[发明专利]一种基于Oauth协议的门户系统用户共享方法

说明书

本发明公开了一种基于Oauth协议的门户系统用户共享方法，包括准入应用认证，以及在Oauth协议的基础下密钥分发；提供web服务层，供预定待接入本共享用户体系的应用提供申请入口，待审核后，分发其应用身份和密钥，并由用户保存；其中，web服务层对接入方的密钥由随机字符串变更为AES字串密钥，在https协议的通信基础上，对消息整体通过AES对称算法进行加密；消息进入web服务层之后，web服务层对消息进行AES解密处理，并向内网推送已签名的明文数据；应用程序接口对明文数据授权鉴权以及调用；登录授权。有益效果在于黑客没有办法对所获取到进行AES加密的信息，因此在重发该信息的时候会被web服务拦截，提高服务安全性。

技术领域

本发明涉及用户体系共享，尤其涉及一种基于Oauth协议的门户系统用户共享方法。

背景技术

现有技术中，通过企业信息化建设来满足企业在生产经营过程中所碰到的问题，由于管理职能的划分和组织细化，绝大部分公司会将一些完整的业务链划分为一个个独立的企业管理系统，如资源规划(ERP)，客户关系管理(CRM)，供应链管理(SCM)等。但随着企业信息化进程的深入，各个系统开发时间的落差，开发队伍的经验，服务范围的限制，开发平台的不统一等问题正在逐渐制约信息系统间的兼容性和集成性问题。

其中最主要的问题是，不同系统，不同应用，不同技术平台，构成了一个个“信息孤岛”，使得企业本身深陷其中，这一问题不会随着企业信息化水平的提高而有所改善，反而会由于企业引入更多的应用系统而不断恶化。其中尤其以不同业务系统中维护的用户信息最为严重，高层管理人员有时不得不维护大量的管理员账号，而用户体系的不统一也会直接导致业务流在不同系统中的流转困难，制约企业的行政效率。

Oauth作为下一代的“用户验证和授权”标准，现有技术基于Oauth协议的门户系统用户共享处理流程大致如下，以密码模式为例：

首先，接入方申请接入授权，供应方下发应用身份(appId)和密码(Secret)，两者均是随机字符串，前者用于表示用户的身份，后者则作为密码的概念校验用户的准入。

然后，接入方申请或购买应用方的部分服务功能，由供应方下发对应功能的资源标识(SecretId)和密钥(SecretKey)，其中SecretId作为随机字符串用于对应用户所拥有并使用的资源标识，SecretKey则是非对称加密算法的密钥部分，用于对用户信息请求进行防篡改，防抵赖。

上述流程要求在https协议下完成传输，因为https能保证在网络上的通信是加密的。

https(全称：Hyper Text Transfer Protocol over SecureSocket Layer)是以安全为目标的HTTP通道，在HTTP的基础上通过传输加密和身份认证保证了传输过程的安全性。

由此可以看出，Oauth协议是严重依赖https的，假设https被破解，将会直接暴露appid(应用身份)、以及secretId。secretKey由于不参与网络传输所以显得相对安全。然而secretKey的作用仅仅是对请求的字段以及时间戳说验证操作。这就给了攻击者可乘之机。

故，有必要提出一种基于Oauth协议的门户系统用户共享方法来解决上述问题。

发明内容

针对上述提出的问题，本发明目的在于提供一种基于Oauth协议的门户系统用户共享方法，用以提高服务安全性。