CN109040030A - 单点登录方法和系统 - Google Patents

Abstract

本发明实施例提供一种单点登录方法和系统。所述系统包括：工作区、认证客户端和认证服务器，工作区集成了多个单点登录的应用系统，认证客户端用于接收用户输入的账户信息或身份认证信息，当账户信息或身份认证信息正确时进入工作区；应用系统用于在接收到用户的打开指令后，向认证客户端发送获取授权码的请求，接收认证客户端发送的授权码，将授权码发送给认证服务器；认证客户端还用于通过认证服务器获取授权码，将授权码返回给应用系统；认证服务器还用于验证应用系统发送的授权码，验证成功之后将账户信息发送给应用系统，以使应用系统进行登录。本发明实施例避免了账户信息在网络上传输，提高了安全性。

Description

单点登录方法和系统

技术领域

本发明实施例涉及计算机技术领域，尤其涉及一种单点登录方法和系统。

背景技术

目前，在大型企业中移动办公越来越普遍，但是各种业务的应用系统 都需要不同身份认证，用户从一个应用系统切换到另一个应用系统中，需 要频繁地进行身份验证，给办公人员带来不便，单点登录提供一种整套移 动办公业务整合的解决方案，用户只需要登录一次就可以访问所有相互信 任的应用系。

目前单点登录的实现方法比较多，但是都需大量的网络交互流程且需 要将用户登录的账户信息在互联网上传输，传输过程中会存在被外网攻击 的风险，应用系统的安全性不能得到保障。

发明内容

针对现有技术问题，本发明实施例提供一种单点登录方法和系统。

一方面，本发明实施例提供一种单点登录系统，所述系统包括：

工作区、认证客户端和认证服务器，所述工作区集成了多个单点登录的 应用系统，所述认证客户端为工作区的入口，其中：

所述认证客户端，用于接收用户输入的账户信息或身份认证信息，当用 户输入的账户信息或身份认证信息正确时，进入工作区；

所述应用系统，用于在接收到用户的打开指令后，向认证客户端发送获 取授权码的请求，还用于接收认证客户端发送的授权码，并将授权码发送给 所述认证服务器；

所述认证客户端，还用于接收应用系统发送的获取授权码的请求，通过 所述认证服务器获取授权码，并将授权码返回给所述应用系统；

所述认证服务器，还用于验证应用系统发送的授权码，在验证成功之后， 将账户信息发送给应用系统，以使所述应用系统进行登录。

另一方面，本发明实施例提供一种单点登录方法，所述方法包括：

认证客户端接收用户输入的账户信息或身份认证信息，当用户输入的账 户信息或身份认证信息正确时，进入工作区；

应用系统在接收到用户的打开指令后，向认证客户端发送获取授权码的 请求；

认证客户端接收应用系统发送的获取授权码的请求，通过所述认证服务 器获取授权码，并将授权码返回给应用系统；

应用系统接收认证客户端发送的授权码，并将授权码发送给所述认证服 务器；

认证服务器验证应用系统发送的授权码，在验证成功之后，将账户信 息发送给应用系统，以使所述应用系统进行登录。

另一方面，本发明实施例还提供一种电子设备，包括存储器、处理器以 及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述 程序时实现如上述单点登录方法的步骤。

另一方面，本发明实施例还提供一种非暂态计算机可读存储介质，其上 存储有计算机程序，所述程序被处理器执行时实现如上述单点登录方法的步 骤。

本发明实施例通过认证服务器对应用系统进行验证，避免了账户信息在 网络上传输，提高了单点登录的安全性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实 施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下 面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在 不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明一实施例提供的单点登录系统的结构示意图；

图2为本发明一实施例提供的单点登录方法的流程示意图；

图3为本发明又一实施例提供的单点登录方法的流程示意图；

图4为本发明一实施例提供的电子设备的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发 明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述， 显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于 本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获 得的所有其他实施例，都属于本发明保护的范围。

图1示出了本发明实施例提供的一种单点登录系统的结构示意图。

本发明实施例提供的单点登录系统包括：工作区、认证客户端和认证服 务器，所述工作区集成了多个单点登录的应用系统，所述认证客户端为工作 区的入口，参照图1，以一个应用系统为例说明本发明实施例提供的单点登 录系统的结构示意图：

所述认证客户端，用于接收用户输入的账户信息或身份认证信息，当用 户输入的账户信息或身份认证信息正确时，进入工作区；

所述应用系统，用于在接收到用户的打开指令后，向认证客户端发送获 取授权码的请求，还用于接收认证客户端发送的授权码，并将授权码发送给 所述认证服务器；

所述认证客户端，还用于接收应用系统发送的获取授权码的请求，通过 所述认证服务器获取授权码，并将授权码返回给所述应用系统；

所述认证服务器，还用于验证应用系统发送的授权码，在验证成功之后， 将账户信息发送给应用系统，以使所述应用系统进行登录。

本发明实施例通过认证服务器对应用系统进行验证，避免了账户信息在 网络上传输，提高了单点登录的安全性。

本发明实施例提供的工作区为受信任的应用提供单点登录的能力，所有 进行单点登录的应用系统均集成在工作区中，认证客户端为工作区的入口， 用户在进入工作区前，需要通过输入账户密码或特定的身份认证(如手势认 证等)才能够解锁工作区的界面，从而使用工作区中的各个应用，认证客户 端为工作区提供调用者身份的安全性保障。

工作区中的各个应用系统在接收到用户的打开指令后，向认证客户端获 取授权码。认证客户端在在接收到应用系统发送的获取授权码的请求之后， 携带应用系统的标识向认证服务器请求获取授权码，然后将获取的授权码发 送给应用系统。应用系统在获取到授权码后，将授权码发送给认证服务器， 以进行是否为受信任应用的验证。认证服务器对应用系统验证完成后，如果 验证成功，将用户注册的账户信息发送给应用系统，从而实现应用系统的单 点登录。

工作区为所有应用系统提供单点登录，例如针对移动办公业务，工作区 提供整套移动办公单点登录，只需要在工作区登陆一次，所有移动办公应用 均不需要自行登录，直接打开即可办公。

需要说明的是，上述交互流程都是后台操作，用户无感知，提高了用户 体验。

本发明实施例提供的单点登录系统通过认证服务器对应用系统进行验 证，在工作区中打开受信任的应用系统不需要频繁输入密码，实现各应用系 统的单点登录，安全高效。

具体地，所述认证客户端在接收到应用系统发送的获取授权码的请求之 后，向所述认证服务器发送携带有所述应用系统标识(如应用系统包名)的 获取授权码的请求；

所述认证服务器接收所述认证客户端发送的获取授权码的请求，并随机 生成加密的授权码，将生成的授权码发送给所述认证客户端。

在具体实施过程中，应用系统向认证客户端获取的授权码为认证客户端 通过认证服务获取的，是认证服务器随机生成的加密字符串编码，因此应用 系统携带授权码向认证服务器进行验证时，认证服务器能够识别出此授权码 为自身颁发出来的认证码，从而能够认为打开该应用系统的用户为可信任用 户，进而将用户注册的账户信息发送给应用系统，使应用系统进行登录，无 需再输入账户信息便可直接打开，实现单点登录。

在上述实施例的基础上，所述应用系统包括：应用客户端和应用服务器， 其中：

所述应用客户端，用于在接收到用户的打开指令后，向认证客户端发送 获取授权码的请求，还用于在接收到认证客户端发送的授权码后，将授权码 发送到对应的应用服务器；

所述应用服务器，用于接收应用客户端发送的授权码，并将授权码发送 给所述认证服务器；

所述认证服务器，用于验证应用服务器发送的授权码，当验证成功之后， 将账户信息发送给应用服务器，以使所述应用服务器进行登录。

上述交互流程中，授权码的验证和账户信息的交互都是在应用服务器和 认证服务器之间进行，上述实现单点登录的交互过程中没有将账户信息在互 联网上进行传输，提高了账户信息的安全性。

通常认证服务器部署在内网，应用服务器可以部署在公网或者内网，因 此认证服务器仅与固定IP的应用服务器交互，能够减少认证服务器被外网攻 击的几率，提高网络通道的安全性。将应用服务器部署在内网，能够使账户 信息的交互都在内网之间进行，安全性和速度均可以保障。

所述认证服务器，还用于在对应用服务器发送的授权码验证完成之后， 将授权码销毁。

具体地，授权码是一次性的随机码，工作区和应用客户端没有保存，认 证服务器验证完成直接销毁，能够防止授权码的盗用，提高验证的安全性。

在上述实施例的基础上，本发明实施例还包括：

所述工作区，用于在接收到用户的打开指令后，启动所述认证客户端；

所述认证客户端，用于在第一次登录时，接收用户输入的账户信息，接 收用户设置的身份认证信息，在不超过指定天数内用户再次登录时，验证用 户输入的身份认证信息；

还用于在超过所述指定天数后用户再次登录时，提示用户重新输入账户 信息，并验证用户输入的账户信息。

具体地，工作区首先需要安装认证客户端，首次激活注册工作区时，调 用认证客户端，提示用户输入账户信息(包括用户名和密码)，通过后提示 用户设置身份认证信息，设置完成后进入工作区。

用户再次进入工作区时，只需输入一次身份认证信息，便可进入工作区； 如果超过一定天数后，用户再次登录需要重新输入用户名和密码。

具体地，所述用户设置的身份认证信息包括：手势、口令和指纹。

本发明实施例还提供一种单点登录方法。

图2示出了本发明实施例提出的单点登录方法的流程示意图。

参照图2，本发明实施例提出的单点登录方法具体包括以下步骤：

S11、认证客户端接收用户输入的账户信息或身份认证信息，当用户输入 的账户信息或身份认证信息正确时，进入工作区；

S12、应用系统在接收到用户的打开指令后，向认证客户端发送获取授权 码的请求；

S13、认证客户端接收应用系统发送的获取授权码的请求，通过所述认证 服务器获取授权码，并将授权码返回给应用系统；

S14、应用系统接收认证客户端发送的授权码，并将授权码发送给所述认 证服务器；

S15、认证服务器验证应用系统发送的授权码，在验证成功之后，将账户 信息发送给应用系统，以使所述应用系统进行登录。

本发明实施例提供的单点登录方法，通过认证服务器对应用系统进行验 证，避免了账户信息在网络上传输，提高了单点登录的安全性。

具体地，所述认证客户端通过所述认证服务器获取授权码包括：

认证客户端在接收到应用系统发送的获取授权码的请求之后，向所述认 证服务器发送携带有所述应用系统标识的获取授权码的请求；

所述认证服务器接收所述认证客户端发送的获取授权码的请求，并随机 生成加密的授权码，将生成的授权码发送给所述认证客户端。

具体地，所述方法还包括：

所述应用客户端在接收到用户的打开指令后，向认证客户端发送获取授 权码的请求，在接收到认证客户端发送的授权码后，将授权码发送到对应的 应用服务器；

应用服务器接收应用客户端发送的授权码，并将授权码发送给所述认证 服务器；

认证服务器验证应用服务器发送的授权码，当验证成功之后，将账户信 息发送给应用服务器，以使所述应用服务器进行登录。

具体地，所述方法还包括：

所述认证服务器在对应用服务器发送的授权码验证完成之后，将授权码 销毁。

具体地，所述方法还包括：

工作区在接收到用户的打开指令后，启动所述认证客户端；

认证客户端在第一次登录时，接收用户输入的账户信息，接收用户设置 的身份认证信息，在不超过指定天数内用户再次登录时，验证用户输入的身 份认证信息；

在超过所述指定天数后用户再次登录时，认证客户端提示用户重新输入 账户信息，并验证用户输入的账户信息。

具体地，所述用户设置的身份认证信息包括：手势、口令和指纹。

下面用具体例子对本发明实施例提供的单点登录方法进行详细阐述。

图3示出了发明又一实施例提供的单点登录方法的流程示意图。

参照图3，360ID为认证客户端，360ID服务器为认证服务器，OA应用 为天机工作区的一个APP，天机工作区为所有应用系统提供单点登录能力。

本发明实施例提供的单点登录方法具体包括进入天机工作区的流程和打 开OA系统的流程。

进入天机工作区的流程具体包括以下步骤：

用户打开天机工作区；360ID客户端自动唤醒；360ID客户端向360ID服 务器进行身份认证；验证成功后进入天机工作区。

打开OA系统的流程具体包括以下步骤：

用户打开OA应用；OA应用唤起360ID客户端；360ID客户端通过360ID 服务器获取授权码；360ID客户端将授权码传送给OA应用；OA应用将将授 权码传送给OA服务器；OA应用将授权码传送给OA服务器；OA服务器将 授权码发送给360ID服务器；360ID服务器验证成功后，将账户信息发送给 OA服务器进行登录。

本发明实施例还提供一种电子设备，包括存储器、处理器及存储在存储 器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如 图2的方法。

图4示出了本发明一实施例提供的电子设备的结构示意图。

如图4所示，本发明实施例提供的电子设备包括存储器21、处理器22、 总线23以及存储在存储器21上并可在处理器22上运行的计算机程序。其中， 所述存储器21、处理器22通过所述总线23完成相互间的通信。

所述处理器22用于调用所述存储器21中的程序指令，以执行所述程序 时实现如图2的方法。

例如，所述处理器执行所述程序时实现如下方法：

认证客户端接收用户输入的账户信息或身份认证信息，当用户输入的账 户信息或身份认证信息正确时，进入工作区；

应用系统在接收到用户的打开指令后，向认证客户端发送获取授权码的 请求；

认证客户端接收应用系统发送的获取授权码的请求，通过所述认证服务 器获取授权码，并将授权码返回给应用系统；

应用系统接收认证客户端发送的授权码，并将授权码发送给所述认证服 务器；

认证服务器验证应用系统发送的授权码，在验证成功之后，将账户信息 发送给应用系统，以使所述应用系统进行登录。

本发明实施例提供的电子设备，通过认证服务器对应用系统进行验证， 避免了账户信息在网络上传输，提高了单点登录的安全性。

本发明实施例还提供一种非暂态计算机可读存储介质，所述存储介质上 存储有计算机程序，所述程序被处理器执行时实现如图2的步骤。

例如，所述处理器执行所述程序时实现如下方法：

认证客户端接收用户输入的账户信息或身份认证信息，当用户输入的账 户信息或身份认证信息正确时，进入工作区；

应用系统在接收到用户的打开指令后，向认证客户端发送获取授权码的 请求；

认证客户端接收应用系统发送的获取授权码的请求，通过所述认证服务 器获取授权码，并将授权码返回给应用系统；

应用系统接收认证客户端发送的授权码，并将授权码发送给所述认证服 务器；

认证服务器验证应用系统发送的授权码，在验证成功之后，将账户信息 发送给应用系统，以使所述应用系统进行登录。

本发明实施例提供的非暂态计算机可读存储介质，通过认证服务器对应 用系统进行验证，避免了账户信息在网络上传输，提高了单点登录的安全性。

本发明一实施例公开一种计算机程序产品，所述计算机程序产品包括存 储在非暂态计算机可读存储介质上的计算机程序，所述计算机程序包括程序 指令，当所述程序指令被计算机执行时，计算机能够执行上述各方法实施例 所提供的方法，例如包括：

认证客户端接收用户输入的账户信息或身份认证信息，当用户输入的账 户信息或身份认证信息正确时，进入工作区；

应用系统在接收到用户的打开指令后，向认证客户端发送获取授权码的 请求；

认证客户端接收应用系统发送的获取授权码的请求，通过所述认证服务 器获取授权码，并将授权码返回给应用系统；

应用系统接收认证客户端发送的授权码，并将授权码发送给所述认证服 务器；

认证服务器验证应用系统发送的授权码，在验证成功之后，将账户信息 发送给应用系统，以使所述应用系统进行登录。

本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施 例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味 着处于本发明的范围之内并且形成不同的实施例。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实 施方式可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬 件。基于这样的理解，上述技术方案本质上或者说对现有技术做出贡献的部 分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可 读存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台 计算机设备(可以是个人计算机，服务器，或者网络设备等)执行各个实施 例或者实施例的某些部分所述的方法。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其 限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术 人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或 者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技 术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (14)

1.一种单点登录系统，其特征在于，所述系统包括：

工作区、认证客户端和认证服务器，所述工作区集成了多个单点登录的应用系统，所述认证客户端为工作区的入口，其中：

所述认证客户端，用于接收用户输入的账户信息或身份认证信息，当用户输入的账户信息或身份认证信息正确时，进入工作区；

所述应用系统，用于在接收到用户的打开指令后，向认证客户端发送获取授权码的请求，还用于接收认证客户端发送的授权码，并将授权码发送给所述认证服务器；

所述认证客户端，还用于接收应用系统发送的获取授权码的请求，通过所述认证服务器获取授权码，并将授权码返回给所述应用系统；

所述认证服务器，还用于验证应用系统发送的授权码，在验证成功之后，将账户信息发送给应用系统，以使所述应用系统进行登录。

2.根据权利要求1所述的系统，其特征在于，

所述认证客户端在接收到应用系统发送的获取授权码的请求之后，向所述认证服务器发送携带有所述应用系统标识的获取授权码的请求；

所述认证服务器接收所述认证客户端发送的获取授权码的请求，并随机生成加密的授权码，将生成的授权码发送给所述认证客户端。

3.根据权利要求2所述的系统，其特征在于，所述应用系统包括：应用客户端和应用服务器，其中：

所述应用客户端，用于在接收到用户的打开指令后，向认证客户端发送获取授权码的请求，还用于在接收到认证客户端发送的授权码后，将授权码发送到对应的应用服务器；

所述应用服务器，用于接收应用客户端发送的授权码，并将授权码发送给所述认证服务器；

所述认证服务器，用于验证应用服务器发送的授权码，当验证成功之后，将账户信息发送给应用服务器，以使所述应用服务器进行登录。

4.根据权利要求3所述的系统，其特征在于，

所述认证服务器，还用于在对应用服务器发送的授权码验证完成之后，将授权码销毁。

5.根据权利要求1所述的系统，其特征在于，

所述工作区，用于在接收到用户的打开指令后，启动所述认证客户端；

所述认证客户端，用于在第一次登录时，接收用户输入的账户信息，接收用户设置的身份认证信息，在不超过指定天数内用户再次登录时，验证用户输入的身份认证信息；

还用于在超过所述指定天数后用户再次登录时，提示用户重新输入账户信息，并验证用户输入的账户信息。

6.根据权利要求5所述的方法，其特征在于，所述用户设置的身份认证信息包括：手势、口令和指纹。

7.一种单点登录方法，其特征在于，所述方法包括：

认证客户端接收用户输入的账户信息或身份认证信息，当用户输入的账户信息或身份认证信息正确时，进入工作区；

应用系统在接收到用户的打开指令后，向认证客户端发送获取授权码的请求；

认证客户端接收应用系统发送的获取授权码的请求，通过所述认证服务器获取授权码，并将授权码返回给应用系统；

应用系统接收认证客户端发送的授权码，并将授权码发送给所述认证服务器；

认证服务器验证应用系统发送的授权码，在验证成功之后，将账户信息发送给应用系统，以使所述应用系统进行登录。

8.根据权利要求7所述的方法，其特征在于，所述认证客户端通过所述认证服务器获取授权码包括：

认证客户端在接收到应用系统发送的获取授权码的请求之后，向所述认证服务器发送携带有所述应用系统标识的获取授权码的请求；

所述认证服务器接收所述认证客户端发送的获取授权码的请求，并随机生成加密的授权码，将生成的授权码发送给所述认证客户端。

9.根据权利要求8所述的方法，其特征在于，所述方法还包括：

所述应用客户端在接收到用户的打开指令后，向认证客户端发送获取授权码的请求，在接收到认证客户端发送的授权码后，将授权码发送到对应的应用服务器；

应用服务器接收应用客户端发送的授权码，并将授权码发送给所述认证服务器；

认证服务器验证应用服务器发送的授权码，当验证成功之后，将账户信息发送给应用服务器，以使所述应用服务器进行登录。

10.根据权利要求9所述的方法，其特征在于，所述方法还包括：

所述认证服务器在对应用服务器发送的授权码验证完成之后，将授权码销毁。

11.根据权利要求7所述的方法，其特征在于，所述方法还包括：

工作区在接收到用户的打开指令后，启动所述认证客户端；

认证客户端在第一次登录时，接收用户输入的账户信息，接收用户设置的身份认证信息，在不超过指定天数内用户再次登录时，验证用户输入的身份认证信息；

在超过所述指定天数后用户再次登录时，认证客户端提示用户重新输入账户信息，并验证用户输入的账户信息。

12.根据权利要求11所述的方法，其特征在于，所述用户设置的身份认证信息包括：手势、口令和指纹。

13.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求7至12任一项所述单点登录方法的步骤。

14.一种非暂态计算机可读存储介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现如权利要求7至12任一项所述单点登录方法的步骤。