[发明专利]一种处理授权的方法、设备和系统

说明书

本发明提供了一种处理授权的方法、设备和系统。该处理授权的方法，包括接收公共客户端发送的第一授权请求，第一授权请求包括公共客户端的客户端标识、请求重定向通用资源标识符URI和第一请求授权范围；根据客户端标识，获取公共客户端的授权信息；获取授权信息中保存的用户的授权凭证对应的授权范围；确定第一请求授权范围超出用户的授权凭证对应的授权范围，则根据所述第一请求授权范围，获取资源的拥有者的授权通知信息；根据第一请求授权范围及授权通知信息，生成授权范围与第一请求授权范围相应的第一访问令牌；根据请求重定向URI，将第一访问令牌发送给公共客户端。本发明提供的方法有效的解决了公共客户端授权过程中的安全隐患问题。

技术领域

本发明涉及通信技术领域，尤其涉及一种处理授权的方法、设备和系统。

背景技术

随着分布式网络服务和云计算的使用越来越多，第三方客户端需要能访问到一些服务器的托管资源。这些资源通常都是受保护的，并且要求使用资源的拥有者的私有证书(典型的证书是用户名和密码)进行身份验证。

在OAuth协议中，第三方客户端并不是直接使用资源的拥有者的私有证书来访问受保护资源，而是得到一个访问令牌——一个代表某一特定作用域(授权范围)、持续时间和其它属性的字符串。访问令牌由授权设备在资源的拥有者的授意下分发给第三方客户端。第三方客户端使用访问令牌来访问由资源服务器托管的受保护资源，但是该访问令牌有效期通常较短，过期后则无法继续访问受保护的资源。如果需要继续访问受保护的资源，则需要重新申请访问令牌。

现有的第三方客户端根据其安全能力差异，一般可以分为私密客户端(Confidential client)和公共客户端(Public client)。现有技术对不同类型的客户端定义了不同授权流程，其中隐式许可(Implicit Grant)方式是面向公共客户端定义的。

在隐式许可流程中，公共客户端在重新申请访问令牌时，授权设备在根据重定向通用资源标识符(Uniform Resource Identifier,URI)验证第三方客户端身份合法，并且根据客户端标识确定授权设备之前已经为该公共客户端生成过访问令牌后，则根据公共方客户端的授权请求中的请求授权范围生成新的访问令牌，并返回给所述公共客户端。因此，一个恶意的公共方客户端可能在首次授权请求时诱使资源的拥有者许可一个低等级授权范围，而在后续授权请求时申请高等级授权范围，从而轻易地实现权限提升。例如，用户A在首次授权时许可了某公共客户端访问其QQ消息记录，在后续授权请求时该公共客户端又请求使用QQ发送消息的权限。此时授权设备能根据重定向URI验证该公共客户端的合法性，并且也能查询到用户A已经对该公共客户端有过授权，所以该公共客户端将获得使用QQ发送消息权限的访问令牌，这样该公共客户端就在未得到用户许可的情况下提升了其获取的授权范围。这也使现有技术在公共客户端实现授权时存在较大的安全隐患。

发明内容

本发明提供了一种针对公共客户端的处理授权的方法、设备和系统，以解决在对公共客户端进行授权时存在安全隐患的技术问题。

第一方面，本发明提供一种处理授权的方法，包括：接收所述公共客户端发送的第一授权请求，所述第一授权请求包括所述公共客户端的客户端标识、请求重定向通用资源标识符URI和第一请求授权范围；

根据所述客户端标识，获取所述公共客户端的授权信息；

获取所述授权信息中保存的所述用户的授权凭证对应的授权范围；

确定所述第一请求授权范围超出所述用户的授权凭证对应的授权范围，则根据所述第一请求授权范围，获取所述资源的拥有者的授权通知信息；

根据所述第一请求授权范围及所述授权通知信息，生成授权范围与所述第一请求授权范围相应的第一访问令牌；

根据所述请求重定向URI，将所述第一访问令牌发送给所述公共客户端。