用于智能体代理用户登录态的异构认证降级方法及系统与流程

本发明涉及身份认证，例如涉及一种用于智能体代理用户登录态的异构认证降级方法及系统。

背景技术：

1、近年来，大语言模型（large language model，llm）在自然语言理解、逻辑推理与任务规划等方面能力显著提升，推动ai agent（artificial intelligence agent，人工智能代理）从单一问答交互模式逐步演进为具备自主决策与多步骤执行能力的智能体。在办公自动化、企业服务智能化等场景中，ai agent已成为连接用户意图与企业内部系统的桥梁，承担信息查询、流程协助、任务代办等核心职能。

2、在此背景下，企业希望让部署在服务端的ai智能体代为操作分散在多个独立需鉴权的网页系统中的业务功能，如广告联盟平台的应用创建、数据查询、配置管理等。但服务端ai智能体部署于云端而非用户本地机器，其代为操作这些需鉴权网页系统的前提，是能够合法、安全地复用用户的登录态。

3、针对上述问题，现有技术提出了一些鉴权认证方案。例如，专利申请cn 121151026a公开了一种登录认证方法，通过登录中心响应于第一应用完成登录认证，向第一应用颁发登录票据，第一应用基于登录票据通过远端浏览器访问第二应用，根据登录票据对第一应用和第二应用的免登录关系进行验证，响应于第一应用和第二应用存在免登录关系，向第二应用发送验证成功信息，以使得第二应用免登录成功，响应于第一应用和第二应用不存在免登录关系，确定登录票据对应的中心登录态，根据中心登录态执行登录流程。利用企业现有sso系统支持的票据机制，由登录中心颁发票据并验证应用间免登录关系，使ai agent能够在浏览器自动化操作中合法携带用户身份凭证，从而通过目标系统的认证检查。又如，专利申请cn 122640223 a公开了一种应用接口用户代理人认证授权的方法，代理端在访问目标应用时，以用户名义访问，需要代理授权识别码作为访问请求参数，若代理端缺少代理授权识别码，则向认证端请求授权预检，若存在有效的代理授权凭证，则向代理端返回代理授权识别码，否则发起用户代理确权。通过代理授权识别码和保存于认证端的代理授权凭证，将用户登录和访问授权分开，使得代理端无需直接依赖于用户登录即可访问目标应用，智能体或机器流程自动化系统无需掌握用户账号密码而避免泄密风险，也不影响用户正常使用操作。

4、在实现本发明实施例的过程中，发现相关技术中至少存在如下问题：

5、智能体要代为调用的多个需鉴权网页系统接口鉴权机制高度异构，其认证方式完全不同，所依赖的认证凭证多样。现有技术方案虽能解决部分场景下的鉴权问题，但仅针对单一类型凭证进行降级，均未涉及异构认证机制间的降级切换。因此，亟需提供一种智能体代理用户登录态的异构认证降级方法，以在服务端智能体不持有用户密码且目标系统鉴权异构的前提下，安全代理用户登录态并维持接口调用的高成功率。

6、需要说明的是，在上述背景技术部分公开的信息仅用于加强对本发明的背景的理解，因此可以包括不构成对本领域普通技术人员已知的现有技术的信息。

技术实现思路

1、针对上述现有技术中存在的缺陷，本发明提供了一种用于智能体代理用户登录态的异构认证降级方法及系统，以在服务端智能体不持有用户密码且目标系统鉴权异构的前提下，安全代理用户登录态并维持接口调用的高成功率。

2、根据本发明实施例的一个方面，本发明提供一种用于智能体代理用户登录态的异构认证降级方法，包括：建立服务端智能体与用户浏览器扩展之间的长连接通信通道，对长连接通信通道进行健康度测量得到健康度评分，并对多种类型的认证凭证执行统一时效准入校验；在调用目标网页的业务功能前，根据统一时效准入校验的结果、健康度评分以及各执行路径对长连接通信通道的依赖关系，按照多级异构认证态执行路径的降级顺序，从多级异构认证态执行路径中裁决选择一条执行路径；使用所选择的执行路径，按照目标网页所对应的认证策略，构造与所选择的执行路径的认证机制相匹配的认证参数，并利用认证参数发起业务请求；发起业务请求后，基于健康度评分或所选择的执行路径的执行情况，按照多级异构认证态执行路径的降级顺序，向下沉降到下一级执行路径，并重新执行裁决选择。

3、可选地，对长连接通信通道进行健康度测量得到健康度评分，包括：根据最近一次心跳响应时刻与当前时刻的时长确定心跳新鲜度；根据调度失败次数与调度总次数的比值确定历史失败率；根据请求与响应之间的时间差确定往返时延；根据最近一次成功调用时刻与当前时刻的时长确定空闲度；按照预设权重，对归一化的心跳新鲜度、历史失败率、往返时延和空闲度进行加权融合，得到健康度评分。

4、可选地，根据统一时效准入校验的结果、健康度评分以及各执行路径对长连接通信通道的依赖关系，按照多级异构认证态执行路径的降级顺序，从多级异构认证态执行路径中裁决选择一条执行路径，包括：根据统一时效准入校验的结果，从多级异构认证态执行路径中排除所使用认证凭证未通过校验的执行路径，得到候选执行路径集合；设置迟滞状态机，其中迟滞状态机包括降级水位、回升水位、最小停留时长和连续达标预设次数；根据健康度评分相对于降级水位和回升水位的穿越方向、当前执行路径的停留时长与最小停留时长的关系、连续达标次数和连续达标预设次数的关系，以及当前执行路径对长连接通信通道的依赖关系，基于候选执行路径集合，按照降级顺序将当前执行路径向下沉降或向上回升，作为所选择的执行路径。

5、可选地，根据健康度评分相对于降级水位和回升水位的穿越方向、当前执行路径的停留时长与最小停留时长的关系、连续达标次数和连续达标预设次数的关系，以及当前执行路径对长连接通信通道的依赖关系，基于候选执行路径集合，按照降级顺序将当前执行路径向下沉降或向上回升，作为所选择的执行路径，包括：获得当前执行路径对长连接通信通道的依赖关系；确定当前执行路径为依赖长连接通信通道的执行路径后，判定健康度评分相对于降级水位和回升水位的穿越方向；确定穿越方向为自回升水位下降至降级水位，获得当前执行路径的停留时长，并根据当前执行路径的停留时长与最小停留时长的关系，在候选执行路径集合中，按照降级顺序确定低于当前执行路径的下一候选执行路径，作为所选择的执行路径；确定穿越方向为自降级水位上升至回升水位，获得当前执行路径的连续达标次数，并根据连续达标次数和连续达标预设次数的关系，在候选执行路径集合中，按照降级顺序确定高于当前执行路径的上一候选执行路径，作为所选择的执行路径。

6、可选地，当前执行路径为浏览器扩展代行路径；基于健康度评分，按照多级异构认证态执行路径的降级顺序，向下沉降到下一级执行路径，包括：从健康度评分的时间序列中，确定环形窗口内的健康度评分时间序列，并根据环形窗口的实际观测跨度，确定预测视界；对健康度评分时间序列的多个采样点进行最小二乘拟合，得到健康度评分趋势斜率，并计算最小二乘拟合的拟合置信度；根据当前健康度评分和健康度评分趋势斜率，外推预测视界后的预测健康度评分；基于健康度评分趋势斜率、预测健康度评分和当前健康度评分，根据拟合置信度生成强触发信号，以触发提前向下沉降到下一级执行路径。

7、可选地，当前执行路径为浏览器扩展代行路径；基于健康度评分，按照多级异构认证态执行路径的降级顺序，向下沉降到下一级执行路径，还包括：基于当前健康度评分，获得用户浏览器扩展的空闲状态、以及目标域认证凭证的时间新鲜度、关键凭证覆盖率、字段完整度和探针新鲜度；对时间新鲜度、关键凭证覆盖率、字段完整度和探针新鲜度进行加权求和，得到综合新鲜度评分；基于用户浏览器扩展的空闲状态和综合新鲜度评分，向用户浏览器扩展发送轻量预热请求，或者，根据拟合置信度生成软触发信号，以触发向用户浏览器扩展发送轻量预热请求；基于轻量预热请求，控制用户浏览器扩展在用户已登录的浏览器上下文中访问目标网页，刷新目标域cookie，并将刷新后的目标域cookie同步至服务端缓存，作为下一级执行路径的认证凭证。

8、可选地，当前执行路径为浏览器扩展代行路径；基于健康度评分，按照多级异构认证态执行路径的降级顺序，向下沉降到下一级执行路径，还包括：触发提前向下沉降到下一级执行路径之前，获得下一级执行路径的近期成功率、所用凭证的陈旧程度、认证复杂度以及所需关键cookie的覆盖不足程度；根据近期成功率、陈旧程度、认证复杂度、以及覆盖不足程度，计算沉降到下一级执行路径的预期代价；基于预期代价，维持当前执行路径，并触发向用户浏览器扩展发送紧急预热请求；获得用户浏览器扩展基于紧急预热请求返回的紧急预热结果，根据紧急预热结果更新下一级执行路径的近期成功率和所用认证凭证的陈旧程度，以更新下一级执行路径的预期代价；根据更新后的预期代价，重新执行裁决选择。

9、可选地，获得健康度评分趋势斜率后，用于智能体代理用户登录态的异构认证降级方法还包括：聚合多个用户的健康度评分趋势斜率，根据健康度评分趋势斜率确定劣化用户和活跃用户，并统计劣化用户数与活跃用户数的占比；根据占比和活跃用户数，确定群体性故障情况，并基于群体性故障情况，抑制对所有用户的主动预热和紧急预热；抑制对所有用户的主动预热和紧急预热后，将当前执行路径沿多级异构认证态执行路径的降级顺序向下沉降，或者使服务端智能体进入自愈恢复状态以引导用户完成身份认证；使用沉降后的执行路径重新发送业务请求，或者在自愈恢复状态结束后重新执行裁决选择并重新发送业务请求。

10、可选地，对多种类型的认证凭证执行统一时效准入校验后，用于智能体代理用户登录态的异构认证降级方法还包括：根据统一时效准入校验的结果，确定目标网页所对应的目标后台系统的认证凭证未通过校验后，根据后台系统与sso网关之间的拓扑映射，溯源目标后台系统所属的目标sso网关；将目标sso网关下所有后台系统的执行路径标记为失效，以使标记为失效的执行路径在后续裁决选择中被排除；合并触发一次针对目标sso网关的重新授权引导，以替代对目标sso网关下每一后台系统分别触发重新授权引导；重新授权引导完成后，恢复目标sso网关下所有后台系统的认证态，并重新执行裁决选择。

11、根据本发明实施例的另一方面，本发明还提供一种用于智能体代理用户登录态的异构认证降级系统，实现前述用于智能体代理登录态的异构认证降级方法，异构认证降级系统包括：长连接通信模块，被配置为建立服务端智能体与用户浏览器扩展之间的长连接通信通道；健康度度量模块，被配置为对长连接通信通道进行健康度测量，得到健康度评分；时效准入校验模块，被配置为对多种类型的认证凭证执行统一时效准入校验；执行路径裁决模块，被配置为在调用目标网页的业务功能前，根据统一时效准入校验的结果、健康度评分以及各执行路径对长连接通信通道的依赖关系，按照多级异构认证态执行路径的降级顺序，从多级异构认证态执行路径中裁决选择一条执行路径；认证参数构造模块，被配置为使用所选择的执行路径，按照目标网页所对应的认证策略，构造与所选择的执行路径的认证机制相匹配的认证参数，并利用认证参数发起业务请求；降级控制模块，被配置为在发起业务请求后，基于健康度评分或所选择的执行路径的执行情况，按照多级异构认证态执行路径的降级顺序，向下沉降到下一级执行路径，并触发执行路径裁决模块重新执行裁决选择。

12、本发明提供的用于智能体代理用户登录态的异构认证降级方法及系统，至少包括如下有益技术效果：

13、1、通过建立服务端智能体与用户浏览器扩展之间的长连接通信通道、对通道进行健康度连续测量、对多类型认证凭证执行统一时效准入校验，并在调用目标网页业务功能前按降级顺序从多级异构认证态执行路径中裁决选择执行路径，使得服务端智能体在不持有用户密码且目标系统鉴权异构的条件下，通过复用服务端令牌、浏览器实时会话或缓存cookie等已有登录态完成认证，并在某条路径失效时沿降级顺序切换至下一级执行路径，从而安全代理用户登录态并维持接口调用的高成功率。

14、2、通过时效准入校验排除凭证失效路径得到候选执行路径集合，再以迟滞状态机在候选集合中按降级顺序进行沉降或回升，避免健康度评分在阈值附近波动时执行路径频繁横跳，提高路径选择的稳定性。

15、3、通过对健康度评分时间序列进行最小二乘拟合和外推预测，在健康度评分尚未跌破降级阈值但预测将跌破时提前生成强触发信号，使系统在连接实际劣化前提前降级，避免正在执行的请求承受劣化连接的超时或失败代价。

16、4、通过在扩展空闲且综合新鲜度评分不足时主动发送轻量预热请求，刷新目标域cookie并同步至服务端缓存作为下一级执行路径的认证凭证，使降级切换时刻缓存凭证已新鲜可用，避免降级后因凭证陈旧而失败；通过在提前降级前计算下一级执行路径的预期代价，在预期代价过高时维持当前路径并触发紧急预热，预热成功后再重新裁决，避免盲目降级到凭证陈旧或覆盖率不足的路径，实现降级决策的经济性自适应。

17、5、通过聚合多个用户的健康度评分趋势斜率判定群体性故障，在群体性故障时抑制所有用户的主动预热和紧急预热，避免无效预热浪费资源、污染失败率统计并放大平台故障，提升群体故障场景下的系统稳定性；同时，通过后台系统与sso网关的拓扑映射，在任一后台系统认证凭证失效时批量标记同网关下所有后台系统的执行路径失效，并合并触发一次重新授权引导，避免逐个后台系统重复触发授权引导造成用户骚扰和重复探测同一网关。