CN116305231A - 基于did凭证数据流转的授权管理方法和装置、电子设备及存储介质 - Google Patents

Abstract

本申请公开了一种基于DID凭证数据流转的授权管理方法和装置、电子设备及存储介质。该方法包括：接收用户的凭证数据授权查询请求，其中，所述凭证数据授权查询请求中包含有被授权方信息以及凭证信息；根据所述被授权方信息获取凭证数据授权记录数据；根据所述凭证数据授权记录数据和凭证信息生成凭证数据授权查询结果。本申请实施例不仅确保了用户信息在查询过程中的安全性，而且还为用户提供了更高的授权管理效率。

Description

基于DID凭证数据流转的授权管理方法和装置、电子设备及存 储介质

技术领域

本申请涉及网络技术领域，尤其涉及一种基于DID凭证数据流转的授权管理方法和装置、电子设备及存储介质。

背景技术

随着互联网技术的发展，人们已经可以越来越多地通过互联网来进行生活和工作，并且因此也出现了各种基于互联网而建设的网站以向用户提供各种各样的服务。由于互联网的身份隐匿性，使得网站往往无法知晓访问或登录到其网站的用户的真实身份，并且因此也无法对于用户使用服务进行相应的规范和管理。为此，现有技术中已经提出了用户需要在访问或登录的网站中预先登记其身份信息，以便于网站可以在用户请求使用网站的服务时可以基于用户提交的身份信息来为用户提供服务。在这一过程中，用户需要将自己的身份信息的原始数据提供给网站并进而保存在网站的服务器中，但是这样的身份信息通常都是用户的隐私数据，因此，用户在使用不同网站提供的服务的同时，也不得不将自己的隐私数据存储在各个网站上，这大大增加了用户隐私暴露的风险。对此，需要一种能够保证用户的隐私数据的安全性的方案

发明内容

本申请实施例提供一种基于DID凭证数据流转的授权管理方法和装置、电子设备及存储介质，以解决现有技术中用户在使用互联网服务时隐私数据缺乏安全性的缺陷。

为达到上述目的，本申请实施例提供了一种基于DID凭证数据流转的授权管理方法，包括：

接收用户的凭证数据授权查询请求，其中，所述凭证数据授权查询请求中包含有被授权方信息以及凭证信息；

根据所述被授权方信息获取凭证数据授权记录数据；

根据所述凭证数据授权记录数据和凭证信息生成凭证数据授权查询结果。

本申请实施例还提供了一种基于DID凭证数据流转的授权管理装置，包括：

第一接收模块，用于接收用户的凭证数据授权查询请求，其中，所述凭证数据授权查询请求中包含有被授权方信息以及凭证数据信息；

第一获取模块，用于根据所述被授权方信息获取凭证数据授权记录数据；

生成模块，用于根据所述凭证数据授权记录数据和凭证数据信息生成凭证数据授权查询结果。

本申请实施例还提供了一种电子设备，包括：

存储器，用于存储程序；

处理器，用于运行所述存储器中存储的所述程序，所述程序运行时执行本申请实施例提供的基于DID凭证数据流转的授权管理方法。

本申请实施例还提供了一种计算机可读存储介质，其上存储有可被处理器执行的计算机程序，其中，该程序被处理器执行时实现如本申请实施例提供的基于DID凭证数据流转的授权管理方法。

本申请实施例提供的基于DID凭证数据流转的授权管理方法和装置、电子设备及存储介质，通过根据接收的用户凭证数据授权查询请求中的被授权方信息来获取凭证数据授权记录数据并根据所获取到的授权记录数据和用户凭证数据授权查询请求中包括的凭证信息来生成凭证数据授权查询结果，从而用户无需在授权查询请求中包含用户自己的个人信息，而是仅发送凭证信息和被授权方信息就能够获取到所有的针对用户自己的凭证数据的授权记录，并根据授权记录和凭证信息来生成授权查询结果，从而可以基于这样的授权查询结果来方便用户对已经进行的授权进行删除，这样不仅确保了用户信息在查询过程中的安全性，而且还为用户提供了更高的授权管理效率。

上述说明仅是本申请技术方案的概述，为了能够更清楚了解本申请的技术手段，而可依照说明书的内容予以实施，并且为了让本申请的上述和其它目的、特征和优点能够更明显易懂，以下特举本申请的具体实施方式。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本申请的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1是示出了根据本申请实施例的基于DID凭证数据流转的授权管理方案的应用场景示意图；

图2为本申请提供的基于DID凭证数据流转的授权管理方法的实施例的流程图；

图3为本申请提供的基于DID凭证数据流转的授权管理装置的结构示意图；

图4为本申请提供的电子设备实施例的结构示意图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

实施例一

本申请实施例提供的方案可应用于任何具有数据查询和处理功能的数据系统。

随着互联网技术的发展，人们已经可以越来越多地通过互联网来进行生活和工作，并且因此也出现了各种基于互联网而建设的网站以向用户提供各种各样的服务。由于互联网的身份隐匿性，使得网站往往无法知晓访问或登录到其网站的用户的真实身份，并且因此也无法对于用户使用服务进行相应的规范和管理。为此，现有技术中已经提出了用户需要在访问或登录的网站中预先登记其身份信息，以便于网站可以在用户请求使用网站的服务时可以基于用户提交的身份信息来为用户提供服务。在这一过程中，用户需要将自己的身份信息的原始数据提供给网站并进而保存在网站的服务器中，但是这样的身份信息通常都是用户的隐私数据，因此，用户在使用不同网站提供的服务的同时，也不得不将自己的隐私数据存储在各个网站上，这大大增加了用户隐私暴露的风险。

对此，在现有技术中已经提出了DID(去中心化身份标识)系统，该系统主要是针对上述现有的由各个网站管理用户的身份信息的中心化身份系统而提出的。由于大部分不同的网站或平台的身份注册模块并不互通，因此当前大部分不同运营方的网站或平台由于相互之间不具有访问或甚至管理对方网站的身份数据的权限，而无法对于使用对方网站发行的身份标识的用户的身份进行验证。

在DID系统中，用户可以向有能力对用户真实身份进行认证的发证方请求身份认证，并且发证方可以基于用户的认证请求来对用户所请求的身份信息进行核验并且在核验通过后可以向用户签发凭证数据，该凭证数据可以作为权威机构向用户签发的证明用户的特定身份信息的证明数据。例如，图1是示出了根据本申请实施例的DID凭证数据的应用场景的示意图。在图1中所示的场景中，用户可以在DID系统中通过使用用户节点来根据使用方的凭证获取请求或者根据自己的凭证需求来向发证方节点发送凭证签发请求，发证方节点可以是例如法律或公认可以对用户的一种或多种身份信息进行认证的部门或单位，并且因此发证方可以响应于接收到的用户通过用户节点发送过得认证请求，即请求签发认证凭证，来对用户的该请求中包含的指定的身份信息进行认证。例如，用户需要登录的网站需要了解用户的年龄，以确认用户的年龄是否达到了使用网站提供的服务的年龄值。

为此，在传统的互联网系统中，用户需要通过先在网站的个人信息界面中登记自己的例如出生日期信息，并且网站为了确保用户登记的出生日期信息的准确性，往往还需要用户上传例如身份证件等具有法律效力的证件，以供网站核对，这样用户为了让该网站了解其年龄信息，就需要将自己的生日信息以及包含有生日信息的完整证件信息发送给网站。但是通常情况下，这样的具有法律效力证件信息通常会包含很多种类的身份信息，例如，用户的住址、照片等等，而用户将自己的这样完整的证件信息上传到网站却仅为了证明其年龄这一种身份信息。

对此，在DID系统中，用户可以请求对自己的年龄具有法定或公认的认证效力的发证方来签发关于其当前年龄的凭证数据，发证方可以在根据用户的认证请求中包含的用户标识来检索其数据库中存储的用户的身份信息或仅检索用户的出生日期信息，并结合收到用户请求的日期或用户在请求中指定的日期来确定用户在该日期的年龄，并由此可以向用户签发关于其在指定日期的年龄的凭证数据，而用户在收到该凭证数据后可以在访问作为该凭证数据的使用方的网站1时，将该凭证数据出示给网站1，从而网站1可以根据该凭证数据确认用户在当前日期的年龄，并当用户的该年龄符合使用相关服务的规定时，可以向用户提供服务。例如，用户可以在发证方将凭证数据发送给服务节点，并且服务节点将该凭证数据使用为其生成的凭证密钥进行加密存储之后，可以根据使用方的用户信息来向服务节点请求将该凭证数据授权给该使用方来访问，从而服务节点可以根据该凭证数据的所有者的授权请求而在服务节点中为该使用方创建针对该凭证数据的授权。

在DID系统中，用户在向使用方请求需要身份验证的各种服务时，虽然网站需要根据用户的身份信息是否符合规定来确定是否向用户提供服务，但是用户只需要针对所要访问的网站或者所要使用的网站服务要求的身份信息类型而请求发证方签发相应的凭证数据，并请求服务节点将该凭证数据作为身份证明授权给对应的网站来访问，网站就可以根据用户或服务节点发送给其的授权信息来访问服务节点中进行加密存储的该凭证数据，以确定是否可以向用户提供相应的服务。

在该过程中，用户无需向网站提供任何具体的身份信息，而是替代地，将网站所要求的关于身份的证明，即凭证数据授权给网站来访问。在该凭证数据中可以由发证方写入用户的相应的身份信息验证结果或者是根据用户的相应身份信息而计算或判断出的结论数据。例如在上述的网站需要验证用户的年龄的示例中，网站实际上并非是需要当前的年龄，而是需要确认访问网站的用户是否已经年满18岁。因此，在用户请求发证方签发的针对该网站的凭证数据中，发证方就无须在凭证数据中写入用户在指定日期的年龄，而是可以仅在凭证数据中写入用户在指定日期的年龄值以及该发证方的信息即可。

但是随着用户使用的互联网服务的数量的增长，作为凭证数据的所有者的用户不仅会在服务节点中存储越来越多的凭证数据，而且也会创建越来越多的授权。例如，可能会将同一个凭证数据授权给多个使用方，或者将多个凭证数据授权给一个使用方。因此，对于用户的凭证数据的授权数量的增多，意味着有越来越多的第三方可以访问用户的凭证数据，这无疑增加了用户的隐私数据泄露的风险。

对此，如图1中所示，在根据本申请实施例的DID系统场景中，用户可以通过使用安装有根据本申请实施例的DID系统的客户端的终端来从用户节点登录到DID系统中，并且可以向服务节点发送凭证数据的授权查询请求，以查询当前在服务节点对于自己所拥有的凭证数据已经创建的授权信息。在本申请实施例中，该授权信息可以是用户根据使用方的身份证明请求来请求发证方签发相应的凭证数据并且由服务节点将发证方签发的该凭证数据进行加密存储，例如服务节点可以先针对该凭证数据生成专用于该凭证数据的凭证密钥并使用该凭证密钥来对该凭证数据进行加密，这样就确保了凭证数据的安全性，之后再使用该凭证数据的所有者，即该用户的用户公钥来对凭证密钥进行加密，从而该凭证密钥只有用户可以使用其用户私钥进行解密，确保了凭证密钥的安全性。在该基础上，用户可以对于这样已经被加密存储在服务节点中的凭证数据为使用方创建授权，例如用户可以使用使用方的秘钥对于凭证密钥进行重新加密，从而使用方可以使用自己的使用方公钥来对被授权的凭证密钥进行解密并进而对凭证数据进行解密，来获得凭证数据。

因此，用户在向服务节点发送的授权查询请求中可以包含有被授权方，例如使用方的被授权方信息以及要查询的凭证数据的凭证信息。例如，在本申请实施例中，被授权方信息可以包括被授权用户的用户公钥，例如上述请求用户提供身份证明，即凭证数据的使用方的使用方公钥，凭证信息可以包括用户所要查询的凭证数据在服务节点中的存储地址。因此，根据该存储地址可以唯一地标识该凭证数据和对应的加密凭证密钥，并且根据该使用方公钥可以检索服务节点中被加密的加密凭证密钥中被使用该使用方公钥进行加密的加密凭证密钥，从而可以获取到查询请求中所指定的凭证数据的所有授权给使用方的授权记录。换言之，在本申请实施例中，用户可以在向服务节点发送的凭证数据授权查询请求中通过包含例如使用方的使用方公钥作为授权方信息以及例如凭证数据在服务节点中的存储地址作为凭证信息，来查询授权记录，因此在查询请求中没有包含任何隐私数据，并且由于凭证数据在服务节点中被使用与其唯一对应的凭证密钥进行加密，并且该凭证密钥通过由使用方的使用方公钥进行加密来向使用方授权，因此，即使该授权请求被第三方劫持而了解到这些信息，恶意第三方也无法根据查询请求中包含的信息而获取到用户在服务节点中存储的隐私信息。

此外，用户还可以在其发送给服务节点的授权查询请求中进一步包含其自己的用户公钥，服务节点在接收到用户发送的授权查询请求中包含的该用户公钥之后，可以首先根据授权请求中指定的例如使用方的使用方信息来在服务节点中检索相应的加密凭证密钥。即，如上所述，在服务节点中，用户可以通过使用使用方公钥来对将要出示给使用方的凭证数据的凭证密钥进行加密，以实现对于使用方的授权，因此，在服务节点中，被授权给使用方访问的凭证数据对应的凭证密钥是被使用与该使用方信息对应的使用方公钥加密的，因此，服务节点可以通过根据授权查询请求中的使用方信息来检索都有哪些凭证密钥是由该使用方信息对应的使用方公钥加密的，之后可以根据凭证密钥信息和凭证数据的所有者的用户公钥从这样检索到的凭证密钥中确定与授权查询请求中所指定的凭证数据的所有者关联的凭证密钥来作为授权记录。换言之，在本申请实施例中，服务节点可以先将所有由授权查询请求中所指定的使用方信息对应的使用方密钥加密的凭证密钥检索出来，然后在这样检索获取到的所有凭证密钥中在进一步检索与授权请求中指定的凭证数据的所有者有关的凭证密钥。

在确定了与用户有关的凭证密钥后，服务节点就可以进一步查询该凭证密钥被使用的情况，例如是否已经被使用方使用以及使用时间等信息，从而服务节点可以将这样进一步获取到的凭证使用信息和上述授权记录一起来生成授权查询结果，并可以发送给用户来核对。

例如，在图1中所示的场景中，用户1在服务节点中存储有凭证数据1和凭证数据1，该凭证数据1和2可以是用户1响应于使用方1的身份证明要求而请求发证方通过发证方节点发送到服务节点的，在服务节点中可以分别针对该凭证数据1和凭证数据2生成凭证密钥1和凭证密钥2，并且使用凭证密钥1来对凭证数据1进行加密，以生成加密凭证数据1，使用凭证密钥2对凭证数据2进行加密，以生成加密凭证数据2。同时，服务节点可以使用作为凭证数据1和2的所有者的用户的用户公钥来对凭证密钥1和2进行加密，从而生成加密凭证密钥1和加密凭证密钥2。在存储了凭证数据之后，由于使用方1要求用户提供凭证数据1和凭证数据2，因此用户可以根据服务节点发送给其的加密凭证密钥1和加密凭证密钥2来使用其自己的用户私钥进行解密并使用使用方1的使用方公钥进行重加密，以获得加密凭证密钥11和加密凭证密钥21，并将其发送给服务节点来存储，从而在服务节点中可以针对用户1的该凭证数据1和2存储了使用使用方1的使用方公钥加密的加密凭证密钥11和加密凭证密钥21来对使用方1访问凭证数据1和2进行授权。类似地，当使用方2对于用户要求提供身份证明，而该身份证明所涉及的身份信息实际上是使用方1已经向用户请求过的凭证数据1的内容，因此，用户可以根据凭证数据1的凭证信息而以类似的方式生成加密凭证密钥12，并存储在服务节点中来完成对于使用方2的授权。

在图1中所示的场景中，当用户想要查询其已经对于使用方1创建的授权时，用户可以向服务节点发送授权查询请求，并且在其中可以包含有凭证信息，例如凭证数据1的存储地址，以及使用方1的使用方信息，例如，使用方1的使用方公钥。服务节点在接收到用户发送的该授权查询请求时，可以根据该授权查询请求中包含的例如使用方1的使用方公钥在服务节点中存储的所有加密凭证密钥中使用了使用方1的该使用方公钥进行加密的加密凭证密钥11和21。例如，在服务节点中可以在为用户为使用方1创建授权时，预先将加密凭证密钥11和21与使用方1的使用方公钥进行关联，并存储该关联信息，从而当用户在授权查询请求中包含了使用方公钥时，服务节点可以在存储的这些关联信息中检索与用户的授权查询请求中包含的使用方公钥匹配的使用方公钥，并且将检索到的这些匹配的使用方公钥对应的加密凭证密钥作为授权记录。服务节点可以接下来继续根据检索到的加密凭证密钥而确定对应的凭证数据，并进而可以例如获取到该凭证数据相关的记录，例如已经被使用方1访问过，以及访问时间等信息，从而服务节点可以将这样获取到的凭证的使用信息和授权记录作为用户的凭证数据的授权查询结果。

此外，在服务节点将用户所查询的凭证数据的授权查询结果发送给用户之后，用户可以根据该授权查询结果来进行核对，并且可以删除掉不需要的授权。例如，用户1在根据使用方1的身份证明要求而向使用方1授权了对于凭证数据1的访问之后，经过一段时间，用户1不希望凭证数据1所涉及到的自己的身份信息被他人访问，那么就可以根据服务节点如上所述发送的授权查询结果而向服务节点发送授权删除请求。例如，用户可以在授权删除请求中包含有用户想要删除其授权信息的凭证数据的凭证信息，例如可以包含凭证数据1的加密凭证密钥1，从而服务节点可以根据该加密凭证密钥1而确定目标凭证数据为凭证数据1。此外，在例如图1中所示的场景中，凭证数据1被授权为使用方1和使用方2均可以访问，因此，用户可以通过在授权删除请求中进一步包含被授权方的用户公钥来指定对于被授权用户的删除，例如，用户可以在授权删除请求中包含使用方1的使用方公钥，从而服务节点在接收到用户的授权删除请求之后，还可以根据其中包含的使用方1的使用方公钥，从之前根据授权删除请求中包含的凭证信息所确定的凭证数据1的授权记录中确定需要删除的是使用使用方1的使用方公钥加密的该加密凭证秘钥11。

此外，服务节点在接收到用户的授权删除请求时，还可以根据其中包含的用户的用户标识，例如用户公钥，来首先确定用户是否对于凭证数据具有删除权限。之后，服务节点还可以进一步根据该用户公钥来获取到例如凭证数据1的被访问状态，并且当凭证数据1在用户1被授权之后还没有被访问过，那么就可以根据用户的删除请求删除该授权信息，例如，可以通过删除该凭证数据1的使用使用方1的使用方密钥加密的加密凭证密钥11。因此，用户可以通过上述方式，在请求了服务节点为其查询指定的凭证数据对于指定的使用方的授权之后，还可以进一步根据服务节点反馈的该授权查询结果来对该记录中的被授权方的授权进行删除，从而确保了用户对于其隐私数据的安全管理。

本申请实施例提供的基于DID凭证数据流转的授权管理方案，通过根据接收的用户凭证数据授权查询请求中的被授权方信息来获取凭证数据授权记录数据并根据所获取到的授权记录数据和用户凭证数据授权查询请求中包括的凭证信息来生成凭证数据授权查询结果，从而用户无需在授权查询请求中包含用户自己的个人信息，而是仅发送凭证信息和被授权方信息就能够获取到所有的针对用户自己的凭证数据的授权记录，并根据授权记录和凭证信息来生成授权查询结果，从而可以基于这样的授权查询结果来方便用户对已经进行的授权进行删除，这样不仅确保了用户信息在查询过程中的安全性，而且还为用户提供了更高的授权管理效率。

上述实施例是对本申请实施例的技术原理和示例性的应用框架的说明，下面通过多个实施例来进一步对本申请实施例具体技术方案进行详细描述。

实施例二

图2为本申请提供的基于DID凭证数据流转的授权管理方法的实施例的流程图，该方法的执行主体可以为具有数据处理能力的各种终端或服务器设备，也可以为集成在这些设备上的装置或芯片。如图2所示，该授权管理方法包括如下步骤：

S201，接收用户的凭证数据授权查询请求。

在步骤S201中，例如DID系统中的服务节点可以接收用户通过例如用户节点发送的凭证数据授权查询请求。在本申请实施例中，用户可以通过在DID系统中请求对自己的年龄具有法定或公认的认证效力的发证方来签发与使用方要求其提供的身份证明有关的凭证数据，发证方可以在根据用户的认证请求中包含的用户标识来检索其数据库中存储的用户的身份信息，从而可以向用户签发关于使用方所要求的身份信息证明的凭证数据。例如，发证方可以将这样生成的凭证数据发送给服务节点，并且服务节点将该凭证数据使用为其生成的凭证密钥进行加密存储之后，用户可以根据使用方的用户信息来向服务节点请求将该凭证数据授权给该使用方来访问，从而服务节点可以根据该凭证数据的所有者的授权请求而在服务节点中为该使用方创建针对该凭证数据的授权。

例如，服务节点可以先针对该凭证数据生成专用于该凭证数据的凭证密钥并使用该凭证密钥来对该凭证数据进行加密，这样就确保了凭证数据的安全性，之后再使用该凭证数据的所有者，即该用户的用户公钥来对凭证密钥进行加密，从而该凭证密钥只有用户可以使用其用户私钥进行解密，确保了凭证密钥的安全性。在该基础上，用户可以对于这样已经被加密存储在服务节点中的凭证数据为使用方创建授权，例如用户可以使用使用方的秘钥对于凭证密钥进行重新加密，并将该重新加密的凭证密钥发送给服务节点来存储作为对于使用方的授权。

因此，服务节点在步骤S201中接收到的用户的授权查询请求中可以包含有被授权方，例如使用方的被授权方信息以及要查询的凭证数据的凭证信息。特别地，被授权方信息可以包括被授权用户的用户公钥，例如上述请求用户提供身份证明，即凭证数据的使用方的使用方公钥，凭证信息可以包括用户所要查询的凭证数据在服务节点中的存储地址。

S202，根据被授权方信息获取凭证数据授权记录数据。

S203，根据凭证数据授权记录数据和凭证信息生成凭证数据授权查询结果。

在步骤S202中，服务节点可以根据步骤S201中接收到的授权查询请求中的被授权方信息来获取凭证数据授权记录数据。在本申请实施例中，凭证数据授权记录数据可以是用户将自己所拥有的一个或多个凭证数据授权给一个或多个使用方的相关记录。例如，服务节点可以在步骤S202中根据在步骤S201中接收到的授权查询请求中包含的凭证数据的存储地址来查询对应的凭证数据，并且还可以进一步根据查询到的凭证数据而确定对应的加密凭证密钥。在步骤S201中接收到的被授权方信息中包含有使用方公钥，因此服务节点在步骤S202中可以根据该使用方公钥可以对于如上检索到的加密凭证密钥中被使用该使用方公钥进行加密的加密凭证密钥，从而可以获取到查询请求中所指定的凭证数据的所有授权给使用方的授权记录。

换言之，在本申请实施例中，服务节点在步骤S201中接收到的凭证数据授权查询请求中可以包含例如使用方的使用方公钥作为授权方信息以及例如凭证数据在服务节点中的存储地址作为凭证信息，从而服务节点可以在步骤S202中根据这样的信息来查询授权记录，因此在查询请求中没有包含任何隐私数据，并且由于凭证数据在服务节点中被使用与其唯一对应的凭证密钥进行加密，并且该凭证密钥通过由使用方的使用方公钥进行加密来向使用方授权，因此，即使该授权请求被第三方劫持而了解到这些信息，恶意第三方也无法根据查询请求中包含的信息而获取到用户在服务节点中存储的隐私信息。

此外，服务节点在步骤S201中接收到的授权查询请求中可以进一步包含用户自己的用户公钥，从而服务节点可以在步骤S202中首先根据步骤S201中接收到的授权请求中指定的例如使用方的使用方信息来在服务节点中检索相应的加密凭证密钥。即，如上所述，用户可以通过使用使用方公钥来对将要出示给使用方的凭证数据的凭证密钥进行加密并且将该加密凭证密钥存储在服务节点中，以实现对于使用方的授权。因此，在服务节点中，被授权给使用方访问的凭证数据对应的凭证密钥是被使用与该使用方信息对应的使用方公钥加密的，从而服务节点可以通过根据授权查询请求中的使用方信息来检索都有哪些凭证密钥是由该使用方信息对应的使用方公钥加密的，之后可以根据凭证密钥信息和凭证数据的所有者的用户公钥从这样检索到的凭证密钥中确定与授权查询请求中所指定的凭证数据的所有者关联的凭证密钥。

换言之，在本申请实施例中，服务节点可以先将所有由授权查询请求中所指定的使用方信息对应的使用方密钥加密的凭证密钥检索出来，然后在这样检索获取到的所有凭证密钥中在进一步检索与授权请求中指定的凭证数据的所有者，即用户有关的凭证密钥。在确定了与用户有关的凭证密钥后，服务节点就可以进一步查询该凭证密钥被使用的情况，例如是否已经被使用方使用以及使用时间等信息，从而服务节点可以在步骤S203中将这样进一步获取到的凭证使用信息和上述授权记录一起来生成授权查询结果，并可以发送给用户来核对。

在服务节点将步骤S203中生成的凭证数据的授权查询结果发送给用户之后，用户可以根据该授权查询结果来进行核对，并且可以删除掉不需要的授权。例如，用户在根据某个使用方的身份证明要求而向该使用方授权了对于该用户所拥有的一个或多个凭证数据的访问之后，用户可能不想再将其中的某一个凭证数据所涉及到的自己的身份信息被他人访问，那么就可以根据服务节点在步骤S203中生成的授权查询结果而向服务节点发送授权删除请求。例如，授权删除请求中可以包含有用户想要删除其授权信息的凭证数据的凭证信息，例如可以包含用户想要删除授权的指定凭证数据的加密凭证密钥，从而服务节点可以根据该加密凭证密钥而确定目标凭证数据。

此外，还可以在授权删除请求中进一步包含被授权方的用户公钥来指定对于被授权用户的删除。例如，可以在授权删除请求中进一步包含某个使用方的使用方公钥，从而服务节点在接收到用户的该授权删除请求之后，可以根据其中包含的该指定的使用方的使用方公钥，从之前根据授权删除请求中包含的凭证信息所确定的凭证数据的授权记录中确定需要删除的是使用该指定的使用方的使用方公钥加密的加密凭证秘钥。

此外，服务节点在接收到用户的授权删除请求时，还可以根据其中包含的用户的用户标识，例如用户公钥，来首先确定用户是否对于凭证数据具有删除权限。之后，服务节点还可以进一步根据该用户公钥来获取到用户想要删除授权的目标凭证数据的被访问状态，并且当被指定的凭证数据在用户被授权之后还没有被使用方访问过，那么就可以根据用户的授权删除请求删除该授权信息，例如，可以通过删除被指定的凭证数据的加密凭证密钥来实现对于相应使用方的授权的删除。因此，在服务节点根据用户的授权查询请求为其查询指定的凭证数据对于指定的使用方的授权结果之后，还可以进一步根据用户发送的授权删除请求来对用户指定的被授权方的授权进行删除，从而确保了用户对于其隐私数据的安全管理。

本申请实施例提供的基于DID凭证数据流转的授权管理方法，通过根据接收的用户凭证数据授权查询请求中的被授权方信息来获取凭证数据授权记录数据并根据所获取到的授权记录数据和用户凭证数据授权查询请求中包括的凭证信息来生成凭证数据授权查询结果，从而用户无需在授权查询请求中包含用户自己的个人信息，而是仅发送凭证信息和被授权方信息就能够获取到所有的针对用户自己的凭证数据的授权记录，并根据授权记录和凭证信息来生成授权查询结果，从而可以基于这样的授权查询结果来方便用户对已经进行的授权进行删除，这样不仅确保了用户信息在查询过程中的安全性，而且还为用户提供了更高的授权管理效率。

实施例三

图3为本申请提供的基于DID凭证数据流转的授权管理装置的结构示意图，该基于DID凭证数据流转的授权管理装置可以用于实施例如参考图2描述的本申请实施例提供的基于DID凭证数据流转的授权管理方法。该基于DID凭证数据流转的授权管理装置可以包括：第一接收模块31、第一获取模块32和生成模块33。

第一接收模块31可以用于接收用户的凭证数据授权查询请求。

第一接收模块31可以位于例如DID系统中的服务节点中，并且可以接收用户通过例如用户节点发送的凭证数据授权查询请求。在本申请实施例中，用户可以通过在DID系统中请求对自己的年龄具有法定或公认的认证效力的发证方来签发与使用方要求其提供的身份证明有关的凭证数据，发证方可以在根据用户的认证请求中包含的用户标识来检索其数据库中存储的用户的身份信息，从而可以向用户签发关于使用方所要求的身份信息证明的凭证数据。例如，发证方可以将这样生成的凭证数据发送给服务节点，并且服务节点将该凭证数据使用为其生成的凭证密钥进行加密存储之后，用户可以根据使用方的用户信息来向服务节点请求将该凭证数据授权给该使用方来访问，从而服务节点可以根据该凭证数据的所有者的授权请求而在服务节点中为该使用方创建针对该凭证数据的授权。

例如，服务节点可以先针对该凭证数据生成专用于该凭证数据的凭证密钥并使用该凭证密钥来对该凭证数据进行加密，这样就确保了凭证数据的安全性，之后再使用该凭证数据的所有者，即该用户的用户公钥来对凭证密钥进行加密，从而该凭证密钥只有用户可以使用其用户私钥进行解密，确保了凭证密钥的安全性。在该基础上，用户可以对于这样已经被加密存储在服务节点中的凭证数据为使用方创建授权，例如用户可以使用使用方的秘钥对于凭证密钥进行重新加密，并将该重新加密的凭证密钥发送给服务节点来存储作为对于使用方的授权。

因此，第一接收模块31接收到的用户的授权查询请求中可以包含有被授权方，例如使用方的被授权方信息以及要查询的凭证数据的凭证信息。特别地，被授权方信息可以包括被授权用户的用户公钥，例如上述请求用户提供身份证明，即凭证数据的使用方的使用方公钥，凭证信息可以包括用户所要查询的凭证数据在服务节点中的存储地址。

第一获取模块32可以用于根据被授权方信息获取凭证数据授权记录数据。

生成模块33可以用于根据凭证数据授权记录数据和凭证信息生成凭证数据授权查询结果。

第一获取模块32可以根据第一接收模块31接收到的授权查询请求中的被授权方信息来获取凭证数据授权记录数据。在本申请实施例中，凭证数据授权记录数据可以是用户将自己所拥有的一个或多个凭证数据授权给一个或多个使用方的相关记录。例如，第一获取模块32可以根据第一接收模块31接收到的授权查询请求中包含的凭证数据的存储地址来查询对应的凭证数据，并且还可以进一步根据查询到的凭证数据而确定对应的加密凭证密钥。第一接收模块31接收到的被授权方信息中包含有使用方公钥，因此第一获取模块32可以根据该使用方公钥可以对于如上检索到的加密凭证密钥中被使用该使用方公钥进行加密的加密凭证密钥，从而可以获取到查询请求中所指定的凭证数据的所有授权给使用方的授权记录。

换言之，在本申请实施例中，第一接收模块31接收到的凭证数据授权查询请求中可以包含例如使用方的使用方公钥作为授权方信息以及例如凭证数据在服务节点中的存储地址作为凭证信息，从而第一获取模块32可以根据这样的信息来查询授权记录，因此在查询请求中没有包含任何隐私数据，并且由于凭证数据在服务节点中被使用与其唯一对应的凭证密钥进行加密，并且该凭证密钥通过由使用方的使用方公钥进行加密来向使用方授权，因此，即使该授权请求被第三方劫持而了解到这些信息，恶意第三方也无法根据查询请求中包含的信息而获取到用户在服务节点中存储的隐私信息。

此外，第一接收模块31接收到的授权查询请求中可以进一步包含用户自己的用户公钥，从而第一获取模块32可以首先根据第一接收模块31接收到的授权请求中指定的例如使用方的使用方信息来在服务节点中检索相应的加密凭证密钥。即，如上所述，用户可以通过使用使用方公钥来对将要出示给使用方的凭证数据的凭证密钥进行加密并且将该加密凭证密钥存储在服务节点中，以实现对于使用方的授权。因此，在服务节点中，被授权给使用方访问的凭证数据对应的凭证密钥是被使用与该使用方信息对应的使用方公钥加密的，从而第一获取模块32可以通过根据授权查询请求中的使用方信息来检索都有哪些凭证密钥是由该使用方信息对应的使用方公钥加密的，之后可以根据凭证密钥信息和凭证数据的所有者的用户公钥从这样检索到的凭证密钥中确定与授权查询请求中所指定的凭证数据的所有者关联的凭证密钥。

换言之，在本申请实施例中，第一获取模块32可以先将所有由授权查询请求中所指定的使用方信息对应的使用方密钥加密的凭证密钥检索出来，然后在这样检索获取到的所有凭证密钥中在进一步检索与授权请求中指定的凭证数据的所有者，即用户有关的凭证密钥。在确定了与用户有关的凭证密钥后，第一获取模块32可以进一步查询该凭证密钥被使用的情况，例如是否已经被使用方使用以及使用时间等信息，从而生成模块33可以将这样进一步获取到的凭证使用信息和上述授权记录一起来生成授权查询结果，并可以发送给用户来核对。

在服务节点将生成模块33生成的凭证数据的授权查询结果发送给用户之后，用户可以根据该授权查询结果来进行核对，并且可以删除掉不需要的授权。例如，用户在根据某个使用方的身份证明要求而向该使用方授权了对于该用户所拥有的一个或多个凭证数据的访问之后，用户可能不想再将其中的某一个凭证数据所涉及到的自己的身份信息被他人访问，那么就可以根据生成模块33生成的授权查询结果而向服务节点的第二模块34发送授权删除请求。例如，授权删除请求中可以包含有用户想要删除其授权信息的凭证数据的凭证信息，例如可以包含用户想要删除授权的指定凭证数据的加密凭证密钥，从而服务节点可以根据该加密凭证密钥而确定目标凭证数据。

此外，还可以在授权删除请求中进一步包含被授权方的用户公钥来指定对于被授权用户的删除。例如，可以在授权删除请求中进一步包含某个使用方的使用方公钥，从而服务节点在接收到用户的该授权删除请求之后，可以根据其中包含的该指定的使用方的使用方公钥，从之前根据授权删除请求中包含的凭证信息所确定的凭证数据的授权记录中确定需要删除的是使用该指定的使用方的使用方公钥加密的加密凭证秘钥。

此外，第二接收模块34在接收到用户的授权删除请求之后，第二获取模块35可以根据授权删除请求中包含的用户的用户标识，例如用户公钥，来首先确定用户是否对于凭证数据具有删除权限。之后，第三获取模块36可以根据该用户公钥来获取到用户想要删除授权的目标凭证数据的被访问状态，并且删除模块37可以在确定用户所指定的凭证数据在用户被授权之后还没有被使用方访问过的情况下根据用户的授权删除请求删除该授权信息，例如，可以通过删除被指定的凭证数据的加密凭证密钥来实现对于相应使用方的授权的删除。因此，在生成模块33根据用户的授权查询请求为其查询指定的凭证数据对于指定的使用方的授权结果之后，删除模块37可以进一步根据用户发送的授权删除请求来对用户指定的被授权方的授权进行删除，从而确保了用户对于其隐私数据的安全管理。

本申请实施例提供的基于DID凭证数据流转的授权管理装置，通过根据接收的用户凭证数据授权查询请求中的被授权方信息来获取凭证数据授权记录数据并根据所获取到的授权记录数据和用户凭证数据授权查询请求中包括的凭证信息来生成凭证数据授权查询结果，从而用户无需在授权查询请求中包含用户自己的个人信息，而是仅发送凭证信息和被授权方信息就能够获取到所有的针对用户自己的凭证数据的授权记录，并根据授权记录和凭证信息来生成授权查询结果，从而可以基于这样的授权查询结果来方便用户对已经进行的授权进行删除，这样不仅确保了用户信息在查询过程中的安全性，而且还为用户提供了更高的授权管理效率。

实施例四

以上描述了基于DID凭证数据流转的授权管理装置的内部功能和结构，其可实现为一种电子设备。图4为本申请提供的电子设备实施例的结构示意图。如图4所示，该电子设备包括存储器41和处理器42。

存储器41，用于存储程序。除上述程序之外，存储器41还可被配置为存储其它各种数据以支持在电子设备上的操作。这些数据的示例包括用于在电子设备上操作的任何应用程序或方法的指令，联系人数据，电话簿数据，消息，图片，视频等。

存储器41可以由任何类型的易失性或非易失性存储设备或者它们的组合实现，如静态随机存取存储器(SRAM)，电可擦除可编程只读存储器(EEPROM)，可擦除可编程只读存储器(EPROM)，可编程只读存储器(PROM)，只读存储器(ROM)，磁存储器，快闪存储器，磁盘或光盘。

处理器42，不仅仅局限于处理器(CPU)，还可能为图形处理器(GPU)、现场可编辑门阵列(FPGA)、嵌入式神经网络处理器(NPU)或人工智能(AI)芯片等处理芯片。处理器42，与存储器41耦合，执行存储器41所存储的程序，以执行上述实施例二的基于DID凭证数据流转的授权管理方法。

进一步，如图4所示，电子设备还可以包括：通信组件43、电源组件44、音频组件45、显示器46等其它组件。图4中仅示意性给出部分组件，并不意味着电子设备只包括图4所示组件。

通信组件43被配置为便于电子设备和其他设备之间有线或无线方式的通信。电子设备可以接入基于通信标准的无线网络，如WiFi、3G、4G或5G，或它们的组合。在一个示例性实施例中，通信组件43经由广播信道接收来自外部广播管理系统的广播信号或广播相关信息。在一个示例性实施例中，所述通信组件43还包括近场通信(NFC)模块，以促进短程通信。例如，在NFC模块可基于射频识别(RFID)技术，红外数据协会(IrDA)技术，超宽带(UWB)技术，蓝牙(BT)技术和其他技术来实现。

电源组件44，为电子设备的各种组件提供电力。电源组件44可以包括电源管理系统，一个或多个电源，及其他与为电子设备生成、管理和分配电力相关联的组件。

音频组件45被配置为输出和/或输入音频信号。例如，音频组件45包括一个麦克风(MIC)，当电子设备处于操作模式，如呼叫模式、记录模式和语音识别模式时，麦克风被配置为接收外部音频信号。所接收的音频信号可以被进一步存储在存储器41或经由通信组件43发送。在一些实施例中，音频组件45还包括一个扬声器，用于输出音频信号。

显示器46包括屏幕，其屏幕可以包括液晶显示器(LCD)和触摸面板(TP)。如果屏幕包括触摸面板，屏幕可以被实现为触摸屏，以接收来自用户的输入信号。触摸面板包括一个或多个触摸传感器以感测触摸、滑动和触摸面板上的手势。所述触摸传感器可以不仅感测触摸或滑动动作的边界，而且还检测与所述触摸或滑动操作相关的持续时间和压力。

本领域普通技术人员可以理解：实现上述各方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成。前述的程序可以存储于一计算机可读取存储介质中。该程序在执行时，执行包括上述各方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims (10)

1.一种基于DID凭证数据流转的授权管理方法，包括：

接收用户的凭证数据授权查询请求，其中，所述凭证数据授权查询请求中包含有被授权方信息以及凭证信息；

根据所述被授权方信息获取凭证数据授权记录数据；

根据所述凭证数据授权记录数据和凭证信息生成凭证数据授权查询结果。

2.根据权利要求1所述的授权管理方法，其中，所述被授权方信息包括被授权用户的用户公钥，并且所述凭证信息包括所述凭证数据在服务节点中的存储地址。

3.根据权利要求2所述的授权管理方法，其中，所述根据所述被授权用户信息获取凭证数据授权记录数据包括：

根据所述被授权用户的用户公钥在服务节点中存储的加密凭证密钥中检索与该被授权用户的用户公钥匹配的加密凭证密钥；

根据所述匹配的加密凭证密钥和与所述加密凭证密钥对应的凭证数据的凭证数据信息获取所述被授权方对于所述凭证数据的访问记录作为所述凭证数据授权记录数据。

4.根据权利要求2所述的授权管理方法，其中，所述凭证信息包括所述凭证数据的所有者的用户公钥，并且所述被授权方信息包括被授权类型以及被授权用户的用户信息，并且

所述根据所述被授权方信息获取凭证数据授权记录数据包括：

根据所述被授权用户的用户信息获取服务节点中被使用与所述用户信息对应的被授权方的用户公钥加密的凭证密钥；

根据所述凭证密钥信息和所述凭证数据的所有者的用户公钥从所述凭证密钥中确定与所述凭证数据的所有者关联的凭证密钥；

根据与所述凭证数据的所有者关联的凭证密钥获取所述凭证数据授权记录数据。

5.根据权利要求1所述的授权管理方法，其中，所述授权管理方法进一步包括：

接收所述用户发送的凭证数据授权删除请求，其中，所述凭证数据删除请求是所述用户根据所述凭证数据授权查询结果生成的，并且包括作为授权删除目标的凭证数据的凭证信息以及被授权用户的用户公钥；

根据所述凭证信息获取用户对于所述凭证数据的权限；

根据所述被授权用户的用户公钥获取所述凭证数据的被访问状态；

根据所述权限和所述访问状态对所述凭证数据执行删除处理。

6.一种基于DID凭证数据流转的授权管理装置，包括：

第一接收模块，用于接收用户的凭证数据授权查询请求，其中，所述凭证数据授权查询请求中包含有被授权方信息以及凭证信息；

第一获取模块，用于根据所述被授权方信息获取凭证数据授权记录数据；

生成模块，用于根据所述凭证数据授权记录数据和凭证信息生成凭证数据授权查询结果。

7.根据权利要求6所述的授权管理装置，其中，所述被授权方信息包括被授权用户的用户公钥，并且所述凭证信息包括所述凭证数据在服务节点中的存储地址。

8.根据权利要求6所述的授权管理装置，其中，所述授权管理装置进一步包括：

第二接收模块，用于接收所述用户发送的凭证数据授权删除请求，其中，所述凭证数据删除请求是所述用户根据所述凭证数据授权查询结果生成的，并且包括作为授权删除目标的凭证数据的凭证信息以及被授权用户的用户公钥；

第二获取模块，用于根据所述凭证信息获取用户对于所述凭证数据的权限；

第三获取模块，用于根据所述被授权用户的用户公钥获取所述凭证数据的被访问状态；

删除模块，用于根据所述权限和所述访问状态对所述凭证数据执行删除处理。

9.一种电子设备，包括：

存储器，用于存储程序；

处理器，用于运行所述存储器中存储的所述程序，以执行如权利要求1-5中任一项所述的基于DID凭证数据流转的授权管理方法。

10.一种计算机可读存储介质，其上存储有可被处理器执行的计算机程序，其中，所述程序被处理器执行时实现如权利要求1-5中任一项所述的基于DID凭证数据流转的授权管理方法。

Images