[发明专利]一种认证方法及认证系统

说明书

本公开提供了一种认证方法及认证系统，认证方法应用于客户端，其包括：将登录数据发送给服务器端，登录数据至少包括：登录名称、登录密码以及客户端实时生成的认证字符串；接收服务器端基于登录数据返回的用户身份标识码和服务器时间；将数据请求以及验证数据发送给服务器端，以使服务器端根据验证数据的验证结果处理数据请求，其中，验证数据至少包括：用户身份标识码、时间戳及第一认证令牌，第一认证令牌基于用户身份标识码、时间戳和认证字符串生成，时间戳基于服务器时间和客户端时间生成。本公开通过设置客户端利用生成的认证字符串生成第一认证令牌，并发送给服务器端以使服务器端对第一认证令牌进行验证，提高了安全性和交互性能。

技术领域

本公开涉通信安全技术领域，特别涉及一种认证方法及认证系统。

背景技术

通常，用户在基于客户端对自己某个账户下的数据进行一系列请求时，例如查看、删除等，均需要服务器端响应用户的请求，例如将用户想要查看的内容反馈给客户端，将删除结果反馈给客户端等。并且，在用户登录自己账户或在登录之后进行一系列请求的过程中，服务器端均需要对客户端进行认证，以确保接收到的请求为客户端发出的。

现有技术中存在以下两种认证方式，第一种，在登录时将session(会话)保存在服务器端，维持一个hash(哈希)表保存用户相关信息(也即key-value形式)，其中，一个用户对应一个session，每个session都有它独一无二的sessionid(会话地址)，sessionid随响应头set-cookie保存到客户端的cookies中；之后在进行数据请求的过程中，客户端将数据请求和cookies同时发动给服务器端，服务器端从cookies中拿到sessioid，然后根据sessionid从内存中找到对应用户的session获取相关用户信息，之后对数据请求进行响应。第二种，登录时由服务器端生成一个token(令牌)，一般由uuid(用户唯一身份标志)、time(时间戳)、sign(签名＝uuid+time+salt根据hash算法生成的字符串)、[常用的固定参数(可选)]组成；之后在进行数据请求的过程中，服务器端生成后随http响应保存在客户端的cookies(储存在用户本地终端上的数据)或local storage(局部存储器)中，随客户端请求发送至服务器端，用于单点登录的身份验证，防止跨站点请求伪造等。

但是，上述认证的第一种方式中session有效时长较短，并且保存在服务器端，在同时访问服务器端的用户较多时，其响应速度较慢甚至无法响应。上述认证的第二种方式中token是明文传输，容易泄露，并且单次登陆后token值短期内不会变化，一旦请求被截获，就可轻易仿造数据请求，导致通信安全性较低，若配合http用又会降低交互性能。

发明内容

有鉴于此，本公开实施例的目的在于提供一种认证方法及认证系统，用于解决现有技术中服务器端响应速度较慢以及客户端与服务器端之间通信安全性较低、交互性能较低的问题。

第一方面，本公开实施例提供了一种认证方法，应用于客户端，其中，所述认证方法包括：

将登录数据发送给服务器端，其中，所述登录数据至少包括：登录名称、登录密码以及客户端实时生成的认证字符串；

接收所述服务器端基于所述登录数据返回的用户身份标识码和服务器时间；

将数据请求以及验证数据发送给所述服务器端，以使所述服务器端根据所述验证数据的验证结果处理所述数据请求，其中，所述验证数据至少包括：所述用户身份标识码、时间戳及第一认证令牌，所述第一认证令牌基于所述用户身份标识码、所述时间戳和所述认证字符串生成，所述时间戳基于所述服务器时间和客户端时间生成。

在一种可能的实施方式中，将数据请求以及验证数据发送给所述服务器端之前，还包括：

基于所述服务器时间和客户端时间确定时间偏移量；

根据所述时间偏移量校正所述客户端时间，以得到的所述时间戳；