一種跨域單點登錄的方法及服務器的制造方法
【專利摘要】本文公布一種跨域單點登錄的方法及服務器，所述方法包括：客戶端處于第一站點的登錄狀態(tài)下要登錄第二站點時，服務端生成所述第二站點的會話秘鑰，并將所述第二站點的會話秘鑰連接到用戶會話，該用戶會話是所述客戶端登錄所述第一站點時建立的服務端與客戶端的用戶會話；所述第二站點的代理生成所述第二站點的會話秘鑰并向所述服務端請求用戶信息；所述服務端向所述第二站點的代理返回用戶信息，所述第二站點的代理重定向所述客戶端到所述第二站點的索引頁。
【專利說明】
一種跨域單點登錄的方法及服務器
技術(shù)領(lǐng)域
[0001 ]本發(fā)明涉及計算機領(lǐng)域，尤指一種跨域單點登錄的方法及服務器。
【背景技術(shù)】
[0002]單點登錄(SS0，Single Sign On)是在多個應用系統(tǒng)中，用戶只需要登錄一次就可以訪問所有相互信任的應用系統(tǒng)。它包括可以將這次主要的登錄映射到其他應用中用于同一個用戶的登錄的機制。它是目前比較流行的企業(yè)業(yè)務整合的解決方案之一。
[0003]單點登錄的實現(xiàn)機制如圖3所示，當用戶第一次訪問應用系統(tǒng)I時，因為還沒有登錄，會被引導到認證系統(tǒng)中進行登錄;根據(jù)用戶提供的登錄信息，認證系統(tǒng)進行身份校驗，如果通過校驗，應該返回給用戶一個認證的憑據(jù)一ticket;用戶再訪問別的應用時，就會將這個ticket帶上，作為自己認證的憑據(jù)，應用系統(tǒng)接收到請求之后會把ticket送到認證系統(tǒng)進行效驗，檢查ticket的合法性。如果通過校驗，用戶就可在不用再次登錄的情況下訪問應用系統(tǒng)2和應用系統(tǒng)3 了。
[0004]單點登錄主要解決的問題是:一個賬戶，多站點通用；一個應用登錄，其他應用同時登錄。大部分的單點登錄應用和協(xié)議都非常復雜。應用程序都有自己比較完整的用戶管理方案，這使得它們難以整合。如何利用連接會話的原理實現(xiàn)跨域單點登錄，目前還沒有有效的解決方案。

【發(fā)明內(nèi)容】

[0005]為了解決上述技術(shù)問題，本發(fā)明提供了一種跨域單點登錄的方法及服務器。
[0006]為了達到本發(fā)明目的，本發(fā)明提供了一種跨域單點登錄的方法，包括:
[0007]客戶端處于第一站點的登錄狀態(tài)下要登錄第二站點時，服務端生成所述第二站點的會話秘鑰，并將所述第二站點的會話秘鑰連接到用戶會話，該用戶會話是所述客戶端登錄所述第一站點時建立的服務端與客戶端的用戶會話；
[0008]所述第二站點的代理生成所述第二站點的會話秘鑰并向所述服務端請求用戶信息;
[0009]所述服務端向所述第二站點的代理返回用戶信息，所述第二站點的代理重定向所述客戶端到所述第二站點的索引頁。
[0010]在一個實施例中，在客戶端處于第一站點的登錄狀態(tài)之前，所述服務端建立與客戶端的所述用戶會話，包括:
[0011]客戶端從第一站點的代理獲取第一令牌、第一應用標識和第一應用秘鑰并重定向到服務端；
[0012]服務端基于所述第一令牌、第一應用標識和第一應用秘鑰，生成第一站點的會話秘鑰，并與客戶端建立所述用戶會話。
[0013]在一個實施例中，所述客戶端從第一站點的代理獲取第一令牌、第一應用標識和第一應用秘鑰，包括:
[0014]所述客戶端向所述第一站點的代理發(fā)送第一站點索引頁的訪問請求；
[0015]所述第一站點的代理隨機生成所述，并將所述第一令牌連同與已存儲在本地的第一應用標識和第一應用秘鑰存儲在緩存中返回給所述客戶端。
[0016]在一個實施例中，所述服務端生成所述第二站點的會話秘鑰之前，還包括:所述客戶端從第二站點的代理獲取第二令牌、第二應用標識和第二應用秘鑰并重定向到服務端；
[0017]所述服務端生成所述第二站點的會話秘鑰，為:所述服務端基于所述第二令牌、第二應用標識和第二應用秘鑰，生成所述第二站點的會話秘鑰。
[0018]在一個實施例中，所述第二站點的代理生成所述第二站點的會話秘鑰之前，還包括:
[0019]所述服務端將所述客戶端重定向回原始統(tǒng)一資源定位符URL;
[0020]所述客戶端向所述第二站點的代理發(fā)送第二站點索引頁的訪問請求；
[0021]所述第二站點的代理基于第二令牌、第二應用標識和第二應用秘鑰生成所述第二站點的會話秘鑰。
[0022]另一方面，提供一種單點登錄服務器，包括:
[0023]建立模塊，用于在客戶端登錄所述第一站點時建立與所述客戶端的用戶會話；
[0024]連接模塊，用于接收客戶端端重定向的第二令牌、第二應用標識和第二應用秘鑰，生成第二站點的會話秘鑰，并將所述第二站點的會話秘鑰連接到所述建立模塊建立的用戶會話；
[0025]用戶信息處理模塊，用于在檢測到所述客戶端已登錄時，接收到第二站點的代理發(fā)送的用戶信息請求后，直接向所述第二站點的代理返回用戶信息。
[0026]在一個實施例中，所述連接模塊，還用于在將所述第二站點的會話秘鑰連接到所述建立模塊建立的用戶會話之后，將所述客戶端重定向至原始統(tǒng)一資源定位符URL。
[0027]在一個實施例中，還包括:認證模塊，用于接收所述第一站點的代理發(fā)送的登錄請求，根據(jù)所述登錄請求中的登錄信息進行用戶認證，在認證通過時，返回認證成功的響應給所述第一站點的代理。
[0028]在一個實施例中，所述用戶信息處理模塊，還用于檢測到未登錄時返回檢測到未登錄的響應給所述第一站點的代理或第二站點的代理。
[0029]還提供一種用于跨域單點登錄的代理服務器，包括:
[0030]用戶信息請求模塊，用于根據(jù)第二站點的第二令牌、第二應用標識和第二應用秘鑰生成第二站點的會話秘鑰，并向服務端發(fā)送用戶信息請求；
[0031]重定向模塊，用于根據(jù)所述服務端返回的用戶信息，重定向客戶端到所述第二站點的索引頁。
[0032]本發(fā)明實施例提供的跨域單點登錄的方法及服務器，客戶端在首次登錄站點時與服務端建立用戶會話，之后通過建立會話秘鑰并連接該用戶會話可直接登錄其他站點，從而利用連接會話的原理實現(xiàn)了跨域單點登錄。
【附圖說明】
[0033]附圖用來提供對本發(fā)明技術(shù)方案的進一步理解，并且構(gòu)成說明書的一部分，與本申請的實施例一起用于解釋本發(fā)明的技術(shù)方案，并不構(gòu)成對本發(fā)明技術(shù)方案的限制。
[0034]圖1為實現(xiàn)本發(fā)明各個實施例的移動終端的硬件結(jié)構(gòu)示意圖；
[0035]圖2為如圖1所示的移動終端的無線通信系統(tǒng)示意圖；
[0036]圖3為相關(guān)技術(shù)單點登錄的示意圖；
[0037]圖4為本發(fā)明實施例跨域單點登錄的方法流程示意圖；
[0038]圖5為本發(fā)明實施例中客戶端首次登錄站點I的流程示意圖；
[0039]圖6為本發(fā)明實施例中客戶端處于站點I登錄狀態(tài)時登錄站點2的流程示意圖；
[0040]圖7為本發(fā)明實施例跨域單點登錄的單點登錄服務器的結(jié)構(gòu)示意圖；
[0041 ]圖8為本發(fā)明實施例跨域單點登錄的代理服務器的結(jié)構(gòu)示意圖；
[0042]圖9為本發(fā)明實施例跨域單點登錄系統(tǒng)的組成結(jié)構(gòu)示意圖；
[0043]圖10為本發(fā)明實施例服務器的結(jié)構(gòu)示例示意圖。
[0044]本發(fā)明目的的實現(xiàn)、功能特點及優(yōu)點將結(jié)合實施例，參照附圖做進一步說明。
【具體實施方式】
[0045]應當理解，此處所描述的具體實施例僅僅用以解釋本發(fā)明，并不用于限定本發(fā)明。
[0046]現(xiàn)在將參考附圖描述實現(xiàn)本發(fā)明各個實施例的移動終端。在后續(xù)的描述中，使用用于表示元件的諸如“模塊”、“部件”或“單元”的后綴僅為了有利于本發(fā)明的說明，其本身并沒有特定的意義。因此，"模塊"與"部件"可以混合地使用。
[0047]移動終端可以以各種形式來實施。例如，本發(fā)明中描述的終端可以包括諸如移動電話、智能電話、筆記本電腦、數(shù)字廣播接收器、PDA(個人數(shù)字助理)、PAD(平板電腦)、PMP(便攜式多媒體播放器)、導航裝置等等的移動終端以及諸如數(shù)字TV、臺式計算機等等的固定終端。下面，假設終端是移動終端。然而，本領(lǐng)域技術(shù)人員將理解的是，除了特別用于移動目的的元件之外，根據(jù)本發(fā)明的實施方式的構(gòu)造也能夠應用于固定類型的終端。
[0048]圖1為實現(xiàn)本發(fā)明各個實施例的移動終端的硬件結(jié)構(gòu)示意。
[0049]移動終端100可以包括無線通信單元110、用戶輸入單元130、輸出單元150、存儲器160、控制器180和電源單元190等等。圖1示出了具有各種組件的移動終端，但是應理解的是，并不要求實施所有示出的組件?？梢蕴娲貙嵤└嗷蚋俚慕M件。將在下面詳細描述移動終端的元件。
[0050]無線通信單元110通常包括一個或多個組件，其允許移動終端100與無線通信系統(tǒng)或網(wǎng)絡之間的無線電通信。例如，無線通信單元可以包括廣播接收模塊111、移動通信模塊112、無線互聯(lián)網(wǎng)模塊113、短程通信模塊114和位置信息模塊115中的至少一個。
[0051]廣播接收模塊111經(jīng)由廣播信道從外部廣播管理服務器接收廣播信號和/或廣播相關(guān)信息。廣播信道可以包括衛(wèi)星信道和/或地面信道。廣播管理服務器可以是生成并發(fā)送廣播信號和/或廣播相關(guān)信息的服務器或者接收之前生成的廣播信號和/或廣播相關(guān)信息并且將其發(fā)送給終端的服務器。廣播信號可以包括TV廣播信號、無線電廣播信號、數(shù)據(jù)廣播信號等等。而且，廣播信號可以進一步包括與TV或無線電廣播信號組合的廣播信號。廣播相關(guān)信息也可以經(jīng)由移動通信網(wǎng)絡提供，并且在該情況下，廣播相關(guān)信息可以由移動通信模塊112來接收。廣播信號可以以各種形式存在，例如，其可以以數(shù)字多媒體廣播(DMB)的電子節(jié)目指南(EPG)、數(shù)字視頻廣播手持(DVB-H)的電子服務指南(ESG)等等的形式而存在。廣播接收模塊111可以通過使用各種類型的廣播系統(tǒng)接收信號廣播。特別地，廣播接收模塊111可以通過使用諸如多媒體廣播-地面(DMB-T)、數(shù)字多媒體廣播-衛(wèi)星(DMB-S)、數(shù)字視頻廣播-手持(DVB-H)，前向鏈路媒體(MediaFLO?)的數(shù)據(jù)廣播系統(tǒng)、地面數(shù)字廣播綜合服務(ISDB-T)等等的數(shù)字廣播系統(tǒng)接收數(shù)字廣播。廣播接收模塊111可以被構(gòu)造為適合提供廣播信號的各種廣播系統(tǒng)以及上述數(shù)字廣播系統(tǒng)。經(jīng)由廣播接收模塊111接收的廣播信號和/或廣播相關(guān)信息可以存儲在存儲器160(或者其它類型的存儲介質(zhì))中。
[0052]移動通信模塊112將無線電信號發(fā)送到基站(例如，接入點、節(jié)點B等等)、外部終端以及服務器中的至少一個和/或從其接收無線電信號。這樣的無線電信號可以包括語音通話信號、視頻通話信號、或者根據(jù)文本和/或多媒體消息發(fā)送和/或接收的各種類型的數(shù)據(jù)。
[0053]無線互聯(lián)網(wǎng)模塊113支持移動終端的無線互聯(lián)網(wǎng)接入。該模塊可以內(nèi)部或外部地耦接到終端。該模塊所涉及的無線互聯(lián)網(wǎng)接入技術(shù)可以包括WLAN(無線LAN)(W1-Fi)、Wibro(無線寬帶)、Wimax(全球微波互聯(lián)接入)、HSDPA(高速下行鏈路分組接入)等等。
[0054]短程通信模塊114是用于支持短程通信的模塊。短程通信技術(shù)的一些示例包括藍牙?、射頻識別(RFID)、紅外數(shù)據(jù)協(xié)會(IrDA)、超寬帶(UWB)、紫蜂?等等。
[0055]位置信息模塊115是用于檢查或獲取移動終端的位置信息的模塊。位置信息模塊的典型示例是GPS(全球定位系統(tǒng))。根據(jù)當前的技術(shù)，GPS模塊115計算來自三個或更多衛(wèi)星的距離信息和準確的時間信息并且對于計算的信息應用三角測量法，從而根據(jù)經(jīng)度、瑋度和高度準確地計算三維當前位置信息。當前，用于計算位置和時間信息的方法使用三顆衛(wèi)星并且通過使用另外的一顆衛(wèi)星校正計算出的位置和時間信息的誤差。此外，GPS模塊115能夠通過實時地連續(xù)計算當前位置信息來計算速度信息。
[0056]用戶輸入單元130可以根據(jù)用戶輸入的命令生成鍵輸入數(shù)據(jù)以控制移動終端的各種操作。用戶輸入單元130允許用戶輸入各種類型的信息，并且可以包括鍵盤、鍋仔片、觸摸板(例如，檢測由于被接觸而導致的電阻、壓力、電容等等的變化的觸敏組件)、滾輪、搖桿等等。特別地，當觸摸板以層的形式疊加在顯示單元151上時，可以形成觸摸屏。
[0057]顯示單元151可以顯示在移動終端100中處理的信息。例如，當移動終端100處于電話通話模式時，顯示單元151可以顯示與通話或其它通信(例如，文本消息收發(fā)、多媒體文件下載等等)相關(guān)的用戶界面(UI)或圖形用戶界面(GUI)。當移動終端100處于視頻通話模式或者圖像捕獲模式時，顯示單元151可以顯示捕獲的圖像和/或接收的圖像、示出視頻或圖像以及相關(guān)功能的UI或GUI等等。
[0058]存儲器160可以存儲由控制器180執(zhí)行的處理和控制操作的軟件程序等等，或者可以暫時地存儲己經(jīng)輸出或?qū)⒁敵龅臄?shù)據(jù)(例如，電話簿、消息、靜態(tài)圖像、視頻等等)。而且，存儲器160可以存儲關(guān)于當觸摸施加到觸摸屏時輸出的各種方式的振動和音頻信號的數(shù)據(jù)。
[0059]存儲器160可以包括至少一種類型的存儲介質(zhì)，所述存儲介質(zhì)包括閃存、硬盤、多媒體卡、卡型存儲器(例如，SD或DX存儲器等等)、隨機訪問存儲器(RAM)、靜態(tài)隨機訪問存儲器(SRAM)、只讀存儲器(R0M)、電可擦除可編程只讀存儲器(EEPROM)、可編程只讀存儲器(PROM)、磁性存儲器、磁盤、光盤等等。而且，移動終端100可以與通過網(wǎng)絡連接執(zhí)行存儲器160的存儲功能的網(wǎng)絡存儲裝置協(xié)作。
[0060]控制器180通?？刂埔苿咏K端的總體操作。例如，控制器180執(zhí)行與語音通話、數(shù)據(jù)通信、視頻通話等等相關(guān)的控制和處理。另外，控制器180可以包括用于再現(xiàn)(或回放)多媒體數(shù)據(jù)的多媒體模塊1810，多媒體模塊1810可以構(gòu)造在控制器180內(nèi)，或者可以構(gòu)造為與控制器180分離。控制器180可以執(zhí)行模式識別處理，以將在觸摸屏上執(zhí)行的手寫輸入或者圖片繪制輸入識別為字符或圖像。
[0061 ]電源單元190在控制器180的控制下接收外部電力或內(nèi)部電力并且提供操作各元件和組件所需的適當?shù)碾娏Α?br>[0062]這里描述的各種實施方式可以以使用例如計算機軟件、硬件或其任何組合的計算機可讀介質(zhì)來實施。對于硬件實施，這里描述的實施方式可以通過使用特定用途集成電路(ASIC)、數(shù)字信號處理器(DSP)、數(shù)字信號處理裝置(DSPD)、可編程邏輯裝置(PLD)、現(xiàn)場可編程門陣列(FPGA)、處理器、控制器、微控制器、微處理器、被設計為執(zhí)行這里描述的功能的電子單元中的至少一種來實施，在一些情況下，這樣的實施方式可以在控制器180中實施。對于軟件實施，諸如過程或功能的實施方式可以與允許執(zhí)行至少一種功能或操作的單獨的軟件模塊來實施。軟件代碼可以由以任何適當?shù)木幊陶Z言編寫的軟件應用程序(或程序)來實施，軟件代碼可以存儲在存儲器160中并且由控制器180執(zhí)行。
[0063]至此，己經(jīng)按照其功能描述了移動終端。下面，為了簡要起見，將描述諸如折疊型、直板型、擺動型、滑動型移動終端等等的各種類型的移動終端中的滑動型移動終端作為示例。因此，本發(fā)明能夠應用于任何類型的移動終端，并且不限于滑動型移動終端。
[0064]如圖1中所示的移動終端100可以被構(gòu)造為利用經(jīng)由幀或分組發(fā)送數(shù)據(jù)的諸如有線和無線通信系統(tǒng)以及基于衛(wèi)星的通信系統(tǒng)來操作。
[0065]現(xiàn)在將參考圖2描述其中根據(jù)本發(fā)明的移動終端能夠操作的通信系統(tǒng)。
[0066]這樣的通信系統(tǒng)可以使用不同的空中接口和/或物理層。例如，由通信系統(tǒng)使用的空中接口包括例如頻分多址(FDMA)、時分多址(TDMA)、碼分多址(CDMA)和通用移動通信系統(tǒng)(UMTS)(特別地，長期演進(LTE))、全球移動通信系統(tǒng)(GSM)等等。作為非限制性示例，下面的描述涉及CDMA通信系統(tǒng)，但是這樣的教導同樣適用于其它類型的系統(tǒng)。
[0067]參考圖2，⑶MA無線通信系統(tǒng)可以包括多個移動終端100、多個基站(BS)270、基站控制器(BSC)275和移動交換中心(MSCUSOJSCSSO被構(gòu)造為與公共電話交換網(wǎng)絡(PSTN)290形成接口。MSC280還被構(gòu)造為與可以經(jīng)由回程線路耦接到基站270的BSC275形成接口?；爻叹€路可以根據(jù)若干己知的接口中的任一種來構(gòu)造，所述接口包括例如E1/T1、ATM，IP、PPP、幀中繼、HDSL、ADSL或xDSL。將理解的是，如圖2中所示的系統(tǒng)可以包括多個BSC2750。
[0068]每個BS270可以服務一個或多個分區(qū)(或區(qū)域)，由多向天線或指向特定方向的天線覆蓋的每個分區(qū)放射狀地遠離BS270。或者，每個分區(qū)可以由用于分集接收的兩個或更多天線覆蓋。每個BS270可以被構(gòu)造為支持多個頻率分配，并且每個頻率分配具有特定頻譜(例如，1.25MHz，5MHz 等等)。
[0069]分區(qū)與頻率分配的交叉可以被稱為CDMA信道。BS270也可以被稱為基站收發(fā)器子系統(tǒng)(BTS)或者其它等效術(shù)語。在這樣的情況下，術(shù)語"基站"可以用于籠統(tǒng)地表示單個BSC275和至少一個BS270?；疽部梢员环Q為〃蜂窩站〃?；蛘撸囟˙S270的各分區(qū)可以被稱為多個蜂窩站。
[0070]如圖2中所示，廣播發(fā)射器(BT)295將廣播信號發(fā)送給在系統(tǒng)內(nèi)操作的移動終端100。如圖1中所示的廣播接收模塊111被設置在移動終端100處以接收由BT295發(fā)送的廣播信號。在圖2中，示出了幾個全球定位系統(tǒng)(GPS)衛(wèi)星300。衛(wèi)星300幫助定位多個移動終端100中的至少一個。
[0071]在圖2中，描繪了多個衛(wèi)星300，但是理解的是，可以利用任何數(shù)目的衛(wèi)星獲得有用的定位信息。如圖1中所示的GPS模塊115通常被構(gòu)造為與衛(wèi)星300配合以獲得想要的定位信息。替代GPS跟蹤技術(shù)或者在GPS跟蹤技術(shù)之外，可以使用可以跟蹤移動終端的位置的其它技術(shù)。另外，至少一個GPS衛(wèi)星300可以選擇性地或者額外地處理衛(wèi)星DMB傳輸。
[0072]作為無線通信系統(tǒng)的一個典型操作，BS270接收來自各種移動終端100的反向鏈路信號。移動終端100通常參與通話、消息收發(fā)和其它類型的通信。特定基站270接收的每個反向鏈路信號被在特定BS270內(nèi)進行處理。獲得的數(shù)據(jù)被轉(zhuǎn)發(fā)給相關(guān)的BSC275 ASC提供通話資源分配和包括BS270之間的軟切換過程的協(xié)調(diào)的移動管理功能。BSC275還將接收到的數(shù)據(jù)路由到MSC280，其提供用于與PSTN290形成接口的額外的路由服務。類似地，PSTN290與MSC280形成接口，MSC與BSC275形成接口，并且BSC275相應地控制BS270以將正向鏈路信號發(fā)送到移動終端100。
[0073]如圖4所示，本發(fā)明實施例提供了一種跨域單點登錄的方法，主要可包括:
[0074]步驟401，客戶端處于第一站點的登錄狀態(tài)下要登錄第二站點時，服務端生成所述第二站點的會話秘鑰，并將所述第二站點的會話秘鑰連接到用戶會話，該用戶會話是所述客戶端登錄所述第一站點時建立的服務端與客戶端的用戶會話；
[0075]步驟402，所述第二站點的代理生成所述第二站點的會話秘鑰并向所述服務端請求用戶信息；
[0076]步驟403，所述服務端向所述第二站點的代理返回用戶信息，所述第二站點的代理重定向所述客戶端到所述第二站點的索引頁。
[0077]其中，在客戶端處于第一站點的登錄狀態(tài)之前，還包括:所述服務端建立與客戶端的所述用戶會話；其中，客戶端從第一站點的代理獲取第一令牌T0KEN_1、第一應用標識APPID_1和第一應用秘鑰APPKEY_1并重定向到服務端;服務端基于所述T0KEN_1、APPID_1和APPKEY_1，生成第一站點的會話秘鑰，并與客戶端建立所述用戶會話。這里，所述客戶端向所述第一站點的代理發(fā)送第一站點索引頁的訪問請求;所述第一站點的代理隨機生成所述T0KEN_1，并將所述T0KEN_1存儲在緩存(Cookie)中返回給所述客戶端。
[0078]其中，所述服務端生成所述第二站點的會話秘鑰之前，還包括:所述客戶端從第二站點的代理獲取第二令牌T0KEN_2、第二應用標識APPID_2和第二應用秘鑰APPKEY_2并重定向到服務端;所述服務端生成所述第二站點的會話秘鑰，為:所述服務端基于所述T0KEN_2、APPID_2和APPKEY_2，生成所述第二站點的會話秘鑰。這里，所述客戶端向所述第二站點的代理發(fā)送第二站點索引頁的訪問請求;所述第二站點的代理隨機生成所述T0KEN_2，并將所述T0KEN_2存儲在Cooki e中返回給所述客戶端。
[0079]其中，所述第二站點的代理生成所述第二站點的會話秘鑰之前，還包括:所述服務端將所述客戶端重定向回原始統(tǒng)一資源定位符(URL);所述客戶端向所述第二站點的代理發(fā)送第二站點索引頁的訪問請求;所述第二站點的代理基于T0KEN_2、APP ID_2和APPKEY_2生成所述第二站點的會話秘鑰。
[0080]其中，在客戶端處于第一站點的登錄狀態(tài)之前、建立所述用戶會話之后，還包括:所述第一站點的代理將所述客戶端重定向到所述第一站點的登錄頁面;所述客戶端獲取用戶輸入的登錄信息并發(fā)送給所述第一站點的代理;第一站點的代理向所述服務端發(fā)送登錄請求，所述登錄請求攜帶所述登錄信息;所述服務端根據(jù)所述登錄請求中的登錄信息進行用戶認證，在認證通過時，返回認證成功的響應給所述第一站點的代理;所述第一站的代理將所述客戶端重定向到所述第一站點的索引頁，用戶成功登錄第一站點。
[0081]這里，所述第一站點的代理將所述客戶端重定向到所述第一站點的登錄頁面之前，還包括:所述服務端將所述客戶端重定向回原始URL;所述客戶端向所述第一站點的代理發(fā)送第一站點索引頁的訪問請求;所述第一站點的代理生成所述第一站點的會話秘鑰并向所述服務端請求用戶信息;所述服務端檢測到未登錄，返回檢測到未登錄的響應給所述第一站點的代理。
[0082]本發(fā)明實施例中，客戶端指的是用戶瀏覽器;代理指的是用戶訪問的網(wǎng)站的服務器或其他設備，每個站點都有唯一標識APPID和秘鑰APPKEY存儲在代理中；服務端是指單點登錄服務端，用于存儲并提供登錄需要的用戶信息。
[0083]代理將會以客戶端的名義與單點登錄服務器進行通信，所以希望代理和客戶端使用相同的會話，然而由于它們在不同的域，所以不能共享會話，因此，本發(fā)明實施例中，由代理向客戶端請求TOKEN傳遞到服務器，服務器利用TOKEN、APPID、APPKEY生成連接客戶端的會話秘鑰，代理也知道該TOKEN、APPID、APPKEY，能夠產(chǎn)生相同的會話秘鑰，用該會話秘鑰可以代理登錄/登出命令以及向服務端請求信息。
[0084]客戶端第一次登錄站點I的流程如圖5所示，主要可包括如下步驟:
[0085]步驟501，客戶端首次訪問站點I，向站點I的代理I發(fā)送站點I索引頁的訪問請求；
[0086]步驟5O 2，代理I接收所述訪問請求，隨機生成令牌(TOKEN)并將TOKEN存儲在Cookie中返回給客戶端；
[0087]步驟503，客戶端攜帶所述TOKEN和加密過的應用標識(APPID)、應用秘鑰(APPKEY)重定向到服務端；
[0088]步驟504，服務端的單點登錄服務器基于TOKEN和解密后的APPID、APPKEY生成連接客戶端的會話秘鑰，建立與客戶端之間的第一用戶會話;安全起見，該會話秘鑰包含一個校驗和，以防止黑客通過隨機會話秘鑰來獲取會話(sess1n)信息。
[0089]步驟505，服務端的單點登錄服務器使客戶端重定向回原始統(tǒng)一資源定位符(URL)，之后就可以像不使用SSO時那樣與代理進行通信；
[0090]步驟506，客戶端基于服務端重定向的原始URL，向代理I發(fā)送請求站點I索引頁的訪問請求，該索引頁需要訪問者進行登錄。
[0091 ] 步驟507，代理I基于TOKEN和APPID、APPKEY生成會話秘鑰，該會話秘鑰對應所述第一用戶會話；
[0092]步驟508，代理I向服務端發(fā)送獲取用戶信息的請求；
[0093]步驟509，服務端檢測到訪問者未登錄，返回檢測到未登錄的響應給代理I;
[0094]步驟510，代理I重定向客戶端到登錄頁面；
[0095]步驟511，客戶端向用戶顯示登錄頁面，并接收用戶在登錄頁面輸入的用戶名和密碼等登錄信息，客戶端將所述登錄信息發(fā)送到代理I。
[0096]步驟512，代理I發(fā)送登錄請求到服務端，該登錄請求包含上述的用戶名、密碼以及會話秘鑰；
[0097]步驟513-514，服務端根據(jù)所述登錄請求進行用戶認證，認證成功則將認證成功的響應發(fā)送到代理I。
[0098]步驟515，代理I重定向客戶端到站點I的索引頁。
[0099]具體的，客戶端發(fā)送站點I索引頁的訪問請求給代理I，代理I向服務端請求用戶信息，服務端向代理人I返回用戶信息，代理I將站點I索引頁的信息返回給客戶端，客戶端先提示客戶端登錄認證成功，再自動跳轉(zhuǎn)到站點I索引頁。
[0100]登錄狀態(tài)下，用戶登錄另一個站點2的流程如圖6所示，主要可包括:
[0101]步驟601，客戶端訪問站點2，向站點2的代理2發(fā)送站點2索引頁的訪問請求；
[0102]步驟6O2，代理I接收所述訪問請求，隨機生成令牌(TOKEN)并將TOKEN存儲在Cookie中返回給客戶端；
[0103]這里，為了安全，代理一般不會將APPID、APPKEY存放在Cookie中，而是存儲在代理端。步驟603，客戶端攜帶所述TOKEN和加密過的應用標識(APPID)、應用秘鑰(APPKEY)重定向到服務端；
[0104]步驟604，服務端的單點登錄服務器基于TOKEN和解密后的APPID、APPKEY為該代理2生成新的會話秘鑰，新的會話秘鑰與代理I的會話秘鑰不同，該新的會話秘鑰會連接到所述第一用戶會話，也就是說，該新的會話秘鑰會與代理I的會話秘鑰共享同一個用戶會話；
[0105]步驟605，服務端的單點登錄服務器使客戶端重定向回原始URL;
[0106]步驟606，客戶端向代理2發(fā)送站點2索引頁的訪問請求；
[0107]步驟607，代理2會基于TOKEN和APPID、APPKEY生成所述新的會話秘鑰，該新的會話秘鑰與步驟604服務端生成的會話秘鑰相同，會連接到所述第一用戶會話；
[0108]步驟608，代理2向服務端發(fā)送獲取用戶信息的請求，該請求中包含步驟607生成的會話秘鑰；
[0109]步驟609-610，服務端檢測到訪問者已登錄，直接返回用戶信息給代理2;
[0110]具體的，服務端根據(jù)代理2發(fā)送的請求中包含的會話秘鑰，找到該會話秘鑰連接的第一用戶會話，根據(jù)該第一用戶會話檢測到相應客戶端已登錄，也就是說，根據(jù)該第一用戶會話判斷相應客戶端的用戶信息已存在，則直接返回該客戶端的用戶信息給代理2。
[0111]步驟611，代理2重定向客戶端到站點2的索引頁。
[0112]在上述流程中，還可以包括如下步驟:
[0113]步驟612，客戶端向代理2發(fā)送退出登錄的請求；
[0114]步驟613，代理2向服務器發(fā)送所述退出登錄的請求；
[0115]步驟614，服務端向代理2返回成功退出登錄的響應，關(guān)閉該用戶會話，銷毀會話秘鑰；
[0116]步驟615，代理2重定向客戶端到站點2的登錄頁面。
[0117]需要說明的是，在圖6所示的流程中，首先也會檢查是否存在存儲該代理TOKEN的Cookie，每個代理都在自己的域中，會具有不同的Cookies，上述流程中不會發(fā)現(xiàn)有該代理Cookie，因此，圖6所示的流程中，客戶端發(fā)起站點2索引頁的訪問請求后，代理2將會重定向到服務端連接用戶會話。
[0118]如圖7所示，本發(fā)明實施例還提供了一種單點登錄服務器，包括:
[0119]建立模塊71，用于在客戶端登錄所述第一站點時建立與所述客戶端的用戶會話；
[0120]連接模塊72，用于接收客戶端端重定向的第二令牌T0KEN_2、第二應用標識APPID_2和第二應用秘鑰APPKEY_2，生成第二站點的會話秘鑰，并將所述第二站點的會話秘鑰連接到所述建立模塊建立的用戶會話；
[0121]用戶信息處理模塊73，用于在檢測到所述客戶端已登錄時，接收到第二站點的代理發(fā)送的用戶信息請求后，直接向所述第二站點的代理返回用戶信息。
[0122]其中，所述連接模塊72，還可用于在將所述第二站點的會話秘鑰連接到所述建立模塊建立的用戶會話之后，將所述客戶端重定向至原始統(tǒng)一資源定位符URL。
[0123]其中，所述單點登錄服務器還包括:認證模塊74，用于接收所述第一站點的代理發(fā)送的登錄請求，根據(jù)所述登錄請求中的登錄信息進行用戶認證，在認證通過時，返回認證成功的響應給所述第一站點的代理。
[0124]其中，所述用戶信息處理模塊73，還用于檢測到未登錄時返回檢測到未登錄的響應給所述第一站點的代理或第二站點的代理。
[0125]如圖8所示，本發(fā)明實施例還提供了一種用于跨域單點登錄的代理服務器，包括:
[0126]用戶信息請求模塊81，用于根據(jù)第二站點的第二令牌T0KEN_2、第二應用標識APPID_2和第二應用秘鑰APPKEY_2生成第二站點的會話秘鑰，并向服務端發(fā)送用戶信息請求；
[0127]重定向模塊82，用于根據(jù)所述服務端返回的用戶信息，重定向客戶端到所述第二站點的索引頁。
[0128]其中，所述代理服務器還包括:TOKEN返回模塊83，用于隨機生成TOKEN，并將所述TOKEN存儲在Cooki e中返回給所述客戶端。
[0129]本發(fā)明實施例還提供了一種用于跨域單點登錄的客戶端，包括:獲取模塊，用于獲取令牌TOKEN、應用標識APPID和應用秘鑰APPKEY并重定向到服務端。所述獲取模塊，具體用于向代理發(fā)送索引頁的訪問請求，并接收所述代理返回的Cookie，所述Cookie存儲有T0KEN、APPID和APPKEY。該客戶端具體為瀏覽器，該瀏覽器可以在如圖1、2所示的移動終端上運行，也可在支持瀏覽器的電子設備上運行。
[0130]如圖9所示，本發(fā)明實施例還提供了一種跨域單點登錄的系統(tǒng)，該系統(tǒng)包括如圖7所示的單點登錄服務器、如圖8所示的代理服務器以及上述的客戶端。
[0131]如圖10所示，為本發(fā)明實施例上述服務器的結(jié)構(gòu)示例示意圖，上述服務器除具有上述模塊之外，還可包括:輸入輸出(10)總線、處理器40、存儲器41、內(nèi)存42和通信裝置43。其中，
[0132]輸入輸出(10)總線分別與自身所屬的服務器的其它部件(處理器40、存儲器41、內(nèi)存42和通信裝置43)連接，并且為其它部件提供傳送線路。
[0133]處理器40通常控制自身所屬的服務器的總體操作。例如，處理器40執(zhí)行計算和確認等操作。其中，處理器40可以是中央處理器(CPU)。
[0134]通信裝置43，通常包括一個或多個組件，其允許自身所屬的服務器與無線通信系統(tǒng)或網(wǎng)絡之間的無線電通信。
[0135]存儲器41存儲處理器40可讀、處理器可執(zhí)行的軟件代碼，其包含用于控制處理器40執(zhí)行本文描述的功能的指令(即軟件執(zhí)行功能)。需要說明的是，在本文中，術(shù)語“包括”、“包含”或者其任何其他變體意在涵蓋非排他性的包含，從而使得包括一系列要素的過程、方法、物品或者裝置不僅包括那些要素，而且還包括沒有明確列出的其他要素，或者是還包括為這種過程、方法、物品或者裝置所固有的要素。在沒有更多限制的情況下，由語句“包括一個……”限定的要素，并不排除在包括該要素的過程、方法、物品或者裝置中還存在另外的相同要素。
[0136]上述本發(fā)明實施例序號僅僅為了描述，不代表實施例的優(yōu)劣。
[0137]通過以上的實施方式的描述，本領(lǐng)域的技術(shù)人員可以清楚地了解到上述實施例方法可借助軟件加必需的通用硬件平臺的方式來實現(xiàn)，當然也可以通過硬件，但很多情況下前者是更佳的實施方式。基于這樣的理解，本發(fā)明的技術(shù)方案本質(zhì)上或者說對現(xiàn)有技術(shù)做出貢獻的部分可以以軟件產(chǎn)品的形式體現(xiàn)出來，該計算機軟件產(chǎn)品存儲在一個存儲介質(zhì)(如R0M/RAM、磁碟、光盤)中，包括若干指令用以使得一臺終端設備(可以是手機，計算機，月艮務器，空調(diào)器，或者網(wǎng)絡設備等)執(zhí)行本發(fā)明各個實施例所述的方法。
[0138]以上僅為本發(fā)明的優(yōu)選實施例，并非因此限制本發(fā)明的專利范圍，凡是利用本發(fā)明說明書及附圖內(nèi)容所作的等效結(jié)構(gòu)或等效流程變換，或直接或間接運用在其他相關(guān)的技術(shù)領(lǐng)域，均同理包括在本發(fā)明的專利保護范圍內(nèi)。
【主權(quán)項】
1.一種跨域單點登錄的方法，其特征在于，包括: 客戶端處于第一站點的登錄狀態(tài)下要登錄第二站點時，服務端生成所述第二站點的會話秘鑰，并將所述第二站點的會話秘鑰連接到用戶會話，該用戶會話是所述客戶端登錄所述第一站點時建立的服務端與客戶端的用戶會話； 所述第二站點的代理生成所述第二站點的會話秘鑰并向所述服務端請求用戶信息； 所述服務端向所述第二站點的代理返回用戶信息，所述第二站點的代理重定向所述客戶端到所述第二站點的索引頁。2.根據(jù)權(quán)利要求1所述的方法，其特征在于，在客戶端處于第一站點的登錄狀態(tài)之前，所述服務端建立與客戶端的所述用戶會話，包括: 客戶端從第一站點的代理獲取第一令牌、第一應用標識和第一應用秘鑰并重定向到服務端； 服務端基于所述第一令牌、第一應用標識和第一應用秘鑰，生成第一站點的會話秘鑰，并與客戶端建立所述用戶會話。3.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述客戶端從第一站點的代理獲取第一令牌、第一應用標識和第一應用秘鑰，包括: 所述客戶端向所述第一站點的代理發(fā)送第一站點索引頁的訪問請求； 所述第一站點的代理隨機生成所述，并將所述第一令牌連同與已存儲在本地的第一應用標識和第一應用秘鑰存儲在緩存中返回給所述客戶端。4.根據(jù)權(quán)利要求1所述的方法，其特征在于， 所述服務端生成所述第二站點的會話秘鑰之前，還包括:所述客戶端從第二站點的代理獲取第二令牌、第二應用標識和第二應用秘鑰并重定向到服務端； 所述服務端生成所述第二站點的會話秘鑰，為:所述服務端基于所述第二令牌、第二應用標識和第二應用秘鑰，生成所述第二站點的會話秘鑰。5.根據(jù)權(quán)利要求4所述的方法，其特征在于，所述第二站點的代理生成所述第二站點的會話秘鑰之前，還包括: 所述服務端將所述客戶端重定向回原始統(tǒng)一資源定位符URL; 所述客戶端向所述第二站點的代理發(fā)送第二站點索引頁的訪問請求； 所述第二站點的代理基于第二令牌、第二應用標識和第二應用秘鑰生成所述第二站點的會話秘鑰。6.一種單點登錄服務器，其特征在于，包括: 建立模塊，用于在客戶端登錄所述第一站點時建立與所述客戶端的用戶會話； 連接模塊，用于接收客戶端端重定向的第二令牌、第二應用標識和第二應用秘鑰，生成第二站點的會話秘鑰，并將所述第二站點的會話秘鑰連接到所述建立模塊建立的用戶會話； 用戶信息處理模塊，用于在檢測到所述客戶端已登錄時，接收到第二站點的代理發(fā)送的用戶信息請求后，直接向所述第二站點的代理返回用戶信息。7.根據(jù)權(quán)利要求6所述的單點登錄服務器，其特征在于， 所述連接模塊，還用于在將所述第二站點的會話秘鑰連接到所述建立模塊建立的用戶會話之后，將所述客戶端重定向至原始統(tǒng)一資源定位符URL。8.根據(jù)權(quán)利要求6所述的單點登錄服務器，其特征在于，還包括: 認證模塊，用于接收所述第一站點的代理發(fā)送的登錄請求，根據(jù)所述登錄請求中的登錄信息進行用戶認證，在認證通過時，返回認證成功的響應給所述第一站點的代理。9.根據(jù)權(quán)利要求10所述的單點登錄服務器，其特征在于， 所述用戶信息處理模塊，還用于檢測到未登錄時返回檢測到未登錄的響應給所述第一站點的代理或第二站點的代理。10.一種用于跨域單點登錄的代理服務器，其特征在于，包括: 用戶信息請求模塊，用于根據(jù)第二站點的第二令牌、第二應用標識和第二應用秘鑰生成第二站點的會話秘鑰，并向服務端發(fā)送用戶信息請求； 重定向模塊，用于根據(jù)所述服務端返回的用戶信息，重定向客戶端到所述第二站點的索引頁。
【文檔編號】H04L29/08GK105897743SQ201610362534
【公開日】2016年8月24日
【申請日】2016年5月26日
【發(fā)明人】王玉林
【申請人】努比亞技術(shù)有限公司