CN116506810A

CN116506810A - 一种验证方法、通信装置及通信系统

Info

Publication number: CN116506810A
Application number: CN202210062467.3A
Authority: CN
Inventors: 郭龙华; 吴�荣
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2022-01-19
Filing date: 2022-01-19
Publication date: 2023-07-28
Also published as: EP4451713A1; WO2023138349A1

Abstract

本申请实施例提供一种验证方法、通信装置及通信系统。该方法包括：接收来自终端设备的第一用户服务的标识信息，该第一用户服务是多播服务；向第一网元发送请求消息，该请求消息包括该终端设备的标识信息和该第一用户服务的标识信息，该请求消息用于请求验证是否允许该终端设备使用该第一用户服务；从该第一网元接收验证结果，该验证结果指示允许该终端设备使用该第一用户服务，或指示不允许该终端设备使用该第一用户服务。该方案，多播/广播服务传输功能网元可以对是否允许终端设备使用某个用户服务进行验证，多播/广播服务传输功能网元可以根据验证结果确定与终端设备之间的数据传输方式，从而可以提升数据传输的安全性。

Description

一种验证方法、通信装置及通信系统

技术领域

本申请实施例涉及通信技术领域，尤其涉及一种验证方法、通信装置及通信系统。

背景技术

第三代合作伙伴计划(3rd generation partnership project，3GPP)网络中，用户服务(或应用，以下均以用户服务为例进行说明)存在向多个终端设备发送相同数据的需求，即需要单点对多点的数据传输。

通过建立多播/广播/单播会话，网络提供一条被多个接收方共享的承载，发送方仅需发送一份数据，在网络侧按需将发送的数据进行复制并传输至多个接收方，或者使用多播的传输方式发送一份数据给多个接收方。例如，用户服务为体育比赛，该用户服务承载在多个多播会话中传输至多个终端设备，其中一个多播会话用于重传，其它多播会话用于传输流数据。

第五代(5th generation，5G)通信中，在处理多播业务时引入了多播/广播服务传输功能(Multicast/Broadcast Service Transport Function，MBSTF)网元，该MBSTF网元用来支持多播业务数据流的处理和分发。

如何提升终端设备与MBSTF网元之间的数据传输的安全性，有待解决。

发明内容

本申请实施例提供一种验证方法、通信装置及通信系统，用于提升数据传输的安全性。

第一方面，本申请实施例提供一种验证方法，该方法可以由多播/广播服务传输功能网元或应用于多播/广播服务传输功能网元的模块(如芯片)来执行。该方法包括：接收来自终端设备的第一用户服务的标识信息，该第一用户服务是多播服务；向第一网元发送请求消息，该请求消息包括该终端设备的标识信息和该第一用户服务的标识信息，该请求消息用于请求验证是否允许该终端设备使用该第一用户服务；从该第一网元接收验证结果，该验证结果指示允许该终端设备使用该第一用户服务，或指示不允许该终端设备使用该第一用户服务。

上述方案，多播/广播服务传输功能网元可以对是否允许终端设备使用某个用户服务进行验证，多播/广播服务传输功能网元可以根据验证结果确定与终端设备之间的数据传输方式，从而可以提升数据传输的安全性。

在一种可能的实现方法中，向该第一网元发送该请求消息，具体包括：在对来自该终端设备的认证参数认证通过之后，向该第一网元发送该请求消息。

上述方案，可以实现对终端设备的双重验证，一方面验证终端设备的身份安全性，另一方面验证是否允许终端设备使用用户服务，有助于进一步提升数据传输的安全性。

在一种可能的实现方法中，对来自该终端设备的认证参数认证，具体包括：接收来自该终端设备的密钥标识和认证参数；获取该密钥标识对应的应用密钥；根据该应用密钥对该认证参数进行认证。

在一种可能的实现方法中，在对来自该终端设备的认证参数认证通过，且该验证结果指示允许该终端设备使用该第一用户服务的情况下，向该终端设备发送指示允许该终端设备使用该第一用户服务的信息；或者，在对来自该终端设备的认证参数认证通过，且该验证结果指示不允许该终端设备使用该第一用户服务的情况下，向该终端设备发送指示不允许该终端设备使用该第一用户服务的信息。

在一种可能的实现方法中，在该验证结果指示允许该终端设备使用该第一用户服务的情况下，向该终端设备发送指示允许该终端设备使用该第一用户服务的信息；或者，在该验证结果指示不允许该终端设备使用该第一用户服务的情况下，向该终端设备发送指示不允许该终端设备使用该第一用户服务的信息。

在一种可能的实现方法中，向第一网元发送请求消息，具体包括：确定未存储允许该终端设备使用的用户服务的标识信息，则向该第一网元发送该请求消息。

该方案，在多播/广播服务传输功能网元本地存储有允许终端设备使用的用户服务的标识信息的情况下，多播/广播服务传输功能网元可以不需要向第一网元请求允许终端设备使用的用户服务的标识信息，可以减少信令交互和开销，以及加快验证的速度。

在一种可能的实现方法中，向第一网元发送请求消息，具体包括：通过网络开放功能网元或多播/广播服务功能网元向该第一网元发送该请求消息。

在一种可能的实现方法中，该第一网元是统一数据管理网元、应用功能网元或多播/广播服务功能网元。

第二方面，本申请实施例提供一种验证方法，该方法可以由多播/广播服务传输功能网元或应用于多播/广播服务传输功能网元的模块(如芯片)来执行。该方法包括：接收来自终端设备的第一用户服务的标识信息，该第一用户服务是多播服务；向第一网元发送请求消息，该请求消息包括该终端设备的标识信息，该请求消息用于请求允许该终端设备使用的用户服务的标识信息；从该第一网元接收允许该终端设备使用的用户服务的标识信息；根据该第一用户服务的标识信息和允许该终端设备使用的用户服务的标识信息，验证是否允许该终端设备使用该第一用户服务。

在一种可能的实现方法中，根据该第一用户服务的标识信息和允许该终端设备使用的用户服务的标识信息，验证是否允许该终端设备使用该第一用户服务，具体包括：若该允许该终端设备使用的用户服务的标识信息包括该第一用户服务的标识信息，则确定允许该终端设备使用该第一用户服务；或者，若该允许该终端设备使用的用户服务的标识信息不包括该第一用户服务的标识信息，则确定不允许该终端设备使用该第一用户服务。

第三方面，本申请实施例提供一种验证方法，该方法可以由统一数据管理网元、应用功能网元、应用于统一数据管理网元的模块(如芯片)或应用于应用功能网元的模块(如芯片)来执行。该方法包括：接收来自多播/广播服务传输功能网元的请求消息，该请求消息包括终端设备的标识信息和第一用户服务的标识信息，该请求消息用于请求验证是否允许该终端设备使用该第一用户服务；根据允许该终端设备使用的用户服务的标识信息和该第一用户服务的标识信息，验证是否允许该终端设备使用该第一用户服务；向该多播/广播服务传输功能网元发送验证结果。

上述方案，统一数据管理网元可以对是否允许终端设备使用某个用户服务进行验证，并向多播/广播服务传输功能网元发送验证结果，从而多播/广播服务传输功能网元可以根据验证结果确定与终端设备之间的数据传输方式，从而可以提升数据传输的安全性。

在一种可能的实现方法中，根据该第一用户服务的标识信息和允许该终端设备使用的用户服务的标识信息，验证是否允许该终端设备使用该第一用户服务，具体包括：若该允许该终端设备使用的用户服务的标识信息包括该第一用户服务的标识信息，则生成该验证结果，该验证结果指示允许该终端设备使用该第一用户服务；或者，若该允许该终端设备使用的用户服务的标识信息不包括该第一用户服务的标识信息，则生成该验证结果，该验证结果指示不允许该终端设备使用该第一用户服务。

在一种可能的实现方法中，接收来自多播/广播服务传输功能网元的请求消息之前，接收来自应用功能网元的该允许该终端设备使用的用户服务的标识信息。

第四方面，本申请实施例提供一种验证方法，该方法可以由多播/广播服务传输功能网元或应用于多播/广播服务传输功能网元的模块(如芯片)来执行。该方法包括：接收来自应用功能网元的用户服务的标识信息和允许使用该用户服务的终端设备的标识信息，该用户服务是多播服务；接收来自第一终端设备的该用户服务的标识信息；根据该第一终端设备的标识信息和允许使用该用户服务的终端设备的标识信息，验证是否允许该第一终端设备使用该用户服务。

在一种可能的实现方法中，根据该第一终端设备的标识信息和允许使用该用户服务的终端设备的标识信息，验证是否允许该第一终端设备使用该用户服务，具体包括：若该允许使用该用户服务的终端设备的标识信息包括该第一终端设备的标识信息，则确定允许该第一终端设备使用该用户服务；或者，若该允许使用该用户服务的终端设备的标识信息不包括该第一终端设备的标识信息，则确定不允许该第一终端设备使用该用户服务。

在一种可能的实现方法中，根据该第一终端设备的标识信息和允许使用该用户服务的终端设备的标识信息，验证是否允许该第一终端设备使用该用户服务，具体包括：在对来自该第一终端设备的认证参数认证通过之后，根据该第一终端设备的标识信息和允许使用该用户服务的终端设备的标识信息，验证是否允许该第一终端设备使用该用户服务。

在一种可能的实现方法中，在对来自该第一终端设备的认证参数认证通过，且确定允许该第一终端设备使用该用户服务的情况下，向该第一终端设备发送指示允许该第一终端设备使用该用户服务的信息；或者，在对来自该第一终端设备的认证参数认证通过，且确定不允许该第一终端设备使用该用户服务的情况下，向该第一终端设备发送指示不允许该第一终端设备使用该用户服务的信息。

在一种可能的实现方法中，在确定允许该第一终端设备使用该用户服务的情况下，向该第一终端设备发送指示允许该第一终端设备使用该用户服务的信息；或者，在确定不允许该第一终端设备使用该用户服务的情况下，向该第一终端设备发送指示不允许该第一终端设备使用该用户服务的信息。

第五方面，本申请实施例提供一种验证方法，该方法可以由多播/广播服务传输功能网元或应用于多播/广播服务传输功能网元的模块(如芯片)来执行。该方法包括：接收来自终端设备的用户服务的标识信息和第一令牌，该用户服务是多播服务；获取该用户服务的标识信息对应的一个或多个令牌；根据该第一令牌和该一个或多个令牌，验证是否允许该终端设备使用该用户服务。

在一种可能的实现方法中，根据该第一令牌和该一个或多个令牌，验证是否允许该终端设备使用该用户服务，具体包括：若一个或多个令牌包括该第一令牌，则确定允许该终端设备使用该用户服务；或者，若一个或多个令牌不包括该第一令牌，则确定不允许该终端设备使用该用户服务。

在一种可能的实现方法中，接收来自终端设备的用户服务的标识信息和第一令牌之前，接收来自应用功能网元、网络开放功能网元或多播/广播服务功能网元的该用户服务的标识信息以及该用户服务的标识信息对应的该一个或多个令牌。

第六方面，本申请实施例提供一种验证方法，该方法可以由终端设备或应用于终端设备的模块(如芯片)来执行。该方法包括：向会话管理网元发送多播服务会话的标识信息；接收来自该会话管理网元的与该多播服务会话对应的第一令牌；向多播/广播服务传输功能网元发送该第一令牌和与该多播服务会话对应的用户服务的标识信息，该用户服务是多播服务，该第一令牌用于验证是否允许终端设备使用该用户服务。上述方案，终端设备向多播/广播服务传输功能网元发送第一令牌和与多播服务会话对应的用户服务的标识信息，该第一令牌用于验证是否允许终端设备使用该用户服务，然后多播/广播服务传输功能网元可以根据第一令牌对是否允许终端设备使用某个用户服务进行验证，多播/广播服务传输功能网元可以根据验证结果确定与终端设备之间的数据传输方式，从而可以提升数据传输的安全性。

在一种可能的实现方法中，向会话管理网元发送多播服务会话的标识信息，具体包括：向该会话管理网元发送请求消息，该请求消息包括该多播服务会话的标识信息，该请求消息用于请求加入该多播服务会话。

上述方案，通过终端设备加入多播会话的流程来发送第一令牌，不需要额外引入单独的流程来发送第一令牌，因此可以减少额外的信令开销。

在一种可能的实现方法中，接收来自该会话管理网元的与该多播服务会话对应的第一令牌，具体包括：接收来自该会话管理网元的该请求消息的响应消息，该响应消息包括该第一令牌。

在一种可能的实现方法中，接收来自该会话管理网元的与该多播服务会话对应的第一令牌，具体包括：接收来自该会话管理网元的会话修改命令消息，该会话修改命令消息包括该第一令牌。

第七方面，本申请实施例提供一种通信装置，该装置可以是多播/广播服务传输功能网元或应用于多播/广播服务传输功能网元中的模块(如芯片)。该装置具有实现上述第一方面、第二方面、第四方面、第五方面的任意实现方法的功能。该功能可以通过硬件实现，也可以通过硬件执行相应的软件实现。该硬件或软件包括一个或多个与上述功能相对应的模块。

第八方面，本申请实施例提供一种通信装置，该装置可以是第一网元或第一网元中的模块(如芯片)，该第一网元可以是统一数据管理网元、应用功能网元或多播/广播服务功能网元。该装置具有实现上述第三方面的任意实现方法的功能。该功能可以通过硬件实现，也可以通过硬件执行相应的软件实现。该硬件或软件包括一个或多个与上述功能相对应的模块。

第九方面，本申请实施例提供一种通信装置，该装置可以是终端设备或终端设备中的模块(如芯片)。该装置具有实现上述第六方面的任意实现方法的功能。该功能可以通过硬件实现，也可以通过硬件执行相应的软件实现。该硬件或软件包括一个或多个与上述功能相对应的模块。

第十方面，本申请实施例提供一种通信装置，包括处理器和存储器；该存储器用于存储计算机指令，当该装置运行时，该处理器执行该存储器存储的计算机指令，以使该装置执行上述第一方面至第六方面中的任意实现方法。

第十一方面，本申请实施例提供一种通信装置，包括用于执行上述第一方面至第六方面中的任意实现方法的各个步骤的单元或手段(means)。

第十二方面，本申请实施例提供一种通信装置，包括处理器和接口电路，所述处理器用于通过接口电路与其它装置通信，并执行上述第一方面至第六方面中的任意实现方法。该处理器包括一个或多个。

第十三方面，本申请实施例提供一种通信装置，包括与存储器耦合的处理器，该处理器用于调用所述存储器中存储的程序，以执行上述第一方面至第六方面中的任意实现方法。该存储器可以位于该装置之内，也可以位于该装置之外。且该处理器可以是一个或多个。

第十四方面，本申请实施例还提供一种计算机可读存储介质，所述计算机可读存储介质中存储有指令，当其在通信装置上运行时，使得上述第一方面至第六方面中的任意实现方法被执行。

第十五方面，本申请实施例还提供一种计算机程序产品，该计算机程序产品包括计算机程序或指令，当计算机程序或指令被通信装置运行时，使得上述第一方面至第六方面中的任意实现方法被执行。

第十六方面，本申请实施例还提供一种芯片系统，包括：处理器，用于执行上述第一方面至第六方面中的任意实现方法。

第十七方面，本申请实施例还提供一种通信系统，包括：用于执行上述第一方面的任意实现方法的多播/广播服务传输功能网元，和用于执行上述第三方面的任意实现方法的第一网元。

第十八方面，本申请实施例还提供一种通信系统，包括：第一网元，和用于执行上述第二方面的任意实现方法的多播/广播服务传输功能网元。该第一网元，用于接收来自该多播/广播服务传输功能网元的请求消息，该请求消息包括终端设备的标识信息，该请求消息用于请求允许该终端设备使用的用户服务的标识信息；以及向该多播/广播服务传输功能网元发送允许该终端设备使用的用户服务的标识信息。

第十九方面，本申请实施例还提供一种通信系统，包括：应用功能网元，和用于执行上述第四方面的任意实现方法的多播/广播服务传输功能网元。该应用功能网元，用于向该多播/广播服务传输功能网元发送用户服务的标识信息和允许使用该用户服务的终端设备的标识信息，该用户服务是多播服务。

附图说明

图1为基于服务化架构的5G网络架构示意图；

图2为基于服务化的5G系统的多播/广播服务架构示意图；

图3(a)为本申请实施例提供的一种验证方法的流程示意图；

图3(b)为本申请实施例提供的一种验证方法的流程示意图；

图3(c)为本申请实施例提供的一种验证方法的流程示意图；

图3(d)为本申请实施例提供的一种验证方法的流程示意图；

图4为本申请实施例提供的一种建立多播业务传输的方法流程示意图；

图4(a)为安全建立流程的示意图；

图4(b)为安全建立流程的示意图；

图5为本申请实施例提供的一种建立多播业务传输的方法流程示意图；

图5(a)为安全建立流程的示意图；

图5(b)为安全建立流程的示意图；

图6为本申请实施例提供的一种建立多播业务传输的方法流程示意图；

图6(a)为安全建立流程的示意图；

图6(b)为安全建立流程的示意图；

图7为本申请实施例提供的一种建立多播业务传输的方法流程示意图；

图7(a)为安全建立流程的示意图；

图7(b)为安全建立流程的示意图；

图8为本申请实施例提供的一种通信装置示意图；

图9为本申请实施例提供的一种通信装置示意图。

具体实施方式

图1为基于服务化架构的5G网络架构示意图。图1所示的5G网络架构中可包括终端设备、接入网以及核心网。终端设备通过接入网和核心网接入数据网络(data network，DN)。

终端设备可以是用户设备(user equipment，UE)、移动台、移动终端等。终端设备可以广泛应用于各种场景，例如，设备到设备(device-to-device，D2D)、车物(vehicle toeverything，V2X)通信、机器类通信(machine-type communication，MTC)、物联网(internet of things，IOT)、虚拟现实、增强现实、工业控制、自动驾驶、远程医疗、智能电网、智能家具、智能办公、智能穿戴、智能交通、智慧城市等。终端设备可以是手机、平板电脑、带无线收发功能的电脑、可穿戴设备、车辆、城市空中交通工具(如无人驾驶机、直升机等)、轮船、机器人、机械臂、智能家居设备等。以下以UE作为终端设备的一个示例进行说明，后续任意地方出现的UE也可以替换为终端设备或终端设备的其它示例。

接入网用于实现接入有关的功能，可以为特定区域的授权用户提供入网功能，并能够根据用户的级别，业务的需求等确定不同质量的传输链路以传输用户数据。接入网在UE与核心网之间转发控制信号和用户数据。接入网可以包括接入网设备，接入网设备可以是为UE提供接入的设备，可以包括无线接入网(radio access network，RAN)设备和有线接入网设备。RAN设备，主要负责空口侧的无线资源管理、服务质量(quality of service，QoS)管理、数据压缩和加密等功能。RAN设备可以包括各种形式的基站，例如宏基站，微基站(也可称为小站)，中继站，接入点，气球站等。在采用不同的无线接入技术的系统中，具备基站功能的设备的名称可能会有所不同，例如，在5G系统中，称为RAN或者下一代基站(next-generation Node basestation，gNB)，在长期演进(long term evolution，LTE)系统中，称为演进的节点B(evolved NodeB，eNB或eNodeB)。

接入网设备和UE可以是固定位置的，也可以是可移动的。接入网设备和UE可以部署在陆地上，包括室内或室外、手持或车载；也可以部署在水面上；还可以部署在空中的飞机、气球和人造卫星上。本申请的实施例对接入网设备和UE的应用场景不做限定。

核心网负责维护移动网络的签约数据，为UE提供会话管理、移动性管理、策略管理以及安全认证等功能。核心网中包括但不限于以下一个或多个网元：应用功能(application function，AF)网元、统一数据管理(unified data management，UDM)网元、统一数据库(unified data repository，UDR)网元、策略控制功能(policy controlfunction，PCF)网元、会话管理功能(session management function，SMF)网元、接入与移动性管理功能(access and mobility management function，AMF)网元、网络存储功能(network repository function，NRF)网元、鉴权服务器功能(authentication serverfunction，AUSF)网元、网络开放功能(network exposure function，NEF)网元、用户面功能(user plane function，UPF)网元。

AMF网元，主要负责移动网络中的移动性管理，例如用户位置更新、用户注册网络、用户切换等。

SMF网元，主要负责移动网络中的会话管理，例如会话建立、修改、释放。具体功能例如为用户分配互联网协议(internet protocol，IP)地址，选择提供报文转发功能的UPF等。

UPF网元，主要负责用户数据的转发和接收，可以从数据网络接收用户数据，通过接入网络设备传输给UE；还可以通过接入网设备从UE接收用户数据，转发至数据网络。

UDM网元，包含执行管理签约数据、用户接入授权等功能。

UDR网元，包含执行签约数据、策略数据、应用数据等类型数据的存取功能。

NEF网元，主要用于支持能力和事件的开放。

AF网元，传递应用侧对网络侧的需求，例如，QoS需求或用户状态事件订阅等。AF可以是第三方功能实体，也可以是运营商部署的应用服务，如IP多媒体子系统(IPMultimedia Subsystem，IMS)语音呼叫业务。

PCF网元，主要支持提供统一的策略框架来控制网络行为，提供策略规则给控制层网络功能，同时负责获取与策略决策相关的用户签约信息。PCF网元可以向AMF网元、SMF网元提供策略，例如QoS策略、切片选择策略等。

NRF网元，可用于提供网元发现功能，基于其它网元的请求，提供网元类型对应的网元信息。NRF还提供网元管理服务，如网元注册、更新、去注册以及网元状态订阅和推送等。

AUSF网元，负责对UE进行鉴权，验证UE的合法性。

DN，其上可部署多种业务，可为UE提供数据和/或语音等服务。例如，DN是某智能工厂的私有网络，智能工厂安装在车间的传感器可为UE，DN中部署了传感器的控制服务器，控制服务器可为传感器提供服务。传感器可与控制服务器通信，获取控制服务器的指令，根据指令将采集的传感器数据传送给控制服务器等。又例如，DN是某公司的内部办公网络，该公司员工的手机或者电脑可为UE，员工的手机或者电脑可以访问公司内部办公网络上的信息、数据资源等。

其中，AF网元、UDM网元、UDR网元、PCF网元、SMF网元、AMF网元、NRF网元、AUSF网元、NEF网元、UPF网元，也可以分别简称为AF、UDM、UDR、PCF、SMF、AMF、NRF、AUSF、NEF、UPF。

图1中Nausf、Nnef、Nnfr、Namf、Npcf、Nsmf、Nudm、Nudr、Naf分别为上述AUSF、NEF、NRF、AMF、PCF、SMF、UDM、UDR、AF提供的服务化接口，用于调用相应的服务化操作。N1、N2、N3、N4以及N6为接口序列号，这些接口序列号的含义如下：

1)、N1：AMF与UE之间的接口，可以用于向UE传递非接入层(non access stratum，NAS)信令(如包括来自AMF的QoS规则)等。

2)、N2：AMF与接入网设备之间的接口，可以用于传递核心网侧至接入网设备的无线承载控制信息等。

3)、N3：接入网设备与UPF之间的接口，主要用于传递接入网设备与UPF间的上下行用户面数据。

4)、N4：SMF与UPF之间的接口，可以用于控制面与用户面之间传递信息，包括控制面向用户面的转发规则、QoS规则、流量统计规则等的下发以及用户面的信息上报。

5)、N6：UPF与DN的接口，用于传递UPF与DN之间的上下行用户数据流。

可以理解的是，上述网元或者功能既可以是硬件设备中的网络元件，也可以是在专用硬件上运行软件功能，或者是平台(例如，云平台)上实例化的虚拟化功能。作为一种可能的实现方法，上述网元或者功能可以由一个设备实现，也可以由多个设备共同实现，还可以是一个设备内的一个功能模块，本申请实施例对此不作具体限定。

图2为基于服务化的5G系统的多播/广播服务架构示意图。相较于图1所示的5G系统，该图2所示的多播广播服务架构中新增以下网元中的一个或多个：多播/广播服务功能(Multicast/Broadcast Service Function，MBSF)网元、MBSTF网元、多播/广播SMF(Multicast/Broadcast SMF，MB-SMF)网元、多播/广播UPF(Multicast/Broadcast UPF，MB-UPF)网元。

MBSF网元，支持多播/广播业务的服务层功能，与AF和MB-SMF交互完成多播/广播服务(Multicast/Broadcast Service，MBS)会话操作和传输，控制MBSTF网元等。

MBSTF网元，是多播/广播业务数据的媒体锚点，支持多播/广播业务数据流的处理和分发。

MB-SMF网元，负责多播/广播会话管理，控制多播/广播传输，根据PCF网元提供或本地配置的多播/广播服务策略规则对MB-UPF网元和/或接入网设备进行相应的配置，以完成多播/广播流的传输。

MB-UPF网元，负责将多播/广播流传送到接入网设备或UPF网元，可以进行多播/广播流的包过滤、分发，实现多播/广播服务的QoS增强以及计数和/或上报等。

本申请实施例中，验证(verify)也可以理解为是：确定(confirm)、判断(judge)、检查(check)、识别(identify)、校验(check)、授权检查(Authorization Check)等。

本申请实施例中，验证通过，也可以理解为是：判断成功、检查通过、识别通过、校验通过、授权检查通过等。

本申请实施例中，验证不通过，也可以理解为是：判断不成功、检查不通过、识别不通过、校验不通过、授权检查不通过等。

本申请实施例中，允许UE使用，也可以理解为是：UE被允许使用、UE被授权使用、UE有权使用、允许UE访问、UE被允许访问、UE被授权访问、UE有权访问等。

本申请实施例中，用户服务(user service)也可以称为MBS用户服务(MBS userservice)，用户服务的标识信息(user service ID)也称为MBS用户服务的标识信息(MBSuser service ID)。

图3(a)为本申请实施例提供的一种认证方法的流程示意图，该方法包括以下步骤：

步骤301a，UE向MBSTF发送第一用户服务的标识信息(user serviceID)。

该第一用户服务是UE想要或将要使用的用户服务，该第一用户服务是多播服务。

示例性的，UE可以向MBSTF发送请求消息(比如HTTP POST认证请求消息)，该消息中包括第一用户服务的标识信息，该消息用于请求使用该第一用户服务。

步骤302a，MBSTF向第一网元发送请求消息，该请求消息包括UE的标识信息和第一用户服务的标识信息，该请求消息用于请求验证是否允许UE使用第一用户服务。

MBSTF收到来自UE的第一用户服务的标识信息之后，验证该UE是否被允许使用该第一用户服务，因此MBSTF向第一网元发送请求消息，用于请求验证是否允许UE使用第一用户服务。

一种实现方法中，MBSTF可以根据以下任一方法获取到UE的标识信息：

方法一，上述步骤301a中，UE还向MBSTF发送该UE的标识信息。

方法二，MBSTF从第三方网元获取UE的标识信息。例如，上述步骤301a中，UE还向MBSTF发送用于标识应用密钥的密钥标识(key identifier，KID)，MBSTF向第三方网元(如AKMA锚点功能(AKMA anchor function，AAnF)网元或绑定支持功能(Binding SupportFunction，BSF)网元)发送该密钥标识，然后该第三方网元向MBSTF发送该密钥标识所标识的应用密钥，以及还向MBSTF发送该密钥标识对应的所述UE的标识信息。其中，AKMA是应用认证和密钥管理(authentication and key management for applications)的简称。

示例性地，第一网元是UDM、AF或MBSF。当然第一网元也可以是其它网元，本申请实施例不做限定。

一种实现方法中，MBSTF可以通过MBSF/NEF向第一网元发送该请求消息。

步骤303a，第一网元根据第一用户服务的标识信息和允许UE使用的用户服务的标识信息，验证是否允许UE使用第一用户服务。

其中，第一网元上存储有UE的标识信息以及允许该UE使用的用户服务的标识信息。其中，第一网元上存储的UE的标识信息以及允许该UE使用的用户服务的标识信息，可以是通过网管配置的，也可以是其它网元发送给该第一网元的，本申请实施例不限定。例如，当第一网元是UDM，则可以是AF将UE的标识信息以及允许该UE使用的用户服务的标识信息发送给UDM进行存储。例如，MBSTF向第一网元发送的请求消息包括UE1的标识信息和userservice ID1，第一网元根据UE1的标识信息获取允许该UE1使用的用户服务的标识信息。如果不能获取到允许该UE1使用的用户服务的标识信息，则生成验证结果，且该验证结果指示不允许UE1使用第一用户服务(即user service ID1对应的用户服务)。如果能够获取到允许该UE1使用的用户服务的标识信息，则进一步判断允许该UE1使用的用户服务的标识信息中是否包括user service ID1，如果允许该UE1使用的用户服务的标识信息中包括userservice ID1，则生成验证结果，且验证结果指示允许UE1使用第一用户服务(即userservice ID1对应的用户服务)，如果允许该UE1使用的用户服务的标识信息中不包括userservice ID1，则生成验证结果，且验证结果指示不允许UE1使用第一用户服务(即userservice ID1对应的用户服务)。

一种实现方法中，该步骤303a也可以替换为：第一网元根据UE的标识信息(即上述步骤302a的请求消息中的UE的标识信息)和允许使用第一用户服务的UE的标识信息，验证是否允许UE使用第一用户服务。具体的，第一网元上存储有第一用户服务的标识信息和允许使用第一用户服务的UE的标识信息。其中，第一网元上存储的第一用户服务的标识信息和允许使用第一用户服务的UE的标识信息，可以是通过网管配置的，也可以是其它网元发送给该第一网元的，本申请实施例不限定。例如，当第一网元是UDM，则可以是AF将第一用户服务的标识信息和允许使用第一用户服务的UE的标识信息发送给UDM进行存储。比如，MBSTF向第一网元发送的请求消息包括UE1的标识信息和user service ID1，第一网元根据user service ID1获取允许使用该user service ID1对应的用户服务的UE的标识信息。如果不能获取到允许使用该user service ID1对应的用户服务的UE的标识信息，则生成验证结果，且该验证结果指示不允许UE1使用第一用户服务(即user service ID1对应的用户服务)。如果能够获取到允许使用该user service ID1对应的用户服务的UE的标识信息，则进一步判断允许使用该user service ID1对应的用户服务的UE的标识信息中是否包括UE1的标识信息，如果允许使用该user service ID1对应的用户服务的UE的标识信息中包括UE1的标识信息，则生成验证结果，且验证结果指示允许UE1使用第一用户服务(即userservice ID1对应的用户服务)，如果允许使用该user service ID1对应的用户服务的UE的标识信息中不包括UE1的标识信息，则生成验证结果，且验证结果指示不允许UE1使用第一用户服务(即user service ID1对应的用户服务)。

步骤304a，第一网元向MBSTF发送验证结果。

该验证结果指示允许UE使用第一用户服务，或指示不允许UE使用第一用户服务。

可选的，步骤304a之后还包括以下步骤305a。

一种实现方法中，第一网元可以通过MBSF/NEF向MBSTF发送该验证结果。

步骤305a，MBSTF向UE发送认证(authentication)信息。

如果上述验证结果指示允许UE使用第一用户服务，则认证信息用于指示认证成功。可选的，该认证信息是用于指示认证成功的状态码。该认证信息也可以称为指示允许终端设备使用第一用户服务的信息，或称为指示与终端设备之间的安全通道已建立的信息，或称为指示授权校验成功的信息，或称为授权结果(authorization result)。这里做统一说明，后面的实施例中不再赘述。

如果上述验证结果指示不允许UE使用第一用户服务，则认证信息用于指示认证失败。可选的，该认证信息是用于指示认证失败的状态码。该认证信息也可以称为指示不允许终端设备使用第一用户服务的信息，或称为指示与终端设备之间的安全通道未建立的信息，或称为指示授权校验失败的信息。这里做统一说明，后面的实施例中不再赘述。

一种实现方法中，如果上述步骤301a具体是：UE向MBSTF发送携带第一用户服务的标识信息的请求消息(如HTTP POST认证请求消息)，则该步骤305a可以是：MBSTF向UE发送携带认证信息的响应消息(如HTTP POST认证响应消息)。

上述方案，MBSTF可以对是否允许UE使用某个用户服务进行验证，从而MBSTF可以根据验证结果确定与UE之间的数据传输方式，从而可以提升数据传输的安全性。比如，当验证结果是允许UE使用第一用户服务，则MBSTF可以进一步向UE发送用于保护数据传输的密钥(如多播服务密钥)，当验证结果是不允许UE使用第一用户服务，则MBSTF不向UE发送用于保护第一用户服务的数据传输的密钥，从而获取到该密钥的UE能够根据该密钥，对来自MBSTF的第一用户服务的加密数据进行解密，而没有获取到该密钥的UE则不能对来自MBSTF的第一用户服务的加密数据进行解密，也即第一用户服务的加密数据仅能被允许使用第一用户服务的UE解密得到，提升了数据传输的安全性。

一种实现方法中，上述步骤302a之前，MBSTF还对来自UE的认证参数进行认证。如果MBSTF对认证参数认证不通过，则MBSTF不向第一网元发送请求消息，也即不执行步骤302a，同时也不执行步骤303a和步骤304a，而是在对认证参数认证不通过之后，执行步骤305a，且步骤305a的认证信息用于指示认证失败。也即，当MBSTF对认证参数认证不通过，则不再验证是否允许UE使用第一用户服务，而是判定认证失败。如果MBSTF对认证参数认证通过，则MBSTF向第一网元发送请求消息，也即执行步骤302a，以及还执行步骤303a至步骤304a。并且，如果验证结果指示允许UE使用第一用户服务，则上述步骤305a的认证信息用于指示认证成功，如果验证结果指示不允许UE使用第一用户服务，则上述步骤305a的认证信息用于指示认证失败。基于该实现方法，当MBSTF确定对认证参数进行认证通过，且验证结果指示允许UE使用第一用户服务，则MBSTF向UE发送用于指示认证成功的认证信息。当MBSTF确定对认证参数进行认证不通过，或者MBSTF确定对认证参数进行认证通过但验证结果指示不允许UE使用第一用户服务，则MBSTF向UE发送用于指示认证失败的认证信息。该方案可以实现对UE的双重验证，一方面验证UE的身份安全性，另一方面验证UE是否允许使用第一用户服务，有助于进一步提升数据传输的安全性。作为一种实现方法，MBSTF对来自UE的认证参数进行认证，比如可以是：UE向MBSTF发送密钥标识和认证参数，该认证参数包括随机数和第一消息认证码(message authentication code，MAC)，MBSTF获取密钥标识对应的应用密钥，然后MBSTF根据该应用密钥和该认证参数中的随机数生成第二MAC，并判断第一MAC与第二MAC是否相同。如果相同，则对认证参数进行认证通过，如果不同，则对认证参数认证不通过。这里对MBSTF对来自UE的认证参数进行认证的方法进行统一说明，后面不再赘述。

另一种实现方法中，上述步骤302a之前，MBSTF还判断本地是否存储有允许UE使用的用户服务的标识信息。如果本地存储有允许UE使用的用户服务的标识信息，则不执行上述步骤302a至步骤304a，而是由MSBTF根据第一用户服务的标识信息和本地存储的允许UE使用的用户服务的标识信息，验证是否允许UE使用第一用户服务，具体实现方法类似上述步骤303a。如果本地未存储允许UE使用的用户服务的标识信息，则执行上述步骤302a至步骤304a。该方案，在MBSTF本地存储有允许UE使用的用户服务的标识信息的情况下，MBSTF可以不需要请求第一网元来验证是否允许UE使用第一用户服务，可以减少信令交互和开销，以及加快验证的速度。

图3(b)为本申请实施例提供的一种认证方法的流程示意图，该方法包括以下步骤：

步骤301b，UE向MBSTF发送第一用户服务的标识信息(user serviceID)。

步骤302b，MBSTF向第一网元发送请求消息，该请求消息包括UE的标识信息，该请求消息用于请求允许该UE使用的用户服务的标识信息。

MBSTF收到来自UE的第一用户服务的标识信息之后，需要验证该UE是否被允许使用该第一用户服务，因此MBSTF向第一网元发送请求消息，用于请求允许该UE使用的用户服务的标识信息。

可选的，该步骤302b的请求消息可以是订阅请求消息，该订阅请求消息包括UE的标识信息，该订阅请求消息用于订阅允许该UE使用的服务的标识信息的更新通知，也即当允许该UE使用的服务的标识信息发生更新，第一网元主动向MBSTF发送更新后的允许该UE使用的服务的标识信息。

步骤303b，第一网元向MBSTF发送允许该UE使用的用户服务的标识信息。

其中，第一网元上存储有UE的标识信息以及允许该UE使用的用户服务的标识信息。其中，第一网元上存储的UE的标识信息以及允许该UE使用的用户服务的标识信息，可以是通过网管配置的，也可以是其它网元发送给该第一网元的，本申请实施例不限定。例如，当第一网元是UDM，则可以是AF将UE的标识信息以及UE的标识信息对应的允许该UE使用的用户服务的标识信息发送给UDM进行存储。

例如，MBSTF向第一网元发送的请求消息包括UE1的标识信息，第一网元根据UE1的标识信息获取允许该UE1使用的用户服务的标识信息，并向MBSTF发送允许该UE1使用的用户服务的标识信息。

若上述步骤302b的请求消息是订阅请求消息，当第一网元校验MBSTF具有订阅权限，则执行该步骤303b，具体的，第一网元向MBSTF发送订阅响应消息，该订阅响应消息包括允许该UE使用的用户服务的标识信息。后续，如果允许该UE使用的用户服务的标识信息发生更新，则第一网元向MBSTF发送通知消息，该通知消息包括更新后的允许该UE使用的用户服务的标识信息。

一种实现方法中，第一网元可以通过MBSF/NEF向MBSTF发送允许该UE使用的用户服务的标识信息。

步骤304b，MBSTF根据允许UE使用的用户服务的标识信息和第一用户服务的标识信息，验证是否允许UE使用第一用户服务。

例如，第一用户服务的标识信息是user service ID1，且上述UE具体是UE1。MBSTF从第一网元收到允许UE1使用的用户服务的标识信息，然后MBSTF判断允许该UE1使用的用户服务的标识信息中是否包括user service ID1。如果允许该UE1使用的用户服务的标识信息中包括user service ID1，则确定允许UE1使用第一用户服务。如果允许该UE1使用的用户服务的标识信息中不包括user service ID1，则确定不允许UE1使用第一用户服务。

可选的，步骤304b之后还包括以下步骤305b。

作为一种实现方法，上述步骤302b的请求消息中可以不携带UE的标识信息，而是携带第一用户服务的标识信息，相应的，上述步骤303b替换为：第一网元向MBSTF发送允许使用该第一用户服务的UE的标识信息，以及上述步骤304b替换为：MBSTF根据允许使用该第一用户服务的UE的标识信息和上述步骤301b所述的UE的标识信息，验证是否允许UE使用第一用户服务。比如，MBSTF确定允许使用该第一用户服务的UE的标识信息中包含步骤301b所述的UE的标识信息，则确定允许该UE使用第一用户服务。再比如，MBSTF确定允许使用该第一用户服务的UE的标识信息中不包含步骤301b所述的UE的标识信息，则确定不允许该UE使用第一用户服务。

步骤305b，MBSTF向UE发送认证信息。

如果MBSTF确定允许UE使用第一用户服务，则认证信息用于指示认证成功。可选的，该认证信息是用于指示认证成功的状态码。

如果MBSTF确定不允许UE使用第一用户服务，则认证信息用于指示认证失败。可选的，该认证信息是用于指示认证失败的状态码。

一种实现方法中，如果上述步骤301b具体是：UE向MBSTF发送携带第一用户服务的标识信息的请求消息(如HTTP POST认证请求消息)，则该步骤305b可以是：MBSTF向UE发送携带认证信息的响应消息(如HTTP POST认证响应消息)。

一种实现方法中，上述步骤302b之前，MBSTF还对来自UE的认证参数进行认证。如果MBSTF对认证参数认证不通过，则MBSTF不向第一网元发送请求消息，也即不执行步骤302b，同时也不执行步骤303b和步骤304b，而是在对认证参数认证不通过之后，执行步骤305b，且步骤305b的认证信息用于指示认证失败。也即，当MBSTF对认证参数认证不通过，则不再验证是否允许UE使用第一用户服务，而是判定认证失败。如果MBSTF对认证参数认证通过，则MBSTF向第一网元发送请求消息，也即执行步骤302b，以及还执行步骤303b至步骤304b。并且，如果MBSTF确定允许UE使用第一用户服务，则上述步骤305b的认证信息用于指示认证成功，如果MBSTF确定不允许UE使用第一用户服务，则上述步骤305b的认证信息用于指示认证失败。基于该实现方法，当MBSTF确定对认证参数进行认证通过且MBSTF确定允许UE使用第一用户服务，则MBSTF向UE发送用于指示认证成功的认证信息。当MBSTF确定对认证参数进行认证不通过，或者MBSTF确定对认证参数进行认证通过但MBSTF确定不允许UE使用第一用户服务，则MBSTF向UE发送用于指示认证失败的认证信息。该方案可以实现对UE的双重验证，一方面验证UE的身份安全性，另一方面验证UE是否允许使用第一用户服务，有助于进一步提升数据传输的安全性。

另一种实现方法中，上述步骤302b之前，MBSTF还判断本地是否存储有允许UE使用的用户服务的标识信息。如果本地存储有允许UE使用的用户服务的标识信息，则可以不执行上述步骤302b至步骤303b，而是在步骤301b之后执行步骤304b。如果本地未存储允许UE使用的用户服务的标识信息，则执行上述步骤302b至步骤304b。该方案，在MBSTF本地存储有允许UE使用的用户服务的标识信息的情况下，MBSTF可以不需要向第一网元请求允许UE使用的用户服务的标识信息，可以减少信令交互和开销，以及加快验证的速度。

图3(c)为本申请实施例提供的一种认证方法的流程示意图，该方法包括以下步骤：

步骤301c，AF向MBSTF发送用户服务的标识信息和允许使用用户服务的UE的标识信息。

该用户服务是多播服务。

示例一，AF向MBSTF发送以下信息：

user service ID 1，以及UE ID1，UE ID2，UE ID3；

user service ID 2，以及UE ID2，UE ID3，UE ID5；

user service ID 3，以及UE ID1，UE ID4，UE ID6。

其中，user service ID 1至user service ID 3分别是用户服务1至用户服务3的标识信息，UE ID1至UE ID6分别是UE1至UE6的标识信息。允许使用用户服务1的UE包括UE1、UE2和UE3，允许使用用户服务2的UE包括UE2、UE3和UE5，允许使用用户服务3的UE包括UE1、UE4和UE6。

作为一种实现方法，该步骤301c也可以替换为步骤301c’：AF向MBSTF发送UE的标识信息和允许该UE使用的用户服务的标识信息。如果采用该方法，则上述示例一中AF发送的信息相应的替换为以下示例二中AF发送的信息。

示例二，AF也可以向MBSTF发送以下信息：

UE ID1，以及user service ID 1，user service ID 3；

UE ID2，以及user service ID 1，user service ID 2；

UE ID3，以及user service ID 1，user service ID 2；

UE ID4，以及user service ID 3；

UE ID5，以及user service ID 2；

UE ID6，以及user service ID 3。

示例性的，在具体实现中，上述步骤301c中，AF可以使用但不限于以下任一路径，向MBSTF发送用户服务的标识信息和允许使用用户服务的UE的标识信息：

方法一，AF->MBSF->MB-SMF->MBSF->MBSTF。

方法二，AF->NEF->MB-SMF->NEF->MBSTF。

方法三，AF->MBSF->MBSTF。

方法四，AF->NEF->MBSTF。

步骤302c，第一UE向MBSTF发送用户服务的标识信息(user serviceID)。

该用户服务是第一UE想要或将要使用的用户服务，该用户服务是多播服务。

示例性的，第一UE可以向MBSTF发送请求消息(比如HTTP POST认证请求消息)，该消息中包括用户服务的标识信息，该消息用于请求使用该用户服务。

步骤303c，MBSTF根据第一UE的标识信息和允许使用用户服务的UE的标识信息，验证是否允许第一UE使用用户服务。

比如，第一UE向MBSTF发送的用户服务的标识信息是user service ID 2，且第一UE的标识信息是UE ID2，MBSTF从AF收到的信息如上述步骤301c的示例一，则MBSTF从本地获取user service ID 2对应的UE ID，包括UE ID2，UE ID3以及UE ID5，然后判断UE ID2，UE ID3以及UE ID5中是否包括UE ID2，由于UE ID2，UE ID3以及UE ID5中包括UE ID2，则MBSTF确定允许UE2使用用户服务2。

再比如，第一UE向MBSTF发送的用户服务的标识信息是user service ID 2，且第一UE的标识信息是UE ID1，MBSTF从AF收到的信息如上述步骤301c的示例一，则MBSTF从本地获取user service ID 2对应的UE ID，包括UE ID2，UE ID3以及UE ID5，然后判断UEID2，UE ID3以及UE ID5中是否包括UE ID1，由于UE ID2，UE ID3以及UE ID5中不包括UEID1，则MBSTF确定不允许UE1使用用户服务2。

需要说明的是，如果上述步骤301c替换为前述描述的步骤301c’，则该步骤303c也相应的替换为以下步骤303c’：MBSTF根据第一UE的标识信息和允许该第一UE使用的用户服务的标识信息，验证是否允许第一UE使用用户服务。从而MBSTF判断：如果允许该第一UE使用的用户服务的标识信息中包含步骤302c中的用户服务的标识信息，则MBSTF确定允许第一UE使用步骤302c中的用户服务的标识信息对应的用户服务。如果允许该第一UE使用的用户服务的标识信息中不包含步骤302c中的用户服务的标识信息，则MBSTF确定不允许第一UE使用步骤302c中的用户服务的标识信息对应的用户服务。

可选的，步骤303c之后还包括以下步骤304c。

步骤304c，MBSTF向第一UE发送认证信息。

如果MBSTF确定允许第一UE使用该用户服务，则认证信息用于指示认证成功。可选的，该认证信息是用于指示认证成功的状态码。

如果MBSTF确定不允许第一UE使用该用户服务，则认证信息用于指示认证失败。可选的，该认证信息是用于指示认证失败的状态码。

一种实现方法中，如果上述步骤302c具体是：第一UE向MBSTF发送携带用户服务的标识信息的请求消息(如HTTP POST认证请求消息)，则该步骤304c可以是：MBSTF向第一UE发送携带认证信息的响应消息(如HTTP POST认证响应消息)。

一种实现方法中，上述步骤302c之前，MBSTF还对来自第一UE的认证参数进行认证。如果MBSTF对认证参数认证不通过，则MBSTF不执行步骤303c，而是在对认证参数认证不通过之后，执行步骤304c，且步骤304c的认证信息用于指示认证失败。也即，当MBSTF对认证参数认证不通过，则不再验证是否允许第一UE使用用户服务，而是判定认证失败。如果MBSTF对认证参数认证通过，则MBSTF执行步骤303c，以及还执行步骤304c。并且，如果MBSTF确定允许第一UE使用用户服务，则上述步骤304c的认证信息用于指示认证成功，如果MBSTF确定不允许第一UE使用用户服务，则上述步骤304c的认证信息用于指示认证失败。基于该实现方法，当MBSTF确定对认证参数进行认证通过且MBSTF确定允许第一UE使用用户服务，则MBSTF向第一UE发送用于指示认证成功的认证信息。当MBSTF确定对认证参数进行认证不通过，或者MBSTF确定对认证参数进行认证通过但MBSTF确定不允许第一UE使用用户服务，则MBSTF向第一UE发送用于指示认证失败的认证信息。该方案可以实现对UE的双重验证，一方面验证UE的身份安全性，另一方面验证UE是否允许使用用户服务，有助于进一步提升数据传输的安全性。

图3(d)为本申请实施例提供的一种认证方法的流程示意图，该方法包括以下步骤：

步骤301d，UE向MBSTF发送用户服务的标识信息(user serviceID)和第一令牌(token)。

该用户服务是UE想要或将要使用的用户服务，该用户服务是多播服务。

示例性的，UE可以向MBSTF发送请求消息(比如HTTP POST认证请求消息)，该消息中包括用户服务的标识信息和第一令牌，该消息用于请求使用该用户服务。

其中，UE向MBSTF发送用户服务的标识信息和第一令牌，用于请求MBSTF对第一令牌进行验证，当第一令牌验证通过，表明该UE被允许使用该用户服务。

其中，UE中的第一令牌可以是从其它网元获取的。示例性的，UE可以在多播服务会话的建立流程中从SMF接收第一令牌。比如，在步骤301d之前，还执行步骤A1和步骤A2。其中步骤A1为：UE向SMF发送与上述步骤301d的用户服务的标识信息对应的多播服务会话的标识信息，比如UE向SMF发送用于请求加入该多播服务会话的请求消息，该请求消息包含该多播服务会话的标识信息。步骤A2为：SMF向UE发送与该多播服务会话对应的第一令牌。该第一令牌也对应该用户服务的标识信息，比如SMF向UE发送会话修改命令消息或针对步骤A的请求消息的响应消息，该会话修改命令消息或该响应消息包含该第一令牌。

步骤302d，MBSTF获取该用户服务的标识信息对应的一个或多个令牌。

其中，MBSTF上存储有一个或多个用户服务的标识信息分别对应的一个或多个令牌。MBSTF上存储的一个或多个用户服务的标识信息分别对应的一个或多个令牌，可以是由AF、NEF或MBSF发送给MBSTF的，也可以是其它网元配置给MBSTF的，本申请实施例不限定。

一种实现方式中，AF生成该用户服务的标识信息对应的一个或多个令牌，并通过MBSF/NEF向MBSTF发送该用户服务的标识信息对应的一个或多个令牌。

另一种实现方法中，AF向MBSF/NEF发送该用户服务的标识信息，MBSF/NEF生成该用户服务的标识信息对应的一个或多个令牌，然后MBSF/NEF向MBSTF发送该用户服务的标识信息对应的一个或多个令牌。可选的，MBSF/NEF还向MB-SMF发送该用户服务的标识信息对应的一个或多个令牌。

另一种实现方法中，AF通过MBSF/NEF向MB-SMF发送该用户服务的标识信息，MB-SMF生成该用户服务的标识信息对应的一个或多个令牌，然后MB-SMF向MBSTF发送该用户服务的标识信息对应的一个或多个令牌。比如，MB-SMF通过MBSF/NEF向MBSTF发送该用户服务的标识信息对应的一个或多个令牌。

其中，如果一个用户服务的标识信息对应一个令牌，则表明该用户服务的标识信息对应的多个多播服务会话的标识信息均对应这个令牌。例如，user service ID1对应3个多播服务会话的标识信息，分别为多播服务会话的标识信息1、多播服务会话的标识信息2和多播服务会话的标识信息3，且该3个多播服务会话的标识信息均对应token1，也即userservice ID1也对应该token1。

如果一个用户服务的标识信息对应多个令牌，则表明该用户服务的标识信息对应的多个多播服务会话的标识信息，各自对应一个令牌。例如，user service ID1对应3个多播服务会话的标识信息，分别为多播服务会话的标识信息1、多播服务会话的标识信息2和多播服务会话的标识信息3，且多播服务会话的标识信息1对应token1，多播服务会话的标识信息2对应token2，多播服务会话的标识信息3对应token3，因此user service ID1对应token1、token2和token3。

示例性的，MBSTF上存储的信息包括：

user service ID 1，以及token1，token2，token 3；

user service ID 2，以及token4，token5；

user service ID 3，以及token6，token7。

其中，user service ID 1至user service ID 3分别是用户服务1至用户服务3的标识信息，token1至token7分别对应多播服务会话1的标识信息至多播服务会话7的标识信息。

步骤303d，MBSTF根据第一令牌和该用户服务的标识信息对应的一个或多个令牌，验证是否允许UE使用该用户服务。

比如，UE向MBSTF发送的用户服务的标识信息和第一令牌分别是user service ID2和token4，MBSTF存储的信息如上述步骤302d的示例，MBSTF从本地获取user service ID2对应的token，包括token4和token5，然后判断token4和token5中是否包括第一令牌(即token4)，由于token4和token5中包括token4，因此MBSTF确定允许该UE使用该用户服务2。

再比如，UE向MBSTF发送的用户服务的标识信息和第一令牌分别是user serviceID 2和token1，MBSTF存储的信息如上述步骤302d的示例，MBSTF从本地获取user serviceID 2对应的token，包括token4和token5，然后判断token4和token5中是否包括第一令牌(即token1)，由于token4和token5中不包括token1，因此MBSTF确定不允许该UE使用该用户服务2。

可选的，步骤303d之后还包括以下步骤304d。

步骤304d，MBSTF向UE发送认证信息。

如果MBSTF确定允许UE使用该用户服务，则认证信息用于指示认证成功。可选的，该认证信息是用于指示认证成功的状态码。

如果MBSTF确定不允许UE使用该用户服务，则认证信息用于指示认证失败。可选的，该认证信息是用于指示认证失败的状态码。

一种实现方法中，如果上述步骤301d具体是：UE向MBSTF发送携带用户服务的标识信息和第一令牌的请求消息(如HTTP POST认证请求消息)，则该步骤304d可以是：MBSTF向UE发送携带认证信息的响应消息(如HTTP POST认证响应消息)。

下面结合图4至图7的具体实施例，对上述图3(a)至图3(d)的实施例进行说明。其中，以下图4的实施例是图3(a)和图3(b)的实施例的一个具体示例，图5的实施例是图3(a)和图3(b)的实施例的一个具体示例，图6的实施例是图3(c)的实施例的一个具体示例，图7的实施例是图3(d)的实施例的一个具体示例。

图4为本申请实施例提供的一种建立多播业务传输的方法流程示意图。该方法包括以下步骤：

步骤401，AF维护用户服务的标识信息(user service ID)与一个或多个MBS会话的标识信息(MBS session ID)之间的对应关系。

AF发起用户服务(user service)，并经由MBSF和/或NEF，向MB-SMF请求该用户服务对应的一个或多个MBS会话的标识信息。MB-SMF基于AF的请求，为该用户服务分配MBS会话的标识信息。其中，该MBS会话的标识信息可以是临时移动组标识(Temporary MobileGroup Identifier，TMGI)。AF收到来自MB-SMF的一个或多个MBS会话的标识信息之后，建立用户服务的标识信息与该一个或多个MBS会话的标识信息之间的对应关系。或者，也可以是MBSF收到来自MB-SMF的一个或多个MBS会话的标识信息之后，建立用户服务的标识信息与该一个或多个MBS会话的标识信息之间的对应关系，然后将该对应关系发送给AF。其中，MBSF也可以本地维护该对应关系。

需要说明的是，如果MBS会话的标识信息是IP地址，则也可以是由AF为该用户服务分配一个或多个MBS会话的标识信息，然后AF建立并维护用户服务的标识信息与该一个或多个MBS会话的标识信息之间的对应关系。

步骤402，AF通过MBSF/NEF向UDM发起签约数据配置流程，向UDM配置授权信息。

在第一种实现方法中，该授权信息是MBS会话的标识信息粒度，该授权信息包括UE的标识信息以及允许该UE使用的MBS会话的标识信息。例如，授权信息包括UE1的ID，以及MBS session ID 1和MBS session ID 2，也即该UE1能够使用的MBS会话包括MBS sessionID 1对应的MBS会话1和MBS session ID 2对应的MBS会话2。

在第二种实现方法中，该授权信息是MBS会话的标识信息粒度，该授权信息包括UE的标识信息、允许该UE使用的MBS会话的标识信息，以及MBS会话的标识信息与用户服务的标识信息之间的对应关系。例如，授权信息包括UE1的ID、MBS session ID 1、MBS sessionID 2、MBS session ID 3，以及还包括MBS session ID 1和MBS session ID 2与userservice ID 1的对应关系，和MBS session ID 3与user service ID 2的对应关系，也即该UE1能够使用的MBS会话包括MBS session ID 1对应的MBS会话1、MBS session ID 2对应的MBS会话2和MBS session ID 3对应的MBS会话3。由于MBS session ID 1和MBS session ID2与user service ID 1存在对应关系，MBS session ID 3与user service ID 2存在对应关系，因此该UE1能够使用的用户服务包括user service ID 1对应的用户服务1，和userservice ID 2对应的用户服务2。

在第三种实现方法中，该授权信息是MBS会话的标识信息粒度和用户服务的标识信息粒度，该授权信息包括UE的标识信息、允许该UE使用的MBS会话的标识信息，以及允许该UE使用的用户服务的标识信息。例如，授权信息包括UE1的ID、MBS session ID 1、MBSsession ID 2，以及还包括user service ID 1和user service ID 2，也即该UE1能够使用的MBS会话包括MBS session ID 1对应的MBS会话1，和MBS session ID 2对应的MBS会话2，并且该UE1能够使用的用户服务包括user service ID 1对应的用户服务1，和userservice ID 2对应的用户服务2。

在第四种实现方法中，该授权信息是用户服务的标识信息粒度，该授权信息包括UE的标识信息以及允许该UE使用的用户服务的标识信息。例如，授权信息包括UE1的ID，以及还包括user service ID 1和user service ID 2，也即该UE1能够使用的用户服务包括user service ID 1对应的用户服务1，和user service ID 2对应的用户服务2。

在第五种实现方法中，该授权信息是用户服务的标识信息粒度，该授权信息包括用户服务的标识信息以及允许使用该用户服务的UE的标识信息。例如，授权信息包括userservice ID 1，以及user service ID 1对应的UE1的ID和UE2的ID，以及还包括userservice ID 2，以及user service ID 2对应的UE1的ID和UE3的ID。也即允许使用userservice ID 1对应的用户服务1的UE包括UE1和UE2，允许使用user service ID 2对应的用户服务2的UE包括UE1和UE3。

可选的，结合上述五种实现方法中的任何一种实现方法，该签约数据还包括用于指示是否允许UE使用多播服务的信息，该用于指示是否允许UE使用多播服务的信息，可以理解为是用于指示该UE是否具备多播服务的能力。如果该签约数据包括用于指示允许UE使用多播服务的信息，则表明该UE具备多播服务的能力。如果该签约数据不包括用于指示允许UE使用多播服务的信息，则表明该UE不具备多播服务的能力。

其中，UE的标识信息(UE ID)可以是一般公开订阅标识(Generic PublicSubscription Identity，GPSI)、用户永久标识(subscription permanent identifier，SUPI)或IP多媒体私有标识(IP multimedia private identity，IMPI)中的一个或多个。

示例性的，在使用AKMA的场景下，UE的标识信息可以是SUPI、GPSI或SUPI+GPSI。在使用通用引导构架(Generic Bootstrapping Architecture，GBA)的场景下，UE的标识信息可以是SUPI、IMPI或SUPI+IMPI。

作为一种实现方法，也可以不是由AF向UDM配置上述授权信息，而是通过预配置的方式，向UDM中配置上述授权信息。

步骤403，AF经由MBSF/NEF向MB-SMF发送请求消息，该请求消息用于请求创建MBS会话和配置MBS会话参数，该请求消息包括一个或多个MBS会话的标识信息。

一种实现方法中，该步骤403也可以替换为：MBSF向MB-SMF发送请求消息，该请求消息用于请求创建MBS会话和配置MBS会话参数，该请求消息包括一个或多个MBS会话的标识信息。

该一个或多个MBS会话的标识信息可以对应同一个用户服务，也可以对应多个用户服务。

在MB-SMF、MB-UPF、MBSTF等完成配置后，MB-SMF向AF返回创建的MBS会话对应的MB-UPF的IP地址和/或MBSTF的IP地址。其中，MB-UPF可以是由MB-SMF选择的，MBSTF可以是由MBSF选择的。

创建MBS会话的详细流程可参考TS 23.247第7.1.1章节。

步骤404，AF向UE发送服务通告信息(service announcement)。

一种实现方法中，该步骤404也可以替换为：MBSF向UE发送服务通告信息。

该服务通告信息包括用户服务的标识信息、该用户服务的标识信息对应的MBS会话的标识信息。可选的，该服务通告信息还包括用户服务的服务区域、用户服务的开始时间、MBSTF的IP地址、安全服务描述等参数中的一项或多项。

该服务通告信息可以是通过短信、广播等形式发送给UE，此处不做限制。

一种实现方法中，这里的UE指的是订阅了用户服务的UE，AF向订阅了某种用户服务的UE发送该用户服务对应的服务通告信息。

步骤405，UE向网络发起注册流程，并建立PDU会话。

该建立的PDU会话可以被用于在后续的PDU会话修改流程中在建立MBS会话。

步骤406，UE发起多播会话加入流程，经由AMF向SMF发送UE加入请求消息，该消息包括MBS会话的标识信息。

该MBS会话的标识信息可以是来自AF的服务通告信息中的MBS会话的标识信息。

步骤407，SMF在检查UE的授权后，对PDU会话进行修改，并配置MB-UPF与接入网设备之间的承载。

这里的检查UE的授权，指的是检查是否允许该UE使用该MBS会话。具体的，SMF可以向UDM发送UE的标识信息和MBS会话的标识信息，由UDM检查是否允许该UE使用该MBS会话，然后UDM向SMF返回检查结果。或者，SMF也可以向UDM发送UE的标识信息，UDM向SMF返回该允许该UE使用的MBS会话的标识信息，由SMF判断允许该UE使用的MBS会话的标识信息是否包含上述步骤406中的MBS会话的标识信息，如果包含则检查授权通过，如果不包含则检查授权未通过。

该流程的详细过程可参考TS 23.247第7.2.1.3章节。

步骤408，SMF经由AMF向UE发送UE加入响应消息。

步骤409，UE向MBSTF发送HTTP POST消息，该消息包括用户服务的标识信息。

该用户服务的标识信息可以是来自AF的服务通告信息中的用户服务的标识信息。

步骤410，当需要对UE进行鉴权时，MBSTF向UE发送HTTP POST回复消息，该消息包括状态码401，该状态码401指示该UE未授权，需要进行认证。

上述步骤409至步骤410为可选步骤。

步骤411，UE向MBSTF发送HTTP POST认证请求(HTTP POST Authorizationrequest)消息，该消息包括用户服务的标识信息，密钥标识，以及基于应用密钥生成的认证参数。示例性的，在使用AKMA的场景下，密钥标识可以是AKMA密钥标识(AKMA KeyIdentifier，A-KID)。在使用GBA的场景下，密钥标识可以是引导事务标识符(Bootstrapping Transaction Identifier，B-TID)。

比如，若UE收到上述步骤410的状态码401，则UE可以根据状态码401，向MBSTF发送HTTP POST认证请求消息。

步骤412，如果MBSTF中没有与该KID关联的激活上下文，则MBSTF向AAnF/BSF发送密钥获取请求(key get request)消息，该消息包括KID。

该KID即为来自HTTP POST认证请求消息的KID。

其中，在使用AKMA的场景下，MBSTF向AAnF发送该密钥获取请求消息。在使用GBA的场景下，MBSTF向BSF发送该密钥获取请求消息。

步骤413，AAnF/BSF根据KID查询或生成与该KID对应的应用密钥(AF key)，向MBSTF发送密钥获取响应(key get response)消息，该消息包括UE的标识信息(UE ID)和该应用密钥。

其中，在使用AKMA的场景下，该UE的标识信息是GPSI。并且，根据前述步骤402处的描述，在使用AKMA的场景下，UDM中配置的授权信息中的UE的标识信息可以是SUPI、GPSI或SUPI+GPSI。其中，当UDM上配置的授权信息中的UE的标识信息是GPSI或SUPI+GPSI，则后续MBSTF使用从AAnF/BSF获取到的UE的标识信息(即GPSI)向UDM请求授权检查时，由于UDM能够识别GPSI，因此MBSTF、UDM或其它网元(如MBSF/NEF)无需对UE的标识信息(即GPSI)进行转换，UDM可以根据对是否允许该GSPI对应的UE使用用户服务进行授权检查，从而能够避免UE的标识信息的转换带来的额外开销。当UDM上配置的授权信息中的UE的标识信息是SUPI，则后续MBSTF使用从AAnF/BSF获取到的UE的标识信息(即GPSI)向UDM请求授权检查时，由于UDM不能识别GPSI，因此MBSTF、UDM或其它网元(如MBSF/NEF)需要将GPSI转换为UDM能够识别的SUPI，然后UDM根据对是否允许该SUPI对应的UE使用用户服务进行授权检查，可以保证授权检查的正确执行。

在使用GBA的场景下，该UE的标识信息是IMPI。并且，根据前述步骤402处的描述，在使用GBA的场景下，UDM中配置的授权信息中的UE的标识信息可以是SUPI、IMPI或SUPI+IMPI。其中，当UDM上配置的授权信息中的UE的标识信息是IMPI或SUPI+IMPI，则后续MBSTF使用从AAnF/BSF获取到的UE的标识信息(即IMPI)向UDM请求授权检查时，由于UDM能够识别IMPI，因此MBSTF、UDM或其它网元(如MBSF/NEF)无需对UE的标识信息(即IMPI)进行转换，UDM可以根据对是否允许该IMPI对应的UE使用用户服务进行授权检查，从而能够避免UE的标识信息的转换带来的额外开销。当UDM上配置的授权信息中的UE的标识信息是SUPI，则后续MBSTF使用从AAnF/BSF获取到的UE的标识信息(即IMPI)向UDM请求授权检查时，由于UDM不能识别IMPI，因此MBSTF、UDM或其它网元(如MBSF/NEF)需要将IMPI转换为UDM能够识别的SUPI，然后UDM根据对是否允许该SUPI对应的UE使用用户服务进行授权检查，可以保证授权检查的正确执行。

步骤414，MBSTF判断是否发起授权检查。

一种实现方法中，MBSTF根据获取的应用密钥对来自UE的认证参数进行校验，如果校验成功，则MBSTF确定发起授权检查。如果校验失败，则MBSTF确定不发起授权检查。作为一种实现方法，MBSTF对认证参数进行认证，比如可以是：该认证参数包括随机数和第一MAC，MBSTF根据该应用密钥和该认证参数中的随机数生成第二MAC，并判断第一MAC与第二MAC是否相同。如果相同，则对认证参数进行认证通过，如果不同，则对认证参数认证不通过。

另一种实现方法中，MBSTF从步骤411中接收到用户服务的标识信息，则MBSTF确定发起授权检查。

另一种实现方法中，MBSTF从步骤413中接收到UE的标识信息，如果MBSTF上没有存储该UE的标识信息对应的授权信息，则MBSTF确定向UDM发起授权检查。如果MBSTF上存储有该UE的标识信息对应的授权信息，则MBSTF确定不向UDM发起授权检查。

当该步骤414确定发起授权检查，则需要执行以下步骤415至步骤418。当该步骤414确定不发起授权检查，则不需要执行以下步骤415至步骤418。

需要说明的是，该步骤414为可选步骤。当不执行该步骤414，则默认需要MBSTF发起授权检查，也即需要执行以下步骤415至步骤418。

步骤415，MBSTF向MBSF/NEF发送授权检查请求(authorization check request)消息。

一种实现方法中，该授权检查请求消息包括UE的标识信息，或者包括UE的标识信息和类型标识(也称为指示信息)，该类型标识用于指示向UDM请求允许该UE使用的用户服务的标识信息，或用于指示向UDM请求允许该UE使用的MBS会话的标识信息。

另一种实现方法中，该授权检查请求消息包括用户服务的标识信息。

另一种实现方法中，该授权检查请求消息包括UE的标识信息和用户服务的标识信息。

UE的标识信息可以是GPSI、IMPI或SUPI中的一个或多个。

步骤416，MBSF/NEF向UDM发送授权检查请求消息。

一种实现方法中，MBSF/NEF不对从MBSTF接收到的授权检查请求消息进行处理，仅将授权检查请求消息转发给UDM。

另一种实现方法，MBSF/NEF可以对从MBSTF接收到的授权检查请求消息进行处理，然后再将处理后的授权检查请求消息发送给UDM。比如，MBSTF向MBSF/NEF发送的授权检查请求消息中的UE的标识信息是GPSI，MBSF/NEF确定该GPSI对应的SUPI，然后将从MBSTF接收到的授权检查请求消息中的GPSI替换为SUPI，之后再向UDM发送处理后的授权检查请求消息。再比如，MBSTF向MBSF/NEF发送的授权检查请求消息中的UE的标识信息是IMPI，MBSF/NEF确定该IMPI对应的SUPI，然后将从MBSTF接收到的授权检查请求消息中的IMPI替换为SUPI，之后再向UDM发送处理后的授权检查请求消息。

需要说明的是，如果MBSTF与UDM之间有接口，则MBTTF可以不通过MBSF/NEF转发授权检查请求消息，而是通过MBSTF与UDM之间有接口，向UDM发送授权检查请求消息。

步骤417，UDM向MBSF/NEF发送授权检查响应消息。

步骤418，MBSF/NEF向MBSTF发送授权检查响应消息。

下面分情形对上述步骤417和步骤418进行说明。

情形一，上述步骤415和步骤416中均携带UE的标识信息，或者携带UE的标识信息和类型标识。

针对该情形一，如果上述步骤402中，UDM上配置的授权信息包括UE的标识信息以及允许该UE使用的MBS会话的标识信息，则该步骤417和步骤418的授权检查响应消息包括允许该UE使用的MBS会话的标识信息。

针对该情形一，如果上述步骤402中，UDM上配置的授权信息包括UE的标识信息、允许该UE使用的MBS会话的标识信息，以及MBS会话的标识信息与用户服务的标识信息之间的对应关系，则该步骤417和步骤418的授权检查响应消息包括允许该UE使用的用户服务的标识信息。

针对该情形一，如果上述步骤402中，UDM上配置的授权信息包括UE的标识信息、允许该UE使用的MBS会话的标识信息，以及允许该UE使用的用户服务的标识信息，则该步骤417和步骤418的授权检查响应消息包括允许该UE使用的用户服务的标识信息。

针对该情形一，如果上述步骤402中，UDM上配置的授权信息包括UE的标识信息，以及允许该UE使用的用户服务的标识信息，则该步骤417和步骤418的授权检查响应消息包括允许该UE使用的用户服务的标识信息。

情形二，上述步骤415和步骤416中均携带UE的标识信息和用户服务的标识信息。

针对该情形二，如果上述步骤402中，UDM上配置的授权信息包括UE的标识信息、允许该UE使用的MBS会话的标识信息，以及MBS会话的标识信息与用户服务的标识信息之间的对应关系，或者，UDM上配置的授权信息包括UE的标识信息、允许该UE使用的MBS会话的标识信息，以及允许该UE使用的用户服务的标识信息，或者，UDM上配置的授权信息包括UE的标识信息，以及允许该UE使用的用户服务的标识信息，则UDM判断UDM上配置的该UE对应的授权信息是否包含该用户服务的标识信息。如果UDM上配置的该UE对应的授权信息包含该用户服务的标识信息，则步骤417和步骤418的授权检查响应消息包括用于指示授权检查通过的信息。如果UDM上配置的该UE对应的授权信息不包含该用户服务的标识信息，则步骤417和步骤418的授权检查响应消息包括用于指示授权检查未通过的信息。

针对该情形二，如果上述步骤402中，UDM上配置的授权信息包括用户服务的标识信息和允许使用该用户服务的UE的标识信息，则UDM判断UDM上是否存储有步骤416中携带的用户服务的标识信息以及允许使用该用户服务的UE的标识信息。如果未存储步骤416中携带的用户服务的标识信息以及允许使用该用户服务的UE的标识信息，则步骤417和步骤418的授权检查响应消息包括用于指示授权检查未通过的信息。如果存储有步骤416中携带的用户服务的标识信息以及允许使用该用户服务的UE的标识信息，则UDM进一步判断UDM上配置的允许使用该用户服务的UE的标识信息是否包含步骤416中携带的UE的标识信息，如果UDM上配置的允许使用该用户服务的UE的标识信息包含步骤416中携带的UE的标识信息，则步骤417和步骤418的授权检查响应消息包括用于指示授权检查通过的信息，如果UDM上配置的允许使用该用户服务的UE的标识信息不包含步骤416中携带的UE的标识信息，则步骤417和步骤418的授权检查响应消息包括用于指示授权检查未通过的信息。

情形三，上述步骤415和步骤416中均携带用户服务的标识信息。

针对该情形三，如果上述步骤402中，UDM上配置的授权信息包括用户服务的标识信息和允许使用该用户服务的UE的标识信息，这里的用户服务的标识信息可以是一个或多个。如果UDM上配置的授权信息包括步骤416中的用户服务的标识信息和允许使用该用户服务的UE的标识信息，则该步骤417和步骤418的授权检查响应消息包括允许使用该用户服务的UE的标识信息。比如，UDM上的授权信息包括user service ID 1，以及user service ID1对应的UE1的ID和UE2的ID，以及还包括user service ID 2，以及user service ID 2对应的UE1的ID和UE3的ID。如果步骤416中的用户服务的标识信息是user service ID 1，则该步骤417和步骤418的授权检查响应消息包括UE1的ID和UE2的ID。

需要说明的是，如果MBSTF与UDM之间有接口，则UDM可以不通过MBSF/NEF转发授权检查响应消息，而是通过MBSTF与UDM之间的接口，向MBSTF发送授权检查响应消息。

上述步骤417和步骤418中，MBSF/NEF是作为中转节点，向MBSTF转发来自UDM的信息。作为另一种实现方法，MBSF/NEF收到来自UDM的信息之后，也可以做相应处理，然后将处理后的结果发送至MBSTF。比如，当步骤417的授权检查响应消息包括允许UE使用的用户服务的标识信息或者允许使用用户服务的UE的标识信息，则MBSF/NEF可以根据允许UE使用的用户服务的标识信息或者允许使用用户服务的UE的标识信息，判断是否允许该UE使用该用户服务。如果允许该UE使用该用户服务，则上述步骤418的授权检查响应消息包括用于指示授权检查通过的信息。如果不允许该UE使用该用户服务，则上述步骤418的授权检查响应消息包括用于指示授权检查未通过的信息。

步骤419，MBSTF向UE发送HTTP POST认证信息(HTTP POST Authorization Info)。

如果上述步骤418中，MBSTF收到用于指示授权检查通过的信息，则该HTTP POST认证信息包括用于指示认证成功的状态码。可选的，如果上述步骤414中MBSTF根据获取的应用密钥对来自UE的认证参数进行校验，则当上述步骤414中MBSTF对UE的认证参数校验成功，并且MBSTF在步骤418中收到用于指示授权检查通过的信息，则该HTTP POST认证信息包括用于指示认证成功的状态码。

如果上述步骤418中，MBSTF收到用于指示授权检查未通过的信息，则该HTTP POST认证信息包括用于指示认证失败的状态码。

如果上述步骤418中，MBSTF收到允许该UE使用的用户服务的标识信息，则MBSTF判断允许该UE使用的用户服务的标识信息是否包括步骤411中收到的用户服务的标识信息。如果允许该UE使用的用户服务的标识信息包括步骤411中收到的用户服务的标识信息，则该HTTP POST认证信息包括用于指示认证成功的状态码。如果允许该UE使用的用户服务的标识信息不包括步骤411中收到的用户服务的标识信息，则该HTTP POST认证信息包括用于指示认证失败的状态码。可选的，如果上述步骤414中MBSTF根据获取的应用密钥对来自UE的认证参数进行校验，则当上述步骤414中MBSTF对UE的认证参数校验成功，并且MBSTF确定允许该UE使用的用户服务的标识信息包括步骤411中收到的用户服务的标识信息，则该HTTP POST认证信息包括用于指示认证成功的状态码。当上述步骤414中MBSTF对UE的认证参数校验成功，但MBSTF确定允许该UE使用的用户服务的标识信息不包括步骤411中收到的用户服务的标识信息，则该HTTP POST认证信息包括用于指示认证失败的状态码。其中，MBSTF确定允许该UE使用的用户服务的标识信息不包括步骤411中收到的用户服务的标识信息，即为MBSTF确定不允许该UE使用步骤411中收到的用户服务的标识信息对应的用户服务。

如果上述步骤418中，MBSTF收到允许使用该用户服务的UE的标识信息，则MBSTF判断允许使用该用户服务的UE的标识信息是否包括步骤413中收到的UE的标识信息。如果允许使用该用户服务的UE的标识信息包括步骤413中收到的UE的标识信息，则该HTTP POST认证信息包括用于指示认证成功的状态码。如果允许使用该用户服务的UE的标识信息是否不包括步骤413中收到的UE的标识信息，则该HTTP POST认证信息包括用于指示认证失败的状态码。可选的，如果上述步骤414中MBSTF根据获取的应用密钥对来自UE的认证参数进行校验，则当上述步骤414中MBSTF对UE的认证参数校验成功，并且MBSTF确定允许使用该用户服务的UE的标识信息包括步骤413中收到的UE的标识信息，则该HTTP POST认证信息包括用于指示认证成功的状态码。当上述步骤414中MBSTF对UE的认证参数校验成功，但MBSTF确定允许使用该用户服务的UE的标识信息不包括步骤413中收到的UE的标识信息，则该HTTP POST认证信息包括用于指示认证失败的状态码。其中，MBSTF确定允许使用该用户服务的UE的标识信息不包括步骤413中收到的UE的标识信息，即为MBSTF确定不允许该UE使用步骤411中收到的用户服务的标识信息对应的用户服务。

可替换地，上述步骤418中，MBSTF收到的可以是允许该UE使用的MBS会话的标识信息，则MBSTF先确定步骤411中收到的用户服务的标识信息所对应的MBS会话的标识信息(以下称为MBS会话的标识信息X)。然后MBSTF判断允许该UE使用的MBS会话的标识信息是否包含MBS会话的标识信息X。如果允许该UE使用的MBS会话的标识信息包含MBS会话的标识信息X，则该HTTP POST认证信息包括用于指示认证成功的状态码。如果允许该UE使用的MBS会话的标识信息不包含MBS会话的标识信息X，则该HTTP POST认证信息包括用于指示认证失败的状态码。可选的，如果上述步骤414中MBSTF根据获取的应用密钥对来自UE的认证参数进行校验，则当上述步骤414中MBSTF对UE的认证参数校验成功，并且MBSTF确定允许该UE使用的MBS会话的标识信息包含MBS会话的标识信息X，则该HTTP POST认证信息包括用于指示认证成功的状态码。当上述步骤414中MBSTF对UE的认证参数校验成功，但MBSTF确定允许该UE使用的MBS会话的标识信息不包含MBS会话的标识信息X，则该HTTP POST认证信息包括用于指示认证失败的状态码。其中，MBSTF确定允许该UE使用的MBS会话的标识信息不包含MBS会话的标识信息X，即为MBSTF确定不允许该UE使用MBS会话的标识信息X。

步骤420，当该UE请求的用户服务认证成功，MBSTF向UE发送多播服务密钥，该多播服务密钥是由应用密钥(AF Key)进行保护的。

步骤421，MBSTF向UE广播发送多播传输密钥，该多播传输密钥是由多播服务密钥进行保护的。

后续，在数据传输过程中，AF向MBSTF发送多播服务的业务数据，MBSTF使用多播传输密钥对业务数据进行加密，然后将加密的业务数据发送给UE，UE根据多播传输密钥对业务数据进行解密，得到多播服务的业务数据。

上述方案提供了一种向UDM配置授权信息和根据授权信息对UE请求的用户服务进行授权检查的方法，可以防止未获得用户服务授权的UE获取多播密钥(如多播服务密钥、多播传输密钥)和多播数据，提升了安全性。

作为一种实现方法，上述图4中的安全建立流程也可以替换为图4(a)所示的安全建立流程。相较于图4中的安全建立流程，该图4(a)所示的安全建立流程中增加了步骤A1和步骤A2，且各个步骤之间的执行先后顺序可以参考图4(a)。其中步骤A1为UE向MBSTF发送携带密钥标识应用请求消息，该步骤A1触发MBSTF执行步骤412。步骤A2是针对步骤A1的响应，即MBSTF向UE发送应用响应消息，该应用响应消息用于通知UE：MBSTF是否成功获取到密钥标识对应的应用密钥。

作为另一种实现方法，上述图4中的安全建立流程也可以替换为图4(b)所示的安全建立流程。相较于图4中的安全建立流程，该图4(b)所示的安全建立流程中增加了步骤A1和步骤A2，且各个步骤之间的执行先后顺序可以参考图4(b)。其中步骤A1为UE向MBSTF发送携带密钥标识应用请求消息，该步骤A1触发MBSTF执行步骤412。步骤A2是针对步骤A1的响应，即MBSTF向UE发送应用响应消息，该应用响应消息用于通知UE：MBSTF是否成功获取到密钥标识对应的应用密钥。

图5为本申请实施例提供的一种建立多播业务传输的方法流程示意图。该方法包括以下步骤：

步骤501，同上述步骤401。

步骤502，AF通过MBSF/NEF向UDM发起签约数据配置流程，向UDM配置授权信息。

该授权信息是MBS会话的标识信息粒度，该授权信息包括UE的标识信息以及允许该UE使用的MBS会话的标识信息。例如，授权信息包括UE1的ID，以及MBS session ID 1和MBS session ID 2，也即该UE1能够使用的MBS会话包括MBS session ID 1对应的MBS会话1和MBS session ID 2对应的MBS会话2。

可选的，该签约数据还包括用于指示是否允许UE使用多播服务的信息。

其中，UE的标识信息(UE ID)可以是GPSI、SUPI或IMPI中的一个或多个。

示例性的，在使用AKMA的场景下，UE的标识信息可以是SUPI、GPSI或SUPI+GPSI。GBA的场景下，UE的标识信息可以是SUPI、IMPI或SUPI+IMPI。

作为一种可替代的实现方法，也可以不是由AF向UDM配置上述授权信息，而是通过预配置的方式，向UDM中配置上述授权信息。

步骤503至步骤514，同上述步骤403至步骤414。

其中，上述步骤509、步骤510、步骤514均为可选步骤。

步骤515，MBSTF向MBSF/NEF发送授权检查请求(authorization check request)消息。

UE的标识信息可以是GPSI、IMPI或SUPI中的一个或多个。

步骤516，MBSF/NEF向AF发送授权检查请求消息。

MBSF/NEF向AF发送的授权检查请求消息，即为MBSF/NEF从MBSTF收到的授权检查请求消息。

步骤517，AF向MBSF/NEF发送授权检查响应消息。

步骤518，MBSF/NEF向MBSTF发送授权检查响应消息。

下面分情形对上述步骤517和步骤518进行说明。

情形一，上述步骤515和步骤516中均携带UE的标识信息，或者携带UE的标识信息和类型标识。

针对该情形一，该步骤517和步骤518的授权检查响应消息包括允许该UE使用的用户服务的标识信息或者允许该UE使用的MBS会话的标识信息。

情形二，上述步骤515和步骤516中均携带UE的标识信息和用户服务的标识信息。

针对该情形二，AF判断AF存储的允许该UE使用的用户服务的标识信息中是否包含上述步骤516中的用户服务的标识信息。如果包含，则步骤517和步骤518的授权检查响应消息包括用于指示授权检查通过的信息。如果不包含，则步骤517和步骤518的授权检查响应消息包括用于指示授权检查未通过的信息。

情形三，上述步骤515和步骤516中均携带用户服务的标识信息。

针对该情形三，该步骤517和步骤518的授权检查响应消息包括允许使用该用户服务的UE的标识信息。

上述步骤517和步骤518中，MBSF/NEF是作为中转节点，向MBSTF转发来自AF的信息。作为另一种实现方法，MBSF/NEF收到来自AF的信息之后，也可以做相应处理，然后将处理后的结果发送至MBSTF。比如，当步骤517的授权检查响应消息包括允许UE使用的用户服务的标识信息或者允许使用用户服务的UE的标识信息，则MBSF/NEF可以根据允许UE使用的用户服务的标识信息或者允许使用用户服务的UE的标识信息，判断是否允许该UE使用该用户服务。如果允许该UE使用该用户服务，则上述步骤518的授权检查响应消息包括用于指示授权检查通过的信息。如果不允许该UE使用该用户服务，则上述步骤518的授权检查响应消息包括用于指示授权检查未通过的信息。

步骤519，MBSTF向UE发送HTTP POST认证信息(HTTP POST Authorization Info)。

如果上述步骤518中，MBSTF收到用于指示授权检查通过的信息，则该HTTP POST认证信息包括用于指示认证成功的状态码。可选的，如果上述步骤514中MBSTF根据获取的应用密钥对来自UE的认证参数进行校验，则当上述步骤514中MBSTF对UE的认证参数校验成功，并且MBSTF在步骤518中收到用于指示授权检查通过的信息，则该HTTP POST认证信息包括用于指示认证成功的状态码。

如果上述步骤518中，MBSTF收到用于指示授权检查未通过的信息，则该HTTP POST认证信息包括用于指示认证失败的状态码。

如果上述步骤518中，MBSTF收到允许该UE使用的用户服务的标识信息，则MBSTF判断允许该UE使用的用户服务的标识信息是否包括步骤511中收到的用户服务的标识信息。如果允许该UE使用的用户服务的标识信息包括步骤511中收到的用户服务的标识信息，则该HTTP POST认证信息包括用于指示认证成功的状态码。如果允许该UE使用的用户服务的标识信息不包括步骤511中收到的用户服务的标识信息，则该HTTP POST认证信息包括用于指示认证失败的状态码。可选的，如果上述步骤514中MBSTF根据获取的应用密钥对来自UE的认证参数进行校验，则当上述步骤514中MBSTF对UE的认证参数校验成功，并且MBSTF确定允许该UE使用的用户服务的标识信息包括步骤511中收到的用户服务的标识信息，则该HTTP POST认证信息包括用于指示认证成功的状态码。当上述步骤514中MBSTF对UE的认证参数校验成功，但MBSTF确定允许该UE使用的用户服务的标识信息不包括步骤511中收到的用户服务的标识信息，则该HTTP POST认证信息包括用于指示认证失败的状态码。其中，MBSTF确定允许该UE使用的用户服务的标识信息不包括步骤511中收到的用户服务的标识信息，即为MBSTF确定不允许该UE使用步骤511中收到的用户服务的标识信息对应的用户服务。

如果上述步骤518中，MBSTF收到允许使用该用户服务的UE的标识信息，则MBSTF判断允许使用该用户服务的UE的标识信息是否包括步骤513中收到的UE的标识信息。如果允许使用该用户服务的UE的标识信息包括步骤513中收到的UE的标识信息，则该HTTP POST认证信息包括用于指示认证成功的状态码。如果允许使用该用户服务的UE的标识信息是否不包括步骤513中收到的UE的标识信息，则该HTTP POST认证信息包括用于指示认证失败的状态码。可选的，如果上述步骤514中MBSTF根据获取的应用密钥对来自UE的认证参数进行校验，则当上述步骤514中MBSTF对UE的认证参数校验成功，并且MBSTF确定允许使用该用户服务的UE的标识信息包括步骤513中收到的UE的标识信息，则该HTTP POST认证信息包括用于指示认证成功的状态码。当上述步骤514中MBSTF对UE的认证参数校验成功，但MBSTF确定允许使用该用户服务的UE的标识信息不包括步骤513中收到的UE的标识信息，则该HTTP POST认证信息包括用于指示认证失败的状态码。其中，MBSTF确定允许使用该用户服务的UE的标识信息不包括步骤513中收到的UE的标识信息，即为MBSTF确定不允许该UE使用步骤511中收到的用户服务的标识信息对应的用户服务。

步骤520至步骤521，同上述步骤420至步骤421。

上述方案提供了一种AF根据授权信息对UE请求的用户服务进行授权检查的方法，可以防止未获得用户服务授权的UE获取多播密钥(如多播服务密钥、多播传输密钥)和多播数据，提升了安全性。

作为一种实现方法，上述图5中的安全建立流程也可以替换为图5(a)所示的安全建立流程。相较于图5中的安全建立流程，该图5(a)所示的安全建立流程中增加了步骤A1和步骤A2，且各个步骤之间的执行先后顺序可以参考图5(a)。其中步骤A1为UE向MBSTF发送携带密钥标识应用请求消息，该步骤A1触发MBSTF执行步骤512。步骤A2是针对步骤A1的响应，即MBSTF向UE发送应用响应消息，该应用响应消息用于通知UE：MBSTF是否成功获取到密钥标识对应的应用密钥。

作为另一种实现方法，上述图5中的安全建立流程也可以替换为图5(b)所示的安全建立流程。相较于图5中的安全建立流程，该图5(b)所示的安全建立流程中增加了步骤A1和步骤A2，且各个步骤之间的执行先后顺序可以参考图5(b)。其中步骤A1为UE向MBSTF发送携带密钥标识应用请求消息，该步骤A1触发MBSTF执行步骤512。步骤A2是针对步骤A1的响应，即MBSTF向UE发送应用响应消息，该应用响应消息用于通知UE：MBSTF是否成功获取到密钥标识对应的应用密钥。

图6为本申请实施例提供的一种建立多播业务传输的方法流程示意图。该方法包括以下步骤：

步骤601，同步骤401。

步骤602，AF向MBSF/NEF发送请求消息，该请求消息用于请求创建MBS会话和配置MBS会话参数，该请求消息包括一个或多个MBS会话的标识信息，该MBS会话的标识信息对应的用户服务的标识信息以及用户服务的标识信息对应的UE列表，该UE列表包括允许使用该用户服务的UE的标识信息。

该请求消息可以是Nnef_MBSSession_create_request消息。

该MBS会话的标识信息对应的用户服务的标识信息即为允许该UE使用的用户服务的标识信息。

示例性的，在使用AKMA的场景下，UE的标识信息可以是SUPI、GPSI或SUPI+GPSI。在使用GBA的场景下，UE的标识信息可以是SUPI、IMPI或SUPI+IMPI。

示例性的，该请求消息包括(user service ID1，MBS Session ID1，MBS SessionID2，UE列表1)，以及包括(user service ID2，MBS Session ID3，MBS Session ID4，MBSSession ID5，UE列表2)，其中，UE列表1包括UE1的标识信息和UE2的标识信息，UE列表2包括UE1的标识信息和UE3的标识信息。因此，user service ID1对应MBS Session ID1和MBSSession ID2，且user service ID1对应的UE列表1包括UE1的标识信息和UE2的标识信息，因此允许UE1和UE2使用的用户服务的标识信息包括user service ID1，允许UE1和UE2使用的MBS会话的标识信息包括MBS Session ID1和MBS Session ID2。类似地，user serviceID2，MBS Session ID3，MBS Session ID4，MBS Session ID5与UE列表2之间存在类似的关系。

步骤603，MBSF/NEF向MB-SMF发送请求消息，该请求消息用于请求创建MBS会话和配置MBS会话参数，该请求消息包括一个或多个MBS会话的标识信息，该MBS会话的标识信息对应的用户服务的标识信息以及用户服务的标识信息对应的UE列表。

该请求消息可以是Nmbsmf_MBSSession_create_request消息。

步骤604，MB-SMF向MBSF/NEF发送响应消息，该响应消息包括用户服务的标识信息以及UE列表。

该响应消息可以是Nmbsmf_MBSSession_create_response消息。

步骤605，MBSF/NEF向MBSTF发送会话请求消息，该会话请求消息包括一个或多个MBS会话的标识信息，该MBS会话的标识信息对应的用户服务的标识信息以及用户服务的标识信息对应的UE列表。

步骤606，MBSTF存储用户服务的标识信息以及UE列表。

上述方法，是由AF在会话配置过程中，通过MBSF/NEF向MBSTF配置用户服务的标识信息对应的UE列表，具体涉及上述步骤602、步骤603、步骤605和步骤606。当然，本申请实施例不限定向MBSTF配置用户服务的标识信息对应的UE列表的具体实现方法，比如还可以是在其它单独的流程中，由AF向MBSTF配置用户服务的标识信息对应的UE列表。

例如，MBSTF存储的信息如下所示：

user service ID 1，以及UE列表1，该UE列表1包括UE ID1，UE ID2，UE ID3；

user service ID 2，以及UE列表2，该UE列表2包括UE ID2，UE ID3，UE ID5；

user service ID 3，以及UE列表3，该UE列表3包括UE ID1，UE ID4，UE ID6。

作为另一种实现方法，MBSTF在存储允许使用该用户服务的UE的标识信息时，也可以以UE的标识的信息作为主键，存储UE的标识信息以及允许该UE使用的用户服务的标识信息。例如，MBSTF也可以存储以下信息：

UE ID1，以及user service ID 1，user service ID 3；

UE ID2，以及user service ID 1，user service ID 2；

UE ID3，以及user service ID 1，user service ID 2；

UE ID4，以及user service ID 3；

UE ID5，以及user service ID 2；

UE ID6，以及user service ID 3。

通过上述两种存储方式中的任一种存储方式，可以存储允许各个UE使用的用户服务的标识信息。

上述步骤602至步骤606中，AF通过MBSF/NEF、MB-SMF，向MBSTF提供用户服务的标识信息以及允许使用该用户服务的UE的标识信息(即一个UE列表)，从而在步骤606中MBSTF存储用户服务的标识信息以及该用户服务的标识信息对应的UE列表。作为一种可替代的实现方法，上述步骤602至步骤605中不携带用户服务的标识信息以及该用户服务的标识信息对应的UE列表，而是携带UE的标识信息以及允许该UE使用的用户服务的标识信息，这里的UE的标识信息可以是一个或多个，则该步骤606中存储的是UE的标识信息以及允许该UE使用的用户服务的标识信息。

步骤607，MBSTF向MBSF/NEF发送会话响应消息。

步骤608，MBSF/NEF向AF发送响应消息。

该响应消息可以是Nnef_MBSSession_create_response消息。

在MB-SMF、MB-UPF、MBSTF等完成配置后，MB-SMF向AF返回创建的MBS会话对应的MB-UPF的IP地址和/或MBSTF的IP地址。也即上述步骤604以及步骤608中包含MBS会话对应的MB-UPF的IP地址和/或MBSTF的IP地址。其中，MB-UPF可以是由MB-SMF选择的，MBSTF可以是由MBSF选择的。

步骤609至步骤619，同步骤404至步骤414。

其中，上述步骤614、步骤615、步骤619均为可选步骤。

步骤620，MBSTF对UE进行授权检查。

其中，如果上述步骤606中，MBSTF存储的是用户服务的标识信息以及该用户服务的标识信息对应的UE列表，则该步骤620具体可以是：MBSTF判断是否可以从本地获取到与步骤616的用户服务的标识信息对应的UE列表。如果能够获取到，则进一步判断该UE列表中是否包含步骤618中收到的UE的标识信息，如果该UE列表中包含步骤618中收到的UE的标识信息，则授权检查通过。否则，如果不能从本地获取到与步骤616的用户服务的标识信息对应的UE列表，或者可以从本地获取到与步骤616的用户服务的标识信息对应的UE列表，但该UE列表中不包含步骤618中收到的UE的标识信息，则授权检查不通过。示例性的，MBSTF存储了user service ID1以及user service ID1对应的UE列表1，且UE列表1包括UE1的标识信息和UE2的标识信息，以及还存储了user service ID2以及user service ID2对应的UE列表2，且UE列表2包括UE1的标识信息和UE3的标识信息。假设上述步骤616携带了userservice ID1，且MBSTF从步骤618接收到UE1的标识信息，则先从本地获取user serviceID1对应的UE列表，即UE列表1，由于该UE列表1中包含UE1的标识信息，则表明允许UE1使用user service ID1对应的用户服务，因此授权检查通过。

其中，如果上述步骤606中，MBSTF存储的是UE的标识信息以及允许该UE使用的用户服务的标识信息，则该步骤620具体可以是：MBSTF判断是否可以从本地获取到与步骤618的UE的标识信息对应的允许该UE使用的用户服务的标识信息。如果能够获取到，则进一步判断允许该UE使用的用户服务的标识信息中是否包含步骤616中收到的用户服务的标识信息，如果允许该UE使用的用户服务的标识信息中包含步骤616中收到的用户服务的标识信息，则授权检查通过。否则，如果不能从本地获取到与步骤618的UE的标识信息对应的允许该UE使用的用户服务的标识信息，或者可以从本地获取到与步骤618的UE的标识信息对应的允许该UE使用的用户服务的标识信息，但允许该UE使用的用户服务的标识信息中不包含步骤616中收到的用户服务的标识信息，则授权检查不通过。示例性的，MBSTF存储了UE1的标识信息对应的user service ID1以及user service ID2，以及还存储了UE2的标识信息对应的user service ID1以及user service ID3。假设上述步骤616携带了user serviceID1，且MBSTF从步骤618接收到UE1的标识信息，则先从本地获取UE1的标识信息对应的userservice ID1以及user service ID2，由于UE1的标识信息对应的user service ID1以及user service ID2中包括步骤616携带的user service ID1，表明允许UE1使用userservice ID1对应的用户服务，因此授权检查通过。

步骤621，MBSTF向UE发送HTTP POST认证信息(HTTP POST Authorization Info)。

如果上述步骤620中，MBSTF授权检查通过，则该HTTP POST认证信息包括用于指示认证成功的状态码。可选的，如果上述步骤614中MBSTF根据获取的应用密钥对来自UE的认证参数进行校验，则当上述步骤614中MBSTF对UE的认证参数校验成功，并且在步骤620中MBSTF授权检查通过，则该HTTP POST认证信息包括用于指示认证成功的状态码。

如果上述步骤620中，MBSTF授权检查未通过，则该HTTP POST认证信息包括用于指示认证失败的状态码。

步骤622至步骤623，同步骤420至步骤421。

上述方案提供了一种MBSTF对UE请求的用户服务进行授权检查的方法，可以防止未获得用户服务授权的UE获取多播密钥(如多播服务密钥、多播传输密钥)和多播数据，提升了安全性。

作为一种实现方法，上述图6中的安全建立流程也可以替换为图6(a)所示的安全建立流程。相较于图6中的安全建立流程，该图6(a)所示的安全建立流程中增加了步骤A1和步骤A2，且各个步骤之间的执行先后顺序可以参考图6(a)。其中步骤A1为UE向MBSTF发送携带密钥标识应用请求消息，该步骤A1触发MBSTF执行步骤617。步骤A2是针对步骤A1的响应，即MBSTF向UE发送应用响应消息，该应用响应消息用于通知UE：MBSTF是否成功获取到密钥标识对应的应用密钥。

作为另一种实现方法，上述图6中的安全建立流程也可以替换为图6(b)所示的安全建立流程。相较于图6中的安全建立流程，该图6(b)所示的安全建立流程中增加了步骤A1和步骤A2，且各个步骤之间的执行先后顺序可以参考图6(b)。其中步骤A1为UE向MBSTF发送携带密钥标识应用请求消息，该步骤A1触发MBSTF执行步骤617。步骤A2是针对步骤A1的响应，即MBSTF向UE发送应用响应消息，该应用响应消息用于通知UE：MBSTF是否成功获取到密钥标识对应的应用密钥。

图7为本申请实施例提供的一种建立多播业务传输的方法流程示意图。该方法包括以下步骤：

步骤701，同步骤401。

步骤702，AF向MBSF/NEF发送请求消息，该请求消息用于请求创建MBS会话和配置MBS会话参数，该请求消息包括一个或多个MBS会话的标识信息，该MBS会话的标识信息对应的用户服务的标识信息。

该请求消息可以是Nnef_MBSSession_create_request消息。

步骤703，MBSF/NEF生成用户服务的标识信息对应的令牌(token)或者生成一个或多个MBS会话的标识信息分别对应的令牌。

其中，令牌可以是随机数或者是其它类型的参数。比如，MBSF/NEF利用随机数发生器，生成特定长度的字符串，作为令牌，或者MBSF/NEF对输入参数进行哈希运算，得到特定长度的输出，作为令牌，输入参数可以是MBS会话的标识信息、用户服务的标识信息或其他信元中的一个或多个。

这里的一个或多个MBS会话的标识信息指的是与用户服务的标识信息对应的MBS会话的标识信息。

一种实现方法中，MBSF/NEF生成用户服务的标识信息对应的令牌，则令牌也即为该用户服务的标识信息对应的一个或多个MBS会话的标识信息所对应的令牌，也即同一个用户服务的标识信息对应的一个或多个MBS会话的标识信息，均对应相同的令牌。

另一种实现方法中，MBSF/NEF生成一个或多个MBS会话的标识信息分别对应的令牌，也即同一个用户服务的标识信息对应的不同的MBS会话的标识信息，分别对应不同的令牌。该步骤703为可选步骤。当不执行该703，则可以由AF或MB-SMF生成用户服务的标识信息对应的令牌(token)或者生成一个或多个MBS会话的标识信息分别对应的令牌。

步骤704，MBSF/NEF向MB-SMF发送请求消息，该请求消息用于请求创建MBS会话和配置MBS会话参数，该请求消息包括一个或多个MBS会话的标识信息，该一个或多个MBS会话的标识信息对应的用户服务的标识信息，以及包括用户服务的标识信息对应的令牌，或者一个或多个MBS会话的标识信息分别对应的令牌。

该请求消息可以是Nmbsmf_MBSSession_create_request消息。

步骤705，MB-SMF存储用户服务的标识信息对应的令牌，和/或存储一个或多个MBS会话的标识信息分别对应的令牌。

步骤706，MB-SMF向MBSF/NEF发送响应消息。

该响应消息可以是Nmbsmf_MBSSession_create_response消息。

步骤707，MBSF/NEF向MBSTF发送会话请求消息，该会话请求消息包括一个或多个MBS会话的标识信息，该一个或多个MBS会话的标识信息对应的用户服务的标识信息，以及包括用户服务的标识信息对应的令牌，或者一个或多个MBS会话的标识信息分别对应的令牌。

步骤708，MBSTF存储用户服务的标识信息对应的令牌，和/或存储一个或多个MBS会话的标识信息分别对应的令牌。

步骤709，MBSTF向MBSF/NEF发送会话响应消息。

步骤710，MBSF/NEF向AF发送响应消息。

该响应消息可以是Nnef_MBSSession_create_response消息。

在MB-SMF、MB-UPF、MBSTF等完成配置后，MB-SMF向AF返回创建的MBS会话对应的MB-UPF的IP地址和/或MBSTF的IP地址。也即上述步骤706以及步骤710中包含MBS会话对应的MB-UPF的IP地址和/或MBSTF的IP地址。其中，MB-UPF可以是由MB-SMF选择的，MBSTF可以是由MBSF选择的。

步骤711至步骤713，同上述步骤404至步骤406。

步骤714，SMF向MB-SMF发送订阅请求，该订阅请求包括MBS会话的标识信息。

步骤715，MB-SMF向SMF发送订阅响应，该订阅响应包括MBS会话的标识信息以及该MBS会话的标识信息对应的令牌。

步骤716，SMF在检查UE的授权后，对PDU会话进行修改，并配置MB-UPF与接入网设备之间的承载。

该流程的详细过程可参考TS 23.247第7.2.1.3章节。

步骤717，SMF经由AMF向UE发送UE加入响应消息，该UE加入响应消息包括MBS会话的标识信息以及该MBS会话的标识信息对应的令牌。

步骤718至步骤719，同上述步骤409至步骤410。

上述步骤718至步骤719为可选步骤。

步骤720，UE向MBSTF发送HTTP POST认证请求消息，该消息包括用户服务的标识信息，密钥标识(KID)，基于应用密钥生成的认证参数以及令牌。

具体地，UE在上述步骤717中收到该MBS会话的标识信息对应的令牌，该步骤720中的用户服务的标识信息是与该MBS会话对应的用户服务的标识信息，该步骤720的令牌是与该MBS会话的标识信息对应的令牌。

步骤721至步骤723，同上述步骤412至步骤414。

步骤724，MBSTF对UE进行授权检查。

一种实现方法中，当步骤708中MBSTF存储了用户服务的标识信息对应的令牌，则当在步骤720中收到用户服务的标识信息之后，从MBSTF获取与该用户服务的标识信息对应的令牌(以下称为令牌1)。然后MBSTF判断该令牌1与步骤720中收到令牌是否相同。如果相同则授权检查通过。如果不同则授权检查不通过。

另一种实现方法中，当步骤708中MBSTF存储了一个或多个MBS会话的标识信息分别对应的令牌，则当在步骤720中收到用户服务的标识信息之后，从MBSTF获取与该用户服务的标识信息对应的一个或多个MBS会话的标识信息，然后再获取该一个或多个MBS会话的标识信息分别对应的令牌。然后MBSTF判断该一个或多个MBS会话的标识信息分别对应的令牌中是否包含步骤720中收到令牌。如果包含则授权检查通过。如果不包含则授权检查不通过。

步骤725，MBSTF向UE发送HTTP POST认证信息。

如果上述步骤724中，MBSTF确定授权检查通过，则该HTTP POST认证信息包括用于指示认证成功的状态码。可选的，如果上述步骤723中MBSTF根据获取的应用密钥对来自UE的认证参数进行校验，则当上述步骤723中MBSTF对UE的认证参数校验成功，并且在步骤724中MBSTF授权检查通过，则该HTTP POST认证信息包括用于指示认证成功的状态码。

如果上述步骤724中，MBSTF确定授权检查未通过，则该HTTP POST认证信息包括用于指示认证失败的状态码。

步骤726至步骤727，同上述步骤420至步骤421。

作为一种实现方法，上述图7中的安全建立流程也可以替换为图7(a)所示的安全建立流程。相较于图7中的安全建立流程，该图7(a)所示的安全建立流程中增加了步骤A1和步骤A2，且各个步骤之间的执行先后顺序可以参考图7(a)。其中步骤A1为UE向MBSTF发送携带密钥标识应用请求消息，该步骤A1触发MBSTF执行步骤721。步骤A2是针对步骤A1的响应，即MBSTF向UE发送应用响应消息，该应用响应消息用于通知UE：MBSTF是否成功获取到密钥标识对应的应用密钥。

作为另一种实现方法，上述图7中的安全建立流程也可以替换为图7(b)所示的安全建立流程。相较于图7中的安全建立流程，该图7(b)所示的安全建立流程中增加了步骤A1和步骤A2，且各个步骤之间的执行先后顺序可以参考图7(b)。其中步骤A1为UE向MBSTF发送携带密钥标识应用请求消息，该步骤A1触发MBSTF执行步骤721。步骤A2是针对步骤A1的响应，即MBSTF向UE发送应用响应消息，该应用响应消息用于通知UE：MBSTF是否成功获取到密钥标识对应的应用密钥。

可以理解的是，为了实现上述实施例中功能，多播/广播服务传输功能网元、统一数据管理网元、应用功能网元或终端设备包括了执行各个功能相应的硬件结构和/或软件模块。本领域技术人员应该很容易意识到，结合本申请中所公开的实施例描述的各示例的单元及方法步骤，本申请能够以硬件或硬件和计算机软件相结合的形式来实现。某个功能究竟以硬件还是计算机软件驱动硬件的方式来执行，取决于技术方案的特定应用场景和设计约束条件。

图8和图9为本申请的实施例提供的可能的通信装置的结构示意图。这些通信装置可以用于实现上述方法实施例中多播/广播服务传输功能网元、统一数据管理网元、应用功能网元或终端设备的功能，因此也能实现上述方法实施例所具备的有益效果。在本申请的实施例中，该通信装置可以是多播/广播服务传输功能网元、统一数据管理网元、应用功能网元或终端设备，也可以是应用于多播/广播服务传输功能网元的模块(如芯片)、统一数据管理网元的模块(如芯片)、应用功能网元的模块(如芯片)或终端设备的模块(如芯片)。

如图8所示，通信装置800包括处理单元810和收发单元820。通信装置800用于实现上述方法实施例中多播/广播服务传输功能网元、统一数据管理网元、应用功能网元或终端设备的功能。

当该通信装置800用于实现上述方法实施例中的多播/广播服务传输功能网元的功能，收发单元，用于接收来自终端设备的第一用户服务的标识信息，该第一用户服务是多播服务；向第一网元发送请求消息，该请求消息包括该终端设备的标识信息和该第一用户服务的标识信息，该请求消息用于请求验证是否允许该终端设备使用该第一用户服务；从该第一网元接收验证结果，该验证结果指示允许该终端设备使用该第一用户服务，或指示不允许该终端设备使用该第一用户服务。

在一种可能的实现方法中，收发单元，具体用于在处理单元对来自该终端设备的认证参数认证通过之后，向该第一网元发送该请求消息。

在一种可能的实现方法中，收发单元，还用于接收来自该终端设备的密钥标识和认证参数；处理单元，用于获取该密钥标识对应的应用密钥；以及根据该应用密钥对该认证参数进行认证。

在一种可能的实现方法中，收发单元，具体用于在处理单元对来自该终端设备的认证参数认证通过，且该验证结果指示允许该终端设备使用该第一用户服务的情况下，向该终端设备发送指示允许该终端设备使用该第一用户服务的信息；或者，在处理单元对来自该终端设备的认证参数认证通过，且该验证结果指示不允许该终端设备使用该第一用户服务的情况下，向该终端设备发送指示不允许该终端设备使用该第一用户服务的信息。

在一种可能的实现方法中，收发单元，具体用于在该验证结果指示允许该终端设备使用该第一用户服务的情况下，向该终端设备发送指示允许该终端设备使用该第一用户服务的信息；或者，在该验证结果指示不允许该终端设备使用该第一用户服务的情况下，向该终端设备发送指示不允许该终端设备使用该第一用户服务的信息。

在一种可能的实现方法中，收发单元，具体用于在处理单元确定未存储允许该终端设备使用的用户服务的标识信息的情况下，向该第一网元发送该请求消息。

在一种可能的实现方法中，收发单元，具体用于通过网络开放功能网元或多播/广播服务功能网元向该第一网元发送该请求消息。

当该通信装置800用于实现上述方法实施例中的多播/广播服务传输功能网元的功能，收发单元，用于接收来自终端设备的第一用户服务的标识信息，该第一用户服务是多播服务；向第一网元发送请求消息，该请求消息包括该终端设备的标识信息，该请求消息用于请求允许该终端设备使用的用户服务的标识信息；从该第一网元接收允许该终端设备使用的用户服务的标识信息；处理单元，用于根据该第一用户服务的标识信息和允许该终端设备使用的用户服务的标识信息，验证是否允许该终端设备使用该第一用户服务。

在一种可能的实现方法中，处理单元，具体用于若该允许该终端设备使用的用户服务的标识信息包括该第一用户服务的标识信息，则确定允许该终端设备使用该第一用户服务；或者，若该允许该终端设备使用的用户服务的标识信息不包括该第一用户服务的标识信息，则确定不允许该终端设备使用该第一用户服务。

当该通信装置800用于实现上述方法实施例中的第一网元的功能，收发单元，用于接收来自多播/广播服务传输功能网元的请求消息，该请求消息包括终端设备的标识信息和第一用户服务的标识信息，该请求消息用于请求验证是否允许该终端设备使用该第一用户服务；处理单元，用于根据允许该终端设备使用的用户服务的标识信息和该第一用户服务的标识信息，验证是否允许该终端设备使用该第一用户服务；向该多播/广播服务传输功能网元发送验证结果。

在一种可能的实现方法中，处理单元，具体用于若该允许该终端设备使用的用户服务的标识信息包括该第一用户服务的标识信息，则生成该验证结果，该验证结果指示允许该终端设备使用该第一用户服务；或者，若该允许该终端设备使用的用户服务的标识信息不包括该第一用户服务的标识信息，则生成该验证结果，该验证结果指示不允许该终端设备使用该第一用户服务。

在一种可能的实现方法中，收发单元，还用于在接收来自多播/广播服务传输功能网元的请求消息之前，接收来自应用功能网元的该允许该终端设备使用的用户服务的标识信息。

当该通信装置800用于实现上述方法实施例中的多播/广播服务传输功能网元的功能，收发单元，用于接收来自应用功能网元的用户服务的标识信息和允许使用该用户服务的终端设备的标识信息，该用户服务是多播服务；接收来自第一终端设备的该用户服务的标识信息；处理单元，用于根据该第一终端设备的标识信息和允许使用该用户服务的终端设备的标识信息，验证是否允许该第一终端设备使用该用户服务。

在一种可能的实现方法中，处理单元，具体用于若该允许使用该用户服务的终端设备的标识信息包括该第一终端设备的标识信息，则确定允许该第一终端设备使用该用户服务；或者，若该允许使用该用户服务的终端设备的标识信息不包括该第一终端设备的标识信息，则确定不允许该第一终端设备使用该用户服务。

在一种可能的实现方法中，处理单元，具体用于在对来自该第一终端设备的认证参数认证通过之后，根据该第一终端设备的标识信息和允许使用该用户服务的终端设备的标识信息，验证是否允许该第一终端设备使用该用户服务。

在一种可能的实现方法中，收发单元，还用于在处理单元对来自该第一终端设备的认证参数认证通过，且确定允许该第一终端设备使用该用户服务的情况下，向该第一终端设备发送指示允许该第一终端设备使用该用户服务的信息；或者，在处理单元对来自该第一终端设备的认证参数认证通过，且确定不允许该第一终端设备使用该用户服务的情况下，向该第一终端设备发送指示不允许该第一终端设备使用该用户服务的信息。

在一种可能的实现方法中，收发单元，还用于在处理单元确定允许该第一终端设备使用该用户服务的情况下，向该第一终端设备发送指示允许该第一终端设备使用该用户服务的信息；或者，在处理单元确定不允许该第一终端设备使用该用户服务的情况下，向该第一终端设备发送指示不允许该第一终端设备使用该用户服务的信息。

当该通信装置800用于实现上述方法实施例中的多播/广播服务传输功能网元的功能，收发单元，用于接收来自终端设备的用户服务的标识信息和第一令牌，该用户服务是多播服务；以及获取该用户服务的标识信息对应的一个或多个令牌；处理单元，用于根据该第一令牌和该一个或多个令牌，验证是否允许该终端设备使用该用户服务。

在一种可能的实现方法中，处理单元，具体用于若一个或多个令牌包括该第一令牌，则确定允许该终端设备使用该用户服务；或者，若一个或多个令牌不包括该第一令牌，则确定不允许该终端设备使用该用户服务。

在一种可能的实现方法中，收发单元，还用于在接收来自终端设备的用户服务的标识信息和第一令牌之前，接收来自应用功能网元、网络开放功能网元或多播/广播服务功能网元的该用户服务的标识信息以及该用户服务的标识信息对应的该一个或多个令牌。

当该通信装置800用于实现上述方法实施例中的终端设备的功能，收发单元，用于向会话管理网元发送多播服务会话的标识信息；接收来自该会话管理网元的与该多播服务会话对应的第一令牌；向多播/广播服务传输功能网元发送该第一令牌和与该多播服务会话对应的用户服务的标识信息，该用户服务是多播服务，该第一令牌用于验证是否允许终端设备使用该用户服务。在一种可能的实现方法中，收发单元，具体用于向该会话管理网元发送请求消息，该请求消息包括该多播服务会话的标识信息，该请求消息用于请求加入该多播服务会话。

在一种可能的实现方法中，收发单元，具体用于接收来自该会话管理网元的该请求消息的响应消息，该响应消息包括该第一令牌。

在一种可能的实现方法中，收发单元，具体用于接收来自该会话管理网元的会话修改命令消息，该会话修改命令消息包括该第一令牌。

有关上述处理单元810和收发单元820更详细的描述可以直接参考上述方法实施例中相关描述直接得到，这里不加赘述。

如图9所示，通信装置900包括处理器910和接口电路920。处理器910和接口电路920之间相互耦合。可以理解的是，接口电路920可以为收发器或输入输出接口。可选的，通信装置900还可以包括存储器930，用于存储处理器910执行的指令或存储处理器910运行指令所需要的输入数据或存储处理器910运行指令后产生的数据。

当通信装置900用于实现上述方法实施例时，处理器910用于实现上述处理单元810的功能，接口电路920用于实现上述收发单元820的功能。

可以理解的是，本申请的实施例中的处理器可以是中央处理单元(centralprocessing unit，CPU)，还可以是其它通用处理器、数字信号处理器(digital signalprocessor，DSP)、专用集成电路(application specific integrated circuit，ASIC)、现场可编程门阵列(field programmable gate array，FPGA)或者其它可编程逻辑器件、晶体管逻辑器件，硬件部件或者其任意组合。通用处理器可以是微处理器，也可以是任何常规的处理器。

本申请的实施例中的方法步骤可以通过硬件的方式来实现，也可以由处理器执行软件指令的方式来实现。软件指令可以由相应的软件模块组成，软件模块可以被存放于随机存取存储器、闪存、只读存储器、可编程只读存储器、可擦除可编程只读存储器、电可擦除可编程只读存储器、寄存器、硬盘、移动硬盘、CD-ROM或者本领域熟知的任何其它形式的存储介质中。一种示例性的存储介质耦合至处理器，从而使处理器能够从该存储介质读取信息，且可向该存储介质写入信息。当然，存储介质也可以是处理器的组成部分。处理器和存储介质可以位于ASIC中。另外，该ASIC可以位于基站或终端中。当然，处理器和存储介质也可以作为分立组件存在于基站或终端中。

在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机程序或指令。在计算机上加载和执行所述计算机程序或指令时，全部或部分地执行本申请实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、基站、用户设备或者其它可编程装置。所述计算机程序或指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机程序或指令可以从一个网站站点、计算机、服务器或数据中心通过有线或无线方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是集成一个或多个可用介质的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质，例如，软盘、硬盘、磁带；也可以是光介质，例如，数字视频光盘；还可以是半导体介质，例如，固态硬盘。该计算机可读存储介质可以是易失性或非易失性存储介质，或可包括易失性和非易失性两种类型的存储介质。

在本申请的各个实施例中，如果没有特殊说明以及逻辑冲突，不同的实施例之间的术语和/或描述具有一致性、且可以相互引用，不同的实施例中的技术特征根据其内在的逻辑关系可以组合形成新的实施例。

本申请中，“至少一个”是指一个或者多个，“多个”是指两个或两个以上。“和/或”，描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B的情况，其中A，B可以是单数或者复数。在本申请的文字描述中，字符“/”，一般表示前后关联对象是一种“或”的关系；在本申请的公式中，字符“/”，表示前后关联对象是一种“相除”的关系。

可以理解的是，在本申请的实施例中涉及的各种数字编号仅为描述方便进行的区分，并不用来限制本申请的实施例的范围。上述各过程的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定。

Claims

1.一种验证方法，其特征在于，包括：

接收来自终端设备的第一用户服务的标识信息，所述第一用户服务是多播服务；

向第一网元发送请求消息，所述请求消息包括所述终端设备的标识信息和所述第一用户服务的标识信息，所述请求消息用于请求验证是否允许所述终端设备使用所述第一用户服务；

从所述第一网元接收验证结果，所述验证结果指示允许所述终端设备使用所述第一用户服务，或指示不允许所述终端设备使用所述第一用户服务。

2.如权利要求1所述的方法，其特征在于，所述向所述第一网元发送所述请求消息，包括：

在对来自所述终端设备的认证参数认证通过之后，向所述第一网元发送所述请求消息。

3.如权利要求2所述的方法，其特征在于，所述方法还包括：

在对来自所述终端设备的认证参数认证通过，且所述验证结果指示允许所述终端设备使用所述第一用户服务的情况下，向所述终端设备发送指示允许所述终端设备使用所述第一用户服务的信息；或者，

在对来自所述终端设备的认证参数认证通过，且所述验证结果指示不允许所述终端设备使用所述第一用户服务的情况下，向所述终端设备发送指示不允许所述终端设备使用所述第一用户服务的信息。

4.如权利要求1所述的方法，其特征在于，所述方法还包括：

在所述验证结果指示允许所述终端设备使用所述第一用户服务的情况下，向所述终端设备发送指示允许所述终端设备使用所述第一用户服务的信息；或者，

在所述验证结果指示不允许所述终端设备使用所述第一用户服务的情况下，向所述终端设备发送指示不允许所述终端设备使用所述第一用户服务的信息。

5.如权利要求1或4所述的方法，其特征在于，所述向第一网元发送请求消息，包括：

确定未存储允许所述终端设备使用的用户服务的标识信息，则向所述第一网元发送所述请求消息。

6.如权利要求1至5中任一项所述的方法，其特征在于，所述向第一网元发送请求消息，包括：

通过网络开放功能网元或多播/广播服务功能网元向所述第一网元发送所述请求消息。

7.如权利要求1至6中任一项所述的方法，其特征在于，所述第一网元是统一数据管理网元、应用功能网元或多播/广播服务功能网元。

8.一种验证方法，其特征在于，包括：

向第一网元发送请求消息，所述请求消息包括所述终端设备的标识信息，所述请求消息用于请求允许所述终端设备使用的用户服务的标识信息；

从所述第一网元接收允许所述终端设备使用的用户服务的标识信息；

根据所述第一用户服务的标识信息和允许所述终端设备使用的用户服务的标识信息，验证是否允许所述终端设备使用所述第一用户服务。

9.如权利要求8所述的方法，其特征在于，所述根据所述第一用户服务的标识信息和允许所述终端设备使用的用户服务的标识信息，验证是否允许所述终端设备使用所述第一用户服务，包括：

若所述允许所述终端设备使用的用户服务的标识信息包括所述第一用户服务的标识信息，则确定允许所述终端设备使用所述第一用户服务；或者，

若所述允许所述终端设备使用的用户服务的标识信息不包括所述第一用户服务的标识信息，则确定不允许所述终端设备使用所述第一用户服务。

10.如权利要求8或9所述的方法，其特征在于，所述向所述第一网元发送所述请求消息，包括：

11.如权利要求10所述的方法，其特征在于，所述方法还包括：

12.如权利要求8或9所述的方法，其特征在于，所述方法还包括：

13.如权利要求8、9或12中任一项所述的方法，其特征在于，所述向第一网元发送请求消息，包括：

14.如权利要求8至13中任一项所述的方法，其特征在于，所述向第一网元发送请求消息，包括：

15.如权利要求8至14中任一项所述的方法，其特征在于，所述第一网元是统一数据管理网元、应用功能网元或多播/广播服务功能网元。

16.一种验证方法，其特征在于，包括：

接收来自多播/广播服务传输功能网元的请求消息，所述请求消息包括终端设备的标识信息和第一用户服务的标识信息，所述请求消息用于请求验证是否允许所述终端设备使用所述第一用户服务；

根据允许所述终端设备使用的用户服务的标识信息和所述第一用户服务的标识信息，验证是否允许所述终端设备使用所述第一用户服务；

向所述多播/广播服务传输功能网元发送验证结果。

17.如权利要求16所述的方法，其特征在于，所述根据所述第一用户服务的标识信息和允许所述终端设备使用的用户服务的标识信息，验证是否允许所述终端设备使用所述第一用户服务，包括：

若所述允许所述终端设备使用的用户服务的标识信息包括所述第一用户服务的标识信息，则生成所述验证结果，所述验证结果指示允许所述终端设备使用所述第一用户服务；或者，

若所述允许所述终端设备使用的用户服务的标识信息不包括所述第一用户服务的标识信息，则生成所述验证结果，所述验证结果指示不允许所述终端设备使用所述第一用户服务。

18.如权利要求16或17所述的方法，其特征在于，所述接收来自多播/广播服务传输功能网元的请求消息之前，还包括：

接收来自应用功能网元的所述允许所述终端设备使用的用户服务的标识信息。

19.一种验证方法，其特征在于，包括：

接收来自应用功能网元的用户服务的标识信息和允许使用所述用户服务的终端设备的标识信息，所述用户服务是多播服务；

接收来自第一终端设备的所述用户服务的标识信息；

根据所述第一终端设备的标识信息和允许使用所述用户服务的终端设备的标识信息，验证是否允许所述第一终端设备使用所述用户服务。

20.如权利要求19所述的方法，其特征在于，所述根据所述第一终端设备的标识信息和允许使用所述用户服务的终端设备的标识信息，验证是否允许所述第一终端设备使用所述用户服务，包括：

若所述允许使用所述用户服务的终端设备的标识信息包括所述第一终端设备的标识信息，则确定允许所述第一终端设备使用所述用户服务；或者，

若所述允许使用所述用户服务的终端设备的标识信息不包括所述第一终端设备的标识信息，则确定不允许所述第一终端设备使用所述用户服务。

21.如权利要求19或20所述的方法，其特征在于，所述根据所述第一终端设备的标识信息和允许使用所述用户服务的终端设备的标识信息，验证是否允许所述第一终端设备使用所述用户服务，包括：

在对来自所述第一终端设备的认证参数认证通过之后，根据所述第一终端设备的标识信息和允许使用所述用户服务的终端设备的标识信息，验证是否允许所述第一终端设备使用所述用户服务。

22.如权利要求21所述的方法，其特征在于，所述方法还包括：

在对来自所述第一终端设备的认证参数认证通过，且确定允许所述第一终端设备使用所述用户服务的情况下，向所述第一终端设备发送指示允许所述第一终端设备使用所述用户服务的信息；或者，

在对来自所述第一终端设备的认证参数认证通过，且确定不允许所述第一终端设备使用所述用户服务的情况下，向所述第一终端设备发送指示不允许所述第一终端设备使用所述用户服务的信息。

23.如权利要求19或20所述的方法，其特征在于，所述方法还包括：

在确定允许所述第一终端设备使用所述用户服务的情况下，向所述第一终端设备发送指示允许所述第一终端设备使用所述用户服务的信息；或者，

在确定不允许所述第一终端设备使用所述用户服务的情况下，向所述第一终端设备发送指示不允许所述第一终端设备使用所述用户服务的信息。

24.一种验证方法，其特征在于，包括：

接收来自终端设备的用户服务的标识信息和第一令牌，所述用户服务是多播服务；

获取所述用户服务的标识信息对应的一个或多个令牌；

根据所述第一令牌和所述一个或多个令牌，验证是否允许所述终端设备使用所述用户服务。

25.如权利要求24所述的方法，其特征在于，所述根据所述第一令牌和所述一个或多个令牌，验证是否允许所述终端设备使用所述用户服务，包括：

若一个或多个令牌包括所述第一令牌，则确定允许所述终端设备使用所述用户服务；或者，

若一个或多个令牌不包括所述第一令牌，则确定不允许所述终端设备使用所述用户服务。

26.如权利要求24或25所述的方法，其特征在于，所述接收来自终端设备的用户服务的标识信息和第一令牌之前，还包括：

接收来自应用功能网元、网络开放功能网元或多播/广播服务功能网元的所述用户服务的标识信息以及所述用户服务的标识信息对应的所述一个或多个令牌。

27.一种通信装置，其特征在于，包括用于执行如权利要求1至7中任一项所述方法的模块，或用于执行如权利要求8至15中任一项所述方法的模块，或用于执行如权利要求16至18中任一项所述方法的模块，或用于执行如权利要求19至23中任一项所述方法的模块，或用于执行如权利要求24至26中任一项所述方法的模块。

28.一种通信系统，其特征在于，包括：用于执行如权利要求1至7中任一项所述方法的多播/广播服务传输功能网元，和用于执行如权利要求16至18中任一项所述方法的第一网元。

29.一种通信系统，其特征在于，包括：第一网元，和用于执行如权利要求8至15中任一项所述方法的多播/广播服务传输功能网元；

所述第一网元，用于接收来自所述多播/广播服务传输功能网元的请求消息，所述请求消息包括终端设备的标识信息，所述请求消息用于请求允许所述终端设备使用的用户服务的标识信息；以及向所述多播/广播服务传输功能网元发送允许所述终端设备使用的用户服务的标识信息。

30.一种通信系统，其特征在于，包括：应用功能网元，和用于执行如权利要求19至23中任一项所述方法的多播/广播服务传输功能网元；

所述应用功能网元，用于向所述多播/广播服务传输功能网元发送用户服务的标识信息和允许使用所述用户服务的终端设备的标识信息，所述用户服务是多播服务。

31.一种计算机可读存储介质，其特征在于，所述存储介质中存储有计算机程序或指令，当所述计算机程序或指令被通信装置执行时，实现如权利要求1至26中任一项所述的方法。