CN116049785A - 一种身份认证的方法和系统 - Google Patents

Abstract

本说明书一个或多个实施例涉及一种身份认证的方法和系统。其中一个方法由第一平台的至少一个处理器执行，该方法包括获取用户ID并验证用户ID的登录信息；获取第一平台信息，并将第一平台信息传递给第二平台；第一平台信息至少包括用户ID相关信息，第一平台信息至少用于供第二平台对用户ID进行验证；接收由第二平台返回的登录令牌，登录令牌与第一平台信息相关；登录令牌能够使得：用户ID通过第一平台使用登录令牌访问第二平台的内容时，无需通过第二平台对用户ID进行验证。

Description

一种身份认证的方法和系统

分案说明

本申请是针对申请日为2019年7月4日、申请号为201910598760.X、发明名称为“一种身份认证的方法和系统”的中国申请提出的分案申请。

技术领域

本说明书涉及网络通信技术领域，特别涉及身份认证或鉴权的通信系统。

背景技术

多租户(Multi-Tenancy)，或称为多重租赁技术，是一种软件架构技术，旨在解决如何多用户的环境下共用相同的系统或程序组件，并仍可确保多用户数据的隔离性。对于多租户系统来说，每个租户的数据是相互隔离的，从某种意义上可以将租户理解为访问信息权限。用户通过购买等方式可以获得一个或多个租户，从而可以访问或使用对应租户的数据。

在一些数据交互的应用场景中，数据业务平台可以内嵌其他数据服务平台的数据内容。例如，业务平台内嵌有另一数据服务平台的页面。用户可以在数据业务平台内直接调用所述数据服务平台的数据服务。

当数据服务平台为一个多租户架构的平台，且用户对应有多个租户时，如果该用户在某一时间段内同时使用(或反复的、短时间的交替使用)至少两个租户数据时，可能会带来一些访问权限的问题。

基于以上同一用户具有多个租户的应用场景，有必要提供一种高效的信息交互方式，或身份认证方式。

发明内容

本说明书实施例之一提供一种身份认证的方法。所述身份认证的方法由第一平台的至少一个处理器执行，其包括：获取用户ID并验证所述用户ID的登录信息；获取第一平台信息，并将所述第一平台信息传递给第二平台；所述第一平台信息至少包括所述用户ID相关信息，所述第一平台信息至少用于供第二平台对所述用户ID进行验证；接收由所述第二平台返回的登录令牌，所述登录令牌与所述第一平台信息相关；所述登录令牌能够使得：所述用户ID通过所述第一平台使用所述登录令牌访问第二平台的内容时，无需通过第二平台对用户ID进行验证。

本说明书的一个或多个实施例还提供一种身份认证的系统，所述系统包括：第一获取模块，用于获取用户ID；第一验证模块，用于验证所述用户ID的登录信息；第二获取模块，用于获取第一平台信息；所述第一平台信息至少包括所述用户ID相关信息，所述第一平台信息至少用于供第二平台对所述用户ID进行验证；第一传递模块，用于将所述第一平台信息传递给第二平台；第一接收模块，用于接收由所述第二平台返回的登录令牌，所述登录令牌与所述第一平台信息相关；所述登录令牌能够使得：所述用户ID通过所述第一平台使用所述登录令牌访问第二平台的内容时，无需通过第二平台对用户ID进行验证。

本说明书中的一个或多个实施例还提供一种用于身份验证的装置所述装置包括至少一个处理器以及至少一个存储器；所述至少一个存储器用于存储计算机指令；所述至少一个处理器用于执行所述计算机指令中的至少部分指令以实现对应方法步骤的操作。

本说明书中的一个或多个实施例还提供一种身份认证的方法，所述方法由第二平台的至少一个处理器执行，所述方法包括：接收并验证来自第一平台的第一平台信息；至少基于所述第一平台信息生成登录令牌；返回所述登录令牌；所述登录令牌能够使得：所述用户ID通过所述第一平台使用所述登录令牌访问第二平台的内容时，无需通过第二平台对用户ID进行验证。

本说明书的一个或多个实施例还提供一种身份认证的系统，所述系统包括第二接收模块，用于接收来自第一平台的第一平台信息；第二验证模块，用于验证来自第一平台的第一平台信息；生成模块，用于至少基于所述第一平台信息生成登录令牌；所述登录令牌能够使得：所述用户ID通过所述第一平台使用所述登录令牌访问第二平台的内容时，无需通过第二平台对用户ID进行验证；第一返回模块，用于返回所述登录令牌。

本说明书的一个或多个实施例还提供一种用于身份验证的装置，所述装置包括至少一个处理器以及至少一个存储器；所述至少一个存储器用于存储计算机指令；所述至少一个处理器用于执行所述计算机指令中的至少部分指令以实现对应方法步骤的操作。

附图说明

本说明书将以示例性实施例的方式进一步说明，这些示例性实施例将通过附图进行详细描述。这些实施例并非限制性的，在这些实施例中，相同的编号表示相同的结构，其中：

图1是根据本说明书一些实施例所示的数据交互系统的应用场景示意图；

图2是根据本说明书的一些实施例所示的数据交互流程示意图。

图3是根据本说明书的一些实施例所示的第一平台侧的示例性系统框图；

图4是根据本说明书的一些实施例所示的用于身份认证的方法的第一平台侧示例性流程图；

图5是根据本说明书的一些实施例所示的第二平台侧的示例性系统框图；

图6是根据本说明书的一些实施例所示的用于身份认证的方法的第二平台侧的示例性流程图；

图7是根据本说明书的一些实施例所示的验证第一平台信息的子流程图示意图；

图8是根据本说明书的一些实施例所示的第二平台侧的另一示例性系统框图；

图9是根据本说明书的一些实施例所示的用于身份认证的方法的第二平台侧的另一示例性流程图。

具体实施方式

为了更清楚地说明本说明书实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单的介绍。显而易见地，下面描述中的附图仅仅是本说明书的一些示例或实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图将本说明书应用于其它类似情景。除非从语言环境中显而易见或另做说明，图中相同标号代表相同结构或操作。

应当理解，本文使用的“系统”、“装置”、“单元”和/或“模块”是用于区分不同级别的不同组件、元件、部件、部分或装配的一种方法。然而，如果其他词语可实现相同的目的，则可通过其他表达来替换所述词语。

如本说明书和权利要求书中所示，除非上下文明确提示例外情形，“一”、“一个”、“一种”和/或“该”等词并非特指单数，也可包括复数。一般说来，术语“包括”与“包含”仅提示包括已明确标识的步骤和元素，而这些步骤和元素不构成一个排它性的罗列，方法或者设备也可能包含其它的步骤或元素。

本说明书中使用了流程图用来说明根据本说明书的实施例的系统所执行的操作。应当理解的是，前面或后面操作不一定按照顺序来精确地执行。相反，可以按照倒序或同时处理各个步骤。同时，也可以将其他操作添加到这些过程中，或从这些过程移除某一步或数步操作。

本说明书的一个或多个实施例可以应用于网络平台访问数据库的身份管理系统。网络平台包括但不限于网页、浏览器插件、客户端、定制系统、企业内部业务系统的一种或几种的组合。本说明书的一个或多个实施例的应用场景包括但不限于网页、浏览器插件、客户端、定制系统、企业内部分析系统等中的一种或几种的组合。应当理解的是，本说明书的一个或多个实施例的系统及方法的应用场景仅仅是本说明书的一个或多个实施例的一些示例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图将本说明书的一个或多个实施例应用于其它类似情景。例如，其他类似的数据通信系统。

本说明书中涉及多个服务平台，为便于表述，将其分别简称为第一平台及第二平台。在一些实施例中，第一平台内嵌有第二平台的数据内容，用户在第一平台内可以调用第二平台的数据内容，并访问第二平台上的数据服务。在一些实施例中，第一平台可以是业务平台，第二平台可以是数据服务平台。

本说明书中的业务平台可以是实现指定数据业务的服务平台。业务平台可以从数据服务平台获取需要的数据或者调用需要的数据服务，来实现本业务平台指定的数据业务。例如，翻译业务平台可以从翻译服务平台中调用所需语种的翻译服务，来实现本业务平台的源语言到目标语言的翻译任务。又例如，机器学习模型训练业务平台可以从数据标注平台上完成训练样本的标注，来实现本业务平台上机器学习模型的训练。业务平台可以是任意实现指定业务的服务平台，本说明书在此不对其做任何限制。

本说明书中的数据服务平台是指能够提供数据或服务的服务平台，例如，翻译服务平台、数据标注平台等。在一些应用场景下，数据服务平台可以基于多租户架构。例如，在翻译服务平台中，每一种源语言(如中文)到目标语言(英文)的翻译服务可以对应一个租户，如此，可以理解为在翻译服务平台中，可以具有中英翻译、日德翻译、中德翻译等多种翻译服务的租户。又例如，在数据标注平台中，每一种标注数据或数据标注服务(如车道线标注、人脸关键点标注、语音分割或NLP文字标注)可以对应一个租户，如此，可以理解为在数据标注平台中可以具有车道线标注、人脸关键点标注等多种数据标注的租户。数据服务平台还可以是提供其他类型的数据或服务的服务平台，本说明书在此不对其做任何限制。

在一些实施例中，用户可以输入登录信息，以在服务平台上进行身份验证并登录。在一些实施例中，服务平台为多租户架构，用户可以输入登录信息，以在多租户的服务平台上进行身份验证并登录，多租户的服务平台可以基于用户的登录信息确定其租户权限。在一些实施例中，租户权限又称为访问信息权限，其用于指示用户有权限访问平台内的哪些数据和/或服务。在一些实施例中，业务平台(如第一平台)可以是内嵌有其他服务平台(如第二平台)数据内容的平台，用户可以在第一平台上登录，并通过第一平台调用第二平台的数据服务。当第二平台为多租户服务平台时，用户通过第一平台访问第二平台的数据或服务时，第二平台还需要确定用户的租户权限，当用户请求访问的数据或服务与其租户权限对应时，第二平台才会返回用户请求的数据或服务。

图1所示为根据本说明书一些实施例所示的一个示例性数据交互系统100的应用场景图。数据交互系统100可以用于用户终端与服务平台之间，服务平台之间的数据交互，包括但不限于通过网页、浏览器插件、客户端、定制系统、企业内部业务系统等进行数据交互。如图1所示，数据交互系统100可以包括一个或以上的服务器110-1、110-2…，一个或以上的存储设备120-1、120-2…，一个或以上的用户终端130以及网络140。

在一些实施例中，服务器110-1可以用于实现第一平台的一个或多个功能，服务器110-2可以用于实现第二平台的一个或多个功能。在一些实施例中，服务器110-1和/或服务器110-2可以是本地的，也可以是远程的。例如，服务器110-1可以经由网络140访问存储于用户终端130或存储设备120-1的信息和/或数据。又例如，服务器110-2可以连接用户终端130和/或存储设备120-2以访问存储的信息和/或数据。在一些实施例中，服务器110-1和/或服务器110-2可以在云平台上实施。仅作为示例，所述云平台可以包括私有云、公共云、混合云、社区云、分布云、内部云、多层云等或其任意组合。在一些实施例中，服务器110-1、110-2…可以包括至少一个网络端口。该至少一个网络端口可以被配置为经由网络140向数据交互系统的100(例如，存储设备120-1、110-2…、用户终端130)中的一个或以上组件发送信息和/或从其接收信息。

存储设备可以存储数据和/或指令。例如，存储设备120-1可以存储用户ID及其具有一个或多个访问信息权限。又例如，存储设备120-2可以存储预设时间范围以及用户ID及其具有一个或多个访问信息权限。再例如，存储设备120-1和/或存储设备120-2可以存储服务器110-1和/服务器110-2可以执行或用于执行本说明书中一个或多个实施例描述的示例性方法的数据和/或指令。在一些实施例中，存储设备120-1和存储设备120-1可包括大容量储存器、可移动储存器、易失性读写内存、只读存储器(ROM)等或其任意组合。示例性的大容量储存器可以包括磁盘、光盘、固态磁盘等。示例性可移动存储器可以包括闪存驱动器、软盘、光盘、存储卡、压缩盘、磁带等。示例性易失性读写存储器可以包括随机存取内存(RAM)。示例性RAM可包括动态随机存取存储器(DRAM)、双倍数据速率同步动态随机存取存储器(DDRSDRAM)、静态随机存取存储器(SRAM)、晶闸管随机存取存储器(T-RAM)和零电容随机存取存储器(Z-RAM)等。示例性只读存储器可以包括掩模型只读存储器(MROM)、可编程只读存储器(PROM)、可擦除可编程只读存储器(PEROM)、电可擦除可编程只读存储器(EEPROM)、光盘只读存储器(CD-ROM)和数字多功能磁盘只读存储器等。在一些实施例中，所述存储设备120-1和/或120-2可在云平台上实现。仅作为示例，所述云平台可以包括私有云、公共云、混合云、社区云、分布云、内部云、多层云等或其任意组合。

在一些实施例中，存储设备120-1、120-2…可以包括至少一个网络端口。该至少一个网络端口可以被配置为经由网络140向数据交互系统的100(例如，服务器110-1、服务器110-2、用户终端130)中的一个或以上组件发送信息和/或从其接收信息。

用户终端130可以实现一个或多个服务平台的前端功能，例如接收用户输入的相关登录信息并将登录信息传输给一个或多个服务平台以完成用户在一个或多个服务平台上的登录，又或者接收用户数据访问请求并将该请求传输给指定的服务平台，又或者接收服务平台返回的数据，并呈现给用户。在一些实施例中，用户终端也可以接收用户的操作指令并直接执行。例如，用户终端可以完成本地数据查询或处理，并将操作结果输出给用户。本说明书的一个或多个实施例描述的“用户终端”、“客户端”、“用户端”或“前端”等是可以互换的。用户终端130可以包括用户使用的任何电子设备。在一些实施例中，用户终端130可以是移动设备130-1、平板计算机130-2、膝上型计算机130-3、台式计算机130-4等或其任意组合。在一些实施例中，移动装置130-1可包括可穿戴设备、智慧移动装置、虚拟实境装置、增强实境装置等或其任意组合。在一些实施例中，可穿戴设备可包括智能手镯、智能鞋袜、智能眼镜、智能头盔、智能手表、智能衣服、智能背包、智能配件等或其任意组合。在一些实施例中，智能移动设备可以包括智能电话、个人数字助理(PDA)、游戏设备、导航设备、销售点(POS)等或其任意组合。在一些实施例中，虚拟现实设备和/或增强型虚拟现实设备可以包括虚拟现实头盔、虚拟现实眼镜、虚拟现实眼罩、增强现实头盔、增强现实眼镜、增强现实眼罩等或其任意组合。例如，虚拟现实设备和/或增强现实设备可以包括RiftConTM、FragmentsTM、GearVRTM等。在一些实施例中，台式计算机130-4可以是车载计算机、车载电视等。

在一些实施例中，用户终端130可以包括至少一个网络端口。该至少一个网络端口可以被配置为经由网络140向数据交互系统的100(例如，服务器110-1、服务器110-2、存储设备120-1、存储设备120-2)中的一个或以上组件发送信息和/或从其接收信息。

网络140可以促进信息和/或数据的交换。在一些实施例中，系统100中的一个或以上组件(例如，服务器110-1，服务器110-2、用户终端130，存储设备120-1和存储设备120-2)可以通过网络140向/从系统100中的其他组件发送和/或接收信息和/或数据。在一些实施例中，网络140可以为任意形式的有线或无线网络或其任意组合。仅作为示例，网络140可以包括缆线网络、有线网络、光纤网络、远程通信网络、内部网络、互联网、局域网(LAN)、广域网(WAN)、无线局域网(WLAN)、城域网(MAN)、广域网(WAN)、公共交换电话网络(PSTN)、蓝牙网络、紫蜂网络、近场通讯(NFC)网络、全球移动通讯系统(GSM)网络、码分多址(CDMA)网络、时分多址(TDMA)网络、通用分组无线服务(GPRS)网络、增强数据速率GSM演进(EDGE)网络、宽带码分多址接入(WCDMA)网络、高速下行分组接入(HSDPA)网络、长期演进(LTE)网络、用户数据报协议(UDP)网络、传输控制协议/互联网协议(TCP/IP)网络、短讯息服务(SMS)网络、无线应用协议(WAP)网络、超宽带(UWB)网络、红外线等或其任意组合。在一些实施例中，网络140可以包括一个或以上网络接入点。例如，网络140可以包括有线或无线网络接入点，例如基站和/或互联网交换点，用于系统100的一个或以上组件可以通过网络交换点连接到网络140以交换数据和/或信息。

在一些实施例中，数据交互系统100(例如，服务器110-1、服务器110-2、用户终端130、存储器120-1和存储器120-2)的一个或以上组件可以通过有线和/或无线通信，以电子和/或电磁信号的形式彼此通信。在一些实施例中，数据交互系统100还可以包括至少一个数据交换端口。至少一个交换端口可以被配置用于在数据交互系统100中的任何电子设备之间接收和/或发送(例如，以电子信号和/或电磁信号的形式)。在一些实施例中，至少一个数据交换端口可以是一个或以上天线、网络接口、网络端口等或其任意组合。例如，至少一个数据交换端口可以是连接到服务器110-1和/或服务器110-2的网络端口，以向其发送信息和/或接收从其发送的信息。

应当注意的是，上述有关数据交互系统100的描述仅仅是为了示例和说明，而不限定本说明书的适用范围。对于本领域技术人员来说，在本说明书一个或多个实施例的指导下可以对数据交互系统100进行各种修正和改变。然而，这些修正和改变仍在本说明书的范围之内。

在一些实施例中，第一平台内嵌有第二平台的数据内容。例如，第一平台中内嵌有第二平台的页面。仅仅作为示例，第一平台为机器模型训练业务平台，第二平台为数据标注服务平台。用户为了在第一平台上完成对某机器学习模型的训练，需要大量的带有标注信息的训练样本。此时，用户可以通过第一平台内嵌的第二平台页面从第二平台上调用数据标注服务，获取带有标准信息的训练样本。

在一些实施例中，第二平台为多租户架构，而用户具有第二平台的多个租户身份或租户权限。例如，用户在第二平台具有租户A和租户B。仅仅作为示例，目前用户正在使用第一平台完成人脸识别机器学习模型的训练，需要用到租户A对应的数据服务(如人脸关键点标注)。用户在第一平台登录并以租户A的权限(或身份)通过内嵌于第一平台中的第二平台的数据内容访问了第二平台上租户A对应的数据，这时在第二平台上记录的用户的上下文信息(可以理解为第二平台记录的与用户相关的登录权限信息)是属于租户A的。然后，出于业务需要该用户临时需要使用租户B对应的数据(如语音分割)，于是用户在第二平台上直接登录并以租户B的权限访问了租户B对应的数据，这时在第二平台上记录的用户的上下文信息会由租户A的切换成为租户B的。如果，用户在不重新登录租户A的情况下，直接返回第一平台继续通过第一平台访问第二平台上租户A的相关数据时，由于第二平台上该用户的上下文信息已经更改为租户B的权限信息，因此该用户就会被拒绝访问租户A对应的数据。本说明书的一些实施例提供了相关的解决方案，使得用户返回第一平台继续通过第一平台访问第二平台上租户A的相关数据时，不需再次进行身份验证而可以直接访问租户A的相关数据。

图2是根据本说明书的一些实施例所示的数据交互流程示意图。

在一些实施例中，用户可以通过用户终端完成在第一平台上的登录。例如，用户可以在用户终端呈现的登录界面上输入登录信息，登录信息可以包括用户ID及密码。用户终端将所述登录信息传输给第一平台，第一平台验证登录信息，若验证成功则完成用户的登录。

在一些实施例中，用户还可以通过用户终端发送对数据的访问请求。所述访问请求可以是对第二平台上数据服务的访问请求。例如，访问请求对应于第二平台上某一个租户的数据。

第一平台可以获取用户ID相关信息，生成第一平台信息，并传输给第二平台。所述用户ID相关信息可以包括用户ID、用户的访问请求、与用户访问请求相关的请求时间、或者用户的租户权限中的一种或多种。第二平台接收第一平台信息，并对其进行合法性验证。例如，第二平台可以基于第一平台信息确定用户ID是否是合法用户。又例如，第二平台可以基于第一平台信息确定用户ID及其对应的租户权限，并判断其与第二平台已有的信息是否一致。具体的，第二平台存储有用户ID及其具有的租户权限，第二平台可以根据记录验证所述用户ID是否确实拥有第一平台信息中该用户ID对应的租户权限。再例如，第二平台可以基于第一平台信息确定用户ID请求访问的数据，并判断用户ID是否具有访问其请求数据的租户权限。

在一些实施例中，第二平台验证第一平台信息通过后，可以基于第一平台信息生成登录令牌，如token。例如，第二平台可以对第一平台信息包括的用户ID、用户的访问请求、与用户访问请求相关的请求时间、或者用户的租户权限中的一种或多种组合进行运算处理，得到与第一平台信息对应的登录令牌。在一些实施例中，第二平台可以使用非对称加密算法对第一平台信息进行处理，生成登录令牌。第二平台向第一平台返回所述登录令牌。在一些实施例中，第二平台可以存储所述登录令牌以及该登录令牌的预设有效时间。所述预设有效时间可以是0.5小时、1个小时、4小时、一天、一个星期等等，本说明书对此不做任何限制。

在一些实施例中，第一平台可以通过调用接口调取第二平台的数据或服务。具体的，第一平台可以将用户ID及其对应的租户权限作为调用接口的输入参数，将需要调取的第二平台的数据或服务作为调用接口的返回参数。通过调用接口，第一平台可以将用户ID及其对应的租户权限传递给第二平台，并接收第二平台返回的登录令牌。相应的，第二平台可以通过所述调用接口获取用户ID及其对应的租户权限，向第一平台传递所述登录令牌。

在一些实施例中，第一平台可以基于用户的访问请求确定需要被请求数据的访问地址(如URL)，并将登录令牌携带在访问地址中。向用户终端返回带有登录令牌的访问地址。用户终端可以基于所述访问地址获取需要的数据。第二平台获取用户终端发送的访问地址，对访问地址进行解析得到登录令牌。在一些实施例中，第二平台可以验证所述登录令牌。例如，第二平台可以在本地查找是否存储有所述登录令牌，如有，则认为该登录令牌是合法获得的。又例如，第二平台可以进一步确定所述登录令牌是否在预设有效时间内，若是则认为该登录令牌合法。再例如，第二平台可以按照预设的算法对登录令牌进行解析，如果能解析成功则认为该登录令牌合法。仅作为示例，第二平台可以基于非对称加密算法中的私钥对登录令牌进行解析。再例如，第二平台可以将解析得到的信息与其存储的信息进行对比，如果解析得到的信息与其存储的信息一致，则可认为该登录令牌合法。其中，解析得到的信息可以包括用户ID、用户的访问请求、与用户访问请求相关的请求时间、或者用户的租户权限中的一种或多种组合。第二平台还可以按照其他预设的规则对登录令牌进行验证，判断其是否合法，本说明书对此不做任何限制。

在一些实施例中，第二平台验证所述登录令牌为合法后，则获取用户请求的数据，并返回所述数据。在一些实施例中，第二平台也可以在验证登录令牌合法后，基于所述登录令牌和/或解析得到的信息为用户的上下文信息获取用户请求的数据。

仅作为示例，继续参考租户A与租户B的例子。当用户在第一平台登录并请求访问租户A对应的数据，第一平台基于用户ID相关信息生成第一平台信息，并传输给第二平台，第二平台基于第一平台信息完成对用户ID的验证后生成登录令牌并返回给第一平台，第一平台将登录令牌携带在用户请求访问的数据的访问地址中并返给用户。用户基于所述访问地址到第二平台请求数据，第二平台只验证登录令牌，并在验证成功后返回用户请求的数据。

如果用户在第二平台上直接登录并以租户B的权限访问了租户B对应的数据，这时在第二平台上记录的用户的上下文信息仍然被切换为租户B的上下文信息。如果，用户在不重新登录租户A的情况下，直接返回第一平台继续通过第一平台访问第二平台上租户A的相关数据时，访问数据地址中携带有合法的登录令牌，第二平台不再以原有的上下文信息(租户B的上下文信息)验证用户是否有权限获取当前被请求的数据(租户A对应的数据)，该用户不再会被拒绝访问租户A对应的数据。

上述对本说明书特定实施例进行了描述。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。

接下来，本说明书将通过更多的实施例阐述在第一平台以及第二平台上实现的一个或多个流程，例如数据交互或者身份认证流程。

图3是根据本说明书的一些实施例所示的第一平台侧的示例性系统框图。如图3所示，该身份认证系统300可以包括第一获取模块302、第一验证模块304、第二获取模块306、第一传递模块308和第一接收模块310。这些模块可以是处理器的全部或部分的硬件电路。这些模块也可以作为应用程序或一组由处理引擎读取和执行的指令实现。此外，模块可以是硬件电路和应用/指令的任何组合。例如，当处理引擎或处理器执行应用程序/一组指令时，模块可以是处理器的一部分。

第一获取模块302可以用于获取用户ID。

第一验证模块304可以用于验证用户ID的登录信息。

第二获取模块306可以用于获取第一平台信息。

第一传递模块308可以用于将第一平台信息传递给第二平台；第一平台信息至少包括用户ID相关信息，第一平台信息至少用于第二平台对用户ID的验证。在一些实施例中，第一传递模块还用于通过调用接口将所述用户ID及其对应的访问信息权限传递给第二平台。

第一接收模块310可以用于接收由第二平台返回的登录令牌，登录令牌与第一平台信息相关且在预设时间范围内有效。在预设时间范围内，用户ID通过第一平台使用登录令牌访问第二平台的指定内容，无需通过第二平台对用户ID进行再次验证，指定内容的访问权限与第一平台信息相关。在一些实施例中，所述第一接收模块还用于接收由所述第二平台返回的一个或多个登录令牌；所述一个或多个登录令牌分别与请求访问的所述一个或多个指定内容对应。

在一些实施例中，所述系统还包括第四获取模块和第一输出模块，所述第四获取模块用于获取用户对第二平台的指定内容的访问请求；所述指定内容包括第二平台在第一平台中的内嵌页面；所述第一输出模块可以用于输出包括所述登录令牌的指定内容URL。

在一些实施例中，所述第四模块还用于获取用户对一个或多个指定内容的访问请求。

在一些实施例中，所述第一输出模块还用于输出一个或多个指定内容URL；所述一个或多个指定内容URL中分别包含该指定内容对应的登录令牌。

在一些实施例中，所述系统还包括第三获取模块，第三获取模块可以用于从存储器中获取与用户ID对应的访问信息权限。

在一些实施例中，所述第三获取模块还用于基于所述用户请求访问的指定内容从所述一个或多个访问信息权限中确定与所述指定内容对应的访问信息权限，并将与所述指定内容对应的访问信息权限作为所述与用户ID对应的访问信息权限包含在所述第一平台信息中。

应当理解，图3所示的系统及其模块可以利用各种方式来实现。例如，在一些实施例中，系统及其模块可以通过硬件、软件或者软件和硬件的结合来实现。其中，硬件部分可以利用专用逻辑来实现；软件部分则可以存储在存储器中，由适当的指令执行系统，例如微处理器或者专用设计硬件来执行。本领域技术人员可以理解上述的方法和系统可以使用计算机可执行指令和/或包含在处理器控制代码中来实现，例如在诸如磁盘、CD或DVD-ROM的载体介质、诸如只读存储器(固件)的可编程的存储器或者诸如光学或电子信号载体的数据载体上提供了这样的代码。本说明书的一个或多个实施例的系统及其模块不仅可以有诸如超大规模集成电路或门阵列、诸如逻辑芯片、晶体管等的半导体、或者诸如现场可编程门阵列、可编程逻辑设备等的可编程硬件设备的硬件电路实现，也可以用例如由各种类型的处理器所执行的软件实现，还可以由上述硬件电路和软件的结合(例如，固件)来实现。

需要注意的是，以上对于候选项显示、确定系统及其模块的描述，仅为描述方便，并不能把本说明书的一个或多个实施例限制在所举实施例范围之内。可以理解，对于本领域的技术人员来说，在了解该系统的原理后，可能在不背离这一原理的情况下，对各个模块进行任意组合，或者构成子系统与其他模块连接，或者对其中的一个或多个模块进行省略。例如，图3中披露的第一获取模块302、第一验证模块304、第二获取模块306、第一传递模块308、第一接收模块310和第一输出模块312可以是一个系统中的不同模块，也可以是一个模块实现上述的两个或两个以上模块的功能。在一些实施例中，第一输出模块312还可以省略。在一些实施例中，第一获取模块302、第一验证模块306可以是两个模块，也可以是一个模块同时具有获取和验证功能。例如，各个模块可以共用一个存储模块，各个模块也可以分别具有各自的存储模块。诸如此类的变形，均在本说明书的一个或多个实施例的保护范围之内。

图4是根据本说明书的一些实施例所示的用于身份认证的方法的第一平台侧的示例性流程图。在一些实施例中，过程400中的一个或以上步骤可以在图1所示的系统100中实现。例如，过程400中的一个或以上步骤可以作为指令的形式存储在存储设备120-1中，并被服务器110-1(例如，服务器110-1中的处理引擎)调用和/或执行。

步骤402，获取用户ID。在一些实施例中，步骤402可以由第一获取模块302执行。

所述用户ID可以是指示用户身份的标识，其可以是一个字符串、数字编号、图像、生物特征(如指纹信息、虹膜信息等)。在一些实施例中，所述用户ID可以与用户对应，且具有唯一性。在一些实施例中，用户ID仅用于在第二平台中指示用户身份。在一些实施例中，所述用户ID可以同时被用于第一平台及第二平台中以指示用户身份。换句话说，同一个用户在第一平台与第二平台的身份标识可以共用。

在一些实施例中，获取用户ID的方式可以包括直接获取的方式。例如，用户或操作者可以在客户端的登录窗口中直接输入相应的用户ID，对应地，第一平台通过第一获取模块302直接获取该用户ID。

在一些实施例中，获取用户ID的方式也可以包括间接获取的方式。例如，用户在客户端的登录窗口中输入的不是用户ID，而是与用户ID相对应的数据。在一些实施例中，与用户ID相对应的数据包括但不限于与用户ID相对应的字符串、声音信息、指纹信息以及面部信息，或其任意组合。在一些实施例中，字符串可以包括用户的工号、邮箱或昵称。在一些实施例中，第一获取模块可以通过与用户ID相对应的数据解析出相应的用户ID。对应地，在上述一个或多个实施例中，第一平台通过第一获取模块302直接获取的是与用户ID对应的数据信息，然后从该数据信息中间接获取到相应的用户ID。

在一些实施例中，用户ID在客户端的输入方式包括但不限于手动输入、语音输入、通过摄像头获取面部信息、通过指纹识别器获取指纹信息等一种或两种以上的任意组合。在一些实施例中，所述手动输入可以包括手动输入文本形式的用户名。在一些实施例中，所述语音输入可以包括通过语音获取模块获取语音信息，并由语音识别模块将语音信息转换为与用户名文本信息。在一些实施例中，所述通过摄像头获取面部信息可以包括通过图像获取模块获取面部图像信息，并由图像识别模块将面部图像信息转换为与用户名对应的文本信息。在一些实施例中，所述通过指纹识别器获取指纹信息可以包括通过指纹获取模块获取指纹信息，并由指纹识别模块将指纹信息转换为用户名对应的文本信息。

步骤404，验证用户ID的登录信息。在一些实施例中，步骤404可以由第一验证模块304执行。

在一些实施例中，登录信息可以包括用户ID的相关信息，在一些实施例中，所述相关信息至少能够反映用户的身份、身份的合法性和/或权限。在一些实施例中，登录信息可以包括用户ID及登录密码。在一些实施例中，所述登录信息可以包括用户在第一平台的身份标识，例如用户名及登录密码，其中用户ID仅用于在第二平台对用户身份进行标识，而用户名仅用于在第一平台对所述用户的身份进行标识。在一些实施例中，登录信息也可以包括与用户ID对应的访问信息权限，例如租户权限。

在一些实施例中，登录信息可以是用户在第一平台上登录时输入的一些信息，可以向第一平台展示已登录者的身份，并可以告知用户登录的情况。该登录信息可以包括与用户ID对应的用户名、密码。在一些实施例中，用户的用户名并不局限于用户的中文名或英文名，还可以包括该用户的邮箱、工号、昵称以及与用户ID对应的字符串。在一些实施例中，登录信息还可以包括登录验证信息，登录验证信息可以包括但不限于短信验证码、图文验证码或手势验证码。在一些实施例中，登录信息的输入方式包括但不限于手动输入、语音输入或图像输入，或其任意组合。

在一些实施例中，第一平台可以对登录信息进行验证。例如，第一平台中保存有用户在平台注册时输入的用户名及密码，第一平台可以将登录信息中的用户名及密码与注册时的信息进行对比，如果一致，则认为登录信息合法。又例如，第一平台可以根据向用户的移动设备，如手机，发送短信验证码，并判断用户登录信息中的验证码是否与发送的一致，若一致则认为登录信息合法。再例如，第一平台可以检测用户的登录手势是否与设定轨迹吻合，如果吻合则认为登录信息合法。再例如，第一平台可以将前述验证条件进行任意组合，对登录信息依次进行验证，只有当登录信息满足所有验证条件时，才认为登录信息合法。第一平台可以根据需要设置登录信息验证规则，本说明书对此不做任何限制。

在一些实施例中，用户ID的登录信息可以由第一获取模块302获取，并可以传输给第一验证模块304。

步骤406，获取第一平台信息。在一些实施例中，步骤406可以由第二获取模块306执行。

第一平台信息至少用于第二平台对用户ID的验证。第一平台信息至少包括用户ID相关信息。在一些实施例中，用户ID相关信息至少包括用户ID。在一些实施例中，用户ID相关信息还可以包括用户ID对应的密码，密码的形式包括但不限于声音信息、面部信息或指纹信息中的一种或多种。

在一些实施中，用户ID相关信息还可以包括用户在第一平台登录的时间。例如，用户在第一平台输入其用户ID并验证的时间为2019年5月30日11时05分30秒，则第一平台信息中时间可以是以“2019-05-30 11:05:30”的格式进行储存。

在一些实施例中，用户ID相关信息还可以包括用户ID对应的访问信息权限(租户权限)。用户ID对应的访问信息权限可以理解为用户通过该用户ID能够对第二平台的数据信息进行访问的权限。在一些实施例中，用户ID可以具有一个或多个访问信息权限，且第一平台内存储有用户ID及其具有的一个或多个访问信息权限。第一平台可以确定与用户ID请求访问数据对应的访问信息权限，并将其作为与用户ID对应的访问信息权限。在一些实施例中，用户ID与其具有的访问信息权限存储在第一平台中，例如存储在服务器110-1对应的存储设备或存储器中。第一平台在获取用户ID后，通过存储器就可以得到与该用户ID对应的访问信息权限。在一些实施例中，用户ID可以具有一个或多个访问信息权限。用户ID具有的一个或多个访问信息权限可以存储在第一平台。第一平台可以基于访问请求，确定与请求访问的数据相关的访问信息权限，并判断所述访问信息权限是否包含在用户ID具有的访问信息权限中，如包含则将与请求访问的数据相关的访问信息权限作为与用户ID对应的访问信息权限。在一些实施例中，第一平台可以基于多个指定内容的访问请求，确定与这些访问请求对应的对个访问信息权限，并包含在第一平台信息中发送给第二平台。可以理解为，用户可以访问第一平台内的两个的内嵌页面，其中，一个内嵌页面对应租户A，另一个内嵌页面对应租户B。因此，第一平台可以确定与用户ID对应的访问信息权限包括租户A及租户B。在一些实施例中，用户在客户端进行登录时，可以输入用户ID，以及对应的租户信息，即访问信息权限，第一平台直接从客户端的用户输入中获取与用户ID对应的访问信息权限。在其他实施例中，与用户ID对应的访问信息权限也可以存储在第二平台，第二平台可以根据用户ID确定访问信息权限，第一平台无需获取与用户ID对应的访问信息权限。

在一些实施例中，第一平台信息还包括对第二平台上的相关数据信息进行访问的访问请求或/和与访问请求相关的时间信息。访问请求可以包括用户针对内嵌于第一平台上的第二平台的指定内容进行访问时所发出的请求。在一些实施例中，访问请求至少包括对指定内容的至少一个点击操作。在一些实施中，指定内容可以包括第二平台在第一平台中的内嵌页面。在一些实施例中，指定内容也可以包括内嵌在第一平台中的属于第二平台的数据库。

在一些实施例中，第一平台可以包括业务平台，第二平台可以包括数据标注服务平台。指定内容的访问请求可以是对人脸关键点数据服务所发出的请求。在一些实施例中，第二平台内嵌在第一平台的具体呈现方式可以包括窗口或超链接。例如，数据标注服务平台的数据服务以窗口的形式内嵌在业务平台的页面上，该窗口的长度和宽度可以是固定的或可调节的。在一些实施例中，超链接的对象可以包括文本、图像或其组合。例如，第二平台在第一平台上以“内嵌页面”的形式呈现，此处的“内嵌页面”可以作为超链接的对象，用户点击该超链接时就会跳转至所述内嵌页面。

在一些实施例中，访问请求可以与第一平台的内嵌页面相对应，而内嵌页面可以是多个，每个内嵌页面对应一个访问信息权限(租户)。例如，当访问的内嵌页面是甲内嵌页面时，则是对租户A对应数据的访问请求。当访问的内嵌页面是乙内嵌页面时，则是对租户B对应数据的访问请求。在一些实施例中，第一平台可以基于访问请求确定与用户ID对应的访问信息权限。

在一些实施例中，与访问请求相关的时间信息可以是当发起访问请求的时间。例如，访问标注平台内嵌页面的时间点为“2019-05-30 18:00”，则与访问请求相关的时间点信息为“2019-05-30 18:00”。在一些实施例中，用户相关信息还可以包括用户发出访问第二平台内数据的请求的时间。

在一些实施例中，第一平台的第二获取模块206可以通过网络140获取第一平台信息。在一些实施例中，可以通过网络140从第一平台的存储器中获取第一平台信息。在一些实施例中，可以通过网络140从客户端的输入数据中获取第一平台信息。

步骤408，将所述第一平台信息传递给第二平台。在一些实施例中，步骤408通过第一传递模块308执行，该传递过程可以通过网络140进行传递。

步骤408可以为后续第二平台对用户ID、访问信息权限和访问请求等信息进行验证做准备。例如，将用户A的用户ID、用户A对应的访问信息权限传递给第二平台，第二平台可以对用户A的用户名和访问信息权限进行验证。在一些实施例中，第一平台把访问信息权限传递给第二平台的方式还可以采用接口调用的方式进行。例如，第一平台可以将用户ID及其对应的租户权限作为调用接口的输入参数，将需要调取的第二平台的数据或服务作为调用接口的返回参数。通过调用接口，第一平台可以将用户ID及其对应的租户权限传递给第二平台。在一些实施例中，第二平台还可以基于第一平台信息生成登录令牌，在下文会详细阐述。

步骤410，接收由所述第二平台返回的登录令牌。在一些实施例中，步骤410可以由第一接收模块310执行。

在一些实施例中，该登录令牌与第一平台信息相关且在预设时间范围内有效。在预设时间范围内，用户ID通过第一平台使用登录令牌访问第二平台的指定内容，无需通过第二平台对用户ID进行再次验证，指定内容的访问权限与第一平台信息相关。在一些实施例中，指定内容的访问权限至少包括用户ID所具有租户信息权限。在一些实施例中，第一平台信息至少包括用户ID相关信息；在一些实施例中，还包括访问信息权限。在一些实施例中，第二平台可以返回一个或多个登录令牌。所述一个或多个登录令牌可以与用户请求访问的一个或多个指定内容对应。

在一些实施例中，流程400还可以获取用户对第二平台的指定内容的访问请求。在一些实施中，这一步骤可以由第四获取模块执行。

在一些实施例中，用户的访问请求还包括获取一个或多个指定内容的访问请求。例如，用户对指定内容的访问请求可以是一个或多个。再例如，用户访问的是第二平台的图像标注数据库、文本标注数据库和语料标注数据库中的任意一个多个。第一平台可以基于用户的访问请求确定与用户ID对应的访问信息权限。

在一些实施例中，第二平台的数据库可以以超链接的形式内嵌在第一平台的页面上。例如，图像标注数据库、文本标注数据库以及语料标注数据库可以不同的文字超链接的形式或图片超链接的形式内嵌在第一平台上，相应地，此处的指定内容的访问请求可以是对甲标注平台的图像标注数据库、文本标注数据库或语料标注数据库语料标注数据库的访问请求。

在一些实施例中，流程400还可以输出包括所述登录令牌的指定内容URL。在一些实施例中，本步骤可以由第一输出模块312执行。

通过包括登录令牌的指定内容的URL，用户可以在不需要再次登录的情况下通过第一平台对第二平台的指定内容进行访问。此处关于指定内容的具体描述请参照前文，在此不做赘述。

URL(Uniform Resource Location)，译为“统一资源定位符”，具体是因特网上用来描述信息资源的字符串。在一些实施例中，指定内容的URL可以包括内嵌在第一平台上的第二平台对应页面的URL。例如，甲内嵌页面的URL、乙内嵌页面的URL、丙内嵌页面的URL或者其中任意多个内嵌页面的URL。在一些实施例中，指定内容的URL还可以包括第二平台中数据库对应的URL。例如，标注平台图像标注数据库的URL、文本标注数据库的URL、语料标注数据库的URL或者其中任意多个数据库的URL。在一些实施例中，指定内容的URL也可以是一个链接。链接的显示形式也可以包括与指定内容对应的图像超链接、文本超链接或按钮超链接。在一些实施例中，第一平台可以在用户请求访问的多个指定内容的URL中嵌入对应的访问信息权限，并返回给用户。

应当注意的是，上述有关流程400的描述仅仅是为了示例和说明，而不限定本说明书的适用范围。对于本领域技术人员来说，在本说明书的指导下可以对流程400进行各种修正和改变。然而，这些修正和改变仍在本说明书的范围之内。

图5是根据本说明书的一些实施例所示的第二平台侧的示例性系统框图。

如图5所示，该身份认证系统500可以包括第二接收模块502、第二验证模块504、生成模块506和第一返回模块508。

第二接收模块502可以用于接收来自第一平台的第一平台信息。第一平台信息至少包括用户ID相关信息。在一些实施例中，第二接收模块还用于从第一平台的调用接口中获取所述用户ID及其对应的访问信息权限。

第二验证模块504可以用于验证来自第一平台的第一平台信息。在一些实施例中，第二验证模块504还可以用于验证所述用户ID及其对应的访问信息权限是否与第二平台存储的信息一致，若一致则通过。

生成模块506可以用于至少基于所述第一平台信息生成登录令牌。登录令牌在预设时间范围内有效。在预设时间范围内，用户ID通过第一平台使用登录令牌访问第二平台的指定内容，无需对用户ID进行再次验证。在一些实施例中，生成模块506还可以用于基于所述第一平台信息中的用户ID及其对应的多个访问信息权限确定多个用户ID及访问信息权限对；基于多个用户ID及访问信息权限对生成多个登录令牌。在一些实施例中，生成模块506还用于基于为非对称加密算法生成所述登录令牌。

第一返回模块508可以用于返回所述登录令牌。

在一些实施例中，该身份认证系统还包括第一确定模块和第一存储模块。第一确定模块可以用于确定所述预设时间范围。第一存储模块，可以用于存储所述预设时间范围。

在一些实施例中，该身份认证系统还包括第二确定模块，用于确定与所述用户ID对应的访问信息权限；所述生成模块还用于基于所述第一平台信息及所述访问信息权限生成所述登录令牌。在一些实施例中，第二确定模块还用于基于所述用户请求访问的指定内容从所述一个或多个访问信息权限中确定与所述指定内容对应的访问信息权限，并将其与所述指定内容对应的访问信息权限作为所述与用户ID对应的访问信息权限。在一些实施例中，第二确定模块还用于基于所述用户请求访问的指定内容从所述一个或多个访问信息权限中确定与多个指定内容对应的多个访问信息权限，并将其作为所述与用户ID对应的多个访问信息权限；生成模块还用于基于与多个用户ID对应的多个访问信息权限确定多个用户ID及访问信息权限对；基于多个用户ID及访问信息权限对生成多个登录令牌。

应当理解，图5所示的系统及其模块可以利用各种方式来实现。例如，在一些实施例中，系统及其模块可以通过硬件、软件或者软件和硬件的结合来实现。其中，硬件部分可以利用专用逻辑来实现；软件部分则可以存储在存储器中，由适当的指令执行系统，例如微处理器或者专用设计硬件来执行。本领域技术人员可以理解上述的方法和系统可以使用计算机可执行指令和/或包含在处理器控制代码中来实现，例如在诸如磁盘、CD或DVD-ROM的载体介质、诸如只读存储器(固件)的可编程的存储器或者诸如光学或电子信号载体的数据载体上提供了这样的代码。本说明书的一个或多个实施例的系统及其模块不仅可以有诸如超大规模集成电路或门阵列、诸如逻辑芯片、晶体管等的半导体、或者诸如现场可编程门阵列、可编程逻辑设备等的可编程硬件设备的硬件电路实现，也可以用例如由各种类型的处理器所执行的软件实现，还可以由上述硬件电路和软件的结合(例如，固件)来实现。

需要注意的是，以上对于候选项显示、确定系统及其模块的描述，仅为描述方便，并不能把本说明书的一个或多个实施例限制在所举实施例范围之内。可以理解，对于本领域的技术人员来说，在了解该系统的原理后，可能在不背离这一原理的情况下，对各个模块进行任意组合，或者构成子系统与其他模块连接，或者对其中的一个或多个模块进行省略。例如，图5中披露的第二获取模块502、第二验证模块504、生成模块506和第一返回模块508可以是一个系统中的不同模块，也可以是一个模块实现上述的两个或两个以上模块的功能。在一些实施例中，第二获取模块502、第二验证模块504可以是两个模块，也可以是一个模块同时具有获取和验证功能。例如，各个模块可以共用一个存储模块，各个模块也可以分别具有各自的存储模块。诸如此类的变形，均在本说明书的一个或多个实施例的保护范围之内。

图6是根据本说明书的一些实施例所示的用于身份认证的方法的第二平台侧的示例性流程图。如图6所示，一种用于身份认证的方法可以包括：

步骤602，接收来自第一平台的第一平台信息。在一些实施例中，步骤602可以由第二获取模块502执行。

在一些实施例中，第一平台信息可以包括用户ID相关信息；在一些实施例中，第一平台信息还可以包括与用户ID对应的访问信息权限。在一些实施例中，第一平台信息还可以包括用户对一个或多个指定内容的访问请求。在一些实施例中，接收来自第一平台的访问信息权限还可以通过接口调用的方式进行，即第一平台通过将用户ID及其对应的访问信息权限作为调用接口的输入参数调取第二平台的数据或服务。第二平台可以从第一平台的调用接口中获取与用户ID对应的访问信息权限。在一些实施例中，第一平台信息还可以包括对指定内容的访问请求相关的时间信息。关于第一平台信息更详细的描述可以参见文中其他地方。例如，图4的相关说明。

在一些实施例中，第一平台信息可以由第一平台的服务器110-1通过网络140发送给第二平台的服务器110-2(第二接收模块602)。

步骤604，验证来自第一平台的第一平台信息。在一些实施例中，该步骤可以由第二验证模块504执行。

步骤604主要基于接收到的第一平台信息用于核实并确认对用户ID及其相对应的访问信息权限。在一些实施例中，接收到的第一平台信息包括用户ID及其对应的访问信息权限，对应地，第二平台对第一平台信息的验证可以包括对用户ID相关信息进行验证以确认接收到的用户ID在第二平台上是否有相关权限以及用户ID信息是否准确，还可以包括对用户ID及其对应的访问信息进行验证，以确认用户ID与接收到的访问信息权限是否匹配，还可以包括对访问信息权限的验证，以确认接收到的访问信息权限是否属实。关于对验证访问信息权限更多的描述，可参见本说明书其他地方的描述与，如图7。

步骤606，至少基于第一平台信息生成登录令牌。在一些实施例中，该步骤可以由生成模块506执行。

至少基于第一平台信息生成的登录令牌在预设的时间范围内有效，生成的登录令牌有如下作用：在预设的时间范围内，用户ID通过第一平台使用登录令牌访问第二平台的指定内容时，不需要第二平台对用户ID进行再次验证。其中，指定内容的访问权限与第一平台信息相关。在一些实施例中，第一平台信息至少包括用户ID，对应地，指定内容的访问权限至少与用户ID有关。在一些实施例中，第一平台信息包括用户ID及其对应的访问信息权限，指定内容的访问权限与用户ID和与用户ID对应的访问信息权限有关。

在一些实施例中，当第一平台信息包括与用户ID对应的多个访问信息权限时，基于第一平台信息生成的登录令牌会与用户ID及其所具有一个访问信息权限对应。在一些实施例中，生成的登录令牌中包括多个登录令牌时，每一个登录令牌都有与其对应的用户ID以及与该用户ID对应的一个访问信息权限。在一些实施例中，把某一用户ID和与该用户ID对应的一个访问信息权限看作是一个访问信息权限对，那么这一个访问信息权限对应该会具有一个与其对应的一个登录令牌。在一些实施例中，基于第一平台信息生成登录令牌可以包括：基于所述第一平台信息中的用户ID及其对应的多个访问信息权限确定多个用户ID及访问信息权限对；基于多个用户ID及访问信息权限对生成多个登录令牌。

在一些实施例中，与用户ID对应的访问信息权限存储在第二平台，如果第二平台基于用户ID及其对应的访问信息权限生成登录令牌时，需要在生成登录令牌之前先确定与用户ID对应的访问信息权限，例如，第二平台可以基于自身存储器中的用户ID及其对应的访问信息权限的关系列表来确定与用户ID对应的访问信息权限。也就是说，在一些实施例中，所述身份认证方法还包括确定与用户ID对应的访问信息权限。在一些实施例中，至少基于第一平台信息生成登录令牌还可以包括：基于第一平台信息及访问信息权限生成所述登录令牌。

在一些实施例中，与用户ID对应的访问信息权限存储在第二平台，第一平台信息还包括用户对第二平台的指定内容的访问请求，在这样的实施例中，确定与用户ID对应的访问信息权限就需要与被访问请求的指定内容联系起来，以提高生成登录令牌的使用效率。也就是说，将与被请求访问的指定内容对应的访问信息权限生成登录令牌，没有被请求访问的指定内容对应的访问信息权限不生成登录令牌，以避免生成的登录令牌没有被使用而带来的资源浪费。

也就是说，在一些实施例中，确定与用户ID对应的访问信息权限还可以包括：基于用户请求访问的指定内容从用户ID具有的一个或多个访问信息权限中确定与被请求访问的指定内容对应的访问信息权限，并将与被请求访问的指定内容对应的访问信息权限作为与用户ID对应的访问信息权限。例如，用户ID具有3个与用户ID对应的访问信息权限，都存储在第二平台，用户使用该用户ID对其中的两个访问信息权限对应的指定内容发出了访问请求，那么就可以把与被请求访问的指定内容对应的两个访问信息权限作为步骤“确定与用户ID对应的访问信息权限”的确定结果，即作为与用户ID对应的访问信息权限，并将这两个访问信息权限生成对应的登录令牌。

对应地，在一些实施例中，至少基于第一平台信息及访问信息权限生成登录令牌还可以包括：基于与多个用户ID对应的多个访问信息权限确定多个用户ID及访问信息权限对；基于多个用户ID及访问信息权限对生成多个登录令牌。

在一些实施例中，在确定与用户ID对应的访问信息权限之后，还可以将其确定结果进行存储，以供后续生成登录令牌使用。也就是说，在一些实施例中，所述身份认证方法还可以包括：存储所述用户ID及其对应的访问信息权限。

需要说明的是，步骤“确定与用户ID对应的访问信息权限”及其相关步骤或相关表述中与“与用户ID对应的访问信息权限”是用来确定用来生成登录令牌的。然而本说明书中其他部分描述的与用户ID对应的访问信息权限仅用于说明用户ID具有的访问信息权限与用户ID之间的关系，至于是否确定都将其生成登录令牌需要根据不同实施例来决定。其中，相关步骤或相关表述包括但不限于：基于与多个用户ID对应的多个访问信息权限确定多个用户ID及访问信息权限对、存储所述用户ID及其对应的访问信息权限，只要该步骤或表述中的目的与该步骤相同即可。

在一些实施例中，生成登录令牌还包括对第一平台信息进行加密处理。对应地，在一些实施例中，至少基于第一平台信息及访问信息权限生成登录令牌还可以包括：基于为非对称加密算法生成所述登录令牌。

在一些实施例中，非对称加密算法需要两个密钥：公开密钥(简称公钥)和私有密钥(简称私钥)，其中公钥与私钥是一对，如果用公钥对数据进行加密，只有用对应的私钥才能解密。非对称加密算法包括但不限于RSA、Elgamal、背包算法、Rabin、D-H、ECC中的任意一种。在一些实施例中，至少基于所述第一平台信息生成登录令牌还可以包括基于Hash算法生成所述登录令牌。Hash算法包括但不限于有MD2、MD4、MD5、HAVAL或SHA中的任意一种。

步骤608，返回登录令牌。在一些实施例中，步骤608可以由第一返回模块508执行。

在一些实施例中，第二平台将生成的登录令牌返回给第一平台，第一平台基于返回的登录令牌将登录令牌对应的指定内容URL返回至客户端，使得用户能够通过带有登录令牌的指定内容URL来访问第二平台的指定内容。

应当注意的是，上述有关流程600的描述仅仅是为了示例和说明，而不限定本说明书的适用范围。对于本领域技术人员来说，在本说明书的指导下可以对流程600进行各种修正和改变。然而，这些修正和改变仍在本说明书的范围之内。例如，在一些实施例中，在一些实施例中，当用户的访问信息权限已经缓存至第二平台中时，可以省略步骤606和步骤608。又例如，在一些实施例中，用户不是第一次登录第二平台而又未对时间范围进行更改，可以省略步骤610。步骤602、604、606、608、610、612和/或614可以在同一设备上执行，也可以在不同设备上执行。

图7是图6中验证第一平台信息在一些实施例中所示的子流程图示意图。以下所示过程的操作仅出于说明的目的。在一些实施例中，过程700在实施时可以添加一个或以上本说明书一个或多个实施例未描述的额外操作，和/或删减一个或以上此处所描述的操作。另外，如图7所示和下面描述的过程操作的顺序不是限制性的。在一些实施例中，过程700可以由身份认证系统中的第二验证模块504执行。

在一些实施例中，第一平台信息包括用户ID及其对应的访问信息权限，基于该种情形验证第一平台信息的子流程包括：

步骤702，验证所述用户ID。该步骤对用户ID进行验证，用以核实用户ID在第二平台上是否具有相关的权限。在一些实施例中，验证用户ID可以包括对用户ID相关信息进行验证。

步骤704，用户ID及其对应的访问信息权限与第二平台存储的信息一致。

在一些实施例中，用户ID具有的多个访问信息权限存储在第二平台上，在一些实施例中，在第二平台存储的信息包括用户ID具有的多个访问信息权限与用户ID之间的对应关系。在一些实施例中，验证第一平台信息还包括对将从第一平台获取到的用户ID及其对应的访问信息权限与第二平台存储的用户ID与访问信息权限之间的对应关系进行比较，并给出是否一致的判断结论。

在一些实施例中，如果经过上述步骤的比较，得到获取的第一平台信息与第二平台存储的信息一致，则进行步骤706，验证通过。在一些实施例中，如果验证结果为不一致，则需要客户端重新登录用户ID相关信息，第一平台把第一平台信息发送给第二平台，第二平台基于接收到的第一平台信息再次验证。

图8是根据本说明书的一些实施例所示的用于身份认证系统的第二平台侧实现认证的框图。如图8所示，一种用于身份认证的系统可以包括第五获取模块802、第三验证模块804、第六获取模块806和第二返回模块808。

第五获取模块802可以用于获取用户对第一平台中指定内容的访问请求。指定内容为第二平台在所述第一平台中的内嵌页面；访问请求中携带有登录令牌。

第三验证模块804可以用于验证登录令牌。

第六获取模块806可以用于当登录令牌验证通过时，获取被请求的数据。在一些实施例中，第六获取模块806还可以用于利用登录令牌和/或解析登录令牌得到的用户ID及其对应的访问信息权限获取被请求的数据。

第二返回模块808可以用于返回被请求的数据。

在一些实施例中，验证所述登录令牌，当满足以下条件中的一个或多个的组合时验证通过：验证所述登录令牌与第二平台存储的信息一致；验证获取携带所述登录令牌的访问请求时间在预设时间范围内；成功解析所述登录令牌；解析所述登录令牌获得的用户ID以及对应的访问信息权限与第二平台存储的信息一致。

在一些实施例中，该系统还包括时间延长模块，时间延长模块可以用于当登录令牌验证通过时，延长预设时间范围。

应当理解，图8所示的系统及其模块可以利用各种方式来实现。例如，在一些实施例中，系统及其模块可以通过硬件、软件或者软件和硬件的结合来实现。其中，硬件部分可以利用专用逻辑来实现；软件部分则可以存储在存储器中，由适当的指令执行系统，例如微处理器或者专用设计硬件来执行。本领域技术人员可以理解上述的方法和系统可以使用计算机可执行指令和/或包含在处理器控制代码中来实现，例如在诸如磁盘、CD或DVD-ROM的载体介质、诸如只读存储器(固件)的可编程的存储器或者诸如光学或电子信号载体的数据载体上提供了这样的代码。本说明书的一个或多个实施例的系统及其模块不仅可以有诸如超大规模集成电路或门阵列、诸如逻辑芯片、晶体管等的半导体、或者诸如现场可编程门阵列、可编程逻辑设备等的可编程硬件设备的硬件电路实现，也可以用例如由各种类型的处理器所执行的软件实现，还可以由上述硬件电路和软件的结合(例如，固件)来实现。

需要注意的是，以上对于候选项显示、确定系统及其模块的描述，仅为描述方便，并不能把本说明书的一个或多个实施例限制在所举实施例范围之内。可以理解，对于本领域的技术人员来说，在了解该系统的原理后，可能在不背离这一原理的情况下，对各个模块进行任意组合，或者构成子系统与其他模块连接，或者对其中的一个或多个模块进行省略。例如，图8中披露的第五获取模块802、第三验证模块804、第六获取模块806和第二返回模块808可以是一个系统中的不同模块，也可以是一个模块实现上述的两个或两个以上模块的功能。在一些实施例中，第五获取模块802、第三验证模块804可以是两个模块，也可以是一个模块同时具有获取和验证功能。例如，各个模块可以共用一个存储模块，各个模块也可以分别具有各自的存储模块。诸如此类的变形，均在本说明书的一个或多个实施例的范围之内。

图9是根据本说明书一些实施例中所示的用于身份认证的方法的第二平台侧的另一示例性流程图。如图9所示，过程900可以包括：

步骤902，获取用户对第一平台指定内容的访问请求。在一些实施例中，步骤902可以由第五获取模块802执行。

在一些实施例中，当用户在客户端通过第一平台访问第二平台的指定内容时，第二平台能够获取到用户的访问请求。在一些实施例中，所述访问请求中携带有第二平台基于第一平台信息生成的登录令牌。

在一些实施例中，访问请求可以由第一平台的服务器110-1通过网络140传递给第二平台的服务器110-2。

步骤904，验证所述登录令牌。在一些实施例中，步骤904可以是第三验证模块804执行。

第二平台接收到用户的带有登录令牌的访问请求后，对所述登录令牌进行验证。在一些实施例中，所述登录令牌验证通过的条件需要满足以下条件中的一个或多个的组合：(1)验证所述登录令牌与第二平台存储的信息一致；(2)验证获取携带所述登录令牌的访问请求时间在预设时间范围内；(3)成功解析所述登录令牌；(4)解析所述登录令牌获得的用户ID以及对应的访问信息权限与第二平台存储的信息一致。

在一些实施例中，第二平台存储的信息包括用户ID与其对应的访问信息权限之间的对应关系，所述登录令牌至少基于用户ID与其对应的访问信息权限之间的对应关系生成，如果验证所述登录令牌与第二平台存储的信息一致，则验证通过。

在一些实施例中，生成的登录令牌在预设时间内有效，超过预设时间则失效。也就是说，在一些实施例中，如果获取到带有登录令牌的访问请求时间在预设的时间范围内，则验证通过。

在一些实施例中，第二平台在验证登录令牌时会，对登录令牌进行解析，如果能够成功解析出来，则表示该登录令牌验证通过。

在一些实施例中，第二平台在验证登录令牌时，会将登录令牌进行解析，以获取用户ID以及对应的访问信息权限，并将其与第二平台存储的信息进行比较，如果比较结果为一致，则验证通过。

步骤906，响应于所述登录令牌验证通过。当验证所述登录令牌满足上述条件中的一个或多个组合时，则第二平台会进行响应，即登录令牌验证通过。

步骤908，获取被请求的数据并返回该数据。在一些实施例中，获取被请求的数据可以由第六获取模块806执行，返回数据可以由第二返回模块808执行。当所述登录令牌验证通过后，第二平台会获取被请求的数据并将其返回给第一平台或客户端。

在一些实施例中，获取被请求的数据还可以包括：利用所述登录令牌和/或解析所述登录令牌得到的用户ID及其对应的访问信息权限获取被请求的数据。

在一些实施例中，返回数据至客户端的方式可以通过网页直接显示或返回承载数据的文档。例如，通过网页直接显示的可以是数据处理的进度情况或这是可用于观察具体数据处理的页面。

在一些实施例中，当登录令牌验证通过后，第二平台会以验证通过的时间为起始时间重新计算预设时间。也就是说，在一些实施例中，所述身份认证系统还包括延长预设时间范围。在一些实施例中，用户使用登录令牌成功登录至第二平台或者登录成功后在第二平台上进行操作，都可以延长预设时间范围。例如，在一些实施例中，预设时间范围的起始时间可以是登录令牌的生成时间，当以登录令牌的生成时间为起始时间时，登录令牌在起始时间为起点的预设时间范围内有效。又例如，预设时间范围的具体数值为5分钟，登录令牌生成的时间为“2019-05-30 14:20”，则登录令牌的在“2019-05-3014:20”至“2019-05-3014:25”的时间范围内有效。在一些实施例中，预设时间的范围的起始时间也可以根据使用登录令牌的时间进行更改。例如，预设时间范围的具体数值为5分钟，登录令牌生成的时间为“2019-05-30 14:20”，用户在“2019-05-30 14:20”至“2019-05-30 14:25”的时间范围内的一个时间点“2019-05-30 14:23”使用登录令牌进行访问，则预设时间范围的起始时间调整为“2019-05-30 14:23”。

本说明书实施例可能带来的有益效果包括但不限于：本说明书中通过在内嵌页面的URL中增加token参数，使得内嵌页面的URL在从Web前端的传给Web后端的参数会携带token，利用token来绕开登录鉴权，解决标注平台中标注页面的上下文信息发生改变而需要重新登录鉴权的问题，提高工作效率。需要说明的是，不同实施例可能产生的有益效果不同，在不同的实施例里，可能产生的有益效果可以是以上任意一种或几种的组合，也可以是其他任何可能获得的有益效果。

上文已对基本概念做了描述，显然，对于本领域技术人员来说，上述详细披露仅仅作为示例，而并不构成对本说明书的限定。虽然此处并没有明确说明，本领域技术人员可能会对本说明书进行各种修改、改进和修正。该类修改、改进和修正在本说明书中被建议，所以该类修改、改进、修正仍属于本说明书示范实施例的精神和范围。

同时，本说明书使用了特定词语来描述本说明书的实施例。如“一个实施例”、“一实施例”、和/或“一些实施例”意指与本说明书至少一个实施例相关的某一特征、结构或特点。因此，应强调并注意的是，本说明书中在不同位置两次或多次提及的“一实施例”或“一个实施例”或“一个替代性实施例”并不一定是指同一实施例。此外，本说明书的一个或多个实施例中的某些特征、结构或特点可以进行适当的组合。

此外，本领域技术人员可以理解，本说明书的各方面可以通过若干具有可专利性的种类或情况进行说明和描述，包括任何新的和有用的工序、机器、产品或物质的组合，或对他们的任何新的和有用的改进。相应地，本说明书的各个方面可以完全由硬件执行、可以完全由软件(包括固件、常驻软件、微码等)执行、也可以由硬件和软件组合执行。以上硬件或软件均可被称为“数据块”、“模块”、“引擎”、“单元”、“组件”或“系统”。此外，本说明书的各方面可能表现为位于一个或多个计算机可读介质中的计算机产品，该产品包括计算机可读程序编码。

计算机存储介质可能包含一个内含有计算机程序编码的传播数据信号，例如在基带上或作为载波的一部分。该传播信号可能有多种表现形式，包括电磁形式、光形式等，或合适的组合形式。计算机存储介质可以是除计算机可读存储介质之外的任何计算机可读介质，该介质可以通过连接至一个指令执行系统、装置或设备以实现通讯、传播或传输供使用的程序。位于计算机存储介质上的程序编码可以通过任何合适的介质进行传播，包括无线电、电缆、光纤电缆、RF、或类似介质，或任何上述介质的组合。

本说明书各部分操作所需的计算机程序编码可以用任意一种或多种程序语言编写，包括面向对象编程语言如Java、Scala、Smalltalk、Eiffel、JADE、Emerald、C++、C#、VB.NET、Python等，常规程序化编程语言如C语言、VisualBasic、Fortran2003、Perl、COBOL2002、PHP、ABAP，动态编程语言如Python、Ruby和Groovy，或其他编程语言等。该程序编码可以完全在用户计算机上运行、或作为独立的软件包在用户计算机上运行、或部分在用户计算机上运行部分在远程计算机运行、或完全在远程计算机或处理设备上运行。在后种情况下，远程计算机可以通过任何网络形式与用户计算机连接，比如局域网(LAN)或广域网(WAN)，或连接至外部计算机(例如通过因特网)，或在云计算环境中，或作为服务使用如软件即服务(SaaS)。

此外，除非权利要求中明确说明，本说明书所述处理元素和序列的顺序、数字字母的使用、或其他名称的使用，并非用于限定本说明书流程和方法的顺序。尽管上述披露中通过各种示例讨论了一些目前认为有用的发明实施例，但应当理解的是，该类细节仅起到说明的目的，附加的权利要求并不仅限于披露的实施例，相反，权利要求旨在覆盖所有符合本说明书实施例实质和范围的修正和等价组合。例如，虽然以上所描述的系统组件可以通过硬件设备实现，但是也可以只通过软件的解决方案得以实现，如在现有的处理设备或移动设备上安装所描述的系统。

同理，应当注意的是，为了简化本说明书披露的表述，从而帮助对一个或多个发明实施例的理解，前文对本说明书实施例的描述中，有时会将多种特征归并至一个实施例、附图或对其的描述中。但是，这种披露方法并不意味着本说明书对象所需要的特征比权利要求中提及的特征多。实际上，实施例的特征要少于上述披露的单个实施例的全部特征。

一些实施例中使用了描述成分、属性数量的数字，应当理解的是，此类用于实施例描述的数字，在一些示例中使用了修饰词“大约”、“近似”或“大体上”来修饰。除非另外说明，“大约”、“近似”或“大体上”表明所述数字允许有±20％的变化。相应地，在一些实施例中，说明书和权利要求中使用的数值参数均为近似值，该近似值根据个别实施例所需特点可以发生改变。在一些实施例中，数值参数应考虑规定的有效数位并采用一般位数保留的方法。尽管本说明书一些实施例中用于确认其范围广度的数值域和参数为近似值，在具体实施例中，此类数值的设定在可行范围内尽可能精确。

针对本说明书引用的每个专利、专利申请、专利申请公开物和其他材料，如文章、书籍、说明书、出版物、文档等，特此将其全部内容并入本说明书作为参考。与本说明书内容不一致或产生冲突的申请历史文件除外，对本说明书权利要求最广范围有限制的文件(当前或之后附加于本说明书中的)也除外。需要说明的是，如果本说明书附属材料中的描述、定义、和/或术语的使用与本说明书所述内容有不一致或冲突的地方，以本说明书的描述、定义和/或术语的使用为准。

最后，应当理解的是，本说明书中所述实施例仅用以说明本说明书实施例的原则。其他的变形也可能属于本说明书的范围。因此，作为示例而非限制，本说明书实施例的替代配置可视为与本说明书的教导一致。相应地，本说明书的实施例不仅限于本说明书明确介绍和描述的实施例。

Claims (12)

1.一种身份认证的方法，所述方法由第一平台的至少一个处理器执行，其特征在于，所述方法包括：

获取用户ID并验证所述用户ID的登录信息；

获取第一平台信息，并将所述第一平台信息传递给第二平台；所述第一平台信息至少用于供第二平台对所述用户ID进行验证；

接收由所述第二平台返回的登录令牌，所述登录令牌与所述第一平台信息相关；

其中，所述登录令牌能够使得：所述用户ID通过所述第一平台使用所述登录令牌访问第二平台的内容时，无需通过第二平台对用户ID进行验证。

2.根据权利要求1所述的方法，其特征在于，

所述将所述第一平台信息传递给第二平台包括：

通过调用接口将所述第一平台信息传递给第二平台。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

获取用户对第二平台的指定内容的访问请求；所述指定内容包括第二平台在第一平台中的内嵌页面；

以及，输出包括所述登录令牌的指定内容URL。

4.根据权利要求3所述的方法，其特征在于，所述用户ID具有一个或多个访问信息权限；

所述获取第一平台信息包括：

基于所述用户请求访问的指定内容从所述一个或多个访问信息权限中确定与所述指定内容对应的访问信息权限，并将与所述指定内容对应的访问信息权限作为所述与用户ID对应的访问信息权限包含在所述第一平台信息中。

5.根据权利要求1所述的方法，其特征在于，所述第一平台信息包括用户ID、与所述用户ID对应的访问请求、与所述访问请求相关的请求时间、与所述用户ID相关的访问信息权限中的一个或多个。

6.一种用于身份认证的系统，其特征在于，所述系统包括：

第一获取模块，用于获取用户ID；

第一验证模块，用于验证所述用户ID的登录信息；

第二获取模块，用于获取第一平台信息；所述第一平台信息至少用于供第二平台对所述用户ID进行验证；

第一传递模块，用于将所述第一平台信息传递给第二平台；

第一接收模块，用于接收由所述第二平台返回的登录令牌，所述登录令牌与所述第一平台信息相关；其中，所述登录令牌能够使得：所述用户ID通过所述第一平台使用所述登录令牌访问第二平台的内容时，无需通过第二平台对用户ID进行验证。

7.一种用于身份验证的装置，其特征在于，所述装置包括至少一个处理器以及至少一个存储器；

所述至少一个存储器用于存储计算机指令；

所述至少一个处理器用于执行所述计算机指令中的至少部分指令以实现权利要求1～5中任意一项所述的操作。

8.一种身份认证的方法，所述方法由第二平台的至少一个处理器执行，其特征在于，所述方法包括：

接收并验证来自第一平台的第一平台信息；

至少基于所述第一平台信息生成登录令牌；

返回所述登录令牌；

所述登录令牌能够使得：所述用户ID通过所述第一平台使用所述登录令牌访问第二平台的内容时，无需通过第二平台对用户ID进行验证。

9.根据权利要求8所述的方法，其特征在于，所述第一平台信息包括用户ID、与所述用户ID对应的访问请求、与所述访问请求相关的请求时间、与所述用户ID相关的访问信息权限中的一个或多个。

10.根据权利要求8所述的方法，其特征在于，所述方法还包括：

获取用户对第一平台中指定内容的访问请求；所述指定内容为第二平台在所述第一平台中的内嵌页面；所述访问请求中携带有登录令牌；

验证所述登录令牌；

响应于所述登录令牌验证通过，获取被请求的数据并返回该数据。

11.一种用于身份认证的系统，其特征在于，所述系统包括：

第二接收模块，用于接收来自第一平台的第一平台信息；

第二验证模块，用于验证来自第一平台的第一平台信息；

生成模块，用于至少基于所述第一平台信息生成登录令牌；所述登录令牌能够使得：所述用户ID通过所述第一平台使用所述登录令牌访问第二平台的内容时，无需通过第二平台对用户ID进行验证；

第一返回模块，用于返回所述登录令牌。

12.一种用于身份验证的装置，其特征在于，所述装置包括至少一个处理器以及至少一个存储器；

所述至少一个存储器用于存储计算机指令；

所述至少一个处理器用于执行所述计算机指令中的至少部分指令以实现权利要求8～10中任意一项所述的操作。

Images