[发明专利]认证方法及其认证系统

说明书

技术领域

本发明涉及一种认证方法及其认证系统，特别是涉及一种客户端和服务器之间的认证方法及其认证系统。

背景技术

互联网中，基于浏览器的Web应用在人们的生产和生活中发挥着越来越重要的作用。其中就包含很多对安全性有相当要求的Web应用，这些应用只接受认证后的用户接入。现在最广泛使用的用户认证方式是基于用户名/密码的认证方式，也就是说用户每次接入相关Web应用时，需要输入正确的用户名/密码对，网络侧的服务器会对相关的用户名/密码进行认证，只有通过认证的用户才能够访问Web应用。

但在一些使用场景中，Web应用的安全认证策略是基于设备的，即需要接入的设备是通过认证的。而设备本身能够被多个用户使用，而单一用户也能够使用多个设备接入服务器的Web应用，此时若使用用户名/密码的认证时，从根本上无法确定一个用户名/密码是否与一具体设备之间关联，而且同一设备可能有不同用户使用，或者一个用户使用多个设备，此时就需要用户获得多个设备的用户名/密码设置，这就增加了安全信息的泄露，也给用户带来了大量记忆负担，减低了用户使用体验。

发明内容

本发明要解决的技术问题是为了克服现有技术中采用用户名/密码方式的认证模式导致的安全信息泄露以及使用体验差的缺陷，提供一种认证方法及其认证系统，通过采用设备激活的方式，使得设备和服务器之间具有唯一的关联，所以极大地简化了用户的使用，并且还确保了用户信息的安全。

本发明是通过下述技术方案来解决上述技术问题的：

本发明提供了一种认证方法，其特点是，所述认证方法包括以下步骤：

S₁、用户从一服务器获取一设备激活凭证；

S₂、所述服务器验证从一客户端的浏览器接收的所述设备激活凭证是否有效，若有效则进入步骤S₃，否则，流程结束；

S₃、所述服务器生成一设备认证标志，并回传至所述客户端；

S₄、所述客户端的浏览器发送包含所述设备认证标志的一访问请求至所述服务器；

S₅、所述服务器验证所述设备认证标志是否有效，若有效，则进入步骤S₆，否则流程结束；

S₆、所述客户端的浏览器和所述服务器的Web（网络、互联网）应用之间建立会话。

其中本发明通过从服务器获得设备激活凭证的方法，避免了用户通过用户名/密码的方式在服务器端进行认证，因为不但为用户提供了便利也避免了用户信息的泄露。

本发明中所述服务器验证所述设备激活凭证是否为所述服务器发送的，从而判断所述设备激活凭证是否有效，此外所述服务器还可以进一步地验证所述设备激活凭证是否处于一有效时限内，从而进一步地避免“休眠”设备激活凭证的存在，节省所述服务器的存储空间以及相关的设置等。

本发明中所述服务器验证所述访问请求中所述设备认证标志是否是所述服务器产生的，从而判断是否允许所述浏览器访问所述服务器的Web应用。

而且本发明中所述Web应用是指现有技术中浏览器/服务器架构（Browser/Server,简称B/S）的应用程序，并且Web应用的真正核心主要是对数据库的数据进行处理，从而使得所述浏览器/服务器架构能够很好地应用在广域网上。

此外本发明中所述客户端的浏览器和所述服务器建立会话后，所述客户端的浏览器和所述服务器之间就能有效地进行数据通信。其中所述会话为通信领域的常用术语，此处就不再详细赘述。

较佳地，所述步骤S₂为：

S₂₁、所述服务器验证从所述客户端的浏览器接收的所述设备激活凭证是否为所述服务器发送的设备激活凭证，若是则进入步骤S₂₂，否则，流程结束；

S₂₂、所述服务器验证接收所述设备激活凭证的当前时间是否在一有效时限内，若是则进入步骤S₃，否则流程结束。

其中所述有效时限由服务器自由设定，而且所述有效时限用于限制所述服务器再次接收到所述设备激活凭证的时间范围，防止僵死的设备激活凭证占用过多的服务器资源，例如，服务器再次接收到所述设备激活凭证时，检测接收的当前时间是否处于预设的一有效时间段内，若是，则所述设备激活凭证还是有效的，否则所述设备激活凭证无效。

此外所述设备激活凭证是经过加密处理的，所以所述服务器一般需要将所述设备激活凭证进行解密，从而便于后续处理。