CN112671705A - 报文的处理方法、装置、电子设备及计算机可读存储介质 - Google Patents
报文的处理方法、装置、电子设备及计算机可读存储介质 Download PDFInfo
- Publication number
- CN112671705A CN112671705A CN202011318421.0A CN202011318421A CN112671705A CN 112671705 A CN112671705 A CN 112671705A CN 202011318421 A CN202011318421 A CN 202011318421A CN 112671705 A CN112671705 A CN 112671705A
- Authority
- CN
- China
- Prior art keywords
- request message
- key
- encryption
- message
- request
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000003672 processing method Methods 0.000 title claims abstract description 17
- 238000000034 method Methods 0.000 claims abstract description 63
- 230000008569 process Effects 0.000 claims abstract description 27
- 230000004044 response Effects 0.000 claims description 85
- 238000013475 authorization Methods 0.000 claims description 71
- 238000012545 processing Methods 0.000 claims description 26
- 238000012795 verification Methods 0.000 claims description 10
- 238000009795 derivation Methods 0.000 claims description 7
- 238000004590 computer program Methods 0.000 claims description 6
- 238000004891 communication Methods 0.000 abstract description 11
- 230000007246 mechanism Effects 0.000 abstract description 11
- 230000008878 coupling Effects 0.000 abstract description 8
- 238000010168 coupling process Methods 0.000 abstract description 8
- 238000005859 coupling reaction Methods 0.000 abstract description 8
- 230000006870 function Effects 0.000 description 11
- 238000010586 diagram Methods 0.000 description 7
- 230000003287 optical effect Effects 0.000 description 3
- 238000005034 decoration Methods 0.000 description 2
- 238000012986 modification Methods 0.000 description 2
- 230000004048 modification Effects 0.000 description 2
- 238000011022 operating instruction Methods 0.000 description 2
- 230000003068 static effect Effects 0.000 description 2
- 238000012550 audit Methods 0.000 description 1
- 230000009286 beneficial effect Effects 0.000 description 1
- 230000005540 biological transmission Effects 0.000 description 1
- 235000019800 disodium phosphate Nutrition 0.000 description 1
- 238000005516 engineering process Methods 0.000 description 1
- 230000003993 interaction Effects 0.000 description 1
- 230000002093 peripheral effect Effects 0.000 description 1
- 230000009466 transformation Effects 0.000 description 1
Images
Abstract
本申请实施例提供了一种报文的处理方法、装置、电子设备及计算机可读存储介质。该方法包括：当接收到调用方的第一请求报文时，获取通过加密密钥加密后得到的第二请求报文，将第二请求报文发送至服务方代理服务器，以使服务方代理服务器获取通过解密密钥对第二请求报文进行解密后得到的第一请求报文，并将第一请求报文发送给服务方，以使服务方对第一请求报文进行处理。基于本方案，能够在istio微服务框架下针对通讯报文进行单独加密，避免与其他安全机制之间的功能耦合，方便了用户的使用。
Description
技术领域
本申请涉及计算机技术领域，具体而言，本申请涉及一种报文的处理方法、装置、电子设备及计算机可读存储介质。
背景技术
随着微服务的流行，很多公司在使用istio微服务框架实现微服务架构转型，isito微服务框架提供了身份认证、访问控制、报文加密、报文完整性、安全审计等全套安全机制。
一些应用场景下，如涉及敏感信息的传输时可能会需要单独使用对通讯报文的加密功能，但目前的istio微服务框架中，对报文的加密功能无法在全套安全机制中解耦，导致无法在具体的应用场景中单独选择实现对报文的加密，不便于用户的使用。
发明内容
本申请的目的旨在至少能解决上述的技术缺陷之一。本申请所采用的技术方案如下：
第一方面，本申请实施例提供了一种报文的处理方法，该方法包括：
当接收到调用方的第一请求报文时，获取通过加密密钥加密后得到的第二请求报文；
将第二请求报文发送至服务方代理服务器，以使服务方代理服务器获取通过解密密钥对第二请求报文进行解密后得到的第一请求报文，并将第一请求报文发送给服务方，以使服务方对第一请求报文进行处理。
可选地，获取通过加密密钥加密后得到的第二请求报文，包括：
获取主密钥标识以及对加密机的授权信息；
基于主密钥标识以及授权信息，从加密机获取通过加密密钥加密后得到的第二请求报文。
可选地，基于主密钥标识以及授权信息，从加密机获取通过加密密钥加密后得到的第二请求报文，包括：
将主密钥标识以及授权信息发送至加密机，以使加密机基于授权信息验证调用方的访问权限，在验证通过时基于第一请求报文中携带的参数信息以及主密钥标识对应的主密钥生成加密密钥，并通过加密密钥对第一请求报文进行加密得到第二请求报文；
接收加密机返回的第二请求报文。
可选地，参数信息包括访问关系标识，基于第一请求报文中携带的参数信息以及主密钥标识对应的主密钥生成加密密钥，通过以下方式：
基于密钥衍生算法，并基于访问关系标识以及主密钥标识对应的主密钥，生成加密密钥。
可选地，上述方法还包括：
当接收到服务方代理服务器发送的第二响应报文时，获取通过解密密钥对第二响应报文进行解密后得到的第一响应报文；
将第一响应报文发送给调用方。
第二方面，本申请实施例提供了另一种报文的处理方法，该方法包括：
当接收到调用方代理服务器发送的第二请求报文时，获取通过解密密钥对第二请求报文进行解密后得到的第一请求报文；
将第一请求报文发送给服务方，以使服务方对第一请求报文进行处理。
可选地，获取通过解密密钥对第二请求报文进行解密后得到的第一请求报文，包括：
获取主密钥标识以及对加密机的授权信息；
基于主密钥标识以及授权信息，从加密机获取通过解密密钥对第二请求报文进行解密后得到的第一请求报文。
可选地，基于主密钥标识以及授权信息，从加密机获取通过解密密钥对第二请求报文进行解密后得到的第一请求报文，包括：
将主密钥标识以及授权信息发送至加密机，以使加密机基于授权信息验证调用方的访问权限，在验证通过时基于第二请求报文中携带的参数信息以及主密钥标识对应的主密钥生成解密密钥，并通过解密密钥对第二请求报文进行解密得到第一请求报文；
接收加密机返回的第一请求报文。
可选地，上述方法还包括：
当接收到调用方的第一响应报文时，获取通过加密密钥加密后得到的第二响应报文；
将第二响应报文发送至调用方代理服务器，以使调用方代理服务器获取通过解密密钥对第二响应报文进行解密后得到的第一响应报文，并将第一响应报文发送给调用方。
第三方面，本申请实施例提供了一种报文的处理装置，该装置包括：
第二请求报文获取模块，用于在接收到调用方的第一请求报文时，获取通过加密密钥加密后得到的第二请求报文；
第二请求报文发送模块，用于将第二请求报文发送至服务方代理服务器，以使服务方代理服务器获取通过解密密钥对第二请求报文进行解密后得到的第一请求报文，并将第一请求报文发送给服务方，以使服务方对第一请求报文进行处理。
可选地，第二请求报文获取模块在获取通过加密密钥加密后得到的第二请求报文时，具体用于：
获取主密钥标识以及对加密机的授权信息；
基于主密钥标识以及授权信息，从加密机获取通过加密密钥加密后得到的第二请求报文。
可选地，第二请求报文获取模块在基于主密钥标识以及授权信息，从加密机获取通过加密密钥加密后得到的第二请求报文时，具体用于：
将主密钥标识以及授权信息发送至加密机，以使加密机基于授权信息验证调用方的访问权限，在验证通过时基于第一请求报文中携带的参数信息以及主密钥标识对应的主密钥生成加密密钥，并通过加密密钥对第一请求报文进行加密得到第二请求报文；
接收加密机返回的第二请求报文。
可选地，参数信息包括访问关系标识，基于第一请求报文中携带的参数信息以及主密钥标识对应的主密钥生成加密密钥，通过以下方式：
基于密钥衍生算法，并基于访问关系标识以及主密钥标识对应的主密钥，生成加密密钥。
可选地，上述装置还包括第一响应处理模块，具体用于：
当接收到服务方代理服务器发送的第二响应报文时，获取通过解密密钥对第二响应报文进行解密后得到的第一响应报文；
将第一响应报文发送给调用方。
第四方面，本申请实施例提供了另一种报文的处理装置，该装置包括：
第一请求报文获取模块，用于在接收到调用方代理服务器发送的第二请求报文时，获取通过解密密钥对第二请求报文进行解密后得到的第一请求报文；
第一请求报文发送模块，用于将第一请求报文发送给服务方，以使服务方对第一请求报文进行处理。
可选地，第一请求报文获取模块在获取通过解密密钥对第二请求报文进行解密后得到的第一请求报文时，具体用于：
获取主密钥标识以及对加密机的授权信息；
基于主密钥标识以及授权信息，从加密机获取通过解密密钥对第二请求报文进行解密后得到的第一请求报文。
可选地，第一请求报文获取模块在基于主密钥标识以及授权信息，从加密机获取通过解密密钥对第二请求报文进行解密后得到的第一请求报文时，具体用于：
将主密钥标识以及授权信息发送至加密机，以使加密机基于授权信息验证调用方的访问权限，在验证通过时基于第二请求报文中携带的参数信息以及主密钥标识对应的主密钥生成解密密钥，并通过解密密钥对第二请求报文进行解密得到第一请求报文；
接收加密机返回的第一请求报文。
可选地，上述装置还包括第二响应处理模块，具体用于：
当接收到调用方的第一响应报文时，获取通过加密密钥加密后得到的第二响应报文；
将第二响应报文发送至调用方代理服务器，以使调用方代理服务器获取通过解密密钥对第二响应报文进行解密后得到的第一响应报文，并将第一响应报文发送给调用方。
第五方面，本申请实施例提供了一种电子设备，该电子设备包括：处理器和存储器；
存储器，用于存储操作指令；
处理器，用于通过调用操作指令，执行如本申请的第一方面的任一实施方式中所示的报文的处理方法。
第六方面，本申请实施例提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现本申请的第一方面的任一实施方式中所示的报文的处理方法。
本申请实施例提供的技术方案带来的有益效果是：
本申请实施例提供的方案，当接收到调用方的第一请求报文时，获取通过加密密钥加密后得到的第二请求报文，将第二请求报文发送至服务方代理服务器，以使服务方代理服务器获取通过解密密钥对第二请求报文进行解密后得到的第一请求报文，并将第一请求报文发送给服务方，以使服务方对第一请求报文进行处理。基于本方案，能够在istio微服务框架下针对通讯报文进行单独加密，避免与其他安全机制之间的功能耦合，方便了用户的使用。
附图说明
为了更清楚地说明本申请实施例中的技术方案，下面将对本申请实施例描述中所需要使用的附图作简单地介绍。
图1为本申请实施例提供的一种报文的处理方法的流程示意图；
图2为本申请实施例提供的另一种报文的处理方法的流程示意图；
图3为本申请实施例提供一种报文处理方法的具体实施方式的流程示意图；
图4为本申请实施例提供的一种报文的处理装置的结构示意图；
图5为本申请实施例提供的另一种报文的处理装置的结构示意图；
图6为本申请实施例提供的一种电子设备的结构示意图。
具体实施方式
下面详细描述本申请的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，仅用于解释本申请，而不能解释为对本发明的限制。
本技术领域技术人员可以理解，除非特意声明，这里使用的单数形式“一”、“一个”、“所述”和“该”也可包括复数形式。应该进一步理解的是，本申请的说明书中使用的措辞“包括”是指存在所述特征、整数、步骤、操作、元件和/或组件，但是并不排除存在或添加一个或多个其他特征、整数、步骤、操作、元件、组件和/或它们的组。应该理解，当我们称元件被“连接”或“耦接”到另一元件时，它可以直接连接或耦接到其他元件，或者也可以存在中间元件。此外，这里使用的“连接”或“耦接”可以包括无线连接或无线耦接。这里使用的措辞“和/或”包括一个或更多个相关联的列出项的全部或任一单元和全部组合。
为使本申请的目的、技术方案和优点更加清楚，下面将结合附图对本申请实施方式作进一步地详细描述。
下面以具体地实施例对本申请的技术方案以及本申请的技术方案如何解决上述技术问题进行详细说明。下面这几个具体的实施例可以相互结合，对于相同或相似的概念或过程可能在某些实施例中不再赘述。下面将结合附图，对本申请的实施例进行描述。
图1示出了本申请实施例提供的一种报文的处理方法的流程示意图，如图1所示，该方法主要可以包括：
步骤S110：当接收到调用方的第一请求报文时，获取通过加密密钥加密后得到的第二请求报文；
步骤S120：将第二请求报文发送至服务方代理服务器，以使服务方代理服务器获取通过解密密钥对第二请求报文进行解密后得到的第一请求报文，并将第一请求报文发送给服务方，以使服务方对第一请求报文进行处理。
本申请实施例中，微服务的参与方分别为调用方和服务方，调用方代理服务器为istio框架提供的且由调用方配置的Envoy代理，服务方代理服务器为istio框架提供的且由服务方配置的Envoy代理。
本申请实施例中，调用方可以通过远程过程调用(Romote Procedure Call，RPC)访问服务方提供的服务。调用方向服务方发起调用请求时，调用方代理服务器可以拦截调用请求对应的第一请求报文，并获取通过加密密钥加密后得到的第二请求报文。
由于第二请求报文是通过加密密钥加密后的，通过第二请求报文进行传输能够使得被传输信息具有更好的安全性。
本申请实施例中，调用方代理服务器可以在获取第二请求报文后，将第二请求报文发送给服务方代理服务器。服务方代理服务器可以获取通过解密密钥对第二请求报文进行解密后得到的第一请求报文，并将第一请求报文发送给服务方，由服务方对第一请求报文进行处理。
由于是通过调用方代理服务器针对调用方的第一请求报文进行加密，并通过服务方代理服务器针对第二请求报文进行加密，实现了在istio框架下单独对通讯报文的加密，而无需调用全套的安全机制，提升报文的通信效率。
本申请实施例提供的方法，当接收到调用方的第一请求报文时，获取通过加密密钥加密后得到的第二请求报文，将第二请求报文发送至服务方代理服务器，以使服务方代理服务器获取通过解密密钥对第二请求报文进行解密后得到的第一请求报文，并将第一请求报文发送给服务方，以使服务方对第一请求报文进行处理。基于本方案，能够在istio微服务框架下针对通讯报文进行单独加密，避免与其他安全机制之间的功能耦合，方便了用户的使用。
本申请实施例的一种可选方式中，获取通过加密密钥加密后得到的第二请求报文，包括：
获取主密钥标识以及对加密机的授权信息；
基于主密钥标识以及授权信息，从加密机获取通过加密密钥加密后得到的第二请求报文。
本申请实施例中，可以在加密机中配置调用方应用与服务方应用约定的报文加密主密钥，并为调用方和服务方开通使用渠道标识和授权码访问加密机的权限。配置中心中可以存储有主密钥标识。
调用方代理服务器可以调用配置中心接口获取主密钥标识以及授权信息，而后基于主密钥标识以及授权信息，从加密机获取通过加密密钥加密后得到的第二请求报文。
本申请实施例的一种可选方式中，基于主密钥标识以及授权信息，从加密机获取通过加密密钥加密后得到的第二请求报文，包括：
将主密钥标识以及授权信息发送至加密机，以使加密机基于授权信息验证调用方的访问权限，在验证通过时基于第一请求报文中携带的参数信息以及主密钥标识对应的主密钥生成加密密钥，并通过加密密钥对第一请求报文进行加密得到第二请求报文；
接收加密机返回的第二请求报文。
本申请实施例中，授权信息可以包括渠道标识和授权码，调用方代理服务器可以利用主密钥标识、访问关系标识、渠道标识、授权码、报文数据等参数调用加密机提供的SDK(Software Development Kit，软件开发工具包)提供的报文加密接口。加密机接收到调用方代理服务器发送的信息后，可以首先利用渠道方标识和授权码校验应用的访问权限，而后基于第一请求报文中携带的参数信息以及主密钥标识对应的主密钥生成加密密钥，并通过加密密钥对第一请求报文进行加密得到第二请求报文，最后将接收加密机返回的第二请求报文。
本申请实施例的一种可选方式中，参数信息包括访问关系标识，基于第一请求报文中携带的参数信息以及主密钥标识对应的主密钥生成加密密钥，通过以下方式：
基于密钥衍生算法，并基于访问关系标识以及主密钥标识对应的主密钥，生成加密密钥。
本申请实施例中，在对调用方的访问权限验证通过时，加密机可以用调用方与服务方的访问关系标识和主密钥标识对应的主密钥动态生成加密密钥。
具体而言，加密机可以基于密钥衍生算法，并基于访问关系标识以及主密钥标识对应的主密钥，生成加密密钥。
本申请实施例的一种可选方式中，上述方法还包括：
当接收到服务方代理服务器发送的第二响应报文时，获取通过解密密钥对第二响应报文进行解密后得到的第一响应报文；
将第一响应报文发送给调用方。
本申请实施例中，服务方在接收到第一请求报文后，可以对第一请求报文进行处理生成第一响应报文，并将第一响应报文发送至服务方代理服务器，服务方代理服务器可以向加密机获取通过加密密钥对第一响应报文进行加密后得到的第二响应报文，加密机对第一响应报文加密得到的第二响应报文的具体流程可以参照加密机对第一请求报文进行加密得到的第二请求报文。服务方代理服务器可以将加密机返回的第二响应报文发送至调用方代理服务器。调用方代理服务器在接收到第二响应报文后，可以向加密机获取通过解密密钥对第二响应报文进行解密后得到的第一响应报文，加密机对第二响应报文解密得到的第一响应报文的具体流程可以参照加密机对第二请求报文进行解密得到的第一请求报文。调用方代理服务器可以将加密机返回的第一响应报文发送至调用方。
图2示出了本申请实施例提供的另一种报文的处理方法的流程示意图，如图2所示，该方法主要可以包括：
步骤S210：当接收到调用方代理服务器发送的第二请求报文时，获取通过解密密钥对第二请求报文进行解密后得到的第一请求报文；
步骤S220：将第一请求报文发送给服务方，以使服务方对第一请求报文进行处理。
本申请实施例中，调用方向服务方发起调用请求时，调用方代理服务器可以拦截调用请求对应的第一请求报文，并获取通过加密密钥加密后得到的第二请求报文，并将第二请求报文发送给服务方代理服务器。
调用方代理服务器可以在获取第二请求报文后，将第二请求报文发送给服务方代理服务器。服务方代理服务器可以获取通过解密密钥对第二请求报文进行解密后得到的第一请求报文，并将第一请求报文发送给服务方，由服务方对第一请求报文进行处理。
本申请实施例提供的方法，当接收到调用方代理服务器发送的第二请求报文时，获取通过解密密钥对第二请求报文进行解密后得到的第一请求报文，将第一请求报文发送给服务方，以使服务方对第一请求报文进行处理。基于本方案，能够在istio微服务框架下针对通讯报文进行单独加密，避免与其他安全机制之间的功能耦合，方便了用户的使用。
本申请实施例的一种可选方式中，获取通过解密密钥对第二请求报文进行解密后得到的第一请求报文，包括：
获取主密钥标识以及对加密机的授权信息；
基于主密钥标识以及授权信息，从加密机获取通过解密密钥对第二请求报文进行解密后得到的第一请求报文。
服务方代理服务器可以调用配置中心接口获取主密钥标识以及授权信息，而后基于主密钥标识以及授权信息，从加密机获取通过解密密钥加密后得到的第一请求报文。
本申请实施例的一种可选方式中，基于主密钥标识以及授权信息，从加密机获取通过解密密钥对第二请求报文进行解密后得到的第一请求报文，包括：
将主密钥标识以及授权信息发送至加密机，以使加密机基于授权信息验证调用方的访问权限，在验证通过时基于第二请求报文中携带的参数信息以及主密钥标识对应的主密钥生成解密密钥，并通过解密密钥对第二请求报文进行解密得到第一请求报文；
接收加密机返回的第一请求报文。
本申请实施例中，授权信息可以包括渠道标识和授权码，服务方代理服务器可以利用主密钥标识、访问关系标识、渠道标识、授权码、报文数据等参数调用加密机提供的SDK提供的报文加密接口。加密机接收到服务方代理服务器发送的信息后，可以首先利用渠道方标识和授权码校验应用的访问权限，而后基于第二请求报文中携带的参数信息以及主密钥标识对应的主密钥生成解密密钥，并通过解密密钥对第二请求报文进行解密得到第一请求报文，最后将接收加密机返回的第一请求报文。
本申请实施例中，可以基于密钥衍生算法，并基于访问关系标识以及主密钥标识对应的主密钥，生成解密密钥，解密密钥可以与加密密钥相对应，用于对第二请求报文的解密。
本申请实施例的一种可选方式中，上述方法还包括：
当接收到调用方的第一响应报文时，获取通过加密密钥加密后得到的第二响应报文；
将第二响应报文发送至调用方代理服务器，以使调用方代理服务器获取通过解密密钥对第二响应报文进行解密后得到的第一响应报文，并将第一响应报文发送给调用方。
本申请实施例中，服务方在接收到第一请求报文后，可以对第一请求报文进行处理生成第一响应报文，并将第一响应报文发送至服务方代理服务器，服务方代理服务器可以向加密机获取通过加密密钥对第一响应报文进行加密后得到的第二响应报文，加密机对第一响应报文加密得到的第二响应报文的具体流程可以参照加密机对第一请求报文进行加密得到的第二请求报文。服务方代理服务器可以将加密机返回的第二响应报文发送至调用方代理服务器。调用方代理服务器在接收到第二响应报文后，可以向加密机获取通过解密密钥对第二响应报文进行解密后得到的第一响应报文，加密机对第二响应报文解密得到的第一响应报文的具体流程可以参照加密机对第二请求报文进行解密得到的第一请求报文。调用方代理服务器可以将加密机返回的第一响应报文发送至调用方。
本申请实施例中，鉴于微服务场景下报文交互量大规模增加，可以不必在每次调用服务时都向配置中心请求主密钥标识，可以在Envoy代理缓存主密钥标识，当主密钥标识有变化时，配置中心会主动向Envoy代理推送变化后的主密钥标识；并且可以不必在每次调用服务时都向加密机请求加解密报文，可由本地的SDK缓存主密钥并对报文进行加解密运算。
作为一个示例，图3中示出了本申请实施例提供的一种报文处理方法的具体实施方式的流程示意图。如图3中所示，提具体流程如下：
A1：调用方以RPC方式访问服务方提供的服务。
A2：调用方的Envoy代理拦截到报文后，调用配置中心接口获取主密钥标识信息。
A3：配置中心返回主密钥标识信息，配置中心支持主密钥定期轮换和将主密钥标识推送到调用方。
A4：调用方的Envoy代理拦截到报文后，利用主密钥标识、访问关系标识、渠道标识、授权码、报文数据等参数调用加密机提供的SDK软件包提供的报文加密接口。
A5:加密机接收到输入参数后，解析各参数，加密机首先利用渠道方标识和授权码校验应用的访问权限，加密机然后利用调用方与服务方的访问关系标识和主密钥标识对应的主密钥动态生成加密密钥，然后使用该密钥处理报文数据生成加密数据后返回给SDK软件包，再返回给调用方的Envoy代理。
A6：调用方的Envoy代理收到加密数据以后，组装请求报文向服务方发起请求。
A7：调用方的Envoy代理会调用配置中心接口获取主密钥标识信息。
A8：配置中心返回主密钥标识，配置中心支持主密钥定期轮换和将主密钥标识推送到服务方。
A9:服务方的Envoy代理然后利用主密钥标识、访问关系标识、渠道标识、授权码、报文数据等参数调用加密机提供的SDK软件包解密报文。
A10：加密机的接口接收到输入参数后，解析各参数，加密机首先利用渠道方标识和授权码校验应用的访问权限，利用调用方与服务方的访问关系标识和主密钥标识对应的主密钥动态生成解密密钥，然后使用该密钥解密报文数据生成报文原文后返回给SDK软件包，再返给服务方Envoy代理。
A11：服务方Envoy代理将报文原文转发到服务方。
A12：服务方完成业务处理后向调用方返回响应报文，服务方的Envoy代理会拦截响应报文。
重复A7：服务方的Envoy代理收到报文后，调用配置中心接口获取主密钥标识信息。
重复A8：配置中心返回主密钥标识信息，配置中心支持主密钥定期轮换和将主密钥标识推送到服务方的Envoy代理。
重复A9：服务方的Envoy代理利用主密钥标识、访问关系标识、渠道标识、授权码、报文数据等参数调用加密机提供的SDK软件包提供的加密接口。
重复A10:加密机接收到输入参数后，解析各参数，加密机首先利用渠道方标识和授权码校验应用的访问权限，加密机然后利用调用方与服务方的访问关系标识和主密钥标识对应的主密钥动态生成加密密钥，然后使用该密钥操作报文数据生成加密数据后返回给SDK软件包，再返给服务方的Envoy代理。
A13：调用方的Envoy代理收到加密数据以后，组装响应报文向调用方返回。
重复A2：调用方的Envoy代理会拦截响应报文，调用配置中心接口获取主密钥标识。
重复A3：配置中心返回主密钥标识信息，配置中心支持主密钥定期轮换和将主密钥标识推送到调用方。
重复A4:调用方的Envoy代理会利用主密钥标识、访问关系标识、渠道标识、授权码、报文数据等参数调用加密机提供的加解密SDK软件包。
重复A5：加密机的接口接收到输入参数后，解析各参数，加密机首先利用渠道方标识和授权码校验应用的访问权限，利用调用方与服务方的访问关系标识和主密钥标识对应的主密钥动态生成解密密钥，然后使用该密钥解密报文数据生成报文原文后返回给SDK软件包，再返给服务方Envoy代理。
A14：调用方Envoy代理将报文原文转发到调用方。
基于与图1中所示的方法相同的原理，图4示出了本申请实施例提供的一种报文的处理的装置的结构示意图，如图4所示，该报文的处理装置30可以包括：
第二请求报文获取模块310，用于在接收到调用方的第一请求报文时，获取通过加密密钥加密后得到的第二请求报文；
第二请求报文发送模块320，用于将第二请求报文发送至服务方代理服务器，以使服务方代理服务器获取通过解密密钥对第二请求报文进行解密后得到的第一请求报文，并将第一请求报文发送给服务方，以使服务方对第一请求报文进行处理。
本申请实施例提供的装置，当接收到调用方的第一请求报文时，获取通过加密密钥加密后得到的第二请求报文，将第二请求报文发送至服务方代理服务器，以使服务方代理服务器获取通过解密密钥对第二请求报文进行解密后得到的第一请求报文，并将第一请求报文发送给服务方，以使服务方对第一请求报文进行处理。基于本方案，能够在istio微服务框架下针对通讯报文进行单独加密，避免与其他安全机制之间的功能耦合，方便了用户的使用。
可选地，第二请求报文获取模块在获取通过加密密钥加密后得到的第二请求报文时，具体用于：
获取主密钥标识以及对加密机的授权信息；
基于主密钥标识以及授权信息，从加密机获取通过加密密钥加密后得到的第二请求报文。
可选地，第二请求报文获取模块在基于主密钥标识以及授权信息，从加密机获取通过加密密钥加密后得到的第二请求报文时，具体用于：
将主密钥标识以及授权信息发送至加密机，以使加密机基于授权信息验证调用方的访问权限，在验证通过时基于第一请求报文中携带的参数信息以及主密钥标识对应的主密钥生成加密密钥，并通过加密密钥对第一请求报文进行加密得到第二请求报文；
接收加密机返回的第二请求报文。
可选地，参数信息包括访问关系标识，基于第一请求报文中携带的参数信息以及主密钥标识对应的主密钥生成加密密钥，通过以下方式：
基于密钥衍生算法，并基于访问关系标识以及主密钥标识对应的主密钥，生成加密密钥。
可选地，上述装置还包括第一响应处理模块，具体用于：
当接收到服务方代理服务器发送的第二响应报文时，获取通过解密密钥对第二响应报文进行解密后得到的第一响应报文；
将第一响应报文发送给调用方。
可以理解的是，本实施例中的报文的处理装置的上述各模块具有实现图1中所示的实施例中的报文的处理方法相应步骤的功能。该功能可以通过硬件实现，也可以通过硬件执行相应的软件实现。该硬件或软件包括一个或多个与上述功能相对应的模块。上述模块可以是软件和/或硬件，上述各模块可以单独实现，也可以多个模块集成实现。对于上述报文的处理装置的各模块的功能描述具体可以参见图1中所示实施例中的报文的处理方法的对应描述，在此不再赘述。
基于与图2中所示的方法相同的原理，图5示出了本申请实施例提供的一种报文的处理的装置的结构示意图，如图5所示，该报文的处理装置40可以包括：
第一请求报文获取模块410，用于在接收到调用方代理服务器发送的第二请求报文时，获取通过解密密钥对第二请求报文进行解密后得到的第一请求报文；
第一请求报文发送模块420，用于将第一请求报文发送给服务方，以使服务方对第一请求报文进行处理。
本申请实施例提供的装置，当接收到调用方代理服务器发送的第二请求报文时，获取通过解密密钥对第二请求报文进行解密后得到的第一请求报文，将第一请求报文发送给服务方，以使服务方对第一请求报文进行处理。基于本方案，能够在istio微服务框架下针对通讯报文进行单独加密，避免与其他安全机制之间的功能耦合，方便了用户的使用。
可选地，第一请求报文获取模块在获取通过解密密钥对第二请求报文进行解密后得到的第一请求报文时，具体用于：
获取主密钥标识以及对加密机的授权信息；
基于主密钥标识以及授权信息，从加密机获取通过解密密钥对第二请求报文进行解密后得到的第一请求报文。
可选地，第一请求报文获取模块在基于主密钥标识以及授权信息，从加密机获取通过解密密钥对第二请求报文进行解密后得到的第一请求报文时，具体用于：
将主密钥标识以及授权信息发送至加密机，以使加密机基于授权信息验证调用方的访问权限，在验证通过时基于第二请求报文中携带的参数信息以及主密钥标识对应的主密钥生成解密密钥，并通过解密密钥对第二请求报文进行解密得到第一请求报文；
接收加密机返回的第一请求报文。
可选地，上述装置还包括第二响应处理模块，具体用于：
当接收到调用方的第一响应报文时，获取通过加密密钥加密后得到的第二响应报文；
将第二响应报文发送至调用方代理服务器，以使调用方代理服务器获取通过解密密钥对第二响应报文进行解密后得到的第一响应报文，并将第一响应报文发送给调用方。
可以理解的是，本实施例中的报文的处理装置的上述各模块具有实现图2中所示的实施例中的报文的处理方法相应步骤的功能。该功能可以通过硬件实现，也可以通过硬件执行相应的软件实现。该硬件或软件包括一个或多个与上述功能相对应的模块。上述模块可以是软件和/或硬件，上述各模块可以单独实现，也可以多个模块集成实现。对于上述报文的处理装置的各模块的功能描述具体可以参见图2中所示实施例中的报文的处理方法的对应描述，在此不再赘述。
本申请实施例提供了一种电子设备，包括处理器和存储器；
存储器，用于存储操作指令；
处理器，用于通过调用操作指令，执行本申请任一实施方式中所提供的报文的处理方法。
作为一个示例，图6示出了本申请实施例所适用的一种电子设备的结构示意图，如图6所示，该电子设备2000包括：处理器2001和存储器2003。其中，处理器2001和存储器2003相连，如通过总线2002相连。可选的，电子设备2000还可以包括收发器2004。需要说明的是，实际应用中收发器2004不限于一个，该电子设备2000的结构并不构成对本申请实施例的限定。
其中，处理器2001应用于本申请实施例中，用于实现上述方法实施例所示的方法。收发器2004可以包括接收机和发射机，收发器2004应用于本申请实施例中，用于执行时实现本申请实施例的电子设备与其他设备通信的功能。
处理器2001可以是CPU(Central Processing Unit，中央处理器)，通用处理器，DSP(Digital Signal Processor，数据信号处理器)，ASIC(Application SpecificIntegrated Circuit，专用集成电路)，FPGA(Field Programmable Gate Array，现场可编程门阵列)或者其他可编程逻辑器件、晶体管逻辑器件、硬件部件或者其任意组合。其可以实现或执行结合本申请公开内容所描述的各种示例性的逻辑方框，模块和电路。处理器2001也可以是实现计算功能的组合，例如包含一个或多个微处理器组合，DSP和微处理器的组合等。
总线2002可包括一通路，在上述组件之间传送信息。总线2002可以是PCI(Peripheral Component Interconnect，外设部件互连标准)总线或EISA(ExtendedIndustry Standard Architecture，扩展工业标准结构)总线等。总线2002可以分为地址总线、数据总线、控制总线等。为便于表示，图6中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。
存储器2003可以是ROM(Read Only Memory，只读存储器)或可存储静态信息和指令的其他类型的静态存储设备，RAM(Random Access Memory，随机存取存储器)或者可存储信息和指令的其他类型的动态存储设备，也可以是EEPROM(Electrically ErasableProgrammable Read Only Memory，电可擦可编程只读存储器)、CD-ROM(Compact DiscRead Only Memory，只读光盘)或其他光盘存储、光碟存储(包括压缩光碟、激光碟、光碟、数字通用光碟、蓝光光碟等)、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。
可选的，存储器2003用于存储执行本申请方案的应用程序代码，并由处理器2001来控制执行。处理器2001用于执行存储器2003中存储的应用程序代码，以实现本申请任一实施方式中所提供的报文的处理方法。
本申请实施例提供的电子设备，适用于上述方法任一实施例，在此不再赘述。
本申请实施例提供了一种电子设备，与现有技术相比，当接收到调用方的第一请求报文时，获取通过加密密钥加密后得到的第二请求报文，将第二请求报文发送至服务方代理服务器，以使服务方代理服务器获取通过解密密钥对第二请求报文进行解密后得到的第一请求报文，并将第一请求报文发送给服务方，以使服务方对第一请求报文进行处理。基于本方案，能够在istio微服务框架下针对通讯报文进行单独加密，避免与其他安全机制之间的功能耦合，方便了用户的使用。
本申请实施例提供了一种计算机可读存储介质，该计算机可读存储介质上存储有计算机程序，该程序被处理器执行时实现上述方法实施例所示的报文的处理方法。
本申请实施例提供的计算机可读存储介质，适用于上述方法任一实施例，在此不再赘述。
本申请实施例提供了一种计算机可读存储介质，与现有技术相比，当接收到调用方的第一请求报文时，获取通过加密密钥加密后得到的第二请求报文，将第二请求报文发送至服务方代理服务器，以使服务方代理服务器获取通过解密密钥对第二请求报文进行解密后得到的第一请求报文，并将第一请求报文发送给服务方，以使服务方对第一请求报文进行处理。基于本方案，能够在istio微服务框架下针对通讯报文进行单独加密，避免与其他安全机制之间的功能耦合，方便了用户的使用。
应该理解的是，虽然附图的流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，其可以以其他的顺序执行。而且，附图的流程图中的至少一部分步骤可以包括多个子步骤或者多个阶段，这些子步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，其执行顺序也不必然是依次进行，而是可以与其他步骤或者其他步骤的子步骤或者阶段的至少一部分轮流或者交替地执行。
以上仅是本发明的部分实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。
Claims (13)
1.一种报文的处理方法，其特征在于，应用于调用方代理服务器，所述方法包括：
当接收到调用方的第一请求报文时，获取通过加密密钥加密后得到的第二请求报文；
将所述第二请求报文发送至服务方代理服务器，以使所述服务方代理服务器获取通过解密密钥对所述第二请求报文进行解密后得到的第一请求报文，并将所述第一请求报文发送给所述服务方，以使所述服务方对所述第一请求报文进行处理。
2.根据权利要求1所述的方法，其特征在于，所述获取通过加密密钥加密后得到的第二请求报文，包括：
获取主密钥标识以及对加密机的授权信息；
基于所述主密钥标识以及所述授权信息，从加密机获取通过加密密钥加密后得到的第二请求报文。
3.根据权利要求2所述的方法，其特征在于，所述基于所述主密钥标识以及所述授权信息，从加密机获取通过加密密钥加密后得到的第二请求报文，包括：
将所述主密钥标识以及所述授权信息发送至加密机，以使所述加密机基于所述授权信息验证所述调用方的访问权限，在验证通过时基于所述第一请求报文中携带的参数信息以及所述主密钥标识对应的主密钥生成加密密钥，并通过所述加密密钥对所述第一请求报文进行加密得到第二请求报文；
接收所述加密机返回的第二请求报文。
4.根据权利要求3所述的方法，其特征在于，所述参数信息包括访问关系标识，所述基于所述第一请求报文中携带的参数信息以及所述主密钥标识对应的主密钥生成加密密钥，通过以下方式：
基于密钥衍生算法，并基于所述访问关系标识以及所述主密钥标识对应的主密钥，生成加密密钥。
5.根据权利要求1-4中任一项所述的方法，其特征在于，还包括：
当接收到服务方代理服务器发送的第二响应报文时，获取通过解密密钥对所述第二响应报文进行解密后得到的第一响应报文；
将所述第一响应报文发送给所述调用方。
6.一种报文的处理方法，其特征在于，应用于服务方代理服务器，所述方法包括：
当接收到调用方代理服务器发送的第二请求报文时，获取通过解密密钥对所述第二请求报文进行解密后得到的第一请求报文；
将所述第一请求报文发送给所述服务方，以使所述服务方对所述第一请求报文进行处理。
7.根据权利要求6所述的方法，其特征在于，所述获取通过解密密钥对所述第二请求报文进行解密后得到的第一请求报文，包括：
获取主密钥标识以及对加密机的授权信息；
基于所述主密钥标识以及所述授权信息，从加密机获取通过解密密钥对所述第二请求报文进行解密后得到的第一请求报文。
8.根据权利要求7所述的方法，其特征在于，所述基于所述主密钥标识以及所述授权信息，从加密机获取通过解密密钥对所述第二请求报文进行解密后得到的第一请求报文，包括：
将所述主密钥标识以及所述授权信息发送至加密机，以使所述加密机基于所述授权信息验证所述调用方的访问权限，在验证通过时基于第二请求报文中携带的参数信息以及所述主密钥标识对应的主密钥生成解密密钥，并通过所述解密密钥对所述第二请求报文进行解密得到第一请求报文；
接收所述加密机返回的第一请求报文。
9.根据权利要求6-8中任一项所述的方法，其特征在于，还包括：
当接收到调用方的第一响应报文时，获取通过加密密钥加密后得到的第二响应报文；
将所述第二响应报文发送至调用方代理服务器，以使所述调用方代理服务器获取通过解密密钥对所述第二响应报文进行解密后得到的第一响应报文，并将所述第一响应报文发送给所述调用方。
10.一种报文的处理装置，其特征在于，包括：
第二请求报文获取模块，用于在接收到调用方的第一请求报文时，获取通过加密密钥加密后得到的第二请求报文；
第二请求报文发送模块，用于将所述第二请求报文发送至服务方代理服务器，以使所述服务方代理服务器获取通过解密密钥对所述第二请求报文进行解密后得到的第一请求报文，并将所述第一请求报文发送给所述服务方，以使所述服务方对所述第一请求报文进行处理。
11.一种报文的处理装置，其特征在于，包括：
第一请求报文获取模块，用于在接收到调用方代理服务器发送的第二请求报文时，获取通过解密密钥对所述第二请求报文进行解密后得到的第一请求报文；
第一请求报文发送模块，用于将所述第一请求报文发送给所述服务方，以使所述服务方对所述第一请求报文进行处理。
12.一种电子设备，其特征在于，包括处理器和存储器；
所述存储器，用于存储操作指令；
所述处理器，用于通过调用所述操作指令，执行权利要求1-9中任一项所述的方法。
13.一种计算机可读存储介质，其特征在于，所述存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现权利要求1-9中任一项所述的方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202011318421.0A CN112671705A (zh) | 2020-11-23 | 2020-11-23 | 报文的处理方法、装置、电子设备及计算机可读存储介质 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202011318421.0A CN112671705A (zh) | 2020-11-23 | 2020-11-23 | 报文的处理方法、装置、电子设备及计算机可读存储介质 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN112671705A true CN112671705A (zh) | 2021-04-16 |
Family
ID=75403512
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202011318421.0A Pending CN112671705A (zh) | 2020-11-23 | 2020-11-23 | 报文的处理方法、装置、电子设备及计算机可读存储介质 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN112671705A (zh) |
Cited By (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN113132394A (zh) * | 2021-04-22 | 2021-07-16 | 中国建设银行股份有限公司 | 一种请求处理系统、方法、装置、存储介质及电子设备 |
| CN113472785A (zh) * | 2021-06-30 | 2021-10-01 | 中国工商银行股份有限公司 | 数据处理方法、装置、电子设备及可读存储介质 |
| CN114006757A (zh) * | 2021-10-29 | 2022-02-01 | 京东方科技集团股份有限公司 | Gis服务的访问控制方法、装置、架构、介质及设备 |
| CN115174204A (zh) * | 2022-07-01 | 2022-10-11 | 京东科技控股股份有限公司 | 数据传输方法、装置和系统 |
Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN107070925A (zh) * | 2017-04-18 | 2017-08-18 | 上海赛付网络科技有限公司 | 一种终端应用与后台服务通讯报文防篡改的方法 |
| CN109104273A (zh) * | 2018-07-04 | 2018-12-28 | 华为技术有限公司 | 报文处理方法以及接收端服务器 |
| CN109728902A (zh) * | 2018-06-01 | 2019-05-07 | 平安科技（深圳）有限公司 | 密钥管理方法、设备、存储介质及装置 |
-
2020
- 2020-11-23 CN CN202011318421.0A patent/CN112671705A/zh active Pending
Patent Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN107070925A (zh) * | 2017-04-18 | 2017-08-18 | 上海赛付网络科技有限公司 | 一种终端应用与后台服务通讯报文防篡改的方法 |
| CN109728902A (zh) * | 2018-06-01 | 2019-05-07 | 平安科技（深圳）有限公司 | 密钥管理方法、设备、存储介质及装置 |
| CN109104273A (zh) * | 2018-07-04 | 2018-12-28 | 华为技术有限公司 | 报文处理方法以及接收端服务器 |
Cited By (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN113132394A (zh) * | 2021-04-22 | 2021-07-16 | 中国建设银行股份有限公司 | 一种请求处理系统、方法、装置、存储介质及电子设备 |
| CN113472785A (zh) * | 2021-06-30 | 2021-10-01 | 中国工商银行股份有限公司 | 数据处理方法、装置、电子设备及可读存储介质 |
| CN113472785B (zh) * | 2021-06-30 | 2022-10-04 | 中国工商银行股份有限公司 | 数据处理方法、装置、电子设备及可读存储介质 |
| CN114006757A (zh) * | 2021-10-29 | 2022-02-01 | 京东方科技集团股份有限公司 | Gis服务的访问控制方法、装置、架构、介质及设备 |
| CN114006757B (zh) * | 2021-10-29 | 2024-04-05 | 京东方科技集团股份有限公司 | Gis服务的访问控制方法、装置、架构、介质及设备 |
| CN115174204A (zh) * | 2022-07-01 | 2022-10-11 | 京东科技控股股份有限公司 | 数据传输方法、装置和系统 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN108965230B (zh) | 一种安全通信方法、系统及终端设备 | |
| CN112671705A (zh) | 报文的处理方法、装置、电子设备及计算机可读存储介质 | |
| US7007163B2 (en) | Methods and apparatus for accelerating secure session processing | |
| US8495383B2 (en) | Method for the secure storing of program state data in an electronic device | |
| CN110224976B (zh) | 一种加密通信方法、装置及计算机可读存储介质 | |
| US11411731B2 (en) | Secure API flow | |
| CN112823503B (zh) | 一种数据访问方法、数据访问装置及移动终端 | |
| CN112637125A (zh) | 报文的处理方法、装置、电子设备及计算机可读存储介质 | |
| CN112512038B (zh) | 会话密钥的生成方法、装置、电子设备及可读存储介质 | |
| CN113010874A (zh) | 登录认证方法、装置、电子设备及计算机可读存储介质 | |
| CN111444551A (zh) | 账户的注册与登录方法、装置、电子设备及可读存储介质 | |
| CN115022868A (zh) | 卫星终端实体认证方法、系统及存储介质 | |
| CN113204772A (zh) | 数据处理方法、装置、系统、终端、服务器和存储介质 | |
| CN113094190B (zh) | 微服务调用方法、调用装置、电子设备和存储介质 | |
| CN113038463B (zh) | 一种通讯加密认证实验装置 | |
| CN112637124B (zh) | 报文的处理方法、装置、电子设备及计算机可读存储介质 | |
| CN117118628A (zh) | 电力物联网轻量级身份认证方法、装置及电子设备 | |
| JP2003234734A (ja) | 相互認証方法及びサーバ装置及びクライアント装置及び相互認証プログラム及び相互認証プログラムを格納した記憶媒体 | |
| CN114338091B (zh) | 数据传输方法、装置、电子设备及存储介质 | |
| CN111901287A (zh) | 一种为轻应用提供加密信息的方法、装置和智能设备 | |
| CN116233832A (zh) | 验证信息发送方法及装置 | |
| CN112862488A (zh) | 数据的签名方法、装置、电子设备及计算机可读存储介质 | |
| CN111901335B (zh) | 基于中台的区块链数据传输管理方法及系统 | |
| CN112788046A (zh) | 一种加密传输信息的方法及系统 | |
| CN115996126B (zh) | 信息交互方法、应用设备、辅助平台及电子设备 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| RJ01 | Rejection of invention patent application after publication |
Application publication date: 20210416 |
|
| RJ01 | Rejection of invention patent application after publication |