“一網(wǎng)通辦”人才落戶系統(tǒng)的跨域SSO設(shè)計(jì)與實(shí)現(xiàn)

谷 寧 靜

(上海市人力資源和社會(huì)保障局信息中心 上海 200051)

0 引 言

為進(jìn)一步推動(dòng)“互聯(lián)網(wǎng)+”政務(wù)服務(wù)，加快構(gòu)建一體化的網(wǎng)上政務(wù)服務(wù)體系[1]，在市委市政府的統(tǒng)一部署下，上海市人力資源和社會(huì)保障局堅(jiān)持推進(jìn)人才領(lǐng)域“一網(wǎng)通辦”工作，通過(guò)“一網(wǎng)通辦”促進(jìn)人才落戶引進(jìn)工作效率提升。為了提升公眾用戶訪問(wèn)和業(yè)務(wù)管理部門(mén)運(yùn)維效率，將“人才引進(jìn)”、“持有《上海市居住證》人員申辦本市常住戶口”、“留學(xué)人員落戶”、“外省市職工(家屬)進(jìn)滬”四個(gè)人才落戶應(yīng)用系統(tǒng)從原來(lái)分散的四個(gè)應(yīng)用系統(tǒng)集成為一個(gè)統(tǒng)一的應(yīng)用系統(tǒng)，并接入“一網(wǎng)通辦大平臺(tái)”。申報(bào)用戶只需一次登錄即可直接訪問(wèn)所有系統(tǒng)，同時(shí)關(guān)鍵業(yè)務(wù)信息和狀態(tài)實(shí)時(shí)共享至一網(wǎng)通辦大平臺(tái)，實(shí)現(xiàn)數(shù)據(jù)整合。在支持單點(diǎn)登錄的同時(shí)，允許各應(yīng)用系統(tǒng)在全面升級(jí)系統(tǒng)前保留原有的登錄賬戶信息和登錄入口。為此，本文構(gòu)建了基于“一網(wǎng)通辦”的人才落戶跨域單點(diǎn)登錄(singlesign-on，SSO)系統(tǒng)。

1 平臺(tái)總體框架

1.1 技術(shù)架構(gòu)設(shè)計(jì)

本系統(tǒng)采用符合J2EE規(guī)范的B/S/S三層應(yīng)用架構(gòu)，基于分布式架構(gòu)、應(yīng)用云技術(shù)支撐框架進(jìn)行設(shè)計(jì)。系統(tǒng)整體的IT架構(gòu)如圖1所示。

圖1 技術(shù)架構(gòu)框架

應(yīng)用系統(tǒng)構(gòu)建于應(yīng)用系統(tǒng)技術(shù)支撐框架(核心框架)之上，為用戶提供登錄業(yè)務(wù)應(yīng)用。PAAS平臺(tái)提供了基礎(chǔ)的PAAS支持，包括分布式緩存、分布式日志、分布式服務(wù)框架等，應(yīng)用系統(tǒng)技術(shù)支撐框架(擴(kuò)展框架)用于定義應(yīng)用系統(tǒng)與分布式服務(wù)的接口。IAAS平臺(tái)提供系統(tǒng)運(yùn)行所依賴的基礎(chǔ)設(shè)施，除開(kāi)放架構(gòu)的X86硬件設(shè)備以外，還應(yīng)支持使用已有的小型機(jī)設(shè)備。

在技術(shù)架構(gòu)設(shè)計(jì)上，本系統(tǒng)采用JavaEE體系和Spring核心框架?？蚣苤贫朔植际骄彺?、并行計(jì)算、分布式消息隊(duì)列、非結(jié)構(gòu)化存儲(chǔ)可擴(kuò)展技術(shù)服務(wù)的接口規(guī)范，對(duì)應(yīng)用集成管理、組織機(jī)構(gòu)管理、操作員管理、權(quán)限管理、日志跟蹤管理等分布式應(yīng)用管理功能進(jìn)行封裝，且分布式應(yīng)用管理功能可在應(yīng)用層面復(fù)用。在核心框架基礎(chǔ)上，通過(guò)分布式技術(shù)產(chǎn)品擴(kuò)展出相應(yīng)的技術(shù)實(shí)現(xiàn)。采用SpringMVC作為控制層框架，應(yīng)用開(kāi)發(fā)需要按照SpringMVC控制器Controller的規(guī)范進(jìn)行控制層實(shí)現(xiàn)。在控制層和視圖層，通過(guò)SpringSecurity提供聲明式的安全訪問(wèn)控制，通過(guò)動(dòng)態(tài)令牌實(shí)現(xiàn)單點(diǎn)登錄，基于角色模型實(shí)現(xiàn)URL權(quán)限聚合。

針對(duì)本系統(tǒng)架構(gòu)面向互聯(lián)網(wǎng)訪問(wèn)的應(yīng)用特點(diǎn)，前端通過(guò)Nginx進(jìn)行負(fù)載轉(zhuǎn)發(fā)、靜態(tài)文件處理；應(yīng)用服務(wù)器采用WAS9的libertyprofile，作為前端頁(yè)面運(yùn)行環(huán)境；通過(guò)redis搭建緩存層集群，存儲(chǔ)會(huì)話、字典表信息，采用zookeeper+dubbo的微服務(wù)架構(gòu)；搭建日志平臺(tái)及監(jiān)控平臺(tái)，方便日常運(yùn)維及故障排查。

1.2 軟件框架設(shè)計(jì)

針對(duì)四個(gè)人才落戶系統(tǒng)政策條線較多、受理操作復(fù)雜的情況，基于統(tǒng)一標(biāo)準(zhǔn)化運(yùn)行環(huán)境，本系統(tǒng)通過(guò)改造登錄模塊來(lái)接入一網(wǎng)通辦統(tǒng)一受理平臺(tái)。各業(yè)務(wù)單位分拆現(xiàn)有受辦一體的業(yè)務(wù)系統(tǒng)將現(xiàn)有業(yè)務(wù)系統(tǒng)中申報(bào)受理部分登錄模塊整體遷移至一網(wǎng)通辦統(tǒng)一受理平臺(tái)，納入一網(wǎng)通辦統(tǒng)一受理平臺(tái)管理，并與統(tǒng)一平臺(tái)數(shù)據(jù)交換中心對(duì)接。同時(shí)按照統(tǒng)一規(guī)范、統(tǒng)一標(biāo)準(zhǔn)進(jìn)行用戶認(rèn)證、Web登錄界面風(fēng)格改造、數(shù)據(jù)實(shí)時(shí)共享。

一網(wǎng)通辦單點(diǎn)登錄實(shí)現(xiàn)涉及SSO認(rèn)證中心的實(shí)現(xiàn)和人才落戶系統(tǒng)登入登出模塊、業(yè)務(wù)數(shù)據(jù)共享交換、權(quán)限模塊的改造，各系統(tǒng)要能夠與SSO統(tǒng)一認(rèn)證中心進(jìn)行通信，以實(shí)現(xiàn)授權(quán)令牌的校驗(yàn)、用戶身份信息的獲取及登入登出等請(qǐng)求處理，同時(shí)各種關(guān)鍵業(yè)務(wù)數(shù)據(jù)通過(guò)安全接口實(shí)時(shí)傳輸至一網(wǎng)通辦大平臺(tái)[2]。圖2描述了整個(gè)系統(tǒng)的軟件總體框架。

圖2 軟件總體框架

單點(diǎn)登錄過(guò)程中完成令牌驗(yàn)證、身份信息、注銷(xiāo)請(qǐng)求、統(tǒng)一審批編碼、關(guān)鍵業(yè)務(wù)數(shù)據(jù)的傳遞。部門(mén)網(wǎng)上辦事平臺(tái)入口登錄對(duì)應(yīng)單部門(mén)上網(wǎng)中的“原有入口、統(tǒng)一編碼”模式，即公眾在部門(mén)網(wǎng)上辦事平臺(tái)通過(guò)點(diǎn)擊“網(wǎng)上政務(wù)大廳用戶登錄”實(shí)現(xiàn)登錄后，跳轉(zhuǎn)到人社人才落戶系統(tǒng)進(jìn)行網(wǎng)上申報(bào)的模式。網(wǎng)上申報(bào)填寫(xiě)時(shí)通過(guò)數(shù)據(jù)交換接口來(lái)獲取申請(qǐng)用戶的基礎(chǔ)信息進(jìn)行預(yù)填。申請(qǐng)用戶調(diào)用“登錄獲取安全令牌”接口獲取安全令牌，再根據(jù)統(tǒng)一編碼獲取該辦件信息以開(kāi)展協(xié)同辦理，中間的辦理環(huán)節(jié)信息和結(jié)果信息通過(guò)數(shù)據(jù)交換接口反饋至一網(wǎng)通辦統(tǒng)一受理平臺(tái)的辦件庫(kù)和證照庫(kù)。整體業(yè)務(wù)對(duì)接流程框架如圖3所示。

圖3 業(yè)務(wù)對(duì)接流程框架

2 SSO具體實(shí)現(xiàn)

2.1 登錄流程

人才落戶事項(xiàng)網(wǎng)上辦事入口必須與一網(wǎng)通辦統(tǒng)一受理平臺(tái)整合，由平臺(tái)提供統(tǒng)一的入口。人才落戶業(yè)務(wù)系統(tǒng)與統(tǒng)一受理平臺(tái)實(shí)現(xiàn)跨域單點(diǎn)登錄，即用戶在統(tǒng)一平臺(tái)登錄后，跳轉(zhuǎn)到人才落戶業(yè)務(wù)系統(tǒng)遷入的系統(tǒng)進(jìn)行填報(bào)時(shí)無(wú)需再次登錄。登錄流程如圖4所示。

圖4 登錄流程

(1) 申請(qǐng)用戶登錄，調(diào)用“登錄獲取安全令牌”接口獲取安全令牌，網(wǎng)上政務(wù)大廳給該用戶授權(quán)一個(gè)動(dòng)態(tài)的登錄令牌access_token。

(2) 人才落戶網(wǎng)上辦事平臺(tái)通過(guò)令牌校驗(yàn)接口和網(wǎng)上政務(wù)大廳頒發(fā)的私鑰，向網(wǎng)上政務(wù)大廳請(qǐng)求驗(yàn)證令牌。

(3) 網(wǎng)上政務(wù)大廳令牌驗(yàn)證通過(guò)后，將會(huì)返回該access_token所對(duì)應(yīng)的用戶信息，用戶信息為json格式字符串。

(4) 生成本地用戶，人才落戶網(wǎng)上辦事平臺(tái)在令牌驗(yàn)證通過(guò)后，應(yīng)確認(rèn)網(wǎng)上政務(wù)大廳用戶唯一id(zwdtsw_user_id)是否在用戶庫(kù)中關(guān)聯(lián)，如未關(guān)聯(lián)，則需新增一個(gè)用戶，該用戶部分信息可從驗(yàn)證登錄令牌的接口中獲取，用戶生成后記錄zwdtsw_user_id；如已關(guān)聯(lián)，則根據(jù)名為zwdtsw_last_update的數(shù)據(jù)項(xiàng)，即該用戶上一次更新時(shí)間，結(jié)合本地用戶上一次更新時(shí)間進(jìn)行更新。

2.2 令牌生成和校驗(yàn)

整個(gè)單點(diǎn)登錄系統(tǒng)主要依賴令牌access_token來(lái)驗(yàn)證身份，zwdtsw_user_id被用作唯一的身份信息，對(duì)應(yīng)一個(gè)系統(tǒng)唯一的用戶身份。身份信息是存儲(chǔ)在access_token令牌中的一個(gè)用戶身份明文信息，用來(lái)與公鑰對(duì)簽名驗(yàn)證的結(jié)果比對(duì)確認(rèn)用戶的身份。簽名信息是使用非對(duì)稱加密對(duì)一組身份信息的簽名結(jié)果信息，用戶登錄系統(tǒng)使用公鑰對(duì)其進(jìn)行驗(yàn)證。令牌使用橢圓曲線簽名算法(ECDSA)來(lái)實(shí)現(xiàn)驗(yàn)證，對(duì)令牌M進(jìn)行橢圓曲線算法來(lái)簽名[3]。access_token令牌組成結(jié)構(gòu)如下：

{

“zwdtsw_user_id”：網(wǎng)上政務(wù)大廳用戶唯一id

“cas_id”： 單位統(tǒng)一社會(huì)信用碼

“nonce”：動(dòng)態(tài)隨機(jī)數(shù)

“exp”：Token失效時(shí)間

“iat”：Token簽發(fā)時(shí)間

“簽名信息”：SHA256加密

}

2.3 登錄狀態(tài)保持

用戶當(dāng)前登錄認(rèn)證狀態(tài)在四個(gè)人才落戶系統(tǒng)和一網(wǎng)通辦平臺(tái)是否能夠被共享是單點(diǎn)登入與登出的關(guān)鍵。本系統(tǒng)采用access_token登錄令牌來(lái)實(shí)現(xiàn)用戶當(dāng)前登錄認(rèn)證狀態(tài)的共享，并將該令牌存儲(chǔ)在session會(huì)話里面，借此access_token令牌應(yīng)用系統(tǒng)端可以區(qū)分登錄用戶身份?？蛻舳说纳矸菪畔?shù)據(jù)存儲(chǔ)在Cookie里，客戶每次訪問(wèn)時(shí)可讀取這些身份數(shù)據(jù)來(lái)獲取相應(yīng)的權(quán)限。如果用戶客戶端的Cookie被禁用，則采用URL重寫(xiě)技術(shù)，使得用戶端每次訪問(wèn)服務(wù)器端時(shí)可傳回此session的ID和登錄令牌。Cookie和URL重寫(xiě)技術(shù)的組合，可以確保整個(gè)應(yīng)用系統(tǒng)服務(wù)器能獲取到用戶之間是否處在有效的登錄會(huì)話中，同時(shí)獲取到用戶的身份及其他狀態(tài)信息。申報(bào)單位已經(jīng)登錄A落戶系統(tǒng)后再登錄B落戶系統(tǒng)時(shí)，不需要用戶再次登錄，但需要經(jīng)過(guò)如下處理流程：

(1) 申報(bào)單位訪問(wèn)應(yīng)用系統(tǒng)B。

(2) 應(yīng)用系統(tǒng)B發(fā)現(xiàn)該用戶無(wú)授權(quán)令牌未登錄，則將該用戶的身份信息和應(yīng)用系統(tǒng)B的事項(xiàng)代碼請(qǐng)求重定向到一網(wǎng)通辦統(tǒng)一認(rèn)證中心。

(3) 統(tǒng)一認(rèn)證中心驗(yàn)證該用戶的身份合法，發(fā)送動(dòng)態(tài)登錄令牌access_token，之后將攜帶授權(quán)令牌的申報(bào)單位用戶重定向到系統(tǒng)B。

(4) 應(yīng)用系統(tǒng)B將接收到的申報(bào)單位用戶的登錄令牌access_token向SSO統(tǒng)一認(rèn)證中心發(fā)送令牌驗(yàn)證請(qǐng)求。

(5)SSO統(tǒng)一認(rèn)證中心驗(yàn)證到令牌為有效的，則在本地用戶表中登記系統(tǒng)B，并向系統(tǒng)B返回確認(rèn)和其他必要的授權(quán)信息。

(6) 系統(tǒng)B與用戶之間建立局部會(huì)話，本地保存授權(quán)令牌，為用戶開(kāi)放相應(yīng)資源[4]。

2.4 統(tǒng)一審批編碼

統(tǒng)一編碼由統(tǒng)一受理平臺(tái)統(tǒng)一分發(fā)，貫穿審批及服務(wù)辦理全過(guò)程。人才落戶系統(tǒng)在用戶暫存或者提交辦件時(shí)，調(diào)用統(tǒng)一的接口獲取編碼，并將統(tǒng)一編碼與辦件綁定。一條統(tǒng)一編碼只能綁定唯一一條業(yè)務(wù)辦件。統(tǒng)一編碼規(guī)則：統(tǒng)一編碼由區(qū)域代碼、事項(xiàng)大類(lèi)碼、事項(xiàng)類(lèi)別碼、事項(xiàng)申請(qǐng)年度和事項(xiàng)流水號(hào)組成，共15位阿拉伯?dāng)?shù)字。區(qū)域代碼為其所屬上海市行政區(qū)域代碼表；事項(xiàng)的具體類(lèi)別代碼采用4位阿拉伯?dāng)?shù)字表示，以分段方式區(qū)分市、區(qū)兩級(jí)事項(xiàng)[5]；事項(xiàng)申請(qǐng)年度指生成統(tǒng)一編碼的公歷年度；事項(xiàng)流水號(hào)指事項(xiàng)當(dāng)年的申請(qǐng)流水號(hào)，采用6位阿拉伯?dāng)?shù)字表示，每年從000001開(kāi)始順序編碼。統(tǒng)一編碼生成：業(yè)務(wù)單位在用戶暫存或者提交辦件時(shí)，調(diào)用下面的接口獲取編碼，并將統(tǒng)一編碼與辦件綁定。一條統(tǒng)一編碼只能綁定唯一一條業(yè)務(wù)辦件。編碼結(jié)構(gòu)如圖5所示。

圖5 統(tǒng)一編碼結(jié)構(gòu)

2.5 數(shù)據(jù)交換接口服務(wù)調(diào)用

對(duì)數(shù)據(jù)交換平臺(tái)服務(wù)接口訪問(wèn)時(shí)，采用簽名/驗(yàn)簽機(jī)制進(jìn)行訪問(wèn)權(quán)限控制，未通過(guò)驗(yàn)簽的請(qǐng)求會(huì)被拒絕。具體操作步驟如下：

(1) 服務(wù)授權(quán)信息：在一網(wǎng)通辦平臺(tái)進(jìn)行數(shù)據(jù)交換服務(wù)的申請(qǐng)，首先獲取到服務(wù)的授權(quán)信息，包括服務(wù)編碼shgxjhpt_sid、appkey和請(qǐng)求者身份標(biāo)識(shí)shgxjhpt_rid信息。根據(jù)前面獲得的授權(quán)碼(appkey)，對(duì)請(qǐng)求者身份標(biāo)識(shí)shgxjhpt_rid、服務(wù)標(biāo)識(shí)shgxjhpt_sid和請(qǐng)求時(shí)間戳(shgxjhpt_rtime)進(jìn)行計(jì)算簽名，得到簽名信息(shgxjhpt_sign)。

(2) 調(diào)用平臺(tái)的簽名密鑰獲取接口，將shgxjhpt_rid、shgxjhpt_sid、shgxjhpt_rtime和shgxjhpt_sign值傳入接口中。

(3) 獲取簽名密鑰：服務(wù)接口調(diào)用成功后會(huì)返回加密后的密鑰(secret)及該密鑰的有效期(secretEndTime)，然后根據(jù)appkey使用AES解密算法對(duì)返回的信息進(jìn)行解密，最終獲得真正的簽名密鑰。使用appkey獲得簽名密鑰后，默認(rèn)密鑰有效期為1天，返回值中提示了密鑰過(guò)期時(shí)間，在此過(guò)期時(shí)間之前，不能頻繁獲取密鑰?？蛻舳嗣刻?點(diǎn)進(jìn)行密鑰的獲取和更新，并緩存到本地，當(dāng)天服務(wù)調(diào)用時(shí)都使用此密鑰。

(4) 在后續(xù)的服務(wù)接口調(diào)用過(guò)程中，首先使用簽名密鑰對(duì)請(qǐng)求者身份標(biāo)識(shí)、服務(wù)標(biāo)識(shí)和請(qǐng)求時(shí)間戳(shgxjhpt_rtime)進(jìn)行計(jì)算簽名，調(diào)用加密算法獲取簽名(sign)，此簽名有效期為5分鐘。

(5) 在Headers中添加rid、sid、rtime、sign消息體，然后進(jìn)行服務(wù)接口調(diào)用。該sign簽名密鑰可以連續(xù)多次使用，直至密鑰過(guò)期或主動(dòng)更新。

2.6 單點(diǎn)注銷(xiāo)的實(shí)現(xiàn)

SSO認(rèn)證中心一直監(jiān)聽(tīng)全局會(huì)話的狀態(tài)，一旦全局會(huì)話銷(xiāo)毀，監(jiān)聽(tīng)器將通知所有注冊(cè)系統(tǒng)執(zhí)行注銷(xiāo)操作。人才落戶系統(tǒng)整個(gè)單點(diǎn)注銷(xiāo)流程如下所示：

(1) 申請(qǐng)單位用戶向A系統(tǒng)發(fā)起注銷(xiāo)請(qǐng)求。

(2)A系統(tǒng)獲取該用戶的令牌，然后向SSO認(rèn)證中心發(fā)起注銷(xiāo)請(qǐng)求，并撤銷(xiāo)局部會(huì)話和全局會(huì)話，同時(shí)取出所有用此令牌注冊(cè)的系統(tǒng)地址。

(3) 認(rèn)證中心通知登記表中登記的其他應(yīng)用系統(tǒng)，SSO認(rèn)證中心向所有注冊(cè)系統(tǒng)發(fā)起注銷(xiāo)請(qǐng)求，銷(xiāo)毀局部會(huì)話。

(4)SSO認(rèn)證中心引導(dǎo)用戶至登錄頁(yè)面，進(jìn)行登出處理[4]。

2.7 用戶關(guān)聯(lián)原有用戶

為實(shí)現(xiàn)公眾憑一網(wǎng)通辦大平臺(tái)登錄后能在部門(mén)網(wǎng)上辦事平臺(tái)繼續(xù)使用人才落戶原有賬號(hào)資源，如歷史辦件查詢，部門(mén)網(wǎng)上辦事平臺(tái)應(yīng)在用戶信息完善頁(yè)面一并提供原有用戶關(guān)聯(lián)功能。本文不采用完全集中的統(tǒng)一用戶身份認(rèn)證和授權(quán)機(jī)制，而是通過(guò)建立SSO系統(tǒng)的身份認(rèn)證、授權(quán)機(jī)制與各應(yīng)用系統(tǒng)原有賬號(hào)之間的聯(lián)系來(lái)完成[6]。公眾輸入原有用戶賬號(hào)信息，驗(yàn)證通過(guò)后實(shí)現(xiàn)一網(wǎng)通辦大平臺(tái)用戶與之關(guān)聯(lián)，即一網(wǎng)通辦大平臺(tái)唯一用戶id與該賬號(hào)實(shí)現(xiàn)關(guān)聯(lián)，同時(shí)去除該id之前的關(guān)聯(lián)。關(guān)聯(lián)一網(wǎng)通辦大平臺(tái)用戶，部門(mén)網(wǎng)上辦事平臺(tái)原則上可保留自身用戶體系，但需在用戶注冊(cè)成功等頁(yè)面添加“關(guān)聯(lián)一網(wǎng)通辦大平臺(tái)大廳用戶”按鈕，提示公眾可關(guān)聯(lián)一網(wǎng)通辦大平臺(tái)大廳用戶[7]。一網(wǎng)通辦大平臺(tái)大廳將會(huì)把單位法人一證通里的唯一身份標(biāo)識(shí)碼zwdtsw_user_id，即網(wǎng)上政務(wù)大廳用戶唯一id傳遞到應(yīng)用系統(tǒng)，在html頁(yè)面需要插入一網(wǎng)通辦大平臺(tái)大廳登錄按鈕的位置，公眾點(diǎn)擊該按鈕后，頁(yè)面會(huì)跳轉(zhuǎn)至網(wǎng)上政務(wù)大廳。公眾在網(wǎng)上政務(wù)一網(wǎng)通辦大平臺(tái)大廳頁(yè)面輸入用戶登錄信息，如驗(yàn)證通過(guò)，則將該一網(wǎng)通辦大平臺(tái)大廳用戶唯一id以名為zwdtsw_user_id的參數(shù)提交至data-redirect指向頁(yè)面。部門(mén)確認(rèn)該id是否已被其他用戶關(guān)聯(lián)，如未關(guān)聯(lián)則實(shí)施關(guān)聯(lián)，完成后提示關(guān)聯(lián)成功，否則提示錯(cuò)誤信息。

2.8 分層授權(quán)體系

對(duì)于大型企業(yè)來(lái)說(shuō)，每年落戶申請(qǐng)人員眾多，所以單位的法人一證通需要開(kāi)通多個(gè)賬號(hào)，但是每個(gè)賬號(hào)的功能權(quán)限有所不同，有的只有填報(bào)功能，有的有材料審核上報(bào)和電子簽章功能等。對(duì)于一網(wǎng)通辦大平臺(tái)，由于接入的委辦應(yīng)用系統(tǒng)眾多，通過(guò)一網(wǎng)通辦來(lái)具體管理所有權(quán)限可行性不高，故針對(duì)權(quán)限系統(tǒng)復(fù)雜的應(yīng)用系統(tǒng)，如人才落戶系統(tǒng)，這里設(shè)計(jì)了分層授權(quán)體系。對(duì)單位的法人一證通用戶來(lái)說(shuō)，設(shè)置了主key和非主key用戶，首次登錄的單位唯一用戶設(shè)為主key，后續(xù)賬號(hào)登錄人才落戶應(yīng)用系統(tǒng)時(shí)，會(huì)提示讓主key來(lái)進(jìn)行授權(quán)行為，權(quán)限由主key設(shè)置完成后才能登錄進(jìn)行使用。這樣既實(shí)現(xiàn)了一網(wǎng)通辦統(tǒng)一登錄，又可以讓各應(yīng)用系統(tǒng)靈活管理自己的權(quán)限菜單，方便后續(xù)管理[8]。

3 安全性分析

本系統(tǒng)主要為互聯(lián)網(wǎng)用戶提供服務(wù)。公眾服務(wù)網(wǎng)互聯(lián)網(wǎng)用戶訪問(wèn)應(yīng)用系統(tǒng)時(shí)需經(jīng)過(guò)安全路由交換區(qū)的入侵防御、防毒墻、防火墻、WAF等安全設(shè)備，并將訪問(wèn)限制在前置交互區(qū)，無(wú)法直接訪問(wèn)業(yè)務(wù)應(yīng)用區(qū)，接入時(shí)還配置了網(wǎng)閘做隔離，更加保障了安全性。建立獨(dú)立的安全管理區(qū)，部署統(tǒng)一安全管理中心、數(shù)據(jù)庫(kù)審計(jì)、網(wǎng)頁(yè)防篡改、運(yùn)維審計(jì)、日志審計(jì)、漏洞掃描、身份認(rèn)證、移動(dòng)終端管理等安全設(shè)施，為系統(tǒng)提供統(tǒng)一的安全服務(wù)。在應(yīng)用層面上，申報(bào)用戶必須使用上海市數(shù)字認(rèn)證中心頒發(fā)的單位法人一證通登錄，保證了用戶身份證書(shū)的唯一性和機(jī)密性。本系統(tǒng)采用橢圓曲線簽名加密算法生成動(dòng)態(tài)令牌，對(duì)令牌進(jìn)行了SSL加密傳輸，保證關(guān)鍵的登錄身份信息在傳輸過(guò)程中不會(huì)被篡改。本系統(tǒng)對(duì)授權(quán)的用戶設(shè)置唯一的統(tǒng)一審批編碼，通過(guò)“簽名+驗(yàn)簽”和動(dòng)態(tài)簽名密鑰機(jī)制數(shù)據(jù)實(shí)時(shí)交換接口接收的json申報(bào)信息保持?jǐn)?shù)據(jù)共享，從而保證了數(shù)據(jù)的可用性。

4 結(jié) 語(yǔ)

人才落戶“一網(wǎng)通辦”系統(tǒng)投入應(yīng)用以來(lái)，得到了社會(huì)各方的廣泛好評(píng)。本系統(tǒng)基于分布式架構(gòu)、應(yīng)用云技術(shù)支撐框架進(jìn)行設(shè)計(jì)，采用zookeeper+dubbo的微服務(wù)架構(gòu)，將跨域SSO單點(diǎn)登錄等技術(shù)進(jìn)行分析﹑集成，實(shí)現(xiàn)了各業(yè)務(wù)系統(tǒng)統(tǒng)一身份認(rèn)證、分層靈活授權(quán)管理的工作機(jī)制，允許各應(yīng)用系統(tǒng)在全面升級(jí)系統(tǒng)前保留原有的登錄賬戶信息和登錄入口，保證系統(tǒng)無(wú)縫接入“一網(wǎng)通辦平臺(tái)”。同時(shí)基于事項(xiàng)統(tǒng)一審批編碼的數(shù)據(jù)交換模式還為各業(yè)務(wù)部門(mén)實(shí)現(xiàn)了實(shí)時(shí)信息共享，消滅了“數(shù)據(jù)孤島”，整合了全網(wǎng)數(shù)據(jù)，加快了構(gòu)建一體化的網(wǎng)上政務(wù)服務(wù)體系，極大提升了人才落戶引進(jìn)工作效率。