WO2014131279A1 - 一种双向授权系统、客户端及方法 - Google Patents
一种双向授权系统、客户端及方法 Download PDFInfo
- Publication number
- WO2014131279A1 WO2014131279A1 PCT/CN2013/084020 CN2013084020W WO2014131279A1 WO 2014131279 A1 WO2014131279 A1 WO 2014131279A1 CN 2013084020 W CN2013084020 W CN 2013084020W WO 2014131279 A1 WO2014131279 A1 WO 2014131279A1
- Authority
- WO
- WIPO (PCT)
- Prior art keywords
- service providing
- providing subsystem
- credential
- client
- authorization
- Prior art date
Links
- 238000013475 authorization Methods 0.000 title claims abstract description 150
- 238000000034 method Methods 0.000 title claims abstract description 23
- 230000002457 bidirectional effect Effects 0.000 title abstract description 8
- 230000008859 change Effects 0.000 claims description 10
- 230000004048 modification Effects 0.000 claims description 6
- 238000012986 modification Methods 0.000 claims description 6
- 230000008569 process Effects 0.000 claims description 3
- 238000012545 processing Methods 0.000 claims description 2
- 238000012546 transfer Methods 0.000 claims 1
- 238000010586 diagram Methods 0.000 description 6
- 230000006870 function Effects 0.000 description 3
- 230000004044 response Effects 0.000 description 3
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
- H04L63/102—Entity profiles
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
- G06F21/31—User authentication
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
- H04L9/3228—One-time or temporary data, i.e. information which is sent for every authentication or authorization, e.g. one-time-password, one-time-token or one-time-key
Definitions
- the present invention relates to authorization techniques in the Internet, and more particularly to a two-way authorization system, client, and method. Background technique
- the client wants to access a resource that is protected on the server side, the client needs to use the user's credentials, such as the username and password. If you want a third-party client to access the protected resources of the user on the server side, you need to provide the user's identity credentials to the third-party client. As a result, there is a serious security risk.
- the Open Authorization (OAuth, Open Auth) protocol provides a secure, open, and simple standard for the authorization of user resources.
- the client and user authorization processes are separated through an intermediate layer, and are not touched by third-party clients.
- the authorization of the user resource can be requested in the case of the user's credential information.
- the OAuth protocol defines four roles, including resource owner, client, resource server, and authorization server.
- the resource owner refers to the user who owns the resource and can authorize the client to access its own resources.
- the client is protected by access.
- the client program of the resource; the resource server is the server that holds the resource owner's resource, and the client needs to be authorized by the resource owner before being accessed.
- the authorization server is responsible for generating an access token to the client after receiving the user credentials of the resource owner.
- a third-party client can access the resources protected by the user on the resource server side after obtaining the user authorization.
- the OAuth protocol is a one-way authorization protocol.
- a third-party client can only request a unilateral authorization from a resource server, and cannot simultaneously satisfy the client requesting authorization from a third-party resource server.
- the resource server is the protected microblog information of the user, and the third party resource server is used.
- the protected blog information of the user, the blog client can access the microblog information of the resource server side after being authorized by the resource owner; however, the microblog client cannot access the blog information of the third party resource server side.
- the main purpose of the embodiments of the present invention is to provide a two-way authorization system, a client, and a method, so that both clients can simultaneously access the protected resources of the other party.
- a two-way authorization system the system includes: a first service providing subsystem, a second service providing subsystem, and a user terminal;
- the first service providing subsystem is configured to respectively acquire a first temporary credential of the first service providing subsystem and a second temporary credential of the second service providing subsystem; and send the second temporary credential to the user terminal for authorization, receiving Retrieving the second authorization credential returned by the user terminal, and sending the second authorization credential to the second service providing subsystem to exchange the second access token, and acquiring the resource in the second service providing subsystem according to the second access token And sending the first temporary credential to the second service providing subsystem;
- the second service providing subsystem is configured to receive the first temporary credential sent by the first service providing subsystem, and modify the identifier in the first temporary credential; and send the modified first temporary credential to the user terminal Authorizing, receiving the first authorization credential returned by the user terminal, sending the first authorization credential to the first service providing subsystem in exchange for the first access token, and acquiring the first service providing subsystem according to the first access token resource of;
- the user terminal is configured to receive a second temporary credential sent by the first service providing subsystem and a first temporary credential sent by the second service providing subsystem, respectively, and respectively authorize the second temporary credential and the first temporary credential, and And sending the authorized second authorization credential and the first authorization credential to the first service providing subsystem and the second service providing subsystem respectively.
- the first service providing subsystem includes: a first client, a first OAuth Server, first resource server;
- the first client is configured to send a request temporary credential command to the first OAuth server and the second service providing subsystem respectively, and receive the first temporary credential returned by the first OAuth server and the second service providing subsystem respectively, and the second Temporary credential; sending the second temporary credential to the user terminal for authorization, receiving the second authorization credential returned by the user terminal, and sending the second authorization credential to the second service providing subsystem in exchange for the second access token;
- the second access token is sent to the second service providing subsystem for authentication, and after the second service providing subsystem is successfully authenticated, accessing the resource provided by the second service providing subsystem; and configured to send the first temporary credential to the second service Providing a subsystem for client identification modification;
- the first OAuth server is configured to receive a request temporary credential command sent by the first client, and return a first temporary credential to the first client according to the command; and receive a first authorization credential sent by the second service providing subsystem, Returning the first access token to the second service providing subsystem, and sending the first access token to the first resource server as the authentication basis;
- the first resource server is configured to receive a first access token sent by the second service providing subsystem, and send the first sent by the second service providing subsystem according to the first access token sent by the first OAuth server.
- the access token is authenticated, and after the authentication succeeds, the first service resource is provided to the second service providing subsystem for access.
- the second service providing subsystem includes: a second client, a second OAuth server, and a second resource server;
- the second client is configured to receive the first temporary credential sent by the first service providing subsystem, and change the first client identifier in the first temporary credential to the second client identifier; Sending the first temporary credential to the user terminal for authorization; receiving the first authorization credential returned by the user terminal, sending the first authorization credential to the first service providing subsystem in exchange for the first access token; Sending to the first service providing subsystem for authentication, after the first service providing subsystem is successfully authenticated, accessing the first service provided by the first service providing subsystem
- the second OAuth server is configured to receive a request temporary credential command sent by the first service providing subsystem, and return a second temporary credential according to the command to the first service providing subsystem; receive the first service providing subsystem to send the first Authorizing the credentials, returning the second access token to the first service providing subsystem, and sending the second access token to the second resource server as the authentication basis; the second resource server, configured to receive the first service provider The second access token sent by the system, and the second access token sent by the first service providing subsystem is
- the second service providing subsystem includes: a second client, a second OAuth server, and a second resource server;
- the first client is configured to send a request temporary credential command to the first OAuth server and the second OAuth server, and receive the first temporary credential and the second temporary credential respectively returned by the first OAuth server and the second OAuth server; Sending the second temporary credential to the user terminal for authorization; receiving the second authorization credential returned by the user terminal, sending the second authorization credential to the second OAuth server in exchange for the second access token; sending the second access token to The second resource server performs authentication, and after the second resource server is successfully authenticated, accesses the second service resource provided by the second resource server; and is further configured to send the first temporary credential to the second client;
- the first OAuth server is configured to receive a request temporary credential command sent by the first client, and return the first temporary credential to the first client according to the command; receive the first authorization credential sent by the second client, and return to the first An access token is sent to the second client, and the first access token is sent to the first resource server as a certification basis;
- the first resource server is configured to receive a first access token sent by the second client, and perform, according to the first access token sent by the first OAuth server, the first access token sent by the second client. Authentication, after the authentication is successful, provide the first service resource to the second client to visit
- the second client is configured to receive the first temporary credential sent by the first OAuth server, and change the first client identifier in the first temporary credential to the second client identifier;
- the temporary credential is sent to the user terminal for authorization; receiving the first authorization credential returned by the user terminal, sending the first authorization credential to the first OAuth server in exchange for the first access token; sending the first access token to the first
- the resource server performs authentication, and after the first resource server is successfully authenticated, accesses the first service resource provided by the first resource server;
- the second OAuth server is configured to receive a request temporary credential command sent by the first client, and return a second temporary credential according to the command to the first client; receive the second credential credential sent by the first client, and return to the first Transmitting the token to the first client, and sending the second access token to the second resource server as the authentication basis;
- the second resource server is configured to receive a second access token sent by the first client, and perform a second access token sent by the first client according to the second access token sent by the second OAuth server. After the authentication succeeds, the second service resource is provided to the first client for access.
- the request temporary credential command is carried by a temporary credential request message defined by the OAuth protocol.
- a client which is disposed in a service providing subsystem, the service providing subsystem further includes an OAuth server and a resource server, where the client includes: a temporary credential obtaining module, an access token acquiring module, and a resource obtaining module;
- the temporary credential module is configured to send a request temporary credential command to the OAuth server of the local service providing subsystem and the OAuth server of the other side service providing subsystem respectively; and receive the first temporary return by the OAuth server of the local service providing subsystem Credentials, second temporary credentials returned by the OAuth server of the other side service providing subsystem; sending the first temporary credentials to the client of the other side service providing subsystem;
- the access token obtaining module is configured to send the second temporary credential to the user terminal for authorization; receive the second authorization credential returned by the user terminal, and send the second authorization credential to the 0 Auth of the other side service providing subsystem
- the server exchanges for the second access token;
- the resource obtaining module is configured to send the second access token to the resource server of the other side service providing subsystem for authentication, and after the resource server authentication of the other side service providing subsystem succeeds, accessing the other side of the service providing subsystem Resources provided by the resource server.
- a client which is disposed in a service providing subsystem, the service providing subsystem further includes an OAuth server and a resource server, where the client includes: a temporary credential obtaining module, an access token acquiring module, and a resource obtaining module;
- the temporary credential obtaining module is configured to receive a first temporary credential sent by an OAuth server of the other side service providing subsystem, and change a client identifier of the other side of the first temporary credential Providing the client identifier of the subsystem for the side service;
- the access token obtaining module is configured to send the modified first temporary credential to the user terminal for authorization; receive the first authorization credential returned by the user terminal, and send the first authorization credential to the other side service providing subsystem The OAuth server in exchange for the first access token;
- the resource obtaining module is configured to send the first access token to the resource server of the other side service providing subsystem for authentication, and after the resource server authentication of the other side service providing subsystem is successful, access the other side of the service providing subsystem. Resources provided by the resource server.
- An embodiment of the present invention provides a two-way authorization method, where the method includes:
- the first service providing subsystem acquires the first temporary credential of the first service providing subsystem, the second temporary credential of the second service providing subsystem, and sends the second temporary credential to the user terminal for authorization to obtain the second authorized credential; Sending the second authorization credential to the second service providing subsystem in exchange for the second access token, acquiring the resource in the second service providing subsystem according to the second access token; sending the first temporary credential to the second service providing The subsystem performs identification modification;
- the second service providing subsystem sends the modified first temporary credential to the user terminal for granting And obtaining the first authorization credential; sending the first authorization credential to the first service providing subsystem in exchange for the first access token, and acquiring the resource in the first service providing subsystem according to the first access token.
- the first service providing subsystem acquires the first temporary credential of the first service providing subsystem
- the second temporary credential of the second service providing subsystem is specifically: the first customer in the first service providing subsystem Sending a request temporary credential command to the first OAuth server in the first service providing subsystem and the second OAuth server in the second service providing subsystem respectively; receiving the first temporary credential returned by the first OAuth server and the second OAuth server , the second temporary credentials.
- the authorization of the first temporary credential is: inputting a username and a password of the first service providing subsystem; the username and password are a username and a password of the user terminal registered in the first service providing subsystem;
- the authorization of the second temporary credential is: inputting a username and a password of the second service providing subsystem; the username and password are a username and a password registered by the user terminal in the second service providing subsystem.
- the two-way authorization system, the client and the method in the embodiment of the present invention obtain the first temporary credential of the second service provisioning subsystem and the second temporary credential of the second service providing subsystem respectively by the first service providing subsystem; and send the second temporary credential to The user terminal performs authorization, and sends the authorized second authorization credential to the second service providing subsystem in exchange for the second access token, and acquires resources in the second service providing subsystem according to the second access token; Sending, by the second service providing subsystem, the modified first temporary credential to the user terminal for authorization, and sending the authorized first authorized credential to the first
- the service providing subsystem exchanges the first access token, and acquires the first service resource in the first service providing subsystem according to the first access token; thus, the first service providing subsystem can access the second service provider.
- the second service providing subsystem can also access the first service Resources for subsystems.
- FIG. 1 is a first schematic structural diagram of a two-way authorization system according to an embodiment of the present invention
- FIG. 2 is a second structural diagram of a two-way authorization system according to an embodiment of the present invention.
- FIG. 3 is a schematic structural diagram of a client structure in a bidirectional authorization system according to an embodiment of the present invention
- FIG. 4 is a schematic flowchart of a bidirectional authorization method according to an embodiment of the present invention. detailed description
- FIG. 1 is a schematic structural diagram of a structure of a bidirectional authorization system according to an embodiment of the present invention. As shown in FIG. 1, the system includes: a first service providing subsystem 11, a second service providing subsystem 12, and a user terminal 13;
- the first service providing subsystem 11 is configured to respectively acquire a first temporary credential of the first service providing subsystem 11 and a second temporary credential of the second service providing subsystem 12; and send the second temporary credential to the user terminal 13 Authorizing, receiving the second authorization credential returned by the user terminal 13; sending the second authorization credential to the second service providing subsystem 12 in exchange for the second access token, and obtaining the second service offering according to the second access token a resource in the subsystem 12; and, sending the first temporary credential to the second service providing subsystem 12;
- the second service providing subsystem 12 is configured to receive the first temporary credential sent by the first service providing subsystem 11 and modify the identifier in the first temporary credential; and send the modified first temporary credential to the user
- the terminal 13 performs authorization; receives the first authorization credential returned by the user terminal 13; sends the first authorization credential to the first service providing subsystem 11 in exchange for the first access token, and obtains the first according to the first access token.
- the user terminal 13 is configured to receive the second temporary credential sent by the first service providing subsystem 11 and the first temporary credential sent by the second service providing subsystem 12 respectively; and respectively perform the second temporary credential and the first temporary credential Authorization, the second authorization credential and the first authorization credential are sent to the first service providing subsystem 11 and the second service providing subsystem 12 respectively.
- the first service providing subsystem 11 and the second service providing subsystem 12 in the two-way authorization system can be implemented by a server that provides a service function;
- the user terminal 13 can be implemented by any form of terminal, such as a mobile phone, a computer, or the like.
- the first service providing subsystem includes: a first client 111, a first OAuth server 112, and a first resource server 113;
- the providing subsystem includes: a second client 121, a second OAuth server 122, and a second resource server 123;
- the first client 111 is configured to send a request temporary credential command to the first OAuth server 112 and the second service providing subsystem respectively, and receive the first temporary credential returned by the first OAuth server 112 and the second service providing subsystem respectively.
- the sending the request temporary credential command to the second service providing subsystem, and receiving the second temporary credential returned by the second service providing subsystem is specifically: sending a request temporary to the second OAuth server 122 in the second service providing subsystem Receiving, by the credential command, a second temporary credential returned by the second OAuth server 122 in the second service providing subsystem;
- the sending the first temporary credential to the second service providing subsystem for client identification modification is specifically: sending the first temporary credential to the second client in the second service providing subsystem End 121 performs client identification tampering;
- the sending the second authorization credential to the second service providing subsystem in exchange for the second access token is specifically: sending the second authorization credential to a second OAuth server in the second service providing subsystem 122 in exchange for a second access token;
- the sending the second access token to the second service providing subsystem for authentication, after the second service providing subsystem is successfully authenticated, accessing the second service resource provided by the second service providing subsystem is:
- the second access token is sent to the second resource server 123 in the second service providing subsystem for authentication.
- the first OAuth server 112 is configured to receive a request temporary credential command sent by the first client 111, and return a first temporary credential according to the command to the first client 111; receive the first sent by the second service providing subsystem. Authorizing the credential, returning the first access token to the second service providing subsystem; and sending the first access token to the first resource server 113 as the authentication basis; where the second service providing subsystem is specifically the second service Providing a second client 121 in the subsystem;
- the first resource server 113 is configured to receive a first access token sent by the second service providing subsystem, and send the second service providing subsystem according to the first access token sent by the first OAuth server 112.
- the first access token is authenticated, and after the authentication succeeds, the first service resource is provided to the second service providing subsystem for access;
- the second service providing subsystem is specifically a second client 121 in the second service providing subsystem
- the authentication is: comparing two access tokens, if the two access tokens are the same, the authentication is successful; if the two access tokens are different, the authentication fails;
- the requesting the temporary credential command is a temporary credential defined by the OAuth protocol. Requesting a message to be carried, the message carrying a client identifier; preferably, the request temporary credential command carries a first client identifier because the first service providing subsystem sends a request temporary credential command;
- the first temporary credential and the second temporary credential are transmitted by using a response packet defined by the OAuth protocol, where the packet carries the first client identifier; therefore, the first temporary credential is sent to the second client. 121, the first client identifier carried by the user is modified to be the second client identifier;
- the request and the temporary credential are obtained by using a hypertext transport protocol (HTTP, HyperText Transport Protocol), and the use of a secure socket layer (SSL, Secure Sockets Layer) or the same security level to ensure temporary credentials.
- HTTP HyperText Transport Protocol
- SSL Secure Sockets Layer
- the authorization of the second temporary credential is specifically: inputting a username and a password of the second service providing subsystem; and the authorization of the first temporary credential is specifically: inputting a username and a password of the first service providing subsystem.
- the second client 121 is configured to receive the first temporary credential sent by the first service providing subsystem, and change the first client identifier in the first temporary credential to the second client identifier;
- the first temporary credential is sent to the user terminal 13 for authorization; receiving the first authorization credential returned by the user terminal 13, sending the first authorization credential to the first service providing subsystem in exchange for the first access token;
- the access token is sent to the first service providing subsystem for authentication, and after the first service providing subsystem is successfully authenticated, accessing the first service resource provided by the first service providing subsystem;
- the receiving the first temporary credential sent by the first service providing subsystem is specifically: receiving the first temporary credential sent by the first client 111 in the first service providing subsystem;
- the sending the first authorization credential to the first service providing subsystem in exchange for the first access token is specifically: sending the first authorization credential to the first OAuth server 112 in the first service providing subsystem in exchange for the first An access token;
- the first access token is sent to the first service providing subsystem for authentication.
- accessing the first service resource provided by the first service providing subsystem is specifically: An access token is sent to the first resource server 113 in the first service providing subsystem for authentication, and after the first resource server 113 in the first service providing subsystem successfully authenticates, accessing the first in the first service providing subsystem a first service resource provided by a resource server 113;
- the second OAuth server 122 is configured to receive a request temporary credential command sent by the first service providing subsystem, and return a second temporary credential according to the command to the first service providing subsystem; and receive the first service providing subsystem to send the a second authorization credential, returning the second access token to the first service providing subsystem, and sending the second access token to the second resource server 123 as the authentication basis;
- the first service providing subsystem is specifically the first client 111 in the first service providing subsystem
- the second resource server 123 is configured to receive a second access token sent by the first service providing subsystem, and send a second to the first service providing subsystem according to the second access token sent by the second OAuth server 122.
- the access token is authenticated, and after the authentication succeeds, the second service resource is provided to the first service providing subsystem for access;
- the first service providing subsystem is specifically the first client 111 in the first service providing subsystem.
- the first temporary credential is a temporary credential of the first client to the first resource server;
- the second temporary credential is a temporary credential of the first client to the second resource server; and the client is configured for the first temporary credential
- the first temporary credential becomes the temporary credential of the second client to the first resource server;
- the first credential credential is the authorization credential of the second client to the first resource server;
- the second credential credential is a client's authorization credentials for the second resource service weapon;
- the first access token is the second client's access to the first resource server a token;
- the second access token is an access token of the first client to the second resource server by the first client;
- the first service providing subsystem is the originating side service providing subsystem
- the second service providing subsystem is the receiving side service providing subsystem.
- the second service providing subsystem may also be used as the originating side service providing sub
- the first service providing subsystem is a receiving side service providing subsystem; correspondingly, the second client 121, the second OAuth server 122, and the second resource server 123 included in the second service providing subsystem respectively perform the first The function performed by the client 111, the first OAuth server 112, and the first resource server 113; the first client 111, the first OAuth server 112, and the first resource server 113 included in the first service providing subsystem respectively perform the second The functions performed by the client 121, the second OAuth server 122, and the second resource server 123.
- the first client 111 and the first OAuth server 112 in the first service providing subsystem may be a central processing unit (CPU) in the first service providing subsystem, or a digital signal processor. (DSP, Digital Signal Processor), or Field-Programmable Gate Array (FPGA) implementation; the first resource server 113 can be implemented by a memory in the first service providing subsystem.
- CPU central processing unit
- DSP Digital Signal Processor
- FPGA Field-Programmable Gate Array
- the second client 121 and the second OAuth server 122 in the second service providing subsystem may be implemented by a CPU, or a DSP, or an FPGA in the second service providing subsystem; the second resource server 123 may be provided by the second service provider.
- FIG. 3 is a schematic structural diagram of a client structure in a bidirectional authorization system according to an embodiment of the present invention, where the client is disposed in a service providing subsystem, where the service providing subsystem includes a client, an OAuth server, and a resource server;
- the terminal includes: a temporary credential obtaining module 31, an access token obtaining module 32, and a resource obtaining module 33; wherein, when the client is the client on the originating side,
- the temporary credential obtaining module 31 is configured to send a request temporary credential command to the OAuth server of the local service providing subsystem and the OAuth server of the other side service providing subsystem. Receiving the first temporary credential and the second temporary credential respectively returned by the OAuth server of the side service providing subsystem and the OAuth server of the other side providing the subsystem; and sending the first temporary credential to the client of the other side service providing subsystem;
- the access token obtaining module 32 is configured to send the second temporary credential to the user terminal for authorization; receive the second authorization credential returned by the user terminal, and send the second authorization credential to the OAuth of the other side service providing subsystem
- the server exchanges for the second access token
- the resource obtaining module 33 is configured to send the second access token to the resource server of the other side service providing subsystem for authentication, and after the resource server authentication of the other side service providing subsystem is successful, access the other side service providing subsystem. Resources provided by the resource server;
- the temporary credential obtaining module 31 is configured to receive the first temporary credential sent by the OAuth server of the other side service providing subsystem, and change the client identifier of the other side of the first temporary credential to the client identifier The client identifier of the side service providing subsystem;
- the access token obtaining module 32 is configured to send the modified first temporary credential to the user terminal for authorization; receive the first authorization credential returned by the user terminal, and send the first authorization credential to the other side service provider.
- the OAuth server of the system in exchange for the first access token;
- the resource obtaining module 33 is configured to send the first access token to the resource server of the other side service providing subsystem for authentication, and after the resource server authentication of the other side service providing subsystem is successful, access the other side service providing subsystem. Resources provided by the source server.
- the temporary credential obtaining module 31, the access token obtaining module 32, and the resource obtaining module 33 in the client may be implemented by a CPU, a DSP, or an FPGA in the client.
- FIG. 4 is a schematic flowchart of a method for implementing a bidirectional authorization method according to an embodiment of the present invention. As shown in FIG. 4, the method includes the following steps:
- Step 401 The first service providing subsystem acquires a first temporary credential of the first service providing subsystem, a second temporary credential of the second service providing subsystem, and sends the second temporary credential to the user end Authorizing, obtaining a second authorization credential; sending the second authorization credential to the second service providing subsystem in exchange for the second access token, and acquiring resources in the second service providing subsystem according to the second access token; Sending the first temporary credential to the second service providing subsystem for identification modification; where the first service providing subsystem acquires the first temporary credential of the first service providing subsystem and the second temporary of the second service providing subsystem
- the credential is specifically: the first client in the first service providing subsystem sends a request temporary credential command to the first OAuth server in the first service providing subsystem and the second OAuth server in the second service providing subsystem respectively; The first OAuth server, the first temporary credential returned by the second OAuth server, and the second temporary credential.
- the requesting the temporary credential command is implemented by using a packet defined by the OAuth protocol, where the packet carries a client identifier.
- the request is provisional due to a request temporary credential command sent by the first service providing subsystem According to a first client command carrying identifier, such as dpf43fip214k3103;
- the first temporary credential and the second temporary credential are transmitted by using a response packet defined by the OAuth protocol; the response packet carries the first client identifier and the first temporary credential, or the first client identifier.
- second temporary credentials such as hh5s93j4hdidpola;
- the request and the obtaining of the temporary credential are performed by using an HTTP method, and are transmitted by using SSL or a security level to ensure the security of the temporary credential;
- the authorization of the second temporary credential is specifically: inputting a username and a password of the second service providing subsystem; the username and password are a username and a password of the user terminal registered in the second service providing subsystem;
- the acquiring the second service resource in the second service providing subsystem according to the second access token specifically includes: sending the second access token to the second service providing subsystem for authentication, in the second After the service providing subsystem is successfully authenticated, accessing the second service resource provided by the second service providing subsystem;
- the first temporary credential carries a first client identifier; therefore, the first temporary credential When sending to the second client, the first client identifier carried by the user is modified to be the second client identifier.
- Step 402 The second service providing subsystem sends the modified first temporary credential to the user terminal for authorization to obtain the first authorization credential; and sends the first authorization credential to the first service providing subsystem in exchange for the first access token. Obtaining, according to the first access token, a resource in the first service providing subsystem;
- the authorization of the first temporary credential is specifically: inputting a username and password of the first service providing subsystem; the username and password are usernames and passwords registered by the user terminal in the first service providing subsystem.
- the first service providing subsystem is the originating side service providing subsystem
- the second service providing subsystem is the receiving side service providing subsystem.
- the second service providing subsystem may also be used as the originating side service providing sub
- the system provides a subsystem for the receiving side service by the first service providing subsystem; correspondingly, the second service providing subsystem performs step 301; and the first service providing subsystem performs step 402.
- the video website and the microblog website are two service providing subsystems in the embodiment of the present invention.
- the user terminal registers the user name and password on the video website, and also registers the user name and password on the Weibo website;
- the video website and the microblog website are both
- the resource server on the video website side is configured to store the video resource of the user terminal, and the resource server on the microblog website side is configured to store the microblog resource of the user terminal;
- the client on the microblog website side needs to send the OAuth server and video to the Weibo website side.
- the OAuth server on the website side sends the request temporary credential command; the OAuth server on the microblogging website side returns the first temporary credential to the client on the microblog website side, the video
- the OAuth server on the website side returns the second temporary credential to the client on the microblog website side; the client on the microblog website side sends the second temporary credential to the user terminal, prompting the configuration to input the user name and password for the terminal;
- the second authorization credential is returned to the client on the microblog website side, and the client on the microblog website side sends the second authorization credential to the OAuth server on the video website side in exchange for The second access token; in this way, the client on the microblog website side can share the resources of the video website side through the second access token
- the user terminal can share the resources of the video website to the microblog website, and also share the resources of the microblog website to the video website.
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- Computing Systems (AREA)
- Theoretical Computer Science (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Software Systems (AREA)
- Power Engineering (AREA)
- Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)
- Mobile Radio Communication Systems (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Storage Device Security (AREA)
Abstract
本发明公开了一种双向授权系统，包括：第一服务提供子系统，配置为获取第一、第二服务提供子系统的第一、第二临时凭据；将第二、第一临时凭据发送至用户终端、第二服务提供子系统；将用户终端返回的第二授权凭据发送至第二服务提供子系统换取第二访问令牌并获取第二服务资源；第二服务提供子系统，配置为修改第一临时凭据并发送至用户终端；将用户终端返回的第一授权凭据发送至第一服务提供子系统换取第一访问令牌并获取第一服务资源；用户终端，配置为对收到的第二、第一临时凭据进行授权，并返回第二、第一授权凭据至第一、第二服务提供子系统；本发明公开了一种双向授权客户端及方法，采用本发明，能够实现两侧客户端同时访问对方的资源。
Description
一种双向授权系统、 客户端及方法 技术领域
本发明涉及互联网中的授权技术， 尤其涉及一种双向授权系统、 客户 端及方法。 背景技术
客户端如果想访问用户在服务器侧受保护的资源则需要使用用户的身 份凭据， 如用户名和密码。 如果想要第三方的客户端也能访问用户在服务 器侧受保护的资源就需要把用户的身份凭据提供给第三方客户端， 如此， 就存在严重的安全隐患。
开放授权（OAuth， Open Auth )协议为解决上述问题， 为用户资源的 授权提供了一个安全、 开放、 简易的标准， 通过一个中间层将客户端和用 户授权过程分离， 在第三方客户端不触及到用户的凭据信息的情况就可以 申请获得该用户资源的授权。 OAuth协议中定义了四种角色， 包括资源所 有者、 客户端、 资源服务器、 授权服务器； 其中， 资源所有者是指拥有资 源的用户， 可以授权客户端访问自已的资源； 客户端是访问受保护的资源 的客户端程序； 资源服务器是保存资源所有者的资源的服务器， 需客户端 被资源所有者授权之后才可以被访问。 授权服务器负责在接收到资源所有 者的用户凭据后生成访问令牌给客户端。
通过 OAuth协议可以使得第三方客户端在获取用户授权后， 访问用户 在资源服务器侧受保护的资源。 但是， OAuth协议是一个单向授权的协议， 只能由第三方客户端向资源服务器请求单方面的授权， 不能同时满足客户 端向第三方资源服务器请求授权。 例如， 当客户端为微博、 第三方客户端 为博客时， 资源服务器为用户受保护的微博信息， 第三方资源服务器为用
户受保护的博客信息， 博客客户端经过资源所有者授权后， 可以访问资源 服务器侧的微博信息； 但是， 微博客户端不能访问第三方资源服务器侧的 博客信息。 发明内容
有鉴于此， 本发明实施例的主要目的在于提供一种双向授权系统、 客 户端及方法， 使两侧客户端能够同时访问对方受保护的资源。
为达到上述目的， 本发明实施例的技术方案是这样实现的：
一种双向授权系统， 该系统包括： 第一服务提供子系统、 第二服务提 供子系统、 用户终端； 其中，
所述第一服务提供子系统， 配置为分别获取第一服务提供子系统的第 一临时凭据、 第二服务提供子系统的第二临时凭据； 将第二临时凭据发送 至用户终端进行授权， 接收用户终端返回的第二授权凭据， 并将第二授权 凭据发送至第二服务提供子系统以换取第二访问令牌， 根据所述第二访问 令牌， 获取第二服务提供子系统中的资源； 以及， 将第一临时凭据发送至 第二服务提供子系统；
所述第二服务提供子系统， 配置为接收第一服务提供子系统发送的第 一临时凭据， 并修改所述第一临时凭据中的标识； 将修改后的第一临时凭 据发送至用户终端进行授权， 接收用户终端返回的第一授权凭据， 将第一 授权凭据发送至第一服务提供子系统以换取第一访问令牌， 根据所述第一 访问令牌， 获取第一服务提供子系统中的资源；
所述用户终端， 配置为分别接收第一服务提供子系统发送的第二临时 凭据、 第二服务提供子系统发送的第一临时凭据； 分别对第二临时凭据、 第一临时凭据进行授权， 并将授权后的第二授权凭据、 第一授权凭据分别 发送至第一服务提供子系统、 第二服务提供子系统。
上述方案中， 所述第一服务提供子系统包括： 第一客户端、第一 OAuth
服务器、 第一资源服务器； 其中，
所述第一客户端， 配置为向第一 OAuth服务器、 第二服务提供子系统 分别发送请求临时凭据命令； 接收第一 OAuth服务器、 第二服务提供子系 统分别返回的第一临时凭据、 第二临时凭据； 将第二临时凭据发送至用户 终端进行授权， 接收用户终端返回的第二授权凭据， 将所述第二授权凭据 发送至第二服务提供子系统以换取第二访问令牌； 将第二访问令牌发送至 第二服务提供子系统进行认证， 在第二服务提供子系统认证成功后， 访问 第二服务提供子系统提供的资源； 还配置为将第一临时凭据发送至第二服 务提供子系统进行客户端标识修改；
所述第一 OAuth服务器， 配置为接收第一客户端发送的请求临时凭据 命令， 并根据该命令返回第一临时凭据给第一客户端； 接收第二服务提供 子系统发送的第一授权凭据， 返回第一访问令牌给第二服务提供子系统， 并将第一访问令牌发送至第一资源服务器作为认证依据；
所述第一资源服务器， 配置为接收第二服务提供子系统发送的第一访 问令牌， 并根据第一 OAuth服务器发送的第一访问令牌对所述第二服务提 供子系统发送的第一访问令牌进行认证， 认证成功后提供第一服务资源给 第二服务提供子系统进行访问。
上述方案中， 所述第二服务提供子系统包括： 第二客户端、第二 OAuth 服务器、 第二资源服务器； 其中，
所述第二客户端， 配置为接收第一服务提供子系统发送的第一临时凭 据， 并将所述第一临时凭据中的第一客户端标识改为第二客户端标识； 将 修改后的第一临时凭据发送至用户终端进行授权； 接收用户终端返回的第 一授权凭据， 将所述第一授权凭据发送至第一服务提供子系统以换取第一 访问令牌； 将第一访问令牌发送至第一服务提供子系统进行认证， 在第一 服务提供子系统认证成功后， 访问第一服务提供子系统提供的第一服务资
所述第二 OAuth服务器， 配置为接收第一服务提供子系统发送的请求 临时凭据命令， 并根据该命令返回第二临时凭据给第一服务提供子系统； 接收第一服务提供子系统发送的第二授权凭据， 返回第二访问令牌给第一 服务提供子系统， 并将第二访问令牌发送至第二资源服务器作为认证依据； 所述第二资源服务器， 配置为接收第一服务提供子系统发送的第二访 问令牌， 并根据第二 OAuth服务器发送的第二访问令牌对所述第一服务提 供子系统发送的第二访问令牌进行认证， 认证成功后提供第二服务资源给 第一服务提供子系统进行访问。
上述方案中， 所述第二服务提供子系统包括： 第二客户端、第二 OAuth 服务器、 第二资源服务器；
所述第一客户端， 配置为向第一 OAuth服务器、 第二 OAuth服务器分 别发送请求临时凭据命令； 接收第一 OAuth服务器、 第二 OAuth服务器分 别返回的第一临时凭据、 第二临时凭据； 将第二临时凭据发送至用户终端 进行授权； 接收用户终端返回的第二授权凭据， 将所述第二授权凭据发送 至第二 OAuth服务器以换取第二访问令牌； 将第二访问令牌发送至第二资 源服务器进行认证， 在第二资源服务器认证成功后， 访问第二资源服务器 提供的第二服务资源； 还配置为将第一临时凭据发送至第二客户端；
所述第一 OAuth服务器， 配置为接收第一客户端发送的请求临时凭据 命令， 并根据该命令返回第一临时凭据给第一客户端； 接收第二客户端发 送的第一授权凭据， 返回第一访问令牌给第二客户端， 并将第一访问令牌 发送至第一资源服务器作为认证依据；
所述第一资源服务器， 配置为接收第二客户端发送的第一访问令牌， 并根据第一 OAuth服务器发送的第一访问令牌对所述第二客户端发送的第 一访问令牌进行认证， 认证成功后提供第一服务资源给第二客户端进行访
所述第二客户端，配置为接收第一 OAuth服务器发送的第一临时凭据， 并将所述第一临时凭据中的第一客户端标识改为第二客户端标识； 将修改 后的第一临时凭据发送至用户终端进行授权； 接收用户终端返回的第一授 权凭据， 将所述第一授权凭据发送至第一 OAuth服务器以换取第一访问令 牌； 将第一访问令牌发送至第一资源服务器进行认证， 在第一资源服务器 认证成功后， 访问第一资源服务器提供的第一服务资源；
所述第二 OAuth服务器， 配置为接收第一客户端发送的请求临时凭据 命令， 并根据该命令返回第二临时凭据给第一客户端； 接收第一客户端发 送的第二授权凭据， 返回第二访问令牌给第一客户端， 并将第二访问令牌 发送至第二资源服务器作为认证依据；
所述第二资源服务器， 配置为接收第一客户端发送的第二访问令牌， 并根据第二 OAuth服务器发送的第二访问令牌对所述第一客户端发送的第 二访问令牌进行认证， 认证成功后提供第二服务资源给第一客户端进行访 问。
上述方案中， 所述请求临时凭据命令通过 OAuth协议定义的临时凭据 请求报文来承载。
一种客户端， 设置于服务提供子系统中， 所述服务提供子系统还包括 OAuth服务器、 资源服务器， 该客户端包括： 临时凭据获取模块、 访问令 牌获取模块、 资源获取模块； 其中，
所述临时凭据模块， 配置为向本侧服务提供子系统的 OAuth服务器、 他侧服务提供子系统的 OAuth服务器分别发送请求临时凭据命令； 接收本 侧服务提供子系统的 OAuth服务器返回的第一临时凭据、 他侧服务提供子 系统的 OAuth服务器返回的第二临时凭据； 将第一临时凭据发送至他侧服 务提供子系统的客户端；
所述访问令牌获取模块， 配置为将第二临时凭据发送至用户终端进行 授权； 接收用户终端返回的第二授权凭据， 将所述第二授权凭据发送至他 侧服务提供子系统的 0 Auth服务器以换取第二访问令牌；
所述资源获取模块， 配置为将第二访问令牌发送至他侧服务提供子系 统的资源服务器进行认证， 在他侧服务提供子系统的资源服务器认证成功 后， 访问他侧服务提供子系统的资源服务器提供的资源。
一种客户端， 设置于服务提供子系统中， 所述服务提供子系统还包括 OAuth服务器、 资源服务器， 该客户端包括： 临时凭据获取模块、 访问令 牌获取模块、 资源获取模块； 其中，
所述临时凭据获取模块， 配置为接收他侧服务提供子系统的 OAuth月良 务器发送的第一临时凭据， 并将所述第一临时凭据中的他侧服务提供子系 统的客户端标识改为本侧服务提供子系统的客户端标识；
所述访问令牌获取模块， 配置为将修改后的第一临时凭据发送至用户 终端进行授权； 接收用户终端返回的第一授权凭据， 将所述第一授权凭据 发送至他侧服务提供子系统的 OAuth服务器以换取第一访问令牌；
所述资源获取模块， 配置为将第一访问令牌发送至他侧服务提供子系 统的资源服务器进行认证， 在他侧服务提供子系统的资源服务器认证成功 后， 访问他侧服务提供子系统的资源服务器提供的资源。
本发明实施例提供了一种双向授权方法， 该方法包括：
第一服务提供子系统获取第一服务提供子系统的第一临时凭据、 第二 服务提供子系统的第二临时凭据； 将第二临时凭据发送至用户终端进行授 权， 得到第二授权凭据； 将第二授权凭据发送至第二服务提供子系统以换 取第二访问令牌， 根据所述第二访问令牌获取第二服务提供子系统中的资 源； 将第一临时凭据发送至第二服务提供子系统进行标识修改；
第二服务提供子系统将修改后的第一临时凭据发送至用户终端进行授
权， 得到第一授权凭据； 将第一授权凭据发送至第一服务提供子系统以换 取第一访问令牌， 根据所述第一访问令牌获取第一服务提供子系统中的资 源。
上述方案中， 所述第一服务提供子系统获取第一服务提供子系统的第 一临时凭据、 第二服务提供子系统的第二临时凭据具体为： 第一服务提供 子系统中的第一客户端向第一服务提供子系统中的第一 OAuth服务器、 第 二服务提供子系统中的第二 OAuth服务器分别发送请求临时凭据命令； 接 收第一 OAuth服务器、 第二 OAuth服务器返回的第一临时凭据、 第二临时 凭据。
上述方案中， 所述第一临时凭据的授权为： 输入第一服务提供子系统 的用户名和密码； 所述用户名和密码为用户终端在第一服务提供子系统注 册的用户名和密码；
所述第二临时凭据的授权为： 输入第二服务提供子系统的用户名和密 码； 所述用户名和密码为用户终端在第二服务提供子系统注册的用户名和 密码。
本发明实施例中的双向授权系统、 客户端及方法， 通过第一服务提供 子系统分别获取自身的第一临时凭据、 第二服务提供子系统的第二临时凭 据； 将第二临时凭据发送至用户终端进行授权， 并将授权后的第二授权凭 据发送至第二服务提供子系统以换取第二访问令牌， 根据所述第二访问令 牌获取第二服务提供子系统中的资源； 将第一临时凭据发送至第二服务提 供子系统进行标识修改； 第二服务提供子系统将修改后的第一临时凭据发 送至用户终端进行授权， 并将授权后的第一授权凭据发送至第一服务提供 子系统以换取第一访问令牌， 根据所述第一访问令牌获取第一服务提供子 系统中的第一服务资源； 如此， 可以实现第一服务提供子系统访问第二服 务提供子系统的资源的同时， 第二服务提供子系统也可以访问第一服务提
供子系统的资源。 附图说明
图 1为本发明实施例双向授权系统结构组成示意图一；
图 2为本发明实施例双向授权系统结构组成示意图二；
图 3为本发明实施例双向授权系统中客户端结构组成示意图； 图 4为本发明实施例双向授权方法实现流程示意图。 具体实施方式
为了能够更加详尽地了解本发明实施例的特点与技术内容， 下面结合 附图对本发明实施例的实现进行详细阐述， 所附附图仅供参考说明之用， 并非用来限定本发明实施例。
图 1为本发明实施例双向授权系统结构组成示意图一， 如图 1所示， 该系统包括： 第一服务提供子系统 11、 第二服务提供子系统 12、 用户终端 13; 其中，
所述第一服务提供子系统 11， 配置为分别获取第一服务提供子系统 11 的第一临时凭据、 第二服务提供子系统 12的第二临时凭据； 将第二临时凭 据发送至用户终端 13进行授权， 接收用户终端 13返回的第二授权凭据； 将第二授权凭据发送至第二服务提供子系统 12以换取第二访问令牌， 根据 所述第二访问令牌， 获取第二服务提供子系统 12中的资源； 以及， 将第一 临时凭据发送至第二服务提供子系统 12;
所述第二服务提供子系统 12，配置为接收第一服务提供子系统 11发送 的第一临时凭据， 并修改所述第一临时凭据中的标识； 将修改后的第一临 时凭据发送至用户终端 13进行授权； 接收用户终端 13返回的第一授权凭 据； 将第一授权凭据发送至第一服务提供子系统 11以换取第一访问令牌， 根据所述第一访问令牌， 获取第一服务提供子系统 11中的资源；
所述用户终端 13，配置为分别接收第一服务提供子系统 11发送的第二 临时凭据、 第二服务提供子系统 12发送的第一临时凭据； 分别对第二临时 凭据、 第一临时凭据进行授权， 将授权后的第二授权凭据、 第一授权凭据 分别发送至第一服务提供子系统 11、 第二服务提供子系统 12。
实际应用中， 所述双向授权系统中的第一服务提供子系统 11、 第二服 务提供子系统 12可由提供服务功能的服务器实现； 用户终端 13可由任意 形式的终端， 如手机、 电脑等实现。
图 2为本发明实施例双向授权系统结构组成示意图二， 如图 2所示， 第一服务提供子系统包括： 第一客户端 111、 第一 OAuth服务器 112、 第一 资源服务器 113; 第二服务提供子系统包括： 第二客户端 121、 第二 OAuth 服务器 122、 第二资源服务器 123; 其中，
所述第一客户端 111， 配置为向第一 OAuth服务器 112、 第二服务提供 子系统分别发送请求临时凭据命令； 接收第一 OAuth服务器 112、 第二服 务提供子系统分别返回的第一临时凭据、 第二临时凭据； 将第二临时凭据 发送至用户终端 13进行授权； 接收用户终端 13返回的第二授权凭据， 将 所述第二授权凭据发送至第二服务提供子系统以换取第二访问令牌； 将第 二访问令牌发送至第二服务提供子系统进行认证， 在第二服务提供子系统 认证成功后， 访问第二服务提供子系统提供的资源； 以及， 将第一临时凭 据发送至第二服务提供子系统；
这里， 所述向第二服务提供子系统发送请求临时凭据命令， 接收第二 服务提供子系统返回的第二临时凭据具体为： 向第二服务提供子系统中的 第二 OAuth服务器 122发送请求临时凭据命令， 接收第二服务提供子系统 中的第二 OAuth服务器 122返回的第二临时凭据；
这里， 所述将第一临时凭据发送至第二服务提供子系统进行客户端标 识修改具体为： 将第一临时凭据发送至第二服务提供子系统中的第二客户
端 121进行客户端标识爹改；
这里， 所述将所述第二授权凭据发送至第二服务提供子系统以换取第 二访问令牌具体为： 将所述第二授权凭据发送至第二服务提供子系统中的 第二 OAuth服务器 122以换取第二访问令牌；
这里， 所述将第二访问令牌发送至第二服务提供子系统进行认证， 在 第二服务提供子系统认证成功后， 访问第二服务提供子系统提供的第二服 务资源具体为： 将第二访问令牌发送至第二服务提供子系统中的第二资源 服务器 123进行认证， 在第二服务提供子系统中的第二资源服务器 123认 证成功后， 访问第二服务提供子系统中的第二资源服务器 123提供的第二 服务资源；
所述第一 OAuth服务器 112，配置为接收第一客户端 111发送的请求临 时凭据命令， 并根据该命令返回第一临时凭据给第一客户端 111 ; 接收第二 服务提供子系统发送的第一授权凭据， 返回第一访问令牌给第二服务提供 子系统； 并将第一访问令牌发送至第一资源服务器 113作为认证依据； 这里， 所述第二服务提供子系统具体为第二服务提供子系统中的第二 客户端 121 ;
所述第一资源服务器 113，配置为接收第二服务提供子系统发送的第一 访问令牌， 并依据第一 OAuth服务器 112发送的第一访问令牌对所述第二 服务提供子系统发送的第一访问令牌进行认证， 认证成功后提供第一服务 资源给第二服务提供子系统进行访问；
这里， 所述第二服务提供子系统具体为第二服务提供子系统中的第二 客户端 121 ;
这里， 所述认证是： 将两个访问令牌进行对比， 如果两个访问令牌一 样， 则认证成功； 如果两个访问令牌不同， 则认证失败；
上述方案中， 所述请求临时凭据命令通过 OAuth协议定义的临时凭据
请求报文来承载， 所述报文携有客户端标识； 优选地， 由于第一服务提供 子系统发送的请求临时凭据命令， 因此所述请求临时凭据命令携有第一客 户端标识；
上述方案中， 所述第一临时凭据、 第二临时凭据通过 OAuth协议定义 的响应报文来传输， 所述报文携有第一客户端标识； 因此， 第一临时凭据 发送至第二客户端 121 时需将其携有的第一客户端标识修改为第二客户端 标识；
上述方案中，所述临时凭据的请求与获取使用超文本传输协议（ HTTP, HyperText Transport Protocol ) 方式， 且使用需安全套接层 （ SSL， Secure Sockets Layer )或同安全级别的方式来保证临时凭据的安全性；
上述方案中， 所述第二临时凭据的授权具体为： 输入第二服务提供子 系统的用户名和密码； 所述第一临时凭据的授权具体为： 输入第一服务提 供子系统的用户名和密码。
所述第二客户端 121，配置为接收第一服务提供子系统发送的第一临时 凭据， 并将所述第一临时凭据中的第一客户端标识改为第二客户端标识； 将修改后的第一临时凭据发送至用户终端 13 进行授权； 接收用户终端 13 返回的第一授权凭据， 将所述第一授权凭据发送至第一服务提供子系统以 换取第一访问令牌； 将第一访问令牌发送至第一服务提供子系统进行认证， 在第一服务提供子系统认证成功后， 访问第一服务提供子系统提供的第一 服务资源；
这里， 所述接收第一服务提供子系统发送的第一临时凭据具体为： 接 收第一服务提供子系统中的第一客户端 111发送的第一临时凭据；
这里， 所述将第一授权凭据发送至第一服务提供子系统以换取第一访 问令牌具体为：将第一授权凭据发送至第一服务提供子系统中的第一 OAuth 服务器 112以换取第一访问令牌；
这里， 所述将第一访问令牌发送至第一服务提供子系统进行认证， 在 第一服务提供子系统认证成功后， 访问第一服务提供子系统提供的第一服 务资源具体为： 将第一访问令牌发送至第一服务提供子系统中的第一资源 服务器 113进行认证， 在第一服务提供子系统中的第一资源服务器 113认 证成功后， 访问第一服务提供子系统中的第一资源服务器 113 提供的第一 服务资源；
所述第二 OAuth服务器 122， 配置为接收第一服务提供子系统发送的 请求临时凭据命令， 并根据该命令返回第二临时凭据给第一服务提供子系 统； 接收第一服务提供子系统发送的第二授权凭据， 返回第二访问令牌给 第一服务提供子系统， 并将所述第二访问令牌发送至第二资源服务器 123 作为认证依据；
这里， 所述第一服务提供子系统具体为第一服务提供子系统中的第一 客户端 111 ;
所述第二资源服务器 123，配置为接收第一服务提供子系统发送的第二 访问令牌， 并根据第二 OAuth服务器 122发送的第二访问令牌对第一服务 提供子系统发送的第二访问令牌进行认证， 认证成功后提供第二服务资源 给第一服务提供子系统进行访问；
这里， 所述第一服务提供子系统具体为第一服务提供子系统中的第一 客户端 111。
上述方案中， 所述第一临时凭据是第一客户端对第一资源服务器的临 时凭据； 第二临时凭据是第一客户端对第二资源服务器的临时凭据； 对第 一临时凭据进行客户端标识修改之后， 第一临时凭据变为第二客户端对第 一资源服务器的临时凭据； 相应的， 第一授权凭据为第二客户端对第一资 源服务器的授权凭据； 第二授权凭据为第一客户端对第二资源服务武器的 授权凭据； 相应的， 第一访问令牌为第二客户端对第一资源服务器的访问
令牌； 第二访问令牌为第一客户端对第一客户端对第二资源服务器的访问 令牌；
上述方案以第一服务提供子系统为发起侧服务提供子系统， 第二服务 提供子系统为接收侧服务提供子系统； 实际应用中， 也可以以第二服务提 供子系统为发起侧服务提供子系统， 以第一服务提供子系统为接收侧服务 提供子系统； 相应的， 第二服务提供子系统所包括的第二客户端 121、 第二 OAuth服务器 122、 第二资源服务器 123 分别执行第一客户端 111、 第一 OAuth服务器 112、 第一资源服务器 113所执行的功能； 第一服务提供子系 统所包括的第一客户端 111、 第一 OAuth服务器 112、 第一资源服务器 113 分别执行第二客户端 121、 第二 OAuth服务器 122、 第二资源服务器 123所 执行的功能。
实际应用中， 所述第一服务提供子系统中的第一客户端 111、 第一 OAuth服务器 112可由第一服务提供子系统中的中央处理器（ CPU， Central Processing Unit )、 或数字信号处理器 ( DSP， Digital Signal Processor ), 或 可编程门阵列 （FPGA， Field - Programmable Gate Array ) 实现； 第一资源 服务器 113可由第一服务提供子系统中的存储器实现。
所述第二服务提供子系统中的第二客户端 121、第二 OAuth服务器 122 可由第二服务提供子系统中的 CPU、 或 DSP、 或 FPGA实现； 第二资源服 务器 123可由第二服务提供子系统中的存储器实现。
图 3 为本发明实施例双向授权系统中客户端结构组成示意图， 该客户 端设置于服务提供子系统中， 所述服务提供子系统包括客户端、 OAuth月良 务器、 资源服务器； 所述客户端包括： 临时凭据获取模块 31、 访问令牌获 取模块 32、 资源获取模块 33; 其中， 客户端为发起侧的客户端时，
所述临时凭据获取模块 31， 配置为向本侧服务提供子系统的 OAuth月良 务器、 他侧服务提供子系统的 OAuth服务器分别发送请求临时凭据命令；
接收本侧服务提供子系统的 OAuth服务器、 他侧服务提供子系统的 OAuth 服务器分别返回的第一临时凭据、 第二临时凭据； 将第一临时凭据发送至 他侧服务提供子系统的客户端；
所述访问令牌获取模块 32， 配置为将第二临时凭据发送至用户终端进 行授权； 接收用户终端返回的第二授权凭据， 将所述第二授权凭据发送至 他侧服务提供子系统的 OAuth服务器以换取第二访问令牌；
所述资源获取模块 33， 配置为将第二访问令牌发送至他侧服务提供子 系统的资源服务器进行认证， 在他侧服务提供子系统的资源服务器认证成 功后， 访问他侧服务提供子系统的资源服务器提供的资源；
客户端为接收侧的客户端时，
所述临时凭据获取模块 31， 配置为接收他侧服务提供子系统的 OAuth 服务器发送的第一临时凭据， 并将所述第一临时凭据中的他侧服务提供子 系统的客户端标识改为本侧服务提供子系统的客户端标识；
所述访问令牌获取模块 32， 配置为将修改后的第一临时凭据发送至用 户终端进行授权； 接收用户终端返回的第一授权凭据， 将所述第一授权凭 据发送至他侧服务提供子系统的 OAuth服务器以换取第一访问令牌；
所述资源获取模块 33， 配置为将第一访问令牌发送至他侧服务提供子 系统的资源服务器进行认证， 在他侧服务提供子系统的资源服务器认证成 功后， 访问他侧服务提供子系统的源服务器提供的资源。
实际应用中， 所述客户端中的临时凭据获取模块 31、 访问令牌获取模 块 32、 资源获取模块 33可由客户端中的 CPU、 或 DSP、 或 FPGA实现。
图 4为本发明实施例双向授权方法实现流程示意图， 如图 4所示， 该 方法包括步骤：
步骤 401：第一服务提供子系统获取第一服务提供子系统的第一临时凭 据、 第二服务提供子系统的第二临时凭据； 将第二临时凭据发送至用户终
端进行授权， 得到第二授权凭据； 将第二授权凭据发送至第二服务提供子 系统以换取第二访问令牌， 根据所述第二访问令牌获取第二服务提供子系 统中的资源； 将第一临时凭据发送至第二服务提供子系统进行标识修改； 这里， 所述第一服务提供子系统获取第一服务提供子系统的第一临时 凭据、 第二服务提供子系统的第二临时凭据具体为： 第一服务提供子系统 中的第一客户端向第一服务提供子系统中的第一 OAuth服务器、 第二服务 提供子系统中的第二 OAuth服务器分别发送请求临时凭据命令； 接收第一 OAuth服务器、 第二 OAuth服务器返回的第一临时凭据、 第二临时凭据； 上述方案中， 所述请求临时凭据命令通过 OAuth协议定义的报文来实 现， 所述报文携有客户端标识； 优选地， 由于第一服务提供子系统发送的 请求临时凭据命令， 因此所述请求临时凭据命令携有第一客户端标识， 如 dpf43fip214k3103;
上述方案中， 所述第一临时凭据、 第二临时凭据通过 OAuth协议定义 的响应报文来传输； 所述响应报文携有第一客户端标识和第一临时凭据、 或第一客户端标识和第二临时凭据， 如 hh5s93j4hdidpola;
上述方案中，所述临时凭据的请求与获取使用 HTTP方式，且使用 SSL 或同安全级别的方式传输来保证临时凭据的安全性；
上述方案中， 第二临时凭据的授权具体为： 输入第二服务提供子系统 的用户名和密码； 所述用户名和密码为用户终端在第二服务提供子系统注 册的用户名和密码；
上述方案中， 所述根据所述第二访问令牌获取第二服务提供子系统中 的第二服务资源具体包括： 将第二访问令牌发送至第二服务提供子系统进 行认证， 在第二服务提供子系统认证成功后， 访问第二服务提供子系统提 供的第二服务资源；
这里， 所述第一临时凭据携有第一客户端标识； 因此， 第一临时凭据
发送至第二客户端时需将其携有的第一客户端标识修改为第二客户端标 识。
步骤 402:第二服务提供子系统将修改后的第一临时凭据发送至用户终 端进行授权， 得到第一授权凭据； 将第一授权凭据发送至第一服务提供子 系统以换取第一访问令牌， 根据所述第一访问令牌获取第一服务提供子系 统中的资源；
上述方案中， 所述第一临时凭据的授权具体为： 输入第一服务提供子 系统的用户名和密码； 所述用户名和密码为用户终端在第一服务提供子系 统注册的用户名和密码。
上述方案以第一服务提供子系统为发起侧服务提供子系统， 第二服务 提供子系统为接收侧服务提供子系统； 实际应用中， 也可以以第二服务提 供子系统为发起侧服务提供子系统， 以第一服务提供子系统为接收侧服务 提供子系统； 相应的， 第二服务提供子系统执行步骤 301 ; 第一服务提供子 系统执行步骤 402。
下面结合具体实施例对本发明提出的双向授权方法做进一步详细说 明。
假设视频网站和微博网站是本发明实施例中的两个服务提供子系统， 用户终端在视频网站注册了用户名和密码， 在微博网站也注册了用户名和 密码； 视频网站和微博网站都包含各自的客户端、 OAuth服务器以及资源 服务器； 视频网站侧的资源服务器配置为存储用户终端的视频资源， 微博 网站侧的资源服务器配置为存储用户终端的微博资源；
当用户终端将其在视频网站的资源分享至微博网站的同时， 也将其微 博网站的资源分享至视频网站时， 微博网站侧的客户端需向微博网站侧的 OAuth服务器以及视频网站侧的 OAuth服务器发送请求临时凭据命令； 微 博网站侧的 OAuth服务器返回第一临时凭据给微博网站侧的客户端， 视频
网站侧的 OAuth服务器返回第二临时凭据给微博网站侧的客户端； 微博网 站侧的客户端将所述第二临时凭据发送给用户终端， 提示配置为终端输入 用户名和密码； 用户终端输入其在视频网站所注册的用户名和密码后， 返 回第二授权凭据至微博网站侧的客户端， 微博网站侧的客户端将所述第二 授权凭据发送至视频网站侧的 OAuth服务器以换取第二访问令牌； 如此， 微博网站侧的客户端可以通过所述第二访问令牌对视频网站侧的资源进行 分享； 与此同时， 微博网站侧的客户端将第一临时凭据发送至视频网站侧 的客户端； 视频网站侧的客户端对第一临时凭据修改后将其发送至用户终 端， 并提示用户终端输入用户名和密码； 用户终端输入其在微博网站所注 册的用户名和密码后， 返回第一授权凭据至视频网站侧的客户端， 视频网 站侧的客户端将所述第一授权凭据发送至微博网站侧的 OAuth服务器以换 取第一访问令牌； 如此， 视频网站侧的客户端可以通过所述第一访问令牌 对微博网站侧的资源进行分享；
综上所述， 通过本发明实施例的双向授权方法， 用户终端可以将视频 网站的资源分享至微博网站的同时， 也将其微博网站的资源分享至视频网 站。
以上所述， 仅为本发明的较佳实施例而已， 并非用于限定本发明的保 护范围。
Claims
1、 一种双向授权系统， 该系统包括： 第一服务提供子系统、 第二服务 提供子系统、 用户终端； 其中，
所述第一服务提供子系统， 配置为分别获取第一服务提供子系统的第 一临时凭据、 第二服务提供子系统的第二临时凭据； 将第二临时凭据发送 至用户终端进行授权， 接收用户终端返回的第二授权凭据， 并将第二授权 凭据发送至第二服务提供子系统以换取第二访问令牌， 根据所述第二访问 令牌， 获取第二服务提供子系统中的资源； 以及， 将第一临时凭据发送至 第二服务提供子系统；
所述第二服务提供子系统， 配置为接收第一服务提供子系统发送的第 一临时凭据， 并修改所述第一临时凭据中的标识； 将修改后的第一临时凭 据发送至用户终端进行授权， 接收用户终端返回的第一授权凭据， 将第一 授权凭据发送至第一服务提供子系统以换取第一访问令牌， 根据所述第一 访问令牌， 获取第一服务提供子系统中的资源；
所述用户终端， 配置为分别接收第一服务提供子系统发送的第二临时 凭据、 第二服务提供子系统发送的第一临时凭据； 分别对第二临时凭据、 第一临时凭据进行授权， 并将授权后的第二授权凭据、 第一授权凭据分别 发送至第一服务提供子系统、 第二服务提供子系统。
2、根据权利要求 1所述的系统， 其中， 所述第一服务提供子系统包括： 第一客户端、 第一开放授权 OAuth服务器、 第一资源服务器； 其中，
所述第一客户端， 配置为向第一 OAuth服务器、 第二服务提供子系统 分别发送请求临时凭据命令； 接收第一 OAuth服务器、 第二服务提供子系 统分别返回的第一临时凭据、 第二临时凭据； 将第二临时凭据发送至用户 终端进行授权， 接收用户终端返回的第二授权凭据， 将所述第二授权凭据
发送至第二服务提供子系统以换取第二访问令牌； 将第二访问令牌发送至 第二服务提供子系统进行认证， 在第二服务提供子系统认证成功后， 访问 第二服务提供子系统提供的资源； 还配置为将第一临时凭据发送至第二服 务提供子系统进行客户端标识修改；
所述第一 OAuth服务器， 配置为接收第一客户端发送的请求临时凭据 命令， 并根据该命令返回第一临时凭据给第一客户端； 接收第二服务提供 子系统发送的第一授权凭据， 返回第一访问令牌给第二服务提供子系统， 并将第一访问令牌发送至第一资源服务器作为认证依据；
所述第一资源服务器， 配置为接收第二服务提供子系统发送的第一访 问令牌， 并根据第一 OAuth服务器发送的第一访问令牌对所述第二服务提 供子系统发送的第一访问令牌进行认证， 认证成功后提供第一服务资源给 第二服务提供子系统进行访问。
3、根据权利要求 1所述的系统， 其中， 所述第二服务提供子系统包括： 第二客户端、 第二 OAuth服务器、 第二资源服务器； 其中，
所述第二客户端， 配置为接收第一服务提供子系统发送的第一临时凭 据， 并将所述第一临时凭据中的第一客户端标识改为第二客户端标识； 将 修改后的第一临时凭据发送至用户终端进行授权； 接收用户终端返回的第 一授权凭据， 将所述第一授权凭据发送至第一服务提供子系统以换取第一 访问令牌； 将第一访问令牌发送至第一服务提供子系统进行认证， 在第一 服务提供子系统认证成功后， 访问第一服务提供子系统提供的第一服务资 源；
所述第二 OAuth服务器， 配置为接收第一服务提供子系统发送的请求 临时凭据命令， 并根据该命令返回第二临时凭据给第一服务提供子系统； 接收第一服务提供子系统发送的第二授权凭据， 返回第二访问令牌给第一 服务提供子系统， 并将第二访问令牌发送至第二资源服务器作为认证依据；
所述第二资源服务器， 配置为接收第一服务提供子系统发送的第二访 问令牌， 并根据第二 OAuth服务器发送的第二访问令牌对所述第一服务提 供子系统发送的第二访问令牌进行认证， 认证成功后提供第二服务资源给 第一服务提供子系统进行访问。
4、根据权利要求 2所述的系统， 其中， 所述第二服务提供子系统包括： 第二客户端、 第二 OAuth服务器、 第二资源服务器；
所述第一客户端， 配置为向第一 OAuth服务器、 第二 OAuth服务器分 别发送请求临时凭据命令； 接收第一 OAuth服务器、 第二 OAuth服务器分 别返回的第一临时凭据、 第二临时凭据； 将第二临时凭据发送至用户终端 进行授权； 接收用户终端返回的第二授权凭据， 将所述第二授权凭据发送 至第二 OAuth服务器以换取第二访问令牌； 将第二访问令牌发送至第二资 源服务器进行认证， 在第二资源服务器认证成功后， 访问第二资源服务器 提供的第二服务资源； 还配置为将第一临时凭据发送至第二客户端；
所述第一 OAuth服务器， 配置为接收第一客户端发送的请求临时凭据 命令， 并根据该命令返回第一临时凭据给第一客户端； 接收第二客户端发 送的第一授权凭据， 返回第一访问令牌给第二客户端， 并将第一访问令牌 发送至第一资源服务器作为认证依据；
所述第一资源服务器， 配置为接收第二客户端发送的第一访问令牌， 并根据第一 OAuth服务器发送的第一访问令牌对所述第二客户端发送的第 一访问令牌进行认证， 认证成功后提供第一服务资源给第二客户端进行访 问；
所述第二客户端，配置为接收第一 OAuth服务器发送的第一临时凭据， 并将所述第一临时凭据中的第一客户端标识改为第二客户端标识； 将修改 后的第一临时凭据发送至用户终端进行授权； 接收用户终端返回的第一授 权凭据， 将所述第一授权凭据发送至第一 OAuth服务器以换取第一访问令
牌； 将第一访问令牌发送至第一资源服务器进行认证， 在第一资源服务器 认证成功后， 访问第一资源服务器提供的第一服务资源；
所述第二 OAuth服务器， 配置为接收第一客户端发送的请求临时凭据 命令， 并根据该命令返回第二临时凭据给第一客户端； 接收第一客户端发 送的第二授权凭据， 返回第二访问令牌给第一客户端， 并将第二访问令牌 发送至第二资源服务器作为认证依据；
所述第二资源服务器， 配置为接收第一客户端发送的第二访问令牌， 并根据第二 OAuth服务器发送的第二访问令牌对所述第一客户端发送的第 二访问令牌进行认证， 认证成功后提供第二服务资源给第一客户端进行访 问。
5、 根据权利要求 3 所述的系统， 其中， 所述请求临时凭据命令通过 OAuth协议定义的临时凭据请求报文来承载。
6、 一种客户端， 设置于服务提供子系统中， 所述服务提供子系统还包 括 OAuth服务器、 资源服务器， 该客户端包括： 临时凭据获取模块、 访问 令牌获取模块、 资源获取模块； 其中，
所述临时凭据模块， 配置为向本侧服务提供子系统的 OAuth服务器、 他侧服务提供子系统的 OAuth服务器分别发送请求临时凭据命令； 接收本 侧服务提供子系统的 OAuth服务器返回的第一临时凭据、 他侧服务提供子 系统的 OAuth服务器返回的第二临时凭据； 将第一临时凭据发送至他侧服 务提供子系统的客户端；
所述访问令牌获取模块， 配置为将第二临时凭据发送至用户终端进行 授权； 接收用户终端返回的第二授权凭据， 将所述第二授权凭据发送至他 侧服务提供子系统的 OAuth服务器以换取第二访问令牌；
所述资源获取模块， 配置为将第二访问令牌发送至他侧服务提供子系 统的资源服务器进行认证， 在他侧服务提供子系统的资源服务器认证成功
后， 访问他侧服务提供子系统的资源服务器提供的资源。
7、 一种客户端， 设置于服务提供子系统中， 所述服务提供子系统还包 括 OAuth服务器、 资源服务器， 该客户端包括： 临时凭据获取模块、 访问 令牌获取模块、 资源获取模块； 其中，
所述临时凭据获取模块， 配置为接收他侧服务提供子系统的 OAuth月良 务器发送的第一临时凭据， 并将所述第一临时凭据中的他侧服务提供子系 统的客户端标识改为本侧服务提供子系统的客户端标识；
所述访问令牌获取模块， 配置为将修改后的第一临时凭据发送至用户 终端进行授权； 接收用户终端返回的第一授权凭据， 将所述第一授权凭据 发送至他侧服务提供子系统的 OAuth服务器以换取第一访问令牌；
所述资源获取模块， 配置为将第一访问令牌发送至他侧服务提供子系 统的资源服务器进行认证， 在他侧服务提供子系统的资源服务器认证成功 后， 访问他侧服务提供子系统的资源服务器提供的资源。
8、 一种双向授权方法， 该方法包括：
第一服务提供子系统获取第一服务提供子系统的第一临时凭据、 第二 服务提供子系统的第二临时凭据； 将第二临时凭据发送至用户终端进行授 权， 得到第二授权凭据； 将第二授权凭据发送至第二服务提供子系统以换 取第二访问令牌， 根据所述第二访问令牌获取第二服务提供子系统中的资 源； 将第一临时凭据发送至第二服务提供子系统进行标识修改；
第二服务提供子系统将修改后的第一临时凭据发送至用户终端进行授 权， 得到第一授权凭据； 将第一授权凭据发送至第一服务提供子系统以换 取第一访问令牌， 根据所述第一访问令牌获取第一服务提供子系统中的资 源。
9、 根据权利要求 8所述的方法， 其中， 所述第一服务提供子系统获取 第一服务提供子系统的第一临时凭据、 第二服务提供子系统的第二临时凭
据， 包括：
第一服务提供子系统中的第一客户端向第一服务提供子系统中的第一
OAuth服务器、 第二服务提供子系统中的第二 OAuth服务器分别发送请求 临时凭据命令； 接收第一 OAuth服务器、 第二 OAuth服务器返回的第一临 时凭据、 第二临时凭据。
10、 根据权利要求 7或 8所述的方法， 其中，
所述第一临时凭据的授权为： 输入第一服务提供子系统的用户名和密 码； 所述用户名和密码为用户终端在第一服务提供子系统注册的用户名和 密码；
所述第二临时凭据的授权为： 输入第二服务提供子系统的用户名和密 码； 所述用户名和密码为用户终端在第二服务提供子系统注册的用户名和
Priority Applications (4)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2015559411A JP6055934B2 (ja) | 2013-03-01 | 2013-09-23 | 双方向許可システム、クライアントおよび方法 |
| US14/770,751 US9462003B2 (en) | 2013-03-01 | 2013-09-23 | Bidirectional authorization system, client and method |
| EP13876510.2A EP2963884B1 (en) | 2013-03-01 | 2013-09-23 | Bidirectional authorization system, client and method |
| KR1020157025989A KR101708587B1 (ko) | 2013-03-01 | 2013-09-23 | 양방향 권한 부여 시스템, 클라이언트 및 방법 |
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201310066662.4 | 2013-03-01 | ||
| CN201310066662.4A CN104022875B (zh) | 2013-03-01 | 2013-03-01 | 一种双向授权系统、客户端及方法 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| WO2014131279A1 true WO2014131279A1 (zh) | 2014-09-04 |
Family
ID=51427511
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| PCT/CN2013/084020 WO2014131279A1 (zh) | 2013-03-01 | 2013-09-23 | 一种双向授权系统、客户端及方法 |
Country Status (6)
| Country | Link |
|---|---|
| US (1) | US9462003B2 (zh) |
| EP (1) | EP2963884B1 (zh) |
| JP (1) | JP6055934B2 (zh) |
| KR (1) | KR101708587B1 (zh) |
| CN (1) | CN104022875B (zh) |
| WO (1) | WO2014131279A1 (zh) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN109587187A (zh) * | 2017-09-28 | 2019-04-05 | 华为技术有限公司 | 用于调用网络功能服务的方法、装置和系统 |
Families Citing this family (20)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US9477818B1 (en) * | 2014-01-02 | 2016-10-25 | Google Inc. | Leveraging a unification of content hosting and social networking |
| US11038894B2 (en) | 2015-04-07 | 2021-06-15 | Hewlett-Packard Development Company, L.P. | Providing selective access to resources |
| US9825963B2 (en) * | 2015-08-03 | 2017-11-21 | Bank Of America Corporation | Encapsulating commands within a control wrapper for multiple level review |
| US9838393B2 (en) * | 2015-08-03 | 2017-12-05 | Bank Of America Corporation | Encapsulating commands within a control wrapper for split entry or approval |
| US11936716B2 (en) | 2015-09-30 | 2024-03-19 | Surfdash Inc. | System and method for providing a secure network |
| US9847994B1 (en) * | 2015-09-30 | 2017-12-19 | Surfdash | System and method for providing a secure network |
| WO2018226263A1 (en) | 2017-06-04 | 2018-12-13 | Apple Inc. | Authentication techniques in response to attempts to access sensitive information |
| US11144620B2 (en) * | 2018-06-26 | 2021-10-12 | Counseling and Development, Inc. | Systems and methods for establishing connections in a network following secure verification of interested parties |
| CN111107047B (zh) * | 2018-10-29 | 2021-03-23 | 华为技术有限公司 | 服务授权方法及通信装置 |
| CN109639433B (zh) * | 2018-12-05 | 2020-06-30 | 珠海格力电器股份有限公司 | 多个系统账户之间相互授权的方法、存储介质和处理器 |
| CN111464481B (zh) * | 2019-01-18 | 2023-01-13 | 伊姆西Ip控股有限责任公司 | 用于服务安全保护的方法、设备和计算机可读介质 |
| JP7213366B2 (ja) * | 2019-03-04 | 2023-01-26 | ヒタチ ヴァンタラ エルエルシー | 分散システムにおける多方向信頼形成 |
| US11153088B2 (en) * | 2019-09-07 | 2021-10-19 | Paypal, Inc. | System and method for implementing a two-sided token for open authentication |
| US11537707B1 (en) | 2019-09-27 | 2022-12-27 | Amazon Technologies, Inc. | Secure identity binding |
| US11522864B1 (en) * | 2019-09-27 | 2022-12-06 | Amazon Technologies, Inc. | Secure identity transfer |
| CN110944035A (zh) * | 2019-10-22 | 2020-03-31 | 珠海格力电器股份有限公司 | 一种物联网设备控制方法、系统以及可读介质 |
| CN111538966B (zh) * | 2020-04-17 | 2024-02-23 | 中移（杭州）信息技术有限公司 | 访问方法、访问装置、服务器及存储介质 |
| US11770377B1 (en) * | 2020-06-29 | 2023-09-26 | Cyral Inc. | Non-in line data monitoring and security services |
| CN112131585B (zh) * | 2020-09-03 | 2023-01-06 | 苏州浪潮智能科技有限公司 | 一种基于rbac的临时授权的方法、系统、设备及介质 |
| US20230222205A1 (en) * | 2022-01-13 | 2023-07-13 | Vmware, Inc. | Sharing enterprise resources with temporary users |
Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN102394887A (zh) * | 2011-11-10 | 2012-03-28 | 杭州东信北邮信息技术有限公司 | 基于OAuth协议的开放平台安全认证方法和系统 |
| CN102611709A (zh) * | 2012-03-31 | 2012-07-25 | 奇智软件（北京）有限公司 | 一种对第三方资源的访问控制方法及系统 |
| CN102761537A (zh) * | 2012-03-29 | 2012-10-31 | 北京奇虎科技有限公司 | 一种基于客户端插件的授权认证方法及系统 |
| CN102761549A (zh) * | 2012-07-03 | 2012-10-31 | 中国联合网络通信集团有限公司 | 资源共享的处理方法和系统以及业务平台 |
| US20130019295A1 (en) * | 2011-07-11 | 2013-01-17 | Samsung Electronics Co., Ltd. | Method and system for open authentication |
Family Cites Families (12)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2002300155A (ja) * | 2001-03-30 | 2002-10-11 | Tokyo Electric Power Co Inc:The | 相互認証方法及び相互認証システム |
| JP3940283B2 (ja) * | 2001-10-22 | 2007-07-04 | Ｋｄｄｉ株式会社 | チケットを用いて相互に認証するサービス予約及び提供方法、そのプログラム並びに該プログラムを記録した記録媒体 |
| US8176327B2 (en) | 2006-12-27 | 2012-05-08 | Airvana, Corp. | Authentication protocol |
| US7945774B2 (en) * | 2008-04-07 | 2011-05-17 | Safemashups Inc. | Efficient security for mashups |
| CN101771677B (zh) * | 2008-12-31 | 2013-08-07 | 华为技术有限公司 | 一种向访问用户提供资源的方法、服务器和系统 |
| ES2601009T3 (es) | 2010-11-24 | 2017-02-13 | Telefónica, S.A. | Procedimientos para autorizar el acceso a contenido protegido |
| US9497184B2 (en) * | 2011-03-28 | 2016-11-15 | International Business Machines Corporation | User impersonation/delegation in a token-based authentication system |
| CN102739708B (zh) * | 2011-04-07 | 2015-02-04 | 腾讯科技（深圳）有限公司 | 一种基于云平台访问第三方应用的系统及方法 |
| US9043886B2 (en) * | 2011-09-29 | 2015-05-26 | Oracle International Corporation | Relying party platform/framework for access management infrastructures |
| US8800009B1 (en) * | 2011-12-30 | 2014-08-05 | Google Inc. | Virtual machine service access |
| US8839376B2 (en) * | 2012-06-29 | 2014-09-16 | Cable Television Laboratories, Inc. | Application authorization for video services |
| US9374369B2 (en) * | 2012-12-28 | 2016-06-21 | Lookout, Inc. | Multi-factor authentication and comprehensive login system for client-server networks |
-
2013
- 2013-03-01 CN CN201310066662.4A patent/CN104022875B/zh active Active
- 2013-09-23 EP EP13876510.2A patent/EP2963884B1/en active Active
- 2013-09-23 KR KR1020157025989A patent/KR101708587B1/ko active IP Right Grant
- 2013-09-23 WO PCT/CN2013/084020 patent/WO2014131279A1/zh active Application Filing
- 2013-09-23 US US14/770,751 patent/US9462003B2/en active Active
- 2013-09-23 JP JP2015559411A patent/JP6055934B2/ja active Active
Patent Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20130019295A1 (en) * | 2011-07-11 | 2013-01-17 | Samsung Electronics Co., Ltd. | Method and system for open authentication |
| CN102394887A (zh) * | 2011-11-10 | 2012-03-28 | 杭州东信北邮信息技术有限公司 | 基于OAuth协议的开放平台安全认证方法和系统 |
| CN102761537A (zh) * | 2012-03-29 | 2012-10-31 | 北京奇虎科技有限公司 | 一种基于客户端插件的授权认证方法及系统 |
| CN102611709A (zh) * | 2012-03-31 | 2012-07-25 | 奇智软件（北京）有限公司 | 一种对第三方资源的访问控制方法及系统 |
| CN102761549A (zh) * | 2012-07-03 | 2012-10-31 | 中国联合网络通信集团有限公司 | 资源共享的处理方法和系统以及业务平台 |
Non-Patent Citations (1)
| Title |
|---|
| See also references of EP2963884A4 * |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN109587187A (zh) * | 2017-09-28 | 2019-04-05 | 华为技术有限公司 | 用于调用网络功能服务的方法、装置和系统 |
| US11956361B2 (en) | 2017-09-28 | 2024-04-09 | Huawei Technologies Co., Ltd. | Network function service invocation method, apparatus, and system |
Also Published As
| Publication number | Publication date |
|---|---|
| US20160006743A1 (en) | 2016-01-07 |
| JP2016509319A (ja) | 2016-03-24 |
| KR20150119434A (ko) | 2015-10-23 |
| US9462003B2 (en) | 2016-10-04 |
| KR101708587B1 (ko) | 2017-02-20 |
| EP2963884A4 (en) | 2016-03-16 |
| CN104022875A (zh) | 2014-09-03 |
| JP6055934B2 (ja) | 2016-12-27 |
| EP2963884B1 (en) | 2017-03-15 |
| CN104022875B (zh) | 2017-09-01 |
| EP2963884A1 (en) | 2016-01-06 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| WO2014131279A1 (zh) | 一种双向授权系统、客户端及方法 | |
| US10257699B2 (en) | Mobile device user authentication for accessing protected network resources | |
| EP3251324B1 (en) | Secure access to cloud-based services | |
| US10136315B2 (en) | Password-less authentication system, method and device | |
| US9038138B2 (en) | Device token protocol for authorization and persistent authentication shared across applications | |
| TWI725958B (zh) | 雲端主機服務權限控制方法、裝置和系統 | |
| US9805185B2 (en) | Disposition engine for single sign on (SSO) requests | |
| US9391978B2 (en) | Multiple access authentication | |
| US10320771B2 (en) | Single sign-on framework for browser-based applications and native applications | |
| WO2018219056A1 (zh) | 鉴权方法、装置、系统和存储介质 | |
| US20190306148A1 (en) | Method for oauth service through blockchain network, and terminal and server using the same | |
| US9584615B2 (en) | Redirecting access requests to an authorized server system for a cloud service | |
| US20130007867A1 (en) | Network Identity for Software-as-a-Service Authentication | |
| US20130212653A1 (en) | Systems and methods for password-free authentication | |
| JP2011522327A (ja) | 信頼できる機器に限定した認証 | |
| JP2007310512A (ja) | 通信システム、サービス提供サーバおよびユーザ認証サーバ | |
| US11870766B2 (en) | Integration of legacy authentication with cloud-based authentication | |
| US20160057141A1 (en) | Network system comprising a security management server and a home network, and method for including a device in the network system | |
| KR102058283B1 (ko) | 이종 사물 인터넷 서비스 플랫폼 간의 보안 상호운용성 프레임워크 및 그 장치 | |
| Lazarev et al. | Analysis of applicability of open single sign-on protocols in distributed information-computing environment | |
| WO2013189392A2 (zh) | 基于交互式网络电视的桌面云系统鉴权的方法及系统 | |
| Baker | OAuth2 | |
| TW201508538A (zh) | 用於基於網頁瀏覽器網路餅乾的安全符記的擁有證明 | |
| JP2013228805A (ja) | 属性情報取得方法と、その方法を用いた属性情報取得システムと、各装置とプログラム |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| 121 | Ep: the epo has been informed by wipo that ep was designated in this application |
Ref document number: 13876510 Country of ref document: EP Kind code of ref document: A1 |
|
| WWE | Wipo information: entry into national phase |
Ref document number: 14770751 Country of ref document: US |
|
| ENP | Entry into the national phase |
Ref document number: 2015559411 Country of ref document: JP Kind code of ref document: A |
|
| NENP | Non-entry into the national phase |
Ref country code: DE |
|
| REEP | Request for entry into the european phase |
Ref document number: 2013876510 Country of ref document: EP |
|
| WWE | Wipo information: entry into national phase |
Ref document number: 2013876510 Country of ref document: EP |
|
| ENP | Entry into the national phase |
Ref document number: 20157025989 Country of ref document: KR Kind code of ref document: A |