[发明专利]认证授权处理方法及装置

说明书

本发明提供了一种认证授权处理方法及装置，该方法包括：第三方应用服务器或授权服务器向用户代理传送授权信息，其中，用户代理根据用户信息及上述授权信息生成第一认证授权数据，该第一认证授权数据用于授予第三方应用服务器访问存放在除第三方应用服务器外的其它服务提供者的数据资源的权限；第三方应用服务器接收来自用户代理的第一认证授权数据。通过本发明，解决了现有技术中存在认证授权流程复杂，从而导致认证授权处理效率不高的问题，进而达到了不仅认证授权过程简洁，而且提高认证授权处理效率的效果。

技术领域

本发明涉及通信领域，具体而言，涉及一种认证授权处理方法及装置。

背景技术

随着互联网的发展，越来越多的应用依赖于多个网站提供服务，例如，用户可能需要一个提供打印服务的网站去打印他存放在另一个网站的照片；用户可能希望一个社交网站使用自己在另一个网站的通讯录寻找朋友；或者一个第三方应用利用其它多个网站提供的API接口，例如Mashup（混搭）。

OAuth（开放授权）是一个开放标准，允许用户让第三方应用访问该用户在某一网站上存储的私密资源（例如，照片，视频，联系人列表等），而无需将用户名和密码提供给第三方应用。OAuth允许用户提供一个令牌，而不是用户名和密码来访问他们存放在特定服务提供者的数据。每一个令牌授权一个特定的网站（例如，视频编辑网站）在特定的时段（例如，接下来的2小时内）内访问特定的资源（例如，仅仅是某一相册中的视频）。这样，OAuth允许用户授权第三方网站访问他们存储在其他服务提供者上的特定信息，而不必泄露用户的认证凭据，如口令，也不必泄露过多的数据给第三方网站。

OAuth有两个版本，OAuth1.0和OAuth2.0。2010年4月，OAuth1.0协议发表为RFC5849。OAuth2.0（draft-ietf-oauth）是OAuth协议的下一版本，但不向后兼容OAuth1.0。

OAuth1.0涉及三个角色：服务提供方（Service Provider）、用户（即资源主Resource Owner）、第三方应用服务器（即网站客户Client）。其中，服务提供方存储资源主受保护的资源，例如，照片，视频，联系人列表；用户是存放在服务提供方的受保护的资源的拥有者。第三方应用服务器是要访问用户保存在服务提供方的资源的第三方应用，例如，提供照片打印服务的网站。

下面对OAuth1.0进行认证和授权的过程进行说明:

（1）用户访问第三方应用服务器，想操作用户存放在服务提供方的资源；

（2）第三方应用服务器向服务提供方请求一个请求令牌（Request Token）；

（3）服务提供方验证第三方应用服务器的身份后，授予一个请求令牌；

（4）第三方应用服务器获得请求令牌后，将用户的浏览器重定向到服务提供方的授权页面请求用户授权；

（5）用户在服务提供方的网页上输入用户名和密码，然后授权该第三方应用服务器访问所请求的资源，授权成功后，服务提供方将用户的浏览器重定向到第三方应用服务器；

（6）第三方应用服务器根据请求令牌从服务提供方那里请求访问令牌（AccessToken）；

（7）服务提供方根据请求令牌和授权情况授予第三方应用服务器访问令牌；

（8）第三方应用服务器使用获取的访问令牌访问存放在服务提供方的受保护的资源。