一种无线局域网接入认证方法、装置及系统与流程

本申请涉及互联网技术领域，尤其涉及一种无线局域网接入认证方法、装置及系统。

背景技术：

WLAN(Wireless Local Area Networks，无线局域网)是一种基于射频技术实现的无线网络，该技术能够很好地弥补有线网络的不足，以达到网络延伸之目的。以Wi-Fi(Wireless Fidelity，无线保真)技术为例，Wi-Fi是目前应用最为广泛的一种的无线局域网技术，配置Wi-Fi功能模块的终端设备(例如个人电脑、智能手机等)，通过无线方式接入AP(Access Point，无线访问接入点)后，就可以直接访问以太网。

终端用户在不同的地点希望使用WLAN进行上网连接时，常常要面对各种不同的组网者(包括个人、公共设施、运营商等)提供的WLAN，这就要求终端用户针对不同的WLAN，分别记忆、或在使用时分别输入相应的认证信息(用户名、密码等)，造成使用上的不便。针对该问题，一些第三方厂商提供了“统一接入认证”的方案，通过后台对接各种常用WLAN，而对终端用户屏蔽不同的认证流程，令用户只需要使用一个账户就可以直接接入不同组网者提供的WLAN。

现有的一种统一接入认证实现方案是：构建“客户端-服务端”架构的统一接入认证系统。在服务端预存有针对不同WLAN的登录认证信息，用户需要无线上网时，使用客户端通过认证系统内部账号登录到服务端，从服务端获取相应的WLAN认证信息(用户名、密码等)，然后向WLAN发起认证请求。这种方式的问题在于，整个流程中，WLAN的登录认证信息会多次传输，特别是在客户端侧收发登录认证信息的过程中，很容易被从外部进行网络包拦截，通过对网络包进行破解或复制，就能以相同的认证信息接入到对应的WLAN中。特别是对于“统一接入认证系统”而言，一旦出现被拦截的问题，可能导致大批量的认证信息泄露，造成很大的安全隐患。

技术实现要素：

针对上述技术问题，本申请提供一种无线局域网接入认证方法、装置及系统，技术方案如下：

根据本申请的第一方面，提供一种无线局域网接入认证方法，该方法包括：

认证客户端根据预设的动态口令算法、以及认证客户端本地标识，生成动态口令；

根据本申请的第二方面，提供认证客户端将所生成的动态口令通过无线局域网侧设备转发至认证服务端；

认证服务端对所述动态口令进行校验；

在动态口令校验正确的情况下，无线局域网侧设备允许所述认证客户端接入相应的无线局域网。

根据本申请的第三方面，提供一种无线局域网接入认证方法，应用于认证客户端该方法包括：

根据预设的动态口令算法、以及认证客户端本地标识，生成动态口令；

将所生成的动态口令通过无线局域网侧设备转发至认证服务端，以使得认证服务端对所述动态口令进行校验；

在动态口令校验正确的情况下，接入所述无线局域网侧设备对应的无线局域网。

根据本申请的第四方面，提供一种无线局域网接入认证方法，应用于认证服务端，该方法包括：

接收认证客户端发送、经无线局域网侧设备转发的动态口令，所述动态口令为：认证客户端根据预设的动态口令算法、以及认证客户端本地标识生成的动态口令；

对所述动态口令进行校验；

将校验结果发送给无线局域网侧设备，以使得无线局域网侧设备在动态口令校验正确的情况下，允许所述认证客户端接入相应的无线局域网。

根据本申请的第五方面，提供一种无线局域网接入认证系统，该系统包括认证客户端及认证服务端；

认证客户端根据预设的动态口令算法、以及认证客户端本地标识，生成动态口令；

认证客户端将所生成的动态口令通过无线局域网侧设备转发至认证服务端；

认证服务端对所述动态口令进行校验；

在动态口令校验正确的情况下，无线局域网侧设备允许所述认证客户端接入相应的无线局域网。

根据本申请的第六方面，提供一种无线局域网接入认证装置，应用于认证客户端，该装置包括：

动态口令生成模块，用于根据预设的动态口令算法、以及认证客户端本地标识，生成动态口令；

动态口令发送模块，用于将所生成的动态口令通过无线局域网侧设备转发至认证服务端，以使得认证服务端对所述动态口令进行校验；

接入控制模块，用于在动态口令校验正确的情况下，接入所述无线局域网侧设备对应的无线局域网。

一种无线局域网接入认证装置，应用于认证服务端，该装置包括：

动态口令接收模块，用于接收认证客户端发送、经无线局域网侧设备转发的动态口令，所述动态口令为：认证客户端根据预设的动态口令算法、以及认证客户端本地标识生成的动态口令；

动态口令校验模块，用于对所述动态口令进行校验；

校验结果反馈模块，用于将校验结果发送给无线局域网侧设备，以使得无线局域网侧设备在动态口令校验正确的情况下，允许所述认证客户端接入相应的无线局域网。

本申请所提供的技术方案，利用动态口令的形式实现无线局域网接入认证，不需要再保存固定的WLAN认证信息，即便动态口令在传输过程中被截获，也无法被重复使用，从而有效降低了安全隐患。另外，应用本申请方案，客户端向无线局域网侧设备发起认证请求，而不需要直接访问本方服务端，避免了无线局域网侧设备预先对服务端进行认证的需求，有效降低了实施和维护成本。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本申请。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请中记载的一些实施例，对于本领域普通技术人员来讲，还可以根据这些附图获得其他的附图。

图1是本申请的应用场景架构示意图；

图2是本申请的无线局域网接入认证方法的第一种流程示意图；

图3是本申请的无线局域网接入认证方法的第二种流程示意图；

图4是本申请的无线局域网接入认证系统的结构示意图；

图5是本申请的无线局域网接入认证客户端装置的结构示意图；

图6是本申请的无线局域网接入认证服务端装置的结构示意图。

具体实施方式

为了使本领域技术人员更好地理解本申请中的技术方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行详细地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员所获得的所有其他实施例，都应当属于本申请保护的范围。

无线局域网的架设门槛较低，仍以Wi-Fi为例，小到配置Wi-Fi功能模块的智能手机、家用无线路由器，大到更为专业的企业级、运营商级通信设备，都可以作为AP使用，从而方便组建各种规模、满足各种需求的无线局域网。另一方面，出于带宽控制、安全性或者盈利等方面的考虑，无线局域网的接入类型往往会被配置为“需要认证”，即要求终端设备完成必要的身份认证后才能通过无线局域网访问以太网。常见的身份认证方式包括：接入AP之前进行身份认证，通过AP访问以太网之前进行身份认证，等等。

其中，接入AP之前进行身份认证是指：用户需要提供特定的认证信息来接入AP，这里的认证信息一般是指俗称的“Wi-Fi密码”，针对某个特定AP，一旦用户输入了正确的Wi-Fi密码，就可以接入AP并且访问以太网。

通过AP访问以太网之前进行身份认证是指：用户不需要密码就可以接入AP，但是接入AP后，WLAN侧的认证设备会控制在用户设备上弹出登录界面，用户输入相应的用户名和密码之后，才能继续进行浏览网页、联网使用APP等各种上网操作。

为了向用户提供更好的“随时随地”上网体验，一些具有一定规模的机构会大范围布设AP，这类机构通常包括通信运营商、公共交通单位、大型连锁酒店、餐馆等等。以通信运营商为例，假设某通信运营商X布设了大量的AP：则用户终端只要能够连接到其中任意一个AP，认证通过后就可以使用通信运营商X提供的WLAN服务接入以太网。

考虑到各家组网机构的WLAN实际覆盖范围差异，当终端用户处于不同地点时，很可能需要接入不同机构提供的WLAN。为了避免终端用户分别记忆、输入针对各个机构的用户名、密码等认证信息，一些第三方厂商提供了“统一接入认证系统”的方案：通过系统后台对接各种常用WLAN，而对终端用户屏蔽不同的认证流程，用户只需要使用一个账户就可以快速接入这些WLAN。

现有的一种统一接入认证实现方案是：构建“客户端-服务端”架构的统一接入认证系统。终端用户该系统中注册账号后，将自己可以用的一家或多家WLAN认证信息存储在该系统中。用户需要无线上网时，使用客户端通过认证系统内部账号登录到服务端，从服务端获取相应的WLAN认证信息(用户名、密码等)，然后由客户端利用所获取的认证信息向WLAN侧发起认证请求。

例如，某用户可以使用中国移动、中国联通、公交公司、麦当劳这四家机构提供的WLAN服务，并且分别拥有使用这4家WLAN服务所需的登录用户名及密码。该用户在统一接入认证系统注册之后，系统在该用户名下保存上述4家机构的用户名及密码。假设用户当前需要接入“中国移动”的WLAN，则统一接入认证系统的客户端会从服务端取回(也可能是缓存在客户端本地)预存的“中国移动”用户名及密码，然后利用该用户名和密码向中国移动WLAN认证系统发起认证请求。如果用户希望接入其他WLAN，则接入认证流程类似。可见，这种方式有效地方便了用户使用，但是在整个流程中，用于登录WLAN的用户名和密码可能会多次在网络中进行传输，特别是在客户端侧收发这些信息的过程中，很容易被从外部进行网络包拦截，从而导致用户的WLAN用户名密码被盗用的情况发生。

针对上述问题，本申请提供一种基于动态口令实现的无线局域网接入认证方案。

图1所示为本申请的系统架构示意图，本申请方案涉及的交互实体包括：用户终端100、无线局域网侧设备200、统一接入认证系统侧设备300。其中，在用户终端100中配置有统一接入认证系统的客户端(下文将简称为“认证客户端”)，在统一接入认证系统侧设备300中配置有统一接入认证系统的服务端(下文将简称为“认证服务端”)。需要说明的是，这里的“客户端”不应狭义理解为C/S(客户端/服务器)架构下的客户端应用，事实上在基于B/S(浏览器/服务器)架构实现的方案中，也可以用浏览器打开特定网页来实现上述“认证客户端”的功能。

无线局域网侧设备200是WLAN服务提供方设备的统称，用户终端100和统一接入认证系统侧设备300可以同时接入多个WLAN服务提供方，每个服务提供方具体可以包括一个或多个相关设备，典型的配置方案可以是：一套WLAN网络核心功能设备+若干AP，这里的“核心功能设备”应具有基本的以太网接入功能以及接入认证功能，这些功能可以集成于一台设备上，也可以分布在多台设备上。当然，实际应用中，“无线局域网侧设备”的部署架构可能存在各种情况，例如，对于酒店、餐馆等机构而言，其提供的仅是AP，具体的以太网接入功能仍需要借助通信运营商的设备实现。本申请对“无线局域网侧设备”或“核心功能设备”的具体实现形式并不需要进行限定。

动态口令(Dynamic Password)是根据特定的算法生成的不可预测的随机文本串，每个生成的口令都有一定的使用限制，例如只能使用1次、只能使用n次、只在规定时间范围内有效等等。

基于上述系统架构及动态口令技术，本申请提供一种无线局域网接入认证方法，参见图2所示，该方法可以包括以下步骤：

S101，认证客户端根据预设的动态口令算法、以及认证客户端本地标识，生成动态口令；

假设认证客户端本地标识为x_i，动态口令算法为f(x)，则可以计算得到动态口令y_i＝f(x_i)，实际应用中，动态口令生成算法除了与认证客户端本地标识相关之外，还可以与其他随机参数相关，这里的随机参数可以是时间、事件等等。

对于已经生成的动态口令，还可以做进一步的处理，例如加密处理、加混淆处理、与客户端标识共同打包处理、等等，本申请对此不做限定。

S102，认证客户端将所生成的动态口令通过无线局域网侧设备转发至认证服务端；

认证客户端首先向WLAN侧设备发送接入请求，在请求中至少携带有上述生成的动态口令，实际的携带形式可以是经过例如加密处理、打包处理的动态口令。

WLAN侧设备接收到上述接入请求后，可以直接将接入请求转发至认证服务端，或者至少将动态口令及请求接入的客户端标识转发至认证服务端。需要注意的是，这里的客户端标识是指在“统一接入认证系统”中的客户端标识(具体形式可以用户名、运行客户端的终端设备硬件标识、等等)，而不是用于登录某个具体WLAN的用户名。

另外，实际应用中，WLAN侧设备可能涉及一个或多个执行交互实体、例如AP、接入认证设备等等，本申请对WLAN侧设备内部的交互流程不做限定。

S103，认证服务端对动态口令进行校验；

认证服务端接收到动态口令后，对该动态口令进行校验。这里进行校验的前提是：认证服务端与认证客户端预先约定了相同或相对应的算法。这样，对于给定的动态口令y_i及客户端标识x_i(即动态口令的发送方标识)，认证服务端能够通过约定的算法、针对客户端标识生成新的动态口令y_i'，然后比较y_i及y_i'是否一致，如果一致则确定校验通过。

如果认证客户端在生成动态口令时，用到了其他的随机参数，例如时间、事件等等，则认证服务端也应该能够获取到同样的随机参数，以便对认证客户端发来的动态口令进行校验。

当然，可以理解的是，认证服务端也可以通过对y_i反解的方式，实现对y_i的校验，原理与上述实施方式类似，这里不再详细说明。

S104，在动态口令校验正确的情况下，无线局域网侧设备允许认证客户端接入相应的无线局域网。

认证服务端可以将校验结果及客户端标识返回至WLAN侧设备，WLAN侧设备跟据校验结果决定是否允许该客户端标识对应的终端设备接入WLAN：如果校验正确，则允许接入，否则禁止接入。

认证服务端也可以仅在动态口令校验正确的情况下向WLAN侧设备返回确认消息，并在消息中携带客户端标识，WLAN侧设备接收到该消息后，可以直接允许该客户端标识对应的终端设备接入WLAN。

与现有的统一接入认证方案相比，本申请方案至少具有以下两方面优势：

从口令机制实现方面，本申请利用动态口令的形式实现无线局域网接入认证，不需要再保存固定的WLAN认证信息，即便动态口令在传输过程中被截获，也无法被重复使用，从而有效降低了安全隐患。

从交互流程实现方面：本申请方案中认证客户端是向WLAN侧设备发起认证请求，而不需要直接访问本方服务端，避免了WLAN侧设备预先对服务端进行认证的需求，不需要WLAN侧设备将认证服务端的IP地址或域名加入白名单，也不受认证服务端IP地址或域名改变的影响，从而有效降低了WLAN侧的实施和维护成本

下面结合具体的应用场景，对本申请的方案进行说明。

图3示出了一种应用于“对多家运营商Wi-Fi进行统一接入认证”场景的接入认证方案的交互流程图。在一次认证过程中，涉及的交互主体包括：Wi-Fi认证客户端、运营商AP、运营商认证系统、Wi-Fi认证服务端。其中“Wi-Fi认证客户端”配置于用户终端设备，“Wi-Fi认证服务端”配置于服务器设备、“运营商认证系统”可以是任意形式的运营商网络设备实体，本申请不需要进行限定。

动态口令采用OPT(One-Time Password，一次性动态口令)算法生成。OPT是目前较为通用的一种动态口令算法，特点是：每隔一定间隔时间生成一个与时间相关、不可预测的随机数字组合，每个口令只能使用一次。

OTP算法基于密钥和其他随机变量产生的一次性密码。每个OTP客户端都拥有属于自己的密钥，该密钥同时在服务端与客户端标识对应保存。对于本申请方案而言，“客户端”可以根据不同的登录用户名区分，也可以根据不同的运行客户端的终端设备硬件进行区分，例如同一登录用户名所使用的手机和平板电脑，会被视为两个不同的客户端。

在每次认证流程中，认证客户端根据本地的密钥、当前的随机参数(例如时间、事件等)，利用预设的算法生成动态口令，并将该动态口令发送至认证服务端。由于密钥、生成算法、随机参数的选取都是双方预先约定的，因此正常情况下，认证服务端也能够利用相同的密钥、随机参数、生成算法对该动态口令进行校验，如果校验通过，则认为当前用户是合法用户，从而允许其接入相应的WLAN。具体的认证流程如下：

S1，Wi-Fi认证客户端生成OTP code，并结合客户端账户信息生成加密的Token(访问令牌)。

OTP code基于时间、事件和密钥三个参数生成，这三个参数都应保证在客户端与服务端的同步性。

其中“密钥”与“客户端标识”对应，每个客户端拥有属于自己的密钥，同时在服务端保存有各个客户端与其密钥的对应关系。每个客户端的密钥可以具有唯一性，多个不同的客户端也可以在一定程度上复用相同的密钥。客户端标识可以是客户端的登录用户名、也可以是运行客户端的终端设备硬件标识(例如MAC地址)，也可以是多种标识信息的组合(例如“用户名+设备型号”)，本申请对客户端标识的具体形式不做限定。

“事件”参数一般较容易实现在客户端与服务端的同步性，例如当前需要进行“Wi-Fi接入认证”、“中国移动Wi-Fi接入认证”等等，这类事件信息都是客户端和服务端双方都能了解到的，因此可以作为“事件”参数使用，当然，本申请对于事件参数的具体形式也不需要进行限定。

“时间”参数可以按照实际的需求进行定义，例如定义：每隔1分钟对应一个不同的时间参数值、每隔5分钟对应一个不同的时间参数值、等等。客户端生成OTP code、服务端校验OTP code时，都可以获取当前的时间，正常情况下，动态口令从客户端到服务端的传输时延相对于时间参数生成间隔基本可以忽略不计，因此实际应用中也可以基本保证客户端和服务端双方的时间参数同步。

访问令牌Token可以采用加密及混淆的方式生成，基本方案如下：

Token＝Encrypt(用户标识，OTP Code，混淆信息，key)，相关参数解释如下：

Encrypt()为加密算法函数，使用key作为密钥，可以采用AES等算法实现。Encrypt()和key均为客户端和服务端双方预先约定的信息。需要说明的是：这里的“key”是生成Token时所使用的密钥，与前述的生成OTP code时所用的密钥不同。

用户标识：可以为客户端的登录用户名、用户编号等；

OTP Code：根据OTP算法生成的一次性口令。

混淆信息：作为一种优选方案，在生成Token时，可以加入混淆信息，以增加破解难度，混淆规则同样为客户端和服务端双方预先约定。

例如，定义：

content＝长度6字符串+userId+OTPCode+长度7字符串；

token＝AES(content,key)；

其中，content是由4部分拼接而成，除userId之外OTPCode，另外两部分均为混淆信息，混淆信息可以是任意字符。如果了解混淆拼接规则，就可以直接从content中去除首部6位、尾部7位的混淆信息，得到实际需要的信息，反之如果不了解混淆拼接规则，破解难度会明显提升。

S2，认证客户端通过运营商AP向运营商接入认证系统发起上网认证请求，在请求中携带上述生成的Token；

S3，运营商接入认证系统接收到上网认证请求后，透传请求中的Token信息，向认证服务端发起验证客户端身份请求；

S4，认证服务端解析Token，得到OTP code，然后进一步对该OTP code进行验证。

为了消除Token在运营商内部设备转发的延时影响，这里可以适当放宽对时间参数的校验要求，例如：认证服务端获取当前时间后，根据时间参数的定义规则，确定当前时间所对应的时间区段参数T_i，然后进一步获得T_i的前一个时间区段对应的参数T_i-1，然后分别利用T_i-1和T_i生成OTP code，只要有任意一个结果与客户端发送的OTP code一致，则可以认为校验通过，这样就避免了OTP code的在客户端生成时刻与在服务端的校验时刻刚好处于两个时间区段所导致的校验结果不一致问题。

S5，认证服务端将校验结果返回给运营商接入认证系统；

S6，运营商接入认证系统根据认证服务端返回的校验结果，决定是否允许客户端接入Wi-Fi，如果允许则在运营商AP上做放行操作；

S7，AP将接入放行结果返回给认证客户端，此时终端用户可以使用运营商Wi-Fi进行上网。

作为本申请的一种具体实施方式，上述方案可以作为统一接入认证系统对所有Wi-Fi运营商采用的一种标准的接入方案，任何与认证系统厂商的合作的运营商只需要按照标准流程接入即可，从而避免需要针对不同的Wi-Fi运营商实现多种不同认证方案的麻烦。

为了更清楚地说明本申请的方案，下面分别再从单侧的角度，对认证客户端与认证服务端执行的方法进行说明：

认证客户端侧执行的主要功能包括：

根据预设的动态口令算法、以及认证客户端本地标识，生成动态口令；

将所生成的动态口令通过WLAN侧设备转发至认证服务端，以使得认证服务端对动态口令进行校验；

在动态口令校验正确的情况下，认证客户端将被允许接入WLAN侧设备对应的WLAN。

认证服务端侧执行的主要功能包括：

接收认证客户端发送、经WLAN侧设备转发的动态口令；

根据预设的动态口令算法，对接收到的动态口令进行校验；

将校验结果发送给WLAN侧设备，以使得WLAN侧设备在动态口令校验正确的情况下，允许认证客户端接入相应的WLAN。

关于认证客户端与认证服务端的单侧执行方法细节，可以参见前面实施例的描述，这里不再赘述。

相应于上述方法实施例，本申请还提供一种无线局域网接入认证系统，参见图4所示，该系统可以包括：认证客户端110及认证服务端120；

认证客户端根据预设的动态口令算法、以及认证客户端本地标识，生成动态口令；

认证客户端将所生成的动态口令通过无线局域网侧设备转发至认证服务端；

认证服务端对动态口令进行校验；

在动态口令校验正确的情况下，无线局域网侧设备允许认证客户端接入相应的无线局域网。

在本申请的一种具体实施方式中，动态口令算法可以为OTP算法。

在本申请的一种具体实施方式中，认证客户端可以具体用于：

生成携带客户端标识、动态口令的访问令牌，并将所生成的访问令牌通过无线局域网侧设备转发至认证服务端。其中认证令牌可以利用加密算法生成。

在本申请的一种具体实施方式中，认证服务端可以具体用于：

接收到访问令牌后，从访问令牌中解析出动态口令，并对动态口令进行校验。

参见图5所示，本申请还提供一种应用于认证客户端的无线局域网接入认证装置，该装置可以包括：

动态口令生成模块111，用于根据预设的动态口令算法、以及认证客户端本地标识，生成动态口令；

动态口令发送模块112，用于将所生成的动态口令通过无线局域网侧设备转发至认证服务端，以使得认证服务端对动态口令进行校验；

接入控制模块113，用于在动态口令校验正确的情况下，接入无线局域网侧设备对应的无线局域网。

参见图6所示，本申请还提供一种应用于认证服务端的无线局域网接入认证装置，该装置可以包括：

动态口令接收模块121，用于接收认证客户端发送、经无线局域网侧设备转发的动态口令，动态口令为：认证客户端根据预设的动态口令算法、以及认证客户端本地标识生成的动态口令；

动态口令校验模块122，用于对动态口令进行校验；

校验结果反馈模块123，用于将校验结果发送给无线局域网侧设备，以使得无线局域网侧设备在动态口令校验正确的情况下，允许认证客户端接入相应的无线局域网。

上述装置中各个模块的功能和作用的实现过程具体详见前述方法实施例或系统实施例中的描述，在此不再赘述。

通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本申请可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例或者实施例的某些部分所述的方法。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置或系统实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的装置或系统实施例仅仅是示意性的，其中所述作为分离部件说明的模块可以是或者也可以不是物理上分开的，在实施本申请方案时可以把各模块的功能在同一个或多个软件和/或硬件中实现。也可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述仅是本申请的具体实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本申请原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本申请的保护范围。