CN101426009A - 身份管理平台、业务服务器、统一登录系统及方法 - Google Patents

Abstract

本发明涉及一种身份管理平台、业务服务器、统一登录系统及方法。该平台包括信息接收模块、验证模块、查询模块及信息发送模块。该业务服务器，包括信息接收模块、查询模块、信息发送模块。该统一登录系统，包括身份管理平台、业务服务器以及身份联合数据库。该方法中终端在进行服务访问时，将身份标记码信息加入到服务请求信息中，业务服务器查询用户身份信息，完成终端登录。本发明能够实现用户在接入IMS核心网进行一次身份认证后，进行业务访问时无需用户再次进行繁琐的身份认证过程，减少用户业务访问时的繁琐操作；且能够保证用户身份信息等重要信息的安全性、可靠性。

Description

身份管理平台、业务服务器、统一登录系统及方法

技术领域

本发明涉及一种身份管理平台，尤其是一种用于管理终端身份信息的管理平台；本发明还涉及一种业务服务器，尤其是一种能够根据自动查询得到的终端身份信息自动完成登录的业务服务器；本发明还涉及一种统一登录系统，尤其是一种能够完成终端统一登录的系统；本发明还涉及一种统一登录方法，尤其是一种终端在进行业务访问时，网络侧自动完成终端登录的方法。

背景技术

目前，统一登录认证尚处于研究阶段，实际应用也仅局限于局部领域，例如在业务领域的单点登录和限于插卡式的终端的鉴权认证。在标准组织中，对采用网络附着子系统(Network Attachment Subsystem；以下简称：NASS)与IP多媒体系统(IP Multimedia Subsystem；以下简称：IMS)的绑定认证，通常是通过网络层的位置信息的认证来完成IMS的用户认证。

所谓单点登录就是在分布的、多服务的网络环境中，通过用户的一次性鉴别登录，即可获得访问分布式系统中所有服务的合法性身份证明；在此条件下，管理员无需修改或干涉用户登录，就能方便地进行安全控制。因此，单点登录的关键是如何实现用户通过一次鉴别登录过程，就能够向其它服务提供自己的身份证明。

现有MSN(为微软在操作系统Windows XP中捆绑的聊天软件)软终端启动博客(以下简称：Blog)服务进行统一登录过程中，用户在启动“windowslive messenger”之后，点击其提供的Blog链接，便可以启动浏览器，进而使用本帐户对应的Blog服务；上述方案有以下特点：其一为MSN软终端和Blog必须使用统一帐户；其二为所有的认证请求都经过统一的认证服务器。上述统一登录方法存在以下缺陷：

1、终端和业务服务器之间必须使用统一的用户帐户，而在现有的电信领域内，业务服务器是多种多样的，要求各个业务服务器使用与核心网相同的用户帐户将限制业务服务器的服务范围；

2、由于采用集中式的认证服务器，存在一定的安全隐患；若认证服务器因某种原因而无法正常工作，则整个系统内的所有服务都将无法使用。

发明内容

本发明的第一个方面是提供一种身份管理平台，完成对终端的身份信息进行统一管理，增加身份信息的安全性、可靠性。

本发明的第二个方面是提供一种业务服务器，以实现根据终端的身份信息自动完成终端的登录。

本发明的第三个方面是提供一种统一登录系统，实现终端的统一登录，提高网络资源利用率。

本发明的第四个方面是提供一种统一登录方法，完成终端的统一登录过程，避免用户重复操作。

本发明第一个方面通过一些实施例提供了如下的技术方案：

一种身份管理平台，包括信息接收模块，用于接收终端发送的身份标记码请求信息和业务服务器发送的用户身份请求信息，所述身份标记码请求信息包括公有用户标识(以下简称：IMPU)信息以及终端验证信息，所述用户身份请求信息包括身份标记码信息、所述业务服务器的标识信息及服务标识信息；验证模块，与所述信息接收模块连接，用于对所述终端发送的身份标记码请求信息进行验证；查询模块，与所述信息接收模块连接，用于根据所述身份标记码信息、所述业务服务器的标识信息及服务标识信息在身份联合数据库中查询对应的用户身份信息；信息发送模块，与所述验证模块、查询模块连接，用于向所述终端发送验证结果信息，向所述业务服务器发送查询到的所述用户身份信息。

本发明第一个方面实施例所涉及的身份管理平台，可有效地对终端的身份信息进行管理，增加信息的安全性、可靠性。

本发明第二个方面通过另一些实施例提供了如下的技术方案：

一种业务服务器，包括信息接收模块，用于接收终端发送的服务请求信息和身份管理平台发送的用户身份信息；查询模块，与所述信息接收模块连接，用于根据所述终端的身份标记码信息、所述业务服务器的标识信息及服务标识信息，在所述身份管理平台中查询对应的用户身份信息；信息发送模块，与所述查询模块连接，用于向所述身份管理平台发送用户身份请求信息。

本发明第二个方面实施例所涉及的业务服务器，能够在终端请求业务服务时，自动查询所述身份信息，完成所述终端的登录，方便实用。

本发明第三个方面通过另一些实施例提供了如下的技术方案：

一种统一登录系统，包括身份管理平台、业务服务器和身份联合数据库；其中所述身份管理平台，用于根据业务服务器发送的终端的身份标记码信息得到用户IMPU信息，并在所述身份联合数据库中查询所述用户IMPU信息、所述业务服务器的标识信息及服务标识信息对应的用户身份信息；所述身份联合数据库，用于存储与所述用户IMPU信息、所述业务服务器的标识信息及服务标识信息对应的用户身份信息；所述业务服务器，用于接收所述终端发送的身份标记码信息，根据所述身份标记码信息、所述业务服务器的标识信息及服务标识信息，向所述身份管理平台查询对应的用户身份信息。

本发明第三个方面实施例所涉及的统一登录系统，能够在终端接入IMS核心网络后，自动完成终端在所要访问的业务服务器上的登录，节省网络资源，提高了网络资源的利用率。

本发明第四个方面通过另一些实施例提供了如下的技术方案：

一种统一登录的方法，包括：

终端向身份管理平台发送所述终端的身份标记码请求信息，所述身份标记码请求信息包括用户IMPU信息以及终端验证信息；

所述身份管理平台根据所述身份标记码请求信息向所述终端返回验证信息；

所述终端根据所述验证信息得到所述终端的身份标记码信息，并向业务服务器发送服务请求信息，所述服务请求信息携带有所述身份标记码信息；

所述业务服务器根据所述服务请求信息中的所述身份标记码信息，向所述身份管理平台查询所述身份标记码信息、所述业务服务器的标识信息及服务标识信息对应的用户身份信息；

所述身份管理平台查询所述用户身份信息，并返回给所述业务服务器；

所述业务服务器根据所述身份管理平台返回的所述用户身份信息，判断是否允许所述终端登录到所述业务服务器。

本发明第四方面实施例所涉及的统一登录方法，用户只需在接入IMS核心网的时进行一次身份认证，而在以后进行的其他业务访问的时候便无需用户再次进行繁琐的身份认证输入过程，此过程由网络自行完成，减少了用户进行业务访问时的繁琐操作。

附图说明

图1为本发明身份管理平台实施例一结构示意图；

图2为本发明身份管理平台实施例二结构示意图；

图3为本发明业务服务器实施例一结构示意图；

图4为本发明业务服务器实施例二结构示意图；

图5为本发明统一登录系统实施例结构示意图；

图6为本发明统一登录方法实施例一流程示意图；

图7为本发明统一登录方法中身份管理平台返回验证信息流程示意图；

图8为本发明统一登录方法中身份管理平台查询用户身份信息流程示意图；

图9为本发明统一登录方法信令流程示意图。

具体实施方式

下面结合附图和具体实施例进一步说明本发明的技术方案。

如图1所示，一种身份管理平台，包括：信息接收模块11、验证模块12、查询模块13和信息发送模块14。其中，信息接收模块11，用于接收终端发送的身份标记码请求信息和业务服务器发送的用户身份请求信息，身份标记码请求信息包括用户IMPU信息以及终端验证信息，用户身份请求信息包括身份标记码信息、业务服务器的标识信息及服务标识信息；验证模块12与信息接收模块11连接，用于对终端发送的身份标记码请求信息进行验证；查询模块13与信息接收模块11连接，用于根据身份标记码信息、业务服务器的标识信息及服务标识信息在身份联合数据库中查询对应的用户身份信息；信息发送模块14与验证模块12、查询模块13连接，用于向终端发送验证结果信息，向业务服务器发送查询到的所述用户身份信息。

身份管理平台用于对终端的统一登录进行用户身份信息的管理，当用户利用终端上安装的软终端访问业务服务器上的服务后，身份管理平台中的信息接收模块11接收到终端发送的身份标记码请求信息，验证模块12将对接收到的用户IMPU信息和终端验证信息进行验证，并将验证结果信息通过信息发送模块14返回给终端；信息接收模块11还接收业务服务器发送的用户身份请求信息，接收到该信息后，查询模块13再向身份联合数据库查询用户身份请求信息中的身份标记码信息、业务服务器的标识信息及服务标识信息对应的用户身份信息；查询得到用户身份信息后，将该信息返回给查询模块13通过信息发送模块14发送给业务服务器。本实施例所提供的身份管理平台用于对用户的身份信息进行有效地管理，为终端提供身份标记码请求信息的验证，为业务服务器提供用户身份信息，既实现了统一登录的目的，而且保证了信息的安全性。

进一步地，如图2所示，身份管理平台还包括：时间戳分配模块15。时间戳分配模块15与验证模块12、信息发送模块14连接，用于在验证模块12根据终端验证信息对终端进行验证后，为终端分配时间戳信息。验证模块12接收到信息接收模块11发送的身份标记码请求信息后，对其中的用户IMPU信息和终端验证信息进行验证，终端验证信息包括根据终端与身份管理平台之间的共享密钥和用户IMPU信息生成的哈希值信息，哈希值为用于验证请求信息是否由合法的软终端调用。验证模块12对哈希值进行验证，验证成功后，调用时间戳分配模块15为发送身份标记码请求信息的终端分配时间戳信息，时间戳分配模块15获取当前系统时间作为时间戳分配给终端；并且，在登录流程的后序过程中，身份管理平台还要应用为终端分配的时间戳信息验证发送用户身份请求信息的业务服务器的合法性，因此要存储该时间戳信息，本实施例中身份管理平台还可包括：时间戳分配列表模块16。时间戳分配列表模块16与时间戳分配模块15连接，用于存储用户IMPU信息与分配的时间戳信息的对应关系。身份管理平台通过为进行服务访问的终端分配时间戳，保证了发送服务请求的终端与身份管理平台查询得到的用户身份信息之间的对应关系。

再如图2所示，查询模块13包括：解析子模块131、判断子模块132和查询子模块133。其中，解析子模块131与信息接收模块11连接，用于对用户身份请求信息中的身份标记码信息进行解析，得到用户IMPU信息及时间戳信息；判断子模块132与解析子模块131连接，用于对时间戳信息进行判断；查询子模块133与解析子模块131、信息发送模块14连接，用于根据解析得到的用户IMPU信息以及用户身份请求信息中的业务服务器的标识信息及服务标识信息在身份联合数据库中查询对应的用户身份信息。解析子模块131运用身份管理平台与终端共享的密钥对业务服务器发送来的用户身份请求信息中的身份标记码信息进行解密，得到用户IMPU信息及时间戳信息；判断子模块132判断解析子模块131解析得到的时间戳信息是否为身份管理平台为终端分配的时间戳；判断成功后，查询子模块133根据解析子模块131解析得到的用户IMPU信息，在身份联合数据库中查询用户IMPU信息、业务服务器的标识信息及服务标识信息对应的用户身份信息。本实施例提供的查询模块通过对业务服务器发送的时间戳信息进行验证，保证了进行用户身份信息查询的可靠性和安全性，确保所查找的用户身份信息为所发送服务访问的终端的合法身份；通过身份管理平台实现了对终端的身份信息的统一管理，在网络侧根据信息间相互的对应关系进行查询，既确保了信息的安全性，可靠性，又节省的网络资源。

如图3所示，一种业务服务器，包括：信息接收模块21、查询模块22和信息发送模块23。其中，信息接收模块21，用于接收终端发送的服务请求信息和身份管理平台发送的用户身份信息；查询模块22，与信息接收模块21连接，用于根据终端的身份标记码信息、业务服务器的标识信息及服务标识信息，发送用户身份请求信息，在身份管理平台中查询对应的用户身份信息；信息发送模块23，与查询模块22连接，用于向身份管理平台发送用户身份请求信息。

具体地，信息接收模块21接收到终端发送的服务请求信息后，查询模块22根据服务请求信息中的身份标记码信息，通过信息发送模块23向身份管理平台发送用户身份请求信息，在身份管理平台上查询身份标记码信息、业务服务器的标识信息及服务标识信息对应的用户身份信息；身份管理平台查找到所需用户身份信息后将该信息返回给业务服务器，业务服务器中的信息接收模块21接收用户身份信息后，判断是否允许终端登录到该业务服务器上。

业务服务器为终端提供业务服务，在提供有效的服务之前，终端应先登录到业务服务器上，信息接收模块21接收终端的服务请求信息，调用查询模块22对服务请求信息进行分析判断，具体地如图4所示，查询模块22包括：身份标记码信息解析子模块221和身份信息查询子模块222。其中，身份标记码信息解析子模块221与信息接收模块21连接，用于读取终端的统一资源定位器信息中的身份标记码信息，再将身份标记码信息发送给身份信息查询子模块222进行用户身份信息的查询；身份信息查询子模块222与身份标记码信息读取子模块221、信息发送模块23连接，用于根据身份标记码信息、业务服务器的标识信息及服务标识信息，在身份管理平台中查询用户身份信息，接收身份标记码信息解析子模块221发送的身份标记码信息，并通过信息发送模块23向身份管理平台发送用户身份请求信息，查询所需用户身份。

查询模块22中还可包括Cookie信息读写子模块223，Cookie信息读写子模块223与身份标记码信息解析子模块221连接，用于读取终端的cookie信息中的登录信息，判断终端是否已经登录，并在cookie信息中记录终端的登录信息。Cookie信息读写子模块223读取终端上浏览器中存储的cookie信息，因为cookie信息中记录有终端的登录信息，因此可以通过读取其中信息得知终端是否已经登录成功；若已经登录，则无需再次登录，直接提供服务；若没有登录，则调用身份标记码信息解析子模块221进行登录查询；Cookie信息读写子模块223还负责在终端登录成功后，在cookie信息中记录终端的登录信息；所谓Cookie是Web服务器保存在终端上的一段文本，Cookie允许一个Web站点在用户的终端上保存信息并且随后再取回它。

上述实施例提供的业务服务器，能够根据终端提供的身份标记码信息自动进行用户身份的查询，以及完成终端的登录过程；终端登录业务服务器时无需进行繁琐的用户身份认证过程，实现终端的统一登录。

如图5所示，一种统一登录系统，包括身份管理平台1、业务服务器2和身份联合数据库3；其中身份管理平台1用于根据业务服务器发送的终端的身份标记码信息得到用户IMPU信息，并在身份联合数据库中查询用户IMPU信息、业务服务器的标识信息及服务标识信息对应的用户身份信息；身份联合数据库3用于存储与用户IMPU信息、业务服务器的标识信息及服务标识信息对应的用户身份信息；业务服务器2用于接收所述终端发送的身份标记码信息，根据终端的身份标记码信息、业务服务器的标识信息及服务标识信息，在身份管理平台中查询对应的用户身份信息。

本实施例所提供的统一登录系统中，终端在进行服务访问之前，首先在身份管理平台1上获得身份标记码信息，再根据身份标记码信息向业务服务器2进行服务访问；业务服务器2再向身份管理平台1查询终端在业务服务器2上所要进行访问的服务所对应的用户身份信息；身份管理平台1在身份联合数据库3中查询得到所需的用户身份信息后，将该信息返回给业务服务器2；业务服务器2完成终端的登录。

具体地，身份管理平台1，包括：信息接收模块11、验证模块12、查询模块13和信息发送模块14。其中，信息接收模块11，用于接收终端发送的身份标记码请求信息和业务服务器发送的用户身份请求信息，身份标记码请求信息包括用户IMPU信息以及终端验证信息，用户身份请求信息包括身份标记码信息、业务服务器的标识信息及服务标识信息；验证模块12与信息接收模块11连接，用于对终端发送的身份标记码请求信息进行验证；查询模块13与信息接收模块11连接，用于根据身份标记码信息、业务服务器的标识信息及服务标识信息在身份联合数据库中查询对应的用户身份信息；信息发送模块14与验证模块12、查询模块13连接，用于向终端发送验证结果信息，向业务服务器发送查询到的所述用户身份信息。

身份管理平台1用于对终端的统一登录进行用户身份信息的管理，当用户利用终端上安装的软终端访问业务服务器上的服务后，身份管理平台1中的信息接收模块11接收到终端发送的身份标记码请求信息，验证模块12将对接收到的用户IMPU信息和终端验证信息进行验证，并将验证结果信息通过信息发送模块14返回给终端；信息接收模块11还接收业务服务器发送的用户身份请求信息，接收到该信息后，查询模块13再向身份联合数据库查询用户身份请求信息中的身份标记码信息、业务服务器的标识信息及服务标识信息对应的用户身份信息；查询得到用户身份信息后，将该信息返回给查询模块13通过信息发送模块14发送给业务服务器。本实施例所提供的身份管理平台用于对用户的身份信息进行有效地管理，为终端提供身份标记码请求信息的验证，为业务服务器提供用户身份信息，既实现了统一登录的目的，而且保证了信息的安全性。

进一步地，身份管理平台1还包括：时间戳分配模块15。时间戳分配模块15与验证模块12、信息发送模块14连接，用于在验证模块12根据终端验证信息对终端进行验证后，为终端分配时间戳信息。验证模块12接收到信息接收模块11发送的身份标记码请求信息后，对其中的用户IMPU信息和终端验证信息进行验证，终端验证信息包括根据终端与身份管理平台1之间的共享密钥和用户IMPU信息生成的哈希值信息，哈希值为用于验证请求信息是否由合法的软终端调用。验证模块12对哈希值进行验证，验证成功后，调用时间戳分配模块15为发送身份标记码请求信息的终端分配时间戳信息，时间戳分配模块15获取当前系统时间作为时间戳分配给终端；并且，在登录流程的后序过程中，身份管理平台1还要应用为终端分配的时间戳信息验证发送用户身份请求信息的业务服务器的合法性，因此要存储该时间戳信息，本实施例中身份管理平台还可包括：时间戳分配列表模块16。时间戳分配列表模块16与时间戳分配模块15连接，用于存储用户IMPU信息与分配的时间戳信息的对应关系。身份管理平台1通过为进行服务访问的终端分配时间戳，保证了发送服务请求的终端与身份管理平台查询得到的用户身份信息之间的对应关系。

查询模块13包括：解析子模块131、判断子模块132和查询子模块133。其中，解析子模块131与信息接收模块11连接，用于对用户身份请求信息中的身份标记码信息进行解析，得到用户IMPU信息及时间戳信息；判断子模块132与解析子模块131连接，用于对时间戳信息进行判断；查询子模块133与解析子模块131、信息发送模块14连接，用于根据解析得到的用户IMPU信息以及用户身份请求信息中的业务服务器的标识信息及服务标识信息在身份联合数据库中查询对应的用户身份信息。解析子模块131运用身份管理平台与终端共享的密钥对业务服务器发送来的用户身份请求信息中的身份标记码信息进行解密，得到用户IMPU信息及时间戳信息；判断子模块132判断解析子模块131解析得到的时间戳信息是否为身份管理平台为终端分配的时间戳；判断成功后，查询子模块133根据解析子模块131解析得到的用户IMPU信息，在身份联合数据库中查询用户IMPU信息、业务服务器的标识信息及服务标识信息对应的用户身份信息。

业务服务器2包括：信息接收模块21、查询模块22和信息发送模块23。其中，信息接收模块21，用于接收终端发送的服务请求信息和身份管理平台发送的用户身份信息；查询模块22，与信息接收模块21连接，用于根据终端的身份标记码信息、业务服务器的标识信息及服务标识信息，发送用户身份请求信息，在身份管理平台中查询对应的用户身份信息；信息发送模块23，与查询模块22连接，用于向身份管理平台发送用户身份请求信息。

具体地，信息接收模块21接收到终端发送的服务请求信息后，查询模块22根据服务请求信息中的身份标记码信息，通过信息发送模块23向身份管理平台发送用户身份请求信息，在身份管理平台上查询身份标记码信息、业务服务器的标识信息及服务标识信息对应的用户身份信息；身份管理平台查找到所需用户身份信息后将该信息返回给业务服务器，业务服务器中的信息接收模块21接收用户身份信息后，判断是否允许终端登录到该业务服务器上。

业务服务器2中的信息接收模块21接收终端的服务请求信息，调用查询模块22对服务请求信息进行分析判断，具体地，查询模块22包括：身份标记码信息解析子模块221和身份信息查询子模块222。其中，身份标记码信息解析子模块221与信息接收模块21连接，用于读取终端的统一资源定位器信息中的身份标记码信息，再将身份标记码信息发送给身份信息查询子模块222进行用户身份信息的查询；身份信息查询子模块222与身份标记码信息读取子模块221、信息发送模块23连接，用于根据身份标记码信息、业务服务器的标识信息及服务标识信息，在身份管理平台中查询用户身份信息，接收身份标记码信息解析子模块221发送的身份标记码信息，并通过信息发送模块23向身份管理平台发送用户身份请求信息，查询所需用户身份。

查询模块22中还可包括Cookie信息读写子模块223，Cookie信息读写子模块223与身份标记码信息解析子模块221连接，用于读取终端的cookie信息中的登录信息，判断终端是否已经登录，并在cookie信息中记录终端的登录信息。Cookie信息读写子模块223读取终端上浏览器中存储的cookie信息，因为cookie信息中记录有终端的登录信息，因此可以通过读取其中信息得知终端是否已经登录成功；若已经登录，则无需再次登录，直接提供服务；若没有登录，则调用身份标记码信息解析子模块221进行登录查询；Cookie信息读写子模块223还负责在终端登录成功后，在cookie信息中记录终端的登录信息。

综上，本实施例所提供的统一登录系统包括前述所涉及的身份管理平台1和业务服务器2，所述终端包括手机、个人数码助理(Personal DigitalAssistant；以下简称：PDA)一般是指掌上电脑、以及使用GPRS上网卡的计算机，终端使用的应用程序可以应用会话初始协议(Session Initiation Protocol；以下简称：SIP)软终端或浏览器等。

该系统为用户进行业务服务提供了统一的登录功能，避免了现有技术中用户进行反复的登录认证过程；且确保了登录过程的安全性与可靠性，节省了网络资源，提高了网络资源利用率、网络登录速度。

如图6所示，一种统一登录的方法，包括：

步骤100、终端接入IMS核心网后，向身份管理平台发送所述终端的身份标记码请求信息，所述身份标记码请求信息包括用户IMPU信息以及终端验证信息；

步骤200、所述身份管理平台根据所述身份标记码请求信息向所述终端返回验证信息；

步骤300、所述终端根据所述验证信息得到所述终端的身份标记码信息，并向业务服务器发送服务请求信息，所述服务请求信息携带有所述身份标记码信息；

步骤400、所述业务服务器根据所述服务请求信息中的所述身份标记码信息，向所述身份管理平台查询所述身份标记码信息、所述业务服务器的标识信息及服务标识信息对应的用户身份信息；

步骤500、所述身份管理平台查询所述用户身份信息，并返回给所述业务服务器；

步骤600、所述业务服务器根据所述身份管理平台返回的所述用户身份信息，判断是否允许所述终端登录到所述业务服务器。

终端接入IMS核心网时，首先要进行用户身份信息的认证；在接入成功后，终端上所安装的SIP软终端便得到了用户IMPU信息，并将该信息作为其核心网身份信息。终端接入IMS核心网可以通过不同方式接入，即可以通过GPRS接入，以及非GPRS接入，如WLAN、宽带接入或局域网接入等。终端在进行业务访问时要用到终端的身份标记码信息，因此在进行业务访问前将先向身份管理平台发送身份标记码请求信息，请求得到身份标记码信息；终端将用户IMPU信息和终端验证信息一同发送给身份管理平台，身份管理平台接收到上述信息后，将对该信息进行验证，返回验证信息；终端根据验证信息得到身份标记码信息后，当用户通过软终端的按钮或菜单来访问某个超文本传输协议(Hyper TextTransfer Protocol；以下简称：HTTP)业务(如Web邮箱)时，会将身份标记码信息加入到统一资源定位器信息(以下简称：URL)中，浏览器根据URL向业务服务器发送服务请求；业务服务器接收到服务请求信息后，根据其包括的身份标记码信息，再向身份管理平台发送用户身份请求信息，请求查询所述身份标记码信息、所述业务服务器的标识信息及服务标识信息对应的用户身份信息；业务服务器将根据终端的身份标记码信息向身份管理平台查询该终端的身份信息，同时也将终端所要访问的业务服务器的标识信息和对应的服务标识信息一同发送给身份管理平台；身份管理平台得到终端的用户身份信息后，返回给业务服务器，业务服务器接收到该身份信息后，将终端接入到所述业务服务，并为其提供服务，从而实现统一登录。

本实施例提供的统一登录的方法，在终端通过接入IMS核心网以后，在进行服务访问的时候，业务服务器无需用户再次输入认证信息，而是通过终端的身份标记码信息向身份管理平台查询该用户的身份信息，在成功得到所述用户身份信息后，将自动完成终端的登录过程；用户只需在接入IMS核心网的时进行一次身份认证，而在以后进行的其他业务访问的时候便无需用户再次进行繁琐的身份认证输入过程，此过程由网络自行完成，减少了用户进行业务访问时的繁琐操作。

统一登录的前提是用户在身份管理平台上建立身份联合，使身份管理平台保存用户身份联合信息，首先应登录到身份管理平台，登录时，用户通过输入登录身份管理平台所用用户名进行登录；成功登录身份管理平台后，终端通过身份管理平台提供的自服务页面向身份管理平台发送身份联合请求信息，身份管理平台的用户自服务页面上提供各业务服务器的身份联合功能；用户登录身份管理平台以后，点击业务服务器的身份联合链接，请求建立身份管理平台的用户身份和业务服务器的用户身份之间的联合；身份管理平台接收到用户的身份联合请求信息后，首先记录当前的系统时间，将其作为时间戳，并将时间戳存储在身份管理平台的时间戳列表中；将生成的时间戳加入到终端访问业务服务器所用的URL中后，身份管理平台页面内嵌入了业务服务器的登录页面，提示用户输入登录业务服务器所用的用户名和密码，根据URL向业务服务器发送业务请求，业务服务器对接收到的用户名和密码进行认证；认证通过后，将终端的链接重定向到身份管理平台页面上，身份管理平台保存身份联合信息，即身份管理平台存储有用户在身份管理平台上的身份信息(如手机号)和在业务服务器上的身份信息的关联关系信息；用户的身份信息联合建立成功。

基于上述实施例，如图7所示，进一步地，步骤200、所述身份管理平台根据所述身份标记码请求信息向所述终端返回验证信息的过程具体包括：

步骤2001、所述身份管理平台根据身份标记码请求信息包括的所述终端验证信息对所述终端进行验证，若验证通过，则执行步骤2002；否则，执行步骤2004；

步骤2002、所述身份管理平台获取时间戳信息；

步骤2003、所述身份管理平台对所述时间戳信息进行加密处理，返回给所述终端；

步骤2004、结束。

终端与身份管理平台连接后，通过“AllocTimeStampReq”操作从身份管理平台分配时间戳，分配操作的参数中携带了用户IMPU信息，以及根据用户IMPU信息和密钥采用H1函数计算得到的哈希值，哈希值用于验证请求是否由软终端调用。其中密钥为终端与身份管理平台之间预分配的共享密钥。身份管理平台接收到终端的请求信息后，首先验证参数是否由终端调用，即验证终端的合法性，若正确，则获取当前系统时间作为时间戳，并将生成的时间戳信息进行加密处理后，通过“AllocTimeStampRes”操作向终端返回该时间戳信息，同时还将记录该时间戳与用户IMPU信息的对应关系。用户可能在短时间内通过终端上安装的软终端连续启动多个浏览器访问业务，因此身份管理平台应记录为同一用户分配的多个时间戳信息，并定期清除过期记录。若验证失败，则结束登录过程。终端接收到为其分配的时间戳信息后，根据用户IMPU信息、时间戳信息，采用H3函数计算得到身份标记码信息，H3函数基于密钥采用3DES等对称加密算法对所有输入参数进行加密和解密；本实施例方法中，身份管理平台与软终端之间有共享密钥，而且与每个业务服务器之间分别有共享密钥。

在进行统一登录的过程中，业务服务器接收到所述服务请求信息后，向身份管理平台发送用户身份请求信息之前，所述业务服务器将首先读取终端浏览器上存储的cookie信息，若记录表示所述终端已经登录到所述业务服务器，无需再登录，则将结束统一登录流程。再有，若身份联合数据库中没有存储用户IMPU信息、所述业务服务器的标识信息及服务标识信息对应的用户的身份信息，则返回查询失败信息，结束统一登录流程，业务服务器将提示用户输入身份信息进行登录。在进行统一登录成功之后，所述业务服务器将在终端浏览器上的cookie中保存所述终端的登录信息，登录信息包括用户名、登录时间、有效期等，Cookie的有效期为固定时间，例如1小时等。

基于以上实施例，再进一步地，如图8所示，步骤500、所述身份管理平台查询所述用户身份信息，并返回给所述业务服务器，具体包括：

步骤5001、所述身份管理平台根据与所述终端的共享密钥对所述身份标记码信息进行解密，得到所述用户IMPU信息和时间戳信息；

步骤5002、判断时间戳分配列表中是否存储有所述时间戳信息，若有则执行步骤5003；否则，执行步骤5004；

步骤5003、所述身份管理平台在身份联合数据库中查询所述用户IMPU信息、所述业务服务器的标识信息及服务标识信息对应的用户身份信息；

步骤5004、结束。

业务服务器从URL中取得身份标记码信息，然后通过“TokenAuthenReq”操作向身份管理平台查询该身份标记码信息、业务服务器的标识信息及服务标识信息对应的用户身份；身份管理平台首先应用与业务服务器的共享密钥对身份标记码信息进行解密，得到用户IMPU信息和时间戳信息；然后检查该时间戳是否存在于身份管理平台上的时间戳分配列表中，即判断该时间戳信息与记录的时间戳信息是否相同，若时间戳验证通过，则删除所述时间戳分配列表中所述时间戳信息，并在身份联合数据库中查询所述用户IMPU信息、业务服务器的标识信息及服务标识信息对应的用户身份信息，若用户已进行身份联合操作，将得到对应该业务服务器的用户身份信息；身份管理平台通过“TokenAuthenRes”操作向业务服务器返回查询结果，若查询成功，返回结果为用户在业务服务器上的用户身份信息，否则返回失败信息。

如图9所示，一个终端统一登录方法的优选实施例包括如下步骤：

步骤a、用户通过SIP软终端向身份管理平台发送用户IMPU信息和终端验证信息，请求分配时间戳信息；

步骤b、身份管理平台根据终端验证信息对软终端进行验证；

步骤c、验证通过，则分配时间戳，加密，并记录该时间戳与用户IMPU信息对应关系；

步骤d、向软终端返回经过加密的时间戳信息；

步骤e、软终端根据施加戳信息得到身份标记码信息；

步骤f、将身份标记码信息加入到URL中，启动浏览器进行业务访问；

步骤g、业务服务器读取终端上的Cookie信息，判断是否已经登录；

步骤h、终端尚未登录，向身份管理平台发送用户身份请求信息；

步骤i、身份管理平台解析出用户IMPU信息和时间戳信息，验证时间戳信息，验证成功后，删除该时间戳信息；

步骤j、身份管理平台在身份联合数据库中查询用户身份信息；

步骤k、身份管理平台向业务服务器返回查询到的用户身份信息；

步骤1、业务服务器接收用户身份信息，终端登录成功。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (16)

1、一种身份管理平台，其特征在于，包括：

信息接收模块，用于接收终端发送的身份标记码请求信息和业务服务器发送的用户身份请求信息，所述身份标记码请求信息包括公有用户标识信息以及终端验证信息，所述用户身份请求信息包括身份标记码信息、所述业务服务器的标识信息及服务标识信息；

验证模块，与所述信息接收模块连接，用于对所述终端发送的身份标记码请求信息进行验证；

查询模块，与所述信息接收模块连接，用于根据所述身份标记码信息、所述业务服务器的标识信息及服务标识信息在身份联合数据库中查询对应的用户身份信息；

信息发送模块，与所述验证模块、查询模块连接，用于向所述终端发送验证结果信息，向所述业务服务器发送查询到的所述用户身份信息。

2、根据权利要求1所述的身份管理平台，其特征在于，还包括：

时间戳分配模块，与所述验证模块、信息发送模块连接，用于在所述验证模块根据所述终端验证信息对所述终端进行验证后，为所述终端分配时间戳信息。

3、根据权利要求2所述的身份管理平台，其特征在于，还包括时间戳分配列表模块，与所述时间戳分配模块连接，用于存储所述公有用户标识信息与分配的时间戳信息的对应关系。

4、根据权利要求1或2或3所述的身份管理平台，其特征在于，所述查询模块包括：

解析子模块，与所述信息接收模块连接，用于对所述身份标记码信息进行解析，得到所述公有用户标识信息及时间戳信息；

判断子模块，与所述解析子模块连接，用于对所述时间戳信息进行判断；

查询子模块，与所述解析子模块、信息发送模块连接，用于根据解析得到的所述公有用户标识信息、所述业务服务器的标识信息及服务标识信息在身份联合数据库中查询对应的用户身份信息。

所述判断子模块判断所述解析子模块解析出来的时间戳信息，是否是身份管理平台所分配的，若是，则查询子模块在所述身份联合数据库中查询所述用户身份信息。

5、一种业务服务器，其特征在于，包括：

信息接收模块，用于接收终端发送的服务请求信息和身份管理平台发送的用户身份信息；

查询模块，与所述信息接收模块连接，用于根据所述终端的身份标记码信息、所述业务服务器的标识信息及服务标识信息，向所述身份管理平台查询对应的用户身份信息；

信息发送模块，与所述查询模块连接，用于向所述身份管理平台发送用户身份请求信息。

6、根据权利要求5所述的业务服务器，其特征在于，所述查询模块包括：

身份标记码信息解析子模块，与所述信息接收模块连接，用于读取所述终端的统一资源定位器信息中的身份标记码信息；

身份信息查询子模块，与所述身份标记码信息读取子模块、信息发送模块连接，用于根据所述身份标记码信息、所述业务服务器的标识信息及服务标识信息，在所述身份管理平台中查询所述用户身份信息。

7、根据权利要求6所述的业务服务器，其特征在于，所述查询模块还包括：

Cookie信息读写子模块，与所述身份标记码信息解析子模块连接，用于读取所述终端的cookie信息中的登录信息，判断所述终端是否已经登录，并在所述cookie信息中记录所述终端的登录信息。

8、一种统一登录系统，其特征在于，包括身份管理平台、业务服务器和身份联合数据库；其中：

所述身份管理平台，用于根据业务服务器发送的终端的身份标记码信息得到公有用户标识信息，并在所述身份联合数据库中查询所述公有用户标识信息、所述业务服务器的标识信息及服务标识信息对应的用户身份信息；

所述业务服务器，用于接收所述终端发送的身份标记码信息，根据所述身份标记码信息、所述业务服务器的标识信息及服务标识信息，在所述身份管理平台中查询对应的用户身份信息；

所述身份联合数据库，用于存储与所述公有用户标识信息、所述业务服务器的标识信息及服务标识信息对应的用户身份信息。

9、根据权利要求8所述的统一登录系统，其特征在于，所述身份管理平台为权利要求1至4中任一项所述的身份管理平台，和/或所述业务服务器为权利要求5至7中任一项所述的业务服务器。

10、一种统一登录方法，其特征在于，包括：

终端向身份管理平台发送所述终端的身份标记码请求信息，所述身份标记码请求信息包括公有用户标识信息以及终端验证信息；

所述身份管理平台根据所述身份标记码请求信息向所述终端返回验证信息；

所述终端根据所述验证信息得到所述终端的身份标记码信息，并向业务服务器发送服务请求信息，所述服务请求信息携带有所述身份标记码信息；

所述业务服务器根据所述服务请求信息中的所述身份标记码信息，向所述身份管理平台查询所述身份标记码信息、所述业务服务器的标识信息及服务标识信息对应的用户身份信息；

所述身份管理平台查询所述用户身份信息，并返回给所述业务服务器；

所述业务服务器根据所述身份管理平台返回的所述用户身份信息，判断是否允许所述终端登录到所述业务服务器。

11、根据权利要求10所述的统一登录方法，其特征在于，所述身份管理平台根据所述身份标记码请求信息向所述终端返回验证信息，具体包括：

所述身份管理平台根据身份标记码请求信息包括的所述终端验证信息对所述终端进行验证，验证不通过，则结束；

验证通过，则所述身份管理平台获取时间戳信息；

所述身份管理平台对所述时间戳信息进行加密处理，并返回给终端。

12、根据权利要求11所述的统一登录方法，其特征在于，所述身份管理平台对所述时间戳信息进行加密处理，并返回给终端之后，还包括所述身份管理平台记录所述时间戳信息与所述公有用户标识信息的对应关系信息。

13、根据权利要求10所述的统一登录方法，其特征在于，所述业务服务器根据所述服务请求信息中的所述身份标记码信息，向所述身份管理平台查询所述身份标记码信息、所述业务服务器的标识信息及服务标识信息对应的用户身份信息之前，还包括所述业务服务器读取所述终端的cookie信息，若所述终端已经登录到所述业务服务器，则结束。

14、根据权利要求10所述的统一登录方法，其特征在于，所述身份管理平台查询所述用户身份信息，并返回给所述业务服务器具体包括：

所述身份管理平台根据与所述终端的共享密钥对所述身份标记码信息进行解密，得到所述公有用户标识信息和时间戳信息；

判断时间戳分配列表中是否存储有所述时间戳信息，若没有，则结束；

否则，所述身份管理平台在身份联合数据库中查询所述公有用户标识信息、所述业务服务器的标识信息及服务标识信息对应的用户身份信息。

15、根据权利要求14所述的统一登录方法，其特征在于：所述身份管理平台在身份联合数据库中查询所述公有用户标识信息、所述业务服务器的标识信息及服务标识信息对应的用户身份信息之前，还包括所述身份管理平台删除所述时间戳分配列表中所述时间戳信息。

16、根据权利要求10所述的统一登录方法，其特征在于：所述业务服务器根据所述身份管理平台返回的所述用户身份信息，判断是否允许所述终端登录到所述业务服务器之后，还包括若登录成功，则所述业务服务器在所述终端的cookie中保存所述终端的登录信息。

Images