WO2019134233A1 - 网络令牌生成的方法、装置、终端设备及存储介质 - Google Patents

网络令牌生成的方法、装置、终端设备及存储介质 Download PDF

Info

Publication number
WO2019134233A1
WO2019134233A1 PCT/CN2018/077311 CN2018077311W WO2019134233A1 WO 2019134233 A1 WO2019134233 A1 WO 2019134233A1 CN 2018077311 W CN2018077311 W CN 2018077311W WO 2019134233 A1 WO2019134233 A1 WO 2019134233A1
Authority
WO
WIPO (PCT)
Prior art keywords
token
validity
client
network
network token
Prior art date
Application number
PCT/CN2018/077311
Other languages
English (en)
French (fr)
Inventor
辜坤
Original Assignee
平安科技（深圳）有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 平安科技（深圳）有限公司 filed Critical 平安科技（深圳）有限公司
Publication of WO2019134233A1 publication Critical patent/WO2019134233A1/zh

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H04L9/3213—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority using tickets or tokens, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0866—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving user or device identifiers, e.g. serial number, physical or biometrical information, DNA, hand-signature or measurable physical characteristics

Definitions

  • the present application relates to the field of network security authentication, and in particular, to a method, an apparatus, a terminal device, and a storage medium for generating a network token.
  • JWT JSON Web Token
  • the JWT-based stateless authentication mechanism will carry the signed token information (ie token) in each request, which means that the user identity authentication is not required for the application server authenticated by the token, and the application extension is provided. Convenience.
  • the JWT includes a payload portion for acquiring the user registration data, and a signature portion formed based on the payload portion and the user registration data, wherein the data carried by the payload portion and the signature portion are all decryptable. From the composition structure of JWT, the existing technical specifications for generating JWT network tokens are not high enough to store user sensitive data.
  • the embodiment of the present invention provides a method, a device, a terminal device, and a storage medium for generating a network token, so as to solve the problem that the existing JWT network token technical specification is not high in security and cannot store user sensitive data.
  • an embodiment of the present application provides a method for generating a network token, including the following steps:
  • Obtaining a login request sent by the client where the login request includes a terminal ID and a token validity, and the token validity includes any one of an initial value, a valid and an invalid;
  • the identity authentication is performed based on the user sensitive data in the login request
  • load data is generated
  • the embodiment of the present application provides a device for generating a network token, including:
  • Obtaining a login request module configured to obtain a login request sent by the client, where the login request includes a terminal ID and a token validity, and the token validity includes any one of an initial value, a valid and an invalid;
  • an identity authentication module configured to perform identity authentication based on user sensitive data in the login request if the token validity is an initial value or invalid;
  • Generating a load data module configured to generate load data if the identity authentication is passed
  • Sending a network token module configured to store the terminal ID, a token rule corresponding to the terminal ID, into a database, and send the network token to the client, so that the client corresponding to the terminal ID All requests sent by the end carry the network token.
  • a third aspect of the present application provides a terminal device including a memory, a processor, and computer readable instructions stored in the memory and executable on the processor, the processor executing the computer readable instructions Implement the following steps:
  • the login request includes a terminal ID and a token validity, where the token validity includes any one of an initial value, a valid and an invalid;
  • load data is generated
  • a fourth aspect of the present application provides a computer readable storage medium storing computer readable instructions that, when executed by a processor, implement the following steps:
  • the login request includes a terminal ID and a token validity, where the token validity includes any one of an initial value, a valid and an invalid;
  • load data is generated
  • the method, the device, the terminal device and the storage medium for generating a network token perform identity authentication by using user sensitive data in the login request, and if the identity authentication is passed, generating a binding order based on the payload data and the user sensitive data.
  • the network token of the card rule can add the user sensitive data to the network token to enhance the authenticity and uniqueness of the authentication user identity.
  • the network token is sent to the client, so that the client corresponding to the terminal ID sends the All requests carry a network token to secure the security and exclusivity of the network token carrying the user's sensitive data.
  • FIG. 1 is a flowchart of a method for generating a network token in Embodiment 1 of the present application.
  • FIG. 2 is another specific flowchart of a method for generating a network token in Embodiment 1 of the present application.
  • FIG. 3 is another specific flowchart of a method for generating a network token in Embodiment 1 of the present application.
  • FIG. 4 is another specific flowchart of a method for generating a network token in Embodiment 1 of the present application.
  • FIG. 5 is another specific flowchart of a method for generating a network token in Embodiment 1 of the present application.
  • FIG. 6 is another specific flowchart of a method for generating a network token in Embodiment 1 of the present application.
  • FIG. 7 is a schematic block diagram of an apparatus for generating a network token in Embodiment 2 of the present application.
  • FIG. 8 is a schematic diagram of a terminal device in Embodiment 4 of the present application.
  • FIG. 1 shows a flow chart of a method of network token generation in this embodiment.
  • a network token is a compact, URL-safe, declarative declaration specification for passing security information between a client and a server.
  • the method of generating the network token is applied to the server. As shown in FIG. 1, the method for generating the network token includes the following steps:
  • the login request is a request sent by the client when connecting to the server through a browser or a third-party interface.
  • the terminal ID is an identifier for uniquely identifying the client that sends the login request, and the terminal ID may be a login IP used by the client connection server or a hardware MAC address of the client, depending on the specific application environment.
  • the identifier of the validity of the token includes any one of an initial value, a valid or an invalid, and is used to indicate whether the network token is in a valid state. If the network token is in the validity period, the token validity is valid; if the network token is in the expiration period, the token validity is invalid; when the client connects to the server for the first time to send the login request, the network is not carried. Token, at this time, set the token validity of the login request of the first connection server to the initial value. Generally, the initial value is null or zero.
  • the login request can be quickly classified by the validity of the token recorded in the login request, and the subsequent steps are processed; and the unique terminal ID is used to ensure that the processing result of the subsequent step is accurately sent back.
  • the client corresponding to the terminal ID.
  • the method for generating the network token further comprises: setting the validity of the token for first sending the login request to an initial value.
  • the initial value is generally set to null or zero.
  • the server is facilitated to immediately determine that the network token is generated for the login request according to the initial value of the token validity.
  • token validity is an initial value or is invalid, performing identity authentication based on user sensitive data in the login request.
  • user-sensitive data refers to information data that has user privacy and is not intended to be made public.
  • user sensitive data such as the customer's mobile phone number and personal identification number.
  • Mobile phone numbers and personal identification numbers can be used to distinguish specific users as an important means of verifying identity information.
  • the identity authentication based on the user sensitive data in the login request specifically refers to the user sensitive data including the mobile phone number and the personal identification number and the mobile phone number and personal identification card in the pre-stored server. The numbers are matched. If the matches are consistent, the identity authentication is passed.
  • the identity authentication based on the user sensitive data is beneficial to ensure the uniqueness and authenticity of the client login.
  • the payload data is used to carry the data to be passed, which is a set of statements for the data to be passed by the JWT.
  • An "attribute value pair" of the payload data is actually a statement, and each statement represents a specific meaning and role.
  • the declaration of load data mainly includes:
  • Iss(Issuser) represents the JWT issuing body
  • Sub(Subject) represents the body of this JWT, that is, its owner
  • Aud represents the JWT receiving object
  • Exp(Expiration time) is a timestamp representing the expiration time of this JWT
  • Iat is a timestamp representing the time of this JWT issue
  • Jti is the unique identifier of JWT.
  • the server that receives the JWT in the future can understand the JWT.
  • S140 Generate a network token with a token rule based on the payload data and the user sensitive data, and set the token validity to be valid.
  • a network token is actually a string that allows JWT to pass secure and reliable information between the client and the server.
  • the network token consists of two parts, the payload (that is, the payload data) and the signature department.
  • the payload data and the user sensitive data constitute a signature unit, and the signature unit further combines the payload unit to form a network token.
  • the token rule is a login rule set according to the initial login status of the user.
  • the content of the token rule record is equivalent to the payload data, and the JWT issuing body, the JWT owner, the JWT receiving object, and the JWT expired. Time, JWT effective start time, JWT issue time, etc. Understandably, the newly generated network token in this step must be valid.
  • the server can be authenticated to verify the authenticity and uniqueness of the user identity.
  • the client corresponding to the terminal ID includes, but is not limited to, a networkable terminal connected to the server via the Internet, such as a mobile terminal or a desktop computer.
  • the server sends the generated network token designation to the networkable terminal represented by the terminal ID, ensuring the security and exclusivity of the network token carrying the user's sensitive data.
  • the method for generating a network token performs identity authentication by using user sensitive data in the login request. If the identity authentication is passed, the network token with the token rule is generated based on the payload data and the user sensitive data. The network token is added to the user's sensitive data to enhance the authenticity and uniqueness of the authentication user identity. At the same time, the network token is sent to the client, so that all requests sent by the client corresponding to the terminal ID carry the network token to ensure The security and exclusivity of network tokens that carry sensitive data.
  • the server needs to determine the network token carried by the login request each time the login request sent by the client is received. Effectiveness. As shown in FIG. 2, after the step of acquiring a login request sent by the client, the method for generating the network token further includes:
  • the preset rule refers to a criterion that the network token remains valid.
  • the rule that the network token remains valid is set by the payload of the network token.
  • the token validity of the login request record received by the server is the result of the validity of the network token when the client logs in to the server last time.
  • the server needs to re-determine the validity of the network token carried in the current login request.
  • the server can quickly and directly refresh the network token by obtaining the validity of the token carried in the login request, and does not need to re-authenticate the client, thereby saving the determination time.
  • the validity of refreshing the network token includes: detecting whether the network token carried by the current login request meets the standard data recorded by the network token payload. If the network token carried by the current login request meets the standard data recorded by the network token payload, it indicates that the network token is valid after being refreshed.
  • the secure connection between the client and the server can be quickly established, the time for performing identity verification is reduced, and a series of websites authorized by the client to log in to the server are implemented.
  • the response information includes, but is not limited to, an interface that sends a text prompt to the client to re-login to send a login request or directly jump back to the client to send a login request.
  • the network token carried by the current login request does not meet the standard data recorded by the network token payload, it indicates that the network token is refreshed and becomes a failed network token, and accordingly, the token validity is also recorded. Invalid.
  • the client when it is confirmed that the refreshed network token is invalid, the client can be promptly reminded to re-initiate the connection with the server, and the client is reminded to update the network token, thereby improving the user experience.
  • the token validity of the network token is refreshed, including:
  • the validity of the network token is determined by detecting whether the content recorded in the payload portion of the network token conforms to the token rule in the server.
  • the load part of the network token carried in the registration request in this embodiment includes: a current token issuing body, a current token owner, a current token receiving object, a current token expiration time, a current token effective start time, and a current token. Issuance time, etc.
  • the token rules in the database include: JWT issuing body, JWT owner, JWT receiving object, JWT expiration time, JWT effective start time, JWT issuing time, and so on.
  • the server obtains the network token carried by the login request and the token rule stored by the service, so that the server further determines the validity of the network token.
  • the token rule is configured with a rule for each item recorded in the network token payload.
  • the data recorded by the payload in the network token carried by the registration request is sequentially compared with the database.
  • the validity of the network token is detected by the token rule, and the security of the client is detected by detecting the login data input by the user, thereby improving the user experience.
  • the network token completely complies with the token rule, and each item of data recorded on the network token payload portion conforms to the record of the token rule, and the network token is valid at this time.
  • This step is based on the step that the login request carries a valid network token. After this step, since the network token completely complies with the token rule, it is effective to maintain the validity of the token of the network token.
  • the server monitors that the network token carried by the login request remains valid, so that the server can quickly establish a secure connection with the client.
  • the current token expiration time recorded by the network token payload is earlier than the JWT expiration time recorded in the token rule.
  • the current token issuance body recorded by the network token payload is different from the signature body recorded in the token rule, and it can be determined that the network token does not completely comply with the token rule, that is, the network token is invalid.
  • the token validity needs to be updated to be invalid at this time.
  • the server providing different services may set different JWT expiration times according to the actual application scenario, for example, a third-party APP interface of a banking class or a payment class, and the token validity is 15 minutes.
  • the server detects that the network token carried by the login request has expired, and facilitates prompting the server to promptly reconnect to the client.
  • the network token when the server and the client perform a secure connection through the network token, the network token may be used to perform security authentication by using the login request, and all requests such as the service request may be securely authenticated by carrying the network token. After directly pushing the business, the application scope of the network token is expanded. As shown in FIG. 4, the method for generating a network token further includes:
  • the service request is a request for applying for a service service to the server, such as a transfer request, a payment request, and the like.
  • the service request information includes specific information content of the service that the server implements the client application.
  • the service request information in the transfer request includes the transfer object and the number of transfers.
  • the server may further receive a service request with a network token sent by the client, and expand the application scope of the network token.
  • a valid network token is generated according to steps S120 to 150.
  • the token validity of the service request is the initial value, the service request is the first time to log in to the server; if the validity of the token of the service request is invalid, the network token in the previous login request has expired, and the client is required. Re-apply for a network token to quickly facilitate the implementation of business request information.
  • the preset rule refers to a criterion that the network token remains valid.
  • the rule that the network token remains valid is set by the payload of the network token.
  • the token validity record in the service request is valid.
  • the network token that is valid for the last service request is valid. This service request needs to re-verify the validity of the network token.
  • the security of the client is determined by verifying the validity of the network token, and the client is prevented from inputting the authentication information for verification, thereby improving the customer experience.
  • the service request information can be directly provided to the network token that passes the verification validity, thereby improving the service processing speed.
  • the prompt information is presented to the network token that fails to pass the verification validity, thereby improving the customer experience.
  • step S130 that is, if the identity authentication is passed, the payload data is generated, which specifically includes the following steps:
  • the identity authentication is performed by the server receiving the user sensitive data sent by the user end, and the corresponding backup data of the terminal ID that has been recorded in the server. If the user sensitive data sent by the user end matches the backup data, the identity verification is passed. .
  • the login status means that after the client makes a session with the server for the first time, if the client does not actively log out, clear the cached data, or is uninstalled, it will remain logged in for a period of time.
  • the client and the server are required to provide reliable information during the first session. For example, when the client logs in to the server for the first time:
  • the request carries user sensitive data, such as the user's mobile phone number and password information to the server for authentication;
  • the server configures payload data for the client only when the client maintains a secure login state through server authentication.
  • the client may send a prompt message to remind the client to send the login request to the server again.
  • the payload data carries the data to be delivered in a JSON (JavaScript Object Notation, Lightweight Data Interchange Format) object format.
  • JSON JavaScript Object Notation, Lightweight Data Interchange Format
  • the JSON object format is an easy to write and read, easier to generate and parse data storage formats.
  • the load data mainly includes:
  • Iss(Issuser) represents the JWT issuing body
  • Sub(Subject) represents the body of this JWT, that is, its owner
  • Aud represents the JWT receiving object
  • Exp(Expiration time) is a timestamp representing the expiration time of this JWT
  • Iat is a timestamp representing the time of this JWT issue
  • Jti is the unique identifier of JWT.
  • B After logging in to the example website to authenticate, B sends a request to A to add a friend through the web page. According to the login status of B, the server generates a network token for B (JSON object):
  • the first five fields in the above network token are defined by the JWT standard.
  • BASE64 encoding the above JSON object you can get the following string, which is the payload data:
  • the server that receives the JWT in the future can understand the JWT.
  • step S140 that is, generating a network token with a token rule based on the payload data and the user sensitive data, specifically includes the following steps:
  • S141 Encode the payload data by using a BASE64 encoding algorithm to obtain a payload.
  • BASE64 is one of the most common encoding methods for transmitting 8Bit bytecode on the network.
  • BASE64 is a method for representing binary data based on 64 printable characters, which can be used to transmit longer in HTTP environment. Identification information.
  • it is often necessary to encode binary data into a form suitable for placement in a URL (Universal Resource Locator).
  • URL Universal Resource Locator
  • the payload data is encoded in a decodable BASE64 encoding manner, so that the authorized server can obtain the validity of the network token.
  • the payload data and the user sensitive data Payload.Userinfo are public key-encrypted to obtain a signature department, and the encryption algorithm uniformly uses encryption with a key, including but not limited to: RSA (Ron Rivest, Adi Shamir) , Leonard Adleman, the joint name of the three names) algorithm, the national secret SM2 asymmetric encryption algorithm, 3DES (TDEA, Triple Data Encryption Algorithm, triple data encryption algorithm).
  • RSA is currently the most influential and most commonly used public key encryption algorithm. It can resist most of the password attacks known so far and has been recommended by ISO as the public key data encryption standard.
  • the SM2 algorithm is a more advanced and secure algorithm than RSA, and is used to replace the RSA algorithm in China's commercial cryptosystem. Today only a short RSA key can be broken down in a powerful way. As of 2008, there is no reliable way to attack the RSA algorithm in the world. As long as the length of the key is long enough, the information encrypted with RSA cannot actually be broken.
  • 3DES is a mode of the DES (Data Encryption Standard) encryption algorithm that encrypts data three times using three 56-bit keys.
  • DES Data Encryption Standard
  • DES is a long-established encryption standard in the United States that uses symmetric key cryptography and was standardized by the ANSI organization as ANSI X.3.92 in 1981.
  • DES uses a 56-bit key and cipher block method, while in the cipher block method, text is divided into 64-bit text blocks and then encrypted. 3DES is more secure than the original DES.
  • the user sensitive data and the payload data are together for public key encryption, which is difficult to be cracked by a third party, effectively protecting user sensitive data, and preventing user sensitive data from being leaked during network transmission.
  • Token BASE64 (payload) + encryption algorithm (signature part Payload.Userinfo)
  • Userinfo is user sensitive information and is not directly exposed by encryption during transmission.
  • the public key encryption is performed on the user sensitive data carried in the network token, which greatly improves the security of the network token carrying the user sensitive data.
  • FIG. 7 is a schematic block diagram showing an apparatus for generating a network token corresponding to the method of network token generation in Embodiment 1.
  • a network token is a compact, URL-safe, declarative declaration specification for the transfer of security information between the client and server.
  • the device generated by the network token is applied to the server.
  • the device for generating the network token includes a login request module 110, an identity authentication module 120, a load data module 130, a network token module 140, and a network token module 150.
  • the steps of obtaining the login requesting module 110, performing the identity authentication module 120, generating the payload data module 130, generating the network token module 140, and transmitting the network token module 150 correspond to the method for generating the network token in the first embodiment.
  • One-to-one correspondence, in order to avoid redundancy, this embodiment will not be described in detail.
  • the login requesting module 110 is configured to obtain a login request sent by the client, where the login request includes a terminal ID and a token validity, and the token validity includes any one of an initial value, a valid and an invalid.
  • the identity authentication module 120 is configured to perform identity authentication based on user sensitive data in the login request if the login request does not carry the network token or carries the invalid network token.
  • the load data module 130 is generated to generate load data if the identity authentication passes.
  • a network token module 140 is generated for generating a network token with token rules based on payload data and user sensitive data.
  • the sending network token module 150 is configured to store the terminal ID and the token rule corresponding to the terminal ID in a database, and send the network token to the client, so that the terminal ID corresponds to All requests sent by the client carry the network token.
  • the apparatus for generating network tokens further includes a refresh network token module 160, a secure connection module 170, and a resend request module 180.
  • the implementation of the function of the network token module 160, the establishment of the secure connection module 170, and the retransmission request module 180 corresponds to the steps corresponding to the method for generating the network token in the first embodiment. To avoid redundancy, the embodiment does not. Detailed one by one.
  • the network token module 160 is refreshed, and if the token validity is valid, the token validity of the network token is refreshed according to a preset rule.
  • the secure connection module 170 is configured to establish a secure connection after the validity of the token of the network token is valid, and the client corresponding to the terminal ID is established.
  • the request sending module 180 is further configured to: if the validity of the token of the network token is refreshed, the request is sent to the client, and the response message is sent to the client to remind the client to send the login request to the server again.
  • the refresh network token module 160 further includes an acquisition network token unit 161, a detection network token unit 162, a maintenance validity unit 163, and a refresh validity unit 164.
  • the implementation functions of the network token unit 161, the detection network token unit 162, the maintenance validity unit 163, and the refresh validity unit 164 are in one-to-one correspondence with the steps corresponding to the method for generating the network token in the first embodiment. Avoiding the details, this embodiment will not be described in detail.
  • the acquiring network token unit 161 is configured to acquire a network token carried by the registration request, and a token rule stored in the database corresponding to the terminal ID of the login request.
  • the network token unit 162 is configured to detect the network token according to the token rule and determine whether the network token completely complies with the token rule.
  • the maintenance validity unit 163 is configured to maintain the token validity as valid if the network token fully complies with the token rule.
  • the refresh validity unit 164 is configured to invalidate the validity of the refresh token if the network token does not completely comply with the token rule.
  • the device for generating the network token further includes an acquiring service requesting module 210, a generating service token module 220, a refreshing network token module 230, a response service requesting module 240, and a sending prompting information module 250.
  • One-to-one correspondence, in order to avoid redundancy, this embodiment will not be described in detail.
  • the service requesting module 210 is configured to obtain a service request sent by the client, where the service request includes service request information and token validity.
  • the service token module 220 is configured to generate a network token if the validity of the token of the service request is an initial value or is invalid.
  • the network token module 230 is configured to refresh the token validity of the network token according to a preset rule if the token validity is valid.
  • the response service request module 240 is configured to respond to the service request information if the validity of the token of the service request is valid.
  • the sending prompt information module 250 is configured to send a prompt message to the client to notify the client to send the service request to the server again if the validity of the token of the service request is invalid.
  • the generated payload data module 130 further includes an acquisition login status unit 131 and an acquisition payload data unit 132.
  • the implementation functions of the registration of the registration status unit 131 and the acquisition of the payload data unit 132 are in one-to-one correspondence with the steps corresponding to the method for generating the network token in the first embodiment. To avoid redundancy, the present embodiment will not be described in detail.
  • the login status unit 131 is configured to obtain the login status of the client through the login request of the client if the identity authentication is passed.
  • the acquisition payload data unit 132 is configured to acquire payload data based on the login status of the client.
  • the generated network token module 140 further includes an acquisition payload unit 141, an acquisition signature unit 142, and an acquisition network token unit 143.
  • the implementation functions of the acquisition payload unit 141, the acquisition signature unit 142, and the acquisition network token unit 143 correspond to the steps corresponding to the method for generating the network token in the first embodiment. To avoid redundancy, the embodiment is different. A detailed description.
  • the acquisition load unit 141 is configured to encode the payload data using a BASE64 encoding algorithm to acquire a payload.
  • the obtaining signature unit 142 is configured to encrypt the user sensitive data and the payload data by using a preset public key algorithm, and obtain the signature part.
  • the network token unit 143 is configured to acquire a network token based on the payload and the signature.
  • the device for generating the network token further includes a setting initial value module 260.
  • the implementation function of the initial value module 260 is corresponding to the steps corresponding to the method for generating the network token in the first embodiment. To avoid redundancy, the present embodiment is not described in detail.
  • An initial value module 260 is provided for setting the token validity of the first transmission login request to an initial value.
  • the embodiment provides a computer readable storage medium on which computer readable instructions are stored, and when the computer readable instructions are executed by the processor, the method for generating network tokens in Embodiment 1 is implemented, in order to avoid duplication , no longer repeat them here.
  • the functions of the modules/units in the apparatus for generating the network token in the second embodiment are implemented when the computer readable instructions are executed by the processor. To avoid repetition, details are not described herein again.
  • the computer readable storage medium may include any entity or device capable of carrying the computer readable instruction code, a recording medium, a USB flash drive, a removable hard disk, a magnetic disk, an optical disk, a computer memory, a read only memory (ROM, Read- Only Memory), Random Access Memory (RAM), electrical carrier signals, telecommunications signals, and software distribution media.
  • FIG. 8 is a schematic diagram of a terminal device for generating a network token according to an embodiment of the present application.
  • the network device generated terminal device 800 of this embodiment includes a processor 810, a memory 820, and computer readable instructions 830 stored in the memory 820 and operable on the processor 810, such as a network command. Card generated program.
  • the processor 810 executes the computer readable instructions 830, the functions of the modules/units in the device for generating the network token in the second embodiment are implemented, for example, the login request module 110 to the network token module 150 are obtained as shown in FIG. Features.

Abstract

本申请公开了一种网络令牌生成的方法、装置、终端设备及存储介质，涉及网络安全认证领域。该网络令牌生成的方法包括：获取客户端发送的登录请求，登录请求包括终端ID和令牌有效性，令牌有效性包括初始值、有效和无效中的任一个；若令牌有效性为初始值或者无效，则基于登录请求中的用户敏感数据进行身份认证；若身份认证通过，则生成载荷数据；基于载荷数据和用户敏感数据，生成带有令牌规则的网络令牌，将令牌有效性设置为有效。该网络令牌生成的方法，在增强验证用户身份的真实性和唯一性的同时，也保障用户敏感数据在传输过程中的安全性。

Description

网络令牌生成的方法、装置、终端设备及存储介质
本专利申请以2018年01月08日提交的申请号为201810014392.5，名称为“网络令牌生成的方法、装置、终端设备及存储介质”的中国发明专利申请为基础，并要求其优先权。
技术领域
本申请涉及网络安全认证领域，尤其涉及一种网络令牌生成的方法、装置、终端设备及存储介质。
背景技术
JWT(JSON Web Token，JSON网络令牌)是一种用于客户端和服务器之间传递安全信息的简洁的、URL安全的表述性声明规范。基于JWT的无状态认证机制会在每一次请求中都带上完成签名的Token信息(即令牌)，意味着不需要对通过token进行认证的应用服务器重新进行用户身份认证，为应用的扩展提供了便利。
JWT包括用于获取记录用户登录数据的载荷部，和基于载荷部、用户登录数据构成的签名部，其中，载荷部和签名部携带的数据都是可被解密的。从JWT的组成结构看出，现有生成JWT网络令牌的技术规范安全性不高，不能存放用户敏感数据。
发明内容
本申请实施例提供一种网络令牌生成的方法、装置、终端设备及存储介质，以解决现有生成JWT网络令牌技术规范安全性不高，不能存放用户敏感数据的问题。
第一方面，本申请实施例提供一种网络令牌生成的方法,包括如下步骤：
获取客户端发送的登录请求，登录请求包括终端ID和令牌有效性，令牌有效性包括初始值、有效和无效中的任一个；
若令牌有效性为初始值或者无效，则基于登录请求中的用户敏感数据进行身份认证；
若身份认证通过，则生成载荷数据；
基于载荷数据和用户敏感数据，生成带有令牌规则的网络令牌，将令牌有效性设置为有效；
将所述终端ID、所述终端ID对应的令牌规则存储到数据库，并将所述网络令牌发送 给所述客户端，以使所述终端ID对应的客户端发送的所有请求携带所述网络令牌。
第二方面，本申请实施例提供一种网络令牌生成的装置，包括：
获取登录请求模块，用于获取客户端发送的登录请求，登录请求包括终端ID和令牌有效性，令牌有效性包括初始值、有效和无效中的任一个；
进行身份认证模块，用于若令牌有效性为初始值或者无效，则基于登录请求中的用户敏感数据进行身份认证；
生成载荷数据模块，用于若身份认证通过，则生成载荷数据；
生成网络令牌模块，用于基于载荷数据和用户敏感数据，生成带有令牌规则的网络令牌，将令牌有效性设置为有效；
发送网络令牌模块，用于将所述终端ID、所述终端ID对应的令牌规则存储到数据库，并将所述网络令牌发送给所述客户端，以使所述终端ID对应的客户端发送的所有请求携带所述网络令牌。
本申请第三方面提供一种终端设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机可读指令，所述处理器执行所述计算机可读指令时实现如下步骤：
获取客户端发送的登录请求，所述登录请求包括终端ID和令牌有效性，所述令牌有效性包括初始值、有效和无效中的任一个；
若所述令牌有效性为初始值或者无效，则基于所述登录请求中的用户敏感数据进行身份认证；
若身份认证通过，则生成载荷数据；
基于所述载荷数据和所述用户敏感数据，生成带有令牌规则的网络令牌，将令牌有效性设置为有效；
将所述终端ID、所述终端ID对应的令牌规则存储到数据库，并将所述网络令牌发送给所述客户端，以使所述终端ID对应的客户端发送的所有请求携带所述网络令牌。
本申请第四方面提供一种计算机可读存储介质，所述计算机可读存储介质存储有计算机可读指令，所述计算机可读指令被处理器执行时实现如下步骤：
获取客户端发送的登录请求，所述登录请求包括终端ID和令牌有效性，所述令牌有效性包括初始值、有效和无效中的任一个；
若所述令牌有效性为初始值或者无效，则基于所述登录请求中的用户敏感数据进行身份认证；
若身份认证通过，则生成载荷数据；
基于所述载荷数据和所述用户敏感数据，生成带有令牌规则的网络令牌，将令牌有效性设置为有效；
将所述终端ID、所述终端ID对应的令牌规则存储到数据库，并将所述网络令牌发送给所述客户端，以使所述终端ID对应的客户端发送的所有请求携带所述网络令牌。
本申请实施例提供的网络令牌生成的方法、装置、终端设备及存储介质，通过登录请求中的用户敏感数据进行身份认证,若身份认证通过，则基于载荷数据和用户敏感数据生成带有令牌规则的网络令牌,可以将网络令牌中加入用户敏感数据，增强验证用户身份的真实性和唯一性；同时，将网络令牌发送给客户端，以使终端ID对应的客户端发送的所有请求携带网络令牌，保障携带用户敏感数据的网络令牌的安全性和专有性。
附图说明
为了更清楚地说明本申请实施例的技术方案，下面将对本申请实施例的描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。
图1是本申请实施例1中网络令牌生成的方法的一流程图。
图2是本申请实施例1中网络令牌生成的方法的另一具体流程图。
图3是本申请实施例1中网络令牌生成的方法的另一具体流程图。
图4是本申请实施例1中网络令牌生成的方法的另一具体流程图。
图5是本申请实施例1中网络令牌生成的方法的另一具体流程图。
图6是本申请实施例1中网络令牌生成的方法的另一具体流程图。
图7是本申请实施例2中网络令牌生成的装置的一原理框图。
图8是本申请实施例4中终端设备的一示意图。
具体实施方式
下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。
实施例1
图1示出本实施例中网络令牌生成的方法的流程图。网络令牌是一种用于客户端和服务器之间传递安全信息的简洁的、URL安全的表述性声明规范。该网络令牌生成的方法应用在服务器。如图1所示，该网络令牌生成的方法包括如下步骤：
S110.获取客户端发送的登录请求，登录请求包括终端ID和令牌有效性，令牌有效性包括初始值、有效和无效中的任一个。
具体地，登录请求是客户端通过浏览器或者第三方接口与服务器进行连接时发送的请求。
终端ID是用于唯一识别发送该登录请求的客户端的标识，该终端ID可以是客户端连接服务器使用的登录IP或者客户端的硬件MAC地址，随具体应用环境而定。
令牌有效性的标识包括初始值、有效或无效中的任一个，是用于说明网络令牌是否处于有效状态的。网络令牌若处在有效期，则令牌有效性为有效；网络令牌若处在失效期，则令牌有效性为无效；当客户端第一次连接服务器发送登录请求时，是没有携带网络令牌的，此时，将第一次连接服务器的登录请求的令牌有效性设置为初始值。一般地，初始值为空或者为零。
本实施例中，通过登录请求中记录的令牌有效性即可快速将该登录请求进行分类，进行后续步骤的处理；并且通过具有唯一性的终端ID，保证后续步骤的处理结果准确地发回终端ID对应的客户端。
可以理解地，在步骤S110之前，即在获取客户端发送的登录请求的步骤之前，网络令牌生成的方法还包括：将首次发送登录请求的令牌有效性设置为初始值。
具体地，初始值一般设置为空或者零。本实施例中，通过设置第一次向服务器申请登录请求的令牌有效性，有利于服务器根据令牌有效性的初始值立即判定给该登录请求生成网络令牌。
S120.若所述令牌有效性为初始值或者无效，则基于所述登录请求中的用户敏感数据进行身份认证。
具体地，用户敏感数据是指带有用户隐私，不希望公之于众的信息数据。比如常用身份验证登录时，需输入客户手机号和个人身份证号码等用户敏感数据。手机号和个人身份证号码等可以用来区别特定用户，作为验证身份信息的重要手段。以手机号和个人身份证为例，基于登录请求中的用户敏感数据进行身份认证具体是指将包括手机号和个人身份证号码的用户敏感数据与预先存储的服务器中的手机号和个人身份证号码进行匹配，若匹配 一致，则身份认证通过。
本实施例中，基于用户敏感数据进行身份认证有利于保证客户端登录的唯一性和真实性。
S130.若身份认证通过，则生成载荷数据。
具体地，载荷数据用来承载要传递的数据，它是对JWT要传递的数据的一组声明。载荷数据的一个“属性值对”其实就是一个声明，每一个声明的都代表特定的含义和作用。载荷数据传递的用以进行令牌认证、可解密和验证令牌有效性的数据，因为数据会被进行解密认证，载荷数据里不携带任何敏感的数据。
根据JWT的标准，载荷数据的声明主要包括：
iss(Issuser)：代表这个JWT签发主体；
sub(Subject)：代表这个JWT的主体，即它的所有人；
aud(Audience)：代表这个JWT接收对象；
exp(Expiration time)：是一个时间戳，代表这个JWT过期时间；
nbf(Not Before)：是一个时间戳，代表这个JWT生效的开始时间，意味着在这个时间之前验证JWT是会失败的；
iat(Issued at)：是一个时间戳，代表这个JWT签发时间；
jti(JWT ID)：是JWT的唯一标识。
本实施例中，通过用户认证的操作并添加了其它信息生成载荷数据，可以帮助今后收到该JWT的服务器理解这个JWT。
S140.基于载荷数据和用户敏感数据，生成带有令牌规则的网络令牌，将令牌有效性设置为有效。
具体地，网络令牌实际上是一种允许JWT在客户端和服务器之间传递安全可靠信息的字符串。网络令牌由两部分组成，载荷部(也即载荷数据)与签名部。其中，载荷数据和用户敏感数据构成签名部，签名部再结合载荷部形成网络令牌。
令牌规则就是根据用户的初次登录状态设定的登录规则，应用于本实施例中，令牌规则记录的内容等同于载荷数据，规定：JWT签发主体、JWT所有人、JWT接收对象、JWT过期时间、JWT生效开始时间、JWT签发时间等。可以理解地，本步骤新生成的网络令牌，必然是有效的。
本实施例中，通过给网络令牌加入用户敏感数据信息，如用户联系方式，可增强服务器验证用户身份的真实性和唯一性。
S150.将网络令牌发送给客户端，以使终端ID对应的客户端发送的所有请求携带网络令牌。
具体地，终端ID对应的客户端包括但不限于：移动终端、台式机等经互联网连接到服务器的可联网终端。服务器将生成的网络令牌指定发送到该终端ID代表的可联网终端，确保携带用户敏感数据的网络令牌的安全性和专有性。
本申请实施例提供的网络令牌生成的方法，通过登录请求中的用户敏感数据进行身份认证,若身份认证通过，则基于载荷数据和用户敏感数据生成带有令牌规则的网络令牌,可以将网络令牌中加入用户敏感数据，增强验证用户身份的真实性和唯一性；同时，将网络令牌发送给客户端，以使终端ID对应的客户端发送的所有请求携带网络令牌，保障携带敏感数据的网络令牌的安全性和专有性。
在一具体实施方式中，为了保障服务器和客户端之间通过网络令牌进行连接的安全性，服务器在每次接收到客户端发送的登录请求时，都需要判定该登录请求携带的网络令牌的有效性。如图2所示，在获取客户端发送的登录请求的步骤之后，该网络令牌生成的方法还包括：
S160.若令牌有效性为有效，则根据预设规则刷新网络令牌的令牌有效性。
具体地，预设规则是指网络令牌保持有效性的标准。本实施例中，网络令牌保持有效的规则是网络令牌的载荷部设定的。
服务器接收到的登录请求记录的令牌有效性，是客户端上一次登录服务器时网络令牌的有效性的记录结果。本次客户端登录服务器，服务器需要对当前登录请求携带的网络令牌重新判定有效性。
本实施例中，服务器通过获取登录请求携带的令牌有效性，可以快速直接地对网络令牌进行刷新操作，不需要重新对客户端进行身份验证，节省判定时间。
S170.若刷新网络令牌的令牌有效性后保持有效，与终端ID对应的客户端建立安全连接。
具体地，刷新网络令牌的有效性包括：检测当前的登录请求携带的网络令牌是否符合网络令牌载荷部记录的标准数据。若当前的登录请求携带的网络令牌符合网络令牌载荷部记录的标准数据，表示该网络令牌经刷新后还是有效的。
本实施例中，当确认刷新后的网络令牌保持有效，即可快速建立客户端与服务器之间的安全连接，减少进行身份验证的时间，实现客户端一站式登录服务器授权的系列网站。
S180.若刷新网络令牌的令牌有效性变更为无效，给客户端发送响应信息，以提醒客 户端向服务器再次发送登录请求。
具体地，响应信息包括但不限于向客户端发送文字提示重新登录发送登录请求或者直接跳转回客户端发送登录请求的界面。
进一步地，若当前的登录请求携带的网络令牌不符合网络令牌载荷部记录的标准数据，表示该网络令牌经刷新后成为失效的网络令牌，相应地，令牌有效性也同时记录为无效。
本实施例中，当确认刷新后的网络令牌失效，即可及时提醒客户端重新发起与服务器之间的连接，提醒客户端更新网络令牌，提升了用户体验。
在一具体实施方式中，如图3所示，刷新网络令牌的令牌有效性，包括：
S161.获取与登录请求的终端ID相对应的存储在数据库中的令牌规则。
具体地，网络令牌的有效性是通过检测网络令牌中载荷部记载的内容是否符合服务器中的令牌规则来进行判定的。
本实施例中登记请求携带的网络令牌的载荷部包括：当前令牌签发主体、当前令牌所有人、当前令牌接收对象、当前令牌过期时间、当前令牌生效开始时间、当前令牌签发时间等。数据库中的令牌规则包括：JWT签发主体、JWT所有人、JWT接收对象、JWT过期时间、JWT生效开始时间、JWT签发时间等。
本实施例中通过获取登录请求携带的网络令牌和服务存储的令牌规则，便于服务器进一步判定网络令牌的有效性。
S162.根据令牌规则检测网络令牌，判断所述网络令牌是否完全符合所述令牌规则。
具体地，令牌规则针对网络令牌载荷部记录的内容中的每一项都设定有规则，本步骤中，将登记请求携带的网络令牌中的载荷部记录的数据依次对比数据库中的令牌规则，可以对网络令牌的有效性进行判定。
本实施例通过令牌规则检测网络令牌的有效性，避免对用户输入的登录数据检测客户端的安全性，提高用户体验。
S163.若网络令牌完全符合令牌规则，则维持令牌有效性为有效。
具体地，网络令牌完全符合令牌规则，代表该网络令牌载荷部记录的每一项数据都符合令牌规则的记录，此时该网络令牌就是有效的。本步骤是基于登录请求携带有效的网络令牌的步骤之上，经过本步骤因网络令牌完全符合令牌规则，所以维持该网络令牌的令牌有效性为有效。
本实施例中，服务器监测到该登录请求携带的网络令牌还保持有效，便于服务器迅速 建立与客户端的安全连接。
S164.若网络令牌不完全符合令牌规则，则刷新令牌有效性为无效。
具体地，如果网络令牌的载荷部记录的数据只要有一项不符合服务器记录的令牌规则，比如，网络令牌载荷部记录的当前令牌过期时间早于令牌规则中记录的JWT过期时间，或者网络令牌载荷部记录的当前令牌签发主体不同于令牌规则中记录的签发主体，就可认定网络令牌不完全符合令牌规则，也即网络令牌失效。此时需将令牌有效性更新为无效。
进一步地，提供不同业务的服务器可根据实际应用场景设定不同的JWT过期时间，比如，银行类或者支付类的第三方APP接口，令牌有效性为15分钟。
本实施例中，服务器监测到该登录请求携带的网络令牌已经失效，便于服务器迅速向客户端发起重新连接的提示。
在一具体实施方式中，服务器和客户端之间通过网络令牌进行安全连接时，可以通过登录请求携带网络令牌进行安全认证；也可以将业务请求等所有请求通过携带网络令牌实现安全认证后直接推送业务，扩大了网络令牌的应用范围。如图4所示，网络令牌生成的方法还包括：
S210.获取客户端发送的业务请求，业务请求包括业务请求信息和令牌有效性。
具体地，业务请求是向服务器申请业务服务的请求，比如，转账请求、支付请求等。业务请求信息包括服务器实现客户端申请的业务的具体信息内容，比如，转账请求中的业务请求信息包括转账对象和转账数目等。
本实施例中，服务器还可以接收客户端发送的带有网络令牌的业务请求，扩大了网络令牌的应用范围。
S220.若业务请求的令牌有效性为初始值或者无效，则生成网络令牌。
具体地，当业务请求的令牌有效性为初始值或者无效时，根据步骤S120至步骤150，生成有效的网络令牌。
本实施例中，同样需要判定网络令牌的有效性，这也是应用网络令牌的意义所在。若业务请求的令牌有效性为初始值说明该业务请求是第一次登录服务器；若业务请求的令牌有效性为无效，说明上一次本登录请求中的网络令牌已经失效，需要客户端重新申请网络令牌，以快速促成业务请求信息的实现。
S230.若令牌有效性为有效，则根据预设规则刷新网络令牌的令牌有效性。
具体地，预设规则是指网络令牌保持有效性的标准。本实施例中，网络令牌保持有效的规则是网络令牌的载荷部设定的。
业务请求中令牌有效性记录为有效表示上次业务请求的网络令牌是有效的，本次业务请求需要重新验证网络令牌的有效性。
本实施例通过验证网络令牌的有效性判定客户端的安全性，避免客户端输入身份验证信息进行验证，提高了客户体验。
S240.若业务请求的令牌有效性为有效，则响应业务请求信息。
本实施例中，对通过验证有效性的网络令牌可以直接提供业务请求信息，提高了业务处理速度。
S250.若业务请求的令牌有效性为无效时，则给客户端发送提示信息，以提醒客户端向服务器再次发送业务请求。
本实施例中，对未通过验证有效性的网络令牌提出提示信息，提高了客户体验。
在一具体实施方式中，如图5所示，步骤S130，即若身份认证通过，则生成载荷数据，具体包括如下步骤：
S131.若身份认证通过，则通过客户端的登录请求，获取客户端的登录状态。
具体地，身份认证通过是服务器接收用户端发送的用户敏感数据，与服务器中已经记录的该终端ID的相应的备份数据，如果用户端发送的用户敏感数据与备份数据相匹配，则身份验证通过。
登录状态是指客户端通过第一次跟服务器进行会话后，如果客户端没有主动注销、清除缓存数据或被卸载，就在一段时间内或一直保持登录状态。为了确保登录状态的合法性和安全性，需要客户端跟服务器进行第一次会话时提供可靠的信息。比如，客户端第一次登录服务器时：
1)请求中携带用户敏感数据，比如用户手机号、密码信息到服务器端做认证；
2)或者通过服务器已经认证的内网进行访问；
只有当客户端通过服务器的认证保持安全的登录状态时，服务器对客户端配置载荷数据。
进一步地，若所述身份认证未通过，可以给所述客户端发送提示信息，以提醒所述客户端向服务器再次发送登录请求。
S132.基于所述客户端的登录状态，获取载荷数据。
具体地，载荷数据以JSON(JavaScript Object Notation，轻量级的数据交换格式)对象格式来承载要传递的数据。其中，JSON对象格式是一种易于人编写和阅读，更易于生成和解析数据存储格式。
载荷数据主要包括：
iss(Issuser)：代表这个JWT签发主体；
sub(Subject)：代表这个JWT的主体，即它的所有人；
aud(Audience)：代表这个JWT接收对象；
exp(Expiration time)：是一个时间戳，代表这个JWT过期时间；
nbf(Not Before)：是一个时间戳，代表这个JWT生效的开始时间，意味着在这个时间之前验证JWT是会失败的；
iat(Issued at)：是一个时间戳，代表这个JWT签发时间；
jti(JWT ID)：是JWT的唯一标识。
举一个场景为例说明基于客户端的登录状态生成载荷数据的过程：
B登录example网站通过认证后，向A发起通过网页添加好友的请求。服务器根据B的登录状态，给B生成的网络令牌为(JSON对象)：
Figure PCTCN2018077311-appb-000001
上述网络令牌中前五个字段是由JWT的标准定义的。将上面的JSON对象进行BASE64编码可以得到下面的字符串,也即载荷数据：
eyJpc3MiOiJKb2huIFd1IEpXVCIsImlhdCI6MTQ0MTU5MzUwMiwiZXhwIjoxNDQxNTk0NzIyLCJhdWQiOiJ3d3cuZXhhbXBsZS5jb20iLCJzdWIiOiJqcm9ja2V0QGV4YW1wbGUuY29tIiwiZnJvbV91c2VyIjoiQiIsInRhcmdldF91c2VyIjoiQSJ9。
本实施例中，通过用户认证的登录状态并添加其它信息生成载荷数据，可以帮助今后收到该JWT的服务器理解这个JWT。
本实施例中，只给身份认证通过的客户端生成载荷数据进而生成网络令牌，有效保障了网络令牌的安全性和可靠性。
在一具体实施方式中，如图6所示，步骤S140，即基于载荷数据和用户敏感数据，生成带有令牌规则的网络令牌，具体包括如下步骤：
S141.采用BASE64编码算法对所述载荷数据进行编码，获取载荷部。
具体地，BASE64是网络上最常见的用于传输8Bit字节码的编码方式之一，BASE64就是一种基于64个可打印字符来表示二进制数据的方法，可用于在HTTP环境下传递较长的标识信息。在应用程序中，常常需要把二进制数据编码为适合放在URL(Universal Resource Locator,统一资源定位符)中的形式。此时，采用BASE64编码对载荷数据进行编码具有不可读性，需要解码后才能阅读。
本实施例中，采用可解码的BASE64编码方式对载荷数据进行编码，便于被授权的服务器获取网络令牌的有效性。
S142.采用预设公钥算法对用户敏感数据和载荷数据进行加密，获取签名部。
具体地，将载荷数据以及用户敏感数据Payload.Userinfo(Userinfo存放用户敏感数据)进行公钥加密得到签名部，加密算法统一采用带密钥的加密，包括但不限于：RSA(Ron Rivest、Adi Shamir、Leonard Adleman，三人名字的联名)算法、国密SM2非对称加密算法、3DES(TDEA，Triple Data Encryption Algorithm，三重数据加密算法)等。
进一步地，RSA是目前最有影响力和最常用的公钥加密算法，它能够抵抗到目前为止已知的绝大多数密码攻击，已被ISO推荐为公钥数据加密标准。SM2算法是一种较RSA更先进安全的算法，在我国商用密码体系中被用来替换RSA算法。如今只有短的RSA钥匙才可能被强力方式解破。到2008年为止，世界上还没有任何可靠的攻击RSA算法的方式。只要其钥匙的长度足够长，用RSA加密的信息实际上是不能被解破的。
3DES是DES(Data Encryption Standard，数据加密标准)加密算法的一种模式，使用3条56位的密钥对数据进行三次加密。DES是美国的一种由来已久的加密标准，使用对称密钥加密法，并于1981年被ANSI组织规范为ANSI X.3.92。DES使用56位密钥和密码块的方法，而在密码块的方法中，文本被分成64位大小的文本块然后再进行加密。比起最初的DES，3DES更为安全。
本实施例中，将用户敏感数据和载荷数据一起进行公钥加密，难以被第三方破解，有效保护用户敏感数据，防止用户敏感数据在网络传输过程中遭到泄露。
S143.基于载荷部和签名部，获取网络令牌。
具体地，经本实施例改造后的网络令牌生成方式：
Token＝BASE64(载荷部Payload)+加密算法(签名部Payload.Userinfo)
Userinfo即为用户敏感信息，在传输过程中经加密不会直接暴露。
本实施例中，通过给网络令牌中携带的用户敏感数据进行公钥加密，大大提升了网络令牌携带用户敏感数据的安全性。
应理解，上述实施例中各步骤的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本申请实施例的实施过程构成任何限定。
实施例2
图7示出与实施例1中网络令牌生成的方法一一对应的网络令牌生成的装置的原理框图。网络令牌是用于客户端和服务器双方之间传递安全信息的简洁的、URL安全的表述性声明规范。该网络令牌生成的装置应用在服务器。如图7所示，该网络令牌生成的装置包括获取登录请求模块110、进行身份认证模块120、生成载荷数据模块130、生成网络令牌模块140、和发送网络令牌模块150。其中，获取登录请求模块110、进行身份认证模块120、生成载荷数据模块130、生成网络令牌模块140和发送网络令牌模块150的实现功能与实施例1中网络令牌生成的方法对应的步骤一一对应，为避免赘述，本实施例不一一详述。
获取登录请求模块110，用于获取客户端发送的登录请求，登录请求包括终端ID和令牌有效性，令牌有效性包括初始值、有效和无效中的任一个。
进行身份认证模块120，用于若登录请求未携带网络令牌或者携带无效的网络令牌，则基于登录请求中的用户敏感数据进行身份认证。
生成载荷数据模块130，用于若身份认证通过，则生成载荷数据。
生成网络令牌模块140，用于基于载荷数据和用户敏感数据，生成带有令牌规则的网络令牌。
发送网络令牌模块150，用于将所述终端ID、所述终端ID对应的令牌规则存储到数据库，并将所述网络令牌发送给所述客户端，以使所述终端ID对应的客户端发送的所有请求携带所述网络令牌。
优选地，如图7所示，网络令牌生成的装置还包括刷新网络令牌模块160、建立安全连接模块170、和再次发送请求模块180。其中，刷新网络令牌模块160、建立安全连接模块170、和再次发送请求模块180的实现功能与实施例1中网络令牌生成的方法对应的步骤一一对应，为避免赘述，本实施例不一一详述。
刷新网络令牌模块160，用于若令牌有效性为有效，则根据预设规则刷新网络令牌的令牌有效性。
建立安全连接模块170，用于若刷新网络令牌的令牌有效性后保持有效，与终端ID对应的客户端建立安全连接。
再次发送请求模块180，用于若刷新网络令牌的令牌有效性后变更为无效，给客户端发送响应信息，以提醒客户端向服务器再次发送登录请求。
优选地，如图7所示，刷新网络令牌模块160还包括获取网络令牌单元161、检测网络令牌单元162、维持有效性单元163、和刷新有效性单元164。其中，获取网络令牌单元161、检测网络令牌单元162、维持有效性单元163、和刷新有效性单元164的实现功能与实施例1中网络令牌生成的方法对应的步骤一一对应，为避免赘述，本实施例不一一详述。
获取网络令牌单元161，用于获取登记请求携带的网络令牌，和与登录请求的终端ID相对应的存储在数据库中的令牌规则。
检测网络令牌单元162，用于根据令牌规则检测网络令牌，判断网络令牌是否完全符合令牌规则。
维持有效性单元163，用于若网络令牌完全符合令牌规则，则维持令牌有效性为有效。
刷新有效性单元164，用于若网络令牌不完全符合令牌规则，则刷新令牌有效性为无效。
优选地，如图7所示，该网络令牌生成的装置还包括获取业务请求模块210、生成业务令牌模块220、刷新网络令牌模块230、响应业务请求模块240和发送提示信息模块250。其中，获取业务请求模块210、生成业务令牌模块220、刷新网络令牌模块230、响应业务请求模块240和发送提示信息模块250的实现功能与实施例1中网络令牌生成的方法对应的步骤一一对应，为避免赘述，本实施例不一一详述。
获取业务请求模块210，用于获取客户端发送的业务请求，业务请求包括业务请求信息和令牌有效性。
生成业务令牌模块220，用于若业务请求的令牌有效性为初始值或者无效，则生成网络令牌。
刷新网络令牌模块230，用于若令牌有效性为有效，则根据预设规则刷新网络令牌的令牌有效性。
响应业务请求模块240，用于若业务请求的令牌有效性为有效，则响应业务请求信息。
发送提示信息模块250，用于若业务请求的令牌有效性为无效时，则给客户端发送提示信息，以提醒客户端向服务器再次发送业务请求。
优选地，如图7所示，生成载荷数据模块130还包括获取登录状态单元131和获取载 荷数据单元132。其中，获取登录状态单元131和获取载荷数据单元132的实现功能与实施例1中网络令牌生成的方法对应的步骤一一对应，为避免赘述，本实施例不一一详述。
获取登录状态单元131，用于若身份认证通过，则通过客户端的登录请求，获取客户端的登录状态。
获取载荷数据单元132，用于基于所述客户端的登录状态，获取载荷数据。
优选地，如图7所示，生成网络令牌模块140还包括获取载荷部单元141、获取签名部单元142、获取网络令牌单元143。其中，获取载荷部单元141、获取签名部单元142、获取网络令牌单元143的实现功能与实施例1中网络令牌生成的方法对应的步骤一一对应，为避免赘述，本实施例不一一详述。
获取载荷部单元141，用于采用BASE64编码算法对所述载荷数据进行编码，获取载荷部。
获取签名部单元142，用于采用预设公钥算法对用户敏感数据和载荷数据进行加密，获取签名部。
获取网络令牌单元143，用于基于载荷部和签名部，获取网络令牌。
优选地，如图7所示，该网络令牌生成的装置还包括设置初始值模块260。其中，设置初始值模块260的实现功能与实施例1中网络令牌生成的方法对应的步骤一一对应，为避免赘述，本实施例不一一详述。
设置初始值模块260，用于将首次发送登录请求的令牌有效性设置为初始值。
实施例3
本实施例提供一计算机可读存储介质，该计算机可读存储介质上存储有计算机可读指令，该计算机可读指令被处理器执行时实现实施例1中网络令牌生成的方法，为避免重复，这里不再赘述。或者，该计算机可读指令被处理器执行时实现实施例2中网络令牌生成的装置中各模块/单元的功能，为避免重复，这里不再赘述。
所述计算机可读存储介质可以包括：能够携带所述计算机可读指令代码的任何实体或装置、记录介质、U盘、移动硬盘、磁碟、光盘、计算机存储器、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、电载波信号、电信信号以及软件分发介质等。
实施例4
图8是本申请一实施例提供的网络令牌生成的终端设备的示意图。如图8所示，该实施例的网络令牌生成的终端设备800包括：处理器810、存储器820以及存储在存储器820 中并可在处理器810上运行的计算机可读指令830，例如网络令牌生成的程序。处理器810执行计算机可读指令830时实现上述实施例1中网络令牌生成的方法的步骤，例如图1所示的步骤S110至S150。或者，处理器810执行计算机可读指令830时实现上述实施例2中网络令牌生成的装置中各模块/单元的功能，例如图7所示获取登录请求模块110至发送网络令牌模块150的功能。
所属领域的技术人员可以清楚地了解到，为了描述的方便和简洁，仅以上述各功能单元、模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能单元、模块完成，即将所述装置的内部结构划分成不同的功能单元或模块，以完成以上描述的全部或者部分功能。
以上所述实施例仅用以说明本申请的技术方案，而非对其限制；尽管参照前述实施例对本申请进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本申请各实施例技术方案的精神和范围，均应包含在本申请的保护范围之内。

Claims (20)

  1. 一种网络令牌生成的方法,其特征在于，包括如下步骤：
    获取客户端发送的登录请求，所述登录请求包括终端ID和令牌有效性，所述令牌有效性包括初始值、有效和无效中的任一个；
    若所述令牌有效性为初始值或者无效，则基于所述登录请求中的用户敏感数据进行身份认证；
    若身份认证通过，则生成载荷数据；
    基于所述载荷数据和所述用户敏感数据，生成带有令牌规则的网络令牌，将令牌有效性设置为有效；
    将所述终端ID、所述终端ID对应的令牌规则存储到数据库，并将所述网络令牌发送给所述客户端，以使所述终端ID对应的客户端发送的所有请求携带所述网络令牌。
  2. 如权利要求1所述的网络令牌生成的方法，其特征在于，在所述获取客户端发送的登录请求的步骤之后，所述网络令牌生成的方法还包括：
    若所述令牌有效性为有效，则根据预设规则刷新所述网络令牌的令牌有效性；
    若所述刷新所述网络令牌的令牌有效性后保持有效，与所述终端ID对应的客户端建立安全连接；
    若所述刷新所述网络令牌的令牌有效性后变更为无效，给所述客户端发送响应信息，以提醒客户端向服务器再次发送登录请求。
  3. 如权利要求2所述的网络令牌生成的方法，其特征在于，则刷新所述网络令牌的令牌有效性，包括：
    获取与所述登录请求的终端ID相对应的存储在所述数据库中的令牌规则；
    根据所述令牌规则检测所述网络令牌，判断所述网络令牌是否完全符合所述令牌规则；
    若所述网络令牌完全符合所述令牌规则，则维持所述令牌有效性为有效；
    若所述网络令牌不完全符合所述令牌规则，则刷新所述令牌有效性为无效。
  4. 如权利要求1所述的网络令牌生成的方法，其特征在于，所述网络令牌生成的方法还包括：
    获取客户端发送的业务请求，所述业务请求包括业务请求信息和令牌有效性；
    若所述业务请求的令牌有效性为初始值或者无效，则生成所述网络令牌；
    若所述令牌有效性为有效，则根据预设规则刷新所述网络令牌的令牌有效性；
    若所述业务请求的令牌有效性为有效，则响应所述业务请求信息；
    若所述业务请求的令牌有效性为无效时，则给所述客户端发送提示信息，以提醒所述客户端向服务器再次发送所述业务请求。
  5. 如权利要求1所述的网络令牌生成的方法，其特征在于，所述若身份认证通过，则生成载荷数据，包括：
    若身份认证通过，则通过所述客户端的登录请求，获取所述客户端的登录状态；
    基于所述客户端的登录状态，获取载荷数据。
  6. 如权利要求1所述的网络令牌生成的方法，其特征在于，所述基于所述载荷数据和所述用户敏感数据，生成带有令牌规则的网络令牌，包括：
    采用BASE64编码算法对所述载荷数据进行编码，获取载荷部；
    采用预设公钥算法对所述用户敏感数据和所述载荷数据进行加密，获取签名部；
    基于所述载荷部和所述签名部，获取网络令牌。
  7. 如权利要求1所述的网络令牌生成的方法，其特征在于，所述获取客户端发送的登录请求的步骤之前，所述网络令牌生成的方法还包括：
    将首次发送所述登录请求的令牌有效性设置为初始值。
  8. 一种网络令牌生成的装置,其特征在于，包括：
    获取登录请求模块，用于获取客户端发送的登录请求，所述登录请求包括终端ID和令牌有效性，所述令牌有效性包括初始值、有效和无效中的任一个；
    进行身份认证模块，用于若所述登录请求未携带网络令牌或者携带无效的网络令牌，则基于所述登录请求中的用户敏感数据进行身份认证；
    生成载荷数据模块，用于若身份认证通过，则生成载荷数据；
    生成网络令牌模块，用于基于所述载荷数据和所述用户敏感数据，生成带有令牌规则的网络令牌；
    发送网络令牌模块，用于将所述终端ID、所述终端ID对应的令牌规则存储到数据库，并将所述网络令牌发送给所述客户端，以使所述终端ID对应的客户端发送的所有请求携带所述网络令牌。
  9. 一种终端设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机可读指令，其特征在于，所述处理器执行所述计算机可读指令时实现如下步骤：
    获取客户端发送的登录请求，所述登录请求包括终端ID和令牌有效性，所述令牌有效性包括初始值、有效和无效中的任一个；
    若所述令牌有效性为初始值或者无效，则基于所述登录请求中的用户敏感数据进行身份认证；
    若身份认证通过，则生成载荷数据；
    基于所述载荷数据和所述用户敏感数据，生成带有令牌规则的网络令牌，将令牌有效性设置为有效；
    将所述终端ID、所述终端ID对应的令牌规则存储到数据库，并将所述网络令牌发送给所述客户端，以使所述终端ID对应的客户端发送的所有请求携带所述网络令牌。
  10. 如权利要求9所述的终端设备，其特征在于，在所述获取客户端发送的登录请求的步骤之后，所述处理器执行所述计算机可读指令时还实现如下步骤：
    若所述令牌有效性为有效，则根据预设规则刷新所述网络令牌的令牌有效性；
    若所述刷新所述网络令牌的令牌有效性后保持有效，与所述终端ID对应的客户端建立安全连接；
    若所述刷新所述网络令牌的令牌有效性后变更为无效，给所述客户端发送响应信息，以提醒客户端向服务器再次发送登录请求。
  11. 如权利要求10所述的终端设备，其特征在于，则刷新所述网络令牌的令牌有效性，包括：
    获取与所述登录请求的终端ID相对应的存储在所述数据库中的令牌规则；
    根据所述令牌规则检测所述网络令牌，判断所述网络令牌是否完全符合所述令牌规则；
    若所述网络令牌完全符合所述令牌规则，则维持所述令牌有效性为有效；
    若所述网络令牌不完全符合所述令牌规则，则刷新所述令牌有效性为无效。
  12. 如权利要求9所述的终端设备，其特征在于，所述网络令牌生成的方法还包括：
    获取客户端发送的业务请求，所述业务请求包括业务请求信息和令牌有效性；
    若所述业务请求的令牌有效性为初始值或者无效，则生成所述网络令牌；
    若所述令牌有效性为有效，则根据预设规则刷新所述网络令牌的令牌有效性；
    若所述业务请求的令牌有效性为有效，则响应所述业务请求信息；
    若所述业务请求的令牌有效性为无效时，则给所述客户端发送提示信息，以提醒所述客户端向服务器再次发送所述业务请求。
  13. 如权利要求9所述的终端设备，其特征在于，所述若身份认证通过，则生成载荷数据，包括：
    若身份认证通过，则通过所述客户端的登录请求，获取所述客户端的登录状态；
    基于所述客户端的登录状态，获取载荷数据。
  14. 如权利要求9所述的终端设备，其特征在于，所述基于所述载荷数据和所述用户敏感数据，生成带有令牌规则的网络令牌，包括：
    采用BASE64编码算法对所述载荷数据进行编码，获取载荷部；
    采用预设公钥算法对所述用户敏感数据和所述载荷数据进行加密，获取签名部；
    基于所述载荷部和所述签名部，获取网络令牌。
  15. 一种计算机可读存储介质，所述计算机可读存储介质存储有计算机可读指令，其特征在于，所述计算机可读指令被处理器执行时实现下步骤：
    获取客户端发送的登录请求，所述登录请求包括终端ID和令牌有效性，所述令牌有效性包括初始值、有效和无效中的任一个；
    若所述令牌有效性为初始值或者无效，则基于所述登录请求中的用户敏感数据进行身份认证；
    若身份认证通过，则生成载荷数据；
    基于所述载荷数据和所述用户敏感数据，生成带有令牌规则的网络令牌，将令牌有效性设置为有效；
    将所述终端ID、所述终端ID对应的令牌规则存储到数据库，并将所述网络令牌发送给所述客户端，以使所述终端ID对应的客户端发送的所有请求携带所述网络令牌。
  16. 如权利要求15所述的计算机可读存储介质，其特征在于，在所述获取客户端发送的登录请求的步骤之后，所述计算机可读指令被处理器执行时还实现下步骤：
    若所述令牌有效性为有效，则根据预设规则刷新所述网络令牌的令牌有效性；
    若所述刷新所述网络令牌的令牌有效性后保持有效，与所述终端ID对应的客户端建立安全连接；
    若所述刷新所述网络令牌的令牌有效性后变更为无效，给所述客户端发送响应信息，以提醒客户端向服务器再次发送登录请求。
  17. 如权利要求16所述的计算机可读存储介质，其特征在于，则刷新所述网络令牌的令牌有效性，包括：
    获取与所述登录请求的终端ID相对应的存储在所述数据库中的令牌规则；
    根据所述令牌规则检测所述网络令牌，判断所述网络令牌是否完全符合所述令牌规则；
    若所述网络令牌完全符合所述令牌规则，则维持所述令牌有效性为有效；
    若所述网络令牌不完全符合所述令牌规则，则刷新所述令牌有效性为无效。
  18. 如权利要求15所述的计算机可读存储介质，其特征在于，所述网络令牌生成的方法还包括：
    获取客户端发送的业务请求，所述业务请求包括业务请求信息和令牌有效性；
    若所述业务请求的令牌有效性为初始值或者无效，则生成所述网络令牌；
    若所述令牌有效性为有效，则根据预设规则刷新所述网络令牌的令牌有效性；
    若所述业务请求的令牌有效性为有效，则响应所述业务请求信息；
    若所述业务请求的令牌有效性为无效时，则给所述客户端发送提示信息，以提醒所述客户端向服务器再次发送所述业务请求。
  19. 如权利要求15所述的计算机可读存储介质，其特征在于，所述若身份认证通过，则生成载荷数据，包括：
    若身份认证通过，则通过所述客户端的登录请求，获取所述客户端的登录状态；
    基于所述客户端的登录状态，获取载荷数据。
  20. 如权利要求15所述的计算机可读存储介质，其特征在于，所述基于所述载荷数据和所述用户敏感数据，生成带有令牌规则的网络令牌，包括：
    采用BASE64编码算法对所述载荷数据进行编码，获取载荷部；
    采用预设公钥算法对所述用户敏感数据和所述载荷数据进行加密，获取签名部；
    基于所述载荷部和所述签名部，获取网络令牌。
PCT/CN2018/077311 2018-01-08 2018-02-27 网络令牌生成的方法、装置、终端设备及存储介质 WO2019134233A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201810014392.5A CN108462581B (zh) 2018-01-08 2018-01-08 网络令牌生成的方法、装置、终端设备及存储介质
CN201810014392.5 2018-01-08

Publications (1)

Publication Number Publication Date
WO2019134233A1 true WO2019134233A1 (zh) 2019-07-11

Family

ID=63221294

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2018/077311 WO2019134233A1 (zh) 2018-01-08 2018-02-27 网络令牌生成的方法、装置、终端设备及存储介质

Country Status (2)

Country Link
CN (1) CN108462581B (zh)
WO (1) WO2019134233A1 (zh)

Families Citing this family (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109214159B (zh) * 2018-08-31 2021-11-02 武汉文楚智信科技有限公司 一种用于终端人脸识别云服务的用户信息保护系统和方法
CN109688098B (zh) * 2018-09-07 2022-05-20 平安科技（深圳）有限公司 数据的安全通信方法、装置、设备及计算机可读存储介质
CN109104432B (zh) * 2018-09-26 2020-06-09 深圳竹云科技有限公司 一种基于jwt协议的信息传递安全方法
CN109167802B (zh) * 2018-11-08 2021-07-13 金蝶软件（中国）有限公司 防止会话劫持的方法、服务器以及终端
CN111277550B (zh) * 2018-12-05 2022-07-05 中国电信股份有限公司 基于RESTful的交互方法、服务器、客户端和装置
CN109660343B (zh) * 2019-01-17 2023-06-20 平安科技（深圳）有限公司 令牌更新方法、装置、计算机设备及存储介质
CN110691087B (zh) * 2019-09-29 2022-03-01 北京搜狐新媒体信息技术有限公司 一种访问控制方法、装置、服务器及存储介质
CN112822228B (zh) * 2019-11-15 2023-05-02 北京中电普华信息技术有限公司 一种基于国密算法的浏览器文件加密上传方法及系统
CN111027047B (zh) * 2019-11-29 2024-04-02 安天科技集团股份有限公司 应用程序敏感信息管控方法、装置、电子设备及存储介质
CN112202705A (zh) * 2020-08-21 2021-01-08 上海微亿智造科技有限公司 一种数字验签生成和校验方法、系统
CN112311531B (zh) * 2020-11-05 2023-05-30 重庆邮电大学 一种可控的前后端安全通信方法
CN113051541B (zh) * 2021-03-31 2022-02-01 广州锦行网络科技有限公司 目标帐号的退登方法、装置、电子设备和计算机可读介质
CN113065160A (zh) * 2021-04-12 2021-07-02 浙江环玛信息科技有限公司 智慧法院数据传输方法及系统
CN114513313B (zh) * 2022-04-20 2022-09-27 云账户技术(天津)有限公司 基于令牌的鉴权方法、装置、电子设备及可读存储介质
CN115242499B (zh) * 2022-07-21 2024-03-01 中国平安人寿保险股份有限公司 网络请求方法、网络请求装置、电子设备、存储介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104767731A (zh) * 2015-03-12 2015-07-08 江苏中天科技软件技术有限公司 一种Restful移动交易系统身份认证防护方法
CN107196950A (zh) * 2017-06-12 2017-09-22 武汉斗鱼网络科技有限公司 校验方法、装置及服务端
US20170331802A1 (en) * 2016-05-11 2017-11-16 Oracle International Corporation Key Generation and Rollover

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2013025592A1 (en) * 2011-08-15 2013-02-21 Bank Of America Corporation Method and apparatus for token-based conditioning
US9887989B2 (en) * 2012-06-23 2018-02-06 Pomian & Corella, Llc Protecting passwords and biometrics against back-end security breaches
CN103166969A (zh) * 2013-03-12 2013-06-19 南京邮电大学 一种基于云计算平台的安全云控制器访问方法
CN106302346A (zh) * 2015-05-27 2017-01-04 阿里巴巴集团控股有限公司 Api调用的安全认证方法、装置、系统
CN113114624B (zh) * 2016-03-30 2023-04-25 创新先进技术有限公司 基于生物特征的身份认证方法和装置

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104767731A (zh) * 2015-03-12 2015-07-08 江苏中天科技软件技术有限公司 一种Restful移动交易系统身份认证防护方法
US20170331802A1 (en) * 2016-05-11 2017-11-16 Oracle International Corporation Key Generation and Rollover
CN107196950A (zh) * 2017-06-12 2017-09-22 武汉斗鱼网络科技有限公司 校验方法、装置及服务端

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
FAN,ZHANYUAN ET AL.: "JWT Authentication Technology and Its Application in WEB", DIGITAL TECHNOLOGY AND APPLICATION, 15 February 2016 (2016-02-15) *

Also Published As

Publication number Publication date
CN108462581B (zh) 2020-09-04
CN108462581A (zh) 2018-08-28

Similar Documents

Publication Publication Date Title
WO2019134233A1 (zh) 网络令牌生成的方法、装置、终端设备及存储介质
US10440151B2 (en) Service authorization handshake
JP6625211B2 (ja) 部分的に信頼できる第三者機関を通しての鍵交換
US20200329041A1 (en) Cross-region requests
US11329962B2 (en) Pluggable cipher suite negotiation
US10637855B2 (en) Enhanced authentication for secure communications
US9973481B1 (en) Envelope-based encryption method
US8719572B2 (en) System and method for managing authentication cookie encryption keys
US10797879B2 (en) Methods and systems to facilitate authentication of a user
US10182044B1 (en) Personalizing global session identifiers
US10277569B1 (en) Cross-region cache of regional sessions
KR102137122B1 (ko) 보안 체크 방법, 장치, 단말기 및 서버
US10764294B1 (en) Data exfiltration control
US10348701B2 (en) Protecting clients from open redirect security vulnerabilities in web applications
CN111130798B (zh) 一种请求鉴权方法及相关设备
US11700121B2 (en) Secure authorization for sensitive information
US20180262471A1 (en) Identity verification and authentication method and system
CN114244522B (zh) 信息保护方法、装置、电子设备及计算机可读存储介质
CN111740995B (zh) 一种授权认证方法及相关装置
CN115242471B (zh) 信息传输方法、装置、电子设备及计算机可读存储介质
US20150333909A1 (en) Information processing system and information processing method
US20220263818A1 (en) Using a service worker to present a third-party cryptographic credential
US11722464B2 (en) Symmetric account authentication
CN116647413B (zh) 应用登录方法、装置、计算机设备和存储介质
CN115834077B (zh) 控制方法、控制系统、电子设备及存储介质

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18898507

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

32PN Ep: public notification in the ep bulletin as address of the adressee cannot be established

Free format text: NOTING OF LOSS OF RIGHTS PURSUANT TO RULE 112(1) EPC (EPO FORM 1205A DATED 13/10/2020)

122 Ep: pct application non-entry in european phase

Ref document number: 18898507

Country of ref document: EP

Kind code of ref document: A1