[發明專利]一種反向信任登錄方法和裝置

有效

• 申請號: 201610201782.4
• 申請日: 2016-03-31
• 公開（公告）號: CN107294920B
• 公開（公告）日: 2020-06-26
• 發明（設計）人: 溫濤
• 申請（專利權）人: 阿里巴巴集團控股有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京博思佳知識產權代理有限公司 11415
• 代理人: 靳玫;陳蕾

本申請提供一種反向信任登錄方法和裝置，其中該方法應用于用戶由第一網站信任登錄至第二網站后，由所述第二網站反向信任登錄至第一網站，包括：第一網站在接收到用戶的反向信任登錄請求時，對所述反向信任登錄請求進行簽名驗證，并獲取所述反向信任登錄請求中攜帶的第一令牌；在簽名驗證通過，且確定所述第一令牌存儲在與所述用戶對應的存儲空間時，所述第一網站執行反向信任登錄，所述第一令牌是第一網站預先根據用戶的反向信任登錄指示生成的與用戶對應的訪問令牌。本申請提高了網站之間反向信任登錄的安全性。

技術領域

本申請涉及網絡技術，特別涉及一種反向信任登錄方法和裝置。

背景技術

隨著互聯網的發展，越來越多的網站為了能夠給用戶更好的體驗，考慮提供一種反向信任登錄的方式，該反向信任登錄也應用在具有相同賬戶體系或關聯賬戶體系的兩個網站之間。反向信任登錄，即當用戶登錄網站A，并由網站A信任登錄至網站B之后，應當允許用戶再由網站B信任登錄至網站A。反向信任登錄也主要依靠簽名驗證，比如，信任登錄至網站B后，若用戶要想從網站B反向信任登錄至網站A，只要通過經網站B簽名的URL向網站A發送反向信任登錄請求即可，而網站A在簽名驗證通過后即可信任登錄，不再需要輸入網站A的用戶名和密碼，實現了反向信任登錄。但是這種反向信任登錄方式存在安全隱患，比如，若攻擊者獲取了B網站反向請求A網站信任登錄的URL，那么A網站就會驗證簽名通過而允許攻擊者登錄訪問，容易造成A網站中的用戶信息泄露。

發明內容

有鑒于此，本申請提供一種反向信任登錄方法和裝置，以提高網站之間反向信任登錄的安全性。

具體地，本申請是通過如下技術方案實現的：

第一方面，提供一種反向信任登錄方法，所述方法應用于用戶由第一網站信任登錄至第二網站后，由所述第二網站反向信任登錄至第一網站，所述方法包括：

所述第一網站在接收到用戶的反向信任登錄請求時，對所述反向信任登錄請求進行簽名驗證，并獲取所述反向信任登錄請求中攜帶的第一令牌；

在簽名驗證通過，且確定所述第一令牌存儲在與所述用戶對應的存儲空間時，所述第一網站執行反向信任登錄，所述第一令牌是第一網站預先根據用戶的反向信任登錄指示生成的與用戶對應的訪問令牌。

第二方面，提供一種反向信任登錄方法，所述方法應用于用戶由第一網站信任登錄至第二網站后，由所述第二網站反向信任登錄至第一網站，所述方法包括：

所述第二網站獲取到用戶向第一網站的反向信任登錄觸發；

所述第二網站根據所述反向信任登錄觸發，向第一網站發送反向信任登錄請求，攜帶第一令牌，所述第一令牌是第一網站生成的與用戶對應的訪問令牌。

第三方面，提供一種反向信任登錄裝置，所述裝置應用于用戶由第一網站信任登錄至第二網站后，由所述第二網站反向信任登錄至第一網站，所述裝置包括：

信息獲取模塊，用于在接收到用戶的反向信任登錄請求時，對所述反向信任登錄請求進行簽名驗證，并獲取反向信任登錄請求中攜帶的第一令牌；

登錄處理模塊，用于在簽名驗證通過，且確定所述第一令牌存儲在與所述用戶對應的存儲空間時，執行反向信任登錄，所述第一令牌是第一網站預先根據用戶的反向信任登錄指示生成的與用戶對應的訪問令牌。

第四方面，提供一種反向信任登錄裝置，所述裝置應用于用戶由第一網站信任登錄至第二網站后，由所述第二網站反向信任登錄至第一網站，所述裝置包括：

指示接收模塊，用于獲取到用戶向第一網站的反向信任登錄觸發；

請求發送模塊，用于根據所述反向信任登錄觸發，向第一網站發送反向信任登錄請求，攜帶第一令牌，所述第一令牌是第一網站生成的與用戶對應的訪問令牌。