[发明专利]基于令牌的HTTP无状态协议下信息系统数据接口认证方法

摘要

本发明公开了一种基于令牌的HTTP无状态协议下信息系统数据接口认证方法，属于Web应用保密通信领域。该方法的主要特点是，客户端多次访问数据接口时，只有在第一次访问时，需要提供账号密码等认证信息。服务端通过访问数据库进行身份认证，并向客户端发送令牌信息。后续的访问中，客户端只需要提供在初次访问中获得的令牌信息即可，而服务端只需要进行令牌信息的验证而不再需要访问数据库。基于令牌实现数据接口的访问认证，降低了访问过程中账号密码等身份信息的泄露的可能性，提高了系统的安全性。此外，服务器对同一请求来源进行认证时，不再需要对数据库进行频繁访问操作，降低了系统资源的占用。

主权项

1.基于令牌的HTTP无状态协议下信息系统数据接口认证方法，其特征在于：该方法包括如下步骤，步骤1)HTTP无状态协议环境下客户端对服务端的数据接口进行初次访问，客户端通过发送包含账号密码等认证信息的HTTP请求访问系统数据接口；步骤2)服务端接收客户端HTTP请求，针对认证信息，服务端通过访问数据库进行信息验证；如果认证成功，服务端生成令牌信息并保存在数据库以及系统缓存中；令牌信息为一段字符串，其中部分字符串包含令牌信息过期时间的时间戳，以验证令牌是否过期；服务端将令牌信息返回给客户端；步骤3)客户端接收到令牌信息并保存，当客户端再次访问系统的数据接口时，HTTP请求中只需包含令牌作为认证信息；步骤4)服务端再次接收客户端访问请求时，检查请求中包含的令牌信息与缓存中的存储令牌信息是否匹配；若令牌信息一致，则进行步骤5)；若未在缓存中匹配到令牌信息，则服务端访问数据库查询令牌信息，如果匹配到相应信息，则将令牌信息保存在缓存中，并进行步骤5)；如果在缓存和数据库中都未匹配到相应信息，则认证失败，服务端拒绝该次数据接口的访问请求；步骤5)提取令牌信息过期时间的时间戳信息，判断令牌信息是否过期；如果过期了，则在服务端重新生成令牌信息，同时在缓存和数据库中更新相应的令牌信息，认证过程结束；在完成相应数据接口请求后，将新的令牌信息一同发送给客户端；如果令牌信息没有过期，则认证成功正常完成数据接口的请求。