[发明专利]用于安全调用REST API的方法和装置

权利要求书

1.一种用于使得用户能够安全地调用应用服务器处的REST(表 象化状态转移)API(应用编程接口)的方法，所述方法包括：

建立与应用服务器的第一安全通信信道；

向所述应用服务器发送第一请求以调用所述REST API，其中使 用所述第一安全通信信道来发送所述第一请求；

响应于通过认证系统来认证所述用户，从所述认证系统接收安全 令牌；

从所述应用服务器接收随机数和时间戳，其中所述随机数是由应 用服务器生成的伪随机数并且所述时间戳是应用服务器的系统时间；

使用所述安全令牌、随机数和时间戳来确定安全令牌摘要；

向所述应用服务器发送第二请求以调用所述REST API，其中所 述第二请求包括所述安全令牌摘要，并且其中使用所述第一安全通信 信道来发送所述第二请求；

从与调用所述REST API的请求相关联的所述应用服务器接收数 据；以及

存储所述数据。

2.根据权利要求1所述的方法，其中所述安全通信信道是HTTPS (通过安全套接层的超文本传输协议)会话，并且其中使用URL(统 一资源定位符)来指定所述REST API。

3.根据权利要求1所述的方法，其中所述安全令牌是下列之一：

SAML(安全性断言标记语言)令牌；

UniAuth令牌；

非对称密钥；或

Kerberos凭证。

4.根据权利要求1所述的方法，其中确定所述安全令牌摘要包 括：对所述安全令牌、随机数和时间戳应用加密哈希函数。

5.根据权利要求1所述的方法，其中在从所述认证系统接收所述 安全令牌之前，所述方法包括：

从所述应用服务器接收重定向消息，其中所述重定向消息使得客 户端建立与所述认证系统的第二安全通信信道；以及

使用所述第二安全通信信道、通过所述认证系统来认证所述用 户。

6.一种用于使得用户能够安全地调用应用服务器处的REST(表 象化状态转移)API(应用编程接口)的装置，所述装置包括：

用于建立与应用服务器的第一安全通信信道的装置；

用于向所述应用服务器发送第一请求以调用所述REST API的装 置，其中使用所述第一安全通信信道来发送所述第一请求；

用于响应于通过认证系统来认证所述用户，从所述认证系统接收 安全令牌的装置；

用于从所述应用服务器接收随机数和时间戳的装置，其中所述随 机数是由应用服务器生成的伪随机数并且所述时间戳是应用服务器 的系统时间；

用于使用所述安全令牌、随机数和时间戳来确定安全令牌摘要的 装置；

用于向所述应用服务器发送第二请求以调用所述REST API的装 置，其中所述第二请求包括所述安全令牌摘要，并且其中使用所述第 一安全通信信道来发送所述第二请求；

用于从与调用所述REST API的请求相关联的所述应用服务器接 收数据的装置；以及

用于存储所述数据的装置。

7.根据权利要求6所述的装置，其中所述安全通信信道是HTTPS (通过安全套接层的超文本传输协议)会话，并且其中使用URL(统 一资源定位符)来指定所述REST API。

8.根据权利要求6所述的装置，其中所述安全令牌是下列之一：

SAML(安全性断言标记语言)令牌；

UniAuth令牌；

非对称密钥；或

Kerberos凭证。

9.根据权利要求6所述的装置，其中所述用于确定所述安全令牌 摘要的装置包括：用于对所述安全令牌、随机数和时间戳应用加密哈 希函数的装置。