一种支持多平台用户身份统一认证的方法、系统及计算机可读存储介质与流程

本发明涉及计算机网络身份认证，具体涉及一种支持多平台用户身份统一认证的方法、系统及计算机可读存储介质。

背景技术：

1、随着数字化技术的普及，用户需在多种终端平台间频繁切换，如办公平台、移动应用、网页服务等。身份认证作为保障平台安全的核心环节，在当前的多平台场景下仍面临严峻挑战。

2、首先，不同终端平台的认证体系相互割裂，导致对接成本高昂。企业或服务提供商每扩展至一个新的终端平台，就需要为其开发独立的认证对接模块，以适配其特有的api协议、接口规范和鉴权方式。例如，不同办公平台的开放接口协议各不相同，第三方移动应用也常采用自有的令牌认证机制。这种逐一适配的开发模式不仅周期长、成本高，而且每次新增平台都可能需要修改核心认证逻辑，严重影响了系统的可扩展性和可维护性。

3、其次，现有认证方案的策略配置能力不足，无法满足不同平台差异化的安全需求。传统的单点登录（sso）方案大多采用固定的认证策略，如仅验证用户名和密码，难以对承载业务敏感度不同、网络环境各异的平台实施差异化的安全防护。

4、为解决上述问题，业界提出了一些改进方案。一类是基于身份提供商（idp）安全目标框架的策略配置方案，该方案要求管理员理解并选择抽象的技术标准（如nist aal等级）来配置策略，管理门槛高，且策略组织维度与企业安全管理的实践脱节。另一类是基于用户行为或风险评分的自适应认证方案，其认证策略依赖于实时计算的黑箱模型，导致认证行为不可预测且难以审计，无法满足企业对关键系统（如财务系统）认证合规性的刚性要求。

5、更重要的是，上述方案均未能实现从用户身份统一标识、会话跨平台同步到全局统一注销的完整闭环管理。身份管理、会话管理和注销管理在现有技术中通常是分离的模块，缺乏有效的协同机制。即使用户在一个平台注销，其在其他平台上的会话依然可能保持有效，留下了安全隐患，也未能从根本上消除用户在多平台间的认证与操作摩擦。因此，亟需一种新的技术方案来解决上述问题。

技术实现思路

1、为了解决上述背景技术中存在的技术问题，本发明提供了一种支持多平台用户身份统一认证的方法、系统及计算机可读存储介质，旨在降低多平台认证的对接成本，提供可预测、可审计的差异化认证策略，并实现用户身份全生命周期的协同闭环管理。

2、本发明提供了一种支持多平台用户身份统一认证的方法，包括：在用户首次于任一终端平台注册时，为所述用户生成一全局唯一的统一身份标识符，并建立所述终端平台的用户id（唯一标识）与所述统一身份标识符的映射关系；当所述用户后续在其他终端平台注册时，通过预设的关联凭据识别为同一用户，并自动将所述其他终端平台的用户id与已有的所述统一身份标识符进行关联；接收来自目标终端平台的、包含平台安全等级的认证请求，并通过接口适配模块将所述认证请求转换为标准内部格式；根据所述认证请求中的平台安全等级匹配预先配置的认证策略，并执行所述认证策略所指定的认证维度组合进行身份核验；在所述身份核验通过后，查询与所述用户的统一身份标识符关联的所有终端平台，并为每一个关联的终端平台主动、预先生成并分发一个独立的会话令牌；当从任一终端平台接收到注销请求时，根据所述用户的统一身份标识符定位其所有关联的终端平台，并触发所述所有关联的终端平台执行会话失效操作。通过该方法，实现了用户身份的自动关联、一次认证多平台通行以及全局同步注销，构成了完整的身份管理闭环。

3、可选地，所述方法还包括：获取预设的平台安全等级与预先配置的认证策略之间的映射关系，所述预先配置的认证策略为一确定的认证维度组合，该认证维度组合包括：基础认证、生物特征认证和第三方授权认证中的至少一种的组合。该方式使得管理员能够基于业务需求为不同安全等级的平台配置可预测、可审计的认证策略，满足了企业的合规性要求。

4、进一步地，独立的会话令牌，具有根据所述终端平台的平台安全等级独立配置的生命周期。此举实现了对不同平台会话的精细化管理，高安全等级的平台可配置较短的令牌有效期以降低风险，而低安全等级的平台可配置较长的有效期以提升用户体验，兼顾了安全性与便利性。

5、在一种实施方式中，所述独立的会话令牌为jwt格式；且所述触发所述所有关联的终端平台执行会话失效操作，包括：向所述所有关联的终端平台推送包括所述会话令牌的唯一令牌标识jti作为待撤销令牌标识、一次性防重放随机数和签名的定向注销通知。采用jti进行定向撤销，确保了注销操作的精确性和安全性，避免了广播式注销可能带来的重放攻击风险和无法选择性注销的缺陷。

6、可选地，所述方法还包括：设置一在所有终端平台间共享的全局失败计数器，所述全局失败计数器用于记录认证失败次数；当所述认证失败次数达到预设阈值时，在所有关联的终端平台同时锁定所述用户。该机制提供了跨平台统一的暴力破解防护，有效阻止了攻击者通过切换平台绕过锁定策略的企图。

7、进一步地，所述将所述认证请求转换为标准内部格式包括：通过预先配置的平台适配插件，将各终端平台特有的api请求格式转换为标准内部格式。这种解耦的架构将平台差异封装在插件中，使得新增平台时无需修改核心认证逻辑，提升了系统的可扩展性并降低了集成成本。

8、在一种实施方式中，所述方法还包括：在接收所述认证请求前，对所述认证请求执行签名验证、频率限制和ip过滤中的至少一项操作。该前置安全校验能够有效抵御常见的网络攻击。

9、可选地，所述预设的关联凭据包括手机号码或电子邮箱地址；且在所述自动将所述其他终端平台的用户id与已有的所述统一身份标识符进行关联前，所述方法还包括：当检测到所述关联凭据存在映射冲突时，确认所述用户通过身份验证。该冲突检测机制确保了身份自动关联的准确性，有效防止了因手机号回收等场景导致的身份映射错误。

10、本发明还提供了一种支持多平台用户身份统一认证的系统，包括：一映射模块，用于在用户首次于任一终端平台注册时，为所述用户生成一全局唯一的统一身份标识符，并建立所述终端平台的用户id与所述统一身份标识符的映射关系；所述映射模块还用于当所述用户后续在其他终端平台注册时，通过预设的关联凭据识别为同一用户，并自动将所述其他终端平台的用户id与已有的所述统一身份标识符进行关联；接口适配模块，与所述映射模块通信连接，用于接收来自目标终端平台的、包含平台安全等级的认证请求，并将所述认证请求转换为标准内部格式；多维度认证模块，与所述接口适配模块通信连接，用于根据所述认证请求中的平台安全等级匹配预先配置的认证策略，并执行所述认证策略所指定的认证维度组合进行身份核验；会话管理模块，分别与所述多维度认证模块及所述映射模块通信连接，用于在所述身份核验通过后，查询与所述用户的统一身份标识符关联的所有终端平台，并为每一个关联的终端平台主动、预先生成并分发一个独立的会话令牌；所述会话管理模块还用于当从任一终端平台接收到注销请求时，根据所述用户的统一身份标识符定位其所有关联的终端平台，并触发所述所有关联的终端平台执行会话失效操作。

11、本发明还提供了一种计算机可读存储介质，其上存储有计算机程序，所述程序被处理器执行时实现如前所述的方法。

12、与现有技术相比，本发明具有以下有益效果：首先，通过标准化的接口适配层，将平台api差异封装，新增平台接入成本显著降低，系统扩展性强。其次，通过统一身份标识符实现了多平台用户身份的自动关联与统一视图管理。再次，提供了基于平台安全等级的预配置认证策略，其结果确定、可预测、可审计，满足了企业合规性要求。更重要的是，本发明将身份映射、会话令牌跨平台主动预同步与统一注销机制有机结合，实现了“注册即关联、认证即通行、注销即全局生效”的用户身份全生命周期协同闭环管理，提升了用户体验和系统安全性。