature签名值对应的键。

实施例五

本实施例对应实施例一至实施例四，提供一种计算机可读存储介质，其上存储有计算机程序，所述程序在被处理器执行时，能够实现上述实施例第一至实施例四任意一项所述的分布式令牌鉴权方法所包含的步骤。具体的步骤内容在此不进行复述，详情请参阅实施例一至实施例四的记载。

综上所述，本发明提供的分布式令牌鉴权方法、存储介质，不仅能够降低后端数据库服务器的存储与访问压力；而且能够实现全面地对身份令牌的有效性进行检查，从而增强令牌的安全性；进一步地，支持客户端自主对其身份令牌进行注销，避免非法被利用；进一步地，能够定时优化鉴权服务器的内存占用，确保鉴权服务器维持良好性能；另外，本申请还具有易于实现、可用性强等特点。

以上所述仅为本发明的实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等同变换，或直接或间接运用在相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims

1.一种分布式令牌鉴权方法，其特征在于，包括：

客户端发送身份令牌注销请求至登陆服务器；

水平扩展部署的多个鉴权服务器向所述MQ服务器订阅消息；

鉴权服务器存储所述MQ服务器发送过来的注销身份令牌的属性值至注销缓存字典中，所述注销缓存字典位于进程内，为内存通用的字典结构，且所述注销缓存字典以签名值为键，以过期时间为值；

当鉴权服务器验证客户端的身份令牌为有效，且其签名值不存在于所述注销缓存字典中，则鉴权通过；

所述身份令牌为有效身份令牌的标准为：所述身份令牌的签名值有效且所述身份令牌未过期；

当鉴权服务器验证客户端的身份令牌为无效，或者其签名值存在于所述注销缓存字典中，则鉴权不通过；

还包括步骤：

鉴权服务器将注销身份令牌的属性值存储至注销缓存字典的同时，也将其存储至定时检查表中；

鉴权服务器启动定时器，周期性检索所述定时检查表，依据当前时间获取过期的注销身份令牌的属性值；

删除所述注销缓存字典中对应所述过期的注销身份令牌的记录。

2.如权利要求1所述的一种分布式令牌鉴权方法，其特征在于，还包括：

客户端向登陆服务器请求获取身份授权；

3.如权利要求2所述的一种分布式令牌鉴权方法，其特征在于，还包括：

4.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述程序在被处理器执行时，能够实现上述权利要求1-3任意一项所述的一种分布式令牌鉴权方法所包含的步骤。