[發明專利]一種身份認證方法、裝置及客戶端

有效

• 申請號: 201710608313.9
• 申請日: 2017-07-24
• 公開（公告）號: CN107249004B
• 公開（公告）日: 2021-05-11
• 發明（設計）人: 韋長英;陳永輝
• 申請（專利權）人: 廣州市玄武無線科技股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/32
• 代理公司: 廣州嘉權專利商標事務所有限公司 44205
• 代理人: 譚英強

本發明公開了一種身份認證方法、裝置及客戶端，該身份認證方法包括：客戶端向服務器發送用于獲取驗證碼的請求及對應該請求的參數信息；服務器根據該請求生成驗證碼；客戶端根據驗證碼與參數信息進行運算，得到第一運算結果，作為當前API請求的簽名；服務器根據參數信息與客戶端存儲在服務器中的客戶密鑰進行運算得到第二運算結果；比較第二運算結果與API請求中包含的簽名是否相同；根據比較結果生成身份認證結果。這樣，就簡化了身份認證的過程，同時還提高了身份認證的安全性。

技術領域

本發明涉及通信領域，更具體地，涉及一種身份認證方法、裝置及客戶端。

背景技術

REST是一種在互聯網環境下比較流行的基于HTTP協議的網絡應用交互方式。由于這種通訊方式具有高效、輕量級和跨平臺等特性，所以也十分適用于移動互聯網應用調用服務端網絡服務API的場景。

REST的全稱是Representational State Transfer，表示表述性無狀態傳輸，由于是基于HTTP協議的，也是無狀態的無需session，所以每次請求都得帶上身份認證信息。目前做法一般是基于API密鑰和服務訪問密鑰機制的數字簽名認證方式。

一般來說在用戶在可以調用REST接口之前，首先需要向REST接口開放方申請接入許可，包括注冊賬號、申請資源訪問權限等，當獲準后會收到兩個密鑰：API密鑰和服務訪問密鑰。其中API密鑰相當于用戶標識，系統會通過它區分不同用戶，而服務訪問密鑰相當于提供給用戶的密碼，在接口使用過程中都不會在網絡中傳輸，只有用戶和應用系統知道。整個獲取和使用密鑰的過程比較繁瑣，而且服務訪問密鑰容易泄漏安全性不高。

發明內容

本發明的一個目的是提供一種用于解決上述技術問題之一的新技術方案。

根據本發明的第一方面，提供了一種用于客戶端的身份認證方法，包括：

向服務器的發送用于獲取驗證碼的請求及對應所述請求的參數信息；

接收所述服務器根據所述請求生成的驗證碼；

根據所述驗證碼與所述參數信息進行運算，得到第一運算結果，作為當前API請求的簽名；

將所述當前API請求發送至所述服務器。

可選的是，所述參數信息至少包括客戶標志、時間和數字簽名。

根據本發明的第二方面，提供了一種用于服務器的身份認證方法，包括：

接收客戶端發送的用于獲取驗證碼的請求及對應所述請求的參數信息；

根據所述請求生成驗證碼；

將所述驗證碼發送至所述客戶端；

根據所述參數信息與所述客戶端存儲在所述服務器中的客戶密鑰進行運算得到第二運算結果；

接收所述客戶端發送的API請求；

比較所述第二運算結果與所述API請求中包含的簽名是否相同；

根據比較結果生成身份認證結果。

可選的是，所述方法還包括：

根據所述參數信息判斷所述API請求是否在有效時間內，如是，則比較所述第二運算結果與所述API請求中包含的簽名是否相同。

根據本發明的第三方面，提供了一種用于客戶端的身份認證裝置，包括：

第一發送模塊，用于向服務器的發送用于獲取驗證碼的請求及對應所述請求的參數信息；

第一接收模塊，用于接收所述服務器根據所述請求生成的驗證碼；