[发明专利]一种应用接入鉴权的方法、系统、装置及终端

说明书

一种应用接入鉴权的方法、系统、装置及终端，该方法包括：接收到应用客户端的登录指令后，根据所述登录指令携带的信息进行登录鉴权，登录鉴权通过后向所述应用客户端返回登录成功响应；接收到所述应用客户端的应用授权信息查询指令后，确定指定用户通过所述应用客户端被授权的业务功能集，将所述业务功能集信息发送给所述应用客户端。本技术方案可以在多应用场景下实现统一接入和完整灵活鉴权。

技术领域

本发明涉及互联网应用以及开放业务平台领域，特别是涉及一种应用接入鉴权的方法、系统、装置及终端。

背景技术

随着3G/4G网络的全覆盖部署，智能手机的普及使用以及移动互联模式向各领域的渗透，不论是提供语音业务/短信业务/彩信业务的电信运营商，还是传统通过线下向用户提供产品服务的企业公司都开发可运行在智能终端(如运行iOS(一种移动操作系统)的iPhone或iPad、运行android OS(安卓操作系统)的手机和Pad等)的APP(即应用客户端)，用户可使用APP经由移动网络或wifi网络方便快捷地使用业务或者购买产品服务等。

与需收费的游戏或工具APP不同，通常运营商或企业公司作为应用提供商发布的APP是免费的，用户并不需要为下载安装而单独购买APP，但用户通过APP可使用的功能或享受的服务则与用户从运营商或企业公司所订购的业务、产品或服务相关。

通常运营商有多个业务系统或者单个业务系统提供多个功能，运营商可以将不同功能组合为不同APP，订购不同业务或服务的用户使用不同APP；运营商也可以在同一个APP集成多个功能，不同用户通过一个APP所能访问的功能与其订购信息相关。

服务端所开放的网络端口可被互联网上任何节点访问，而互联网是不可信网络，即使目前已开发使用多种网络安全技术防范网络威胁，但由于每种技术都存在缺陷和漏洞，而且攻击者也可能隐藏于用户群中，所以对于支撑应用运行的后端服务系统仍需树立网络安全意识，假设系统是在暴露在一个不可信网络，服务端收到的请求不一定来自合法APP，请求访问的对象也不一定符合发起请求的用户权限范围(有可能用户账户信息被盗取，或者攻击者本身就是一个用户)，故如何实现应用访问的鉴权是在互联网提供应用所面临的首要挑战。

由于应用访问鉴权属于系统基础功能而不属于业务功能范畴，通常应用提供商会独立在业务系统之前部署一套应用接入鉴权系统，该系统一方面暴露业务系统各项API(Application Programming Interface，应用程序编程接口)供应用客户端通过网络调用，另一方面也对判断应用访问执行鉴权，虽然目前存在多种这样的应用接入鉴权方案，但或多或少存在一定缺陷。

大部分应用接入方案只提供用户的登录认证，在登录鉴权成功后向应用客户端返回会话令牌，应用客户端在后续发送请求到应用服务端时需携带会话令牌，只有持有合法令牌的请求才会被接入系统转发给后端业务系统处理。这类接入方案只验证用户的账户和密码，由业务系统自行对用户可使用的业务权限执行鉴权，不仅使得鉴权逻辑的实现侵入各业务系统，而且由于鉴权逻辑实现分散在不同业务系统，一旦需调整或修改鉴权逻辑则涉及每个业务系统修改，改动难度大。

虽然有些应用接入方案会在登录成功响应中返回用户被授权的业务功能集标示，APP在后续请求中携带业务功能集标示，以供应用接入鉴权系统判断APP请求所访问的业务系统是否与携带的业务功能集相符。但这种方案存在明显的安全风险，只要攻击者获知应用协议，那么就可以开发软件模拟APP发送请求并在请求中填写超出用户权限之外业务功能集标示，从而欺骗接入系统以访问非授权的业务资源。