CN111181727A

CN111181727A - 一种基于微服务的开放api全生命周期管理方法

Info

Publication number: CN111181727A
Application number: CN201911291946.7A
Authority: CN
Inventors: 柴旭东; 王冲; 邹萍; 姜海森; 任永; 付星淇
Original assignee: Beijing Aerospace Intelligent Technology Development Co ltd
Current assignee: Beijing Aerospace Intelligent Technology Development Co ltd
Priority date: 2019-12-16
Filing date: 2019-12-16
Publication date: 2020-05-19
Anticipated expiration: 2039-12-16
Also published as: CN111181727B

Abstract

本发明涉及一种基于微服务的开放API全生命周期管理方法。该方法基于微服务技术，结合INDICS工业互联网平台业务需求，建立由API网关、API授权认证中心、API注册中心、API监控中心构成的开放的API全生命周期管理系统；通过对API的全生命周期管理，实现API接口服务的灵活调用；其中API的全生命周期管理包括API接口的创建、发布、测试和下线。本发明关键在于可将不同系统的API统一开放与管理，支持数据的多租户隔离，具备完善的权限管理与控制方法，为开发者提供安全、可靠、功能丰富的API接口服务。

Description

一种基于微服务的开放API全生命周期管理方法

技术领域

本发明属于软件技术、信息技术领域，具体涉及一种基于微服务的开放API全生命周期管理方法。

背景技术

工业互联网平台API(Application Programming Interface，应用程序接口)作为生态建设的核心产品，是实现工业APP开发和工业操作系统构建的重中之重。大部分工业互联网平台中的设备、软件和服务通过JSON、XML等统一格式，借助REST API等一系列Web API技术实现不同业务系统的信息交互和调度管理，为企业内外协同、云端协同、能力开放、信息共享奠定基础。新型API技术为多源异构系统的快速集成提供有限支撑，实现边缘设备与云端的集成、传统工业软件与云端的集成、平台内部不同软件和功能的集成。目前，Mindsphere、Predix等工业互联网平台均通过REST API为核心技术手段实现设备、应用程序、后端系统的全要素集成。发那科FIELDsystem平台目前已经向200多家公司开放API，支持用户灵活调用平台的相关服务来开发个性化应用。Predix基于REST API技术提供资产管理和位置控制的微服务，基于区块链技术提供数据完整性验证API，基于大数据技术提供数据统计分析API。IBM Watson IOT平台基于REST API技术为工业应用提供连接、认知分析、实时分析、信息管理和风险管理等功能。基于API技术的能力开放式是平台发展的重点方向。

现有技术方案中的工业互联网平台API主要存在以下问题：

接口访问控制：缺少完善的接口访问控制方法，不具备一套完整的用户身份认证和授权管理机制；针对API调用没有采用身份认证+API认证的双重校验方式；接口请求获取的数据没有根据调用者身份区分访问的数据，没有实现租户数据隔离策略；

接口安全性：API接口服务的调用没有通过API网关进行，存在接口地址对外暴露的情况；用户进行接口调用时，针对不同的用户或不同的APP应用，平台都应发放单独私有的访问token令牌。无授权条件下，用户之间不得越权查看用户信息、调用信息、应用程序等数据；

接口可靠性：只能支持数万API接口同时调用，不能满足十万的用户并发量；接口的请求成功率没有达到99％以上；接口后端服务响应时间较长。

发明内容

针对INDICS(Industrial intelligent cloud system，工业互联网云平台)平台API接口服务的安全性、规范性、可靠性等问题，本发明主要解决以下问题：

(1)需要以企业为单位对用户进行多租户的数据隔离，严格控制用户访问权限，每个用户只能获取本企业的数据信息；对于平台管理员或区域公司等特殊企业用户，通过权限管理功能进行配置，可实现赋予用户相关权限。

(2)为保证平台数据的安全性与隐私性，当第三方APP应用调用INDICS平台API接口时，用户基于OAuth2.0授权协议取得授权，即完成平台的“登录授权”流程，进而获取访问接口的授权令牌Access Token(访问令牌，代表执行某些操作的权利的对象)。

(3)每类API作为一个单独的微服务在微服务中心注册，实现每个服务作为独立的业务开发，易于维护和局部修改。

本发明基于微服务技术方法，结合INDICS工业互联网平台业务需求，打造API网关、API授权认证中心、API注册中心、API监控中心，建立开放的API全生命周期管理系统，从大量的可行调度策略中选出最优策略，通过功能丰富的接口服务，助力平台实现基于API技术的能力开放。

本发明作为面向第三方的平台开放生态支撑技术，通过对开放API的全生命周期管理，实现平台API接口服务的灵活调用，为多源异构系统的快速集成提供有效支撑，构建基于开放平台架构的工业互联网平台生态。API全生命周期管理：包括创建、发布、下线、删除等管理API的操作。

本发明采用的技术方案如下：

一种基于微服务的开放API全生命周期管理方法，包括以下步骤：

基于微服务技术，结合INDICS工业互联网平台业务需求，建立由API网关、API授权认证中心、API注册中心、API监控中心构成的开放的API全生命周期管理系统；

通过对API的全生命周期管理，实现API接口服务的灵活调用；其中API的全生命周期管理包括API接口的创建、发布、测试和下线。

进一步地，所述微服务技术为SpringCloud微服务技术，运用微服务的方式对API网关、API授权认证中心、API注册中心、API监控中心进行注册与监控；采用国际通用的OAuth2.0标准协议作为用户身份验证与授权协议，通过shiro实现用户权限的管理，通过Zuul实现网关的动态路由配置，实现不同用户、不同应用、不同订单下的独有token令牌，确保API接口服务调用的安全性。

进一步地，将路由、产品和API进行动态绑定，通过产品自动关联路由服务和API，实现API调用。

进一步地，API调用过程包括以下步骤：

1)客户端向zuul网关发送http(s)请求；

2)zuul网关根据产品分组调用对外暴露的API；

3)根据接口规范和参数转化调用真实的API，并返回结果到zuul服务器；

4)通过zuul服务器将返回结果提供到客户端。

进一步地，采用以下步骤对用户进行授权认证：

(1)用户在INDICS平台注册账号，并在开发者中心进行开发者账号认证，该用户成为平台开发者；

(2)用户在开发者中心进行API工单购买申请，申请通过后，生成工单ID，用户进入API控制台；

(3)用户在API控制台进行APP应用的创建，平台为每个APP自动分配唯一授权码，用户自动获取APP授权码(APPkey、APPsecret)，其中APPkey为OAuth授权的客户端ID，APPsecret为OAuth授权的密码；

(4)通过INDICS平台账号、工单ID和APP授权码(APPkey、APPsecret)这4个参数，通过API换取调用令牌Access Token；

(5)通过调用令牌和APPkey，结合工单API权限赋予结果，进行用户和权限认证；

(6)认证通过，则用户获取API的调用权限。

进一步地，获取调用令牌Access Token的步骤包括：

企业通过工单购买API资源；

API认证授权中心为APP颁发客户端认证信息；

通过工单、客户端信息、用户信息换取调用令牌Access Token；

通过认证授权生成随机36位调用令牌Access Token，同时把用户信息和可调用API资源权限信息保存在tokenStore中，为令牌调用准备认证基础数据；

将令牌返给调用者。

进一步地，调用令牌Access Token的验证规则包括：

调用者携带APPkey、Access Token以及API参数进行API调用；

在API认证授权中心检查Access Token在tokenStore中是否存在，如果不存在，返回错误信息，调用结束；

Access Token信息在tokenStore中存在，通过API认证授权中心的filter过滤器，对调用API资源进行权限判断，如果无调用权限，返回错误信息，调用结束；

有调用权限，则通过动态路由网关进行转发，调用真实API，并返回结果，调用结束。

进一步地，以企业为租户进行数据隔离，企业只能使用自己购买的API，同时调用自己企业的数据；并且企业只具备企业归属地的数据调用权限，但当某些区域子公司需要获取其他地区数据信息时，为其分配数据调用权限。

本发明关键在于可将不同系统的API统一开放与管理，支持数据的多租户隔离，具备完善的权限管理与控制方法，为开发者提供安全、可靠、功能丰富的API接口服务。

与现有技术相比，本发明的有益效果如下：

1)对于平台管理员：由于平台各产品系统提供的API接口种类较多，且调用方式、接口规范都不统一，无法实时监测平台对外API的具体使用情况，通过API全生命周期管理系统，实现了平台开放接口的统一网关注册和调用，实时监测每个API的调用情况，通过接口的不断完善，提升平台能力与价值。

2)对于调用者：作为开发者，API全生命周期管理提供了功能丰富、高价值的接口服务，开发者可以通过平台接口快速实现功能开发与集成，节约开发成本，提升开发效率，实现敏捷开发。同时，通过API网关完善的身份认证、权限管理功能，确保接口调用过程的数据私密性和安全性。

3)INDICS API以INDICS云平台为载体，通过对平台数据库、工业引擎、模型与算法等核心组件进行封装，及平台各类产品的对外功能封装，以API的方式统一提供开放接口服务，为企业开发者和个人开发者提供标准化、服务化和集约化的功能集合。平台面向开发者提供基于API的开放能力，提供API网关、API授权认证中心、API注册中心、API监控中心，实现API统一注册、发布、测试、调用及监控功能，实现从设备接入、应用开发、应用部署的全流程解决方案。面向合作伙伴、开发者开放平台服务与数据，向上提供各类工业相关应用支撑制造业全生命周期、全产业链、全要素应用开发及管理，向下提供接口可以接入各类设备和服务，实现设备数据采集和设备运行监控，使各类应用快速开发与集成，更好的融入航天云网生态圈。

附图说明

图1是本发明方法的技术框架示意图。

图2是路由-产品-API进行动态绑定的示意图。

图3是获取调用令牌token的流程图。

图4是验证调用令牌token的流程图。

图5是工程核心包的示意图。

具体实施方式

为使本发明的上述目的、特征和优点能够更加明显易懂，下面通过具体实施例和附图，对本发明做进一步详细说明。

本发明的主要内容包括：

1.建立完备的API全生命周期管理系统，包含API接口的创建、发布、测试、下线等服务；

API创建：系统管理员将对外提供的API接口按步骤录入到系统中；

API发布：系统管理人员将录入到系统中的接口发布出去，对外提供服务；

API测试：提供线上测试工具，通过工具提供接口线上的立即测试功能；

API下线：对于需要下线调整或优化升级的接口，系统采取将下线的方式，暂时停止对外提供服务。

2.实现客户端信息自动获取，即用户自动获取平台每个APP分配的唯一授权码(APPkey、APPsecret)；

3.提出规范的获取调用令牌(Access Token)方法；

4.以企业为租户进行数据隔离，制定完善的API调用系统权限管理机制。系统根据企业租户为单位自动识别，企业只能使用自己购买的API，同时调用自己企业的数据。

5.解决区域子公司的地域权限分配问题。系统默认企业只具备企业归属地的数据调用权限，但当某些区域子公司需要获取其他地区数据信息时，可以为其分配数据调用权限。

6.实现以微服务的方式对各类接口服务单独注册并管理；

7.实现API网关路由的动态配置。动态配置体现在系统管理员通过web端，可以随时更改API网关的路由和端口，系统自动根据设置的路由和网关，动态刷新，实现不停机更新。

8.通过负载均衡解决API的可靠性低问题。通过zuul组件和内部ribbon组件实现系统负载均衡问题。

一.技术架构

图1所示为本发明的API全生命周期管理的技术架构示意图。API全生命周期管理系统建设API注册中心(Indics-Register)、API认证授权中心(Indics-Oauth)、API监控中心(Indics-Monitor)和API网关(Indics-Gateway)共4大核心模块，运用微服务的方式对各模块进行注册与监控，实现基于SpringCloud的微服务解决方案。同时，采用国际通用的OAuth2.0标准协议作为用户身份验证与授权协议，通过shiro实现用户权限的管理，通过Zuul实现网关的动态路由配置，实现不同用户、不同应用、不同订单下的独有token令牌，确保API接口服务调用的安全性。

图1中，Nginx是前端服务器，用于前端页面展示服务；“微服务注册和发现”是spring eureka组件实现的服务；本地svn服务器用于实现配置托管，源码托管；Redis是数据库，用于缓存服务，提升性能；Oauth API是权限接口，用于授权和认证服务；lot API是物接入接口，用于设备的接入管理等服务；DA API是设备数据接口，用于接受设备数据服务；Industrial Engine API是工业引擎接口，用于提供模具模型服务；Mysql是数据库，用于存储数据信息服务；Feign是Rest API接口组件，用于Rest API接口转发和调用服务；RabbitMQ主要承载服务间异步通信功能。

INDICS平台用户授权认证的整体流程如下：

(2)用户在开发者中心进行API工单购买申请，申请通过后，生成工单ID，用户可进入API控制台；

(3)用户在API控制台进行APP应用的创建，平台为每个APP自动分配唯一授权码，用户自动获取APP授权码(APPkey、APPsecret)。其中APPkey为OAuth授权的客户端ID，APPsecret为OAuth授权的密码，客户调用API时，通过这两个检查授权信息。

(4)通过INDICS平台账号、工单ID和APP授权码(APPkey、APPsecret)4个参数，通过API换取调用令牌access_token；

(5)通过token令牌和APPkey，结合工单API权限赋予结果，进行用户和权限认证。

(6)认证通过，用户获取API的调用权限。

二.技术方案

1.API管理

技术方案：路由-产品-API，进行动态绑定，如图2所示，通过产品自动关联路由服务和API，实现API调用。

路由：通过产品标示，进行真实API服务器信息管理。

产品：负责划分API产品分组，实现产品信息的可扩展管理，是路由和API之间的纽带。“产品”是指接口API服务的划分类型，比如IOT API物联网产品等产品。

API：实现API接口代理，通过与产品绑定，实现真实API接口服务转发。图2中，对外暴露API是指通过zuul网关提供服务的API接口服务，真实API是指各个产品后台提供API接口服务。

技术实现：使用微服务技术Spring Cloud、Eureka、Zuul等。

如图2所示，API调用过程包括以下步骤：

1)客户端向zuul网关发送http(s)请求；

2)zuul网关根据产品分组调用对外暴露的API；

3)通过本系统根据接口规范和参数转化调用真实的API，并返回结果到zuul服务器；

4)通过zuul服务器将返回结果提供到客户端。

数据库表的详细设计如下面表1～3所示，包括API注册信息表、API网关路由表、API产品分组表(此处只是列出主要模块相关表设计)：

表1.API注册信息表(主要用于API生命周期管理)

表2.API网关路由表(用于ZUUL网关路由动态配置)

表3.API产品分组表(用于API种类划分，管理API)

2.API调用令牌token的规则

(1)获取

如图3所示，获取调用令牌Access Token的详细步骤如下：

企业通过工单购买API资源。

API认证授权中心为用户创建的APP应用颁发客户端认证信息。

通过工单、客户端信息、用户信息换取令牌。

通过认证授权生成随机36位调用令牌Access Token，同时把用户信息和可调用API资源权限信息保存在tokenStore(令牌存储器)中，为令牌调用准备认证基础数据。

将调用令牌Access Token返给调用者(API或者WEB)

(2)验证

如图4所示，调用令牌Access Token的验证规则如下：

调用者，按照要求，携带参数1：APPkey，参数2：token以及API参数，进行API调用。

在API认证授权中心检查Access Token在tokenStore中是否存在，如果不存在，返回错误信息，调用结束。

Access Token信息在tokenStore中存在，通过API认证授权中心的filter过滤器，对调用API资源进行权限判断，如果无调用权限，返回错误信息，调用结束。

技术实现：采用微服务技术Spring security、Spring Oauth2、Redis缓存技术实现。

数据库表详细设计如表3所示。

(3)系统地域权限控制

地域权限控制：需配置区域权限后才允许调用地域API；

地域范围设置后：只允许调用指定地域范围内的相关信息。

系统管理员会为需要调用地域API的用户，配置地域信息，将用户与具体的区域进行关联，这样就可以进行地域API调用了。

数据库表详细设计如表4所示。

3.基于SpringCloud的微服务解决方案

本发明优选采用基于SpringCloud的微服务解决方案，具体组件如表5所示。

如表6所示为工程列表，图5为工程核心包的示意图。

API网关微服务，具备API路由功能，即API调度功能。

工程建设说明，如表7所示。

表4.API地域设置(用于地域权限配置)

表5.基于SpringCloud的微服务解决方案的组件

表6.工程列表

工程名称	包名称	描述
			indics-gateway	cn.indics.cloud.API.zuul	API网关微服务
Indics-register	cn.indics.cloud.API.register	API注册管理微服务
			Indics-monitor	cn.indics.cloud.API.moniter	API监控中心微服务
Indics-oauth	cn.indics.cloud.API.oauth	API认证授权微服务

表7.工程建设说明

业务状态码如表8、表9所示。

表8.错误码

表9.状态代码

下面提供一个具体应用实例，以一个真实API调用来说明：

1、首先根据具体的API地址，会向网关(zuul组件)服务发起请求，请求到达网关后会获取用户权限信息，需要请求Indics-register服务，因为Indics-register有多个相同的服务，此时会根据Ribbon组件负载策略(随机，轮询等)，选择一台Indics-register服务获取权限信息。如果在调用过程中，发现Indics-register服务不可用，为避免调用者反复调用导致整个系统不可用，这时会使用Hystrix组件将服务熔断，并执行熔断方法，返回给调用者一个默认的数据，这样保证了服务可用性。

2、调用真实API之前需要向Indics-oauth服务获取token，作为调用真实API的凭证，调用开始前和调用结束后，向Indics-monitor服务发送调用信息，信息中记录了API调用耗时、API调用结果等信息。

3、整个调用过程需要经过多个服务才能完成，通过Zipkin组件，记录了整个调用链信息，包括调用每个服务耗时情况，调用过程中出现的异常信息。Redis中主要存储了API相关信息，方便调用过程中快速获取API信息。RabbitMQ主要承载服务间异步通信功能，这里主要是通过RabbitMQ发送调用日志给Indics-monitor服务进行日志记录，这样可以提供系统的性能。Spring Cloud Config保存系统的配置信息，如数据库连接地址等信息，方便线上重启服务情况下，修改这些配置信息。

4、API调用成功会返回200状态码，如果有具体业务错误，会返回对应的业务状态码。

以上实施例仅用以说明本发明的技术方案而非对其进行限制，本领域的普通技术人员可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明的原理和范围，本发明的保护范围应以权利要求书所述为准。

Claims

1.一种基于微服务的开放API全生命周期管理方法，其特征在于，包括以下步骤：

2.根据权利要求1所述的方法，其特征在于，所述微服务技术为SpringCloud微服务技术，运用微服务的方式对API网关、API授权认证中心、API注册中心、API监控中心进行注册与监控；采用国际通用的OAuth2.0标准协议作为用户身份验证与授权协议，通过shiro实现用户权限的管理，通过Zuul实现网关的动态路由配置，实现不同用户、不同应用、不同订单下的独有token令牌，确保API接口服务调用的安全性。

3.根据权利要求1所述的方法，其特征在于，将路由、产品和API进行动态绑定，通过产品自动关联路由服务和API，实现API调用。

4.根据权利要求1所述的方法，其特征在于，API调用过程包括以下步骤：

1)客户端向zuul网关发送http(s)请求；

2)zuul网关根据产品分组调用对外暴露的API；

4)通过zuul服务器将返回结果提供到客户端。

5.根据权利要求1所述的方法，其特征在于，采用以下步骤对用户进行授权认证：

(6)认证通过，则用户获取API的调用权限。

6.根据权利要求5所述的方法，其特征在于，获取调用令牌Access Token的步骤包括：

企业通过工单购买API资源；

API认证授权中心为APP颁发客户端认证信息；

通过工单、客户端信息、用户信息换取调用令牌Access Token；

将令牌返给调用者。

7.根据权利要求6所述的方法，其特征在于，调用令牌Access Token的验证规则包括：

调用者携带APPkey、Access Token以及API参数进行API调用；

8.根据权利要求1所述的方法，其特征在于，以企业为租户进行数据隔离，企业只能使用自己购买的API，同时调用自己企业的数据；并且企业只具备企业归属地的数据调用权限，但当某些区域子公司需要获取其他地区数据信息时，为其分配数据调用权限。