[发明专利]基于xAuth协议的授权方法、装置和系统

说明书

本发明公开了一种基于xAuth协议的授权方法、装置和系统，属于计算机技术领域。所述方法包括：接收第三方应用客户端发送的授权请求，所述授权请求携带有终端用户在所述服务提供方中注册的账号和密码；检测所述账号和密码是否安全；若检测结果为所述账号和密码安全，则生成访问令牌；向所述第三方应用客户端发送携带有所述访问令牌的授权响应。本发明解决了背景技术中涉及的基于xAuth协议的授权过程存在安全隐患，终端用户的账号和密码很容易发生泄漏或者被非法盗取的问题；本发明实施例在确保账号和密码的安全性之后才向第三方应用反馈访问令牌，排除了账号和密码的安全性威胁，使得整个授权过程更加安全、可靠。

技术领域

本发明实施例涉及计算机技术领域，特别涉及一种基于xAuth协议的授权方法、装置和系统。

背景技术

oAuth1.0协议是一个开放授权协议，允许第三方应用访问服务提供方中注册的终端用户的某些资源，且不会把终端用户的账号和密码提供给第三方应用。基于oAuth1.0协议的授权方法可分为三步：第一，第三方应用从服务提供方处获取未授权的请求令牌；第二，在服务提供方的引导下，第三方应用由未授权的请求令牌换取经终端用户授权的请求令牌；第三，第三方应用使用经终端用户授权的请求令牌从服务提供方处换取访问令牌，之后第三方应用便可通过访问令牌访问终端用户存放于服务提供方处的某些资源。可以看出，整个授权过程第三方应用并未接触到终端用户在服务提供方中注册的账号和密码，因此可以认为是一个安全的授权过程。

为了简化授权过程，在oAuth1.0协议的基础上出现了xAuth协议。基于xAuth协议的授权过程省去了第三方应用从服务提供方处获取未授权的请求令牌以及在服务提供方的引导下，第三方应用由未授权的请求令牌换取经终端用户授权的请求令牌的步骤，第三方应用直接通过终端用户在服务提供方中注册的账号和密码从服务提供方处换取访问令牌，之后第三方应用便可通过访问令牌访问终端用户存放于服务提供方处的某些资源。在一个具体的例子中，假设第三方应用能够提供打印服务，终端用户使用第三方应用打印存放于服务提供方中的图片、文档之类的资源，则第三方应用引导用户输入在服务提供方中注册的账号和密码，终端用户输入账号和密码之后，第三方应用即可通过用户输入的账号和密码从服务提供方处换取访问令牌，然后通过访问令牌访问终端用户存放于服务提供方处的图片、文档等资源，进而实现下载和打印。

在实现本发明实施例的过程中，发明人发现背景技术至少存在以下问题：虽然xAuth协议简化了整个授权过程，但第三方应用可以直接接触到终端用户在服务提供方中注册的账号和密码，如果第三方应用存在安全漏洞或者第三方应用本身即为非法恶意软件，那么终端用户的账号和密码很容易发生泄漏或者被非法盗取，存在安全隐患。

发明内容

为了解决背景技术中涉及的基于xAuth协议的授权过程存在安全隐患，终端用户的账号和密码很容易发生泄漏或者被非法盗取的问题，本发明实施例提供了一种基于xAuth协议的授权方法、装置和系统。所述技术方案如下：

第一方面，提供了一种基于xAuth协议的授权方法，用于服务提供方所对应的授权服务器中，所述方法包括：

接收第三方应用客户端发送的授权请求，所述授权请求携带有终端用户在所述服务提供方中注册的账号和密码；

检测所述账号和密码是否安全；

若检测结果为所述账号和密码安全，则生成访问令牌；

向所述第三方应用客户端发送携带有所述访问令牌的授权响应。

第二方面，提供了一种基于xAuth协议的授权方法，用于第三方应用客户端中，所述方法包括：

向服务提供方所对应的授权服务器发送授权请求，所述授权请求携带有终端用户在所述服务提供方中注册的账号和密码；