[發明專利]一種用戶資源的授權方法、裝置及系統

有效

• 申請號: 201610008481.X
• 申請日: 2016-01-06
• 公開（公告）號: CN106953831B
• 公開（公告）日: 2020-12-01
• 發明（設計）人: 劉雄昌
• 申請（專利權）人: 阿里巴巴集團控股有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京清源匯知識產權代理事務所(特殊普通合伙) 11644
• 代理人: 馮德魁

本申請公開了一種用戶資源的授權方法、裝置及系統，一種授權請求的處理方法、裝置及電子設備，以及一種用戶資源的授權系統。其中所述用戶資源的授權方法包括：獲取與待授權的第三方應用綁定的客戶端應用的用戶登錄狀態；若用戶登錄狀態為已登錄狀態，則獲取已登錄用戶對第三方應用的授權結果；若授權結果為同意授權，則根據已登錄用戶的用戶標識和第三方應用的應用標識，為第三方應用分發訪問令牌。采用本申請提供的方法，無需進行Http協議的302跳轉，因而能夠避免用戶賬戶信息被釣魚網站非法獲取，從而達到提高安全性的效果及節省網絡流量的效果。

技術領域

本申請涉及信息安全技術領域，具體涉及一種用戶資源的授權方法、裝置及電子設備。本申請同時涉及一種授權請求的處理方法、裝置及電子設備，以及一種用戶資源的授權系統。

背景技術

大型網站發展到一定程度，經常會考慮開放一些數據，供第三方軟件開發商使用，以完成部分用戶需求。通過向第三方開放數據，第三方既能夠為網站用戶提供更具個性化和創意性的全新感受，還可以獲取一定的經濟利益，從而打造網站、第三方與網站用戶之間的健康、完整的生態圈。

為保證用戶數據的安全性與隱私性，第三方應用在訪問用戶數據之前，需要取得用戶的授權，即：獲取Access Token(訪問令牌)。Access Token是大部分開放API(即：網站向第三方應用開放的用于獲取用戶數據的應用程序接口)調用的必選參數之一。在這種情況下，第三方應用需要引導用戶完成“登錄授權”的流程。

目前，該流程主要采用國際通用的OAuth(Open Authorization)標準協議作為用戶身份驗證與授權協議，支持網站、手機客戶端、桌面客戶端。OAuth協議為用戶資源的授權提供了一個安全的、開放而又簡易的標準。與以往的授權方式不同之處是，OAuth的授權不會使第三方觸及到用戶的帳號信息(如用戶名與密碼)，即第三方無需使用用戶的用戶名與密碼就可以申請獲得該用戶資源的授權，因此OAuth是安全的。

隨著無線技術的不斷發展，需要在無線客戶端實現用戶數據的開放。目前，無線客戶端使用傳統OAuth方案引導用戶完成“登錄授權”的流程。然而，該方式至少存在以下缺點：

1)傳統OAuth方案會發生多次Http協議的302跳轉，跳轉后一般是進行網站(即：向第三方開放數據的網站)的登錄操作。由于無線客戶端內大多不會有地址欄，因此存在很大的釣魚風險，對于用戶在網站的登錄賬號及密碼，有極大安全風險。

2)傳統OAuth方案會發生多次Http協議的302跳轉，由于無線客戶端大多是弱網(如2G\3G\4G網絡)，多次302跳轉會耗費較多的時間和流量，用戶體驗也是非常差的。

綜上所述，第三方應用獲取無線用戶授權訪問用戶資源時，現有技術存在多次Http協議的302跳轉所帶來的安全性低且浪費網絡資源的問題。

發明內容

本申請提供一種用戶資源的授權、裝置及電子設備，以解決現有技術存在多次Http協議的302跳轉所帶來的安全性低且浪費網絡資源的問題。本申請另外提供一種授權請求的處理方法、裝置及電子設備，以及一種用戶資源的授權系統。

本申請提供一種用戶資源的授權方法，用于移動通訊設備，包括：

獲取與待授權的第三方應用綁定的客戶端應用的用戶登錄狀態；

若所述用戶登錄狀態為已登錄狀態，則獲取已登錄用戶對所述第三方應用的授權結果；

若所述授權結果為同意授權，則根據所述已登錄用戶的用戶標識和所述第三方應用的應用標識，為所述第三方應用分發訪問令牌；所述訪問令牌用于所述第三方應用訪問所述已登錄用戶的數據資源。

可選的，還包括：

將所述訪問令牌存儲在所述客戶端應用。