[发明专利]一种会话控制方法及装置

说明书

一种会话控制方法及装置，单点登录服务器接收用户的第一单点登录客户端发送的第一会话注销请求，所述第一会话注销请求包括第一服务票据；所述单点登录服务器获取所述第一服务票据对应的所述身份认证凭证，并删除所述单点登录服务器保存的所述身份认证凭证；所述单点登录服务器将第一会话注销响应发送给所述第一单点登录客户端，以使所述第一单点登录客户端中断第一会话。本发明实施例中单点登录客户端判断出用户存在非法操作时，单点登录服务器能够彻底中断用户会话，从而实现单点登录服务器对用户非法操作的管理。

技术领域

本发明涉及通信领域，尤其涉及一种会话控制方法及装置。

背景技术

单点登录(Single Sign On，SSO)技术利用单点登录服务器的认证功能，使得用户通过SSO服务器的一次认证后，可以访问不同的应用系统，即不同的单点登录客户端，而不需要在各个SSO客户端重新认证，即重新输入用户名和密码。应用系统包括企业资源计划(Enterprise Resource Planning，ERP)系统、自动化办公(Office Automation，OA)系统以及客户关系管理(Customer relationship management，CRM)系统等。

当一个用户通过浏览器第一次访问单点登录客户端时，会被单点登录客户端重定向到单点登录服务器中进行认证。单点登录服务器根据该用户提供的用户名和密码进行身份校验，如果通过校验，则为该用户生成身份认证凭据(Ticket Granting Ticket，TGT)，并根据TGT生成一个服务票据(Service ticket，ST)，将该TGT和ST返回给该用户的浏览器，该用户的浏览器的cookie中会保存该TGT。浏览器将该ST重定向到单点登录客户端，单点登录客户端将该ST发送到单点登录服务器进行校验。ST完成校验后，该用户可以通过浏览器登陆该单点登录客户端。该用户通过浏览器访问其他单点登录客户端时，访问请求中会携带TGT作为身份认证的凭证，其他单点登录客户端会把访问请求中的TGT重定向到单点登录服务器进行校验。单点登录服务器校验TGT仍然有效，可以免用户认证(免输入用户名和密码)，并生成另一个ST返回给该其他单点登录客户端。当用户退出时，通过浏览器向单点登录服务器发送退出请求，单点登录服务器才会自动注销所有单点登录客户端的会话。

然而，传统方式中，单点登录客户端发现用户存在非法操作时，只能删除自己与用户的会话，用户保存在单点登录服务器上的TGT仍然有效，且用户浏览器的cookie中仍然保存有TGT，这样用户仍然可以在免认证(即免输入用户名和密码)的情况下，访问该单点登录客户端或其他单点登录客户端。也就是，该单点登录客户端判断出用户进行非法操作时，并不能彻底中断用户访问应用系统。

发明内容

本申请提供一种会话控制方法和设备，在单点登录客户端判断出用户有非法操作时，可以让单点登录服务器中断用户会话，用户需要重新认证才可以访问该单点登录客户端。

第一方面提供一种会话控制方法，包括：单点登录服务器接收用户的第一单点登录客户端发送的第一会话注销请求，所述第一会话注销请求包括第一服务票据，所述第一服务票据为所述单点登录服务器基于所述用户的身份认证凭证为所述第一单点登录客户端生成，并用于标识所述第一单点登录客户端；所述身份认证凭证为所述单点登录服务器对所述用户的身份进行认证时为所述用户生成，并用于标识所述用户；所述单点登录服务器获取所述第一服务票据对应的所述身份认证凭证，并删除所述单点登录服务器保存的所述身份认证凭证；所述单点登录服务器将第一会话注销响应发送给所述第一单点登录客户端，以使所述第一单点登录客户端中断第一会话。这样，单点登录服务器中断第一会话，从而防止用户非法操作对第一单点登录客户端的攻击，提高单点登录系统的安全性。

在第一方面第一种可能的实现方式中，所述方法还包括：所述单点登录服务器获取所述身份认证凭证对应的第二服务票据；所述单点登录服务器向所述第二服务票据对应的第二单点登录客户端发送会话注销指示消息，以使所述第二单点登录客户端中断第二会话。这样，单点登录服务器中断第二会话，从而进一步提高单点登录系统的安全性。