CN111932261A

CN111932261A - 一种基于可验证声明的资产数据管理方法和装置

Info

Publication number: CN111932261A
Application number: CN202011001402.5A
Authority: CN
Inventors: 陈锐发; 陆旭明; 代平; 张宇航
Original assignee: Alipay Hangzhou Information Technology Co Ltd
Current assignee: Alipay Hangzhou Information Technology Co Ltd
Priority date: 2020-09-22
Filing date: 2020-09-22
Publication date: 2020-11-13

Abstract

说明书披露一种基于可验证声明的资产数据管理方法和装置。一种基于可验证声明的资产数据管理方法，应用于资产管理平台，所述资产管理平台存储有资产持有方的若干资产数据，包括：接收资产数据获取方发送的可验证声明，所述可验证声明为所述资产持有方基于分布式身份服务生成并发送给所述资产数据获取方，所述可验证声明的声明内容中包括目标资产数据的索引信息；调用分布式身份服务对所述可验证声明进行验证，在验证通过的情况下，基于所述索引信息从已存储的若干资产数据中查找所述目标资产数据，并将查找到的目标资产数据发送给所述资产数据获取方。

Description

一种基于可验证声明的资产数据管理方法和装置

技术领域

本说明书涉及区块链技术领域，特别涉及一种基于可验证声明的资产数据管理方法和装置。

背景技术

在生活中，企业或个人在进行投资、资产发行前，可能会先将自身拥有的资产授权给资产服务机构，以对资产进行评定、管理。如何在资产授权的过程中保护资产数据的隐私，提高资产数据的安全性，成为业内关注的重点。

发明内容

有鉴于此，本说明书提供一种基于可验证声明的资产数据管理方法、系统和装置。

具体地，本说明书是通过如下技术方案实现的：

一种基于可验证声明的资产数据管理方法，应用于资产管理平台，所述资产管理平台存储有资产持有方的若干资产数据，包括：

接收资产数据获取方发送的可验证声明，所述可验证声明为所述资产持有方基于分布式身份服务生成并发送给所述资产数据获取方，所述可验证声明的声明内容中包括目标资产数据的索引信息；

调用分布式身份服务对所述可验证声明进行验证，在验证通过的情况下，基于所述索引信息从已存储的若干资产数据中查找所述目标资产数据，并将查找到的目标资产数据发送给所述资产数据获取方。

一种基于可验证声明的资产数据管理方法，基于资产管理平台和分布式身份服务平台实现对资产数据的管理，所述资产管理平台存储有资产持有方的若干资产数据，所述方法包括：

资产持有方向分布式身份服务平台发送数字身份信息创建请求；

分布式身份服务平台基于所述创建请求生成第一数字身份信息，并将所述第一数字身份信息发送给所述资产持有方；

资产持有方向分布式身份服务平台发送可验证声明生成请求，所述生成请求中携带所述资产持有方编写的声明内容和所述第一数字身份信息，所述声明内容中包括目标资产数据的索引信息；

分布式身份服务平台基于所述生成请求生成可验证声明，并将所述可验证声明发送给资产持有方；

资产持有方将所述可验证声明发送给资产数据获取方；

资产数据获取方接收到所述可验证声明后，向资产管理平台发送所述可验证声明；

资产管理平台接收到所述可验证声明后，向分布式身份服务平台发送验证请求，所述验证请求中携带所述可验证声明；

分布式身份服务平台对所述可验证声明进行验证，并向所述资产管理平台返回验证结果；

资产管理平台在所述验证结果为验证通过的情况下，根据所述可验证声明中的索引信息从已存储的资产数据中查找到目标资产数据，并将查找到的目标资产数据发送给所述资产数据获取方。

一种基于可验证声明的资产数据管理装置，应用于资产管理平台，所述资产管理平台存储有资产持有方的若干资产数据，所述装置包括：

接收单元，接收资产数据获取方发送的可验证声明，所述可验证声明为所述资产持有方基于分布式身份服务生成并发送给所述资产数据获取方，所述可验证声明的声明内容中包括目标资产数据的索引信息；

发送单元，调用分布式身份服务对所述可验证声明进行验证，在验证通过的情况下，基于所述索引信息从已存储的若干资产数据中查找所述目标资产数据，并将查找到的目标资产数据发送给所述资产获取方。

一种基于可验证声明的资产数据管理装置，应用于资产管理平台，所述资产管理平台存储有资产持有方的若干资产数据，包括：

处理器；

用于存储机器可执行指令的存储器；

其中，通过读取并执行所述存储器存储的与基于可验证声明的资产数据管理逻辑对应的机器可执行指令，所述处理器被促使：

本说明书一个实施例实现了，资产管理平台可以存储有资产持有方的若干资产数据，接收资产获取方发送的可验证声明，然后调用分布式身份服务对所述可验证声明进行验证，在验证通过的情况下向资产获取方发送所述可验证声明对应的目标资产数据。

采用这种方法，资产持有方可以通过可验证声明来向资产获取方授权资产数据，并且在可验证声明中指定目标资产数据，资产管理平台可以对可验证声明进行验证，只有在验证通过的情况下将资产数据授权给资产获取方，保护了资产数据的隐私，提高了资产授权过程中的安全性。

附图说明

图1是本说明书一示例性实施例示出的一种场景示意图；

图2是本说明书一示例性实施例示出的一种基于可验证声明的资产数据管理方法的流程示意图；

图3是本说明书一示例性实施例示出的另一种基于可验证声明的资产数据管理方法的流程示意图；

图4是本说明书一示例性实施例示出的另一种场景示意图；

图5是本说明书一示例性实施例示出的一种用于基于可验证声明的资产数据授权装置的一结构示意图；

图6是本说明书一示例性实施例示出的一种基于可验证声明的资产数据授权装置的框图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本说明书相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本说明书的一些方面相一致的装置和方法的例子。

在本说明书使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本说明书。在本说明书和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本说明书可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本说明书范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

在生活中，企业或个人很可能会利用自身拥有的资产进行投资、资产发行。为了更好地利用这些资源，资产所有人很可能会将这些资产数据授权给资产服务机构进行分析、评定等。

在资产数据授权的过程中，一方面，资产所有人希望能够保护资产数据的隐私、安全，避免出现一些攻击者通过伪造身份信息、权限信息等来非法盗取资产数据的情况。

另一方面，资产所有人还希望资产数据的授权范围、授权粒度是自主可控的。举例来说，假设某机械制造企业拥有的资产数据可以包括机械设备的型号、数量、维修保养时间。该机械制造企业在将这些资产数据授权给资产服务机构时，可能并不希望将所有的资产数据原封不动地授权出去，而是想要保留一定的隐私，想要限制一定的授权范围和授权粒度。比如，该机械制造企业可能只想授权特定型号的设备对应的资产数据（授权范围），或者只想授权机械设备的型号和数量信息，并不想授权维修保养时间这一信息（授权粒度）。

本说明书提供了一种基于可验证声明的资产数据管理的方法来实现资产授权范围可控、授权粒度可控，并且保证数据授权过程中的不可伪造、不可抵赖，提高安全性和可靠性。

下面首先对可验证声明进行说明。

随着数字化的发展，个人、组织在网络世界中如何定义身份，如何有效保护隐私数据，成为业内关注的重点。传统的互联网服务中，用户可以通过注册账号来定义自己的身份，例如社交平台账号、游戏账号等。用户可以创建账号密码，在每次登录时由服务端对密码进行验证。但采用这种方式，用户的密码掌握在服务端手中，若服务端遭受攻击导致密码泄露，攻击者就可以盗用用户的账号、密码来伪装身份，进一步窃取用户的隐私数据，因此采用这种方式来证明身份显然不够安全、可靠。

针对这一现象，开发人员提出了可以利用区块链去中心化、不可伪造、不可篡改的特点，由区块链提供分布式身份服务（Decentralized Identifier Service，DIS），服务端不再拥有用户的账号密码，用户可以自主、可控地管理账号相关的数据，可以避免上述账号密码被盗用导致身份证明不够可靠的情况。

分布式身份服务首先可以为用户生成数字身份信息（DecentralizedIdentifiers，DID），这是一种去中心化的、可验证的数字标识符，具有分布式、自主可控、跨链复用等特点。用户可以自主完成DID的注册、解析、更新或者撤销操作，不需要中央注册机构就可以实现全球唯一性。

用户创建了DID后，可以基于DID发布可验证声明（Verifiable Claim，VC），可验证声明可以提供一种规范来描述实体（如个人、组织）所具有的某些属性，可以通过可验证声明，向其他实体证明自己的某些属性是可信的。比如，在需要对身份进行认证的一些场景下，可验证声明中可以包括用户的年龄、性别、地址等身份信息。在实际情况下，还可以结合数字签名和零知识证明等密码学技术，进一步提高可验证声明的可靠性，使得可验证声明不可抵赖、不可伪造，保障用户的隐私不被侵犯。

当然，上述对分布式身份服务、可验证声明的介绍仅仅为示意性的描述，具体可参照相关技术，本说明书在此不再一一说明。

本说明书所述基于可验证声明的资产数据管理方法，可以利用区块链技术提供的可验证声明来实现资产数据的授权，并且基于可验证声明的不可抵赖、不可伪造的特性保护资产数据在授权过程中的隐私、提高安全性，同时还可以基于自主编写的可验证声明的声明内容做到授权范围和授权粒度均可控。

请参见图1，图1中存在资产持有方、资产数据获取方和资产管理平台。其中，资产持有方可以是持有资产数据的一方，可以是企业、组织，也可以是个人。资产数据获取方可以是对资产数据进行分析、评定的资产管理机构，如投资机构、券商、银行等等。如图1所示，资产持有方可以先将自身持有的若干资产数据授权给资产管理平台，由资产管理平台对这些资产数据进行存储。资产管理平台被认为是安全的、可信任的。

后续若资产持有方想要将一部分资产数据可控地授权给资产数据获取方，可以先基于分布式身份服务生成可验证声明，在可验证声明的声明内容中添加待授权的目标资产数据的信息，然后将所述可验证声明发送给资产数据获取方。当资产数据获取方想要获取目标资产数据时，可以向资产管理平台发送所述可验证声明，然后由资产管理平台基于分布式身份服务对可验证声明进行验证，在验证通过的情况下资产管理平台可以向资产数据获取方返回目标资产数据，从而实现了资产数据安全、可控地授权，保护了资产数据的隐私。

下面结合图2对本说明书所述基于可验证声明的资产数据管理方法进行详细说明。

所述基于可验证声明的资产数据管理方法应用于资产管理平台。

请参见图2，图2为本说明书一示例性实施例示出的一种基于可验证声明的资产数据管理方法的流程示意图。所述方法包括以下步骤：

步骤102，接收资产数据获取方发送的可验证声明，所述可验证声明为所述资产持有方基于分布式身份服务生成并发送给所述资产数据获取方，所述可验证声明的声明内容中包括目标资产数据的索引信息；

步骤104，调用分布式身份服务对所述可验证声明进行验证，在验证通过的情况下，基于所述索引信息从已存储的若干资产数据中查找所述目标资产数据，并将查找到的目标资产数据发送给所述资产数据获取方。

下面对上述步骤进行详细说明。

本实施例中，资产持有方和资产数据获取方可以先基于区块链技术提供的分布式身份服务创建各自的数字身份信息（DID），该数字身份信息可以用于证明自身的身份，并且可以基于数字身份信息来生成可验证声明。其中，资产持有方可以创建得到第一数字身份信息，资产数据获取方可以创建得到第二数字身份信息。

以资产持有方为例，资产持有方可以向分布式身份服务平台发送数字身份信息创建请求，分布式身份服务平台可以为资产持有方申请公私钥对，并生成第一数字身份信息，以及生成第一数字身份信息对应的文档（DID doc），将生成的第一数字身份信息发送给资产持有方，并将公钥、加密协议等相关信息保存至生成的文档中，并且还可以将这一文档保存到区块链上。当然，此处仅仅为示意性的描述，具体数字身份信息的方法请参照相关技术，本说明书在此不一一说明。

本实施例中，资产持有方可以先将若干资产数据授权给资产管理平台。

在一个例子中，资产持有方可以将原始的资产数据直接发送给资产管理平台，由资产管理平台存储这些原始资产数据。

在另一个例子中，资产持有方也可以向资产管理平台发送加密资产数据，资产管理平台可以存储这些加密资产数据，以提高资产数据的安全性。

其中，资产管理平台在存储资产数据时，可以将这些资产数据存储在本地，例如本地的服务器或服务器集群上，也可以将这些资产数据存储到区块链上。

本实施例中，假设资产持有方想要将一些资产数据（下称为目标资产数据）授权给资产数据获取方，那么资产持有方可以基于目标资产数据生成可验证声明。

可验证声明可以包括两部分，分别为声明内容和数字身份信息。声明内容可以由资产持有方自主编写，数字身份信息可以是资产持有方（可验证声明生成者）的数字身份信息。本实施例中可以通过以下的方式来生成可验证声明：

资产持有方可以先编写声明内容，在声明内容中添加目标资产数据的索引信息，所述索引信息可以为资产标识、资产的存储位置等。比如声明内容可以为：{待授权资产为资产1、资产2}。当然，资产持有方还可以在声明内容中添加资产数据获取方的DID（数字身份信息），那么声明内容还可以为{把资产1、资产2授权给资产数据获取方，资产数据获取方的DID为xxx}。在实际情况下，资产持有方也可以编写其他的声明内容，本说明书对此不作特殊限制。

资产持有方编写声明内容后，还可以利用私钥对声明内容进行加密得到数字签名，然后可以向分布式身份服务平台发送可验证声明生成请求，在该请求中携带编写好的声明内容、资产持有方的第一数字身份信息及数字签名。当然，资产持有方也可以对其他数据进行签名，比如对声明内容和第一数字身份信息一起加密得到数字签名，本实施例对此不作特殊限制。

分布式身份服务平台接收到生成请求后，可以响应于所述生成请求生成可验证声明，并将生成的可验证声明发送给资产持有方。并且，分布式身份服务平台还可以生成该可验证声明的生成记录，该生成记录中可以包括声明内容、资产持有方的第一数字身份信息，当然也可以包括生成时间等其他信息，然后将生成记录保存到区块链上，作为存证，用于后续对可验证声明进行验证。

本实施例中，资产持有方接收到生成好的可验证声明后，可以将所述可验证声明发送给资产数据获取方。资产数据获取方可以将所述可验证声明发送给资产管理平台，以从资产管理平台上获取目标资产数据。

然而，在一些情况下，资产数据获取方发送给资产管理平台的可验证声明可能被篡改。比如资产数据获取方企图获取可验证声明的声明内容之外的其它资产数据，或者可验证声明在传播过程中被攻击者恶意篡改。那么资产管理平台接收到资产获取方发送的可验证声明后，有必要对可验证声明进行验证。

本实施例中，可以通过以下方式对可验证声明进行验证：

资产管理平台可以调用分布式身份服务，将可验证声明发送给分布式身份服务平台，分布式身份服务平台接收到该可验证声明后，可以从区块链上获取该可验证声明的生成记录，并且将所可验证声明中的第一数字身份信息、声明内容和生成记录中的数字身份信息、声明内容进行比对，判断其是否一致。并且分布式身份服务平台还可以根据可验证声明中的第一数字身份信息获取资产持有方的公钥，利用公钥对可验证声明中的数字签名进行解密。若上述第一数字身份信息和声明内容比对一致，且数字签名通过验证，则说明可验证声明通过验证，反之，说明可验证声明未通过验证。分布式身份服务平台可以将可验证声明的验证结果发送给资产管理平台。资产管理平台接收到可验证声明的验证结果后，在所述验证结果为验证通过的情况下，可以向资产数据获取方返回目标资产数据。

资产管理平台可以基于可验证声明中目标资产数据的索引信息，从本地服务器或区块链上查找到对应的目标资产数据，然后将查找到的目标资产数据发送给资产数据获取方。所述索引信息可以是目标资产数据的标识、存储位置等等。

在一个例子中，若资产管理平台存储的是未加密的原始资产数据，那么资产管理平台可以直接将查找到的未加密的目标资产数据发送给资产数据获取方。

在另一个例子中，若资产管理平台存储的是加密资产数据，那么也可以从加密资产数据中查找到加密的目标资产数据，然后将加密的目标资产数据发送给资产数据获取方。其中，所述加密资产数据可以是资产持有方利用资产数据获取方的公钥加密得到并发送给资产管理平台的，那么资产数据获取方获取到加密的目标资产数据后，可以利用自身的私钥对其解密。

上述例子中，资产持有方只需要在可验证声明中添加目标资产数据的索引信息，而不需要在可验证声明中添加目标资产数据本身，避免目标资产数据在可验证声明传播的过程中被窃取。

由以上描述可以看出，在本说明书的一个实施例中，资产管理平台可以存储有资产持有方的若干资产数据，接收资产数据获取方发送的可验证声明，然后对所述可验证声明进行验证，在验证通过的情况下向资产数据获取方发送所述可验证声明对应的目标资产数据。

采用这种方法，资产持有方可以将自身拥有的资产数据托管给资产管理平台，在需要进行资产数据授权时生成可验证声明，使得资产数据获取方可以基于可验证声明来获取目标资产数据，避免了资产数据获取方或者其它攻击者恶意地窃取资产数据的问题，保护了资产数据的隐私，提高了资产授权过程中的安全性、可靠性。并且资产持有方还可以通过自定义的可验证声明指定资产数据授权的范围，做到了授权过程的可控性。

下面对本说明书提供的另一种基于可验证声明的资产数据管理方法进行说明。请参见图3和图4，图3为本说明书一示例性实施例示出的另一种基于可验证声明的资产数据管理方法的流程示意图，图4为本说明书一示例性实施例示出的另一种场景示意图。在该场景中可以包括资产持有方、资产数据获取方、资产管理平台和分布式身份服务平台，其中，分布式身份服务平台可以为区块链。

值得说明的是，在本实施例中，分布式身份服务平台和资产管理平台为各自独立的两个平台，但在其它实施例中，也可以在资产管理平台上集成分布式身份服务，即可以由同一个平台共同实现资产管理和分布式身份服务，本说明书对此不作特殊限制。

如图4所示，资产持有方可以先将资产数据授权给资产管理平台，然后调用分布式身份服务平台生成可验证声明，将生成的可验证声明发送给资产数据获取方。资产数据获取方可以向资产管理平台发送可验证声明，以获取目标资产数据。资产管理平台可以基于分布式身份服务平台对可验证声明进行验证，在验证通过的情况下资产数据获取方发送目标资产数据。

下面结合图3对上述过程进行详细说明，可以包括以下步骤：

步骤202，资产持有方向资产管理平台发送若干资产数据。

步骤204，资产管理平台存储所述若干资产数据。

本实施例中，资产持有方可以向资产管理平台发送若干资产数据，这些资产数据可以是未加密的原始资产数据，资产管理平台接收到这些原始资产数据后可以将其存储在本地服务器。

步骤206，资产持有方向分布式身份服务平台发送数字身份信息创建请求。

步骤208，分布式身份服务平台向资产持有方发送第一数字身份信息。

本实施例中，资产持有方可以向分布式身份平台发起数字身份信息创建请求，从而创建得到第一数字身份信息。资产数据获取方也可以向分布式身份服务平台发起数字身份信息创建请求，从而创建得到第二数字身份信息（未图示）。其中，分布式身份服务平台创建数字身份信息的过程参照前述实施例，在此不再赘述。

步骤210，资产持有方编写可验证声明的声明内容。

本实施例中，资产持有方可以编写可验证声明的声明内容，可以在声明内容中添加目标资产数据的索引信息，用于后续资产管理平台基于所述索引信息查找到目标资产数据。比如，索引信息可以为目标资产数据的哈希值。还可以在声明内容中添加合法资产数据获取方的数字身份信息，比如上述第二数字身份信息。

并且，当目标资产数据包括若干条数据条目，而资产持有方只想把其中的一部分数据条目授权给资产数据获取方时，资产持有方还可以在声明内容中添加合法资产数据获取方的数据条目权限。

举例来说，假设目标资产数据包括金额、时间、地点3个数据条目，待授权的数据条目为金额。那么可验证声明的声明内容可以为{把hash1、hash2授权给资产数据获取方，资产数据获取方的第二数字身份信息为xxx，可授权的数据条目为金额}。当然，上述例子仅仅为示意性的说明，并不用于限制本说明书。

步骤212，资产持有方向分布式身份服务平台发送可验证声明生成请求。

本实施例中，资产持有方编写声明内容后，可以利用私钥对声明内容进行加密得到数字签名。然后可以向分布式身份服务平台发送可验证声明的生成请求，所述生成请求中可以携带资产持有方的第一数字身份信息、声明内容和数字签名。

步骤214，分布式身份服务平台生成可验证声明并发送给资产持有方。

本实施例中，分布式身份服务平台接收到可验证声明的生成请求后，可以基于所述生成请求生成可验证声明，将生成好的可验证声明发送给资产持有方。并且还可以生成可验证声明的生成记录，所述生成记录中可以包括可验证声明的声明内容、资产持有方的第一数字身份信息，当然也可以包括生成时间等其他信息。还可以将生成记录保存到区块链上作为存证，用于后续对可验证声明进行验证。

步骤216，资产持有方向资产数据获取方发送所述可验证声明。

步骤218，资产数据获取方向资产管理平台发送所述可验证声明。

本实施例中，资产数据获取方接收到资产持有方发送的可验证声明后，可以将所述可验证声明发送给资产管理平台，以获取相应的目标资产数据。然而，资产数据获取方或者其它攻击者可能会对所述可验证声明进行篡改，力图获取可验证声明的声明内容之外的资产数据。有必要对可验证声明进行验证。

步骤220，资产管理平台判断所述可验证声明中的第二数字身份信息是否合法。

本实施例中，资产数据获取方向资产管理平台发送可验证声明时，还会携带资产数据获取方自身的第二数字身份信息。那么资产管理平台获取到可验证声明后和所述第二数字身份信息后，可以将可验证声明的声明内容中的数字身份信息（合法资产数据获取方的数字身份信息）与所述第二数字身份信息进行比对，若比对一致，说明所述资产数据获取方为合法的。则资产管理平台可以进一步执行步骤222，否则，不执行步骤222。

步骤222，资产管理平台向分布式身份服务平台发送可验证声明验证请求。

其中，验证请求中可以携带所述可验证声明。

步骤224，分布式身份服务平台对可验证声明进行验证。

本实施例中，分布式身份服务平台可以通过以下的方法对可验证声明进行验证：验证可验证声明中的声明内容、第一数字身份信息是否与可验证声明的生成记录一致；对可验证声明中的数字签名进行验证。当上述声明内容、数字身份信息一致，且数字签名通过验证，说明可验证声明验证通过，反之，则可验证声明验证不通过。

步骤226，分布式身份服务平台向资产管理平台发送可验证声明的验证结果。

值得说明的是，上述步骤220可以在步骤222-226之前执行，也可以是步骤222-226之后执行，本实施例对此不作特殊限制。

步骤228，资产管理平台查找目标资产数据。

在可验证声明验证通过的情况下，资产管理平台可以获取可验证声明中目标资产数据的哈希值，将所述哈希值作为哈希索引，查找已存储的资产数据对应的哈希表，判断是否可以找到所述哈希值对应的目标资产数据。若可以查找到，说明可验证声明中目标资产数据的哈希值是准确的、未被篡改的，执行步骤230。反之，资产管理平台不执行步骤230，并且还可以向资产持有方/资产数据获取方发送通知（未图示），以告知资产持有方/资产数据获取方可验证声明中的哈希值是不准确的，从而排查问题原因。

步骤230，资产管理平台提取出权限范围内的数据条目，并发送给资产数据获取方。

仍旧以上述例子为例，目标资产数据包括金额、时间、地点3个条目，可验证声明的声明内容可以为{把hash1、hash2授权给资产数据获取方，资产数据获取方的第二数字身份信息为xxx，可授权的数据条目为金额}。资产管理平台可以按照声明内容中的数据条目权限，从本地已存储的目标资产数据中提取出金额这一数据条目，然后仅将目标资产数据金额相关的内容发送给资产数据获取方，而对于时间、地点相关的内容则不发送给资产数据获取方。

当然，上述例子仅仅是示意性的说明，在其它例子中，资产管理平台也可以根据可验证声明中的数据条目权限提取其他的数据条目，比如提取特定型号的设备对应的资产数据、提取预设时间段内的资产数据等等，本说明书对此不作特殊限制。

步骤232，资产管理平台向资产持有方发送目标资产数据授权成功的通知。

本实施例中，资产管理平台还可以向资产持有方发送通知，以通知目标资产数据已成功授权给资产数据获取方。当然，若目标资产数据未成功授权给资产数据获取方，资产管理平台也可以向资产持有方发送授权失败的通知，并且还可以在该通知中携带授权失败的原因。

由以上描述可以看出，在本说明书的一个实施例中，资产持有方在生成可验证声明时，还可以在可验证声明中指定目标资产数据的数据条目权限，资产管理平台接收到可验证声明后，可以基于权限信息提取出权限允许范围内的数据条目，将所述数据条目发送给资产数据获取方。采用这种方法，资产持有方可以自主、可控地设置允许授权的资产数据，既保护了资产数据在授权过程中的隐私，也满足了资产持有方授权范围可控、粒度可控的需求。

与前述基于可验证声明的资产数据管理方法的实施例相对应，本说明书还提供了基于可验证声明的资产数据管理装置的实施例。

本说明书基于可验证声明的资产数据管理装置的实施例可以应用在服务器上。装置实施例可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，作为一个逻辑意义上的装置，是通过其所在服务器的处理器将非易失性存储器中对应的计算机程序指令读取到内存中运行形成的。从硬件层面而言，如图5所示，为本说明书基于可验证声明的资产数据管理装置所在服务器的一种硬件结构图，除了图5所示的处理器、内存、网络接口、以及非易失性存储器之外，实施例中装置所在的服务器通常根据该服务器的实际功能，还可以包括其他硬件，对此不再赘述。

请参考图6，所述基于可验证声明的资产数据管理装置600可以应用在前述图5所示的服务器中，包括有接收单元610、发送单元620。

其中，接收单元610，接收资产数据获取方发送的可验证声明，所述可验证声明为所述资产持有方基于分布式身份服务生成并发送给所述资产数据获取方，所述可验证声明中包括目标资产数据的索引信息；

发送单元620，调用分布式身份服务对所述可验证声明进行验证，在验证通过的情况下，基于所述索引信息从已存储的若干资产数据中查找所述目标资产数据，并将查找到的目标资产数据发送给所述资产获取方。

可选的，所述可验证声明中还包括资产持有方的第一数字身份信息和所述声明内容的数字签名，所述发送单元620在调用分布式身份服务对所述可验证声明进行验证时：

向分布式身份服务平台发送验证请求，所述验证请求中携带所述可验证声明；

接收所述分布式身份服务平台返回的所述可验证声明的验证结果；

其中，分布式身份服务平台对所述可验证声明进行验证的过程，包括：

验证所述第一数字身份信息、所述声明内容是否与所述可验证声明生成记录中的数字身份信息、声明内容一致；

根据所述第一数字身份信息获取所述资产持有方的公钥，利用所述公钥对所述数字签名进行验证；

在所述第一数字身份信息一致、所述声明内容一致且数字签名验证通过的情况下，确定所述可验证声明通过验证。

可选的，所述可验证声明的声明内容中还包括合法资产数据获取方的数字身份信息，所述发送单元620在调用分布式身份服务对所述可验证声明进行验证之前，还：

判断资产数据获取方的第二数字身份信息是否与所述声明内容中合法资产数据获取方的数字身份信息一致；

若一致，则调用分布式身份服务对所述可验证声明进行验证。

可选的，当所述目标资产数据的索引信息为目标资产数据的哈希值时，所述发送单元620在将查找到的目标资产数据发送给所述资产数据获取方时，还：

基于所述哈希值，判断能否从已存储的资产数据中查找到所述哈希值对应的目标资产数据；

若能够查找到，则将查找到的目标资产数据发送给所述资产数据获取方。

可选的，所述目标资产数据包括若干数据条目，所述可验证声明的声明内容中还包括所资产数据获取方的数据条目权限，所述发送单元620在将查找到的目标资产数据发送给所述资产数据获取方时：

基于所述数据条目权限，提取出查找到的目标资产数据中权限许可范围内的数据条目；

将所述权限许可范围内的数据条目发送给所述资产数据获取方。

上述装置中各个单元的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本说明书方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

上述实施例阐明的系统、装置、模块或单元，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。一种典型的实现设备为计算机，计算机的具体形式可以是个人计算机、膝上型计算机、蜂窝电话、相机电话、智能电话、个人数字助理、媒体播放器、导航设备、电子邮件收发设备、游戏控制台、平板计算机、可穿戴设备或者这些设备中的任意几种设备的组合。

与前述基于可验证声明的资产数据管理方法的实施例相对应，本说明书还提供一种基于可验证声明的资产数据管理装置，该装置包括：处理器以及用于存储机器可执行指令的存储器。其中，处理器和存储器通常借由内部总线相互连接。在其他可能的实现方式中，所述设备还可能包括外部接口，以能够与其他设备或者部件进行通信。

在本实施例中，通过读取并执行所述存储器存储的与基于可验证声明的资产数据管理逻辑对应的机器可执行指令，所述处理器被促使：

可选的，所述可验证声明中还包括资产持有方的第一数字身份信息和所述声明内容的数字签名，在调用分布式身份服务对所述可验证声明进行验证时，所述处理器被促使：

可选的，所述可验证声明的声明内容中还包括合法资产数据获取方的数字身份信息，在调用分布式身份服务对所述可验证声明进行验证之前，所述处理器还被促使：

可选的，当所述目标资产数据的索引信息为目标资产数据的哈希值时，在将查找到的目标资产数据发送给所述资产数据获取方时，所述处理器被促使：

可选的，所述目标资产数据包括若干数据条目，所述可验证声明的声明内容中还包括资产数据获取方的数据条目权限，在将查找到的目标资产数据发送给所述资产数据获取方时，所述处理器被促使：

与前述基于可验证声明的资产数据管理方法的实施例相对应，本说明书还提供一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，该程序被处理器执行时实现以下步骤：

可选的，所述可验证声明中还包括资产持有方的第一数字身份信息和所述声明内容的数字签名，所述调用分布式身份服务对所述可验证声明进行验证，包括：

可选的，所述可验证声明的声明内容中还包括合法资产数据获取方的数字身份信息，所述调用分布式身份服务对所述可验证声明进行验证之前，还包括：

可选的，当所述目标资产数据的索引信息为目标资产数据的哈希值时，所述将查找到的目标资产数据发送给所述资产数据获取方，包括：

可选的，所述目标资产数据包括若干数据条目，所述可验证声明的声明内容中还包括资产数据获取方的数据条目权限，所述将查找到的目标资产数据发送给所述资产数据获取方，包括：

上述对本说明书特定实施例进行了描述。其它实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。

以上所述仅为本说明书的较佳实施例而已，并不用以限制本说明书，凡在本说明书的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本说明书保护的范围之内。

Claims

1.一种基于可验证声明的资产数据管理方法，应用于资产管理平台，所述资产管理平台存储有资产持有方的若干资产数据，所述方法包括：

2.根据权利要求1所述方法，所述可验证声明中还包括资产持有方的第一数字身份信息和所述声明内容的数字签名，所述调用分布式身份服务对所述可验证声明进行验证，包括：

3.根据权利要求1所述方法，所述可验证声明的声明内容中还包括合法资产数据获取方的数字身份信息，所述调用分布式身份服务对所述可验证声明进行验证之前，还包括：

4.根据权利要求1所述方法，当所述目标资产数据的索引信息为目标资产数据的哈希值时，所述将查找到的目标资产数据发送给所述资产数据获取方，包括：

5.根据权利要求1所述方法，所述目标资产数据包括若干数据条目，所述可验证声明的声明内容中还包括资产数据获取方的数据条目权限，所述将查找到的目标资产数据发送给所述资产数据获取方，包括：

6.一种基于可验证声明的资产数据管理方法，基于资产管理平台和分布式身份服务平台实现对资产数据的管理，所述资产管理平台存储有资产持有方的若干资产数据，所述方法包括：

资产持有方将所述可验证声明发送给资产数据获取方；

7.根据权利要求6所述方法，所述可验证声明中还包括所述声明内容的数字签名，所述分布式身份服务平台生成所述可验证声明后，还将所述可验证声明的生成记录保存至区块链，所述生成记录中包括所述第一数字身份信息和所述声明内容；

所述分布式身份服务平台对所述可验证声明进行验证，包括：

在所述第一数字身份信息一致、所述声明内容一致且所述数字签名验证通过的情况下，确定所述可验证声明通过验证。

8.一种基于可验证声明的资产数据管理装置，应用于资产管理平台，所述资产管理平台存储有资产持有方的若干资产数据，所述装置包括：

9.根据权利要求8所述装置，所述可验证声明中还包括资产持有方的第一数字身份信息和所述声明内容的数字签名，所述发送单元在调用分布式身份服务对所述可验证声明进行验证时：

10.根据权利要求8所述装置，所述可验证声明的声明内容中还包括合法资产数据获取方的数字身份信息，所述发送单元在调用分布式身份服务对所述可验证声明进行验证之前，还：

11.根据权利要求8所述装置，当所述目标资产数据的索引信息为目标资产数据的哈希值时，所述发送单元在将查找到的目标资产数据发送给所述资产数据获取方时：

12.根据权利要求8所述装置，所述目标资产数据包括若干数据条目，所述可验证声明的声明内容中还包括资产数据获取方的数据条目权限，所述发送单元在将查找到的目标资产数据发送给所述资产数据获取方时：

13.一种基于可验证声明的资产数据管理装置，应用于资产管理平台，所述资产管理平台存储有资产持有方的若干资产数据，包括：

处理器；

用于存储机器可执行指令的存储器；