CN103795692A

CN103795692A - 开放授权方法、***与认证授权服务器

Info

Publication number: CN103795692A
Application number: CN201210427785.1A
Authority: CN
Inventors: 钱逸群; 曹敏; 张正风; 方剑; ***
Original assignee: China Telecom Corp Ltd
Current assignee: China Telecom Corp Ltd
Priority date: 2012-10-31
Filing date: 2012-10-31
Publication date: 2014-05-14
Anticipated expiration: 2032-10-31
Also published as: CN103795692B

Abstract

本发明实施例公开了一种开放授权方法、***与认证授权服务器。其中，该方法包括接收第三方应用发起的针对资源服务器所包含资源的调用请求；对使用第三方应用的用户进行身份认证；响应于身份认证的通过与资源用户授权第三方应用对资源服务器所包含资源的调用，向第三方应用分配授权许可码；接收第三方应用对授权凭证的请求，通过私钥加密的方式基于所授权的资源标识、使用第三方应用的用户的身份信息、授权凭证请求中携带的授权许可码和时间戳生成授权凭证；向第三方应用发送授权凭证，以使第三方应用携带授权凭证直接访问资源服务器所授权的资源。本发明实施例提高了分布式***架构的用户授权成功率。

Description

开放授权方法、***与认证授权服务器

技术领域

本发明涉及网络应用技术领域，特别地，涉及一种开放授权方法、***与认证授权服务器。

背景技术

在当前网络开放的大趋势下，越来越多的互联网产品和业务趋向于平台化，通过API（Application Program Interface，应用程序接口）允许第三方应用调用***功能或资源，迅速汇聚应用以满足用户各异的应用需求。目前开放平台成长力道保持强劲，越来越多的互联网厂商加入到能力和平台开放的行列，第三方应用的加入，提升了原互联网业务平台对应用访问权限管理和登录认证技术的要求，因此在当前环境下第三方应用访问平台资源和信息时的认证与授权控制过程也就成为了开放平台技术研究的重点。

各种网络服务间的内容共享都采用了OAuth（Open Authorization，开放授权）标准，其允许用户让第三方应用访问该用户在某一网站上存储的私密资源与信息，而无需将用户名和密码提供给第三方应用。OAuth允许认证授权服务器产生一个授权凭证，而不是通过用户名和密码访问其存放在网站的特定数据，授权凭证限定了在特别的时间访问特定资源，由此第三方应用可在用户授权的前提下使用授权凭证访问用户所属的资源与信息，而不用暴露用户在网站的所有信息及用户的用户名和密码，保护了用户在网站存储信息的安全，并且使第三方应用访问用户资源和信息的行为可被用户控制。

开放授权***的认证授权服务器和存储用户信息数据的资源服务器之间需要把授权用户信息检索的规则进行同步，当开放认证***的认证授权服务器和存储用户信息数据的资源服务器为同一台服务器或物理位置相距不远时，如处于同一机房内，两者之前的数据同步不存在问题。

但是由于云计算技术的兴起，越来越多的***采用了分布式架构，资源服务器散布在“云端”不同地域的不同服务器上。此外，对于运营商、大型互联网公司等大型企业，可由外界调用访问的资源通常可能分布于数家子公司的数个***上，在这种情况下，认证授权服务器和资源服务器就可能需要跨经多个网络，两者之间同步成功率就可能因为网络或其他因素降低，尤其是在同时需要往多个资源服务器同步授权数据时问题更为严重，任何一个同步过程失败即导致授权失败，从而影响整体的用户授权成功率。

发明内容

本发明要解决的一个技术问题是提供一种开放授权方法、***与认证授权服务器，能够解决开放授权认证在分布式架构的网络***中认证授权服务器和资源服务器之间的同步失败问题。

本发明实施例提供了一种开放授权方法，包括接收第三方应用发起的针对资源服务器所包含资源的调用请求，调用请求中包含所请求资源的标识；对使用第三方应用的用户进行身份认证；响应于身份认证的通过与资源用户授权第三方应用对资源服务器所包含资源的调用，向第三方应用分配授权许可码；接收第三方应用对授权凭证的请求，通过私钥加密的方式基于所授权的资源标识、使用第三方应用的用户的身份信息、授权凭证请求中携带的授权许可码和时间戳生成授权凭证；向第三方应用发送授权凭证，以使第三方应用携带授权凭证直接访问资源服务器所授权的资源。

可选地，该方法还包括生成非对称加密所需的公钥和私钥，并将公钥分配至处于不同地域和/或不同网络的资源服务器。

可选地，通过私钥加密的方式基于所授权的资源标识、使用第三方应用的用户的身份信息、授权凭证请求中携带的授权许可码、前三者的信息摘要和时间戳生成授权凭证，其中，前三者的信息摘要是指利用散列算法基于所授权的资源标识、使用第三方应用的用户的身份信息和授权凭证请求中携带的授权许可码共同生成的信息摘要。

可选地，该方法还包括判断所接收的授权凭证请求中所携带的授权许可码与存储的授权许可码是否一致；如一致，则为第三方应用分配授权凭证，否则拒绝分配授权凭证。

可选地，该方法还包括包含所请求资源的资源服务器接收第三方应用发起的资源调用请求，在资源调用请求中包含授权凭证；利用公钥对授权凭证进行解密；根据解密得到的时间戳判断授权凭证是否过期；如授权凭证过期，则直接丢弃资源调用请求，否则根据解密得到的资源标识查找与该资源标识对应的资源，并将查找结果返回给与解密得到的第三方应用标识对应的第三方应用。

本发明实施例还提供了一种认证授权服务器，包括调用请求接收单元，用于接收第三方应用发起的针对资源服务器所包含资源的调用请求，调用请求中包含所请求资源的标识；身份认证单元，用于对使用第三方应用的用户进行身份认证；授权许可码分配单元，用于响应于身份认证的通过与资源用户授权第三方应用对资源服务器所包含资源的调用，向第三方应用分配授权许可码；授权凭证生成单元，用于接收第三方应用对授权凭证的请求，通过私钥加密的方式基于所授权的资源标识、使用第三方应用的用户的身份信息、授权凭证请求中携带的授权许可码和时间戳生成授权凭证；授权凭证发送单元，用于向第三方应用发送授权凭证，以使第三方应用携带授权凭证直接访问资源服务器所授权的资源。

可选地，该认证授权服务器还包括密钥生成单元，用于生成非对称加密所需的公钥和私钥，并将公钥分配至处于不同地域和/或不同网络的资源服务器。

可选地，授权凭证生成单元通过私钥加密的方式基于所授权的资源标识、使用第三方应用的用户的身份信息、授权凭证请求中携带的授权许可码、前三者的信息摘要和时间戳生成授权凭证，其中，前三者的信息摘要是指利用散列算法基于所授权的资源标识、使用第三方应用的用户的身份信息和授权凭证请求中携带的授权许可码共同生成的信息摘要。

可选地，该认证授权服务器还包括判断单元，用于判断所接收的授权凭证请求中所携带的授权许可码与存储的授权许可码是否一致，如一致，则为第三方应用分配授权凭证，否则拒绝分配授权凭证。

本发明实施例又提供了一种开放授权***，包括一个以上的资源服务器和前述实施例中的认证授权服务器，其中，认证授权服务器通过有线或无线方式与一个以上的资源服务器进行通信。

可选地，资源服务器接收第三方应用发起的资源调用请求，在资源调用请求中包含授权凭证；利用公钥对授权凭证进行解密；根据解密得到的时间戳判断授权凭证是否过期；如授权凭证过期，则直接丢弃资源调用请求，否则根据解密得到的资源标识查找与该资源标识对应的资源，并将查找结果返回给与解密得到的第三方应用标识对应的第三方应用。

本发明提供的开放授权方法、***与认证授权服务器，由认证授权服务器使用非对称加密方式生成授权所需的授权凭证，分配给第三方应用，第三方应用在向资源服务器发送调用请求时携带该授权凭证，资源服务器根据授权凭证解密得到需要的鉴权信息，从而避免了认证授权服务器与多个资源服务器之间进行授权数据的同步，保证了用户授权操作的成功率。由此可见，本发明实施例可以避免认证授权服务器和资源服务器之间进行授权信息的同步，提高了分布式***架构的用户授权成功率。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分。在附图中：

图1是本发明开放授权方法的一个实施例的流程示意图。

图2是本发明开放授权方法的另一实施例的流程示意图。

图3是本发明认证授权服务器的一个实施例的结构示意图。

图4是本发明认证授权服务器的另一实施例的结构示意图。

图5是本发明认证授权服务器的又一实施例的结构示意图。

图6是本发明开放授权***的一个实施例的结构示意图。

具体实施方式

下面参照附图对本发明进行更全面的描述，其中说明本发明的示例性实施例。本发明的示例性实施例及其说明用于解释本发明，但并不构成对本发明的不当限定。

以下对至少一个示例性实施例的描述实际上仅仅是说明性的，决不作为对本发明及其应用或使用的任何限制。

为了解决开放授权认证在分布式架构的网络***中认证授权服务器和资源服务器之间的同步失败问题，本发明下述实施例通过非对称加密算法设计生成授权凭证，使用授权凭证传递关键数据，巧妙地避免了认证授权服务器与多个分布式的资源服务器之间的授权信息同步，因此改善了用户授权操作的成功率。

图1是本发明开放授权方法的一个实施例的流程示意图。

如图1所示，该实施例可以包括以下步骤：

S102，接收第三方应用发起的针对资源服务器所包含资源的调用请求，该调用请求中包含所请求资源的标识，进一步地，还可以包含第三方应用的标识；

S104，对使用第三方应用的用户进行身份认证，即，使用第三方应用的用户输入用户名和密码登录***完成用户的身份认证；

S106，响应于身份认证的通过与资源用户授权第三方应用对资源服务器所包含资源的调用，向第三方应用分配授权许可码，即在通过身份认证并且能够提供资源的资源用户对第三方应用的请求授权的情况下才向第三方应用发送授权许可码，为第三方应用发送授权许可码的目的是避免伪造第三方应用身份而仅凭借下述步骤中生成的授权凭证在用户登录会话已过期但授权凭证仍有效的情况下对资源进行访问的情况发生；

S108，接收第三方应用对授权凭证的请求，通过私钥加密的方式基于所授权的资源标识、使用第三方应用的用户的身份信息、授权凭证请求中携带的授权许可码和时间戳生成授权凭证；

S110，向第三方应用发送授权凭证，以使第三方应用携带授权凭证直接访问资源服务器所授权的资源。

该实施例由认证授权服务器使用非对称加密方式生成授权所需的授权凭证，分配给第三方应用，第三方应用在向资源服务器发送调用请求时携带该授权凭证，资源服务器根据授权凭证解密得到需要的鉴权信息，从而避免了认证授权服务器与多个资源服务器之间进行授权数据的同步，保证了用户授权操作的成功率。由此可见，本发明实施例可以避免认证授权服务器和资源服务器之间进行授权信息的同步，提高了分布式***架构的用户授权成功率。

进一步地，在步骤S102之前，由认证授权服务器预先生成非对称加密所需的公钥和私钥，认证授权服务器保留私钥，用于生成授权凭证。通过合适途径（例如，保密邮件或硬拷贝的方式）将公钥分配给处于不同机房、不同地域和/或不同网络***的资源服务器，以使资源服务器在接收到授权凭证后利用公钥解密出所授权的资源标识、使用第三方应用的用户的身份信息、授权凭证请求中携带的授权许可码和时间戳。其中，资源服务器可以为多个，均使用所分配的同一公钥，认证授权服务器和资源服务器各自保留私钥和公钥的安全，任何一方的密钥发生泄露都需要认证授权服务器重新计算生成非对称加密算法的公钥和私钥，非对称加密算法与密钥的位数可以根据***的处理时间与安全性要求进行选择，例如，选择64位或128位密钥的RSA（Rivest，Shamir and Adleman）算法、椭圆曲线算法等。基于上述这种通过非对称加密传输授权凭证的方式就无需在认证授权服务器与多个分布式资源服务器之间实现授权凭证信息的同步了。

在步骤S108中，由于信息在传输过程中可能会出现误码，因此可以通过私钥加密的方式基于所授权的资源标识、使用第三方应用的用户的身份信息、授权凭证请求中携带的授权许可码、前三者的信息摘要和时间戳生成授权凭证，其中，前三者的信息摘要是指利用散列算法基于所授权的资源标识、使用第三方应用的用户的身份信息和授权凭证请求中携带的授权许可码共同生成的信息摘要。

资源服务器在收到授权凭证并利用公钥进行解密后，根据时间戳判断如果授权凭证未过期，则基于解密出的所授权的资源标识、使用第三方应用的用户的身份信息和授权凭证请求中携带的授权许可码计算信息摘要，将计算出的信息摘要与解密出的信息摘要进行比较，如果两者相同，则表明授权凭证传输正确，可以基于解密出的授权资源标识为第三方应用提供资源调用服务，否则，说明解密出的授权资源标识可能存在传输错误，不能基于解密出的授权资源标识为第三方应用提供资源调用服务。

进一步地，认证授权服务器在接收到授权凭证请求时，判断所接收的授权凭证请求中所携带的授权许可码与存储的授权许可码是否一致，即，所携带的授权许可码与为第三方应用分配的授权许可码是否一致，如一致，则为第三方应用分配授权凭证，否则拒绝分配授权凭证。

在步骤S110之后，包含所请求资源的资源服务器接收第三方应用发起的资源调用请求，在该资源调用请求中包含认证授权服务器为第三方应用所生成的授权凭证；利用公钥对授权凭证进行解密，得到所授权的资源标识、使用第三方应用的用户的身份信息、授权凭证请求中携带的授权许可码和时间戳；根据解密得到的时间戳判断授权凭证是否过期；如授权凭证过期，则直接丢弃资源调用请求，否则根据解密得到的资源标识查找与该资源标识对应的资源，并将查找结果返回给与解密得到的第三方应用标识对应的第三方应用。

在本发明开放授权方法的一个实例中，可以通过以下几个步骤实现开放授权：

（1）当第三方应用发起针对资源服务器所包含的资源的调用时，首先将第三方应用重定向至认证授权服务器提供的界面，使用第三方应用的用户输入用户名和密码登录认证授权服务器完成第三方用户的身份认证；

（2）在接收到第三方应用发起的资源调用请求时，认证授权服务器提示第三方应用所请求资源的用户在认证授权服务器提供的页面上对是否允许第三方应用访问资源服务器的内容进行授权；

（3）认证授权服务器结合资源用户所授权的内容和用户身份认证通过的结果，向第三方应用分配授权许可码，向第三方应用分配授权许可码的作用是表明该项调用请求经过了资源用户的显示授权；

（4）第三方应用获取授权许可码后，携带授权许可码向认证授权服务器请求授权凭证，认证授权服务器将使用第三方应用的用户标识（即，用户ID）、所授权的资源标识（即，资源ID）和授权许可码组成三元组，同时加注时间戳，以保证第三方应用访问资源的该凭证（即，token）在一定时间段内有效，如超时则将重新颁发凭证（即，refresh token）或拒绝请求，认证授权服务器使用之前生成的私钥对该三元组和时间戳进行非对称加密，计算生成授权凭证，再通过重定向链接返回给第三方应用；

（5）第三方应用在获取授权凭证后，携带该授权凭证直接前往资源服务器请求资源用户已授权的相关资源，资源服务器提取应用请求中的授权凭证，使用之前分配的公钥对授权凭证进行解密，获取三元组，根据三元组索引定位资源标识对应的资源，返回给第三方应用，完成一次第三方应用的访问调用。

该实例以开放授权方式为基础，使用非对称加密方式产生授权凭证，代替现有技术中的授权凭证，使第三方应用可以直接前往资源服务器调用资源，资源服务器可通过公钥解密和成功索引资源的方式辨析调用的合法性并找到相应资源，避免了认证授权服务器与资源服务器之间的数据同步，防止在大量分布式架构的资源服务器情况下，某一资源服务器同步失败而造成整体用户授权失败的问题。

图2是本发明开放授权方法的另一实施例的流程示意图。

如图2所示，该实施例包括应用认证过程、请求授权凭证过程和第三方应用调用过程，具体流程如下：

在应用认证过程中：

S202，用户A使用第三方应用B，发起登录请求，并携带回调地址，用户A在认证授权服务器C提供的页面上输入用户名和密码登录***；

S204，资源用户在认证授权服务器C提供的授权确认页面上查看该第三方应用调用的用户资源和信息以向资源用户明示第三方应用将访问资源用户相关的哪些资源，由资源用户查看后决定是否授权；

S206，如确认授权，则认证授权服务器中的认证模块为第三方应用B分配授权许可码，该授权许可码由回调地址反馈给第三方应用，该授权许可码代表用户已成功登录***，并完成对第三方应用B的相应授权；

在请求授权凭证过程中：

S208，第三方应用B携带获取的授权许可码，向认证授权服务器发送获取授权凭证的请求，同时携带开放授权***所在的能力开放平台为第三方应用分配的应用标识，以及返回授权凭证的回调地址；

S210，认证授权服务器对应用标识（即，应用ID）、用户标识（即，用户ID）、访问授权码形成三元组再加上时间戳，排列后使用私钥加密，得到授权凭证，通过回调地址将授权凭证颁发给第三方应用B；

其中，具体的授权凭证生成过程如下：

认证授权服务器的授权模块首先获取应用B的请求所携带的授权许可码和第三方应用ID，由第三方应用ID向认证模块查询比对所携带的授权许可码与认证授权服务器存储的授权许可码是否一致，如授权许可码不一致，则拒绝分配授权凭证，在授权许可码一致的情况下继续下一步，提取第三方应用B的ID，提取请求授权的资源ID，与授权许可码形成三元组，将三元组内容进行格式化，假设参与授权凭证生成的参数分别是“k1”、“k2”、“k3”，它们的值分别是“v1”、“v2”、“v3”，则参数格式化为“key=value”格式，即“k1=v1”、“k2=v2”、“k3=v3”，将参数数值与键值对以字典序升序排列，做拼接即“k1=v1k2=v2k3=v3”，对拼接所得参数计算MD5（Message Digest version 5，消息摘要版本5），将MD5后的值拼接到三元组参数之后以检测三元组信息是否被篡改，对三元组拼接而成的数值加注时间戳得到序列M，使用非对称加密算法的私钥对序列M进行加密，得到授权凭证；

在第三方应用调用过程中：

S212，第三方应用B携带获取的授权凭证，直接向资源服务器D发起调用请求；

S214，资源服务器获得授权凭证，使用非对称加密算法公钥解密授权凭证，获取序列M，首先根据时间戳判断授权凭证是否过期，如过期则直接丢弃请求，在授权凭证未过期的前提下，资源服务器D解析授权凭证所包含的序列M获得第三方应用ID、所请求资源ID，根据资源ID查找相应相关资源和信息，将结果返回给第三方应用B，并记录第三方应用B的ID。

本领域普通技术人员可以理解，实现上述方法实施例的全部和部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算设备可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤，二前述的存储介质可以包括ROM、RAM、磁碟和光盘等各种可以存储程序代码的介质。

图3是本发明认证授权服务器的一个实施例的结构示意图。

如图3所示，该实施例中的认证授权服务器30可以包括调用请求接收单元302、身份认证单元304、授权许可码分配单元306、授权凭证生成单元308和授权凭证发送单元310。

其中，调用请求接收单元302接收第三方应用发起的针对资源服务器所包含资源的调用请求，调用请求中包含所请求资源的标识；身份认证单元304对使用第三方应用的用户进行身份认证；授权许可码分配单元306响应于身份认证的通过与资源用户授权第三方应用对资源服务器所包含资源的调用，向第三方应用分配授权许可码；授权凭证生成单元308接收第三方应用对授权凭证的请求，通过私钥加密的方式基于所授权的资源标识、使用第三方应用的用户的身份信息、授权凭证请求中携带的授权许可码和时间戳生成授权凭证；授权凭证发送单元310向第三方应用发送授权凭证，以使第三方应用携带授权凭证直接访问资源服务器所授权的资源。

进一步地，授权凭证生成单元可以通过私钥加密的方式基于所授权的资源标识、使用第三方应用的用户的身份信息、授权凭证请求中携带的授权许可码、前三者的信息摘要和时间戳生成授权凭证，其中，前三者的信息摘要是指利用散列算法基于所授权的资源标识、使用第三方应用的用户的身份信息和授权凭证请求中携带的授权许可码共同生成的信息摘要。

图4是本发明认证授权服务器的另一实施例的结构示意图。

如图4所示，与图3中的实施例相比，该实施例中的认证授权服务器40还包括密钥生成单元402，其用于生成非对称加密所需的公钥和私钥，并将公钥分配至处于不同地域和/或不同网络的资源服务器。

图5是本发明认证授权服务器的又一实施例的结构示意图。

如图5所示，与图3中的实施例相比，该实施例中的认证授权服务器50还包括判断单元502，其用于判断所接收的授权凭证请求中所携带的授权许可码与存储的授权许可码是否一致，如一致，则为第三方应用分配授权凭证，否则拒绝分配授权凭证。

进一步地，在本发明认证授权服务器的再一实施例中，与图3中的实施例相比，该实施例中的认证授权服务还可以包括密钥生成单元402和判断单元502，这两个单元的功能可以参照图4和图5所示的实施例，在此不再重复。

图6是本发明开放授权***的一个实施例的结构示意图。

如图6所示，该实施例中的***60可以包括一个以上的资源服务器602和认证授权服务器604，其中，认证授权服务器604可以通过图3至图5中任一实施例实现，认证授权服务器604通过有线或无线方式与一个以上的资源服务器602进行通信。

其中，资源服务器接收第三方应用发起的资源调用请求，在资源调用请求中包含授权凭证；利用公钥对授权凭证进行解密；根据解密得到的时间戳判断授权凭证是否过期；如授权凭证过期，则直接丢弃资源调用请求，否则根据解密得到的资源标识查找与该资源标识对应的资源，并将查找结果返回给与解密得到的第三方应用标识对应的第三方应用。

本说明书中各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同和相似的部分可以相互参见。对于装置实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处可以参见方法实施例部分的说明。

本发明上述实施例在第三方应用向认证授权服务器请求授权凭证的过程中，根据第三方用户登录鉴权和资源用户授权结果分配授权许可码，第三方应用再通过授权许可码请求授权凭证以避免第三方应用身份欺骗；认证授权服务器根据资源用户的授权结果将用户标识、资源标识与授权许可组成三元组使用非对称加密算法中的私钥加密生成授权凭证，第三方应用携带该授权凭证访问资源服务器，资源服务器利用公钥解密授权凭证，根据授权凭证所含信息为第三方应用返回结果，无需认证授权服务器和资源服务器之间的数据同步，从而避免了同步问题造成的用户授权失败。

虽然已经通过示例对本发明的一些特定实施例进行了详细说明，但是本领域的技术人员应该理解，以上示例仅是为了进行说明，而不是为了限制本发明的范围。本领域的技术人员应该理解，可在不脱离本发明的范围和精神的情况下，对以上实施例进行修改。本发明的范围由所附权利要求来限定。

Claims

1.一种开放授权方法，其特征在于，包括：

接收第三方应用发起的针对资源服务器所包含资源的调用请求，所述调用请求中包含所请求资源的标识；

对使用所述第三方应用的用户进行身份认证；

响应于身份认证的通过与资源用户授权所述第三方应用对资源服务器所包含资源的调用，向所述第三方应用分配授权许可码；

接收所述第三方应用对授权凭证的请求，通过私钥加密的方式基于所授权的资源标识、使用所述第三方应用的用户的身份信息、授权凭证请求中携带的授权许可码和时间戳生成授权凭证；

向所述第三方应用发送所述授权凭证，以使所述第三方应用携带所述授权凭证直接访问资源服务器所授权的资源。

2.根据权利要求1所述的开放授权方法，其特征在于，所述方法还包括：

生成非对称加密所需的公钥和所述私钥，并将所述公钥分配至处于不同地域和/或不同网络的资源服务器。

3.根据权利要求1所述的开放授权方法，其特征在于，通过私钥加密的方式基于所授权的资源标识、使用所述第三方应用的用户的身份信息、授权凭证请求中携带的授权许可码、前三者的信息摘要和时间戳生成授权凭证，其中，前三者的信息摘要是指利用散列算法基于所授权的资源标识、使用所述第三方应用的用户的身份信息和授权凭证请求中携带的授权许可码共同生成的信息摘要。

4.根据权利要求1所述的开放授权方法，其特征在于，所述方法还包括：

判断所接收的授权凭证请求中所携带的授权许可码与存储的授权许可码是否一致；

如一致，则为所述第三方应用分配授权凭证，否则拒绝分配授权凭证。

5.根据权利要求2所述的开放授权方法，其特征在于，所述方法还包括：

包含所请求资源的资源服务器接收所述第三方应用发起的资源调用请求，在所述资源调用请求中包含所述授权凭证；

利用所述公钥对所述授权凭证进行解密；

根据解密得到的时间戳判断所述授权凭证是否过期；

如所述授权凭证过期，则直接丢弃所述资源调用请求，否则根据解密得到的资源标识查找与该资源标识对应的资源，并将查找结果返回给与解密得到的第三方应用标识对应的第三方应用。

6.一种认证授权服务器，其特征在于，包括：

调用请求接收单元，用于接收第三方应用发起的针对资源服务器所包含资源的调用请求，所述调用请求中包含所请求资源的标识；

身份认证单元，用于对使用所述第三方应用的用户进行身份认证；

授权许可码分配单元，用于响应于身份认证的通过与资源用户授权所述第三方应用对资源服务器所包含资源的调用，向所述第三方应用分配授权许可码；

授权凭证生成单元，用于接收所述第三方应用对授权凭证的请求，通过私钥加密的方式基于所授权的资源标识、使用所述第三方应用的用户的身份信息、授权凭证请求中携带的授权许可码和时间戳生成授权凭证；

授权凭证发送单元，用于向所述第三方应用发送所述授权凭证，以使所述第三方应用携带所述授权凭证直接访问资源服务器所授权的资源。

7.根据权利要求6所述的认证授权服务器，其特征在于，所述认证授权服务器还包括：

密钥生成单元，用于生成非对称加密所需的公钥和所述私钥，并将所述公钥分配至处于不同地域和/或不同网络的资源服务器。

8.根据权利要求6所述的认证授权服务器，其特征在于，所述授权凭证生成单元通过私钥加密的方式基于所授权的资源标识、使用所述第三方应用的用户的身份信息、授权凭证请求中携带的授权许可码、前三者的信息摘要和时间戳生成授权凭证，其中，前三者的信息摘要是指利用散列算法基于所授权的资源标识、使用所述第三方应用的用户的身份信息和授权凭证请求中携带的授权许可码共同生成的信息摘要。

9.根据权利要求6所述的认证授权服务器，其特征在于，所述认证授权服务器还包括：

判断单元，用于判断所接收的授权凭证请求中所携带的授权许可码与存储的授权许可码是否一致，如一致，则为所述第三方应用分配授权凭证，否则拒绝分配授权凭证。

10.一种开放授权***，其特征在于，包括一个以上的资源服务器和权利要求6-9中任一项所述的认证授权服务器，其中，所述认证授权服务器通过有线或无线方式与所述一个以上的资源服务器进行通信。

11.根据权利要求10所述的开放授权***，其特征在于，所述资源服务器接收所述第三方应用发起的资源调用请求，在所述资源调用请求中包含所述授权凭证；利用所述公钥对所述授权凭证进行解密；根据解密得到的时间戳判断所述授权凭证是否过期；如所述授权凭证过期，则直接丢弃所述资源调用请求，否则根据解密得到的资源标识查找与该资源标识对应的资源，并将查找结果返回给与解密得到的第三方应用标识对应的第三方应用。