CN116800510A - 一种金融服务系统、方法及介质 - Google Patents

Abstract

本申请提供一种金融服务系统、方法及介质，利用单点登录服务器接收终端发送的访问请求，以及根据访问请求，获取用户名对应的用户身份信息，并在验证通过时生成并反馈登录票据信息给终端；安全网关在确定业务处理请求中的登录票据信息有效，且在判断待访问内网应用的标识所对应的内网应用为已注册内网应用时，将终端发送的业务处理请求转发给内网业务服务器；由内网业务服务器对该处理请求中的用户身份信息进行二次合法性验证处理，且在验证通过时，响应业务处理请求，以确定用户可访问内部网络。利用本申请的系统可以对访问人员的用户信息、内网应用以及使用的终端信息均进行验证处理，从而可提高访问内部网络的安全性。

Description

一种金融服务系统、方法及介质

技术领域

本申请涉及可用于金融领域或其他领域，尤其涉及一种金融服务系统、方法及介质。

背景技术

随着计算机技术的发展，各行各业已从纸质化办公转换为电子办公，银行更是如此，无论是存储款还是内部员工的考核处理，如利用便携式办公系统来实现银行内部员工的考勤、审批等请求操作处理。而随着对银行管理的提高以及业务的拓展，银行内部员工希望可以随时随地的进行业务处理，以便提高工作效率，如远程办公等。

现有技术中，为了能够使得银行内部员工可以随时随地的进行业务办理，通过虚拟专用网络(Virtual Private Network，VPN)访问银行内部网络的方式应运而生，它可以通过加密的通讯协议，为银行内部网与银行内部员工之间建立一条专有的通讯线路，由此实现随时随地进行业务处理；也就是说，当银行内部员工获取到内部网络授权的VPN，即获取访问银行内部网络的账号和密码，银行内部员工可通过该账号和密码便可随时随地访问银行内部网络，以便进行业务处理。

但是，由于在持有授权的VPN，即在持有访问银行内部网络的账号和密码后，均可利用该授权的VPN所建立的通信链路访问银行内部网络。这可能会发生无论是否是银行内部员工，其只要持有授权的VPN，在利用相关账号以及密码登录上VPN后，便能够利用VPN所建立的专有通讯线路访问银行内部网络的情况，使得访问银行内部网络不够安全。

发明内容

本申请提供一种金融服务系统、方法及介质，用以解决现有技术中访问银行内部网络安全性较差的问题。

第一方面，本申请提供一种金融服务系统，所述系统包括安全网关、内网业务服务器和单点登录服务器；

所述单点登录服务器，用于通过所述安全网关接收终端发送的访问请求，所述访问请求包括：用户名；

所述单点登录服务器，还用于根据所述访问请求，获取所述用户名对应的用户身份信息，并对所述用户身份信息进行初次合法性验证处理，并在初次合法性验证处理结果为通过时，生成并反馈登录票据信息给所述终端；

所述安全网关，用于接收所述终端发送的业务处理请求，所述业务处理请求包括：所述用户名、待访问内网应用的标识和所述登录票据信息；

所述安全网关，还用于在确定所述业务处理请求中的所述登录票据信息有效时，判断所述待访问内网应用的标识所对应的内网应用是否为已注册内网应用，并在确定所述内网应用为已注册应用时，将所述业务处理请求转发给与所述内网应用对应的内网业务服务器；

所述内网业务服务器，用于对所述业务处理请求中的用户名对应的用户身份信息进行二次合法性验证处理，且在二次合法性验证处理结果为通过时，响应所述业务处理请求，以确定所述用户可访问内部网络。

第二方面，本申请提供了一种金融服务方法，所述方法应用于如第一方面所述的系统中，则所述方法，包括：

所述单点登录服务器通过所述安全网关接收终端发送的访问请求，所述访问请求包括：用户名；

所述单点登录服务器根据所述访问请求，获取所述用户名对应的用户身份信息，并对所述用户身份信息进行初次合法性验证处理，并在初次合法性验证处理结果为通过时，生成并反馈登录票据信息给所述终端；

所述安全网关接收所述终端发送的业务处理请求，所述业务处理请求包括：所述用户名、待访问内网应用的标识和所述登录票据信息；

所述安全网关在确定所述业务处理请求中的所述登录票据信息有效时，判断所述待访问内网应用的标识所对应的内网应用是否为已注册内网应用，并在确定所述内网应用为已注册应用时，将所述业务处理请求转发给与所述内网应用对应的内网业务服务器；

所述内网业务服务器对所述业务处理请求中的用户名对应的用户身份信息进行二次合法性验证处理，且在二次合法性验证处理结果为通过时，响应所述业务处理请求，以确定所述用户可访问内部网络。

第三方面，本申请提供了一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机执行指令，所述计算机执行指令被处理器执行时用于实现如前所述的方法。

第四方面，本申请提供一种计算机程序产品，包括计算机指令，且计算机指令被处理器执行时实现上述第一方面提供的检测方法。

本申请提供的一种金融服务系统、方法及介质，所述系统包括：安全网关、内网业务服务器和单点登录服务器；其中，所述单点登录服务器，用于通过所述安全网关接收终端发送的访问请求，所述访问请求包括：用户名；所述单点登录服务器，还用于根据所述访问请求，获取所述用户名对应的用户身份信息，并对所述用户身份信息进行初次合法性验证处理，并在初次合法性验证处理结果为通过时，生成并反馈登录票据信息给所述终端；所述安全网关，用于接收所述终端发送的业务处理请求，所述业务处理请求包括：所述用户名、待访问内网应用的标识和所述登录票据信息；所述安全网关，还用于在确定所述业务处理请求中的所述登录票据信息有效时，判断所述待访问内网应用的标识所对应的内网应用是否为已注册内网应用，并在确定所述内网应用为已注册应用时，将所述业务处理请求转发给与所述内网应用对应的内网业务服务器；所述内网业务服务器，用于对所述业务处理请求中的用户名对应的用户身份信息进行二次合法性验证处理，且在二次合法性验证处理结果为通过时，响应所述业务处理请求，以确定所述用户可访问内部网络。相比现有技术，本申请可使用终端设备进行访问银行内部网络，这避免了传统利用仅可利用电脑访问内部网络的方式，使得访问的终端设备更加便捷；此外，利用本申请提供的金融服务系统，终端设备不再受限于仅在连接到内部网络才可进行业务处理的限制，即终端设备可随时随地利用外部网络或者内部网络访问银行内部网络，进行业务操作处理；再者，本申请提供的金融服务系统，可对银行内部员工发送的访问请求，按照用户与终端设备应用的合法性与合规性进行层层审核处理，以确保访问内部网络请求是由银行内部员工所发出的，而且通过对银行内部员工的终端设备上的应用验证，可防止因账号密码泄露或丢失而导致非法用户访问的情况发生，同时可以避免内部人员越权访问不在自己权限范围内的移动办公应用，进而可提高访问内部网络的安全性。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本申请的实施例，并与说明书一起用于解释本申请的原理。

图1为本申请提供的金融服务系统与终端实施例一的交互示意图；

图2为本申请提供的单点登录服务器处理步骤实施例一的流程示意图；

图3为本申请提供的安全网关处理步骤实施例一的流程示意图；

图4为本申请提供的内网业务服务器处理步骤实施例一的流程示意图；

图5为本申请提供的金融服务系统与终端实施例二的交互示意图；

图6为本申请提供的金融服务系统与终端实施例三的交互示意图；

图7为本申请提供的金融服务方法实施例一的流程示意图。

通过上述附图，已示出本申请明确的实施例，后文中将有更详细的描述。这些附图和文字描述并不是为了通过任何方式限制本申请构思的范围，而是通过参考特定实施例为本领域技术人员说明本申请的概念。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

随着银行内部管理的优化与改善，银行的办公不再依照于传统的纸质化办公处理，如银行员工的考勤签到处理，以及银行员工进行项目申报处理，均可在网络上进行。而随着银行业务的拓展，银行员工希望能够随时随地使用银行内部网络进行操作处理，避免因无法连接到银行内部网络产生无法进行业务处理的情况。

相关技术中，银行可为每个内部员工分配VPN，以便银行内部员工可以在不处于银行内部网络覆盖的情况下进行业务处理，或者利用无线设备，使得银行内部员工的可操作终端设备接入到银行内部网络中，以便进行业务处理；也就是说，银行员工在银行内部网络覆盖不到的区域可通过VPN访问银行内部网络进行业务处理，或者在银行内部网络覆盖到的区域内通过除银行提供的可操作终端设备访问内部网络进行业务处理。

但是，现有中利用VPN进行内部网络访问，需要考虑到外部网络的网络状态以及内部网络状态等情况，当两者中的任一一个网络状态不好时，均会导致无法流畅地业务处理；此外，利用VPN访问内部网络还仅仅局限于通过电脑设备访问内部网络的情况，这使得用户便携性不高，且存在VPN的用户名和密码泄露或者丢失的问题，这易使得非法用户访问到银行内部网络，使得访问银行内部网络的安全性较差。

而现有技术中利用无线设备存在授权其他可上网的终端设备连接到银行内部网络中的情形，该情形这受限于访问银行内部网络所覆盖的区域，使得银行内部人员无法随时随地访问银行内部网络。

基于上述技术问题，本申请的发明构思在于：如何设计出既可提高访问内部网络安全性，又可提高访问内部网络便携性的金融服务系统和方法。

需要说明的是，本申请所涉及的用户信息(包括但不限于用户设备信息、用户个人信息等)和数据(包括但不限于用于分析的数据、存储的数据、展示的数据等)，均为经用户授权或者经过各方充分授权的信息和数据，并且相关数据的收集、使用和处理需要遵守相关法律法规和标准，并提供有相应的操作入口，供用户选择授权或者拒绝。

需要说明的是，本申请提供的金融服务系统和方法可用于金融领域，也可用于除金融领域之外的任意领域，本申请提供的金融服务系统和方法的应用领域不做限定。

本申请具体的应用场景可为银行内部人员访问银行内部网络进行业务处理，需对银行人员在终端设备发送的访问请求进行处理，如在银行内部人员通过终端设备访问银行内部网络，进行业务审批签字处理，或者办理贷款业务授权等，这都可理解为是对移动办公应用访问内部网络的处理。此外，本申请具体的应用场景还可以为银行内部人员提供更加安全的访问处理方式，且在可利用可移动终端设备访问内部网络的前提下，可提高银行人员办公的便携性。

下面以具体地实施例对本申请的技术方案以及本申请的技术方案如何解决上述技术问题进行详细说明。下面这几个具体的实施例可以相互结合，对于相同或相似的概念或过程可能在某些实施例中不再赘述。下面将结合附图，对本申请的实施例进行描述。

图1为本申请提供的金融服务系统与终端实施例一的交互示意图，如图1所示，该金融服务系统10包括：单点登录服务器102、安全网关103、内网业务服务器104。

可想到的是，本实施例所提到的金融服务系统应用于银行内部网络访问处理场景，也可以适用于其他的应用场景。在进行银行内部网络访问处理时，还需用户侧的参与，即该金融服务系统的交互处理过程还存在终端101的参与。需要说明的是，本实施所提到的终端包括但不限于：智能手机、智能平板以及手提电脑等智能移动终端设备；此外，本实施例所提到的内部网络具体指的是银行内部专用网络，且与外网(互联网)分离。

对应于本实施例所提供的图1，金融服务系统10中的终端101中承载有移动办公应用和移动门户应用，需要说明的是，移动门户应用具体指的是安装在手机、平板等智能移动设备中的用于办公使用的应用；而移动办公应用具体指的是不同使用场景和功能所对应的办公应用，例如内部邮件应用、员工考勤管理等应用。

参照图1，单点登录服务器102，用于通过安全网关103接收终端101发送的访问请求，访问请求包括：用户名。

在本实施例中，当银行内部人员需要访问相关的移动办公应用，如访问员工考勤管理应用，则银行内部人员首先需要打开移动办公应用进行用户登录，方可看到移动办公应用。也就是说，内部人员访问移动办公应用时会拉起移动办公应用。

需要说明的是，终端可通过安全网关103与单点登录服务器102或内网业务服务器进行通信连接，且安全网关可利用相关的通信加密技术，进行数据的通信传输处理。

可理解的是，在拉起移动办公应用时，终端将访问请求发送给安全网关103，以便安全网关103将访问请求转发给单点登录服务器102，从而确保可登录上移动门户应用，进而可通过访问移动办公应用，实现对银行内部网络的访问处理。其中，访问请求包括用户名，该用户名为访问人员的标识。

相应的，单点登录服务器102接收到安全网关103转发的访问请求后，便对访问请求进行中的用户名对应的用户信息进行初次合法性验证处理。

可选的，单点登录服务器102还用于根据访问请求，获取用户名对应的用户身份信息，并对用户身份信息进行初次合法性验证处理，并在初次合法性验证处理结果为通过时，生成并反馈登录票据信息给终端。

需要说明的是，单点登录服务器102中预存有用户身份信息表，该用户身份信息表用于记录银行内部人员身份信息，作为访问银行内部网络的访问人员是否为银行内部人员的判断依据，且该用户身份信息表为本领域技术人员设定的，但不限于其他的具体实现方式。

单点登录服务器102在获取到访问请求后，便会根据访问请求中的用户名，在用户身份信息中确定出与当前用户名对应的用户身份信息，然后对该用户身份信息进行初次合法性验证处理，即验证该用户身份信息是否为银行内部人员。

在初次合法性验证处理结果为通过时，即验证发送访问请求的访问人员初步确认为银行内部人员时，单点登录服务器102立即生成用于证明具有登录资质的登录票据信息，将该登录票据信息反馈给终端101。

可想到的是，单点登录服务器102可通过安全网关将登录票据信息转发给终端101。

在终端101接收到登录票据信息后，将从移动门户应用跳转到移动办公应用界面中，其中移动办公应用可具有多个，如考勤移动办公应用、工资结算移动办公应用等。继而，访问人员可通过触摸预访问的移动办公应用以实现对银行内部网络。

可想到的是，本领域技术人员将银行内部网所对应的功能均集成在移动办公应用的界面上，以便访问人员通过触摸相关的按钮选项便可实现对银行内部网络的访问。

对应的，当访问人员通过触发移动办公应用后，终端便会对安全网关103发送业务处理请求，以实现对银行内部网络的访问，该业务处理请求中包括访问人员对应的用户名和登录票据信息，以及用于表示待访问移动办公应用的待访问内网应用的标识。为了便于说明后续将移动办公应用记作为内网应用。

相应的，安全网关103用于接收终端发送的业务处理请求，业务处理请求包括：用户名、待访问内网应用的标识和登录票据信息。此外，安全网关103在接收到业务处理请求后，还用于在确定业务处理请求中的登录票据信息有效时，判断待访问内网应用的标识所对应的内网应用是否为已注册内网应用，并在确定内网应用为已注册应用时，将业务处理请求转发给与内网应用对应的内网业务服务器。

在本实施例中，安全网关103在接收到业务处理请求后，首先对业务处理请求中的登录票据信息是否有效，以判断发送业务处理请求的人员是否在登录的有效期内，即确定当前业务处理请求是否为有效的业务处理请求；可选的，基于登录票据信息中包含有有效登录时间登录信息，可根据获取业务处理请求的当前时间与登录票据的有效登录时间，确定出登录票据信息是否有效。

然后，安全网关103在确定出当前的业务处理请求为有效的业务处理请求时，还需对待访问内网应用的标识对应的内网应用是否为已注册应用，从即确定当前待访问的内网应用是访问人员已注册的内网应用，可防止访问人员访问不属于自身权限的内网应用；可选的，在安全网关103中预存有内网应用信息表，可根据该内网应用信息表，获取到与待访问内网应用的标识所对应的目标用户身份信息，继而判断目标用户身份信息中的用户名与业务处理请求中的是否一致，若一致则确定待访问的内网应用的标识所对应的内网应用为访问人员已注册应用。

最后，当安全网关103确定当前待访问的内网应用的标识所对应的内网应用为访问人员已注册应用时，将业务处理请求转发给内网业务服务器104。

相应的，内网业务服务器104在接收到业务处理请求后，还需对业务处理请求中的用户名所对应的用户身份信息进行二次合法性验证处理。

可选的，内网业务服务器104用于对业务处理请求中的用户名对应的用户身份信息进行二次合法性验证处理，且在二次合法性验证处理结果为通过时，响应业务处理请求，以确定用户可访问内部网络。

在本实施中，内网业务服务器104在获取到业务处理请求后，获取到业务处理请求中的用户名，由于内网业务服务器104仅获取到终端通过安全网关103发送的用户信息，无法防止终端101发送的业务处理请求的访问人员的用户身份的合法性，因此，还需要对业务处理请求中的用户名所对应的用户身份信息进行二次合法性验证处理。

当内网业务服务器104确定二次合法性验证处理结果为通过时，便立即响应业务处理请求，确定发送业务处理请求的待访问用户可访问内部网络。

在本实施例中，提供了移动应用访问内部网络的金融服务系统，具体阐释了阐释了该金融服务系统对银行内部网络访问的具体处理的过程，一方面银行内部人员可通过更为便携式的方式，如利用移动终端，对银行内部网络进行访问处理；另一方面，银行内部员工在进行内部网络访问时，不在受限于网络的要求，即无论是银行内部网络还是银行外部网络均可实现对内部网络的访问，且银行内部人员也不再受限于办理业务的场所，即内部人员既可在银行网点所在场所进行业务处理，也可在非银行网点场所进行业务处理；再者，利用本申请提供的金融服务系统，在内部人员访问内部网络时，既需要对访问人员的身份信息进行合法性验证处理，又需要对所访问的移动办公应用进行合法性验证处理，从而可避免虚假用户访问银行内部网络，从而可提高访问银行内部网络的安全性。

下面结合图2对本申请提供的金融服务系统的单点登录服务器102进行进一步的说明。图2为本申请提供的单点登录服务器处理步骤实施例一的流程示意图，如图2所示，该处理步骤包括。

S201，遍历用户身份信息表，获取与用户名对应的用户身份信息；其中，用户身份信息包括：用户名、密码值和终端序列号。

需要说明的是，访问请求还包括：密码值和终端序列号，该密码值和终端序列号是随着待访问人员在终端的移动门户应用登录界面上进行登录操作时所产生的。

此外，还需要说明的是，单点登录服务器102中预存有用户身份信息表，该用户身份信息表的功用以及具体的实现方式同本申请实施例中的类似，如该用户信息表中存储有银行内部人员的用户信息，如用户名和密码值等，以作为银行内部人员能够访问移动门户应用的初次判断依据，且该信息表是随着银行内部人员注册累计形成的，此处不再赘述。

单点登录服务器102在接收到访问请求时，根据访问请求中的用户名，在用户身份信息表中，遍历与访问请求中的用户名对应的用户身份信息，其中，用户身份表中存储有银行内部人员的用户名、密码值以及与用户名关联的终端序列号。

S202，判断访问请求中的密码值和终端序列号与用户身份信息中的密码值和终端序列号是否一致；若一致则执行S203；反之，则执行S204。

单点登录服务器102将获取到的用户身份信息中密码值与终端序列号，与访问请求中的密码值和终端序列号进行比较处理，判断访问请求中用于证明用户身份的密码值和终端序列号，与用户信息表中存储的内部人员的密码值和终端序列号是否一致，从而可确定发送访问请求的访问用户是否为合法用户。

可理解的，单点登录服务器102作为银行内部人员访问内部网络的第一道关卡，即单点登录服务器102可对访问内部网络的用户进行初步的认证处理，仅在单点登录服务器102认证处理成功时，内部访问人员方可进入到移动办公应用，以便后续发送相应的业务处理请求。

S203，确定初次合法性验证处理结果为通过，并生成登录票据信息，以将登录票据信息反馈给终端。

S204，反馈给终端不可访问的信息。

若单点登录服务器102判断出访问请求中的密码值和终端序列号与用户身份信息中的密码值和终端序列号一致，则确定初次合法性验证处理结果为通过，表明当前发送访问请求的访问人员身份合法，应生成证明访问人员的登录票据信息，将该登录票据信息通过安全网关103反馈给终端101，以便于访问人员通过终端101进行后续处理；反之，则表明发送访问请求的访问人员身份信息不合法，禁止对该访问人员发送的访问请求信息进行访问处理。

在本实施例中，具体阐释了单点登录服务器102在进行初步合法性验证处理步骤，以对访问银行内部网络的访问人员设置了初步访问关卡，以确保访问银行内部网络的安全性。

下面结合图3对金融服务系统中的安全网关进行进一步的说明。图3为本申请提供的安全网关处理步骤实施例一的流程示意图，如图3所示，该处理步骤包括：

S301，获取接收终端发送的业务处理请求所对应的当前时间，计算当前时间与登录票据的生成时间的时间差值，并将时间差值与登录票据的有效持续时间进行比较处理。

S302，若时间差值小于等于登录票据的有效持续时间，则确定登录票据信息有效。

延续上述实施例，当终端101获取到单点登录服务器102反馈的应用登录票据信息后，访问人员会根据在终端所展示的移动办公应用界面，然后通过操作该界面上的操作选项，从而可执行相关的业务操作。

相应的，终端根据访问人员执行的业务操作生成业务处理请求，然后基于安全网关103将业务处理请求发送给安全网关，以对业务处理请求进行验证处理，从而可确保访问银行内部网络，即银行的金融服务系统，的安全性。

首先，安全网关103对业务处理请求中的登录票据信息进行验证处理，以确保该业务处理请求是在访问用户被授权的情况下所发送的，即确保业务处理请求为有效业务处理请求。其中，登录票据信息包括：登录票据、登录票据的有效持续时间和登录票据生成时间；登录票据的有效持续时间表示的是访问人员能够操作移动办公运用的有效时间，也就是访问人员得到授权的持续时间。

与此同时，安全网关103在接收到终端101发送的业务处理请求时，也获取终端101发送业务处理请求所对应的当前时间。

继而，计算当前时间与登录票据的生成时间的时间差值，从而确定出生成登录票据距离当前时间的时间差值，然后根据将该时间差值与登录票据的有效持续时间进行比较处理，以判断当前登录票据信息是否有效。

当安全网关103确定时间差值大于登录票据的有效持续时间时，则表明登录票据信息失效了，此时，安全网关则不响应该业务处理请求，甚至会强制发送业务处理请求的终端101进行下线处理。

当安全网关103确定时间差值小于或等于登录票据的有效持续时间时，则表明发送业务处理请求的访问人员所发送的业务处理请求是在单点登录服务器102所授权的情况下发送的，可继续执行S303-S305，以判断业务处理请求中的待访问的内网应用的标识是否为已注册应用，从而进一步确保访问内部网关的安全性。

S303，根据待访问内网应用的标识，在预存的用户与内网应用关系表中，确定出与待访问内网应用的标识所对应的目标用户身份信息。

需要说明的是，安全网关103中预存有用户与内网应用关系表，该用户与内网应用关系表中用于表明用户与内网应用的绑定关系，即用于存储每个用户所注册内网应用的绑定关系，该用户与内网应用关系表中包括有用户身份信息以及内网应用的标识，该用户与内网应用关系表的具体实现方式包括但不限于：本领域的技人员设置的。

具体的，安全网关103获取到业务处理请求中的待访问内网应用的标识，并遍历用户与内网应用关系表，从中查找到待访问内网应用的标识所对应的目标用户身份信息。可想到的是，由于同一个内网应用可被多个银行内部人员所注册使用，因此，待访问内网应用的标识所确定的目标用户身份信息不止为一个。

S304，将目标用户身份信息中的目标用户名与业务处理请求中的用户名进行匹配处理。

更为具体的，安全网关103针对每个目标用户身份信息中的用户名，将目标用户身份信息的用户名与业务处理请求中的用户名进行匹配处理，可选的，可按照逐字的方式进行匹配处理，从而获取到匹配处理结果。

S305，若目标用户名与业务处理请求中的用户名相匹配，则确定待访问内网应用的标识对应的内网应用为已注册应用。

进一步的，安全网关103若确定出目标用户名与业务处理请求中的用户名相匹配，则表明当前的待访问的内网应用的标识对应的内网应用为已注册应用，同时，可确定出业务处理请求中的用户名对应的访问用户访问的内网应用在其权限范围内，可将业务处理请求转发给内网业务服务器104。

在本实施例中，具体阐释了安全网关103对待访问的移动办公应用的合法性进行验证处理的过程，既可以确保所访问的内网应用为合法应用，又可以防止内部人员越权访问相关的内网应用，从而可提高访问的安全性。

下面结合图4对本申请提供的内网业务服务器进行进一步的说明，图4为本申请提供的内网业务服务器处理步骤实施例一的流程示意图，如图4所示，该处理步骤包括：

S401，将业务处理请求中的登录票据信息发送给单点登录服务器，以获取与登录票据信息相关联的第一用户身份信息；第一用户身份信息包括第一用户名、第一密码值和第一终端序列号；第一用户身份信息和用户身份信息相同或不同。

需要说明的是，业务处理请求还包括与用户名对应的用户身份信息，从而便于金融服务系统对访问安全网络进行防护。

具体的，内网业务服务器104还需借助单点登录服务器102进行核验处理，可理解为，内网业务服务器104在获取到业务处理请求时，便可确认该业务处理请求已经过其他服务器的验证处理，但为了确保安全，内网业务服务器104还需将业务处理请求发送到单点登录服务器102，以便从单点登录服务器102中获取到相关的用户信息，有利于对业务处理请求中用户名所对应的用户身份信息进行二次合法性验证处理。

相应的，单点登录服务器102在获取到业务处理请求后，便立即解析出该请求中的应用登录票据信息中的登录票据信息，然后，根据登录票据信息，在登录票据信息数据库中，将该登录票据信息所关联的第一用户身份信息反馈给内网业务服务器104。其中，登录票据信息数据库用于记录单点登录服务器102生成登录票据信息的详细信息，且每当单点登录服务器102生成登录票据信息后，将登录票据信息与对应的访问用户的身份信息一同记录在登录票据信息数据库中。对应的，第一用户身份信息包括：用户名、密码值以及用户名所对应用户所使用终端的第一终端序列号；且第一用户身份信息与业务处理请求中的用户身份信息相同或不同。

S402，将第一用户名、第一密码值和第一终端序列号与业务处理请求中的用户名对应的用户身份信息的用户名、密码值和终端序列号进行比对处理。

更为具体的，内网业务服务器104在接收到单点登录服务器102反馈第一用户身份信息中的第一用户名、第一密码值和第一终端序列号，与业务处理请求中的用户名对应的用户身份信息的用户名、密码值和终端序列号进行比对处理，从而可确定终端发送业务处理请求中的用户信息是否为真实有效信息，从而避免非法人员仿冒用户名访问到银行内部网络中。

S403，若比对处理结果为完全一致，则确定对业务处理请求中的用户名对应的用户身份信息进行二次合法性验证处理的结果为通过。

进一步的，内网业务服务器104若确定对比处理结果为完全一致，则表明当前发送业务处理请求的访问人员的身份信息是准确无误的，从而确定对业务处理请求中的用户名对应的用户身份信息进行二次合法性验证处理的结果为通过，表明当前发送业务处理请求的访问人员可访问银行内部网络；随之，便根据业务处理请求执行相应的处理，并将处理结果反馈给终端101。

反之，内网业务服务器104则确定发送业务处理请求的访问人员为仿冒人员，无权访问银行内部网络。

在本实施例中，具体阐释了内网业务服务器104对内部人员通过移动办公应用访问内部网络的最后一道信息确认屏障，其可对前述的合法验证处理步骤进行核验处理，防止有非法人员访问内部网络，从而可提高访问内部网络的安全性。

在一种可选的实施例方式中，具体阐释了内网业务服务器104在允许内部人员通过内网应用访问内部网络之后的处理步骤，具体的，安全网关103还用于建立终端101与内网业务服务器104之间的加密通信通道，如采用安全保证协议(Security Socket Layer，SSL)。以便内网业务服务器104接收终端101发送的会话信息；内网业务服务器104还用于根据会话信息中的业务处理请求执行相应的处理。

基于安全网关103为终端101与内网业务服务器104之间的加密通信通道，有利于内网业务服务器104接收终端101发送的会话信息，该会话信息具体表示的是内部人员所需对内网应用执行的处理操作。

可想到的是，安全网关103可预先存储终端101发过来的的会话信息，当内网业务服务器104准许终端101进行访问时，便可将缓存的会话信息发送给内网业务服务器104，以便内网业务服务器104根据会话信息执行相应的处理。

示例性的，图5为本申请提供的金融服务系统与终端实施例二的交互示意图，如图5所示，图5示出了内网业务服务器104进行业务处理请求的具体交互过程。即安全网关103可预先存储业务处理请求中的会话信息，然后在内网业务服务器104确定出业务处理请中的用户身份信息合法时，安全网关103便将缓存的会话信息反馈给内网业务服务器104，继而，内网业务服务器104中响应会话信息，并将执行的结果通过响应业务请求方式反馈给终端中101。

在一种可选的实施方式中，具体阐释了金融服务系统中所包含的另一服务器，即终端上所安装的移动门户应用对应的移动门户服务器。下面通过图6阐释本申请提供的金融服务系统中的移动门户服务器的具体功用，图6为本申请提供的金融服务系统与终端实施例三的交互示意图，如图6所示，移动门户服务器105具体用于：

可实现银行内部人员访问金融服务系统所使用的终端进行解绑或绑定处理。可选的，移动门户服务器105可接收终端101发送的终端绑定/解绑处理请求，其中该终端绑定/解绑处理请求中包括：用户名和待绑定/解绑终端序列号。

通前述实施例类似，终端101可通过安全网关将终端绑定/解绑处理请求发送给移动门户服务器105中；继而，移动门户服务器105通过安全网关对终端101发送的短信验证提醒信息或邮箱验证提醒信息；对应的终端101可通过安全网关103，将短信/邮件转发给移动门户服务器105。

可想到的是，当移动门户服务器105在接收到终端101反馈的短信/邮件后，生成用于绑定/解绑设备的二维码信息，并将二维码信息反馈给终端。

当移动门户服务器105接收到终端反馈的短信或邮件后，表明是当前内部人员所进行的操作，以防止其他的人员进行操作。此时，移动门户服务器105需要对当前人员所绑定的终端数量进行统计，如统计该内部人员的用户名下所对应的终端序列号数量，然后将该终端数量与预存的终端数量阈值进行比较处理，从而判断处当前内部人员所绑定的终端数量是否超出上限，若未超出上限，则提示出无法绑定终端设备的提示信息；反之，则将待绑定终端序列号添加在用户和终端绑定关系表中。

对于解绑处理操作，则无需进行终端设备数量验证处理，即可直接从用户和终端绑定关系表中删除该待解绑终端序列号，由此完成解绑处理。

移动门户服务器105还用于在接收到终端101反馈的完成绑定设备信息后，提供快速登录方式给终端，以便终端实现便捷式登录；快速登录方式包括：手势密码、指纹、人脸以及虹膜。

对应于上述处理步骤，当终端101在接收到二维码图片，并通过移动办公应用扫描识别二维码图片，则完成终端绑定/解绑处理。

对于绑定处理而言，在终端101还会将扫描完成信息反馈给移动门户服务器105；继而，移动门户服务器105触发移动门户应用跳转到快捷登录页面，以便内部人员通过终端101上的移动门户应用设置上快捷登录方式，以便后续能后能够快速对通过移动办公应用对内部网络进行访问的内部人员进行身份认证处理；在内部人员通过终端101上的移动门户应用设置完成快捷登录后，终端101会反馈给移动门户服务器105设置完成的信息。

可选的，快捷登录方式包括手势密码、指纹、人脸以及虹膜等方式，但不限于其他的实现方式，这样可避免内部人员频繁输入密码的情况。

在本实施例中，具体阐释了移动门户服务器105对用户绑定/解绑终端的具体处理过程，从而可提高用户访问内部网络的便捷性，以满足用户更换终端等情况。

可选的，移动门户服务器105还可以根据访问请求中所携带的终端101序列号，确定出与待终端101序列号对应的终端，以及该终端对应的应用列表；然后，通过遍历该应用列表，判断该终端101上是否存在黑名单应用，以及其他的非授权应用等。

值的提到的是，移动门户服务器105中预存有应用的黑白名单，用于加强对访问内部网络的安全性，且黑名单中的应用表示对银行内部网络具有危害性的应用，白名单表示的是对银行内部网络不存在危害性的应用。且黑白名单是由本领域技术领域技术人员设定的，但不限于其他的具体实现方式。

若移动门户服务器105判断出当前不存在黑名单应用，则表明终端101具备合规性，即可证明该终端101是安全的访问设备，相应的，移动门户服务器105会反馈给终端101登录票据信息；若移动门户服务器105判断出当前存在黑名单应用，则表明终端101不具备合规性，即可证明该终端101是不安全的访问设备，相应的，移动门户服务器105会反馈给终端101无法访问的信息。

需要说明的是，本实施例所提供的移动门户服务器105不仅可对终端101的黑白名单进行设置，还可以对终端101的越狱行为以及root情况进行检测，其具体实现原理与黑白名单设置类似，此处不再重复叙述。

图7为本申请提供的金融服务方法实施例一的流程示意图，如图7所示，该方法应用于前述任一实施例所提到的系统，该方法包括：

S701，单点登录服务器通过安全网关接收终端发送的访问请求，访问请求包括：用户名。

S702，单点登录服务器根据访问请求，获取用户名对应的用户身份信息，并对用户身份信息进行初次合法性验证处理，并在初次合法性验证处理结果为通过时，生成并反馈登录票据信息给终端。

S703，安全网关接收终端发送的业务处理请求，业务处理请求包括：用户名、待访问内网应用的标识和登录票据信息。

S704，安全网关在确定业务处理请求中的登录票据信息有效时，判断待访问内网应用的标识所对应的内网应用是否为已注册内网应用，并在确定内网应用为已注册应用时，将业务处理请求转发给与内网应用对应的内网业务服务器。

S705，内网业务服务器对业务处理请求中的用户名对应的用户身份信息进行二次合法性验证处理，且在二次合法性验证处理结果为通过时，响应业务处理请求，以确定用户可访问内部网络。

可选的，访问请求还包括：密码值和终端序列号；则对用户身份信息进行初次合法性验证处理，包括：

单点登录服务器遍历用户身份信息表，获取与用户名对应的用户身份信息；其中，用户身份信息包括：用户名、密码值和终端序列号；

单点登录服务器判断访问请求中的密码值和终端序列号与用户身份信息中的密码值和终端序列号是否一致；

若存在，则单点登录服务器确定初次合法性验证处理结果为通过，并生成登录票据，以将登录票据反馈给终端。

可选的，登录票据信息包括：登录票据、登录票据的有效持续时间和登录票据的生成时间；则确定业务处理请求中的登录票据信息有效，包括：

安全网关获取接收终端发送的业务处理请求所对应的当前时间，计算当前时间与登录票据的生成时间的时间差值，并将时间差值与登录票据的有效持续时间进行比较处理；

若时间差值小于等于登录票据的有效持续时间，则安全网关确定登录票据信息有效。

可选的，判断待访问内网应用的标识所对应的内网应用是否为已注册内网应用，包括：

安全网关根据待访问内网应用的标识，在预存的用户与内网应用关系表中，确定出与待访问内网应用的标识所对应的目标用户身份信息；

安全网关将目标用户身份信息中的目标用户名与业务处理请求中的用户名进行匹配处理；

若目标用户名与业务处理请求中的用户名相匹配，则安全网关确定待访问内网应用的标识对应的内网应用为已注册应用。

可选的，业务处理请求还包括：与用户名对应的用户身份信息；则对业务处理请求中的用户名对应的用户身份信息进行二次合法性验证处理，包括：

内网应用服务器将业务处理请求中的登录票据信息发送给单点登录服务器，以获取与登录票据信息相关联的第一用户身份信息；第一用户身份信息包括第一用户名、第一密码值和第一终端序列号；第一用户身份信息和用户身份信息相同或不同；

内网应用服务器将第一用户名、第一密码值和第一终端序列号与业务处理请求中的用户名、密码值和终端序列号进行比对处理；

若比对处理结果为完全一致，则内网应用服务器确定对业务处理请求中的用户名对应的用户身份信息进行二次合法性验证处理的结果为通过。

本实施例所提供的方法与前述实施例所提到的金融服务系统的实现原理和有益化效果均类似，此处不再进行赘述。

本发明还提供一种计算机可读存储介质，该计算机可读存储介质中存储有计算机执行指令，当处理装置的至少一个处理器执行该计算机执行指令时，实现上述实施例中的检测方法。

本发明还提供一种计算机程序产品，包括计算机指令，且计算机指令被处理器执行时实现上述的各种实施方式提供的检测方法。

在本发明所提供的几个实施例中，应该理解到，所揭露的装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，该模块的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个模块或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或模块的间接耦合或通信连接，可以是电性，机械或其它的形式。

上述作为分离部件说明的模块可以是或者也可以不是物理上分开的，作为模块显示的部件可以是或者也可以不是物理模块，即可以位于一个地方，或者也可以分布到多个网络模块上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能模块可以集成在一个处理模块中，也可以是各个模块单独物理存在，也可以两个或两个以上模块集成在一个模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用硬件加软件功能模块的形式实现。

上述以软件功能模块的形式实现的集成的模块，可以存储在一个计算机可读取存储介质中。上述软件功能模块存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)或处理器(英文：processor)执行本发明各个实施例所提供的方法的部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(英文：Read-Only Memory，简称：ROM)、随机存取存储器(英文：Random Access Memory，简称：RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

在上述网络设备或者终端设备的实施例中，应理解，处理器可以是中央处理模块(英文：Central Processing Unit，简称：CPU)，还可以是其他通用处理器、数字信号处理器(英文：Digital Signal Processor，简称：DSP)、专用集成电路(英文：ApplicationSpecific Integrated Circuit，简称：ASIC)等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本发明所公开的方法的步骤可以直接体现为硬件处理器执行完成，或者用处理器中的硬件及软件模块组合执行完成。

最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims (11)

1.一种金融服务系统，其特征在于，所述系统包括：安全网关、内网业务服务器和单点登录服务器；

所述单点登录服务器，用于通过所述安全网关接收终端发送的访问请求，所述访问请求包括：用户名；

所述单点登录服务器，还用于根据所述访问请求，获取所述用户名对应的用户身份信息，并对所述用户身份信息进行初次合法性验证处理，并在初次合法性验证处理结果为通过时，生成并反馈登录票据信息给所述终端；

所述安全网关，用于接收所述终端发送的业务处理请求，所述业务处理请求包括：所述用户名、待访问内网应用的标识和所述登录票据信息；

所述安全网关，还用于在确定所述业务处理请求中的所述登录票据信息有效时，判断所述待访问内网应用的标识所对应的内网应用是否为已注册内网应用，并在确定所述内网应用为已注册应用时，将所述业务处理请求转发给与所述内网应用对应的内网业务服务器；

所述内网业务服务器，用于对所述业务处理请求中的用户名对应的用户身份信息进行二次合法性验证处理，且在二次合法性验证处理结果为通过时，响应所述业务处理请求，以确定所述用户可访问内部网络。

2.根据权利要求1所述的系统，其特征在于，所述访问请求还包括：密码值和终端序列号；

则所述单点登录服务器，具体用于：

遍历用户身份信息表，获取与所述用户名对应的用户身份信息；其中，所述用户身份信息包括：用户名、密码值和终端序列号；

判断所述访问请求中的密码值和终端序列号与所述用户身份信息中的密码值和终端序列号是否一致；

若存在，则确定初次合法性验证处理结果为通过，并生成登录票据信息，以将所述登录票据信息反馈给所述终端。

3.根据权利要求2所述的系统，其特征在于，所述登录票据信息包括：登录票据、登录票据的有效持续时间和登录票据的生成时间；

则所述安全网关，具体用于：

获取接收所述终端发送的业务处理请求所对应的当前时间，计算所述当前时间与所述登录票据的生成时间的时间差值，并将所述时间差值与所述登录票据的有效持续时间进行比较处理；

若所述时间差值小于等于所述登录票据的有效持续时间，则确定所述登录票据信息有效。

4.根据权利要求3所述的系统，其特征在于，所述安全网关，具体还用于：

根据所述待访问内网应用的标识，在预存的用户与内网应用关系表中，确定出与所述待访问内网应用的标识所对应的目标用户身份信息；

将所述目标用户身份信息中的目标用户名与所述业务处理请求中的用户名进行匹配处理；

若所述目标用户名与所述业务处理请求中的用户名相匹配，则确定所述待访问内网应用的标识对应的内网应用为已注册应用。

5.根据权利要求4所述的系统，其特征在于，所述业务处理请求还包括：与所述用户名对应的用户身份信息；则所述内网应用服务器，具体用于：

将所述业务处理请求中的登录票据信息发送给所述单点登录服务器，以获取与所述登录票据信息相关联的第一用户身份信息；所述第一用户身份信息包括第一用户名、第一密码值和第一终端序列号；所述第一用户身份信息和所述用户身份信息相同或不同；

将所述第一用户名、第一密码值和第一终端序列号与所述业务处理请求中的用户名对应的用户身份信息的用户名、密码值和终端序列号进行比对处理；

若比对处理结果为完全一致，则确定对所述业务处理请求中的用户名对应的用户身份信息进行二次合法性验证处理的结果为通过。

6.一种金融服务方法，其特征在于，所述方法应用于如权利要求1-5任一项所述的系统；所述方法，包括：

所述单点登录服务器通过所述安全网关接收终端发送的访问请求，所述访问请求包括：用户名；

所述单点登录服务器根据所述访问请求，获取所述用户名对应的用户身份信息，并对所述用户身份信息进行初次合法性验证处理，并在初次合法性验证处理结果为通过时，生成并反馈登录票据信息给所述终端；

所述安全网关接收所述终端发送的业务处理请求，所述业务处理请求包括：所述用户名、待访问内网应用的标识和所述登录票据信息；

所述安全网关在确定所述业务处理请求中的所述登录票据信息有效时，判断所述待访问内网应用的标识所对应的内网应用是否为已注册内网应用，并在确定所述内网应用为已注册应用时，将所述业务处理请求转发给与所述内网应用对应的内网业务服务器；

所述内网业务服务器对所述业务处理请求中的用户名对应的用户身份信息进行二次合法性验证处理，且在二次合法性验证处理结果为通过时，响应所述业务处理请求，以确定所述用户可访问内部网络。

7.根据权利要求6所述的方法，其特征在于，所述访问请求还包括：密码值和终端序列号；则所述对所述用户身份信息进行初次合法性验证处理，包括：

所述单点登录服务器遍历用户身份信息表，获取与所述用户名对应的用户身份信息；其中，所述用户身份信息包括：用户名、密码值和终端序列号；

所述单点登录服务器判断所述访问请求中的密码值和终端序列号与所述用户身份信息中的密码值和终端序列号是否一致；

若存在，则所述单点登录服务器确定初次合法性验证处理结果为通过，并生成登录票据信息，以将所述登录票据信息反馈给所述终端。

8.根据权利要求7所述的方法，其特征在于，所述登录票据信息包括：登录票据、登录票据的有效持续时间和登录票据的生成时间；则所述确定所述业务处理请求中的所述登录票据信息有效，包括：

所述安全网关获取接收所述终端发送的业务处理请求所对应的当前时间，计算所述当前时间与所述登录票据的生成时间的时间差值，并将所述时间差值与所述登录票据的有效持续时间进行比较处理；

若所述时间差值小于等于所述登录票据的有效持续时间，则所述安全网关确定所述登录票据信息有效。

9.根据权利要求8所述的方法，其特征在于，所述判断所述待访问内网应用的标识所对应的内网应用是否为已注册内网应用，包括：

所述安全网关根据所述待访问内网应用的标识，在预存的用户与内网应用关系表中，确定出与所述待访问内网应用的标识所对应的目标用户身份信息；

所述安全网关将所述目标用户身份信息中的目标用户名与所述业务处理请求中的用户名进行匹配处理；

若所述目标用户名与所述业务处理请求中的用户名相匹配，则所述安全网关确定所述待访问内网应用的标识对应的内网应用为已注册应用。

10.根据权利要求9所述的方法，其特征在于，所述业务处理请求还包括：与所述用户名对应的用户身份信息；则所述对所述业务处理请求中的用户名对应的用户身份信息进行二次合法性验证处理，包括：

所述内网应用服务器将所述业务处理请求中的登录票据信息发送给所述单点登录服务器，以获取与所述登录票据信息相关联的第一用户身份信息；所述第一用户身份信息包括第一用户名、第一密码值和第一终端序列号；所述第一用户身份信息和所述用户身份信息相同或不同；

所述内网应用服务器将所述第一用户名、第一密码值和第一终端序列号与所述业务处理请求中的用户名、密码值和终端序列号进行比对处理；

若比对处理结果为完全一致，则所述内网应用服务器确定对所述业务处理请求中的用户名对应的用户身份信息进行二次合法性验证处理的结果为通过。

11.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中存储有计算机执行指令，所述计算机执行指令被处理器执行时用于实现如权利要求6-10任一项所述的方法。