用于处理跨域数据的方法、第一服务器及第二服务器与流程

本发明涉及通信技术领域，尤其是涉及一种用于处理跨域数据的方法、第一服务器及第二服务器。

背景技术：

目前，用户通过互联网获取的信息或发布的数据，属于其他用户不可获取的隐私数据。用户可以通过一些提供信息发布的服务商来实现数据的分享。换句话说，用户产生的数据被能够实现数据分享的服务商所控制。服务商利用对用户发布的数据或信息的控制，形成了该服务商的自治域。不同服务商的自治域间禁止相互访问，即属于第一服务商的用户不能访问第二服务商的自治域内其他用户的数据。

技术实现要素：

本发明提供了一种用于处理跨域数据的方法、第一服务器及第二服务器，能够实现归属不同服务商的用户间的数据的处理。

第一方面，提供了一种用于处理跨域数据的方法，所述方法包括：第一服务器接收用户发送的第一数据操作请求，所述第一服务器用于向用户提供接入服务，所述第一数据操作请求用于请求对数字对象进行处理，所述第一数据操作请求包括所述用户的令牌和所述数字对象的标识；所述第一服务器根据所述第一数据操作请求包括的所述数字对象的标识，确定所述第一数据操作请求的目标域为第二服务器的自治域；所述第一服务器删除所述第一数据操作请求包括的所述用户的令牌，获得第二数据操作请求，所述第二数据操作请求包括所述数字对象的标识；所述第一服务器向第二服务器发送所述第二数据操作请 求。

结合第一方面，在第一方面的第一种可能的实现方式中，所述第一数据操作请求还包括用户的标识，所述方法还包括：所述第一服务器根据所述第一数据操作请求包括的所述数字对象的标识，确定所述第一数据操作请求的目标域为所述第一服务器的自治域；所述第一服务器根据对应关系、所述用户的令牌和所述用户的标识，确定所述用户已通过认证，所述对应关系包括所述用户的令牌和所述用户的标识；所述第一服务器根据所述用户的标识，获得数字对象操作权限，所述数字对象操作权限为所述第一服务器对与所述用户相关的数字对象的操作权限；所述第一服务器根据所述数字对象操作权限和所述数字对象的标识，对所述数字对象进行处理。

结合第一方面或第一方面的第一种可能的实现方式，在第一方面的第二种可能的实现方式中，所述第一服务器接收用户发送的第一数据操作请求之前，所述方法还包括：所述第一服务器接收所述用户发送的接入请求，所述接入请求用于请求获得令牌，所述接入请求包括所述用户的标识；所述第一服务器根据所述用户的标识，确定所述用户属于所述第一服务器的自治域；所述第一服务器对所述用户进行认证；所述第一服务器确定所述用户通过认证后，向所述用户发送与所述用户的标识对应的所述用户的令牌。

第一服务器对用户进行认证，其认证方法可以但不限于通过该用户的公钥来解密用户的数字签名完成认证。

结合第一方面或第一方面的第一种可能的实现方式，在第一方面的第三种可能的实现方式中，所述第一服务器接收用户发送的第一数据操作请求之前，所述方法还包括：所述第一服务器接收所述用户发送的接入请求，所述接入请求用于请求获得令牌，所述接入请求包括所述用户的标识；所述第一服务器根据所述用户的标识，确定所述用户不属于所述第一服务器的自治域；所述第一服务器请求第三服务器对所述用户进行认证；所述第一服务器确定所述用户通过所述第三服务器的认证后，向所述用户发送与所述用户的标识对应的所述用 户的令牌。

结合第一方面至第一方面的第三种可能的实现方式中的任意一种可能的实现方式，在第一方面的第四种可能的实现方式中，所述数字对象为存储于第四服务器的虚拟数字对象，所述第一服务器根据所述数字对象操作权限和所述数字对象的标识，对所述数字对象进行处理包括：所述第一服务器根据所述数字对象的标识，获取位置指针，所述位置指针用于表示所述第四服务器存储所述数字对象的地址；所述第一服务器根据所述位置指针，从所述第四服务器获取所述数字对象；所述第一服务器根据所述数字对象操作权限，对所述数字对象进行处理。

数字对象可以是存储在第四服务器的虚拟数字对象，

虚拟数字对象有唯一的标识，虚拟数字对象的内容并没有真正存储在第一服务器中，而是一个位置指针，用于指示第一服务器获得虚拟数字对象的内容的地址。

结合第一方面的第二种至第一方面的第四种可能的实现方式中的任意一种可能的实现方式，在第一方面的第五种可能的实现方式中，所述数字对象的标识包括数字对象组标识；所述第一服务器根据所述数字对象操作权限和所述数字对象的标识，对所述数字对象进行处理，包括：所述第一服务器根据所述数字对象操作权限和所述数字对象组标识，对所述数字对象组标识中的每个成员进行处理。

第二方面，提供了一种用于处理跨域数据的方法，所述方法包括：第二服务器接收第一服务器发送的数据操作请求，所述数据操作请求用于请求对数字对象进行处理，所述数据操作请求包括所述数字对象的标识和用户的标识，所述第二服务器的自治域为所述数据操作请求的目标域；所述第二服务器请求第三服务器对所述用户进行认证；所述第二服务器确定所述用户通过所述第三服务器的认证后，根据所述数据操作请求中的所述用户的标识获得数字对象操作权限，所述数字对象操作权限为所述第二服务器对与所述用户相关的数字对象 的操作权限；所述第二服务器根据所述数字对象操作权限和所述数字对象的标识，对所述数字对象进行处理。

其中，第三服务器是用于对用户进行认证的服务器，第三服务器对应用户的注册域，是用户通过注册能够获得用户标识的域，即注册域为用户分配用户标识。第二服务器根据用户的标识获得用户的注册域，并获得注册域对应的第三服务器的地址，例如第三服务器的IP地址等。第二服务器可请求第三服务器对该用户进行认证。

结合第二方面，在第二方面的第一种可能的实现方式中，所述第二服务器请求第三服务器对所述用户进行认证之后，所述方法还包括：所述第二服务器确定所述用户通过所述第三服务器的认证后，向所述用户发送与所述用户的标识对应的所述用户的令牌。

结合第二方面或第二方面的第一种可能的实现方式，在第二方面的第二种可能的实现方式中，所述数字对象为存储于第四服务器的虚拟数字对象，所述第二服务器根据所述数字对象操作权限和所述数字对象的标识，对所述数字对象进行处理包括：所述第二服务器根据所述数字对象的标识，获取位置指针，所述位置指针用于表示所述第四服务器存储所述数字对象的地址；所述第二服务器根据所述位置指针，从所述第四服务器获取所述数字对象；所述第二服务器根据所述数字对象操作权限，对所述数字对象进行处理。

第三方面，提供了一种第一服务器，所述第一服务器用于向用户提供接入服务，所述第一服务器包括：接收单元，用于接收用户发送的第一数据操作请求，所述第一数据操作请求用于请求对数字对象进行处理，所述第一数据操作请求包括所述用户的令牌和所述数字对象的标识；确定单元，用于根据所述第一数据操作请求包括的所述数字对象的标识，确定所述第一数据操作请求的目标域为第二服务器的自治域；执行单元，用于删除所述第一数据操作请求包括的所述用户的令牌，获得第二数据操作请求，所述第二数据操作请求包括所述数字对象的标识；发送单元，用于向第二服务器发送所述第二数据操作请求。

结合第三方面，在第三方面的第一种可能的实现方式中，所述第一数据操作请求还包括用户的标识；所述确定单元，还用于根据所述第一数据操作请求包括的所述数字对象的标识，确定所述第一数据操作请求的目标域为所述第一服务器的自治域；所述第一服务器还包括：获得单元，用于根据对应关系、所述用户的令牌和所述用户的标识，确定所述用户已通过认证后，根据所述用户的标识获得数字对象操作权限，所述对应关系包括所述用户的令牌和所述用户的标识，所述数字对象操作权限为所述第一服务器对与所述用户相关的数字对象的操作权限；所述执行单元，还用于根据所述数字对象操作权限和所述数字对象的标识，对所述数字对象进行处理。

结合第三方面或第三方面的第一种可能的实现方式，在第三方面的第二种可能的实现方式中，所述接收单元，还用于接收所述用户发送的接入请求，所述接入请求用于请求获得令牌，所述接入请求包括所述用户的标识；所述确定单元，还用于根据所述用户的标识，确定所述用户属于所述第一服务器的自治域；所述执行单元，还用于对所述用户进行认证；所述发送单元，还用于确定所述用户通过认证后，向所述用户发送与所述用户的标识对应的所述用户的令牌。

结合第三方面或第三方面的第一种可能的实现方式，在第三方面的第三种可能的实现方式中，所述接收单元，还用于接收所述用户发送的接入请求，所述接入请求用于请求获得令牌，所述接入请求包括所述用户的标识；所述确定单元，还用于根据所述用户的标识，确定所述用户不属于所述第一服务器的自治域；所述执行单元，还用于请求第三服务器对所述用户进行认证；所述发送单元，还用于确定所述用户通过所述第三服务器的认证后，向所述用户发送与所述用户的标识对应的所述用户的令牌。

结合第三方面至第三方面的第三种可能的实现方式中的任意一种可能的实现方式，在第三方面的第四种可能的实现方式中，所述数字对象为存储于第四服务器的虚拟数字对象；所述执行单元，具体用于根据所述数字对象的标识， 获取位置指针，所述位置指针用于表示所述第四服务器存储所述数字对象的地址；根据所述位置指针，从所述第四服务器获取所述数字对象；根据所述数字对象操作权限，对所述数字对象进行处理。

结合第三方面的第二种至第三方面的第四种可能的实现方式中的任意一种可能的实现方式，在第三方面的第五种可能的实现方式中，所述数字对象的标识包括数字对象组标识；所述执行单元，具体用于根据所述数字对象操作权限和所述数字对象组标识，对所述数字对象组标识中的每个成员进行处理。

第四方面，提供了一种第二服务器，所述第二服务器包括：接收单元，用于接收第一服务器发送的数据操作请求，所述数据操作请求用于请求对数字对象进行处理，所述数据操作请求包括所述数字对象的标识，和用户的标识，所述第二服务器的自治域为所述数据操作请求的目标域；执行单元，用于请求第三服务器对所述用户进行认证；获得单元，用于确定所述用户通过所述第三服务器的认证后，根据所述数字操作请求中的用户的标识获得数字对象操作权限，所述数字对象操作权限为所述第二服务器对与所述用户相关的数字对象的操作权限；所述执行单元，还用于根据所述数字对象操作权限和所述数字对象的标识，对所述数字对象进行处理。

结合第四方面，在第四方面的第一种可能的实现方式中，所述第二服务器还包括：发送单元，用于确定所述用户通过所述第三服务器的认证后，向所述用户发送与所述用户的标识对应的所述用户的令牌。

结合第四方面或第四方面的第一种可能的实现方式，在第四方面的第二种可能的实现方式中，所述数字对象为存储于第四服务器的虚拟数字对象，所述执行单元，具体用于根据所述数字对象的标识，获取位置指针，所述位置指针用于表示所述第四服务器存储所述数字对象的地址；根据所述位置指针，从所述第四服务器获取所述数字对象；根据所述数字对象操作权限，对所述数字对象进行处理。

第五方面，提供了一种第一服务器，所述第一服务器用于向用户提供接入 服务，所述第一服务器包括：接口、处理器和存储有程序代码的存储器，处理器从存储器中读取与程序代码对应的指令，并按照读取的指令执行如下操作：

通过所述接口，接收用户发送的第一数据操作请求，所述第一数据操作请求用于请求对数字对象进行处理，所述第一数据操作请求包括所述用户的令牌和所述数字对象的标识；

根据所述第一数据操作请求包括的所述数字对象的标识，确定所述第一数据操作请求的目标域为第二服务器的自治域；删除所述第一数据操作请求包括的所述用户的令牌，获得第二数据操作请求，所述第二数据操作请求包括所述数字对象的标识；

通过所述接口，向第二服务器发送所述第二数据操作请求。

结合第五方面，在第五方面的第一种可能的实现方式中，所述处理器还用于：

根据所述第一数据操作请求包括的所述数字对象的标识，确定所述第一数据操作请求的目标域为所述第一服务器的自治域；

根据对应关系、所述用户的令牌和所述用户的标识，确定所述用户已通过认证后，根据所述用户的标识获得数字对象操作权限，所述对应关系包括所述用户的令牌和所述用户的标识，所述数字对象操作权限为所述第一服务器对与所述用户相关的数字对象的操作权限；

根据所述数字对象操作权限和所述数字对象的标识，对所述数字对象进行处理。

结合第五方面或第五方面的第一种可能的实现方式，在第五方面的第二种可能的实现方式中，所述处理器还用于：

通过所述接口，接收所述用户发送的接入请求，所述接入请求用于请求获得令牌，所述接入请求包括所述用户的标识；根据所述用户的标识，确定所述用户属于所述第一服务器的自治域；对所述用户进行认证；确定所述用户通过认证后，通过所述接口，向所述用户发送与所述用户的标识对应的所述用户的 令牌。

结合第五方面或第五方面的第一种可能的实现方式，在第五方面的第三种可能的实现方式中，所述处理器还用于：

通过所述接口，接收所述用户发送的接入请求，所述接入请求用于请求获得令牌，所述接入请求包括所述用户的标识；根据所述用户的标识，确定所述用户不属于所述第一服务器的自治域；

请求第三服务器对所述用户进行认证；

确定所述用户通过所述第三服务器的认证后，通过所述接口，向所述用户发送与所述用户的标识对应的所述用户的令牌。

结合第五方面至第五方面的第三种可能的实现方式中的任意一种可能的实现方式，在第五方面的第四种可能的实现方式中，所述数字对象为存储于第四服务器的虚拟数字对象；

所述处理器，具体用于根据所述数字对象的标识，获取位置指针，所述位置指针用于表示所述第四服务器存储所述数字对象的地址；根据所述位置指针，从所述第四服务器获取所述数字对象；根据所述数字对象操作权限，对所述数字对象进行处理。

结合第五方面的第二种至第五方面的第四种可能的实现方式中的任意一种可能的实现方式，在第五方面的第五种可能的实现方式中，所述数字对象的标识包括数字对象组标识；所述处理器，具体用于所述第一服务器根据所述数字对象操作权限和所述数字对象组标识，对所述数字对象组标识中的每个成员进行处理。

第六方面，提供了一种第二服务器，所述第二服务器包括接口、处理器和存储有程序代码的存储器，处理器从所述存储器中读取与程序代码对应的指令，执行如下操作：

通过所述接口，接收接收第一服务器发送的数据操作请求，所述数据操作请求用于请求对数字对象进行处理，所述数据操作请求包括所述数字对象的标 识和用户的标识，所述第二服务器的自治域为所述数据操作请求的目标域；

请求第三服务器对所述用户进行认证；

确定所述用户通过所述第三服务器的认证后，根据所述数据操作请求中的用户的标识获得数字对象操作权限，所述数字对象操作权限为所述第二服务器对与所述用户相关的数字对象的操作权限；

根据所述数字对象操作权限和所述数字对象的标识，对所述数字对象进行处理。

结合第六方面，在第六方面的第一种可能的实现方式中，所述处理器，还用于确定所述用户通过所述第三服务器的认证后，通过所述接口，向所述用户发送与所述用户的标识对应的所述用户的令牌。

结合第六方面或第六方面的第一种可能的实现方式，在第六方面的第二种可能的实现方式中，所述数字对象为存储于第四服务器的虚拟数字对象，所述处理器，具体用于根据所述数字对象的标识，获取位置指针，所述位置指针用于表示所述第四服务器存储所述数字对象的地址；根据所述位置指针，从所述第四服务器获取所述数字对象根据所述数字对象操作权限，对所述数字对象进行处理。

通过采用上述技术方案，第一服务器接收用户发送的第一数据操作请求，根据第一数据操作请求包括的数字对象的标识，确定第一数据操作请求的目标域为第二服务器的自治域，第一服务器删除第一数据操作请求包括的用户的令牌，获得第二数据操作请求，第一服务器向第二服务器发送第二数据操作请求。所述第一服务器在确定请求进行数据处理的用户不是所述第一服务器的自治域内的服务器后，将操作请求发送给用户的目标域对应的第二服务器，由第二服务器对用户的操作请求进行处理，能够实现归属不同服务商的用户间的数据的处理。

附图说明

图1为本发明实施例一提供的用于处理跨域数据的方法流程图；

图2为本发明实施例一提供的数字对象结构示意图；

图3为本发明实施例一提供的用于处理跨域数据的方法流程图；

图4为本发明实施例二提供的用于处理跨域数据的方法流程图；

图5为本发明实施例三提供的第一服务器的示意图；

图6为本发明实施例三提供的第二服务器的示意图；

图7为本发明实施例三提供的第一服务器的示意图；

图8为本发明实施例三提供的第二服务器的示意图。

具体实施方式

针对通常情况下存在的不同服务商的自治域间禁止相互访问，即属于第一服务商的用户不能访问第二服务商的自治域内其他用户的数据的问题，本发明提出的技术方案中，第一服务器接收用户发送的第一数据操作请求，根据第一数据操作请求包括的数字对象的标识，确定第一数据操作请求的目标域为第二服务器的自治域，第一服务器删除第一数据操作请求包括的用户的令牌，获得第二数据操作请求，第一服务器向第二服务器发送第二数据操作请求。第一服务器在确定请求进行数据处理的用户不是所述第一服务器的自治域内的服务器后，将操作请求发送给用户的目标域对应的第二服务器，由第二服务器对用户的操作请求进行处理，能够实现归属不同服务商的用户间的数据的处理。

下面将结合各个附图对本发明实施例技术方案的主要实现原理、具体实施方式及其对应能够达到的有益效果进行详细地阐述。

在本发明各实施例提出的技术方案中，根据数据存储和数据操作的实现方式，划分为不同的域，分别包含接入域、注册域(Register domain)、目标域和转发域。其中，接入域，是用户访问数字对象时所连接的第一个域。若用户没有发生漫游接入的情况下，该用户的接入域和注册域是相同的域，若用户发生漫游接入的情况下，可以通过获取的接入域，漫游接入以获得更好的用户体验。 注册域，是用户通过注册能够获得用户标识的域，即注册域为用户分配用户标识。用户在某个域中创建和退出的过程，由每个域决定如何实现，例如可以通过不同于的服务商的网页门户(web portal)，或者通过该域的客户端程序等进行创建或退出。当用户在某个域中创建成功时，在该域内将生成一个对应用户的数字对象，该数字对象中可以包含该用户用于认证的一些信息，例如可以包括但不限于是一个公钥。目标域，是指一个操作涉及的目标，即待进行操作的数字对象所在的域，例如，存储该待被操作的数字对象的服务器。转发域，是指在接收到操作请求时，该域既不是接入域，也不是目标域。只是用于将接收到的数据操作请求发给目标域，或者将接收到的接入请求转发给注册域。

其中，本发明提供的实施例中，数据操作请求可以是请求对数字对象进行创建、删除、修改以及读取等任意一种操作，在此不一一举例。

上述各种类型的域是从单个用户的单个操作角度来区分的逻辑分类。在具体实施中，同时实现上述各种类型域的功能，来实现针对不同用户对不同数字对象的各种操作。

实施例一

本发明实施例一提出一种用于处理跨域数据的方法，如图1所示，该方法具体处理流程如下述：

11，用户发送第一数据操作请求。

其中，第一数据操作请求是用于请求对数字对象进行处理，第一数据操作请求中包括该用户的令牌和数字对象的标识。

对数字对象进行处理，可以但不限于包含对数字对象进行创建、删除、读取等操作。如图2所示，为本发明实施例提出的一种数字对象组成示意图，数字对象包括数字对象的标识，以及和数字对象的标识对应的该数字对象的属性。数字对象的标识能够唯一标识该数字对象。每个数字对象可以具有一个或者多个属性，数字对象的属性可以通过键(key)-值(value)对构成。在数字对象的属性中，键的功能种类可以用于表示该数字对象的各种权限、可以是数 字对象的大小。其中，若键是用于表示该数字对象的各种权限时，该权限可以是访问权限、处理权限等。每个对数字对象的数据操作请求对应一个权限。在数字对象的属性中，值可以是用户标识，标识该用户对该数字对象有执行对应操作的权限。举一例进行详细阐述，假设数字对象的标识为AAAA，与AAAA对应的键值对为访问权限-用户A，则表示用户的标识为用户A的用户可以对该数字对象进行访问。相应地，数字对象的属性中，值还可以是操作权限，例如读取、删除或者修改权限等。

在数字对象的属性中，数字对象的标识对应的属性还可以是该数字对象的标识对应的数字对象的大小，数字对象的大小可以通过键标识。例如某个键是大小(size)，对应的值是1024(单位缺省为字节)，则表示这个数字对象的标识对应的数字对象的大小是1024字节。

在数字对象的属性中，数字对象的标识对应的属性中的键的值还可以是另一个数字对象的标识。例如，数字对象的标识为AAAA，其对应的值为BBBB。在本发明各实施例提出的技术方案中，数字对象的标识对应的键中，一部分可以设置为唯一的，这样可以避免不同服务域之间互通时造成误解的问题。一部分键可以设置为通用的，一部分键可以设置为由特定应用定义的，这种基于键、值的的方式对数字对象的属性进行定义方法，提供了灵活性和扩展性。

数字对象的标识可以通过域名表示，通过域名可以确定出数字对象归属的注册域。例如数字对象的标识为：URI:AAAAA.com/pic1，则可以判断该数字对象pic1的注册域为AAAAA.com。

本发明实施例一提出的技术方案中，将以第一数据操作请求为用户请求对数字对象进行删除为例进行详细阐述。后文将继续沿用该示例。

用户向第一服务器发送第一数据操作请求，第一数据操作请求用于请求删除数字对象的标识为AAAA的数字对象。

12，第一服务器接收用户发送的第一数据操作请求。

第一服务器用于向用户提供接入服务，第一服务器对应接入域。

13，第一服务器根据第一数据操作请求包括的数字对象的标识，判断第一数据操作请求的目标域是否是第一服务器的自治域，如果判断结果为否，执行14，如果判断结果为是，执行17。

第一服务器获得第一数据操作请求中的数字对象的标识，根据数字对象的标识确定第一数据操作请求的目标域是否是第一服务器的自治域。

第一服务器获得数字对象的标识为AAAA，根据AAAA确定第一数据操作请求的目标域是否是第一服务器的自治域。

14，第一服务器根据第一数据操作请求包括的数字对象的标识，确定第一数据操作请求的目标域为第二服务器的自治域，第一服务器获得第一数据操作请求中的数字对象的标识，根据数字对象的标识，确定接收到的第一数据操作请求的目标域是第二服务器的自治域，执行15。

在上述14中，第一服务器根据数字对象的标识AAAA，确定数字对象AAAA存储在第二服务器的自治域中。

15，第一服务器删除第一数据操作请求包括的用户的令牌，获得第二数据操作请求。

第二数据操作请求包括数字对象的标识。例如第二数据操作请求中包括AAAA。

第一服务器删除第一数据操作请求中包含的用户的令牌，可以较好地保护和用户之间的隐私数据，提高数据访问的安全性。

可选地，第二数据操作请求还可以包括用户的标识，用户的标识与用户的令牌对应。

例如，假设用户的标识为BBB时，第二数据操作请求中包括AAAA—BBB。

16，第一服务器向第二服务器发送第二数据操作请求。

其中，第一服务器接收第一数据操作请求，以及第一服务器向第二服务器发送第二数据操作请求时，可以基于handle系统协议中定义的会话标识(session ID)，维护一个上游(即第一服务器)session ID与下游(即第二服务器)session ID之间的对应关系。这样从下游接收到响应消息之后，就可以转发到相应的上游，直至返回给发送该第一数据操作请求的用户。

17，第一服务器根据第一数据操作请求包括的数字对象的标识，确定第一数据操作请求的目标域为第一服务器的自治域，第一服务器根据对应关系、用户的令牌和用户的标识，确定用户已通过认证。

对应关系包括通过认证的用户的令牌和通过认证的用户的标识。第一服务器确定该对应关系包括用户的令牌和该用户的标识，确定该用户已通过认证。

其中，在用户第一次注册时，为用户提供注册的服务器，例如该服务器时第一服务器，以及第一服务器对应注册域，第一服务器为通过注册的用户分配通过认证的用户的标识和用户的令牌，相应地，在注册域中存储该通过认证的用户的标识和用户的令牌的对应关系。后续在确定用户是否是认证通过的用户时，第一服务器根据在第一数据操作请求中获得的用户的标识和用户的令牌的对应关系，并和维护的通过认证的用户的标识和用户的令牌的对应关系比较，若比对结果一致时，确定该用户通过认证。否则，确定该用户未通过认证。

18，第一服务器根据用户的标识，获得数字对象操作权限。

数字对象操作权限为第一服务器对与用户相关的数字对象的操作权限。

19，第一服务器根据数字对象操作权限和数字对象的标识，对数字对象进行处理。

在上述17至19中，第一数据操作请求的目标域是第一服务器的自治域，第一服务器在接收到的第一数据操作请求中获取令牌，根据存储的令牌和用户标识之间的对应关系，通过获取的令牌和用户的标识，确定用户已通过认证后，再根据用户的标识获得该用户的标识对应的用户的操作权限。如果该用户对该数字对象有与第一数据操作请求对应的权限，则第一服务器根据第一数据操作请求对数字对象进行处理。反之，如果该用户对该数字对象没有与第一数据操作请求对应的权限，则第一服务器拒绝对该数字对象按照第一数据操作请求进行处理。

可选地，数字对象还可以是存储在第四服务器的虚拟数字对象。

虚拟数字对象有唯一的标识，虚拟数字对象的内容并没有真正存储在第一服务器中，而是一个位置指针，用于指示第一服务器可以从哪里获得虚拟数字对象的内容。虚拟数字对象可以是任意一个服务器的地址，该服务器的地址可以是IP地址、MAC地址等。第一服务器根据数字对象操作权限和数字对象的标识，对数字对象进行处理包括：

第一服务器根据数字对象的标识，获取位置指针，第一服务器根据位置指针，从第四服务器获取数字对象，第一服务器根据数字对象操作权限，对数字对象进行处理。其中，位置指针用于表示第四服务器存储数字对象的地址。

可选地，在上述11第一服务器接收用户发送的第一数据操作请求之前，如图3所示，该方法还可以包括：

30，用户发送接入请求。

用户可以通过web portal或者客户端程序发送接入请求，接入请求用于请求获得令牌，接入请求包括用户的标识。以接入请求为login请求为例进行详细阐述，后文将继续沿用该login请求。login请求中包含用户的标识，该用户的标识以user ID为例。

在handle协议中，增加新的操作符(Op_Code)：OC_Login，和对应的响应符(ResponseCode)：RC_Login。用户发送Login请求时，Login请求中携带操作符OC_Login，Login请求正文中，携带user ID。

31，第一服务器接收用户发送的接入请求。

32，第一服务器根据用户的标识，确定该用户是否属于第一服务器的自治域，如果判断结果为是，执行33，反之如果判断结果为否，执行35。

第一服务器根据user ID判断该用户是否是是属于第一服务器的自治域，例如：当第一服务器的自治域的用户ID是通过域名来表示时，例如URI:AAAAA.com/jeffrey，则可以判断该用户jeffrey的自治域为AAAAA.com。

33，第一服务器根据用户的标识，确定该用户属于第一服务器的自治域， 第一服务器对用户进行认证。

第一服务器对用户进行认证，其认证方法可以但不限于通过该用户的公钥来解密用户的数字签名完成认证。例如，可以采用RFC3651中定义的过程对用户进行认证，其处理流程如下：第一服务器向用户发送一个挑战(challenge)；用户接收challenge；用户侧的客户端程序或者其它用于接入的程序使用用户的私钥对challenge进行加密，构成数字签名，返回给第一服务器。第一服务器接收用户侧发送的数字签名。第一服务器使用用户的公钥对接收到的数字签名进行解密，将解密后得到的challenge与发送的challenge进行比对，如果一致，则认为该用户通过认证，反之，则该用户不通过认证。

34，第一服务器确定用户通过认证后，向用户发送与用户的标识对应的用户的令牌。

如果认证通过，第一服务器向用户发送一个与该用户绑定的令牌，后续该用户发送的携带该令牌的消息，将被第一服务器信任为来自该用户的消息。

一个具体的实施例是扩展handle系统协议：新增响应符(ResponseCode)：RC_Login，在消息的正文中，携带令牌(Token)，token可以是一个固定长度的随机字符串。同时在第一服务器中，维护一个用户的标识与token的对应关系。

35，第一服务器根据用户的标识，确定用户不属于第一服务器的自治域，第一服务器请求第三服务器对用户进行认证。

36，第三服务器接收第一服务器发送的认证请求。

37，第三服务器对用户进行认证。

其中第三服务器是用于对用户进行认证的服务器，第三服务器对应用户的注册域，是用户通过注册能够获得用户标识的域，即注册域为用户分配用户标识。第一服务器根据用户的标识，确定用户不属于第一服务器的自治域，第一服务器根据用户的标识(user ID)获得用户的注册域，并获得注册域对应的第三服务器的地址，例如第三服务器的IP地址等。

第一服务器请求第三服务器对该用户进行认证，其中，第三服务器对用户进行认证的一个实施例可以是基于RFC3652的handle协议进行扩展实现，其具体处理流程如下：第三服务器向用户发送一个挑战challenge。用户接收challenge。用户侧的客户端程序或者其它用于接入的程序使用用户的私钥对challenge进行加密，构成数字签名，返回给第三服务器。比如：扩展handle系统协议，基于目前RFC3652第3.5.3节定义的challenge-response verification-request和challenge-response verification-response过程，新增加消息操作符OC_Code：challenge-response auth-request，消息正文中除了当前challenge-response verification-request操作的challenge和Challenge Response(用户的数字签名)之外，携带user ID，通过handle协议，发送给第三服务器。第三服务器接收用户侧发送的数字签名。第三服务器使用用户的公钥对接收到的数字签名进行解密，将解密后得到的challenge与发送的challenge进行比对，如果一致，则认为该用户通过认证，反之，则该用户不通过认证。

38，第三服务器向第一服务器发送认证结果。

第三服务器将认证结果通过新增的消息操作符OC_Code：challenge-response auth-response携带，发送给第一服务器。

39，第一服务器接收第三服务器发送的认证结果。

40，第一服务器确定用户通过第三服务器的认证后，向用户发送与用户的标识对应的用户的令牌。

第一服务器向用户发送一个与该用户绑定的令牌，后续该用户发送的携带该令牌的消息，第一服务器可根据携带该令牌的消息中的令牌和携带该令牌的消息中的用户的标识，来对该用户进行认证。

本发明实施例一上述提出的技术方案中，数字对象可以是单个数字对象，或者是数字对象组(Group Digital Object)。其中，数字对象是数字对象组时，该数字对象组有唯一的ID，数字对象组中包含成员列表，在成员列表里面可以是具体的数据，也可以是另一个或多个数字对象的标识。

本发明实施例二提出的技术方案中，对数字对象进行操作，包含对数字对象本身内容和数字对象的属性的各种操作，可以包括但不限于对数字对象进行创建、删除和读取等操作。针对数据库类型的数字对象，对数字对象进行操作包括用户对该数字对象中的记录进行操作，比如增加、删除、修改和查看等。

在第一服务器根据数字对象操作权限和数字对象的标识，对数字对象进行处理时，如果涉及的用户是用户组第一服务器会对接收到的每个第一数据操作请求中的用户的标识进行识别，如果是用户组的标识，第一服务器获得用户组中所有成员用户的ID和相应的信息，如成员的通信地址等，将认证消息发送给每个成员用户。在第一服务器根据数字对象操作权限和数字对象的标识，对数字对象进行处理时，如果涉及的数字对象是数字对象组时，则对该数字对象组的所有操作，将实施到该数字对象组的成员中。例如如果是对某个数字对象组进行读取，则第一服务器将读取数字对象组中的每个成员。举一例进行对上述内容进行详细阐述：

假设用户组的标识为BBB，用户组的成员包括B1、B2和B3。第一服务器根据数字对象操作权限和数字对象的标识，对数字对象进行处理时，如果涉及的用户是用户组，该种情况下，第一服务器对需要分别对用户组的成员B1、B2和B3进行认证，并将认证消息分别发送给B1、B2和B3。假设B1、B2通过认证，B3未通过认证，当用户组的成员中包含认证失败的成员B3时，确定该用户组的标识BBB对应的用户组未通过认证，反之，当用户组的所有成员B1、B2和B3均通过认证时，确定该用户组通过认证，这样可以较好地提高系统的安全性。在一种实施方式中，对用户组的成员进行认证完成时，假设B1、B2通过认证，B3未通过认证，也可以允许通过认证的B1、B2对数字对象进行处理。

假设数字对象组的标识为CCCC，数字对象组的成员包括C1、C2和C3。第一服务器根据数字对象操作权限和数字对象的标识，对数字对象进行处理时，如果涉及的数字对象是数字对象组CCCC时，则对该数字对象组的所有操 作，将实施到该数字对象组的成员中。例如如果是对CCCC进行读取，则第一服务器将分别读取C1、C2和C3。

实施例二

本发明实施例二提出一种用于处理跨域数据的方法，为便于阐述，本发明实施例二提出的技术方案中，将服务器做出区分，如图4所示，其处理流程如下述：

40，第一服务器发送数据操作请求。

41，第二服务器接收第一服务器发送的数据操作请求。

其中，在上述40至41中，数据操作请求用于请求对数字对象进行处理，数据操作请求包括数字对象的标识和用户的标识。第二服务器的自治域为数据操作请求的目标域。

42，第二服务器在数据操作请求中获得用户的标识。

43，第二服务器请求第三服务器对用户进行认证。

44，第三服务器接收第二服务器发送的请求对用户进行认证的请求。

45，第三服务器对用户进行认证。

其中第三服务器是用于对用户进行认证的服务器，第三服务器对应用户的注册域，是用户通过注册能够获得用户标识的域，即注册域为用户分配用户标识。

认证的具体方法：基于RFC3652的handle协议进行扩展。第二服务器收到数据操作请求，使用该数据操作请求中的用户的标识(user ID)获取用户的标识归属的注册域，从而获得相应的第三服务器的信息，比如第三服务器的IP地址等。具体地，第二服务器使用handle系统协议完成以下过程：第二服务器向用户返回一个challenge。用户侧使用用户的私钥对challenge进行加密，构成数字签名，并将构成的数字签名发送给第二服务器。第二服务器接收数字签名。第二服务器将接收到的数字签名发送给第三服务器。其中，扩展handle系统协议，基于RFC3652定义的challenge-response verification-request和 challenge-response verification-response过程，新增加消息操作符OC_Code：challenge-response auth-request，消息正文中除了当前challenge-response verification-request操作的challenge和ChallengeResponse(用户的数字签名)之外，携带user ID，App ID(可选)，通过handle协议，发送给第三服务器。第三服务器接收数字签名。第三服务器用该用户的公钥对接收到的数字签名进行解密，与challenge进行核对。

46，第三服务器向第二服务器发送认证结果。

第三服务器将认证结果通过新增的消息操作符OC_Code：challenge-response auth-response携带，发送给第二服务器。

47，第二服务器接收第三服务器发送的认证结果。

为了提高认证的效率，该第二服务器可以通过查询用户的标识，获得该用户的公钥，用于下次使用，但如果该公钥解密之后的数字签名无效，有可能是用户密钥变更，第二服务器仍需通过第三服务器来对用户进行认证。

48，第二服务器确定用户通过第三服务器的认证后，根据用户的标识获得数字对象操作权限。

其中数字对象操作权限为第二服务器对与用户相关的数字对象的操作权限。

49，第二服务器根据数字对象操作权限和数字对象的标识，对数字对象进行处理。

在上述方法流程中，如图2所示的数字对象组成示意图，数字对象包括数字对象的标识，以及和数字对象的标识对应的该数字对象的属性。数字对象的标识能够唯一标识该数字对象。每个数字对象可以具有一个或者多个属性，数字对象的属性可以通过键(key)-值(value)对构成。

进一步地，在数字对象的key-value对中，还可以通过扩展字段，该扩展字段用于表示审批用户，扩展字段中的值可以是一个或者多个审批用户的标识。审批用户的标识是用于表示当需要对该数字对象进行操作时，需要得到该 审批用户的标识对应的审批用户许可。用户通过认证之后，第二服务器获得数字对象操作权限，即查看数字对象的权限控制属性，核对该用户是否有权限实施该操作，如果第二服务器获得的数字对象操作权限是该用户有执行该操作的权限，但需要某些用户的同意，即审批，则第二服务器在对该数字对象进行操作之前，会发送一个审批申请消息，在审批申请消息中携带相应的操作申请信息，例如申请操作的用户的标识，该审批申请消息可以发送给数字对象中扩展字段的审批用户的标识对应是审批用户。如果用户有对该数字对象进行操作处理的权限，且获得审批用户的同意，则第二服务器在获得审批用户发送的审批同意消息时，第二服务器根据数字对象操作权限和数字对象的标识，对数字对象进行处理。如果用户没有执行该操作的权限，或未得到审批用户的同意，第二服务器拒绝对该数字对象进行操作。举一例进行详细阐述：

假设第一用户的标识为UE1，第二用户的标识为UE2，数字对象的标识为AAAA，在数字对象AAAA的key-value对的扩展字段中，包含UE2，UE1发送请求对数字对象AAAA进行修改的数据操作请求，Z在UE1认证通过时，第二服务器确定UE1可以对数字对象AAAA进行修改，但是对数字对象AAAA进行修改的前提条件时需要得到UE2的审批，即需要获得UE2的许可之后，才可以对数字对象AAAA进行修改。此时，第二服务器发送审批申请消息，用于请求UE2的审批，该审批申请消息中可以包含第一用户的标识UE1，第二用户接收到审批申请消息时，允许第一用户UE1对该数字对象进行修改时，回复审批同意消息，则第二服务器在接收到审批同意消息时，对该数字对象AAAA执行修改。

可选地，在上述第二服务器请求第三服务器对用户进行认证之后，该方法还包括：

第二服务器确定用户通过第三服务器的认证后，向用户发送与用户的标识对应的用户的令牌。

其中，数字对象可以是存储在第四服务器的虚拟数字对象，第二服务器根 据数字对象操作权限和数字对象的标识，对数字对象进行处理包括：第二服务器根据数字对象的标识，获取位置指针，第二服务器根据位置指针，从第四服务器获取数字对象，第二服务器根据数字对象操作权限，对数字对象进行处理。

位置指针用于表示第四服务器存储数字对象的地址。

本发明实施例二上述提出的技术方案中，数字对象可以是单个数字对象，或者是数字对象组(Group Digital Object)。其中，数字对象组有唯一的ID，数字对象组有一个成员列表，成员列表里面可以是具体的数据，也可以是另一个数字对象的标识。

本发明实施例二提出的技术方案中，对数字对象进行操作，包含对数字对象本身内容和数字对象属性的各种操作，可以包括但不限于对数字对象进行创建、删除和读取等操作。对于数据库类型的数字对象，对数字对象进行操作包括用户对该数字对象中的记录进行操作，比如增加、删除、修改和查看等。

在第二服务器根据数字对象操作权限和数字对象的标识，对数字对象进行处理时，如果涉及的用户是用户组第二服务器会对接收到的每个数据操作请求中的用户的标识进行识别，如果是用户组的标识，第二服务器获得用户组中所有成员用户的ID和相应的信息，如成员的通信地址等，将认证消息发送给每个成员用户。在第二服务器根据数字对象操作权限和数字对象的标识，对数字对象进行处理时，如果涉及的数字对象是数字对象组时，则对该数字对象组的所有操作，将实施到该数字对象组的成员中。例如如果是对某个数字对象组进行读取，则第二服务器将读取数字对象组中的每个成员。

实施例三

本发明实施例三提出了第一服务器，如图5所示，所述第一服务器用于向用户提供接入服务，该第一服务器包括：

接收单元501，用于接收用户发送的第一数据操作请求，所述第一数据操作请求用于请求对数字对象进行处理，所述第一数据操作请求包括所述用户的令牌和所述数字对象的标识。

确定单元502，用于根据所述第一数据操作请求包括的所述数字对象的标识，确定所述第一数据操作请求的目标域为第二服务器的自治域。

执行单元503，用于删除所述第一数据操作请求包括的所述用户的令牌，获得第二数据操作请求，所述第二数据操作请求包括所述数字对象的标识。

发送单元504，用于向第二服务器发送所述第二数据操作请求。

其中，所述第一数据操作请求还包括用户的标识；上述确定单元，还用于根据所述第一数据操作请求包括的所述数字对象的标识，确定所述第一数据操作请求的目标域为所述第一服务器的自治域。

上述第一服务器还包括：获得单元，用于根据对应关系、所述用户的令牌和所述用户的标识，确定所述用户已通过认证后，根据所述用户的标识获得数字对象操作权限，所述对应关系包括所述用户的令牌和所述用户的标识，所述数字对象操作权限为所述第一服务器对与所述用户相关的数字对象的操作权限。

上述执行单元，还用于根据所述数字对象操作权限和所述数字对象的标识，对所述数字对象进行处理。

其中，上述接收单元501，还用于接收所述用户发送的接入请求，所述接入请求用于请求获得令牌，所述接入请求包括所述用户的标识；所述确定单元502，还用于根据所述用户的标识，确定所述用户属于所述第一服务器的自治域；所述执行单元503，还用于对所述用户进行认证；所述发送单元，还用于确定所述用户通过认证后，向所述用户发送与所述用户的标识对应的所述用户的令牌。

其中，所述接收单元501，还用于接收所述用户发送的接入请求，所述接入请求用于请求获得令牌，所述接入请求包括所述用户的标识；所述确定单元502，还用于根据所述用户的标识，确定所述用户不属于所述第一服务器的自治域；所述执行单元503，还用于请求第三服务器对所述用户进行认证；所述发送单元，还用于确定所述用户通过所述第三服务器的认证后，向所述用户发 送与所述用户的标识对应的所述用户的令牌。

具体地，所述数字对象为存储于第四服务器的虚拟数字对象；所述执行单元503，具体用于根据所述数字对象的标识，获取位置指针，所述位置指针用于表示所述第四服务器存储所述数字对象的地址；根据所述位置指针，从所述第四服务器获取所述数字对象；根据所述数字对象操作权限，对所述数字对象进行处理。

具体地，所述数字对象的标识包括数字对象组标识；所述执行单元503，具体用于根据所述数字对象操作权限和所述数字对象组标识，对所述数字对象组标识中的每个成员进行处理。

本发明实施例三上述提出的第一服务器包括的各单元组成可以分开设置在不同的设备中，也可以集中设置在同一个设备中，上述第一服务器包括的接收单元、确定单元、执行单元以及发送单元的具体实施原理请参见上述实施例一中的用于处理跨域数据的方法的详细阐述，本发明实施例三不再赘述。

本发明实施例三还提出一种第二服务器，如图6所示，所述第二服务器包括：

接收单元601，用于接收第一服务器发送的数据操作请求，所述数据操作请求用于请求对数字对象进行处理，所述数据操作请求包括所述数字对象的标识，和用户的标识，所述第二服务器的自治域为所述数据操作请求的目标域。

执行单元603，用于请求第三服务器对所述用户进行认证。

获得单元602，用于确定所述用户通过所述第三服务器的认证后，根据所述操作请求中的用户的标识获得数字对象操作权限，所述数字对象操作权限为所述第二服务器对与所述用户相关的数字对象的操作权限。

所述执行单元603，还用于根据所述数字对象操作权限和所述数字对象的标识，对所述数字对象进行处理。

其中，所述装置还包括：发送单元，用于确定所述用户通过所述第三服务器的认证后，向所述用户发送与所述用户的标识对应的所述用户的令牌。

所述数字对象为存储于第四服务器的虚拟数字对象，所述执行单元，具体用于根据所述数字对象的标识，获取位置指针，所述位置指针用于表示所述第四服务器存储所述数字对象的地址；根据所述位置指针，从所述第四服务器获取所述数字对象；根据所述数字对象操作权限，对所述数字对象进行处理。

本发明实施例三上述提出第二服务器包括的各单元可以分开设置在不同的设备中，也可以集中设置在同一个设备中。上述第二服务器包括的接收单元、获得单元、执行单元以及发送单元的具体实施原理请参见上述实施例二中的用于处理跨域数据的方法的详细阐述，本发明实施例三不再赘述。

本发明实施例还提出一种第一服务器，如图7所示，其结构组成如下述：

第一服务器包括接口701、存储器702以及处理器703。接口701、存储器702以及处理器703之间通过总线连接，并通过总线传输数据。处理器703从存储器702存储的程序中读取指令，执行如下操作：

通过所述接口701，接收用户发送的第一数据操作请求，所述第一服务器用于向用户提供接入服务，所述第一数据操作请求用于请求对数字对象进行处理，所述第一数据操作请求包括所述用户的令牌和所述数字对象的标识；

根据所述第一数据操作请求包括的所述数字对象的标识，确定所述第一数据操作请求的目标域为第二服务器的自治域；

删除所述第一数据操作请求包括的所述用户的令牌，获得第二数据操作请求，所述第二数据操作请求包括所述数字对象的标识；

通过所述接口701，向第二服务器发送所述第二数据操作请求。

在上述第一服务器的结构组成中，接口701用于执行上述实施例一中的11和12中的传输第一数据操作请求的功能。处理器703用于执行上述13至19中的全部功能，具体地，第一服务器中的接口701以及处理器703的具体实施原理请参见上述实施例一中的详细阐述，这里不再赘述。

本发明实施例三还提出一种第二服务器，如图8所示的结构。第二服务器包括接口801、存储器802和处理器803。第二服务器包括的处理器803可从 存储器802存储的程序读取出指令，执行下述操作：

通过所述接口801，接收接收第一服务器发送的数据操作请求，所述数据操作请求用于请求对数字对象进行处理，所述数据操作请求包括所述数字对象的标识和用户的标识，所述第二服务器的自治域为所述数据操作请求的目标域；

请求第三服务器对所述用户进行认证；

确定所述用户通过所述第三服务器的认证后，根据所述操作请求中的用户的标识获得数字对象操作权限，所述数字对象操作权限为所述第二服务器对与所述用户相关的数字对象的操作权限；

根据所述数字对象操作权限和所述数字对象的标识，对所述数字对象进行处理。

在本发明实施例三提出的上述第一服务器和第二服务器中，接口可以为以下一种或多种：提供有线接口的网络接口控制器(network interface controller，NIC)，例如以太网NIC，该以太网NIC可以提供铜线和/或光纤接口；提供无线接口的NIC，例如无线局域网(wireless local area network，WLAN)NIC。

存储器可以是易失性存储器(volatile memory)，例如随机存取存储器(random-access memory，RAM)；或者非易失性存储器(non-volatile memory)，例如快闪存储器(flash memory)，硬盘(hard disk drive，HDD)或固态硬盘(solid-state drive，SSD)；或者上述种类的存储器的组合

处理器可以是中央处理器(central processing unit，CPU)，或者是CPU和硬件芯片的组合。信号处理器还可以是网络处理器(network processor，NP)。或者是CPU和NP的组合，或者是NP和硬件芯片的组合。

上述硬件芯片可以是以下一种或多种的组合：专用集成电路(application-specific integrated circuit，ASIC)，现场可编程逻辑门阵列(field-programmable gate array，FPGA)，复杂可编程逻辑器件(complex programmable logic device，CPLD)。

本领域的技术人员应明白，本发明的实施例可提供为方法、装置(设备)、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、只读光盘、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、装置(设备)和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。