[發明專利]安全的OAuth代理與可信域混合的授權方法

在審

• 申請號: 202010525861.7
• 申請日: 2020-06-10
• 公開（公告）號: CN111835722A
• 公開（公告）日: 2020-10-27
• 發明（設計）人: 李朋楠;于冠軍;馮順磊;劉明哲;杜宇飛;董凱倫;張浩林
• 申請（專利權）人: 鄭州泰來信息科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08;H04L9/32
• 代理公司: 南京君陶專利商標代理有限公司 32215
• 代理人: 嚴海晨

1.安全的OAuth代理與可信域混合的授權方法，其特征在于：包括代理授權方法和可信域驗證方法，

所述代理授權方法流程如下：

S01：業務系統傳遞自身標識、授權請求標識等信息通過用戶代理將用戶重定向至代理授權系統；

S02：代理授權系統驗證業務系統信息，如果驗證通過，則根據授權請求標識通過用戶代理將用戶重定向至對應的第三方OAuth授權系統，并附上自身回調URI、自身標識、state、scope等參數；

S03：第三方OAuth授權系統通過用戶代理對用戶進行身份驗證，并向用戶確認是否允許代理授權系統的授權請求；

S04：假設用戶同意授權，第三方OAuth授權系統將通過用戶代理將用戶重定向回之前傳遞的回調URI，并附上授權碼以及state參數；

S05：代理授權系統使用在上一步中得到的授權碼信息，并攜帶URI等參數，請求第三方OAuth授權系統獲取訪問令牌；

S06：第三方OAuth授權系統對代理授權系統進行身份驗證，驗證通過則發放訪問令牌；

S07：代理授權系統使用與業務系統約定的加密方式、密鑰對訪問令牌進行加密，通過用戶代理重定向回業務系統并附上加密后的訪問令牌

所述可信域驗證方法流程如下：

S11：訪問所述業務系統時，業務系統通過用戶代理向代理授權系統發送獲取用戶在線狀態的請求；

S12：所述代理授權系統根據請求中攜帶的參數，在自身可信域中進行校驗，如果該應用在可信域中則讀取用戶在線狀態，并將結果信息傳回至用戶代理。

2.根據權利要求1所述的安全的OAuth代理與可信域混合的授權方法，其特征在于：所述第三方OAuth授權系統進行授權時，必須先在第三方OAuth授權服務系統上進行客戶端的注冊，注冊時填寫的信息應為所述代理授權系統的信息。

3.根據權利要求1所述的安全的OAuth代理與可信域混合的授權方法，其特征在于：所述業務系統在進行對接之前需要在代理授權系統中進行注冊，注冊時需選擇加密方式、填寫自身訪問URI、回調URI等信息。

4.根據權利要求1所述的安全的OAuth代理與可信域混合的授權方法，其特征在于：所述業務系統與代理授權系統進行通信、回調等操作時，其所有數據均需進行非對稱加密，加密密鑰在業務系統進行注冊時隨機生成，每個業務系統均有獨有的密鑰對，該密鑰對中的私鑰業務系統應妥善保存。

5.根據權利要求1所述的安全的OAuth代理與可信域混合的授權方法，其特征在于：所述業務系統在進行對接之前需要在代理授權系統中進行注冊，注冊時需填寫自身訪問URI、選擇是否加密等信息，代理授權系統將填寫的URI等信息存儲至自身可信域中。

6.根據權利要求1所述的安全的OAuth代理與可信域混合的授權方法，其特征在于：所述業務系統擁有多個訪問地址，則在注冊時需將所有能夠訪問的URI，都添加至代理授權系統的可信域中。

7.根據權利要求1所述的安全的OAuth代理與可信域混合的授權方法，其特征在于：當所述業務系統發送請求時，授權服務器截取攜帶的HTTP協議參數，并在自身可信域中進行比對，如果雙方一致則認為該請求可信，為其發放在線用戶信息，不一致則返回相應的錯誤碼信息。

8.根據權利要求1所述的安全的OAuth代理與可信域混合的授權方法，其特征在于：所述業務系統通過用戶代理進行請求時，應使用JSONP或其它跨域請求方式進行。

9.根據權利要求1所述的安全的OAuth代理與可信域混合的授權方法，其特征在于：所述代理授權系統為可信域來源的業務系統發放在線用戶信息時，應根據注冊時選擇的加密等級返回相應級別的信息，如果選擇不加密，則只返回用戶基本信息，用戶需查看詳細內容時，要求其跳轉至個人中心或其它安全級別更高的業務系統中進行查看，如果選擇加密，則使用密鑰對用戶詳細信息進行加密，并返回加密后的信息。

10.根據權利要求1-9任一所述的安全的OAuth代理與可信域混合的授權方法，其特征在于：還包括該種安全的OAuth代理與可信域混合的授權方法的授權系統，包括

業務系統，用于需要獲取第三方OAuth授權系統訪問令牌的應用系統，包括但不僅限于Web應用程序、本機應用程序；

用戶代理，用于代理用戶進行訪問的設備或應用；

用戶，為第三方OAuth授權系統中存在的資源擁有者；

代理授權系統，用于為獲取授權而搭建的代理服務系統；

第三方OAuth授權系統，用于提供用戶開放共享服務的資源服務系統。