一种解决JWT授权的安全下载方法技术

本发明专利技术公开了一种解决JWT授权的安全下载方法，包括以下步骤：浏览器端通过授权接口获取临时授权凭证，该接口被安全保护，需要登陆系统才可以访问，该凭证是临时性的且只能使用一次，并与文件下载导出接口绑定；再获取到的临时授权凭证传递到系统，系统“安全下载处理器”识别该接口是否为安全下载接口，如果是进行授权ID、KEY校验，若校验通过则允许执行下载操作，若通过系统则不允许执行下载操作；系统需要实现一个注解或者通过配置方试，将该接口标记为受“安全下载控制保护”的接口，同时系统需实现“安全下载处理器”，该安全下载处理器能够识别注解和配置，这样系统就能够识别接口是不是受安全下载控制。不是受安全下载控制。不是受安全下载控制。

【技术实现步骤摘要】
一种解决JWT授权的安全下载方法


[0001]本专利技术属于网络授权
，具体涉及一种解决JWT授权的安全下载方法。

技术介绍

[0002]现有技术中，使用JWT登陆授权并通过HTTPHeader传输TOKEN到系统后端的登陆授权后，通过浏览器进行文件下载、导出文件将无法得到安全保护，因为文件下载、导出文件是通过浏览器表单提交的请求，所以无法将JWTTOKEN放入HTTPHeader中，就无法将JWTTOKEN传输到服务后端导致文件无法进行下载、导出，在最初解决方案是直接将该下载接口忽略安全校验或者将JWTTOKEN作为URL查询参数传递到后端，但是这些方案都不安全的。

技术实现思路

[0003]针对现有技术中的不足之处，本专利技术提供一种解决JWT授权的安全下载方法，以实现JWT+HTTP Header、OAuth+HTTP Header、OAuth2+HTTP Header、TOKEN+HTTP Header等类似传输TOKEN信息的登陆授权方案的文件安全下载。
[0004]为了达到上述目的，本专利技术技术方案如下：一种解决JWT授权的安全下载方法，包括以下步骤：S1系统需要实现一个受登陆保护的授权接口，浏览器端通过该授权接口获取临时授权凭证，要求该接口被安全保护，需要登陆系统才可以访问，该凭证是临时性的且只能使用一次，并且与访问的目标“文件下载导出接口”绑定；S2获取到临时授权凭证后请求目标“文件下载导出接口”，将步骤S1获取到的临时授权凭证传递到系统，系统“安全下载处理器”识别该接口是否为安全下载接口，如果是进行授权ID、KEY校验，如果校验通过则允许执行下载操作，如果不通过系统不允许执行下载操作；S3安全下载接口的识别方式：系统需要实现一个注解或者通过配置方试，将该接口标记为受“安全下载控制保护”的接口，同时系统需实现“安全下载处理器”，该安全下载处理器能够识别注解和配置，这样系统就能够识别接口是否受安全下载控制。
[0005]进一步的，所述步骤S1中，实现与目标“文件下载导出接口”绑定，浏览器申请授权凭证时将目标“文件下载导出接口”的URL PATH作为参数传递到“授权接口”，“授权接口”提供一个参数接收URL PATH，接收到URL PATH后使用一种算法将URL PATH计算出一个授权ID、KEY，这样该ID、KEY只能适用于该绑定的目标“文件下载接口”不能适用于其它接口，除支持和URL PATH绑定外，还可以将URL PATH、请求参数传递给授权接口形成一对一绑定（请求参数与请求目标“文件下载导出接口”时的完全一致），这样就能做到更细粒度的安全控制，该ID、KEY只能适用于本次并且请求参数必须完全一致的请求。
[0006]有益效果：本专利技术能够对浏览器进行文件下载、导出文件进行安全保护。
附图说明
[0007]图1为本专利技术的流程图。
具体实施方式
[0008]以下参照具体的实施例来说明本专利技术。本领域技术人员能够理解，这些实施例仅用于说明本专利技术，其不以任何方式限制本专利技术的范围。
[0009]一种解决JWT授权的安全下载方法，如图1所示，包括以下步骤：（1）通过拦截器或者AOP方式，实现安全下载处理器；（2）实现授权凭证签发接口；（3）实现目标“文件下载导出接口”，同时在接口上添加安全下载Annotation(注解)，或者将该接口配置到安全下载列表，让系统能够识别该接口是安全下载接口；（4）通过授权凭证接口获取临时授权凭证，由于该接口受登陆安全保护，访问该接口前需要登陆系统；（5）请求文件下载接口，同时将获取到的临时凭证通过目标接口传递到目标系统；（6）安全下载处理器识别接口为安全下载接口；（7）从请求中获取授权凭证进行授权凭证校验，验证通过允许下载，否则禁止下载。
本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种解决JWT授权的安全下载方法，其特征在于，包括以下步骤：S1系统需要实现一个受登陆保护的授权接口，浏览器端通过该授权接口获取临时授权凭证，要求该接口被安全保护，需要登陆系统才可以访问，该凭证是临时性的且只能使用一次，并且与访问的目标“文件下载导出接口”绑定；S2获取到临时授权凭证后请求目标“文件下载导出接口”，将步骤S1获取到的临时授权凭证传递到系统，系统“安全下载处理器”识别该接口是否为安全下载接口，如果是进行授权ID、KEY校验，如果校验通过则允许执行下载操作，如果不通过系统不允许执行下载操作；S3安全下载接口的识别方式：系统需要实现一个注解或者通过配置方试，将该接口标记为受“安全下载控制保护”的接口，同时系统需实现“安全下载处理器”，该安全下载处理器能够识别注解和配置，这样系统...

【专利技术属性】
技术研发人员：王波，
申请(专利权)人：贵州东彩供应链科技有限公司，
类型：发明
国别省市：