專利名稱：一種安全的Web service訪問方法和系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明屬于Web Service4支術(shù)領(lǐng)域，具體涉及到一種安全的Web service訪 問方法和系統(tǒng)。
背景技術(shù)：
Web Service是當(dāng)今的熱點技術(shù)之一，它定義了應(yīng)用程序如何在Web上實 現(xiàn)互操作性，是建立可互操作的分布式應(yīng)用程序的新平臺。人們可以用所喜歡 的語言，在不同的平臺中編寫Web Service,然后通過Web Service的標(biāo)準(zhǔn)來對 這些服務(wù)進行查詢和訪問。利用Web Service能夠創(chuàng)建出可供不同人從不同地方 使用的、功能強大的應(yīng)用程序，極大地拓展了應(yīng)用程序的功能，實現(xiàn)了軟件的 動態(tài)提供。
Web Service是一種部署在Web上的對象，因此具有對象技術(shù)所承諾的所 有優(yōu)點；同時，Web Service的基石是以XML (Extensible Markup Language)為 主的、開放的Web規(guī)范技術(shù)，具有比現(xiàn)有的對象技術(shù)更好的開放性。
然而WebService作為方便的服務(wù)被廣大領(lǐng)域使用的同時，其安全性問題也 日益受到關(guān)注，
目前其安全的實現(xiàn)主要分為以下幾個方面 一、傳輸?shù)陌踩杂肧SL和 HTTPS協(xié)議，可以獲得連接過程中的安全；二、消息加密對XML傳輸?shù)臄?shù) 據(jù)進行數(shù)據(jù)加密，增加數(shù)字簽名功能。
上述的安全措施，可以從不同的方面，增加Web Service訪問的安全性，然 而，其并不能夠抵御所有的入侵。本文所提出的方法，是從Web Service提供的訪問業(yè)務(wù)本身出發(fā)，對于業(yè)務(wù) 的重要性進行分級管理，根據(jù)客戶的級別不同，進行授權(quán)的業(yè)務(wù)訪問，同時對 于來訪客戶進行IP地址的檢驗，進一步增加Web Service服務(wù)器安全性。

發(fā)明內(nèi)容
本發(fā)明要解決的問題是目前Web service訪問中存在的安全問題，以使得用 戶在Web service訪問中獲得更好的安全體驗。
為了實現(xiàn)上述目的，本發(fā)明提供了一種安全的Web service訪問方法和系 統(tǒng)，該方法包括以下步驟
客戶端向服務(wù)端發(fā)起訪問請求；
所述服務(wù)端的接口模塊獲取所述客戶端提供的安全驗證參數(shù)，并對該安全 驗證參數(shù)進行認(rèn)證，如果認(rèn)證失敗，則拒絕訪問，如果通過認(rèn)證，則將所述安 全驗證參數(shù)和接口 ID發(fā)送給服務(wù)端權(quán)限管理系統(tǒng)；
所述服務(wù)端的權(quán)限管理系統(tǒng)對所述安全驗證參數(shù)和被訪問的接口 ID進行認(rèn) 證，如果認(rèn)證失敗，則拒絕訪問，如果通過認(rèn)證，則客戶端可以通過訪問服務(wù) 端業(yè)務(wù)處理系統(tǒng)獲取所需業(yè)務(wù)。
所述的方法，服務(wù)端接口模塊獲取所述客戶端提供的安全驗證參數(shù)包括客 戶端的版本號、設(shè)備代碼、用戶名、用戶密碼。
所述的方法，服務(wù)端接口模塊對客戶端的版本號進行認(rèn)證具體為檢查客 戶端的版本號是否和服務(wù)端的版本號兼容，如果不兼容，則拒絕訪問，如果兼 容，則通過訪問；所述服務(wù)端接口模塊對客戶端設(shè)備代碼的認(rèn)證具體為檢查 要訪問的設(shè)備代碼是否本服務(wù)端配置的設(shè)備代碼，如果不是，則拒絕用戶訪問， 如果是，則通過訪問。
所述的方法，服務(wù)端權(quán)限管理系統(tǒng)對所述用戶用戶名和用戶密碼的認(rèn)體為權(quán)限管理系統(tǒng);險查客戶端的用戶名和密碼是否正確，若用戶不存在或者 密碼不正確，則拒絕訪問，如果用戶名存在并且密碼正確，則通過訪問；所述 服務(wù)端權(quán)限管理系統(tǒng)對被訪問的服務(wù)端接口 ID進行認(rèn)證具體為權(quán)限管理系統(tǒng) 通過所述接口 ID檢查該用戶是否具有訪問該接口的權(quán)限，若沒有，則拒絕訪問， 若有，則通過訪問。
所述的方法，服務(wù)端接口模塊將所述安全驗證參數(shù)發(fā)送給服務(wù)端權(quán)限管理 系統(tǒng)的同時，還將客戶端的IP地址發(fā)送給所述服務(wù)端權(quán)限管理系統(tǒng)，由所述權(quán) 限管理系統(tǒng)對所述IP地址進行認(rèn)證。
所述的方法，服務(wù)端權(quán)限管理系統(tǒng)對所述IP地址進行認(rèn)證具體為檢查客 戶端是否配置了綁定IP地址檢查，若已經(jīng)配置，則檢驗所述IP地址是否在服務(wù) 端配置的綁定IP地址范圍內(nèi)，如果在，則通過訪問，如果客戶端沒有配置綁定 IP地址檢查或者所述IP地址不在服務(wù)端配置的綁定IP地址范圍內(nèi)，則拒絕訪問。 所述的方法，服務(wù)端權(quán)限管理系統(tǒng)在進行認(rèn)證時需要調(diào)取服務(wù)端數(shù)據(jù)庫中 的數(shù)據(jù)來進行認(rèn)證。
該系統(tǒng)包括客戶端和服務(wù)端，客戶端通過訪問服務(wù)端的接口模塊，獲取服 務(wù)；服務(wù)端包括接口模塊和權(quán)限管理系統(tǒng)，該接口模塊用于為客戶端提供訪問 服務(wù)并獲取客戶端提供的訪問請求參數(shù)；該權(quán)限管理系統(tǒng)用于在所述接口模塊 通過認(rèn)證后從所述接口模塊接收安全驗證參數(shù)和接口 ID，并對該安全驗證參數(shù) 和接口 ID進行認(rèn)證。
所述的系統(tǒng)，還包括數(shù)據(jù)庫，用于為服務(wù)端權(quán)限管理系統(tǒng)和業(yè)務(wù)處理系統(tǒng) 提供訪問數(shù)據(jù)。
所述的系統(tǒng)，還包括業(yè)務(wù)處理系統(tǒng)，用于在客戶端通過認(rèn)證時為客戶端提 供相應(yīng)的業(yè)務(wù)。
6本文所提出的方法和系統(tǒng)，通過服務(wù)端接口模塊和服務(wù)端權(quán)限管理系統(tǒng)進
行雙重認(rèn)證，增加了 Web Service服務(wù)器的安全性。


圖1是本發(fā)明包括的模塊圖； ， 圖2是本發(fā)明的處理流程圖。
具體實施例方式
下面結(jié)合附圖對本發(fā)明進行詳細(xì)說明。
從圖l可以看出，該系統(tǒng)包括客戶端、服務(wù)端接口訪問模塊、權(quán)限管理系 統(tǒng)、業(yè)務(wù)處理系統(tǒng)以及用于權(quán)限和業(yè)務(wù)管理的數(shù)據(jù)庫系統(tǒng)。其中服務(wù)端接口訪 問模塊用于從客戶端的訪問請求中獲得安全驗證參數(shù)塊，和權(quán)限管理系統(tǒng)一起 完成客戶端的安全驗證工作，并把通過安全驗證的客戶端訪問請求，轉(zhuǎn)給業(yè)務(wù) 處理系統(tǒng)進行業(yè)務(wù)的訪問；權(quán)限管理系統(tǒng)負(fù)責(zé)完成客戶端訪問用戶的權(quán)限管理； 業(yè)務(wù)處理系統(tǒng)負(fù)責(zé)完成被授權(quán)訪問客戶端的業(yè)務(wù)處理功能。
權(quán)限管理系統(tǒng)完成訪問用戶的權(quán)限配置，根據(jù)服務(wù)端接口功能和重要性的 不同，對訪問用戶進行分級管理，如O級--超級管理員級，1級--系統(tǒng)管理員 級，2級一授權(quán)用戶A級，3級一授權(quán)用戶B級，4級一授權(quán)用戶C級等，不同 級別的用戶可以訪問的接口功能不同。同時可以對訪問用戶進行IP地址或者 IP子網(wǎng)地址的綁定，如果來訪用戶的IP地址不在綁定的IP地址范圍之內(nèi)，則 拒絕訪問。對于訪問接口，每個接口在權(quán)限管理系統(tǒng)中給出唯一的接口 ID,該 ID值唯一標(biāo)識了一個訪問接口。當(dāng)客戶端提交服務(wù)端的接口訪問請求后，在進 行客戶端的權(quán)限驗證時，由被訪問的接口把該ID值和客戶端提交的安全驗證參 數(shù)一起傳入權(quán)限管理系統(tǒng)，以進行訪問權(quán)限的驗證。
附圖2是本發(fā)明所包含的主要步驟。 —步驟S100,客戶端發(fā)起訪問請求。
客戶端通過SOAP消息，以服務(wù)端的WSDL描述的接口方式發(fā)起訪問請求。 本發(fā)明中，把該請求參數(shù)分為兩個參數(shù)塊安全驗證參數(shù)塊和業(yè)務(wù)參數(shù)塊。 其中安全驗證參數(shù)塊包含對系統(tǒng)進行授權(quán)訪問所需要的參數(shù)，用于驗證訪問請 求的有效性和合法性。業(yè)務(wù)參數(shù)塊包含訪問授權(quán)業(yè)務(wù)所需的參數(shù)，用于對業(yè)務(wù) 進4亍正確的i方問。
安全驗證參數(shù)塊部分包括如下的參數(shù)
(1) 來訪用戶的Web Service客戶端的版本號，用于-瞼證客戶端的版本是 否是服務(wù)端所要求的版本；
(2) 設(shè)備代碼，指被訪問設(shè)備的代碼；
(3) 來訪的用戶名，指Web Service月良務(wù)端4受^l的訪問用戶名；
(4) 用戶的密碼，指Web Service服務(wù)端分配給4吏權(quán)訪問用戶的密碼，在 客戶端的訪問請求中以加密方式傳輸；該密碼的加密方式由服務(wù)端指定 加密方式或者提供加密包完成密碼的加密工作。
步驟S10 5,服務(wù)端接口模塊接收到客戶端的接口訪問請求后，獲得客戶端 提供的安全驗證參數(shù)，包括來訪用戶的客戶端的版本號，被訪問的設(shè)備代碼， 來訪的用戶名，用戶的密碼。
步驟S110,服務(wù)端接口模塊檢查客戶端的版本號是否和服務(wù)端的版本號兼 容;若不兼容，則拒絕訪問。
步驟S115:服務(wù)端接口模塊檢查要訪問的設(shè)備代碼是否本設(shè)備代碼。若不 是本服務(wù)端配置的設(shè)備代碼，則拒絕用戶訪問。
步驟S120,服務(wù)端調(diào)用權(quán)限管理系統(tǒng)，進行權(quán)限的驗證。
服務(wù)端獲得來訪客戶端的IP地址。服務(wù)端接口模塊把來訪用戶的用戶名、
8密碼、IP地址、本次訪問的接口的ID值傳入權(quán)限管理模塊進行權(quán)限的驗證。
步驟S12 5:服務(wù)端權(quán)限管理系統(tǒng)根據(jù)客戶端的用戶名，從數(shù)據(jù)庫中讀取用 戶的權(quán)限屬性，檢查是否配置來訪用戶綁定IP地址檢查；若該用戶配置了綁定 IP地址檢查，則檢驗來訪用戶的IP地址是否在服務(wù)器端配置的綁定IP地址范 圍內(nèi)；若不在該范圍內(nèi)，則拒絕用戶訪問。
步驟S130:服務(wù)端權(quán)限管理模塊檢查來訪客戶的用戶名和密碼是否正確； 若用戶不存在或者密碼不正確，則拒絕用戶訪問。
步驟S135:服務(wù)端權(quán)限管理模塊根據(jù)客戶端的用戶名，查找用戶所在的用 戶權(quán)限組，并讀取該用戶權(quán)限組具有的權(quán)限，該訪問權(quán)限包含了用戶所在的用 戶權(quán)限組能夠訪問哪些服務(wù)端接口 。
步驟S140:若該用戶權(quán)限組的訪問權(quán)限中，不包含一皮訪問接口的4妄口 ID, 則權(quán)限驗證失敗，拒絕該用戶進行業(yè)務(wù)的訪問。
步驟S145:來訪的用戶通過權(quán)限驗證，服務(wù)端接口模塊根據(jù)客戶端的業(yè)務(wù) 參數(shù)塊內(nèi)容，調(diào)用業(yè)務(wù)模塊，進行業(yè)務(wù)的訪問，并把訪問結(jié)果返回給客戶端模 塊。
以上所述，僅是本發(fā)明的較佳實施方式，不應(yīng)被視為是對本發(fā)明范圍的限 制，而且本發(fā)明所主張的權(quán)利要求范圍并不局限于此，凡熟悉此領(lǐng)域技藝的人 士，依據(jù)本發(fā)明所揭露的技術(shù)內(nèi)容，可輕易思及的等效變化，均應(yīng)落入本發(fā)明 的保護范圍。
權(quán)利要求
1、一種安全的Web service訪問方法，其特征在于，該方法由以下步驟組成客戶端向服務(wù)端發(fā)起訪問請求；所述服務(wù)端的接口模塊獲取所述客戶端提供的安全驗證參數(shù)，并對該安全驗證參數(shù)進行認(rèn)證，如果認(rèn)證失敗，則拒絕訪問，如果通過認(rèn)證，則將所述安全驗證參數(shù)和接口ID發(fā)送給服務(wù)端權(quán)限管理系統(tǒng)；所述服務(wù)端的權(quán)限管理系統(tǒng)對所述安全驗證參數(shù)和接口ID進行認(rèn)證，如果認(rèn)證失敗，則拒絕訪問，如果通過認(rèn)證，則客戶端可以通過訪問服務(wù)端業(yè)務(wù)處理系統(tǒng)獲取所需業(yè)務(wù)。
2、 如權(quán)利要求l所述的方法，其特征在于，所述服務(wù)端接口模塊獲取所述 客戶端提供的安全驗證參數(shù)包括客戶端的版本號、設(shè)備代碼、用戶名、用戶密 碼。
3、 如權(quán)利要求2所述的方法，其特征在于，所述服務(wù)端接口模塊對客戶端 的版本號進行認(rèn)證具體為檢查客戶端的版本號是否和服務(wù)端的版本號兼容， 如果不兼容，則拒絕訪問，如果兼容，則通過訪問；所述服務(wù)端接口模塊對客 戶端設(shè)備代碼的認(rèn)證具體為檢查要訪問的設(shè)備代碼是否本服務(wù)端配置的設(shè)備 代碼，如果不是，則拒絕用戶訪問，如果是，則通過訪問。
4、 如權(quán)利要求2所述的方法，其特征在于，所述服務(wù)端權(quán)限管理系統(tǒng)對所 述用戶用戶名和用戶密碼的認(rèn)證具體為權(quán)限管理系統(tǒng)檢查客戶端的用戶名和 密碼是否正確，若用戶不存在或者密碼不正確，則拒絕訪問，如果用戶名存在 并且密碼正確，則通過訪問；所述服務(wù)端權(quán)限管理系統(tǒng)對被訪問的服務(wù)端接口 ID進行認(rèn)證具體為權(quán)限管理系統(tǒng)通過所述接口 ID才全查該用戶是否具有訪問 該接口的權(quán)限，若沒有，則拒絕訪問，若有，則通過訪問。
5、 如權(quán)利要求l所述的方法，其特征在于，所述服務(wù)端接口模塊將所述安 全驗證參數(shù)發(fā)送給服務(wù)端權(quán)限管理系統(tǒng)的同時，還將客戶端的IP地址發(fā)送給所 述服務(wù)端權(quán)限管理系統(tǒng)，由所述權(quán)限管理系統(tǒng)對所述IP地址進行認(rèn)證。
6、 如權(quán)利要求5所述的方法，其特征在于，所述服務(wù)端權(quán)限管理系統(tǒng)對所 述IP地址進行認(rèn)證具體為檢查客戶端是否配置了綁定IP地址檢查，若已經(jīng)配 置，則抬r驗所述IP地址是否在服務(wù)端配置的綁定IP地址范圍內(nèi)，如果在，則通 過訪問，如果客戶端沒有配置綁定IP地址^r查或者所述IP地址不在服務(wù)端配置 的綁定IP地址范圍內(nèi)，則拒絕訪問。
7、 如權(quán)利要求l所述的方法，其特征在于，所述服務(wù)端權(quán)限管理系統(tǒng)在進 行認(rèn)證時需要調(diào)取服務(wù)端數(shù)據(jù)庫中的數(shù)據(jù)來進行認(rèn)證。
8、 一種安全的Web service訪問系統(tǒng)，其特征在于，該系統(tǒng)包括客戶端和 服務(wù)端，客戶端通過訪問服務(wù)端的接口模塊，獲取服務(wù)；服務(wù)端包括接口模塊 和權(quán)限管理系統(tǒng)，該接口模塊用于為客戶端提供訪問服務(wù)并獲取客戶端提供的 訪問請求參數(shù)；該權(quán)限管理系統(tǒng)用于在所述接口模塊通過認(rèn)證后從所述接口模 塊接收安全-瞼證參數(shù)和接口 ID，并對該安全^r證參數(shù)和接口 ID進行iU正。
9、 如權(quán)利要求8所述的系統(tǒng)，其特征在于，該系統(tǒng)還包括數(shù)據(jù)庫，用于為 服務(wù)端權(quán)限管理系統(tǒng)和服務(wù)端業(yè)務(wù)處理系統(tǒng)提供訪問數(shù)據(jù)。
10、 如權(quán)利要求8所述的系統(tǒng)，其特征在于，該系統(tǒng)還包括業(yè)務(wù)處理系統(tǒng)， 用于在客戶端通過認(rèn)證時為客戶端提供相應(yīng)的業(yè)務(wù)。
全文摘要
本發(fā)明公開了一種安全的Web service訪問方法和系統(tǒng)，方法的主要步驟如下客戶端向服務(wù)端發(fā)起訪問請求，服務(wù)端的接口模塊獲取客戶端提供的安全驗證參數(shù)，并對該安全驗證參數(shù)進行認(rèn)證，如果認(rèn)證失敗，則拒絕訪問，如果通過認(rèn)證，則將該安全驗證參數(shù)和接口ID發(fā)送給服務(wù)端權(quán)限管理系統(tǒng)；服務(wù)端的權(quán)限管理系統(tǒng)對安全驗證參數(shù)和被訪問的接口ID進行認(rèn)證，如果認(rèn)證失敗，則拒絕訪問，如果通過認(rèn)證，則客戶端可以通過訪問服務(wù)端業(yè)務(wù)處理系統(tǒng)獲取所需業(yè)務(wù)。本文所提出的方法和系統(tǒng)，通過服務(wù)端接口模塊和服務(wù)端權(quán)限管理系統(tǒng)進行雙重認(rèn)證，增加了Web Service服務(wù)器的安全性。
文檔編號H04L9/32GK101515932SQ20091010616
公開日2009年8月26日 申請日期2009年3月23日 優(yōu)先權(quán)日2009年3月23日
發(fā)明者劉新田, 強 狄 申請人:中興通訊股份有限公司