[发明专利]一种第三方应用接口授权方法和系统

说明书

技术领域

本发明涉及互联网安全技术领域，特别是涉及一种第三方应用接口授权方法和系统。

背景技术

在互联网时代，把网站的服务封装成一系列计算机易识别的数据接口开放出去，供第三方开发者使用，这种行为就叫做开放的应用程序编程接口(Open API)，提供Open API的平台本身就被称为开放平台。

通过开放平台，网站不仅能提供对Web网页的简单访问，还可以进行复杂的数据交互，将它们的Web网站转换为与操作系统等价的开发平台。第三方开发者可以基于这些已经存在的、公开的Web网站而开发丰富多彩的应用。

可见，所谓开放平台，就是首先提供一个基本的服务，然后通过开放自身的接口，使得第三方开发者得以通过运用和组装其接口以及其他第三方服务接口产生新的应用，并且使得该应用能够统一运行在这个平台之上，我们把这样的一种网络服务模式叫做开放平台。开放平台模式成功的要点在于，通过自身服务和第三方应用的互利互惠，提高用户对平台网站的粘性和使用程度。

目前，一般是给第三方应用授权一组凭证，开放平台通过验证此凭证的有效性来给予相应能力。具体的，每个第三方被授予的能力可能有所不同，比如可以执行某些操作、享受某些服务的权限有所不同。每组凭证对应与其相应的应用能力。第三方应用使用给其开放的平台服务时，会首先向开放平台提交凭证，平台服务验证该凭证是否合法有效，比如通过比对凭证是否一致等，确定该第三方是否合法，并在合法时允许其使用被授权的应用能力。

上述关于第三方的安全验证方案，仅验证第三方的合法性，这种方案过于单一，网络安全还存在很多风险。

发明内容

本发明提供了一种第三方应用接口授权方法，该方法能够进行多重验证，进一步提高网络安全。

本发明还提供了一种第三方应用接口授权系统，该系统能够进行多重验证，进一步提高网络安全。

为达到上述目的，本发明的技术方案是这样实现的：

本发明公开了一种第三方应用接口授权方法，该方法包括：

第三方根据分配的认证信息生成第三方密文，根据用户输入的用户信息生成用户身份密文；

第三方向开放平台发起接口请求，并传递所述第三方密文和用户身份密文；

开放平台验证所述第三方密文和用户身份密文，当验证结果为验证通过时，向该第三方授权接口。

上述方法中，所述认证信息包括：密钥和标识信息；

所述第三方根据分配的认证信息生成第三方密文包括：根据密钥和标识，使用高级加密标准AES算法生成第三方密文。

上述方法中，所述用户信息包括：用户名和密码；

所述第三方根据用户输入的用户信息生成用户身份密文包括：根据用户名和密码，使用安全哈希算法SHA1和消息摘要算法MD5生成用户身份密文。

上述方法中，

第三方根据分配的认证信息以及当前的时间戳生成第三方密文；和/或，第三方根据用户输入的用户信息以及当前的时间戳生成用户身份密文；

所述开放平台验证所述第三方密文和用户身份密文还包括：将第三方密文和/或用户身份密文中的时间戳与当前时间进行比较，判断是否过期。

上述方法进一步包括：在将第三方密文和/或用户身份密文中的时间戳与当前时间进行比较，判断为过期时，开放平台向第三方返回本地的当前时间，以便第三方根据开放平台返回的当前时间与开放平台的时间进行同步。

上述方法中，如果所述第三方连续验证失败的次数超过预置次数时，开放平台对该第三方进行图形验证。

当验证结果为验证通过，向该第三方授权接口之后进一步包括：记录该第三方的行为。

本发明还公开了一种第三方应用接口授权系统，该系统包括：开放平台和第三方；所述开放平台包括：接口服务和平台核心服务；

所述第三方，根据分配的凭证认证信息生成第三方密文，根据用户输入的用户信息生成用户身份密文，向所述接口服务发起接口请求；所述接口请求包含所述第三方密文和用户身份密文；

所述接口服务验证所述接口请求中的第三方密文和用户身份密文，并根据验证结果确定是否向该第三方客户端授权接口，如果验证结果为验证通过，则向平台核心服务发送请求；并将平台核心服务反馈的接口服务数据返回第三方。

平台核心服务接收到接口服务的请求后，向接口服务反馈接口服务数据。

上述系统中，所述第三方根据分配的认证信息以及当前的时间戳生成第三方密文；和/或，第三方根据用户输入的用户信息以及当前的时间戳生成用户身份密文；