[发明专利]一种基于API网关的安全认证方法

说明书

本发明公开了一种基于API网关的安全认证方法，API网关接收API认证请求消息并发送到认证授权服务器；认证授权服务器终端用户信息、访问权限和私钥生成标准token通过API网关返回API调用方；公钥配置在API网关上；API调用方携带标准token向API网关发送API业务请求消息；API网关根据公钥对的token信息进行验证，验证成功将API业务请求消息转发给后端服务并将业务应答返回API调用方；验证不成功返回token失效信息给API调用方。利用token机制，结合私钥加密公钥解密的特征，在API网关上实现一套通用的身份认证和授权，满足API提供者不同的身份认证协议或标准。

技术领域

本发明涉及网络安全技术领域，具体的说，是一种基于API网关的安全认证方法。

背景技术

现有技术中，SaaS(software-as-a-service，软件即服务)化之后，API网关可以将平台或系统等内部的服务通过Restful(Representational State Transfer，表述性状态传递)API的方式提供给第三方应用，从而使第三方应用能够将不同API服务整合到自己的应用中，衍生出新的服务，有利于促进技术发展与创新。

API网关是为了保护内部服务而设计的一道屏障，通过提供高性能的API托管服务以帮助应用服务的开发人员便捷地对外提供服务，于是API网关将是终端用户访问各服务的统一入口，而终端用户的访问少不了身份认证和授权。很多对外开放的API需要识别请求者的身份，并据此判断所请求的资源是否可以返回给请求者。Token(令牌)就是一种用于身份验证的机制，基于这种机制，应用不需要在服务端保留用户的认证信息或者会话信息，可实现无状态、分布式的Web应用授权。作为平台级API网关，其中的API服务由不同的API提供者提供，各API提供者使用的认证授权协议或标准往往又不一致，API网关平台往往不会集成所有的认证授权协议或标准。如何在API网关平台实现一套通用的身份认证和授权，满足用户个性化安全设置，是实现API网关安全认证方案需要解决的主要问题。

发明内容

本发明的目的在于提供一种基于API网关的安全认证方法，用于解决现有技术中API网关平台没有一套通用的身份认证和授权协议或标准，不能对所有API提供商提供的API服务进行统一鉴权的问题。

本发明通过下述技术方案解决上述问题：

一种基于API网关的安全认证方法，包括：

步骤S1：API网关接收API调用方发送的API认证请求消息，所述API认证请求消息包含终端用户信息；

步骤S2：API网关将API认证请求消息发送到对应的API提供者的认证授权服务器，认证授权服务器配置有API提供者的公钥和私钥，并将公钥配置在API网关上，认证授权服务器验证终端用户信息通过后为终端用户分配访问权限，并根据终端用户信息、访问权限和所述私钥生成标准token，并返回给API网关；API网关将生成的标准token返回API调用方；

步骤S3：API调用方将标准token缓存到本地，API调用方携带所述标准token向API网关发送API业务请求消息；

步骤S4：API网关根据预先配置的API提供者的公钥对解析得到的token信息进行验证，如果验证成功且标准token还在有效期内，进入下一步；如果验证不成功或标准token不在有效期内，返回token失效信息给API调用方；

步骤S5：API网关将接收的API业务请求消息转发给后端服务，并将后端服务返回的业务应答返回API调用方。

所述API调用方收到token失效信息后重新向API网关发送API认证请求消息。

所述终端用户信息包括用户名和用户密码。