[發明專利]一種面向HTTP身份鑒別協議的插件式單點登錄集成方法

有效

• 申請號: 201210067271.X
• 申請日: 2012-03-14
• 公開（公告）號: CN102638454A
• 公開（公告）日: 2012-08-15
• 發明（設計）人: 龍毅宏;謝坤軒;郭浩平;王亞龍;吳志奇;唐志紅;劉旭
• 申請（專利權）人: 武漢理工大學;北京天威誠信電子商務服務有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 武漢開元知識產權代理有限公司 42104
• 代理人: 潘杰

1.一種面向HTTP身份鑒別協議的插件式單點登錄集成方法，所述方法的單點登錄系統包括Web服務組件、Web應用組件、單點登錄HTTP插件、安全令牌處理頁面、瀏覽器、身份服務系統、主帳戶數據庫、主從帳戶綁定數據庫，其特征在于：

Web服務組件：為Web應用組件提供HTTP請求接收、響應傳送功能，及其他相關的支撐功能，包括：接收用戶瀏覽器提交的HTTP格式的服務請求，進行相應預處理后提交給Web應用組件進行處理，之后，將Web應用組件返回的處理結果，以HTTP響應的格式傳送到用戶瀏覽器；基于相應的安全配置，對用戶進行身份鑒別、訪問控制；維護用戶的HTTP會話；

Web應用組件：向用戶提供特定應用服務的功能軟件，通過相應的Web服務組件，接收用戶通過瀏覽器提交的應用服務請求，完成相應處理后將處理結果通過Web服務組件返回到用戶瀏覽器；所述Web應用組件和對應的所述Web服務組件構成了Web應用系統；所述Web應用系統至少有一個；所述Web應用系統通過一定的方式對用戶進行身份鑒別，其中部分Web應用系統通過Web服務組件采用標準HTTP身份鑒別協議對用戶進行身份鑒別；用戶訪問所述Web應用系統的受保護頁面或資源，需要使用其在對應Web應用系統中的相應帳戶完成身份鑒別后才能進行；所述標準HTTP身份鑒別協議包括但不限于HTTP?Basic、Digest、NTLM、Negotiate面向Web的身份鑒別協議；

單點登錄HTTP插件：基于Web服務組件提供的擴展機制，插入到采用HTTP身份鑒別協議的Web應用系統的Web服務組件的HTTP請求、響應處理通道中實現單點登錄功能的軟件組件；所述單點登錄HTTP插件采用的插件機制能夠攔截HTTP身份鑒別協議的請求、響應數據；所述單點登錄HTTP插件在其所部署的Web服務組件上被配置為攔截所有的HTTP請求、響應，或者被配置為攔截所有提交到受安全保護的目錄或路徑的HTTP請求及其響應和提交到安全令牌處理頁面所在目錄或路徑的HTTP請求及其響應；所述單點登錄HTTP插件有相應的配置信息，用于設置與單點登錄有關的信息，可選地，配置信息中包含如下內容：1)單點登錄HTTP插件所在的Web應用系統中哪些Web頁面目錄或路徑是受安全保護的；2)受安全保護的目錄或路徑所采用的HTTP身份鑒別協議是哪個或哪些，及相關的身份鑒別協議參數；3)所使用的HTTP身份鑒別的具體實施是否允許客戶端主動發出鑒別和授權請求，即是否允許客戶端瀏覽器在接收到響應狀態碼是“401”且包含WWW-Authenticate頭部的HTTP響應之前，主動提交包含Authorization頭部的HTTP請求，請求服務器端對客戶端用戶進行身份鑒別和資源訪問進行授權；

安全令牌處理頁面：在采用HTTP身份鑒別協議的Web應用系統的Web服務組件上部署的專門處理身份服務系統簽發的證明用戶身份的安全令牌的Web頁面；所述安全令牌處理頁面部署在Web服務組的非安全保護路徑或目錄，即通過瀏覽器提交HTTP請求到該處理頁面的用戶無需完成身份鑒別；

瀏覽器：用戶與Web應用系統交互的客戶端，通過HTTP協議向Web服務組件傳送HTTP請求，接收Web服務組件返回的HTTP響應并展現響應的內容；

身份服務系統：提供用戶在線身份鑒別服務的系統，基于用戶身份憑證對用戶進行在線身份鑒別，通過相應的單點登錄協議并借助瀏覽器向Web應用系統傳送證明用戶身份的安全令牌；所述身份服務系統簽發的所述安全令牌的格式依賴于使用的單點登錄協議，可以是SAML斷言，或者WS-Federation安全令牌，或者自定義的安全令牌；所述身份服務系統通過數字簽名保證所簽發的安全令牌的原發性、完整性；

主帳戶數據庫：存放用戶登錄身份服務系統的主帳戶信息，包括主帳戶的帳戶名、口令，或主帳戶對應的數據證書的相關信息；所述主帳戶指用戶在所述身份服務系統進行身份鑒別時使用的帳戶；所述主帳戶數據庫可以是獨立的帳戶數據庫，也可以是某個應用系統的帳戶數據庫；

主從帳戶綁定數據庫：保存用戶主帳戶與用戶在Web應用系統的從帳戶的對應或綁定關系，以及從帳戶的口令；所述從帳戶即指用戶在某個特定Web應用系統的相應帳戶；用戶的主帳戶與其在某個Web應用系統中的從帳戶可以是同一個，也可以不同。