CN106302328B - 敏感用户数据处理系统和方法 - Google Patents

Abstract

本发明涉及一种敏感用户数据处理系统和方法，该系统包括：统一外网接入子系统和数据接入子系统；统一外网接入子系统用于接收来自用户端的用于获取敏感用户数据的业务请求，并将业务请求转发给相应的业务处理系统；数据接入子系统用于接收业务处理系统根据业务请求触发的数据请求；根据数据请求读取相应的敏感用户数据，根据读取的敏感用户数据生成数据请求反馈数据并反馈给业务处理系统；统一外网接入子系统用于接收业务处理系统发送的根据数据请求反馈数据生成的业务反馈数据，向用户端反馈业务反馈数据。本发明提供的敏感用户数据处理系统和方法，使得敏感用户数据在处理过程中都是可控的，提高了安全性。

Description

敏感用户数据处理系统和方法

技术领域

本发明涉及安全技术领域，特别是涉及一种敏感用户数据处理系统和方法。

背景技术

数据服务平台可以向各业务处理系统提供各种用户数据，包括敏感用户数据。其中敏感用户数据是指涉及用户隐私的数据，包括用户社交网络账号的密码、出生日期、证件号码、年龄、出生地、常住地等。目前各业务处理系统在接收到用户发起的业务请求后，就可以读取敏感用户数据并提供给用户。这样各业务处理系统都可以随意获取敏感用户数据，容易造成敏感用户数据的泄露，安全性低。

发明内容

基于此，有必要针对目前的提供敏感用户数据的方式安全性低的问题，提供一种敏感用户数据处理系统和方法。

一种敏感用户数据处理系统，包括：统一外网接入子系统和数据接入子系统；

所述统一外网接入子系统用于接收来自用户端的用于获取敏感用户数据的业务请求，并将所述业务请求转发给相应的业务处理系统；

所述数据接入子系统用于接收所述业务处理系统根据所述业务请求触发的数据请求；根据所述数据请求读取相应的敏感用户数据，根据读取的敏感用户数据生成数据请求反馈数据并反馈给所述业务处理系统；

所述统一外网接入子系统用于接收所述业务处理系统发送的根据所述数据请求反馈数据生成的业务反馈数据，向所述用户端反馈所述业务反馈数据。

上述敏感用户数据处理系统，通过统一外网接入子系统来统一接收用户端的业务请求，再将业务请求转发给业务处理系统处理。数据接入子系统在接收到业务处理系统处理的数据请求后，读取敏感用户数据，生成数据请求反馈数据反馈给业务处理系统。最后再通过统一外网接入子系统将根据数据请求反馈数据生成的业务反馈数据反馈给用户端。这样各业务处理系统不再直接接收用户端的业务请求，且不直接向用户端反馈业务反馈数据，而是通过统一外网接入子系统控制用户端与业务处理系统的通信，使得敏感用户数据在处理过程中都是可控的，提高了安全性。

一种敏感用户数据处理方法，所述方法包括：

通过统一外网接入接口接收来自用户端的用于获取敏感用户数据的业务请求，并将所述业务请求转发给相应的业务处理系统；

接收所述业务处理系统根据所述业务请求触发的数据请求；

根据所述数据请求读取相应的敏感用户数据，根据读取的敏感用户数据生成数据请求反馈数据并反馈给所述业务处理系统；

通过所述统一外网接入接口将所述业务处理系统根据所述数据请求反馈数据生成的业务反馈数据发送给所述用户端。

上述敏感用户数据处理方法，通过统一外网接入接口来统一接收用户端的业务请求，再将业务请求转发给业务处理系统处理。在接收到业务处理系统处理的数据请求后，读取敏感用户数据，生成数据请求反馈数据反馈给业务处理系统。最后再通过统一外网接入接口将根据数据请求反馈数据生成的业务反馈数据反馈给用户端。这样各业务处理系统不再直接接收用户端的业务请求，且不直接向用户端反馈业务反馈数据，而是通过统一外网接入接口控制用户端与业务处理系统的通信，使得敏感用户数据在处理过程中都是可控的，提高了安全性。

附图说明

图1为一个实施例中敏感用户数据处理系统的应用环境图；

图2为另一个实施例中敏感用户数据处理系统的应用环境图；

图3为一个实施例中敏感用户数据处理方法的流程示意图；

图4为再一个实施例中敏感用户数据处理系统的系统架构环境图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

如图1所示，在一个实施例中，提供了一种敏感用户数据处理系统，包括统一外网接入子系统102和数据接入子系统104。用户端110可通过网络连接到统一外网接入子系统102，统一外网接入子系统102可与业务处理系统120连接，业务处理系统120可与数据接入子系统104连接，数据接入子系统104可与数据存储系统130连接。

其中，统一外网接入子系统102、数据接入子系统104、业务处理系统120和数据存储系统130各自可由一个或者多个物理服务器实现。用户端110包括台式计算机和移动终端，移动终端包括手机、平板电脑、智能遥控器和运动手表等。业务处理系统120用于具体实现各种业务的逻辑处理，业务处理系统120包括社交网站业务处理系统、即时通信业务处理系统、游戏业务处理系统、电子交易业务处理系统等。数据存储系统130用于存储敏感用户数据。

统一外网接入子系统102用于接收来自用户端的用于获取敏感用户数据的业务请求，并将业务请求转发给相应的业务处理系统120。

具体地，敏感用户数据是指涉及用户隐私的数据，包括用户身份资料、社交关系链以及用户网络行为记录等，用户身份资料包括用户社交网络账号的密码、出生日期、证件号码、年龄、出生地以及常住地等。用户网络行为记录包括网页浏览记录、网上购物记录等。

统一外网接入子系统102用于提供统一外网接入接口，通过该统一外网接入接口接收用户端发来的业务请求。用于获取敏感用户数据的业务请求，包括拉取用户资料的请求、查询用户网络行为记录的业务请求、交易请求等。相应的业务处理系统120是指用于处理该业务请求的业务处理系统120，即该业务请求对应的业务处理系统120。业务请求可携带有业务处理系统120的系统标识，从而统一外网接入子系统102可将业务请求转发给该业务请求携带的系统标识所对应的业务处理系统120。业务处理系统120用于接收统一外网接入子系统102所转发的业务请求。

在一个实施例中，统一外网接入子系统102可用于接收用户端通过安全传输通道发来的业务请求。在一个实施例中，安全传输通道可以是HTTPS(Hyper Text TransferProtocol over Secure Socket Layer，基于安全套接字层的超文本传输协议)通道。在一个实施例中，安全传输通道可以是基于SSO的传输通道。其中单点登录是指在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统的方式。

在一个实施例中，统一外网接入子系统102可用于将业务请求的流水号进行上报。具体可将流水号上报到日志系统以记录对应于流水号的日志。其中流水号是单条请求的唯一标识，可用来关联各系统及子系统的日志记录，方便在需要时回溯和对账。

在一个实施例中，统一外网接入子系统102与业务处理系统120之间的传输内容经过加密，可防止内网监听造成数据泄露。

数据接入子系统104用于接收业务处理系统120根据业务请求触发的数据请求；根据数据请求读取相应的敏感用户数据，根据读取的敏感用户数据生成数据请求反馈数据并反馈给业务处理系统120。

具体地，业务处理系统120根据业务请求触发向数据接入子系统104发送数据请求，数据接入子系统104接收到数据请求，根据该数据请求从数据存储系统130读取相应的敏感用户数据，根据读取的敏感用户数据生成数据请求反馈数据并反馈给业务处理系统120。其中，数据请求反馈数据是指对应数据请求的反馈数据。

在一个实施例中，数据接入子系统104与业务处理系统120之间的传输内容经过加密，可防止内网监听造成数据泄露。在一个实施例中，数据存储系统130存储的敏感用户数据经过加密。在一个实施例中，数据存储系统130存储的敏感用户数据采用非对称加密方式加密。具体地，数据存储系统130存储的敏感用户数据采用密钥对中的公钥进行加密，密钥对中的私钥保存在用户端110。这样加密的敏感用户数据只有传输到用户端110，用户端110采用相应的私钥才能解密。在传输过程中即使发生了数据泄露，恶意用户也无法看到具体的敏感用户数据。

在一个实施例中，数据接入子系统104还用于根据数据请求读取相应的敏感用户数据，对敏感用户数据进行脱敏处理，将处理获得的脱敏用户数据作为数据请求反馈数据反馈给业务处理系统120。

具体地，脱敏处理是指减少或者去除敏感用户数据的敏感属性的处理，对敏感用户数据进行脱敏处理得到脱敏用户数据。脱敏处理可以采用多种方式，以下做详细说明。

在一个实施例中，数据接入子系统104还用于对敏感用户数据进行局部掩码处理，获得脱敏用户数据。

具体地，掩码处理是指用原码与掩码进行经过按位运算或逻辑运算得出新的字串的处理。局部掩码处理则是对敏感用户数据的局部进行掩码处理，剩余的保留。比如若敏感用户数据包括18位数字的身份证号码，则可对身份证号码的前14位号码做掩码处理，仅保留最后4位，获得的脱敏用户数据包括经过掩码处理的身份证号码。比如，若身份证号码为123456789123456789，掩码为00000000000000，掩码处理后得到6789。还比如若敏感用户数据包括11位数字的手机号码，则可以对手机号码从首位起的预设位数或者从末位起的预设位数进行掩码处理。

本实施例中，通过对敏感用户数据进行局部掩码处理获得脱敏用户数据，可以在避免敏感用户数据被暴露，安全性高。

在一个实施例中，数据接入子系统104还用于对敏感用户数据进行局部加密处理，获得脱敏用户数据。

具体地，局部加密处理是指对敏感用户数据的局部进行加密处理。比如可以对身份证号码的前14位进行加密，还可以对敏感用户数据中的关键字(key)进行加密，还可以对敏感用户数据中的敏感字段的数据进行加密。

本实施例中，通过对敏感用户数据进行局部加密处理获得脱敏用户数据，可以在避免敏感用户数据被暴露，安全性高。

数据接入子系统104还用于根据数据请求对应的字段访问权限，按字段从敏感用户数据中提取数据，获得脱敏用户数据。

具体地，传统技术中拉取资料时一般返回全量数据。本实施例中，按字段划分访问权限，实现权限粒度最小化。业务处理系统120请求数据需要向数据接入子系统104申请，数据接入子系统104需要校验数据请求对应的字段访问权限，若具有权限则从敏感用户数据中提取相应字段的数据，获得脱敏用户数据；若没有权限则返回错误提示。

本实施例中，通过权限粒度最小化，对请求的数据进行严格控制，避免请求非敏感用户数据时一并返回敏感用户数据的情况，安全性高。

上述实施例中对敏感用户数据进行局部掩码处理、对敏感用户数据进行局部加密处理以及权限粒度最小化的脱敏处理方式可以根据需要任意组合。上述脱敏处理方式可以防止敏感用户数据被滥用。

在一个实施例中，数据请求携带业务处理系统120的系统标识和所请求数据的数据类型标识；数据接入子系统104还用于校验系统标识对应于数据类型标识的数据访问权限，校验通过后根据数据请求读取相应的敏感用户数据。

具体地，业务处理系统120的系统标识是指能够区分业务处理系统120的标识数据，可以用字符串表示。数据请求所请求数据的数据类型标识，是区分不同的敏感用户数据的标识，比如用户资料、社交关系链以及用户网络行为记录可以分别采用不同的数据类型标识。

系统标识对应于数据类型标识的数据访问权限，表示的是该系统标识对应的业务处理系统120访问该数据类型标识对应的数据的权限。数据接入子系统104还用于校验系统标识对应于数据类型标识的数据访问权限，具体是校验该系统标识对应的业务处理系统120是否具有访问该数据类型标识对应的数据的权限。若具有权限则校验通过，否则校验未通过。校验通过后根据数据请求读取相应的敏感用户数据。

本实施例中，通过校验系统标识对应于数据类型标识的数据访问权限，保证特定的业务处理系统120才可以访问特定类型的敏感用户数据，提高了安全性。

在一个实施例中，数据请求还携带程序数字签名信息；数据接入子系统104还用于校验程序数字签名信息，在对数据访问权限以及程序数字签名信息校验通过后，根据数据请求读取相应的敏感用户数据。

具体地，数字签名信息具有可验证性以及难以伪造的特性，程序签名信息是指对于特定程序的数字签名信息，根据该程序签名信息可以验证相应的程序是否具有访问数据的权限。

本实施例中，在对数据访问权限以及程序数字签名信息校验通过后，根据数据请求读取相应的敏感用户数据，可以保证特定的业务处理系统120上的特定程序才能够访问特定类型的敏感用户数据，可以克服内部工作人员编写恶意代码冒充业务处理系统120请求敏感用户数据的风险。

在一个实施例中，数据接入子系统104还用于校验数据请求的直接获取敏感用户数据的权限，校验通过后读取相应的敏感用户数据作为数据请求反馈数据反馈给业务处理系统120。

具体地，直接获取敏感用户数据的权限，是指直接获取完整的敏感用户数据的权限。考虑到在一些情况下用户端110仅需要脱敏用户数据，比如查看好友用户资料、查看好友社交关系链等。而一些情况下需要获取完整的敏感用户数据，比如进行身份验证的时候，或者系统后台进行数据统计的时候，此时业务处理系统120需要向数据接入子系统104申请权限，数据接入子系统104还用于校验数据请求相应的权限，校验通过后读取相应的敏感用户数据作为数据请求反馈数据反馈给业务处理系统120。

本实施例中，考虑到敏感用户数据不同的使用场景，对于需要完整的敏感用户数据的使用场景，通过权限校验来保证安全性。

统一外网接入子系统102用于接收业务处理系统120发送的根据数据请求反馈数据生成的业务反馈数据，向用户端反馈业务反馈数据。

具体地，业务反馈数据是指对应于业务请求的反馈数据。根据数据请求反馈数据生成的业务反馈数据，具体可以是将数据请求反馈数据直接作为业务反馈数据，或者可以对数据请求反馈数据进行进一步处理得到业务反馈数据。进一步处理包括按照业务处理系统120的业务处理逻辑对数据请求反馈数据所进行的处理。

上述敏感用户数据处理系统，通过统一外网接入子系统来统一接收用户端的业务请求，再将业务请求转发给业务处理系统处理。数据接入子系统在接收到业务处理系统处理的数据请求后，读取敏感用户数据，生成数据请求反馈数据反馈给业务处理系统。最后再通过统一外网接入子系统将根据数据请求反馈数据生成的业务反馈数据反馈给用户端。这样各业务处理系统不再直接接收用户端的业务请求，且不直接向用户端反馈业务反馈数据，而是通过统一外网接入子系统控制用户端与业务处理系统的通信，使得敏感用户数据在处理过程中都是可控的，提高了安全性。

在一个实施例中，业务处理系统120用于与统一外网接入子系统102或者数据接入子系统104通过数据包传输数据；且在发送数据时，对发送的数据进行组包并加密后生成数据包发送出去；在接收到数据包时，对接收的数据包进行解密和解包后获得数据内容。其中，发送数据是指业务处理系统120向统一外网接入子系统102或者数据接入子系统104发送数据，接收数据包则是指接收统一外网接入子系统102或者数据接入子系统104发来的数据包。解包和组包互为逆过程，组包可以将需要传输的数据组装成适合传输的数据包。加密和解密可以采用事先约定的加密和解密算法。

在一个实施例中，业务处理系统120可用于上报所处理的请求的日志到日志系统，上报的日志可用于回溯和对账。所处理的请求包括业务请求和数据请求。

在一个实施例中，统一外网接入子系统102还用于接收来自用户端的登录请求并验证，验证通过后接收来自用户端的携带有效的已登录状态信息的业务请求；数据接入子系统104还用于校验数据请求是否携带有效的已登录状态信息，校验通过后根据数据请求读取相应的敏感用户数据。

具体地，用户端110可获取用户账号和用户密码，并生成携带有用户账号和用户密码的登录请求，将登录请求发送给统一外网接入子系统102。统一外网接入子系统102可直接从数据存储系统130读取相应的用户账号所对应的用户密码，通过比较登录请求中的用户密码和读取到的用户密码对登录请求进行验证。对登录请求验证通过后统一外网接入子系统102向用户端110返回有效的已登录状态信息，用户端110后续发出的业务请求携带有效的已登录状态信息。

已登录状态信息用于表示用户端110处于已登录的状态，有效的已登录状态信息是指该已登录状态信息本身是有效的。具体已登录状态信息包括有效期限，若当前时间在该有效期限之内，则该已登录状态信息是有效的；若当前时间超出了该有效期限，则该已登录状态信息是无效的。

业务处理系统120根据业务请求触发数据请求时，将业务请求携带的有效的已登录状态信息传递给数据请求。数据接入子系统104校验数据请求是否携带有效的已登录状态信息，在核实用户身份的前提下才提供敏感用户数据，可以防止敏感用户数据被恶意获取。

在一个实施例中，统一外网接入子系统102可用于根据登录请求和业务请求的流水号进行上报。具体可将流水号上报到日志系统以记录对应于流水号的日志。其中流水号是单条请求的唯一标识，可用来关联各系统及子系统的日志记录，方便在需要时回溯和对账。

如图2所示，在一个实施例中，敏感用户数据处理系统还包括安全旁路子系统106，与统一外网接入子系统102、数据接入子系统104和数据存储系统130分别连接。安全旁路子系统106是敏感用户数据处理系统中在统一外网接入子系统102和数据接入子系统104的基础上，附加的用于保证安全性的子系统。安全旁路子系统106可用于为敏感用户数据处理系统提供实时保护。

在一个实施例中，安全旁路子系统106用于获取统一外网接入子系统102接收到的业务请求并进行安全检测，当检测到业务请求为恶意请求时，通知统一外网接入子系统102拒绝业务请求。

具体地，统一外网接入子系统102在接收到业务请求后，可转发一份给安全旁路子系统106。安全旁路子系统106可以采用多种安全检测手段对业务请求进行安全检测，比如检测用户端110对应的用户标识是否属于恶意用户标识列表中，若是则属于恶意请求；或者检测业务请求是否包含恶意代码，若是则属于恶意请求；或者检测业务请求是否携带有效的已登录状态信息，若否则属于恶意请求。安全旁路子系统106通知统一外网接入子系统102拒绝业务请求，可以保证敏感用户数据处理系统在处理敏感用户数据时的安全。

在一个实施例中，安全旁路子系统106用于统计统一外网接入子系统102接收到的业务请求，并统计数据接入子系统104所接收到的数据请求；比对统计的业务请求和统计的数据请求，根据比对结果判断业务处理系统120是否缓存敏感用户数据。

具体地，业务处理系统120可能会缓存敏感用户数据，这样业务处理系统120就可以绕过数据接入子系统104向用户端110提供敏感用户数据，但这样容易造成敏感用户数据的泄露，存在安全风险。每个用于请求敏感用户数据的业务请求都应当通过数据接入子系统104从数据存储系统130读取敏感用户数据，这里通过统计业务请求以及数据请求进行比对，若存在不对应的情况，则说明业务处理系统120很可能缓存了敏感用户数据，此对比的过程称为对账审计。比对统计的业务请求和统计的数据请求，包括比对统计的业务请求的次数和统计的数据请求的次数，还可以包括比对业务请求中的关键字(key)和数据请求中的关键字(key)是否一致。安全旁路子系统106可用于在判定业务处理系统120缓存了敏感用户数据后，向相应的业务处理系统120发送警告，或者对该业务处理系统120的访问权限进行限制。

在一个实施例中，安全旁路子系统106用于根据用户端110发送的业务请求判断用户端110是否符合批量获取敏感用户数据行为特征，若符合则对用户端110发送的业务请求进行权限限制。

具体地，批量拉取敏感用户数据，容易造成敏感用户数据的泄露，这里通过判断用户端110是否符合批量获取敏感用户数据行为特征，检测出批量获取敏感用户数据的行为，从而对该用户端110的业务请求进行权限限制。

其中，批量获取敏感用户数据行为特征包括用户端110在单位时间段内业务请求的数量超过预设阈值，还包括用户端110对应的网络地址段在单位时间段内业务请求的数量超过预设阈值。

对用户端110发送的业务请求进行权限限制，包括对用户端110在单位时间段内超出预设阈值的数量的业务请求拒绝处理或者延迟处理，还包括在判定符合批量获取敏感用户数据行为特征后在预设时长内拒绝处理用户端110发送的业务请求。

在一个实施例中，安全旁路子系统106还用于对业务处理系统120的权限报备进行审计。其中权限报备是指业务处理系统120在特定条件下，在不具备有效的已登录状态信息的情况下，可以在上报并登记后获得获取敏感用户数据的权限。这里的特定条件包括信任的业务处理系统120在系统后台对敏感用户数据进行统计。通过对权限报备进行审计，简称报备审计，可以防止权限报备被滥用。

如图3所示，在一个实施例中，提供了一种敏感用户数据处理方法，本实施例以该方法应用于上述图1和图2中的敏感用户数据处理系统来举例说明。参照图4，统一外网接入子系统102构成统一外网接入层，业务处理系统120构成业务逻辑层，数据接入子系统104构成数据接入层，安全旁路子系统106实现安全旁路的功能。该方法具体包括如下步骤：

步骤302，通过统一外网接入接口接收来自用户端的用于获取敏感用户数据的业务请求，并将业务请求转发给相应的业务处理系统。

具体地，敏感用户数据是指涉及用户隐私的数据，包括用户身份资料、社交关系链以及用户网络行为记录等，用户身份资料包括用户社交网络账号的密码、出生日期、证件号码、年龄、出生地以及常住地等。用户网络行为记录包括网页浏览记录、网上购物记录等。

统一外网接入子系统102提供用户端110与统一外网接入子系统102交互的统一外网接入接口(API1)，提供统一外网接入子系统102与业务处理系统120交互的业务处理接口(API2)，提供业务处理系统120与数据接入子系统104交互的数据接入接口(API3)。

统一外网接入子系统102通过该统一外网接入接口接收用户端发来的业务请求。用于获取敏感用户数据的业务请求，包括拉取用户资料的请求、查询用户网络行为记录的业务请求、交易请求等。相应的业务处理系统120是指用于处理该业务请求的业务处理系统120，即该业务请求对应的业务处理系统120。业务请求可携带有业务处理系统120的系统标识，从而统一外网接入子系统102可将业务请求转发给该业务请求携带的系统标识所对应的业务处理系统120。

在一个实施例中，统一外网接入子系统102可用于接收用户端通过安全传输通道发来的业务请求。在一个实施例中，安全传输通道可以是HTTPS通道。在一个实施例中，安全传输通道可以是基于SSO的传输通道。其中单点登录是指在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统的方式。

在一个实施例中，统一外网接入子系统102可将业务请求的流水号进行上报。具体可将流水号上报到日志系统以记录对应于流水号的日志。其中流水号是单条请求的唯一标识，可用来关联各系统及子系统的日志记录，方便在需要时回溯和对账。

在一个实施例中，统一外网接入子系统102与业务处理系统120之间的传输内容经过加密，可防止内网监听造成数据泄露。

步骤304，接收业务处理系统根据业务请求触发的数据请求。

步骤306，根据数据请求读取相应的敏感用户数据，根据读取的敏感用户数据生成数据请求反馈数据并反馈给业务处理系统。

具体地，业务处理系统120根据业务请求触发向数据接入子系统104发送数据请求，数据接入子系统104接收到数据请求，根据该数据请求从数据存储系统130读取相应的敏感用户数据，根据读取的敏感用户数据生成数据请求反馈数据并反馈给业务处理系统120。其中，数据请求反馈数据是指对应数据请求的反馈数据。

在一个实施例中，数据接入子系统104与业务处理系统120之间的传输内容经过加密，可防止内网监听造成数据泄露。在一个实施例中，数据存储系统130存储的敏感用户数据经过加密。在一个实施例中，数据存储系统130存储的敏感用户数据采用非对称加密方式加密。具体地，数据存储系统130存储的敏感用户数据采用密钥对中的公钥进行加密，密钥对中的私钥保存在用户端110。这样加密的敏感用户数据只有传输到用户端110，用户端110采用相应的私钥才能解密。在传输过程中即使发生了数据泄露，恶意用户也无法看到具体的敏感用户数据。

在一个实施例中，步骤306包括：根据数据请求读取相应的敏感用户数据，对敏感用户数据进行脱敏处理，将处理获得的脱敏用户数据作为数据请求反馈数据反馈给业务处理系统。

具体地，脱敏处理是指减少或者去除敏感用户数据的敏感属性的处理，对敏感用户数据进行脱敏处理得到脱敏用户数据。脱敏处理可以采用多种方式，以下做详细说明。

在一个实施例中，对敏感用户数据进行脱敏处理，包括：对敏感用户数据进行局部掩码处理，获得脱敏用户数据。

具体地，掩码处理是指用原码与掩码进行经过按位运算或逻辑运算得出新的字串的处理。局部掩码处理则是对敏感用户数据的局部进行掩码处理，剩余的保留。比如若敏感用户数据包括18位数字的身份证号码，则可对身份证号码的前14位号码做掩码处理，仅保留最后4位，获得的脱敏用户数据包括经过掩码处理的身份证号码。比如，若身份证号码为123456789123456789，掩码为00000000000000，掩码处理后得到6789。还比如若敏感用户数据包括11位数字的手机号码，则可以对手机号码从首位起的预设位数或者从末位起的预设位数进行掩码处理。

本实施例中，通过对敏感用户数据进行局部掩码处理获得脱敏用户数据，可以在避免敏感用户数据被暴露，安全性高。

在一个实施例中，对敏感用户数据进行脱敏处理，包括：对敏感用户数据进行局部加密处理，获得脱敏用户数据。

具体地，局部加密处理是指对敏感用户数据的局部进行加密处理。比如可以对身份证号码的前14位进行加密，还可以对敏感用户数据中的关键字(key)进行加密，还可以对敏感用户数据中的敏感字段的数据进行加密。

本实施例中，通过对敏感用户数据进行局部加密处理获得脱敏用户数据，可以在避免敏感用户数据被暴露，安全性高。

在一个实施例中，对敏感用户数据进行脱敏处理，包括：根据数据请求对应的字段访问权限，按字段从敏感用户数据中提取数据，获得脱敏用户数据。

具体地，传统技术中拉取资料时一般返回全量数据。本实施例中，按字段划分访问权限，实现权限粒度最小化。业务处理系统120请求数据需要向数据接入子系统104申请，数据接入子系统104需要校验数据请求对应的字段访问权限，若具有权限则从敏感用户数据中提取相应字段的数据，获得脱敏用户数据；若没有权限则返回错误提示。

本实施例中，通过权限粒度最小化，对请求的数据进行严格控制，避免请求非敏感用户数据时一并返回敏感用户数据的情况，安全性高。

上述实施例中对敏感用户数据进行局部掩码处理、对敏感用户数据进行局部加密处理以及权限粒度最小化的脱敏处理方式可以根据需要任意组合。上述脱敏处理方式可以防止敏感用户数据被滥用。

在一个实施例中，步骤306包括：校验数据请求的直接获取敏感用户数据的权限，校验通过后读取相应的敏感用户数据作为数据请求反馈数据反馈给业务处理系统。

具体地，直接获取敏感用户数据的权限，是指直接获取完整的敏感用户数据的权限。考虑到在一些情况下用户端110仅需要脱敏用户数据，比如查看好友用户资料、查看好友社交关系链等。而一些情况下需要获取完整的敏感用户数据，比如进行身份验证的时候，或者系统后台进行数据统计的时候，此时业务处理系统120需要向数据接入子系统104申请权限，数据接入子系统104校验数据请求相应的权限，校验通过后读取相应的敏感用户数据作为数据请求反馈数据反馈给业务处理系统120。

本实施例中，考虑到敏感用户数据不同的使用场景，对于需要完整的敏感用户数据的使用场景，通过权限校验来保证安全性。

步骤308，通过统一外网接入接口将业务处理系统根据数据请求反馈数据生成的业务反馈数据发送给用户端。

具体地，业务反馈数据是指对应于业务请求的反馈数据。根据数据请求反馈数据生成的业务反馈数据，具体可以是将数据请求反馈数据直接作为业务反馈数据，或者可以对数据请求反馈数据进行进一步处理得到业务反馈数据。进一步处理包括按照业务处理系统120的业务处理逻辑对数据请求反馈数据所进行的处理。统一外网接入子系统102通过提供的统一外网接入接口向用户端反馈业务反馈数据。

上述敏感用户数据处理方法，通过统一外网接入接口来统一接收用户端的业务请求，再将业务请求转发给业务处理系统处理。在接收到业务处理系统处理的数据请求后，读取敏感用户数据，生成数据请求反馈数据反馈给业务处理系统。最后再通过统一外网接入接口将根据数据请求反馈数据生成的业务反馈数据反馈给用户端。这样各业务处理系统不再直接接收用户端的业务请求，且不直接向用户端反馈业务反馈数据，而是通过统一外网接入接口控制用户端与业务处理系统的通信，使得敏感用户数据在处理过程中都是可控的，提高了安全性。

在一个实施例中，该敏感用户数据处理方法还包括：业务处理系统120通过数据包传输数据；且在发送数据时，对发送的数据进行组包并加密后生成数据包发送出去；在接收到数据包时，对接收的数据包进行解密和解包后获得数据内容。具体地，业务处理系统120与统一外网接入子系统102或者数据接入子系统104通过数据包传输数据。

在一个实施例中，业务处理系统120可上报所处理的请求的日志到日志系统，上报的日志可用于回溯和对账。所处理的请求包括业务请求和数据请求。

在一个实施例中，该敏感用户数据处理方法还包括：通过统一外网接入接口接收来自用户端的登录请求并验证，验证通过后接收来自用户端的携带有效的已登录状态信息的业务请求。步骤304之后，还包括：校验数据请求是否携带有效的已登录状态信息，校验通过后执行步骤306。

具体地，用户端110可获取用户账号和用户密码，并生成携带有用户账号和用户密码的登录请求，将登录请求发送给统一外网接入子系统102。统一外网接入子系统102可直接从数据存储系统130读取相应的用户账号所对应的用户密码，通过比较登录请求中的用户密码和读取到的用户密码对登录请求进行验证。对登录请求验证通过后统一外网接入子系统102向用户端110返回有效的已登录状态信息，用户端110后续发出的业务请求携带有效的已登录状态信息。

已登录状态信息用于表示用户端110处于已登录的状态，有效的已登录状态信息是指该已登录状态信息本身是有效的。具体已登录状态信息包括有效期限，若当前时间在该有效期限之内，则该已登录状态信息是有效的；若当前时间超出了该有效期限，则该已登录状态信息是无效的。

业务处理系统120根据业务请求触发数据请求时，将业务请求携带的有效的已登录状态信息传递给数据请求。数据接入子系统104校验数据请求是否携带有效的已登录状态信息，在核实用户身份的前提下才提供敏感用户数据，可以防止敏感用户数据被恶意获取。

在一个实施例中，统一外网接入子系统102可根据登录请求和业务请求的流水号进行上报。具体可将流水号上报到日志系统以记录对应于流水号的日志。其中流水号是单条请求的唯一标识，可用来关联各系统及子系统的日志记录，方便在需要时回溯和对账。

在一个实施例中，数据请求携带业务处理系统的系统标识和所请求数据的数据类型标识；该敏感用户数据处理方法还包括：校验系统标识对应于数据类型标识的数据访问权限，校验通过后执行步骤306。

具体地，业务处理系统120的系统标识是指能够区分业务处理系统120的标识数据，可以用字符串表示。数据请求所请求数据的数据类型标识，是区分不同的敏感用户数据的标识，比如用户资料、社交关系链以及用户网络行为记录可以分别采用不同的数据类型标识。

系统标识对应于数据类型标识的数据访问权限，表示的是该系统标识对应的业务处理系统120访问该数据类型标识对应的数据的权限。数据接入子系统104校验系统标识对应于数据类型标识的数据访问权限，具体是校验该系统标识对应的业务处理系统120是否具有访问该数据类型标识对应的数据的权限。若具有权限则校验通过，否则校验未通过。校验通过后根据数据请求读取相应的敏感用户数据。

本实施例中，通过校验系统标识对应于数据类型标识的数据访问权限，保证特定的业务处理系统120才可以访问特定类型的敏感用户数据，提高了安全性。

在一个实施例中，数据请求还携带程序数字签名信息；该敏感用户数据处理方法还包括：校验程序数字签名信息，在对数据访问权限以及程序数字签名信息校验通过后，执行步骤306。

具体地，数字签名信息具有可验证性以及难以伪造的特性，程序签名信息是指对于特定程序的数字签名信息，根据该程序签名信息可以验证相应的程序是否具有访问数据的权限。

本实施例中，在对数据访问权限以及程序数字签名信息校验通过后，根据数据请求读取相应的敏感用户数据，可以保证特定的业务处理系统120上的特定程序才能够访问特定类型的敏感用户数据，可以克服内部工作人员编写恶意代码冒充业务处理系统120请求敏感用户数据的风险。

在一个实施例中，该敏感用户数据处理方法还包括：获取通过统一外网接入接口接收到的业务请求并进行安全检测，当检测到业务请求为恶意请求时，拒绝用户端的业务请求。

具体地，统一外网接入子系统102在接收到业务请求后，可转发一份给安全旁路子系统106。安全旁路子系统106可以采用多种安全检测手段对业务请求进行安全检测，比如检测用户端110对应的用户标识是否属于恶意用户标识列表中，若是则属于恶意请求；或者检测业务请求是否包含恶意代码，若是则属于恶意请求；或者检测业务请求是否携带有效的已登录状态信息，若否则属于恶意请求。安全旁路子系统106通知统一外网接入子系统102拒绝业务请求，可以保证敏感用户数据处理系统在处理敏感用户数据时的安全。

在一个实施例中，该敏感用户数据处理方法还包括：统计通过统一外网接入接口接收到的业务请求，并统计通过统一外网接入接口接收到的数据请求；比对统计的业务请求和统计的数据请求，根据比对结果判断业务处理系统是否缓存敏感用户数据。

具体地，业务处理系统120可能会缓存敏感用户数据，这样业务处理系统120就可以绕过数据接入子系统104向用户端110提供敏感用户数据，但这样容易造成敏感用户数据的泄露，存在安全风险。每个用于请求敏感用户数据的业务请求都应当通过数据接入子系统104从数据存储系统130读取敏感用户数据，这里通过统计业务请求以及数据请求进行比对，若存在不对应的情况，则说明业务处理系统120很可能缓存了敏感用户数据，此对比的过程称为对账审计。比对统计的业务请求和统计的数据请求，包括比对统计的业务请求的次数和统计的数据请求的次数，还可以包括比对业务请求中的关键字(key)和数据请求中的关键字(key)是否一致。安全旁路子系统106可在判定业务处理系统120缓存了敏感用户数据后，向相应的业务处理系统120发送警告，或者对该业务处理系统120的访问权限进行限制。

在一个实施例中，该敏感用户数据处理方法还包括：根据用户端发送的业务请求判断用户端是否符合批量获取敏感用户数据行为特征，若符合则对用户端发送的业务请求进行权限限制。

具体地，批量拉取敏感用户数据，容易造成敏感用户数据的泄露，这里通过判断用户端110是否符合批量获取敏感用户数据行为特征，检测出批量获取敏感用户数据的行为，从而对该用户端110的业务请求进行权限限制。

其中，批量获取敏感用户数据行为特征包括用户端110在单位时间段内业务请求的数量超过预设阈值，还包括用户端110对应的网络地址段在单位时间段内业务请求的数量超过预设阈值。

对用户端110发送的业务请求进行权限限制，包括对用户端110在单位时间段内超出预设阈值的数量的业务请求拒绝处理或者延迟处理，还包括在判定符合批量获取敏感用户数据行为特征后在预设时长内拒绝处理用户端110发送的业务请求。

在一个实施例中，安全旁路子系统106对业务处理系统120的权限报备进行审计。其中权限报备是指业务处理系统120在特定条件下，在不具备有效的已登录状态信息的情况下，可以在上报并登记后获得获取敏感用户数据的权限。这里的特定条件包括信任的业务处理系统120在系统后台对敏感用户数据进行统计。通过对权限报备进行审计，简称报备审计，可以防止权限报备被滥用。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)等非易失性存储介质，或随机存储记忆体(Random Access Memory，RAM)等。

以上所述实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。

Claims (15)

1.一种敏感用户数据处理系统，其特征在于，包括：统一外网接入子系统和数据接入子系统；

所述统一外网接入子系统用于接收来自用户端的用于获取敏感用户数据的业务请求，并将所述业务请求转发给相应的业务处理系统；

所述数据接入子系统用于接收所述业务处理系统根据所述业务请求触发的数据请求；所述数据请求携带所述业务处理系统的系统标识和所请求数据的数据类型标识；

所述数据接入子系统还用于校验所述系统标识对应于所述数据类型标识的数据访问权限，校验通过后根据所述数据请求读取相应的敏感用户数据，根据读取的敏感用户数据生成数据请求反馈数据并反馈给所述业务处理系统；

所述统一外网接入子系统用于接收所述业务处理系统发送的根据所述数据请求反馈数据生成的业务反馈数据，向所述用户端反馈所述业务反馈数据。

2.根据权利要求1所述的敏感用户数据处理系统，其特征在于，所述业务处理系统用于与所述统一外网接入子系统或者所述数据接入子系统通过数据包传输数据；且在发送数据时，对发送的数据进行组包并加密后生成数据包发送出去；在接收到数据包时，对接收的数据包进行解密和解包后获得数据内容。

3.根据权利要求1所述的敏感用户数据处理系统，其特征在于，所述数据接入子系统还用于根据所述数据请求读取相应的敏感用户数据，对所述敏感用户数据进行脱敏处理，将处理获得的脱敏用户数据作为数据请求反馈数据反馈给所述业务处理系统；或者，

所述数据接入子系统还用于校验所述数据请求的直接获取敏感用户数据的权限，校验通过后读取相应的敏感用户数据作为数据请求反馈数据反馈给所述业务处理系统。

4.根据权利要求1所述的敏感用户数据处理系统，其特征在于，所述统一外网接入子系统还用于接收来自用户端的登录请求并验证，验证通过后接收来自所述用户端的携带有效的已登录状态信息的业务请求；

所述数据接入子系统还用于校验所述数据请求是否携带有效的已登录状态信息，校验通过后根据所述数据请求读取相应的敏感用户数据。

5.根据权利要求1所述的敏感用户数据处理系统，其特征在于，所述数据请求还携带程序数字签名信息；所述数据接入子系统还用于校验所述程序数字签名信息，在对所述数据访问权限以及所述程序数字签名信息校验通过后，根据所述数据请求读取相应的敏感用户数据。

6.根据权利要求3所述的敏感用户数据处理系统，其特征在于，所述数据接入子系统还用于对所述敏感用户数据进行局部掩码处理，获得脱敏用户数据；和/或，

所述数据接入子系统还用于对所述敏感用户数据进行局部加密处理，获得脱敏用户数据；和/或，

所述数据接入子系统还用于根据所述数据请求对应的字段访问权限，按字段从所述敏感用户数据中提取数据，获得脱敏用户数据。

7.根据权利要求1所述的敏感用户数据处理系统，其特征在于，还包括安全旁路子系统，用于统计所述统一外网接入子系统接收到的业务请求，并统计所述数据接入子系统所接收到的数据请求；比对统计的业务请求和统计的数据请求，根据比对结果判断所述业务处理系统是否缓存所述敏感用户数据；和/或，

所述安全旁路子系统用于获取所述统一外网接入子系统接收到的所述业务请求并进行安全检测，当检测到所述业务请求为恶意请求时，通知所述统一外网接入子系统拒绝所述业务请求；和/或，

所述安全旁路子系统用于根据所述用户端发送的业务请求判断所述用户端是否符合批量获取敏感用户数据行为特征，若符合则对所述用户端发送的业务请求进行权限限制。

8.一种敏感用户数据处理方法，所述方法包括：

通过统一外网接入接口接收来自用户端的用于获取敏感用户数据的业务请求，并将所述业务请求转发给相应的业务处理系统；

接收所述业务处理系统根据所述业务请求触发的数据请求；所述数据请求携带所述业务处理系统的系统标识和所请求数据的数据类型标识；

校验所述系统标识对应于所述数据类型标识的数据访问权限，校验通过后根据所述数据请求读取相应的敏感用户数据，根据读取的敏感用户数据生成数据请求反馈数据并反馈给所述业务处理系统；

通过所述统一外网接入接口将所述业务处理系统根据所述数据请求反馈数据生成的业务反馈数据发送给所述用户端。

9.根据权利要求8所述的方法，其特征在于，所述方法还包括：

所述业务处理系统通过数据包传输数据；且在发送数据时，对发送的数据进行组包并加密后生成数据包发送出去；在接收到数据包时，对接收的数据包进行解密和解包后获得数据内容。

10.根据权利要求8所述的方法，其特征在于，所述根据所述数据请求读取相应的敏感用户数据，根据读取的敏感用户数据生成数据请求反馈数据并反馈给所述业务处理系统，包括：

根据所述数据请求读取相应的敏感用户数据，对所述敏感用户数据进行脱敏处理，将处理获得的脱敏用户数据作为数据请求反馈数据反馈给所述业务处理系统；或者，

校验所述数据请求的直接获取敏感用户数据的权限，校验通过后读取相应的敏感用户数据作为数据请求反馈数据反馈给所述业务处理系统。

11.根据权利要求8所述的方法，其特征在于，所述方法还包括：

通过所述统一外网接入接口接收来自用户端的登录请求并验证，验证通过后接收来自所述用户端的携带有效的已登录状态信息的业务请求；

所述接收所述业务处理系统根据所述业务请求触发的数据请求之后，还包括：

校验所述数据请求是否携带有效的已登录状态信息，校验通过后执行所述根据所述数据请求读取相应的敏感用户数据的步骤。

12.根据权利要求8所述的方法，其特征在于，所述数据请求还携带程序数字签名信息；所述方法还包括：

校验所述程序数字签名信息，在对所述数据访问权限以及所述程序数字签名信息校验通过后，根据所述数据请求读取相应的敏感用户数据。

13.根据权利要求10所述的方法，其特征在于，所述对所述敏感用户数据进行脱敏处理，包括：

对所述敏感用户数据进行局部掩码处理，获得脱敏用户数据；和/或，

对所述敏感用户数据进行局部加密处理，获得脱敏用户数据；和/或，

根据所述数据请求对应的字段访问权限，按字段从所述敏感用户数据中提取数据，获得脱敏用户数据。

14.根据权利要求8所述的方法，其特征在于，所述方法还包括：

统计通过所述统一外网接入接口接收到的业务请求，并统计通过所述统一外网接入接口接收到的数据请求；比对统计的业务请求和统计的数据请求，根据比对结果判断所述业务处理系统是否缓存所述敏感用户数据；和/或，

获取通过所述统一外网接入接口接收到的所述业务请求并进行安全检测，当检测到所述业务请求为恶意请求时，拒绝所述用户端的所述业务请求；和/或，

根据所述用户端发送的业务请求判断所述用户端是否符合批量获取敏感用户数据行为特征，若符合则对所述用户端发送的业务请求进行权限限制。

15.一种计算机可读存储介质，存储有计算机程序，所述计算机程序被处理器执行时，使得所述处理器执行如权利要求8至14中任一项所述方法的步骤。