WO2017071208A1 - 鉴权方法、设备、服务器、系统及存储介质 - Google Patents

鉴权方法、设备、服务器、系统及存储介质 Download PDF

Info

Publication number
WO2017071208A1
WO2017071208A1 PCT/CN2016/084205 CN2016084205W WO2017071208A1 WO 2017071208 A1 WO2017071208 A1 WO 2017071208A1 CN 2016084205 W CN2016084205 W CN 2016084205W WO 2017071208 A1 WO2017071208 A1 WO 2017071208A1
Authority
WO
WIPO (PCT)
Prior art keywords
account
token information
application
server
usage right
Prior art date
Application number
PCT/CN2016/084205
Other languages
English (en)
French (fr)
Inventor
任杰
Original Assignee
腾讯科技（深圳）有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 腾讯科技（深圳）有限公司 filed Critical 腾讯科技（深圳）有限公司
Publication of WO2017071208A1 publication Critical patent/WO2017071208A1/zh
Priority to US15/707,783 priority Critical patent/US10666440B2/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H04L9/3213—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority using tickets or tokens, e.g. Kerberos
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/104—Grouping of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/40—User authentication by quorum, i.e. whereby two or more security principals are required
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2137—Time limited access, e.g. to a computer or data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0884—Network architectures or network communication protocols for network security for authentication of entities by delegation of authentication, e.g. a proxy authenticates an entity to be authenticated on behalf of this entity vis-à-vis an authentication entity

Definitions

  • the present invention relates to security control technologies in the field of communications, and in particular, to an authentication method, device, server, system, and storage medium.
  • user 1 often has multiple terminal devices, such as smart phones, tablets, etc., and users often use the devices they own to use the same service. For example, user 1 may use smart devices at different times. Mobile phones and tablets use WeChat, which requires User 1 to set the account and key for storing WeChat in the devices they hold. Since User 1 generally only carries the smartphone with you, it does not always carry the tablet with you. , laptops and other devices, which brings hidden dangers to the user account security, resulting in malicious users 2 may use The user's device logs in to the application to use the service, causing loss to the user 1;
  • the user 1 wishes to temporarily transfer his own account (such as a Taobao account) to the user 3, which requires the user 1 to inform the user 3 of the account and key of the user 1 in a specific manner (such as the user). 1 Inform the user 3 by verbally, or by means of the device held by the user 1 to send information to the device held by the user 3, which brings a huge security risk to the account security of the user 1.
  • his own account such as a Taobao account
  • the related technology avoids the key leakage of the account to effectively protect the account security when using the same account on multiple devices, and there is no effective solution.
  • the embodiments of the present invention provide an authentication method, a device, a server, a system, and a storage medium.
  • the account key is prevented from being leaked to effectively protect the account security.
  • an embodiment of the present invention provides an authentication method, where the method includes:
  • the first device acquires token information from the server based on the first account corresponding to the first application held by the first device user, where the token information is generated by the server based on the first account, and is used to represent the first
  • the device user owns the ownership of the first account
  • the token information being further configured to be used by the server to perform a second device having the token information in the device group.
  • the right of the first account is allocated to the second device when the authentication is passed, to support the second device to log in to the first application by using the first account;
  • an embodiment of the present invention provides an authentication method, where the method includes:
  • the server generates token information corresponding to the first account, and the token information indicates that the first device user owns the ownership of the first account, based on the first account corresponding to the first application held by the first device user. ;
  • Determining that the second device logs in to the first application based on the usage right of the first account triggering the first device to switch from using the first account to log in to the first application to stop using the first An account is logged in to the state of the first application.
  • an embodiment of the present invention provides a first device, where the first device includes:
  • An obtaining unit configured to acquire token information from a server based on a first account corresponding to the first application held by the first device user, where the token information is generated by the server based on the first account, used to represent the The first device user owns the ownership of the first account;
  • a first transmission unit configured to transmit the token information in a device of the device group in a manner of restricting replication, the token information being further configured, by the server, to have the token in the device group
  • the second device of the information is authenticated, and the second device is allocated the usage right of the first account when the authentication is passed, to support the second device to log in to the first application by using the first account;
  • the switching unit is configured to determine that the second device logs in to the first application based on the usage right of the first account, and switches from the state in which the first account is logged in to the first application to the suspension to use the first The account is logged in to the state of the first application.
  • an embodiment of the present invention provides a server, including:
  • a token unit configured to be based on a first account corresponding to the first application held by the first device user, Generating token information corresponding to the first account, the token information indicating that the first device user owns the ownership of the first account;
  • a second transmission unit configured to send the token information to the first device, where the token information is used by the first device to transmit in a device that restricts replication in a device of the device group;
  • the authentication unit is configured to perform authentication on the second device that has the token information in the device group based on the token information, and allocate the first account to the second device when the authentication is passed Using the permission to support the second device to log in to the first application by using the first account;
  • the triggering unit is configured to determine that the second device logs in to the first application based on the usage right of the first account, and triggers the first device to switch from the state of logging in to the first application based on the first account to The state of logging in to the first application using the first account is suspended.
  • an embodiment of the present invention provides a first device, where the first device includes:
  • a storage medium configured to store computer executable instructions
  • a processor configured to execute computer executable instructions stored on the storage medium, the computer executable instructions comprising:
  • the token information being further configured to be used by the server to perform a second device having the token information in the device group.
  • the right of the first account is allocated to the second device when the authentication is passed, to support the second device to log in to the first application by using the first account;
  • an embodiment of the present invention provides a server, where the server includes:
  • a storage medium configured to store computer executable instructions
  • a processor configured to execute computer executable instructions stored on the storage medium, the computer executable instructions comprising:
  • the token information is used for the first device to transmit in a device that restricts replication in the device of the device group;
  • Determining that the second device logs in to the first application based on the usage right of the first account triggering the first device to switch from using the first account to log in to the first application to stop using the first An account is logged in to the state of the first application.
  • an embodiment of the present invention provides an authentication system, including the foregoing first device and a server.
  • an embodiment of the present invention provides a storage medium, where executable instructions are stored, and the executable instructions are used to perform an authentication method provided by an embodiment of the present invention.
  • the first device acquires the token information based on the first account of the first application, and uses the token information as the authentication credential of the device in the device group to log in to the first application by using the first account, in the first device user. If the device user in the device group does not need to notify the device corresponding to the first account, the second device with the token information can be authenticated and authenticated, thereby avoiding the risk of key leakage of the first account; When the second device logs in to the first application based on the first account, the first device also pauses to log in to the first application by using the first account to avoid the login conflict problem of the first account.
  • FIG. 2 is a schematic structural diagram of an authentication system in an embodiment of the present invention.
  • FIG. 3 is a second schematic flowchart of an authentication method in an embodiment of the present invention.
  • FIG. 5 is a schematic flow chart 4 of an optional authentication method in an embodiment of the present invention.
  • FIG. 6 is an optional schematic flowchart 5 of an authentication method in an embodiment of the present invention.
  • FIG. 7 is a schematic diagram of an optional state in which the first application running by the first device is inoperable in the embodiment of the present invention.
  • FIG. 8 is an optional schematic diagram of operating a first device to recover usage rights of a first account in an embodiment of the present invention
  • FIG. 9 is a schematic structural diagram of an optional logical function of a first device in an embodiment of the present invention.
  • FIG. 10 is a schematic structural diagram of an optional logical function of a server in an embodiment of the present invention.
  • FIG. 11 is a schematic diagram of an optional hardware structure of a first device and a server in an embodiment of the present invention.
  • first, second and the like according to the embodiments of the present invention are only used to distinguish different objects (such as devices) without a specific ordering of the objects. It can be understood that the objects distinguished by the above terms can be interchanged if allowed, so that the technical solutions described in the embodiments of the present invention can be implemented in the case of object interchange.
  • the authentication method provided by the embodiment of the present invention includes a series of steps, but the authentication method provided by the embodiment of the present invention is not limited to the steps described, and the first device and the server provided by the embodiment of the present invention are also A series of units are included, but the authentication method and device provided by the embodiments of the present invention are not limited to including the steps or units explicitly described, and may also include steps or steps required to obtain related information or perform processing based on the information. Units that need to be included.
  • the embodiment of the present invention describes an authentication method, which may be applied to a first device that is used to log in to an application (first application) based on a first account, where the first application is not specifically referring to an application running in the first device, but Refers to the application of authenticating the user based on the account number and the key, allowing the first device to serve corresponding services when the authentication is passed, such as various social applications, and providing third-party services (including online social, shopping, take-out, etc.) And various applications of offline housekeeping services, etc.
  • the first device mentioned above does not specifically refer to a certain device or a certain type of device, but refers to a device capable of running the above application and having communication capability, and the device Different devices of the group are distinguished.
  • the first device and the device in the device group may be a smart phone, a tablet computer or a wearable device (such as smart glasses, a smart watch, etc.), or may be a smart car or a smart home device (such as a smart refrigerator, a smart battery, a set top box, etc.).
  • the operating system of the smartphone can be an Android operating system, an iOS operating system or any other third-party operating system that can run on a microcomputer structure (including at least a processor and a memory) (such as a mobile Linux system, BlackBerry QNX operation) System, etc.).
  • the first device and the devices in the device group can have various communication modules built in to support communication between devices, such as a near field communication (NFC) module, a Bluetooth communication module, an infrared communication module, and a wireless compatibility authentication (WiFi) communication module. And cellular communication modules, etc., which are supported by the cellular communication module
  • the communication system can be CDMA (Code Division Multiple Access), Wideband Code Division Multiple Access (WCDMA), Time Division-Synchronous Code Division Multiple Access (TD-SCDMA, Time Division-Synchronous Code).
  • the first device in the device group needs to communicate with the target device, it can detect whether it can communicate with the target device in close range within the effective range of short-range communication (eg Bluetooth, WiFi, and WiFi, for example, can send an echo request message to the target device. If the data packet returned by the target device is received, it indicates that it is within the effective communication range of the short distance; if there is no valid range within the short range
  • short-range communication eg Bluetooth, WiFi, and WiFi, for example
  • the server may be a server specially configured for implementing the embodiment of the present invention (a server cluster may also be used).
  • the server may also be a background server of the first application, for example, when When an application is a social application, the corresponding server 300 can be a background server of the social application.
  • an embodiment of the present invention provides an authentication method.
  • an optional flowchart of the authentication method includes steps 101 to 104.
  • the first device acquires token information from the server based on the first account corresponding to the first application held by the first device user; the token information is generated by the server based on the first account, and is used to represent that the first device user owns Ownership of the first account; in step 102, the first device transmits the token information in the device of the device group in a restricted copy manner; the token information is also used by the server to have token information in the device group
  • the second device performs authentication, and allocates the usage right of the first account to the second device when the authentication is passed, so that the second device uses the first account to log in to the first application; in step 103, the first device determines that the second device is based on The first account is used to log in to the first application.
  • the state in which the first account is used to log in to the first application is switched to the state in which the first account is used to log in to the first application.
  • the first device acquires the token information based on the first account of the first application, and uses the token information as the authentication credential of the device in the device group to log in to the first application by using the first account, and the first device user does not need to notify Under the premise that the device user in the device group has the corresponding key of the first account, the second device with the token information can be authenticated and authenticated, thereby avoiding the risk of the key leakage of the first account;
  • the first device also pauses to log in to the first application by using the first account to avoid the login conflict problem of the first account.
  • the token information is transmitted in the device group in a non-replicable manner. This effectively eliminates the situation where multiple devices hold tokens and log in to the first application based on the first account.
  • the first device 100 runs the first application, and the user of the first device 100 registers the service provided by the first application by using the first device 100.
  • the account information includes: a first account and corresponding key information; when the first device 100 user wants to temporarily send the first account to the second device 200 (the second device 200 user can be the same user as the first device 100 user, It can be used for different users, but it is not desirable to leak the key corresponding to the first account to the second device 200.
  • an optional flow diagram of the authentication method includes the following steps:
  • step 201 the first device 100 sends a token information request to the server 300.
  • the token information request carries information of the first account corresponding to the first application registered by the user of the first device 100.
  • Step 202 When receiving the token information request sent by the first device 100, the server 300 generates an identifier corresponding to the first account, and the encrypted identifier obtains corresponding token information.
  • server 300 may encrypt the identity using an asymmetric encryption algorithm (or symmetric encryption algorithm) that is maliciously altered for placing token information.
  • the token information may also be accompanied by a digital signature or a digital certificate, and the first device 100 uses the digital signature to verify the reliability of the token information.
  • Step 203 The server 300 maintains a correspondence between the first account and the identifier.
  • the server 300 when the token information request is sent by the different first device 100, the server 300 generates an identifier according to the account corresponding to the running first application in each of the first devices 100 (generated for different first accounts). The identifiers are different, and the corresponding relationship between the first account and the corresponding generated identifier is maintained. For example, the server 300 may calculate the corresponding identifier by using a function having a single mapping function, or may not use the first identifier. An account is used for calculation, and only the token information is used to characterize the ownership of the first account by the first device 100.
  • step 204 the server 300 passes the token information to the first device 100.
  • Step 205 The first device 100 transmits the token information in a device of the device group in a manner of restricting replication.
  • the first device 100 may actively initiate the delivery of token information in the device group, or, in other embodiments, the first device in the device group (set to the second device 200) to use the first When the account is logged in to the request of the first application, the token information is delivered to the second device 200.
  • the server 300 may be requested to use the first account to log in to the first application based on the token information, and the usage restriction is transmitted when the usage is completed. Card information to other devices in the device group; or, in other embodiments, the second device 200 may not request the server 300 for the first account when acquiring the token information, but directly the token Information is passed to other devices in the device farm in a way that restricts replication.
  • the second device 200 Since the token information is transmitted in the device group in a restricted copy manner, after the second device 200 transmits the token information to other devices in the device group, the second device 200 does not retain the token information, that is, Once the token information is passed in the device group, only one device in the device group has token information at any one time.
  • Step 206 The second device 200 in the device group requests the server 300 to log in based on the token information. Record the first application.
  • the request sent by the second device 200 to the server 300 carries the token information.
  • the first device 100 only passes the token information to the second device 200, that is, the second device.
  • the 200 does not have the first application first account owned by the user of the first device 100, and ensures that the account of the user of the first device 100 is secure before the second device 200 uses the first account.
  • Step 207 The server 300 authenticates the second device 200 having the token information in the device group, and allocates the usage right of the first account to the second device 200 when the authentication is passed.
  • the server 300 when receiving the request of the second device 200, uses the digital signature (or digital certificate) of the token information to verify whether the token information is delivered by the server 300 and has not been modified, and then decrypts the token.
  • the identifier in the information is determined by using the correspondence between the identifier maintained by the server 300 and the first account, determining the first account that the second device 200 requests to use, and assigning the second device 200 the usage right of the first account, and the second
  • the state of the first application running in the device 200 is set to be based on the login status of the first account, so that the user of the second device 200 obtains the usage right of the first account.
  • the first device 100 is configured to notify the second device 200 that the second device 200 is not required to log in to the first application based on the first account, thereby avoiding key leakage to the first device.
  • the risk of an account that may be caused by twenty devices.
  • Step 208 The server 300 triggers the first device 100 to switch to the state of logging in to the first application by using the first account from the state of logging in the first application based on the first account.
  • the server 300 assigns the second device 200 the usage right of the first account (that is, the first device 200 is based on the second account)
  • the first device 100 is based on the first account.
  • the usage state is switched to the suspended usage state, and the currently inoperable prompt can be displayed on the display interface of the first device 100 to support the second device 200 user to use the service provided by the first application based on the first account.
  • the user initiates an operation for requesting token information from the server 300 on the graphical interface of the first application, and receives the server.
  • the token information is sent by the 300
  • the token information is sent to the second device 200
  • the second device 200 requests the server 300 to use the first account based on the token information.
  • the server 300 successfully authenticates the token information, Assigning the usage right of the first account to the second device 200, the first application running by the second device 200 is in the state of being logged in based on the first account, and the first application running in the first device 100 is in the state of logging in based on the first account. .
  • the second device 200 when the second device 200 requests the usage right of the first account, it only has the token information, and does not have the information of the first account (such as the name), and the server 300 is based on the identifier of the maintenance and the first The correspondence of the account number is determined.
  • the second device 200 has token information and information (such as a name) of the first account when requesting the usage right of the first account, and the second device 200 is based on the name.
  • the token information requests the usage right of the first account, and the server 300 performs the double verification of the account and the token, thereby improving the security of the authentication.
  • an optional flow diagram of the authentication method includes the following steps:
  • Step 301 The first device 100 sends a token information request to the server 300.
  • the token information request carries information of the first account corresponding to the first application registered by the user of the first device 100.
  • Step 302 When receiving the token information request sent by the first device 100, the server 300 generates an identifier corresponding to the first account, and the encrypted identifier obtains corresponding token information.
  • server 300 may encrypt the identity using an asymmetric encryption algorithm (or symmetric encryption algorithm) that is maliciously altered for placing token information.
  • asymmetric encryption algorithm or symmetric encryption algorithm
  • the token information may also be accompanied by a digital signature or a digital certificate, and the first device 100 uses the digital signature to verify the reliability of the token information.
  • Step 303 The server 300 maintains a correspondence between the first account and the identifier.
  • Step 303 can be implemented by referring to the foregoing step 203.
  • step 304 the server 300 transmits the token information to the first device 100.
  • the user of the first device 100 transmits the token information to the second device 200, so that the second device 200 logs in the first application based on the first account as an example.
  • Step 305 The first device 100 passes the token information and the first account to the second device 200.
  • the first device 100 may transfer the token information and the first account to the second device 200 respectively, due to the subsequent server. 300 is authenticated based on the first account number and the token information. Even if one of the first account number and the token information is maliciously acquired, the authentication by the server 300 cannot be performed.
  • Step 306 The second device 200 in the device group requests the server 300 to log in to the first application based on the token information and the first account.
  • the request sent by the second device 200 to the server 300 carries the token information and the information of the first account; the first device 100 transmits the token information and the information of the first application to the second device 200, That is, the second device 200 has the name of the first account of the first application.
  • Step 307 The server 300 authenticates the second device 200 having the token information in the device group, and allocates the usage right of the first account to the second device 200 when the authentication is passed.
  • the server 300 when receiving the request of the second device 200, uses the digital signature (or digital certificate) of the token information to verify whether the token information is delivered by the server 300 and has not been modified, and then decrypts the token.
  • the identifier in the information is determined by using the correspondence between the identifier maintained by the server 300 and the first account, and determining whether the first account corresponding to the identifier in the token information is consistent with the first account carried by the second device 200, if Consistently, the second device 200 is assigned the usage right of the first account, and the state of the first application running in the second device 200 is set to be based on the login status of the first account, so that the second device 200 obtains the use of the first account. Permissions.
  • the key of the first account does not need to be leaked to the user of the second device 200, so that the second device 200 can log in to the first application based on the first account, thereby avoiding the risk of key leakage.
  • Step 308 The server 300 triggers the first device 100 to switch to the state of logging in to the first application by using the first account from the state of logging in the first application based on the first account.
  • the server 300 assigns the second device 200 the usage right of the first account (that is, the first device 200 is based on the second account)
  • the first device 100 is based on the first account.
  • the usage state is switched to the suspended usage state, and the currently inoperable prompt can be displayed on the display interface of the first device 100 to support the second device 200 to use the service provided by the first application based on the first account.
  • the second device 200 has the token information as an example, and the second device 200 can transmit the token information in the device group in a restricted copy manner, for the device group.
  • the authentication process performed by the server 300 may refer to the foregoing server 300 to the second device 200. Implemented by the authentication process.
  • the foregoing description is made by taking the device in the first device 100 and the device group as belonging to different users as an example.
  • the device in the device group may not have the confidentiality of the first account.
  • the first account is used to log in to the first application, so that the key information of the first account is not required to be disclosed to other device users (ie, device users in the device group).
  • the embodiment of the present invention further describes the process of suspending the usage right assigned to the second device 200 after the second device 200 acquires the usage right of the first account.
  • the server 300 needs to determine when the usage rights assigned to the second device 200 are aborted; it can be combined in conjunction with determining when to suspend the usage rights assigned to the second device 200:
  • the second device 200 has token information, when the second device 200 does not have token information, The token information is transmitted in the device group and is restricted by the other devices in the device group. In order to prevent the second device 200 from having the right to use the other devices in the device group, the second device should be suspended. The usage right of the corresponding first account of the device 200;
  • the second device 200 has token information, and the token information does not exceed the expiration date. Once the second device does not have the token information, or the second device 200 has the token information but the token information exceeds the expiration date, the suspension is The usage rights assigned by the second device 200.
  • the token information sent by the server 300 to the first device 100 may have no expiration date, that is, when the token information is transmitted in the device group in a limited copy manner, the time of delivery is not time-consuming. limits.
  • the security-based token information has an expiration date (valid for a certain period of time); the token information is valid for a period of time, and when the token information is passed in the device group beyond the expiration date, the token The information is invalid, even if the device in the device group has a token, the access rights of the first account cannot be obtained.
  • the token information sent by the 100 also has time limit information.
  • the time limit information may be set by the validity period of the digital certificate.
  • an optional flowchart of the authentication method includes the following steps:
  • step 401 the server 300 detects whether the second device 200 has token information. If yes, step 402 is performed; otherwise, step 403 is performed.
  • Step 402 The server 300 detects whether the usage right of the first account acquired by the second device 200 is in the validity period. If not, the process returns to step 401; otherwise, step 403 is performed.
  • Step 403 the server 300 suspends the use of the corresponding first account assigned to the second device 200. Permissions.
  • Step 404 The server 300 triggers the first device 100 to switch to the state of logging in to the first application by using the first account from the state of logging in the first application based on the first account.
  • the server 300 After obtaining the usage right of the first account based on the token information for any device having the token information in the device group, the server 300 detects whether the device having the usage right of the first account has the token information and whether the token information exceeds The operation of the expiration date realizes the monitoring of the transmission of the token information in the device group, and ensures the security of the use of the first account.
  • the first device 100 and the device in the device group belong to the same user, and after the second device 200 obtains the usage right of the first account, the user needs to use the first device 100 and log in to the first application based on the first account.
  • the second device 200 is often a login device that is temporarily used as the first application.
  • the device in the first device 100 and the device group belong to different users. After the usage rights of the first account corresponding to the first application of the first device 100 are allocated to the user of the second device 200, the user of the first device 100 needs to The first account is used to log in to the first application, that is, the user of the second device 200 is required to stop using the first account to log in to the first application.
  • the server 300 it is necessary for the server 300 to reclaim the usage rights of the corresponding first account assigned to the second device 200, so that the first device 100 can log in to the first application based on the first account.
  • Step 501 The first device 100 sends a recovery request carrying the token information to the server 300.
  • the reclaiming request carries the token information requested by the first device 100 from the server, and the usage right of the first account is reclaimed from the device having the token information in the device group, so that the user can be based on the first device.
  • the first account is logged in to the first application.
  • the first device 100 stops the login of the first application based on the first account, the first The display window 101 of an application is in an inoperable state, which is equivalent to shielding receiving the input operation of the user, and can provide a virtual button 102 for recycling the usage right of the first application as shown in FIG.
  • the first device 100 performs the foregoing step 501 to trigger the server 300 to reclaim the usage rights of the allocated first account, so that the display window of the first application in the first device 100 is in the operable state again.
  • Step 502 The server 300 determines whether the first device 100 has ownership of the first account, and if so, performs step 503; otherwise, stops processing.
  • step 503 the server 300 suspends the usage right of the corresponding first account assigned to the second device 200.
  • the token information has an encrypted identifier, and the identifier corresponds to the first account.
  • the identifier that the server 300 can maintain and the identifier of the first device 100 may be sent to the server 300 when requesting the token information from the server 300.
  • the identifier of the first account and the identifier of the first device 100 are encrypted by the server 300 to form the token information; that is, in the embodiment, the token information may carry the following identifier of the encryption: the identifier corresponding to the first account; The identity of the first device 100.
  • the server 300 may determine whether the first device 100 has the ownership of the first account by: decrypting the identifier of the first device 100 in the token information, and matching the identifier of the first device 100 in the plaintext carried in the request, if If the match is successful, it is determined that the device that sent the recycle request has ownership of the first account.
  • Step 504 The server 300 triggers the first device 100 to switch to the state of logging in to the first application based on the first account, and to switch to the state of logging in to the first application by using the first account.
  • the first device 100 that sends the collection request is authenticated by the token information, and when the ownership of the first account is determined, the usage right of the corresponding first account assigned to the second device 200 is suspended, and the first device is restored.
  • the first account is used to log in to the state of the first application, so that the first application is used based on the first device 100.
  • an optional functional structure diagram of the first device 100 includes:
  • the obtaining unit 110 is configured to acquire the token information from the server 300 based on the first account corresponding to the first application held by the user of the first device 100, and the token information is generated by the server 300 based on the first account, and is used to represent the first device 100.
  • the user owns the ownership of the first account;
  • the first transmission unit 120 is configured to transmit the token information in the device of the device group in a manner of restricting replication, and the token information is further used by the server 300 to perform the second device 200 with the token information in the device group.
  • the right device is configured to allocate the usage right of the first account to the second device 200 when the authentication is passed, to support the second device 200 to log in to the first application by using the first account;
  • the switching unit 130 is configured to determine that the second device 200 logs in to the first application based on the usage right of the first account, and switches from the state in which the first account is used to log in to the first application to the state in which the first account is used to log in to the first application.
  • the obtaining unit 110 is further configured to acquire the token information from the server 300 by using the token information request, where the token information request is used by the server 300 to generate an identifier corresponding to the first account, the encrypted identifier obtains the token information, and the first account is maintained. Correspondence relationship of the logo;
  • the corresponding relationship between the first account and the identifier is used by the server 300 to decrypt the identifier from the token information, and the first account corresponding to the identifier is determined based on the correspondence, and the usage right of the first account is allocated to the second device 200.
  • the obtaining unit 110 is further configured to acquire the token information from the server 300 by using the token information request, where the token information request is used by the server 300 to encrypt the identifier to obtain the token information;
  • the token information and the information of the first account are also used by the second device 200 to be sent to the server 300, so that the server 300 verifies whether the identifier carried in the first account and the token information matches, and allocates the usage rights of the first account when matching. To the second device 200.
  • the token information carries the time limit information, and is used by the server 300 to detect whether the usage right of the first account acquired by the second device 200 is in the validity period, and terminates the allocation to the first time when the validity period is exceeded.
  • the usage rights of the first account of the second device 200 is not limited to the token information.
  • the first device 100 further includes:
  • the recovery unit 140 is configured to send a recovery request for the token information to the server 300.
  • the recovery request carries the token information, where the token information is used by the server 300 to determine that the first device 100 has ownership of the first account, and the termination is The usage right of the corresponding first account assigned by the second device 200;
  • the switching unit 130 is further configured to switch from a state in which the first account is used to log in to the first application to a state in which the first account is used to log in to the first application.
  • the token information is further used by the server 300 to detect whether the second device 200 with the usage right corresponding to the first account in the device group has the token information, and if not, the corresponding first account assigned to the second device 200 is suspended. Use permissions.
  • the logical processing functions performed by the units in the first device 100 may be performed by a processor, a microprocessor (MCU), an application specific integrated circuit (ASIC), or a logic programmable gate array (FPGA) in the first device 100.
  • the communication function with the second device 200 and the server 300 in the first device 100 can be implemented by the WiFi communication chip, the cellular communication chip, and the corresponding peripheral circuits and antennas in the first device 100.
  • an optional functional structure diagram of the server 300 includes:
  • the token unit 310 is configured to generate token information corresponding to the first account based on the first account corresponding to the first application held by the user of the first device 100, and the token information represents that the user of the first device 100 owns the ownership of the first account. ;
  • the second transmission unit 320 is configured to send the token information to the first device 100, where the token information is used by the first device 100 to transmit in a device that restricts replication in the device of the device group;
  • the authentication unit 330 is configured to perform authentication on the second device 200 having the token information in the device group based on the token information, and allocate the usage right of the first account to the second device 200 when the authentication is passed Limiting, to support the second device 200 to log in to the first application by using the first account;
  • the triggering unit 340 is configured to determine that the second device 200 logs in to the first application based on the usage right of the first account, and triggers the first device 100 to switch from the state in which the first account is used to log in to the first application to the suspension to use the first account to log in to the first application. status.
  • the token unit 310 includes: a receiving module configured to: when receiving the token information request sent by the first device 100, generate an identifier corresponding to the first account; the encryption module is configured to obtain the token information by encrypting the identifier, and maintain the first account Correspondence with the logo.
  • the authentication unit 330 includes:
  • a decryption module configured to decrypt the identifier from the token information sent by the second device 200
  • the allocation module is configured to determine a first account corresponding to the identifier based on the correspondence, and assign the usage right of the first account to the second device 200; or
  • the allocation module is configured to verify, according to the correspondence, whether the first account sent by the second device 200 matches the identifier carried in the token information, and assign the usage right of the first account to the second device 200 when matching.
  • the token information carries the time limit information.
  • the authentication unit 330 is further configured to detect, according to the time limit information, whether the usage right of the first account acquired by the second device 200 is in a valid period; when the validity period is exceeded, the corresponding allocation to the second device 200 is suspended. The usage rights of an application.
  • the second transmission unit 320 is further configured to receive a recovery request for the token information sent by the first device 100, where the recovery request carries the token information, and the authentication unit 330 is further configured to determine, according to the token information, that the first device 100 is owned by the user.
  • the triggering unit 340 is further configured to trigger the first device 100 to switch from using the state in which the first account is used to log in to the first application. The first account is logged in to the state of the first application.
  • the authentication unit 330 is further configured to detect whether the second device 200 to which the usage right corresponding to the first account is assigned in the device group has token information, and if there is no token information, the suspension is the second setting. The right to use the corresponding first account assigned by the standby 200.
  • the logic processing functions performed by the units in the server 300 may be implemented by a processor, a microprocessor (MCU), an application specific integrated circuit (ASIC), or a logic programmable gate array (FPGA) in the server 300, and the server 300
  • the communication function with the second device 200 and with the first device 100 can be implemented by the WiFi communication chip of the server 300, the cellular communication chip, and corresponding peripheral circuits and antennas.
  • the hardware structure 400 shown in FIG. 11 may be adopted, including: a processor 440, an input/output interface 460 (eg, a display, a keyboard, a touch screen, a speaker microphone).
  • a processor 440 e.g, a central processing unit (CPU)
  • an input/output interface 460 e.g, a display, a keyboard, a touch screen, a speaker microphone.
  • One or more of storage medium 470 and network interface 450 for supporting data transmission with external devices, and components can be connected for communication via system bus 480.
  • the embodiment of the present invention further describes an authentication system shown in FIG. 2, including the foregoing first device 100 and server 300;
  • the first device 100 is configured to acquire token information from the server based on the first account corresponding to the first application held by the user of the first device 100, where the token information is generated by the server based on the first account, Characterizing that the first device 100 user owns the ownership of the first account; and transmitting the token information in a device of the device group in a manner of restricting replication, the token information is further used by the server pair
  • the second device 200 having the token information in the device group performs authentication, and when the authentication is passed, the second device 200 is allocated the usage right of the first account to support the second device 200.
  • Logging in to the first application by using the first account determining that the second device 200 logs in to the first application based on the usage right of the first account, and logs in to the first application based on the first account.
  • the state is switched to a state in which the first account is used to log in to the first application;
  • the server 200 is configured to be based on the first corresponding to the first application held by the user of the first device 100 An account, generating token information corresponding to the first account, where the token information indicates that the first device 100 user owns the ownership of the first account;
  • the first device 100 is further configured to acquire the token information from the server by using a token information request, where the token information request is used by the server to generate an identifier corresponding to the first account;
  • the corresponding relationship between the first account and the identifier is used by the server to decrypt the identifier from the token information, and determine, according to the correspondence, the first corresponding to the identifier An account, assigning the usage right of the first account to the second device 200; or
  • the token information and the information of the first account are used by the second device 200 to be sent to the server, so that the server verifies the first sent by the second device 200 based on the correspondence. Whether the account number matches the identifier carried in the token information, and the usage right of the first account is assigned to the second device 200 when matching.
  • the token information carries the time limit information, where the server is configured to detect whether the usage right of the first account acquired by the second device 200 is in a valid period, and aborting the allocation to the first time when the validity period is exceeded. The usage rights of the first account of the second device 200.
  • the first device 100 is further configured to send, to the server, a reclaim request for the token information, where the token information carried in the reclaim request is used by the server to determine the first device
  • the user who is assigned to the second device 200 is suspended from using the first account
  • the token information is further used by the server to detect whether the second device 200 that is allocated with the usage right of the first account in the device group has the token information, The usage right corresponding to the first account that is allocated to the second device 200 is suspended.
  • the server 300 is further configured to: when receiving the token information request sent by the first device 100, generate an identifier corresponding to the first account; encrypt the identifier to obtain the token information, and maintain the The correspondence between an account and the identifier.
  • the server 300 is further configured to decrypt the identifier from the token information sent by the second device 200, determine the first account corresponding to the identifier based on the correspondence, and allocate the The usage right of the first account is given to the second device 200; the token information sent from the second device 200 decrypts the identifier; and the second device 200 is verified to be verified based on the correspondence Whether the first account is matched with the identifier carried in the token information sent by the second device 200, and the usage right of the first account is allocated to the second device 200 when matching.
  • the token information carries the time limit information, and detects, according to the time limit information, whether the usage right of the first account acquired by the second device 200 is in a valid period; when the validity period is exceeded, the suspension is the The usage rights assigned by the second device 200 correspond to the first application.
  • the server 300 is further configured to receive, by the first device 100, a reclaiming request for the token information, where the reclaiming request carries the token information; and determining, according to the token information, the When a device 100 user owns the ownership of the first account, the suspension is The first device 100 is configured to switch from the state in which the first account is used to log in to the first application to resume using the first account to log in. The status of the first application.
  • the server 300 is further configured to detect whether the second device 200 that is allocated with the usage right of the first account in the device group has the token information, when the token information is not included. And aborting the usage right of the first account corresponding to the second device 200.
  • the embodiment of the invention further provides a first device, where the first device includes:
  • a storage medium configured to store computer executable instructions
  • a processor configured to execute computer executable instructions stored on the storage medium, the computer executable instructions comprising:
  • the token information being further configured to be used by the server to perform a second device having the token information in the device group.
  • the right of the first account is allocated to the second device when the authentication is passed, to support the second device to log in to the first application by using the first account;
  • An embodiment of the present invention provides a server, where the server includes:
  • a storage medium configured to store computer executable instructions
  • the computer executable instructions include:
  • the token information is used for the first device to transmit in a device that restricts replication in the device of the device group;
  • Determining that the second device logs in to the first application based on the usage right of the first account triggering the first device to switch from using the first account to log in to the first application to stop using the first An account is logged in to the state of the first application.
  • the above method if the above method is implemented in the form of a software function module and sold or used as a stand-alone product, it may also be stored in a computer readable storage medium.
  • the technical solution of the embodiments of the present invention may be embodied in the form of a software product in essence or in the form of a software product stored in a storage medium, including a plurality of instructions.
  • a computer device (which may be a personal computer, server, or network device, etc.) is caused to perform all or part of the methods described in various embodiments of the present invention.
  • the foregoing storage medium includes various media that can store program codes, such as a USB flash drive, a mobile hard disk, a read only memory (ROM), a magnetic disk, or an optical disk.
  • program codes such as a USB flash drive, a mobile hard disk, a read only memory (ROM), a magnetic disk, or an optical disk.
  • the embodiment of the present invention further provides a computer readable medium, which may be a ROM (for example, a read only memory, a FLASH memory, a transfer device, etc.), a magnetic storage medium (for example, a magnetic tape, a disk drive, etc.), or an optical storage medium (for example, CD-ROM, DVD-ROM, paper card, paper tape, etc.) And other well-known types of program memory; computer-readable medium storing computer-executable instructions (such as binary executable instructions of a projection application such as Tencent video), in conjunction with FIG. 2, causing at least one processing of the first device 100 when the instructions are executed
  • the device performs the following operations:
  • the token information is obtained from the server 300 based on the first account corresponding to the first application held by the first device user, and the token information is generated by the server based on the first account, and is used to represent that the user of the first device 100 owns the ownership of the first account;
  • the token information is transmitted in the device of the device group in a manner of restricting replication.
  • the token information is further configured to allow the server 300 to authenticate the second device 200 having the token information in the device group, and when the authentication is passed, The second device 200 allocates the usage right of the first account to support the second device 200 to log in to the first application by using the first account;
  • the second device 200 logs in to the first application based on the usage right of the first account, and switches from the state in which the first account is registered based on the first account to the state in which the first account is used to log in to the first application.
  • the embodiment of the invention describes a computer readable medium, which may be a ROM (for example, a read only memory, a FLASH memory, a transfer device, etc.), a magnetic storage medium (for example, a magnetic tape, a disk drive, etc.), an optical storage medium (for example, a CD).
  • ROM read only memory
  • FLASH memory FLASH memory
  • magnetic storage medium for example, a magnetic tape, a disk drive, etc.
  • an optical storage medium for example, a CD
  • computer-readable media stores computer-executable instructions (such as binary executable instructions for projection applications such as Tencent video), in conjunction with Figure 2
  • computer-readable media stores computer-executable instructions (such as binary executable instructions for projection applications such as Tencent video), in conjunction with Figure 2
  • the instruction is executed, causing at least one processor of the server 300 to perform the operations including the following:
  • the second device 200 having the token information in the device group is authenticated based on the token information, When the authentication is passed, the second device 200 is allocated the usage right of the first account to support the second device 200 to log in to the first application by using the first account;
  • the second device 200 is determined to log in to the first application based on the usage right of the first account, and triggers the first device 100 to switch from the state in which the first account is used to log in to the first application to the state in which the first account is used to log in to the first application.
  • the first device acquires the token information based on the first account of the first application, and uses the token information as the authentication credential of the device in the device group to use the first account to log in to the first application.
  • the second device having the token information can be authenticated and authenticated, thereby avoiding the risk of the key leakage of the first account;
  • the first device also pauses to log in to the first application by using the first account to avoid the login conflict problem of the first account.
  • the foregoing program may be stored in a computer readable storage medium, and the program is executed when executed.
  • the foregoing storage medium includes: a mobile storage device, a random access memory (RAM), a read-only memory (ROM), a magnetic disk, or an optical disk.
  • RAM random access memory
  • ROM read-only memory
  • magnetic disk or an optical disk.
  • optical disk A medium that can store program code.
  • the above-described integrated unit of the present invention may be stored in a computer readable storage medium if it is implemented in the form of a software function module and sold or used as a standalone product.
  • the technical solution of the embodiments of the present invention may be embodied in the form of a software product in essence or in the form of a software product, which is stored in a storage medium and includes a plurality of instructions for making
  • a computer device which may be a personal computer, server, or network device, etc.
  • the foregoing storage medium includes various media that can store program codes, such as a mobile storage device, a RAM, a ROM, a magnetic disk, or an optical disk.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Information Transfer Between Computers (AREA)
  • Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)
  • Storage Device Security (AREA)
  • Telephonic Communication Services (AREA)

Abstract

本发明公开一种鉴权方法、设备、服务器、系统及存储介质；方法包括：基于第一设备用户持有的对应第一应用的第一账号从服务器获取令牌信息；将令牌信息在设备群的设备中以限制复制的方式进行传输，令牌信息用于供服务器对设备群中具有所述令牌信息的第二设备进行鉴权，在鉴权通过时为第二设备分配第一账号的使用权限；确定第二设备基于第一账号的使用权限登录第一应用，从基于第一账号登录第一应用的状态切换为中止使用第一账号登录第一应用的状态。采用本发明，能够在多设备使用同一账号登录应用时，避免账号的密钥泄露以有效保障账号安全。

Description

鉴权方法、设备、服务器、系统及存储介质
本专利申请要求2015年10月28日提交的中国专利申请号为201510711862.X，申请人为腾讯科技(深圳)有限公司，发明名称为“鉴权方法、设备及系统”的优先权，该申请的全文以引用的方式并入本申请中。
技术领域
本发明涉及通信领域的安全控制技术，尤其涉及一种鉴权方法、设备、服务器、系统及存储介质。
背景技术
随着设备的智能化，人们除了拥有台式机、笔记本电脑等常规的设备，还拥有智能手机、平板电脑、智能眼镜、智能手表等多种形式的智能设备，这些设备都具有强大的智能性，能够运行多种不同的应用，例如，可以运行提供多种形式服务，包括线上服务(如在线多媒体播放、网上银行、社交服务如微信、微博等)，还包括线下服务(网上预定家政服务、在线购买提供送花上门服务的商品，如外卖、家政服务、电子产品、服装等)。
用户需要使用预先注册的账号和密钥登录在设备中运行的应用才能使用应用所提供的服务，目前在账号的管理上存在安全隐患。
在一个典型的场景中，用户1往往拥有多台终端设备，如智能手机、平板电脑等，并且用户往往会使用所拥有的设备来使用相同的服务，例如用户1可能在不同的时刻分别使用智能手机和平板电脑来使用微信，这就需要用户1在所持有的设备中分别设置存储微信的账号和密钥，由于用户1一般只会随身携带智能手机，而不会总是随身携带平板电脑、笔记本电脑等设备，这就给用户1的账号安全带来了隐患，导致恶意用户2可能使用 用户的设备而登录应用使用服务，给用户1带来损失；
在另一个典型的场景中，用户1希望将自身的账号(例如淘宝账号)暂时让渡给用户3使用，这就需要用户1通过特定方式向用户3告知用户1的账号和密钥(如用户1通过口头方式告知用户3，或通过用户1持有的设备向用户3持有的设备发送信息的方式告知)，这对用户1的账号安全带来了巨大的安全隐患。
综上所述，相关技术对于在多设备使用同一账号时，避免账号的密钥泄露以有效保障账号安全、尚无有效解决方案。
发明内容
本发明实施例提供一种鉴权方法、设备、服务器、系统及存储介质，能够在多设备使用同一账号登录应用时，避免账号的密钥泄露以有效保障账号安全。
本发明实施例的技术方案是这样实现的：
第一方面，本发明实施例提供一种鉴权方法，所述方法包括：
第一设备基于第一设备用户持有的对应第一应用的第一账号从服务器获取令牌信息，所述令牌信息为所述服务器基于所述第一账号生成，用于表征所述第一设备用户拥有所述第一账号的所有权；
将所述令牌信息在设备群的设备中以限制复制的方式进行传输，所述令牌信息还配置为供所述服务器对所述设备群中具有所述令牌信息的第二设备进行鉴权，在鉴权通过时为所述第二设备分配所述第一账号的使用权限，以支持所述第二设备使用所述第一账号登录所述第一应用；
确定所述第二设备基于所述第一账号的使用权限登录所述第一应用，从基于所述第一账号登录所述第一应用的状态切换为中止使用所述第一账号登录所述第一应用的状态。
第二方面，本发明实施例提供一种鉴权方法，所述方法包括：
服务器基于第一设备用户持有的对应第一应用的第一账号，生成对应所述第一账号的令牌信息，所述令牌信息表征所述第一设备用户拥有所述第一账号的所有权；
将所述令牌信息发送至第一设备，所述令牌信息用于供所述第一设备在设备群的设备中以限制复制的方式进行传输；
基于所述令牌信息对所述设备群中具有所述令牌信息的第二设备进行鉴权，在鉴权通过时为所述第二设备分配所述第一账号的使用权限，以支持所述第二设备使用所述第一账号登录所述第一应用；
确定所述第二设备基于所述第一账号的使用权限登录所述第一应用，触发所述第一设备从基于所述第一账号登录所述第一应用的状态切换为中止使用所述第一账号登录所述第一应用的状态。
第三方面，本发明实施例提供一种第一设备，所述第一设备包括：
获取单元，配置为基于第一设备用户持有的对应第一应用的第一账号从服务器获取令牌信息，所述令牌信息为所述服务器基于所述第一账号生成，用于表征所述第一设备用户拥有所述第一账号的所有权；
第一传输单元，配置为将所述令牌信息在设备群的设备中以限制复制的方式进行传输，所述令牌信息还配置为供所述服务器对所述设备群中具有所述令牌信息的第二设备进行鉴权，在鉴权通过时为所述第二设备分配所述第一账号的使用权限，以支持所述第二设备使用所述第一账号登录所述第一应用；
切换单元，配置为确定所述第二设备基于所述第一账号的使用权限登录所述第一应用，从基于所述第一账号登录所述第一应用的状态切换为中止使用所述第一账号登录所述第一应用的状态。
第四方面，本发明实施例提供一种服务器，包括：
令牌单元，配置为基于第一设备用户持有的对应第一应用的第一账号， 生成对应所述第一账号的令牌信息，所述令牌信息表征所述第一设备用户拥有所述第一账号的所有权；
第二传输单元，配置为将所述令牌信息发送至第一设备，所述令牌信息用于供所述第一设备在设备群的设备中以限制复制的方式进行传输；
鉴权单元，配置为基于所述令牌信息对所述设备群中具有所述令牌信息的第二设备进行鉴权，在鉴权通过时为所述第二设备分配所述第一账号的使用权限，以支持所述第二设备使用所述第一账号登录所述第一应用；
触发单元，配置为确定所述第二设备基于所述第一账号的使用权限登录所述第一应用，触发所述第一设备从基于所述第一账号登录所述第一应用的状态切换为中止使用所述第一账号登录所述第一应用的状态。
第五方面，本发明实施例提供一种第一设备，所述第一设备包括：
存储介质，配置为存储计算机可执行指令；
处理器，配置为执行存储在所述存储介质上的计算机可执行指令，所述计算机可执行指令包括：
基于第一设备用户持有的对应第一应用的第一账号从服务器获取令牌信息，所述令牌信息为所述服务器基于所述第一账号生成，用于表征所述第一设备用户拥有所述第一账号的所有权；
将所述令牌信息在设备群的设备中以限制复制的方式进行传输，所述令牌信息还配置为供所述服务器对所述设备群中具有所述令牌信息的第二设备进行鉴权，在鉴权通过时为所述第二设备分配所述第一账号的使用权限，以支持所述第二设备使用所述第一账号登录所述第一应用；
确定所述第二设备基于所述第一账号的使用权限登录所述第一应用，从基于所述第一账号登录所述第一应用的状态切换为中止使用所述第一账号登录所述第一应用的状态。
第六方面，本发明实施例提供一种服务器，所述服务器包括：
存储介质，配置为存储计算机可执行指令；
处理器，配置为执行存储在所述存储介质上的计算机可执行指令，所述计算机可执行指令包括：
基于第一设备用户持有的对应第一应用的第一账号，生成对应所述第一账号的令牌信息，所述令牌信息表征所述第一设备用户拥有所述第一账号的所有权；
为将所述令牌信息发送至第一设备，所述令牌信息用于供所述第一设备在设备群的设备中以限制复制的方式进行传输；
基于所述令牌信息对所述设备群中具有所述令牌信息的第二设备进行鉴权，在鉴权通过时为所述第二设备分配所述第一账号的使用权限，以支持所述第二设备使用所述第一账号登录所述第一应用；
确定所述第二设备基于所述第一账号的使用权限登录所述第一应用，触发所述第一设备从基于所述第一账号登录所述第一应用的状态切换为中止使用所述第一账号登录所述第一应用的状态。
第七方面，本发明实施例提供一种鉴权系统，包括前述的第一设备以及服务器。
第八方面，本发明实施例提供一种存储介质，其中存储有可执行指令，所述可执行指令用于执行本发明实施例提供的鉴权方法。
本发明实施例中，第一设备基于第一应用的第一账号获取令牌信息，将令牌信息作为设备群中的设备使用第一账号登录第一应用的鉴权凭证，在第一设备用户不必告知设备群中的设备用户与第一账号相应的密钥的前提下，即可对具有令牌信息的第二设备进行鉴权认证，避免了第一账号的密钥泄露的风险；同时，在第二设备基于第一账号登录第一应用时，第一设备还暂停使用第一账号登录第一应用以避免第一账号的登录冲突问题。
附图说明
图1是本发明实施例中鉴权方法的一个可选的流程示意图一；
图2是本发明实施例中鉴权系统的一个可选的结构示意图；
图3是本发明实施例中鉴权方法的一个可选的流程示意图二；
图4是本发明实施例中鉴权方法的一个可选的流程示意图三；
图5是本发明实施例中鉴权方法的一个可选的流程示意图四；
图6是本发明实施例中鉴权方法的一个可选的流程示意图五；
图7是本发明实施例中第一设备运行的第一应用处于不可操作的一个可选的状态示意图；
图8是本发明实施例中操作第一设备回收第一账号的使用权限的一个可选的示意图；
图9是本发明实施例中第一设备的一个可选的逻辑功能结构示意图；
图10是本发明实施例中服务器的一个可选的逻辑功能结构示意图；
图11是本发明实施例中第一设备和服务器的一个可选的硬件结构示意图。
具体实施方式
以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。
需要说明的是，本发明实施例涉及的术语“第一、第二”等仅用于区分不同的对象(如设备)，而不带代表对象的特定排序。可以理解的是，上述的术语所区分的对象在允许的情况下可以互换，从而本发明实施例记载的技术方案能够在对象互换的情况下实施。
此外，还需要说明的是，本发明实施例中涉及的术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的方法或者装置不仅包括所明确记载的要素，而且还包括没有明确列出的 其他要素，或者是还包括为实施方法或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的方法或者装置中还存在另外的相关要素(例如方法中的步骤或者装置中的单元)。
例如，本发明实施例提供的鉴权方法包含了一系列的步骤，但是本发明实施例提供的鉴权方法不限于所记载的步骤，同样地，本发明实施例提供的第一设备、服务器也包括了一系列单元，但是本发明实施例提供的鉴权方法和设备不限于包括所明确记载的步骤或单元，还可以包括为获取相关信息、或基于信息进行处理时所需要执行的步骤或所需要包括的单元。
本发明实施例记载一种鉴权方法，可以应用基于第一账号登录应用(第一应用)的第一设备中，上述的第一应用并非特指第一设备中运行的某一个应用，而是指基于账号和密钥对用户进行鉴权，在鉴权通过时允许第一设备相应服务的应用，例如各种社交应用、以及提供第三方服务(包括线上的社交、购物、外卖等服务、以及线下的家政等服务)的各种应用，同理，上述的第一设备也并非特指某一个或某一类设备，而是指能够运行上述应用并具备通信能力的设备，并与设备群的其他设备进行区分。
上述的第一设备以及设备群中的设备可以是智能手机、平板电脑或穿戴式设备(如智能眼镜、智能手表等)，还可以是智能汽车、智能家电(如智能冰箱、智能电池、机顶盒等)；智能手机的操作系统可以是安卓操作系统、iOS操作系统或其他任意第三方开发的可以运行于微型计算机结构(至少包括处理器和内存)的操作系统(如移动版Linux系统、黑莓QNX操作系统等)。
第一设备及设备群中的设备可以内置各种通信模块以支持设备之间的通信，如近场通信(NFC)模块、蓝牙通信模块、红外通信模块、无线相容性认证(WiFi)通信模块和蜂窝通信模块等，其中蜂窝通信模块支持的 通信制式可为码分多址(CDMA，Code Division Multiple Access))、宽带码分多址(WCDMA，Wideband Code Division Multiple Access)、时分-同步码分多址(TD-SCDMA，Time Division-Synchronous Code Division Multiple Access)及其演进制式的通信；当设备群中的第一设备需要与目标设备进行通信时，可以在近距离通信的有效范围内探测是否能够与目标设备进行近距离方式的通信(如蓝牙、WiFi，以WiFi为例，可以通过向目标设备发送回声请求消息，如果接收到目标设备返回的数据包，则表明处于近距离的有效通信范围内)；如果在近距离的有效范围内没有探测到设备，则可以基于远程通信方式(如蜂窝通信)与目标设备建立通信。
本发明实施例中还涉及服务器，服务器可以是为实施本发明实施例而专门设置的服务器(也可以采用服务器集群的方式)，当然，服务器也可以是第一应用的后台服务器，例如，当第一应用为社交应用时，相应的服务器300可以为社交应用的后台服务器。
基于上述记载的第一设备、设备群和服务器，本发明实施例提供一种鉴权方法，参见图1示出的鉴权方法的一个可选的流程示意图，包括步骤101至步骤104。
在步骤101中，第一设备基于第一设备用户持有的对应第一应用的第一账号从服务器获取令牌信息；令牌信息为服务器基于第一账号生成，用于表征第一设备用户拥有第一账号的所有权；在步骤102中，第一设备将令牌信息在设备群的设备中以限制复制的方式进行传输；令牌信息还用于供服务器对设备群中具有令牌信息的第二设备进行鉴权，在鉴权通过时为第二设备分配第一账号的使用权限，以支持第二设备使用第一账号登录第一应用；在步骤103中，第一设备确定第二设备基于第一账号的使用权限登录第一应用，相应地，在步骤104中，从基于第一账号登录第一应用的状态切换为中止使用第一账号登录第一应用的状态。
上述方案中，第一设备基于第一应用的第一账号获取令牌信息，将令牌信息作为设备群中的设备使用第一账号登录第一应用的鉴权凭证，在第一设备用户不必告知设备群中的设备用户与第一账号相应的密钥的前提下，即可对具有令牌信息的第二设备进行鉴权认证，避免了第一账号的密钥泄露的风险；同时，在第二设备基于第一账号登录第一应用时，第一设备还暂停使用第一账号登录第一应用以避免第一账号的登录冲突问题；同时，令牌信息在设备群中是不可复制的方式传递的，这就有效杜绝了多个设备持有令牌并基于第一账号登录第一应用的情况。
本发明实施例针对以下场景中的问题提出解决的技术方案，参见图2，第一设备100中运行第一应用，第一设备100用户通过第一设备100注册了使用第一应用所提供服务的账号信息，包括：第一账号以及相应的密钥信息；当第一设备100用户希望将第一账号临时给第二设备200(第二设备200用户可以与第一设备100用户为同一用户，也可以为不同的用户)使用，而又不希望泄露对应第一账号的密钥给第二设备200。
参见图3示出的鉴权方法的一个可选的流程示意图，包括以下步骤：
步骤201，第一设备100向服务器300发送令牌信息请求。
在一些实施例中，令牌信息请求携带第一设备100用户注册的对应第一应用的第一账户的信息。
步骤202，服务器300接收到第一设备100发送的令牌信息请求时，生成对应第一账户的标识，加密标识得到对应的令牌信息。
在一些实施例中，服务器300可以采用非对称加密算法(或对称加密算法)对标识进行加密，为放置令牌信息被恶意更改。在另一些实施例中，令牌信息中还可以附有数字签名或数字证书，第一设备100利用数字签名来验证令牌信息的可靠性。
步骤203，服务器300维护第一账号与标识的对应关系。
在一些实施例中，对于不同的第一设备100发送令牌信息请求时，服务器300均根据各第一设备100中的运行的第一应用的账号对应生成标识(针对不同的第一账号生成的标识不同)，并维护各第一账号与对应生成的标识的对应关系；示例性地，服务器300可以采用任意具有单一映射功能的函数对第一账号进行计算得到对应的标识，也可以不利用第一账号进行计算，而仅仅利用令牌信息表征第一设备100用户拥有第一账号的所有权。
步骤204，服务器300传递令牌信息至第一设备100。
步骤205，第一设备100将令牌信息在设备群的设备中以限制复制的方式进行传输。
在一些实施例中，第一设备100可以主动发起令牌信息在设备群的传递，或者，在另一些实施例中，在接收到设备群中的设备(设为第二设备200)使用第一账号登录第一应用的请求时，传递令牌信息至第二设备200。
在一些实施例中，当第二设备200获取到令牌信息时，可以基于令牌信息向服务器300请求使用第一账号登录第一应用的使用权限，在使用完毕时以限制复制的方式传递令牌信息至设备群中的其他设备；或者，在另一些实施例中，第二设备200也可以在获取到令牌信息时不向服务器300请求第一账号的使用权限，而是直接将令牌信息以限制复制的方式传递至设备群中的其他设备。
由于令牌信息在设备群中是以限制复制方式传递的，因此，在第二设备200传递令牌信息至设备群中的其他设备之后，第二设备200没有保留令牌信息，也就是说，一旦令牌信息在设备群中传递，在任一个时刻设备群中只有一个设备具有令牌信息。
后续以设备群中的第二设备200基于令牌信息请求基于第一账号登录第一应用的使用权限进行说明。
步骤206，设备群中的第二设备200基于令牌信息向服务器300请求登 录第一应用。
在一些实施例中，第二设备200向服务器300发送的请求中携带令牌信息；本实施例中，第一设备100仅仅将令牌信息传递给第二设备200，也就是说，第二设备200不具有第一设备100用户所具有的第一应用第一账号，在第二设备200使用第一账号之前，确保了第一设备100用户的账号安全。
步骤207，服务器300对设备群中具有令牌信息的第二设备200进行鉴权，在鉴权通过时为第二设备200分配第一账号的使用权限。
在一些实施例中，服务器300接收到第二设备200的请求时，利用令牌信息的数字签名(或数字证书)验证令牌信息是否为服务器300下发并且未经修改，之后解密出令牌信息中的标识，利用服务器300所维护的标识与第一账号的对应关系，确定第二设备200所请求使用的第一账号，并为第二设备200分配第一账号的使用权限，将第二设备200中运行的第一应用的状态置为基于第一账号的登录状态，从而使第二设备200用户获得了第一账号的使用权限。
上述过程中第一设备100用于不需要将第一账号的密钥告知第二设备200，就可以实现让第二设备200基于第一账号登录第一应用的目的，避免了密钥泄露给第二十设备而可能导致的账号的风险。
步骤208，服务器300触发第一设备100从基于第一账号登录第一应用的状态，切换为中止使用第一账号登录第一应用的状态。
在一些实施例中，服务器300在为第二设备200分配第一账号的使用权限(也就是使第二设备200基于第二账号登录的第一应用)之后，将第一设备100基于第一账号的使用状态切换为中止使用的状态，第一设备100的显示界面上可以显示当前不可操作的提示，以支持第二设备200用户基于第一账号使用第一应用提供的服务。
针对上述的提出的场景，参见图1，第一设备100用户基于自身的第一账号登录第一应用后，在第一应用的图形界面发起向服务器300申请令牌信息的操作，在接收到服务器300下发的令牌信息时，将令牌信息发送到第二设备200，第二设备200基于令牌信息向服务器300请求第一账号的使用权限，服务器300基于令牌信息鉴权成功后，为第二设备200分配第一账号的使用权限，第二设备200运行的第一应用处于基于第一账号登录的状态，第一设备100中运行的第一应用处于中止基于第一账号登录的状态。
本发明实施例中前述以第二设备200在请求第一账号的使用权限时，仅具有令牌信息，而不具有第一账号的信息(如名称)，由服务器300基于维护的标识与第一账号的对应关系确定。
本发明实施例中再结合图2针对以下场景进行说明，第二设备200在请求第一账号的使用权限时，具有令牌信息以及第一账号的信息(如名称)，第二设备200基于名称和令牌信息请求第一账号的使用权限，由服务器300进行账号和令牌的双重验证，提升了鉴权的安全性。
参见图4示出的鉴权方法的一个可选的流程示意图，包括以下步骤：
步骤301，第一设备100向服务器300发送令牌信息请求。
在一些实施例中，令牌信息请求携带第一设备100用户注册的对应第一应用的第一账户的信息。
步骤302，服务器300接收到第一设备100发送的令牌信息请求时，生成对应第一账户的标识，加密标识得到对应的令牌信息。
在一些实施例中，服务器300可以采用非对称加密算法(或对称加密算法)对标识进行加密，为放置令牌信息被恶意更改。
在另一些实施例中，令牌信息中还可以附有数字签名或数字证书，第一设备100利用数字签名来验证令牌信息的可靠性。
步骤303，服务器300维护第一账号与标识的对应关系。
步骤303可以参考前述步骤203而实施。
步骤304，服务器300传递令牌信息至第一设备100。
后续以第一设备100用户将令牌信息传递给第二设备200，以使第二设备200基于第一账号登录第一应用为例说明。
步骤305，第一设备100将令牌信息和第一账号传递给第二设备200。
在一些实施例中，为了避免数据传递被恶意拦截而导致令牌信息和第一账号泄露的问题，第一设备100可以将令牌信息和第一账号分别传递至第二设备200，由于后续服务器300是基于第一账号和令牌信息进行鉴权的，即使第一账号和令牌信息中的一个被恶意获取，也无法通过服务器300的鉴权。
步骤306，设备群中的第二设备200基于令牌信息和第一账号向服务器300请求登录第一应用。
在一些实施例中，第二设备200向服务器300发送的请求中携带令牌信息和第一账号的信息；第一设备100将令牌信息和第一应用的信息传递给第二设备200，也就是说，第二设备200具有第一应用第一账号的名称。
步骤307，服务器300对设备群中具有令牌信息的第二设备200进行鉴权，在鉴权通过时为第二设备200分配第一账号的使用权限。
在一些实施例中，服务器300接收到第二设备200的请求时，利用令牌信息的数字签名(或数字证书)验证令牌信息是否为服务器300下发并且未经修改，之后解密出令牌信息中的标识，利用服务器300所维护的标识与第一账号的对应关系，确定令牌信息中的标识所对应的第一账号与第二设备200发送的请求携带的第一账号是否一致，如果一致则为第二设备200分配第一账号的使用权限，将第二设备200中运行的第一应用的状态置为基于第一账号的登录状态，从而使第二设备200获得第一账号的使用权限。
上述过程中第一账号的密钥不需要泄露给第二设备200用户，就可以实现让第二设备200基于第一账号登录第一应用的目的，避免了密钥泄露的风险。
步骤308，服务器300触发第一设备100从基于第一账号登录第一应用的状态，切换为中止使用第一账号登录第一应用的状态。
在一些实施例中，服务器300在为第二设备200分配第一账号的使用权限(也就是使第二设备200基于第二账号登录的第一应用)之后，将第一设备100基于第一账号的使用状态切换为中止使用的状态，第一设备100的显示界面上可以显示当前不可操作的提示，以支持第二设备200基于第一账号使用第一应用提供的服务。
需要指出的是，在图4中是以第二设备200具有令牌信息为例进行说明的，第二设备200可以将令牌信息在设备群中以限制复制的方式传递，对于设备群中的第三设备400(不同于第二设备200的其他设备)具有令牌信息并向服务器300请求第一账号的使用权限时，服务器300进行的鉴权处理，可以参考前述服务器300对第二设备200的鉴权处理而实施。
另外，前述以第一设备100和设备群中的设备归属于不同的用户为例进行说明，通过向设备群中的设备传递令牌信息，可以在设备群中的设备不具有第一账号的密钥的前提下使用第一账号登录第一应用，从而不需要向其他设备用户(也就设备群中的设备用户)透露第一账号的密钥信息。
本发明实施例还结合图2，对前述第二设备200获取到第一账号的使用权限之后中止分配给第二设备200的使用权限的处理进行说明。
在一些实施例中，服务器300需要确定分配给第二设备200的使用权限何时中止；可以通过以下方式结合判断何时中止分配给第二设备200的使用权限：
1)第二设备200具有令牌信息，当第二设备200不具有令牌信息时， 说明令牌信息在设备群中发生了限制复制的传递，并为设备群中的其他设备所具有，为了避免第二设备200与设备群中的其他设备同时拥有使用权限，此时应当中止第二设备200的对应第一账号的使用权限；
实际实施时，在采用方式1)进行判断的基础上，还可以结合以下方式2)进行判断何时中止第二设备200的使用权限：
2)第二设备200具有令牌信息，且令牌信息没有超出有效期限，一旦第二设备不具有令牌信息，或者第二设备200具有令牌信息但是令牌信息超出有效期限，则中止为第二设备200分配的使用权限。
在一些实施例中，服务器300向第一设备100下发的令牌信息可以没有有效期的限制，也就是说，令牌信息在设备群中以限制复制的方式传递时，传递的时间没有时间上的限制。
在另一些实施例中，基于安全考量令牌信息具有有效期限(在特定期限内有效)；令牌信息在一段时间内有效，且当令牌信息在设备群中传递而超出有效期限时，令牌信息即失效，即使设备群中的设备具有令牌也无法获得第一账号的使用权限。
结合图2，接续对前述第二设备200获取到第一账号的使用权限(也就是基于第一账号登录第一应用)之后的处理进行说明；设定在前述实施例中服务器300向第一设备100下发的令牌信息中还具有时限信息，例如当令牌信息中携带数字证书时，时限信息可以以数字证书的有效期来设定。
参见图5示出的鉴权方法的一个可选的流程示意图，包括以下步骤：
步骤401，服务器300检测第二设备200是否具有令牌信息，如果具有，则执行步骤402；否则，执行步骤403。
步骤402，服务器300检测第二设备200获取的第一账号的使用权限是否处于有效期，如果未超出，则返回步骤401；否则，执行步骤403。
步骤403，服务器300中止分配给第二设备200的对应第一账号的使用 权限。
步骤404，服务器300触发第一设备100从基于第一账号登录第一应用的状态，切换为中止使用第一账号登录第一应用的状态。
对于设备群中具有令牌信息的任意设备在基于令牌信息获取到第一账号的使用权限之后，服务器300都会检测具有第一账号的使用权限的设备是否具有令牌信息以及令牌信息是否超出有效期限的操作，实现了对令牌信息在设备群中传递的监测，确保了第一账号的使用安全。
本发明实施例针对以下场景的处理进行说明：
1)第一设备100和设备群中设备属于同一用户，第二设备200获取到第一账号的使用权限之后，用户需要使用第一设备100并基于第一账号来登录第一应用(此时第二设备200往往是临时用作第一应用的登录设备)。
2)第一设备100和设备群中的设备属于不同的用户，当第一设备100用户的对应第一应用的第一账号的使用权限分配给第二设备200用户之后，第一设备100用户需要使用第一账号登录第一应用，也就是希望停止第二设备200用户在第二设备200上使用第一账号登录第一应用的行为。
在上述两个场景中，服务器300有必要回收分配给第二设备200的对应第一账号的使用权限，以使第一设备100能够基于第一账号登录第一应用。
结合图2，并参见图6示出的鉴权方法的一个可选的流程示意图，包括以下步骤：
步骤501，第一设备100向服务器300发送携带令牌信息的回收请求。
在一些实施例中，回收请求中携带第一设备100从服务器请求的令牌信息，从设备群中具有令牌信息的设备中回收第一账号的使用权限，以使用户能够在第一设备基于第一账号登录第一应用。
参见图7，第一设备100中止基于第一账号登录第一应用的状态时，第 一应用的显示窗口101处于不可操作的状态，相当于对用户的输入的操作进行了屏蔽接收，并可以提供如图8所示的回收第一应用的使用权限的虚拟按钮102，当该虚拟按钮102被触发时，第一设备100对应执行上述步骤501，以触发服务器300回收所分配的第一账号的使用权限，使第一设备100中第一应用的显示窗口重新处于可以操作的状态。
步骤502，服务器300判断第一设备100是否拥有第一账号的所有权，如果使则执行步骤503；否则，停止处理。
步骤503，服务器300中止为第二设备200分配的对应第一账号的使用权限。
令牌信息中具有加密的标识，标识与第一账号对应，服务器300可以维护的标识与第一设备100的标识(如产品序列号，可以在向服务器300请求令牌信息时发送至服务器300，由服务器300将对应第一账号的标识、以及第一设备100标识加密形成令牌信息；也就是说，本实施例中。令牌信息中可以携带加密的以下标识：对应第一账号的标识；第一设备100的标识。
服务器300可以通过以下方式确定第一设备100是否具有第一账号的所有权：解密出令牌信息中的第一设备100的标识，与回收请求中携带的明文的第一设备100的标识匹配，如果匹配成功，则确定发送回收请求的设备具有第一账号的所有权。
步骤504，服务器300触发第一设备100从中止基于第一账号登录第一应用的状态，切换为使用第一账号登录第一应用的状态。
本实施例中通过令牌信息对发送回收请求的第一设备100进行验证，确定具有第一账号的所有权时，中止为第二设备200分配的对应第一账号的使用权限，并恢复第一设备100使用第一账号登录第一应用的状态，便于基于第一设备100使用第一应用。
本发明实施例还对前述第一设备的功能结构进行说明，参见图9示出的第一设备100的一个可选的功能结构示意图，包括：
获取单元110，配置为基于第一设备100用户持有的对应第一应用的第一账号从服务器300获取令牌信息，令牌信息为服务器300基于第一账号生成，用于表征第一设备100用户拥有第一账号的所有权；
第一传输单元120，配置为将令牌信息在设备群的设备中以限制复制的方式进行传输，令牌信息还用于供服务器300对设备群中具有令牌信息的第二设备200进行鉴权，在鉴权通过时为第二设备200分配第一账号的使用权限，以支持第二设备200使用第一账号登录第一应用；
切换单元130，配置为确定第二设备200基于第一账号的使用权限登录第一应用，从基于第一账号登录第一应用的状态切换为中止使用第一账号登录第一应用的状态。
获取单元110，还配置为通过令牌信息请求从服务器300获取令牌信息，令牌信息请求用于供服务器300生成对应第一账户的标识，加密标识得到令牌信息，并维护第一账号与标识的对应关系；
第一账号与标识的对应关系用于供服务器300从令牌信息解密出标识、并基于对应关系确定与标识对应的第一账号，分配第一账号的使用权限给第二设备200。
获取单元110，还配置为通过令牌信息请求从服务器300获取令牌信息，令牌信息请求用于供服务器300加密标识得到令牌信息；
令牌信息和第一账号的信息还用于供第二设备200发送至服务器300，使服务器300验证第一账号与令牌信息中携带的标识是否匹配，在匹配时分配第一账号的使用权限给第二设备200。
令牌信息中携带时限信息，用于供服务器300检测第二设备200获取的第一账号的使用权限是否处于有效期，并在超出有效期时中止分配给第 二设备200的第一账号的使用权限。
第一设备100还包括：
回收单元140，配置为向服务器300发送针对令牌信息的回收请求，回收请求中携带令牌信息，令牌信息用于供服务器300确定第一设备100用户拥有第一账号的所有权时，中止为第二设备200分配的对应第一账号的使用权限；
切换单元130，还配置为从中止使用第一账号登录第一应用的状态切换为使用第一账号登录第一应用的状态。
令牌信息还用于供服务器300检测设备群中分配有对应第一账号的使用权限的第二设备200是否具有令牌信息，在不具有时中止为第二设备200分配的对应第一账号的使用权限。
实际实施时，第一设备100中的各单元执行的逻辑处理功能可以由第一设备100中的处理器、微处理器(MCU)、专用集成电路(ASIC)或逻辑可编程门阵列(FPGA)实现，第一设备100中与第二设备200、以及与服务器300的通信功能可由第一设备100中的WiFi通信芯片、蜂窝通信芯片以及相应的外围电路和天线实现。
本发明实施例还对前述服务器300的功能结构进行说明，参见图10示出的服务器300的一个可选的功能结构示意图，包括：
令牌单元310，配置为基于第一设备100用户持有的对应第一应用的第一账号，生成对应第一账号的令牌信息，令牌信息表征第一设备100用户拥有第一账号的所有权；
第二传输单元320，配置为将令牌信息发送至第一设备100，令牌信息用于供第一设备100在设备群的设备中以限制复制的方式进行传输；
鉴权单元330，配置为基于令牌信息对设备群中具有令牌信息的第二设备200进行鉴权，在鉴权通过时为第二设备200分配第一账号的使用权 限，以支持第二设备200使用第一账号登录第一应用；
触发单元340，配置为确定第二设备200基于第一账号的使用权限登录第一应用，触发第一设备100从基于第一账号登录第一应用的状态切换为中止使用第一账号登录第一应用的状态。
令牌单元310，包括：接收模块，配置为接收第一设备100发送的令牌信息请求时，生成对应第一账户的标识；加密模块，配置为加密标识得到令牌信息，并维护第一账号与标识的对应关系。
鉴权单元330包括：
解密模块，配置为从第二设备200发送的令牌信息解密出标识；
分配模块，配置为基于对应关系确定与标识对应的第一账号，分配第一账号的使用权限给第二设备200；或者，
分配模块配置为基于对应关系验证第二设备200发送的第一账号与令牌信息中携带的标识是否匹配，在匹配时分配第一账号的使用权限给第二设备200。
令牌信息中携带时限信息；鉴权单元330还配置为基于时限信息检测为第二设备200获取的第一账号的使用权限是否处于有效期；超出有效期时，中止为第二设备200分配的对应第一应用的使用权限。
第二传输单元320还配置为接收第一设备100发送的针对令牌信息的回收请求，回收请求中携带令牌信息；鉴权单元330，还配置为基于令牌信息确定第一设备100用户拥有第一账号的所有权时，中止为第二设备200分配的对应第一账号的使用权限；触发单元340，还配置为触发第一设备100从中止使用第一账号登录第一应用的状态切换为使用第一账号登录第一应用的状态。
鉴权单元330还配置为检测设备群中分配有对应第一账号的使用权限的第二设备200是否具有令牌信息，在不具有令牌信息时，中止为第二设 备200分配的对应第一账号的使用权限。
实际实施时，服务器300中的各单元执行的逻辑处理功能可以由服务器300中的处理器、微处理器(MCU)、专用集成电路(ASIC)或逻辑可编程门阵列(FPGA)实现，服务器300中与第二设备200、以及与第一设备100的通信功能可由服务器300的WiFi通信芯片、蜂窝通信芯片以及相应的外围电路和天线实现。
需要指出的是，对于前述的第一设备200和服务器300均可以采用图11示出的硬件结构400，包括：处理器440、输入/输出接口460(例如显示器、键盘、触摸屏、扬声器麦克风中的一个或多个)，存储介质470以及网络接口450，网络接口用于支持与外部设备的数据传输，组件可以经系统总线480连接通信。
本发明实施例还记载一种图2所示的鉴权系统，包括前述的第一设备100、以及服务器300；其中，
第一设备100，配置为基于第一设备100用户持有的对应第一应用的第一账号从服务器获取令牌信息，所述令牌信息为所述服务器基于所述第一账号生成，用于表征所述第一设备100用户拥有所述第一账号的所有权；将所述令牌信息在设备群的设备中以限制复制的方式进行传输，所述令牌信息还用于供所述服务器对所述设备群中具有所述令牌信息的第二设备200进行鉴权，在鉴权通过时为所述第二设备200分配所述第一账号的使用权限，以支持所述第二设备200使用所述第一账号登录所述第一应用；确定所述第二设备200基于所述第一账号的使用权限登录所述第一应用，从基于所述第一账号登录所述第一应用的状态切换为中止使用所述第一账号登录所述第一应用的状态；
服务器200，配置为基于第一设备100用户持有的对应第一应用的第一 账号，生成对应所述第一账号的令牌信息，所述令牌信息表征所述第一设备100用户拥有所述第一账号的所有权；
将所述令牌信息发送至第一设备100，所述令牌信息用于供所述第一设备100在设备群的设备中以限制复制的方式进行传输；
基于所述令牌信息对所述设备群中具有所述令牌信息的第二设备200进行鉴权，在鉴权通过时为所述第二设备200分配所述第一账号的使用权限，以支持所述第二设备200使用所述第一账号登录所述第一应用；
确定所述第二设备200基于所述第一账号的使用权限登录所述第一应用，触发所述第一设备100从基于所述第一账号登录所述第一应用的状态切换为中止使用所述第一账号登录所述第一应用的状态。
可选地，第一设备100还配置为通过令牌信息请求从所述服务器获取所述令牌信息，所述令牌信息请求用于供所述服务器生成对应所述第一账户的标识；
加密所述标识得到所述令牌信息，并维护所述第一账号与所述标识的对应关系。
可选地，所述第一账号与所述标识的对应关系用于供所述服务器从所述令牌信息解密出所述标识、并基于所述对应关系确定与所述标识对应的所述第一账号，分配所述第一账号的使用权限给所述第二设备200；或者，
所述令牌信息和所述第一账号的信息用于供所述第二设备200发送至所述服务器，使所述服务器基于所述对应关系验证所述第二设备200发送的所述第一账号与所述令牌信息中携带的所述标识是否匹配，在匹配时分配所述第一账号的使用权限给所述第二设备200。
可选地，令牌信息中携带时限信息，用于供所述服务器检测所述第二设备200获取的所述第一账号的使用权限是否处于有效期，并在超出有效期时中止分配给所述第二设备200的所述第一账号的使用权限。
可选地，第一设备100还配置为向所述服务器发送针对所述令牌信息的回收请求，所述回收请求中携带的所述令牌信息用于供所述服务器确定所述第一设备100用户拥有所述第一账号的所有权时，中止为所述第二设备200分配的对应所述第一账号的使用权限；
从中止使用所述第一账号登录所述第一应用的状态切换为恢复使用所述第一账号登录所述第一应用的状态。
可选地，所述令牌信息还用于供所述服务器检测所述设备群中分配有对应所述第一账号的使用权限的所述第二设备200是否具有所述令牌信息，在不具有时中止为所述第二设备200分配的对应所述第一账号的使用权限。
可选地，服务器300还配置为接收所述第一设备100发送的令牌信息请求时，生成对应所述第一账户的标识；加密所述标识得到所述令牌信息，并维护所述第一账号与所述标识的对应关系。
可选地，服务器300还配置为从所述第二设备200发送的所述令牌信息解密出所述标识；基于所述对应关系确定与所述标识对应的所述第一账号，分配所述第一账号的使用权限给所述第二设备200；从所述第二设备200发送的所述令牌信息解密出所述标识；基于所述对应关系验证所述第二设备200发送的所述第一账号与所述第二设备200发送的所述令牌信息中携带的所述标识是否匹配，在匹配时分配所述第一账号的使用权限给所述第二设备200。
可选地，所述令牌信息中携带时限信息；基于所述时限信息检测为所述第二设备200获取的所述第一账号的使用权限是否处于有效期；超出有效期时，中止为所述第二设备200分配的对应所述第一应用的使用权限。
可选地，服务器300还配置为接收所述第一设备100发送的针对所述令牌信息的回收请求，所述回收请求中携带所述令牌信息；基于所述令牌信息确定所述第一设备100用户拥有所述第一账号的所有权时，中止为所 述第二设备200分配的对应所述第一账号的使用权限；触发所述第一设备100从中止使用所述第一账号登录所述第一应用的状态切换为恢复使用所述第一账号登录所述第一应用的状态。
可选地，服务器300还配置为检测所述设备群中分配有对应所述第一账号的使用权限的所述第二设备200是否具有所述令牌信息，在不具有所述令牌信息时，中止为所述第二设备200分配的对应所述第一账号的使用权限。
本发明实施例还提供一种第一设备，所述第一设备包括：
存储介质，配置为存储计算机可执行指令；
处理器，配置为执行存储在所述存储介质上的计算机可执行指令，所述计算机可执行指令包括：
基于第一设备用户持有的对应第一应用的第一账号从服务器获取令牌信息，所述令牌信息为所述服务器基于所述第一账号生成，用于表征所述第一设备用户拥有所述第一账号的所有权；
将所述令牌信息在设备群的设备中以限制复制的方式进行传输，所述令牌信息还配置为供所述服务器对所述设备群中具有所述令牌信息的第二设备进行鉴权，在鉴权通过时为所述第二设备分配所述第一账号的使用权限，以支持所述第二设备使用所述第一账号登录所述第一应用；
确定所述第二设备基于所述第一账号的使用权限登录所述第一应用，从基于所述第一账号登录所述第一应用的状态切换为中止使用所述第一账号登录所述第一应用的状态。
本发明实施例提供一种服务器，所述服务器包括：
存储介质，配置为存储计算机可执行指令；
处理器，配置为执行存储在所述存储介质上的计算机可执行指令，所 述计算机可执行指令包括：
基于第一设备用户持有的对应第一应用的第一账号，生成对应所述第一账号的令牌信息，所述令牌信息表征所述第一设备用户拥有所述第一账号的所有权；
为将所述令牌信息发送至第一设备，所述令牌信息用于供所述第一设备在设备群的设备中以限制复制的方式进行传输；
基于所述令牌信息对所述设备群中具有所述令牌信息的第二设备进行鉴权，在鉴权通过时为所述第二设备分配所述第一账号的使用权限，以支持所述第二设备使用所述第一账号登录所述第一应用；
确定所述第二设备基于所述第一账号的使用权限登录所述第一应用，触发所述第一设备从基于所述第一账号登录所述第一应用的状态切换为中止使用所述第一账号登录所述第一应用的状态。
本发明实施例中，如果以软件功能模块的形式实现上述的方法，并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明实施例的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机、服务器、或者网络设备等)执行本发明各个实施例所述方法的全部或部分。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read Only Memory)、磁碟或者光盘等各种可以存储程序代码的介质。这样，本发明实施例不限制于任何特定的硬件和软件结合。
本发明实施例还提供一种计算机可读介质，可以为ROM(例如，只读存储器、FLASH存储器、转移装置等)、磁存储介质(例如，磁带、磁盘驱动器等)、光学存储介质(例如，CD-ROM、DVD-ROM、纸卡、纸带等) 以及其他熟知类型的程序存储器；计算机可读介质中存储有计算机可执行指令(例如腾讯视频等投射应用的二进制可执行指令)，结合图2，当执行指令时，引起第一设备100至少一个处理器执行包括以下的操作：
基于第一设备用户持有的对应第一应用的第一账号从服务器300获取令牌信息，令牌信息为服务器基于第一账号生成，用于表征第一设备100用户拥有第一账号的所有权；
将令牌信息在设备群的设备中以限制复制的方式进行传输，令牌信息还配置为供服务器300对设备群中具有令牌信息的第二设备200进行鉴权，在鉴权通过时为第二设备200分配第一账号的使用权限，以支持第二设备200使用第一账号登录第一应用；
确定第二设备200基于第一账号的使用权限登录第一应用，从基于第一账号登录第一应用的状态切换为中止使用第一账号登录第一应用的状态。
本发明实施例记载一种计算机可读介质，可以为ROM(例如，只读存储器、FLASH存储器、转移装置等)、磁存储介质(例如，磁带、磁盘驱动器等)、光学存储介质(例如，CD-ROM、DVD-ROM、纸卡、纸带等)以及其他熟知类型的程序存储器；计算机可读介质中存储有计算机可执行指令(例如腾讯视频等投射应用的二进制可执行指令)，结合图2，当执行指令时，引起服务器300至少一个处理器执行包括以下的操作：
基于第一设备100用户持有的对应第一应用的第一账号，生成对应第一账号的令牌信息，令牌信息表征第一设备100用户拥有第一账号的所有权；
将令牌信息发送至第一设备100，令牌信息用于供第一设备100在设备群的设备中以限制复制的方式进行传输；
基于令牌信息对设备群中具有令牌信息的第二设备200进行鉴权，在 鉴权通过时为第二设备200分配第一账号的使用权限，以支持第二设备200使用第一账号登录第一应用；
确定第二设备200基于第一账号的使用权限登录第一应用，触发第一设备100从基于第一账号登录第一应用的状态切换为中止使用第一账号登录第一应用的状态。
综上所述，第一设备基于第一应用的第一账号获取令牌信息，将令牌信息作为设备群中的设备使用第一账号登录第一应用的鉴权凭证，在第一设备用户不必告知设备群中的设备用户与第一账号相应的密钥的前提下，即可对具有令牌信息的第二设备进行鉴权认证，避免了第一账号的密钥泄露的风险；同时，在第二设备基于第一账号登录第一应用时，第一设备还暂停使用第一账号登录第一应用以避免第一账号的登录冲突问题。
本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：移动存储设备、随机存取存储器(RAM，Random Access Memory)、只读存储器(ROM，Read-Only Memory)、磁碟或者光盘等各种可以存储程序代码的介质。
或者，本发明上述集成的单元如果以软件功能模块的形式实现并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明实施例的技术方案本质上或者说对相关技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机、服务器、或者网络设备等)执行本发明各个实施例所述方法的全部或部分。而前述的存储介质包括：移动存储设备、RAM、ROM、磁碟或者光盘等各种可以存储程序代码的介质。
以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。

Claims (26)

  1. 一种鉴权方法，所述方法包括：
    基于第一设备用户持有的对应第一应用的第一账号从服务器获取令牌信息，所述令牌信息为所述服务器基于所述第一账号生成，用于表征所述第一设备用户拥有所述第一账号的所有权；
    将所述令牌信息在设备群的设备中以限制复制的方式进行传输，所述令牌信息还用于供所述服务器对所述设备群中具有所述令牌信息的第二设备进行鉴权，在鉴权通过时为所述第二设备分配所述第一账号的使用权限，以支持所述第二设备使用所述第一账号登录所述第一应用；
    确定所述第二设备基于所述第一账号的使用权限登录所述第一应用，从基于所述第一账号登录所述第一应用的状态切换为中止使用所述第一账号登录所述第一应用的状态。
  2. 如权利要求1所述的方法，其中，所述基于第一设备用户持有的对应第一应用的第一账号从服务器获取令牌信息，包括：
    通过令牌信息请求从所述服务器获取所述令牌信息，所述令牌信息请求用于供所述服务器生成对应所述第一账户的标识；
    加密所述标识得到所述令牌信息，并维护所述第一账号与所述标识的对应关系。
  3. 如权利要求2所述的方法，其中，
    所述第一账号与所述标识的对应关系用于供所述服务器从所述令牌信息解密出所述标识、并基于所述对应关系确定与所述标识对应的所述第一账号，分配所述第一账号的使用权限给所述第二设备；或者，
    所述令牌信息和所述第一账号的信息用于供所述第二设备发送至所述服务器，使所述服务器基于所述对应关系验证所述第二设备发送的所述第一账号与所述令牌信息中携带的所述标识是否匹配，在匹配时分配所述第 一账号的使用权限给所述第二设备。
  4. 如权利要求1所述的方法，其中，
    所述令牌信息中携带时限信息，用于供所述服务器检测所述第二设备获取的所述第一账号的使用权限是否处于有效期，并在超出有效期时中止分配给所述第二设备的所述第一账号的使用权限。
  5. 如权利要求1所述的方法，其中，所述方法还包括：
    向所述服务器发送针对所述令牌信息的回收请求，所述回收请求中携带的所述令牌信息用于供所述服务器确定所述第一设备用户拥有所述第一账号的所有权时，中止为所述第二设备分配的对应所述第一账号的使用权限；
    从中止使用所述第一账号登录所述第一应用的状态切换为恢复使用所述第一账号登录所述第一应用的状态。
  6. 如权利要求1至5任一项所述的方法，其中，所述方法还包括：
    所述令牌信息还用于供所述服务器检测所述设备群中分配有对应所述第一账号的使用权限的所述第二设备是否具有所述令牌信息，在不具有时中止为所述第二设备分配的对应所述第一账号的使用权限。
  7. 一种鉴权方法，所述方法包括：
    基于第一设备用户持有的对应第一应用的第一账号，生成对应所述第一账号的令牌信息，所述令牌信息表征所述第一设备用户拥有所述第一账号的所有权；
    将所述令牌信息发送至第一设备，所述令牌信息用于供所述第一设备在设备群的设备中以限制复制的方式进行传输；
    基于所述令牌信息对所述设备群中具有所述令牌信息的第二设备进行鉴权，在鉴权通过时为所述第二设备分配所述第一账号的使用权限，以支持所述第二设备使用所述第一账号登录所述第一应用；
    确定所述第二设备基于所述第一账号的使用权限登录所述第一应用，触发所述第一设备从基于所述第一账号登录所述第一应用的状态切换为中止使用所述第一账号登录所述第一应用的状态。
  8. 如权利要求7所述的方法，其中，
    所述基于第一设备用户持有的对应第一应用的第一账号，生成对应所述第一账号的令牌信息，包括：
    接收所述第一设备发送的令牌信息请求时，生成对应所述第一账户的标识；
    加密所述标识得到所述令牌信息，并维护所述第一账号与所述标识的对应关系。
  9. 如权利要求7所述的方法，所述基于所述令牌信息对所述设备群中具有所述令牌信息的第二设备进行鉴权，包括：
    从所述第二设备发送的所述令牌信息解密出所述标识；
    基于所述对应关系确定与所述标识对应的所述第一账号，分配所述第一账号的使用权限给所述第二设备；
    所述基于所述令牌信息对所述设备群中具有所述令牌信息的第二设备进行鉴权，包括：
    从所述第二设备发送的所述令牌信息解密出所述标识；
    基于所述对应关系验证所述第二设备发送的所述第一账号与所述第二设备发送的所述令牌信息中携带的所述标识是否匹配，在匹配时分配所述第一账号的使用权限给所述第二设备。
  10. 如权利要求6所述的方法，其中，所述方法还包括：
    所述令牌信息中携带时限信息；
    基于所述时限信息检测为所述第二设备获取的所述第一账号的使用权限是否处于有效期；
    超出有效期时，中止为所述第二设备分配的对应所述第一应用的使用权限。
  11. 如权利要求6所述的方法，其中，所述方法还包括：
    接收所述第一设备发送的针对所述令牌信息的回收请求，所述回收请求中携带所述令牌信息；
    基于所述令牌信息确定所述第一设备用户拥有所述第一账号的所有权时，中止为所述第二设备分配的对应所述第一账号的使用权限；
    触发所述第一设备从中止使用所述第一账号登录所述第一应用的状态切换为恢复使用所述第一账号登录所述第一应用的状态。
  12. 如权利要求6至11任一项所述的方法，其中，所述方法还包括：
    检测所述设备群中分配有对应所述第一账号的使用权限的所述第二设备是否具有所述令牌信息，
    在不具有所述令牌信息时，中止为所述第二设备分配的对应所述第一账号的使用权限。
  13. 一种第一设备，所述第一设备包括：
    获取单元，配置为基于第一设备用户持有的对应第一应用的第一账号从服务器获取令牌信息，所述令牌信息为所述服务器基于所述第一账号生成，用于表征所述第一设备用户拥有所述第一账号的所有权；
    第一传输单元，配置为将所述令牌信息在设备群的设备中以限制复制的方式进行传输，所述令牌信息还用于为供所述服务器对所述设备群中具有所述令牌信息的第二设备进行鉴权，在鉴权通过时为所述第二设备分配所述第一账号的使用权限，以支持所述第二设备使用所述第一账号登录所述第一应用；
    切换单元，配置为确定所述第二设备基于所述第一账号的使用权限登录所述第一应用，从基于所述第一账号登录所述第一应用的状态切换为中 止使用所述第一账号登录所述第一应用的状态。
  14. 如权利要求13所述的第一设备，其中，
    所述获取单元，还配置为通过令牌信息请求从所述服务器获取所述令牌信息，所述令牌信息请求用于供所述服务器生成对应所述第一账户的标识，加密所述标识得到所述令牌信息，并维护所述第一账号与所述标识的对应关系。
  15. 如权利要求13或14任一项所述的第一设备，其中，所述第一设备还包括：
    回收单元，配置为向所述服务器发送针对所述令牌信息的回收请求，所述回收请求中携带所述令牌信息，所述令牌信息用于供所述服务器确定所述第一设备用户拥有所述第一账号的所有权时，中止为所述第二设备分配的对应所述第一账号的使用权限；
    所述切换单元，还配置为从中止使用所述第一账号登录所述第一应用的状态切换为使用所述第一账号登录所述第一应用的状态。
  16. 一种服务器，所述服务器包括：
    令牌单元，配置为基于第一设备用户持有的对应第一应用的第一账号，生成对应所述第一账号的令牌信息，所述令牌信息表征所述第一设备用户拥有所述第一账号的所有权；
    第二传输单元，配置为将所述令牌信息发送至第一设备，所述令牌信息用于供所述第一设备在设备群的设备中以限制复制的方式进行传输；
    鉴权单元，配置为基于所述令牌信息对所述设备群中具有所述令牌信息的第二设备进行鉴权，在鉴权通过时为所述第二设备分配所述第一账号的使用权限，以支持所述第二设备使用所述第一账号登录所述第一应用；
    触发单元，配置为确定所述第二设备基于所述第一账号的使用权限登录所述第一应用，触发所述第一设备从基于所述第一账号登录所述第一应 用的状态切换为中止使用所述第一账号登录所述第一应用的状态。
  17. 如权利要求16所述的服务器，其中，
    所述令牌单元，包括：
    接收模块，用于接收所述第一设备发送的令牌信息请求时，生成对应所述第一账户的标识；
    加密模块，用于加密所述标识得到所述令牌信息，并维护所述第一账号与所述标识的对应关系。
  18. 如权利要求17所述的服务器，其中，
    所述鉴权单元包括：
    解密模块，用于从所述第二设备发送的所述令牌信息解密出所述标识；
    分配模块，配置为基于所述对应关系确定与所述标识对应的所述第一账号，分配所述第一账号的使用权限给所述第二设备；或者，用于基于所述对应关系验证所述第二设备发送的所述第一账号与所述令牌信息中携带的所述标识是否匹配，在匹配时分配所述第一账号的使用权限给所述第二设备。
  19. 如权利要求16所述的服务器，其中，
    所述令牌信息中携带时限信息；
    所述鉴权单元还配置为基于所述时限信息检测为所述第二设备获取的所述第一账号的使用权限是否处于有效期；超出有效期时，中止为所述第二设备分配的对应所述第一应用的使用权限。
  20. 如权利要求16所述的服务器，其中，
    所述传输单元还配置为接收所述第一设备发送的针对所述令牌信息的回收请求，所述回收请求中携带所述令牌信息；
    所述鉴权单元，还配置为基于所述令牌信息确定所述第一设备用户拥有所述第一账号的所有权时，中止为所述第二设备分配的对应所述第一账 号的使用权限；
    所述切换单元，还配置为触发所述第一设备从中止使用所述第一账号登录所述第一应用的状态切换为使用所述第一账号登录所述第一应用的状态。
  21. 如权利要求16至20任一项所述的服务器，其中，
    所述鉴权单元还配置为检测所述设备群中分配有对应所述第一账号的使用权限的所述第二设备是否具有所述令牌信息，在不具有所述令牌信息时，中止为所述第二设备分配的对应所述第一账号的使用权限。
  22. 一种鉴权系统，包括权利要求13至15任一项所述的第一设备、以及权利要求16至21任一项所述的服务器。
  23. 一种第一设备，所述第一设备包括：
    存储介质，配置为存储计算机可执行指令；
    处理器，配置为执行存储在所述存储介质上的计算机可执行指令，所述计算机可执行指令包括：
    基于第一设备用户持有的对应第一应用的第一账号从服务器获取令牌信息，所述令牌信息为所述服务器基于所述第一账号生成，用于表征所述第一设备用户拥有所述第一账号的所有权；
    将所述令牌信息在设备群的设备中以限制复制的方式进行传输，所述令牌信息还配置为供所述服务器对所述设备群中具有所述令牌信息的第二设备进行鉴权，在鉴权通过时为所述第二设备分配所述第一账号的使用权限，以支持所述第二设备使用所述第一账号登录所述第一应用；
    确定所述第二设备基于所述第一账号的使用权限登录所述第一应用，从基于所述第一账号登录所述第一应用的状态切换为中止使用所述第一账号登录所述第一应用的状态。
  24. 一种服务器，所述服务器包括：
    存储介质，配置为存储计算机可执行指令；
    处理器，配置为执行存储在所述存储介质上的计算机可执行指令，所述计算机可执行指令包括：
    基于第一设备用户持有的对应第一应用的第一账号，生成对应所述第一账号的令牌信息，所述令牌信息表征所述第一设备用户拥有所述第一账号的所有权；
    为将所述令牌信息发送至第一设备，所述令牌信息用于供所述第一设备在设备群的设备中以限制复制的方式进行传输；
    基于所述令牌信息对所述设备群中具有所述令牌信息的第二设备进行鉴权，在鉴权通过时为所述第二设备分配所述第一账号的使用权限，以支持所述第二设备使用所述第一账号登录所述第一应用；
    确定所述第二设备基于所述第一账号的使用权限登录所述第一应用，触发所述第一设备从基于所述第一账号登录所述第一应用的状态切换为中止使用所述第一账号登录所述第一应用的状态。
  25. 一种存储介质，所述存储介质中存储有可执行指令，所述可执行指令用于执行权利要求1至6任一项所述的鉴权方法。
  26. 一种存储介质，所述存储介质中存储有可执行指令，所述可执行指令用于执行权利要求7至12任一项所述的鉴权方法。
PCT/CN2016/084205 2015-10-28 2016-05-31 鉴权方法、设备、服务器、系统及存储介质 WO2017071208A1 (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US15/707,783 US10666440B2 (en) 2015-10-28 2017-09-18 Authentication method, device, server, and system, and storage medium

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201510711862.XA CN105245541B (zh) 2015-10-28 2015-10-28 鉴权方法、设备及系统
CN201510711862.X 2015-10-28

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US15/707,783 Continuation-In-Part US10666440B2 (en) 2015-10-28 2017-09-18 Authentication method, device, server, and system, and storage medium

Publications (1)

Publication Number Publication Date
WO2017071208A1 true WO2017071208A1 (zh) 2017-05-04

Family

ID=55043041

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2016/084205 WO2017071208A1 (zh) 2015-10-28 2016-05-31 鉴权方法、设备、服务器、系统及存储介质

Country Status (3)

Country Link
US (1) US10666440B2 (zh)
CN (1) CN105245541B (zh)
WO (1) WO2017071208A1 (zh)

Families Citing this family (30)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105187282B (zh) * 2015-08-13 2018-10-26 小米科技有限责任公司 智能家居设备的控制方法、装置、系统及设备
CN105245541B (zh) * 2015-10-28 2020-02-18 腾讯科技（深圳）有限公司 鉴权方法、设备及系统
US10652365B2 (en) * 2016-01-06 2020-05-12 Adobe Inc. Robust computing device identification framework
CN107018123B (zh) * 2016-11-14 2020-05-15 郭铮铮 一种管理设备访问权限的方法、装置和系统
CN106599696B (zh) * 2016-11-14 2019-04-30 浙江麦知网络科技有限公司 一种信息访问系统
CN109428850B (zh) * 2017-06-30 2021-06-25 北京橙鑫数据科技有限公司 数据通信的方法、装置以及系统
CN109587364A (zh) * 2017-09-29 2019-04-05 中国移动通信集团公司 处理流量数据红包的方法、服务器及设备
CN109756447B (zh) * 2017-11-01 2022-03-29 华为技术有限公司 一种安全认证方法及相关设备
CN108667791B (zh) * 2017-12-18 2021-01-01 中国石油天然气股份有限公司 身份验证方法
CN108365958B (zh) * 2018-03-01 2021-06-29 广州南方人才资讯科技有限公司 账号登录的验证方法、装置、计算机设备和存储介质
KR102539598B1 (ko) * 2018-04-05 2023-06-05 삼성전자주식회사 네트워크 장치 및 네트워크 장치의 제어 방법
WO2020047710A1 (zh) * 2018-09-03 2020-03-12 华为技术有限公司 一种登录方法、令牌发送方法及设备
US10789352B2 (en) * 2018-10-19 2020-09-29 Slack Technologies, Inc. Multidevice user authentication in group-based communication systems
KR102657527B1 (ko) * 2019-03-21 2024-04-15 삼성전자주식회사 계정 관련 정보에 기반하여 장치를 설정하는 방법 및 그 전자 장치
CN110473063A (zh) * 2019-08-05 2019-11-19 腾讯科技（深圳）有限公司 一种智能设备管理方法、设备、系统及存储介质
CN113225188B (zh) * 2020-01-19 2023-09-22 华为技术有限公司 登录认证方法、装置与系统
CN111814131B (zh) * 2020-06-15 2024-03-08 北京天空卫士网络安全技术有限公司 一种设备注册和配置管理的方法和装置
CN111880953A (zh) * 2020-07-31 2020-11-03 北京致远互联软件股份有限公司 一种应用程序通信方法、装置、电子设备及存储介质
CN112235246A (zh) * 2020-09-14 2021-01-15 上海硬通网络科技有限公司 跨终端的账号登录方法、装置及电子设备
CN112084485B (zh) * 2020-09-16 2023-09-15 腾讯科技（深圳）有限公司 数据获取方法、装置、设备以及计算机存储介质
CN112399216B (zh) * 2020-10-27 2023-05-09 维沃移动通信（杭州）有限公司 资源分享方法、装置和电子设备
CN113422752B (zh) * 2020-10-30 2024-03-26 阿里巴巴集团控股有限公司 用户登录的处理方法、装置及电子设备
US11882116B2 (en) * 2020-12-16 2024-01-23 Synchronoss Technologies, Inc Method and system for near field communication authorization sharing
CN112714122B (zh) * 2020-12-24 2022-11-15 汉海信息技术(上海)有限公司 一种通信系统和方法
CN113407427A (zh) * 2021-06-18 2021-09-17 北京小米移动软件有限公司 校验信息处理方法及装置、终端设备及存储介质
US11463130B1 (en) * 2021-10-13 2022-10-04 Roku, Inc. Proving physical possession of internet-of-things (IoT) devices
DE102022106864A1 (de) 2022-03-23 2023-09-28 Dr. Ing. H.C. F. Porsche Aktiengesellschaft Verfahren zum Feststellen einer Zugehörigkeit eines tragbaren Gerätes zu einer assoziierten Gruppe von tragbaren Geräten auf Basis einer Blockchain
CN115208648B (zh) * 2022-07-05 2023-04-28 中电金信软件有限公司 一种登录令牌生成方法、装置、电子设备及存储介质
CN117641359A (zh) * 2022-08-17 2024-03-01 荣耀终端有限公司 数据处理方法及电子设备
CN117156438A (zh) * 2023-02-03 2023-12-01 荣耀终端有限公司 账号登录方法及终端设备

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20060095788A1 (en) * 2004-11-03 2006-05-04 Alexandre Bronstein Authenticating a login
CN104506492A (zh) * 2014-11-28 2015-04-08 北京奇艺世纪科技有限公司 一种多终端帐号同步的方法及装置
CN104994073A (zh) * 2015-05-29 2015-10-21 北京奇虎科技有限公司 手机终端、服务器及其帐号与设备绑定控制、执行方法
CN105245541A (zh) * 2015-10-28 2016-01-13 腾讯科技（深圳）有限公司 鉴权方法、设备及系统

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6360254B1 (en) * 1998-09-15 2002-03-19 Amazon.Com Holdings, Inc. System and method for providing secure URL-based access to private resources
US9277017B2 (en) * 2012-10-30 2016-03-01 Netiq Corporation Techniques for device independent session migration
US10033719B1 (en) * 2012-12-20 2018-07-24 Amazon Technologies, Inc. Mobile work platform for remote data centers
US9323916B1 (en) * 2013-02-14 2016-04-26 Google Inc. Secure authorization for accessing content on a shareable device
US9549318B2 (en) * 2013-10-10 2017-01-17 Shaw Cablesystems G.P. System and method for delayed device registration on a network

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20060095788A1 (en) * 2004-11-03 2006-05-04 Alexandre Bronstein Authenticating a login
CN104506492A (zh) * 2014-11-28 2015-04-08 北京奇艺世纪科技有限公司 一种多终端帐号同步的方法及装置
CN104994073A (zh) * 2015-05-29 2015-10-21 北京奇虎科技有限公司 手机终端、服务器及其帐号与设备绑定控制、执行方法
CN105245541A (zh) * 2015-10-28 2016-01-13 腾讯科技（深圳）有限公司 鉴权方法、设备及系统

Also Published As

Publication number Publication date
CN105245541B (zh) 2020-02-18
US10666440B2 (en) 2020-05-26
CN105245541A (zh) 2016-01-13
US20180006818A1 (en) 2018-01-04

Similar Documents

Publication Publication Date Title
WO2017071208A1 (zh) 鉴权方法、设备、服务器、系统及存储介质
US10873573B2 (en) Authenticating a user and registering a wearable device
KR102328725B1 (ko) 하나의 장치를 이용하여 다른 장치를 언로크하는 방법
US9807610B2 (en) Method and apparatus for seamless out-of-band authentication
JP6117317B2 (ja) 否認防止方法、このための決済管理サーバおよび使用者端末
US8769289B1 (en) Authentication of a user accessing a protected resource using multi-channel protocol
WO2015180691A1 (zh) 验证信息的密钥协商方法及装置
US20160125180A1 (en) Near Field Communication Authentication Mechanism
US8656455B1 (en) Managing data loss prevention policies
US9294474B1 (en) Verification based on input comprising captured images, captured audio and tracked eye movement
TW201610745A (zh) 電子器件、用於建立及強制實行與一存取控制元件相關聯之一安全性原則之方法及安全元件
US20180288030A1 (en) Secure identity sharing using a wearable device
EP3610603A1 (en) Secure password sharing for wireless networks
WO2013182154A1 (zh) 一种对通讯终端上应用程序加、解密的方法、系统和终端
CN105512576A (zh) 一种数据安全存储的方法及电子设备
WO2016188053A1 (zh) 一种无线网络接入方法、装置及计算机存储介质
WO2017166362A1 (zh) 一种esim号码的写入方法、安全系统、esim号码服务器及终端
US9280645B1 (en) Local and remote verification
CN107026730B (zh) 数据处理方法、装置及系统
CN106992978B (zh) 网络安全管理方法及服务器
CN109413648B (zh) 访问控制方法、终端、智能卡、后台服务器及存储介质
EP4172821B1 (en) Method and system of securing vpn communications
CN108667800B (zh) 一种访问权限的认证方法及装置
US20230140461A1 (en) Systems and methods for cryptocurrency administration
CN105828330B (zh) 一种接入方法及装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16858652

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

32PN Ep: public notification in the ep bulletin as address of the adressee cannot be established

Free format text: NOTING OF LOSS OF RIGHTS PURSUANT TO RULE 112(1) EPC (EPO FORM 1205 DATED 20/09/2018)

122 Ep: pct application non-entry in european phase

Ref document number: 16858652

Country of ref document: EP

Kind code of ref document: A1