[發明專利]服務提供方H5應用形式的第三方安全接入方法

有效

• 申請號: 201910091874.5
• 申請日: 2019-01-30
• 公開（公告）號: CN109831432B
• 公開（公告）日: 2021-06-01
• 發明（設計）人: 謝文輝;王敏;劉江橋;張浩;李胤輝;楊柳;周期律;常學亮;張軼;孫光輝;汪哲逸;黃林浩;劉引
• 申請（專利權）人: 重慶農村商業銀行股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 成都行之專利代理事務所(普通合伙) 51220
• 代理人: 李英

本發明公開了服務提供方H5應用形式的第三方安全接入方法，包括第三方后端、服務提供方H5端、服務提供方網關服務端、服務提供方鑒權端和服務提供方后端，各端交互，本發明解決了現有技術存在的服務提供方服務接入到第三方會有數據泄漏、數據使用不可控、增大第三方APP大小、接入周期長流程復雜、開發成本較高的問題，提供服務提供方H5應用形式的第三方安全接入方法及系統，其應用時整個H5應用全由服務提供方開發，數據不會泄漏到任何一個第三方，不存在增大第三方APP大小和需要重新發版的問題，加入隨機數、哈希、AES加密算法、公鑰私鑰加解密等混合增加復雜度，整個方法的破解成本非常高。

技術領域

本發明涉及計算機網絡安全驗證接入技術，具體涉及服務提供方H5應用形式的第三方安全接入方法及系統。

背景技術

現有第三方接入服務提供方服務方法大致可以劃分為兩類：(1)接口接入方法。服務提供方提供接口，第三方通過后臺請求服務方接口提交請求和獲取返回數據；(2)SDK接入方法。第三方引入服務提供方的SDK加入自有APP，請求通過SDK提供的方法去調用服務方接口提交請求和獲取返回數據。

接口接入方法由于是由第三方的后臺服務發起請求，而不是前臺前端代碼直接請求，沒有在前端暴露服務提供方接口，后端接入有后端約定的加密認證流程，所以對于服務提供方的接口安全是有保證的，即使出現異常情況，服務提供方也可以及時限流或掐斷對某個第三方的服務，不至于造成大的損失，是目前比較常用的一種接入方法。但這種接入方法有一個缺陷，因為只提供的接口，只要對于認證通過的第三方發起的請求，無條件返回相應結果，但對第三方并沒有約束，第三方可以留存數據建立自己的第二套本地庫，也可以對數據進行修飾和修改再返回給前端用戶，而服務提供方對這類行為無法控制和識別，有可能給服務提供方帶來一定的聲譽風險，特別是在金融行業，這類風險在同業競爭和金融合規等方面尤為突出。

例如，某APP打著某某銀行的名號，提供在線開該行二類戶的服務，確實是和某某銀行的合作，某某銀行為其提供二類戶開戶接口，但該三方APP在請求接口前留存用戶注冊二類戶所提供的敏感信息，如姓名、身份證、手機號、甚至身份證正反面影像資料、手持身份證影像資料等，這些重要信息被三方留存但某某銀行是沒辦法判斷的，因為是第三方送過來的信息，至于來之前做了什么某某銀行根本無法控制，用戶也以為自己的信息給的是某某銀行，殊不知自己的這些重要信息也都留給了第三方，后續會帶來的風險很難預估，資料如果被第三方泄漏或者利用來做一些違規的事，某某銀行就會出現聲譽風險。

SDK接入方法分兩種，一種是不包含前端頁面的SDK，一種是包含前端頁面的SDK。

不包含前端頁面SDK的接入方法原理是服務提供方提供一個原生SDK加入第三方APP，第三方開發前端調用該SDK中的方法進行加密認證流程，通過該SDK提供的通過認證后的接口請求方法請求服務提供方的接口去獲取數據，這種形式只是把認證放在了原生端而不是后端，安全上來說必須要反編譯破解第三方的APP和服務提供方的原生SDK，才能找出服務提供方的接口和加解密認證方法，現在的APP一般都是加固加殼了的，所以安全方面還是有較難攻破，但比起接口接入法安全性稍差一些，因為破解反編譯一個APP的難度比起攻破一個后端服務器的難度來說還是要小一些，該方法也和接口接入法一樣存在第三方留存數據和修改數據的風險。