WO2014032543A1 - 认证授权处理方法及装置 - Google Patents

认证授权处理方法及装置 Download PDF

Info

Publication number
WO2014032543A1
WO2014032543A1 PCT/CN2013/082105 CN2013082105W WO2014032543A1 WO 2014032543 A1 WO2014032543 A1 WO 2014032543A1 CN 2013082105 W CN2013082105 W CN 2013082105W WO 2014032543 A1 WO2014032543 A1 WO 2014032543A1
Authority
WO
WIPO (PCT)
Prior art keywords
party application
authorization
application server
authentication
data
Prior art date
Application number
PCT/CN2013/082105
Other languages
English (en)
French (fr)
Inventor
周苏静
张瑞山
谢振华
梁亮
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Publication of WO2014032543A1 publication Critical patent/WO2014032543A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0884—Network architectures or network communication protocols for network security for authentication of entities by delegation of authentication, e.g. a proxy authenticates an entity to be authenticated on behalf of this entity vis-à-vis an authentication entity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/53—Network services using third party service providers

Definitions

  • the present invention relates to the field of communications, and in particular to a method and an apparatus for processing authentication and authorization.
  • BACKGROUND OF THE INVENTION With the development of the Internet, more and more applications rely on multiple websites to provide services. For example, a user may need a website that provides a print service to print photos stored on another website; a user may wish for a social networking website. Use your own address book on another website to find friends; or a third-party application that utilizes API interfaces provided by several other websites, such as mashups.
  • OAuth Open Authorization
  • OAuth is an open standard that allows users to let third-party applications access private resources (such as photos, videos, contact lists, etc.) that the user stores on a website without having to provide the username and password to Three-party application.
  • OAuth allows users to provide a token instead of a username and password to access the data they store in a particular service provider.
  • Each token authorizes a particular website (e.g., a video editing website) to access a particular resource (e.g., just a video in an album) for a specific time period (e.g., within the next 2 hours).
  • OAuth allows users to authorize third-party websites to access specific information they store on other service providers without revealing the user's authentication credentials, such as passwords, and without revealing too much data to third-party websites.
  • OAuth 1.0 There are two versions of OAuth, OAuth 1.0 and B OAuth 2.0.
  • OAuth 2.0 (draft-ietf-oauth) is the next version of the OAuth protocol, but is not backward compatible with OAuth 1.0.
  • OAuth 1.0 involves three roles: Service Provider User (ie Resource Master Resource)
  • a third-party application server is a third-party application that wants to access a user's resources stored in the service provider, for example, a website that provides a photo printing service.
  • OAuth 1.0 The following describes the process of authenticating and authorizing OAuth 1.0:
  • the user accesses the third-party application server and wants to operate the resources stored by the user on the service provider;
  • the third-party application server requests a request token from the service provider; (3) After the service provider verifies the identity of the third-party application server, a request token is granted;
  • the third-party application server redirects the user's browser to the authorization page of the service provider to request the user authorization;
  • the user enters a username and password on the service provider's webpage, and then authorizes the third-party application server to access the requested resource. After the authorization is successful, the service provider redirects the user's browser to the third-party application server;
  • the third-party application server requests an access token (Access Token) from the service provider according to the request token;
  • FIG. 1 is a schematic diagram of an OAuth 2.0 abstract authorization in the related art.
  • the OAuth 2.0 process includes four roles: a user 101 (ie, a resource owner), a resource server 105, and a third party application.
  • the server 103 (client) authorization server 104 (authorization server) salt where the resource server 105 and the authorization server 104 correspond to the service provider in the OAuth 1.0, and the authorization server 104 issues the authorization token such as the access token to the third-party application server 103, the resource server.
  • 105 only verifies the access token and decides whether to allow the third party application server 103 to access the resource.
  • the third party application server 103 and the authorization server 104 interact with the user 102 through the terminal device 102.
  • the OAuth 2.0 authentication and authorization process includes four modes: Authorization Code flow, Implicit Grant flow, Password Credential flow, and Client Credential flow.
  • 2 is a flowchart of an authorization code in OAuth 2.0 authentication and authorization in the related art. As shown in FIG. 2, the process includes the following steps:
  • the third-party application server 103 redirects the user agent 106 used by the user 101 to the authentication authorization entry of the authorization server 104, and redirects the information including the identity of the third-party application server 103, the callback address, the authorization mode type, and the like;
  • the authorization server 104 authenticates the user through the user agent 106, and the user 101 decides whether to authorize the third-party application server 103; 203. If the user 101 authorizes the third-party application server 103, the authorization server 104 redirects the user agent 106 of the user 101 to the callback address provided by the third-party application server 103, and the redirect includes the authorization code;
  • the third-party application server 103 sends the authorization code to the authorization server 104 to request the access token, and the request further includes a callback address.
  • the authorization server 104 authenticates the third-party application server 103, the verification authorization code, and the verification step 204. Whether the callback address is the same as the callback address of step 203, if the above authentication and verification are successful, the authorization server 104 sends an access token to the third-party application server 103;
  • the third-party application server sends the received access token to the resource server.
  • OAuth provides a secure authorization method
  • OAuth's process of obtaining an authorization code requires multiple messages to go back and forth, which is cumbersome.
  • schemes optimized for OAuth 1.0 in the related art for example, the resource master user directly sends an authorization token to the third-party application server, but the scheme is not applicable to the OAuth 2.0 architecture. Therefore, in the related art, there is a problem that the authentication and authorization process is complicated, resulting in inefficient authentication and authorization processing.
  • the present invention provides a method and an apparatus for processing an authentication authorization, so as to at least solve the problem that the authentication authorization process is complicated in the related art, and the authentication authorization processing efficiency is not high.
  • a method for processing an authentication authorization including: a third-party application server transmitting authorization information to a user agent, where the user agent generates first authentication authorization data according to the user information and the authorization information, The first authentication authorization data is used to grant the third-party application server access to a data resource stored by another service provider other than the third-party application server; the third-party application server receives the user agent from the user agent The first authentication authorization data.
  • the method further includes: the third-party application server sending the first authentication authorization data to an authorization server; The third-party application server receives the resource access permission data returned by the authorization server according to the first authentication authorization data, where the resource access permission data is used to determine whether the third-party application server is capable of accessing and storing the third-party application. Data resources of other service providers outside the server.
  • the method further includes: the third-party application server generating the second authentication authorization according to the first authentication authorization data.
  • the third-party application server sends the generated second authentication authorization data to the authorization server; the third-party application server receives the resource access permission data returned by the authorization server according to the second authentication authorization data, The resource access permission data is used to determine whether the third-party application server can access data resources stored by other service providers except the third-party application server.
  • the method further includes: the third-party application server authorizing the first authentication authorization data and/or the second authentication authority The data is sent to the resource server of the other service provider, where the third-party application server generates the second authentication authorization data according to the first authentication authorization data; the third-party application server receives the resource server A data resource returned according to the first authentication authorization data and/or the second authentication authorization data.
  • the authorization information includes at least one of the following: an executable program, an identifier of the first-party application server, and an identifier of a resource to be accessed by the third-party application server.
  • an authentication authorization processing method including: an authorization server transmitting authorization information to a user agent, wherein the user agent generates first authentication authorization data according to user information and the authorization information.
  • the first authentication authorization data is used to grant the third-party application server permission to access data resources of other service providers except the third-party application server;
  • the first authentication authorization data and/or the second authentication authorization data sent by the third-party application server, where the third-party application server generates the second authentication authorization data according to the first authentication authorization data.
  • the authorization server sends the resource access permission data to the third-party application server according to the first authentication authorization data and/or the second authentication authorization data.
  • the authorization information includes at least one of the following: an executable program, an identifier of the first-party application server, and an identifier of a resource to be accessed by the third-party application server.
  • the user information comprises at least one of the following: a password, a password, a private key matching the user's public key, and a biometric of the user.
  • a method for processing an authentication authorization comprising: receiving, by a user agent, authorization information from an authorization server and/or a third-party application server; and generating, by the user agent, the user information according to the user information and the authorization information An authentication authorization data, wherein the first authentication authorization data is used to grant the third party
  • the application server accesses the rights of the data resources of the other service providers except the third-party application server; the user agent sends the generated first authentication authorization data to the third-party application server.
  • the authorization information comprises at least one of: an executable program, a script, an identifier of a third-party application server, and an identifier of a resource to be accessed by the third-party application server.
  • an authentication authorization processing apparatus located in a third-party application server, including: a first transmission module, configured to transmit authorization information to a user agent, wherein the user agent is based on user information and The authorization information is used to generate first authentication authorization data, where the first authentication authorization data is used to grant the third-party application server permission to access data resources of other service providers except the third-party application server; A receiving module is configured to receive the first authentication authorization data from the user agent.
  • the method further includes: a first sending module, configured to send the first authentication authorization data to the authorization server; and a second receiving module, configured to receive the resource access returned by the authorization server according to the first authentication authorization data
  • the license data is used to determine whether the third-party application server can access data resources stored by other service providers other than the third-party application server.
  • the method further includes: a first generating module, configured to generate the second authentication authorization data according to the first authentication authorization data; and a second sending module, configured to send the generated second authentication authorization data to the authorization a third receiving module, configured to receive resource access permission data returned by the authorization server according to the second authentication authorization data, where the resource access permission data is used to determine whether the third-party application server is capable of accessing and storing Data resources of other service providers other than the third-party application server.
  • a first generating module configured to generate the second authentication authorization data according to the first authentication authorization data
  • a second sending module configured to send the generated second authentication authorization data to the authorization
  • a third receiving module configured to receive resource access permission data returned by the authorization server according to the second authentication authorization data, where the resource access permission data is used to determine whether the third-party application server is capable of accessing and storing Data resources of other service providers other than the third-party application server.
  • the method further includes: a third sending module, configured to send the first authentication authorization data and/or the second authentication authorization data to a resource server of the other service provider, where the third-party application server is configured according to The first authentication authorization data generates the second authentication authorization data, and the fourth receiving module is configured to receive the data resource returned by the resource server according to the first authentication authorization data and/or the second authentication authorization data.
  • a third sending module configured to send the first authentication authorization data and/or the second authentication authorization data to a resource server of the other service provider, where the third-party application server is configured according to The first authentication authorization data generates the second authentication authorization data
  • the fourth receiving module is configured to receive the data resource returned by the resource server according to the first authentication authorization data and/or the second authentication authorization data.
  • an authentication and authorization processing apparatus located in an authorization server, comprising: a second transmission module, configured to transmit authorization information to a user agent, wherein the user agent is to be based on user information and The first authentication authorization data generated by the authorization information is sent to a third-party application server, where the first authentication authorization data is used to grant the third-party application server access to other service providers stored in addition to the third-party application server.
  • a fifth receiving module configured to receive from the third party The first authentication authorization data and/or the second authentication authorization data sent by the application server, where the third-party application server generates the second authentication authorization data according to the first authentication authorization data; And configured to send resource access permission data to the third-party application server according to the first authentication authorization data and/or the second authentication authorization data.
  • an authentication authorization processing apparatus located in a user agent, comprising: a sixth receiving module, configured to receive authorization information from an authorization server and/or a third-party application server; a module, configured to generate first authentication authorization data according to user information and the authorization information, where the first authentication authorization data is used to grant the third-party application server access to other than the third-party application server The permission of the service provider's data resource; the fifth sending module is configured to send the generated first authentication authorization data to the third-party application server.
  • the third party application server or the authorization server is used to transmit the authorization information to the user agent, wherein the user agent generates the first authentication authorization data according to the user information and the authorization information, and the first authentication authorization data is used for granting
  • the third-party application server accesses a data resource stored in a service provider other than the third-party application server; the third-party application server receives the first authentication authorization data from the user agent, and solves
  • the authentication and authorization process is complicated, which leads to the problem that the authentication and authorization processing is not efficient, thereby achieving the effect that not only the authentication and authorization process is simple, but also the efficiency of the authentication and authorization processing is improved.
  • FIG. 1 is a flowchart of an OAuth 2.0 abstraction authorization in the related art
  • FIG. 2 is a flowchart of an authorization code in authentication and authorization of OAuth 2.0 in the related art
  • FIG. 3 is a flowchart of an authentication authorization processing method according to an embodiment of the present invention
  • FIG. 4 is a flow chart 2 of a method for processing an authentication authorization according to an embodiment of the present invention
  • FIG. 5 is a flowchart 3 of a method for processing an authentication authorization according to an embodiment of the present invention
  • FIG. 6 is an authentication and authorization method according to an embodiment of the present invention
  • Block diagram of the processing device 7 is a block diagram 2 of a structure of an authentication and authorization processing device according to an embodiment of the present invention
  • FIG. 8 is a block diagram 3 of a structure of an authentication and authorization processing device according to an embodiment of the present invention
  • FIG. 9 is a block diagram of an authentication and authorization processing device according to an embodiment of the present invention
  • FIG. 10 is a block diagram of a structure of an authentication and authorization processing apparatus according to an embodiment of the present invention
  • FIG. 11 is a block diagram of a structure of an authentication and authorization processing apparatus according to an embodiment of the present invention
  • FIG. 1 is a schematic diagram of a method for authentication and authorization according to a preferred embodiment of the present invention
  • Figure 14 is a block diagram showing the structure of an authentication and authorization device according to a preferred embodiment of the present invention
  • Figure 15 is a block diagram of a preferred embodiment of the present invention.
  • FIG. 16 is a structural block diagram of a third-party application service device that implements authentication and authorization according to a preferred embodiment of the present invention.
  • FIG. BEST MODE FOR CARRYING OUT THE INVENTION FIG. BEST MODE FOR CARRYING OUT THE INVENTION
  • Step S302 a third-party application
  • the server transmits the authorization information to the user agent, where the user agent generates the first authentication authorization data according to the user information and the authorization information, where the first authentication authorization data is used to grant the third-party application server access to be stored in the third-party application server.
  • the rights of the data resources of the other service providers Step S304, the third party application server receives the first authentication authorization data from the user agent.
  • the third-party application server can directly receive the first authentication and authorization data for the authentication and authorization, and the multiple-message is required to go back and forth in the related art, and the authentication and authorization can be implemented through a cumbersome process.
  • the above steps are relatively simple and interactive. There are fewer processes, which not only solves the complicated problem of the certification and authorization process in related technologies. Moreover, obtaining the first authentication and authorization data by means of the generated manner improves the processing efficiency of the authentication and authorization to a certain extent.
  • the manner of processing the first authentication authorization may be multiple. For example, the third-party application server directly performs the authentication processing process according to the first authentication authorization data.
  • the third-party application server may send the first authentication authorization data to the authorization server; the authorization authentication server authenticates the first authentication authorization data sent by the third-party application server, and then sends feedback to the third-party application server, and the third party
  • the application server receives the resource access permission data returned by the authorization server according to the first authentication authorization data, where the resource access permission data is used to determine whether the third-party application server can access other service providers stored in addition to the third-party application server. Data resources.
  • the third-party application server may further use the first authentication authorization data to perform the authentication authorization processing process, where the third-party application server may generate the second authentication authorization data according to the first authentication authorization data.
  • the third-party application server sends the generated second authentication authorization data to the authorization server; the authorization server authenticates the received second authentication authorization data, and then feeds back to the third-party application server, and the third-party application server receives the authorization server according to the The resource access permission data returned by the second authentication authorization data, wherein the resource access permission data is used to determine whether the third-party application server can access the data resources of other service providers stored in addition to the third-party application server.
  • the resource server can also perform authentication on whether the third-party application server can access the data resource, for example, After the third-party application server receives the first authentication authorization data from the user agent, the third-party application server sends the first authentication authorization data and/or the second authentication authorization data to the resource server of the other service provider, where the third party The application server generates the second authentication authorization data according to the first authentication authorization data.
  • the resource server directly authenticates the third-party application server according to the first authentication authorization data and/or the second authentication authorization data, and then sends feedback to the third-party application server.
  • the third-party application server receives the data resource returned by the resource server according to the first authentication authorization data and/or the second authentication authorization data.
  • the authentication and authorization processing flow with respect to the authorization server is more concise, and the authentication and authorization processing is more efficient.
  • the foregoing authorization information may include at least one of the following: an executable program, a script, an identifier of a third-party application server, and an identifier of a resource to be accessed by the third-party application server.
  • the above user information may include at least one of the following: a password, a password, a private key matching the user's public key, and a biometric of the user.
  • a method for processing an authentication and authorization is also provided. FIG.
  • Step S402 Authorizing a server
  • the user agent transmits the authorization information, where the user agent sends the first authentication authorization data generated according to the user information and the authorization information to the third-party application server, where the first authentication authorization data is used to grant the third-party application server access to be stored in the third party.
  • the permission of the data resource of the other service provider outside the application server Step S404, the authorization server receives the first authentication authorization data and/or the second authentication authorization data sent by the third-party application server, wherein the third-party application server is configured according to the third The first authentication authorization data is generated by the authentication authorization data.
  • Step S406 The authorization server sends the resource access permission data to the third-party application server according to the first authentication authorization data and/or the second authentication authorization data.
  • the authorization server directly authenticates the third-party application server according to the first authentication authorization data generated by the user agent, and needs to perform multiple information interactions in the related technology.
  • the above steps are relatively simple, and the interaction process is less, which not only solves the problem.
  • the authentication authorization process is complicated, and the first authentication and authorization data is obtained in a generated manner, which also improves the processing efficiency of the authentication and authorization to a certain extent.
  • the authorization server may also send the resource access permission data to the third-party application server by using different authentication and authorization processing methods: the authorization server receives the first authentication authorization data sent by the third-party application server and/or Or the second authentication authorization data, wherein the third-party application server generates the second authentication authorization data according to the first authentication authorization data; the authorization server sends the resource access to the third-party application server according to the first authentication authorization data and/or the second authentication authorization data. License data, where the above-mentioned authorization server uses the first authentication and authorization data for authentication, it is a direct authentication and authorization processing method, and when the second authentication and authorization data is used for authentication, it is an indirect authentication and authorization processing method, and may be processed. Flexible selection based on specific conditions.
  • the foregoing authorization information may also include at least one of the following: an executable program, a script, an identifier of a third-party application server, and an identifier of a resource to be accessed by the third-party application server.
  • the above user information may also include at least one of the following: a password, a password, a private key matching the user's public key, and a biometric of the user.
  • a method for processing an authentication and authorization is also provided.
  • FIG. 5 is a flowchart 3 of a method for processing an authentication and authorization according to an embodiment of the present invention. As shown in FIG.
  • Step S502 User agent Receiving authorization information from an authorization server and/or a third party application server
  • Step S504 The user agent generates first authentication authorization data according to the user information and the authorization information, where the first authentication authorization data is used to grant the third-party application server access to data resources of other service providers stored in addition to the third-party application server. Permission;
  • Step S506 the user agent sends the generated first authentication authorization data to the third-party application server.
  • the user agent directly generates the first authentication and authorization data according to the user information and the transmitted authorization information, and then sends the directly generated first authentication and authorization data to the third-party application server, which is a fast authentication and authorization process for the subsequent third-party application server. Provided the possibility.
  • the foregoing authorization information may include at least one of the following: an executable program, a script, an identifier of a third-party application server, and an identifier of a resource to be accessed by the third-party application server.
  • the above user information includes at least one of the following: a password, a password, a private key matching the user's public key, and a biometric of the user.
  • an authentication and authorization processing device is also provided, which is used to implement the foregoing embodiments and preferred embodiments, and has not been described again.
  • the term "module" may implement a combination of software and/or hardware of a predetermined function.
  • FIG. 6 is a block diagram showing the structure of an authentication and authorization processing apparatus according to an embodiment of the present invention. As shown in Figure 6, the apparatus is located in a third-party application server, and includes: a first transmitting module 62 and a first receiving module 64, The device is described.
  • the first transmitting module 62 is configured to transmit the authorization information to the user agent, where the user agent generates the first authentication authorization data according to the user information and the authorization information, where the first authentication authorization data is used to grant the third-party application server access to be stored in the The third party applies the rights of the data resources of the other service providers outside the server; the first receiving module 64 is connected to the first transmitting module 62, and is configured to receive the first authentication authorization data from the user agent.
  • FIG. 7 is a structural block diagram 2 of an authentication and authorization processing apparatus according to an embodiment of the present invention. As shown in FIG. 7, the apparatus includes a first sending module 72 and a second receiving module 74, in addition to all the modules shown in FIG. . The device will be described below.
  • the first sending module 72 is connected to the first receiving module 64, and is configured to send the first authentication authorization data to the authorization server.
  • the second receiving module 74 is connected to the first sending module 72, and is configured to receive the authorization server according to the first A resource access permission data returned by the authentication authorization data, the resource access permission data being used to determine whether the third-party application server can access data resources of other service providers stored in addition to the third-party application server.
  • FIG. 8 is a structural block diagram 3 of an authentication and authorization processing apparatus according to an embodiment of the present invention. As shown in FIG. 8, the apparatus includes a first generation module 82 and a second transmission module 84 in addition to all the modules shown in FIG. And the third receiving module 86, the device will be described below.
  • the first generating module 82 is connected to the first receiving module 64, and configured to generate second authentication authorization data according to the first authentication authorization data.
  • the second sending module 84 is connected to the first generating module 82, and is configured to be generated.
  • the second authentication authorization data is sent to the authorization server.
  • the third receiving module 86 is connected to the second sending module 84, and is configured to receive the resource access permission data returned by the authorization server according to the second authentication authorization data, where the resource access permission data is used. It is determined whether the third-party application server can access the data resources of other service providers stored in addition to the third-party application server.
  • FIG. 9 is a structural block diagram 4 of an authentication and authorization processing apparatus according to an embodiment of the present invention. As shown in FIG.
  • the apparatus includes a third sending module 92 and a fourth sending module 94, in addition to all the modules shown in FIG. The device will be described below.
  • the third sending module 92 is connected to the first receiving module 64, and configured to send the first authentication authorization data and/or the second authentication authorization data to a resource server of another service provider, where the third-party application server is configured according to the first
  • the authentication authorization data generates the second authentication authorization data.
  • the fourth receiving module 94 is connected to the third sending module 92, and is configured to receive the data resource returned by the resource server according to the first authentication authorization data and/or the second authentication authorization data.
  • 10 is a block diagram 5 of a structure of an authentication and authorization processing apparatus according to an embodiment of the present invention. As shown in FIG.
  • the apparatus is located in an authorization server, and includes a second transmission module 1002, a fifth receiving module 1004, and a fourth sending module 1006.
  • the device will be described below.
  • the second transmission module 1002 is configured to transmit authorization information to the user agent, where the user agent sends the first authentication authorization data generated according to the user information and the authorization information to the third-party application server, where the first authentication authorization data is used for
  • the third-party application server accesses the data resources of the other service providers except the third-party application server;
  • the fifth receiving module 1004 is connected to the second transmitting module 1002, and is configured to receive the third-party application server.
  • FIG. 11 is a block diagram of a structure of an authentication and authorization processing apparatus according to an embodiment of the present invention. As shown in FIG. 11, the apparatus is located in a user agent, and includes a sixth receiving module 1102, a second generating module 1104, and a fifth sending module 1106. The device will be described below.
  • the sixth receiving module 1102 is configured to receive the authorization information from the authorization server and/or the third-party application server.
  • the second generation module 1104 is connected to the sixth receiving module 1102, and is configured to generate the first authentication according to the user information and the authorization information.
  • Authorization data where the first authentication authorization data is used to grant the third-party application server access to the data resources of other service providers except the third-party application server; the fifth sending module 1106 is connected to the second generation module. 1104.
  • the foregoing authentication and authorization processing method includes: the authorization server and/or the third-party application server transmitting the authorization information to the user agent, where the authorization information is used by the user agent to generate the first authentication authorization data; the user agent uses the first authentication authorization data.
  • Send to a third-party application server Preferably, when the third-party application server receives the authentication authorization data, the third-party application server sends the first authentication authorization data to the authorization server, or generates the second authentication authorization data according to the first authentication authorization data and sends the data to the authorization server.
  • the authorization server returns the resource access permission data to the third-party application server according to the received first authentication authorization data and/or the second authentication authorization data.
  • the foregoing authorization information may include at least one of the following: an executable program, a script, an identifier of a third-party application server, and an identifier of a resource to be accessed by the third-party application server.
  • the user agent may also obtain the user information, and generate the first authentication authorization data according to the obtained user information and the authorization information.
  • the user information may include at least one of the following: a password, a password, a private key matching the user's public key, and a biometric of the user.
  • FIG. 12 is a first schematic diagram of an authentication and authorization method according to a preferred embodiment of the present invention. As shown in FIG. 12, the roles included in the flow of the authentication and authorization method are: a user agent 310, an authorization server 104, and a third-party application server 103.
  • the user 101 accesses the third-party application server 103 through the user agent 310, and the user agent 310 may be a browsing run on the user terminal device 102. Program.
  • the user agent 310 is redirected to the authorization server 104 by the third-party application server 103.
  • the redirect link may include the identifier of the third-party application server and the resource to be accessed by the third-party application server.
  • the resource ID on the server.
  • the authorization information may be an executable program, a script, or a third party. Any combination of the identity of the application server and the identity of the resource to be accessed by the third-party application server;
  • the user agent 310 obtains user information from the user or the terminal device, and generates first authentication authorization data according to the user information and the authorization information, where the user information may include any combination of the following: a password, a password, and a user public key. The matching private key, the user's biometrics;
  • the user agent sends the first authentication authorization data to the third-party application server 103;
  • the third-party application server 103 sends the first authentication authorization data or the second authentication authorization data generated according to the first authentication authorization data to the authorization server;
  • FIG. 13 is a second schematic diagram of an authentication and authorization method according to a preferred embodiment of the present invention. As shown in FIG. 13, the roles included in the flow of the authentication and authorization method are: a user agent 310, an authorization server 104, and a third-party application server 103.
  • the user 101 accesses the third-party application server 103 through the user agent 310, and the third-party application server 103 requests the resource access permission data for a certain resource from the user 101 and the authorization server 104, such as After accessing the token, after completing the above processing, perform the following steps:
  • the user agent 310 is required to download authorization information from the third-party application server 103, and the authorization information may be any combination of an executable program, a script, an identifier of the third-party application server, and an identifier of a resource to be accessed by the third-party application server; 402.
  • the user agent 310 obtains user information from the user or the terminal device, and generates first authentication authorization data according to the user information and the authorization information, where the user information includes any combination of the following: a password, a password, and a user public key. The matching private key, the user's biometrics;
  • the user agent 310 sends the first authentication authorization data to the third-party application server 103; 404.
  • the third-party application server 103 sends the first authentication authorization data or the second authentication authorization data generated according to the first authentication authorization data to the authorization server.
  • the authorization server 104 receives the first authentication authorization data or the second authentication authorization data, and returns the resource access permission data to the third party application server 103.
  • the authorization information may include a piece of Javascript code, where the code may include the identifier of the third-party application server acquired from the redirect link, and the resource identifier of the resource server on the third-party application server. . After the download of the Javascript code is completed, it is executed in the user agent 310, and the user 101 can be prompted to provide user information, and the user information can be automatically loaded according to the prior setting.
  • the user information refers to the user's authentication credentials, which may be a password, a password, a private key corresponding to the user's public key, a biometric of the user, or the like, or any combination of the above authentication credentials, and any other data that can authenticate the user. .
  • the user information may be provided in multiple ways, and may be input by the user 101 from a keyboard (password, password) or from a storage device connected to the terminal device (a private key and a password file corresponding to the public key). It can also be obtained from a biometric collector connected to the terminal device (the biometric of the user), or any combination of the above three methods.
  • the Javascript code After obtaining the user information, the Javascript code generates the first authentication authorization data and sends it to the third-party application server 103.
  • the first authentication authorization data may also have multiple types.
  • the first authentication authorization data may be based on the password of the user, the password and the identifier of the third-party application server, the identifier of the resource to be accessed by the third-party application server, the validity period of the authorization, and the like.
  • the message authentication code (Message Authentication Code) calculated by the message.
  • the first authentication authorization data may also be a digital signature calculated according to a private key matching the user public key, an identifier of the third-party application server, an identifier of a resource to be accessed by the third-party application server, an authorization expiration date, and the like ( Digital Signature), for example, the first authentication authorization data may also be based on a private key matching the user's public key, an identifier of the third-party application server, an identifier of a resource to be accessed by the third-party application server, an authorization expiration date, and the like.
  • the proxy private key generated by the proxy digital signature algorithm (Proxy Signature).
  • the user agent 310 sends the first authentication authorization data to the third-party application server 103; the third-party application server 103 sends a resource access permission request to the authorization server 104, requesting to obtain the resource access permission data, and the resource access permission request includes the first authentication authorization.
  • Data or according to the first authentication authorization number According to the generated second authentication authorization data.
  • the second authentication authorization data may be a proxy digital signature generated by the third-party application server according to the proxy private key in the first authentication authorization data.
  • the first authentication authorization data and the second authentication authorization data may include a third party.
  • the authorization server 104 receives the resource access permission request, parses out the first authentication authorization data or the second authentication authorization data, and verifies the legality of the authentication authorization data by using a corresponding algorithm. For example, if the authentication authorization data is a message authentication code, the message authentication code is recalculated according to the user's password, the password and the identifier of the third-party application server, the identifier of the resource to be accessed by the third-party application server, the authorization expiration date, and the like, if the calculation is performed. If the result is the same as the received message authentication code, the authentication authorization data is considered legal.
  • the authentication authorization data contains a digital signature (including a normal digital signature and a proxy digital signature), the validity of the signature is verified based on the user's public key. If the authentication authorization data is validated, the authorization server 104 generates resource access permission data and returns the resource access permission data to the third party application server.
  • the resource access license data can be an access token in OAuth 1.0 or 2.0. After obtaining the resource access permission data, the third-party application server 103 sends the resource access permission data to the resource server, and if the resource access permission data is validated, the requested resource content is returned.
  • the user agent 310 after the user agent 310 jumps to the authorization server 104, the user is required to download authorization information from the authorization server 104, the authorization information including a piece of Javascript code, an ActiveX control or a Plugin plugin.
  • the ActiveX control or Plugin plugin here can also be obtained online or offline from an authorization server or other third party trusted server. If the ActiveX control or the Plugin plugin is detected and not installed, the user is prompted to download the installation, and if it is detected that it has been installed, the user is not prompted to download.
  • the Javascript code can include information such as the identity of the third-party application server obtained from the redirect link, and the resource identifier on the resource server that the third-party application server is to access.
  • the Javascript code After the Javascript code is downloaded, it is executed in the user agent 310, and the ActiveX control or the Plugin plugin is called, and the identifier of the third-party application server and the resource identifier of the resource server on the third-party application server are input into the ActiveX control or the Plugin plugin. .
  • the ActiveX control or the Plugin plugin prompts the user 101 to provide user information.
  • the user information is as shown in the above embodiment, and details are not described herein again.
  • the user 101 accesses the third party application server 103 through the user agent 310, and when the third party application server 103 is required to access the resource server, the third party application server 103 provides the user agent.
  • an authorization request page which includes a piece of Javascript code, which detects whether the user agent 310 has installed the required Plugin plugin or ActiveX control. If the ActiveX control or the Plugin plugin is detected not installed, the user is prompted to download and install, if it is detected. If it is already installed, the user is not prompted to download.
  • ActiveX controls or Plugin plugins can be obtained online or offline from an authorization server or the third party application server or other third party trusted server.
  • the Javascript code may include information such as an identifier of the third-party application server and a resource identifier on the resource server to be accessed by the third-party application server.
  • the Javascript code executes an ActiveX control or a Plugin plugin in the user agent 310, and inputs information such as the identifier of the third-party application server and the resource identifier on the resource server to be accessed by the third-party application server to the ActiveX control or the Plugin plugin.
  • the ActiveX control or the Plugin plugin prompts the user 101 to provide user information.
  • the user information is as shown in the above embodiment, and details are not described herein again.
  • FIG. 14 is a structural block diagram of an authentication and authorization device according to a preferred embodiment of the present invention. As shown in FIG. 14, the authentication and authorization device 320 includes a transmission module 501.
  • the certification authority describes the instructions.
  • the transmitting module 501 is configured to transmit the authorization information to the user agent, where the authorization information is used by the user agent to generate the first authentication authorization data, and the receiving module 502 is configured to receive the first authentication authorization data generated by the user agent, or The second authentication authorization data generated by the third-party application server; the delivery module 503, configured to submit the resource access permission data to the third-party application server.
  • the foregoing authentication and authorization device 320 may further include a processing module 504 configured to authenticate the user according to the received first authentication authorization data or the second authentication authorization data.
  • the authorization information involved may include any combination of the following: an executable program, a script, an identifier of a third-party application server, and an identifier of a resource to be accessed by the third-party application server.
  • a user agent device for implementing authentication and authorization is further provided.
  • FIG. 15 is a structural block diagram of a user agent device for implementing authentication and authorization according to a preferred embodiment of the present invention. As shown in FIG. 15, the user agent device 310 is shown in FIG.
  • the download module 601 (corresponding to the function of the sixth receiving module 1102 described above), the generating module 603 (corresponding to the function of the second generating module 1104 described above), and the transmitting module 604 (corresponding to the function of the fifth transmitting module 1106 described above),
  • the user agent device 310 will be described.
  • the downloading module 601 is configured to download the authorization information from the authorization server and/or the third-party application server; the generating module 603 is configured to generate the first authentication authorization data according to the user information and the authorization information; and the sending module 604 is configured to authorize the first authentication The data is sent to a third-party application server.
  • the user agent device 310 may further include an obtaining module 602 configured to acquire user information, where the user information includes any combination of the following: a password, a password, a private key matching the user's public key, and a biometric of the user.
  • the foregoing authorization information may include any combination of the following: an executable program, a script, an identifier of a third-party application server, and an identifier of a resource to be accessed by the third-party application server.
  • a third-party application server device that implements authentication and authorization is further provided.
  • FIG. 16 is a structural block diagram of a third-party application service device that implements authentication and authorization according to a preferred embodiment of the present invention. As shown in FIG.
  • the third-party application service device 330 includes a transmission module 701 (functionally equivalent to the first transmission module 62 described above) and a receiving module 702 (functionally equivalent to the first receiving module 64 described above).
  • the third-party application service device will be described below.
  • the transmitting module 701 is configured to transmit the authorization information to the user agent, where the authorization information is used by the user agent to generate the first authentication authorization data
  • the receiving module 702 is configured to receive the first authentication authorization data generated by the user agent.
  • the third-party application service device may further include a handover module 704 (corresponding to the function of the first sending module 72) configured to send the first authentication authorization data to the authorization server.
  • the third-party application service device may also be configured.
  • the generating module 703 (corresponding to the function of the first generating module 82) and the sending module 704 (corresponding to the function of the second sending module 84); wherein the generating module 703 is configured to generate the second authentication and authorization according to the first authentication and authorization data.
  • the data sending module 704 is configured to send the second authentication authorization data to the authorization server.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Storage Device Security (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明提供了一种认证授权处理方法及装置，该方法包括：第三方应用服务器或授权服务器向用户代理传送授权信息，其中，用户代理根据用户信息及上述授权信息生成第一认证授权数据，该第一认证授权数据用于授予第三方应用服务器访问存放在除第三方应用服务器外的其它服务提供者的数据资源的权限；第三方应用服务器接收来自用户代理的第一认证授权数据。通过本发明，解决了现有技术中存在认证授权流程复杂，从而导致认证授权处理效率不高的问题，进而达到了不仅认证授权过程简洁，而且提高认证授权处理效率的效果。

Description

认证授权处理方法及装置 技术领域 本发明涉及通信领域， 具体而言， 涉及一种认证授权处理方法及装置。 背景技术 随着互联网的发展， 越来越多的应用依赖于多个网站提供服务， 例如， 用户可能 需要一个提供打印服务的网站去打印他存放在另一个网站的照片； 用户可能希望一个 社交网站使用自己在另一个网站的通讯录寻找朋友； 或者一个第三方应用利用其它多 个网站提供的 API接口， 例如 Mashup (混搭）。
OAuth (开放授权） 是一个开放标准， 允许用户让第三方应用访问该用户在某一 网站上存储的私密资源（例如， 照片， 视频， 联系人列表等）， 而无需将用户名和密码 提供给第三方应用。 OAuth允许用户提供一个令牌， 而不是用户名和密码来访问他们 存放在特定服务提供者的数据。 每一个令牌授权一个特定的网站 （例如， 视频编辑网 站） 在特定的时段 （例如， 接下来的 2小时内） 内访问特定的资源 （例如， 仅仅是某 一相册中的视频）。这样， OAuth允许用户授权第三方网站访问他们存储在其他服务提 供者上的特定信息， 而不必泄露用户的认证凭据， 如口令， 也不必泄露过多的数据给 第三方网站。
OAuth有两个版本， OAuth 1.0禾 B OAuth 2.0。 2010年 4月， OAuth 1.0协议发表 为 RFC 5849。 OAuth 2.0 (draft-ietf-oauth) 是 OAuth协议的下一版本， 但不向后兼容 OAuth 1.0。 OAuth 1.0涉及三个角色：服务提供方（Service Provider ) 用户（即资源主 Resource
Owner), 第三方应用服务器（即网站客户 Client)。 其中， 服务提供方存储资源主受保 护的资源， 例如， 照片， 视频， 联系人列表； 用户是存放在服务提供方的受保护的资 源的拥有者。第三方应用服务器是要访问用户保存在服务提供方的资源的第三方应用， 例如， 提供照片打印服务的网站。 下面对 OAuth 1.0 进行认证和授权的过程进行说明：
( 1 ) 用户访问第三方应用服务器， 想操作用户存放在服务提供方的资源；
(2) 第三方应用服务器向服务提供方请求一个请求令牌 （Request Token); (3 ) 服务提供方验证第三方应用服务器的身份后， 授予一个请求令牌；
(4)第三方应用服务器获得请求令牌后，将用户的浏览器重定向到服务提供方的 授权页面请求用户授权；
(5 )用户在服务提供方的网页上输入用户名和密码，然后授权该第三方应用服务 器访问所请求的资源， 授权成功后， 服务提供方将用户的浏览器重定向到第三方应用 服务器；
( 6) 第三方应用服务器根据请求令牌从服务提供方那里请求访问令牌 （Access Token);
(7) 服务提供方根据请求令牌和授权情况授予第三方应用服务器访问令牌； ( 8)第三方应用服务器使用获取的访问令牌访问存放在服务提供方的受保护的资 源。 图 1是相关技术中 OAuth 2.0抽象授权流程图， 如图 1所示， 在该 OAuth 2.0的流 程中包含四个角色： 用户 101 (即资源主 resource owner ) 资源服务器 105 (resource server ) 第三方应用服务器 103 ( client ) 授权服务器 104 (authorization server)„ 其 中， 资源服务器 105和授权服务器 104对应 OAuth 1.0 中的服务提供方， 授权服务器 104为第三方应用服务器 103发放访问令牌等授权凭据， 资源服务器 105仅验证访问 令牌、 决定是否允许第三方应用服务器 103访问资源。 第三方应用服务器 103和授权 服务器 104通过终端设备 102和用户 102交互。
OAuth 2.0 的认证和授权流程包括四种模式： 授权码流程 （Authorization Code flow)、隐示授权流程（ Implicit Grant flow)、 口令凭据流程（ Password Credential flow)、 客户凭据流程 （Client Credential flow)。 图 2是相关技术中 OAuth 2.0的认证和授权中 授权码流程图， 如图 2所示， 该流程包括如下步骤：
201. 第三方应用服务器 103 把用户 101所用的用户代理 106重定向到授权服务 器 104的认证授权入口， 重定向包含第三方应用服务器 103的标识、 回调地址、 授权 模式类型等信息；
202. 授权服务器 104通过用户代理 106认证用户，用户 101决定是否授权给第三 方应用服务器 103; 203. 如果用户 101授权了第三方应用服务器 103， 授权服务器 104把用户 101的 用户代理 106重定向到第三方应用服务器 103提供的回调地址， 重定向包含授权码；
204.第三方应用服务器 103把授权码发送给授权服务器 104，请求获得访问令牌， 请求中还包含回调地址； 205. 授权服务器 104认证第三方应用服务器 103、 验证授权码、 验证步骤 204中 的回调地址是否和步骤 203的回调地址相同， 如果上述认证和验证均成功， 授权服务 器 104发送访问令牌给第三方应用服务器 103;
206. 第三方应用服务器将接收到的上述访问令牌发送给上述资源服务器；
207. 资源服务器根据接收到的上述访问令牌返回资源。 虽然 OAuth提供了一种安全的授权方法，但是 OAuth获取授权码的过程需要多个 消息来回， 比较繁琐。 在相关技术中也存在对 OAuth 1.0 优化的方案， 例如， 由资源 主用户直接向第三方应用服务器发送授权令牌， 但是该方案并不适用于 OAuth 2.0的 架构。 因此， 在相关技术中存在认证授权流程复杂， 从而导致认证授权处理效率不高的 问题。 发明内容 本发明提供了一种认证授权处理方法及装置， 以至少解决相关技术中存在认证授 权流程复杂， 从而导致认证授权处理效率不高的问题。 根据本发明的一个方面， 提供了一种认证授权处理方法， 包括： 第三方应用服务 器向用户代理传送授权信息， 其中， 所述用户代理根据用户信息及所述授权信息生成 第一认证授权数据， 所述第一认证授权数据用于授予所述第三方应用服务器访问存放 在除所述第三方应用服务器外的其它服务提供者的数据资源的权限； 所述第三方应用 服务器接收来自所述用户代理的所述第一认证授权数据。 优选地， 在所述第三方应用服务器接收来自所述用户代理的所述第一认证授权数 据之后， 还包括： 所述第三方应用服务器向授权服务器发送所述第一认证授权数据； 所述第三方应用服务器接收到所述授权服务器根据所述第一认证授权数据返回的资源 访问许可数据， 所述资源访问许可数据用于判断所述第三方应用服务器是否能够访问 存放在除所述第三方应用服务器外的其它服务提供者的数据资源。 优选地， 在所述第三方应用服务器接收来自所述用户代理的所述第一认证授权数 据之后， 还包括： 所述第三方应用服务器根据所述第一认证授权数据生成所述第二认 证授权数据； 所述第三方应用服务器将生成的所述第二认证授权数据发送给授权服务 器； 所述第三方应用服务器接收到所述授权服务器根据所述第二认证授权数据返回的 资源访问许可数据， 所述资源访问许可数据用于判断所述第三方应用服务器是否能够 访问存放在除所述第三方应用服务器外的其它服务提供者的数据资源。 优选地， 在所述第三方应用服务器接收来自所述用户代理的所述第一认证授权数 据之后， 还包括： 所述第三方应用服务器将所述第一认证授权数据和 /或第二认证授权 数据发送给所述其它服务提供者的资源服务器， 其中， 所述第三方应用服务器根据所 述第一认证授权数据生成所述第二认证授权数据； 所述第三方应用服务器接收到所述 资源服务器根据所述第一认证授权数据和 /或第二认证授权数据返回的数据资源。 优选地， 所述授权信息包括以下至少之一： 可执行程序、 1本、 第三方应用服务 器的标识、 第三方应用服务器要访问的资源的标识。 优选地， 所述用户信息包括以下至少之- 口令、 密码、 与用户公钥相匹配的私 钥、 用户的生物特征。 根据本发明的另一方面， 提供了一种认证授权处理方法， 包括： 授权服务器向用 户代理传送授权信息， 其中， 所述用户代理将根据用户信息及所述授权信息生成的第 一认证授权数据发送给第三方应用服务器， 所述第一认证授权数据用于授予所述第三 方应用服务器访问存放在除所述第三方应用服务器外的其它服务提供者的数据资源的 权限； 所述授权服务器接收到来自所述第三方应用服务器发送的所述第一认证授权数 据和 /或第二认证授权数据， 其中， 所述第三方应用服务器根据所述第一认证授权数据 生成所述第二认证授权数据； 所述授权服务器根据所述第一认证授权数据和 /或所述第 二认证授权数据向所述第三方应用服务器发送资源访问许可数据。 优选地， 所述授权信息包括以下至少之一： 可执行程序、 1本、 第三方应用服务 器的标识、 第三方应用服务器要访问的资源的标识。 优选地， 所述用户信息包括以下至少之一： 口令、 密码、 与用户公钥相匹配的私 钥、 用户的生物特征。 根据本发明的再一方面， 提供了一种认证授权处理方法， 包括： 用户代理接收来 自授权服务器和 /或第三方应用服务器的授权信息； 所述用户代理根据用户信息及所述 授权信息生成第一认证授权数据， 其中， 所述第一认证授权数据用于授予所述第三方 应用服务器访问存放在除所述第三方应用服务器外的其它服务提供者的数据资源的权 限； 所述用户代理将生成的所述第一认证授权数据发送给所述第三方应用服务器。 优选地， 所述授权信息包括以下至少之一： 可执行程序、 脚本、 第三方应用服务 器的标识、 第三方应用服务器要访问的资源的标识。 优选地， 所述用户信息包括以下至少之一： 口令、 密码、 与用户公钥相匹配的私 钥、 用户的生物特征。 根据本发明的又一方面， 提供了一种认证授权处理装置， 位于第三方应用服务器 中， 包括： 第一传送模块， 设置为向用户代理传送授权信息， 其中， 所述用户代理根 据用户信息及所述授权信息生成第一认证授权数据， 所述第一认证授权数据用于授予 所述第三方应用服务器访问存放在除所述第三方应用服务器外的其它服务提供者的数 据资源的权限； 第一接收模块， 设置为接收来自所述用户代理的所述第一认证授权数 据。 优选地， 还包括： 第一发送模块， 设置为向授权服务器发送所述第一认证授权数 据； 第二接收模块， 设置为接收到所述授权服务器根据所述第一认证授权数据返回的 资源访问许可数据， 所述资源访问许可数据用于判断所述第三方应用服务器是否能够 访问存放在除所述第三方应用服务器外的其它服务提供者的数据资源。 优选地， 还包括： 第一生成模块， 设置为根据所述第一认证授权数据生成所述第 二认证授权数据； 第二发送模块， 设置为将生成的所述第二认证授权数据发送给授权 服务器； 第三接收模块， 设置为接收到所述授权服务器根据所述第二认证授权数据返 回的资源访问许可数据， 所述资源访问许可数据用于判断所述第三方应用服务器是否 能够访问存放在除所述第三方应用服务器外的其它服务提供者的数据资源。 优选地， 还包括： 第三发送模块， 设置为将所述第一认证授权数据和 /或第二认证 授权数据发送给所述其它服务提供者的资源服务器， 其中， 所述第三方应用服务器根 据所述第一认证授权数据生成所述第二认证授权数据； 第四接收模块， 设置为接收到 所述资源服务器根据所述第一认证授权数据和 /或第二认证授权数据返回的数据资源。 根据本发明的还一方面， 提供了一种认证授权处理装置， 位于授权服务器中， 包 括： 第二传送模块， 设置为向用户代理传送授权信息， 其中， 所述用户代理将根据用 户信息及所述授权信息生成的第一认证授权数据发送给第三方应用服务器， 所述第一 认证授权数据用于授予所述第三方应用服务器访问存放在除所述第三方应用服务器外 的其它服务提供者的数据资源的权限； 第五接收模块， 设置为接收到来自所述第三方 应用服务器发送的所述第一认证授权数据和 /或第二认证授权数据， 其中， 所述第三方 应用服务器根据所述第一认证授权数据生成所述第二认证授权数据； 第四发送模块， 设置为根据所述第一认证授权数据和 /或第二认证授权数据向所述第三方应用服务器 发送资源访问许可数据。 根据本发明的还又一方面， 提供了一种认证授权处理装置， 位于用户代理中， 包 括： 第六接收模块， 设置为接收来自授权服务器和 /或第三方应用服务器的授权信息； 第二生成模块， 设置为根据用户信息及所述授权信息生成第一认证授权数据， 其中， 所述第一认证授权数据用于授予所述第三方应用服务器访问存放在除所述第三方应用 服务器外的其它服务提供者的数据资源的权限； 第五发送模块， 设置为将生成的所述 第一认证授权数据发送给所述第三方应用服务器。 通过本发明， 采用第三方应用服务器或授权服务器向用户代理传送授权信息， 其 中， 所述用户代理根据用户信息及所述授权信息生成第一认证授权数据， 所述第一认 证授权数据用于授予所述第三方应用服务器访问存放在除所述第三方应用服务器外的 其它服务提供者的数据资源的权限； 所述第三方应用服务器接收来自所述用户代理的 所述第一认证授权数据， 解决了现有技术中存在认证授权流程复杂， 从而导致认证授 权处理效率不高的问题， 进而达到了不仅认证授权过程简洁， 而且提高认证授权处理 效率的效果。 附图说明 此处所说明的附图用来提供对本发明的进一步理解， 构成本申请的一部分， 本发 明的示意性实施例及其说明用于解释本发明， 并不构成对本发明的不当限定。 在附图 中- 图 1是相关技术中 OAuth 2.0抽象授权流程图； 图 2是相关技术中 OAuth 2.0的认证和授权中授权码流程图； 图 3是根据本发明实施例的认证授权处理方法的流程图一； 图 4是根据本发明实施例认证授权处理方法的流程图二； 图 5是根据本发明实施例的认证授权处理方法的流程图三； 图 6是根据本发明实施例的认证授权处理装置的结构框图一； 图 7是根据本发明实施例的认证授权处理装置的结构框图二； 图 8是根据本发明实施例的认证授权处理装置的结构框图三； 图 9是根据本发明实施例的认证授权处理装置的结构框图四； 图 10是根据本发明实施例的认证授权处理装置的结构框图五； 图 11是根据本发明实施例的认证授权处理装置的结构框图六； 图 12是根据本发明优选实施例的认证授权方法的示意图一； 图 13是根据本发明优选实施例的认证授权方法的示意图二； 图 14是根据本发明优选实施例的认证授权装置的结构框图； 图 15是根据本发明优选实施例的实现认证授权的用户代理装置的结构框图； 图 16 是根据本发明优选实施例的实现认证授权的第三方应用服务装置的结构框 图。 具体实施方式 下文中将参考附图并结合实施例来详细说明本发明。 需要说明的是， 在不冲突的 情况下， 本申请中的实施例及实施例中的特征可以相互组合。 在本实施例中提供了一种认证授权处理方法， 图 3是根据本发明实施例的认证授 权处理方法的流程图一， 如图 3所示， 该流程包括如下步骤： 步骤 S302， 第三方应用服务器向用户代理传送授权信息， 其中， 用户代理根据用 户信息及上述授权信息生成第一认证授权数据， 该第一认证授权数据用于授予第三方 应用服务器访问存放在除上述第三方应用服务器外的其它服务提供者的数据资源的权 限； 步骤 S304， 第三方应用服务器接收来自用户代理的第一认证授权数据。 通过上述步骤， 第三方应用服务器可以直接接收到用于认证授权的第一认证授权 数据，相对于相关技术中需要多个消息来回， 以及通过繁琐的流程才能实现认证授权， 上述步骤较为简洁， 交互流程较少， 不仅解决了相关技术中认证授权流程复杂的问题， 并且， 通过生成的方式获取该第一认证授权数据， 在一定程度上也提高了认证授权的 处理效率。 在第三方应用服务器接收来自用户代理的第一认证授权数据之后， 依据该第一认 证授权处理的方式可以多种， 例如， 在第三方应用服务器直接依据该第一认证授权数 据来执行认证处理流程， 可以采用以下方式： 第三方应用服务器向授权服务器发送第 一认证授权数据； 授权认证服务器对第三方应用服务器发送的该第一认证授权数据进 行认证， 而后向第三方应用服务器进行反馈， 第三方应用服务器接收到授权服务器根 据上述第一认证授权数据返回的资源访问许可数据， 其中， 该资源访问许可数据用于 判断第三方应用服务器是否能够访问存放在除第三方应用服务器外的其它服务提供者 的数据资源。 又例如， 该第三方应用服务器还可以间接地使用该第一认证授权数据来 执行认证授权处理流程， 处理时可以采用以下方式： 第三方应用服务器根据第一认证 授权数据生成第二认证授权数据； 第三方应用服务器将生成的第二认证授权数据发送 给授权服务器； 授权服务器对接收到的上述第二认证授权数据进行认证， 而后向第三 方应用服务器进行反馈， 第三方应用服务器接收到授权服务器根据第二认证授权数据 返回的资源访问许可数据， 其中， 该资源访问许可数据用于判断第三方应用服务器是 否能够访问存放在除第三方应用服务器外的其它服务提供者的数据资源。 对于上述直 接采用第一认证授权数据还是间接地采用认证授权数据的处理方式， 可以根据具体需 要灵活选择。 上述直接采用第一认证授权数据还是间接采用认证授权数据的处理方式， 均是通 过授权服务器来认证授权的， 而通过资源服务器也可以实现对第三方应用服务器是否 能够访问数据资源进行认证， 例如， 在第三方应用服务器接收来自用户代理的第一认 证授权数据之后， 第三方应用服务器将第一认证授权数据和 /或第二认证授权数据发送 给上述其它服务提供者的资源服务器， 其中， 第三方应用服务器根据第一认证授权数 据生成第二认证授权数据； 上述资源服务器直接根据上述第一认证授权数据和 /或第二 认证授权数据对第三方应用服务器进行认证， 而后向第三方应用服务器进行反馈， 第 三方应用服务器接收到资源服务器根据第一认证授权数据和 /或第二认证授权数据返 回的数据资源。 采用这样的处理方式， 相对于采用授权服务器的认证授权处理流程更 为简洁， 认证授权处理效率更高。 需要说明的是， 上述授权信息可以包括以下至少之一： 可执行程序、 脚本、 第三 方应用服务器的标识、 第三方应用服务器要访问的资源的标识。 上述用户信息可以包 括以下至少之一： 口令、 密码、 与用户公钥相匹配的私钥、 用户的生物特征。 在本实施例中还提供了一种认证授权处理方法， 图 4是根据本发明实施例认证授 权处理方法的流程图二， 如图 4所示， 该流程包括如下步骤： 步骤 S402， 授权服务器向用户代理传送授权信息， 其中， 用户代理将根据用户信 息及授权信息生成的第一认证授权数据发送给第三方应用服务器， 该第一认证授权数 据用于授予第三方应用服务器访问存放在除第三方应用服务器外的其它服务提供者的 数据资源的权限； 步骤 S404，授权服务器接收到来自第三方应用服务器发送的第一认证授权数据和 /或第二认证授权数据， 其中， 第三方应用服务器根据第一认证授权数据生成第二认证 授权数据； 步骤 S406，授权服务器根据第一认证授权数据和 /或第二认证授权数据向第三方应 用服务器发送资源访问许可数据。 通过上述步骤， 授权服务器直接根据用户代理生成的第一认证授权数据对第三方 应用服务器进行认证，相对于相关技术中需要进行多次信息交互， 上述步骤较为简洁， 交互流程较少， 不仅解决了相关技术中认证授权流程复杂的问题， 并且， 通过生成的 方式获取该第一认证授权数据， 在一定程度上也提高了认证授权的处理效率。 授权服务器接收到上述第一认证授权数据之后， 也可以通过不同的认证授权处理 方式向第三方应用服务器发送资源访问许可数据： 授权服务器接收到来自第三方应用 服务器发送的第一认证授权数据和 /或第二认证授权数据， 其中， 第三方应用服务器根 据第一认证授权数据生成第二认证授权数据； 授权服务器根据第一认证授权数据和 / 或第二认证授权数据向第三方应用服务器发送资源访问许可数据， 上述授权服务器采 用第一认证授权数据进行认证的情况下， 属于直接的认证授权处理方式， 而采用第二 认证授权数据进行认证的情况下， 属于间接的认证授权处理方式， 处理时可以根据具 体条件进行灵活选择。 需要说明的是， 上述授权信息也可以包括以下至少之一： 可执行程序、 脚本、 第 三方应用服务器的标识、 第三方应用服务器要访问的资源的标识。 上述用户信息也可 以包括以下至少之一： 口令、 密码、 与用户公钥相匹配的私钥、 用户的生物特征。 在本实施例中还提供了一种认证授权处理方法， 图 5是根据本发明实施例的认证 授权处理方法的流程图三， 如图 5所示， 该流程包括如下步骤： 步骤 S502， 用户代理接收来自授权服务器和 /或第三方应用服务器的授权信息； 步骤 S504， 用户代理根据用户信息及授权信息生成第一认证授权数据， 其中， 该 第一认证授权数据用于授予第三方应用服务器访问存放在除第三方应用服务器外的其 它服务提供者的数据资源的权限； 步骤 S506， 用户代理将生成的上述第一认证授权数据发送给第三方应用服务器。 通过上述步骤， 用户代理直接根据用户信息以及传送的授权信息生成第一认证授 权数据， 而后将直接生成的第一认证授权数据发送给第三方应用服务器， 为后续第三 方应用服务器的快速认证授权流程提供了可能。 需要说明的是， 上述授权信息可以包括以下至少之一： 可执行程序、 脚本、 第三 方应用服务器的标识、 第三方应用服务器要访问的资源的标识。 上述用户信息包括以 下至少之一： 口令、 密码、 与用户公钥相匹配的私钥、 用户的生物特征。 在本实施例中还提供了一种认证授权处理装置， 该装置用于实现上述实施例及优 选实施方式， 已经进行过说明的不再赘述。 如以下所使用的， 术语 "模块"可以实现 预定功能的软件和 /或硬件的组合。 尽管以下实施例所描述的装置较佳地以软件来实 现， 但是硬件， 或者软件和硬件的组合的实现也是可能并被构想的。 图 6是根据本发明实施例的认证授权处理装置的结构框图一， 如图 6所示， 该装 置位于第三方应用服务器中， 包括： 第一传送模块 62和第一接收模块 64， 下面对该 装置进行说明。 第一传送模块 62， 设置为向用户代理传送授权信息， 其中， 用户代理 根据用户信息及授权信息生成第一认证授权数据， 上述第一认证授权数据用于授予第 三方应用服务器访问存放在除第三方应用服务器外的其它服务提供者的数据资源的权 限； 第一接收模块 64， 连接至上述第一传送模块 62， 设置为接收来自用户代理的第一 认证授权数据。 图 7是根据本发明实施例的认证授权处理装置的结构框图二， 如图 7所示， 该装 置除包括图 6所示的所有模块外， 还包括第一发送模块 72和第二接收模块 74。 下面 对该装置进行说明。 第一发送模块 72，连接至上述第一接收模块 64， 设置为向授权服务器发送第一认 证授权数据； 第二接收模块 74， 连接至上述第一发送模块 72， 设置为接收到授权服务 器根据第一认证授权数据返回的资源访问许可数据， 该资源访问许可数据用于判断第 三方应用服务器是否能够访问存放在除第三方应用服务器外的其它服务提供者的数据 资源。 图 8是根据本发明实施例的认证授权处理装置的结构框图三， 如图 8所示， 该装 置除包括图 6所示的所有模块外， 还包括第一生成模块 82、 第二发送模块 84和第三 接收模块 86， 下面对该装置进行说明。 第一生成模块 82，连接至上述第一接收模块 64， 设置为根据第一认证授权数据生 成第二认证授权数据； 第二发送模块 84， 连接至上述第一生成模块 82， 设置为将生成 的第二认证授权数据发送给授权服务器； 第三接收模块 86， 连接至上述第二发送模块 84， 设置为接收到授权服务器根据第二认证授权数据返回的资源访问许可数据， 该资 源访问许可数据用于判断第三方应用服务器是否能够访问存放在除第三方应用服务器 外的其它服务提供者的数据资源。 图 9是根据本发明实施例的认证授权处理装置的结构框图四， 如图 9所示， 该装 置除包括图 6所示的所有模块外， 还包括第三发送模块 92和第四发送模块 94， 下面 对该装置进行说明。 第三发送模块 92， 连接至上述第一接收模块 64， 设置为将第一认证授权数据和 / 或第二认证授权数据发送给其它服务提供者的资源服务器， 其中， 第三方应用服务器 根据第一认证授权数据生成第二认证授权数据； 第四接收模块 94， 连接至上述第三发 送模块 92，设置为接收到资源服务器根据第一认证授权数据和 /或第二认证授权数据返 回的数据资源。 图 10是根据本发明实施例的认证授权处理装置的结构框图五， 如图 10所示， 该 装置位于授权服务器中， 包括第二传送模块 1002、 第五接收模块 1004和第四发送模 块 1006， 下面对该装置进行说明。 第二传送模块 1002， 设置为向用户代理传送授权信息， 其中， 用户代理将根据用 户信息及授权信息生成的第一认证授权数据发送给第三方应用服务器， 该第一认证授 权数据用于授予第三方应用服务器访问存放在除第三方应用服务器外的其它服务提供 者的数据资源的权限； 第五接收模块 1004， 连接至上述第二传送模块 1002， 设置为接 收到来自第三方应用服务器发送的第一认证授权数据和 /或第二认证授权数据， 其中， 第三方应用服务器根据第一认证授权数据生成第二认证授权数据； 第四发送模块 1006，连接至上述第五接收模块 1004，设置为根据第一认证授权数据和 /或第二认证授 权数据向第三方应用服务器发送资源访问许可数据。 图 11是根据本发明实施例的认证授权处理装置的结构框图六， 如图 11所示， 该 装置位于用户代理中， 包括第六接收模块 1102、 第二生成模块 1104和第五发送模块 1106, 下面对该装置进行说明。 第六接收模块 1102，设置为接收来自授权服务器和 /或第三方应用服务器的授权信 息； 第二生成模块 1104， 连接至上述第六接收模块 1102， 设置为根据用户信息及授权 信息生成第一认证授权数据， 其中， 第一认证授权数据用于授予第三方应用服务器访 问存放在除第三方应用服务器外的其它服务提供者的数据资源的权限； 第五发送模块 1106， 连接至上述第二生成模块 1104， 设置为将生成的第一认证授权数据发送给第三 方应用服务器。 上述实施例及优选实施方式所提供的认证授权处理方法， 适用于包括用户代理、 授权服务器、 第三方应用服务器的系统中， 下面结合适用的系统， 对上述方法进行较 为详细的说明。 上述认证授权处理方法包括： 授权服务器和 /或第三方应用服务器下传 授权信息给用户代理， 其中， 该授权信息被用户代理用于生成第一认证授权数据； 用 户代理将上述第一认证授权数据发送给第三方应用服务器。 较优地， 在第三方应用服务器接收到上述认证授权数据时， 该第三方应用服务器 发送第一认证授权数据给授权服务器， 或者根据第一认证授权数据生成第二认证授权 数据并发送给授权服务器； 授权服务器根据接收到的第一认证授权数据和 /或第二认证 授权数据， 向第三方应用服务器返回资源访问许可数据。 需要说明的是， 上述授权信息可以包含以下至少之一： 可执行程序、 脚本、 第三 方应用服务器的标识、 第三方应用服务器要访问的资源的标识。 较优地， 在用户代理把第一认证授权数据发送给第三方应用服务器前， 用户代理 还可以获取用户信息， 根据获取到的用户信息和授权信息生成第一认证授权数据。 其 中， 上述用户信息可以包括以下至少之一： 口令、 密码、 和用户公钥相匹配的私钥、 用户的生物特征。 通过上述实施例及优选实施方式， 由资源主用户通过授权服务器提供的代码， 直 接为第三方应用生成授权码， 解决了相关技术中 OAuth 2.0获取授权码的过程繁琐的 问题， 上述实施例及优选实施方式所提供的认证授权过程较为简洁， 较大地提高了认 证授权效率。 下面将结合附图对本发明实施方式做进一步说明。 图 12是根据本发明优选实施例的认证授权方法的示意图一， 如图 12所示， 在该 认证授权方法的流程中包含的角色有： 用户代理 310、 授权服务器 104和第三方应用 服务器 103， 在进行认证授权之前， 可以先完成以下处理： 用户 101通过用户代理 310 访问第三方应用服务器 103， 用户代理 310可以是在用户终端设备 102上运行的浏览 器程序。 当需要第三方应用服务器 103访问资源服务器时， 用户代理 310会被第三方 应用服务器 103重定向到授权服务器 104， 重定向链接可以包含第三方应用服务器的 标识、第三方应用服务器要访问的在资源服务器上的资源标识。在结束上述处理之后， 认证授权的过程包括如下步骤： 301 . 用户代理 310跳转到授权服务器 104后，用户被要求从授权服务器 104下载 授权信息， 授权信息可以是可执行程序、 脚本、 第三方应用服务器的标识、 第三方应 用服务器要访问的资源的标识中的任一组合；
302. 用户代理 310从用户或终端设备获得用户信息， 并根据该用户信息和上述授 权信息生成第一认证授权数据， 其中上述用户信息可以包括以下任一组合： 口令、 密 码、 和用户公钥相匹配的私钥、 用户的生物特征；
303. 用户代理把第一认证授权数据发送给第三方应用服务器 103 ;
304.第三方应用服务器 103把第一认证授权数据或者根据第一认证授权数据生成 的第二认证授权数据发送给授权服务器；
305. 授权服务器 104接收第一认证授权数据或第二认证授权数据， 并向第三方应 用服务器 103返回资源访问许可数据。 图 13是根据本发明优选实施例的认证授权方法的示意图二， 如图 13所示， 在该 认证授权方法的流程中包含的角色有： 用户代理 310、授权服务器 104、第三方应用服 务器 103。 在进行认证授权之前， 可以先完成以下处理： 用户 101通过用户代理 310 访问第三方应用服务器 103，第三方应用服务器 103要求从用户 101和授权服务器 104 获得对某个资源的资源访问许可数据， 如访问令牌， 完成上述处理之后， 进行如下步 骤：
401 . 用户代理 310被要求从第三方应用服务器 103下载授权信息，授权信息可以 是可执行程序、 脚本、 第三方应用服务器的标识、 第三方应用服务器要访问的资源的 标识中的任一组合； 402. 用户代理 310从用户或终端设备获得用户信息， 并根据该用户信息和上述授 权信息生成第一认证授权数据， 其中， 上述用户信息包括以下任一组合： 口令、 密码、 和用户公钥相匹配的私钥、 用户的生物特征；
403. 用户代理 310把第一认证授权数据发送给第三方应用服务器 103 ; 404.第三方应用服务器 103把第一认证授权数据或者根据第一认证授权数据生成 的第二认证授权数据发送给授权服务器；
405. 授权服务器 104接收第一认证授权数据或第二认证授权数据， 并向第三方应 用服务器 103返回资源访问许可数据。 在上述实施例或优选实施方式中，授权信息可以包括一段 Javascript代码，代码中 可包含从重定向链接获取的第三方应用服务器的标识、 第三方应用服务器要访问的在 资源服务器上的资源标识等信息。 Javascript代码下载完成后在用户代理 310内执行， 可提示用户 101提供用户信息， 也可根据事先的设置自动载入用户信息。 上述用户信息指的是用户的认证凭据， 可以是口令、 密码、 和用户公钥对应的私 钥、 用户的生物特征等， 或者上述认证凭据中的任一组合， 以及任何其他可以认证用 户的数据。 用户信息的提供方式也可以多种， 可以是用户 101从键盘输入（口令、 密码）、 也 可以是从和终端设备相连的存储设备中读取（和公钥相对应的私钥、密码文件）、 也可 以是从和终端设备相连的生物特征采集器获取（用户的生物特征）， 或者上述三种方式 中的任一组合。 在获得用户信息后， Javascript代码生成第一认证授权数据， 发送给第三方应用服 务器 103。 第一认证授权数据也可以具有多种类型， 例如， 第一认证授权数据可以是根据用 户的口令、密码和第三方应用服务器的标识、第三方应用服务器要访问的资源的标识、 授权有效期限等信息计算出的消息认证码（Message Authentication Code )。 又例如， 第 一认证授权数据也可以是根据和用户公钥匹配的私钥、 第三方应用服务器的标识、 第 三方应用服务器要访问的资源的标识、授权有效期限等信息计算出的数字签名（Digital Signature) ,, 还例如， 第一认证授权数据还可以是根据和用户公钥匹配的私钥、 第三方 应用服务器的标识、 第三方应用服务器要访问的资源的标识、 授权有效期限等信息和 代理数字签名算法 （Proxy Signature) 生成的代理私钥。 用户代理 310把上述第一认证授权数据发送给第三方应用服务器 103 ; 第三方应用服务器 103发送资源访问许可请求给授权服务器 104， 请求获得资源 访问许可数据， 资源访问许可请求中包含第一认证授权数据或者根据第一认证授权数 据生成的第二认证授权数据。 例如， 第二认证授权数据可以是第三方应用服务器根据 第一认证授权数据中的代理私钥生成的代理数字签名 （Proxy Signature ) o 上述第一认证授权数据、 第二认证授权数据可包含第三方应用服务器的标识、 第 三方应用服务器要访问的资源的标识、 授权有效期限等信息。 授权服务器 104接收资源访问许可请求， 解析出第一认证授权数据或第二认证授 权数据， 通过相应的算法验证认证授权数据的合法性。 比如， 如果认证授权数据是消 息认证码， 就根据用户的口令、 密码和第三方应用服务器的标识、 第三方应用服务器 要访问的资源的标识、 授权有效期限等信息重新计算消息认证码， 如果计算出的结果 和收到的消息认证码相同， 则认为该认证授权数据合法。 如果认证授权数据包含数字 签名 （包括普通的数字签名和代理数字签名）， 就根据用户的公钥验证签名的合法性。 如果认证授权数据验证合法， 授权服务器 104就生成资源访问许可数据， 并向第 三方应用服务器返回资源访问许可数据。 该资源访问许可数据可以是 OAuth 1.0或 2.0 中的访问令牌。 第三方应用服务器 103获得资源访问许可数据后， 发送给资源服务器， 资源服务 器验证资源访问许可数据， 如果资源访问许可数据验证合法， 返回请求的资源内容。 在另一个优选实施例中， 用户代理 310跳转到授权服务器 104后， 用户被要求从 授权服务器 104下载授权信息， 授权信息包括一段 Javascript代码， 一个 ActiveX控件 或一个 Plugin插件。 这里的 ActiveX控件或 Plugin插件还可以从授权服务器或其他第 三方可信服务器以在线或者离线的方式获得。 如果 ActiveX控件或 Plugin插件被检测 未安装， 则提示用户下载安装， 如果被检测已经安装， 则不提示用户下载。 Javascript 代码中可包含从重定向链接获取的第三方应用服务器的标识、 第三方应用服务器要访 问的在资源服务器上的资源标识等信息。 Javascript代码下载完成后在用户代理 310 内执行， 调用 ActiveX控件或 Plugin插件， 把第三方应用服务器的标识、 第三方应用 服务器要访问的在资源服务器上的资源标识等信息输入到 ActiveX控件或 Plugin插件。 ActiveX控件或 Plugin插件提示用户 101提供用户信息。用户信息如上述实施例所示， 在此不再赘述。 在另一个优选实施例中， 用户 101通过用户代理 310访问第三方应用服务器 103， 当需要第三方应用服务器 103访问资源服务器时， 第三方应用服务器 103给用户代理
310显示授权请求页面， 其中包含一段 Javascript代码， 该代码检测用户代理 310是否 已经安装所需要的 Plugin插件或 ActiveX控件， 如果 ActiveX控件或 Plugin插件被检 测未安装， 则提示用户下载安装， 如果被检测已经安装， 则不提示用户下载。 这里的 ActiveX控件或 Plugin插件可以从授权服务器或该第三方应用服务器或其他第三方可 信服务器以在线或者离线的方式获得。
Javascript代码中可包含第三方应用服务器的标识、第三方应用服务器要访问的在 资源服务器上的资源标识等信息。 Javascript代码在用户代理 310内执行调用 ActiveX 控件或 Plugin插件， 把第三方应用服务器的标识、 第三方应用服务器要访问的在资源 服务器上的资源标识等信息输入到 ActiveX控件或 Plugin插件。 ActiveX控件或 Plugin 插件提示用户 101提供用户信息。 用户信息如上述实施例所示， 在此不再赘述。 在另一个优选实施例中， 用户代理 310下载执行授权信息后， 授权信息中的代码 并不提示用户提供用户信息， 而只是提示用户是否同意生成第一认证授权数据。 用户 信息可以事先存储在下载安装后的控件或插件中。 在本实施例中还提供了一种实现认证授权的认证授权装置，图 14是根据本发明优 选实施例的认证授权装置的结构框图， 如图 14所示， 该认证授权装置 320包括传送模 块 501 (与上述第二传送模块 1002功能相当）、 接收模块 502 (与上述第五接收模块 1004功能相当）、递交模块 503 (与上述第四发送模块 1006功能相当）和处理模块 504， 下面对该认证授权装置进行说明。 传送模块 501， 设置为传送授权信息给用户代理， 其中， 该授权信息被用户代理 用于生成第一认证授权数据； 接收模块 502， 设置为接收由用户代理生成的第一认证 授权数据， 或由第三方应用服务器生成的第二认证授权数据； 递交模块 503， 设置为 向第三方应用服务器递交资源访问许可数据。 上述认证授权装置 320中， 还可以包含处理模块 504， 设置为根据接收到的第一 认证授权数据或第二认证授权数据认证用户。 上述认证授权装置 320中， 所涉及的授权信息可以包含以下任一组合： 可执行程 序、 脚本、 第三方应用服务器的标识、 第三方应用服务器要访问的资源的标识。 在本实施例中还提供了一种实现认证授权的用户代理装置，图 15是根据本发明优 选实施例的实现认证授权的用户代理装置的结构框图， 如图 15所示， 该用户代理装置 310包括下载模块 601 (与上述第六接收模块 1102功能相当）、 生成模块 603 (与上述 第二生成模块 1104功能相当）和发送模块 604 (与上述第五发送模块 1106功能相当）， 下面对该用户代理装置 310进行说明。 下载模块 601， 设置为从授权服务器和 /或第三方应用服务器下载授权信息； 生成 模块 603， 设置为根据用户信息和授权信息生成第一认证授权数据； 发送模块 604， 设 置为把第一认证授权数据发送给第三方应用服务器。 上述用户代理装置 310还可包含获取模块 602， 设置为获取用户信息， 其中， 该 用户信息包括以下任一组合： 口令、 密码、 和用户公钥相匹配的私钥、 用户的生物特 征。 上述用户代理装置 310中， 上述授权信息可以包含以下任一组合： 可执行程序、 脚本、 第三方应用服务器的标识、 第三方应用服务器要访问的资源的标识。 在本实施例中还提供了一种实现认证授权的第三方应用服务器装置，图 16是根据 本发明优选实施例的实现认证授权的第三方应用服务装置的结构框图， 如图 16所示， 该第三方应用服务装置 330包括传送模块 701 (与上述第一传送模块 62功能相当）和 接收模块 702 (与上述第一接收模块 64功能相当）， 下面对该第三方应用服务装置进 行说明。 传送模块 701， 设置为传送授权信息给用户代理， 其中， 上述授权信息被用户代 理用于生成第一认证授权数据； 接收模块 702， 设置为接收由用户代理生成的第一认 证授权数据。 较优地， 上述第三方应用服务装置， 还可包括转交模块 704 (与上述第一发送模 块 72功能相当）， 设置为发送第一认证授权数据给授权服务器； 上述第三方应用服务装置， 还可包括生成模块 703 (与上述第一生成模块 82功能 相当）和发送模块 704 (与上述第二发送模块 84功能相当）； 其中， 生成模块 703， 设 置为根据第一认证授权数据生成第二认证授权数据； 发送模块 704， 设置为发送第二 认证授权数据给授权服务器。 显然， 本领域的技术人员应该明白， 上述的本发明的各模块或各步骤可以用通用 的计算装置来实现， 它们可以集中在单个的计算装置上， 或者分布在多个计算装置所 组成的网络上， 可选地， 它们可以用计算装置可执行的程序代码来实现， 从而， 可以 将它们存储在存储装置中由计算装置来执行， 并且在某些情况下， 可以以不同于此处 的顺序执行所示出或描述的步骤， 或者将它们分别制作成各个集成电路模块， 或者将 它们中的多个模块或步骤制作成单个集成电路模块来实现。 这样， 本发明不限制于任 何特定的硬件和软件结合。 以上所述仅为本发明的优选实施例而已， 并不用于限制本发明， 对于本领域的技 术人员来说， 本发明可以有各种更改和变化。 凡在本发明的精神和原则之内， 所作的 任何修改、 等同替换、 改进等， 均应包含在本发明的保护范围之内。

Claims

权 利 要 求 书
1. 一种认证授权处理方法， 包括：
第三方应用服务器向用户代理传送授权信息， 其中， 所述用户代理根据用 户信息及所述授权信息生成第一认证授权数据， 所述第一认证授权数据用于授 予所述第三方应用服务器访问存放在除所述第三方应用服务器外的其它服务提 供者的数据资源的权限；
所述第三方应用服务器接收来自所述用户代理的所述第一认证授权数据。
2. 根据权利要求 1所述的方法， 其中， 在所述第三方应用服务器接收来自所述用 户代理的所述第一认证授权数据之后， 还包括：
所述第三方应用服务器向授权服务器发送所述第一认证授权数据； 所述第三方应用服务器接收到所述授权服务器根据所述第一认证授权数据 返回的资源访问许可数据， 所述资源访问许可数据用于判断所述第三方应用服 务器是否能够访问存放在除所述第三方应用服务器外的其它服务提供者的数据 资源。
3. 根据权利要求 1所述的方法， 其中， 在所述第三方应用服务器接收来自所述用 户代理的所述第一认证授权数据之后， 还包括：
所述第三方应用服务器根据所述第一认证授权数据生成所述第二认证授权 数据；
所述第三方应用服务器将生成的所述第二认证授权数据发送给授权服务 器；
所述第三方应用服务器接收到所述授权服务器根据所述第二认证授权数据 返回的资源访问许可数据， 所述资源访问许可数据用于判断所述第三方应用服 务器是否能够访问存放在除所述第三方应用服务器外的其它服务提供者的数据 资源。
4. 根据权利要求 1所述的方法， 其中， 在所述第三方应用服务器接收来自所述用 户代理的所述第一认证授权数据之后， 还包括： 所述第三方应用服务器将所述第一认证授权数据和 /或第二认证授权数据 发送给所述其它服务提供者的资源服务器， 其中， 所述第三方应用服务器根据 所述第一认证授权数据生成所述第二认证授权数据；
所述第三方应用服务器接收到所述资源服务器根据所述第一认证授权数据 和 /或第二认证授权数据返回的数据资源。 根据权利要求 1至 4中任一项所述的方法， 其中， 所述授权信息包括以下至少 之一：
可执行程序、 脚本、 第三方应用服务器的标识、 第三方应用服务器要访问 的资源的标识。 根据权利要求 1至 4中任一项所述的方法， 其中， 所述用户信息包括以下至少 之一：
口令、 密码、 与用户公钥相匹配的私钥、 用户的生物特征。 一种认证授权处理方法， 包括：
授权服务器向用户代理传送授权信息， 其中， 所述用户代理将根据用户信 息及所述授权信息生成的第一认证授权数据发送给第三方应用服务器， 所述第 一认证授权数据用于授予所述第三方应用服务器访问存放在除所述第三方应用 服务器外的其它服务提供者的数据资源的权限；
所述授权服务器接收到来自所述第三方应用服务器发送的所述第一认证授 权数据和 /或第二认证授权数据， 其中， 所述第三方应用服务器根据所述第一认 证授权数据生成所述第二认证授权数据；
所述授权服务器根据所述第一认证授权数据和 /或所述第二认证授权数据 向所述第三方应用服务器发送资源访问许可数据。 根据权利要求 7所述的方法， 其中， 所述授权信息包括以下至少之一：
可执行程序、 脚本、 第三方应用服务器的标识、 第三方应用服务器要访问 的资源的标识。 根据权利要求 7或 8所述的方法， 其中， 所述用户信息包括以下至少之一： 口令、 密码、 与用户公钥相匹配的私钥、 用户的生物特征。 一种认证授权处理方法， 包括： 用户代理接收来自授权服务器和 /或第三方应用服务器的授权信息； 所述用户代理根据用户信息及所述授权信息生成第一认证授权数据，其中， 所述第一认证授权数据用于授予所述第三方应用服务器访问存放在除所述第三 方应用服务器外的其它服务提供者的数据资源的权限；
所述用户代理将生成的所述第一认证授权数据发送给所述第三方应用服务 器。
11. 根据权利要求 10所述的方法， 其中， 所述授权信息包括以下至少之一：
可执行程序、 脚本、 第三方应用服务器的标识、 第三方应用服务器要访问 的资源的标识。
12. 根据权利要求 10或 11所述的方法， 其中， 所述用户信息包括以下至少之一： 口令、 密码、 与用户公钥相匹配的私钥、 用户的生物特征。
13. 一种认证授权处理装置， 其中， 位于第三方应用服务器中， 包括：
第一传送模块， 设置为向用户代理传送授权信息， 其中， 所述用户代理根 据用户信息及所述授权信息生成第一认证授权数据， 所述第一认证授权数据用 于授予所述第三方应用服务器访问存放在除所述第三方应用服务器外的其它服 务提供者的数据资源的权限；
第一接收模块， 设置为接收来自所述用户代理的所述第一认证授权数据。
14. 根据权利要求 13所述的装置， 其中， 还包括：
第一发送模块， 设置为向授权服务器发送所述第一认证授权数据； 第二接收模块， 设置为接收到所述授权服务器根据所述第一认证授权数据 返回的资源访问许可数据， 所述资源访问许可数据用于判断所述第三方应用服 务器是否能够访问存放在除所述第三方应用服务器外的其它服务提供者的数据 资源。
15. 根据权利要求 13所述的装置， 其中， 还包括：
第一生成模块， 设置为根据所述第一认证授权数据生成所述第二认证授权 数据；
第二发送模块，设置为将生成的所述第二认证授权数据发送给授权服务器; 第三接收模块， 设置为接收到所述授权服务器根据所述第二认证授权数据 返回的资源访问许可数据， 所述资源访问许可数据用于判断所述第三方应用服 务器是否能够访问存放在除所述第三方应用服务器外的其它服务提供者的数据 资源。
16. 根据权利要求 13所述的装置， 其中， 还包括：
第三发送模块，设置为将所述第一认证授权数据和 /或第二认证授权数据发 送给所述其它服务提供者的资源服务器， 其中， 所述第三方应用服务器根据所 述第一认证授权数据生成所述第二认证授权数据；
第四接收模块， 设置为接收到所述资源服务器根据所述第一认证授权数据 和 /或第二认证授权数据返回的数据资源。
17. 一种认证授权处理装置， 位于授权服务器中， 包括：
第二传送模块， 设置为向用户代理传送授权信息， 其中， 所述用户代理将 根据用户信息及所述授权信息生成的第一认证授权数据发送给第三方应用服务 器， 所述第一认证授权数据用于授予所述第三方应用服务器访问存放在除所述 第三方应用服务器外的其它服务提供者的数据资源的权限；
第五接收模块， 设置为接收到来自所述第三方应用服务器发送的所述第一 认证授权数据和 /或第二认证授权数据， 其中， 所述第三方应用服务器根据所述 第一认证授权数据生成所述第二认证授权数据；
第四发送模块，设置为根据所述第一认证授权数据和 /或第二认证授权数据 向所述第三方应用服务器发送资源访问许可数据。
18. 一种认证授权处理装置， 位于用户代理中， 包括：
第六接收模块，设置为接收来自授权服务器和 /或第三方应用服务器的授权 信息；
第二生成模块， 设置为根据用户信息及所述授权信息生成第一认证授权数 据， 其中， 所述第一认证授权数据用于授予所述第三方应用服务器访问存放在 除所述第三方应用服务器外的其它服务提供者的数据资源的权限；
第五发送模块， 设置为将生成的所述第一认证授权数据发送给所述第三方 应用服务器。
PCT/CN2013/082105 2012-08-30 2013-08-22 认证授权处理方法及装置 WO2014032543A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201210315517.0 2012-08-30
CN201210315517.0A CN103685139B (zh) 2012-08-30 2012-08-30 认证授权处理方法及装置

Publications (1)

Publication Number Publication Date
WO2014032543A1 true WO2014032543A1 (zh) 2014-03-06

Family

ID=50182490

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2013/082105 WO2014032543A1 (zh) 2012-08-30 2013-08-22 认证授权处理方法及装置

Country Status (2)

Country Link
CN (1) CN103685139B (zh)
WO (1) WO2014032543A1 (zh)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2020220783A1 (zh) * 2019-04-29 2020-11-05 华为技术有限公司 一种代理订阅的授权方法及装置
CN111949959A (zh) * 2020-08-14 2020-11-17 中国工商银行股份有限公司 Oauth协议中的授权认证方法及装置
EP3851984A1 (en) * 2020-01-15 2021-07-21 IDENTOS Inc. Computer-implemented systems for distributed authorization and federated privacy exchange
US11120444B2 (en) * 2018-02-05 2021-09-14 Capital One Services, Llc Real-time processing of requests related to facilitating use of an account
CN113572827A (zh) * 2021-07-13 2021-10-29 支付宝(杭州)信息技术有限公司 注册处理方法及装置
CN113965352A (zh) * 2021-09-18 2022-01-21 网宿科技股份有限公司 第三方网站登录方法、装置、电子设备和存储介质

Families Citing this family (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105207974B (zh) * 2014-06-18 2018-09-11 中国电信股份有限公司 一种实现用户资源差异化开放的方法、平台、应用和系统
CN104219251B (zh) * 2014-09-26 2018-02-23 北京国双科技有限公司 获取网站数据的方法和装置
CN105763514B (zh) 2014-12-17 2019-11-29 华为技术有限公司 一种处理授权的方法、设备和系统
JP2017004301A (ja) * 2015-06-11 2017-01-05 キヤノン株式会社 認証サーバーシステム、方法、プログラムおよび記憶媒体
CN105429978B (zh) * 2015-11-13 2018-10-30 中国建设银行股份有限公司 数据访问方法、设备及系统
CN107231335B (zh) * 2016-03-24 2021-05-25 创新先进技术有限公司 一种业务处理方法及装置
CN106453414B (zh) * 2016-11-29 2019-11-19 迈普通信技术股份有限公司 第三方登录认证方法、代理服务器、客户端及系统
CN106453422B (zh) * 2016-12-08 2020-09-04 上海众人网络安全技术有限公司 一种基于移动终端动态认证方法及系统
CN108650239A (zh) * 2018-04-17 2018-10-12 新大陆（福建）公共服务有限公司 一种OAuth协议的认证方法
CN108932165A (zh) * 2018-07-19 2018-12-04 中山大学 一种计算机集群资源分配与调度系统
CN111949958B (zh) * 2020-08-14 2023-08-18 中国工商银行股份有限公司 Oauth协议中的授权认证方法及装置
TWI823202B (zh) * 2021-12-03 2023-11-21 中華電信股份有限公司 代理授權系統和代理授權方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20120117626A1 (en) * 2010-11-10 2012-05-10 International Business Machines Corporation Business pre-permissioning in delegated third party authorization
CN102611709A (zh) * 2012-03-31 2012-07-25 奇智软件（北京）有限公司 一种对第三方资源的访问控制方法及系统
CN102624739A (zh) * 2012-03-30 2012-08-01 奇智软件（北京）有限公司 一种适用于客户端平台的认证授权方法和系统

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP2257026B1 (en) * 2009-05-29 2021-01-13 Alcatel Lucent System and method for accessing private digital content
CN102238007A (zh) * 2010-04-20 2011-11-09 阿里巴巴集团控股有限公司 第三方应用获得用户的会话令牌的方法、装置及系统

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20120117626A1 (en) * 2010-11-10 2012-05-10 International Business Machines Corporation Business pre-permissioning in delegated third party authorization
CN102624739A (zh) * 2012-03-30 2012-08-01 奇智软件（北京）有限公司 一种适用于客户端平台的认证授权方法和系统
CN102611709A (zh) * 2012-03-31 2012-07-25 奇智软件（北京）有限公司 一种对第三方资源的访问控制方法及系统

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
PAI, SUHAS ET AL.: "Formal Verification of OAuth 2.0 using Alloy Framework.", 2011 INTERNATIONAL CONFERENCE ON COMMUNICATION SYSTEMS AND NETWORK TECHNOLOGIES., 2011, pages 655 - 659 *

Cited By (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11120444B2 (en) * 2018-02-05 2021-09-14 Capital One Services, Llc Real-time processing of requests related to facilitating use of an account
WO2020220783A1 (zh) * 2019-04-29 2020-11-05 华为技术有限公司 一种代理订阅的授权方法及装置
EP3851984A1 (en) * 2020-01-15 2021-07-21 IDENTOS Inc. Computer-implemented systems for distributed authorization and federated privacy exchange
US11770376B2 (en) 2020-01-15 2023-09-26 IDENTOS Inc. Computer-implemented systems for distributed authorization and federated privacy exchange
CN111949959A (zh) * 2020-08-14 2020-11-17 中国工商银行股份有限公司 Oauth协议中的授权认证方法及装置
CN111949959B (zh) * 2020-08-14 2023-09-15 中国工商银行股份有限公司 Oauth协议中的授权认证方法及装置
CN113572827A (zh) * 2021-07-13 2021-10-29 支付宝(杭州)信息技术有限公司 注册处理方法及装置
CN113572827B (zh) * 2021-07-13 2024-01-16 支付宝（中国）网络技术有限公司 注册处理方法及装置
CN113965352A (zh) * 2021-09-18 2022-01-21 网宿科技股份有限公司 第三方网站登录方法、装置、电子设备和存储介质
CN113965352B (zh) * 2021-09-18 2023-12-01 网宿科技股份有限公司 第三方网站登录方法、装置、电子设备和存储介质

Also Published As

Publication number Publication date
CN103685139A (zh) 2014-03-26
CN103685139B (zh) 2018-07-13

Similar Documents

Publication Publication Date Title
WO2014032543A1 (zh) 认证授权处理方法及装置
US11134071B2 (en) Data exchange during multi factor authentication
US9038138B2 (en) Device token protocol for authorization and persistent authentication shared across applications
CN111385100B (zh) 用于访问资源的方法、计算机可读介质以及移动设备
CN107534652B (zh) 对基于云的服务的安全访问方法、系统和计算机可读介质
CN110138718B (zh) 信息处理系统及其控制方法
US10218691B2 (en) Single sign-on framework for browser-based applications and native applications
US8782411B2 (en) System and method of extending oauth server(s) with third party authentication/authorization
US8532620B2 (en) Trusted mobile device based security
EP2842258B1 (en) Multi-factor certificate authority
US10320771B2 (en) Single sign-on framework for browser-based applications and native applications
US8776204B2 (en) Secure dynamic authority delegation
EP3462701B1 (en) Device, control method of the same, and program
US20140337955A1 (en) Authentication and authorization with a bundled token
US20100100950A1 (en) Context-based adaptive authentication for data and services access in a network
US10735420B2 (en) Combined user authentication and device/application integrity check
US20180091490A1 (en) Authentication framework for a client of a remote database
JP2018517367A (ja) サービスプロバイダ証明書管理
US11811739B2 (en) Web encryption for web messages and application programming interfaces
Togan et al. A smart-phone based privacy-preserving security framework for IoT devices
US10587603B2 (en) Zero sign-on using a web browser
KR101637155B1 (ko) 신뢰 서비스 장치를 이용한 신뢰된 아이덴티티 관리 서비스 제공 시스템 및 그 운영방법
EP3032452A1 (en) System for managing access to resources of a first electronic device's application by a second electronic device on a remote server
CN111371762B (zh) 一种身份验证方法、装置及电子设备和存储介质
Baker OAuth2

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13832782

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 13832782

Country of ref document: EP

Kind code of ref document: A1