[發(fā)明專利]安全的OAuth代理與可信域混合的授權(quán)方法

在審

• 申請?zhí)枺?/td>: 202010525861.7
• 申請日: 2020-06-10
• 公開（公告）號: CN111835722A
• 公開（公告）日: 2020-10-27
• 發(fā)明（設(shè)計(jì)）人: 李朋楠;于冠軍;馮順磊;劉明哲;杜宇飛;董凱倫;張浩林
• 申請（專利權(quán)）人: 鄭州泰來信息科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08;H04L9/32
• 代理公司: 南京君陶專利商標(biāo)代理有限公司 32215
• 代理人: 嚴(yán)海晨

1.安全的OAuth代理與可信域混合的授權(quán)方法，其特征在于：包括代理授權(quán)方法和可信域驗(yàn)證方法，

所述代理授權(quán)方法流程如下：

S01：業(yè)務(wù)系統(tǒng)傳遞自身標(biāo)識(shí)、授權(quán)請求標(biāo)識(shí)等信息通過用戶代理將用戶重定向至代理授權(quán)系統(tǒng)；

S02：代理授權(quán)系統(tǒng)驗(yàn)證業(yè)務(wù)系統(tǒng)信息，如果驗(yàn)證通過，則根據(jù)授權(quán)請求標(biāo)識(shí)通過用戶代理將用戶重定向至對應(yīng)的第三方OAuth授權(quán)系統(tǒng)，并附上自身回調(diào)URI、自身標(biāo)識(shí)、state、scope等參數(shù)；

S03：第三方OAuth授權(quán)系統(tǒng)通過用戶代理對用戶進(jìn)行身份驗(yàn)證，并向用戶確認(rèn)是否允許代理授權(quán)系統(tǒng)的授權(quán)請求；

S04：假設(shè)用戶同意授權(quán)，第三方OAuth授權(quán)系統(tǒng)將通過用戶代理將用戶重定向回之前傳遞的回調(diào)URI，并附上授權(quán)碼以及state參數(shù)；

S05：代理授權(quán)系統(tǒng)使用在上一步中得到的授權(quán)碼信息，并攜帶URI等參數(shù)，請求第三方OAuth授權(quán)系統(tǒng)獲取訪問令牌；

S06：第三方OAuth授權(quán)系統(tǒng)對代理授權(quán)系統(tǒng)進(jìn)行身份驗(yàn)證，驗(yàn)證通過則發(fā)放訪問令牌；

S07：代理授權(quán)系統(tǒng)使用與業(yè)務(wù)系統(tǒng)約定的加密方式、密鑰對訪問令牌進(jìn)行加密，通過用戶代理重定向回業(yè)務(wù)系統(tǒng)并附上加密后的訪問令牌

所述可信域驗(yàn)證方法流程如下：

S11：訪問所述業(yè)務(wù)系統(tǒng)時(shí)，業(yè)務(wù)系統(tǒng)通過用戶代理向代理授權(quán)系統(tǒng)發(fā)送獲取用戶在線狀態(tài)的請求；

S12：所述代理授權(quán)系統(tǒng)根據(jù)請求中攜帶的參數(shù)，在自身可信域中進(jìn)行校驗(yàn)，如果該應(yīng)用在可信域中則讀取用戶在線狀態(tài)，并將結(jié)果信息傳回至用戶代理。

2.根據(jù)權(quán)利要求1所述的安全的OAuth代理與可信域混合的授權(quán)方法，其特征在于：所述第三方OAuth授權(quán)系統(tǒng)進(jìn)行授權(quán)時(shí)，必須先在第三方OAuth授權(quán)服務(wù)系統(tǒng)上進(jìn)行客戶端的注冊，注冊時(shí)填寫的信息應(yīng)為所述代理授權(quán)系統(tǒng)的信息。

3.根據(jù)權(quán)利要求1所述的安全的OAuth代理與可信域混合的授權(quán)方法，其特征在于：所述業(yè)務(wù)系統(tǒng)在進(jìn)行對接之前需要在代理授權(quán)系統(tǒng)中進(jìn)行注冊，注冊時(shí)需選擇加密方式、填寫自身訪問URI、回調(diào)URI等信息。

4.根據(jù)權(quán)利要求1所述的安全的OAuth代理與可信域混合的授權(quán)方法，其特征在于：所述業(yè)務(wù)系統(tǒng)與代理授權(quán)系統(tǒng)進(jìn)行通信、回調(diào)等操作時(shí)，其所有數(shù)據(jù)均需進(jìn)行非對稱加密，加密密鑰在業(yè)務(wù)系統(tǒng)進(jìn)行注冊時(shí)隨機(jī)生成，每個(gè)業(yè)務(wù)系統(tǒng)均有獨(dú)有的密鑰對，該密鑰對中的私鑰業(yè)務(wù)系統(tǒng)應(yīng)妥善保存。

5.根據(jù)權(quán)利要求1所述的安全的OAuth代理與可信域混合的授權(quán)方法，其特征在于：所述業(yè)務(wù)系統(tǒng)在進(jìn)行對接之前需要在代理授權(quán)系統(tǒng)中進(jìn)行注冊，注冊時(shí)需填寫自身訪問URI、選擇是否加密等信息，代理授權(quán)系統(tǒng)將填寫的URI等信息存儲(chǔ)至自身可信域中。

6.根據(jù)權(quán)利要求1所述的安全的OAuth代理與可信域混合的授權(quán)方法，其特征在于：所述業(yè)務(wù)系統(tǒng)擁有多個(gè)訪問地址，則在注冊時(shí)需將所有能夠訪問的URI，都添加至代理授權(quán)系統(tǒng)的可信域中。

7.根據(jù)權(quán)利要求1所述的安全的OAuth代理與可信域混合的授權(quán)方法，其特征在于：當(dāng)所述業(yè)務(wù)系統(tǒng)發(fā)送請求時(shí)，授權(quán)服務(wù)器截取攜帶的HTTP協(xié)議參數(shù)，并在自身可信域中進(jìn)行比對，如果雙方一致則認(rèn)為該請求可信，為其發(fā)放在線用戶信息，不一致則返回相應(yīng)的錯(cuò)誤碼信息。

8.根據(jù)權(quán)利要求1所述的安全的OAuth代理與可信域混合的授權(quán)方法，其特征在于：所述業(yè)務(wù)系統(tǒng)通過用戶代理進(jìn)行請求時(shí)，應(yīng)使用JSONP或其它跨域請求方式進(jìn)行。

9.根據(jù)權(quán)利要求1所述的安全的OAuth代理與可信域混合的授權(quán)方法，其特征在于：所述代理授權(quán)系統(tǒng)為可信域來源的業(yè)務(wù)系統(tǒng)發(fā)放在線用戶信息時(shí)，應(yīng)根據(jù)注冊時(shí)選擇的加密等級返回相應(yīng)級別的信息，如果選擇不加密，則只返回用戶基本信息，用戶需查看詳細(xì)內(nèi)容時(shí)，要求其跳轉(zhuǎn)至個(gè)人中心或其它安全級別更高的業(yè)務(wù)系統(tǒng)中進(jìn)行查看，如果選擇加密，則使用密鑰對用戶詳細(xì)信息進(jìn)行加密，并返回加密后的信息。

10.根據(jù)權(quán)利要求1-9任一所述的安全的OAuth代理與可信域混合的授權(quán)方法，其特征在于：還包括該種安全的OAuth代理與可信域混合的授權(quán)方法的授權(quán)系統(tǒng)，包括

業(yè)務(wù)系統(tǒng)，用于需要獲取第三方OAuth授權(quán)系統(tǒng)訪問令牌的應(yīng)用系統(tǒng)，包括但不僅限于Web應(yīng)用程序、本機(jī)應(yīng)用程序；

用戶代理，用于代理用戶進(jìn)行訪問的設(shè)備或應(yīng)用；

用戶，為第三方OAuth授權(quán)系統(tǒng)中存在的資源擁有者；

代理授權(quán)系統(tǒng)，用于為獲取授權(quán)而搭建的代理服務(wù)系統(tǒng)；

第三方OAuth授權(quán)系統(tǒng)，用于提供用戶開放共享服務(wù)的資源服務(wù)系統(tǒng)。