1.应用场景
主要用于 基于 token 的多平台身份认证. |
2.学习/操作
一直不太明白, 这其中的关系, 今天刚好可以理一下~~ 看了一遍, 还是没看太明白~~~ 后续继续看~ 概述在存在账号体系的信息系统中,对身份的鉴定是非常重要的事情。 随着移动互联网时代到来,客户端的类型越来越多, 逐渐出现了 一个服务器,N个客户端的格局 。 不同的客户端产生了不同的用户使用场景,这些场景:
综上所述,它们的身份认证方式也存在一定的区别。 本文将使用一定的篇幅对这些场景进行一些分析和梳理工作。 使用场景下面是一些在IT服务常见的一些使用场景:
通过对场景的细分,得到如下不同的认证token类别: 1. 原始账号密码类别
2. 会话ID类别
3. 接口调用类别
4. 身份授权类别
token的类别不同场景的token进行如下几个维度的对比: 天然属性对比: 1. 使用成本 本认证方式在使用的时候,造成的不便性。比如:
2. 变化成本 本认证方式,token发生变化时,用户需要做出的相应更改的成本:
3. 环境风险
可调控属性对比: 1. 使用频率
2. 有效时间
最终的目标:安全和影响。 安全和隐私性主要体现在:
关于隐私及隐私破坏后的后果,有如下的基本结论:
遵守如下原则:
将各类token的固有特点及可控属性进行调控后, 对每个指标进行量化评分(1~5分),我们可以得到如下的对比表: 备注:
token的层级关系参考上一节的对比表,可以很容易对这些不同用途的token进行分层,主要可以分为4层: 1. 密码层 最传统的用户和系统之间约定的数字身份认证方式 2. 会话层 用户登录后的会话生命周期的会话认证 3. 调用层 用户在会话期间对应用程序接口的调用认证 4. 应用层 用户获取了接口访问调用权限后的一些场景或者身份认证应用 token的分层图如下: 在一个多客户端的信息系统里面,这些token的产生及应用的内在联系如下:
使用如上的架构有如下的好处:
账号密码广义的 账号/密码 有如下的呈现方式:
它们的特点如下: 1. 会有特别的意义
2. 不常修改
3. 一旦泄露影响深远
所以在认证系统中应该尽量减少传输的机会,避免泄露。 客户端会话token功能:充当着session的角色,不同的客户端有不同的生命周期。 使用步骤:
不同的平台的token有不同的特点。 Web平台生存周期短 主要原因: 1. 环境安全性 由于web登录环境一般很可能是公共环境,被他人盗取的风险值较大 2. 输入便捷性 在PC上使用键盘输入会比较便捷 移动端生存周期长 主要原因: 1. 环境安全性 移动端平台是个人用户极其私密的平台,它人接触的机会不大 2. 输入便捷性 在移动端上使用手指在小屏幕上触摸输入体验差,输入成本高 access_token功能:服务端应用程序api接口访问和调用的凭证。 使用步骤:
其曝光频率直接和接口调用频率有关,属于高频使用的凭证。为了照顾到隐私性,尽量减少其生命周期,即使被截取了,也不至于产生严重的后果。 注意:在客户端token之下还加上一个access_token, 主要是为了让具有不同生命周期的客户端token最后在调用api的时候, 能够具有统一的认证方式。 pam_token功能:由已经登录和认证的PC端生成的二维码的原始串号(Pc Auth Mobile)。 主要步骤如下:
备注:
map_token功能:由已经登录的移动app来扫码认证PC端系统,并完成PC端系统的登录(Mobile Auth Pc)。 主要步骤:
备注:
小结与展望本文所设计的基于token的身份认证系统,主要解决了如下的问题:
本文中提到的设计方法,在 应用层 中可以适用于且不限于如下场景中:
至于更多的使用场景,就需要大家去发掘了。 后续补充 ... |
3.问题/补充
TBD |
4.参考
https://mp.weixin.qq.com/s/fJzsXr6BkX8DPrrfmL4rZA //基于 token 的多平台身份认证架构设计 |
后续补充
...