CN111935125B - 基于分布式架构的鉴权方法、装置及微服务系统 - Google Patents

Abstract

本发明实施例公开了一种基于分布式架构的鉴权方法、装置及微服务系统，所述方法包括：在接收到鉴权请求时，对鉴权请求进行报文解析以得到解析数据；对验签结果及鉴权请求参数明文进行验证；若验签结果及鉴权请求明文进行验证均通过，从预设数据库中读取渠道权重配置；根据渠道权重配置确定鉴权请求所对应的指向渠道；发送鉴权请求至指向渠道，以使指向渠道组装对应的外部渠道所需的请求参数；发送包含请求参数的接入请求至对应的外部渠道；若对应的外部渠道接收到接入请求，对接入请求进行认证以得到认证结果；根据认证结果确定鉴权请求的鉴权结果。本发明实施例可增加鉴权的安全性和可信度，保证较好的适配性和稳定性。

Description

基于分布式架构的鉴权方法、装置及微服务系统

技术领域

本发明实施例涉及计算机技术领域，尤其涉及一种基于分布式架构的鉴权方法、装置及微服务系统。

背景技术

随着计算机技术、网络技术、数据库技术的高速发展，各个行业广泛地将上述技术应用于社会生活及实际生产过程中。与此同时，越来越多的个人和企业将更多的业务活动在线上开展，网络的安全问题变得相对关键和重要。

身份认证是系统审查用户身份的过程,从而确定该用户是否具有对某种资源的访问和使用权限。身份认证技术在信息安全中处于重要的地位，是信息安全的基础。只有实现了相对有效的身份认证，才能保证访问控制、安全审计、入侵防范等安全机制的有效实施。因此，利用数字证书、加密算法、数字签名等加密技术，建立起安全程度极高和方便使用的身份认证系统，能够确保有效信息传递和有效的业务操作。此外，由于第三方支付公司的所有业务都与人们的财产挂钩，它的安全直接关系到人们的货币财产安全，因此，其应用高安全程度的身份认证系统是有必要的。特别近年来，随着金融业和计算机行业的快速发展，移动端的网络交易越来越受到人们的关注和使用，信息安全就更为重要。

随着微服务的流行，将应用微服务化的思想受到了广大架构师的青睐。在微服务架构下，一个应用会被拆分成若干个微应用，每个微应用都需要对访问进行鉴权，每个微应用都需要明确当前访问用户以及其权限。尤其当访问来源不断增加，而且不只是浏览器，还包括其他服务的调用时，单体应用架构下的鉴权方式适配性较差。

发明内容

本发明实施例针对现有的采用微服务架构的适配性较差的问题，提供了一种基于分布式架构的鉴权方法、装置及微服务系统。

本发明实施例就上述技术问题而提出的技术方案如下：

第一方面，本发明实施例提供了一种基于分布式架构的鉴权方法，所述方法包括：

在接收到鉴权请求时，对所述鉴权请求进行报文解析以得到解析数据，其中，所述解析数据包括验签结果及鉴权请求参数明文；

对所述验签结果及鉴权请求参数明文进行验证；

若所述验签结果及鉴权请求明文进行验证均通过，从预设数据库中读取渠道权重配置；

根据所述渠道权重配置确定所述鉴权请求所对应的指向渠道；

发送所述鉴权请求至所述指向渠道，以使所述指向渠道组装对应的外部渠道所需的请求参数；

发送包含所述请求参数的接入请求至所述对应的外部渠道；

若所述对应的外部渠道接收到所述接入请求，对所述接入请求进行认证以得到认证结果；

根据所述认证结果确定所述鉴权请求的鉴权结果。

根据上述基于分布式架构的鉴权方法，所述根据所述认证结果确定所述鉴权请求的鉴权结果包括：

接收所述对应的外部渠道返回的认证结果，对所述认证结果进行加签及加密处理以得到所述鉴权请求的鉴权结果。

根据上述基于分布式架构的鉴权方法，在所述根据所述认证结果确定所述鉴权请求的鉴权结果之后，所述方法还包括：

将所述鉴权结果返回至发送所述鉴权请求的鉴权请求设备。

根据上述基于分布式架构的鉴权方法，在对所述鉴权请求进行报文解析以得到解析数据之前，所述方法还包括：

对所述鉴权请求的鉴权请求参数进行非空校检；

若所述非空校检通过，执行对所述鉴权请求进行报文解析以得到解析数据。

根据上述基于分布式架构的鉴权方法，在所述从预设数据库中读取渠道权重配置之前，所述方法还包括：

对所述鉴权请求参数进行合法性校检；

若所述合法性校检通过，执行从预设数据库中读取渠道权重配置。

根据上述基于分布式架构的鉴权方法，所述方法还包括：

利用HTTP接口接收所述鉴权请求。

根据上述基于分布式架构的鉴权方法，所述方法还包括：

根据所述鉴权请求的类型确定对应的所述指向渠道。

根据上述基于分布式架构的鉴权方法，利用远程过程调用服务的轮询机制执行所述方法中的步骤。

第二方面，本发明实施例还提供一种基于分布式架构的鉴权装置，所述装置包括：

报文解析模块，用于在接收到鉴权请求时，对所述鉴权请求进行报文解析以得到解析数据，其中，所述解析数据包括验签结果及鉴权请求参数明文；

验证模块，用于对所述验签结果及鉴权请求参数明文进行验证；

配置读取模块，用于在所述验签结果及鉴权请求明文进行验证均通过后，从预设数据库中读取渠道权重配置；

渠道选择模块，用于根据所述渠道权重配置确定所述鉴权请求所对应的指向渠道；

内部渠道发送模块，用于发送所述鉴权请求至所述指向渠道，以使所述指向渠道组装对应的外部渠道所需的请求参数；

外部渠道发送模块，用于发送包含所述请求参数的接入请求至所述对应的外部渠道；

认证模块，用于在所述对应的外部渠道接收到所述接入请求时，对所述接入请求进行认证以得到认证结果；

鉴权结果确定模块，用于根据所述认证结果确定所述鉴权请求的鉴权结果。

第三方面，本发明实施例还提供一种基于分布式架构的微服务系统，包括上述的鉴权装置，以及用户终端、基于Zookeeper集群的服务器端。

本发明实施例提供的技术方案带来的有益效果是：

用户经网络接口发送一个鉴权请求，通过对所述鉴权请求进行报文解析以得到解析数据，后对所述解析数据所包含的验签结果及鉴权请求参数明文进行验证。在对所述验签结果及鉴权请求明文进行验证均通过时，方从预设数据库中读取渠道权重配置，后根据所述渠道权重配置确定所述鉴权请求所对应的指向渠道以使所述指向渠道接收所述鉴权请求。其后，所述指向渠道组装对应的外部渠道所需的请求参数，并发送包含所述请求参数的接入请求至所述对应的外部渠道。而在所述对应的外部渠道接收到所述接入请求后，其对所述接入请求进行认证以得到认证结果，最后根据所述认证结果确定所述鉴权请求的鉴权结果，由此，实现鉴权结果的产生，用户可根据自身的需求确定相应去鉴权请求，以选择相应渠道所对应的认证服务，以保证用户信息的安全，提高鉴权效率，增加实名认证的安全性和可信度，与此同时，通过使用分布式架构以及集群的方式，可保证较好的适配性和稳定性。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明实施例的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的基于分布式架构的鉴权方法在一实施方式下的流程图；

图2为本发明实施例提供的基于分布式架构的鉴权系统的整体架构示意图；

图3为本发明实施例提供的基于分布式架构的鉴权装置功能模块图；

图4为本发明实施例提供的基于分布式架构的微服务系统框架图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合附图对本发明实施例实施方式作进一步地详细描述。

本发明实施例是基于Thrift框架(为一个远程过程调用通信协议(RemoteProcedure Call，RPC)的框架，其可用于不同语言之间的服务相互调用)和zookeeper(为一个分布式的、开放源码的分布式应用程序协调服务)集群技术的分布式框架，对外提供HTTP(超文本传输协议)接口，内部则采用远程过程调用通信协议进行通讯。与此同时，本发明实施例采用Nginx(为一个高性能的 HTTP和反向代理web服务器，同时也提供了IMAP/POP3/SMTP服务)进行负载均衡，而远程过程调用服务的则是采用轮询机制。

参见图1和图2，图1为本发明实施例提供的基于分布式架构的鉴权方法在一实施方式下的流程图，图2为本发明实施例提供的基于分布式架构的鉴权系统的整体架构示意图。本发明实施例中，基于分布式架构的鉴权方法应用于鉴权系统中，鉴权系统可包括鉴权网关服务、鉴权核心服务、加解签服务及渠道服务，其中：

鉴权网关服务主要是提供所有鉴权类型相关的HTTP接口，所有的鉴权请求都是通过其进行拦截和转发，只有签约过的机构才可以通过。加解签服务具体包括加密、解密服务和加签、验签服务，用于对鉴权请求的报文进行安全性验证，只有双方签订过协议并且交换过公钥，才可以通过，然后进行后续的鉴权服务。鉴权核心服务用于对所有的鉴权请求进行统一处理，并根据不同的鉴权类型，选取合适的鉴权渠道，调用对应的鉴权渠道服务。渠道服务用于根据不同的接入渠道进行区分，以为鉴权核心模块提供服务。

可以理解的是，鉴权网关服务、鉴权核心服务、加解签服务及渠道服务均在基于zookeeper集群技术的服务器端完成。

如图1所示，结合图2，本实施方式中的基于分布式架构的鉴权方法可包括如下步骤：

S101：在接收到鉴权请求时，对所述鉴权请求进行报文解析以得到解析数据，其中，所述解析数据包括验签结果及鉴权请求参数明文。

本步骤中，由请求发送设备发送鉴权请求，请求发送设备可为渠道产品或接入相应API(Application Programming Interface，应用程序接口)的应用程序如微信等的终端设备。此处，请求发送设备利用HTTP接口发送鉴权请求，鉴权请求的鉴权请求参数至少包括身份名称加密密文、身份证加密密文及签名字符串。鉴权请求的鉴权请求参数示例可为：{"name":"姓名加密密文","certNo":" 身份证加密密文","sign":"签名字符串"}。

在本实施方式的一具体应用方式中，在本步骤之前，还可包括非空校检步骤，也即在对鉴权请求进行报文解析以得到解析数据之前，还可对鉴权请求的鉴权请求参数进行非空校检，且在非空校检通过时，方可执行本步骤。

此处，非空校检包括对请求参数中的字段进行校检，且在预设字段为空时，则向请求发送设备返回表征字段不能为空的报文，如示例报文可以为： {"ret_code":"11","ret_msg":"身份证号不能为空"}。

可以理解的是，本步骤可由微服务系统中的鉴权网关服务和加解签服务完成，其中，鉴权网关服务在Thrift框架中通过远程过程调用通讯协议上传请求。利用加解签服务对鉴权请求进行报文解析主要为对报文中的敏感数据进行解密及对公钥进行验签。

S102：对所述验签结果及鉴权请求参数明文进行验证。

本步骤中，若验签结果为未通过，则可利用鉴权网关服务向请求发送设备返回表征验签不通过的数据，具体的示例报文可为：{"ret_code":"22","ret_msg":" 验签不通过"}。

本步骤中，对鉴权请求参数明文验证为对解密验证，若解密结果为失败，则可利用鉴权网关服务向请求发送设备返回表征解密失败的数据，具体的示例报文可为：{"ret_code":"33","ret_msg":"数据解密失败，请检查加密方式"}。

S103：若所述验签结果及鉴权请求明文进行验证均通过，从预设数据库中读取渠道权重配置。

可以理解的是，在预设数据库中可保存有权重配置数据，如在一种示例下，渠道服务包括渠道A、B、C供选择，配置权重可为：渠道A权重占20％、渠道 B占30％、渠道C占50％。此处，不同的鉴权类型还可对应不同的渠道服务。

在本实施方式的一具体应用例中，本步骤之前还可包括合法性校检步骤，也即：对鉴权请求参数进行合法性校检，且在合法性校检通过后，方可执行从预设数据库中读取渠道权重配置的步骤。

此处，合法性校检可为身份证号码校检，如判断身份证号是否为纯数字、是否符合18位位数的要求，若不符合要求，则判定为合法性校检未通过，则可向鉴权网关服务返回相应的数据，并由鉴权网关服务向请求发送设备返回表征身份证号不合法的数据，具体的示例报文可为：{"ret_code":"44","ret_msg":"身份证号不合法"}。

S104：根据所述渠道权重配置确定所述鉴权请求所对应的指向渠道。

本步骤中，根据鉴权请求的类型确定对应的指向渠道，也即可预建立相应类型的鉴权请求与相应的内部渠道的关联关系。

S105：发送所述鉴权请求至所述指向渠道，以使所述指向渠道组装对应的外部渠道所需的请求参数。

本步骤中，指向渠道向鉴权核心服务返回的返回结果组装报文，具体的示例报文可为：{"ret_code":"00","ret_msg":"验证成功","sign":"xxx","nonstr":"随机字符串"}。

可以理解的是，不同的指向渠道可对应不同的外部渠道，因而在向相应的外部渠道发送请求参数之前，需要准备并组装相应的参数以适配外部渠道。

S106：发送包含所述请求参数的接入请求至所述对应的外部渠道。

S107：若所述对应的外部渠道接收到所述接入请求，对所述接入请求进行认证以得到认证结果。

S108：根据所述认证结果确定所述鉴权请求的鉴权结果，此处，所述鉴权结果为表征鉴权成功或鉴权失败的数据。

本步骤可具体为：接收对应的外部渠道返回的认证结果，对认证结果进行加签及加密处理以得到鉴权请求的鉴权结果。

在本实施方式的一具体应用例中，本步骤之后还可包括将鉴权结果返回步骤，具体为将鉴权结果返回至发送鉴权请求的鉴权请求设备。

本发明实施例中，用户经网络接口发送一个鉴权请求，通过对鉴权请求进行报文解析以得到解析数据，后对解析数据所包含的验签结果及鉴权请求参数明文进行验证。在对验签结果及鉴权请求明文进行验证均通过时，方从预设数据库中读取渠道权重配置，后根据渠道权重配置确定鉴权请求所对应的指向渠道以使指向渠道接收鉴权请求。其后，指向渠道组装对应的外部渠道所需的请求参数，并发送包含请求参数的接入请求至对应的外部渠道。而在对应的外部渠道接收到接入请求后，其对接入请求进行认证以得到认证结果，最后根据认证结果确定鉴权请求的鉴权结果，由此，实现鉴权结果的产生，用户可根据自身的需求确定相应去鉴权请求，以选择相应渠道所对应的认证服务，以保证用户信息的安全，提高鉴权效率，增加实名认证的安全性和可信度，与此同时，通过使用分布式架构以及集群的方式，可保证较好的适配性和稳定性。

与此同时，鉴权方法可支持企业和个人多种鉴权方式，能够快速的对企业和个人进行信息认证，利用鉴权结果可以对用户进行有效的统一化管理，实现多层次统一授权，审计各种权限的使用情况，防止信息共享后的权限滥用，从而规范各类应用系统的建设，保证用户的信息和资产安全。

本步骤中，采用远程过程调用服务的轮询机制执行本实施方式中的步骤，

参见图3，为本发明实施例提供的基于分布式架构的鉴权装置功能模块图，鉴权装置1包括报文解析模块11、验证模块12、配置读取模块13、渠道选择模块14、内部渠道发送模块15、外部渠道发送模块16、认证模块17、鉴权结果确定模块18。

其中，报文解析模块11用于在接收到鉴权请求时，对鉴权请求进行报文解析以得到解析数据，其中，解析数据包括验签结果及鉴权请求参数明文。验证模块12用于对验签结果及鉴权请求参数明文进行验证。配置读取模块13用于在验签结果及鉴权请求明文进行验证均通过后，从预设数据库中读取渠道权重配置。渠道选择模块14用于根据渠道权重配置确定鉴权请求所对应的指向渠道。内部渠道发送模块15用于发送鉴权请求至指向渠道，以使指向渠道组装对应的外部渠道所需的请求参数。外部渠道发送模块16用于发送包含请求参数的接入请求至对应的外部渠道。认证模块17用于在对应的外部渠道接收到接入请求时，对接入请求进行认证以得到认证结果。鉴权结果确定模块18用于根据认证结果确定鉴权请求的鉴权结果。

通过报文解析模块11、验证模块12、配置读取模块13、渠道选择模块14、内部渠道发送模块15、外部渠道发送模块16、认证模块17、鉴权结果确定模块 18相互间的配合，用户经网络接口发送一个鉴权请求，通过对鉴权请求进行报文解析以得到解析数据，后对解析数据所包含的验签结果及鉴权请求参数明文进行验证。在对验签结果及鉴权请求明文进行验证均通过时，方从预设数据库中读取渠道权重配置，后根据渠道权重配置确定鉴权请求所对应的指向渠道以使指向渠道接收鉴权请求。其后，指向渠道组装对应的外部渠道所需的请求参数，并发送包含请求参数的接入请求至对应的外部渠道。而在对应的外部渠道接收到接入请求后，其对接入请求进行认证以得到认证结果，最后根据认证结果确定鉴权请求的鉴权结果，由此，实现鉴权结果的产生，用户可根据自身的需求确定相应去鉴权请求，以选择相应渠道所对应的认证服务，以保证用户信息的安全，提高鉴权效率，增加实名认证的安全性和可信度，与此同时，通过使用分布式架构以及集群的方式，可保证较好的适配性和稳定性。

进一步的，鉴权装置还可包括：

非空校检模块，用于对鉴权请求的鉴权请求参数进行非空校检。

数据返回模块，用于在验签结果为未通过时，利用鉴权网关服务向请求发送设备返回表征验签不通过的数据；在解密结果为失败时，利用鉴权网关服务向请求发送设备返回表征解密失败的数据。

参见图4，为本发明实施例提供的基于分布式架构的微服务系统框架图。本发明实施例提供一种基于分布式架构的微服务系统2，包括用户终端21、上述的鉴权装置22以及服务器端23，进一步地，为保证微服务系统2的运行的可靠性，防止单点故障，本发明实施例的微服务系统2可基于zookeeper集群，服务端向zookeeper集群注册自己提供的服务，并且把自己的IP地址和服务端口创建到具体的服务目录下。客户端向zookeeper集群监听自己关注的远程过程调用服务(例如：风控服务和路由服务)，客户端会监听zookeeper集群目录下服务端注册的节点变化(比如注册节点/test掉了或者重新注册都能监听到)。这里不管是服务端还是客户端也都配置了多节点，只不过对于提供HTTP服务的是采用Nginx进行负载均衡，而远程过程调用服务的则是采用轮询机制。整个系统结构采用的微服务化思想则是保证系统的高可用，低耦合，为用户提供优质的服务。

以上所述仅为本发明实施例的较佳实施例，并不用以限制本发明实施例，凡在本发明实施例的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明实施例的保护范围之内。

Claims (9)

1.一种基于分布式架构的鉴权方法，其特征在于，所述方法包括：

在接收到鉴权请求时，对所述鉴权请求进行报文解析以得到解析数据，其中，所述鉴权请求的鉴权请求参数至少包括身份名称加密密文、身份证加密密文及签名字符串，所述解析数据包括鉴权请求参数明文；

对所述鉴权请求参数明文进行验证；

若所述鉴权请求明文验证均通过，从预设数据库中读取渠道权重配置；

根据所述渠道权重配置确定所述鉴权请求所对应的指向渠道，根据所述鉴权请求的类型确定对应的所述指向渠道；

发送所述鉴权请求至所述指向渠道，以使所述指向渠道组装对应的外部渠道所需的请求参数；

发送包含所述请求参数的接入请求至所述对应的外部渠道；

若所述对应的外部渠道接收到所述接入请求，对所述接入请求进行认证以得到认证结果；

根据所述认证结果确定所述鉴权请求的鉴权结果。

2.根据权利要求1所述基于分布式架构的鉴权方法，其特征在于，所述根据所述认证结果确定所述鉴权请求的鉴权结果包括：

接收所述对应的外部渠道返回的认证结果，对所述认证结果进行加签及加密处理以得到所述鉴权请求的鉴权结果。

3.根据权利要求1所述基于分布式架构的鉴权方法，其特征在于，在所述根据所述认证结果确定所述鉴权请求的鉴权结果之后，所述方法还包括：

将所述鉴权结果返回至发送所述鉴权请求的鉴权请求设备。

4.根据权利要求1所述基于分布式架构的鉴权方法，其特征在于，在对所述鉴权请求进行报文解析以得到解析数据之前，所述方法还包括：

对所述鉴权请求的鉴权请求参数进行非空校检；

若所述非空校检通过，执行对所述鉴权请求进行报文解析以得到解析数据。

5.根据权利要求1所述基于分布式架构的鉴权方法，其特征在于，在所述从预设数据库中读取渠道权重配置之前，所述方法还包括：

对所述鉴权请求参数进行合法性校检；

若所述合法性校检通过，执行从预设数据库中读取渠道权重配置。

6.根据权利要求1所述基于分布式架构的鉴权方法，其特征在于，所述方法还包括：

利用HTTP接口接收所述鉴权请求。

7.根据权利要求1所述基于分布式架构的鉴权方法，其特征在于，利用远程过程调用服务的轮询机制执行所述方法中的步骤。

8.一种基于分布式架构的鉴权装置，其特征在于，所述装置包括：

报文解析模块，用于在接收到鉴权请求时，对所述鉴权请求进行报文解析以得到解析数据，其中，所述鉴权请求的鉴权请求参数至少包括身份名称加密密文、身份证加密密文及签名字符串，所述解析数据包括鉴权请求参数明文；

验证模块，用于对所述鉴权请求参数明文进行验证；

配置读取模块，用于在所述鉴权请求明文验证均通过后，从预设数据库中读取渠道权重配置；

渠道选择模块，用于根据所述渠道权重配置确定所述鉴权请求所对应的指向渠道，根据所述鉴权请求的类型确定对应的所述指向渠道；

内部渠道发送模块，用于发送所述鉴权请求至所述指向渠道，以使所述指向渠道组装对应的外部渠道所需的请求参数；

外部渠道发送模块，用于发送包含所述请求参数的接入请求至所述对应的外部渠道；

认证模块，用于在所述对应的外部渠道接收到所述接入请求时，对所述接入请求进行认证以得到认证结果；

鉴权结果确定模块，用于根据所述认证结果确定所述鉴权请求的鉴权结果。

9.一种基于分布式架构的微服务系统，其特征在于，包括如权利要求8所述的鉴权装置，以及用户终端、基于Zookeeper集群的服务器端。

Images