CN104158802B - 一种平台授权方法、平台服务端及应用客户端和*** - Google Patents

Abstract

本发明实施例公开了一种平台授权方法、平台服务端及应用客户端和***，方法包括：接收应用客户端通过第一路径发送的第一验证消息并获取终端标识；记录所接收的随机字符串与标识之间的映射关系；接收应用客户端通过第二路径发送的第二验证消息；根据身份标识从数据库中读取注册过程中提交的身份认证信息，并对所提取的身份认证信息进行签名；如果验证所生成的签名值与所接收的签名值一致，则根据随机字符串从所记录的映射关系中提取对应的终端标识，并根据终端标识获取对应的用户账号信息；根据用户账号信息和身份认证信息生成授权访问令牌，发送给应用客户端。本发明实施例的技术方案能使得用户对授权过程无感知，并能进一步提高授权的安全性。

Description

一种平台授权方法、平台服务端及应用客户端和***

技术领域

本发明涉及计算机通信技术领域，尤其涉及一种平台授权方法、平台服务端及应用客户端和***。

背景技术

开放平台是指由网站提供的、面向第三方的开放式基础服务平台，例如百度、腾讯、阿里、新浪微博等开放云平台。第三方的应用客户端为了获得这些开放平台提供的各种高价值的云能力和用户数据，都会去支持各大平台所提供的开放授权接口，以获取用户在这些平台上给本应用客户端授权后产生的授权访问令牌，并通过访问令牌调用各大平台提供的OpenAPI(Open Application Programming Interface，开放应用程序接口)来获取本应用客户端需要的云能力和用户在对应开放平台上的相关数据。

现有技术中，用户给应用客户端授权前需要先基于用户的已有账户登录该平台，否则平台无法知道是哪个用户要为对应的应用客户端授权，而为了保证安全，一般都需要应用客户端提供网络视图(WebView)或外部浏览器来加载对应平台所提供的登录授权页面，用户在该登录授权页面进行登录授权，以便应用客户端不能直接接触到用户的账号、密码等敏感信息。但这样的流程体验在很多时候是很不友好的：

第一、由于授权时需要加载一个web页(网页)，而web页的加载速度取决于用户移动设备的网络速度，在大多数2G环境下，这个页面的加载速度是极慢的，用户需要等待很长时间才能看到登录授权界面；

第二、由于web页是由开放平台端统一提供的，第三方应用一般是无法对该页面的风格、布局、内容等进行灵活自定义的，很多时候，这个页面的风格会与应用客户端自身的风格出入很大，使得第三方应用难以接受，尤其是在第三方游戏应用中；

第三、应用客户端如果通过外部浏览器加载登录授权页则会导致用户体验的急剧下降，如果通过WebView加载，则第三方应用仍然是有办法拿到用户输入的账号、密码等敏感信息的，其安全性不够高；

第四、当应用客户端同时需要多个开放平台所提供的用户数据和云能力来实现一项功能时，就得想办法引导用户挨个在多个平台上进行登录授权，在每次登录授权都要出一个登录授权界面的情况下，这样的工作基本上无法有效开展的。应用客户端需要的是，在用户不受干扰的情况下，顺畅完成多个平台的授权问题，这样才能获得最大的转化率。

发明内容

有鉴于此，本发明实施例提供一种平台授权方法、平台服务端及应用客户端和***，以改善应用客户端得到平台服务端授权的机制。

第一方面，本发明实施例提供了一种平台服务端的平台授权方法，包括：

平台服务端接收应用客户端通过第一路径发送的第一验证消息并获取所述应用客户端所在终端的终端标识，所述第一验证消息包括随机字符串；

所述平台服务端对所接收的随机字符串与所述终端标识之间的映射关系进行记录；

所述平台服务端接收所述应用客户端通过第二路径发送的第二验证消息，所述第二验证消息包括所述随机字符串，所述应用客户端通过预设签名算法对身份认证信息进行签名生成的签名值，以及注册过程中所述身份认证信息在所述平台服务端对应的身份标识；

所述平台服务端根据所接收的所述身份标识从数据库中读取注册过程中提交的身份认证信息，并通过预设签名算法对所提取的身份认证信息进行签名生成签名值；

如果所述平台服务端验证所生成的签名值与所接收的签名值一致，则根据所述随机字符串从所记录的所述映射关系中提取对应的终端标识，并根据所述终端标识获取对应的用户账号信息；

所述平台服务端根据所述用户账号信息和所述身份认证信息生成授权访问令牌，发送给所述应用客户端。

第二方面，本发明实施例还提供了一种应用客户端的平台授权方法，包括：

应用客户端通过第一路径向平台服务端发送第一验证消息，所述第一验证消息包括随机字符串，以供所述平台服务端对所述随机字符串与所述应用客户端所在终端的终端标识之间的映射关系进行记录；

应用客户端通过预设签名算法对身份认证信息进行签名生成签名值；

应用客户端通过第二路径向所述平台服务端发送第二验证消息，所述第二验证消息包括所述随机字符串，所述签名值，以及注册过程中所述身份认证信息在所述平台服务端对应的身份标识，以供所述平台服务端根据所述身份标识从数据库中读取注册过程中提交的身份认证信息，并通过预设签名算法对所提取的身份认证信息进行签名生成签名值，如果所述平台服务端验证所生成的签名值与所接收的签名值一致，则根据所述随机字符串从所记录的所述映射关系中提取对应的终端标识，并根据所述终端标识获取对应的用户账号信息，以及根据所述用户账号信息和所述身份认证信息生成授权访问令牌；

应用客户端接收所述平台服务端发送的授权访问令牌。

第三方面，本发明实施例还提供了一种平台服务端，包括：

第一验证消息接收单元，用于接收应用客户端通过第一路径发送的第一验证消息并获取所述应用客户端所在终端的终端标识，所述第一验证消息包括随机字符串；

映射关系记录单元，用于对所接收的随机字符串与所述终端标识之间的映射关系进行记录；

第二验证消息接收单元，用于接收所述应用客户端通过第二路径发送的第二验证消息，所述第二验证消息包括所述随机字符串，所述应用客户端通过预设签名算法对身份认证信息进行签名生成的签名值，以及注册过程中所述身份认证信息在所述平台服务端对应的身份标识；

信息提取和签名单元，用于根据所接收的所述身份标识从数据库中读取注册过程中提交的身份认证信息，并通过预设签名算法对所提取的身份认证信息进行签名生成签名值；

账号信息获取单元，用于如果验证所生成的签名值与所接收的签名值一致，则根据所述随机字符串从所记录的所述映射关系中提取对应的终端标识，并根据所述终端标识获取对应的用户账号信息；

授权单元，用于根据所述用户账号信息和所述身份认证信息生成授权访问令牌，发送给所述应用客户端。

第四方面，本发明实施例还提供了一种应用客户端，包括：

第一验证消息发送单元，用于通过第一路径向平台服务端发送第一验证消息，所述第一验证消息包括随机字符串，以供所述平台服务端对所述随机字符串与所述应用客户端所在终端的终端标识之间的映射关系进行记录；

签名单元，用于通过预设签名算法对身份认证信息进行签名生成签名值；

第二验证消息发送单元，用于通过第二路径向所述平台服务端发送第二验证消息，所述第二验证消息包括所述随机字符串，所述签名值，以及注册过程中所述身份认证信息在所述平台服务端对应的身份标识，以供所述平台服务端根据所述身份标识从数据库中读取注册过程中提交的身份认证信息，并通过预设签名算法对所提取的身份认证信息进行签名生成签名值，如果所述平台服务端验证所生成的签名值与所接收的签名值一致，则根据所述随机字符串从所记录的所述映射关系中提取对应的终端标识，并根据所述终端标识获取对应的用户账号信息，以及根据所述用户账号信息和所述身份认证信息生成授权访问令牌；

授权访问令牌接收单元，用于接收所述平台服务端发送的授权访问令牌。

第五方应用面，本发明实施例还提供了一种平台授权方法，包括：

应用客户端通过第一路径向平台服务端发送第一验证消息，所述第一验证消息包括随机字符串；

平台服务端接收应用客户端通过第一路径发送的第一验证消息并获取所述应用客户端所在终端的终端标识；

所述平台服务端对所接收的随机字符串与所述终端标识之间的映射关系进行记录；

应用客户端通过预设签名算法对身份认证信息进行签名生成签名值；

应用客户端通过第二路径向所述平台服务端发送第二验证消息，所述第二验证消息包括所述随机字符串，所述签名值，以及注册过程中所述身份认证信息在所述平台服务端对应的身份标识；

所述平台服务端接收所述应用客户端通过第二路径发送的第二验证消息；

所述平台服务端根据所接收的所述身份标识从数据库中读取注册过程中提交的身份认证信息，并通过预设签名算法对所提取的身份认证信息进行签名生成签名值；

如果所述平台服务端验证所生成的签名值与所接收的签名值一致，则根据所述随机字符串从所记录的所述映射关系中提取对应的终端标识，并根据所述终端标识获取对应的用户账号信息；

所述平台服务端根据所述用户账号信息和所述身份认证信息生成授权访问令牌，发送给所述应用客户端；

应用客户端接收所述平台服务端发送的授权访问令牌。

第六方面，本发明实施例还提供了一种平台授权***，包括：本发明任意实施例所提供的平台服务端和本发明任意实施例所提供的应用客户端。

本发明实施例提出的技术方案通过应用客户端分别通过两条路径向平台服务端发送包括随机字符串的第一验证消息，包括所述随机字符串、签名值和身份标识的第二验证消息，如果所述平台服务端验证通过预设签名算法对身份认证信息进行签名生成的签名值与所接收的签名值一致，则根据所述随机字符串获取对应的用户账号信息，并根据所述用户账号信息和所述身份认证信息生成授权访问令牌，发送给所述应用客户端，无需通过网页进行登录，能使得用户对授权过程无感知，并能进一步提高授权的安全性。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对本发明实施例描述中所需要使用的附图作简单的介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据本发明实施例的内容和这些附图获得其他的附图。

图1是本发明实施例一所述的平台服务端的平台授权方法的流程图；

图2是本发明实施例二所述的应用客户端的平台授权方法的流程图；

图3是本发明实施例三所述的平台服务端的结构框图；

图4是本发明实施例四所述的应用客户端的结构框图；

图5是本发明实施例五所述的平台授权方法中平台服务端与应用客户端的交互示意图；

图6是本发明实施例六所述的平台授权方法的流程图。

具体实施方式

为使本发明解决的技术问题、采用的技术方案和达到的技术效果更加清楚，下面将结合附图对本发明实施例的技术方案作进一步的详细描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

下面结合附图并通过具体实施方式来进一步说明本发明的技术方案。

实施例一

图1是本发明实施例一提供的平台服务端的平台授权方法流程图，本实施例可适用于应用客户端请求调用开放平台中需要终端用户授权的OpenAPI时获取授权访问令牌情况，其中，所述应用客户端可以为安装于终端上的应用软件、即时通讯客户端、游戏娱乐客户端或终端上的***工具，即第三方应用。该方法可以由平台服务端来执行，平台服务端是能够向第三方应用提供平台服务的服务器，如图1所示，本实施例所述的平台服务端的平台授权方法包括：

S101、平台服务端接收应用客户端通过第一路径发送的第一验证消息并获取所述应用客户端所在终端的终端标识，所述第一验证消息包括随机字符串。

为了防止应用客户端恶意获取平台方的用户数据，通过第一路径发送的第一验证消息优选为通过调用终端***提供的***接口向平台服务端发送的第一验证消息，例如可调用短信接口通过短信网关转发所述第一验证消息。

作为优选，所述应用客户端生成随机字符串，并创建包含所述随机字符串且目的地址为所述平台服务端的验证短信。所述应用客户端发送所述验证短信至短信网关，指示所述短信网关将所述验证短信进行协议转换，生成包含所述随机字符串的第一验证消息，发送给所述平台服务端。短信网关可以从验证短信中提取短信发送方的终端标识，携带在第一验证消息中进行发送，则所述平台服务端接收后提取所述随机字符串和终端标识。

S102、所述平台服务端对所接收的随机字符串与所述终端标识之间的映射关系进行记录。

所述终端标识为用于唯一区分终端的标识码，只要平台服务端接收应用客户端通过第一路径发送的第一验证消息时，能用来识别出是哪一个终端即可，所述终端标识包括但不限于电话号码和终端的设备标识。终端标识通常被用户用来标识自己的账户，能据此获取账户信息。

S103、所述平台服务端接收所述应用客户端通过第二路径发送的第二验证消息，所述第二验证消息包括所述随机字符串，所述应用客户端通过预设签名算法对身份认证信息进行签名生成的签名值，以及注册过程中所述身份认证信息在所述平台服务端对应的身份标识。

应用客户端或应用服务器在平台服务端上注册的过程中，平台服务端会为各应用客户端或应用服务器分配一个身份标识，用于对各应用客户端或应用服务器进行唯一标识，即该身份标识和对应的身份认证信息可以对应于一个应用客户端，也可以是对应于一类应用服务的所有应用客户端。同时，为了安全起见，在注册过程中，各应用客户端或应用服务器还会向平台服务端提交身份认证信息(例如应用密钥)，以进行身份认证。在平台服务端会在数据库中对所述身份标识和所述身份认证信息之间的映射关系进行记录，用于关联查找。各应用客户端或应用服务器在向平台服务端发起访问请求时，需要发送身份标识和身份认证信息用以进行身份区别和身份认证，例如将身份认证信息用作包名和包签名。

进一步地，所述第二验证消息还可包括所述应用客户端期望获取的数据访问权限列表。

为了保证安全，所述第二路径可基于SSL(Secure Sockets Layer，安全套接层)协议，进一步地，所述第二路径可基于HTTPS(Hyper Text Transfer Protocol over SecureSocket Layer,安全超文本传输协议)协议。例如，基于所述第二路径发送的第二验证消息可为基于HTTPS发送的HTTPS请求。为了防止应用客户端利用所述第二路径恶意获取平台方的用户数据，应用客户端需要针对所述第二路径作必要的安全防护以提升其他客户端利用该路径的难度和成本，例如提供套接字SOCKET接口代替HTTP(Hypertext TransferProtocol,超文本传输协议)接口，对所述第二验证消息作相应的对称加密或非对称加密，增加防跨站请求伪造攻击处理策略等。

S104、所述平台服务端根据所接收的所述身份标识从数据库中读取注册过程中提交的身份认证信息，并通过预设签名算法对所提取的身份认证信息进行签名生成签名值。

所述平台服务端从身份标识和所述身份认证信息之间的映射关系中，根据所接收的所述身份标识提取身份认证信息。

为了进一步提高安全性能，作为优选，本操作还可增加一个过期判定的操作，以确定是否过期。具体为：平台服务端对接收到的第二验证消息中的网络时间戳进行过期验证，判断当前***时间戳与所述网络时间戳的差值是否在预设阀值内，若不在预设阀值的范围之内，则认为是一个重放攻击请求，直接返回相应错误信息即可，否则继续下一步骤。

S105、如果所述平台服务端验证所生成的签名值与所接收的签名值一致，则根据所述随机字符串从所记录的所述映射关系中提取对应的终端标识，并根据所述终端标识获取对应的用户账号信息。

S106、所述平台服务端根据所述用户账号信息和所述身份认证信息生成授权访问令牌，发送给所述应用客户端。

平台服务端可将生成授权访问令牌通过所述第一路径或所述第二路径进行发送给所述应用客户端，由于数据大小问题和对收到的数据使用便捷性问题，优选为通过所述第二路径进行发送。

第三方应用的应用客户端从平台服务端获取到的授权访问令牌，即可通过所述授权访问令牌调用平台方提供的OpenAPI接口来获取相应的云能力和用户数据。

作为优选，所述第二验证消息还包括所述应用客户端期望数据访问权限列表，本操作还可包括：根据所述用户账号信息、所述身份认证信息和期望数据访问权限列表生成授权访问令牌。

进一步地，如果根据所述终端标识获取对应的用户账号信息的操作失败，则根据所述终端标识注册获取新的用户账号信息。即，如果不存在所述账号信息，可以根据通过所述第一路径获取的终端标识自动注册一个用户账号。

进一步地，所述访问令牌中还可包含所述平台服务端为所述应用客户端开通的权限信息和/或期望获取的数据访问权限列表。需要说明的是，本实施例可适用于一个应用客户端请求获取一个或一个以上的开放平台的授权访问令牌情况。

需要说明的是，本实施例中所述第一路径和所述第二路径为两条不同的路径，应用客户端分别通过两条路径发送验证消息的时机可以相同，也可以先后不同，只需要满足操作S105中根据所述随机字符串从所记录的所述映射关系中提取对应的终端标识的步骤之前，操作S102已完成即可，优选为第一验证消息和第二验证消息同时发送，或第一验证消息比第二验证消息先发送。

本发明实施例提出的技术方案通过平台服务端分别通过两条路径从应用客户端发送包括随机字符串的第一验证消息，包括所述随机字符串、签名值和身份标识的第二验证消息，如果所述平台服务端验证根据所接收的签名值所生成的签名值与所接收的签名值一致，则根据所述随机字符串获取对应的用户账号信息，并根据所述用户账号信息和所述身份认证信息生成授权访问令牌，发送给所述应用客户端，能使得用户对授权过程无感知，并能进一步提高授权的安全性。

实施例二

图2是本发明实施例二提供的应用客户端的平台授权方法流程图，本实施例可适用于应用客户端请求调用开放平台中需要终端用户授权的OpenAPI时获取授权访问令牌情况，其中，所述应用客户端可以为安装于终端上的应用软件、即时通讯客户端、游戏娱乐客户端或终端上的***工具，即第三方应用。该方法可以由应用客户端来执行，如图2所示，本实施例所述的应用客户端的平台授权方法包括：

S201、应用客户端通过第一路径向平台服务端发送第一验证消息，所述第一验证消息包括随机字符串。

为了防止应用客户端恶意获取平台方的用户数据，通过第一路径发送的第一验证消息优选为通过调用***提供的***接口向平台服务端发送的第一验证消息，例如可通过短信网关转发所述第一验证消息。

作为优选，所述应用客户端生成随机字符串，并创建包含所述随机字符串且目的地址为所述平台服务端的验证短信。所述应用客户端发送所述验证短信至短信网关，指示所述短信网关将所述验证短信进行协议转换，生成包含所述随机字符串的第一验证消息，发送给所述平台服务端，所述平台服务端接收后提取所述随机字符串和终端标识。短信网关可以从验证短信中提取短信发送方的终端标识，携带在第一验证消息中进行发送，则所述平台服务端接收后提取所述随机字符串和终端标识。

S202、应用客户端通过预设签名算法对身份认证信息进行签名生成签名值。

S203、应用客户端通过第二路径向所述平台服务端发送第二验证消息，所述第二验证消息包括所述随机字符串，所述签名值，以及注册过程中所述身份认证信息在所述平台服务端对应的身份标识。

进一步地，所述第二验证消息还可包括所述应用客户端期望获取的数据访问权限列表，用于应用客户端向平台服务端明确提出需要申请的数据的访问权限的数据范围。

例如，所述第二路径可为基于HTTPS协议发送的HTTPS请求。为了防止应用客户端利用所述第二路径恶意获取平台方的用户数据，应用客户端需要针对所述第二路径作必要的安全防护以提升其他客户端利用该路径的难度和成本，例如提供SOCKET接口代替HTTP接口，对所述第二验证消息作相应的对称加密或非对称加密，增加防跨站请求伪造攻击处理策略等。

S204、应用客户端接收所述平台服务端发送的授权访问令牌。

需要说明的是，本实施例中所述第一路径和所述第二路径为两条不同的路径，应用客户端分别通过两条路径发送验证消息的时机可以相同，也可以先后不同，只需要满足平台服务端根据所述随机字符串从所记录的所述映射关系中提取对应的终端标识的操作之前，通过第一路径向平台服务端发送第一验证消息成功即可，优选为第一验证消息和第二验证消息同时发送，或第一验证消息比第二验证消息先发送。

本发明实施例提出的技术方案通过应用客户端分别通过两条路径向平台服务端发送包括随机字符串的第一验证消息，和包括所述随机字符串、签名值和身份标识的第二验证消息，以供所述平台服务端返回授权访问令牌，能进一步提高授权的安全性，并使得用户对授权过程无感知。

实施例三

图3是本发明实施例三所述的平台服务端的结构框图，如图3所示，本实施例所述的平台服务端包括：

第一验证消息接收单元301，用于接收应用客户端通过第一路径发送的第一验证消息并获取所述应用客户端所在终端的终端标识，所述第一验证消息包括随机字符串；

映射关系记录单元302，用于对所接收的随机字符串与所述终端标识之间的映射关系进行记录；

第二验证消息接收单元303，用于接收所述应用客户端通过第二路径发送的第二验证消息，所述第二验证消息包括所述随机字符串，所述应用客户端通过预设签名算法对身份认证信息进行签名生成的签名值，以及注册过程中所述身份认证信息在所述平台服务端对应的身份标识；

信息提取和签名单元304，用于根据所接收的所述身份标识从数据库中读取注册过程中提交的身份认证信息，并通过预设签名算法对所提取的身份认证信息进行签名生成签名值；

账号信息获取单元305，用于如果验证所生成的签名值与所接收的签名值一致，则根据所述随机字符串从所记录的所述映射关系中提取对应的终端标识，并根据所述终端标识获取对应的用户账号信息；

授权单元306，用于根据所述用户账号信息和所述身份认证信息生成授权访问令牌，发送给所述应用客户端。

进一步地，所述第一验证消息接收单元301具体用于：

接收所述应用客户端通过短信网关转发的第一验证消息，其中，所述第一验证消息为所述短信网关根据所述应用客户端发送的验证短信进行协议格式转换后的消息，所述验证短信中携带有所述随机字符串；

从所述第一验证消息中获取所述应用客户端所在终端的终端标识，所述终端标识为所述短信网关从所述验证短信中提取的短信发起方终端标识。

进一步地，所述第二路径可基于SSL协议，更进一步地，所述第二路径可基于HTTPS协议。

进一步地，所述账号信息获取单元305还包括时间戳判定子单元，用于在通过预设签名算法对所提取的身份认证信息进行签名生成签名值之后，如果判断所述第二验证消息包括的网络时间戳与当前***时间戳之间的差值在预设阈值内，则触发后续操作。相应的，该网络时间戳为应用客户端在发送第二验证消息时，将当前时间戳作为网络时间戳，添加到第二消息中。

进一步地，所述身份认证信息包括包名和包签名。

进一步地，所述终端的标识为手机号。

本实施例提供的应用客户端可执行本发明实施例一所提供的应用客户端的平台授权方法，具备执行方法相应的功能模块和有益效果。

实施例四

图4是本发明实施例四所述的应用客户端的结构框图，如图4所示，本实施例所述的应用客户端包括：

第一验证消息发送单元401，用于通过第一路径向平台服务端发送第一验证消息，所述第一验证消息包括随机字符串，以供所述平台服务端对所述随机字符串与所述应用客户端所在终端的终端标识之间的映射关系进行记录；

签名单元402，用于通过预设签名算法对身份认证信息进行签名生成签名值；

第二验证消息发送单元403，用于通过第二路径向所述平台服务端发送第二验证消息，所述第二验证消息包括所述随机字符串，所述签名值，以及注册过程中所述身份认证信息在所述平台服务端对应的身份标识，以供所述平台服务端根据所述身份标识从数据库中读取注册过程中提交的身份认证信息，并通过预设签名算法对所提取的身份认证信息进行签名生成签名值，如果所述平台服务端验证所生成的签名值与所接收的签名值一致，则根据所述随机字符串从所记录的所述映射关系中提取对应的终端标识，并根据所述终端标识获取对应的用户账号信息，以及根据所述用户账号信息和所述身份认证信息生成授权访问令牌；

授权访问令牌接收单元404，用于接收所述平台服务端发送的授权访问令牌。

进一步地，所述第一验证消息发送单元401具体用于：生成随机字符串，并创建包含所述随机字符串且目的地址为所述平台服务端的验证短信；以及，

送所述验证短信至短信网关，以指示所述短信网关将所述验证短信进行协议转换并提取所述验证短信的短信发起方终端标识，生成包含所述随机字符串的第一验证消息，向所述平台服务端发送。

所述第二验证消息发送单元403具体用于：基于HTTPS向所述平台服务端发送包含第二验证消息的HTTPS请求。

本实施例提供的应用客户端可执行本发明实施例二所提供的应用客户端的平台授权方法，具备执行方法相应的功能模块和有益效果。

实施例五

图5是本发明实施例五所述的平台授权方法中，应用客户端的平台授权方法中平台服务端与应用客户端的交互示意图，本实施例主要应用在安卓***的手机应用程序(下称应用客户端)中，基于由平台服务端、应用客户端和短信网关组成的***。如图5所示，本实施例所述的方法包括：

501、应用客户端向平台服务端发送内含随机字符串的第一验证消息。

即应用客户端向平台服务端发送短信，应用客户端按照平台方要求的格式生成一个包含随机的的字符串的短信内容串，并发送到通过调用***提供的直接发送短信的接口，将所述短信内容串发送到平台方提供的短信网关，以指示所述接口将所述验证短信进行协议转换并提取所述验证短信的短信发起方终端标识，生成包含所述随机字符串的第一验证消息，向所述平台服务端发送。

502、短信网关向平台服务端发送客户端所在终端标识和第一验证消息。

短信网关将短信内容串及发送短信的手机号基于HTTPS通过发送HTTPS请求转发给平台方的平台服务端；

平台服务端接收到短信内容串和手机号后，往缓存***存储一条所述短信内容串到手机号的映射关系数据，并设一定的过期时间(一般时间较短，例如1分钟)。

503、平台服务端向应用客户端发送第二验证消息，内含随机字符串，签名值，以及身份标识。

即通过互联网发送验证信息。应用客户端在短信发送成功后，调用平台方提供的软件开发工具包SDK(Software Development Kit，软件开发工具包)包提供的接口来获取当前应用客户端的身份认证信息，所述身份认证信息是根据应用客户端的包名、包签名、当前网络时间戳、预设的固定密钥等信息进行对称加密生成的加密串，为了防止具体加密算法被第三方获取，从而影响本技术方案的安全性，整个签名算法(包括应用客户端包名、包签名、预设的密钥等数据的获取)都通过JNI(Java Native Interface,JAVA本地调用)技术由C/C++代码层实现。

应用客户端将所述短信内容串、应用客户端身份认证信息以及期望获取的数据访问权限列表、应用客户端在平台方注册时分配的应用ID(即注册过程中所述身份认证信息在所述平台服务端对应的身份标识)发送给平台方的授权服务器以获取访问令牌，为了保证安全性，本次网络请求一般需要基于SSL(SecureSockets Layer安全套接层)，如基于HTTPS协议向所述平台服务端发送包含第二验证消息的HTTPS请求。；

此后，平台服务端接收到请求后，对第二验证消息中的网络时间戳进行过期验证，判断当前***时间戳与所述网络时间戳的差值是否在预设阀值内，若不在反之内，则认为是一个重放攻击请求，直接返回相应错误信息即可，否则继续下一步骤。

平台服务端根据所述应用ID从数据库中读取所述应用客户端在平台上注册时提交应用客户端包名和包签名、平台方给所述应用客户端干预开通的权限信息，并判断读取到的应用客户端包名、包签名与从应用客户端身份认证信息中解密得到的应用客户端包名、包签名的值是否一致，若不一致，则认为是一个伪造攻击请求，直接返回相应错误信息即可，否则继续下一步骤；

平台服务端根据所述短信内容串从所述缓存***中读取出对应的手机号，并根据所述手机号获取对应的用户账号信息(如果不存在所述账号信息，则根据手机号自动注册一个用户账号)，然后根据所述用户账号信息、所述应用ID、平台方给所述应用客户端开通的权限信息、以及所述数据访问权限列表等数据生成一个授权访问令牌。

504，平台服务端向应用客户端返回所生成的授权访问令牌。

OpenAPI是服务型网站常见的一种应用，网站的服务商将自己的网站服务封装成一系列API(Application Programming Interface，应用编程接口)开放出去，供第三方开发者使用，所开放的API就被称作OpenAPI。应用客户端获取到授权访问令牌后，即可通过访问令牌调用平台方提供的OpenAPI接口来获取相应的云能力和用户数据。

由于在用户触发手机号一键授权请求后，整个过程都不会出现任何其他的用户界面，因此，如果有多个平台都支持该技术，则应用客户端就可以通过多次接口调用的方式来完成每个平台的授权访问令牌的获取，从而解决前面提到的第四方面的问题。

实施例六

图6是本发明实施例六提供的平台授权方法流程图，本实施例可适用于应用客户端请求调用开放平台中需要终端用户授权的OpenAPI时获取授权访问令牌情况，其中，所述应用客户端可以为安装于终端上的应用软件、即时通讯客户端、游戏娱乐客户端或终端上的***工具，即第三方应用。该方法由平台服务端和应用客户端来执行，如图6所示，本实施例所述的平台授权方法包括。

S601、应用客户端通过第一路径向平台服务端发送第一验证消息，所述第一验证消息包括随机字符串。

S602、平台服务端接收应用客户端通过第一路径发送的第一验证消息并获取所述应用客户端所在终端的终端标识。

S603、所述平台服务端对所接收的随机字符串与所述终端标识之间的映射关系进行记录。

S604、应用客户端通过预设签名算法对身份认证信息进行签名生成签名值。

S605、应用客户端通过第二路径向所述平台服务端发送第二验证消息，所述第二验证消息包括所述随机字符串，所述签名值，以及注册过程中所述身份认证信息在所述平台服务端对应的身份标识。

S606、所述平台服务端接收所述应用客户端通过第二路径发送的第二验证消息。

S607、所述平台服务端根据所接收的所述身份标识从数据库中读取注册过程中提交的身份认证信息，并通过预设签名算法对所提取的身份认证信息进行签名生成签名值。

S608、如果所述平台服务端验证所生成的签名值与所接收的签名值一致，则根据所述随机字符串从所记录的所述映射关系中提取对应的终端标识，并根据所述终端标识获取对应的用户账号信息。

S609、所述平台服务端根据所述用户账号信息和所述身份认证信息生成授权访问令牌，发送给所述应用客户端。

S610、应用客户端接收所述平台服务端发送的授权访问令牌。

本实施例提出的技术方案中各操作的说明详见实施例一和实施例二的对应操作，具有实施例一和实施例二的有益效果。

本发明实施例还提供了一种平台授权***，包括：本发明任意实施例所提供的平台服务端和本发明任意实施例所提供的应用客户端。

以上实施例提供的技术方案中的全部或部分内容可以通过软件编程实现，其软件程序存储在可读取的存储介质中，存储介质例如：计算机中的硬盘、光盘或软盘。

注意，上述仅为本发明的较佳实施例及所运用技术原理。本领域技术人员会理解，本发明不限于这里所述的特定实施例，对本领域技术人员来说能够进行各种明显的变化、重新调整和替代而不会脱离本发明的保护范围。因此，虽然通过以上实施例对本发明进行了较为详细的说明，但是本发明不仅仅限于以上实施例，在不脱离本发明构思的情况下，还可以包括更多其他等效实施例，而本发明的范围由所附的权利要求范围决定。

Claims (18)

1.一种平台服务端的平台授权方法，其特征在于，包括：

平台服务端接收应用客户端通过第一路径发送的第一验证消息并获取所述应用客户端所在终端的终端标识，所述第一验证消息包括随机字符串；

所述平台服务端对所接收的随机字符串与所述终端标识之间的映射关系进行记录；

所述平台服务端接收所述应用客户端通过第二路径发送的第二验证消息，所述第二验证消息包括所述随机字符串，所述应用客户端通过预设签名算法对身份认证信息进行签名生成的签名值，以及注册过程中所述身份认证信息在所述平台服务端对应的身份标识；

所述平台服务端根据所接收的所述身份标识从数据库中读取注册过程中提交的身份认证信息，并通过预设签名算法对所提取的身份认证信息进行签名生成签名值；

如果所述平台服务端验证所生成的签名值与所接收的签名值一致，则根据所述随机字符串从所记录的所述映射关系中提取对应的终端标识，并根据所述终端标识获取对应的用户账号信息；

所述平台服务端根据所述用户账号信息和所述身份认证信息生成授权访问令牌，发送给所述应用客户端。

2.根据权利要求1所述的方法，其特征在于，平台服务端接收应用客户端通过第一路径发送的第一验证消息并获取所述应用客户端所在终端的终端标识包括：

所述平台服务端接收所述应用客户端通过短信网关转发的第一验证消息，其中，所述第一验证消息为所述短信网关根据所述应用客户端发送的验证短信进行协议格式转换后的消息，所述验证短信中携带有所述随机字符串；

所述平台服务端从所述第一验证消息中获取所述应用客户端所在终端的终端标识，所述终端标识为所述短信网关从所述验证短信中提取的短信发起方终端标识。

3.根据权利要求1所述的方法，其特征在于：所述第二路径为基于安全超文本传输协议HTTPS发送的HTTPS请求。

4.根据权利要求1所述的方法，其特征在于，所述第二验证消息还包括网络时间戳，如果所述平台服务端判断接收的网络时间戳与当前***时间戳之间的差值在预设阈值内，则触发后续操作。

5.根据权利要求1-4任一所述的方法，其特征在于，所述平台服务端根据所述用户账号信息和所述身份认证信息生成授权访问令牌包括：

所述平台服务端根据所述用户账号信息、所述身份认证信息和所述第二验证消息所包括的期望数据访问权限列表生成授权访问令牌。

6.根据权利要求1-4任一所述的方法，其特征在于，所述身份认证信息包括包名和包签名。

7.一种应用客户端的平台授权方法，其特征在于，包括：

应用客户端通过第一路径向平台服务端发送第一验证消息，所述第一验证消息包括随机字符串，以供所述平台服务端对所述随机字符串与所述应用客户端所在终端的终端标识之间的映射关系进行记录；

应用客户端通过预设签名算法对身份认证信息进行签名生成签名值；

应用客户端通过第二路径向所述平台服务端发送第二验证消息，所述第二验证消息包括所述随机字符串，所述签名值，以及注册过程中所述身份认证信息在所述平台服务端对应的身份标识，以供所述平台服务端根据所述身份标识从数据库中读取注册过程中提交的身份认证信息，并通过预设签名算法对所提取的身份认证信息进行签名生成签名值，如果所述平台服务端验证所生成的签名值与所接收的签名值一致，则根据所述随机字符串从所记录的所述映射关系中提取对应的终端标识，并根据所述终端标识获取对应的用户账号信息，以及根据所述用户账号信息和所述身份认证信息生成授权访问令牌；

应用客户端接收所述平台服务端发送的授权访问令牌。

8.根据权利要求7所述的方法，其特征在于，应用客户端通过第一路径向平台服务端发送第一验证消息包括：

所述应用客户端生成随机字符串，并创建包含所述随机字符串且目的地址为所述平台服务端的验证短信；

所述应用客户端发送所述验证短信至短信网关，以指示所述短信网关将所述验证短信进行协议转换并提取所述验证短信的短信发起方终端标识，生成包含所述随机字符串的第一验证消息，向所述平台服务端发送。

9.根据权利要求7或8所述的方法，其特征在于，应用客户端通过第二路径向所述平台服务端发送第二验证消息具体包括：

所述应用客户端基于安全超文本传输协议HTTPS向所述平台服务端发送包含第二验证消息的HTTPS请求。

10.根据权利要求7所述的方法，其特征在于，应用客户端通过第二路径向所述平台服务端发送第二验证消息的操作具体包括：应用客户端在发送所述第一验证消息的同时或发送所述第一验证消息成功之后，通过第二路径向所述平台服务端发送第二验证消息。

11.一种平台授权方法，其特征在于，包括：

应用客户端通过第一路径向平台服务端发送第一验证消息，所述第一验证消息包括随机字符串；

平台服务端接收应用客户端通过第一路径发送的第一验证消息并获取所述应用客户端所在终端的终端标识；

所述平台服务端对所接收的随机字符串与所述终端标识之间的映射关系进行记录；

应用客户端通过预设签名算法对身份认证信息进行签名生成签名值；

应用客户端通过第二路径向所述平台服务端发送第二验证消息，所述第二验证消息包括所述随机字符串，所述签名值，以及注册过程中所述身份认证信息在所述平台服务端对应的身份标识；

所述平台服务端接收所述应用客户端通过第二路径发送的第二验证消息；

所述平台服务端根据所接收的所述身份标识从数据库中读取注册过程中提交的身份认证信息，并通过预设签名算法对所提取的身份认证信息进行签名生成签名值；

如果所述平台服务端验证所生成的签名值与所接收的签名值一致，则根据所述随机字符串从所记录的所述映射关系中提取对应的终端标识，并根据所述终端标识获取对应的用户账号信息；

所述平台服务端根据所述用户账号信息和所述身份认证信息生成授权访问令牌，发送给所述应用客户端；

应用客户端接收所述平台服务端发送的授权访问令牌。

12.一种平台服务端，其特征在于，包括：

第一验证消息接收单元，用于接收应用客户端通过第一路径发送的第一验证消息并获取所述应用客户端所在终端的终端标识，所述第一验证消息包括随机字符串；

映射关系记录单元，用于对所接收的随机字符串与所述终端标识之间的映射关系进行记录；

第二验证消息接收单元，用于接收所述应用客户端通过第二路径发送的第二验证消息，所述第二验证消息包括所述随机字符串，所述应用客户端通过预设签名算法对身份认证信息进行签名生成的签名值，以及注册过程中所述身份认证信息在所述平台服务端对应的身份标识；

信息提取和签名单元，用于根据所接收的所述身份标识从数据库中读取注册过程中提交的身份认证信息，并通过预设签名算法对所提取的身份认证信息进行签名生成签名值；

账号信息获取单元，用于如果验证所生成的签名值与所接收的签名值一致，则根据所述随机字符串从所记录的所述映射关系中提取对应的终端标识，并根据所述终端标识获取对应的用户账号信息；

授权单元，用于根据所述用户账号信息和所述身份认证信息生成授权访问令牌，发送给所述应用客户端。

13.根据权利要求12所述的平台服务端，其特征在于，所述第一验证消息接收单元具体用于：

接收所述应用客户端通过短信网关转发的第一验证消息，其中，所述第一验证消息为所述短信网关根据所述应用客户端发送的验证短信进行协议格式转换后的消息，所述验证短信中携带有所述随机字符串；

从所述第一验证消息中获取所述应用客户端所在终端的终端标识，所述终端标识为所述短信网关从所述验证短信中提取的短信发起方终端标识。

14.根据权利要求12所述的平台服务端，其特征在于：

所述账号信息获取单元还包括时间戳判定子单元，用于在通过预设签名算法对所提取的身份认证信息进行签名生成签名值之后，如果判断所述第二验证消息包括的网络时间戳与当前***时间戳之间的差值在预设阈值内，则触发后续操作。

15.根据权利要求12-14任一所述的平台服务端，其特征在于：

所述第二路径为基于安全超文本传输协议HTTPS发送的HTTPS请求；

所述身份认证信息包括包名和包签名；

所述终端的标识为手机号。

16.一种应用客户端，其特征在于，包括：

第一验证消息发送单元，用于通过第一路径向平台服务端发送第一验证消息，所述第一验证消息包括随机字符串，以供所述平台服务端对所述随机字符串与所述应用客户端所在终端的终端标识之间的映射关系进行记录；

签名单元，用于通过预设签名算法对身份认证信息进行签名生成签名值；

第二验证消息发送单元，用于通过第二路径向所述平台服务端发送第二验证消息，所述第二验证消息包括所述随机字符串，所述签名值，以及注册过程中所述身份认证信息在所述平台服务端对应的身份标识，以供所述平台服务端根据所述身份标识从数据库中读取注册过程中提交的身份认证信息，并通过预设签名算法对所提取的身份认证信息进行签名生成签名值，如果所述平台服务端验证所生成的签名值与所接收的签名值一致，则根据所述随机字符串从所记录的所述映射关系中提取对应的终端标识，并根据所述终端标识获取对应的用户账号信息，以及根据所述用户账号信息和所述身份认证信息生成授权访问令牌；

授权访问令牌接收单元，用于接收所述平台服务端发送的授权访问令牌。

17.根据权利要求16所述的应用客户端，其特征在于，所述第一验证消息发送单元具体用于：生成随机字符串，并创建包含所述随机字符串且目的地址为所述平台服务端的验证短信；以及，

发送所述验证短信至短信网关，以指示所述短信网关将所述验证短信进行协议转换并提取所述验证短信的短信发起方终端标识，生成包含所述随机字符串的第一验证消息，向所述平台服务端发送；

所述第二验证消息发送单元具体用于：基于安全超文本传输协议HTTPS向所述平台服务端发送包含第二验证消息的HTTPS请求。

18.一种平台授权***，其特征在于，包括：

权利要求12-15任一所述的平台服务端和权利要求16-17任一所述的应用客户端。