CN114969707A - 一种单点登录方法、装置、设备及介质 - Google Patents

Abstract

本申请公开了一种单点登录方法、装置、设备、介质，该方法包括：在获取到应用访问请求时，将应用访问请求重定向到单点登录服务器的统一登录界面，以便获取对应的用户登录信息；接收单点登录服务器在利用用户登录信息进行登录后返回的JWT令牌，并利用JWT令牌访问客户端对应的服务端；通过客户端上的单点登录拦截器对JWT令牌进行验证；在对JWT令牌进行验证通过时，根据用户登录信息中的用户ID对应的角色信息和角色信息对应的权限信息加载对应的服务菜单和服务数据。这样能够在JT2平台对接的业务系统中实现统一的用户认证和鉴权，从而实现在JT2平台对接的业务系统中进行单点登录，提升用户体验。

Description

一种单点登录方法、装置、设备及介质

技术领域

本申请涉及计算机技术领域，特别涉及一种单点登录方法、装置、设备、介质。

背景技术

当前，一些资管科技平台系统(例如智管有方，简称JT2)会对接不同的业务系统，例如券商系统、金融机构管理系统等，以便为不同的机构提供对应的服务，而JT2平台系统对接的各个业务系统需要根据第三方相关数据进行定制化开发和私有化部署，各个业务系统配有自身单独的用户体系和权限配置，在登录时需要分别登录各个业务系统，导致目前的JT2平台系统存在没有统一的标准化用户鉴权、权限管理系统，且登录校验流程较为复杂，用户体验差的问题。

发明内容

有鉴于此，本申请的目的在于提供一种单点登录方法、装置、设备、介质，能够在JT2平台对接的业务系统中实现统一的用户认证和鉴权，从而实现在JT2平台对接的业务系统中进行单点登录，提升用户体验。其具体方案如下：

第一方面，本申请公开了一种单点登录方法，应用于客户端，包括：

在获取到应用访问请求时，将所述应用访问请求重定向到单点登录服务器的统一登录界面，以便所述单点登录服务器通过所述统一登录界面获取所述应用访问请求对应的用户登录信息；

接收所述单点登录服务器在利用所述用户登录信息进行登录后返回的JWT令牌，并利用所述JWT令牌访问所述客户端对应的服务端，其中，所述服务端为JT2平台对接的业务系统的服务端；

通过所述客户端上的单点登录拦截器对所述JWT令牌进行验证，其中，所述单点登录拦截器为所述单点登录服务器为所述客户端提供的；

在对所述JWT令牌进行验证通过时，根据所述用户登录信息中的用户ID对应的角色信息和所述角色信息对应的权限信息加载对应的服务菜单和服务数据。

可选地，所述接收所述单点登录服务器在利用所述用户登录信息进行登录后返回的JWT令牌，并利用所述JWT令牌访问所述客户端对应的服务端，包括：

接收所述单点登录服务器在利用所述用户登录信息进行登录后返回的JWT令牌；

将所述JWT令牌存储到所述客户端的cookie；

向所述客户端对应的服务端发送HTTP请求，其中，HTTP请求的头信息的Authorization字段中包括所述JWT令牌。

可选地，所述通过所述客户端上的单点登录拦截器对所述JWT令牌进行验证的过程中，还包括：

当所述JWT令牌的剩余有效期小于所述JWT令牌的总有效期的一半时，通过单点登录拦截器向所述单点登录服务器请求新的JWT令牌。

可选地，所述根据所述用户登录信息中的用户ID对应的角色信息和所述角色信息对应的权限信息加载对应的服务菜单和服务数据之后，还包括：

获取所述用户ID的自定义服务菜单，并将所述自定义服务菜单发送到所述单点登录服务器中进行缓存，以便在所述用户ID登录成功后，向所述客户端返回所述自定义服务菜单，其中，所述自定义服务菜单基于所述服务菜单进行定义。

第二方面，本申请公开了一种单点登录方法，应用于单点登录服务器，包括：

通过统一登录界面获取应用访问请求对应的用户登录信息，其中，所述应用访问请求为通过客户端向所述客户端对应的服务端发送的请求，所述统一登录界面为所述客户端在获取到所述应用访问请求后重定向到的登录界面，所述服务端为JT2平台对接的业务系统的服务端；

利用所述用户登录信息进行登录，并在登录成功时，生成所述用户登录信息对应的JWT令牌；

向所述客户端返回所述JWT令牌，以便所述客户端上的单点登录拦截器对所述JWT令牌进行验证，并在对所述JWT令牌进行验证通过时，根据所述用户登录信息中的用户ID对应的角色信息和所述角色信息对应的权限信息加载对应的服务菜单和服务数据，其中，所述单点登录拦截器为所述单点登录服务器为所述客户端提供的。

可选地，所述单点登录方法，还包括：

在获取到用户注册信息时，为所述用户注册信息中的待注册用户ID分配对应的目标角色信息，以便所述待注册用户ID获取到所述目标角色信息对应的目标权限信息，其中，所述目标权限信息包括菜单权限信息，所述菜单权限信息有对应的服务数据权限信息；

或，在获取到用户注册信息时，为所述用户注册信息中的待注册用户ID分配对应的目标角色信息，以便所述待注册用户ID获取到所述目标角色信息对应的目标权限信息，其中，所述目标权限信息包括菜单权限信息和服务数据权限信息。

可选地，所述单点登录方法，还包括：

获取与所述单点登录服务器对接的业务系统按照预设时间间隔发送的加密后已注册用户信息；

对所述加密后已注册用户信息进行解密，并对解密后已注册用户信息进行存储，其中，所述解密后已注册信息用于进行用户登录。

第三方面，本申请公开了一种单点登录装置，应用于客户端，包括：

重定向模块，用于在获取到应用访问请求时，将所述应用访问请求重定向到单点登录服务器的统一登录界面，以便所述单点登录服务器通过所述统一登录界面获取所述应用访问请求对应的用户登录信息；

令牌接收模块，用于接收所述单点登录服务器在利用所述用户登录信息进行登录后返回的JWT令牌，并利用所述JWT令牌访问所述客户端对应的服务端，其中，所述服务端为JT2平台对接的业务系统的服务端；

所述客户端上的单点登录拦截器，用于对所述JWT令牌进行验证，其中，所述单点登录拦截器为所述单点登录服务器为所述客户端提供的；

信息加载模块，用于在对所述JWT令牌进行验证通过时，根据所述用户登录信息中的用户ID对应的角色信息和所述角色信息对应的权限信息加载对应的服务菜单和服务数据。

第四方面，本申请公开了一种电子设备，包括：

存储器和处理器；

其中，所述存储器，用于存储计算机程序；

所述处理器，用于执行所述计算机程序，以实现前述公开的单点登录方法。

第五方面，本申请公开了一种计算机可读存储介质，用于保存计算机程序，其中，所述计算机程序被处理器执行时实现前述公开的单点登录方法。

可见，本申请中对于JT2平台对接的业务系统，在客户端请求访问服务端时，便会先重定向到单点登录服务器的统一登录界面上，单点登录服务器便可以利用通过统一登录界面获取到的应用访问请求对应的用户登录信息进行登录，在登录成功后，向客户端返回JWT令牌，客户端便可以利用JWT令牌对对应的服务端进行访问，客户端在利用JWT令牌请求访问服务端时，客户端中的由单点登录服务器提供的单点登录拦截器便会对JWT令牌进行验证，在验证无误后，客户端便可以加载用户登录信息中的用户ID有权访问的服务菜单和服务数据，通过专门的单点登录服务器实现JT2平台对应的各个业务系统的单点登录，且各个业务系统的客户端中的单点登录拦截器均为单点登录服务器提供，使得各个业务系统拥有统一的鉴权体系和权限管理中心，各个业务系统无需关心鉴权过程和权限配置，都由单点登录服务器统一进行处理，所以在业务系统接入JT2平台后便可以拥有完善的用户权限体系，保证业务系统的可靠性、稳定性，且提升了用户体验。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本申请提供的单点登录方案所适用的系统框架示意图；

图2为本申请公开的一种单点登录方法流程图；

图3为本申请公开的一种具体的单点登录流程图；

图4为本申请公开的一种具体的单点登录方法流程图；

图5为本申请公开的一种单点登录的框图；

图6为本申请公开的一种结合具体使用场景的单点登录实现框图；

图7为本申请公开的一种结合具体使用场景的单点登录实现框图；

图8为本申请公开的一种单点登录装置结构示意图；

图9为本申请公开的一种单点登录装置结构示意图；

图10为本申请公开的一种电子设备结构示意图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

目前，一些资管科技平台系统(例如智管有方，简称JT2)会对接不同的业务系统，以便为不同的机构提供对应的服务，而JT2平台系统对接的各个业务系统需要根据第三方相关数据进行定制化开发和私有化部署，各个业务系统配有自身单独的用户体系和权限配置，在登录时需要分别登录各个业务系统，导致目前的JT2平台系统存在没有统一的标准化用户鉴权、权限管理系统，且登录校验流程较为复杂，用户体验差的问题。有鉴于此，本申请提出了一种单点登录方法，能够在JT2平台对接的业务系统中实现统一的用户认证和鉴权，从而实现在JT2平台对接的业务系统中进行单点登录，提升用户体验。

本申请的单点登录方案中，采用的系统框架具体可以参见图1所示，具体可以包括：第一服务器11、第二服务器12、与第一服务器11以及第二服务器12均建立通信连接的若干数量的用户终端13，第一服务器11为单点登录服务器，第二服务器12为与JT2平台对接的业务系统的服务端。

其中，用户终端13包括智能手机、平板电脑、台式计算机等。

本申请中，用户终端13上的客户端在获取到应用访问请求时，将所述应用访问请求重定向到第一服务器11提供的统一登录界面，以便所述第一服务器11通过所述统一登录界面获取所述应用访问请求对应的用户登录信息。然后用户终端13上的客户端接收所述第一服务器11在利用所述用户登录信息进行登录后返回的JWT令牌，并利用所述JWT令牌访问所述客户端对应的第二服务器12上的服务端。再通过用户终端13上的客户端上的单点登录拦截器对所述JWT令牌进行验证，其中，所述单点登录拦截器为所述第一服务器11为所述客户端提供的。在所述JWT令牌验证无误时，用户终端13上的客户端根据所述用户登录信息中的用户ID对应的角色信息和所述角色信息对应的权限信息加载对应的来自第二服务器12上的服务端的服务菜单和服务数据。

参见图2所示，本申请实施例公开了一种单点登录方法，应用于客户端，该方法包括：

步骤S11：在获取到应用访问请求时，将所述应用访问请求重定向到单点登录服务器的统一登录界面，以便所述单点登录服务器通过所述统一登录界面获取所述应用访问请求对应的用户登录信息。

所述客户端为JT2平台对应的业务系统的客户端，用户可以通过所述客户端对对应的服务端进行访问，所以所述客户端在获取到所述应用访问请求时，需要先将所述访问请求重定向到单点登录服务器的统一登录界面，所述单点登录服务器通过所述统一登录界面获取所述应用访问请求对应的用户登录信息。

所述单点登录服务器为部署有单点登录服务的服务器，所述单点登录服务器的数量可以大于或等于1，当所述单点登录服务器的数量大于1时，也即，对单点登录服务进行分布式部署，以便提高单点登录服务的高可用性和可靠性。

也即，所述JT2平台拥有专门的单点登录服务器，用于实现与JT2平台对接的各个业务系统的单点登录。单点登录(Single Sign On)，简称为SSO，即在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统。所以用户未登录时，便通过所述客户端向所述服务端发起应用访问请求时，所述客户端会将所述应用访问请求重定向到所述单点登录服务器的统一登录界面进行用户登录，所述单点登录服务器便可以获取用户通过所述统一登录界面输入的用户登录信息。其中，重定向(Redirect)就是通过各种方法将各种网络请求重新定个方向转到其它位置。

所述用户登录信息包括用户名和密码，或手机号和验证码，或微信账号信息等等，在此不做具体限定。也即，用户在所述统一登录界面上可以通过用户名+密码进行登录，也可以通过手机号+验证码的手机号快捷登录，还可以通过微信扫码登录等。

步骤S12：接收所述单点登录服务器在利用所述用户登录信息进行登录后返回的JWT令牌，并利用所述JWT令牌访问所述客户端对应的服务端，其中，所述服务端为JT2平台对接的业务系统的服务端。

所述单点登录服务器通过所述统一登录界面获取到所述用户登录信息之后，便可以利用所述用户登录信息进行登录，并在登录成功时，利用所述用户登录信息生成JWT令牌(JSON Web Token，JSON Web令牌)，并将所述JWT令牌返回给所述客户端。相应地，所述客户端便需要接收所述JWT令牌，接着便可以利用所述JWT令牌访问所述客户端对应的服务端，由于所述客户端为JT2平台对应的业务系统的客户端，所以所述客户端对应的服务器也为JT2平台对应的业务系统的服务端。

具体的，所述客户端接收所述单点登录服务器在利用所述用户登录信息进行登录后返回的JWT令牌；将所述JWT令牌存储到所述客户端的cookie；向所述客户端对应的服务端发送HTTP请求，其中，HTTP请求的头信息的Authorization字段中包括所述JWT令牌。也即，所述客户端在接收到所述JWT令牌之后，将所述JWT令牌存储到所述客户端的cookie，然后向对应的服务端发送HTTP请求(Hypertext Transfer Protocol，超文本传输协议)。这样将JWT令牌放入到HTTP请求的头信息的Authorization字段中，可以实现跨域访问。

步骤S13：通过所述客户端上的单点登录拦截器对所述JWT令牌进行验证，其中，所述单点登录拦截器为所述单点登录服务器为所述客户端提供的。

可以理解的是，在所述客户端利用所述JWT令牌访问所述服务端时，还需要通过所述客户端上的单点登录拦截器对所述JWT令牌进行验证，其中，所述单点登录拦截器为所述单点登录服务器为所述客户端提供的。

具体的，所述单点登录拦截器对所述JWT令牌进行验证的具体过程为：对所述JWT令牌进行解析，如果解析失败，则返回对应的提示码，如果解析成功，则对所述JWT令牌的时间戳进行校验，如果时间戳校验失败，则返回对应的提示码，如果时间戳校验成功，则进行权限认证，在权限认证成功之后，便表明所述JWT令牌验证通过，便可以访问所述服务端，如果权限认证失败，则返回无权限提示码401。

在实际应用中，通过所述客户端上的单点登录拦截器对所述JWT令牌进行验证的过程中，还包括：当所述JWT令牌的剩余有效期小于所述JWT令牌的总有效期的一半时，通过单点登录拦截器向所述单点登录服务器请求新的JWT令牌，例如，所述JWT令牌的总有效期默认为24小时。也即，支持自定义登录态有效期窗口，默认24H，当登录态有效期窗口过半时，自动顺延一个周期。

步骤S14：在对所述JWT令牌进行验证通过时，根据所述用户登录信息中的用户ID对应的角色信息和所述角色信息对应的权限信息加载对应的服务菜单和服务数据。

在对所述JWT令牌进行验证通过时，便可以对所述服务端进行访问，所述客户端便可以根据所述用于登录信息中的用户ID对应的角色信息和所述角色信息对应的权限信息加载对应的服务菜单和服务数据。其中，所述用户ID为所述用户登录信息中标识用户身份的信息，例如，用户名。

也即，所述单点登录服务器中的用户权限基于RBAC模型(Role-Based AccessControl，基于角色的访问控制)进行配置。具体的，就是先为各个角色赋予对应的权限，在用户注册时为各个用户分配对应的角色，用户的权限就为该用户所拥有的角色的权限之和，所述权限包括菜单权限和服务数据权限。

在验证所述JWT令牌的过程中，会对所述用户登录信息中的用户ID对应的权限进行认证，确定所述用户ID所拥有的角色信息，然后便可以根据所述角色信息确定出所述用户ID对应的权限信息，所述客户端便可以根据所述用户ID对应的权限信息加载对应的服务菜单和服务数据。

在实际应用中，根据所述用户登录信息中的用户ID对应的角色信息和所述角色信息对应的权限信息加载对应的服务菜单和服务数据之后，还包括：获取所述用户ID的自定义服务菜单，并将所述自定义服务菜单发送到所述单点登录服务器中进行缓存，以便在所述用户ID登录成功后，向所述客户端返回所述自定义服务菜单，其中，所述自定义服务菜单基于所述服务菜单进行定义。也即，在所述客户端加载所述服务菜单之后，所述用户ID对应的用户可以基于所述服务菜单配置自定义服务菜单，所述客户端便需要获取所述自定义服务菜单，并将自定义服务菜单存储到单点登录服务器中，以便所述用户ID再次登录成功之后，可以向所述客户端返回所述自定义服务单。

可见，本申请中对于JT2平台对接的业务系统，在客户端请求访问服务器时，便会先重定向到单点登录服务器的统一登录界面上，单点登录服务器便可以利用通过统一登录界面获取到的应用访问请求对应的用户登录信息进行登录，在登录成功后，向客户端返回JWT令牌，客户端便可以利用JWT令牌对对应的服务端进行访问，客户端在利用JWT令牌请求访问服务端时，客户端中的由单点登录服务器提供的单点登录拦截器便会对JWT令牌进行验证，在验证无误后，客户端便可以加载用户登录信息中的用户ID有权访问的服务菜单和服务数据，通过专门的单点登录服务器实现JT2平台对应的各个业务系统的单点登录，且各个业务系统的客户端中的单点登录拦截器均为单点登录服务器提供，使得各个业务系统拥有统一的鉴权体系和权限管理中心，各个业务系统无需关心鉴权过程和权限配置，都由单点登录服务器统一进行处理，所以在业务系统接入JT2平台后便可以拥有完善的用户权限体系，保证业务系统的可靠性、稳定性，且提升了用户体验。

参见图3所示，为单点登录流程图。客户端在获取到应用访问请求时，将所述应用访问请求重定向到单点登录服务器的统一登录界面，通过统一登录界面获取用户登录信息，利用所述用户登录信息在用户中心进行登录，在登录成功时，由所述单点登录服务器中的IMS权限中心签发JWT令牌，将所述JWT令牌返回给所述客户端，所述客户端在接收到所述JWT令牌之后，利用所述JWT令牌访问业务系统的服务端，通过客户端上的单点登录拦截器对所述JWT令牌进行验证，具体的，所述单点登录拦截器在拦截到所述JWT令牌时，并对JWT令牌进行解析，解析失败，则返回提示码，如果解析成功，判断所述JWT令牌是否还在有效期，如果是，则刷新令牌(Token)，对所述JWT令牌的时间戳进行校验，在时间戳校验失败时，则返回对应的提示码，在时间戳检验成功时，则进行权限认证，如果权限认证失败，则返回无权限码401，如果权限认证成功，则访问业务系统的服务端。

参见图4所示，本申请实施例公开了一种具体的单点登录方法，应用于单点登录服务器，该方法包括：

步骤S21：通过统一登录界面获取应用访问请求对应的用户登录信息，其中，所述应用访问请求为通过客户端向所述客户端对应的服务端发送的请求，所述统一登录界面为所述客户端在获取到所述应用访问请求后重定向到的登录界面，所述服务端为JT2平台对接的业务系统的服务端。

在实际实施过程中，JT2平台对应的业务系统的客户端访问服务端时，所述客户端在获取到应用访问请求时，会将所述应用访问请求重定向到所述单点服务的统一登录界面，所述单点登录服务器便可以通过所述统一登录界面获取所述应用访问请求对应的用户登录信息。为了保证所述单点登录服务器的高可用性，所述单点登录服务器可以采用分布式部署。

步骤S22：利用所述用户登录信息进行登录，并在登录成功时，生成所述用户登录信息对应的JWT令牌。

在获取到所述用户登录信息之后，还需要利用所述登录信息进行登录，并在登录成功时，生成所述用户登录信息对应的JWT令牌。

步骤S23：向所述客户端返回所述JWT令牌，以便所述客户端上的单点登录拦截器对所述JWT令牌进行验证，并在所述JWT令牌验证无误时，根据所述用户登录信息中的用户ID对应的角色信息和所述角色信息对应的权限信息加载对应的服务菜单和服务数据，其中，所述单点登录拦截器为所述单点登录服务器为所述客户端提供的。

相应地，还需要向所述客户端返回所述JWT令牌，所述客户端接收所述JWT令牌，并利用所述JWT令牌访问所述客户端对应的服务端，所述客户端上的单点登录拦截器便会对所述JWT令牌进行验证，在所述JWT令牌验证通过时，便可以访问所述服务端，并根据所述用户登录信息中的用户ID对应的角色信息和所述角色信息对应的权限信息加载对应的服务菜单和服务数据，其中，所述单点登录拦截器为所述单点登录服务器为所述客户端提供的。

在获取到用户注册信息时，为所述用户注册信息中的待注册用户ID分配对应的目标角色信息，以便所述待注册用户ID获取到所述目标角色信息对应的目标权限信息，其中，所述目标权限信息包括菜单权限信息，所述菜单权限信息有对应的服务数据权限信息。也即，先将服务数据权限信息与菜单权限信息进行关联，然后再为各个角色分配对应的菜单权限信息，这样角色便可以关联到服务数据权限，在获取到用户注册信息时，便可以为所述用户注册信息中的待注册用户ID分配对应的目标角色信息，这样待注册用户ID便拥有了目标角色信息对应的菜单权限信息以及菜单权限信息关联的服务数据权限信息。

或，在获取到用户注册信息时，为所述用户注册信息中的待注册用户ID分配对应的目标角色信息，以便所述待注册用户ID获取到所述目标角色信息对应的目标权限信息，其中，所述目标权限信息包括菜单权限信息和服务数据权限信息。也即，先将角色与菜单权限信息和服务数据权限信息进行分别关联，在获取到用户注册信息时，便可以所述用户注册信息中的待注册用户ID分配对应的目标角色信息，这样待注册用户ID便拥有了目标角色信息对应的菜单权限信息和服务数据权限信息。

所述单点登录服务器还需要获取与所述单点登录服务器对接的业务系统按照预设时间间隔发送的加密后已注册用户信息；对所述加密后已注册用户信息进行解密，并对解密后已注册用户信息进行存储，其中，所述解密后已注册信息用于进行用户登录。所述单点登录服务器对接的各个业务系统上的用户要在所述单点登录服务器中登录成功，便需要各个业务系统中的已注册用户信息，所以业务系统会按照预设时间间隔将已注册用户信息加密后发送到所述单点登录服务器中，所述单点登录服务器需要获取加密后已注册用户信息，然后对对所述加密后已注册用户信息进行解密，并对解密后已注册用户信息进行存储，以便在用户登录时使用。

可见，本申请中对于JT2平台对接的业务系统，在客户端请求访问服务器时，便会先重定向到单点登录服务器的统一登录界面上，单点登录服务器便可以利用通过统一登录界面获取到的应用访问请求对应的用户登录信息进行登录，在登录成功后，向客户端返回JWT令牌，客户端便可以利用JWT令牌对对应的服务端进行访问，客户端在利用JWT令牌请求访问服务端时，客户端中的由单点登录服务器提供的单点登录拦截器便会对JWT令牌进行验证，在验证无误后，客户端便可以加载用户登录信息中的用户ID有权访问的服务菜单和服务数据，通过专门的单点登录服务器实现JT2平台对应的各个业务系统的单点登录，且各个业务系统的客户端中的单点登录拦截器均为单点登录服务器提供，使得各个业务系统拥有统一的鉴权体系和权限管理中心，各个业务系统无需关心鉴权过程和权限配置，都由单点登录服务器统一进行处理，所以在业务系统接入JT2平台后便可以拥有完善的用户权限体系，保证业务系统的可靠性、稳定性，且提升了用户体验。

参见图5所示，为单点登录的框图。单点登录服务器也即一个统一权限平台，JT2平台、结构化金融以及企业管理系统EPR等内网系统，以及三方系统等外网系统均可以通过所述单点登录服务器实现单点登录。所述单点登录服务器为对应的各个业务系统提供单点登录拦截器(也即，客户端API(Application Programming Interface，应用程序接口))，以便对业务系统的客户端中的JWT令牌进行验证，对JWT令牌进行验证实际是在单点登录服务器的服务层进行的，包括基于JWT令牌进行验证权限，并从后台管理系统中获取对应的数据，包括查询有权限的服务等。所述单点登录服务器的后台管理系统可以采用模块化进行部署，具体包括：基础资源、用户中心、角色管理、账号管理、组织机构、用户组管理、数据权限、日志服务。其中，用户中心可以提供用户基础信息和扩展信息的维护，提供用户密码更新策略、密码规则和多种方式登录鉴权规则(用户名密码、手机号快捷登录、微信扫码登录)等。组织机构可以提供机构的组织架构树信息维护，机构、部门的父子节点与对应的用户信息、角色信息相关联，系统自动维护机构有效期异步任务处理，也即，可以定时检查哪些机构的系统使用有效期已过期。角色管理提供基于角色的权限控制，支持角色的基本信息维护，并建立用户、机构、资源、领域之间的关联，支持角色组上下级控制，自上而下并集权限等。基础资源提供菜单、接口、按钮的基本信息配置，并支持用户自定义个性化菜单配置。数据权限可以配置对各子系统进行数据接口暴露。账号管理可以支持管理人员对新注册账号进行审核和权限分配。日志服务可以记录用户的登录行为日志等。用户组管理提供用户组配置。此外还可以包括系统管理，系统管理可以使得业务系统各组件和功能隔离。

参见图6所示，为结合具体使用场景的单点登录实现框图。云端客户也可以在单点登录服务器中的用户中心进行登录，包括快捷登录和三方登录等，在进行快捷登录时，可以先进行用户注册，将用户信息存储到运营后台，在登录成功之后，可以将云端客户在JT2平台的JT2自定义菜单返回给云端客户，当云端客户需要访问JT2自定义菜单之外的内容时，需要先在单点登录服务器的权限中心进行鉴权认证，认证成功后，才允许访问对应的服务，例如，基金等。各个服务下都有自己对应的租户，例如，A租户、B租户。图中的机构管理也即图5中的组织机构，资源管理也即图5中的基础资源，图中的领域管理也即图5中的数据权限。运营后台中的用户管理和机构管理的数据可以存储到用户中心数据库中，用户中心数据库中数据统一存储，数据不隔离，可以通过机构区分。运营后台中的领域管理、角色管理、资源管理以及系统管理的数据可以存储到权限中心数据库中，权限中心数据库中数据统一存储，数据不隔离，可以通过机构区分。

参见图7所示，为结合具体使用场景的单点登录实现框图。三方机构也可以对接单点登录服务器进行单点登录，这样三方机构可以通过用户名密码登录并进行OA(企业管理系统)接口校验，从而登录到自己的私有化本地的三方系统，或者在三方机构的OA系统(也即企业管理系统)内嵌JT2，然后通过用户ID登录时，便可以通过单点登录服务器中的单点登录服务IMS解密OA(企业管理系统)鉴权校验。从而登录到三方系统，登录之后便可以显示本地JT2自定义菜单，在用户需要访问私有化本地的三方系统上的服务时，才由单点登录服务器提供的单点登录拦截器(IMS Filter)进行用户的JWT令牌验证，在验证之后，才对有权访问的服务进行访问，其中，私有化本地的三方系统拥有自身对应的运营中心，在用户通过所述单点登录拦截器(IMS Filter)从单点登录服务器中获取到自身所属的三方机构的权限之后，用户具体可以使用这些权限中的哪些部分具体可以由私有化本地的三方系统中的运营中心来维护，私有化本地的三方系统上的服务包括自研服务以及固定收益基本面量化分析系统FIQS(Fixed IncomeQuantamental Solution)等。其中，私有化本地的三方系统中的运营中心包括用户信息、机构信息、菜单信息以及角色信息，这些信息可以存储到三方本地数据库中。按照预设时间间隔，需要将三方本地数据库中的用户信息同步到单点登录服务器中。具体的，就是按照预设时间间隔将三方本地数据库中的用户信息加密生excel，然后通过SFTP协议(Secret File Transfer Protocol，安全文件传送协议)导入到单点登录服务器的用户中心和权限中心，这样当用户点击本地JT2自定义菜单中的内容时，权限中心中的单点登录拦截器(IMS拦截器)拦截JWT令牌，以便进行菜单权限、登录权限验证，然后访问业务系统中的服务，例如，基金，大类以及其他服务等。

参见图8所示，本申请实施例公开了一种单点登录装置，应用于客户端，包括：

重定向模块21，用于在获取到应用访问请求时，将所述应用访问请求重定向到单点登录服务器的统一登录界面，以便所述单点登录服务器通过所述统一登录界面获取所述应用访问请求对应的用户登录信息；

令牌接收模块22，用于接收所述单点登录服务器在利用所述用户登录信息进行登录后返回的JWT令牌，并利用所述JWT令牌访问所述客户端对应的服务端，其中，所述服务端为JT2平台对接的业务系统的服务端；

所述客户端上的单点登录拦截器23，用于对所述JWT令牌进行验证，其中，所述单点登录拦截器为所述单点登录服务器为所述客户端提供的；

信息加载模块24，用于在对所述JWT令牌进行验证通过时，根据所述用户登录信息中的用户ID对应的角色信息和所述角色信息对应的权限信息加载对应的服务菜单和服务数据。

可见，本申请中对于JT2平台对接的业务系统，在客户端请求访问服务器时，便会先重定向到单点登录服务器的统一登录界面上，单点登录服务器便可以利用通过统一登录界面获取到的应用访问请求对应的用户登录信息进行登录，在登录成功后，向客户端返回JWT令牌，客户端便可以利用JWT令牌对对应的服务端进行访问，客户端在利用JWT令牌请求访问服务端时，客户端中的由单点登录服务器提供的单点登录拦截器便会对JWT令牌进行验证，在验证无误后，客户端便可以加载用户登录信息中的用户ID有权访问的服务菜单和服务数据，通过专门的单点登录服务器实现JT2平台对应的各个业务系统的单点登录，且各个业务系统的客户端中的单点登录拦截器均为单点登录服务器提供，使得各个业务系统拥有统一的鉴权体系和权限管理中心，各个业务系统无需关心鉴权过程和权限配置，都由单点登录服务器统一进行处理，所以在业务系统接入JT2平台后便可以拥有完善的用户权限体系，保证业务系统的可靠性、稳定性，且提升了用户体验。

在一些具体的实施过程中，所述令牌接收模块22，用于：

接收所述单点登录服务器在利用所述用户登录信息进行登录后返回的JWT令牌；

将所述JWT令牌存储到所述客户端的cookie；

向所述客户端对应的服务端发送HTTP请求，其中，HTTP请求的头信息的Authorization字段中包括所述JWT令牌。

在一些具体的实施过程中，所述单点登录拦截器23，用于：

当所述JWT令牌的剩余有效期小于所述JWT令牌的总有效期的一半时，向所述单点登录服务器请求新的JWT令牌。

在一些具体的实施过程中，所述单点登录装置，还包括：

第一信息获取模块，用于获取所述用户ID的自定义服务菜单，并将所述自定义服务菜单发送到所述单点登录服务器中进行缓存，以便在所述用户ID登录成功后，向所述客户端返回所述自定义服务菜单，其中，所述自定义服务菜单基于所述服务菜单进行定义。

参见图9所示，本申请实施例公开了一种单点登录装置，应用于单点登录服务器，包括：

登录信息获取模块31，用于通过统一登录界面获取应用访问请求对应的用户登录信息，其中，所述应用访问请求为通过客户端向所述客户端对应的服务端发送的请求，所述统一登录界面为所述客户端在获取到所述应用访问请求后重定向到的登录界面，所述服务端为JT2平台对接的业务系统的服务端；

登录模块32，用于利用所述用户登录信息进行登录，并在登录成功时，生成所述用户登录信息对应的JWT令牌；

信息发送模块33，用于向所述客户端返回所述JWT令牌，以便所述客户端上的单点登录拦截器对所述JWT令牌进行验证，并在对所述JWT令牌进行验证通过时，根据所述用户登录信息中的用户ID对应的角色信息和所述角色信息对应的权限信息加载对应的服务菜单和服务数据，其中，所述单点登录拦截器为所述单点登录服务器为所述客户端提供的。

可见，本申请中对于JT2平台对接的业务系统，在客户端请求访问服务器时，便会先重定向到单点登录服务器的统一登录界面上，单点登录服务器便可以利用通过统一登录界面获取到的应用访问请求对应的用户登录信息进行登录，在登录成功后，向客户端返回JWT令牌，客户端便可以利用JWT令牌对对应的服务端进行访问，客户端在利用JWT令牌请求访问服务端时，客户端中的由单点登录服务器提供的单点登录拦截器便会对JWT令牌进行验证，在验证无误后，客户端便可以加载用户登录信息中的用户ID有权访问的服务菜单和服务数据，通过专门的单点登录服务器实现JT2平台对应的各个业务系统的单点登录，且各个业务系统的客户端中的单点登录拦截器均为单点登录服务器提供，使得各个业务系统拥有统一的鉴权体系和权限管理中心，各个业务系统无需关心鉴权过程和权限配置，都由单点登录服务器统一进行处理，所以在业务系统接入JT2平台后便可以拥有完善的用户权限体系，保证业务系统的可靠性、稳定性，且提升了用户体验。

在一些具体的实施过程中，所述单点登录装置，还包括：

角色管理模块，用于在获取到用户注册信息时，为所述用户注册信息中的待注册用户ID分配对应的目标角色信息，以便所述待注册用户ID获取到所述目标角色信息对应的目标权限信息，其中，所述目标权限信息包括菜单权限信息，所述菜单权限信息有对应的服务数据权限信息；或，在获取到用户注册信息时，为所述用户注册信息中的待注册用户ID分配对应的目标角色信息，以便所述待注册用户ID获取到所述目标角色信息对应的目标权限信息，其中，所述目标权限信息包括菜单权限信息和服务数据权限信息。

在一些具体的实施过程中，所述单点登录模块，用于：

第二信息获取模块，用于获取与所述单点登录服务器对接的业务系统按照预设时间间隔发送的加密后已注册用户信息；对所述加密后已注册用户信息进行解密，并对解密后已注册用户信息进行存储，其中，所述解密后已注册信息用于进行用户登录。

其中，登录信息获取模块31可以为前述图5中的客户端API。所述角色管理模块可以为前述图5中的角色管理。

参见图10所示，为本申请实施例提供的一种电子设备40的结构示意图，该电子设备40为用户终端时，可以实现前述的客户端侧执行的单点登录方法步骤，具体可以包括但不限于智能手机、平板电脑、笔记本电脑或台式电脑等。该电子设备40为服务器时，可以为所述单点登录服务器，以实现前述的单点登录服务器侧执行的单点登录方法步骤。

通常，本实施例中的电子设备40包括：处理器41和存储器42。

其中，处理器41可以包括一个或多个处理核心，比如四核心处理器、八核心处理器等。处理器41可以采用DSP(digital signal processing,数字信号处理)、FPGA(field-programmable gate array,现场可编程们阵列)、PLA(programmable logic array,可编程逻辑阵列)中的至少一种硬件来实现。处理器41也可以包括主处理器和协处理器，主处理器是用于对在唤醒状态下的数据进行处理的处理器，也称CPU(central processing unit,中央处理器)；协处理器是用于对在待机状态下的数据进行处理的低功耗处理器。在一些实施例中，处理器41可以集成有GPU(graphics processing unit,图像处理器)，GPU用于负责显示屏所需要显示的图像的渲染和绘制。一些实施例中，处理器41可以包括AI(artificialintelligence，人工智能)处理器，该AI处理器用于处理有关机器学习的计算操作。

存储器42可以包括一个或多个计算机可读存储介质，计算机可读存储介质可以是非暂态的。存储器42还可以包括高速随机存取存储器，以及非易失性存储器，比如一个或多个磁盘存储设备、闪存存储设备。本实施例中，存储器42至少用于存储以下计算机程序421，其中，该计算机程序被处理器41加载并执行之后，能够实现前述任一实施例中公开的单点登录方法步骤。

在一些实施例中，电子设备40还可包括有显示屏43、输入输出接口44、通信接口45、传感器46、电源47以及通信总线48。

本技术领域人员可以理解，图10中示出的结构并不构成对电子设备40的限定，可以包括比图示更多或更少的组件。

进一步的，本申请实施例还公开了一种计算机可读存储介质，用于保存计算机程序，其中，所述计算机程序被处理器执行时实现前述任一实施例中公开的单点登录方法。

其中，关于上述单点登录方法的具体过程可以参考前述实施例中公开的相应内容，在此不再进行赘述。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

最后，还需要说明的是，在本文中，诸如第一和第二之类的关系术语仅仅用来将一个实体或者操作与另一个实体或者操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得一系列包含其他要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

以上对本申请所提供的一种单点登录方法、装置、设备、介质进行了详细介绍，本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本申请的限制。

Claims (10)

1.一种单点登录方法，其特征在于，应用于客户端，包括：

在获取到应用访问请求时，将所述应用访问请求重定向到单点登录服务器的统一登录界面，以便所述单点登录服务器通过所述统一登录界面获取所述应用访问请求对应的用户登录信息；

接收所述单点登录服务器在利用所述用户登录信息进行登录后返回的JWT令牌，并利用所述JWT令牌访问所述客户端对应的服务端，其中，所述服务端为JT2平台对接的业务系统的服务端；

通过所述客户端上的单点登录拦截器对所述JWT令牌进行验证，其中，所述单点登录拦截器为所述单点登录服务器为所述客户端提供的；

在对所述JWT令牌进行验证通过时，根据所述用户登录信息中的用户ID对应的角色信息和所述角色信息对应的权限信息加载对应的服务菜单和服务数据。

2.根据权利要求1所述的单点登录方法，其特征在于，所述接收所述单点登录服务器在利用所述用户登录信息进行登录后返回的JWT令牌，并利用所述JWT令牌访问所述客户端对应的服务端，包括：

接收所述单点登录服务器在利用所述用户登录信息进行登录后返回的JWT令牌；

将所述JWT令牌存储到所述客户端的cookie；

向所述客户端对应的服务端发送HTTP请求，其中，HTTP请求的头信息的Authorization字段中包括所述JWT令牌。

3.根据权利要求1所述的单点登录方法，其特征在于，所述通过所述客户端上的单点登录拦截器对所述JWT令牌进行验证的过程中，还包括：

当所述JWT令牌的剩余有效期小于所述JWT令牌的总有效期的一半时，通过单点登录拦截器向所述单点登录服务器请求新的JWT令牌。

4.根据权利要求1所述的单点登录方法，其特征在于，所述根据所述用户登录信息中的用户ID对应的角色信息和所述角色信息对应的权限信息加载对应的服务菜单和服务数据之后，还包括：

获取所述用户ID的自定义服务菜单，并将所述自定义服务菜单发送到所述单点登录服务器中进行缓存，以便在所述用户ID登录成功后，向所述客户端返回所述自定义服务菜单，其中，所述自定义服务菜单基于所述服务菜单进行定义。

5.一种单点登录方法，其特征在于，应用于单点登录服务器，包括：

通过统一登录界面获取应用访问请求对应的用户登录信息，其中，所述应用访问请求为通过客户端向所述客户端对应的服务端发送的请求，所述统一登录界面为所述客户端在获取到所述应用访问请求后重定向到的登录界面，所述服务端为JT2平台对接的业务系统的服务端；

利用所述用户登录信息进行登录，并在登录成功时，生成所述用户登录信息对应的JWT令牌；

向所述客户端返回所述JWT令牌，以便所述客户端上的单点登录拦截器对所述JWT令牌进行验证，并在对所述JWT令牌进行验证通过时，根据所述用户登录信息中的用户ID对应的角色信息和所述角色信息对应的权限信息加载对应的服务菜单和服务数据，其中，所述单点登录拦截器为所述单点登录服务器为所述客户端提供的。

6.根据权利要求5所述的单点登录方法，其特征在于，还包括：

在获取到用户注册信息时，为所述用户注册信息中的待注册用户ID分配对应的目标角色信息，以便所述待注册用户ID获取到所述目标角色信息对应的目标权限信息，其中，所述目标权限信息包括菜单权限信息，所述菜单权限信息有对应的服务数据权限信息；

或，在获取到用户注册信息时，为所述用户注册信息中的待注册用户ID分配对应的目标角色信息，以便所述待注册用户ID获取到所述目标角色信息对应的目标权限信息，其中，所述目标权限信息包括菜单权限信息和服务数据权限信息。

7.根据权利要求5所述的单点登录方法，其特征在于，还包括：

获取与所述单点登录服务器对接的业务系统按照预设时间间隔发送的加密后已注册用户信息；

对所述加密后已注册用户信息进行解密，并对解密后已注册用户信息进行存储，其中，所述解密后已注册信息用于进行用户登录。

8.一种单点登录装置，其特征在于，应用于客户端，包括：

重定向模块，用于在获取到应用访问请求时，将所述应用访问请求重定向到单点登录服务器的统一登录界面，以便所述单点登录服务器通过所述统一登录界面获取所述应用访问请求对应的用户登录信息；

令牌接收模块，用于接收所述单点登录服务器在利用所述用户登录信息进行登录后返回的JWT令牌，并利用所述JWT令牌访问所述客户端对应的服务端，其中，所述服务端为JT2平台对接的业务系统的服务端；

所述客户端上的单点登录拦截器，用于对所述JWT令牌进行验证，其中，所述单点登录拦截器为所述单点登录服务器为所述客户端提供的；

信息加载模块，用于在对所述JWT令牌进行验证通过时，根据所述用户登录信息中的用户ID对应的角色信息和所述角色信息对应的权限信息加载对应的服务菜单和服务数据。

9.一种电子设备，其特征在于，包括：

存储器和处理器；

其中，所述存储器，用于存储计算机程序；

所述处理器，用于执行所述计算机程序，以实现权利要求1至7任一项所述的单点登录方法。

10.一种计算机可读存储介质，其特征在于，用于保存计算机程序，其中，所述计算机程序被处理器执行时实现如权利要求1至7任一项所述的单点登录方法。

Images