CN114158046A - 一键登录业务的实现方法和装置 - Google Patents

Abstract

本说明书实施例提供了一键登录业务的实现方法和装置。在该方法中，在接收到应用客户端发来的登录请求后，生成对应该应用客户端的登录凭证，并将该登录凭证发送给对应的应用客户端；保存运营商服务器发来的对应于所述登录凭证的令牌token；接收所述应用客户端发来的一键登录确认请求；得到对应于所述登录凭证的token；将得到的该token携带在号码获取请求中发送给运营商服务器；接收运营商服务器发来的所述应用客户端所在的终端设备的手机号，根据该手机号进行登录授权处理。本说明书实施例能够提高一键登录业务的安全性，可以避免用户隐私数据的泄露。

Description

一键登录业务的实现方法和装置

技术领域

本说明书一个或多个实施例涉及网络信息技术，尤其涉及一键登录业务的实现方法和装置。

背景技术

随着网络的快速发展，基于网络产生了各种各样的业务应用。用户只需要在终端设备中下载相应业务应用的应用客户端即应用程序(APP)，通过应用客户端注册并登录，就可以享受相应的业务应用，比如，看电影或者购买商品等。

为了方便用户的使用，目前出现了一种新的登录APP的方法，即一键登录方法。在一键登录方法中，应用客户端，通常为手机，会预先嵌入认证SDK，用户请求登录时，通过该SDK与运营商服务器通信以便采集用户手机号码，在获得用户同意授权后，应用客户端获得接口调用的令牌(token)，将token传递给应用服务器，应用服务器利用token获取当前授权用户的手机号码等信息，从而完成了APP的登录。

参见图1，在一键登录业务中，用户只需要点击相关的“一键登录”的按键，而无需输入手机号码、用户名、密码以及短信验证码等，因此，可以让用户更方便、快捷地完成注册、登录流程，将原本可能需要20秒左右的流程，缩短到了2秒左右，为用户使用带来了很大的方便。

但是，目前的一键登录业务的安全性相对较低，这样就容易造成用户隐私数据的泄露，因此需要一种更为安全的一键登录业务的实现方法。

发明内容

本说明书一个或多个实施例描述了一键登录业务的实现方法和装置，能够提高一键登录业务的安全性。

根据第一方面，提供了一键登录业务的实现方法，其中包括：

在接收到应用客户端发来的登录请求后，生成对应该应用客户端的登录凭证，并将该登录凭证发送给该应用客户端；

接收运营商服务器发来的登录凭证及与该登录凭证对应的令牌token；

接收应用客户端发来的携带登录凭证的一键登录确认请求；

得到与一键登录确认请求中的登录凭证对应的token；

将得到的该token携带在号码获取请求中发送给运营商服务器；

接收运营商服务器发来的所述应用客户端所在的终端设备的手机号，根据该手机号进行登录授权处理。

该方法进一步包括：获取所述应用客户端生成的公私钥对中的公钥；利用该公钥对登录凭证进行加密；

所述将该登录凭证发送给该应用客户端，包括：将加密后的登录凭证发送给该登录凭证对应的应用客户端。

所述获取所述应用客户端生成的公私钥对中的公钥，包括：从应用客户端发来的所述登录请求中获取所述公钥。

所述一键登录确认请求中携带有被私钥加密的所述登录凭证；该私钥是所述应用客户端生成的公私钥对中的私钥；

所述得到与一键登录确认请求中的登录凭证对应的token，包括：从所述一键登录确认请求中获取被私钥加密的登录凭证，利用获取的所述公钥进行解密，得到登录凭证，得到与该登录凭证对应的token。

根据第二方面，提供了一键登录业务的实现方法，其中包括：

向应用服务器发送登录请求；

接收应用服务器下发的登录凭证；

将登录凭证携带在校验请求中发送给运营商服务器，以触发运营商服务器生成对应该登录凭证的token；

向应用服务器发送携带登录凭证的一键登录确认请求；

如果接收到应用服务器发来的登录授权，则一键登录成功。

其中，在所述接收应用服务器下发的登录凭证之前，进一步包括：将预先生成的公私钥对中的公钥发送给应用服务器；

所述接收应用服务器下发的登录凭证，包括：接收应用服务器下发的利用所述公钥加密后的登录凭证，利用所述公私钥对中的私钥进行解密，得到所述登录凭证。

其中，所述将预先生成的公私钥对中的公钥发送给应用服务器，包括：将预先生成的公私钥对中的公钥携带在所述登录请求中发送给应用服务器。

其中，所述向应用服务器发送一键登录确认请求，包括：利用所述私钥对登录凭证进行加密，并将加密后的登录凭证携带在一键登录确认请求中发送给应用服务器。

其中，所述校验请求包括如下中的至少一个请求：

携带APP ID、APP sign，KEY ID、时间戳以及所述登录凭证的登录验证请求；

携带APP ID、所述登录凭证及时间戳的手机身份校验请求；

携带APP ID及所述登录凭证的新定义的校验请求。

其中，当所述校验请求包括携带APP ID、所述登录凭证及时间戳的手机身份校验请求时；

在所述接收应用服务器下发的登录凭证之后，并在所述将登录凭证携带在校验请求中发送给运营商服务器之前，进一步包括：

获取运营商服务器发来的对称密钥；

利用该对称密钥对所述手机身份校验请求中的APP ID、所述登录凭证、时间戳及IP地址进行加密，以生成临时口令；以及

利用该临时口令以及对称密钥进行消息认证码MAC计算，得到MAC值；

则，所述将登录凭证携带在校验请求中发送给运营商服务器，包括：

将包括所述临时口令及所述MAC值的手机身份校验请求发送给运营商服务器。

根据第三方面，提供了一键登录业务的实现方法，包括：

接收应用客户端发来的携带登录凭证的校验请求；

从该校验请求中获取登录凭证，并生成对应该登录凭证的token；

将该登录凭证及其对应的token发送给应用服务器；

接收应用服务器发来的携带token的号码获取请求；

根据号码获取请求中携带的token，获取应用客户端所在的终端设备的手机号，将该手机号发送给应用服务器。

所述校验请求包括如下中的至少一个请求：

携带APP ID、APP sign，KEY ID、时间戳以及所述登录凭证的登录验证请求；

携带APP ID、所述登录凭证及时间戳信息的手机身份校验请求；

携带APP ID及所述登录凭证的新定义的校验请求。

其中，接收到的所述校验请求包括：携带临时口令及MAC值的手机身份校验请求；其中，该临时口令及该MAC值利用APP ID、所述登录凭证及时间戳的信息生成；

在所述生成对应该登录凭证的token之前，进一步包括：

将生成的对称密钥下发给所述应用客户端；

利用生成的对称密钥以及该手机身份校验请求中携带的临时口令进行消息认证码MAC计算，计算出MAC值；

判断计算出的MAC值与手机身份校验请求中携带的MAC值是否相同，如果是，则继续执行所述生成对应该登录凭证的token的步骤，否则，一键登录业务失败。

其中，在所述将生成的对称密钥下发给所述应用客户端之前，进一步包括：

接收应用客户端发来的携带公钥的登录验证请求；

从登录验证请求中获取该公钥，并利用该公钥对生成的对称密钥加密；

所述将生成的对称密钥下发给所述应用客户端，包括：将加密后的对称密钥下发给所述应用客户端。

根据第四方面，提供了一键登录业务的实现装置，包括：

登录预授权模块，配置为在接收到应用客户端发来的登录请求后，生成对应该应用客户端的登录凭证，并将该登录凭证发送给该应用客户端；

token获取模块，配置为接收运营商服务器发来的登录凭证及与该登录凭证对应的令牌token；

号码获取模块，配置为接收应用客户端发来的携带登录凭证的一键登录确认请求；得到与一键登录确认请求中的登录凭证对应的token；将得到的该token携带在号码获取请求中发送给运营商服务器；

登录授权处理模块，接收运营商服务器发来的所述应用客户端所在的终端设备的手机号，根据该手机号进行登录授权处理。

根据第五方面，提供了一键登录业务的实现装置，包括：

预登录请求模块，配置为向应用服务器发送登录请求；接收应用服务器下发的登录凭证；

校验请求模块，配置为将登录凭证携带在校验请求中发送给运营商服务器，以触发运营商服务器生成对应该登录凭证的token；

登录处理模块，配置为向应用服务器发送携带登录凭证的一键登录确认请求；如果接收到应用服务器发来的登录授权，则一键登录成功。

根据第六方面，提供了一键登录业务的实现装置，包括：

校验执行模块，配置为接收应用客户端发来的携带登录凭证的校验请求；从该校验请求中获取登录凭证；

Token处理模块，配置为生成对应所获取的登录凭证的token，将该登录凭证及其对应的token发送给应用服务器；

授权模块，配置为接收应用服务器发来的携带token的号码获取请求；根据号码获取请求中携带的token，获取应用客户端所在的终端设备的手机号，将该手机号发送给应用服务器。

根据第七方面，提供了一种计算设备，包括存储器和处理器，所述存储器中存储有可执行代码，所述处理器执行所述可执行代码时，实现本说明书任一实施例所述的方法。

本说明书实施例提供的一键登录业务的实现方法及装置避免了应用服务器为攻击者的终端设备提供对应的应用服务，提高了安全性。

附图说明

为了更清楚地说明本说明书实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本说明书的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是一键登录业务的一种操作示意图。

图2是本说明书一个实施例所应用的系统架构的示意图。

图3是本说明书一个实施例在应用服务器中实现一键登录业务的方法的流程图。

图4是本说明书一个实施例在应用客户端中实现一键登录业务的方法的流程图。

图5是本说明书一个实施例在运营商服务器中实现一键登录业务的方法的流程图。

图6是本说明书一个实施例中运营商服务器、应用客户端及应用服务器配合实现一键登录业务的信息交互的流程图。

图7是本说明书一个实施例中一键登录业务的装置的结构示意图。

图8是本说明书另一个实施例中一键登录业务的装置的结构示意图。

图9是本说明书又一个实施例中一键登录业务的装置的结构示意图。

具体实施方式

下面结合附图，对本说明书提供的方案进行描述。

为了方便对本说明书提供的方法进行理解，首先对本说明书所涉及和适用的系统架构进行描述。如图2中所示，该系统架构中主要包括三个网络节点：应用客户端、应用服务器和运营商服务器。

其中，应用客户端安装并运行于终端设备中，终端设备可以包括但不限于诸如：智能移动终端、智能家居设备、网络设备、可穿戴式设备、智能医疗设备、PC(个人计算机)等。其中智能移动终端可以包括诸如手机、平板电脑、笔记本电脑、PDA(个人数字助理)、互联网汽车等。智能家居设备可以包括智能家电设备，诸如智能电视、智能空调、智能热水器、智能冰箱、智能空气净化器等等，智能家居设备还可以包括智能门锁、智能插座、智能电灯、智能摄像头等。网络设备可以包括诸如交换机、无线AP、服务器等。可穿戴式设备可以包括诸如智能手表、智能眼镜、智能手环、虚拟现实设备、增强现实设备、混合现实设备(即可以支持虚拟现实和增强现实的设备)等等。智能医疗设备可以包括诸如智能体温计、智能血压仪、智能血糖仪等等。

应用客户端可以是各种类型的应用，包括但不限于诸如支付类应用、多媒体播放类应用、地图类应用、文本编辑类应用、金融类应用、浏览器类应用、即时通信类应用等等。

运营商服务器指的是提供网络服务的供应商的服务端设备，可以是单一服务器，也可以是多个服务器构成的服务器群组。运营商服务器负责为各类应用提供网络服务，例如安全认证、提供一键登录的手机号等。

应用服务器是一种具体应用的服务器，专门为应用客户端提供对应的应用服务，比如对于支付宝这种应用客户端，应用服务器则是提供支付宝业务的服务器。

应该理解，图2中的应用客户端、应用服务器、运营商服务器的数目仅仅是示意性的。根据实现需要，可以选择和布设任意数目。

参见图2，应用客户端、应用服务器以及运营商服务器通过网络交互。其中，网络可以包括各种连接类型，例如有线、无线通信链路或光纤电缆等。

因为本说明书提供的一键登录业务的实现方法涉及到图2中所示的3种网络节点，因此，下面通过不同的实施例分别说明运营商服务器、应用客户端以及应用服务器在一键登录业务中的处理。

首先，说明应用服务器在一键登录业务中的处理。

图3是本说明书一个实施例在应用服务器中实现一键登录业务的方法的流程图。参见图3，该方法包括：

步骤301：应用服务器在接收到应用客户端发来的登录请求后，生成对应该应用客户端的登录凭证，并将该登录凭证发送给对应的应用客户端。

步骤303：应用服务器接收运营商服务器发来的登录凭证及与该登录凭证对应的令牌token。

步骤305：应用服务器接收应用客户端发来的携带登录凭证的一键登录确认请求。

步骤307：应用服务器得到与一键登录确认请求中的登录凭证对应的token。

步骤309：应用服务器将得到的该token携带在号码获取请求中发送给运营商服务器。

步骤311：应用服务器接收运营商服务器发来的应用客户端所在的终端设备的手机号，根据该手机号进行登录授权处理。

在现有的一键登录业务中，会出现诸如如下情况：一个攻击者经常会对从运营商服务器至应用客户端的链路进行监听和攻击，从而利用自己的终端设备X盗取运营商服务器下发给应用客户端的token，之后，攻击者就可以通过终端设备X仿冒该应用客户端所在的终端设备Y向应用服务器发送token，因为所利用的token正确，应用服务器可以从运营商服务器处拿到应用客户端所在的终端设备Y的手机号，从而导致应用服务器误认为发来token的终端设备X就是应用客户端所在的终端设备Y，即认为攻击者就是应用客户端的合法用户，从而向攻击者提供对应的应用服务，比如播放该合法用户才有权限观看的视频资料或者完成转账等，从而对用户的使用带来了安全问题，并可能会造成用户隐私数据的泄露。

而根据上述图3所示的过程可以看出，在从运营商服务器至应用客户端的链路上，运营商服务器不再向应用客户端下发一键登录业务需要使用的令牌token，这样，即使攻击者监听该链路，也无法获取一键登录需要的token。在上述图3所示过程中，比如将向运营商服务器请求一键登录的应用客户端所在的终端设备记为终端设备Y，运营商服务器会为该终端设备Y发来的登录凭证分配对应的token，并将终端设备Y的登录凭证及该登录凭证对应的token发送给应用服务器，这样，应用服务器则获取了向运营商服务器请求一键登录业务的终端设备Y的登录凭证及该登录凭证对应的token。

后续，应用服务器会接收到一个终端设备发来的一键登录确认请求，如果是攻击者发来的一键登录确认请求，那么该一键登录确认请求中不会携带有终端设备Y的登录凭证，那么应用服务器则无法查找到终端设备Y的登录凭证对应的token，则无法从运营商服务器处获取终端设备Y的手机号码，使得攻击者无法仿冒终端设备Y使用其一键登录业务。相反，如果仍然是终端设备Y发来的一键登录确认请求，那么该一键登录确认请求中会携带有终端设备Y的登录凭证，那么应用服务器则可以查找到终端设备Y的登录凭证对应的token，则会继续从运营商服务器处获取终端设备Y的手机号码，从而使得应用服务器为其当前连接的终端设备Y提供对应的应用服务。可见，本说明书实施例的方法避免了应用服务器为攻击者的终端设备X提供应用客户端对应的应用服务，提高了安全性。

下面结合具体的实施例、运营商服务器的处理及应用服务器的处理，对图3所示的应用服务器的处理过程进行说明。

首先对于步骤301：

应用服务器在接收到应用客户端发来的登录请求后，生成对应该应用客户端的登录凭证，并将该登录凭证发送给对应的应用客户端。

在本说明书实施例中，因为运营商不再将token下发给应用客户端，而是下发给应用服务器，因此，为了在后续过程中，能够将发起登录请求的应用客户端与token进行关联，即是哪一个应用客户端请求了token，可以执行本步骤的处理，生成登录凭证，从而通过该登录凭证将发起登陆请求的应用客户端与后续运营商服务器下发的token进行关联。

在本说明书一个实施例中，为了进一步提高安全性，可以由应用客户端生成公私钥对，应用客户端与应用服务器之间传输的登录凭证可以利用该公私钥对进行加密，从而避免登录凭证的泄露。这样，步骤301中具体的实现过程包括：

步骤3010：应用服务器预先获取应用客户端生成的公私钥对中的公钥；

步骤3012：应用服务器利用该公钥对登录凭证进行加密；

步骤3014：应用服务器将加密后的登录凭证发送给该登录凭证对应的应用客户端。

在本说明书一个实施例中，应用客户端可以在登录请求中携带公钥，这样，步骤3010中，应用服务器从应用客户端发来的登录请求中获取上述公钥。

在执行完步骤301之后，应用客户端则获取了登录凭证。如果登录凭证使用公钥加密，那么，应用客户端利用私钥对加密后的登录凭证进行解密，从而得到了本次一键登录中该应用客户端对应的登录凭证。

应用服务器还会向应用客户端下发预登录界面。

至此，应用客户端与应用服务器之间的预登录处理完成，应用客户端通过该预登录处理过程使得应用服务器获取了应用客户端产生的公私钥对中的公钥，同时，应用服务器通过该预登录处理过程使得应用客户端获取了登录凭证。

在预登录处理完成之后，应用客户端会向运营商服务器进行登录验证及身份验证。在验证过程中，应用客户端可以将接收到的登录凭证携带在校验请求中发送给运营商服务器，以触发运营商服务器生成对应该登录凭证的token，并且，运营商服务器将登录凭证及与该登录凭证对应的令牌token发送给应用服务器。其中，不同应用客户端的登录凭证会对应不同的token，从而通过登录凭证区分应用客户端。

接下来，在步骤303中应用服务器接收运营商服务器发来的登录凭证及与该登录凭证对应的令牌token。

比如，通过各次交互，应用服务器中接收并保存了10个登录凭证与令牌token的对应关系。

接下来，在步骤305中应用服务器接收应用客户端发来的携带登录凭证的一键登录确认请求。

在上述步骤301中，如果应用服务器已经获取了公钥，那么，相应地，应用客户端会用私钥对自己的登录凭证进行加密，然后将加密后的登录凭证携带在一键登录确认请求中发送给应用服务器。那么，在本步骤305中，一键登录确认请求中就会携带有被私钥加密的登录凭证，应用服务器会从一键登录确认请求中获取被私钥加密的登录凭证，利用之前已经获取的公钥进行解密，得到登录凭证。

接下来，在步骤307至步骤311中，如果应用服务器能从保存的比如上述10个登录凭证与令牌token的对应关系中查找到与一键登录确认请求中的登录凭证对应的token，那么则可以认为当前发来一键登录确认请求的应用客户端是合法的应用客户端，则可以继续执行将得到的该token携带在号码获取请求中发送给运营商服务器；后续，则可以接收运营商服务器发来的应用客户端所在的终端设备的手机号，根据该手机号进行登录授权处理。

在本说明书实施例中，应用客户端可以通过专有链路与应用服务器进行通信，在获得对称密钥之前应用客户端可以通过https链路与运营商服务器进行通信，在获得对称密钥之后应用客户端可以通过http链路与运营商服务器进行通信，应用服务器可以通过https链路与运营商服务器进行通信。

下面说明应用客户端在一键登录业务中的处理。

图4是本说明书一个实施例在应用客户端中实现一键登录业务的方法的流程图。参见图4，该方法包括：

步骤401：应用客户端向应用服务器发送登录请求。

步骤403：应用客户端接收应用服务器下发的登录凭证。

步骤405：应用客户端将登录凭证携带在校验请求中发送给运营商服务器，以触发运营商服务器生成对应该登录凭证的token。

步骤407：应用客户端向应用服务器发送携带登录凭证的一键登录确认请求。

步骤409：应用客户端如果接收到应用服务器发来的登录授权，则一键登录成功。

下面结合具体实施例对图4中所示的步骤进行说明。

首先对于步骤401：

应用客户端向应用服务器发送登录请求。

在一键登录业中，应用客户端会向应用服务器发送登录请求，从而触发应用服务器进行登录预授权的处理。

参见上述对步骤301的相关说明，可以由应用客户端生成公私钥对，应用客户端与应用服务器之间传输的登录凭证可以利用该公私钥对进行加密。也就是说，应用客户端可以将预先生成的公私钥对中的公钥发送给应用服务器，比如携带在登录请求中发送给应用服务器。当然，应用客户端也可以将公钥携带在新定义的消息中发送给应用服务器。

执行完步骤401之后，应用服务器则可以接收到应用客户端发来的公钥。在应用服务器接收到应用客户端发来的登录请求后，进行登录预授权及下发登录凭证，具体可以是下发被公钥加密后的登录凭证。

接下来对于步骤403：

应用客户端接收应用服务器下发的登录凭证。

本步骤403中，应用客户端接收到的可以是应用服务器利用公钥加密后的登录凭证，应用客户端利用公私钥对中的私钥进行解密，得到应用服务器为其分配的登录凭证。

接下来对于步骤405：

应用客户端将登录凭证携带在校验请求中发送给运营商服务器，以触发运营商服务器生成对应该登录凭证的token。

正如上述对步骤301中的说明，应用客户端在预登录处理完成之后，会向运营商服务器进行登录验证及身份验证。在验证过程中，应用客户端可以将接收到的登录凭证携带在校验请求中发送给运营商服务器，以触发运营商服务器生成对应该登录凭证的token。

在本步骤405中，校验请求包括如下中的至少一个请求：

校验请求1：携带APP ID、APP sign，KEY ID、时间戳以及登录凭证的登录验证请求；

校验请求2：携带APP ID、登录凭证及时间戳的手机身份校验请求；

校验请求3：携带APP ID及登录凭证的新定义的校验请求。

在本说明书一个实施例中，当校验请求为上述校验请求2，即包括携带APP ID、所述登录凭证及时间戳的手机身份校验请求时，在本说明书一个实施例中通过如下描述的步骤4051至步骤4055的各处理使得运营商服务器获取应用客户端的登录凭证，从而触发运营商服务器生成对应该登录凭证的令牌token，具体包括：

步骤4051：应用客户端获取运营商服务器发来的对称密钥。

在本步骤4051之前，应用客户端可以通过登录验证请求或其他请求，将上述生成的公私钥对中的公钥发送给运营商服务器，这样，运营商服务器可以利用该公钥对对称密钥加密后，再下发给应用客户端。这样，本步骤4051中，应用客户端可以先利用私钥对加密后的对称密钥进行解密，从而得到对称密钥。

步骤4053：应用客户端利用该对称密钥对手机身份校验请求中的APP ID、登录凭证、时间戳及IP地址进行加密，以生成临时口令。

步骤4055：应用客户端利用该临时口令以及对称密钥进行MAC(消息认证码)计算，得到MAC值。

步骤4055：应用客户端将包括临时口令及MAC值的手机身份校验请求发送给运营商服务器。

在上述步骤4051至步骤4055中，不仅通过手机身份校验请求将登录凭证的信息发送给了运营商服务器，而且，还对手机身份校验请求进行了生成临时口令及MAC计算，通过临时口令及MAC计算得到的MAC值能够让运营商服务器进行完整性校验，从而进一步提高安全性。

参见上述对步骤301及步骤303的说明，运营商服务器在针对接收到的每一个登录凭证生成对应的token之后，会将登录凭证及与该登录凭证对应的令牌token发送给应用服务器。其中，不同应用客户端的登录凭证会对应不同的token，从而通过登录凭证区分应用客户端。这样，应用服务器中则会保存登录凭证及与该登录凭证对应的令牌token。

接下来，在步骤407中，应用客户端向应用服务器发送携带登录凭证的一键登录确认请求。

本步骤407中，为了提高安全性，应用客户端可以利用私钥对登录凭证进行加密，并将加密后的登录凭证携带在一键登录确认请求中发送给应用服务器。

接下来，在步骤409中，应用客户端如果接收到应用服务器发来的登录授权，则一键登录成功。

下面说明运营商服务器在一键登录业务中的处理。

图5是本说明书一个实施例在运营商服务器中实现一键登录业务的方法的流程图。参见图5，该方法包括：

步骤501：运营商服务器接收应用客户端发来的携带登录凭证的校验请求。

步骤503：运营商服务器从该校验请求中获取登录凭证，并生成对应该登录凭证的token。

步骤505：运营商服务器将该登录凭证及其对应的token发送给应用服务器。

步骤507：运营商服务器接收应用服务器发来的携带token的号码获取请求。

步骤509：运营商服务器根据号码获取请求中携带的token，获取应用客户端所在的终端设备的手机号，将该手机号发送给应用服务器。

在上述图5所示过程中，如前所述，校验请求可以包括如下中的至少一个请求：

携带APP ID、APP sign，KEY ID、时间戳以及所述登录凭证的登录验证请求；

携带APP ID、所述登录凭证及时间戳信息的手机身份校验请求；

携带APP ID及所述登录凭证的新定义的校验请求。

在本说明书的一个实施例中，如前所述，运营商服务器可以进行完整性校验。此时，运营商服务器接收到的校验请求包括：携带临时口令及MAC值的手机身份校验请求；其中，该临时口令及该MAC值利用APP ID、所述登录凭证及时间戳的信息生成；

运营商服务器进行的完整性校验包括：

在步骤503生成对应该登录凭证的token之前，运营商服务器进一步执行：

步骤5021：运营商服务器将生成的对称密钥下发给所述应用客户端；

步骤5023：运营商服务器利用生成的对称密钥以及该手机身份校验请求中携带的临时口令进行消息认证码MAC计算，计算出MAC值；

步骤5025：运营商服务器判断计算出的MAC值与手机身份校验请求中携带的MAC值是否相同，如果是，则继续执行上述步骤503中生成对应该登录凭证的token的步骤，否则，一键登录业务失败。

在本说明书的一个实施例中，在上述图5所示过程中，运营商服务器在步骤5021将生成的对称密钥下发给所述应用客户端之前，进一步包括：

运营商服务器接收应用客户端发来的携带公钥的登录验证请求；

运营商服务器从登录验证请求中获取该公钥，并利用该公钥对生成的对称密钥加密；

则，步骤5021中，运营商服务器是将加密后的对称密钥下发给应用客户端。

下面结合应用客户端、应用服务器以及运营商服务器三者的配合处理，来说明一键登录业务的实现方法。在该方法中，在运营商服务器生成token之前，以应用客户端通过上述的校验请求2即手机身份校验请求携带登录凭证，并且运营商服务器需要进行完整性校验为例进行说明，参见图6，包括：

步骤601：应用客户端通过专有链路向自己所属的应用服务器发送携带公钥的登录请求。

步骤603：应用服务器接收到登录请求后，从登录请求中获取公钥，并生成对应该应用客户端的登录凭证，同时，应用服务器进行登录预授权，包括利用公钥对生成的登录凭证进行加密，通过专有链路向该应用客户端发送预登录界面及加密后的登录凭证。

步骤605：应用客户端利用私钥解密出登录凭证，并且，应用客户端通过https链路向运营商服务器发送携带应用标识(APP ID)、应用签名(APP sign)，密钥标识符(KEY ID)、时间戳以及公钥的登录验证请求。

步骤607：运营商服务器根据接收到的登录验证请求对应用客户端的身份进行认证，认证成功后会生成一个会话密钥key，运营商服务器利用从登录验证请求中获取的公钥对该key进行加密，然后通过https链路下发给应用客户端。

这里，key是一个对称密钥。

步骤609：应用客户端利用私钥解密出对称密钥key，然后利用该对称密钥对手机身份校验请求中的APP ID、登录凭证、时间戳及IP地址进行加密，以生成临时口令；并且，应用客户端利用该临时口令以及对称密钥进行消息认证码MAC计算，得到MAC值，之后，应用客户端通过http链路将包括临时口令及该MAC值的手机身份校验请求发送给运营商服务器。

这里，手机身份校验请求中携带的IP地址为：应用客户端所在的终端设备的IP地址，可以包括IPv4地址以及IPv6地址。

步骤611：运营商服务器利用对称密钥以及该手机身份校验请求中携带的临时口令进行消息认证码MAC计算，计算出MAC值；判断计算出的MAC值与手机身份校验请求中携带的MAC值是否相同，如果是，则通过http链路将利用对称密钥加密后的手机掩码下发给应用客户端，以触发应用客户端进行后续的一键登录业务，否则，当前的一键登录业务失败。

比如，一键登录失败时，运营商服务器向应用服务器返回取号失败消息。

步骤613：运营商服务器生成对应该登录凭证的token，将该登录凭证及其对应的token发送给应用服务器。

步骤615：应用客户端利用私钥对登录凭证进行加密，然后将加密后的登录凭证携带在一键登录确认请求中发送给应用服务器。

步骤617：应用服务器利用公钥从一键登录确认请求中解密出登录凭证，并获取与该一键登录确认请求中携带的登录凭证对应的token，然后将APP ID及获取的token携带在号码获取请求中通过https链路发送给运营商服务器。

步骤619：运营商服务器通过https链路将从网关处查询到的终端设备的手机号码发送给应用服务器。

步骤621：应用服务器如果接收到运营商服务器发来的应用客户端所在的终端设备的手机号，则根据该手机号并通过专有链路向应用客户端进行登录成功授权处理。

在本说明书的一个实施例中，提供了一键登录业务的实现装置，设置于应用服务器中，参见图7，该设置于应用服务器中的装置包括：

登录预授权模块701，配置为在接收到应用客户端发来的登录请求后，生成对应该应用客户端的登录凭证，并将该登录凭证发送给该应用客户端；

token获取模块702，配置为接收运营商服务器发来的登录凭证及与该登录凭证对应的令牌token；

号码获取模块703，配置为接收应用客户端发来的携带登录凭证的一键登录确认请求；得到与一键登录确认请求中的登录凭证对应的token；将得到的该token携带在号码获取请求中发送给运营商服务器；

登录授权处理模块704，接收运营商服务器发来的所述应用客户端所在的终端设备的手机号，根据该手机号进行登录授权处理。

在本说明书的一个实施例中，在图7所示的设置于应用服务器中的装置中，登录预授权模块701被配置为获取应用客户端生成的公私钥对中的公钥；利用该公钥对登录凭证进行加密；将加密后的登录凭证发送给该登录凭证对应的应用客户端。

在本说明书的一个实施例中，在图7所示的设置于应用服务器中的装置中，登录预授权模块701被配置为从应用客户端发来的登录请求中获取所述公钥。

在本说明书的一个实施例中，在图7所示的设置于应用服务器中的装置中，号码获取模块703，配置为从一键登录确认请求中获取被私钥加密的登录凭证，利用获取的所述公钥进行解密，得到登录凭证，得到与该登录凭证对应的token。

在本说明书的一个实施例中，提供了一键登录业务的实现装置，设置于应用客户端中，参见图8，该设置于应用客户端中的装置包括：

预登录请求模块801，配置为向应用服务器发送登录请求；接收应用服务器下发的登录凭证；

校验请求模块802，配置为将登录凭证携带在校验请求中发送给运营商服务器，以触发运营商服务器生成对应该登录凭证的token；

登录处理模块803，配置为向应用服务器发送携带登录凭证的一键登录确认请求；如果接收到应用服务器发来的登录授权，则一键登录成功。

在本说明书的一个实施例中，在图8所示的设置于应用客户端中的装置中，预登录请求模块801被配置为将预先生成的公私钥对中的公钥发送给应用服务器；接收应用服务器下发的利用所述公钥加密后的登录凭证，利用所述公私钥对中的私钥进行解密，得到登录凭证。

在本说明书的一个实施例中，在图8所示的设置于应用客户端中的装置中，预登录请求模块801被配置为将预先生成的公私钥对中的公钥携带在所述登录请求中发送给应用服务器。

在本说明书的一个实施例中，在图8所示的设置于应用客户端中的装置中，登录处理模块803被配置为利用私钥对登录凭证进行加密，并将加密后的登录凭证携带在一键登录确认请求中发送给应用服务器。

在本说明书的一个实施例中，在图8所示的设置于应用客户端中的装置中，当所述校验请求包括携带APP ID、所述登录凭证及时间戳的手机身份校验请求时；校验请求模块802被配置为执行：获取运营商服务器发来的对称密钥；利用该对称密钥对所述手机身份校验请求中的APP ID、所述登录凭证、时间戳及IP地址进行加密，以生成临时口令；以及利用该临时口令以及对称密钥进行消息认证码MAC计算，得到MAC值；将包括所述临时口令及所述MAC值的手机身份校验请求发送给运营商服务器。

在本说明书的一个实施例中，提供了一键登录业务的实现装置，设置于运营商服务器中。参见图9，该设置于运营商服务器中的装置包括：

校验执行模块901，配置为接收应用客户端发来的携带登录凭证的校验请求；从该校验请求中获取登录凭证；

Token处理模块902，配置为生成对应所获取的登录凭证的token，将该登录凭证及其对应的token发送给应用服务器；

授权模块903，配置为接收应用服务器发来的携带token的号码获取请求；根据号码获取请求中携带的token，获取应用客户端所在的终端设备的手机号，将该手机号发送给应用服务器。

在本说明书的一个实施例中，在图9所示的设置于运营商服务器中的装置中，当所述校验请求包括携带APP ID、所述登录凭证及时间戳的手机身份校验请求时；校验执行模块901被配置为执行：将生成的对称密钥下发给所述应用客户端；利用生成的对称密钥以及该手机身份校验请求中携带的临时口令进行消息认证码MAC计算，计算出MAC值；判断计算出的MAC值与手机身份校验请求中携带的MAC值是否相同，如果是则触发token处理模块902生成对应所获取的登录凭证的token。

在本说明书的一个实施例中，在图9所示的设置于运营商服务器中的装置中，校验执行模块901被配置为执行：接收应用客户端发来的携带公钥的登录验证请求；从登录验证请求中获取该公钥，并利用该公钥对生成的对称密钥加密；则，将加密后的对称密钥下发给所述应用客户端。

本说明书一个实施例提供了一种计算机可读存储介质，其上存储有计算机程序，当所述计算机程序在计算机中执行时，令计算机执行说明书中任一个实施例中的方法。

本说明书一个实施例提供了一种计算设备，包括存储器和处理器，所述存储器中存储有可执行代码，所述处理器执行所述可执行代码时，实现执行说明书中任一个实施例中的方法。

可以理解的是，本说明书实施例示意的结构并不构成对本说明书实施例的装置的具体限定。在说明书的另一些实施例中，上述装置可以包括比图示更多或者更少的部件，或者组合某些部件，或者拆分某些部件，或者不同的部件布置。图示的部件可以以硬件、软件或者软件和硬件的组合来实现。

上述装置、系统内的各模块之间的信息交互、执行过程等内容，由于与本说明书方法实施例基于同一构思，具体内容可参见本说明书方法实施例中的叙述，此处不再赘述。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

本领域技术人员应该可以意识到，在上述一个或多个示例中，本发明所描述的功能可以用硬件、软件、挂件或它们的任意组合来实现。当使用软件实现时，可以将这些功能存储在计算机可读介质中或者作为计算机可读介质上的一个或多个指令或代码进行传输。

以上所述的具体实施方式，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施方式而已，并不用于限定本发明的保护范围，凡在本发明的技术方案的基础之上，所做的任何修改、等同替换、改进等，均应包括在本发明的保护范围之内。

Claims (18)

1.一键登录业务的实现方法，其中包括：

在接收到应用客户端发来的登录请求后，生成对应该应用客户端的登录凭证，并将该登录凭证发送给该应用客户端；

接收运营商服务器发来的登录凭证及与该登录凭证对应的令牌token；

接收应用客户端发来的携带登录凭证的一键登录确认请求；

得到与一键登录确认请求中的登录凭证对应的token；

将得到的该token携带在号码获取请求中发送给运营商服务器；

接收运营商服务器发来的所述应用客户端所在的终端设备的手机号，根据该手机号进行登录授权处理。

2.根据权利要求1所述的方法，

该方法进一步包括：获取所述应用客户端生成的公私钥对中的公钥；利用该公钥对登录凭证进行加密；

所述将该登录凭证发送给该应用客户端，包括：将加密后的登录凭证发送给该登录凭证对应的应用客户端。

3.根据权利要求2所述的方法，

所述获取所述应用客户端生成的公私钥对中的公钥，包括：从应用客户端发来的所述登录请求中获取所述公钥。

4.根据权利要求2所述的方法，所述一键登录确认请求中携带有被私钥加密的所述登录凭证；该私钥是所述应用客户端生成的公私钥对中的私钥；

所述得到与一键登录确认请求中的登录凭证对应的token，包括：从所述一键登录确认请求中获取被私钥加密的登录凭证，利用获取的所述公钥进行解密，得到登录凭证，得到与该登录凭证对应的token。

5.一键登录业务的实现方法，其中包括：

向应用服务器发送登录请求；

接收应用服务器下发的登录凭证；

将登录凭证携带在校验请求中发送给运营商服务器，以触发运营商服务器生成对应该登录凭证的token；

向应用服务器发送携带登录凭证的一键登录确认请求；

如果接收到应用服务器发来的登录授权，则一键登录成功。

6.根据权利要求5所述的方法，其中，在所述接收应用服务器下发的登录凭证之前，进一步包括：将预先生成的公私钥对中的公钥发送给应用服务器；

所述接收应用服务器下发的登录凭证，包括：接收应用服务器下发的利用所述公钥加密后的登录凭证，利用所述公私钥对中的私钥进行解密，得到所述登录凭证。

7.根据权利要求6所述的方法，其中，所述将预先生成的公私钥对中的公钥发送给应用服务器，包括：将预先生成的公私钥对中的公钥携带在所述登录请求中发送给应用服务器。

8.根据权利要求6所述的方法，其中，所述向应用服务器发送一键登录确认请求，包括：利用所述私钥对登录凭证进行加密，并将加密后的登录凭证携带在一键登录确认请求中发送给应用服务器。

9.根据权利要求5所述的方法，其中，所述校验请求包括如下中的至少一个请求：

携带APP ID、APP sign，KEY ID、时间戳以及所述登录凭证的登录验证请求；

携带APP ID、所述登录凭证及时间戳的手机身份校验请求；

携带APP ID及所述登录凭证的新定义的校验请求。

10.根据权利要求9所述的方法，其中，当所述校验请求包括携带APP ID、所述登录凭证及时间戳的手机身份校验请求时；

在所述接收应用服务器下发的登录凭证之后，并在所述将登录凭证携带在校验请求中发送给运营商服务器之前，进一步包括：

获取运营商服务器发来的对称密钥；

利用该对称密钥对所述手机身份校验请求中的APP ID、所述登录凭证、时间戳及IP地址进行加密，以生成临时口令；以及

利用该临时口令以及对称密钥进行消息认证码MAC计算，得到MAC值；

则，所述将登录凭证携带在校验请求中发送给运营商服务器，包括：

将包括所述临时口令及所述MAC值的手机身份校验请求发送给运营商服务器。

11.一键登录业务的实现方法，包括：

接收应用客户端发来的携带登录凭证的校验请求；

从该校验请求中获取登录凭证，并生成对应该登录凭证的token；

将该登录凭证及其对应的token发送给应用服务器；

接收应用服务器发来的携带token的号码获取请求；

根据号码获取请求中携带的token，获取应用客户端所在的终端设备的手机号，将该手机号发送给应用服务器。

12.根据权利要求11所述的方法，其中，所述校验请求包括如下中的至少一个请求：

携带APP ID、APP sign，KEY ID、时间戳以及所述登录凭证的登录验证请求；

携带APP ID、所述登录凭证及时间戳信息的手机身份校验请求；

携带APP ID及所述登录凭证的新定义的校验请求。

13.根据权利要求11所述的方法，其中，接收到的所述校验请求包括：携带临时口令及MAC值的手机身份校验请求；其中，该临时口令及该MAC值利用APP ID、所述登录凭证及时间戳的信息生成；

在所述生成对应该登录凭证的token之前，进一步包括：

将生成的对称密钥下发给所述应用客户端；

利用生成的对称密钥以及该手机身份校验请求中携带的临时口令进行消息认证码MAC计算，计算出MAC值；

判断计算出的MAC值与手机身份校验请求中携带的MAC值是否相同，如果是，则继续执行所述生成对应该登录凭证的token的步骤，否则，一键登录业务失败。

14.根据权利要求13所述的方法，其中，在所述将生成的对称密钥下发给所述应用客户端之前，进一步包括：

接收应用客户端发来的携带公钥的登录验证请求；

从登录验证请求中获取该公钥，并利用该公钥对生成的对称密钥加密；

所述将生成的对称密钥下发给所述应用客户端，包括：将加密后的对称密钥下发给所述应用客户端。

15.一键登录业务的实现装置，包括：

登录预授权模块，配置为在接收到应用客户端发来的登录请求后，生成对应该应用客户端的登录凭证，并将该登录凭证发送给该应用客户端；

token获取模块，配置为接收运营商服务器发来的登录凭证及与该登录凭证对应的令牌token；

号码获取模块，配置为接收应用客户端发来的携带登录凭证的一键登录确认请求；得到与一键登录确认请求中的登录凭证对应的token；将得到的该token携带在号码获取请求中发送给运营商服务器；

登录授权处理模块，接收运营商服务器发来的所述应用客户端所在的终端设备的手机号，根据该手机号进行登录授权处理。

16.一键登录业务的实现装置，包括：

预登录请求模块，配置为向应用服务器发送登录请求；接收应用服务器下发的登录凭证；

校验请求模块，配置为将登录凭证携带在校验请求中发送给运营商服务器，以触发运营商服务器生成对应该登录凭证的token；

登录处理模块，配置为向应用服务器发送携带登录凭证的一键登录确认请求；如果接收到应用服务器发来的登录授权，则一键登录成功。

17.一键登录业务的实现装置，包括：

校验执行模块，配置为接收应用客户端发来的携带登录凭证的校验请求；从该校验请求中获取登录凭证；

Token处理模块，配置为生成对应所获取的登录凭证的token，将该登录凭证及其对应的token发送给应用服务器；

授权模块，配置为接收应用服务器发来的携带token的号码获取请求；根据号码获取请求中携带的token，获取应用客户端所在的终端设备的手机号，将该手机号发送给应用服务器。

18.一种计算设备，包括存储器和处理器，所述存储器中存储有可执行代码，所述处理器执行所述可执行代码时，实现权利要求1-14中任一项所述的方法。

Images