CN112733178A - 基于数字证书认证的跨链信任方法、装置、设备以及介质 - Google Patents

Abstract

本申请实施例提供了一种基于数字证书认证的跨链信任方法、装置、设备以及介质，该方法涉及安全领域中的身份认证，包括：当资产授权用户的身份验证成功时，从证书授权节点处获取包含证书签名的被授权节点证书，获取资产授权用户为被授权节点签署的授权合同；将被授权节点证书和授权合同添加至被授权核心链，将其分配至被授权核心链对应的跨链网关；向跨链网关中的资产轻量节点发送针对资产授权用户的数据获取请求，以使资产轻量节点根据被授权节点证书和授权合同的数据验证结果，在资产核心链中获取资产授权用户的目标资产数据；通过跨链网关接收资产轻量节点返回的目标资产数据。采用本申请实施例，可以提高跨链信任传输中的授权验证效率。

Description

基于数字证书认证的跨链信任方法、装置、设备以及介质

本申请为在2020年11月23日提交中国专利局、申请号为202011316751.6、申请名称为“基于数字证书认证的跨链信任方法、装置、设备以及介质”的中国专利申请的分案申请，其全部内容通过引用结合在本申请中。

技术领域

本申请涉及区块链技术领域，尤其涉及一种基于数字证书认证的跨链信任方法、装置、设备以及介质。

背景技术

目前的区块链系统都是各成一体的，不同的区块链之间无法直接进行信息之间的交换，而在面对多应用的综合系统中，通常需要在不同区块链中进行信息交互，实现区块链与区块链之间数据的互联互通是急需解决的重点问题。

现有技术中，若应用方需要从多条区块链中获取与用户A相关联的数据，则应用方需要获取用户A的授权(即对应用方开放查看用户A的相关数据的权限)，由于应用方所在的区块链1与存储用户A相关数据的区块链2之间相互独立，因此可以在区块链1与区块链2之间通过第三方“连接器”(如公证人机制中由一组可行节点构成的公证人)进行数据传输；然而，在不同区块链的数据传输中，可能需要执行一系列的操作(如需要支持多重签名，并对多重签名进行验证)，造成数据传输中的授权验证效率过低。

发明内容

本申请实施例提供一种基于数字证书认证的跨链信任方法、装置、设备以及介质，可以提高跨链信任传输中的授权验证效率。

本申请实施例一方面提供了一种基于数字证书认证的跨链信任方法，包括：

当资产授权用户的身份验证成功时，获取资产授权用户对应的证书签名，向证书授权节点发送包含证书签名的证书颁发请求，以使证书授权节点根据证书颁发请求，为被授权节点颁发包含证书签名的被授权节点证书；

接收证书授权节点返回的被授权节点证书，获取资产授权用户为被授权节点签署的授权合同；授权合同包含资产授权用户对应的用户签名和被授权节点对应的第一节点签名；

将被授权节点证书和授权合同添加至被授权核心链，获取与被授权核心链相关联的跨链网关，将被授权节点证书和授权合同分配至跨链网关；

向跨链网关中的资产轻量节点发送针对资产授权用户的数据获取请求，以使资产轻量节点根据被授权节点证书和授权合同的数据验证结果，在资产轻量节点对应的资产核心链中，获取资产授权用户对应的目标资产数据；

通过跨链网关接收资产轻量节点返回的目标资产数据。

本申请实施例一方面提供了一种基于数字证书认证的跨链信任方法，包括：

接收被授权节点发送的针对资产授权用户的数据获取请求，根据数据获取请求获取被授权节点对应的被授权节点证书，以及资产授权用户为被授权节点签署的授权合同；被授权节点证书是指证书授权节点为被授权节点颁发的数字证书，被授权节点证书包含资产授权用户对应的证书签名，授权合同包含资产授权用户对应的用户签名和证书授权节点对应的第一节点签名；

根据证书签名、用户签名以及第一节点签名，获取被授权节点证书和授权合同对应的数据验证结果；

当数据验证结果为数据验证通过结果时，在资产轻量节点对应的资产核心链中，获取资产授权用户对应的目标资产数据；

通过资产轻量节点所属的跨链网关，向被授权节点返回目标资产数据。

本申请实施例一方面提供了一种基于数字证书认证的跨链信任装置，包括：

证书申请模块，用于当资产授权用户的身份验证成功时，获取资产授权用户对应的证书签名，向证书授权节点发送包含证书签名的证书颁发请求，以使证书授权节点根据证书颁发请求，为被授权节点颁发包含证书签名的被授权节点证书；

第一获取模块，用于接收证书授权节点返回的被授权节点证书，获取资产授权用户为被授权节点签署的授权合同；授权合同包含资产授权用户对应的用户签名和被授权节点对应的第一节点签名；

添加模块，用于将被授权节点证书和授权合同添加至被授权核心链，获取与被授权核心链相关联的跨链网关，将被授权节点证书和授权合同分配至跨链网关；

第一发送模块，用于向跨链网关中的资产轻量节点发送针对资产授权用户的数据获取请求，以使资产轻量节点根据被授权节点证书和授权合同的数据验证结果，在资产轻量节点对应的资产核心链中，获取资产授权用户对应的目标资产数据；

第一接收模块，用于通过跨链网关接收资产轻量节点返回的目标资产数据。

其中，该装置包括：

身份验证模块，用于接收资产授权用户的资产授权请求，根据资产授权请求获取与资产授权用户相关联的用户身份数据，对用户身份数据进行验证得到资产授权用户的身份验证结果；

身份确定模块，用于当身份验证结果为身份验证通过结果时，确定资产授权用户的身份验证成功；

上述身份确定模块，还用于当身份验证结果为身份验证未通过结果时，确定资产授权用户的身份验证失败。

其中，证书申请模块包括：

验证结果发送单元，用于当资产授权用户的身份验证成功时，向资产授权用户返回身份验证通过结果；

颁发请求生成单元，用于接收基于用户私钥所生成的证书签名，根据被授权节点对应的节点身份数据和证书签名生成证书颁发请求；用户私钥是指资产授权用户对应的私钥；

颁发请求发送单元，用于向证书授权节点发送证书颁发请求，以使证书授权节点根据节点身份信息和证书签名的验证结果，为被授权节点颁发包含证书签名的被授权节点证书。

其中，第一获取模块包括：

初始合同获取单元，用于获取资产授权用户为被授权节点签署的初始授权合同；初始授权合同包括授权数据类型和根据资产授权用户对应的用户私钥所生成的用户签名；

授权合同确定单元，用于根据被授权节点对应的第一节点私钥，生成初始授权合同对应的第一节点签名，将包含第一节点签名的初始授权合同确定为授权合同。

其中，添加模块包括：

共识处理单元，用于将被授权节点证书和授权合同封装为授权区块，将授权区块进行共识处理；

第一记账单元，用于当授权区块满足共识合法性条件时，将授权区块添加至被授权核心链；

分配单元，用于获取与被授权核心链相关联的跨链网关，将授权区块的区块头数据分配至跨链网关；区块头数据用于指示被授权节点证书和授权合同在被授权核心链中的存储位置。

其中，跨链网关的数量为至少两个；

分配单元具体用于：

获取与被授权核心链相关联的至少两个跨链网关，分别在至少两个跨链网关中确定被授权核心链对应的被授权轻量节点，将授权区块的区块头数据分配给被授权轻量节点。

本申请实施例一方面提供了一种基于数字证书认证的跨链信任装置，包括：

第二接收模块，用于接收被授权节点发送的针对资产授权用户的数据获取请求，根据数据获取请求获取被授权节点对应的被授权节点证书，以及资产授权用户为被授权节点签署的授权合同；被授权节点证书是指证书授权节点为被授权节点颁发的数字证书，被授权节点证书包含资产授权用户对应的证书签名，授权合同包含资产授权用户对应的用户签名和被授权节点对应的第一节点签名；

验证模块，用于根据证书签名、用户签名以及第一节点签名，获取被授权节点证书和授权合同对应的数据验证结果；

第二获取模块，用于当数据验证结果为数据验证通过结果时，在资产轻量节点对应的资产核心链中，获取资产授权用户对应的目标资产数据；

第二发送模块，用于通过资产轻量节点所属的跨链网关，向被授权节点返回目标资产数据。

其中，第二接收模块包括：

获取请求接收单元，用于接收被授权节点发送的针对资产授权用户的数据获取请求，根据数据获取请求，在资产轻量节点所在的跨链网关中确定被授权节点对应的被授权轻量节点；

授权合同获取单元，用于通过被授权轻量节点，在被授权节点对应的被授权核心链中获取被授权节点对应的被授权节点证书，以及资产授权用户为被授权节点签署的授权合同。

其中，验证模块包括：

证书获取单元，用于获取资产授权用户对应的授权用户证书，以及证书授权节点对应的根证书，在被授权节点证书中获取被授权节点对应的第一节点公钥，在根证书中获取证书授权节点的第二节点公钥；

用户公钥获取单元，用于若根据第二节点公钥检测到授权用户证书满足合法性条件，则在授权用户证书中获取资产授权用户的用户公钥；

第一合法性验证单元，用于根据用户公钥对证书签名进行合法性验证，生成证书签名对应的第一签名验证结果，根据第二节点公钥对被授权节点证书中所包含的第二节点签名进行合法性验证，生成第二节点签名对应的第二签名验证结果；第二节点签名为根据证书授权节点的第二节点私钥所生成的数字签名；

证书验证结果生成单元，用于根据第一签名验证结果和第二签名验证结果，生成被授权节点证书对应的数据验证结果；

第二合法性验证单元，用于根据第一节点公钥对第一节点签名进行合法性验证，生成第一节点签名对应的第三签名验证结果，根据用户公钥对用户签名进行合法性验证，生成用户签名对应的第四签名验证结果；

合同验证结果生成单元，用于根据第三签名验证结果和第四签名验证结果，生成授权合同对应的数据验证结果。

其中，第二获取模块包括：

第二记账单元，用于当数据验证结果为数据验证通过结果时，将被授权节点证书和授权合同添加至资产轻量节点对应的资产核心链；

数据查询单元，用于获取资产授权用户对应的用户标识，在资产核心链中查询与用户标识相匹配的候选资产数据；

数据选取单元，用于在授权合同中获取资产授权用户对应的授权数据类型，将属于授权数据类型的候选资产数据，确定为资产授权用户对应的目标资产数据。

本申请实施例一方面提供了一种计算机设备，包括存储器和处理器，存储器存储有计算机程序，计算机程序被处理器执行时，使得处理器执行本申请实施例中一方面中方法的步骤。

本申请实施例一方面提供了一种计算机可读存储介质，计算机可读存储介质存储有计算机程序，计算机程序包括程序指令，程序指令当被处理器执行时，执行如本申请实施例中一方面中方法的步骤。

根据本申请的一个方面，提供了一种计算机程序产品或计算机程序，该计算机程序产品或计算机程序包括计算机指令，该计算机指令存储在计算机可读存储介质中。计算机设备的处理器从计算机可读存储介质读取该计算机指令，处理器执行该计算机指令，使得该计算机设备执行上述一方面的各种可选方式中提供的方法。

本申请实施例可以向证书授权节点申请包含该证书签名的被授权节点证书，并获取资产授权用户为被授权节点签署的授权合同，该授权合同包含资产授权用户对应的用户签名以及被授权节点对应的第一节点签名，进而可以将被授权节点证书和授权合同添加至被授权核心链，将被授权节点证书和授权合同分配至与被授权核心链相关联的跨链网关；此时的被授权节点可以向跨链网关中的资产轻量节点发送针对资产授权用户的数据获取请求，以使资产轻量节点可以根据被授权节点证书和授权合同的数据验证结果，在资产轻量节点对应的资产数据链中获取资产授权用户的目标资产数据，通过跨链网关将该目标资产数据返回至被授权节点。可见，通过证书授权节点对被授权节点和授权合同进行权威认证，实现资产授权用户对被授权节点的资产授权，根据被授权节点和授权合同，被授权核心链和资产核心链之间可以通过跨链网关进行信任数据传输，可以提高跨链信任传输中的授权验证效率。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本申请实施例提供的一种网络架构的结构示意图；

图2是本申请实施例提供的一种基于数字证书认证的跨链信任示意图；

图3是本申请实施例提供的一种基于数字证书认证的跨链信任方法的时序示意图；

图4是本申请实施例提供的一种用户授权用户的身份验证示意图；

图5是本申请实施例提供的一种授权区块上链过程的示意图；

图6是本申请实施例提供的一种授权合同的验证示意图；

图7是本申请实施例提供的一种获取目标资产数据的示意图；

图8是本申请实施例提供的一种基于数字证书认证的跨链信任装置的结构示意图；

图9是本申请实施例提供的一种基于数字证书认证的跨链信任装置的结构示意图；

图10是本申请实施例提供的一种计算机设备的结构示意图；

图11是本申请实施例提供的一种计算机设备的结构示意图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

本申请实施例涉及区块链技术和云安全，区块链(block chain)是借由密码学串接并保护内容的串连文字记录(又称区块)。每一个区块包含了前一个区块的加密散列、相应时间戳记以及交易数据(通常用默克尔树(Merkle tree)算法计算的散列值表示)，这样的设计使得区块内容具有难以篡改的特性。用区块链技术所串接的分布式账本能让两方有效纪录交易，且可永久查验此交易。不同的区块链系统都是互相独立的，不同区块链之间不能直接进行信息交换。

云安全(Cloud Security)是指基于云计算商业模式应用的安全软件、硬件、用户、机构、安全云平台的总称。云安全融合了并行处理、网格计算、未知病毒行为判断等新兴技术和概念，通过网状的大量客户端对网络中软件行为的异常监测，获取互联网中木马、恶意程序的最新信息，并发送到服务端进行自动分析和处理，再把病毒和木马的解决方案分发到每一个客户端。

云安全主要研究方向包括：1、云计算安全，主要研究如何保障云自身及云上各种应用的安全，包括云计算机系统安全、用户数据的安全存储与隔离、用户接入认证、信息传输安全、网络攻击防护、合规审计等；2、安全基础设施的云化，主要研究如何采用云计算新建与整合安全基础设施资源，优化安全防护机制，包括通过云计算技术构建超大规模安全事件、信息采集与处理平台，实现对海量信息的采集与关联分析，提升全网安全事件把控能力及风险控制能力/3、云安全服务，主要研究各种基于云计算平台为用户提供的安全服务，如防病毒服务等。本申请实施例具体涉及云安全中的用户接入认证和信息传输安全，通过证书授权机构对数据获取方进行权威认证，以实现数据的安全传输。

本申请实施例还涉及以下几个概念：

证书授权节点：证书授权节点也称为证书授权机构，或者CA认证中心(Certifacate Authority)。证书授权节点是数字证书颁发和管理的权威机构，可以承担公钥体系中公钥的发行检验的责任。数字证书的颁发过程一般为：用户(可以理解为个人或企业终端设备、客户端等)可以在本地产生自己的密钥对，将密钥对中的公钥及部分个人身份信息传送给CA认证中心；CA认证中心在核实身份后，并确定请求确实由该用户所发送后，可以发给用户一个数字证书，该证书内包含用户的个人信息和公钥信息，同时还附有认证中心的签名信息。当该用户需要在区块链网络中与其余用户进行通信时，其余用户可以通过该用户的数字证书验证该用户的身份。

轻量节点(Simplified Payment Verification，SPV)：spv节点属于区块链当中支付验证体系中的一种，是为了适应简便、快速支付的验证手段，它不需要下载新区块所有数据，只需要保存区块头部数据，这些数据保存在默克尔树当中。spv节点可以将属于自己的数据保存在本地，方便读取。

跨链网关：跨链网关是一种网关装置，可以用于集成不同区块链的spv节点。通过跨链网关，可以实现不同链的数据资产的交换转移，本申请实施例中的跨链可以理解为至少两个独立的区块链系统进行互操作。

请参见图1，图1是本申请实施例提供的一种网络架构的结构示意图。如图1所示，该网络架构可以包括用户终端10a、服务器10b以及跨链网关10d。其中，用户终端10a可以为资产授权用户所使用的终端设备，服务器10b可以是资产授权用户所授权的被授权节点(可以理解为数据使用方)，该服务器10b所存储的区块链为被授权核心链10c；跨链网关10d可以包括轻量节点1和轻量节点2，该轻量节点1可以是指被授权核心链部署在跨链网关10d中的轻量节点，轻量节点2可以是指资产核心链10e部署在跨链网关10d中的轻量节点，该资产核心链10e存储有资产授权用户对应的资产数据，通过该跨链网关10d可以实现被授权核心链10c与资产核心链10e之间的数据传输。

其中，用户终端10a可以包括智能手机、平板电脑、笔记本电脑、台式计算机、掌上电脑、移动互联网设备(mobile internet device，MID)、可穿戴设备(例如智能手表、智能手环等)等，但并不局限于此。服务器10b可以是独立的物理服务器，也可以是多个物理服务器构成的服务器集群或者分布式系统，还可以是提供云服务、云数据库、云计算、云函数、云存储、网络服务、云通信、中间件服务、域名服务、安全服务、CDN、以及大数据和人工智能平台等基础云计算服务的云服务器。

在图1所示的网络架构中，资产授权用户对被授权节点进行数据授权时，需要证书授权节点对被授权节点进行身份鉴定，在鉴定无误后可以在资产授权用户为被授权节点签署的授权合同中进行签名，该证书授权节点的签名可以作为被授权节点鉴定通过的凭证。当被授权节点获得资产授权用户的数据授权之后，可以通过跨链网关10d向资产核心链10e发送数据获取请求，资产核心链10e在接收到数据获取请求后，可以对被授权节点的身份进行验证，即确认被授权节点是否真的具备获取资产授权用户相关数据的权限，如验证授权合同的合法性，验证通过后方可在资产核心链10e中获取数据，并通过跨链网关10d向被授权节点返回数据。

请一并参见图2，图2是本申请实施例提供的一种基于数字证书认证的跨链信任示意图。如图2所示，资产授权用户20a对被授权节点进行资产授权的过程中，资产授权用户20a可以向被授权节点发送资产授权请求，被授权节点在接收到资产授权用户20a发送的资产授权请求后，可以对资产授权用户20a进行身份验证，身份验证的手段包括但不限于：人脸核实身份，密码验证。与此同时，被授权节点还需要验证资产授权用户的私钥签名的合法性，若资产授权用户20a的身份没有问题，且私钥签名符合合法性条件，则可以向资产授权用户20a返回身份验证通过结果。

资产授权用户20a接收到被授权节点发送的身份验证通过结果后，可以为被授权节点生成证书签名以及授权合同，并将证书签名和授权合同发送至被授权节点，该授权合同可以包括资产授权用户20a使用自己的私钥所签署的用户签名，以及资产授权用户20a为被授权节点所授权的内容。被授权节点可以向证书授权机构20b发送携带上述证书签名的证书颁发请求，证书授权机构20b可以对被授权节点的身份信息、节点公钥以及证书签名进行核实，核实无误后可以为被授权节点颁发数字证书，被授权节点的数字证书可以称为被授权节点证书。可选的，被授权节点还可以将授权合同传输至证书权威机构20b，让证书权威机构20b作为第三方权威机构，为资产授权用户20a和被授权节点签订的授权合同进行认证，即最终有效的授权合同需要包括资产授权用户20a对应的用户签名以及证书授权机构20b对应的机构签名(也可以称为第一节点签名)。被授权节点可以将被授权节点证书和授权合同打包成授权区块添加至被授权核心链20c，该被授权核心链20c可以是指被授权节点所存储的区块链。

被授权核心链20c中添加了被授权节点证书和授权合同后，可以将被授权节点证书和授权合同分配至被授权核心链20c在各个跨链网关中的被授权轻量节点。如图2所示，与被授权核心链20c相关联的跨链网关可以包括：跨链网关20d、跨链网关20e以及跨链网关20f。其中，跨链网关20d中包括被授权核心链20c对应的轻量节点1和资产核心链1对应的轻量节点2，该跨链网关20d可以实现被授权核心链20c和资产核心链1之间的数据传输；跨链网关20e中包括被授权核心链20c对应的轻量节点3和资产核心链2对应的轻量节点4，该跨链网关20e可以实现被授权核心链20c和资产核心链2之间的数据传输；跨链网关20f中包括被授权核心链20c对应的轻量节点5和资产核心链3对应的轻量节点6，该跨链网关20f可以实现被授权核心链20c和资产核心链3之间的数据传输。换言之，资产授权用户20a的资产数据可以存储在不同的资产区块链中，如资产授权用户20a的社保数据存储在社保数据核心链中，资产授权用户20a的税务数据存储在税务数据核心链中；资产授权用户20a对被授权节点进行一次授权后，可以实现从多个资产核心链中获取资产授权用户20a对应的资产数据，可以减少授权次数。

当被授权节点需要从资产核心链1中获取资产授权用户20a的资产数据时，可以向资产核心链1对应的轻量节点2发送数据获取请求。轻量节点2在接收到被授权节点的数据获取请求后，可以通过跨链网关20d中的轻量节点1获取被授权节点对应的被授权节点证书和资产授权用户为被授权节点签署的授权合同。另外，轻量节点2可以从证书授权机构20b中获取根证书，以及资产授权用户20a对应的用户证书，该轻量节点2可以将根证书存储在本地，表明自己对证书权威机构20b是信任的。可以理解的是，用户证书是证书授权机构20b为资产授权用户20a颁发的数字证书，该用户证书可以包括证书授权机构20b的统一标识(ID)、资产授权用户的用户公钥以及证书授权机构的第一节点签名等信息；根证书可以是指证书授权机构使用自己的节点私钥对自己签署的数字证书。

轻量节点2可以从根证书中获取证书授权机构20b的机构公钥，通过该机构公钥对用户证书中所携带机构签名进行正确性验证，若用户证书中所携带的机构签名是正确的，则轻量节点2可以确定用户证书没有问题，并从用户证书中获取资产授权用户20a的用户公钥，使用该用户公钥对授权合同中所携带的用户签名进行正确性验证；同时，轻量节点2还可以使用证书授权机构20b的机构公钥对授权合同中所携带的机构签名进行正确性验证，若授权合同中的用户签名和机构签名均正确，则可以确定该授权合同通过验证。同理，轻量节点2可以使用资产授权用户20a的用户公钥，对被授权节点对应的被授权节点证书中所携带的证书签名进行正确性验证，使用证书授权机构20b的机构公钥，对被授权节点证书中的机构签名进行正确性验证，若被授权节点证书中所包含的证书签名和机构签名均正确，则可以确定该被授权节点证书通过验证。

当被授权节点证书和授权合同通过验证后，轻量节点2可以将被授权节点证书和授权合同打包成区块添加至资产核心链1，并在资产核心链1中查询与资产授权用户20a相关联的资产数据，并通过跨链网关20d将资产授权用户20a对应的资产数据返回至被授权节点。

基于上述相同的方式，被授权节点可以分别从资产核心链2和资产核心链3中获取资产授权用户20a对应的资产数据，进而实现被授权核心链20c与多条资产核心链之间的跨链信任传输，可以提高跨链信任传输中的授权验证效率。

请参见图3，图3是本申请实施例提供的一种基于数字证书认证的跨链信任方法的时序示意图。可以理解的是，该方法可以由被授权节点、证书授权节点以及资产轻量节点进行交互执行，被授权节点和资产轻量节点可以是不同区块链网络中的节点服务器，或者是不同区块链网络中的其他节点设备，证书授权节点可以负责数字证书的创建和颁发。如图3所示，该基于数字证书认证的跨链信任方法可以包括以下步骤：

步骤S101，当资产授权用户的身份验证成功时，获取资产授权用户对应的证书签名。

具体的，不同的区块链之间通常是不能直接进行信息交换的，需要在不同的区块链之间建立跨链网关，在该跨链网关中可以集成不同区块链的轻量节点，通过该跨链网关可以实现不同区块链的信息交换转移。本申请实施例对同一个跨链网关所集成的区块链的数量不做限定，下面以两个区块链为例，对不同区块链之间的信息交换转移(也可以理解为两个独立的区块链系统之间的信息交换转移)进行描述。区块链系统中的区块链节点想要通过跨链网关从另一个区块链系统的区块链中获取数字资产数据时，需要数字资产持有用户对其进行数据授权，授权成功的区块链节点才能跨链获取数字资产持有用户对应的资产数据，此时授权成功的区块链节点可以称为被授权节点，为区块链节点进行数据授权的数字资产持有用户可以称为资产授权用户(如上述图2所对应实施例中的资产授权用户20a)，资产授权用户可以是指个人用户，也可以是指法人用户(如企业用户)。

其中，资产授权用户向被授权节点进行数据授权时，可以向被授权节点发送资产授权请求，即被授权节点可以接收资产授权用户的资产授权请求，根据资产授权请求获取与资产授权用户相关联的用户身份数据，对用户身份数据进行验证以得到该资产授权用户的身份验证结果。被授权节点对资产授权用户的身份验证方式可以包括但不限于：人脸核身、支付验证；人脸核身可以是指被授权节点通过人脸识别来验证资产授权用户的身份，以确保资产授权用户为持有资产的用户，此时的人脸可以看成是资产授权用户的用户身份数据；支付验证可以是指被授权节点通过资产授权用户输入的支付密码来验证资产授权用户的身份，以确保资产授权用户为持有资产的用户，此时的支付密码可以看成是资产授权用户的用户身份数据；当然，被授权节点可以根据人脸核身和支付验证两种验证方式，对资产授权用户进行身份验证。当资产授权用户通过身份验证后，可以确定该资产授权用户的身份验证结果为身份验证通过结果，即资产授权用户身份验证成功，进而可以将身份验证通过结果返回给资产授权用户；当用户身份数据存在问题时，表示资产授权用户的身份验证结果为身份验证未通过结果，即资产授权用户的身份验证失败，可以将身份验证未通过结果返回给资产授权用户。

请一并参见图4，图4是本申请实施例提供的一种用户授权用户的身份验证示意图。如图4所示，资产授权用户可以通过用户终端30a向被授权节点30d发送资产授权请求，被授权节点30d在接收到用户终端30a发送的资产授权请求之后，可以获取针对资产授权用户的身份验证方式(例如，人脸核身验证方式)，并将该人脸核身验证方式返回至用户终端30a，在该用户终端30a的终端屏幕中可以显示人脸验证框30b。资产授权用户可以将人脸对准用户终端30a中的人脸验证框30b，并跟随指示执行相应的动作(例如，摇头、点头、眨眼等动作)，用户终端30a可以实时采集人脸验证框30b中的待验证人脸图像30c，并将实时采集到的待验证人脸图像30c发送至被授权节点30d。

被授权节点30d可以获取用户终端30a发送的待验证人脸图像30c，并获取资产授权用户的证件人脸图像30d，该证件人脸图像30d可以是指资产授权用户预先上传的用于表征真实身份的证件中的图像。被授权节点30d可以将待验证人脸图像30c与证件人脸图像30d进行相似度比较，当待验证人脸图像30c与证件人脸图像30d之间的相似度大于或等于相似度阈值(例如，相似度阈值可以设置为90％)时，可以确定资产授权用户的人脸核身合法；当待验证人脸图像30c与证件人脸图像30d之间的相似度小于相似度阈值时，可以确定资产授权用户的人脸核身非法，进而可以确定资产授权用户的身份验证结果为身份验证未通过结果，并向用户终端30a发送身份有误的提示信息。可选的，被授权节点30d还可以预先设置资产授权用户的有效验证时长，若资产授权用户的实际验证时长大于有效验证时长，则可以确定资产授权用户的身份验证结果为身份验证未通过结果，向用户终端30a发送身份有误的提示信息，此时的资产授权用户需要重新进行人脸核身验证，直至通过身份验证；若资产授权用户的实际验证时长小于或等于有效验证时长，且人脸核身合法，则可以确定资产授权用户的身份验证结果为身份验证通过结果，进而可以向用户终端30a返回身份无误的提示信息。

进一步地，当资产授权用户接收到被授权节点返回的身份验证结果为身份验证未通过结果时，可以向被授权节点重新上传用户身份信息进行身份验证；当资产授权用户接收到被授权节点返回的身份验证结果为身份验证通过结果时，可以使用自己的用户私钥生成证书签名，并将证书签名发送至被授权节点。

步骤S102，发送包含证书签名的证书颁发请求。

具体的，被授权节点在接收到资产授权用户发送的证书签名后，可以在本地生成一个密钥对(包括被授权节点对应的第一节点公钥和第一节点私钥)；被授权节点可以将第一节点公钥分配给其余节点(例如，被授权节点所属区块链中的区块链节点)，第一节点私钥可以由自己保管。被授权节点可以使用第一节点私钥对自己的节点身份数据进行签名，并将签名后的节点身份数据、证书签名以及第一节点公钥发送至证书授权节点，同时向证书节点证书发送证书颁发请求，以请求该证书授权节点为其创建并颁发数字证书，其中，该节点身份信息可以包括被授权节点的名称、编号等信息。

步骤S103，根据证书颁发请求，为被授权节点颁发包含证书签名的被授权节点证书。

具体的，证书授权节点在接收到被授权节点发送的证书颁发请求后，可以根据第一节点公钥对签名后的节点身份数据进行解密，并核实被授权节点的节点身份数据的有效性，同时，证书授权节点还可以获取资产授权用户的用户公钥，根据用户公钥对证书签名进行正确性验证，当证书授权节点检测到节点身份数据、第一节点公钥以及证书签名均没有问题时，可以为被授权节点颁发数字证书(即被授权节点证书)。换言之，证书授权节点为被授权节点颁发被授权节点证书的前提条件是：资产授权用户和被授权节点均通过证书授权节点的鉴定，资产授权用户对应的证书签名、被授权节点的节点身份信息以及被授权节点的第一节点公钥均没有问题时，表示资产授权用户和被授权节点都获得了证书授权节点的信任。

需要说明的是，证书授权节点所颁发的数字证书中的证书内容可以包括但不限于：对象名称(Subject Name)、证书颁发者(Issuer Name)、签名算法(SignatureAlgorithm)、序列号(Serial Number)、生效期(Not Valid Before)、失效期(Not ValidAfter)、公钥(Public Key)、签名(Signature)。其中，对象名称可以用于识别数字证书的信息；证书颁发者为发布并签署该数字证书的实体的信息；签名算法可以是指数字证书中的签名所使用的算法；序列号可以是指证书授权节点分配给数字证书的唯一标识，一个数字证书对应一个序列号；公钥可以是指数字证书持有者可公开的密钥；签名是指通过签名算法计算证书内容后得到的数据，可以用于验证数字证书是否被篡改。对于上述被授权节点证书而言，对象名称可以是指被授权节点的名称或编号(ID)，证书颁发者可以为证书授权节点的名称或者编号，公钥可以是指被授权节点对应的第一节点公钥，签名可以包括证书授权节点使用自己的私钥(可以称为第二节点私钥)为证书内容所生成的签名，以及资产授权用户使用自己的用户私钥为证书内容生成的证书签名。

可选的，资产授权用户在收到身份验证通过结果后，可以向被授权节点申请为被授权节点证书进行签名，资产授权用户可以首先对被授权用户进行签名以生成证书签名，随后由被授权节点向证书授权节点发送携带证书签名的证书颁发请求，以获取包含证书签名和证书授权节点签名的被授权节点证书；或者被授权节点可以先从证书授权节点处获取被授权节点证书，进而获取资产授权用户根据用户私钥为被授权节点证书所生成的证书签名，使得最终得到的被授权节点证书包括上述证书签名和证书授权节点的数字签名。

步骤S104，返回被授权节点证书。

具体的，证书授权节点可以将被授权节点证书返回给被授权节点，被授权节点在接收到被授权节点证书后，可以使用被授权节点证书来证明自己身份的合法性。

步骤S105，获取资产授权用户为被授权节点签署的授权合同；授权合同包含资产授权用户对应的用户签名和被授权节点对应的第一节点签名。

具体的，在资产授权用户通过身份验证，且该资产授权用户为被授权节点证书生成证书签名之后，表明资产授权用户和被授权节点双方均认可了对方的身份，此时的资产授权用户可以为被授权节点签署初始授权合同，即被授权节点可以从资产授权用户处获取初始授权合同，该初始授权合同可以包括授权数据类型(也可以称为授权数据项，如税务数据类型、证券数据类型等)和资产授权用户根据用户私钥所生成的用户签名。被授权节点可以对接收到的初始授权合同进行验证(包括初始授权合同的验签和授权数据项的合法性等)，当初始授权合同在传输过程中没有发生篡改，且该初始授权合同中的授权数据类型合法时，被授权节点可以使用第一节点私钥对初始授权合同进行签名以生成第一节点签名，将包含第一节点签名的初始授权合同确定为最终的授权合同。可以理解的是，授权合同还可以包括合同ID，该合同ID可以用于唯一标识授权合同。

可选的，以企业征信领域为例，企业A可以作为数字资产持有者，即是资产授权用户，企业征信应用作为企业数字资产的使用者，即是被授权节点。企业征信应用可以对企业A进行身份验证，以确保该企业A为真实持有数字资产且具有授权权限的企业，在企业A通过身份验证后，企业A可以为企业征信应用的数字证书进行证书签名，并为企业征信应用签署初始授权合同，该初始授权合同可以包括授权数据类型(例如，企业开户账号、资产负债表、损益表、税务数据、社保数据等)和企业签名；企业征信应用在获取到初始授权合同，并对该初始授权合同进行核实后，可以为初始授权合同进行签名，作为企业和企业征信应用双方的最终授权合同。

步骤S106，将被授权节点证书和授权合同添加至被授权核心链，获取与被授权核心链相关联的跨链网关，将被授权节点证书和授权合同分配至跨链网关。

具体的，被授权节点可以将被授权节点证书和授权合同封装为授权区块，将授权区块进行共识处理，当该授权区块满足共识合法性条件时，将该授权区块添加至被授权核心链，获取与该被授权核心链相关联的跨链网关，将授权区块的区块头数据分配至该跨链网关，其中，区块头数据用于指示被授权节点证书和授权合同在被授权核心链中的存储位置。被授权节点将被授权节点证书和授权合同封装为授权区块后，将在被授权节点所属的区块链系统中对该授权区块进行广播，当授权区块在被授权节点所属的区块链系统中达成共识时(如被授权节点所属的区块链系统中存在超过2/3的区块链节点通过了授权区块的验证)，可以将该授权区块写入被授权核心链中，此处的被授权核心链可以理解为被授权节点所属的区块链系统共同维护的区块链。

可选的，被授权节点证书和授权合同可以是被授权节点在不同时间获得的，因此被授权节点证书和授权合同可以分别封装成区块，并写入被授权核心链中。换言之，被授权节点证书和授权合同可以封装进同一个区块写入被授权核心链中，也可以封装进不同的区块写入被授权核心链中。

可选的，与被授权核心链相关联的跨链网关可以为一个或者多个，每个跨链网关均可以包括被授权核心链与其余区块链所对应的轻量节点，即可以获取与被授权核心链相关联的至少两个跨链网关，分别在至少两个跨链网关中确定被授权核心链对应的被授权轻量节点，并将授权区块的区块头数据分配给被授权轻量节点。换言之，将被授权节点证书和授权合同写入被授权核心链后，该授权核心链部署在各个跨链网关中的被授权轻量节点均可以获取被授权节点证书和授权合同。

请一并参见图5，图5是本申请实施例提供的一种授权区块上链过程的示意图。如图5所示，被授权节点40a在获得被授权节点证书和授权合同后，可以将被授权节点证书和授权合同分别作为交易封装进授权区块40b中，被授权节点40a可以在自身所在的区块链系统中，对授权区块40b进行广播，以使该区块链系统中的共识节点对该授权节点40b进行共识处理。当授权区块40b在该区块链系统中达成共识后，可以将授权区块40b添加至被授权核心链40c。

在授权区块40b添加至被授权核心链40c后，可以将授权区块40b中所存储的被授权节点证书和授权合同，清分至被授权核心链40c部署在各跨链网关中的轻量节点。如图5所示，被授权核心链40c可以分别与资产核心链1、资产核心链2、资产核心链3以及资产核心链4建立跨链网关，被授权核心链40c可以在跨链网关40d中部署轻量节点1，资产核心链1可以在跨链网关40d中部署轻量节点2，被授权核心链40c和资产核心链1可以通过跨链网关40d进行数据传输；被授权核心链40c可以在跨链网关40e中部署轻量节点3，资产核心链2可以在跨链网关40e中部署轻量节点4，被授权核心链40c和资产核心链2可以通过跨链网关40e进行数据传输；被授权核心链40c可以在跨链网关40f中部署轻量节点5，资产核心链3可以在跨链网关40f中部署轻量节点6，被授权核心链40c和资产核心链3可以通过跨链网关40f进行数据传输；被授权核心链40c可以在跨链网关40g中部署轻量节点7，资产核心链4可以在跨链网关40g中部署轻量节点8，被授权核心链40c和资产核心链4可以通过跨链网关40g进行数据传输。其中，轻量节点1、轻量节点3、轻量节点5以及轻量节点7可以称为被授权轻量节点，轻量节点2、轻量节点4、轻量节点6以及轻量节点8可以称为资产轻量节点。

步骤S107，发送针对资产授权用户的数据获取请求。

具体的，被授权节点将被授权节点证书和授权合同添加至被授权核心链后，可以通过跨链网关向资产核心链获取与资产授权用户相关联的目标资产数据。当被授权节点想要从资产核心链中获取目标资产数据时，被授权节点可以向资产核心链部署在跨链网关中的资产轻量节点发送针对资产授权用户的数据获取请求，该数据获取请求用于指示在资产核心链中获取与资产授权用户相关联的目标资产数据。

步骤S108，获取被授权节点证书和授权合同，根据证书签名、用户签名以及第一节点签名，获取被授权节点证书和授权合同对应的数据验证结果。

具体的，资产轻量节点在接收到被授权节点发送的数据获取请求后，可以根据数据获取请求，在资产轻量节点所在的跨链网关中确定被授权节点对应的被授权轻量节点；通过被授权轻量节点在被授权节点对应的被授权核心链中获取被授权节点对应的被授权节点证书，以及资产授权用户为被授权节点签署的授权合同。换言之，资产轻量节点可以通过被授权核心链对应的被授权轻量节点，获取被授权节点对应的被授权节点证书和资产授权用户为被授权节点签署的授权合同。

进一步地，资产轻量节点可以获取资产授权用户对应的授权用户证书，以及证书授权节点对应的根证书，在被授权节点证书中获取被授权节点对应的第一节点公钥，在根证书中获取证书授权节点的第二节点公钥；若根据第二节点公钥检测到授权用户证书满足合法性条件，则在授权用户证书中获取资产授权用户的用户公钥；根据用户公钥对证书签名进行合法性验证，生成证书签名对应的第一签名验证结果，根据第二节点公钥对被授权节点证书中所携带的第二节点签名进行合法性验证，生成第二节点签名对应的第二签名验证结果；第二节点签名为根据证书授权节点的第二节点私钥所生成的数字签名；根据第一签名验证结果和第二签名验证结果，生成被授权节点证书对应的数据验证结果；根据第一节点公钥对第一节点签名进行合法性验证，生成第一节点签名对应的第三签名验证结果，根据用户公钥对用户签名进行合法性验证，生成用户签名对应的第四签名验证结果；根据第三签名验证结果和第四签名验证结果，生成授权合同对应的数据验证结果。

可以理解地，被授权节点证书可以携带资产授权用户签署的证书签名和证书授权节点的签名(可以称为第二节点签名)，授权合同可以携带资产授权用户的用户签名和被授权节点的第一节点签名，在对被授权节点证书和授权合同的验证过程中，需要对证书签名、第二节点签名、用户签名以及第一节点签名进行正确性验证，当然，还可以对被授权节点证书的证书序列号、有效期限等证书内容进行验证。若被授权节点证书中所携带的证书签名和第二节点签名均正确，且被授权节点证书中的证书内容均无误，则可以确定被授权节点证书的数据验证结果为数据验证通过结果；若被授权节点证书中所携带的证书签名和第二节点签名任一个存在问题，则可以确定被授权节点证书的数据验证结果为数据验证未通过结果。若授权合同中所携带的用户签名和第一节点签名均正确，则可以确定授权合同的数据验证结果为数据验证通过结果；若授权合同中所携带的用户签名和第一节点签名任一个存在错误，则可以确定授权合同的数据验证结果为数据验证未通过结果。

请一并参见图6，图6是本申请实施例提供的一种授权合同的验证示意图。如图6所示，资产轻量节点可以从证书授权节点获取根证书50a，并获取资产授权用户对应的授权用户证书，该根证书50a可以包括证书授权节点名称、证书授权节点公钥(可以称为第二公钥)以及数字签名1等信息，该数字签名1为证书授权节点的自签名；授权用户证书50b可以包括证书编号、资产授权用户标识、资产授权用户公钥(可以称为用户公钥)以及证书授权节点签名(可以称为第二节点签名)等信息，资产授权用户标识可以是指证书授权节点为资产授权用户统一分配的编号；授权合同50c可以包括合同标识、授权数据项、被授权节点签名(可以称为第一节点签名)以及资产授权用户签名(可以称为用户签名)等信息，授权数据项可以是指资产授权用户为被授权节点所授权的数据类型。

资产轻量节点可以使用根证书50a中的证书授权节点公钥，对授权用户证书50b中的证书授权节点签名进行合法性验证，证书授权节点签名验证通过后，可以使用授权用户证书50b中的资产授权用户公钥，对授权合同50c中的资产授权用户签名进行合法性验证，资产授权用户签名验证通过后，资产轻量节点可以使用被授权节点的第一节点公钥，对授权合同50c中的被授权节点签名进行合法性验证。当被授权节点签名和资产授权用户签名均通过验证时，可以确定授权合同50c的数据验证结果为数据验证通过结果。

步骤S109，当数据验证结果为数据验证通过结果时，在资产轻量节点对应的资产核心链中，获取资产授权用户对应的目标资产数据。

具体的，当数据验证结果为数据验证通过结果时，资产轻量节点可以将被授权节点证书和授权合同添加至资产轻量节点对应的资产核心链；与此同时，资产轻量节点可以获取资产授权用户对应的用户标识(也可以称为资产授权用户标识)，在资产核心链中查询与用户标识相匹配的候选资产数据，进而在授权合同中获取资产授权用户对应的授权数据类型，将属于授权数据类型的候选资产数据，确定为资产授权用户对应的目标资产数据。例如，在企业征信领域中，用户标识可以是指企业(资产授权用户)的纳税识别号，也可以为其余编号，通过纳税识别号在资产核心链中查询与企业相关联的税务数据。

步骤S110，通过资产轻量节点所属的跨链网关返回目标资产数据。

具体的，资产轻量节点可以通过跨链网关，向被授权节点返回资产授权用户对应的目标资产数据。可以理解地，被授权节点可以从多个资产核心链中获取与资产授权用户相关联的不同类型的目标资产数据。

举例来说，以企业征信领域为例，企业A可以作为数字资产持有者，即是资产授权用户，企业征信应用作为企业数字资产的使用者，即是被授权节点。企业征信应用可以通过跨链网关从社保数据核心链、税务数据核心链以及金融数据核心链等区块链中，获取企业A对应的不同类型的数据；根据不同类型的数据，可以评估企业A的征信情况。

请一并参见图7，图7是本申请实施例提供的一种获取目标资产数据的示意图。如图7所示，被授权节点60a可以通过跨链网关60b向资产轻量节点发送数据获取请求，资产轻量节点在接收到数据获取请求之后，可以从跨链网关60b中的被授权轻量节点处获取被授权节点证书和授权合同，进而可以对被授权节点证书和授权合同进行验证，若被授权节点证书和授权合同验证通过，则可以将授权节点证书和授权合同打包成授权区块进行上链，并从资产轻量节点对应的资产核心链60c中查询与资产授权用户相关联的目标资产数据，通过跨链网关60b将目标资产数据返回至被授权节点60a；若被授权节点证书和授权合同验证未通过，则向被授权节点返回数据获取失败的提示信息。

本申请实施例中，可以通过证书授权节点对被授权节点和授权合同进行权威认证，实现资产授权用户对被授权节点的资产授权，根据被授权节点和授权合同，被授权核心链和资产核心链之间可以通过跨链网关进行信任数据传输，可以提高跨链信任传输中的授权验证效率；资产授权用户对被授权节点进行数据授权，达到一次授权，多个资产核心链使用的目的，可以提高授权效率。

请参见图8，图8是本申请实施例提供的一种基于数字证书认证的跨链信任装置的结构示意图。该基于数字证书认证的跨链信任装置可以是运行于被授权节点中的一个计算机程序(包括程序代码)，该装置可以用于执行图3所对应实施例提供的方法中的相应步骤。如图8所示，基于数字证书认证的跨链信任装置1可以包括：证书申请模块11，第一获取模块12，添加模块13，第一发送模块14，第一接收模块15；

证书申请模块11，用于当资产授权用户的身份验证成功时，获取资产授权用户对应的证书签名，向证书授权节点发送包含证书签名的证书颁发请求，以使证书授权节点根据证书颁发请求，为被授权节点颁发包含证书签名的被授权节点证书；

第一获取模块12，用于接收证书授权节点返回的被授权节点证书，获取资产授权用户为被授权节点签署的授权合同；授权合同包含资产授权用户对应的用户签名和被授权节点对应的第一节点签名；

添加模块13，用于将被授权节点证书和授权合同添加至被授权核心链，获取与被授权核心链相关联的跨链网关，将被授权节点证书和授权合同分配至跨链网关；

第一发送模块14，用于向跨链网关中的资产轻量节点发送针对资产授权用户的数据获取请求，以使资产轻量节点根据被授权节点证书和授权合同的数据验证结果，在资产轻量节点对应的资产核心链中，获取资产授权用户对应的目标资产数据；

第一接收模块15，用于通过跨链网关接收资产轻量节点返回的目标资产数据。

其中，证书申请模块11，第一获取模块12，添加模块13，第一发送模块14，第一接收模块15的具体功能实现方式可以参见上述图3所对应实施例中的步骤S101-步骤S107以及步骤S110，这里不再进行赘述。

请一并参见图8，基于数字证书认证的跨链信任装置1还可以包括：用户身份验证模块16，身份确定模块17；

用户身份验证模块16，用于接收资产授权用户的资产授权请求，根据资产授权请求获取与资产授权用户相关联的用户身份数据，对用户身份数据进行验证得到资产授权用户的身份验证结果；

身份确定模块17，用于当身份验证结果为身份验证通过结果时，确定资产授权用户的身份验证成功；

上述身份确定模块17，还用于当身份验证结果为身份验证未通过结果时，确定资产授权用户的身份验证失败。

其中，用户身份验证模块16，身份确定模块17的具体功能实现方式可以参见上述图3所对应实施例中的步骤S101，这里不再进行赘述。

请一并参见图8，证书申请模块11可以包括：验证结果发送单元111，颁发请求生成单元112，颁发请求发送单元113；

验证结果发送单元111，用于当资产授权用户的身份验证成功时，向资产授权用户返回身份验证通过结果；

颁发请求生成子单元112，用于接收基于用户私钥所生成的证书签名，根据被授权节点对应的节点身份数据和证书签名生成证书颁发请求；用户私钥是指资产授权用户对应的私钥；

颁发请求发送单元113，用于向证书授权节点发送证书颁发请求，以使证书授权节点根据节点身份信息和证书签名的验证结果，为被授权节点颁发包含证书签名的被授权节点证书。

其中，验证结果发送单元111，颁发请求生成单元112，颁发请求发送单元113的具体功能实现方式可以参见上述图3所对应实施例中的步骤S102-步骤S104，这里不再进行赘述。

请一并参见图8，第一获取模块12可以包括：初始合同获取单元121，授权合同确定单元122；

初始合同获取单元121，用于获取资产授权用户为被授权节点签署的初始授权合同；初始授权合同包括授权数据类型和资产授权用户根据用户私钥生成的用户签名；

授权合同确定单元122，用于根据被授权节点对应的第一节点私钥，生成初始授权合同对应的第一节点签名，将包含第一节点签名的初始授权合同确定为授权合同。

其中，初始合同获取单元121，授权合同确定单元122的具体功能实现方式可以参见上述图3所对应实施例中的步骤S105，这里不再进行赘述。

请一并参见图8，添加模块13可以包括：共识处理单元131，第一记账单元132，分配单元133；

共识处理单元131，用于将被授权节点证书和授权合同封装为授权区块，将授权区块进行共识处理；

第一记账单元132，用于当授权区块满足共识合法性条件时，将授权区块添加至被授权核心链；

分配单元133，用于获取与被授权核心链相关联的跨链网关，将授权区块的区块头数据分配至跨链网关；区块头数据用于指示被授权节点证书和授权合同在被授权核心链中的存储位置。

其中，跨链网关的数量为至少两个；

分配单元133可以具体用于：

获取与被授权核心链相关联的至少两个跨链网关，分别在至少两个跨链网关中确定被授权核心链对应的被授权轻量节点，将授权区块的区块头数据分配给被授权轻量节点。

其中，共识处理单元131，第一记账单元132，分配单元133的具体功能实现方式可以参见上述图3所对应实施例中的步骤S106，这里不再进行赘述。

本申请实施例中，可以通过证书授权节点对被授权节点和授权合同进行权威认证，实现资产授权用户对被授权节点的资产授权，根据被授权节点和授权合同，被授权核心链和资产核心链之间可以通过跨链网关进行信任数据传输，可以提高跨链信任传输中的授权验证效率；资产授权用户对被授权节点进行数据授权，达到一次授权，多个资产核心链使用的目的，可以提高授权效率。

请参见图9，图9是本申请实施例提供的一种基于数字证书认证的跨链信任装置的结构示意图。该基于数字证书认证的跨链信任装置可以是运行于资产轻量节点中的一个计算机程序(包括程序代码)，该装置可以用于执行图3所对应实施例提供的方法中的相应步骤。如图9所示，基于数字证书认证的跨链信任装置2可以包括：第二接收模块21，验证模块22，第二获取模块23，第二发送模块24；

第二接收模块21，用于接收被授权节点发送的针对资产授权用户的数据获取请求，根据数据获取请求获取被授权节点对应的被授权节点证书，以及资产授权用户为被授权节点签署的授权合同；被授权节点证书是指证书授权节点为被授权节点颁发的数字证书，被授权节点证书包含资产授权用户对应的证书签名，授权合同包含资产授权用户对应的用户签名和被授权节点对应的第一节点签名；

验证模块22，用于根据证书签名、用户签名以及第一节点签名，获取被授权节点证书和授权合同对应的数据验证结果；

第二获取模块23，用于当数据验证结果为数据验证通过结果时，在资产轻量节点对应的资产核心链中，获取资产授权用户对应的目标资产数据；

第二发送模块24，用于通过资产轻量节点所属的跨链网关，向被授权节点返回目标资产数据。

其中，第二接收模块21，验证模块22，第二获取模块23，第二发送模块24的具体功能实现方式可以参见上述图3所对应实施例中的步骤S107-步骤S110，这里不再进行赘述。

请一并参见图9，第二接收模块21可以包括：获取请求接收单元211，授权合同获取单元212；

获取请求接收单元211，用于接收被授权节点发送的针对资产授权用户的数据获取请求，根据数据获取请求，在资产轻量节点所在的跨链网关中确定被授权节点对应的被授权轻量节点；

授权合同获取单元212，用于通过被授权轻量节点，在被授权节点对应的被授权核心链中获取被授权节点对应的被授权节点证书，以及资产授权用户为被授权节点签署的授权合同。

其中，获取请求接收单元211，授权合同获取单元212的具体功能实现方式可以参见上述图3所对应实施例中的步骤S108，这里不再进行赘述。

请一并参见图9，验证模块22可以包括：证书获取单元221，用户公钥获取单元222，第一合法性验证单元223，证书验证结果生成单元224，第二合法性验证单元225，合同验证结果生成单元226；

证书获取单元221，用于获取资产授权用户对应的授权用户证书，以及证书授权节点对应的根证书，在被授权节点证书中获取被授权节点对应的第一节点公钥，在根证书中获取证书授权节点的第二节点公钥；

用户公钥获取单元222，用于若根据第二节点公钥检测到授权用户证书满足合法性条件，则在授权用户证书中获取资产授权用户的用户公钥；

第一合法性验证单元223，用于根据用户公钥对证书签名进行合法性验证，生成证书签名对应的第一签名验证结果，根据第二节点公钥对被授权节点证书中所包含的第二节点签名进行合法性验证，生成第二节点签名对应的第二签名验证结果；第二节点签名为根据证书授权节点的第二节点私钥所生成的数字签名；

证书验证结果生成单元224，用于根据第一签名验证结果和第二签名验证结果，生成被授权节点证书对应的数据验证结果；

第二合法性验证单元225，用于根据第一节点公钥对第一节点签名进行合法性验证，生成第一节点签名对应的第三签名验证结果，根据用户公钥对用户签名进行合法性验证，生成用户签名对应的第四签名验证结果；

合同验证结果生成单元226，用于根据第三签名验证结果和第四签名验证结果，生成授权合同对应的数据验证结果。

其中，证书获取单元221，用户公钥获取单元222，第一合法性验证单元223，证书验证结果生成单元224，第二合法性验证单元225，合同验证结果生成单元226的具体功能实现方式可以参见上述图3所对应实施例中的步骤S108，这里不再进行赘述。

请一并参见图9，第二获取模块23可以包括：第二记账单元231，数据查询单元232，数据选取单元233；

第二记账单元231，用于当数据验证结果为数据验证通过结果时，将被授权节点证书和授权合同添加至资产轻量节点对应的资产核心链；

数据查询单元232，用于获取资产授权用户对应的用户标识，在资产核心链中查询与用户标识相匹配的候选资产数据；

数据选取单元233，用于在授权合同中获取资产授权用户对应的授权数据类型，将属于授权数据类型的候选资产数据，确定为资产授权用户对应的目标资产数据。

其中，第二记账单元231，数据查询单元232，数据选取单元233的具体功能实现方式可以参见上述图3所对应实施例中的步骤S109，这里不再进行赘述。

本申请实施例中，可以通过证书授权节点对被授权节点和授权合同进行权威认证，实现资产授权用户对被授权节点的资产授权，根据被授权节点和授权合同，被授权核心链和资产核心链之间可以通过跨链网关进行信任数据传输，可以提高跨链信任传输中的授权验证效率；资产授权用户对被授权节点进行数据授权，达到一次授权，多个资产核心链使用的目的，可以提高授权效率。

请参见图10，图10是本申请实施例提供的一种计算机设备的结构示意图。如图10所示，该计算机设备1000可以包括：处理器1001，网络接口1004和存储器1005，此外，上述计算机设备1000还可以包括：用户接口1003，和至少一个通信总线1002。其中，通信总线1002用于实现这些组件之间的连接通信。其中，用户接口1003可以包括显示屏(Display)、键盘(Keyboard)，可选用户接口1003还可以包括标准的有线接口、无线接口。可选的，网络接口1004可以包括标准的有线接口、无线接口(如WI-FI接口)。存储器1005可以是高速RAM存储器，也可以是非不稳定的存储器(non-volatile memory)，例如至少一个磁盘存储器。可选的，存储器1005还可以是至少一个位于远离前述处理器1001的存储装置。如图10所示，作为一种计算机可读存储介质的存储器1005中可以包括操作系统、网络通信模块、用户接口模块以及设备控制应用程序。

在如图10所示的计算机设备1000中，网络接口1004可提供网络通讯功能；而用户接口1003主要用于为用户提供输入的接口；而处理器1001可以用于调用存储器1005中存储的设备控制应用程序，以实现：

当资产授权用户的身份验证成功时，获取资产授权用户对应的证书签名，向证书授权节点发送包含证书签名的证书颁发请求，以使证书授权节点根据证书颁发请求，为被授权节点颁发包含证书签名的被授权节点证书；

接收证书授权节点返回的被授权节点证书，获取资产授权用户为被授权节点签署的授权合同；授权合同包含资产授权用户对应的用户签名和被授权节点对应的第一节点签名；

将被授权节点证书和授权合同添加至被授权核心链，获取与被授权核心链相关联的跨链网关，将被授权节点证书和授权合同分配至跨链网关；

向跨链网关中的资产轻量节点发送针对资产授权用户的数据获取请求，以使资产轻量节点根据被授权节点证书和授权合同的数据验证结果，在资产轻量节点对应的资产核心链中，获取资产授权用户对应的目标资产数据；

通过跨链网关接收资产轻量节点返回的目标资产数据。

应当理解，本申请实施例中所描述的计算机设备1000可执行前文图3所对应实施例中对基于数字证书认证的跨链信任方法的描述，也可执行前文图8所对应实施例中对基于数字证书认证的跨链信任装置1的描述，在此不再赘述。另外，对采用相同方法的有益效果描述，也不再进行赘述。

请参见图11，图11是本申请实施例提供的一种计算机设备的结构示意图。如图11所示，该计算机设备2000可以包括：处理器2001，网络接口2004和存储器2005，此外，上述计算机设备2000还可以包括：用户接口2003，和至少一个通信总线2002。其中，通信总线2002用于实现这些组件之间的连接通信。其中，用户接口2003可以包括显示屏(Display)、键盘(Keyboard)，可选用户接口2003还可以包括标准的有线接口、无线接口。网络接口2004可选的可以包括标准的有线接口、无线接口(如WI-FI接口)。存储器2005可以是高速RAM存储器，也可以是非不稳定的存储器(non-volatile memory)，例如至少一个磁盘存储器。存储器2005可选的还可以是至少一个位于远离前述处理器2001的存储装置。如图11所示，作为一种计算机可读存储介质的存储器2005中可以包括操作系统、网络通信模块、用户接口模块以及设备控制应用程序。

在如图11所示的计算机设备2000中，网络接口2004可提供网络通讯功能；而用户接口2003主要用于为用户提供输入的接口；而处理器2001可以用于调用存储器2005中存储的设备控制应用程序，以实现：

接收被授权节点发送的针对资产授权用户的数据获取请求，根据数据获取请求获取被授权节点对应的被授权节点证书，以及资产授权用户为被授权节点签署的授权合同；被授权节点证书是指证书授权节点为被授权节点颁发的数字证书，被授权节点证书包含资产授权用户对应的证书签名，授权合同包含资产授权用户对应的用户签名和被授权节点对应的第一节点签名；

根据证书签名、用户签名以及第一节点签名，获取被授权节点证书和授权合同对应的数据验证结果；

当数据验证结果为数据验证通过结果时，在资产轻量节点对应的资产核心链中，获取资产授权用户对应的目标资产数据；

通过资产轻量节点所属的跨链网关，向被授权节点返回目标资产数据。

应当理解，本申请实施例中所描述的计算机设备2000可执行前文图3所对应实施例中对基于数字证书认证的跨链信任方法的描述，也可执行前文图9所对应实施例中对基于数字证书认证的跨链信任装置2的描述，在此不再赘述。另外，对采用相同方法的有益效果描述，也不再进行赘述。

此外，这里需要指出的是：本申请实施例还提供了一种计算机可读存储介质，且计算机可读存储介质中存储有前文提及的基于数字证书认证的跨链信任装置1和基于数字证书认证的跨链信任装置2所执行的计算机程序，且计算机程序包括程序指令，当处理器执行程序指令时，能够执行前文图3所对应实施例中对基于数字证书认证的跨链信任方法的描述，因此，这里将不再进行赘述。另外，对采用相同方法的有益效果描述，也不再进行赘述。对于本申请所涉及的计算机可读存储介质实施例中未披露的技术细节，请参照本申请方法实施例的描述。作为示例，程序指令可被部署在一个计算设备上执行，或者在位于一个地点的多个计算设备上执行，又或者，在分布在多个地点且通过通信网络互连的多个计算设备上执行，分布在多个地点且通过通信网络互连的多个计算设备可以组成区块链系统。

此外，需要说明的是：本申请实施例还提供了一种计算机程序产品或计算机程序，该计算机程序产品或者计算机程序可以包括计算机指令，该计算机指令可以存储在计算机可读存储介质中。计算机设备的处理器从计算机可读存储介质读取该计算机指令，处理器可以执行该计算机指令，使得该计算机设备执行前文图3所对应实施例中对基于数字证书认证的跨链信任方法的描述，因此，这里将不再进行赘述。另外，对采用相同方法的有益效果描述，也不再进行赘述。对于本申请所涉及的计算机程序产品或者计算机程序实施例中未披露的技术细节，请参照本申请方法实施例的描述。

需要说明的是，对于前述的各个方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本申请并不受所描述的动作顺序的限制，因为依据本申请，某一些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本申请所必须的。

本申请实施例方法中的步骤可以根据实际需要进行顺序调整、合并和删减。

本申请实施例装置中的模块可以根据实际需要进行合并、划分和删减。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，计算机程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，存储介质可为磁碟、光盘、只读存储器(Read-Only Memory，ROM)或随机存储器(Random Access Memory，RAM)等。

以上所揭露的仅为本申请较佳实施例而已，当然不能以此来限定本申请之权利范围，因此依本申请权利要求所作的等同变化，仍属本申请所涵盖的范围。

Claims (10)

1.一种基于数字证书认证的跨链信任方法，其特征在于，包括：

获取携带证书签名的被授权节点证书，以及资产授权用户为被授权节点签署的授权合同；所述证书签名是基于所述资产授权用户对应的用户私钥所生成的，所述授权合同包括所述资产授权用户对应的用户签名和所述被授权节点对应的第一节点签名；

将所述被授权节点证书和所述授权合同添加至被授权核心链，获取与所述被授权核心链相关联的至少两个跨链网关，将所述被授权节点证书和所述授权合同分配至所述至少两个跨链网关中的被授权轻量节点；所述被授权节点证书和所述授权合同用于指示资产轻量节点从所属的资产核心链中，获取所述资产授权用户对应的目标资产数据；每个跨链网关均包括所述被授权核心链对应的被授权轻量节点和资产核心链对应的资产轻量节点，所述被授权轻量节点和所述资产轻量节点之间是通过所属跨链网关来实现数据传输的。

2.根据权利要求1所述的方法，其特征在于，所述获取携带证书签名的被授权节点证书，以及资产授权用户为被授权节点签署的授权合同，包括：

接收所述资产授权用户的资产授权请求，根据所述资产授权请求获取与所述资产授权用户相关联的用户身份数据，对所述用户身份数据进行验证得到所述资产授权用户的身份验证结果；

当所述身份验证结果为身份验证通过结果时，获取所述资产授权用户为所述被授权节点签署的证书签名；

向证书授权节点发送包含所述证书签名的证书颁发请求，以使所述证书授权节点根据所述证书颁发请求，为所述被授权节点颁发包含所述证书签名的被授权节点证书；

接收所述证书授权节点返回的所述被授权节点证书，获取所述资产授权用户为所述被授权节点签署的授权合同。

3.根据权利要求2所述的方法，其特征在于，所述用户身份数据包括待验证人脸图像；

所述根据所述资产授权请求获取与所述资产授权用户相关联的用户身份数据，对所述用户身份数据进行验证得到所述资产授权用户的身份验证结果，包括：

采集所述资产授权用户对应的待验证人脸图像，获取所述资产授权用户对应的证件人脸图像，获取所述证件人脸图像与所述待验证人脸图像之间的相似度；所述证件人脸图像用于表征所述资产授权用户的真实身份；

当所述相似度大于或等于相似度阈值时，确定所述资产授权用户的身份验证结果为身份验证通过结果；

当所述相似度小于相似度阈值时，确定所述资产授权用户的身份验证结果为身份验证未通过结果。

4.根据权利要求2所述的方法，其特征在于，所述获取所述资产授权用户为所述被授权节点签署的授权合同，包括：

获取所述资产授权用户为所述被授权节点签署的初始授权合同；所述初始授权合同包括授权数据类型和根据所述资产授权用户对应的用户私钥所生成的用户签名；

当检测到所述初始授权合同所包含的授权数据类型合法时，根据所述被授权节点对应的第一节点私钥，对所述初始授权合同进行签名，以生成第一节点签名，将包含所述第一节点签名的初始授权合同确定为所述授权合同。

5.根据权利要求2所述的方法，其特征在于，还包括：

当所述身份验证结果为身份验证未通过结果时，生成针对所述用户身份数据的身份错误提示信息，将所述身份错误提示信息返回给所述资产授权用户；所述身份错误提示信息用于指示所述资产授权用户重新提供用户身份数据。

6.根据权利要求1所述的方法，其特征在于，所述将所述被授权节点证书和所述授权合同添加至被授权核心链，获取与所述被授权核心链相关联的至少两个跨链网关，将所述被授权节点证书和所述授权合同分配至所述至少两个跨链网关中的被授权轻量节点，包括：

将所述被授权节点证书和所述授权合同封装为授权区块，在所述被授权节点所属的区块链系统中对所述授权区块进行广播，以使所述被授权节点所属的区块链系统中的共识节点对所述授权区块进行共识处理；

当所述授权区块在所述被授权节点所属的区块链系统中满足共识合法条件时，将所述授权区块添加至所述被授权核心链；

获取与所述被授权核心链相关联的至少两个跨链网关，分别在每个跨链网关中确定所述被授权核心链所对应的被授权轻量节点，将所述授权区块的区块头数据分配给所述每个跨链网关中的被授权轻量节点；所述区块头数据用于指示所述被授权节点证书和所述授权合同在所述被授权核心链中的存储位置。

7.根据权利要求1所述的方法，其特征在于，还包括：

向所述至少两个跨链网关中的资产轻量节点分别发送针对所述资产授权用户的数据获取请求，以使所述至少两个跨链网关中的资产轻量节点根据所述被授权节点证书和所述授权合同的数据验证结果，分别从所属的资产核心链中获取所述资产授权用户对应的目标资产数据；所述被授权节点证书和所述授权合同是从所属跨链网关的被授权轻量节点中所获取的；所述数据验证结果是基于所述证书签名、所述用户签名以及所述第一节点签名所确定的；所述目标资产数据是基于所述授权合同中的授权数据类型所确定的；

通过所述至少两个跨链网关，接收所述至少两个跨链网关中的资产轻量节点分别返回的目标资产数据。

8.一种基于数字证书认证的跨链信任装置，其特征在于，包括：

第一获取模块，用于获取携带证书签名的被授权节点证书，以及资产授权用户为被授权节点签署的授权合同；所述证书签名是基于所述资产授权用户对应的用户私钥所生成的，所述授权合同包括所述资产授权用户对应的用户签名和所述被授权节点对应的第一节点签名；

添加模块，用于将所述被授权节点证书和所述授权合同添加至被授权核心链，获取与所述被授权核心链相关联的至少两个跨链网关，将所述被授权节点证书和所述授权合同分配至所述至少两个跨链网关中的被授权轻量节点；所述被授权节点证书和所述授权合同用于指示资产轻量节点从所属的资产核心链中，获取所述资产授权用户对应的目标资产数据；每个跨链网关均包括所述被授权核心链对应的被授权轻量节点和资产核心链对应的资产轻量节点，所述被授权轻量节点和所述资产轻量节点之间是通过所属跨链网关来实现数据传输的。

9.一种计算机设备，其特征在于，包括存储器和处理器，所述存储器存储有计算机程序，所述计算机程序被所述处理器执行时，所述处理器执行权利要求1至7中任一项所述方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机程序，所述计算机程序包括程序指令，所述程序指令被处理器执行时，执行权利要求1至7中任一项所述方法的步骤。

Images