CN103384198B - 一种基于邮箱的用户身份认证服务方法和*** - Google Patents

Abstract

本发明公开了一种基于邮箱的用户身份认证服务方法，包括：第三方网络应用向第三方权威机构提交邮箱账号接入请求，该请求中包含网络应用的访问URI和用户认证通过后的跳转URI，第三方权威机构根据网络应用的访问URI和跳转URI对第三方网络应用进行审核，并在审核通过后为第三方网络应用分配应用ID和应用密钥，并对其跳转URI进行登记，第三方网络应用接收来自用户的网络访问请求，并为用户提供进入基于邮箱的用户身份认证登录入口，第三方网络应用根据用户所输入的邮箱地址跳转至相应的邮件服务提供商的用户身份认证页面。本发明简化了使用第三方网络应用的流程和第三方网络应用接入账号的流程，并保证用户身份认证***去中心化和保证用户信息不被滥用。

Description

一种基于邮箱的用户身份认证服务方法和***

技术领域

本发明属于计算机网络应用领域，更具体地，涉及一种基于邮箱的用户身份认证服务方法和***。

背景技术

随着互联网应用的不断产生，用户需要记住的用户名密码越来越多，而且注册时经常会出现用户名已注册的情况。针对这一情况，出现了系列用户认证方案：单点登录（SSO）、OpenID、OAuth和Persona等。

单点登录主要解决企业内的多个应用***的用户登录问题，使得一个账号可登录使用同一企业的多个应用***。但这仅仅解决了企业内部多应用的登录问题，不同的企业应用仍然需要各自的账号登录。

OpenID是去中心化的身份认证***。用户预先在任一OpenID身份提供商进行注册，将获得用于登录其它网站的登录链接，对于支持OpenID的第三方网站，用户只需输入在OpenID身份提供商注册得到的登录链接，第三方网站根据登录链接跳转到OpenID身份提供商进行认证。OpenID是去中心化的，任一网站都可以提供OpenID的身份认证服务，任一网站也可支持OpenID登录。其存在的不足为：用户获取的OpenID标识只能在所注册的OpenID提供商验证，而OpenID提供商参差不齐导致服务质量和安全保障等问题；可能存在恶意的第三方应用将用户引导至伪OpenID服务商进行认证，形成钓鱼和中间人攻击。

OAuth是一个用户授权的开放标准，使得第三方应用可通过用户授权获取用户保存在另一网站的私有资源（如昵称、头像、好友列表等），而无需将用户名和密码提供给第三方应用。其存在的不足为：共享用户的用户信息类型由OAuth提供方和第三方应用决定，可能存在过度授权；大平台之间存在竞争关系，相互间无法提供共享认证。

Persona是Mozilla设计研发的身份验证***。它提供了一种使用邮箱账号的跨浏览器的第三方登录方式。其存在的不足为：用户在支持Persona的第三方应用上的登录都需要跳转至Persona服务器，认证集中化；需要额外注册Persona账号。

发明内容

针对现有技术的以上缺陷或改进需求，本发明提供了一种基于邮箱的用户身份认证服务方法，其目的在于通过基于邮箱的用户身份认证服务架构和认证流程来实现用户通过已有的邮箱账号即可登录使用第三方网络应用，简化了用户登录使用第三方网络应用的流程和第三方网络应用接入账号的流程，同时保证用户身份认证***去中心化和保证用户信息不被滥用。

为实现上述目的，按照本发明的一个方面，提供了一种基于邮箱的用户身份认证服务方法，包括以下步骤：

（1）第三方网络应用向第三方权威机构提交邮箱账号接入请求，该请求中包含网络应用的访问URI和用户认证通过后的跳转URI；

（2）第三方权威机构根据网络应用的访问URI和跳转URI对第三方网络应用进行审核，并在审核通过后为第三方网络应用分配应用ID和应用密钥，并对其跳转URI进行登记；

（3）第三方网络应用接收来自用户的网络访问请求，并为用户提供进入基于邮箱的用户身份认证登录入口；

（4）第三方网络应用根据用户所输入的邮箱地址跳转至相应的邮件服务提供商的用户身份认证页面；

（5）邮件服务提供商根据第三方网络应用的应用ID和应用密钥，向第三方权威机构验证来自用户的网络访问请求对应的网络应用是否审核通过，若网络应用未审核通过，则显示应用未审核通过的错误信息，然后过程结束，否则转步骤（6）；

（6）第三方权威机构判断认证后的跳转URI是否已经登记过，是则转步骤（7），否则显示跳转URI非法的错误信息，然后过程结束；

（7）邮件服务提供商接收用户在用户身份认证页面输入的邮箱密码，并判断邮箱密码是否正确，如果正确则转入步骤（8），否则显示验证失败的错误信息，然后过程结束；

（8）邮件服务提供商判断用户是否授权邮箱地址给第三方网络应用使用，若是则生成用户标识字符串，其为邮箱地址，否则生成用户标识字符串，其为邮箱地址的哈希值；

（9）邮件服务提供商将当前用户页面跳转至第三方网络应用的跳转URI以实现用户对第三方网络应用的访问，根据应用ID和应用密钥生成证书，并将证书给用户代理，同时发送证书和用户标识字符串给第三方网络应用；

（10）第三方网络应用保存用户标识字符串和证书，用户代理使用邮件服务提供商提供的证书与第三方网络应用交互，第三方网络应用执行并记录用户在访问第三方网络应用期间的操作。

优选地，步骤（2）具体为，第三方权威机构首先根据网络应用的访问URI进行人工访问，判断其是否备案，所经营的业务是否合法，如果已备案且合法，则再判断跳转URI是否为网络应用内的URI，是则审核通过，第三方权威机构的***中添加此网络应用记录，记录中包含网络应用访问URI、跳转URI、应用ID、应用密钥和审核通过标记，否则审核不通过，第三方权威机构的***添加审核不通过记录，记录中包含访问URI、跳转URI和审核不通过标记。

优选地，步骤（4）具体为，第三方网络应用跳转到邮件服务提供商的用户身份认证页面时需要通过TLS协议向邮件服务提供商发送以下信息：用户邮箱地址、应用ID、应用密钥和认证后的跳转URI。

按照本发明的另一方面，提供了一种基于邮箱的用户身份认证服务***，包括第三方网络应用、第三方权威机构、邮件服务提供商和用户代理，其特征在于，第三方网络应用用于向第三方权威机构提交邮箱账号接入请求，该请求中包含网络应用的访问URI和用户认证通过后的跳转URI，第三方权威机构用于根据网络应用的访问URI和跳转URI对第三方网络应用进行审核，并在审核通过后为第三方网络应用分配应用ID和应用密钥，并对其跳转URI进行登记，第三方网络应用还用于接收来自用户的网络访问请求，并为用户提供进入基于邮箱的用户身份认证登录入口，第三方网络应用还用于根据用户所输入的邮箱地址跳转至相应的邮件服务提供商的用户身份认证页面，邮件服务提供商用于根据第三方网络应用的应用ID和应用密钥，向第三方权威机构验证来自用户的网络访问请求对应的网络应用是否审核通过，第三方权威机构还用于判断认证后的跳转URI是否已经登记过，邮件服务提供商还用于接收用户在用户身份认证页面输入的邮箱密码，并判断邮箱密码是否正确，邮件服务提供商还用于判断用户是否授权邮箱地址给第三方网络应用使用，若是则生成用户标识字符串，其为邮箱地址，否则生成用户标识字符串，其为邮箱地址的哈希值，邮件服务提供商还用于将当前用户页面跳转至第三方网络应用的跳转URI以实现用户对第三方网络应用的访问，根据应用ID和应用密钥生成证书，并将证书给用户代理，同时发送证书和用户标识字符串给第三方网络应用，第三方网络应用还用于保存用户标识字符串和证书，用户代理用于使用邮件服务提供商提供的证书与第三方网络应用交互，第三方网络应用还用于执行并记录用户在访问第三方网络应用期间的操作。

优选地，第三方权威机构首先根据网络应用的访问URI进行人工访问，判断其是否备案，所经营的业务是否合法，如果已备案且合法，则再判断跳转URI是否为网络应用内的URI，是则审核通过，第三方权威机构的***中添加此网络应用记录，记录中包含网络应用访问URI、跳转URI、应用ID、应用密钥和审核通过标记，否则审核不通过，第三方权威机构的***添加审核不通过记录，记录中包含访问URI、跳转URI和审核不通过标记。

优选地，第三方网络应用跳转到邮件服务提供商的用户身份认证页面时需要通过TLS协议向邮件服务提供商发送以下信息：用户邮箱地址、应用ID、应用密钥和认证后的跳转URI。

总体而言，通过本发明所构思的以上技术方案与现有技术相比，能够取得下列有益效果：

1、简化用户登录使用第三方网络应用流程：由于采用步骤（3），用户就不用再注册第三方网络应用，可直接使用用户已有的邮箱来登录使用此网络应用，因此具有很好的便捷性；

2、简化第三方网络应用邮箱账号接入流程：由于采用步骤（1），应用只需要向第三方权威机构申请邮箱接入，不需要像已有的开放平台账号接入需要向每个开放平台单独申请，而且每个开放平台因主营业务不同，对第三方网络应用的审核规则也不一致，造成真实合法的第三方网络应用也审核不通过，因此此方法具有更强的通用性；

3、保证用户信息不被滥用：由于步骤（8）中，邮件服务提供商最多只授权邮箱地址给第三方网络应用使用，因此可以很好地保护用户其他信息的安全；

4、用户身份认证***实现去中心化，所有邮件服务提供商均可提供身份认证服务。

附图说明

图1是本发明基于邮箱的用户身份认证服务方法的流程图。

图2是本发明基于邮箱的用户身份认证服务***的示意图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。此外，下面所描述的本发明各个实施方式中所涉及到的技术特征只要彼此之间未构成冲突就可以相互组合。

本发明的总体思路在于，选择邮件服务提供商完成用户身份认证，使得第三方网络应用与用户身份认证分离，所有第三方网络应用的用户身份认证由邮件服务提供商来进行，邮件服务提供商作为用户资源拥有者仅把用户邮箱地址或其哈希值授权给第三方网络应用使用。

如图1所示，本发明基于邮箱的用户身份认证服务方法包括以下步骤：

（1）第三方网络应用向第三方权威机构提交邮箱账号接入请求，该请求中包含网络应用的访问统一资源标志符（UnifiedResourceIdentifier，简称URI）和用户认证通过后的跳转URI；

本步骤的优点在于第三方网络应用只需要向第三方权威机构申请邮箱账号接入，而已有的开放平台账号接入需要第三方网络应用向每个开放平台单独申请，已有的开放平台因主营业务不同，对第三方网络应用的审核规则也不一致，造成真实合法的第三方网络应用也审核不通过，因此该方法具有更强的通用性。

（2）第三方权威机构根据网络应用的访问URI和跳转URI对第三方网络应用进行审核，并在审核通过后为第三方网络应用分配应用ID和应用密钥，并对其跳转URI进行登记；具体而言，第三方权威机构首先根据网络应用的访问URI进行人工访问，判断其是否备案，所经营的业务是否合法，如果已备案且合法，则再判断跳转URI是否为网络应用内的URI，是则审核通过，第三方权威机构的***中添加此网络应用记录，记录中包含网络应用访问URI、跳转URI、应用ID、应用密钥和审核通过标记，否则审核不通过，第三方权威机构的***添加审核不通过记录，记录中包含访问URI、跳转URI和审核不通过标记。

（3）第三方网络应用接收来自用户的网络访问请求，并为用户提供进入基于邮箱的用户身份认证登录入口；具体而言，用户在用户身份认证登陆入口需要输入邮箱地址以进行后续的访问操作；

本步骤的优点在于用户不用注册第三方网络应用，可直接使用用户已有的邮箱来登录使用此网络应用，具有很好的便捷性。

（4）第三方网络应用根据用户所输入的邮箱地址跳转至相应的邮件服务提供商的用户身份认证页面；具体而言，第三方网络应用跳转到邮件服务提供商的用户身份认证页面时需要通过传输层安全（TransportLayerSecurity，简称TLS）协议向邮件服务提供商发送以下信息：用户邮箱地址、应用ID、应用密钥和认证后的跳转URI。

本步骤的优点在于第三方网络应用根据邮箱地址直接解析并跳转至相应的邮件服务提供商的用户身份认证页面，而不用在第三方网络应用的页面中添加多个邮箱或开放平台的用户身份认证入口。

（5）邮件服务提供商根据第三方网络应用的应用ID和应用密钥，向第三方权威机构验证来自用户的网络访问请求对应的网络应用是否审核通过，若网络应用未审核通过，则显示应用未审核通过的错误信息，然后过程结束，否则转步骤（6）；具体而言，第三方权威机构在其***中查找相应的网络应用记录的审核通过是否标记，已标记则视为审核通过，否则审核未通过。

（6）第三方权威机构判断认证后的跳转URI是否已经登记过，是则转步骤（7），否则显示跳转URI非法的错误信息，然后过程结束；

（7）邮件服务提供商接收用户在用户身份认证页面输入的邮箱密码，并判断邮箱密码是否正确，如果正确则转入步骤（8），否则显示验证失败的错误信息，然后过程结束；

（8）邮件服务提供商判断用户是否授权邮箱地址给第三方网络应用使用，若是则生成用户标识字符串，其为邮箱地址，否则生成用户标识字符串，其为邮箱地址的哈希值；

本步骤的优点在于邮件服务提供商最多只授权邮箱地址给第三方网络应用使用，因此可以很好地保护用户其他信息的安全。

（9）邮件服务提供商将当前用户页面跳转至第三方网络应用的跳转URI以实现用户对第三方网络应用的访问，根据应用ID和应用密钥生成证书，并将证书给用户代理（如浏览器），同时发送证书和用户标识字符串给第三方网络应用；

（10）第三方网络应用保存用户标识字符串和证书，用户代理使用邮件服务提供商提供的证书与第三方网络应用交互，第三方网络应用执行并记录用户在访问第三方网络应用期间的操作。

如图2所示，本发明基于邮箱的用户身份认证服务***包括第三方网络应用、第三方权威机构、邮件服务提供商和用户代理。

第三方网络应用用于向第三方权威机构提交邮箱账号接入请求，该请求中包含网络应用的访问URI和用户认证通过后的跳转URI。

第三方权威机构用于根据网络应用的访问URI和跳转URI对第三方网络应用进行审核，并在审核通过后为第三方网络应用分配应用ID和应用密钥，并对其跳转URI进行登记。具体而言，第三方权威机构首先根据网络应用的访问URI进行人工访问，判断其是否备案，所经营的业务是否合法，如果已备案且合法，则再判断跳转URI是否为网络应用内的URI，是则审核通过，第三方权威机构的***中添加此网络应用记录，记录中包含网络应用访问URI、跳转URI、应用ID、应用密钥和审核通过标记，否则审核不通过，第三方权威机构的***添加审核不通过记录，记录中包含访问URI、跳转URI和审核不通过标记。

第三方网络应用还用于接收来自用户的网络访问请求，并为用户提供进入基于邮箱的用户身份认证登录入口。

第三方网络应用还用于根据用户所输入的邮箱地址跳转至相应的邮件服务提供商的用户身份认证页面；具体而言，第三方网络应用跳转到邮件服务提供商的用户身份认证页面时需要通过TLS协议向邮件服务提供商发送以下信息：用户邮箱地址、应用ID、应用密钥和认证后的跳转URI。

邮件服务提供商用于根据第三方网络应用的应用ID和应用密钥，向第三方权威机构验证来自用户的网络访问请求对应的网络应用是否审核通过。

第三方权威机构还用于判断认证后的跳转URI是否已经登记过。

邮件服务提供商还用于接收用户在用户身份认证页面输入的邮箱密码，并判断邮箱密码是否正确。

邮件服务提供商还用于判断用户是否授权邮箱地址给第三方网络应用使用，若是则生成用户标识字符串，其为邮箱地址，否则生成用户标识字符串，其为邮箱地址的哈希值；

邮件服务提供商还用于将当前用户页面跳转至第三方网络应用的跳转URI以实现用户对第三方网络应用的访问，根据应用ID和应用密钥生成证书，并将证书给用户代理，同时发送证书和用户标识字符串给第三方网络应用；

第三方网络应用还用于保存用户标识字符串和证书。

用户代理用于使用邮件服务提供商提供的证书与第三方网络应用交互。

第三方网络应用还用于执行并记录用户在访问第三方网络应用期间的操作。

需要注意的是，本发明***对应的软件可存储于计算机可读存储介质中。

本领域的技术人员容易理解，以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (6)

1.一种基于邮箱的用户身份认证服务方法，其特征在于，包括以下步骤：

(1)第三方网络应用向第三方权威机构提交邮箱账号接入请求，该请求中包含网络应用的访问统一资源标志符URI和用户认证通过后的跳转统一资源标志符URI；

(2)第三方权威机构根据网络应用的访问统一资源标志符URI和跳转统一资源标志符URI对第三方网络应用进行审核，并在审核通过后为第三方网络应用分配应用ID和应用密钥，并对其跳转统一资源标志符URI进行登记；

(3)第三方网络应用接收来自用户的网络访问请求，并为用户提供进入基于邮箱的用户身份认证登录入口；

(4)第三方网络应用根据用户所输入的邮箱地址跳转至相应的邮件服务提供商的用户身份认证页面；

(5)邮件服务提供商根据第三方网络应用的应用ID和应用密钥，向第三方权威机构验证来自用户的网络访问请求对应的网络应用是否审核通过，若网络应用未审核通过，则显示应用未审核通过的错误信息，然后过程结束，否则转步骤(6)；

(6)第三方权威机构判断认证后的跳转统一资源标志符URI是否已经登记过，是则转步骤(7)，否则显示跳转统一资源标志符URI非法的错误信息，然后过程结束；

(7)邮件服务提供商接收用户在用户身份认证页面输入的邮箱密码，并判断邮箱密码是否正确，如果正确则转入步骤(8)，否则显示验证失败的错误信息，然后过程结束；

(8)邮件服务提供商判断用户是否授权邮箱地址给第三方网络应用使用，若是则生成用户标识字符串，其为邮箱地址，否则生成用户标识字符串，其为邮箱地址的哈希值；

(9)邮件服务提供商将当前用户页面跳转至第三方网络应用的跳转统一资源标志符URI以实现用户对第三方网络应用的访问，根据应用ID和应用密钥生成证书，并将证书给用户代理，同时发送证书和用户标识字符串给第三方网络应用；

(10)第三方网络应用保存用户标识字符串和证书，用户代理使用邮件服务提供商提供的证书与第三方网络应用交互，第三方网络应用执行并记录用户在访问第三方网络应用期间的操作。

2.根据权利要求1所述的用户身份认证服务方法，其特征在于，步骤(2)具体为，第三方权威机构首先根据网络应用的访问统一资源标志符URI进行人工访问，判断其是否备案，所经营的业务是否合法，如果已备案且合法，则再判断跳转统一资源标志符URI是否为网络应用内的统一资源标志符URI，是则审核通过，第三方权威机构的***中添加此网络应用记录，记录中包含网络应用访问统一资源标志符URI、跳转统一资源标志符URI、应用ID、应用密钥和审核通过标记，否则审核不通过，第三方权威机构的***添加审核不通过记录，记录中包含访问统一资源标志符URI、跳转统一资源标志符URI和审核不通过标记。

3.根据权利要求1所述的用户身份认证服务方法，其特征在于，步骤(4)具体为，第三方网络应用跳转到邮件服务提供商的用户身份认证页面时需要通过传输层安全协议TLS协议向邮件服务提供商发送以下信息：用户邮箱地址、应用ID、应用密钥和认证后的跳转统一资源标志符URI。

4.一种基于邮箱的用户身份认证服务***，包括第三方网络应用、第三方权威机构、邮件服务提供商和用户代理，其特征在于，

第三方网络应用用于向第三方权威机构提交邮箱账号接入请求，该请求中包含网络应用的访问统一资源标志符URI和用户认证通过后的跳转统一资源标志符URI；

第三方权威机构用于根据网络应用的访问统一资源标志符URI和跳转统一资源标志符URI对第三方网络应用进行审核，并在审核通过后为第三方网络应用分配应用ID和应用密钥，并对其跳转统一资源标志符URI进行登记；

第三方网络应用还用于接收来自用户的网络访问请求，并为用户提供进入基于邮箱的用户身份认证登录入口；

第三方网络应用还用于根据用户所输入的邮箱地址跳转至相应的邮件服务提供商的用户身份认证页面；

邮件服务提供商用于根据第三方网络应用的应用ID和应用密钥，向第三方权威机构验证来自用户的网络访问请求对应的网络应用是否审核通过；

第三方权威机构还用于判断认证后的跳转统一资源标志符URI是否已经登记过；

邮件服务提供商还用于接收用户在用户身份认证页面输入的邮箱密码，并判断邮箱密码是否正确；

邮件服务提供商还用于判断用户是否授权邮箱地址给第三方网络应用使用，若是则生成用户标识字符串，其为邮箱地址，否则生成用户标识字符串，其为邮箱地址的哈希值；

邮件服务提供商还用于将当前用户页面跳转至第三方网络应用的跳转统一资源标志符URI以实现用户对第三方网络应用的访问，根据应用ID和应用密钥生成证书，并将证书给用户代理，同时发送证书和用户标识字符串给第三方网络应用；

第三方网络应用还用于保存用户标识字符串和证书；

用户代理用于使用邮件服务提供商提供的证书与第三方网络应用交互；

第三方网络应用还用于执行并记录用户在访问第三方网络应用期间的操作。

5.根据权利要求4所述的用户身份认证服务***，其特征在于，第三方权威机构首先根据网络应用的访问统一资源标志符URI进行人工访问，判断其是否备案，所经营的业务是否合法，如果已备案且合法，则再判断跳转统一资源标志符URI是否为网络应用内的统一资源标志符URI，是则审核通过，第三方权威机构的***中添加此网络应用记录，记录中包含网络应用访问统一资源标志符URI、跳转统一资源标志符URI、应用ID、应用密钥和审核通过标记，否则审核不通过，第三方权威机构的***添加审核不通过记录，记录中包含访问统一资源标志符URI、跳转统一资源标志符URI和审核不通过标记。

6.根据权利要求4所述的用户身份认证服务***，其特征在于，第三方网络应用跳转到邮件服务提供商的用户身份认证页面时需要通过传输层安全协议TLS协议向邮件服务提供商发送以下信息：用户邮箱地址、应用ID、应用密钥和认证后的跳转统一资源标志符URI。