CN118057762A - 数据采集方法、装置、相关设备和程序产品 - Google Patents

Abstract

本公开提供一种数据采集方法、装置、相关设备和程序产品，涉及计算机与互联网技术领域，应用于第一设备，数据采集方法包括：向第二设备发送携带有目标对象的对象信息的数据采集请求；通过安装在第一设备上的第一客户端劫持数据采集请求；将劫持到的数据采集请求发送至目标服务端，通过目标服务端对目标对象进行权限验证；当目标服务端基于对象信息确定目标对象具有对第二设备的采集权限时，通过第一客户端将数据采集请求发送至第二设备；获取第二设备响应于数据采集请求所返回的目标数据。本公开实施例可以提高设备间的数据采集的安全性。

Description

数据采集方法、装置、相关设备和程序产品

技术领域

本公开涉及计算机与互联网技术领域，尤其涉及一种数据采集方法、装置、电子设备、计算机可读存储介质和计算机程序产品。

背景技术

针对特定设备上的数据进行数据采集的需求普遍存在，例如某企业员工在企业局域网外想要针对该企业内部的设备进行数据采集，再例如人们需要通过自己的设备从某商场做活动的公共电脑上采集数据等。

但是在相关技术中，只要获得待采集设备的地址等，任意设备都可以从待采集设备中获得数据，从而使得待采集设备上的待采集数据存在泄露的风险，使得待采集数据处于不安全的状态下。

需要说明的是，在上述背景技术部分公开的信息仅用于加强对本公开的背景的理解。

发明内容

本公开的目的在于提供一种数据采集方法、装置、电子设备以及计算机可读存储介质和计算机程序产品，可以提高数据采集过程中的安全性。

本公开的其他特性和优点将通过下面的详细描述变得显然，或部分地通过本公开的实践而习得。

本公开实施例提供了一种数据采集方法，应用于第一设备，包括：向第二设备发送携带有目标对象的对象信息的数据采集请求；通过安装在所述第一设备上的第一客户端劫持所述数据采集请求；将劫持到的数据采集请求发送至目标服务端，通过所述目标服务端对目标对象进行权限验证；当所述目标服务端基于所述对象信息确定所述目标对象具有对所述第二设备的采集权限时，通过所述第一客户端将所述数据采集请求发送至所述第二设备；获取所述第二设备响应于所述数据采集请求所返回的目标数据。

在一些实施例中，数据采集装置还包括：数据采集装置可以包括：数据采集请求发送模块、数据采集请求劫持模块、权限验证模块、请求发送模块和目标数据获取模块。

其中，数据采集请求发送模块用于向第二设备发送携带有目标对象的对象信息的数据采集请求；数据采集请求劫持模块用于通过安装在所述第一设备上的第一客户端劫持所述数据采集请求；权限验证模块用于将劫持到的数据采集请求发送至目标服务端，通过所述目标服务端对目标对象进行权限验证；请求发送模块用于当所述目标服务端基于所述对象信息确定所述目标对象具有对所述第二设备的采集权限时，通过所述第一客户端将所述数据采集请求发送至所述第二设备；目标数据获取模块用于获取所述第二设备响应于所述数据采集请求所返回的目标数据。

在一些实施例中，所述目标服务端与所述第二设备维持有长连接；其中，权限验证模块可以包括：安全状态查询指令下发模块。

其中，安全状态查询指令下发模块可以用于将劫持到的数据采集请求发送至目标服务端，以通过所述目标服务端与所述第二设备之间的所述长连接向所述第二设备上的第二客户端下发安全状态查询指令，以便所述第二客户端响应于所述安全状态查询指令向所述目标服务端返回所述第二设备的安全状态信息，以便所述目标服务端在根据所述第二设备的安全状态信息确定所述第二设备是安全的情况下继续对所述目标对象进行权限验证，或者所述目标服务端在根据所述第二设备的安全状态信息确定所述第二设备是不安全的情况下，拒绝所述第一设备向所述第二设备进行数据采集。

在一些实施例中，权限验证模块可以包括：组织设备确定单元、直接转发单元和间接转发单元。

其中，组织设备确定单元可以用于所述第一客户端确定所述第二设备是否是目标组织控制的设备；直接转发单元可以用于如果所述第二设备不是所述目标组织控制的设备，则所述第一客户端将所述数据采集请求直接转发给所述第二设备；间接转发单元可以用于如果所述第二设备是所述目标组织控制的设备，则所述第一客户端将劫持到的所述数据采集请求发送至所述目标服务端，以通过所述目标服务端对目标对象进行权限验证，以便所述第一客户端在确定所述目标对象有权限采集所述第二设备上的数据的情况下将所述数据采集请求发送给所述第二设备对应的特定网关，以便通过所述特定网关将所述数据采集请求发送给所述第二设备，或者所述第一客户端在确定所述目标对象没有权限采集所述第二设备上的数据的情况下丢弃所述数据采集请求。

在一些实施例中，所述目标服务端包括目标终端规则和采集数据类型规则，所述目标终端规则用于限制所述第一设备可进行数据采集的可采集设备，采集数据类型规则用于限制所述第一设备在可采集设备中可采集的数据类型，所述数据采集请求中要采集的数据类型是目标数据类型；其中，权限验证模块可以包括：规则请求单元、可采集设备确定单元和数据类型确定单元。

其中，规则请求单元可以用于所述第一客户端根据所述数据采集请求中的所述对象信息，向目标服务端请求所述目标终端规则和所述采集数据类型规则；可采集设备确定单元可以用于所述第一客户端根据所述目标终端规则确定所述第二设备是所述第一设备的可采集设备；数据类型确定单元可以用于所述第一客户端根据所述采集数据类型规则确定所述第一设备在所述第二设备中可采集的数据类型包括所述目标数据类型，以便在确定所述第一设备在所述第二设备中可采集的数据类型包括所述目标数据类型的情况下将所述数据采集请求发送给所述第二设备、或者在确定所述第二设备不是所述第一设备的可采集设备或者在确定所述第一设备在所述第二设备中可采集的数据类型不包括所述目标数据类型的情况下丢弃所述数据采集请求。

在一些实施例中，所述第一客户端中包括数据采集请求组件，所述第二设备上安装有第二客户端，所述第二客户端中包括数据采集响应组件，其中所述数据采集组件与所述第一客户端独立，所述数据采集响应组件与所述第二客户端独立；其中，请求发送模块可以包括：数据采集请求组件发送请求单元和第一客户端发送请求单元。

其中，数据采集请求组件发送请求单元可以用于所述数据采集请求组件将所述数据采集请求发送给所述第一客户端；第一客户端发送请求单元可以用于所述第一客户端将所述数据采集请求发送给所述第二设备对应的特定网关，其中限定只有所述特定网关才能连通所述第二设备，以便所述特定网关将所述数据采集请求发送给所述第二客户端中的所述数据采集响应组件，以便所述数据采集响应组件响应于所述数据采集请求在所述第二设备中采集目标数据，并将所述目标数据发往数据中转节点，以便通过所述数据中转节点将所述目标数据发送给所述第一设备。

在一些实施例中，所述数据采集装置还可以包括：随机盐值生成模块、随机盐值发送模块、请求组件公私钥对生成模块、响应组件公钥获取模块和第一关键属性生成模块。其中，第一客户端发送请求单元可以包括：数据采集请求发送子单元。

其中，随机盐值生成模块可以用于所述第一客户端获取会话密钥生成参数，并随机生成随机盐值；随机盐值发送模块可以用于所述第一客户端将所述会话密钥生成参数和所述随机盐值发送给所述数据采集请求组件；请求组件公私钥对生成模块可以用于所述数据采集请求组件随机生成请求组件公私钥对和随机数据采集配置；响应组件公钥获取模块可以用于所述数据采集请求组件获取所述数据采集响应组件对应的响应组件公钥；第一关键属性生成模块可以用于所述数据采集请求组件根据所述随机盐值、会话密钥生成参数、所述请求组件公私钥对、所述响应组件公钥和所述随机数据采集配置生成第一关键属性，以通过所述第一关键属性从所述数据中转节点拉取所述目标数据；其中，数据采集请求发送子单元可以用于所述第一客户端将所述数据采集请求、所述会话密钥生成参数、所述随机盐值、所述请求组件公钥和所述随机数据采集配置发送给所述第二设备对应的特定网关，以便所述特定网关将所述数据采集请求、所述会话密钥生成参数、随机盐值、所述请求组件公钥和所述随机数据采集配置转发给所述第二设备，以便所述第二设备上的所述第二客户端中的所述数据采集响应组件根据所述会话密钥生成参数、随机盐值、所述请求组件公钥和所述随机数据采集配置生成第二关键属性、并通过所述第二关键属性将所述目标数据发往所述数据中转节点。

在一些实施例中，第一关键属性生成模块可以包括：第一会话密钥生成单元、第一软硬件密文生成单元和第一关键属性生成单元。

其中，第一会话密钥生成单元可以用于所述数据采集请求组件根据所述随机盐值、会话密钥生成参数、所述请求组件公私钥对和所述响应组件公钥生成第一对称会话密钥；第一软硬件密文生成单元可以用于通过所述第一对称会话密钥对约定的软硬件信息进行加密，获得第一软硬件密文；第一关键属性生成单元可以用于根据所述第一软硬件密文和所述随机数据采集配置生成所述第一关键属性。

在一些实施例中，第一会话密钥生成单元包括：第一协商预备密钥生成子单元和第一对称会话密钥生成子单元。

其中，第一协商预备密钥生成子单元可以用于所述数据采集请求组件根据所述请求组件公私钥对和所述响应组件公钥生成第一协商预备密钥；第一对称会话密钥生成子单元可以用于所述数据采集请求组件根据所述第一协商预备密钥、所述随机盐值和所述会话密钥生成参数生成所述第一对称会话密钥。

在一些实施例中，数据采集装置还可以包括：拉取请求生成模块、向中转节点发送数据模块、属性相同判断模块和目标数据密文获取模块。

其中，拉取请求生成模块可以用于所述数据采集请求组件根据所述第一关键属性生成数据拉取请求；向中转节点发送数据模块可以用于所述数据采集请求组件将所述数据拉取请求发送给所述数据中转节点；属性相同判断模块可以用于所述数据中转节点确定第二设备上传的目标数据密文中携带的第二关键属性与所述第一关键属性相同；目标数据密文获取模块可以用于所述数据中转节点将与所述第二关键属性关联的所述目标数据密文返回给所述数据采集请求组件。

在一些实施例中，请求发送模块可以包括：票据申请单元、目标票据接收单元、连接建立请求发送单元、连接建立单元和数据采集请求发送单元。

其中，票据申请单元可以用于所述第一客户端根据所述数据采集请求向所述目标服务端发起票据申请请求，所述票据申请请求包括所述第一设备的IP地址信息和端口信息、所述第二设备的IP地址信息和端口信息以及所述目标对象的对象信息，以便所述目标服务端根据所述票据申请请求确定所述第一设备是否有权限采集所述第二设备上的数据；目标票据接收单元可以用于在所述目标服务端根据所述第一设备的IP地址信息和端口信息、所述第二设备的IP地址信息和端口信息以及所述目标对象的对象信息确定所述第一设备有权限采集所述第二设备上的数据的情况下，所述第一客户端从所述目标服务端接收目标票据，以便所述目标票据用于确认所述第一设备有权限从所述第二设备采集数据；连接建立请求发送单元可以用于所述第一客户端向所述第二设备对应的特定网关发起https请求，所述https请求携带所述目标票据，以便所述特定网关根据所述目标票据向所述目标服务端进行鉴权，以确定所述第一设备是否有权限采集所述第二设备上的数据，其中限定只有所述特定网关才能连通所述第二设备；连接建立单元可以用于在所述目标服务端对所述目标票据鉴权成功的情况下，所述第一客户端与所述特定网关建立连接；数据采集请求发送单元可以用于所述第一客户端通过所述连接将所述数据采集请求发送给所述特定网关，以便所述特定网关将所述数据采集请求转发给所述第二设备。

本申请还提供了一种数据采集装置，包括：数据采集请求接收模块、目标数据采集模块和目标数据发送模块。

其中，数据采集请求接收模块可以用于第二设备接收携带有目标对象的对象信息的数据采集请求，所述数据采集请求是由第一设备发起并由所述第一设备上的第一客户端劫持后发送给目标服务端以进行权限验证、并在通过权限验证确定所述对象信息具有对所述第二设备的采集权限的情况下由所述第一客户端发送给所述第二设备的；目标数据采集模块可以用于所述第二设备基于所述数据采集请求采集目标数据；目标数据发送模块可以用于所述第二设备将采集到的所述目标数据发送给所述第一设备。

在一些实施例中，所述第二设备上安装有第二客户端，所述第二客户端中包括数据采集响应组件，所述数据采集响应组件与所述第二客户端独立；其中，数据采集请求接收模块可以包括：数据采集请求接收单元、目标数据采集单元和数据中转单元。

其中，数据采集请求接收单元可以用于所述第二设备上的数据采集响应组件接收所述数据采集请求；目标数据采集单元可以用于所述数据采集响应组件响应于所述数据采集请求在所述第二设备上采集目标数据；数据中转单元可以用于所述数据采集响应组件将所述目标数据发往数据中转节点，以便通过所述数据中转节点将所述目标数据发送给所述第一设备。

在一些实施例中，所述第一客户端中包括数据采集请求组件，所述数据采集组件与所述第一客户端独立；其中，数据采集请求接收单元可以包括：随机数据采集配置接收子单元、第二关键属性子单元；其中，数据中转单元可以包括：数据中转子单元。

其中，随机数据采集配置接收子单元可以用于所述数据采集响应组件接收所述数据采集请求、会话密钥生成参数、随机盐值、请求组件公钥和随机数据采集配置，所述会话密钥生成参数和所述随机盐值由第一客户端获取，所述请求组件公钥和所述随机数据采集配置由所述数据采集响应组件生成；第二关键属性子单元可以用于所述数据采集响应组件根据所述会话密钥生成参数、随机盐值、所述请求组件公钥和所述随机数据采集配置生成第二关键属性；数据中转子单元可以用于所述数据采集请求组件通过所述第二关键属性将所述目标数据发往所述数据中转节点，以便通过所述数据中转节点将所述目标数据发送给所述第一设备。

在一些实施例中，第二关键属性子单元可以包括：响应组件公私钥对生成孙子单元、参数接收孙子单元、第二对称会话密钥生成孙子单元、第二软硬件密文生成孙子单元和第二关键属性生成孙子单元。

其中，响应组件公私钥对生成孙子单元可以用于所述数据采集响应组件随机生成响应组件公私钥对；参数接收孙子单元可以用于所述数据采集响应组件从所述第一客户端接收所述会话密钥生成参数、随机盐值、所述请求组件公钥和所述随机数据采集配置；第二对称会话密钥生成孙子单元可以用于所述数据采集响应组件根据所述随机盐值、会话密钥生成参数、所述响应组件公私钥对和所述响应组件公钥生成第二对称会话密钥；第二软硬件密文生成孙子单元可以用于通过所述第二对称会话密钥对约定的软硬件信息进行加密，获得第二软硬件密文；第二关键属性生成孙子单元可以用于根据所述第二软硬件密文和所述随机数据采集配置生成第二关键属性，其中所述第二关属性与所述数据采集请求组件生成的第一关键属性相同。

在一些实施例中，数据中转子单元可以包括：目标数据密文确定孙子单元和关联发送孙子单元。

其中，目标数据密文确定孙子单元可以用于所述数据采集响应组件通过所述第二对称会话密钥对目标数据进行加密获得目标数据密文；关联发送孙子单元可以用于所述数据采集响应组件将所述第二关键属性和所述目标数据密文关联起来、并发送给数据中转节点。

本公开实施例提出一种电子设备，该电子设备包括：存储器和处理器；所述存储器用于存储程序指令；所述处理器调用所述存储器存储的所述程序指令，用于实现上述任一项所述的数据采集方法。

本公开实施例提出一种计算机可读存储介质，其上存储有计算机程序，所述程序被处理器执行时实现如上述任一项所述的数据采集方法。

本公开实施例提出一种计算机程序产品或计算机程序，该计算机程序产品或计算机程序包括计算机指令，该计算机指令存储在计算机可读存储介质中。计算机设备的处理器从计算机可读存储介质读取该计算机指令，处理器执行该计算机指令，使得该计算机设备执行上述数据采集方法。

本公开实施例提供的数据采集方法、装置及电子设备、计算机可读存储介质和计算机程序产品，在设备间进行数据采集的过程中，通过第一设备上的第一客户端劫持第二设备上的数据采集请求，并对数据采集请求中的目标对象是否由权限采集第二设备上的数据进行验证，只有在目标对象由权限采集第二设备上的数据时，才将数据采集请求发送给第二客户端，以允许第一设备采集第二设备上的数据，从而确保第一设备是有权限对第二设备上的数据进行采集，进而提高了第二设备上的数据的数据安全，避免非法对象非法获取第二设备上的数据。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性的，并不能限制本公开。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。显而易见地，下面描述中的附图仅仅是本公开的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1示出了可以应用于本公开实施例的数据采集方法或数据采集装置的示例性系统架构的示意图。

图2是根据一示例性实施例示出的一种数据采集方法的流程图。

图3是根据一示例性实施例示出的一种数据采集方法的流程图。

图4是根据一示例性实施例示出的一种数据采集方法的流程图。

图5是根据一示例性实施例示出的一种数据采集方法的流程图。

图6是根据一示例性实施例示出的一种数据采集方法的流程图。

图7是根据一示例性实施例示出的一种鉴权校验方法的流程图。

图8是根据一示例性实施例示出的一种数据转发方法的流程图。

图9是根据一示例性实施例示出的一种数据转发方法的流程图。

图10是根据一示例性实施例示出的一种本地鉴权方法的流程图。

图11是根据一示例性实施例示出的一种数据发送方法的流程图。

图12是根据一示例性实施例示出的一种数据拉取方法的流程图。

图13是根据一示例性实施例示出的一种本地鉴权方法的示意图。

图14是根据一示例性实施例示出的一种本地鉴权方法的时序图。

图15是根据一示例性实施例示出的一种数据采集装置的框图。

图16示出了适于用来实现本公开实施例的的电子设备的结构示意图。

具体实施方式

现在将参考附图更全面地描述示例实施例。然而，示例实施例能够以多种形式实施，且不应被理解为限于在此阐述的实施例；相反，提供这些实施例使得本公开将全面和完整，并将示例实施例的构思全面地传达给本领域的技术人员。在图中相同的附图标记表示相同或类似的部分，因而将省略对它们的重复描述。

本公开所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多实施方式中。在下面的描述中，提供许多具体细节从而给出对本公开的实施方式的充分理解。然而，本领域技术人员将意识到，可以实践本公开的技术方案而省略特定细节中的一个或更多，或者可以采用其它的方法、组元、装置、步骤等。在其它情况下，不详细示出或描述公知方法、装置、实现或者操作以避免模糊本公开的各方面。

附图仅为本公开的示意性图解，图中相同的附图标记表示相同或类似的部分，因而将省略对它们的重复描述。附图中所示的一些方框图不一定必须与物理或逻辑上独立的实体相对应。可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。

附图中所示的流程图仅是示例性说明，不是必须包括所有的内容和步骤，也不是必须按所描述的顺序执行。例如，有的步骤还可以分解，而有的步骤可以合并或部分合并，因此实际执行的顺序有可能根据实际情况改变。

在本申请的描述中，除非另有说明，“/”表示“或”的意思，例如，A/B可以表示A或B。本文中的“和/或”仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。此外，“至少一个”是指一个或多个，“多个”是指两个或两个以上。“第一”、“第二”等字样并不对数量和执行次序进行限定，并且“第一”、“第二”等字样也并不限定一定不同；用语“包含”、“包括”和“具有”用以表示开放式的包括在内的意思并且是指除了列出的要素/组成部分/等之外还可存在另外的要素/组成部分/等。

为了能够更清楚地理解本发明的上述目的、特征和优点，下面结合附图和具体实施方式对本发明进行进一步的详细描述，需要说明的是，在不冲突的情况下，本申请的实施例及实施例中的特征可以相互组合。

下面首先对本申请实施例涉及的部分用语进行解释说明，以便于本领域技术人员理解。

可信应用：管理端授信的，终端可访问内部业务系统的应用载体，包括应用名，应用MD5(应用MD5，信息-摘要算法)，签名信息等。

可达区域：终端用户可以通过零信任网络访问企业设置的内部站点列表。

登录凭证：用户成功登录iOA(Zero Trust Security Management，零信任安全管理)客户端后，iOA服务端为该用户指定的一个加密串，表示该用户的登录授权信息，包括用户信息和授权有效期。加密存储在客户端。

网络请求凭证：iOA服务端为单个网络请求发放的授权信息，用于标识该网络请求的授权状态。

零信任访问控制策略：由用户可使用的进程信息(可信应用)以及可访问的业务站点(可达区域)组成，在权限开通的情况下，用户可通过任何一个可信应用访问到任一个可达区域。零信任访问控制策略的粒度为登录用户，允许为不同的登录用户制定不同的零信任策略。

零信任网关：部署在企业应用程序和数据资源的入口，负责对每一个访问企业资源的会话请求进行验证和请求转发。

访问代理：终端访问代理是部署于受控设备的发起安全访问的终端代理，负责访问主体可信身份验证的请求发起，验证身份可信，即可与访问网关建立加密的访问连接，同时也是访问控制的策略执行点。

直连访问：在零信任网络访问架构中，某个应用对站点发起网络访问请求，由全流量代理劫持到流量后，经由全流量代理向该目标站点发起网络访问，即发起直接连接的访问，由全流量代理将该目标站点的网络响应发送给该应用，这种访问模式称为直连访问。

代理访问：在零信任网络访问架构中，某个应用对站点发起网络访问请求，由全流量代理劫持到流量后，由全流量代理向智能网关发起流量转发，经由智能网关代理针对目标业务站点的访问，访问后由智能网关将该目标站点的网络响应发送给全流量代理，由全流量代理将目标站点的网络响应转发至该应用，这种访问模式称为代理访问。

访问主体：在网络中，发起访问的一方，访问内网业务资源的人/设备/应用/，是由人、设备、应用等因素单一组成或者组合形成的一种数字实体。

访问客体：在网络中，被访问的一方，即企业内网业务资源，包括应用、系统(开发测试环境，运维环境，生产环境等)、数据、接口、功能等。

服务寻址：在分布式级联部署方式中，各不同的业务部署在不同的服务器中，寻找客户端不同的业务模块关心的后台服务所部署的服务器连接地址的过程即为服务寻址。

业务模块：由多个文件组成的完成某些特定功能的集合。模块的概念除了可以更清晰的描述产品，还可以更方便的指定要安装卸载的内容。如我们可以指定仅安装一个“威胁响应”模块，或“应用软件管理”模块。

高危端口：高危组件和高危服务运行时对外开放的端口，包括文件传输、网络访问、设备管理和系统配置管理等敏感业务对应的端口，例如：远程桌面、snmp(SimpleNetwork Management Protocol，简单网络管理协议)、FTP(File Transfer Protocol，文件传输协议)等系统管理及文件传输的默认端口即属于高危端口

策略：管理员在管理端下发的用于企业终端管理的一系列规则集合。包括补丁修复、零信任网络管控、安全加固策略等。策略可能包含票据、时效、有效次数等敏感信息。

网络会话：用户与业务系统执行一次信息交互的过程，例如客户端与服务器建立网络链接后数据发送或接收的过程。包括连接建立和结束，或者数据的发送和接收。

内网横向攻击：在恶意攻击者成功控制部分目标内网的设备后，以被攻陷的机器为跳板，攻击其他内网主机，获取包括凭证信息，共享文件夹等敏感信息，利用这些敏感信息进一步达成控制整个目标内网、拥有最高访问控制权限等目的。

访问会话：基于网络会话，且包含一组相关的特征。访问会话是针对每一个访问企业内网业务资源(包括业务应用，核心系统，资产数据，功能接口等)的网络会话与设备、人员、网络属性、进程属性、端点属性组合绑定的一种抽象概念。

五元组：通信术语，由网络访问流量的源IP地址、源端口、目标IP地址、目标端口、和传输层协议这五个量组成的一个集合。

对象存储(Cloud Object Storage，COS)：是一种无目录层次结构、无数据格式限制，可容纳海量数据且支持HTTP/HTTPS协议访问的分布式存储服务。

注意：上述缩略词或术语不一定在本申请中提及，仅当参考。

前文介绍了本申请实施例所涉及到的一些名词概念，下面介绍本申请实施例涉及的技术特征。

下面结合附图对本公开示例实施方式进行详细说明。

图1示出了可以应用于本公开实施例的数据采集方法或数据采集装置的示例性系统架构的示意图。

如图1所示，系统架构可以包括局域网101和局域网102，在局域网101中可以包括设备1001、设备1002和设备1003，在局域网102中可以包括设备1004、设备1005和设备1006，在局域网101和局域网102之外的公网中还可以包括设备1007。

其中，上述设备1001～1007可以是终端设备，还可以是服务器设备，本申请对此不做限制。

可以理解的是，服务器和服务器之间、服务器和终端之间、终端和终端之间可以通过通信链路进行通信。上述通信链路可以包括各种连接类型的链路，例如有线通信链路、无线通信链路或者光纤通信链路等等。

其中，终端设备可以是具有显示屏并且支持网页浏览的各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机、台式计算机、可穿戴设备、虚拟现实设备、智能家居等等。

服务器可以是提供各种服务的服务器，可以是单个服务器，可以是服务器机房，还可以是云服务器，本申请对此不做限制。

上述终端设备和服务器两两相互之间可以根据本申请提供的实施例进行数据采集。

例如，局域网中101的中的设备1001可以对局域网102中的设备1004进行数据采集，还可以对局域网101中的设备1002进行数据采集，还可以对公网中的设备1007进行数据采集。

举例而言，如果处于局域网101(或者处于公网)中的某企业员工想对自己企业所在局域网102中的设备1004进行数据采集时，那么就可以通过局域网101中的设备1001执行以下步骤：向设备1004发送携带有目标对象的对象信息的数据采集请求；通过安装在第一设备上的第一客户端劫持数据采集请求；将劫持到的数据采集请求发送至目标服务端，通过目标服务端对目标对象进行权限验证；当目标服务端基于对象信息确定目标对象具有对设备1004的采集权限时，通过第一客户端将数据采集请求发送至设备1004；获取设备1004响应于数据采集请求所返回的目标数据。

再举例而言，某公司做活动允许会员或者一些指定人员到该公司提供的位于公网中的某台电脑上下载数据，那么会员或者指定人员就可以通过局域网中的设备1001或者位于公网中的其他设备执行以下步骤：向设备1007发送携带有目标对象的对象信息的数据采集请求；通过安装在所述第一设备上的第一客户端劫持所述数据采集请求；将劫持到的数据采集请求发送至目标服务端，通过所述目标服务端对目标对象进行权限验证；当所述目标服务端基于所述对象信息确定所述目标对象具有对所述设备1007的采集权限时，通过所述第一客户端将所述数据采集请求发送至所述设备1007；获取所述设备1007响应于所述数据采集请求所返回的目标数据。

以上示例仅仅示出了本申请可使用的部分场景，本领域技术人员可根据实际需要使用本申请提供的技术方案，本申请对此不做限制。

应该理解，图1中的终端设备、局域网和服务器的数目仅仅是示意性的，根据实际需要，可以具有任意数目的终端设备、网络和服务器。

图2是根据一示例性实施例示出的一种数据采集方法的流程图。

参照图2，本公开实施例提供的数据采集方法可以包括以下步骤。

步骤S202，目标对象通过第一设备向第二设备发起数据采集请求。

在一些实施例中，目标对象可以通过第一设备上的客户端或者应用或者浏览器等发起对第二设备上的数据进行数据采集的数据采集请求，本申请对此不做限制。

其中，第二设备可以是任意设备，例如可以是位于某企业或者某组织所在局域网中的设备，也可以是位于公网的设备，本申请对此不做限制。

步骤S204，在确定第一设备和第二设备是安全的、且确定目标对象有权限采集第二设备上的数据的情况下，第一设备获取第二设备返回的目标数据。

在一些实施例中，可以对第一设备的安全性、合规性及第一设备所处的环境安全状态(如所在网络的安全性、系统是否有漏洞等)进行检查，以便确保发起数据采集的第一设备是安全的、合规的且所处环境是安全的。

在一些实施例中，可以对第二设备的安全性、合规性及第二设备所处的环境的安全状态进行检查，以便确保发起数据采集的第二设备是安全的、合规的且所处环境是安全的。

本申请实施例提供的技术方案，在设备间进行数据采集的过程中，一方面会对第一设备和第二设备的安全状态进行检测，另一方面会对第一设备对第二设备的采集权限进行校验，从而确保第一设备和第二设备的是安全的、且第一设备是有权限对第二设备上的数据进行采集，进而提高了第二设备上的数据的数据安全，避免非法对象非法获取第二设备上的数据。

图3是根据一示例性实施例示出的一种数据采集方法的流程图。

参考图3，上述数据采集方法可以参考以下步骤。

在一些实施例中，第一设备上可以安装有第一客户端。

其中，该第一客户端可以是零信任iOA客户端，也可以是普通客户端，本申请对此不做限制。

其中，终端用户可以通过登录iOA客户端，实现零信任办公功能。管理员可以通过iOA管控端配置零信任网络访问策略，指定用户对企业资源的访问权限。针对指定用户而言，可以在管控端查看该用户的所有已授权的企业资源列表。通过上述信任安全管理系统iOA，可以用于提供高效、稳定的远程过程。

在一些实施例中，如果将本申请提供的技术方案与零信任客户端结合，可以协同远程办公体验，推动零信任技术在数字化产业中的应用落地。

步骤S302，向第二设备发送携带有目标对象的对象信息的数据采集请求。

在一些实施例中，目标对象在第一设备中可以通过第一应用、第一客户端或者浏览器等发起针对第二设备进行数据采集的数据采集请求，本申请对此不做限制。

步骤S304，通过安装在第一设备上的第一客户端劫持数据采集请求。

在一些实施例中，第一设备上的第一客户端可以通过TUN/TAP(操作系统内核中的虚拟网络设备)虚拟网卡或者内核驱动劫持第一设备上的流量，本申请对流量劫持方法不做限制。

在一些实施例中，第一客户端中还可以存在代理客户端，那么该第一客户端可以通过代理客户端使用TUN/TAP虚拟网卡或者内核驱动劫持设备流量。

步骤S306，将劫持到的数据采集请求发送至目标服务端，通过目标服务端对目标对象进行权限验证。

在一些实施例中，第一客户端可以基于零信任原则劫持第一设备上发出的所有的流量，如果该流量是针对特定设备(如某个组织控制的设备，或者某个会议对应的设备等到)进行数据采集的话，第一设备会将劫持到的数据采集请求发送至目标服务端，通过目标服务端对目标对象进行权限验证；如果该流量不是针对特定设备进行数据采集的话，那么第一客户端不对该流量进行任何处理，会按照该流量的原定路径进行转发。

在一些实施例中，第一客户端可以基于零信任原则劫持第一设备上发出的所有的流量，如果该流量是数据采集流量的话，第一客户端会将劫持到的数据采集请求发送至目标服务端，通过目标服务端对目标对象进行权限验证；如果该流量不是数据采集流量的话，第一客户端不对该流量进行任何处理，会按照该流量的原定路径进行转发。

在一些实施例中，目标服务端中可以包括数据采集规则，该数据采集规则可以包括目标终端规则，其中目标终端规则用于限制第一设备可进行数据采集的可采集设备。那么第一客户端可以根据数据采集请求中的对象信息，向目标服务端确认目标对象是否有权限采集第二设备上的数据可以包括：第一客户端根据数据采集请求中的对象信息，向目标服务端请求目标终端规则；第一客户端根据目标终端规则确定第二设备是第一设备的可采集设备，那么第一客户端就确认第一设备有权限采集第二设备上的数据。当然，那么第一客户端可以根据数据采集请求中的对象信息，向目标服务端确认目标对象是否有权限采集第二设备上的数据还可以包括：第一客户端将携带对象信息的数据采集请求发送给目标服务端，目标服务端会根据目标终端规则确定第二设备是第一设备的可采集设备，那么第一客户端就确认第一设备有权限采集第二设备上的数据。

在一些实施例中，目标服务端中还可以包括采集数据类型规则，其中采集数据类型规则可以用于限制第一设备在可采集设备中可采集的数据类型，其中数据采集请求中要采集的数据类型是可以目标数据类型(如发票数据类型、会员名单数据类型、机器运行状况数据类型等)。那么第一客户端根据数据采集请求中的对象信息向目标服务端确认目标对象是否有权限采集第二设备上的数据可以包括：第一客户端根据数据采集请求中的对象信息，向目标服务端请求采集数据类型规则；第一客户端根据采集数据类型规则确定第一设备在第二设备中可采集的数据类型包括目标数据类型，以便在确定第一设备在第二设备中可采集的数据类型包括目标数据类型的情况下将数据采集请求发送给第二设备、或者在确定第二设备不是第一设备的可采集设备或者在确定第一设备在第二设备中可采集的数据类型不包括目标数据类型的情况下丢弃数据采集请求。当然，第一客户端也可以将携带有目标对象的数据采集请求发送给目标服务端，以便目标服务端根据采集数据类型规则确定第一设备在第二设备中可采集的数据类型是否包括目标数据类型。

在另外一些实施例中，第一客户端根据数据采集请求中的对象信息，向目标服务端确认目标对象是否有权限采集第二设备上的数据还可以包括：第一客户端将目标对象的对象信息发送给目标服务端，以便目标服务端根据管理员或者其它规则等预先配置的权限规则确定第一设备是否有权限对第二设备进行采集。

当然，第一客户端还可以通过其他方式(例如申请票据的方式(可参考图8所示实施例))与目标服务端进行交互以确定第一设备是否有权限采集第二设备上的数据，或者在确定第一设备是否有权限采集第二设备上的数据的同时确定第一设备是否有权限采集第二设备上的目标数据类型。

步骤S308，当目标服务端基于对象信息确定目标对象具有对第二设备的采集权限时，通过第一客户端将数据采集请求发送至第二设备。

步骤S310，获取第二设备响应于数据采集请求所返回的目标数据。

本申请实施例提供的技术方案，能够解决现有技术中的端到端数据采集的安全性和灵活性问题。通过服务端中的数据采集规则，限定与第一设备(一种客户机)上的登录用户对应的具备采集数据权限的目标设备范围和可采集数据的数据类型范围，可阻止目标对象任意采集终端数据，还可以阻止目标对象采集某终端上的任意类型的数据。

在一些实施例中，如果第一设备要访问的第二设备处于某个局域网内，那么还可以通过第一设备上的第一客户端、目标服务端、该局域网对应的外网的访问网关构建信息安全传输通道，以保证数据传输的安全，具体可以参考以下过程。

第一设备(一种客户机)的用户发起数据采集请求，首先通过第一客户端(如iOA客户端)向目标服务端(如iOA服务端)发起与当前登录用户相关的归属设备列表的查询请求。iOA服务端自动查询出归属于当前用户的所有有权执行数据采集的设备列表，用户选择其一后，向该IP(例如某企业内网私有网段10.xxx)发起数据采集的请求，访问代理基于零信任网络访问策略劫持到该请求后，针对需要进行数据安全管控的数据请求(例如针对某局域网的访问请求)，将该请求转至部署在第二设备所在网络的外网(例如某企业或者组织所在局域网的外网)的网关(接入点)；对于不需要进行数据安全管控的数据请求则直接由访问代理转向第二设备(一种目标机系统)。一般来说，该网关可以联通局域网内的设备(如企业职场内的办公机)，从而完成数据采集通道的建立。

在一些实施例中，局域网会限定只有通过该局域网外的某些特定网关才能连通访问该局域网内的机器设备，例如一般企业设置的防火墙规则限定特定网关才能连通职场内机器。

当访问主体处于局域网外网(如企业外网)时，发出的数据采集的请求可以由第一客户端中的访问代理劫持到流量，经由访问代理转发到局域网(如企业)部署在外网的网关节点。访问代理到网关节点的通信是有TLS保障通道安全的。外网网关连向局域网内办公机，包括局域网内网设备采集数据后发往其他云服务器、或者通过外网网关将请求转向特定业务服务器，由业务服务器与目标机安装的客户端iOA建立的长链推送数据采集请求。在数据传输之前，由第一客户端(iOA客户端)对数据执行压缩加密实现数据保密性，且通过企业设置的防火墙规则，访问代理和部署在内网的网关节点保证通道安全。由此通过第一客户端、目标服务端、访问代理和网关之间便构建了信息安全传输通道。

通过上述通过进行数据传输可以提高数据传输过程中的安全性。

在一些实施例中，目标服务端(如iOA服务端)与设备(如第一设备或者第二设备)上安装的客户端(如第一客户端或者第二客户端，上述第一客户端和第二客户端可以是iOA客户端)维持周期性的心跳机制，客户端定期采集所在设备的局域网IP、环境状态信息(处于什么网络位置、机器的类型、当前的风险状态、终端所处于的安全状态等)、终端合规检测结果(判断终端禁止的合规项是否合规等以确定有没有异常或者风险)、安全基线等结果，向目标服务端发起心跳请求，由此目标服务端可感知设备包括合规检测结果、环境状态在内的信息。当目标服务端需要检测设备是否满足数据采集的条件时，可通过与设备的长连接将命令推送或配置至设备，完成时延较低的指令推送操作。

通过周期性的心跳，目标服务端可以感知设备(如第一设备或者第二设备)的活跃状态，当有设备向指定设备发起数据采集请求时，目标服务端可以快速提供出该用户归属的且有权限访问的活跃设备列表。

结合上述机制，本申请提出了图4和图5实施例示出的数据安全采集的技术方案。

图4是根据一示例性实施例示出的一种数据采集方法的流程图。

参考图4，上述数据采集方法可以参考以下步骤。

步骤S402，向第二设备发送携带有目标对象的对象信息的数据采集请求。

步骤S404，通过安装在第一设备上的第一客户端劫持数据采集请求。

步骤S406，第一客户端检测第一设备的安全状态信息。

目标服务端的中的数据采集规则还可以包括设备安全规则，该设备安全规则包括设备唯一标识符，通过该设备安全规则可以保证第一设备(一种客户机)和被采集数据的第二设备(一种目标机机)的外部环境是安全的、合规检测级别符合规定等。

在一些实施例中，目标服务端可以事先将该设备安全规则下发给第一客户端，第一客户端在劫持到数据采集请求时，可以根据该设备安全规则对第一设备的安全状态信息进行检测，以确定第一设备(一种客户机)和采集数据的第二设备(一种目标机机)要求具备的环境是否安全、合规检测级别是否符合规定等。

步骤S408，根据第一设备的安全状态信息判断第一设备是否是安全的。

在根据第一设备的安全状态信息确定第一设备是不安全的情况下，执行步骤S410，通过第一客户端丢弃采集请求，以拒绝第一设备向第二设备进行数据采集。

在根据第一设备的安全状态信息确定第一设备是安全的情况下，执行步骤S412～步骤S418。

其中，步骤S412，将劫持到的数据采集请求发送至目标服务端，通过目标服务端对目标对象进行权限验证。

步骤S414，通过目标服务端判断目标对象是否有权限采集第二设备上的数据。

在通过目标服务端判断目标对象有权限采集第二设备上的数据，执行步骤S416，通过第一客户端将数据采集请求发送至第二设备，以便获取第二设备响应于数据采集请求所返回的目标数据。

在通过目标服务端判断目标对象没有权限采集第二设备上的数据，执行步骤S418，第一客户端丢弃采集请求，以拒绝第一设备向第二设备进行数据采集。

本实施例提供的技术方案，可以保证对第二设备进行数据采集的第一设备的所处境以及设备自身的状态是安全的，从而提高数据采集的安全性，避免被采集数据的非法采集。

上述实施例提供的技术方案，要求第一设备具备正常的环境状态和合规检测级别等，只有符合这些条件的第一设备才能针对第二设备发起数据采集请求。

同理，只有符合这些条件的目标机才能针对请求发起方作出对应类型数据的响应，具体过程可以参考以下实施例。

图5是根据一示例性实施例示出的一种数据采集方法的流程图。

结合上述机制，参考图5，上述数据采集方法可以参考以下步骤。

步骤S502，向第二设备发送携带有目标对象的对象信息的数据采集请求。

步骤S504，通过安装在第一设备上的第一客户端劫持数据采集请求。

步骤S506，将劫持到的数据采集请求发送至目标服务端，通过目标服务端对目标对象进行权限验证。

步骤S508，通过目标服务端判断目标对象是否有权限采集第二设备上的数据。

在通过目标服务端判断目标对象没有权限采集第二设备上的数据的情况下，执行步骤S510，第一客户端丢弃采集请求，以拒绝第一设备向第二设备进行数据采集。

在一些实施例中，目标服务端与第二设备可以维持有长连接

在一些实施例中，在通过目标服务端判断目标对象有权限采集第二设备上的数据的情况下，执行步骤S512～步骤S520。

其中，步骤S512，目标服务端通过长连接向第二设备上的第二客户端下发安全状态查询指令。

步骤S514，第二客户端响应于安全状态查询指令向目标服务端返回第二设备的安全状态信息。

步骤S516，目标服务端根据第二设备的安全状态信息确定第二设备是否是安全的。

在确定第二设备是安全的情况下，执行步骤S518，目标服务端向第一客户端发送指令以允许第一客户端将数据采集请求发送给第二设备。

在确定第二设备是不安全的情况下，执行步骤S520，目标服务端向第一客户端发送指令以不允许第一客户端将数据采集请求发送给第二设备。

在另外一些实施例中，也可以先通过步骤S512～步骤S520判断第二设备是否安全，然后在第二设备安全得情况下再执行步骤S506～步骤S508，本申请对上述安全判断和权限校验的先后顺序不做限定。

本实施例提供的技术方案，可以保证第二设备所处境以及设备自身的状态是安全的，从而提高数据采集的安全性，避免被采集数据的非法采集。

在一些实施例中，目标服务端可以预置有数据采集规则，该目标服务端可以将该数据采集规则下发给设备上的客户端，以实现本申请实施例。

服务端下发的数据采集规则至少具有如下项：

1.目标终端规则：包括终端目前的局域网IP、限制客户机(如第一设备)可采集的目标终端的过滤规则；如限制只有某个企业内的某些设备允许进行数据采，并且只能采win10系统上的数据，不能采win7系统上的数据。

上述目标终端规则可以限制第一设备的可达区域，例如限制该第一设备的可采集设备的所处网络、软硬件情况等，从而确定第一设备的可达区域。本领域技术人员可以根据实际需求设定上述目标终端规则。

2.设备安全规则：包括设备唯一标识符，客户机和采集数据的目标机要求具备的环境状态信息，合规检测级别等安全规则。

3.采集的数据类型规则：目标服务端限定客户机可采集的目标机器的数据类型范围，针对不同用户可开放不同的可采集的数据类型。

结合上述数据采集规则，本申请提出一种在复杂的异构网络环境中的设备间的安全数据采集的方案，可支持包括终端对企业内网终端发起的数据采集，数据传输等需求。该方案可以包括如下几个步骤。

服务端向终端上的客户端下发数据采集规则，分别控制通过访问代理和网关访问目标终端数据采集的请求和客户机、目标机必备的环境状态、合规检测级别等安全规则和可采集的数据类型。

数据采集规则的目标终端规则限定客户机上的登录用户有权限采集数据的目标设备范围。可以是按照一定规则配置的用户与归属的所有设备列表，存储在服务端中，iOA客户端通过采集当前登录用户的信息，向服务端发起归属于该用户的所有设备列表信息。用户只能向这个列表中的设备发起设备间的数据采集请求。

参考图上述规则，下述实施例提供了一种数据采集方法。

图6是根据一示例性实施例示出的一种数据采集方法的流程图。

参考图6，上述数据采集方法可以参考以下步骤。

步骤S602，第一客户端获取目标服务端下发的目标终端规则。

步骤S604，第一客户端根据目标服务端下发的目标终端规则确定第二设备是否是目标组织控制的设备。

其中，目标组织可以是某个局域网所在组织，例如可以是一个企业、一个家庭、一个团体等，本申请对此不做限制。

在另外一些实施例中，第一客户端还可以根据目标服务端下发的目标终端规则确定第二设备是否是目标局域网中的设备。

在根据目标服务端下发的目标终端规则确定第二设备不是目标组织控制的设备的情况下，执行步骤S606，第一客户端将数据采集请求直接转发给第二设备。

在一些实施例中，第一客户端在劫持(第一客户端可以基于零信任思想劫持第一设备上发出的所有的流量)到第一设备上的流量后，会根据目标服务端下发的目标终端规则确定第二设备是否是目标组织控制的设备，在确定第二设备不是目标组织控制的设备后，可以将该流量直接转发，不做处理。

在根据目标服务端下发的目标终端规则确定第二设备是目标组织控制的设备的情况下，执行步骤S608～步骤S614。

其中步骤S608，第一客户端根据数据采集请求中的对象信息向目标服务端确定目标对象是否有权限采集第二设备上的数据。

步骤S610，判断目标对象是否有权限采集第二设备上的数据。

在确定目标对象有权限采集第二设备上的数据的情况下，执行步骤S612，将数据采集请求发送给第二设备对应的特定网关，以便特定网关将数据采集请求发送给第二设备。

在一些实施例中，一些局域网(一种目标机组织控制的局域网)会限定只有一些特点的网关才能连通局域网内部的设备。

在确定目标对象有权限采集第二设备上的数据的情况下，执行步骤S614，丢弃数据采集请求。

上述实施例提供的技术方案，可以通过第一设备上的第一客户端，基于零信任思想执行数据采集规则，以便将访问目标组织控制的设备的流量转发给对应的特定网关以便该特定网格进行转发，并将不访问目标组织控制的设备的流量直接转发给第二设备。

在本实施例提供的技术方案中，访问主体(如第一设备)可以通过零信任网络架构在任意地址访问企业资源，具体总体流程可以参考图7所示时序图，具体可以包括：访问主体(如用户)通过设备上应用(如第三方软件)发起针对访问客体的网络请求，设备上的客户端(可以是第一设备上的iOA客户端702)可以通过代理客户端701劫持到网络请求，代理客户端701向iOA客户端702发起鉴权请求(即代理客户端701向iOA客户端申请当次网络请求的凭证)，请求参数中可以包括源IP或者域名、源端口、目的IP或者域名、目的端口、应用对应的进程PID等。iOA客户端702通过代理客户端701发送的进程PID采集应用进程的MD5、进程路径、进程最近修改时间、版权信息、签名信息等，连同代理客户端701传递过来的网络请求的源IP或者域名、源端口、目的IP或者域名、目的端口，向iOA服务端703(一种目标服务端)申请票据，如果申请成功，iOA客户端则将票据、票据最大使用次数、票据有效时间作为响应发送给代理客户端701。代理客户端701向业务服务705对应的访问网关704发起Https请求，其中在Https请求的Authorization首部字段中带上iOA客户端传递过来的网络请求凭证(票据)，访问网关704收到代理客户端701的请求后，解析出首部字段中的票据，向iOA服务端703校验票据，如果校验成功，则访问网关704跟代理客户端701成功建立连接，之后代理客户端701将原始网络请求(如第一设备发起的数据采集请求)发送给访问网关704，由访问网关704转发至到对应的业务服务器705(可例如是本申请中的第二设备)，代理实际的应用网络访问；如果访问网关704校验票据失败，则代理客户端701与访问网关704的连接(会话断掉)中断，针对零信任策略以外的应用访问特定站点的流量，则通过代理客户端直接向目标业务服务器发起网络访问请求实现直连访问。

在一些实施例中，代理客户端(访问代理)可以是通过TUN/TAP虚拟网卡或者内核驱动劫持设备流量的。如果经过零信任访问控制策略判定是代理访问的类型，则代理客户端向iOA客户端请求网络访问票据，iOA客户端进而向iOA服务器申请票据，iOA客户端成功申请到票据后将票据响应给代理客户端，代理客户端将实际的网络访问流量通过物理网卡发送给智能网关，由智能网关代理实际的业务访问；如果经零信任访问控制策略判定是直连访问类型，则代理客户端劫持到原始网络访问流量后，直接通过物理网卡与对应的目的业务站点进行网络访问和响应过程，实现直连访问。

通过上述零信任机制可以实现数据采集请求转发之前的采集权限的确认。因此，结合上述零信任过程，本申请提供图8所示的数据采集方法。

图8是根据一示例性实施例示出的一种数据转发方法的流程图。

参考图8，上述数据转发方法可以参考以下步骤。

步骤S802，第一客户端根据数据采集请求向目标服务端发起票据申请请求，票据申请请求包括第一设备的IP地址信息和端口信息、第二设备的IP地址信息和端口信息以及目标对象的对象信息，以便目标服务端根据票据申请请求确定第一设备是否有权限采集第二设备上的数据。

步骤S804，在目标服务端根据第一设备的IP地址信息和端口信息、第二设备的IP地址信息和端口信息以及目标对象的对象信息确定第一设备有权限采集第二设备上的数据的情况下，第一客户端从目标服务端接收目标票据，以便目标票据用于确认第一设备有权限从第二设备采集数据。

步骤S806，第一客户端向第二设备对应的特定网关发起https请求，https请求携带目标票据，以便特定网关根据目标票据向目标服务端进行鉴权，以确定第一设备是否有权限采集第二设备上的数据，其中限定只有特定网关才能连通第二设备。

步骤S808，在目标服务端对目标票据鉴权成功的情况下，第一客户端与特定网关建立连接。

步骤S810，第一客户端通过连接将数据采集请求发送给特定网关，以便特定网关将数据采集请求转发给第二设备。

本实施例提供的技术方案，可以通过第一客户端基于零信任机制对第一设备上所有的流量进行劫持，然后通过票据的申请和鉴权以确定第一设备是否有权限采集第二设备上的数据；并在第一客户端有权限采集第二设备上的数据的情况下，第一客户端将数据采集请求转发给第二设备对应的特点网关，以便该特定网关将是数据采集请求发送给第二设备。上述实施例基于零信任机制提高了数据采集中的数据安全。

在一些实施例中，针对特定设备的数据采集的需求普遍存在。现有技术一般通过在设备间通过特定的应用或自研软件实现特定的数据采集，或者将数据采集上报至服务端，由管理员开放数据下载权限，使用者去指定的管理端下载数据的方案。主要的问题是灵活性较差，当需要调整数据采集逻辑，或者扩充需要采集的数据类型时，需要更新客户端版本。而且设备间传输数据的方案容易出现数据泄露等问题，安全性较差。本申请实施例，使用目标服务端通过软件分发等方式在客户机上预置或动态下发(通过软件分发等方式)相应类别的数据采集请求组件，同理，在目标机上预置或动态下发(通过软件分发等方式)相应类别的数据采集响应组件。上述数据采集请求组件和数据采集响应组件与iOA客户端是独立的。避免了将数据采集逻辑与数据采集响应逻辑内置在iOA客户端的相关服务中时，使得在需要调整数据采集逻辑、或者扩充数据类型时，需要更新两端版本的问题。数据采集请求组件与数据采集响应组件都可以批量处理多种数据类型，针对某些特殊的数据类型，也可以单独下发独立的数据采集请求组件与数据采集响应组件。各组件相互之间是独立的，互不影响。

另外，本申请还可以通过两端的iOA客户端执行安全校验，数据采集请求组件可将数据发往特定的分布式存储服务、对象存储服务器、CDN分发网络等，作为中转数据节点，由数据采集响应组件从中获取相应的数据。需要说明的是，本发明限定数据采集请求组件与数据采集响应组件与此类存储服务或服务器的网络连接都是有TLS保证通信安全的。

上面描述的方案的具体实现过程可以参考图9所示实施例。

图9是根据一示例性实施例示出的一种数据转发方法的流程图。

在一些实施例中，第一客户端中可以安装有数据采集请求组件，第二设备上可以安装有第二客户端，第二客户端中可以安装有数据采集响应组件，其中数据采集组件与第一客户端独立，数据采集响应组件与第二客户端独立。其中，第一客户端和第二客户端可以作为控制端，数据采集组件和数据响应组件可以完成数据的采集和收发。

参考图9，上述数据转发方法可以参考以下步骤。

步骤S902，数据采集采集请求组件生成数据采集请求，并将数据采集请求发送给第一客户端。

步骤S904，第一客户端将数据采集请求发送给第二设备对应的特定网关，其中限定只有特定网关才能连通第二设备。

步骤S906，特定网关将数据采集请求发送给第二客户端，以便第二客户端将数据采集请求转发给数据采集响应组件。

步骤S908，数据采集响应组件响应于数据采集请求，在第二设备中采集目标数据。

步骤S910，第二客户端将数据采集组件采集的目标数据发往数据中转节点，以便通过数据中转节点将目标数据发送给第一设备。

本实施例，通过在客户机(如第一设备)和目标机(如第二设备)两侧动态下发数据采集请求组件与数据采集响应组件完成不同类型数据的采集功能，取代现在技术中在终端内置数据采集和上报的逻辑，当需要调整数据采集逻辑\或者扩充需要采集的数据类型时，无需更新客户端版本。

另外，为适配包括内容分发网络、分布式存储服务和对象存储服务等在内的多种中转数据节点类型，本申请将iOA客户端连同客户机(如第一设备)和目标机(如第二设备)两侧的数据采集组件构建本地鉴权方案，每次数据采集会话中动态生成基础配置，作为数据采集请求组件与采集请求响应组件二者数据发送与数据拉取的关键属性。在提升数据同步安全性的同时，可将不同的采集请求与对应的响应请求自动关联起来，具有较强的灵活性。

另外，不同的数据类型是由位于客户机和目标机两端的数据采集请求组件与数据采集响应组件完成的，好处是数据采集请求组件与数据采集响应组件可在两端独立地异步获取数据，不需要实时地执行队列生产消费式的数据同步方案，可靠性更好，能降低终端的性能消耗。此外，数据采集请求组件与数据采集响应组件可以通过中转数据节点完成数据同步的。

但是，在实际操作中，数据采集请求组件与响应组件需要组成配对关系，目标机的数据采集响应组件发出的数据需要由指定的数据采集请求组件拉取数据；并且，中转数据节点可能不支持定制开发以支持由鉴权服务器参与的票据生成和校验。

因此，本申请3提出了以下本地鉴权的技术方案。

图10是根据一示例性实施例示出的一种本地鉴权方法的流程图。

参考图10，上述本地鉴权方法可以参考以下步骤。

步骤S1002，第一客户端获取会话密钥生成参数，并随机生成随机盐值。

上述会话密钥生成参数可以包括密钥生成迭代次数和密钥长度，本申请对此不做限制。

上述会话密钥生成参数可以从外界获取，也可以由第一客户端生成，本申请对此不做限制。

步骤S1004，第一客户端将会话密钥生成参数和随机盐值发送给数据采集请求组件。

步骤S1006，数据采集请求组件随机生成请求组件公私钥对和随机数据采集配置。

上述随机数据采集配置是随机数生成的，可以是字符串，可以是文字，可以是数字，可以是特殊字符，还可以是上述的综合体，本申请对此不做限制。

步骤S1008，数据采集请求组件获取数据采集响应组件对应的响应组件公钥。

步骤S1010，数据采集请求组件根据随机盐值、会话密钥生成参数、请求组件公私钥对、响应组件公钥和随机数据采集配置生成第一关键属性，以通过第一关键属性从数据中转节点拉取目标数据。

在一些实施例中，数据采集请求组件根据随机盐值、会话密钥生成参数、请求组件公私钥对、响应组件公钥和随机数据采集配置生成第一关键属性可以包括：数据采集请求组件根据随机盐值、会话密钥生成参数、请求组件公私钥对和响应组件公钥生成第一对称会话密钥；通过第一对称会话密钥对约定的软硬件信息进行加密，获得第一软硬件密文；根据第一软硬件密文和随机数据采集配置生成第一关键属性。

在一些实施例中，数据采集请求组件根据随机盐值、会话密钥生成参数、请求组件公私钥对和响应组件公钥生成第一对称会话密钥可以包括：数据采集请求组件根据请求组件公私钥对和响应组件公钥生成第一协商预备密钥；数据采集请求组件根据第一协商预备密钥、随机盐值和会话密钥生成参数生成第一对称会话密钥。

步骤S1012，第一客户端将数据采集请求、会话密钥生成参数、随机盐值、请求组件公钥和随机数据采集配置发送给第二设备对应的特定网关。

在一些实施例中，第一客户端在将数据采集请求、会话密钥生成参数、随机盐值、请求组件公钥和随机数据采集配置发送给特定网关之前，第一客户端可以已经通过零信任机制与特定网关建立了连接，具体的连接建立过程可以参考图8所示实施例，但本申请对此不做限制。

步骤S1014，特定网关将数据采集请求、会话密钥生成参数、随机盐值、请求组件公钥和随机数据采集配置转发给第二设备。

步骤S1016，第二设备上的第二客户端中的数据采集响应组件根据会话密钥生成参数、随机盐值、请求组件公钥和随机数据采集配置生成第二关键属性、并通过第二关键属性将目标数据发往数据中转节点，以便数据采集请求组件从数据中转节点拉取目标数据。

上述实施例提供的技术方案，一方面数据采集请求组件可以通过随机盐值、会话密钥生成参数、请求组件公私钥对、响应组件公钥和随机数据采集配置等生成第一关键属性，以便通过第一关键属性从数据中转节点拉取目标数据；另一方面，数据采集组件还可以将数据采集请求、会话密钥生成参数、随机盐值、请求组件公钥和随机数据采集配置等通过特定网关发送给第二设备，以便第二设备根据会话密钥生成参数、随机盐值、请求组件公钥和随机数据采集配置等生成与第一关键属性对应的第二关键属性，以便第二设备在通过第二关键属性将目标数据发送到中转数据节点时，以便第一设备能够通过于第二关键属性相同的第一关键数据拉取数据。

本实施例还提供了一种数据采集方法，该数据采集方法可以包括：第二设备接收携带有目标对象的对象信息的数据采集请求，数据采集请求是由第一设备发起并由第一设备上的第一客户端劫持后发送给目标服务端以进行权限验证、并在通过权限验证确定对象信息具有对第二设备的采集权限的情况下由第一客户端发送给第二设备的；第二设备基于数据采集请求采集目标数据；第二设备将采集到的目标数据发送给第一设备。

在一些实施例中，第二设备上可以安装有第二客户端，第二客户端中可以包括数据采集响应组件，数据采集响应组件可以与第二客户端独立。

在一些实施例中，第二设备接收携带有目标对象的对象信息的数据采集请求可以包括：第二设备上的数据采集响应组件接收数据采集请求；数据采集响应组件响应于数据采集请求在第二设备上采集目标数据；数据采集响应组件将目标数据发往数据中转节点，以便通过数据中转节点将目标数据发送给第一设备。

在一些实施例中，第一客户端中可以包括数据采集请求组件，数据采集组件可以与第一客户端独立。那么第二设备上的数据采集响应组件接收数据采集请求可以包括：数据采集响应组件接收数据采集请求、会话密钥生成参数、随机盐值、请求组件公钥和随机数据采集配置，会话密钥生成参数和随机盐值由第一客户端获取，请求组件公钥和随机数据采集配置由数据采集响应组件生成；数据采集响应组件根据会话密钥生成参数、随机盐值、请求组件公钥和随机数据采集配置生成第二关键属性；其中，数据采集响应组件将目标数据发往数据中转节点，以便通过数据中转节点将目标数据发送给第一设备可以包括：数据采集请求组件通过第二关键属性将目标数据发往数据中转节点，以便通过数据中转节点将目标数据发送给第一设备。

上述过程还可以具体为图11所示实施例。

图11是根据一示例性实施例示出的一种数据发送方法的流程图。

参考图11，上述数据发送方法可以参考以下步骤。

步骤S1102，数据采集响应组件随机生成响应组件公私钥对。

步骤S1104，数据采集响应组件从第一客户端接收会话密钥生成参数、随机盐值、请求组件公钥和随机数据采集配置。

步骤S1106，数据采集响应组件根据随机盐值、会话密钥生成参数、响应组件公私钥对和响应组件公钥生成第二对称会话密钥。

步骤S1108，通过第二对称会话密钥对约定的软硬件信息进行加密，获得第二软硬件密文。

步骤S1110，根据第二软硬件密文和随机数据采集配置生成第二关键属性，其中第二关属性与数据采集请求组件生成的第一关键属性相同。

步骤S1112，数据采集响应组件通过第二对称会话密钥对目标数据进行加密获得目标数据密文。

步骤S1114，数据采集响应组件将第二关键属性和目标数据密文关联起来、并发送给数据中转节点。

本实施例提供的技术方案，第二设备上的数据采集响应组件可以根据会话密钥生成参数、随机盐值、请求组件公钥和随机数据采集配置等生成与第一关键属性对应的第二关键属性，以便第二设备在通过第二关键属性将目标数据发送到中转数据节点时，第一设备能够通过第一关键数据拉取数据。

图12是根据一示例性实施例示出的一种数据拉取方法的流程图。

参考图12，上述数据拉取方法可以参考以下步骤。

步骤S1202，数据采集请求组件根据第一关键属性生成数据拉取请求。

步骤S1204，数据采集请求组件将数据拉取请求发送给数据中转节点。

步骤S1206，数据中转节点确定第二设备上传的目标数据密文中携带的第二关键属性与第一关键属性相同。

步骤S1208，数据中转节点将与第二关键属性关联的目标数据密文返回给数据采集请求组件。

参考图13和图14，上述图10～图12中通过本地鉴权方案使得第二设备通过数据中转节点向第一设备发送目标数据的方案还可以具体为以下过程。

Step1.首先在客户机(例如第一设备)上，第一客户端1401(例如iOA客户端)随机生成固定字节(例如32字节)的密码学盐值(salt)，在调用数据采集请求组件的相应接口时将盐值以及会话密钥生成参数传递给数据采集请求组件1402。

Step2.数据采集请求组件1402生成一个随机的数据采集配置(如果数据中转节点是CDN，则可称CDN配置，如果是分布式存储服务，则称为服务配置或cos配置等)，第一客户端在调用数据采集请求组件1402生成CDN配置的接口时，数据采集请求组件1402生成一对随机的公私钥对，将其中的公钥和数据采集配置通过接口返回给客户机的第一客户端1401。

Step3.第一客户端1401通过自身的通道(由第一客户端、服务端、访问代理、网关、第二设备构成的链路)将数据采集配置、盐值、会话密钥生成参数、和数据采集请求组件1402返回的公钥经由目标服务端(如iOA服务器)，目标机(如第二设备)的第二客户端1404(如iOA客户端)传递至目标机的数据采集响应组件1405，数据采集响应组件1405即收到数据采集请求组件的公钥、随机盐值、会话密钥生成参数和数据采集配置。

Step4.目标机(如第二设备)的数据采集响应组件1404生成一对随机公私钥对，然后通过将生成的公钥同步至客户机(如第一设备)的数据采集请求组件1402。

Step5.目标机的数据采集响应组件1405和客户机的数据采集请求组件1402两侧各自基于对方的公钥、各自的私钥利用ECDH密钥协商算法生成协商预备密钥(premasterkey)。

Step6.目标机的数据采集响应组件1405和客户机的数据采集请求组件1402两侧各自基于预备密钥(pre masterkey)、随机盐值和密钥生成参数(迭代次数和密钥的长度)，利用PBKDF2密钥导出函数生成最终的对称加密算法会话密钥(sessionkey)。

Step7.目标机的数据采集响应组件采集完成对应的数据后，将约定的信息(例如机器的特征信息，软硬件信息，版本信息)用对称加密算法加密后，生成密文并编码后(如果要精简长度，可截取信息摘要的前N位)拼接到数据采集配置中，作为采集数据配置的一个关键属性结合加密后(可以使用会话密钥)的目标数据发往中转数据节点1406。其中对称加密算法可以选用AEAD密码算法，可实现机密性、完整性、可认证，例如AES GCM模式。

Step8.客户机的数据采集请求组件1402同样针对约定的信息(明文与上一步数据采集响应组件处理的数据相同)用对称加密算法加密(用第6步计算出的会话密钥)，生成密文，经过编码后拼接到数据采集配置中，发往中转数据节点1406。

Step9.数据采集请求组件可根据相同的数据采集配置信息，从中转数据节点中获取到目标机器采集并发送的数据。

在本实施例中，数据采集请求组件在发起数据采集请求前，都会生成随机的配置，这份配置经过由第一客户端、目标服务端、访问代理、访问网关构建信息安全传输通道传递至目标机的数据采集响应组件，使得客户机和目标机都有一份完全相同的基础数据采集配置。接着客户端与两端的请求组件和响应组件动态协商并计算出会话密钥。不同的数据采集请求组件，在每一次发起数据采集的请求会话中都会随机生成的，且第一客户端生成的盐值每一次都是通过密码学伪随机生成器生成的，是动态变化的，因此最后协商出的密钥相同，基于相同的明文加密后的密文，经过编码后的内容必然相同，将这个密文编码后的内容追加到基础的数据采集配置后，作为数据采集请求组件与数据采集响应组件二者数据发送与拉取的关键属性。在提升数据同步安全性的同时，可将不同的采集请求与对应的响应请求自动关联起来，具有较强的灵活性。

综上，本申请提出的方案还解决了端到端数据采集的安全性和灵活性问题。通过服务端下发数据采集规则，限定与客户机上的登录用户对应的具备采集数据权限的目标设备范围，可阻止用户任意采集终端数据。基于服务端下发的数据采集规则、由客户端、服务端、访问代理与网关构成数控制信息由外入内的安全传输通道等。通过在客户机和目标机两侧动态下发数据采集请求组件与数据采集响应组件完成不同类型数据的采集功能，取代现在技术中在终端内置数据采集和上报的逻辑，当需要调整数据采集逻辑，或者扩充需要采集的数据类型时，无需更新客户端版本。

为适配包括内容分发网络、分布式存储服务和对象存储服务等在内的多种中转数据节点类型，本发明中将客户端连同客户机和目标机两侧的数据采集组件构建本地鉴权方案，每次数据采集会话中动态生成基础配置，作为数据采集请求组件与数据采集响应组件二者数据发送与数据拉取的关键属性。在提升数据同步安全性的同时，可将不同的采集请求与对应的响应请求自动关联起来，具有较强的灵活性。

总之，本申请提出的技术方案是一种设备间的数据采集方案，聚焦于由位于内网或外网的客户机发起的针对内网或者公网某设备的数据采集的场景。基于服务端下发的数据采集规则，通过在客户机和目标机两侧动态下发数据采集请求组件与数据采集响应组件完成不同类型数据的采集功能。数据采集请求组件在发起采集请求前，都会生成随机的配置，这份配置经过由客户端、服务端、访问网关等构建的信息安全传输通道传递至目标机的数据采集响应组件，使得客户机和目标机都有一份完全相同的基础数据采集配置。接着客户端与两端的请求组件和响应组件动态协商并计算出会话密钥。不同的数据采集请求组件，在每一次发起数据采集的请求会话中都会随机生成的，且客户端生成的盐值每一次都是通过密码学伪随机生成器生成的，是动态变化的，因此最后协商出的密钥相同，基于相同的明文加密后的密文，经过编码后的内容必然相同，将这个密文编码后的内容追加到基础的数据采集配置后，作为数据采集请求组件与数据采集响应组件二者数据发送与拉取的关键属性。与现有技术相比，本方案在提升数据同步安全性的同时，可适配包括内容分发网络、分布式存储服务和对象存储服务等在内的多种中转数据节点类型，可实现较强的灵活性。

基于同一发明构思，本公开实施例中还提供了一种数据采集装置，如下面的实施例。由于该装置实施例解决问题的原理与上述方法实施例相似，因此该装置实施例的实施可以参见上述方法实施例的实施，重复之处不再赘述。

图15是根据一示例性实施例示出的一种数据采集装置的框图。参照图15，本公开实施例提供的数据采集装置1500可以包括：数据采集请求发送模块1501、数据采集请求劫持模块1502、权限验证模块1503、请求发送模块1504和目标数据获取模块1505。

其中，数据采集请求发送模块1501用于向第二设备发送携带有目标对象的对象信息的数据采集请求；数据采集请求劫持模块1502用于通过安装在第一设备上的第一客户端劫持数据采集请求；权限验证模块1503用于将劫持到的数据采集请求发送至目标服务端，通过目标服务端对目标对象进行权限验证；请求发送模块1504用于当目标服务端基于对象信息确定目标对象具有对第二设备的采集权限时，通过第一客户端将数据采集请求发送至第二设备；目标数据获取模块1505用于获取第二设备响应于数据采集请求所返回的目标数据。

在一些实施例中，数据采集装置1500还包括：安全状态信息获取模块、安全状态确定模块和不安全状态确定模块。

其中，安全状态信息获取模块可以用于在通过安装在第一设备上的第一客户端劫持数据采集请求之后，在将劫持到的数据采集请求发送至目标服务端，通过目标服务端对目标对象进行权限验证之前，通过第一客户端检测第一设备的安全状态信息；安全状态确定模块可以用于在根据第一设备的安全状态信息确定第一设备是安全的情况下，通过第一客户端将劫持到的数据采集请求发送至目标服务端，以通过目标服务端对目标对象进行权限验证；不安全状态确定模块可以用于在根据第一设备的安全状态信息确定第一设备是不安全的情况下，通过第一客户端丢弃采集请求，以拒绝第一设备向第二设备进行数据采集。

在一些实施例中，目标服务端与第二设备维持有长连接；其中，权限验证模块1503可以包括：安全状态查询指令下发模块。

其中，安全状态查询指令下发模块可以用于将劫持到的数据采集请求发送至目标服务端，以通过目标服务端与第二设备之间的长连接向第二设备上的第二客户端下发安全状态查询指令，以便第二客户端响应于安全状态查询指令向目标服务端返回第二设备的安全状态信息，以便目标服务端在根据第二设备的安全状态信息确定第二设备是安全的情况下继续对目标对象进行权限验证，或者目标服务端在根据第二设备的安全状态信息确定第二设备是不安全的情况下，拒绝第一设备向第二设备进行数据采集。

在一些实施例中，权限验证模块1503可以包括：组织设备确定单元、直接转发单元和间接转发单元。

其中，组织设备确定单元可以用于第一客户端确定第二设备是否是目标组织控制的设备；直接转发单元可以用于如果第二设备不是目标组织控制的设备，则第一客户端将数据采集请求直接转发给第二设备；间接转发单元可以用于如果第二设备是目标组织控制的设备，则第一客户端将劫持到的数据采集请求发送至目标服务端，以通过目标服务端对目标对象进行权限验证，以便第一客户端在确定目标对象有权限采集第二设备上的数据的情况下将数据采集请求发送给第二设备对应的特定网关，以便通过特定网关将数据采集请求发送给第二设备，或者第一客户端在确定目标对象没有权限采集第二设备上的数据的情况下丢弃数据采集请求。

在一些实施例中，目标服务端包括目标终端规则和采集数据类型规则，目标终端规则用于限制第一设备可进行数据采集的可采集设备，采集数据类型规则用于限制第一设备在可采集设备中可采集的数据类型，数据采集请求中要采集的数据类型是目标数据类型；其中，权限验证模块1503可以包括：规则请求单元、可采集设备确定单元和数据类型确定单元。

其中，规则请求单元可以用于第一客户端根据数据采集请求中的对象信息，向目标服务端请求目标终端规则和采集数据类型规则；可采集设备确定单元可以用于第一客户端根据目标终端规则确定第二设备是第一设备的可采集设备；数据类型确定单元可以用于第一客户端根据采集数据类型规则确定第一设备在第二设备中可采集的数据类型包括目标数据类型，以便在确定第一设备在第二设备中可采集的数据类型包括目标数据类型的情况下将数据采集请求发送给第二设备、或者在确定第二设备不是第一设备的可采集设备或者在确定第一设备在第二设备中可采集的数据类型不包括目标数据类型的情况下丢弃数据采集请求。

在一些实施例中，第一客户端中包括数据采集请求组件，第二设备上安装有第二客户端，第二客户端中包括数据采集响应组件，其中数据采集组件与第一客户端独立，数据采集响应组件与第二客户端独立；其中，请求发送模块1504可以包括：数据采集请求组件发送请求单元和第一客户端发送请求单元。

其中，数据采集请求组件发送请求单元可以用于数据采集请求组件将数据采集请求发送给第一客户端；第一客户端发送请求单元可以用于第一客户端将数据采集请求发送给第二设备对应的特定网关，其中限定只有特定网关才能连通第二设备，以便特定网关将数据采集请求发送给第二客户端中的数据采集响应组件，以便数据采集响应组件响应于数据采集请求在第二设备中采集目标数据，并将目标数据发往数据中转节点，以便通过数据中转节点将目标数据发送给第一设备。

在一些实施例中，数据采集装置1500还可以包括：随机盐值生成模块、随机盐值发送模块、请求组件公私钥对生成模块、响应组件公钥获取模块和第一关键属性生成模块。其中，第一客户端发送请求单元可以包括：数据采集请求发送子单元。

其中，随机盐值生成模块可以用于第一客户端获取会话密钥生成参数，并随机生成随机盐值；随机盐值发送模块可以用于第一客户端将会话密钥生成参数和随机盐值发送给数据采集请求组件；请求组件公私钥对生成模块可以用于数据采集请求组件随机生成请求组件公私钥对和随机数据采集配置；响应组件公钥获取模块可以用于数据采集请求组件获取数据采集响应组件对应的响应组件公钥；第一关键属性生成模块可以用于数据采集请求组件根据随机盐值、会话密钥生成参数、请求组件公私钥对、响应组件公钥和随机数据采集配置生成第一关键属性，以通过第一关键属性从数据中转节点拉取目标数据；其中，数据采集请求发送子单元可以用于第一客户端将数据采集请求、会话密钥生成参数、随机盐值、请求组件公钥和随机数据采集配置发送给第二设备对应的特定网关，以便特定网关将数据采集请求、会话密钥生成参数、随机盐值、请求组件公钥和随机数据采集配置转发给第二设备，以便第二设备上的第二客户端中的数据采集响应组件根据会话密钥生成参数、随机盐值、请求组件公钥和随机数据采集配置生成第二关键属性、并通过第二关键属性将目标数据发往数据中转节点。

在一些实施例中，第一关键属性生成模块可以包括：第一会话密钥生成单元、第一软硬件密文生成单元和第一关键属性生成单元。

其中，第一会话密钥生成单元可以用于数据采集请求组件根据随机盐值、会话密钥生成参数、请求组件公私钥对和响应组件公钥生成第一对称会话密钥；第一软硬件密文生成单元可以用于通过第一对称会话密钥对约定的软硬件信息进行加密，获得第一软硬件密文；第一关键属性生成单元可以用于根据第一软硬件密文和随机数据采集配置生成第一关键属性。

在一些实施例中，第一会话密钥生成单元包括：第一协商预备密钥生成子单元和第一对称会话密钥生成子单元。

其中，第一协商预备密钥生成子单元可以用于数据采集请求组件根据请求组件公私钥对和响应组件公钥生成第一协商预备密钥；第一对称会话密钥生成子单元可以用于数据采集请求组件根据第一协商预备密钥、随机盐值和会话密钥生成参数生成第一对称会话密钥。

在一些实施例中，数据采集装置1500还可以包括：拉取请求生成模块、向中转节点发送数据模块、属性相同判断模块和目标数据密文获取模块。

其中，拉取请求生成模块可以用于数据采集请求组件根据第一关键属性生成数据拉取请求；向中转节点发送数据模块可以用于数据采集请求组件将数据拉取请求发送给数据中转节点；属性相同判断模块可以用于数据中转节点确定第二设备上传的目标数据密文中携带的第二关键属性与第一关键属性相同；目标数据密文获取模块可以用于数据中转节点将与第二关键属性关联的目标数据密文返回给数据采集请求组件。

在一些实施例中，请求发送模块1504可以包括：票据申请单元、目标票据接收单元、连接建立请求发送单元、连接建立单元和数据采集请求发送单元。

其中，票据申请单元可以用于第一客户端根据数据采集请求向目标服务端发起票据申请请求，票据申请请求包括第一设备的IP地址信息和端口信息、第二设备的IP地址信息和端口信息以及目标对象的对象信息，以便目标服务端根据票据申请请求确定第一设备是否有权限采集第二设备上的数据；目标票据接收单元可以用于在目标服务端根据第一设备的IP地址信息和端口信息、第二设备的IP地址信息和端口信息以及目标对象的对象信息确定第一设备有权限采集第二设备上的数据的情况下，第一客户端从目标服务端接收目标票据，以便目标票据用于确认第一设备有权限从第二设备采集数据；连接建立请求发送单元可以用于第一客户端向第二设备对应的特定网关发起https请求，https请求携带目标票据，以便特定网关根据目标票据向目标服务端进行鉴权，以确定第一设备是否有权限采集第二设备上的数据，其中限定只有特定网关才能连通第二设备；连接建立单元可以用于在目标服务端对目标票据鉴权成功的情况下，第一客户端与特定网关建立连接；数据采集请求发送单元可以用于第一客户端通过连接将数据采集请求发送给特定网关，以便特定网关将数据采集请求转发给第二设备。

本申请还提供了一种数据采集装置，包括：数据采集请求接收模块、目标数据采集模块和目标数据发送模块。

其中，数据采集请求接收模块可以用于第二设备接收携带有目标对象的对象信息的数据采集请求，数据采集请求是由第一设备发起并由第一设备上的第一客户端劫持后发送给目标服务端以进行权限验证、并在通过权限验证确定对象信息具有对第二设备的采集权限的情况下由第一客户端发送给第二设备的；目标数据采集模块可以用于第二设备基于数据采集请求采集目标数据；目标数据发送模块可以用于第二设备将采集到的目标数据发送给第一设备。

在一些实施例中，第二设备上安装有第二客户端，第二客户端中包括数据采集响应组件，数据采集响应组件与第二客户端独立；其中，数据采集请求接收模块可以包括：数据采集请求接收单元、目标数据采集单元和数据中转单元。

其中，数据采集请求接收单元可以用于第二设备上的数据采集响应组件接收数据采集请求；目标数据采集单元可以用于数据采集响应组件响应于数据采集请求在第二设备上采集目标数据；数据中转单元可以用于数据采集响应组件将目标数据发往数据中转节点，以便通过数据中转节点将目标数据发送给第一设备。

在一些实施例中，第一客户端中包括数据采集请求组件，数据采集组件与第一客户端独立；其中，数据采集请求接收单元可以包括：随机数据采集配置接收子单元、第二关键属性子单元；其中，数据中转单元可以包括：数据中转子单元。

其中，随机数据采集配置接收子单元可以用于数据采集响应组件接收数据采集请求、会话密钥生成参数、随机盐值、请求组件公钥和随机数据采集配置，会话密钥生成参数和随机盐值由第一客户端获取，请求组件公钥和随机数据采集配置由数据采集响应组件生成；第二关键属性子单元可以用于数据采集响应组件根据会话密钥生成参数、随机盐值、请求组件公钥和随机数据采集配置生成第二关键属性；数据中转子单元可以用于数据采集请求组件通过第二关键属性将目标数据发往数据中转节点，以便通过数据中转节点将目标数据发送给第一设备。

在一些实施例中，第二关键属性子单元可以包括：响应组件公私钥对生成孙子单元、参数接收孙子单元、第二对称会话密钥生成孙子单元、第二软硬件密文生成孙子单元和第二关键属性生成孙子单元。

其中，响应组件公私钥对生成孙子单元可以用于数据采集响应组件随机生成响应组件公私钥对；参数接收孙子单元可以用于数据采集响应组件从第一客户端接收会话密钥生成参数、随机盐值、请求组件公钥和随机数据采集配置；第二对称会话密钥生成孙子单元可以用于数据采集响应组件根据随机盐值、会话密钥生成参数、响应组件公私钥对和响应组件公钥生成第二对称会话密钥；第二软硬件密文生成孙子单元可以用于通过第二对称会话密钥对约定的软硬件信息进行加密，获得第二软硬件密文；第二关键属性生成孙子单元可以用于根据第二软硬件密文和随机数据采集配置生成第二关键属性，其中第二关属性与数据采集请求组件生成的第一关键属性相同。

在一些实施例中，数据中转子单元可以包括：目标数据密文确定孙子单元和关联发送孙子单元。

其中，目标数据密文确定孙子单元可以用于数据采集响应组件通过第二对称会话密钥对目标数据进行加密获得目标数据密文；关联发送孙子单元可以用于数据采集响应组件将第二关键属性和目标数据密文关联起来、并发送给数据中转节点。

由于装置1500的各功能已在其对应的方法实施例中予以详细说明，本公开于此不再赘述。

描述于本申请实施例中所涉及到的模块和/或子模块和/或单元和/或子单元可以通过软件的方式实现，也可以通过硬件的方式来实现。所描述的和/或子模块和/或单元和/或子单元也可以设置在处理器中。其中，这些和/或子模块和/或单元和/或子单元的名称在某种情况下并不构成对该和/或子模块和/或单元和/或子单元本身的限定。

附图中的流程图和框图，图示了按照本申请各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

此外，上述附图仅是根据本公开示例性实施例的方法所包括的处理的示意性说明，而不是限制目的。易于理解，上述附图所示的处理并不表明或限制这些处理的时间顺序。另外，也易于理解，这些处理可以是例如在多个模块中同步或异步执行的。

图16示出了适于用来实现本公开实施例的的电子设备的结构示意图。需要说明的是，图16示出的电子设备1600仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。

如图16所示，电子设备1600包括中央处理单元(CPU)1601，其可以根据存储在只读存储器(ROM)1602中的程序或者从储存部分1608加载到随机访问存储器(RAM)1603中的程序而执行各种适当的动作和处理。在RAM 1603中，还存储有电子设备1600操作所需的各种程序和数据。CPU 1601、ROM 1602以及RAM 1603通过总线1604彼此相连。输入/输出(I/O)接口1605也连接至总线1604。

以下部件连接至I/O接口1605：包括键盘、鼠标等的输入部分1606；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分1607；包括硬盘等的储存部分1608；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分1609。通信部分1609经由诸如因特网的网络执行通信处理。驱动器1610也根据需要连接至I/O接口1605。可拆卸介质1611，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器1610上，以便于从其上读出的计算机程序根据需要被安装入储存部分1608。

特别地，根据本公开的实施例，上文参考流程图描述的过程可以被实现为计算机软件程序。例如，本公开的实施例包括一种计算机程序产品，其包括承载在计算机可读存储介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分1609从网络上被下载和安装，和/或从可拆卸介质1611被安装。在该计算机程序被中央处理单元(CPU)1601执行时，执行本申请的系统中限定的上述功能。

需要说明的是，本公开所示的计算机可读存储介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本申请中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本申请中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读存储介质，该计算机可读存储介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读存储介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、电线、光缆、RF等等，或者上述的任意合适的组合。

作为另一方面，本申请还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中描述的设备中所包含的；也可以是单独存在，而未装配入该设备中。上述计算机可读存储介质承载有一个或者多个程序，当上述一个或者多个程序被一个该设备执行时，使得该设备可实现功能包括：向第二设备发送携带有目标对象的对象信息的数据采集请求；通过安装在第一设备上的第一客户端劫持数据采集请求；将劫持到的数据采集请求发送至目标服务端，通过目标服务端对目标对象进行权限验证；当目标服务端基于对象信息确定目标对象具有对第二设备的采集权限时，通过第一客户端将数据采集请求发送至第二设备；获取第二设备响应于数据采集请求所返回的目标数据。

根据本申请的一个方面，提供了一种计算机程序产品或计算机程序，该计算机程序产品或计算机程序包括计算机指令，该计算机指令存储在计算机可读存储介质中。计算机设备的处理器从计算机可读存储介质读取该计算机指令，处理器执行该计算机指令，使得该计算机设备执行上述实施例的各种可选实现方式中提供的方法。

通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，本公开实施例的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中，包括若干指令用以使得一台计算设备(可以是个人计算机、服务器、移动终端、或者智能设备等)执行根据本公开实施例的方法。

本领域技术人员在考虑说明书及实践在这里公开的公开后，将容易想到本公开的其他实施例。本公开旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未申请的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由权利要求指出。

应当理解的是，本公开并不限于这里已经示出的详细结构、附图方式或实现方法，相反，本公开意图涵盖包含在所附权利要求的精神和范围内的各种修改和等效设置。

Claims (20)

1.一种数据采集方法，其特征在于，应用于第一设备，包括：

向第二设备发送携带有目标对象的对象信息的数据采集请求；

通过安装在所述第一设备上的第一客户端劫持所述数据采集请求；

将劫持到的数据采集请求发送至目标服务端，通过所述目标服务端对目标对象进行权限验证；

当所述目标服务端基于所述对象信息确定所述目标对象具有对所述第二设备的采集权限时，通过所述第一客户端将所述数据采集请求发送至所述第二设备；

获取所述第二设备响应于所述数据采集请求所返回的目标数据。

2.根据权利要求1所述方法，其特征在于，在通过安装在所述第一设备上的第一客户端劫持所述数据采集请求之后，在将劫持到的数据采集请求发送至目标服务端，通过所述目标服务端对目标对象进行权限验证之前，所述方法还包括：

通过所述第一客户端检测所述第一设备的安全状态信息；

在根据所述第一设备的安全状态信息确定所述第一设备是安全的情况下，通过所述第一客户端将劫持到的数据采集请求发送至目标服务端，以通过所述目标服务端对目标对象进行权限验证；

在根据所述第一设备的安全状态信息确定所述第一设备是不安全的情况下，通过所述第一客户端丢弃所述采集请求，以拒绝所述第一设备向所述第二设备进行数据采集。

3.根据权利要求1所述方法，其特征在于，所述目标服务端与所述第二设备维持有长连接；其中，将劫持到的数据采集请求发送至目标服务端，通过所述目标服务端对目标对象进行权限验证，包括：

将劫持到的数据采集请求发送至目标服务端，以通过所述目标服务端与所述第二设备之间的所述长连接向所述第二设备上的第二客户端下发安全状态查询指令，以便所述第二客户端响应于所述安全状态查询指令向所述目标服务端返回所述第二设备的安全状态信息，以便所述目标服务端在根据所述第二设备的安全状态信息确定所述第二设备是安全的情况下继续对所述目标对象进行权限验证，或者所述目标服务端在根据所述第二设备的安全状态信息确定所述第二设备是不安全的情况下，拒绝所述第一设备向所述第二设备进行数据采集。

4.根据权利要求1所述方法，其特征在于，将劫持到的数据采集请求发送至目标服务端，通过所述目标服务端对目标对象进行权限验证，包括：

所述第一客户端确定所述第二设备是否是目标组织控制的设备；

如果所述第二设备不是所述目标组织控制的设备，则所述第一客户端将所述数据采集请求直接转发给所述第二设备；

如果所述第二设备是所述目标组织控制的设备，则所述第一客户端将劫持到的所述数据采集请求发送至所述目标服务端，以通过所述目标服务端对目标对象进行权限验证，以便所述第一客户端在确定所述目标对象有权限采集所述第二设备上的数据的情况下将所述数据采集请求发送给所述第二设备对应的特定网关，以便通过所述特定网关将所述数据采集请求发送给所述第二设备，或者所述第一客户端在确定所述目标对象没有权限采集所述第二设备上的数据的情况下丢弃所述数据采集请求。

5.根据权利要求1所述方法，其特征在于，所述目标服务端包括目标终端规则和采集数据类型规则，所述目标终端规则用于限制所述第一设备可进行数据采集的可采集设备，采集数据类型规则用于限制所述第一设备在可采集设备中可采集的数据类型，所述数据采集请求中要采集的数据类型是目标数据类型；其中，将劫持到的数据采集请求发送至目标服务端，通过所述目标服务端对目标对象进行权限验证，包括：

所述第一客户端根据所述数据采集请求中的所述对象信息，向目标服务端请求所述目标终端规则和所述采集数据类型规则；

所述第一客户端根据所述目标终端规则确定所述第二设备是所述第一设备的可采集设备；

所述第一客户端根据所述采集数据类型规则确定所述第一设备在所述第二设备中可采集的数据类型包括所述目标数据类型，以便在确定所述第一设备在所述第二设备中可采集的数据类型包括所述目标数据类型的情况下将所述数据采集请求发送给所述第二设备、或者在确定所述第二设备不是所述第一设备的可采集设备或者在确定所述第一设备在所述第二设备中可采集的数据类型不包括所述目标数据类型的情况下丢弃所述数据采集请求。

6.根据权利要求1所述方法，其特征在于，所述第一客户端中包括数据采集请求组件，所述第二设备上安装有第二客户端，所述第二客户端中包括数据采集响应组件，其中所述数据采集组件与所述第一客户端独立，所述数据采集响应组件与所述第二客户端独立；其中，通过所述第一客户端将所述数据采集请求发送至所述第二设备，包括：

所述数据采集请求组件将所述数据采集请求发送给所述第一客户端；

所述第一客户端将所述数据采集请求发送给所述第二设备对应的特定网关，其中限定只有所述特定网关才能连通所述第二设备，以便所述特定网关将所述数据采集请求发送给所述第二客户端中的所述数据采集响应组件，以便所述数据采集响应组件响应于所述数据采集请求在所述第二设备中采集目标数据，并将所述目标数据发往数据中转节点，以便通过所述数据中转节点将所述目标数据发送给所述第一设备。

7.根据权利要求6所述方法，其特征在于，所述方法还包括：

所述第一客户端获取会话密钥生成参数，并随机生成随机盐值；

所述第一客户端将所述会话密钥生成参数和所述随机盐值发送给所述数据采集请求组件；

所述数据采集请求组件随机生成请求组件公私钥对和随机数据采集配置；

所述数据采集请求组件获取所述数据采集响应组件对应的响应组件公钥；

所述数据采集请求组件根据所述随机盐值、会话密钥生成参数、所述请求组件公私钥对、所述响应组件公钥和所述随机数据采集配置生成第一关键属性，以通过所述第一关键属性从所述数据中转节点拉取所述目标数据；

其中，所述第一客户端将所述数据采集请求发送给所述第二设备对应的特定网关，包括：

所述第一客户端将所述数据采集请求、所述会话密钥生成参数、所述随机盐值、所述请求组件公钥和所述随机数据采集配置发送给所述第二设备对应的特定网关，以便所述特定网关将所述数据采集请求、所述会话密钥生成参数、随机盐值、所述请求组件公钥和所述随机数据采集配置转发给所述第二设备，以便所述第二设备上的所述第二客户端中的所述数据采集响应组件根据所述会话密钥生成参数、随机盐值、所述请求组件公钥和所述随机数据采集配置生成第二关键属性、并通过所述第二关键属性将所述目标数据发往所述数据中转节点。

8.根据权利要求7所述方法，其特征在于，所述数据采集请求组件根据所述随机盐值、会话密钥生成参数、所述请求组件公私钥对、所述响应组件公钥和所述随机数据采集配置生成第一关键属性，包括：

所述数据采集请求组件根据所述随机盐值、会话密钥生成参数、所述请求组件公私钥对和所述响应组件公钥生成第一对称会话密钥；

通过所述第一对称会话密钥对约定的软硬件信息进行加密，获得第一软硬件密文；

根据所述第一软硬件密文和所述随机数据采集配置生成所述第一关键属性。

9.根据权利要求8所述方法，其特征在于，所述数据采集请求组件根据所述随机盐值、会话密钥生成参数、所述请求组件公私钥对和所述响应组件公钥生成第一对称会话密钥，包括：

所述数据采集请求组件根据所述请求组件公私钥对和所述响应组件公钥生成第一协商预备密钥；

所述数据采集请求组件根据所述第一协商预备密钥、所述随机盐值和所述会话密钥生成参数生成所述第一对称会话密钥。

10.根据权利要求7所述方法，其特征在于，所述数据采集请求组件通过所述第一关键属性从所述数据中转节点拉取所述目标数据，包括：

所述数据采集请求组件根据所述第一关键属性生成数据拉取请求；

所述数据采集请求组件将所述数据拉取请求发送给所述数据中转节点；

所述数据中转节点确定第二设备上传的目标数据密文中携带的第二关键属性与所述第一关键属性相同；

所述数据中转节点将与所述第二关键属性关联的所述目标数据密文返回给所述数据采集请求组件。

11.根据权利要求1所述方法，其特征在于，当所述目标服务端基于所述对象信息确定所述目标对象具有对所述第二设备的采集权限时，通过所述第一客户端将所述数据采集请求发送至所述第二设备，包括：

所述第一客户端根据所述数据采集请求向所述目标服务端发起票据申请请求，所述票据申请请求包括所述第一设备的IP地址信息和端口信息、所述第二设备的IP地址信息和端口信息以及所述目标对象的对象信息，以便所述目标服务端根据所述票据申请请求确定所述第一设备是否有权限采集所述第二设备上的数据；

在所述目标服务端根据所述第一设备的IP地址信息和端口信息、所述第二设备的IP地址信息和端口信息以及所述目标对象的对象信息确定所述第一设备有权限采集所述第二设备上的数据的情况下，所述第一客户端从所述目标服务端接收目标票据，以便所述目标票据用于确认所述第一设备有权限从所述第二设备采集数据；

所述第一客户端向所述第二设备对应的特定网关发起https请求，所述https请求携带所述目标票据，以便所述特定网关根据所述目标票据向所述目标服务端进行鉴权，以确定所述第一设备是否有权限采集所述第二设备上的数据，其中限定只有所述特定网关才能连通所述第二设备；

在所述目标服务端对所述目标票据鉴权成功的情况下，所述第一客户端与所述特定网关建立连接；

所述第一客户端通过所述连接将所述数据采集请求发送给所述特定网关，以便所述特定网关将所述数据采集请求转发给所述第二设备。

12.一种数据采集方法，其特征在于，包括：

第二设备接收携带有目标对象的对象信息的数据采集请求，所述数据采集请求是由第一设备发起并由所述第一设备上的第一客户端劫持后发送给目标服务端以进行权限验证、并在通过权限验证确定所述对象信息具有对所述第二设备的采集权限的情况下由所述第一客户端发送给所述第二设备的；

所述第二设备基于所述数据采集请求采集目标数据；

所述第二设备将采集到的所述目标数据发送给所述第一设备。

13.根据权利要求12所述方法，其特征在于，所述第二设备上安装有第二客户端，所述第二客户端中包括数据采集响应组件，所述数据采集响应组件与所述第二客户端独立；其中，第二设备接收携带有目标对象的对象信息的数据采集请求，包括：

所述第二设备上的数据采集响应组件接收所述数据采集请求；

所述数据采集响应组件响应于所述数据采集请求在所述第二设备上采集目标数据；

所述数据采集响应组件将所述目标数据发往数据中转节点，以便通过所述数据中转节点将所述目标数据发送给所述第一设备。

14.根据权利要求13所述方法，其特征在于，所述第一客户端中包括数据采集请求组件，所述数据采集组件与所述第一客户端独立；其中，所述第二设备上的数据采集响应组件接收所述数据采集请求，包括：

所述数据采集响应组件接收所述数据采集请求、会话密钥生成参数、随机盐值、请求组件公钥和随机数据采集配置，所述会话密钥生成参数和所述随机盐值由第一客户端获取，所述请求组件公钥和所述随机数据采集配置由所述数据采集响应组件生成；

所述数据采集响应组件根据所述会话密钥生成参数、随机盐值、所述请求组件公钥和所述随机数据采集配置生成第二关键属性；

其中，所述数据采集响应组件将所述目标数据发往数据中转节点，以便通过所述数据中转节点将所述目标数据发送给所述第一设备，包括：

所述数据采集请求组件通过所述第二关键属性将所述目标数据发往所述数据中转节点，以便通过所述数据中转节点将所述目标数据发送给所述第一设备。

15.根据权利要求14所述方法，其特征在于，所述数据采集响应组件根据所述会话密钥生成参数、随机盐值、所述请求组件公钥和所述随机数据采集配置生成第二关键属性，包括：

所述数据采集响应组件随机生成响应组件公私钥对；

所述数据采集响应组件从所述第一客户端接收所述会话密钥生成参数、随机盐值、所述请求组件公钥和所述随机数据采集配置；

所述数据采集响应组件根据所述随机盐值、会话密钥生成参数、所述响应组件公私钥对和所述响应组件公钥生成第二对称会话密钥；

通过所述第二对称会话密钥对约定的软硬件信息进行加密，获得第二软硬件密文；

根据所述第二软硬件密文和所述随机数据采集配置生成第二关键属性，其中所述第二关属性与所述数据采集请求组件生成的第一关键属性相同。

16.根据权利要求15所述方法，其特征在于，通过所述第二关键属性将所述目标数据发往所述数据中转节点，包括：

所述数据采集响应组件通过所述第二对称会话密钥对目标数据进行加密获得目标数据密文；

所述数据采集响应组件将所述第二关键属性和所述目标数据密文关联起来、并发送给数据中转节点。

17.一种数据采集装置，其特征在于，包括：

数据采集请求发送模块，用于向第二设备发送携带有目标对象的对象信息的数据采集请求；

数据采集请求劫持模块，用于通过安装在所述第一设备上的第一客户端劫持所述数据采集请求；

权限验证模块，用于将劫持到的数据采集请求发送至目标服务端，通过所述目标服务端对目标对象进行权限验证；

请求发送模块，用于当所述目标服务端基于所述对象信息确定所述目标对象具有对所述第二设备的采集权限时，通过所述第一客户端将所述数据采集请求发送至所述第二设备；

目标数据获取模块，用于获取所述第二设备响应于所述数据采集请求所返回的目标数据。

18.一种电子设备，其特征在于，包括：

存储器和处理器；

所述存储器用于存储程序指令；所述处理器调用所述存储器存储的所述程序指令，用于实现如权利要求1-11或12-16任一项所述的数据采集方法。

19.一种计算机可读存储介质，其上存储有程序指令，该程序指令被处理器执行时实现如权利要求1-11或12-16任一项所述的数据采集方法。

20.一种计算机程序产品，包括计算机指令，所述计算机指令存储在计算机可读存储介质中，其特征在于，所述计算机指令被处理器执行时实现权利要求1-11或12-16任一项所述方法。