CN113448588B - 数据安全处理方法、装置、电子设备和存储介质 - Google Patents

Abstract

本申请公开了数据安全处理方法、装置、电子设备和存储介质。其中方法包括：读取服务中与各数据维度对应的标签；根据标签，确定对各数据维度的安全处理方式；在服务中加载与各安全处理方式对应的安全处理逻辑，其中，安全处理逻辑来源于与服务独立的安全处理组件；获取待进行安全处理的数据，按照已加载的安全处理逻辑，对数据按其数据维度进行相应的安全处理。该技术方案仅需要开发一个独立、可复用的安全处理组件，大大降低了代码开发量，并通过在服务中设置与数据维度对应的标签，从而适应性地加载安全处理逻辑，避免冗余，能够更灵活地与业务场景相适配。

Description

数据安全处理方法、装置、电子设备和存储介质

技术领域

本申请涉及信息安全技术领域，尤其涉及数据安全处理方法、装置、电子设备和存储介质。

背景技术

用户隐私等敏感信息一直都存在着进行加密、解密等安全处理需求，现有技术中，通常是根据实际的业务需求，对不同的信息分别进行安全处理，这样就导致重复开发、代码臃肿等问题，效率低下，浪费计算资源，亟待解决。

发明内容

本申请实施例提供了数据安全处理方法、装置、电子设备和存储介质，以降低代码量，提升开发效率和计算资源的利用率。

本申请实施例采用下述技术方案：

第一方面，本申请实施例提供一种数据安全处理方法，包括：读取服务中与各数据维度对应的标签；根据标签，确定对各数据维度的安全处理方式；在服务中加载与各安全处理方式对应的安全处理逻辑，其中，安全处理逻辑来源于与服务独立的安全处理组件；获取待进行安全处理的数据，按照已加载的安全处理逻辑，对数据按其数据维度进行相应的安全处理。

在一些实施例中，服务基于Java实现。

在一些实施例中，读取服务中与各数据维度对应的标签包括：基于Java反射机制，读取服务中各Java类属性的标签，其中，每个Java类属性对应于一个数据维度，标签是基于面向切面编程技术进行Java注解得到的。

在一些实施例中，在服务中加载与各安全处理方式对应的安全处理逻辑包括：在服务的Java类编译阶段，将安全处理组件中，与各安全处理方式对应的安全处理逻辑动态植入到服务的Java编译文件中。

在一些实施例中，获取待进行安全处理的数据包括：基于Java动态代理技术，获取发送给目标对象的数据，作为待进行安全处理的数据。

在一些实施例中，安全处理逻辑包括加密逻辑和/或解密逻辑，按照已加载的安全处理逻辑，对数据按其数据维度进行相应的安全处理包括：对需要加密的数据维度，读取相应数据维度下的未加密值，按照加密逻辑进行加密处理，以得到的加密值替换相应数据维度下的未加密值；对需要解密的数据维度，读取相应数据维度下的加密值，按照解密逻辑进行解密处理，以得到的解密值替换相应数据维度下的加密值。

在一些实施例中，安全处理逻辑还包括匿名化逻辑，按照已加载的安全处理逻辑，对数据按其数据维度进行相应的安全处理还包括：对得到的解密值按照匿名化逻辑进行处理，以得到的匿名化值替换相应数据维度下的加密值。

第二方面，本申请实施例还提供一种数据安全处理装置，用于实现如上任一的数据安全处理方法。

在一些实施例中，数据安全处理装置包括：读取单元，用于读取服务中与各数据维度对应的标签；确定单元，用于根据标签，确定对各数据维度的安全处理方式；加载单元，用于在服务中加载与各安全处理方式对应的安全处理逻辑，其中，安全处理逻辑来源于与服务独立的安全处理组件；安全处理单元，用于获取待进行安全处理的数据，按照已加载的安全处理逻辑，对数据按其数据维度进行相应的安全处理。

在一些实施例中，服务基于Java实现。

在一些实施例中，读取单元，用于基于Java反射机制，读取服务中各Java类属性的标签，其中，每个Java类属性对应于一个数据维度，标签是基于面向切面编程技术进行Java注解得到的。

在一些实施例中，加载单元，用于在服务的Java类编译阶段，将安全处理组件中，与各安全处理方式对应的安全处理逻辑动态植入到服务的Java编译文件中。

在一些实施例中，安全处理单元，用于基于Java动态代理技术，获取发送给目标对象的数据，作为待进行安全处理的数据。

在一些实施例中，安全处理逻辑包括加密逻辑和/或解密逻辑，安全处理单元，用于对需要加密的数据维度，读取相应数据维度下的未加密值，按照加密逻辑进行加密处理，以得到的加密值替换相应数据维度下的未加密值；对需要解密的数据维度，读取相应数据维度下的加密值，按照解密逻辑进行解密处理，以得到的解密值替换相应数据维度下的加密值。

在一些实施例中，安全处理逻辑还包括匿名化逻辑，安全处理单元，用于对得到的解密值按照匿名化逻辑进行处理，以得到的匿名化值替换相应数据维度下的加密值。

第三方面，本申请实施例还提供一种电子设备，包括：处理器；以及被安排成存储计算机可执行指令的存储器，可执行指令在被执行时使处理器执行如上任一的数据安全处理方法。

第四方面，本申请实施例还提供一种计算机可读存储介质，计算机可读存储介质存储一个或多个程序，一个或多个程序当被包括多个应用程序的电子设备执行时，使得电子设备执行如上任一的数据安全处理方法。

本申请实施例采用的上述至少一个技术方案能够达到以下有益效果：在服务启动阶段，读取服务中与各数据维度对应的标签，在根据标签确定对各数据维度的安全处理方式后，从安全处理组件中加载对应的安全处理逻辑到服务中，从而使服务具备了安全处理的功能。该技术方案仅需要开发一个独立、可复用的安全处理组件，大大降低了代码开发量，并通过在服务中设置与数据维度对应的标签，从而适应性地加载安全处理逻辑，避免冗余，能够更灵活地与业务场景相适配。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1示出了根据本申请一个实施例的一种数据安全处理方法的流程示意图；

图2示出了根据本申请一个实施例的一种数据安全处理装置的结构示意图；

图3为本申请实施例中一种电子设备的结构示意图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合本申请具体实施例及相应的附图对本申请技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

本申请的技术构思在于，利用独立、可复用的安全处理组件，在不同的服务中加以应用，降低代码量，并通过服务中设置的与各数据维度对应的标签，实现对不同场景的灵活适配。

以下结合附图，详细说明本申请各实施例提供的技术方案。

图1示出了根据本申请一个实施例的一种数据安全处理方法的流程示意图。如图1所示，该方法包括：

步骤S110，读取服务中与各数据维度对应的标签。

本申请的实施例中，可以根据业务的实际需求，预先在服务中设置好与各数据维度对应的标签。

对于不同的服务，可以灵活地设置其中的标签，而且，不需要对服务的代码进行改动。

步骤S120，根据标签，确定对各数据维度的安全处理方式。

步骤S130，在服务中加载与各安全处理方式对应的安全处理逻辑，其中，安全处理逻辑来源于与服务独立的安全处理组件。

步骤S140，获取待进行安全处理的数据，按照已加载的安全处理逻辑，对数据按其数据维度进行相应的安全处理。

例如，服务接收的数据包括用户ID、用户身份证号、用户出生年月日三个数据维度，其中，用户身份证号、用户出生年月日是用户隐私数据，需要以密文形式存储，则这三个数据维度的标签可以分别为不加密、加密、加密，相应地，需要加载的安全处理逻辑为加密逻辑。在获取“用户ID＝xx，用户身份证号＝yy，用户出生年月日＝zz”的数据后，对yy和zz这两个具体的数据内容，利用加密逻辑进行加密即可。

可见，图1所示的方法，仅需要开发一个独立、可复用的安全处理组件，大大降低了代码开发量，并通过在服务中设置与数据维度对应的标签，从而适应性地加载安全处理逻辑，避免冗余，能够更灵活地与业务场景相适配。

在一些实施例中，服务基于Java实现。Java是一门面向对象编程语言，在本申请的实施例中可以利用面向对象这一特点，使得标签可以与特定的数据对象对应起来，实现得更为简单。

在一些实施例中，读取服务中与各数据维度对应的标签包括：基于Java反射机制，读取服务中各Java类属性的标签，其中，每个Java类属性对应于一个数据维度，标签是基于面向切面编程技术进行Java注解得到的。

AOP(AspectOrientedProgramming，面向切面编程)是通过预编译方式和运行期间动态代理实现程序功能的统一维护的一种技术，在本申请的实施例中，可以在开发阶段，对Java类属性进行Java注解(Annotation)，并在服务的启动阶段，基于Java反射机制，注解标签，从而确定要对哪些Java类属性、也就是哪些数据维度，进行安全处理。

在一些实施例中，在服务中加载与各安全处理方式对应的安全处理逻辑包括：在服务的Java类编译阶段，将安全处理组件中，与各安全处理方式对应的安全处理逻辑动态植入到服务的Java编译文件中。

这种方式下，并不会对服务的源代码进行修改，而是在编译文件中动态加载安全处理逻辑动态，既满足了业务需求，也避免了代码入侵。而且，安全处理组件可以灵活地进行版本更新，从而使得Java编译文件也随之更新。

在一些实施例中，获取待进行安全处理的数据包括：基于Java动态代理技术，获取发送给目标对象的数据，作为待进行安全处理的数据。

例如，数据库作为目标对象，需要接收其他服务传递的用户数据。则本申请的实施例可以实现数据库的服务，具体地，可以在用户数据落地到数据库之前，以及在从数据库读取用户数据之前，在逻辑上形成数据接收、数据拦截和数据安全处理等几个模块。

具体地，可以基于Java动态代理技术，来拦截并获取到发送给目标对象，例如数据库的数据。

在一些实施例中，安全处理逻辑包括加密逻辑和/或解密逻辑，按照已加载的安全处理逻辑，对数据按其数据维度进行相应的安全处理包括：对需要加密的数据维度，读取相应数据维度下的未加密值，按照加密逻辑进行加密处理，以得到的加密值替换相应数据维度下的未加密值；对需要解密的数据维度，读取相应数据维度下的加密值，按照解密逻辑进行解密处理，以得到的解密值替换相应数据维度下的加密值。

例如，在通过注解标签获得Java类对象中需要进行安全处理的属性，以及相应的属性值后，可以利用加密逻辑或者解密逻辑进行相应的加、解密处理，再得到新的属性值后，重新赋值给相应的属性。

在一些实施例中，安全处理逻辑还包括匿名化逻辑，按照已加载的安全处理逻辑，对数据按其数据维度进行相应的安全处理还包括：对得到的解密值按照匿名化逻辑进行处理，以得到的匿名化值替换相应数据维度下的加密值。

在一些场景下，需要呈现给用户的数据需要进行匿名化处理，例如，用户注册账户时使用的手机号为13812345678(仅作举例)，用户可以通过访问个人信息界面进行查看，但是避免他人盗用用户账户，展现给用户的手机号就需要进行匿名化处理，例如为138****5678，即将“1234”以“*”代替。那么在根据前述实施例得到解密值后，还可以根据匿名化逻辑进行相应的处理。

本申请实施例还提供一种数据安全处理装置，用于实现如上任一的数据安全处理方法。

具体地，图2示出了根据本申请一个实施例的数据安全处理装置的结构示意图。如图2所示，数据安全处理装置200包括：

读取单元210，用于读取服务中与各数据维度对应的标签。

确定单元220，用于根据标签，确定对各数据维度的安全处理方式。

加载单元230，用于在服务中加载与各安全处理方式对应的安全处理逻辑，其中，安全处理逻辑来源于与服务独立的安全处理组件。

安全处理单元240，用于获取待进行安全处理的数据，按照已加载的安全处理逻辑，对数据按其数据维度进行相应的安全处理。

可见，图2所示的方法，仅需要依托于预先开发的独立、可复用的安全处理组件，大大降低了代码开发量，并通过在服务中设置与数据维度对应的标签，从而适应性地加载安全处理逻辑，避免冗余，能够更灵活地与业务场景相适配。

在一些实施例中，服务基于Java实现。

在一些实施例中，读取单元210，用于基于Java反射机制，读取服务中各Java类属性的标签，其中，每个Java类属性对应于一个数据维度，标签是基于面向切面编程技术进行Java注解得到的。

在一些实施例中，加载单元230，用于在服务的Java类编译阶段，将安全处理组件中，与各安全处理方式对应的安全处理逻辑动态植入到服务的Java编译文件中。

在一些实施例中，安全处理单元240，用于基于Java动态代理技术，获取发送给目标对象的数据，作为待进行安全处理的数据。

在一些实施例中，安全处理逻辑包括加密逻辑和/或解密逻辑，安全处理单元240，用于对需要加密的数据维度，读取相应数据维度下的未加密值，按照加密逻辑进行加密处理，以得到的加密值替换相应数据维度下的未加密值；对需要解密的数据维度，读取相应数据维度下的加密值，按照解密逻辑进行解密处理，以得到的解密值替换相应数据维度下的加密值。

在一些实施例中，安全处理逻辑还包括匿名化逻辑，安全处理单元240，用于对得到的解密值按照匿名化逻辑进行处理，以得到的匿名化值替换相应数据维度下的加密值。

能够理解，上述数据安全处理装置，能够实现前述实施例中提供的数据安全处理方法的各个步骤，关于数据安全处理方法的相关阐释均适用于数据安全处理装置，此处不再赘述。

图3是本申请的一个实施例电子设备的结构示意图。请参考图3，在硬件层面，该电子设备包括处理器，可选地还包括内部总线、网络接口、存储器。其中，存储器可能包含内存，例如高速随机存取存储器(Random-AccessMemory，RAM)，也可能还包括非易失性存储器(non-volatile memory)，例如至少1个磁盘存储器等。当然，该电子设备还可能包括其他业务所需要的硬件。

处理器、网络接口和存储器可以通过内部总线相互连接，该内部总线可以是ISA(IndustryStandardArchitecture，工业标准体系结构)总线、PCI(Peripheral ComponentInterconnect，外设部件互连标准)总线或EISA(Extended IndustryStandardArchitecture，扩展工业标准结构)总线等。总线可以分为地址总线、数据总线、控制总线等。为便于表示，图3中仅用一个双向箭头表示，但并不表示仅有一根总线或一种类型的总线。

存储器，用于存放程序。具体地，程序可以包括程序代码，程序代码包括计算机操作指令。存储器可以包括内存和非易失性存储器，并向处理器提供指令和数据。

处理器从非易失性存储器中读取对应的计算机程序到内存中然后运行，在逻辑层面上形成数据安全处理装置。处理器，执行存储器所存放的程序，并具体用于执行以下操作：

读取服务中与各数据维度对应的标签；根据标签，确定对各数据维度的安全处理方式；在服务中加载与各安全处理方式对应的安全处理逻辑，其中，安全处理逻辑来源于与服务独立的安全处理组件；获取待进行安全处理的数据，按照已加载的安全处理逻辑，对数据按其数据维度进行相应的安全处理。

上述如本申请图1所示实施例揭示的数据安全处理装置执行的方法可以应用于处理器中，或者由处理器实现。处理器可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过处理器中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器可以是通用处理器，包括中央处理器(CentralProcessingUnit，CPU)、网络处理器(NetworkProcessor，NP)等；还可以是数字信号处理器(DigitalSignalProcessor，DSP)、专用集成电路(Application Specific IntegratedCircuit，ASIC)、现场可编程门阵列(Field－Programmable GateArray，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本申请实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本申请实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器，处理器读取存储器中的信息，结合其硬件完成上述方法的步骤。

该电子设备还可执行图1中数据安全处理装置执行的方法，并实现数据安全处理装置在图2所示实施例的功能，本申请实施例在此不再赘述。

本申请实施例还提出了一种计算机可读存储介质，该计算机可读存储介质存储一个或多个程序，该一个或多个程序包括指令，该指令当被包括多个应用程序的电子设备执行时，能够使该电子设备执行图1所示实施例中数据安全处理装置执行的方法，并具体用于执行：

读取服务中与各数据维度对应的标签；根据标签，确定对各数据维度的安全处理方式；在服务中加载与各安全处理方式对应的安全处理逻辑，其中，安全处理逻辑来源于与服务独立的安全处理组件；获取待进行安全处理的数据，按照已加载的安全处理逻辑，对数据按其数据维度进行相应的安全处理。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flashRAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、商品或者设备中还存在另外的相同要素。

本领域技术人员应明白，本申请的实施例可提供为方法、系统或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

以上仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (7)

1.一种数据安全处理方法，其特征在于，所述方法包括：

读取服务中与各数据维度对应的标签；

根据所述标签，确定对各数据维度的安全处理方式；

在所述服务中加载与各安全处理方式对应的安全处理逻辑，其中，所述安全处理逻辑来源于与所述服务独立的安全处理组件；

获取待进行安全处理的数据，按照已加载的安全处理逻辑，对所述数据按其数据维度进行相应的安全处理；

所述服务基于Java实现；

所述读取服务中与各数据维度对应的标签包括：

基于Java反射机制，读取所述服务中各Java类属性的标签，其中，每个Java类属性对应于一个数据维度，所述标签是基于面向切面编程技术进行Java注解得到的；

所述在所述服务中加载与各安全处理方式对应的安全处理逻辑包括：

在所述服务的Java类编译阶段，将所述安全处理组件中，与各安全处理方式对应的安全处理逻辑动态植入到所述服务的Java编译文件中。

2.如权利要求1所述的方法，其特征在于，所述获取待进行安全处理的数据包括：

基于Java动态代理技术，获取发送给目标对象的数据，作为待进行安全处理的数据。

3.如权利要求1所述的方法，其特征在于，所述安全处理逻辑包括加密逻辑和/或解密逻辑，所述按照已加载的安全处理逻辑，对所述数据按其数据维度进行相应的安全处理包括：

对需要加密的数据维度，读取相应数据维度下的未加密值，按照所述加密逻辑进行加密处理，以得到的加密值替换相应数据维度下的未加密值；

对需要解密的数据维度，读取相应数据维度下的加密值，按照所述解密逻辑进行解密处理，以得到的解密值替换相应数据维度下的加密值。

4.如权利要求3所述的方法，其特征在于，所述安全处理逻辑还包括匿名化逻辑，所述按照已加载的安全处理逻辑，对所述数据按其数据维度进行相应的安全处理还包括：

对得到的解密值按照所述匿名化逻辑进行处理，以得到的匿名化值替换相应数据维度下的加密值。

5.一种数据安全处理装置，其特征在于，所述数据安全处理装置用于实现权利要求1～4之任一所述数据安全处理方法。

6.一种电子设备，包括：

处理器；以及

被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器执行所述权利要求1～4之任一所述数据安全处理方法。

7.一种计算机可读存储介质，所述计算机可读存储介质存储一个或多个程序，所述一个或多个程序当被包括多个应用程序的电子设备执行时，使得所述电子设备执行所述权利要求1～4之任一所述数据安全处理方法。