CN114666160A - 一种基于jwt的多系统安全统一认证系统及方法 - Google Patents

一种基于jwt的多系统安全统一认证系统及方法 Download PDF

Info

Publication number
CN114666160A
CN114666160A CN202210446636.3A CN202210446636A CN114666160A CN 114666160 A CN114666160 A CN 114666160A CN 202210446636 A CN202210446636 A CN 202210446636A CN 114666160 A CN114666160 A CN 114666160A
Authority
CN
China
Prior art keywords
token
jwt
access request
authentication
verification
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202210446636.3A
Other languages
English (en)
Inventor
王嘉祥
高昌兴
郭猛
潘景山
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Jinan Supercomputing Technology Research Institute
Original Assignee
Jinan Supercomputing Technology Research Institute
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Jinan Supercomputing Technology Research Institute filed Critical Jinan Supercomputing Technology Research Institute
Priority to CN202210446636.3A priority Critical patent/CN114666160A/zh
Publication of CN114666160A publication Critical patent/CN114666160A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/22—Parsing or analysis of headers

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明属于安全认证技术领域，提供了一种基于jwt的多系统安全统一认证系统及方法，包括客户端、网关以及认证中心；所述网关用于接收客户端的访问请求，对访问请求进行判断，判断所述访问请求的请求头是否包含token，若包含token，将该token发送至认证中心进行验证，验证通过后，认证中心用于将验证结果返回至网关，网关接收到验证结果后，将访问请求转发至对应的应用界面以实现用户的登录，否则将访问请求转发至客户端登录界面。与传统企业独立认证多系统相比，降低了使用者的使用难度，降低企业维护各系统登录认证的运维成本。

Description

一种基于jwt的多系统安全统一认证系统及方法
技术领域
本发明属于安全认证技术领域，尤其涉及一种基于jwt的多系统安全统一认证方法及系统。
背景技术
本部分的陈述仅仅是提供了与本发明相关的背景技术信息，不必然构成在先技术。
目前企业的需要大量人工来解决的繁重重复的任务已经可以由程序来辅助执行了，但是由于部门的不同，需求的不同以及程序设计之初的目标不同，难免就会有很多应用程序活跃在公司架构之中，对于系统应用者来说，每种应用各自有各自的账号密码权限管理系统，无疑是需要耗费精力取识别记忆的，操作也很不方便。
为了解决这个问题，现有技术采用了jwt(json web token)技术，设计了新的权限认证体系。但是对于jwt这种无状态的token，系统判断此token是否有效的方法一般是解析他本身的内容从而判断他是否在有效时间内。上述方案是存在安全隐患的，例如，如果用户请求了token，而这个token被劫持了，由于token的无状态的特性，客户端的账户注销、登出等操作并不能导致此token失效，那么不法分子就可以利用这个token进行信息窃取等不法操作，破坏公司的系统。
为了防止这种情况的发生，本方法中增加了token验证步骤，当客户端的用户登出或者注销当前用户时不仅仅是浏览器内的cookie会被清除，认证中心的会话也会被杀死，其发出的token会被设为无效，弥补了jwt这种无状态token的安全漏洞。
发明内容
为了解决上述背景技术中存在的至少一项技术问题，本发明提供一种基于jwt的多系统安全统一认证方法及系统，其增加了token验证步骤，当客户端的用户登出或者注销当前用户时不仅仅是浏览器内的cookie会被清除，认证中心的会话也会被杀死，其发出的token会被设为无效，解决无状态token会被劫持利用的问题。
为了实现上述目的，本发明采用如下技术方案：
本发明的第一个方面提供一种基于jwt的多系统安全统一认证系统，包括客户端、网关以及认证中心；
所述网关用于接收客户端的访问请求，对访问请求进行判断，判断所述访问请求的请求头是否包含token，若包含token，将该token发送至认证中心进行验证，验证通过后，认证中心用于将验证结果返回至网关，网关接收到验证结果后，将访问请求转发至对应的应用界面以实现用户的登录，否则将访问请求转发至客户端登录界面。
作为一种或多种技术方案，网关用于将该token发送至认证中心对token进行验证，包括认证中心用于将该token和存储的有效的token列表进行对比，若可在有效的token列表中发现该token副本，则该token有效，否则无效。
作为一种或多种技术方案，客户端登出应用前，网关用于接收登出请求发送至认证中心，所述认证中心用于将本次携带的token进行失效处理。
作为一种或多种技术方案，所述认证中心用于将本次携带的token进行失效处理为将本次携带的token进行失效处理为将本次携带的token从有效的token列表中删除。
本发明的第二个方面提供一种基于jwt的多系统安全统一认证方法，包括如下步骤：
接收客户端的访问请求，对访问请求进行判断，判断所述访问请求的请求头是否包含token，若包含token，将该token发送至认证中心进行验证，验证通过后，将验证结果返回，将访问请求转发至对应的应用界面以实现用户的登录，否则将访问请求转发至客户端登录界面。
作为一种或多种技术方案，所述将该token发送至认证中心进行验证，包括将该token和存储的有效的token列表进行对比，若可在有效的token列表中发现该token副本，则该token有效，否则无效。
作为一种或多种技术方案，客户端登出应用前，接收登出请求，将本次携带的token进行失效处理。
作为一种或多种技术方案，所述将本次携带的token进行失效处理为将本次携带的token从有效的token列表中删除。
本发明的第三个方面提供一种计算机可读存储介质。
一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如上述所述的一种基于jwt的多系统安全统一认证方法中的步骤。
本发明的第四个方面提供一种计算机设备。
一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如上述所述的一种基于jwt的多系统安全统一认证方法中的步骤。
与现有技术相比，本发明的有益效果是：
(1)本发明与传统企业独立认证多系统相比，通过接收客户端的访问请求，对访问请求进行判断，判断所述访问请求的请求头是否包含token，若包含token，将该token发送至认证中心进行验证，验证通过后，认证中心用于将验证结果返回至网关，网关接收到验证结果后，将访问请求转发至对应的应用界面以实现用户的登录，否则将访问请求转发至客户端登录界面。此方法实现多系统的统一认证，降低了使用者的使用难度，降低企业维护各系统登录认证的运维成本；
(2)本发明与传统jwt相比，规避了jwt无状态token的安全风险，由认证中心统一管理token时效性，更加安全有效；
(3)本发明降低新增应用系统开发难度，网关可动态添加路由策略，新增应用系统只需提供路由接口，将url网址与通过验证后需要转发到的网址形成映射关系，在接收到此请求通过验证的消息之后，网关便根据映射关系将此请求转发到对应网址上，无需进行复杂的登录认证模块开发。
本发明附加方面的优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本发明的实践了解到。
附图说明
构成本发明的一部分的说明书附图用来提供对本发明的进一步理解，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。
图1是本发明实施例一的基于jwt的多系统安全统一认证系统结构图；
图2是本发明实施例一的认证中心功能模块图；
图3是本发明实施例二的基于jwt的多系统安全统一认证方法的时序图。
具体实施方式
下面结合附图与实施例对本发明作进一步说明。
应该指出，以下详细说明都是例示性的，旨在对本发明提供进一步的说明。除非另有指明，本文使用的所有技术和科学术语具有与本发明所属技术领域的普通技术人员通常理解的相同含义。
需要注意的是，这里所使用的术语仅是为了描述具体实施方式，而非意图限制根据本发明的示例性实施方式。如在这里所使用的，除非上下文另外明确指出，否则单数形式也意图包括复数形式，此外，还应当理解的是，当在本说明书中使用术语“包含”和/或“包括”时，其指明存在特征、步骤、操作、器件、组件和/或它们的组合。
术语解释
Token:是指计算机系统中进行某种行动的凭证，本文中的token为用户登录之后认证中心颁发给用户的访问资源的令牌凭证。
实施例一
本发明的整体思想为：针对企业存在多套软件系统且系统之间认证体系独立、切换登录复杂的问题，提出了一种基于jwt的多系统安全统一认证方法，为了解决jwt无状态token安全问题，实现多套软件系统安全的统一登录认证，包括：
1)由token认证中心进行jwt的签发与验证；
2)使用ocelot网关进行路由转发，遵循oauth2标准，连接token认证中心实现对jwt实时认证；
3)被访问的应用系统根据jwt中携带的用户信息和权限信息等分发响应菜单；
4)用户注销或登出时，浏览器cookie清除，同时认证中心会话断开并将用户的token设为无效。
如图1-图2所示，本实施例提供了一种基于jwt的多系统安全统一认证系统，包括客户端、网关以及认证中心；
所述网关用于接收客户端的访问请求，对访问请求进行判断，判断所述访问请求的请求头是否包含token，若包含token，将该token发送至认证中心进行验证，验证通过后，认证中心用于将验证结果返回至网关，网关接收到验证结果后，将访问请求转发至对应的应用界面以实现用户的登录，否则将访问请求转发至客户端登录界面。
上述技术方案的优势在于，实现多系统的统一认证，降低了使用者的使用难度，降低企业维护各系统登录认证的运维成本。
所述网关用于将该token发送至认证中心对token的有效性进行验证，包括认证中心用于将该token和存储的有效的token列表进行对比，若可在有效的token列表中发现该token副本，则该token有效，否则无效。
验证通过后，客户端可以从认证中心换取有效的token并通过网关访问正确应用。
客户端登出应用前，网关用于接收登出请求发送至认证中心，所述认证中心用于将本次携带的token进行失效处理。
所述将本次携带的token进行失效处理为将本次携带的token从有效的token列表中删除。
上述技术方案的优势在于，可以解决无状态token能被劫持利用的问题。
本发明降低新增应用系统开发难度，网关可动态添加路由策略，新增应用系统只需提供路由接口，无需进行复杂的登录认证模块开发。
新增路由策略可通过配置的方式实现，将url网址与通过验证后需要转发到的网址形成映射关系，在接收到此请求通过验证的消息之后，网关便根据映射关系将此请求转发到对应网址上。
实施例二
如图3所示，本实施例提供了一种基于jwt的多系统安全统一认证方法，包括如下步骤：
接收客户端的访问请求，对访问请求进行判断，判断所述访问请求的请求头是否包含token，若包含token，将该token发送至认证中心进行验证，验证通过后，将验证结果返回，将访问请求转发至对应的应用界面以实现用户的登录，否则将访问请求转发至客户端登录界面。
上述方案的技术优势在于，实现多系统的统一认证，降低了使用者的使用难度，降低企业维护各系统登录认证的运维成本。
所述将该token发送至认证中心进行验证，包括将该token和存储的有效的token列表进行对比，若可在有效的token列表中发现该token副本，则该token有效，否则无效。
验证通过后，客户端可以从认证中心换取有效的token并通过网关访问正确应用。
客户端登出应用前，接收登出请求，将本次携带的token进行失效处理。
所述将本次携带的token进行失效处理为将本次携带的token从有效的token列表中删除。
上述技术方案的优势在于，可以解决无状态token能被劫持利用的问题。
本发明降低新增应用系统开发难度，网关可动态添加路由策略，新增应用系统只需提供路由接口，无需进行复杂的登录认证模块开发。
新增路由策略可通过配置的方式实现，将url网址与通过验证后需要转发到的网址形成映射关系，在接收到此请求通过验证的消息之后，网关便根据映射关系将此请求转发到对应网址上。
实施例三
本实施例提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如上述所述的一种基于jwt的多系统安全统一认证方法中的步骤。
实施例四
本实施例提供了一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如上述所述的一种基于jwt的多系统安全统一认证方法中的步骤。
本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用硬件实施例、软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器和光学存储器等)上实施的计算机程序产品的形式。
本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)或随机存储记忆体(RandomAccessMemory，RAM)等。
以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种基于jwt的多系统安全统一认证系统，其特征在于，包括客户端、网关以及认证中心；
所述网关用于接收客户端的访问请求，对访问请求进行判断，判断所述访问请求的请求头是否包含token，若包含token，将该token发送至认证中心进行验证，验证通过后，认证中心用于将验证结果返回至网关，网关接收到验证结果后，将访问请求转发至对应的应用界面以实现用户的登录，否则将访问请求转发至客户端登录界面。
2.如权利要求1所述的一种基于jwt的多系统安全统一认证系统，其特征在于，网关用于将该token发送至认证中心对token进行验证，包括认证中心用于将该token和存储的有效的token列表进行对比，若可在有效的token列表中发现该token副本，则该token有效，否则无效。
3.如权利要求1所述的一种基于jwt的多系统安全统一认证系统，其特征在于，客户端登出应用前，网关用于接收登出请求发送至认证中心，所述认证中心用于将本次携带的token进行失效处理。
4.如权利要求3所述的一种基于jwt的多系统安全统一认证系统，其特征在于，所述认证中心用于将本次携带的token进行失效处理为将本次携带的token进行失效处理为将本次携带的token从有效的token列表中删除。
5.一种基于jwt的多系统安全统一认证方法，其特征在于，包括如下步骤：
接收客户端的访问请求，对访问请求进行判断，判断所述访问请求的请求头是否包含token，若包含token，将该token发送至认证中心进行验证，验证通过后，将验证结果返回，将访问请求转发至对应的应用界面以实现用户的登录，否则将访问请求转发至客户端登录界面。
6.如权利要求5所述的一种基于jwt的多系统安全统一认证方法，其特征在于，所述将该token发送至认证中心进行验证，包括将该token和存储的有效的token列表进行对比，若可在有效的token列表中发现该token副本，则该token有效，否则无效。
7.如权利要求5所述的一种基于jwt的多系统安全统一认证方法，其特征在于，客户端登出应用前，接收登出请求，将本次携带的token进行失效处理。
8.如权利要求7所述的一种基于jwt的多系统安全统一认证方法，其特征在于，所述将本次携带的token进行失效处理为将本次携带的token从有效的token列表中删除。
9.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求5-8中任一项所述的一种基于jwt的多系统安全统一认证方法中的步骤。
10.一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求5-8中任一项所述的一种基于jwt的多系统安全统一认证方法中的步骤。
CN202210446636.3A 2022-04-26 2022-04-26 一种基于jwt的多系统安全统一认证系统及方法 Pending CN114666160A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210446636.3A CN114666160A (zh) 2022-04-26 2022-04-26 一种基于jwt的多系统安全统一认证系统及方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210446636.3A CN114666160A (zh) 2022-04-26 2022-04-26 一种基于jwt的多系统安全统一认证系统及方法

Publications (1)

Publication Number Publication Date
CN114666160A true CN114666160A (zh) 2022-06-24

Family

ID=82037986

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210446636.3A Pending CN114666160A (zh) 2022-04-26 2022-04-26 一种基于jwt的多系统安全统一认证系统及方法

Country Status (1)

Country Link
CN (1) CN114666160A (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115378645A (zh) * 2022-07-14 2022-11-22 国能信控互联技术有限公司 一种基于电力营销管理系统统一认证的验证方法及系统
CN115834207A (zh) * 2022-11-23 2023-03-21 紫光云技术有限公司 一种基于网关实现跨应用集成的方法

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20180302406A1 (en) * 2017-04-13 2018-10-18 International Business Machines Corporation Secure client-server communication
CN109815656A (zh) * 2018-12-11 2019-05-28 平安科技（深圳）有限公司 登录认证方法、装置、设备及计算机可读存储介质
CN110995702A (zh) * 2019-12-02 2020-04-10 杭州安恒信息技术股份有限公司 一种基于分布式微服务的用户认证方法
CN111447184A (zh) * 2020-03-09 2020-07-24 上海数据交易中心有限公司 单点登录方法及装置、系统、计算机可读存储介质
CN111585973A (zh) * 2020-04-16 2020-08-25 北京明略软件系统有限公司 一种管理访问的方法和装置
CN113626789A (zh) * 2021-08-09 2021-11-09 北京轻松筹信息技术有限公司 用户操作请求的处理方法、装置及电子设备
CN114168933A (zh) * 2021-12-03 2022-03-11 紫光云(南京)数字技术有限公司 一种用户异常登录管理方法

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20180302406A1 (en) * 2017-04-13 2018-10-18 International Business Machines Corporation Secure client-server communication
CN109815656A (zh) * 2018-12-11 2019-05-28 平安科技（深圳）有限公司 登录认证方法、装置、设备及计算机可读存储介质
CN110995702A (zh) * 2019-12-02 2020-04-10 杭州安恒信息技术股份有限公司 一种基于分布式微服务的用户认证方法
CN111447184A (zh) * 2020-03-09 2020-07-24 上海数据交易中心有限公司 单点登录方法及装置、系统、计算机可读存储介质
CN111585973A (zh) * 2020-04-16 2020-08-25 北京明略软件系统有限公司 一种管理访问的方法和装置
CN113626789A (zh) * 2021-08-09 2021-11-09 北京轻松筹信息技术有限公司 用户操作请求的处理方法、装置及电子设备
CN114168933A (zh) * 2021-12-03 2022-03-11 紫光云(南京)数字技术有限公司 一种用户异常登录管理方法

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115378645A (zh) * 2022-07-14 2022-11-22 国能信控互联技术有限公司 一种基于电力营销管理系统统一认证的验证方法及系统
CN115834207A (zh) * 2022-11-23 2023-03-21 紫光云技术有限公司 一种基于网关实现跨应用集成的方法

Similar Documents

Publication Publication Date Title
CN104320423B (zh) 基于Cookie的单点登录轻量级实现方法
US9639678B2 (en) Identity risk score generation and implementation
CN114666160A (zh) 一种基于jwt的多系统安全统一认证系统及方法
CN103780580B (zh) 提供能力访问策略的方法、服务器和系统
CN111614673A (zh) 一种基于cas的权限认证系统的工作方法
WO2016035015A1 (en) System, method and process for detecting advanced and targeted attacks with the recoupling of kerberos authentication and authorization
WO2014064686A9 (en) A system and method for secure proxy-based authentication
CN102143177B (zh) 一种Portal认证方法、装置、设备及系统
CN106790272A (zh) 一种单点登录的系统及方法、一种应用服务器
CN101986598B (zh) 认证方法、服务器及系统
US8813197B2 (en) Techniques for network process identity enablement
CN106060034A (zh) 账号登录方法和装置
CN104980449B (zh) 网络请求的安全认证方法及系统
US11784993B2 (en) Cross site request forgery (CSRF) protection for web browsers
CN106878335B (zh) 一种用于登录验证的方法及系统
CN114143066A (zh) 一种基于代理隔离装置的内外网对接系统及方法
CN109101811B (zh) 一种基于SSH隧道的可控Oracle会话的运维与审计方法
CN110944021A (zh) 校园统一认证和单点登录的方法和系统
CN114389890B (zh) 一种用户请求的代理方法、服务器及存储介质
CN109286498A (zh) 核电站dcs通信用网络校验方法和装置、电子装置
CN111131172B (zh) 一种内网主动调用服务的方法
CN116886343A (zh) 一种基于持续认证的用户访问控制方法及系统
CN115296877B (zh) 一种jwt存储令牌失效与续期的方法
CN116996305A (zh) 一种多层次安全认证方法、系统、设备、存储介质及入口网关
CN115460015B (zh) 一种基于TOTP的Web应用的身份认证方法及系统

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination