CN116244682A - 数据库的访问方法、装置、设备以及存储介质 - Google Patents

Abstract

本公开提供了一种数据库的访问方法、装置、设备以及存储介质，涉及计算机技术领域，尤其涉及云计算和云安全计算领域。具体实现方案为：向密钥服务器发送密钥加密请求，其中，密钥加密请求包括本地密钥；获取来自密钥服务器的目标密钥，其中，目标密钥是密钥服务器根据密钥服务器密钥对本地密钥进行加密得到的；响应于接收到针对数据库的写入请求，利用与数据库对应的自定义类型转换器，根据密钥，对与写入请求对应的待写入数据进行加密，得到加密数据，其中，自定义类型转换器是通过向默认类型转换器注入加密逻辑代码和解密逻辑代码得到的；以及将加密数据写入数据库。

Description

数据库的访问方法、装置、设备以及存储介质

技术领域

本公开涉及计算机技术领域，尤其涉及云计算和云安全计算领域。

背景技术

随着互联网的普及和发展，愈来愈多的企业使用互联网应用来向用户提供服务。有的互联网应用在向用户提供服务时需要用户提供用户信息。其中，用户信息可以包括身份证件号码、手机号码、银行账号、人脸特征数据等。比如，对于公有云场景，基于国家对于计算机资源的监管规范要求，用户需要提供身份信息和人脸特征数据，用于实名认证。或者，电商平台需要存储用户的姓名、地址和电话用于商品的配送。

为了保证用户信息的安全，很多企业采用了加密存储方式来存储用户信息。基于此，如何对数据进行加密存储成了一个亟需解决的问题。

发明内容

本公开提供了一种数据库的访问方法、装置、设备、存储介质以及程序产品。

根据本公开的一方面，提供了一种数据库的访问方法，包括：向密钥服务器发送密钥加密请求，其中，所述密钥加密请求包括本地密钥；获取来自所述密钥服务器的目标密钥，其中，所述目标密钥是所述密钥服务器根据密钥服务器密钥对所述本地密钥进行加密得到的；响应于接收到针对数据库的写入请求，利用与所述数据库对应的自定义类型转换器，根据所述密钥，对与所述写入请求对应的待写入数据进行加密，得到加密数据，其中，所述自定义类型转换器是通过向默认类型转换器注入加密逻辑代码和解密逻辑代码得到的；以及将所述加密数据写入所述数据库。

根据本公开的另一方面，提供了一种数据库的访问装置，包括：发送模块，用于向密钥服务器发送密钥加密请求，其中，所述密钥加密请求包括本地密钥；获取模块，用于获取来自所述密钥服务器的目标密钥，其中，所述目标密钥是所述密钥服务器根据密钥服务器密钥对所述本地密钥进行加密得到的；加密模块，用于响应于接收到针对数据库的写入请求，利用与所述数据库对应的自定义类型转换器，根据所述密钥，对与所述写入请求对应的待写入数据进行加密，得到加密数据，其中，所述自定义类型转换器是通过向默认类型转换器注入加密逻辑代码和解密逻辑代码得到的；以及写入模块，用于将所述加密数据写入所述数据库。

本公开的另一个方面提供了一种电子设备，包括：至少一个处理器；以及与所述至少一个处理器通信连接的存储器；其中，所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行本公开实施例所示的方法。

根据本公开实施例的另一方面，提供了一种存储有计算机指令的非瞬时计算机可读存储介质，其中，所述计算机指令用于使所述计算机执行本公开实施例所示的方法。

根据本公开实施例的另一方面，提供了一种计算机程序产品，包括计算机程序/指令，其特征在于，该计算机程序/指令被处理器执行时实现本公开实施例所示方法的步骤。

应当理解，本部分所描述的内容并非旨在标识本公开的实施例的关键或重要特征，也不用于限制本公开的范围。本公开的其它特征将通过以下的说明书而变得容易理解。

附图说明

附图用于更好地理解本方案，不构成对本公开的限定。其中：

图1示意性示出了根据本公开实施例的可以应用数据库的访问方法和装置的示例性系统架构；

图2示意性示出了根据本公开的实施例的数据库的访问方法的流程图；

图3示意性示出了根据本公开另一实施例的数据库的访问方法的流程图；

图4示意性示出了根据本公开另一实施例的数据库的访问方法的流程图；

图5示意性示出了根据本公开的实施例的确定自定义类型转换器的方法的流程图；

图6示意性示出了根据本公开另一实施例的数据库的访问的流程图；

图7示意性示出了根据本公开实施例的数据库的访问装置的框图；

图8示意性示出了可以用来实施本公开的实施例的示例电子设备的框图。

具体实施方式

以下结合附图对本公开的示范性实施例做出说明，其中包括本公开实施例的各种细节以助于理解，应当将它们认为仅仅是示范性的。因此，本领域普通技术人员应当认识到，可以对这里描述的实施例做出各种改变和修改，而不会背离本公开的范围和精神。同样，为了清楚和简明，以下的描述中省略了对公知功能和结构的描述。

以下将结合图1对本公开提供的数据库的访问方法和装置的系统架构进行描述。

图1示意性示出了根据本公开实施例的可以应用数据库的访问方法和装置的示例性系统架构100。需要注意的是，图1所示仅为可以应用本公开实施例的系统架构的示例，以帮助本领域技术人员理解本公开的技术内容，但并不意味着本公开实施例不可以用于其他设备、系统、环境或场景。

如图1所示，根据该实施例的系统架构100可以包括终端设备101、102、103，网络104和服务器105。网络104用以在终端设备101、102、103和服务器105之间提供通信链路的介质。网络104可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。

用户可以使用终端设备101、102、103通过网络104与服务器105交互，以接收或发送消息等。终端设备101、102、103上可以安装有各种通讯客户端应用，例如购物类应用、网页浏览器应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件等(仅为示例)。

终端设备101、102、103可以是具有显示屏并且支持网页浏览的各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等等。

服务器105可以是提供各种服务的服务器，例如对用户利用终端设备101、102、103所浏览的网站提供支持的后台管理服务器(仅为示例)。后台管理服务器可以对接收到的用户请求等数据进行分析等处理，并将处理结果(例如根据用户请求获取或生成的网页、信息、或数据等)反馈给终端设备。

需要说明的是，本公开实施例所提供的数据库的访问方法一般可以由服务器105执行。相应地，本公开实施例所提供的数据库的访问装置一般可以设置于服务器105中。本公开实施例所提供的数据库的访问方法也可以由不同于服务器105且能够与终端设备101、102、103和/或服务器105通信的服务器或服务器集群执行。相应地，本公开实施例所提供的数据库的访问装置也可以设置于不同于服务器105且能够与终端设备101、102、103和/或服务器105通信的服务器或服务器集群中。

服务器105可以是云服务器，又称为云计算服务器或云主机，是云计算服务体系中的一项主机产品，以解决了传统物理主机与VPS服务(″Virtual Private Server″，或简称″VPS″)中，存在的管理难度大，业务扩展性弱的缺陷。服务器105也可以为分布式系统的服务器，或者是结合了区块链的服务器。

应该理解，图1中的终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。

在本公开的技术方案中，所涉及的用户个人信息的收集、存储、使用、加工、传输、提供、公开和应用等处理，均符合相关法律法规的规定，采取了必要保密措施，且不违背公序良俗。

在本公开的技术方案中，在获取或采集用户个人信息之前，均获取了用户的授权或同意。

以下将结合图2对本公开提供的数据库的访问方法进行描述。

图2示意性示出了根据本公开的实施例的数据库的访问方法的流程图。该方法例如可以由上文所示的服务器执行。

如图2所示，该数据库的访问方法200包括在操作S210，向密钥服务器发送密钥加密请求。

根据本公开的实施例，密钥加密请求包括本地密钥。本地密钥可以预先生成。示例性地，例如可以利用随机字符生成器，生成随机字符串，作为本地密钥。

根据本公开的实施例，目标密钥可以是密钥服务器根据密钥服务器密钥对本地密钥进行加密得到的。例如，密钥服务器可以根据密钥加密请求，利用密钥服务器密钥，对本地密钥进行加密，得到目标密钥，然后发送至服务器。

根据本公开的实施例，例如可以获取密钥服务器的域名地址。然后向域名地址发送密钥加密请求。其中，密钥服务器的域名地址可以预先存储在配置文件中。基于此，例如可以从配置文件中获取密钥服务器的域名地址。域名地址例如可以包括https(超文本传输安全协议)地址。

然后，在操作S220，获取来自密钥服务器的目标密钥。

在操作S230，响应于接收到针对数据库的写入请求，利用与数据库对应的自定义类型转换器，根据密钥，对与写入请求对应的待写入数据进行加密，得到加密数据。

根据本公开的实施例，自定义类型转换器可以是通过向默认类型转换器注入加密逻辑代码和解密逻辑代码得到的。其中，默认类型转换器例如可以包括mybatis框架中的TypeHandler(类型转换器)，其中mybatis框架是一种持久层框架。例如，可以执行自定义类型转换器的加密逻辑代码，以便根据密钥，对与写入请求对应的待写入数据进行加密，得到加密数据。写入请求可以用于请求将对应的待写入数据写入数据库。

根据本公开的实施例，自定义类型转换器例如可以是类(class)数据类型。

根据本公开的实施例，例如可以从数据访问对象(Data Access Object，DAO)中获取待写入数据。其中，数据访问对象可以用于对访问存储在不同数据库中的数据提供通用的API(应用程序接口)。

在操作S240，将加密数据写入数据库。

根据本公开的实施例，通过自定义类型转换器对数据进行加密，然后再写入数据，可以提高数据库中数据的安全性。

图3示意性示出了根据本公开另一实施例的数据库的访问方法的流程图。

如图3所示，该数据库的访问方法300还可以包括在操作S350，响应于接收到针对数据库的读取请求，读取数据库中与读取请求对应的目标加密数据。

根据本公开的实施例，读取请求可以用于请求读取数据库中的数据。

在操作S360，利用与数据库对应的自定义类型转换器，根据密钥，对与目标加密数据进行解密，得到原始数据。

根据本公开的实施例，例如可以执行自定义类型转换器的解密逻辑代码，以便根据密钥，对与目标加密数据进行解密，得到原始数据。

在操作S370，将原始数据写入数据访问对象。

根据本公开的实施例，例如可以将原始数据写入数据访问对象中的对应字段中。后续用户可以从数据访问对象中的对应字段中获取请求读取的原始数据。

图4示意性示出了根据本公开另一实施例的数据库的访问方法的流程图。

如图4所示，该数据库的访问方法400还可以包括在操作S480，获取登录账号、密码、云端密钥标识和本地密钥。

根据本公开的实施例，例如可以预先从鉴权服务器申请登录账号、密码。例如可以预先从密钥服务器获取云端密钥标识。例如可以利用随机字符生成器，生成随机字符串，作为本地密钥。

根据本公开的实施例，鉴权服务器和密钥服务器可以是同一个服务器也可以是不同服务器。

在操作S490，根据登录账号和密码，进行鉴权认证，得到鉴权认证信息。

根据本公开的实施例，例如可以将登录账号和密码发送至鉴权服务器，由鉴权服务器根据登录账号和密码对服务器进行鉴权，在鉴权通过的情况下，生成鉴权认证信息，返回给服务器。

在操作S4100，根据鉴权认证信息、云端密钥标识和本地密钥，生成密钥加密请求。

根据本公开的实施例，例如可以在密钥加密请求的请求头中设置鉴权认证信息，在请求参数中设置云端密钥标识和本地密钥。

根据本公开的另一实施例，例如可以对本地密钥进行加密，然后将加密后的本地密钥通过密钥加密请求发送至密码服务器。密码服务器可以对加密后的本地密钥进行解密，得到未加密的本地密钥，在利用云端密钥对本地密钥进行加密，得到目标密钥，接着可以再对目标密钥进行加密，将加密后的目标密钥发送回服务器。服务器可以对加密后的目标密钥进行解密，得到未加密的密钥。通过对本地密钥和目标密钥加密，可以提高密钥在传输时的安全性。

为了解决数据库加密存储的问题，可以设定密钥。当需要向数据库中存储数据时，对明文形式的数据用密钥进行加密。然后把加密后的数据存储到数据库中。当需要读取数据时，可以从数据库中把加密后的数据读取出来。再根据密钥，对加密后的数据进行解密，得到明文形式的数据。

相关技术中，密钥是直接以明文的形式存储在配置文件中的，需要解密的时候读取配置文件中的密钥并使用。由于密钥以明文的形式存储在配置文件中，可以较为轻易的获得，导致密钥的安全性较低。即使数据库中的数据进行了加密，但是密钥可以轻易获取，根据密钥可以轻易地破解数据库中的加密数据，导致数据库中数据的安全性较低。

根据本公开的实施例，通过密钥服务器管理云端密钥，然后通过鉴权服务器的认证鉴权机制，具有获取到鉴权认证信息后，才可以发送密钥加密请求对本地密钥进行加密，以获取真正使用的密钥，从而可以避免密钥明文直接存储在配置文件中的安全性较差的问题。

根据本公开的实施例，默认类型转换器可以包括参数设置方法(setParameter)和结果获取方法(getResult)。其中，参数设置方法可以用于将数据写入指定字段。结果获取方法可以用于返回写入指定字段的数据。

基于此，以下将结合图5对本公开提供的确定自定义类型转换器的方法进行描述。

图5示意性示出了根据本公开的实施例的确定自定义类型转换器的方法的流程图。

如图5所示，该确定自定义类型转换器的方法500包括在操作S510，在应用程序框架中注册加解密处理器。

根据本公开的实施例，应用程序框架例如可以包括Spring框架。Spring框架是一种的J2EE(Java 2Platform Enterprise Edition，Java 2平台企业版)应用程序框架。

根据本公开的实施例，加解密处理器可以用于实现加解密的处理逻辑。加解密处理器可以包括加密逻辑代码和解密逻辑代码。加密逻辑代码可以用于根据目标密钥对未加密的数据进行加密。解密逻辑代码用于根据目标密钥对已加密数据进行解密。

在操作S520，将默认类型转换器中的参数设置方法配置为执行加密逻辑代码，并将默认类型转换器中的结果获取方法配置为执行解密逻辑代码，得到自定义类型转换器。

根据本公开的实施例，通过配置参数设置方法和结果获取方法，得到自定义类型转换器，可以用于自动对写入数据库的明文数据进行加密以及对数据库读取的加密数据进行解密。

根据本公开的实施例，例如可以通过调用自定义类型转换器的参数设置方法来执行加密逻辑代码，以便根据密钥，对待写入数据进行加密，得到加密数据。

根据本公开的实施例，例如通过调用自定义类型转换器的结果获取方法来执行解密逻辑代码，以便根据密钥，对目标加密数据进行解密，得到原始数据。

根据本公开的实施例，例如可以在持久层框架中为数据库注册自定义类型转换器。通过在持久层框架注册自定义类型转换器，可以使自定义类型转换器之外的其他方法可以调用该自定义类型转换器中的方法。

根据本公开的实施例，服务器连接的数据库可以为一个或多个，对应的数据处理对象也可以为一个或多个。本实施例中，对于多个数据处理对象，例如可以对多个数据处理对象中需要进行数据加解密的数据处理对象添加自定义注解，不需要进行数据加解密的数据处理对象不需添加自定义注解。其中，自定义注解例如可以包括Spring AOP注解，其中AOP指的是在程序运行期间动态的将某段代码切入到指定方法指定位置进行运行的编程方式。

根据本公开的实施例，对于添加了自定义注解的数据处理对象，可以重写这些数据处理对象的援引(invoke)方法，以便将数据处理对象的对象包装器配置为在将原始数据写入数据处理对象前，调用自定义类型转换器的结果获取方法。

根据本公开的实施例，基于注解技术，配置自定义类型转换器、对象包装器等数据库字段的处理工具类，只需配置少量代码即可实现对具体的数据库字段进行自动的加解密操作，降低了工作量，提升了开发效率。

下面参考图6，结合具体实施例对上文所示的数据库的访问方法做进一步说明。本领域技术人员可以理解，以下示例实施例仅用于理解本公开，本公开并不局限于此。

图6示意性示出了根据本公开另一实施例的数据库的访问的流程图。

在图6中示出了，在操作S601，获取登录账号的密码。

根据本公开的实施例，例如可以向鉴权服务器申请获取登录账号Access Key和密码Secret Key。在对密码服务器进行访问时，必须先进行Access Key&Secret Key的鉴权认证。例如可以将通过Access Key&Secret Key鉴权的每个请求记录在审计日志中。

在操作S602，获取用于密钥服务的域名地址和云端密钥标识。

根据本公开的实施例，例如可以预先开通密钥管理服务，从密钥服务器获取用于密钥服务访问的域名地址。密钥服务器可以创建密钥，获得密钥的云端密钥标识(例如ID)等参数信息，密钥的明文字符串信息由密钥服务器生成。该密钥以下称为云端密钥。云端密钥可以作为私钥来使用。

在操作S603，将登陆账户、密码、域名地址和云端密钥标识存储至配置文件中。

在操作S604，生成本地密钥，将本地密钥存储至配置文件中，并配置每个本地密钥的生效参数。

根据本公开的实施例，例如可以通过随机字符生成器，生成128个字符的字符串openKey作为本地密钥。另外，还可以对本地密钥进行加密。

根据本公开的实施例，可以有多个本地密钥，基于此，可以在配置文件中配置每个本地密钥的生效参数。生效参数用于标识生效参数是否生效。本地密钥可以作为公钥。

在操作S605，监听密钥初始化事件。在监听到密钥初始化事件的情况下，读取配置文件中本地密钥的生效参数。针对生效参数为生效的本地密钥，读取配置文件中的登陆账户、密码、域名地址、云端密钥标识和加密后的本地密钥。

根据本公开的数量，例如可以实现一个自定义的监听器类来实现密钥加载功能，命名KeyInitializer，用于实现Spring框架中的接口ApplicationListener＜ApplicationEnvironmentPreparedEvent>，其中，ApplicationListener接口是Spring事件机制，与抽象类ApplicationEvent类配合来完成ApplicationContext的事件机制。ApplicationEnvironmentPreparedEvent是继承SpringApplicationEvent的框架子类，这个类的作用是当SpringApplication启动时发布Event(事件)，其中，Event即KeyInitializer的方法内容，环境变量Environment可用于读取各种环境变量。

根据本公开的数量，例如可以重写接口ApplicationListener的方法onApplicationEvent(ApplicationEnvironmentPreparedEvent event)，通过Spring的配置文件读取方法environment.resolvePlaceholders()读取本地密钥Key是否生效的参数配置，比如key.enable：true。

在操作S606，根据登陆账户和鉴权认知信息，向鉴权认证服务器申请签名，得到签名认证字符串。

根据本公开的数量，若本地密钥key生效，可以通过Spring的配置文件读取方法environment.resolvePlaceholders()配置文件中的Access Key&Secret Key、域名地址、云端密钥标识、本地密钥openKey。其中，本地密钥openKey可以预先经过base64加密。域名地址可以为https地址。

然后可以对Access Key&Secret Key进行签名处理，生成签名认证字符串Authorization。

在操作S607，向域名地址发起密钥加密请求，得到加密后的目标密钥。

根据本公开的数量，例如可以向域名地址发起用于密钥加密的POST网络请求，请求头设置为Authorization，请求参数设置为云端密钥标识、本地密钥openKey。密码服务器响应于接收到密钥加密请求，利用云端密钥对本地密钥进行加密，得到目标密钥。然后可以对目标密钥进行base64加密，得到加密后的目标密钥作为返回值，发送至请求发起方。

在操作S608，对加密后的目标密钥进行解密，得到目标密钥。

根据本公开的数量，例如可以对返回值进行base64解密，获得未加密的目标密钥。

根据本公开的实施例，由于网络抖动超时等异常请求，如果网络请求发生异常则对操作S607进行反复重试，直到成功获得包含目标密钥的返回值。

根据本公开的实施例，由于密钥是全局唯一，且不能进行修改、复制，所以可以通过单例模式管理目标密钥。例如可以建立单例类KeyStorage。KeyStorage只有一个参数String key，用于存储目标密钥。可以通过判断key是否为空来确定KeyStorage是否赋值，key为空才允许赋值。由此，可以使目标密钥生成后不允许修改，确保目标密钥的正确性。

在操作S609，基于mybatis框架中的TypeHandler(类型转换器)，生成自定义类型转换器，用于通过目标密钥进行数据库字段的加解密。

根据本公开的实施例，可以实现统一的数据库字段加解密的逻辑处理类AesCipherProcessor，这个类可以注册为Spring的bean，例如可以通过注解@Service实现。AesCipherProcessor的核心的是两个方法：明文信息加密方法getEncryptString和密文信息解密方法getOrginValue。本实施例中，可以设置一个前缀字符串，比如decode_prefix_flag。可以在加密后的数据前添加该前缀字符串，用于标识已经加密成功的数据。例如，数据1234加密后得到abcd，则可以在abcd前添加前缀字符串，得到decode_prefix_flag_abcd。本实施例中，在数据解密之前可以先校验数据的前缀是否为decode_prefix_flag，如果是，则执行解密逻辑，否则表示数据之前未加密过，无法解密，由此可以防止系统崩溃。

以下结合具体实施例对解密方法进行说明，示例性地，本实施例中，对于数据为前缀为decode_prefix_flag的加密字符串，通过单例类KeyStorage的方法getKey获得目标密钥，解密代码的解密逻辑可以采用java中的Cipher加解密逻辑。加密方法类似，加密之前校验数据的前缀是否为decode_prefix_flag，如果是，则表示已经加密过，无法重复加密。否则，对数据进行加密。

根据本公开的实施例，可以实现自定义类型转换器CommonAesCipperHandler，自定义类型转换器可以是类(class)数据类型。这个类可以注册为Spring的bean，例如可以通过注解@Service实现。该类可以根据以下方法得到：基于mybatis框架中的类型转换器TypeHandler<T>，注入加解密的逻辑处理类，即AesCipherProcessor的beanaesCipherProcessor，其中aesCipherProcessor包含加密处理方法和解密处理方法。然后重写TypeHandler接口的setParameter和getResult方法，其中重新后的setParameter可以用于调用加密处理方法aesCipherProcessor.getEncryptString，重新后的getResult可以用于调用解密处理方法aesCipherProcessor.getOrginValue。

根据本公开的实施例，一个企业服务可能同时链接多个不同的数据库(可能上百个)，每个数据库可能都有字段需要进行加解密处理。对应地，mybatis可以将多个数据库作为数据源。基于此，本实施例中，可以将CommonAesCipperHandler注册到mybatis的各个数据源中。例如，可以实现注册配置类CommonTypeHandlerConfigureProcessor，然后实现类CommonTypeHandlerConfigureProcessor的四个接口BeanPostProcessor，BeanFactoryAware，ApplicationContextAware，Ordered，并向类注入参数CommonAesCipperHandler autoInjectTypeHandler。接着可以重写Ordered接口的getOrder方法把注册配置类的执行顺序放到最后Ordered.LOWEST_PRECEDENCE。重写ApplicationContextAware的方法setApplicationContext，内容为this.context＝applicationContext；。重写BeanFactoryAware接口的方法setBeanFactory，内容为this.embeddedValueResolver＝new EmbeddedValueResolver((ConfigurableBeanFactory)beanFactory)；。最核心的是BeanPostProcessor接口的postProcessAfterInitialization，可以实现每一个bean注入之后的处理逻辑。

根据本公开的实施例，可以根据CommonTypeHandlerConfigureProcessor重写通用后处理方法postProcessAfterInitialization，用于实现把CommonAesCipperHandler类型转换器注册到每一个mybatis链接源的类型转换器中。例如，可以通过方法SqlSessionFactory.class.isAssignableFrom(bean.getClass)判断当前注入到Spring的Bean是否是一个mybatis的数据库的链接源，若是则转换为sqlSessionFactory，进行两步注册。第一步，sqlSessionFactory.getConfiguration().getTypeAliasRegistry().registerAlias(“commonAesCipper”，AopUtils.getTargetClass(autoInjectTypeHandler))，这一步的作用是为数据源的参数TYPE_ALIASES集合新增类名和类型转换处理类之间的映射关系，这里注册的commonAesCipper后面会使用到。第二步是实现Spring的AOP对象类型自动转换器的处理，sqlSessionFactory.getConfiguration().getTypeHandlerRegistry().register(autoInjectTypeHandler)；这一步的作用是新增String参数的对应类型转换器。

Mybatis框架中的sql语句可以通过xml文件进行编辑。若数据库表的字段名称为register_phone，对应的DAO的字段名为registerPhone，则insert(插入)和update(更新)语句可以写为，register_phone＝#{registerPhone，typeHandler＝commonAesCipper}。若输入的registerPhone为明文信息，在mybatis处理insert和update语句时会自动调用类型转换器commonAesCipper的处理方法setParameter，即实现了明文信息的自动加密。

在操作S610，通过自定义Spring AOP注解和配置文件的字段配置，实现读取数据库中数据时对数据自动解密。

根据本公开的实施例，例如可以实现自定义Spring AOP注解，比如SensitiveAble，这个注解可以在DAO上，可以用于实现从数据库读取对应的数据进行赋值的时候可以进行自动的数据加密处理。注解SensitiveAble可以加上两个注解@Target(ElementType.TYPE)和@Retention(RetentionPolicy.RUNTIME)。其中，@Target用于说明注解所修饰的对象范围。@Retention用来说明注解的生命周期。

根据本公开的实施例，可以使用mybatis框架中的ObjectWrapperFactory对象包装器接口技术。对象例如DAO。ObjectWrapperFactory包括hasWrapperFor和getWrapperFor两个方法，其中hasWrapperFor用于判断是否有包装器，getWrapperFor可以用于获取包装器处理类，实现注解SensitiveAble的功能。例如，可以自定义一个类SensitiveObjectWrapperFactory，新增属性Map＜Class<？>，Boolean＞sensAnotation用于记录每个类是否加了注解SensitiveAble，实现接口ObjectWrapperFactory，重写方法boolean hasWrapperFor(Object object)标识每个bean是否有对应的包装器处理逻辑，通过判断AnnotationUtils.isAnnotationDeclaredLocally(SensitiveAble.class，objClass)来确定当前的类是否加上了注解SensitiveAble，把结果boolean值维护到sensAnotation中。

根据本公开的实施例，可以在SensitiveObjectWrapperFactory中重写getWrapperFor获取包装器处理类方法，其核心是通过hasWrapperFor判断当前对象是否有包装器之后，有则返回对应的包装器处理类。可以通过RealInvocationHandler实现InvocationHandler接口，通过重写(@Override)invoke方法实现包装器的具体处理逻辑。ObjectWrapper getWrapperFor(MetaObject metaObject，Object object)方法的主要目的为返回ObjectWrapper。其中需要做三个判断，第一，若object instanceofMap，则objectWrapper＝new MapWrapper(metaObject，(Map)object)；第二，若objectinstanceof Collection，则objectWrapper＝newCo1lectionWrapper(metaObject，(Collection)object)；其他，则objectWrapper＝new BeanWrapper(metaObject，object)；最后，return(ObjectWrapper)Proxy.newProxyInstance(Thread.currentThread().getContextClassLoader()，ne w Class[]{ObjectWrapper.class}，newRealInvocationHandler())；

根据本公开的实施例，RealInvocationHandler是自定义的处理类，其核心处理逻辑为重写方法Object invoke(Object proxy，Method method，Object[]args)。从而，在执行DAO的方法的时候，获取该方法的名字，判断名字是否为set，即″set″.equals(method.getName())，若是，则标记当前的方法是把数据库的值赋值到DAO中的set方法，此时通过(PropertyTokenizer)args[0].getName()获取当前的数据需要写入DAO中的字段的名称，比如registerPhone。但是很多参数是不需要进行自动解密处理的，此时可以通过在配置文件，比如Spring的application.properties中，为需要自动解密的字段设置一个变量，例如kms.columns＝registerPhone。通过读取该变量，得到需要自动解密的字段的名称，与当前所要写入的字段名称进行对比，如果一致则表示需要进行自动解密处理，此时调用解密方法realValue＝aesCipherProcessor.getOrginValue((String)args[1])对从数据库读取出来的数据进行解密，获得明文信息，然后通过方法realObjectWrapper.set(prop，realValue)；把真实的明文信息复制给DAO中的字段，比如registerPhone。

相关技术在读取数据库中的加密数据时，需要通过一段解密代码进行解密操作，如果涉及多个加密数据，那么对每个加密数据都需要进行一次解密代码的编写。同理，用户输入的明文数据在存储至数据库之前也需要进行多次的加密代码编写。由此导致开发人员的工作量较大，加密解密的处理效率较低，维护性较差。

根据本公开的实施例，基于Spring的AOP注解监测技术、mybatis的TypeHandler类型处理接口技术和mybatis的对象包装器ObjectWrapperFactory技术，可以灵活的配置密钥的获取来源，如果是公有云密钥管理服务，则可以在企业应用服务启动时通过网络请求获取到企业服务程序中，通过配置数据库字段的处理工具类，对具体的数据库字段进行自动的加解密操作，通过少量代码配置即可以，不需要对大量的重复的数据库字段的加解密处理逻辑进行编写，极大的提升了开发效率。

以下将结合图7对本公开提供的数据库的访问装置进行描述。

图7示意性示出了根据本公开实施例的数据库的访问装置的框图。

如图7所示，该数据库的访问装置700包括发送模块710、获取模块720、加密模块730和写入模块740。

发送模块710，用于向密钥服务器发送密钥加密请求，其中，密钥加密请求包括本地密钥。

获取模块720，用于获取来自密钥服务器的目标密钥，其中，目标密钥是密钥服务器根据密钥服务器密钥对本地密钥进行加密得到的。

加密模块730，用于响应于接收到针对数据库的写入请求，利用与数据库对应的自定义类型转换器，根据密钥，对与写入请求对应的待写入数据进行加密，得到加密数据，其中，自定义类型转换器是通过向默认类型转换器注入加密逻辑代码和解密逻辑代码得到的。

写入模块740，用于将加密数据写入数据库。

根据本公开的实施例，上述装置还可以包括读取模块，用于响应于接收到针对数据库的读取请求，读取数据库中与读取请求对应的目标加密数据；解密模块，用于利用与数据库对应的自定义类型转换器，根据密钥，对与目标加密数据进行解密，得到原始数据；以及赋值模块，用于将原始数据写入数据访问对象。

根据本公开的实施例，默认类型转换器例如可以包括参数设置方法和结果获取方法，装置还可以包括：第一注册模块，用于在应用程序框架中注册加解密处理器，其中，加解密处理器包括加密逻辑代码和解密逻辑代码；以及配置模块，用于将默认类型转换器中的参数设置方法配置为执行加密逻辑代码，并将默认类型转换器中的结果获取方法配置为执行解密逻辑代码，得到自定义类型转换器。

根据本公开的实施例，加密模块可以包括：第一调用子模块，用于通过调用自定义类型转换器的参数设置方法来执行加密逻辑代码，以便根据密钥，对待写入数据进行加密，得到加密数据。

根据本公开的实施例，解密模块可以包括：第二调用子模块，用于通过调用自定义类型转换器的结果获取方法来执行解密逻辑代码，以便根据密钥，对目标加密数据进行解密，得到原始数据。

根据本公开的实施例，上述装置还可以包括注解模块，用于在数据处理对象中添加自定义注解；以及重写模块，用于对于添加了自定义注解的数据处理对象，重写数据处理对象的援引方法，以便将数据处理对象的对象包装器配置为在将原始数据写入数据处理对象前，调用自定义类型转换器的结果获取方法。

根据本公开的实施例，上述装置还可以包括第二注册模块，用于在持久层框架中为数据库注册自定义类型转换器。

根据本公开的实施例，上述装置还可以包括信息获取模块，用于获取登录账号、密码、云端密钥标识和本地密钥；鉴权模块，用于根据登录账号和密码，进行鉴权认证，得到鉴权认证信息；以及请求生成模块，用于根据鉴权认证信息、云端密钥标识和本地密钥，生成密钥加密请求。

根据本公开的实施例，本公开还提供了一种电子设备、一种可读存储介质和一种计算机程序产品。

图8示意性示出了可以用来实施本公开的实施例的示例电子设备800的框图。电子设备旨在表示各种形式的数字计算机，诸如，膝上型计算机、台式计算机、工作台、个人数字助理、服务器、刀片式服务器、大型计算机、和其它适合的计算机。电子设备还可以表示各种形式的移动装置，诸如，个人数字处理、蜂窝电话、智能电话、可穿戴设备和其它类似的计算装置。本文所示的部件、它们的连接和关系、以及它们的功能仅仅作为示例，并且不意在限制本文中描述的和/或者要求的本公开的实现。

如图8所示，设备800包括计算单元801，其可以根据存储在只读存储器(ROM)802中的计算机程序或者从存储单元808加载到随机访问存储器(RAM)803中的计算机程序，来执行各种适当的动作和处理。在RAM 803中，还可存储设备800操作所需的各种程序和数据。计算单元801、ROM 802以及RAM 803通过总线804彼此相连。输入/输出(I/O)接口805也连接至总线804。

设备800中的多个部件连接至I/O接口805，包括：输入单元806，例如键盘、鼠标等；输出单元807，例如各种类型的显示器、扬声器等；存储单元808，例如磁盘、光盘等；以及通信单元809，例如网卡、调制解调器、无线通信收发机等。通信单元809允许设备800通过诸如因特网的计算机网络和/或各种电信网络与其他设备交换信息/数据。

计算单元801可以是各种具有处理和计算能力的通用和/或专用处理组件。计算单元801的一些示例包括但不限于中央处理单元(CPU)、图形处理单元(GPU)、各种专用的人工智能(AI)计算芯片、各种运行机器学习模型算法的计算单元、数字信号处理器(DSP)、以及任何适当的处理器、控制器、微控制器等。计算单元801执行上文所描述的各个方法和处理，例如数据库的访问方法。例如，在一些实施例中数据库的访问方法可被实现为计算机软件程序，其被有形地包含于机器可读介质，例如存储单元808。在一些实施例中，计算机程序的部分或者全部可以经由ROM802和/或通信单元809而被载入和/或安装到设备800上。当计算机程序加载到RAM 803并由计算单元801执行时，可以执行上文描述的数据库的访问方法的一个或多个步骤。备选地，在其他实施例中，计算单元801可以通过其他任何适当的方式(例如，借助于固件)而被配置为执行数据库的访问方法。

本文中以上描述的系统和技术的各种实施方式可以在数字电子电路系统、集成电路系统、现场可编程门阵列(FPGA)、专用集成电路(ASIC)、专用标准产品(ASSP)、芯片上系统的系统(SOC)、复杂可编程逻辑设备(CPLD)、计算机硬件、固件、软件、和/或它们的组合中实现。这些各种实施方式可以包括：实施在一个或者多个计算机程序中，该一个或者多个计算机程序可在包括至少一个可编程处理器的可编程系统上执行和/或解释，该可编程处理器可以是专用或者通用可编程处理器，可以从存储系统、至少一个输入装置、和至少一个输出装置接收数据和指令，并且将数据和指令传输至该存储系统、该至少一个输入装置、和该至少一个输出装置。

用于实施本公开的方法的程序代码可以采用一个或多个编程语言的任何组合来编写。这些程序代码可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器或控制器，使得程序代码当由处理器或控制器执行时使流程图和/或框图中所规定的功能/操作被实施。程序代码可以完全在机器上执行、部分地在机器上执行，作为独立软件包部分地在机器上执行且部分地在远程机器上执行或完全在远程机器或服务器上执行。

在本公开的上下文中，机器可读介质可以是有形的介质，其可以包含或存储以供指令执行系统、装置或设备使用或与指令执行系统、装置或设备结合地使用的程序。机器可读介质可以是机器可读信号介质或机器可读储存介质。机器可读介质可以包括但不限于电子的、磁性的、光学的、电磁的、红外的、或半导体系统、装置或设备，或者上述内容的任何合适组合。机器可读存储介质的更具体示例会包括基于一个或多个线的电气连接、便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或快闪存储器)、光纤、便捷式紧凑盘只读存储器(CD-ROM)、光学储存设备、磁储存设备、或上述内容的任何合适组合。

为了提供与用户的交互，可以在计算机上实施此处描述的系统和技术，该计算机具有：用于向用户显示信息的显示装置(例如，CRT(阴极射线管)或者LCD(液晶显示器)监视器)；以及键盘和指向装置(例如，鼠标或者轨迹球)，用户可以通过该键盘和该指向装置来将输入提供给计算机。其它种类的装置还可以用于提供与用户的交互；例如，提供给用户的反馈可以是任何形式的传感反馈(例如，视觉反馈、听觉反馈、或者触觉反馈)；并且可以用任何形式(包括声输入、语音输入或者、触觉输入)来接收来自用户的输入。

可以将此处描述的系统和技术实施在包括后台部件的计算系统(例如，作为数据服务器)、或者包括中间件部件的计算系统(例如，应用服务器)、或者包括前端部件的计算系统(例如，具有图形用户界面或者网络浏览器的用户计算机，用户可以通过该图形用户界面或者该网络浏览器来与此处描述的系统和技术的实施方式交互)、或者包括这种后台部件、中间件部件、或者前端部件的任何组合的计算系统中。可以通过任何形式或者介质的数字数据通信(例如，通信网络)来将系统的部件相互连接。通信网络的示例包括：局域网(LAN)、广域网(WAN)和互联网。

计算机系统可以包括客户端和服务器。客户端和服务器一般远离彼此并且通常通过通信网络进行交互。通过在相应的计算机上运行并且彼此具有客户端-服务器关系的计算机程序来产生客户端和服务器的关系。

应该理解，可以使用上面所示的各种形式的流程，重新排序、增加或删除步骤。例如，本发公开中记载的各步骤可以并行地执行也可以顺序地执行也可以不同的次序执行，只要能够实现本公开公开的技术方案所期望的结果，本文在此不进行限制。

上述具体实施方式，并不构成对本公开保护范围的限制。本领域技术人员应该明白的是，根据设计要求和其他因素，可以进行各种修改、组合、子组合和替代。任何在本公开的精神和原则之内所作的修改、等同替换和改进等，均应包含在本公开保护范围之内。

Claims (12)

1.一种数据库的访问方法，包括：

向密钥服务器发送密钥加密请求，其中，所述密钥加密请求包括本地密钥；

获取来自所述密钥服务器的目标密钥，其中，所述目标密钥是所述密钥服务器根据密钥服务器密钥对所述本地密钥进行加密得到的；

响应于接收到针对数据库的写入请求，利用与所述数据库对应的自定义类型转换器，根据所述密钥，对与所述写入请求对应的待写入数据进行加密，得到加密数据，其中，所述自定义类型转换器是通过向默认类型转换器注入加密逻辑代码和解密逻辑代码得到的；以及

将所述加密数据写入所述数据库。

2.根据权利要求1所述的方法，还包括：

响应于接收到针对所述数据库的读取请求，读取所述数据库中与所述读取请求对应的目标加密数据；

利用与所述数据库对应的自定义类型转换器，根据所述密钥，对与所述目标加密数据进行解密，得到原始数据；以及

将所述原始数据写入数据访问对象。

3.根据权利要求2所述的方法，其中，所述默认类型转换器包括参数设置方法和结果获取方法，所述方法还包括：

在应用程序框架中注册加解密处理器，其中，所述加解密处理器包括加密逻辑代码和解密逻辑代码；以及

将所述默认类型转换器中的参数设置方法配置为执行所述加密逻辑代码，并将所述默认类型转换器中的结果获取方法配置为执行所述解密逻辑代码，得到所述自定义类型转换器。

4.根据权利要求3所述的方法，其中，所述利用与所述数据库对应的自定义类型转换器，根据所述密钥，对与所述写入请求对应的待写入数据进行加密，得到加密数据，包括：

通过调用所述自定义类型转换器的参数设置方法来执行所述加密逻辑代码，以便根据所述密钥，对所述待写入数据进行加密，得到所述加密数据。

5.根据权利要求3所述的方法，其中，所述利用与所述数据库对应的自定义类型转换器，根据所述密钥，对与所述目标加密数据进行解密，得到原始数据，包括：

通过调用所述自定义类型转换器的结果获取方法来执行所述解密逻辑代码，以便根据所述密钥，对所述目标加密数据进行解密，得到所述原始数据。

6.根据权利要求2所述的方法，还包括：

在所述数据处理对象中添加自定义注解；以及

对于添加了自定义注解的数据处理对象，重写所述数据处理对象的援引方法，以便将所述数据处理对象的对象包装器配置为在将原始数据写入所述数据处理对象前，调用所述自定义类型转换器的结果获取方法。

7.根据权利要求1或2所述的方法，还包括：

在持久层框架中为所述数据库注册所述自定义类型转换器。

8.根据权利要求1或2所述的方法，还包括：

获取登录账号、密码、云端密钥标识和本地密钥；

根据所述登录账号和所述密码，进行鉴权认证，得到鉴权认证信息；以及

根据所述鉴权认证信息、所述云端密钥标识和所述本地密钥，生成所述密钥加密请求。

9.一种数据库的访问装置，包括：

发送模块，用于向密钥服务器发送密钥加密请求，其中，所述密钥加密请求包括本地密钥；

获取模块，用于获取来自所述密钥服务器的目标密钥，其中，所述目标密钥是所述密钥服务器根据密钥服务器密钥对所述本地密钥进行加密得到的；

加密模块，用于响应于接收到针对数据库的写入请求，利用与所述数据库对应的自定义类型转换器，根据所述密钥，对与所述写入请求对应的待写入数据进行加密，得到加密数据，其中，所述自定义类型转换器是通过向默认类型转换器注入加密逻辑代码和解密逻辑代码得到的；以及

写入模块，用于将所述加密数据写入所述数据库。

10.一种电子设备，包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求1-8中任一项所述的方法。

11.一种存储有计算机指令的非瞬时计算机可读存储介质，其中，所述计算机指令用于使所述计算机执行根据权利要求1-8中任一项所述的方法。

12.一种计算机程序产品，包括计算机程序/指令，其特征在于，该计算机程序/指令被处理器执行时实现权利要求1-8中任一项所述方法的步骤。

Images