CN110213217A - 数据访问方法、相关装置、网关和数据访问系统 - Google Patents

Abstract

本发明公开了一种数据访问方法，包括：网关接收访问者基于第三方应用发起的数据访问请求；在数据访问请求的访问地址有效的情况下，网关根据数据访问请求触发对访问者进行身份鉴权；在身份鉴权通过的情况下，根据数据访问请求生成内部请求，内部请求携带有与访问者身份信息对应的内部身份标识；网关将内部请求发送给内部站点，获取内部站点根据内部身份标识返回的数据；网关将返回的数据发送给第三方应用。本发明还公开了一种数据访问装置、网关和数据访问系统，解决了现有技术中互联网应用自身鉴权不完整导致整个业务系统安全性低的技术问题。

Description

数据访问方法、相关装置、网关和数据访问系统

技术领域

本发明涉及计算机领域，尤其涉及数据访问方法、相关装置、网关和数据访问系统。

背景技术

随着移动互联网技术的发展，特别是4G时代的开启，移动终端设备的地位日益凸显，为移动互联网的发展注入巨大的能量。在移动化水平越来越高的趋势下，内网办公应用对移动化的需求也越来越大，而移动化的客户端也越来越趋于多元化。

为了更好的利用碎片时间，实现随时随地办公，企业内部的系统需要整合入口到不同的互联网应用(比如互联网社交应用/移动化软件)中。这对于原本基于企业内部认证的系统是一个极大的挑战，为了安全的使用系统，每个内部系统都需要根据用户的使用习惯在不同的移动应用(Application，APP)中实现身份认证和映射到企业身份认证中，如图1示出的现有技术的内外网数据访问的原理示意图，每个业务站点(相当于每个内部系统)都搭建自己的反向代理，通过反向代理将业务站点代理到外网，以实现互联网社交应用在各自的身份验证体系获取社交身份，然后在业务站点到企业内部进行身份转换，从而实现通过互联网社交应用进行访问。

现有技术中，每个内部系统或业务站点都需要维护自己的站点安全性，因为开放给反向代理的地址都是对外的，极有可能受到攻击。然而有些互联网应用有可能会漏掉某个客户端或者某些应用程序编程接口(Application Programming Interface，API)的鉴权，也就是鉴权不完整，或者是有些业务站点是一些没有开发能力或者部署能力的人来负责的，他们就直接部分放开或者全部放开权限，不做任何身份校验，这就造成了非常大的安全隐患，整个业务系统的安全性低。

发明内容

本发明实施例所要解决的技术问题在于，提供一种数据访问方法、一种数据访问装置、一种网关、一种数据访问系统以及一种计算机可读存储介质，解决现有技术中互联网应用自身鉴权不完整导致整个业务系统安全性低的技术问题。

为了解决上述技术问题，本发明实施例第一方面公开了一种数据访问方法，包括：

网关接收访问者基于第三方应用发起的数据访问请求；

在所述数据访问请求的访问地址有效的情况下，所述网关根据所述数据访问请求触发对所述访问者进行身份鉴权；

在身份鉴权通过的情况下，根据所述数据访问请求生成内部请求，所述内部请求携带有与所述访问者身份信息对应的内部身份标识；

所述网关将所述内部请求发送给内部站点，获取所述内部站点根据所述内部身份标识返回的数据；

所述网关将所述返回的数据发送给所述第三方应用。

基于上述第一方面的其中一种可能的实施方式，所述网关根据所述数据访问请求触发对所述访问者进行身份鉴权，包括：

所述网关根据所述数据访问请求向所述第三方应用的后台服务器发起身份验证；

所述网关接收所述第三方应用的后台服务器根据所述身份验证返回的所述访问者身份信息；

若存储有与所述访问者身份信息对应的内部身份标识，则身份鉴权通过。

基于上述第一方面的其中一种可能的实施方式，所述网关根据所述数据访问请求触发对所述访问者进行身份鉴权，还包括：

若没有存储与所述访问者身份信息对应的内部身份标识，进行内部身份识别；

在内部身份识别通过的情况下，则身份鉴权通过，并建立所述访问者身份信息与内部身份标识的对应关系。

基于上述第一方面的其中一种可能的实施方式，所述进行内部身份识别包括：

所述网关向所述第三方应用发送内部身份识别指示信息；

所述网关接收所述第三方应用根据所述内部身份识别指示信息返回的待识别信息；

所述网关对所述待识别信息进行识别。

基于上述第一方面的其中一种可能的实施方式，所述网关根据所述数据访问请求触发对所述访问者进行身份鉴权，包括：

所述网关查看所述数据访问请求中是否包含所述网关的会话标识；

在包含所述会话标识的情况下，则身份鉴权通过；

在没有包含所述会话标识的情况下，所述网关根据所述数据访问请求向所述第三方应用的后台服务器发起身份验证，接收所述第三方应用的后台服务器根据所述身份验证返回的所述访问者身份信息；若存储有与所述访问者身份信息对应的内部身份标识，则身份鉴权通过。

基于上述第一方面的其中一种可能的实施方式，在没有包含所述会话标识的情况下，身份鉴权通过后，还包括：

所述网关生成所述会话标识，并将所述会话标识发送给所述第三方应用；所述会话标识用于指示所述访问者再次基于所述第三方应用发起数据访问请求时携带所述会话标识。

基于上述第一方面的其中一种可能的实施方式，还包括：

所述网关周期性地同步内部身份标识，并存储所述内部身份标识。

基于上述第一方面的其中一种实施方式，所述根据所述数据访问请求生成内部请求，包括：

在所述数据访问请求的请求头中添加所述内部身份标识，生成内部请求。

基于上述第一方面的其中一种可能的实施方式，所述内部身份标识包括以下至少一种：

员工身份；员工名称；签名信息。

本发明实施例第二方面公开了一种数据访问装置，包括执行如上述第一方面，及其可能的实施方式中的方法的单元。

本发明实施例第三方面公开了一种网关，包括处理器、存储器和通信模块，所述处理器、存储器和通信模块相互连接，其中，所述存储器用于存储数据访问代码，所述通信模块用于与外部设备进行信息交互；所述处理器被配置用于调用所述数据访问代码，执行如上述第一方面，及其可能的实施方式中的方法。

本发明实施例第四方面公开了一种计算机可读存储介质，所述计算机存储介质存储有计算机程序，所述计算机程序包括程序指令，所述程序指令当被处理器执行时使所述处理器执行如上述第一方面，及其可能的实施方式中的方法。

本发明实施例第五方面公开了一种数据访问系统，包括网关和内部站点；其中，所述网关包括上述第三方面所述的网关；

所述内部站点用于接收所述网关发送的内部请求，根据所述内部请求的内部身份标识向所述网关返回数据。

实施本发明实施例，网关接收访问者基于第三方应用发起的数据访问请求；网关根据数据访问请求触发对访问者进行身份鉴权；在身份鉴权通过的情况下，根据数据访问请求生成内部请求，内部请求携带有与访问者身份信息对应的内部身份标识；网关将内部请求发送给内部站点，获取内部站点根据内部身份标识返回的数据；网关将返回的数据发送给第三方应用。那么企业内部系统无需关注互联网APP(比如社交APP)的身份鉴权模型，通过网关可以将内网开放到市面上常见的社交APP中，也就是说使用网关服务可以统一企业内部系统的外网入口，解决了现有技术中互联网应用自身鉴权不完整导致整个业务系统安全性低的技术问题，在机器管理和安全防范上都有极大的提升效果。

附图说明

为了说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍。

图1是现有技术的内外网数据访问的原理示意图；

图2是本发明实施例提供的数据访问方法的系统架构示意图；

图3是本发明实施例提供的数据访问方法的原理示意图；

图4是本发明实施例提供的数据访问方法的流程示意图；

图5是本发明实施例提供的网关处理的原理示意图；

图6是本发明实施例提供的内部站点返回数据的原理示意图；

图7是本发明提供的数据访问方法的另一实施例的流程示意图；

图8是本发明实施例提供的访问者发起数据访问请求的界面示意图；

图9是本发明提供的访问者发起数据访问请求的另一实施例的界面示意图；

图10是本发明实施例提供的待识别信息的输入界面示意图；

图11是本发明实施例提供的展示返回数据的界面示意图；

图12是本发明实施例提供的数据访问装置的结构示意图；

图13是本发明实施例提供的网关的结构示意图；

图14是本发明实施例提供的数据访问系统的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行描述。

还应当理解，在此本发明说明书中所使用的术语仅仅是出于描述特定实施例的目的而并不意在限制本发明。

还应当进一步理解，在本发明说明书和所附权利要求书中使用的术语“和/或”是指相关联列出的项中的一个或多个的任何组合以及所有可能组合，并且包括这些组合。

为了更好的理解本发明实施例提供的一种数据访问方法、数据访问装置、网关和数据访问系统，下面先对本发明实施例的数据访问方法的系统架构进行描述。如图2示出的本发明实施例提供的数据访问方法的系统架构示意图，包括终端、网关、基础信息数据服务模块、内部站点和第三方应用服务器。其中系统架构可以包括1个或多个终端，每个终端运行有1个或多个第三方应用，比如多个办公应用或多个互联网社交应用等等，图2中该多个第三方应用以互联网社交应用为例进行说明，访问者(即用户)可以通过终端登录该第三方应用来访问内部站点；网关可以接收访问者的访问操作，并与第三方应用服务器交互完成第三方身份鉴权，然后基于基础信息数据服务模块提供的基础数据，与内部站点进行交互，获取内部站点返回的数据，最后将获取到的数据发送给终端。

在其中一个实施方式中，网关可以提供网关接入服务和网关逻辑服务。该网关接入服务可以作为第一层接入服务，可以提供接收访问者接入操作，进行身份鉴权，比如获取访问者身份信息(即第三方账号信息)，然后将获取的信息与网关逻辑服务进行交互。该网关逻辑服务可以作为第二层逻辑服务，用于与基础信息数据服务模块交互，获得内部身份标识，比如企业内部员工的基础信息，包括员工账号等字段；在接收到第一层接入服务传入的信息后，与内部身份标识进行绑定，然后传回第一层接入服务；该第二层逻辑服务还可以与内部站点进行交互，接收内部站点返回的访问数据，并将该访问数据回传到第一层接入服务，通过该第一层接入服务将访问数据发送给运行该第三方应用的终端。

在其中一个实施方式中，本发明实施例中的终端包括但不限于个人计算机、智能移动终端(如移动电话、移动电脑、平板电脑)、个人数字助理(Personal DigitalAssistant，PDA)、智能电视、智能手表、智能眼镜、智能手环等终端。该终端安装并运行有第三方应用，即安装并运行了客户端(Client)，客户端是指与服务器相对应，且为用户提供本地服务的程序。这里，该本地服务可包括但不限于：人机交互服务、本地数据采集和维护服务、本地与服务器之间的通信服务等等。客户端可包括：本地运行的应用程序、运行于网络浏览器上的功能(又称为Web App)、嵌入于电子邮件中的小程序、嵌入于即时通讯的客户端软件(如微信(WeChat))中的小程序，以及嵌入在其他应用程序(如WeChat)中的功能(如公众服务账号)等。对于客户端，服务器上需要运行有相应的服务器端程序来提供相应的服务，如数据库服务，数据计算、决策执行等等。

在其中一个实施方式中，本发明实施例中的第三方应用服务器也可以被称为第三方应用的后台服务器、第三方应用的组件服务器等，与客户端相对应，可以通过互联网与运行有客户端的多个终端进行通信连接，为用户提供服务；并且与网关进行交互，向网关提供访问者的身份信息。

在其中一个实施方式中，本发明实施例中的基础信息数据服务模块可以为一个独立的设备中的模块，也可以为集成在网关中的一个模块，用于周期性地同步员工基础信息到网关中，以使网关能及时处理离职人员等信息，去除无效数据。

在其中一个实施方式中，本发明实施例中的网关可以为一个独立的设备，也可以根据业务需求，平行扩展的多个设备。

在其中一个实施方式中，本发明实施例中的内部站点可以为一个独立的设备，提供内部业务数据，一个内部站点可以对应一项或多项内部业务；该数据访问方法的系统架构可以包括1个或多个内部站点。内部站点在网关上登记需要公开到外部网络的地址，接收网关的访问请求后向网关返回访问数据。

下面结合图3示出的本发明实施例提供的数据访问方法的原理示意图，进行说明：当访问者需要通过社交APP服务号或公众服务账号或H5页面等互联网应用访问内部系统时，需要通过网关绑定社交的身份信息，并且在通过有效的内部身份验证确认了访问者身份后，即可以通过该社交APP服务号或公众服务账号等互联网应用进行内部站点的访问。

本发明实施例中的网关通过本发明实施例的数据访问方法，解决了现有技术中互联网应用自身鉴权不完整导致整个业务系统安全性低的技术问题；下面结合图4示出的本发明实施例提供的数据访问方法的流程示意图，具体说明本发明实施例如何进行数据访问，可以包括以下步骤：

步骤S400：网关接收访问者基于第三方应用发起的数据访问请求；

具体地，访问者(即用户)可以通过终端上的第三方应用(即客户端)发起数据访问请求，例如访问者想通过社交应用访问内部站点的休假服务，该社交应用可以通过开放的资源调用API来访问内部站点的功能和资源，那么访问者可以基于第三方应用来发起数据访问请求，网关即接收到该数据访问请求。

接着，如图5示出的本发明实施例提供的网关处理的原理示意图，网关在接收到访问者基于第三方应用发起的数据访问请求后，将会计算或判断访问者身份及访问地址的有效性，当访问者身份及访问地址都是有效的情况下，才会再转换成内部身份标识(比如企业内部的身份信息)，并转发到内部站点，这样可以防止被不善者不断尝试和爆破有效地址。具体可以包括下面步骤S402至步骤S406的执行内容。

步骤S402：在所述数据访问请求的访问地址有效的情况下，所述网关根据所述数据访问请求触发对所述访问者进行身份鉴权；

具体地，内部站点的相关负责人可以在网关上登记需要在外网访问的地址，以将内部系统的信息或数据开放到外网中，那么网关接收到该数据访问请求后，需要判断该数据访问请求的访问地址是否有效，即判断是否为登记的在外网访问的地址，若是，则数据访问请求的访问地址有效，若否，则数据访问请求的访问地址无效。

在其中一个实施方式中，若数据访问请求的访问地址有效，网关可以根据该数据访问请求是由哪个第三方应用发起的，然后触发该第三方应用的后台服务器对该访问者进行身份验证，也就是说进行第三方鉴权；第三方应用的后台服务器对该访问者进行身份验证，向网关返回访问者身份信息，然后网关再判断该访问者身份信息是否对应有内部身份标识，若有对应的内部身份标识，则身份鉴权通过。若没有对应的内部身份标识，则网关可以进一步向第三方应用发送内部身份识别指示信息，以要求访问者返回待识别信息，例如输入内部登录的账号和密码等，网关在接收到第三方应用根据该内部身份识别指示信息返回的待识别信息后进行识别，若识别通过，则身份鉴权通过并且可以建立该访问者身份信息与该待识别信息的绑定关系，若识别不通过，则身份鉴权不通过，那么网关可以向终端发送提示信息，以提示非法访问，本次请求结束。

在其中一个实施方式中，本发明实施例中的数据访问请求还可以直接携带访问者身份信息，那么若数据访问请求的访问地址有效，网关可以直接判断该访问者身份信息是否对应有内部身份标识，若有对应的内部身份标识，则身份鉴权通过。若没有对应的内部身份标识，则网关可以进一步向第三方应用发送内部身份识别指示信息，以要求访问者返回待识别信息，例如输入内部登录的账号和密码等，网关在接收到第三方应用根据该内部身份识别指示信息返回的待识别信息后进行识别，若识别通过，则身份鉴权通过并且可以建立该访问者身份信息与该待识别信息的绑定关系，若识别不通过，则身份鉴权不通过，那么网关可以向终端发送提示信息，以提示非内部人员或员工，本次请求结束。

在其中一个实施方式中，若数据访问请求的访问地址有效，网关可以先判断该数据访问请求是否携带会话标识，该会话标识用于表征该访问者此前已经发起过数据访问请求，并身份鉴权通过，本次数据访问请求是该访问者再次发起的请求，因此若本次的数据访问请求携带有会话标识，则身份鉴权通过。若没有携带会话标识，则可以触发该第三方应用的后台服务器对该访问者进行身份验证，也就是说进行第三方鉴权；第三方应用的后台服务器对该访问者进行身份验证，向网关返回访问者身份信息，然后网关再判断该访问者身份信息是否对应有内部身份标识，若有对应的内部身份标识，则身份鉴权通过。若没有对应的内部身份标识，则网关可以进一步向第三方应用发送内部身份识别指示信息，以要求访问者返回待识别信息，例如输入内部登录的账号和密码等，网关在接收到第三方应用根据该内部身份识别指示信息返回的待识别信息后进行识别，若识别通过，则身份鉴权通过并且可以建立该访问者身份信息与该待识别信息的绑定关系，若识别不通过，则身份鉴权不通过，那么网关可以向终端发送提示信息，以提示非内部人员或员工，本次请求结束。

步骤S404：在身份鉴权通过的情况下，根据所述数据访问请求生成内部请求，所述内部请求携带有与所述访问者身份信息对应的内部身份标识；

具体地，第三方鉴权通过后，网关将进一步根据数据访问请求生成内部请求，例如网关可以与内部站点预先协商好内部请求的格式，然后根据该格式来生成携带有与该访问者身份信息对应的内部身份标识的内部请求；或者网关可以直接在该数据访问请求中加入与该访问者身份信息对应的内部身份标识，以生成内部请求，向内部站点转发该内部请求。

在其中一个实施方式中，网关可以在该数据访问请求的请求头中添加或加入与该访问者身份信息对应的内部身份标识，从而生成内部请求；那么内部站点即可直接从请求头中解析获取到该内部身份标识，因此内部站点非常快捷高效地获取到内部身份标识，避免了现有技术中内部系统需要进行复杂的鉴权的问题，也就是说大大简化了现有技术中内部系统鉴权的复杂性。

步骤S406：所述网关将所述内部请求发送给内部站点，获取所述内部站点根据所述内部身份标识返回的数据；

具体地，网关将该内部请求发送给内部站点后，该内部站点将根据该内部请求中的内部身份标识，例如根据该内部身份标识对应的权限，可以访问哪些信息或数据等，向网关返回与该内部请求对应的数据，那么网关获取到与该内部请求对应的数据。

步骤S408：所述网关将所述返回的数据发送给所述第三方应用。

具体地，网关通过网络将内部站点返回的与该内部请求对应的数据发送给运行该第三方应用的终端。

在其中一个实施方式中，如图6示出的本发明实施例提供的内部站点返回数据的原理示意图，内部系统在接收到网关发送的内部请求时，可以从请求头中解析获取到有效的内部身份标识，然后根据该内部身份标识所对应的权限返回响应的访问数据，实现访问者数据访问的闭环。

实施本发明实施例，网关接收访问者基于第三方应用发起的数据访问请求；网关根据数据访问请求触发对访问者进行身份鉴权；在身份鉴权通过的情况下，根据数据访问请求生成内部请求，内部请求携带有与访问者身份信息对应的内部身份标识；网关将内部请求发送给内部站点，获取内部站点根据内部身份标识返回的数据；网关将返回的数据发送给第三方应用。那么企业内部系统无需关注互联网APP(比如社交APP)的身份鉴权模型，通过网关可以将内网开放到市面上常见的社交APP中，也就是说使用网关服务可以统一企业内部系统的外网入口，解决了现有技术中互联网应用自身鉴权不完整导致整个业务系统安全性低的技术问题，在机器管理和安全防范上都有极大的提升效果。

下面结合图7示出的本发明提供的数据访问方法的另一实施例的流程示意图，以访问者通过第三方应用访问企业内部系统进行休假申请为例，进行详细说明，可以包括以下步骤：

步骤S700：周期性地同步内部身份标识；

具体地，网关可以周期性地(比如每天)与基础信息数据服务模块交互，将基础信息数据服务模块中的内部身份标识(比如企业员工的基础信息)同步到网关中，也就是说网关可以通过对比前一天的数据，去除离职人员、黑名单员工的绑定关系，新增新人员，修改人员信息等等操作。

步骤S702：网关存储同步好的内部身份标识；

具体地，步骤S700、S702是周期性的执行动作，并非限定于在步骤S704等后续步骤之前来执行，本发明实施例只是为了更好地更容易理解的说明数据访问方法的实现原理，将网关周期性地同步内部身份标识并存储该内部身份标识，放在方法流程的最前面来说明。

步骤S704：在网关上登记需要在外部访问的地址；

具体地，内部站点的相关负责人可以预先在网关上登记好需要公开到外网的地址，比如将企业内部系统中的休假应用公开到外网，那么将该休假应用的地址登记在网关中。

步骤S706：基于第三方应用发起数据访问请求；

具体地，如图8示出的本发明实施例提供的访问者发起数据访问请求的界面示意图，访问者可以在第三方应用的界面中点击“我要休假”的菜单或按钮，来触发该第三方应用发起数据访问请求，或者如图9示出的本发明提供的访问者发起数据访问请求的另一实施例的界面示意图，访问者可以在第三方应用的界面中点击“休假”图标或者字体，来触发该第三方应用发起数据访问请求。

步骤S708：网关判断该数据访问请求的访问地址是否有效；

具体地，网关可以在通过网关接入服务接收到数据访问请求后，判断该数据访问请求的访问地址是否有效，即判断是否为登记的在外网访问的地址，若是，则数据访问请求的访问地址有效，执行步骤S710；若否，则数据访问请求的访问地址无效，执行步骤S712。

步骤S710：查看数据访问请求中是否包含网关的会话标识；

具体地，网关可以查看该数据访问请求是否携带会话标识，该会话标识用于表征该访问者此前已经发起过数据访问请求，并身份鉴权通过，本次数据访问请求是该访问者再次发起的请求，因此若本次的数据访问请求携带有会话标识，则身份鉴权通过，执行步骤S738；在没有包含所述会话标识的情况下，网关可以根据该数据访问请求向所述第三方应用发起身份验证，即具体执行步骤S716。

步骤S712：发送提示信息；

具体地，网关可以通过网关接入服务向该第三方应用发送提示信息，也就是说向运行该第三方应用的终端发送提示信息，该提示信息用于指示本次数据访问请求为非法访问。

步骤S714：提示非法访问；

具体地，运行该第三方应用的终端接收到该提示信息后，可以在第三方应用的界面中提示非法访问，然后本次请求结束。

步骤S716：判断发起该数据访问请求的第三方应用的来源；

具体地，网关可以从该数据访问请求的发送方信息来判断出或分析出是哪个第三方应用发起的，也就是说该数据访问请求是来源于哪个第三方应用。

步骤S718：向第三方应用的后台服务器发起身份验证；

具体地，网关在判断出发起该数据访问请求的第三方应用的来源后，可以通过网关接入服务向该第三方应用的后台服务器发起身份验证，以请求该第三方应用的后台服务器返回发起该数据访问请求的访问者身份信息，比如该第三方应用的用户登陆账号或用户标识等。

步骤S720：发送访问者身份信息；

具体地，第三方应用的后台服务器接收到网关发送的身份验证后，解析出身份验证，获知网关请求发起该数据访问请求的访问者身份信息，那么向网关发送该访问者身份信息。

步骤S722：是否存在身份对应关系；

具体地，网关接收该第三方应用的后台服务器根据该身份验证返回的访问者身份信息；若存储有与访问者身份信息对应的内部身份标识，也就是说存在身份对应关系，则身份鉴权通过，执行步骤S738；若没有存储与访问者身份信息对应的内部身份标识，也就是说没有存在身份对应关系，则执行步骤S724。

步骤S724：向第三方应用发送内部身份识别指示信息；

具体地，网关进行内部身份识别，可以包括通过网关接入服务向第三方应用发送内部身份识别指示信息，该内部身份识别指示信息用于指示访问者需要进行身份识别，要求访问者输入待识别信息。

步骤S726：返回待识别信息；

具体地，第三方应用接收到网关发送的该内部身份识别指示信息后，可以在页面或界面中弹出指示信息，提示和要求访问者输入待识别信息，比如如图10示出的本发明实施例提供的待识别信息的输入界面示意图，该待识别信息为内部登录的账号和密码，访问者在界面中输入内部登录的账号和密码等待识别信息，并点击确认后，该第三方应用即向网关返回该待识别信息。

步骤S728：对待识别信息进行识别；

步骤S730：内部身份识别是否通过；

具体地，网关在接收到第三方应用根据该内部身份识别指示信息返回的待识别信息后通过网关逻辑服务进行识别，比如识别内部登陆的账号和密码是否匹配，若内部登陆的账号和密码识别匹配，那么内部身份识别通过，则身份鉴权通过，执行步骤S738；若内部身份识别不通过，则身份鉴权不通过，那么执行步骤S732。

步骤S732：发送提示信息；

具体地，网关可以通过网关接入服务向运行该第三方应用的终端发送提示信息，以提示非内部人员或员工，本次请求结束。

步骤S734：提示非员工；

具体地，运行该第三方应用的终端接收到该提示信息后，可以在第三方应用的界面中提示非内部人员或员工，然后本次请求结束。

步骤S736：建立绑定；

具体地，网关可以通过网关逻辑服务建立该访问者身份信息与该待识别信息的绑定关系，例如访问者通过社交APP发起数据访问请求，该访问者身份信息可以为登陆该社交APP的社交账号，该待识别信息可以为企业内部员工账号，那么网关即建立该社交账号与该企业内部员工账号的对应关系，即完成了绑定。

在其中一种实施方式中，网关建立绑定的方式可以是通过内部系统中该待识别信息对应的通讯信息，向接收方发送验证码等校验信息，若该接收方即为该访问者，那么访问者即接收到校验信息，并在第三方应用中输入该校验信息，校验通过后，网关再建立该访问者身份信息与该待识别信息的绑定关系；若校验信息不对，或者校验超时，则校验不通过，那么网关不能建立该访问者身份信息与该待识别信息的绑定关系。本发明实施例中的通讯信息包括但不限于手机号码、邮箱地址等信息。

在其中一种实施方式中，网关建立绑定的方式可以是通过第三方应用接口进行自动化同步，来自动完成该访问者身份信息与该待识别信息的绑定，无需访问者手动绑定。

在其中一种实施方式中，该待识别信息可以即为内部身份标识，那么完成绑定后，该访问者身份信息即对应有内部身份标识；或者该待识别信息可以对应有内部身份标识，那么完成绑定后，该访问者身份信息也对应有内部身份标识。

步骤S738：生成内部请求；

具体地，网关根据该数据访问请求生成内部请求，该内部请求携带有与该访问者身份信息对应的内部身份标识；例如网关可以与内部站点预先协商好内部请求的格式，然后根据该格式来生成携带有与该访问者身份信息对应的内部身份标识的内部请求；或者网关可以直接在该数据访问请求中加入与该访问者身份信息对应的内部身份标识，以生成内部请求。

在其中一种实施方式中，本发明实施例的内部身份标识可以包括员工身份或员工标识staffID，员工名称StaffName和签名信息token等信息中的至少一种。

步骤S740：发送内部请求；

具体地，网关可以通过网关逻辑服务向内部站点发送该内部请求，网关可以具体根据数据访问请求要请求的数据类型或数据内容等信息，分析出客户端需要访问的内部站点，然后将该内部请求发送给分析出的该内部站点。

步骤S742：获取内部身份标识，向网关返回数据；

具体地，内部站点接收到内部请求后，对该内部请求进行解析，例如从请求头中可以直接获取进行数据访问的内部身份标识，比如企业内部员工的身份，然后即可根据该企业内部员工的身份所对应的权限，向网关返回相应的数据。

步骤S744：接收内部站点返回的数据，将返回的数据发送给该第三方应用；

具体地，网关接收到内部站点返回的数据后，即可通过网关接入服务将返回的数据发送给运行第三方应用的终端。

步骤S746：接收到网关返回的数据，展示该数据。

具体地，运行第三方应用的终端接收到网关返回的数据后，例如返回的进行休假申请的数据，那么可以如图11示出的本发明实施例提供的展示返回数据的界面示意图，在第三方应用的界面中展示休假申请的数据，访问者即可在该页面中进行休假申请的相关操作。

在其中一种实施方式中，内部站点可以针对部分或者全部访问者设置不同的访问范围(或访问权限)和/或访问频率限制。该访问范围即为访问者可以访问哪些内部站点，以及访问的内部站点中的哪些数据；该访问频率限制用于限制访问者访问内部站点的频率，例如设置每秒访问次数的阈值，若超过阈值则不能访问。那么本发明实施例在步骤S738网关在生成内部请求之前，还可以先进一步判断访问者的访问范围(或访问权限)和/或访问频率是否符合预设要求；若当前访问者的访问范围不包括要进行访问的内部站点，或者当前访问者的访问频率达到阈值，受到限制，那么网关将不生成内部请求，可以通过网关接入服务向运行该第三方应用的终端发送提示信息，该提示信息用于指示本次数据访问请求为非法访问。

实施本发明实施例，网关接收访问者基于第三方应用发起的数据访问请求；网关根据数据访问请求触发对访问者进行身份鉴权；在身份鉴权通过的情况下，根据数据访问请求生成内部请求，内部请求携带有与访问者身份信息对应的内部身份标识；网关将内部请求发送给内部站点，获取内部站点根据内部身份标识返回的数据；网关将返回的数据发送给第三方应用。那么企业内部系统无需关注互联网APP(比如社交APP)的身份鉴权模型，通过网关可以将内网开放到市面上常见的社交APP中，也就是说使用网关服务可以统一企业内部系统的外网入口，解决了现有技术中互联网应用自身鉴权不完整导致整个业务系统安全性低的技术问题，在机器管理和安全防范上都有极大的提升效果；

另外，现有技术中每个内部系统都需要实现各个不同互联网应用(包括公众服务账号或小程序等)的身份鉴权方案，并且转换为企业内部的身份进行访问；而本发明实施例的数据访问方法提供了一套完整可扩展的身份验证方案，实现集成了不同的互联网APP和内部系统的身份验证，可以通过请求头中获得当前访问系统的有效员工，可以轻松扩展到其他APP，大大简化了现有技术中系统鉴权的复杂性，节省了开发时间；

而且，现有技术中每个内部系统都需要申请外网机器(即反向代理服务器)，进行管理和权限设置，在机器利用率以及维护上增加非常大的维护成本；而本发明实施例通过网关周期性地同步内部身份标识，并存储内部身份标识，由网关统一管理和维护企业内部员工的信息数据，也就是说内部系统无需各自维护企业内部员工信息数据，不但保护了企业数据的安全性，防止数据到处散播，还节省了内部系统的维护成本。

为了便于更好地实施本发明实施例的上述方案，本发明还对应提供了一种数据访问装置，下面结合附图来进行详细说明：

如图12示出的本发明实施例提供的数据访问装置的结构示意图，数据访问装置12可以包括：接收单元120、触发单元122、生成单元124和发送单元126，其中，

接收单元120用于接收访问者基于第三方应用发起的数据访问请求；

触发单元122用于在所述数据访问请求的访问地址有效的情况下，所述网关根据所述数据访问请求触发对所述访问者进行身份鉴权；

生成单元124用于在身份鉴权通过的情况下，根据所述数据访问请求生成内部请求，所述内部请求携带有与所述访问者身份信息对应的内部身份标识；

发送单元126用于将所述内部请求发送给内部站点，在接收单元120获取所述内部站点根据所述内部身份标识返回的数据；发送单元126还用于将所述返回的数据发送给所述第三方应用。

在其中一个实施方式中，触发单元122具体可以用于根据所述数据访问请求向所述第三方应用的后台服务器发起身份验证；接收所述第三方应用的后台服务器根据所述身份验证返回的所述访问者身份信息；若存储有与所述访问者身份信息对应的内部身份标识，则身份鉴权通过。

在其中一个实施方式中，触发单元122还可以用于若没有存储与所述访问者身份信息对应的内部身份标识，进行内部身份识别；在内部身份识别通过的情况下，则身份鉴权通过，并建立所述访问者身份信息与内部身份标识的对应关系。

在其中一个实施方式中，触发单元122进行内部身份识别，可以具体包括：向所述第三方应用发送内部身份识别指示信息；接收所述第三方应用根据所述内部身份识别指示信息返回的待识别信息；对所述待识别信息进行识别。

在其中一个实施方式中，触发单元122具体可以用于查看所述数据访问请求中是否包含所述网关的会话标识；在包含所述会话标识的情况下，则身份鉴权通过；在没有包含所述会话标识的情况下，根据所述数据访问请求向所述第三方应用的后台服务器发起身份验证，接收所述第三方应用的后台服务器根据所述身份验证返回的所述访问者身份信息；若存储有与所述访问者身份信息对应的内部身份标识，则身份鉴权通过。

在其中一个实施方式中，在没有包含所述会话标识的情况下，身份鉴权通过后，数据访问装置12还可以生成所述会话标识，通过发送单元126并将所述会话标识发送给所述第三方应用；所述会话标识用于指示所述访问者再次基于所述第三方应用发起数据访问请求时携带所述会话标识。

在其中一个实施方式中，数据访问装置12还可以周期性地同步内部身份标识，并存储所述内部身份标识。

在其中一个实施方式中，生成单元124具体可以用于在所述数据访问请求的请求头中添加所述内部身份标识，生成内部请求。

在其中一个实施方式中，内部身份标识包括以下至少一种：员工身份；员工名称；签名信息。

需要说明的是，本发明实施例中的数据访问装置12可以为上述方法实施例中的网关，该数据访问装置12中各单元执行的步骤可对应参考上述各方法实施例中图1至图11实施例中的网关执行的步骤，这里不再赘述。

为了便于更好地实施本发明实施例的上述方案，本发明还对应提供了一种网关，下面结合附图来进行详细说明：

如图13示出的本发明实施例提供的网关的结构示意图，网关13可以包括处理器131、存储器134和通信模块135，处理器131、存储器134和通信模块135可以通过总线136相互连接。存储器134可以是高速随机存储记忆体(Random Access Memory，RAM)存储器，也可以是非易失性的存储器(non-volatile memory)，例如至少一个磁盘存储器，存储器134包括本发明实施例中的flash。存储器134可选的还可以是至少一个位于远离前述处理器131的存储系统。存储器134用于存储应用程序代码，可以包括操作系统、网络通信模块、用户接口模块以及数据访问程序，通信模块135用于与外部设备进行信息交互；处理器131被配置用于调用该程序代码，执行以下步骤：

通过通信模块135接收访问者基于第三方应用发起的数据访问请求；

在所述数据访问请求的访问地址有效的情况下，所述网关根据所述数据访问请求触发对所述访问者进行身份鉴权；

在身份鉴权通过的情况下，根据所述数据访问请求生成内部请求，所述内部请求携带有与所述访问者身份信息对应的内部身份标识；

通过通信模块135将所述内部请求发送给内部站点，获取所述内部站点根据所述内部身份标识返回的数据；

通过通信模块135将所述返回的数据发送给所述第三方应用。

在其中一个实施方式中，处理器131根据所述数据访问请求触发对所述访问者进行身份鉴权，包括：

通过通信模块135根据所述数据访问请求向所述第三方应用的后台服务器发起身份验证；

通过通信模块135接收所述第三方应用的后台服务器根据所述身份验证返回的所述访问者身份信息；

若存储有与所述访问者身份信息对应的内部身份标识，则身份鉴权通过。

在其中一个实施方式中，处理器131根据所述数据访问请求触发对所述访问者进行身份鉴权，还包括：

若没有存储与所述访问者身份信息对应的内部身份标识，进行内部身份识别；

在内部身份识别通过的情况下，则身份鉴权通过，并建立所述访问者身份信息与内部身份标识的对应关系。

在其中一个实施方式中，处理器131进行内部身份识别包括：

向所述第三方应用发送内部身份识别指示信息；

通过通信模块135接收所述第三方应用根据所述内部身份识别指示信息返回的待识别信息；

对所述待识别信息进行识别。

在其中一个实施方式中，处理器131根据所述数据访问请求触发对所述访问者进行身份鉴权，包括：

查看所述数据访问请求中是否包含所述网关的会话标识；

在包含所述会话标识的情况下，则身份鉴权通过；

在没有包含所述会话标识的情况下，通过通信模块135根据所述数据访问请求向所述第三方应用的后台服务器发起身份验证，接收所述第三方应用的后台服务器根据所述身份验证返回的所述访问者身份信息；若存储有与所述访问者身份信息对应的内部身份标识，则身份鉴权通过。

在其中一个实施方式中，处理器131在没有包含所述会话标识的情况下，身份鉴权通过后，还包括：

生成所述会话标识，通过通信模块135并将所述会话标识发送给所述第三方应用；所述会话标识用于指示所述访问者再次基于所述第三方应用发起数据访问请求时携带所述会话标识。

在其中一个实施方式中，处理器131还可以执行：

周期性地同步内部身份标识，并存储所述内部身份标识。

在其中一个实施方式中，处理器131根据所述数据访问请求生成内部请求，包括：

在所述数据访问请求的请求头中添加所述内部身份标识，生成内部请求。

需要说明的是，本发明实施例中的网关13中处理器的执行步骤可参考上述各方法实施例中图1至图11实施例中网关的具体实现方式，这里不再赘述。

本发明实施例还提供一种数据访问系统，如图14示出的本发明实施例提供的数据访问系统的结构示意图，数据访问系统14可以包括网关141和内部站点143，数据访问系统14可以包括多个网关141，或者多个内部站点143，图14中的数据访问系统14以包括1个网关141为例进行说明。

具体地，数据访问系统14中的网关141执行的步骤可参考上述各方法实施例中图1至图11实施例中网关的具体实现方式，这里不再赘述。数据访问系统14中的内部站点142执行的步骤可参考上述各方法实施例中图1至图11实施例中内部站点的具体实现方式，这里不再赘述。

实施本发明实施例，网关接收访问者基于第三方应用发起的数据访问请求；网关根据数据访问请求触发对访问者进行身份鉴权；在身份鉴权通过的情况下，根据数据访问请求生成内部请求，内部请求携带有与访问者身份信息对应的内部身份标识；网关将内部请求发送给内部站点，获取内部站点根据内部身份标识返回的数据；网关将返回的数据发送给第三方应用。那么企业内部系统无需关注互联网APP(比如社交APP)的身份鉴权模型，通过网关可以将内网开放到市面上常见的社交APP中，也就是说使用网关服务可以统一企业内部系统的外网入口，解决了现有技术中互联网应用自身鉴权不完整导致整个业务系统安全性低的技术问题，在机器管理和安全防范上都有极大的提升效果；

另外，现有技术中每个内部系统都需要实现各个不同互联网应用(包括公众服务账号或小程序等)的身份鉴权方案，并且转换为企业内部的身份进行访问；而本发明实施例的数据访问方法提供了一套完整可扩展的身份验证方案，实现集成了不同的互联网APP和内部系统的身份验证，可以通过请求头中获得当前访问系统的有效员工，可以轻松扩展到其他APP，大大简化了现有技术中系统鉴权的复杂性，节省了开发时间；

而且，现有技术中每个内部系统都需要申请外网机器(即反向代理服务器)，进行管理和权限设置，在机器利用率以及维护上增加非常大的维护成本；而本发明实施例通过网关周期性地同步内部身份标识，并存储内部身份标识，由网关统一管理和维护企业内部员工的信息数据，也就是说内部系统无需各自维护企业内部员工信息数据，不但保护了企业数据的安全性，防止数据到处散播，还节省了内部系统的维护成本。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)或随机存储记忆体(Random AccessMemory，RAM)等。

以上所揭露的仅为本发明较佳实施例而已，当然不能以此来限定本发明之权利范围，因此依本发明权利要求所作的等同变化，仍属本发明所涵盖的范围。

Claims (12)

1.一种数据访问方法，其特征在于，包括：

网关接收访问者基于第三方应用发起的数据访问请求；

在所述数据访问请求的访问地址有效的情况下，所述网关根据所述数据访问请求触发对所述访问者进行身份鉴权；

在身份鉴权通过的情况下，根据所述数据访问请求生成内部请求，所述内部请求携带有与所述访问者身份信息对应的内部身份标识；

所述网关将所述内部请求发送给内部站点，获取所述内部站点根据所述内部身份标识返回的数据；

所述网关将所述返回的数据发送给所述第三方应用。

2.如权利要求1所述的方法，其特征在于，所述网关根据所述数据访问请求触发对所述访问者进行身份鉴权，包括：

所述网关根据所述数据访问请求向所述第三方应用的后台服务器发起身份验证；

所述网关接收所述第三方应用的后台服务器根据所述身份验证返回的所述访问者身份信息；

若存储有与所述访问者身份信息对应的内部身份标识，则身份鉴权通过。

3.如权利要求2所述的方法，其特征在于，所述网关根据所述数据访问请求触发对所述访问者进行身份鉴权，还包括：

若没有存储与所述访问者身份信息对应的内部身份标识，进行内部身份识别；

在内部身份识别通过的情况下，则身份鉴权通过，并建立所述访问者身份信息与内部身份标识的对应关系。

4.如权利要求3所述的方法，其特征在于，所述进行内部身份识别包括：

所述网关向所述第三方应用发送内部身份识别指示信息；

所述网关接收所述第三方应用根据所述内部身份识别指示信息返回的待识别信息；

所述网关对所述待识别信息进行识别。

5.如权利要求1所述的方法，其特征在于，所述网关根据所述数据访问请求触发对所述访问者进行身份鉴权，包括：

所述网关查看所述数据访问请求中是否包含所述网关的会话标识；

在包含所述会话标识的情况下，则身份鉴权通过；

在没有包含所述会话标识的情况下，所述网关根据所述数据访问请求向所述第三方应用的后台服务器发起身份验证，接收所述第三方应用的后台服务器根据所述身份验证返回的所述访问者身份信息；若存储有与所述访问者身份信息对应的内部身份标识，则身份鉴权通过。

6.如权利要求5所述的方法，其特征在于，在没有包含所述会话标识的情况下，身份鉴权通过后，还包括：

所述网关生成所述会话标识，并将所述会话标识发送给所述第三方应用；所述会话标识用于指示所述访问者再次基于所述第三方应用发起数据访问请求时携带所述会话标识。

7.如权利要求1所述的方法，其特征在于，还包括：

所述网关周期性地同步内部身份标识，并存储所述内部身份标识。

8.如权利要求1-7任一项所述的方法，其特征在于，所述根据所述数据访问请求生成内部请求，包括：

在所述数据访问请求的请求头中添加所述内部身份标识，生成内部请求。

9.一种数据访问装置，其特征在于，包括用于执行如权利要求1-8任一项所述的方法中所述网关的执行步骤的单元。

10.一种网关，其特征在于，包括处理器、存储器和通信模块，所述处理器、存储器和通信模块相互连接，其中，所述存储器用于存储数据访问代码，所述通信模块用于与外部设备进行信息交互；所述处理器被配置用于调用所述数据访问代码，执行如权利要求1-8任一项所述的方法中所述网关的执行步骤。

11.一种计算机存储介质，其特征在于，所述计算机存储介质存储有程序指令，所述程序指令当被处理器执行时使所述处理器执行如权利要求1-8任一项所述的方法中所述网关的执行步骤。

12.一种数据访问系统，其特征在于，包括网关和内部站点；其中，所述网关包括如权利要求10所述的网关；

所述内部站点用于接收所述网关发送的内部请求，根据所述内部请求的内部身份标识向所述网关返回数据。