CN112671841A - 基于微服务技术架构的数据安全管理方法及系统 - Google Patents

Abstract

本发明提供基于微服务技术架构的数据安全管理方法及系统。其中所述基于微服务技术架构的数据安全管理方法包括：API网关接收用户前端发送的登录请求，对该登录请求进行验证，当验证通过后允许用户登录服务治理模块；服务治理模块接收用户发送的功能请求，服务治理模块对该功能请求对应的用户身份以及权限进行验证，在验证通过后将该功能请求转发至当前目标微服务；其中功能请求中包含了需调用的一个或多个微服务信息以及相应的调用顺序。本发明有助于提高微服务架构的安全性。

Description

基于微服务技术架构的数据安全管理方法及系统

技术领域

本发明涉及智能交互技术领域，特别是基于微服务技术架构的数据安全管理方法及系统。

背景技术

相比于传统的集中式单体系统相比，微服务架构能够克服传统架构随着业务扩展带来的不便。因为微服务架构的目的是有效拆分应用，降低系统的耦合度，实现敏捷开发和部署

现有技术中，在微服务架构中客户端通过API网关能够访问或调取相应的微服务，而各微服务均部署在相对较为开放共享运行环境下，各微服务中的数据安全不能得到保证。

发明内容

针对上述问题，本发明旨在提供基于微服务技术架构的数据安全管理方法及系统。

本发明的目的采用以下技术方案来实现：

本发明示出基于微服务技术架构的数据安全管理方法，包括：

API网关接收用户前端发送的登录请求，对该登录请求进行验证，当验证通过后允许用户登录服务治理模块；

服务治理模块接收用户发起的功能请求，服务治理模块对该功能请求发起用户的身份以及权限进行验证，在验证通过后将该功能请求转发至当前目标微服务；其中功能请求中包含了所需调用的一个或多个微服务信息以及相应的调用顺序；

当微服务根据该功能请求需要调用下一个微服务时，微服务将该功能请求发送到服务治理模块，由服务治理模块对该功能请求相应的用户身份和权限进行验证，当验证通过后将该功能请求转发到下一个微服务。

可选的，该方法还包括：

管理模块对用户的身份以及权限信息进行管理，并将用户的身份以及权限信息存储到数据库模块中；

当服务治理模块接收到用户发送的功能请求时，服务治理模块从数据库模块中获取与该用户对应的权限信息进行验证。

可选的，该方法还包括：API网关接收用户前端发送的注册请求，其中注册请求中包含用户名称以及相应的用户密码；

API网关根据接收到的用户密码，首先生成一个固定长度的随机数字符串A，并根据设定的第一组合规则S1将用户密码和随机数字符串A拼接成新的字符串B1，然后使用哈希函数处理新的字符串B1，得到字符串密文C1，并通过设定的第二组合规则S2将随机数字符串A和字符串密文C1进行拼接，得到新的密文串H1；将得到的密文串H1与该用户名称一同存储到数据库模块中。

可选的，API网关接收用户前端发送的登录请求，对该登录请求进行验证，进一步包括：

API网关接收用户前端发送的登录请求，其中登录请求包含有用户名称和用户密码；

API网关根据该用户名称从数据库模块中提取与该用户名称对应的密文串H1，根据设定的第二组合规则S2反向拆分密文串H1得到随机数字符串A和字符串密文C1；将登录请求中的用户密码与随机数字符串A根据设定的第一组合规则S1进行拼接，得到新的字符串B2，并使用哈希函数处理新的字符串B2，得到字符串密文C2；将字符串密文C1和字符串密文C2进行比对，当字符串密文C1和字符串密文C2相同时，则输出验证通过，允许相应的用户登录服务治理模块。

可选的，该方法还包括：

针对个人用户，用户前端发送的登录请求中还包括由用户前端实时采集的人脸图像；

API网关在根据用户名称和用户密码进行验证后，还进一步根人脸图像进行验证，包括：

API网关对获取的人脸图像进行预处理，获取预处理后的人脸图像；

API网关对预处理后的人脸图像进行边缘检测，获取图像中的人脸部分；

API网关对获取的人脸部分的进行特征提取处理，获取人脸特征参数；

API网关根据获取的人脸特征参数和数据库中预存的与该用户名称对应的人脸特征参数进行比对，当二者的相似度高于设定的阈值时，输出验证通过结果，允许相应的用户登录服务治理模块。

本发明还示出基于微服务技术架构的数据安全管理系统，包括：API网关和服务治理模块，

API网关用于接收用户前端发送的登录请求，对该登录请求进行验证，当验证通过后允许用户登录服务治理模块；

服务治理模块分别与微服务架构中各微服务连接，用于接收用户发送的功能请求，服务治理模块对该功能请求对应的用户身份以及权限进行验证，在验证通过后将该功能请求转发至当前目标微服务；其中功能请求中包含了所需调用的一个或多个微服务信息以及相应的调用顺序；

服务治理模块还用于，当微服务根据该功能请求需要调用下一个微服务时，微服务将该功能请求发送到服务治理模块，服务治理模块对该功能请求相应的用户身份和权限进行验证，当验证通过后将该功能请求转发到下一个微服务。

本发明的有益效果为：本发明通过在API网关中对接入用户的登录请求进行验证，并在验证后将用户接入到服务治理模块，由服务治理模块根据用户的功能请求对用户进行身份和权限的验证，并在验证通过后协助用户根据功能请求调用或访问相应的微服务，有助于提高微服务架构的安全性。

附图说明

利用附图对本发明作进一步说明，但附图中的实施例不构成对本发明的任何限制，对于本领域的普通技术人员，在不付出创造性劳动的前提下，还可以根据以下附图获得其它的附图。

图1为本发明实施例所示基于微服务技术架构的数据安全管理方法流程图。

具体实施方式

结合以下应用场景对本发明作进一步描述。

参见图1实施例所示基于微服务技术架构的数据安全管理方法，包括：

API网关接收用户前端发送的登录请求，对该登录请求进行验证，当验证通过后允许用户登录服务治理模块；

服务治理模块接收用户发起的功能请求，服务治理模块对该功能请求发起用户的身份以及权限进行验证，在验证通过后将该功能请求转发至当前目标微服务；其中功能请求中包含了所需调用的一个或多个微服务信息以及相应的调用顺序；

当微服务根据该功能请求需要调用下一个微服务时，微服务将该功能请求发送到服务治理模块，由服务治理模块对该功能请求相应的用户身份和权限进行验证，当验证通过后将该功能请求转发到下一个微服务。

上述实施方式中，通过在API网关中对接入用户的登录请求进行验证，并在验证后将用户接入到服务治理模块，由服务治理模块根据用户的功能请求对用户进行身份和权限(如是否有访问权限，是否有调用权限等)的验证，并在验证通过后协助用户根据功能请求调用或访问相应的微服务，有助于提高微服务架构的安全性。

同时，针对功能请求中需要调用多个微服务的情况，在上一个微服务调用下一个微服务的过程中，服务治理模块还能够充当中间模块，由服务治理模块对功能请求做统一的微服务调用、分配、权限的管理，有助于统一实现各微服务对功能请求的鉴权操作，一方面能够减轻各微服务的针对用户身份的验证冗余。

一种场景中，针对面向公司内部的微服务环境，可能包含有OA系统、邮箱系统、财务录入系统、聊天系统等等。其中每个系统可以看做一个微服务，而通过采用本申请的微服务架构，通过API网关和服务治理模块对用户的身份进行鉴权，使得用户能够在登录一次后，能够访问微服务环境中的各种系统，同时也能够满足各系统对访问用户身份的验证需求，有助于减轻微服务架构的冗余性。

在微服务架构中，所有的外部用户请求都是先经过API网关，再由API网关发放请求至相应微服务的。API网关作为像整个微服务架构系统的门面，所有的外部客户端访问都需要经过它来进行调度和过滤。API网关可以是一个服务器，也可以是进入系统的唯一节点，负责服务请求路由、组合及协议转换。

可选的，该方法还包括：

管理模块对用户身份以及权限进行管理，并将用户的身份以及权限存储到数据库模块中；

当服务治理模块接收到用户发送的功能请求时，从数据库模块中获取与该用户身份对应的权限信息。

其中，微服务架构中，各微服务均以统一的用户身份数据库作为基础，对登入的用户进行鉴权和身份验证，而用户身份数据保存在数据库模块中。

同时，针对用户身份进行鉴权的技术问题，本申请还提出一种针对用户名称和用户密码进行鉴权的技术方案。

可选的，该方法还包括：API网关接收用户的注册请求，其中注册请求中包含用户名称以及相应的用户密码；

API网关根据接收到的用户密码，首先生成一个固定长度的随机数字符串A，并根据设定的第一组合规则S1将用户密码和随机数字符串A拼接成新的字符串B1，然后使用哈希函数处理新的字符串B1，得到字符串密文C1，并通过设定的第二组合规则S2将随机数字符串A和字符串密文C1进行拼接，得到新的密文串H1；将得到的密文串H1与该用户名称一同存储到数据库模块中。

可选的，API网关接收用户前端发送的登录请求，对该登录请求进行验证，进一步包括：

API网关接收用户前端发送的登录请求，其中登录请求包含有用户名称和用户密码；

API网关根据该用户名称从数据库模块中提取与该用户名称对应的密文串H1，根据设定的第二组合规则S2反向拆分密文串H1得到随机数字符串A和字符串密文C1；将登录请求中的用户密码与随机数字符串A根据设定的第一组合规则S1进行拼接，得到新的字符串B2，并使用哈希函数处理新的字符串B2，得到字符串密文C2；将字符串密文C1和字符串密文C2进行比对，当字符串密文C1和字符串密文C2相同时，则输出验证通过，允许相应的用户登录服务治理模块。

针对本发明提供的微服务技术架构的数据安全管理方法中，用户通过API网关成功登录后，便能够根据其权限调用任意的微服务来完成相应请求，而在具体调用某个微服务时，也是通过服务治理模块进行直接的调用，无需再对已登录的用户的身份进行再次的验证，即对已登录用户的完全信任。对此，本申请还提出一种基于API网关对包含人脸信息的用户登录请求验证的方法，以此提高API网关对用户身份验证的可靠性，以确保微服务系统的安全性和可靠性。

可选的，该方法还包括：

针对个人用户，用户前端发送的登录请求中还包括由用户前端实时采集的人脸图像；

API网关在根据用户名称和用户密码进行验证后，还进一步根人脸图像进行验证，包括：

API网关对获取的人脸图像进行预处理，获取预处理后的人脸图像；

API网关对预处理后的人脸图像进行边缘检测，获取图像中的人脸部分；

API网关对获取的人脸部分的进行特征提取处理，获取人脸特征参数；

API网关根据获取的人脸特征参数和数据库中预存的与该用户名称对应的人脸特征参数进行比对，当获取的人脸特征参数和数据库中预存的与该用户名称对应的人脸特征参数二者的相似度高于设定的阈值时，输出验证通过结果，允许相应的用户登录服务治理模块。

上述实施方式中，通过在API网关中设置图像处理模块，对用户前端发送的登录请求中的人脸图像进行识别处理，首先对该图像进行预处理，提高人脸图像的质量，然后根据获取的人脸图像提取其中的人脸部分，再根据获取的人脸部分进行特征提取，并以获取的人脸特征参数为依据，与该用户对应预存的人脸特征参数进行比对，输出相应的验证结果。相比于传统的采用用户密码进行验证的方式，上述针对个人用户的人脸图像验证技术方案，能够在密码验证的基础上，进一步引入用户的生物特征作为验证的标准，以提高API网关对用户鉴权的可靠性。

可选的，API网关对获取的人脸图像进行预处理，获取预处理后的人脸图像，包括：

对人脸图像进行灰度化处理，采用设定的分解尺度C和小波基函数对灰度化处理后的人脸图像进行小波包变换，获取该图像的小波包系数；

针对获取的小波包系数，采用小波包增强函数对其进行小波包系数增强处理，获取增强后的小波包系数；

根据增强后的小波包系数进行小波包逆变换，得到预处理后的人脸图像。

API网关中搭载有专门用于对人脸图像进行处理的图像处理模块，能够对接收到的人脸图像进行预处理。

可选的，其中针对获取的小波包系数，采用小波包增强函数对其进行小波包系数增强处理，具体包括：

针对每个分解尺度获取的小波包系数，当|b(c，g)|＞T_c时，其中b(c，g)表示第c个分解尺度第g个小波包系数，T_c表示设定的第c个分解尺度的阈值，则采用下列第一增强函数对小波包系数进行增强处理，获取增强处理后的小波包系数：

式中，

表示增强处理后的第c个分解尺度第g个小波包系数，β₁和β₂分别表示设定的调节因子，max(|b(c)|)和min(|b(c)|)分别表示第c个分解尺度中小波包系数绝对值的最大值和最小值；sgn(b(c，g))表示符号函数，当b(c，g)＞0时，sgn(b(c，g))＝1；当b(c，g)＝0时，sgn(b(c，g))＝0；当b(c，g)＜0时，sgn(b(c，g))＝-1；

当|b(c，g)|≤T_c时，则采用下列第二增强函数对小波包系数进行增强处理，获取增强处理后的小波包系数：

式中，

表示增强处理后的第c个分解尺度第g个小波包系数，γ表示设定的调节因子，其中γ越大，γ的增强效果越明显。

针对有用户前端采集的人脸图像可能会在传输的过程中收到噪声的干扰，从而影响API网关接收到的人脸图像的质量，进而影响基于该人脸图像进行用户身份鉴权准确度的问题，本申请上述实施方式中，提出了一种针对人脸图像进行预处理的技术方案，该方案中，基于API网关的图像处理模块GPU对获取的人脸图像进行预处理，并提供了一种基于小波包分解的改进的人脸图像预处理技术方案，能够根据获取的小波包系数进行增强处理，有效抑制人脸图像中存在的噪声干扰，提高人脸图像的质量，为后续基于人脸图像进行进一部的人脸特征参数提取以及用户身份验证奠定基础。

本发明还示出基于微服务技术架构的数据安全管理系统，包括：API网关和服务治理模块，

API网关用于接收用户前端发送的登录请求，对该登录请求进行验证，当验证通过后允许用户登录服务治理模块；

服务治理模块分别与微服务架构中各微服务连接，用于接收用户发送的功能请求，服务治理模块对该功能请求对应的用户身份以及权限进行验证，在验证通过后将该功能请求转发至当前目标微服务；其中功能请求中包含了所需调用的一个或多个微服务信息以及相应的调用顺序；

服务治理模块还用于，当微服务根据该功能请求需要调用下一个微服务时，微服务将该功能请求发送到服务治理模块，服务治理模块对该功能请求相应的用户身份和权限进行验证，当验证通过后将该功能请求转发到下一个微服务。

一种实施方式中，该系统还包括管理模块。

需要说明的是，本系统用于实现上述方法的功能，装置中各模块与上述方法步骤相对应，并能够实施上述方法中的不同实施方式，具体可参见上述关于方法的描述，这里不再详细叙述。

需要说明的是，在本发明各个实施例中的各功能单元/模块可以集成在一个处理单元/模块中，也可以是各个单元/模块单独物理存在，也可以是两个或两个以上单元/模块集成在一个单元/模块中。上述集成的单元/模块既可以采用硬件的形式实现，也可以采用软件功能单元/模块的形式实现。

通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解应当理解，可以以硬件、软件、固件、中间件、代码或其任何恰当组合来实现这里描述的实施例。对于硬件实现，处理器可以在一个或多个下列单元中实现：专用集成电路(ASIC)、数字信号处理器(DSP)、数字信号处理设备(DSPD)、可编程逻辑器件(PLD)、现场可编程门阵列(FPGA)、处理器、控制器、微控制器、微处理器、设计用于实现这里所描述功能的其他电子单元或其组合。对于软件实现，实施例的部分或全部流程可以通过计算机程序来指令相关的硬件来完成。实现时，可以将上述程序存储在计算机可读介质中或作为计算机可读介质上的一个或多个指令或代码进行传输。计算机可读介质包括计算机存储介质和通信介质，其中通信介质包括便于从一个地方向另一个地方传送计算机程序的任何介质。存储介质可以是计算机能够存取的任何可用介质。计算机可读介质可以包括但不限于RAM、ROM、EEPROM、CD-ROM或其他光盘存储、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质。

最后应当说明的是，以上实施例仅用以说明本发明的技术方案，而非对本发明保护范围的限制，尽管参照较佳实施例对本发明作了详细地说明，本领域的普通技术人员应当分析，可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明技术方案的实质和范围。

Claims (6)

1.基于微服务技术架构的数据安全管理方法，其特征在于，包括：

API网关接收用户前端发送的登录请求，对该登录请求进行验证，当验证通过后允许用户登录服务治理模块；

服务治理模块接收用户发起的功能请求，服务治理模块对该功能请求发起用户的身份以及权限进行验证，在验证通过后将该功能请求转发至当前目标微服务；其中功能请求中包含了需调用的一个或多个微服务信息以及相应的调用顺序；

当微服务根据该功能请求需要调用下一个微服务时，微服务将该功能请求发送到服务治理模块，由服务治理模块对该功能请求相应的用户身份和权限进行验证，当验证通过后将该功能请求转发到下一个微服务。

2.根据权利要求1所述的基于微服务技术架构的数据安全管理方法，其特征在于，还包括：

管理模块对所述用户的身份以及权限信息进行管理，并将用户的身份以及权限信息存储到数据库模块中；

当所述服务治理模块接收到用户发送的功能请求时，服务治理模块从数据库模块中获取与该用户对应的权限信息进行验证。

3.根据权利要求2所述的基于微服务技术架构的数据安全管理方法，其特征在于，还包括：所述API网关接收所述用户前端发送的注册请求，其中注册请求中包含用户名称以及相应的用户密码；

API网关根据接收到的用户密码，首先生成一个固定长度的随机数字符串A，并根据设定的第一组合规则S1将用户密码和随机数字符串A拼接成新的字符串B1，然后使用哈希函数处理新的字符串B1，得到字符串密文C1，并通过设定的第二组合规则S2将随机数字符串A和字符串密文C1进行拼接，得到新的密文串H1；将得到的密文串H1与该用户名称一同存储到所述数据库模块中。

4.根据权利要求3所述的基于微服务技术架构的数据安全管理方法，其特征在于，所述API网关接收所述用户前端发送的所述登录请求，对该登录请求进行验证，进一步包括：

API网关接收用户前端发送的登录请求，其中登录请求包含有用户名称和用户密码；

API网关根据该用户名称从所述数据库模块中提取与该用户名称对应的密文串H1，根据设定的第二组合规则S2反向拆分密文串H1得到随机数字符串A和字符串密文C1；将登录请求中的用户密码与随机数字符串A根据设定的第一组合规则S1进行拼接，得到新的字符串B2，并使用哈希函数处理新的字符串B2，得到字符串密文C2；将字符串密文C1和字符串密文C2进行比对，当字符串密文C1和字符串密文C2相同时，则输出验证通过，允许相应的用户登录所述服务治理模块。

5.根据权利要求4所述的基于微服务技术架构的数据安全管理方法，其特征在于，还包括：

针对个人用户，所述用户前端发送的登录请求中还包括由用户前端实时采集的人脸图像；

所述API网关在根据用户名称和用户密码进行验证后，还进一步根人脸图像进行验证，包括：

API网关对获取的人脸图像进行预处理，获取预处理后的人脸图像；

API网关对预处理后的人脸图像进行边缘检测，获取图像中的人脸部分；

API网关对获取的人脸部分的进行特征提取处理，获取人脸特征参数；

API网关根据获取的人脸特征参数和数据库中预存的与该用户名称对应的人脸特征参数进行比对，当二者的相似度高于设定的阈值时，输出验证通过结果，允许相应的用户登录所述服务治理模块。

6.基于微服务技术架构的数据安全管理系统，其特征在于，包括：API网关和服务治理模块，

API网关用于接收用户前端发送的登录请求，对该登录请求进行验证，当验证通过后允许用户登录服务治理模块；

服务治理模块分别与微服务架构中各微服务连接，用于接收用户发送的功能请求，服务治理模块对该功能请求对应的用户身份以及权限进行验证，在验证通过后将该功能请求转发至当前目标微服务；其中功能请求中包含了需调用的一个或多个微服务信息以及相应的调用顺序；

服务治理模块还用于，当微服务根据该功能请求需要调用下一个微服务时，微服务将该功能请求发送到服务治理模块，服务治理模块对该功能请求相应的用户身份和权限进行验证，当验证通过后将该功能请求转发到下一个微服务。

Images