[发明专利]一种适用于客户端平台的认证授权方法和系统

权利要求书

1.一种用于客户端平台的认证授权方法，其特征在于：由客户端平台为接入的应用方提供JS接口，且均通过该客户端平台提供的JS接口进行用户登录、授权认证，包括：

启动客户端平台的至少一个应用程序；

应用程序调用客户端平台JS接口获取当前登录用户的至少包含用户名的基本信息；

如果返回用户未登录、但应用程序要求用户必须登录时，则应用程序调用登录JS接口；

通过JS接口回调返回所述基本信息和用户的签名给应用程序；

如果应用程序判断此时仅获得所述用户名和所述签名的信息已经足够，则允许用户进入应用程序。

2.如权利要求1所述的方法，其中，还包括：

如果返回用户已登录，则返回用户的所述基本信息给应用程序，并附带用户信息的所述签名。

3.如权利要求2所述的方法，其中，还包括允许用户进入应用程序之前：

所述签名的算法使用应用程序的App Secret作为密钥；

设定一个允许的时间偏差允许范围；

加密算法加入当前时间戳，当前时间戳与所述签名一起发送给应用程序；

应用程序确定时间偏差在该允许范围内；以及

利用所述时间戳、密钥和所述基本信息一起完成校验。

4.如权利要求1、2或3所述的方法，其中还包括：

如果应用程序判断仅获得所述用户名和所述签名的信息不足够使用，则调用授权的JS接口，并通过新开启的窗口显示授权页；

当授权得到同意，则客户端平台将相关信息提交到后端服务器，后端服务器返回授权的请求令牌或验证码；

当授权未得到同意则认证授权流程结束。

5.如权利要求4所述的方法，其中，当返回授权的请求令牌或验证码后，进一步包括：

客户端通过JS接口回调，通知应用程序请求令牌或验证码；

应用程序将请求令牌或验证码传入后端服务器；

应用程序在后端换取访问令牌，调用服务接口；

应用程序允许用户进入应用程序。

6.如权利要求5所述的方法，其中，进一步包括：

上述通过JS接口回调、通知应用程序请求令牌或验证码时，只传递验证码(Auth Code，OAuth2)或授权过的Request Token(OAuth1)，验证码在应用程序的服务端使用且仅使用一次。

7.如权利要求1、2、3、5或6所述的方法，其中还包括所述由客户端平台为接入的应用方提供JS接口后，识别提供的JS接口是否存在，应用程序判断应用程序的服务是否在客户端平台内运行，以采取相应的所述登录、授权认征。

8.如权利要求1、2、3、5或6所述的方法，其中还包括：

需要用户授权的过程中，在调用JS接口的时候，注册回调函数，并通过JS接口的回调返回相应结果。

9.一种用于客户端平台的认证授权系统，其特征在于：由客户端平台为接入的应用方提供JS接口，且均通过该客户端平台提供的JS接口进行用户登录、授权认证，包括：

用于启动客户端平台的至少一个应用程序的装置；

用于应用程序调用客户端平台JS接口获取当前登录用户的至少包含用户名的基本信息的装置；

用于如果返回的是用户未登录但应用程序要求用户必须登录时，则应用程序调用登录JS接口的装置；

用于通过JS接口回调返回所述基本信息和用户的签名给应用程序的装置；

用于如果应用程序判断此时仅获得所述用户名和所述签名的信息已经足够，则允许用户进入应用程序的装置。

10.如权利要求9所述的系统，其中，还包括：

用于如果返回的是用户已登录，则返回用户的所述基本信息给应用程序，并附带用户信息的所述签名的装置。