[发明专利]一种身份认证方法、装置及客户端

说明书

本发明公开了一种身份认证方法、装置及客户端，该身份认证方法包括：客户端向服务器发送用于获取验证码的请求及对应该请求的参数信息；服务器根据该请求生成验证码；客户端根据验证码与参数信息进行运算，得到第一运算结果，作为当前API请求的签名；服务器根据参数信息与客户端存储在服务器中的客户密钥进行运算得到第二运算结果；比较第二运算结果与API请求中包含的签名是否相同；根据比较结果生成身份认证结果。这样，就简化了身份认证的过程，同时还提高了身份认证的安全性。

技术领域

本发明涉及通信领域，更具体地，涉及一种身份认证方法、装置及客户端。

背景技术

REST是一种在互联网环境下比较流行的基于HTTP协议的网络应用交互方式。由于这种通讯方式具有高效、轻量级和跨平台等特性，所以也十分适用于移动互联网应用调用服务端网络服务API的场景。

REST的全称是Representational State Transfer，表示表述性无状态传输，由于是基于HTTP协议的，也是无状态的无需session，所以每次请求都得带上身份认证信息。目前做法一般是基于API密钥和服务访问密钥机制的数字签名认证方式。

一般来说在用户在可以调用REST接口之前，首先需要向REST接口开放方申请接入许可，包括注册账号、申请资源访问权限等，当获准后会收到两个密钥：API密钥和服务访问密钥。其中API密钥相当于用户标识，系统会通过它区分不同用户，而服务访问密钥相当于提供给用户的密码，在接口使用过程中都不会在网络中传输，只有用户和应用系统知道。整个获取和使用密钥的过程比较繁琐，而且服务访问密钥容易泄漏安全性不高。

发明内容

本发明的一个目的是提供一种用于解决上述技术问题之一的新技术方案。

根据本发明的第一方面，提供了一种用于客户端的身份认证方法，包括：

向服务器的发送用于获取验证码的请求及对应所述请求的参数信息；

接收所述服务器根据所述请求生成的验证码；

根据所述验证码与所述参数信息进行运算，得到第一运算结果，作为当前API请求的签名；

将所述当前API请求发送至所述服务器。

可选的是，所述参数信息至少包括客户标志、时间和数字签名。

根据本发明的第二方面，提供了一种用于服务器的身份认证方法，包括：

接收客户端发送的用于获取验证码的请求及对应所述请求的参数信息；

根据所述请求生成验证码；

将所述验证码发送至所述客户端；

根据所述参数信息与所述客户端存储在所述服务器中的客户密钥进行运算得到第二运算结果；

接收所述客户端发送的API请求；

比较所述第二运算结果与所述API请求中包含的签名是否相同；

根据比较结果生成身份认证结果。

可选的是，所述方法还包括：

根据所述参数信息判断所述API请求是否在有效时间内，如是，则比较所述第二运算结果与所述API请求中包含的签名是否相同。

根据本发明的第三方面，提供了一种用于客户端的身份认证装置，包括：

第一发送模块，用于向服务器的发送用于获取验证码的请求及对应所述请求的参数信息；

第一接收模块，用于接收所述服务器根据所述请求生成的验证码；