CN117768188A - 一种数据平台加密安全通信方法 - Google Patents

Abstract

本申请涉及一种数据平台加密安全通信方法，过从访问信道以及请求加密认证上进行安全通信认证，同时整个登录以及接口通信是基于JWT认证协议来完成的，基于token安全认证，以此构建数据平台与客户端之间的数据网络安全屏障，提高数据平台对业务数据的高度安全防护，提升数据安全等级。在用户通过客户端向数据平台请求业务数据之时，利用JWT的认证模式，调度数据平台上的签名认证模块和数据库，对用户发出的业务请求进行处理，以此保证平台业务数据的安全调用和访问，避免恶意访问带来的攻击。同时整个的通信会在HTTPS协议下进行，保护数据的安全。

Description

一种数据平台加密安全通信方法

技术领域

本公开涉及数据安全技术领域，尤其涉及一种数据平台加密安全通信方法、系统和电子设备。

背景技术

如附图1所示的由申请人开发的一种数据平台，其对下可以支持大数据平台及数据库系统，对上可以打通数据应用系统。

其中，数据平台以数据开发与算法开发为核心，为客户提供数据准备、任务开发调度管理、插件扩展、算法实现、模型工程化管理、数据管理与协同服务等能力。功能模块可以从基础服务、一站式开发、数据治理三个层面。其中的基础服务，包含数据管理、任务调度、任务运维、安全与权限等模块，为数据开发提供管理运维及数据安全保障。

在应用时，用户通过客户端登录数据平台，进行业务数据集的开发和应用，以及数据传输和消息交互。数据平台关乎用户的数据开发和应用，因此用户通过外部网络进入数据平台，非常容易遭受到恶应攻击，可能让一些数据访问者了解到数据的存储位置和数据结构等敏感信息，以此开展数据盗取、恶意访问，危及数据平台的数据管理安全。

发明内容

为了解决上述问题，本申请提出一种数据平台加密安全通信方法、系统和电子设备。

本申请一方面，提出一种数据平台加密安全通信方法，包括如下步骤：

建立客户端与数据平台之间的HTTPS通信，并分配对应的HTTPS加密信道；

根据所述HTTPS加密信道，配置客户端访问数据平台的数据访问接口，同时由所述客户端基于JWT认证协议生成所携带的数字签名：Token；

所述客户端通过所述数据访问接口，登录所述数据平台，上报用户的业务请求，所述业务请求中包含本次业务请求所需的Token；

所述数据平台基于JWT认证协议，对所述业务请求进行数字签名验证，判断Token是否通过验证：

若验证通过，则准入所述业务请求，所述数据平台开始响应所述业务请求；

若验证不通过，则拒绝。

作为本申请的一可选实施方案，可选地，建立客户端与数据平台之间的HTTPS通信，并分配对应的HTTPS加密信道，包括：

根据HTTPS通信，在客户端与数据平台之间建立若干条HTTPS信道；

采用随机分配的方式，从若干条HTTPS信道中随机取一条HTTPS信道，并为其配置相应的加密标识，构成HTTPS加密信道；

在所述客户端通过所述数据访问接口首次登录所述数据平台之时，将所述HTTPS加密信道的信道标识告知所述客户端。

作为本申请的一可选实施方案，可选地，由所述客户端基于JWT认证协议生成所携带的数字签名：Token，包括：

基于哈希算法，对本次业务请求中的用户信息和业务访问数据进行哈希计算，对应的哈希值；

将所述哈希值与本次的业务请求序列化，得到对应的业务请求序列；

基于JWT认证协议对生成的所述业务请求序列，进行数字签名计算，生成本次业务请求的数字签名：Token；

将所述Token保存至所述客户端，用于在所述客户端登录所述数据平台之时，同步携带所述Token上报用户的业务请求。

作为本申请的一可选实施方案，可选地，所述客户端通过所述数据访问接口，登录所述数据平台，上报用户的业务请求，所述业务请求中包含本次业务请求所需的Token，包括：

所述客户端判断本次业务请求是否走所述HTTPS加密信道：

若否，则从不具备加密标识的若干HTTPS信道中，随机选择一条HTTPS信道，向所述数据平台发起访问；

若是，则根据所述HTTPS加密信道的信道标识，选择所述HTTPS加密信道，向所述数据平台发起访问；

所述数据平台的所述数据访问接口接收访问，建立对应的通信链接，并开始准备进行数字签名验证。

作为本申请的一可选实施方案，可选地，所述数据平台基于JWT认证协议，对所述业务请求进行数字签名验证，判断Token是否通过验证，包括：

所述数据访问接口将所述业务请求转发至所述数据平台的签名认证模块；

签名认证模块对所述业务请进行序列化，放入一个JSON字符串并进行编码，得到一个对应的JSON Web Token，并转发至所述数据平台的数据库；

数据库使用JWT认证协议中的公钥，验证JSON Web Token的签名，确认其来自签名认证模块；

验证通过后，验证所述业务请求中所携带的所述Token与所述JSON Web Token是否一致：

若一致，则所述Token通过验证，数据库响应所述所述业务请求，分发对应的业务数据；

反之拒绝。

作为本申请的一可选实施方案，可选地，还包括：

所述数据平台，通过所述客户端所选择的HTTPS信道，将所述业务数据下发至所述客户端。

本申请另一方面，提出一种数据平台加密安全通信系统，包括：

客户端，用于访问数据平台，上报用户的业务请求，所述业务请求中包含本次业务请求所需的Token；

数据平台，用于基于JWT认证协议，对所述业务请求进行数字签名验证，判断Token是否通过验证：

若验证通过，则准入所述业务请求，所述数据平台开始响应所述业务请求；

若验证不通过，则拒绝。

本申请另一方面，还提出一种电子设备，包括：

处理器；

用于存储处理器可执行指令的存储器；

其中，所述处理器被配置为执行所述可执行指令时实现所述的一种数据平台加密安全通信方法。

本发明的技术效果：

本申请通过从访问信道以及请求加密认证上进行安全通信认证，同时整个登录以及接口通信是基于JWT认证协议来完成的，基于token的认证是无状态的，服务器或session中并不会存储任何用户信息，token由于是客户端携带相比服务器存储更加安全，同时具有过期机制，保护登录安全。采用多种安全认证的业务请求安全防护措施，以此构建数据平台与客户端之间的数据网络安全屏障，提高数据平台对业务数据的高度安全防护，提升数据安全等级。

本方案，在用户通过客户端向数据平台请求业务数据之时，利用JWT的认证模式，调度数据平台上的签名认证模块和数据库，对用户发出的业务请求进行处理，以此保证平台业务数据的安全调用和访问，避免恶意访问带来的攻击。同时整个的通信会在HTTPS协议下进行，保护数据的安全。

根据下面参考附图对示例性实施例的详细说明，本公开的其它特征及方面将变得清楚。

附图说明

包含在说明书中并且构成说明书的一部分的附图与说明书一起示出了本公开的示例性实施例、特征和方面，并且用于解释本公开的原理。

图1示出为本发明数据平台的架构示意图(在安全与管理模块中，配置本申请的加密通信服务)；

图2示出为本发明的实施流程示意图；

图3示出为本发明客户端和数据平台之间的HTTPS通信网络示意图；

图4示出为本发明JWT的数字认证应用系统示意图；

图5示出为本发明电子设备的应用示意图。

具体实施方式

以下将参考附图详细说明本公开的各种示例性实施例、特征和方面。附图中相同的附图标记表示功能相同或相似的元件。尽管在附图中示出了实施例的各种方面，但是除非特别指出，不必按比例绘制附图。

在这里专用的词“示例性”意为“用作例子、实施例或说明性”。这里作为“示例性”所说明的任何实施例不必解释为优于或好于其它实施例。

另外，为了更好的说明本公开，在下文的具体实施方式中给出了众多的具体细节。本领域技术人员应当理解，没有某些具体细节，本公开同样可以实施。在一些实例中，对于本领域技术人员熟知的、手段、元件和电路未作详细描述，以便于凸显本公开的主旨。

实施例1

如图2所示，本申请一方面，提出一种数据平台加密安全通信方法，包括如下步骤：

S1、建立客户端与数据平台之间的HTTPS通信，并分配对应的HTTPS加密信道；

S2、根据所述HTTPS加密信道，配置客户端访问数据平台的数据访问接口，同时由所述客户端基于JWT认证协议生成所携带的数字签名：Token；

S3、所述客户端通过所述数据访问接口，登录所述数据平台，上报用户的业务请求，所述业务请求中包含本次业务请求所需的Token；

S4、所述数据平台基于JWT认证协议，对所述业务请求进行数字签名验证，判断Token是否通过验证：

若验证通过，则准入所述业务请求，所述数据平台开始响应所述业务请求；

若验证不通过，则拒绝。

本申请为了安全响应用户对业务数据的请求，从访问信道以及请求加密认证上进行安全通信认证，同时整个登录以及接口通信是基于JWT认证协议来完成的，基于token的认证是无状态的，服务器或session中并不会存储任何用户信息，token由于是客户端携带相比服务器存储更加安全，同时具有过期机制，保护登录安全。

采用多种安全认证的业务请求安全防护措施，以此构建数据平台与客户端之间的数据网络安全屏障，提高数据平台对业务数据的高度安全防护，提升数据安全等级。

本方案，在用户通过客户端向数据平台请求业务数据之时，利用JWT的认证模式，调度数据平台上的签名认证模块和数据库，对用户发出的业务请求进行处理，以此保证平台业务数据的安全调用和访问，避免恶意访问带来的攻击。

同时整个的通信会在HTTPS协议下进行，保护数据的安全。

下面将结合附图进行进一步的描述。

作为本申请的一可选实施方案，可选地，建立客户端与数据平台之间的HTTPS通信，并分配对应的HTTPS加密信道，包括：

根据HTTPS通信，在客户端与数据平台之间建立若干条HTTPS信道；

采用随机分配的方式，从若干条HTTPS信道中随机取一条HTTPS信道，并为其配置相应的加密标识，构成HTTPS加密信道；

在所述客户端通过所述数据访问接口首次登录所述数据平台之时，将所述HTTPS加密信道的信道标识告知所述客户端。

如图3所示，本方案采取在所建立的若干条信道之中，采用随机分配的方式，随机选择一条信道分配加密标识，让后续用户在通过客户端访问数据平台之时，可以选择该具备加密标识的信道进行通信访问以及后续的业务数据的路由传输。

因此，在分配加密标识之后，将具备加密标识的信道及HTTPS加密信道告知客户端。可以在客户端首次访问数据平台之时，由平台告知客户端信道标识，在后续用户通过客户端向数据平台发出业务请求之时，可以选择是否启用该加密信道进行业务数据的请求以及传输。若是，当前所请求的业务数据具备较高的敏感等级，用户可以通过客户端选选择该HTTPS加密信道进行访问、登录以及数据传输。若是非敏感的业务数据，可以选择其他不具备加密标识的HTTPS性的进行数据通信，以此可以灵活的进行加密数据访问。

HTTP网络构建的方式可参照HTTPS通信协议进行构建即可，本方案不做赘述。

作为本申请的一可选实施方案，可选地，由所述客户端基于JWT认证协议生成所携带的数字签名：Token，包括：

基于哈希算法，对本次业务请求中的用户信息和业务访问数据进行哈希计算，对应的哈希值；

将所述哈希值与本次的业务请求序列化，得到对应的业务请求序列；

基于JWT认证协议对生成的所述业务请求序列，进行数字签名计算，生成本次业务请求的数字签名：Token；

将所述Token保存至所述客户端，用于在所述客户端登录所述数据平台之时，同步携带所述Token上报用户的业务请求。

结合附图4所示，因为JWT(JSON Web Tokens)是一种基于JSON的开放标准，用于在网络应用环境间传递声明。因此其用于身份提供者和服务提供者之间传递被认证的用户身份信息之时，需要由客户端携带Token，以便由数据平台利用JWT认证协议中的公钥，验证Token签名(对携带的Token验证，判断JWT公钥(JSON Web Tokens)中是否存在对应的Token)。

验证之后才能够从数据库获取资源。

JWT由三部分组成：头部(Header)、载荷(Payload)和签名(Signature)。

1.头部：包含使用的加密算法和Token类型。

2.载荷：包含实际的数据内容，可以包含用户信息和其他业务逻辑所必须的声明信息。

3.签名：用于验证Token是否被篡改，保证其安全性。

加入数据平台的客户端，在访问之前，需要参照上述JWT的方式，进行本次业务的数字签名，生成本次业务请求的数字签名：Token。

本处优先采用哈希算法，并根据本次业务所需Token的类型，构建Token，并保存在客户端中。

在所述客户端登录所述数据平台之时，同步携带所述Token上报用户的业务请求，以此向数据平台发起对请求的数字认证，认证通过则允许加入。

作为本申请的一可选实施方案，可选地，所述客户端通过所述数据访问接口，登录所述数据平台，上报用户的业务请求，所述业务请求中包含本次业务请求所需的Token，包括：

所述客户端判断本次业务请求是否走所述HTTPS加密信道：

若否，则从不具备加密标识的若干HTTPS信道中，随机选择一条HTTPS信道，向所述数据平台发起访问；

若是，则根据所述HTTPS加密信道的信道标识，选择所述HTTPS加密信道，向所述数据平台发起访问；

所述数据平台的所述数据访问接口接收访问，建立对应的通信链接，并开始准备进行数字签名验证。

本处优选走HTTPS加密信道。

具体请结合上述HTTPS加密信道的构建进行选择。

作为本申请的一可选实施方案，可选地，所述数据平台基于JWT认证协议，对所述业务请求进行数字签名验证，判断Token是否通过验证，包括：

所述数据访问接口将所述业务请求转发至所述数据平台的签名认证模块；

签名认证模块对所述业务请进行序列化，放入一个JSON字符串并进行编码，得到一个对应的JSON Web Token，并转发至所述数据平台的数据库；

数据库使用JWT认证协议中的公钥，验证JSON Web Token的签名，确认其来自签名认证模块；

验证通过后，验证所述业务请求中所携带的所述Token与所述JSON Web Token是否一致：

若一致，则所述Token通过验证，数据库响应所述所述业务请求，分发对应的业务数据；

反之拒绝。

结合附图4所示，JWT的认证过程如下：

1.签名认证模块将用户信息和授权范围序列化后放入一个JSON字符串；

2.使用Base64对JSON字符串进行编码；

3.签名认证模块使用私钥对这个字符串进行签名，得到一个JSON Web Token；

4.数据库接收到请求中的Token；

5.数据库使用公钥验证Token的签名，确认其来自签名认证模块；

6.如果验证通过，数据库根据Token中的用户信息和其他声明信息进行相应的处理。

因此，数据平台的数据访问接口将所述业务请求转发至所述数据平台的签名认证模块，由签名认证模块使用私钥对这个字符串进行签名，得到一个JSON Web Token。

签名认证模块对业务请求中的Token验证通过之后，再发送至数据库进行验证，一是确认业务请求已经经过签名认证模块通过JWT认证，二是数据库响应所述所述业务请求，分发对应的业务数据。

作为本申请的一可选实施方案，可选地，还包括：

所述数据平台，通过所述客户端所选择的HTTPS信道，将所述业务数据下发至所述客户端。

数据库响应业务请求并调度对应的业务数据，转发至数据访问接口，并通过HTTPS信道(一般默认选用HTTPS加密信道)进行数据传输。

客户端接收业务数据之后，也采用类似上述的方案，进行反向JWT认证，接收数据的Token验证通过之后，才能入库保存。

因此，JWT的优点包括：

1.安全性高：由于使用了数字签名，可以防止Token被篡改。

2.轻便灵活：JWT的开销小，可以在各个服务之间安全传输信息。

3.无状态：服务端不用记录用户状态信息，降低了服务端的负载。

4.解决单点登录问题：由于JWT可以在各个服务之间安全传输信息，因此可以解决单点登录的问题。

5.方便集成：JWT与许多现代Web开发框架和库集成良好，易于使用。

显然，本领域的技术人员应该明白，实现上述实施例中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成的，程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各控制的实施例的流程。本领域技术人员可以理解，实现上述实施例中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成的，程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各控制的实施例的流程。其中，存储介质可为磁碟、光盘、只读存储记忆体(Read-OnlyMemory，ROM)、随机存储记忆体(RandomAccessMemory，RAM)、快闪存储器(FlashMemory)、硬盘(HardDiskDrive，缩写：HDD)或固态硬盘(Solid-StateDrive，SSD)等；存储介质还可以包括上述种类的存储器的组合。

实施例2

基于实施例1的实施原理，本申请另一方面，提出一种数据平台加密安全通信系统，包括：

客户端，用于访问数据平台，上报用户的业务请求，所述业务请求中包含本次业务请求所需的Token；

数据平台，用于基于JWT认证协议，对所述业务请求进行数字签名验证，判断Token是否通过验证：

若验证通过，则准入所述业务请求，所述数据平台开始响应所述业务请求；

若验证不通过，则拒绝。

客户端和访问数据平台之间的访问、签名认证和业务数据的响应，请结合实施例1具体进行理解，本实施例不再赘述。

上述的本发明的各模块或各步骤可以用通用的计算系统来实现，它们可以集中在单个的计算系统上，或者分布在多个计算系统所组成的网络上，可选地，它们可以用计算系统可执行的程序代码来实现，从而，可以将它们存储在存储系统中由计算系统来执行，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

实施例3

如图5所示，更进一步地，本申请另一方面，还提出一种电子设备，包括：

处理器；

用于存储处理器可执行指令的存储器；

其中，所述处理器被配置为执行所述可执行指令时实现所述的一种数据平台加密安全通信方法。

本公开实施例来电子设备包括处理器以及用于存储处理器可执行指令的存储器。其中，处理器被配置为执行可执行指令时实现前面任一所述的一种数据平台加密安全通信方法。

此处，应当指出的是，处理器的个数可以为一个或多个。同时，在本公开实施例的电子设备中，还可以包括输入系统和输出系统。其中，处理器、存储器、输入系统和输出系统之间可以通过总线连接，也可以通过其他方式连接，此处不进行具体限定。

存储器作为一计算机可读存储介质，可用于存储软件程序、计算机可执行程序和各种模块，如：本公开实施例的一种数据平台加密安全通信方法所对应的程序或模块。处理器通过运行存储在存储器中的软件程序或模块，从而执行电子设备的各种功能应用及数据处理。

输入系统可用于接收输入的数字或信号。其中，信号可以为产生与设备/终端/服务器的用户设置以及功能控制有关的键信号。输出系统可以包括显示屏等显示设备。

以上已经描述了本公开的各实施例，上述说明是示例性的，并非穷尽性的，并且也不限于所披露的各实施例。在不偏离所说明的各实施例的范围和精神的情况下，对于本技术领域的普通技术人员来说许多修改和变更都是显而易见的。本文中所用术语的选择，旨在最好地解释各实施例的原理、实际应用或对市场中的技术的技术改进，或者使本技术领域的其它普通技术人员能理解本文披露的各实施例。

Claims (8)

1.一种数据平台加密安全通信方法，其特征在于，包括如下步骤：

建立客户端与数据平台之间的HTTPS通信，并分配对应的HTTPS加密信道；

根据所述HTTPS加密信道，配置客户端访问数据平台的数据访问接口，同时由所述客户端基于JWT认证协议生成所携带的数字签名：Token；

所述客户端通过所述数据访问接口，登录所述数据平台，上报用户的业务请求，所述业务请求中包含本次业务请求所需的Token；

所述数据平台基于JWT认证协议，对所述业务请求进行数字签名验证，判断Token是否通过验证：

若验证通过，则准入所述业务请求，所述数据平台开始响应所述业务请求；

若验证不通过，则拒绝。

2.根据权利要求1所述的一种数据平台加密安全通信方法，其特征在于，建立客户端与数据平台之间的HTTPS通信，并分配对应的HTTPS加密信道，包括：

根据HTTPS通信，在客户端与数据平台之间建立若干条HTTPS信道；

采用随机分配的方式，从若干条HTTPS信道中随机取一条HTTPS信道，并为其配置相应的加密标识，构成HTTPS加密信道；

在所述客户端通过所述数据访问接口首次登录所述数据平台之时，将所述HTTPS加密信道的信道标识告知所述客户端。

3.根据权利要求2所述的一种数据平台加密安全通信方法，其特征在于，由所述客户端基于JWT认证协议生成所携带的数字签名：Token，包括：

基于哈希算法，对本次业务请求中的用户信息和业务访问数据进行哈希计算，对应的哈希值；

将所述哈希值与本次的业务请求序列化，得到对应的业务请求序列；

基于JWT认证协议对生成的所述业务请求序列，进行数字签名计算，生成本次业务请求的数字签名：Token；

将所述Token保存至所述客户端，用于在所述客户端登录所述数据平台之时，同步携带所述Token上报用户的业务请求。

4.根据权利要求1所述的一种数据平台加密安全通信方法，其特征在于，所述客户端通过所述数据访问接口，登录所述数据平台，上报用户的业务请求，所述业务请求中包含本次业务请求所需的Token，包括：

所述客户端判断本次业务请求是否走所述HTTPS加密信道：

若否，则从不具备加密标识的若干HTTPS信道中，随机选择一条HTTPS信道，向所述数据平台发起访问；

若是，则根据所述HTTPS加密信道的信道标识，选择所述HTTPS加密信道，向所述数据平台发起访问；

所述数据平台的所述数据访问接口接收访问，建立对应的通信链接，并开始准备进行数字签名验证。

5.根据权利要求1所述的一种数据平台加密安全通信方法，其特征在于，所述数据平台基于JWT认证协议，对所述业务请求进行数字签名验证，判断Token是否通过验证，包括：

所述数据访问接口将所述业务请求转发至所述数据平台的签名认证模块；

签名认证模块对所述业务请进行序列化，放入一个JSON字符串并进行编码，得到一个对应的JSON Web Token，并转发至所述数据平台的数据库；

数据库使用JWT认证协议中的公钥，验证JSON Web Token的签名，确认其来自签名认证模块；

验证通过后，验证所述业务请求中所携带的所述Token与所述JSON Web Token是否一致：

若一致，则所述Token通过验证，数据库响应所述所述业务请求，分发对应的业务数据；

反之拒绝。

6.根据权利要求5所述的一种数据平台加密安全通信方法，其特征在于，还包括：

所述数据平台，通过所述客户端所选择的HTTPS信道，将所述业务数据下发至所述客户端。

7.一种数据平台加密安全通信系统，其特征在于，包括：

客户端，用于访问数据平台，上报用户的业务请求，所述业务请求中包含本次业务请求所需的Token；

数据平台，用于基于JWT认证协议，对所述业务请求进行数字签名验证，判断Token是否通过验证：

若验证通过，则准入所述业务请求，所述数据平台开始响应所述业务请求；

若验证不通过，则拒绝。

8.电子设备，其特征在于，包括：

处理器；

用于存储处理器可执行指令的存储器；

其中，所述处理器被配置为执行所述可执行指令时实现权利要求1-6中任一项所述的一种数据平台加密安全通信方法。