CN118368135A - 认证登录方法、装置、电子设备和计算机可读存储介质 - Google Patents

Abstract

本申请提供一种认证登录方法、装置、电子设备和计算机可读存储介质，涉及网络管理领域。该认证登录方法应用于目标服务器中的应用系统和第一认证系统；该认证登录方法包括：基于目标用户请求登录目标应用系统的用户请求，判断第一认证系统是否正常工作；若判定第一认证系统正常工作，则根据目标用户的用户登录信息，判断目标用户是否已登录任意应用系统；若判定目标用户未登录任意应用系统，则基于用户登录信息，确定目标登录路径，登录目标应用系统。使用本申请实施例提供的认证登录方法能够实现在保证用户安全性的前提下，提升用户登录的可靠性和稳定性，并且解决了单用户多种权限身份场景下的登录问题。

Description

认证登录方法、装置、电子设备和计算机可读存储介质

技术领域

本申请涉及网络管理领域，具体而言，涉及一种认证登录方法、装置、电子设备和计算机可读存储介质。

背景技术

在例如企业SaaS(Software as a Service，一种基于云计算技术的软件服务模式)云平台中，用户需要从客户端登录对多个系统进行登录访问。通常来说需要用户逐一登录每个系统实现对每个系统的访问。然而对于用户来说，逐一登录每个系统是十分繁琐的，会极大地浪费用户的时间，导致用户体验感降低；同时，也会增加安全风险。

目前，针对用户需要逐一登录某一特定服务器的多个独立的应用系统的情况，会使用单点登录的方法来解决用户登录繁琐和浪费用户的时间等问题。但是，目前的单点登录方法，过于依赖认证系统，并且应用场景也存在限制；导致系统的稳定性和安全性都存在风险，用户体验也有待提升。

发明内容

本申请实施例的目的在于提供一种认证登录方法、装置、电子设备和计算机可读存储介质，通过在确定第一认证系统正常工作的情况下，确认用户是否已经登录过应用系统，在用户未登录过应用系统的情况下对用户进行对应的特定认证，确定出目标用户的特定认证通道；认证通过后下发指定的访问令牌，后续用户访问平台内其他应用系统时，可以携带指定的访问令牌实现平台内任意应用系统的登录认证。从而提升用户登录的可靠性和稳定性，并且解决了单用户多种权限身份场景下的登录问题。

第一方面，本申请实施例提供一种认证登录方法，该认证登录方法应用于目标服务器中的应用系统和第一认证系统；该认证登录方法包括：基于目标用户请求登录目标应用系统的用户请求，判断第一认证系统是否正常工作；若判定第一认证系统正常工作，则根据目标用户的用户登录信息，判断目标用户是否已登录任意应用系统；若判定目标用户未登录任意应用系统，则基于用户登录信息，确定目标登录路径，登录目标应用系统。

在上述实现过程中，本申请实施例提供的认证登录方法，在确定第一认证系统正常工作，且用户未登录过应用系统的情况下对用户进行对应的特定认证，确定出目标用户的特定认证通道；认证通过后下发指定的访问令牌，后续用户访问平台内其他应用系统时，可以携带指定的访问令牌实现平台内任意应用系统的登录认证。使用本申请实施例提供的认证登录方法能够实现在保证用户安全性的前提下，提升用户登录的可靠性和稳定性；并且由于针对不同身份的目标用户对应着不同的认证通道，从而解决了单用户多种权限身份场景下的登录问题。

可选地，在本申请实施例中，其中，目标应用系统包括第二认证系统；基于目标用户请求登录目标应用系统的用户请求，判断第一认证系统是否正常工作，包括：判断第一认证系统在接收用户登录请求之后，是否产生系统故障标识；若判定第一认证系统产生系统故障标识，则判定第一认证系统工作异常；在判定第一认证系统工作异常之后，认证登录方法还包括：调用第二认证系统登录目标应用系统。

在上述实现过程中，本申请实施例提供的认证登录方法通过对第一认证系统的工作状态进行判断，当发现其出现异常时，目标应用系统能够及时识别并调用第二认证系统进行身份认证。本申请实施例提供的认证登录方法以目标应用系统作为备用的认证登录方案，提高了目标用户登录目标应用的容错性和可用性，提升了用户体验。

可选地，在本申请实施例中，其中，目标用户的用户登录信息包括历史访问令牌、目标用户名和目标用户角色；根据目标用户的用户登录信息，判断目标用户是否已登录任意应用系统，包括：根据用户请求，调用第一认证系统的拦截过滤机制；基于拦截过滤机制，使用历史访问令牌查找拦截过滤机制对应的数据库中是否已存储有历史访问令牌对应的目标用户名，和与目标用户名对应的目标用户角色；若判定拦截过滤机制对应的数据库中已存储有历史访问令牌对应的目标用户名，和与目标用户名对应的目标用户角色，则判定目标用户已登录任意应用系统。

在上述实现过程中，本申请实施例提供的认证登录方法系统可以快速、高效地判断用户是否已经登录过多个应用系统的任意一个，从而实现免重复登录；从而能够提高用户体验，减少了用户重复登录的操作。

可选地，在本申请实施例中，其中，拦截过滤机制用于提取并验证用户角色与权限；拦截过滤机制包括普通用户拦截过滤、特殊用户拦截过滤和/或管理员拦截过滤。

在上述实现过程中，本申请实施例提供的认证登录方法根据用户的角色和权限，对不同类型的用户进行精确的访问控制，保障了系统的安全性和功能性。普通用户、特殊用户和管理员用户等可以分别访问他们被授权的功能，从而能够针对不同的用户群体提供针对性、差异性服务，提高了系统的灵活性和可维护性。

可选地，在本申请实施例中，其中，目标用户的用户登录信息还包括目标访问入口、目标用户登录校验信息；则基于用户登录信息，确定目标登录路径，登录目标应用系统，包括：据目标用户名和目标访问入口，判断目标用户的目标用户来源；基于目标用户来源、目标用户名和目标用户角色，确定目标登录类型对应的目标数据连接器；目标数据连接器将目标用户名和目标用户登录校验信息与用户数据库中的用户名和用户登录校验信息进行比对；在目标用户名和目标用户登录校验信息比对一致的情况下，允许目标用户登录目标应用系统。

在上述实现过程中，本申请实施例提供的认证登录方法，使用Shiro框架和自定义的Realm来管理用户的身份认证和权限验证，根据用户请求的权限类型动态选择相应的Realm，然后通过该Realm来进行用户身份认证和权限验证。在同一用户存在多种权限的情况下，根据当前用户登录时所请求的权限，第一认证系统将调用相应的验证过程，解决了单用户多种权限身份场景下的登录问题，为用户提供了更加便利的访问体验。

可选地，在本申请实施例中，在允许目标用户登录目标应用系统之后，方法还包括：生成目标用户的目标访问令牌，并将目标访问令牌存储于拦截过滤机制对应的数据库中；其中，目标访问令牌的存在有效时限。

在上述实现过程中，本申请实施例提供的认证登录方法通过生成和管理目标访问令牌，能够实现用户的持久登录和单点访问，同时保障了系统的安全性和用户的隐私。令牌的有效时限可以根据实际需求进行灵活设置，以平衡用户体验和安全性。

可选地，在本申请实施例中，该方法还包括：若判定目标用户已登录任意应用系统，则验证目标客户所携带的历史访问令牌是否与第一认证系统的拦截过滤机制对应的数据库中存储的访问令牌一致；若判定目标客户所携带的历史访问令牌与第一认证系统的拦截过滤机制对应的数据库中存储的访问令牌一致，则允许目标用户登录目标应用系统。

在上述实现过程中，若目标用户已经登录任意一个应用系统，通过验证用户携带的历史访问令牌，不仅能够确认用户的身份，还能够快速判断用户是否已通过认证，从而允许用户无需重新登录即可访问目标应用系统。用户无需频繁输入密码或验证码，同时系统能够快速响应用户的访问请求，不仅增强了用户的满意度，还提升了系统的整体性能和安全水平。

第二方面，本申请实施例提供一种认证登录装置，该认证登录装置用于目标服务器中的应用系统和认证系统，认证系统包括第一认证系统；认证登录装置包括：第一认证系统工作状况检测模块、历史登录情况确定模块和认证登录模块；

第一认证系统工作状况检测模块用于基于目标用户请求登录目标应用系统的用户请求，判断第一认证系统是否正常工作；

历史登录情况确定模块在第一认证系统正常工作的情况下，根据目标用户的用户登录信息，判断目标用户是否已登录任意应用系统；

认证登录模块用于在目标用户未登录任意应用系统的情况下，基于用户登录信息，确定目标登录路径，登录目标应用系统。

第三方面，本申请实施例提供一种电子设备，所述电子设备包括存储器和处理器，所述存储器中存储有程序指令，所述处理器读取并运行所述程序指令时，执行上述认证登录方法任一实现方式中的步骤。

第四方面，本申请实施例还提供一种计算机可读存储介质，所述可读取存储介质中存储有计算机程序指令，所述计算机程序指令被一处理器读取并运行时，执行上述认证登录方法任一实现方式中的步骤。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对本申请实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本申请的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1为本申请实施例提供的认证登录方法的流程图；

图2为本申请实施例提供的第一认证系工作状态的判断流程图；

图3为本申请实施例提供的免登录判断流程图；

图4为本申请实施例提供的初次登录的流程图；

图5为本申请实施例提供的认证登录装置的模块示意图；

图6为本申请实施例提供的电子设备的结构示意图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行描述。例如，附图中的流程图和框图显示了根据本发明的多个实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现方式中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。另外，在本发明各个实施例中的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。

在例如企业SaaS(Software as a Service，一种基于云计算技术的软件服务模式)云平台中、企业内部的多个不同的系统(如企业邮箱、人力资源管理系统、财务管理系统等等)、医疗保健系统的医疗信息系统和电子病例系统等，这些场景通常需要从客户端登录对多个系统进行登录访问。

通常来说需要用户逐一登录每个系统实现对每个系统的访问。例如，企业员工A想要登录a系统、b系统和c系统；那么员工A需要分别登录a系统、b系统和c系统，输入三次账号密码等验证信息进行身份验证。然而这样的方式对用户来说，而且每个系统登录态时长都不一致，对于某个用户如果要同时使用多个系统就很不方便，要登录很多次，用户需要多次进行身份验证实现登陆；另外，如果用户在多个系统登录需要注销登录态，就需要每个平台都登录，而且用户密码在多个系统之间单独存储，影响整体安全性。

目前为了克服上述逐一登录每个系统操作繁琐、安全风险较高的问题，将分散于多个应用系统的用户登录模块抽离出来，形成一个单独的认证系统。用户通过浏览器、APP或小程序访问应用系统时，若用户尚未登录应用系统，则需要访问认证系统进行身份认证；认证通过之后，认证系统将会下发认证码。客户端可以通过携带该认证码去访问特定的应用系统，特定的应用系统可以根据该认证代码对请求登录的用户进行验证。

发明人研究发现，在上述将多个应用系统的登录模块抽离出来建立一个认证系统的过程中，所有应用系统的登录都依赖于认证系统，如果认证系统受到攻击或者出现故障，那么所有应用系统的登录都会受到影响。并且这样的方式也无法适用于一个用户拥有多种权限的应用场景。

基于此，本申请提出一种认证登录方法、装置、电子设备和计算机可读存储介质。该认证登录方法应用于服务器中的多个应用系统以及服务器中的第一认证系统，该认证登录方法在确定第一认证系统正常工作的情况下，确认用户是否已经登录过应用系统，在用户未登录过应用系统的情况下对用户进行对应的特定认证，确定出目标用户的特定认证通道；认证通过后下发指定的访问令牌，后续用户访问平台内其他应用系统时，可以携带指定的访问令牌实现平台内任意应用系统的登录认证。使用本申请实施例提供的认证登录方法能够实现在保证用户安全性的前提下，提升用户登录的可靠性和稳定性，并且解决了单用户多种权限身份场景下的登录问题。

请参看图1，图1为本申请实施例提供的认证登录方法的流程图；本申请提供一种认证登录方法，该认证登录方法可以通过图6的电子设备执行。

在介绍本申请提供的认证登录方法的具体内容之前，需要说明的是，该认证登录方法应用于服务器中的多个应用系统以及服务器中的第一认证系统，也就是说，可以将服务器中的应用系统和第一认证系统理解为两个独立的系统，彼此之间存在通讯联系。另外，本申请实施例中的所指的服务器中的应用系统指的是同一平台的多个系统，例如SaaS平台中的后台管理系统、微信公众号管理系统、数据采集系统等；再例如企业管理系统中的人力资源系统、财务系统等。

该认证登录方法包括以下步骤：

步骤S100：基于目标用户请求登录目标应用系统的用户请求，判断第一认证系统是否正常工作。

在上述步骤S100中，根据目标用户的请求登录目标应用系统的用户请求判断第一认证系统是不是处于正常工作状态。

示例性地，目标用户向目标应用系统发送用户请求，根据此用户请求获得的反馈信息判断第一认证系统是否正常工作。

关于第一认证系统是否正常工作，本申请实施例中所指的正常工作包括：系统网络连接正常、服务是否启用、身份验证流程是否正确等。

步骤S200：若判定第一认证系统正常工作，则根据目标用户的用户登录信息，判断目标用户是否已登录应用系统。

在上述步骤S200中，如果第一认证系统为正常工作状态，那么根据目标用户的用户登录信息判断目标用户是否已经登录了目标应用系统或者除去目标应用系统之外的其他应用系统(应用系统的至少一者)。

判断目标用户是否已登录应用系统，可能存在的情况有两种，一种是目标用户从未登录过任何一个该平台中的应用系统；另一种情况是目标用户曾经登录过该平台中的某一个或者几个应用系统，但是该目标用户的登录信息的有效期已经失效。这两种情况都会被判定为目标用户未登录应用系统。

步骤S300：若判定目标用户未登录任意应用系统，则基于用户登录信息，确定目标登录路径，登录目标应用系统。

在上述步骤S300中，如果判定目标用户未登录所有应用系统，则基于用户登录信息确定该目标用户的目标登录路径，并通过对应的目标登录路径登录最初用户请求登录的目标应用系统。

示例性地，假设某平台包括a系统、b系统和c系统；若目标用户向a系统发出用户请求，a系统请求第一认证系统对目标用户进行身份认证；如果第一认证系统存在故障，那么第一认证系统在接收到用户请求之后，能够对用户请求进行反馈；进一步地，根据用户反馈判断第一认证系统的故障类型。如果第一认证系统不存在故障，那么根据用户登录信息判断目标用户是否已经登录了a系统、b系统和c系统之一，如登录过a系统、b系统和c系统的任意一个或多个系统；如果目标用户从未登录过a系统、b系统和c系统的任何一个，那么需要根据目标用户的用户登录信息确定目标用户的目标登录路径，进而实现目标应用系统的登录。

通过图1可知，本申请实施例提供的认证登录方法，在确定第一认证系统正常工作，且用户未登录过应用系统的情况下对用户进行对应的特定认证，确定出目标用户的特定认证通道；认证通过后下发指定的访问令牌，后续用户访问平台内其他应用系统时，可以携带指定的访问令牌实现平台内任意应用系统的登录认证。使用本申请实施例提供的认证登录方法能够实现在保证用户安全性的前提下，提升用户登录的可靠性和稳定性；并且由于针对不同身份的目标用户对应着不同的认证通道，从而解决了单用户多种权限身份场景下的登录问题。

请参看图2，图2为本申请实施例提供的第一认证系工作状态的判断流程图；上述步骤S100基于目标用户请求登录目标应用系统的用户请求，判断第一认证系统是否正常工作，可以通过以下步骤实现：

步骤S110：判断第一认证系统在接收用户登录请求之后，是否产生系统故障标识。

步骤S120：若判定第一认证系统产生系统故障标识，则判定第一认证系统工作异常。

在上述步骤S110和步骤S120中，欲判断第一认证系统的工作状态是否正常，需要根据第一认证系统接收上述的用户登录请求之后是否产生对应的异常反馈信息，异常反馈信息如上述的系统故障标识。

该系统故障标识包括第一认证系统接收到用户登录请求之后，第一认证系统的工作状态不正常，向目标应用系统发出的异常种类代码；该系统故障标识还包括第一认证系统接收到用户登录请求之后，输出的异常标识，该标识表示第一认证系统工作状态不正常。

示例性地，第一认证系统接收到用户登录请求之后，第一认证系统的工作状态不正常，向目标应用系统发出的异常种类代码。

在配置第一认证系统时，设定多个用于校验第一认证系统的工作状态是否正常的错误码；当目标用户通过客户端访问目标应用系统时，目标应用系统将请求第一认证系统完成目标用户的身份认证。如果第一认证系统故障时，则在接收到用户登录请求之后返回故异常种类代码。设定的多个用于校验第一认证系统的工作状态是否正常的错误码至少包括：网络连接错误(Network Connection Error)、服务未启用错误(Service Not ActiveError)、身份验证流程错误(Authentication Process Error)。其中，Network ConnectionError表示第一认证系统无法与相关网络进行连接，可能是由于网络故障、DNS解析问题或者防火墙设置等原因导致的无法连接(此问题可以由任何需要网络连接的系统抛出)；Service Not Active Error表示第一认证系统的服务端口没有启动或者被其他服务占据，导致目标应用系统无法与其进行通信和认证；Authentication Process Error表示第一认证系统在进行身份验证流程时发生错误，可能是由于代码逻辑错误、配置问题或者第三方库的异常导致的认证流程无法正常完成。

除上述的网络连接错误、服务未启用错误、身份验证流程错误还包括超时错误(Timeout Error)、无效响应错误(Invalid Response Error)、安全错误(Security Error)等。

在配置上述异常种类代码时，首先在第一认证系统中定义上述的异常类，每个异常类代表一个特定的异故障情况；在第一认证系统的代码中实现异常处理逻辑，捕获可能发生的异常，并根据异常类型返回相应的异常种类代码，当目标应用系统接收到异常种类代码时，根据异常代码采取相应的处理措施，例如显示错误信息、记录日志、重试或者向用户返回适当的错误提示。可选地，在目标应用系统中，将异常种类代码映射到相应的错误提示信息或者操作，以便在用户登录过程中能够准确地识别和处理不同类型的异常情况。

需要说明的是，上述的异常反馈信息除了系统故障标识之外，还包括错误分析，解决方案建议等等。示例性地，收集并整理历史异常反馈信息的数据集，包括异常种类代码、错误分析、解决方案建议等。可对收集的异常反馈数据集进行预处理之后，选择合适的深度学习架构，例如循环神经网络(RNN)、长短期记忆网络(LSTM)或者Transformer等，并对收集到的异常反馈信息进行标注，将其分为不同的类别，例如异常种类代码、错误分析、解决方案建议等。然后，使用标注好的数据集对深度学习模型进行训练，调整模型参数以提高性能。进一步地，将训练好的深度学习模型部署到实际的系统中，用于自动分析异常反馈信息并提供解决方案或建议，从而能够提高处理效率和准确性，节省人力和时间成本。

在一可选的实施例中，目标应用系统还包括第二认证系统，第二认证系统为目标应用系统自身的认证系统，可以是目标应用系统内部的认证登录模块的一部分，与第一认证系统不同，第二认证系统仅仅针对对应的目标应用系统；也就是说，对于本申请中服务器中的多个应用系统而言，每个应用系统都具有各自的第二认证系统。通常情况下，每个应用系统对应的第二认证系统认证信息独立管理，且存在差异。

在判定第一认证系统工作异常之后，认证登录方法还包括：调用第二认证系统登录目标应用系统。

也就是说，目标应用系统在接收到用户登录请求后，首先检测第一认证系统的工作状态是否正常。如果发现第一认证系统出现异常，即可触发调用第二认证系统的逻辑，调用第二认证系统的登录接口或者身份认证服务进行认证登录。第二认证系统将接收到的用户身份信息进行验证，并返回认证结果给目标应用系统。

由此可知，本申请实施例提供的认证登录方法通过对第一认证系统的工作状态进行判断，当发现其出现异常时，目标应用系统能够及时识别并调用第二认证系统进行身份认证。本申请实施例提供的认证登录方法以目标应用系统作为备用的认证登录方案，提高了目标用户登录目标应用的容错性和可用性，提升了用户体验。

请参看图3，图3为本申请实施例提供的免登录判断流程图。

在本申请实施例的可选实施方式中，上述过程中的目标用户的用户登录信息包括目标用户名和目标用户角色，若不包括历史访问令牌，则直接判断目标用户从未登录过该平台中的任意一个应用系统。

在本申请实施例的可选实施方式中，上述过程中的目标用户的用户登录信息包括历史访问令牌、目标用户名和目标用户角色。上述步骤S200根据目标用户的用户登录信息，判断目标用户是否已登录任意应用系统，可以通过以下步骤实现：

步骤S210：根据用户请求，调用第一认证系统的拦截过滤机制。

在上述步骤S210中，目标应用系统调用第一认证系统的拦截过滤机制，如拦截器、过滤器。拦截过滤机制拦截用户的请求，并在用户访问应用系统之前进行预处理，例如身份认证、权限验证等。

步骤S220：基于拦截过滤机制，使用历史访问令牌查找拦截过滤机制对应的数据库中是否已存储有历史访问令牌对应的目标用户名，和与目标用户名对应的目标用户角色。

在上述步骤S220中，目标应用系统使用用户请求中的历史访问令牌，在相应的数据库中查找是否已经存储了与该令牌对应的目标用户名和角色信息。

具体地，使用用户请求中携带的历史访问令牌在数据库中进行查询，查找是否有与之对应的记录。在数据库中，通常会有一个表存储用户的登录信息，包括用户名、角色和访问令牌等字段。示例性地，假设数据库表名为ser_login_info，其中包含了用户的登录信息，包括用户名、角色和访问令牌等字段。可使用SQL语句进行查询，SQL语句将在user_login_info表中查找访问令牌字段(假设为access_token)等于用户请求中的历史访问令牌的记录。如果存在匹配的记录，将返回该条记录的详细信息，包括用户名、角色等字段；如果不存在匹配的记录，则不会返回任何结果。

如果能查询到用户名，且用户角色与本次登录时用户指定身份一致，则直接判断用户已登录；如果无法查询到对应用户名，或本次登录身份与用户角色不一致，则判断用户未登录。

如果找到了与历史访问令牌对应的记录，则表示用户已经登录过系统，可以继续访问。否则，如果没有找到对应的记录，则说明用户尚未登录过系统，需要进行认证。

步骤S230：若判定拦截过滤机制对应的数据库中已存储有历史访问令牌对应的目标用户名，和与目标用户名对应的目标用户角色，则判定目标用户已登录目标应用系统。

在上述步骤S230中，如果数据库中存在与历史访问令牌对应的目标用户名和角色信息，则判定目标用户已经登录过应用系统，可以继续访问目标应用系统。否则，如果找不到对应的信息，说明目标用户尚未登录过任何一个应用系统，需要进行认证。

需要说明的是，访问令牌可以是一个包含用户身份信息和其他必要信息的加密字符串，通常会包括文件头、有效载荷和签名等部分。以访问令牌使用JSON Web Token(JWT)格式为例，包括三个部分：头部(header)、有效载荷(payload)和签名(signature)。

头部(header)：包含了令牌的元数据信息，例如算法(alg)和令牌类型(typ)等。

有效载荷(payload)：包含了实际的用户身份信息和其他必要信息。本申请实施例中，有效载荷包含了用户名(username)和角色(role)，以及令牌的过期时间(exp)和签发时间(iat)等。这些信息被编码为JSON格式，并进行了Base64编码。

签名(signature)：用于验证令牌的完整性和来源。在本申请实施例中，签名可以通过使用私钥对头部和有效载荷进行加密生成。

在判断用户已登录过某一系统时，第一认证系统会解析历史访问令牌，验证签名的合法性，并读取其中的用户身份信息。通过比对令牌中的用户名和角色等信息与数据库中的记录是否一致，从而可以确认用户是否已经登录过系统。如果存在匹配的记录且令牌未过期，则可以直接免登录用户进入系统。

例如，假设用户A曾经登录过多个应用系统中的任意一个，并且在登录时生成了一个历史访问令牌，现在用户A再次访问系统，携带着这个历史访问令牌。第一认证系统通过拦截过滤机制获取到了这个令牌，并在数据库中查找，发现该令牌对应的用户名为A，角色为普通用户。因此，判断用户A已经登录过系统，可以直接免登录进入。

通过图3可知，本申请实施例提供的认证登录方法系统可以快速、高效地判断用户是否已经登录过多个应用系统的任意一个，从而实现免重复登录；从而能够提高用户体验，减少了用户重复登录的操作。

在一可选的实施例中，在上述步骤S220中的拦截过滤机制用于提取并验证用户角色与权限。

拦截过滤机制包括普通用户拦截过滤、特殊用户拦截过滤和/或管理员拦截过滤等。

针对普通用户、特殊用户(常见的VIP用户、SVIP用户等)以及管理官用户，在过滤器或拦截器中，通过获取用户的登录信息，如用户名和角色等，来判断用户是否为普通用户、特殊用户以及管理官用户。如果是对应用户，则放行请求；否则，拒绝访问或进行其他处理。

示例性地，在基于Apache Shiro的Java应用程序中，在Shiro中将信息展示功能的过滤器配置为authc，将仅开放给特殊用户的过滤器配置为role，将修改后台属性功能的过滤器配置为perms。

需要说明的是，在Java应用程序中，Apache Shiro通常作为一个安全框架被集成到应用程序的架构中，用于处理用户身份认证和权限控制等安全相关的功能。

authc(身份认证过滤器)，用于对用户进行身份认证，确保用户在访问受保护资源时已经通过了身份验证。如果用户没有登录或者登录失效，则会跳转到登录页面进行登录操作。role(角色授权过滤器)用于检查用户是否具有指定的角色。如果用户没有指定的角色，则访问受保护资源将被拒绝。perms(权限授权过滤器)用于检查用户是否具有指定的权限。如果用户没有指定的权限，则访问受保护资源将被拒绝。从而可以根据不同的需求配置和使用不同的过滤器来控制对受保护资源的访问。

也就是说，通过使用不同的过滤器，可以实现对受保护资源的不同级别的权限控制，提供更加灵活和精细的权限管理。authc过滤器确保用户已经登录，role和perms过滤器则用于确保用户具有指定的角色和权限，从而保证访问的安全性。另一方面，基于ApacheShiro的过滤器机制，可以通过简单的配置来实现各种权限控制功能，从而简化了开发过程，提高了开发效率。

由此可知，本申请实施例提供的认证登录方法根据用户的角色和权限，对不同类型的用户进行精确的访问控制，保障了系统的安全性和功能性。普通用户、特殊用户和管理员用户等可以分别访问他们被授权的功能，从而能够针对不同的用户群体提供针对性、差异性服务，提高了系统的灵活性和可维护性。

请参看图4，图4为本申请实施例提供的初次登录的流程图；在本申请实施例的可选实施方式中，目标用户的用户登录信息还包括目标访问入口、目标用户登录校验信息。

其中，目标访问入口，例如用户在进行登录时所使用的系统、平台或应用程序的入口点或网址等。目标用户登录校验信息，例如用户密码、验证码等。

上述步骤S300中基于用户登录信息，确定目标登录路径，登录目标应用系统，可以通过以下步骤实现：

步骤S310：根据目标用户名和目标访问入口，判断目标用户的目标用户来源。

在上述步骤S310中，第一认证系统根据用户提供的目标用户名和目标访问入口来判断目标用户的来源。从而能够确定用户所属的系统、平台或应用程序，在识别出目标用户对应的渠道之后，才能够为用户提供差异化服务。

步骤S320：基于目标用户来源、目标用户名和目标用户角色，确定目标登录类型对应的目标数据连接器。

在上述步骤S320中，第一认证系统根据目标用户的来源、目标用户名和目标用户角色，确定目标登录类型对应的目标数据连接器。需要说明的是，数据连接器通常对应于Shiro中的Realm，用于从用户数据库中获取用户信息并进行验证。

步骤S330：目标数据连接器将目标用户名和目标用户登录校验信息与用户数据库中的用户名和用户登录校验信息进行比对。

在上述步骤S330中，目标数据连接器(Realm)将目标用户名和目标用户登录校验信息与用户数据库中的对应信息进行比对。示例性地，根据用户的身份类型选择对应的Realm，比对用户提供的登录信息，确保用户身份的合法性。

例如，在Shiro中为不同的用户身份权限类型实现对应的自定义Realm。为一般访客实现Visitor Realm，为付费用户实现Customer Realm，为会员实现VIP Realm，为系统超级管理员实现Super Admin Realm，为系统管理员实现Admin Realm。

对于Visitor Realm(一般访客)，该Realm用于对未登录用户或一般访客进行身份验证，通常不需要进行复杂的身份认证，只需验证用户是否存在即可。即验证用户是否存在于系统中，如果存在则允许访问，否则拒绝访问。

对于Customer Realm(付费用户)，该Realm用于对付费用户进行身份验证和权限控制，通常需要验证用户的付费状态以及具体的权限。即验证用户的身份和付费状态，同时检查用户是否具有特定的权限。

对于VIPRealm(会员)，该Realm用于对会员用户进行身份验证和权限控制，通常需要验证用户的会员等级以及特殊的会员权限。即验证用户的身份和会员等级，同时检查用户是否具有会员专属的特殊权限。

对于SuperAdminRealm(系统超级管理员)，该Realm用于对系统超级管理员进行身份验证和权限控制，通常拥有系统中最高级别的权限。

对于AdminRealm(系统管理员)，该Realm用于对系统管理员进行身份验证和权限控制，通常拥有系统中次高级别的权限。

通过不同的Realm实现对不同用户身份权限类型的验证和授权，可以根据用户的身份和权限要求，提供个性化的安全认证和访问控制，从而有效保障系统的安全性和用户的使用体验。

步骤S340：在目标用户名和目标用户登录校验信息比对一致的情况下，允许目标用户登录目标应用系统。

在上述步骤S340中，如果目标用户名和目标用户登录校验信息比对一致，第一认证系统允许目标用户登录目标应用系统。即目标用户提供的身份验证信息通过了第一认证系统的验证，用户可以访问目标应用系统。

通过图4可知，本申请实施例提供的认证登录方法，使用Shiro框架和自定义的Realm来管理用户的身份认证和权限验证，根据用户请求的权限类型动态选择相应的Realm，然后通过该Realm来进行用户身份认证和权限验证。在同一用户存在多种权限的情况下，根据当前用户登录时所请求的权限，第一认证系统将调用相应的验证过程，解决了单用户多种权限身份场景下的登录问题，为用户提供了更加便利的访问体验。

在一可选的实施例中，在允许目标用户登录目标应用系统之后，方法还包括：

生成目标用户的目标访问令牌，并将目标访问令牌存储于拦截过滤机制对应的数据库中。本申请实施例中的目标访问令牌可以是一个随机生成的字符串或者其他形式的唯一标识符，用于在后续的访问中识别和验证用户身份。

需要特别说明的是，目标访问令牌的存在有效时限。示例性地，有效时长可设置为30分钟，15分钟等。一旦令牌过期，将删除该目标访问令牌，或者将该目标访问令牌设置为失效状态。若该目标用户在该目标访问令牌失效之后想要再次登录某一应用系统，则需要重新经由第一认证系统进行认证。

示例性地，针对安全性要求较高的操作，例如用户的敏感操作或者涉及到账户资金交易的场景。这些操作需要及时的身份验证和授权，以确保操作的安全性。例如，账户转账、修改重要个人信息等，此类情境下访问令牌的有效期较短。

示例性地，针对一般性的用户登录和常规操作，通常在用户不频繁操作的情况下，保持一定的有效期可以提高用户体验，减少频繁的登录操作。例如普通网站登录、浏览内容，此类情境下访问令牌的有效期适中。

示例性地，适用于用户长时间保持登录状态的场景，例如记住登录状态功能。这种情况下，令牌的有效期可以设置得更长一些，以减少用户频繁登录的操作，提高用户的便利性。

需要说明的是，较短的有效期通常设置为几分钟到几个小时不等，以确保安全性，安全性要求越高，时间越短。适中的有效期通常设置为数小时到数天，适用于一般性的用户登录和常规操作，以提高用户体验，减少频繁的登录操作。较长的有效期通常设置为数天到数月，适用于用户长时间保持登录状态的场景，如记住登录状态功能。

由此可知，本申请实施例提供的认证登录方法通过生成和管理目标访问令牌，能够实现用户的持久登录和单点访问，同时保障了系统的安全性和用户的隐私。令牌的有效时限可以根据实际需求进行灵活设置，以平衡用户体验和安全性。

在本申请实施例的可选实施方式中，若判定目标用户已登录任意应用系统，则验证目标客户所携带的历史访问令牌是否与第一认证系统的拦截过滤机制对应的数据库中存储的访问令牌一致。

若判定目标客户所携带的历史访问令牌与第一认证系统的拦截过滤机制对应的数据库中存储的访问令牌一致，则允许目标用户登录目标应用系统。

示例性地，首先从数据库中检索与目标客户所携带的历史访问令牌相对应的记录。从数据库中检索到的记录会包含许多参数，其中至少应包含访问令牌(Token)和用户身份信息，计算机会将目标客户所携带的历史访问令牌与数据库中检索到的访问令牌进行比较，判断它们是否一致。具体判断的方式包括：

令牌匹配：检查目标客户携带的令牌是否与数据库中存储的令牌一致。

用户身份验证：检查数据库中存储的用户身份信息是否与目标用户提供的身份信息一致。

如果目标客户所携带的历史访问令牌与数据库中存储的访问令牌一致，并且相应的用户身份信息也匹配，那么第一认证系统将允许目标用户登录目标应用第一认证系统。如果存在任何一个参数不匹配，第一认证系统将拒绝目标用户登录，或者要求目标用户重新进行身份验证。

也就是说，如果第一认证系统判定目标用户已经登录了任意一个应用系统，第一认证系统会验证目标用户所携带的历史访问令牌是否与第一认证系统的拦截过滤机制对应的数据库中存储的访问令牌一致。如果验证发现目标用户携带的历史访问令牌与数据库中存储的访问令牌一致，则允许目标用户登录目标应用系统。也就是确认了目标用户的身份，并且该用户已经通过认证，无需重新登录即可进入该目标应用系统。

由此可知，若目标用户已经登录任意一个应用系统，通过验证用户携带的历史访问令牌，不仅能够确认用户的身份，还能够快速判断用户是否已通过认证，从而允许用户无需重新登录即可访问目标应用系统。用户无需频繁输入密码或验证码，同时系统能够快速响应用户的访问请求，不仅增强了用户的满意度，还提升了系统的整体性能和安全水平。

在一可选的实施例中，本申请实施例中涉及到的用户密码、访问令牌需要进行加密传输。通过MD5加密，可以将用户密码或访问令牌转换成一段固定长度的密文；经过MD5加密的用户密码或访问令牌仍然可能存在被篡改的风险，因此进一步使用RSA加密算法对MD5加密后的户密码或访问令牌进行加密。需要说明的是，RSA是一种非对称加密算法，使用公钥加密、私钥解密的机制，能够提供更高级别的数据保护。

加密后的用户密码或访问令牌可以存储在认证系统的数据库中，也可以在网络中传输给需要进行身份认证的系统。无论是存储还是传输，用户密码或访问令牌都以密文的形式存在，只有拥有解密私钥的系统才能够解密并获取其中的信息。

当其他系统接收到加密后的用户密码或访问令牌时，首先使用相应的RSA私钥解密得到MD5加密后的用户密码或访问令牌。然后使用相同的MD5算法重新计算用户密码或访问令牌的哈希值，与解密后的MD5加密结果进行比对，以验证用户密码或访问令牌的完整性和真实性。

由此可知，本发明能够有效提高系统的安全性，防止用户密码或访问令牌被篡改或窃取，保障用户身份和数据的安全。同时，采用MD5和RSA结合的加密方式，不仅保证了数据的机密性和完整性，还提高了系统的抗攻击能力，为用户和系统提供了更可靠的保护。

请参看图5，图5为本申请实施例提供的认证登录装置的模块示意图；本申请还提供一种认证登录装置，该认证登录装置用于目标服务器中的应用系统和认证系统，认证系统包括第一认证系统。

认证登录装置100包括：第一认证系统工作状况检测模块110、历史登录情况确定模块120和认证登录模块130。

第一认证系统工作状况检测模块110用于基于目标用户请求登录目标应用系统的用户请求，判断第一认证系统是否正常工作。

历史登录情况确定模块120在第一认证系统正常工作的情况下，根据目标用户的用户登录信息，判断目标用户是否已登录任意应用系统。

认证登录模块130用于在目标用户未登录任意应用系统的情况下，基于用户登录信息，确定目标登录路径，登录目标应用系统。

在一可选的实施例中，其中，目标应用系统包括第二认证系统；在基于目标用户请求登录目标应用系统的用户请求，判断第一认证系统是否正常工作的过程中，第一认证系统工作状况检测模块110用于判断第一认证系统在接收用户登录请求之后，是否产生系统故障标识；若判定第一认证系统产生系统故障标识，则判定第一认证系统工作异常；在判定第一认证系统工作异常之后，认证登录方法还包括：调用第二认证系统登录目标应用系统。

在一可选的实施例中，其中，目标用户的用户登录信息包括历史访问令牌、目标用户名和目标用户角色；

在根据目标用户的用户登录信息，判断目标用户是否已登录任意应用系统的过程中，历史登录情况确定模块120用于：根据用户请求，调用第一认证系统的拦截过滤机制；基于拦截过滤机制，使用历史访问令牌查找拦截过滤机制对应的数据库中是否已存储有历史访问令牌对应的目标用户名，和与目标用户名对应的目标用户角色；若判定拦截过滤机制对应的数据库中已存储有历史访问令牌对应的目标用户名，和与目标用户名对应的目标用户角色，则判定目标用户已登录任意应用系统。

在一可选的实施例中，其中，拦截过滤机制用于提取并验证用户角色与权限；拦截过滤机制包括普通用户拦截过滤、特殊用户拦截过滤和/或管理员拦截过滤。

在一可选的实施例中，其中，目标用户的用户登录信息还包括目标访问入口、目标用户登录校验信息。在则基于用户登录信息，确定目标登录路径，登录目标应用系统的过程中，认证登录模块130具体用于：根据目标用户名和目标访问入口，判断目标用户的目标用户来源；基于目标用户来源、目标用户名和目标用户角色，确定目标登录类型对应的目标数据连接器；目标数据连接器将目标用户名和目标用户登录校验信息与用户数据库中的用户名和用户登录校验信息进行比对；在目标用户名和目标用户登录校验信息比对一致的情况下，允许目标用户登录目标应用系统。

在一可选的实施例中，该认证登录装置100在允许目标用户登录目标应用系统之后，还用于生成目标用户的目标访问令牌，并将目标访问令牌存储于拦截过滤机制对应的数据库中；其中，目标访问令牌的存在有效时限。

在一可选的实施例中，该认证登录装置100还用于若判定目标用户已登录任意应用系统，则验证目标客户所携带的历史访问令牌是否与第一认证系统的拦截过滤机制对应的数据库中存储的访问令牌一致；若判定目标客户所携带的历史访问令牌与第一认证系统的拦截过滤机制对应的数据库中存储的访问令牌一致，则允许目标用户登录目标应用系统。

请参见图6，图6为本申请实施例提供的电子设备的结构示意图。本申请实施例提供的一种电子设备200，包括：处理器201和存储器202，存储器202存储有处理器201可执行的机器可读指令，机器可读指令被处理器201执行时执行如上的方法。

基于同一发明构思，本申请实施例还提供一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机程序指令，所述计算机程序指令被一处理器读取并运行时，执行上述认证登录方法的任一实现方式中的步骤。

所述计算机可读存储介质可以是随机存取存储器(Random Access Memory，RAM)，只读存储器(Read Only Memory，ROM)，可编程只读存储器(Programmable Read-OnlyMemory，PROM)，可擦除可编程只读存储器(Erasable Programmable Read-Only Memory，EPROM)，电可擦除可编程只读存储器(Electric Erasable Programmable Read-OnlyMemory，EEPROM)等各种可以存储程序代码的介质。

在本申请所提供的实施例中，应该理解到，所揭露装置和方法，可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，又例如，多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些通信接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

再者，在本申请各个实施例中的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。

可以替换的，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行所述计算机程序指令时，全部或部分地产生按照本发明实施例所述的流程或功能。

所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(DSL))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。

在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

以上所述仅为本申请的实施例而已，并不用于限制本申请的保护范围，对于本领域的技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。

Claims (9)

1.一种认证登录方法，其特征在于，所述认证登录方法应用于目标服务器中的应用系统和第一认证系统；所述认证登录方法包括：

基于目标用户请求登录目标应用系统的用户请求，判断所述第一认证系统是否正常工作；

若判定所述第一认证系统正常工作，则根据所述目标用户的用户登录信息，判断所述目标用户是否已登录任意所述应用系统；其中，所述目标用户的用户登录信息包括目标用户名、目标访问入口、目标用户登录校验信息和目标用户角色；

若判定所述目标用户未登录任意所述应用系统，则基于所述用户登录信息，确定目标登录路径，登录所述目标应用系统；

所述基于所述用户登录信息，确定目标登录路径，登录所述目标应用系统，包括：根据所述目标用户名和所述目标访问入口，判断所述目标用户的目标用户来源；基于所述目标用户来源、所述目标用户名和所述目标用户角色，确定目标登录类型对应的目标数据连接器；所述目标数据连接器将所述目标用户名和所述目标用户登录校验信息与用户数据库中的用户名和用户登录校验信息进行比对；在所述目标用户名和所述目标用户登录校验信息比对一致的情况下，允许所述目标用户登录所述目标应用系统。

2.根据权利要求1所述的方法，其特征在于，其中，所述目标应用系统包括第二认证系统；

所述基于目标用户请求登录目标应用系统的用户请求，判断所述第一认证系统是否正常工作，包括：

判断所述第一认证系统在接收所述用户登录请求之后，是否产生系统故障标识；

若判定所述第一认证系统产生所述系统故障标识，则判定所述第一认证系统工作异常；

在判定所述第一认证系统工作异常之后，所述认证登录方法还包括：调用所述第二认证系统登录所述目标应用系统。

3.根据权利要求1所述的方法，其特征在于，其中，所述目标用户的用户登录信息还包括历史访问令牌；

所述根据所述目标用户的用户登录信息，判断所述目标用户是否已登录任意所述应用系统，包括：

根据所述用户请求，调用所述第一认证系统的拦截过滤机制；

基于所述拦截过滤机制，使用所述历史访问令牌查找所述拦截过滤机制对应的数据库中是否已存储有所述历史访问令牌对应的目标用户名，和与所述目标用户名对应的目标用户角色；

若判定所述拦截过滤机制对应的数据库中已存储有所述历史访问令牌对应的目标用户名，和与所述目标用户名对应的目标用户角色，则判定所述目标用户已登录任意所述应用系统。

4.根据权利要求3所述的方法，其特征在于，其中，所述拦截过滤机制用于提取并验证用户角色与权限；所述拦截过滤机制包括普通用户拦截过滤、特殊用户拦截过滤和/或管理员拦截过滤。

5.根据权利要求4所述的方法，其特征在于，在所述允许所述目标用户登录所述目标应用系统之后，所述方法还包括：

生成所述目标用户的目标访问令牌，并将所述目标访问令牌存储于所述拦截过滤机制对应的数据库中；其中，所述目标访问令牌的存在有效时限。

6.根据权利要求1所述的方法，其特征在于，所述方法还包括：

若判定所述目标用户已登录任意所述应用系统，则验证所述目标客户所携带的历史访问令牌是否与所述第一认证系统的拦截过滤机制对应的数据库中存储的访问令牌一致；

若判定所述目标客户所携带的历史访问令牌与所述第一认证系统的拦截过滤机制对应的数据库中存储的访问令牌一致，则允许所述目标用户登录所述目标应用系统。

7.一种认证登录装置，其特征在于，所述认证登录装置用于目标服务器中的应用系统和认证系统，所述认证系统包括第一认证系统；所述认证登录装置包括：第一认证系统工作状况检测模块、历史登录情况确定模块和认证登录模块；

所述第一认证系统工作状况检测模块用于基于目标用户请求登录目标应用系统的用户请求，判断所述第一认证系统是否正常工作；

所述历史登录情况确定模块在所述第一认证系统正常工作的情况下，根据所述目标用户的用户登录信息，判断所述目标用户是否已登录任意所述应用系统；其中，所述目标用户的用户登录信息包括目标用户名、目标访问入口、目标用户登录校验信息和目标用户角色；

所述认证登录模块用于在所述目标用户未登录任意所述应用系统的情况下，基于所述用户登录信息，确定目标登录路径，登录所述目标应用系统；

所述认证登录模块在所述基于所述用户登录信息，确定目标登录路径，登录所述目标应用系统的过程中具体用于：根据所述目标用户名和所述目标访问入口，判断所述目标用户的目标用户来源；基于所述目标用户来源、所述目标用户名和所述目标用户角色，确定目标登录类型对应的目标数据连接器；所述目标数据连接器将所述目标用户名和所述目标用户登录校验信息与用户数据库中的用户名和用户登录校验信息进行比对；在所述目标用户名和所述目标用户登录校验信息比对一致的情况下，允许所述目标用户登录所述目标应用系统。

8.一种电子设备，其特征在于，所述电子设备包括存储器和处理器，所述存储器中存储有程序指令，所述处理器运行所述程序指令时，执行权利要求1-6中任一项所述方法中的步骤。

9.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中存储有计算机程序指令，所述计算机程序指令被一处理器运行时，执行权利要求1-6任一项所述方法中的步骤。