1、ICS35.080CCS L 773413宿州市地方标准DB 3413/T 00132022居民服务一卡通服务平台接入技术规范Service platform for resident service cardSpecification of access technology2022-11-18 发布2022-12-18 实施宿州市市场监督管理局 发 布DB 3413/T 00132022I前言本文件按照GB/T 1.12020标准化工作导则第1部分：标准化文件的结构和起草规则的规定起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由宿州市人力资源和社会保
2、障局提出并归口。本文件起草单位：宿州市人力资源和社会保障局、宿州市数据资源管理局、宿州市交通运输局、宿州市公共交通有限公司、宿州市文化和旅游局。本文件主要起草人：刘锋、程松、崔龙、张梦龙、朱俊臣、高庆涛、高元元、蒋春峰、付瑶、徐珂。DB 3413/T 001320221居民服务一卡通服务平台接入技术规范1范围本文件规定了接入居民服务一卡通服务平台（以下简称“一卡通平台”）的要求、接入流程、接入方式、接入方法和接入安全控制。本文件适用于一卡通平台的接入，及与一卡通平台应用相关的软件设计和开发。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，
3、仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T 22239信息安全技术 网络安全等级保护基本要求GB/T 28452信息安全技术 应用软件系统通用安全技术要求GB/T 32918（所有部分）信息安全技术 SM2椭圆曲线公钥密码算法GB/T 35273信息安全技术 个人信息安全规范LD/T 92社会保险管理信息系统指标集与代码DB 3413/T 0012-2022居民服务一卡通服务平台 数据编码规范3术语和定义DB 3413/T 0012-2022 界定的术语和定义适用于本文件。4要求4.1基本要求4.1.1具有固定的接入 IP 地址。4
4、.1.2以一卡通平台分配的用户 ID、用户密码接入身份验证。4.1.3软件设计应符合 GB/T 28452 的要求。4.1.4系统安全防护能力应符合 GB/T 22239 中安全等级保护三级及以上的要求。4.2网络类型应用系统可通过以下网络接入一卡通平台：a)国家电子政务外网；b)人力资源和社会保障业务专网；c)互联网。4.3接口要求DB 3413/T 001320222一卡通平台提供标准的应用接口，按国家安全标准进行加密传输，供应用系统调用，接入方应填写基本信息，见表1。表 1接入方基本信息信息说明单位名称接入方对应本单位社会统一信用代码的正式全称社会统一信用代码接入方登记的有效社会信用代码
5、服务事项应用系统接入与一卡通服务目录对应的服务事项应用场景向社会公众提供服务的简要说明申请单位联系人与联系方式联系人姓名、电话、邮箱等业务系统IP应符合4.2要求范围的固定IP地址应用网点信息设备部署的网点信息应用设备调用服务的设备类型5接入流程5.1应用接入流程接入流程图见图1。接入方管理方开始接入申请接入审核分配账号接入方线上信息填报接入信息审核测试环境授权上线审批生产环境授权应用测试上线申请上线启用结束申请测试上线图 1应用接入流程图5.2接入申请5.2.1接入方按申请表格式要求，提交材料包括接入 IP、联系人、联系方式、机构信息、对接内容等基础信息。DB 3413/T 00132022
6、35.2.2接入方按一卡通平台在线填报要求，线上填报网点、设备、应用系统等运行信息及参数。5.3接入测试5.3.1接入方按授权的测试环境，配置账户信息和测试密钥，并按对接规范进行开发，开展联调测试。5.3.2接入方完成测试事项，形成测试报告。5.4上线启用5.4.1接入方提交上线申请，一卡通平台分配正式密钥。5.4.2接入方获得正式密钥，配置应用系统，完成上线。6接入方式6.1HTTP 接入6.1.1采用 HTTP/1.1 协议，使用 POST 方法提交请求，请求包含身份令牌（access_token）参数。6.1.2请求及返回报文为 JSON 格式，字符编码为 UTF-8，涉及社会保障参数，
7、格式应符合 LD/T 92 的要求。6.1.3应用系统应按申请时报备的 IP 地址接入。6.2H5 页面接入6.2.1采用 HTTP/1.1 协议，使用 GET 方法提交请求。6.2.2请求及返回报文字符编码为 UTF-8，涉及社会保障参数，格式应符合 LD/T 92 的要求。6.2.3应用系统拼接 URL 地址及携带参数（见 7.2），发起 GET 请求，调用一卡通平台 H5 页面。6.2.4应用系统应按申请时报备的 IP 地址接入。7接入方法7.1HTTP 方式接入7.1.1API 方式实现数据层面交互。通过该方式进行对接，应用系统获取所需要的数据，根据自身业务逻辑，开发相应页面，实现数据
8、展示及业务办理。7.1.2API 接入应符合 HTTP restful 风格。签名相关的公共参数统一放在请求 HTTP 的 header 中。HTTP访问签名设定见附录 A。7.1.3格式：http:/ip:port/api-rest/sceneCode/serviceCode/version?access_token=accessToken&token=token&flag=flag7.1.4输入参数见表 2。表 2API 请求参数参数是否必填类型说明ip是字符串应用服务IPport是字符串应用服务端口sceneCode是字符串应用场景编码DB 3413/T 001320224表 2（续）参
9、数是否必填类型说明serviceCode是字符串接口服务编码version是字符串接口服务版本accessToken是字符串服务调用凭证令牌token否字符串调用者信息凭证（无连续访问不上传）flag否字符0：不保留访问信息，1：保留访问信息7.2H5 页面方式接入7.2.1请求过程接入方采用基于HTTP协议的URL通信方式，发起HTTP请求，将经过统一算法进行加密及签名的参数串提交到一卡通平台，一卡通平台对相关参数进行解析核验，核验通过后返回对应的H5页面资源。核验不通过时向接入方提示错误信息。7.2.2数据交互7.2.2.1通过互联网进行访问。7.2.2.2接入方按一卡通平台 H5 标准规
10、范拼接 URL 地址及携带参数。7.2.2.3由一卡通平台 H5 解析参数，对应用进行身份鉴权、应用访问鉴权，鉴权通过后返回请求的H5 资源，用于接入方应用端展示。7.2.2.4格式：http:/ip:port/api-rest/forward?sceneCode/serviceCode/$version?access_token=accessToken&token=token&security=encrypt_key&_api_signature=sign_key7.2.2.5约定：所有请求的 charset 应为 UTF-8。输入参数见表 3。表 3H5 请求参数参数是否必填类型说明ip是
11、字符串应用服务IPport是字符串应用服务端口sceneCode是字符串应用场景编码serviceCode是字符串接口服务编码version是字符串接口服务版本accesstoken是字符串服务调用凭证令牌token否字符串调用者信息凭证（无连续访问不上传）security是字符串加密串_api_signaturea是字符串访问签名aa访问签名见附录B。8接入安全控制8.1身份验证8.1.1接入方身份验证基于 IP 白名单和 token 访问令牌，验证通信身份的合法性，通信报文添加时间DB 3413/T 001320225戳校验，验证应用访问的唯一性。8.1.2应用系统使用一卡通平台分配的用户
12、 ID 和密码，申请调用获取身份令牌。8.1.3一卡通平台对应用系统的 IP、用户 ID 和密码进行身份校验，通过后给应用系统分配 token 访问令牌。8.2加密方式8.2.1传输加密使用标准国密对称加密 SM4 算法，对服务接口报文进行全程传输加密。8.2.2安全鉴权采用请求签名机制，签名采用国密非对称 SM2 算法，SM2 算法应符合 GB/T 32918（所有部分）的要求，双方以安全方式存储接口鉴权密钥，同时公私钥传输过程中应加密。8.2.3密钥由管理方统一生成和分配管理。8.3加密传输过程8.3.1应用系统8.3.1.1应用系统对访问参数经 MD5 压缩加密生成签名摘要 M1，并使用
13、应用系统的非对称 SM2 私钥进行签名，生成 A1；并将 A1 放置 head 中传输，key 为 SIGN_KEY。8.3.1.2应用系统随机生成对称 SM4 密钥随机串 B，并将访问入参进行加密生成 C，同时将 B 使用一卡通平台提供的 SM2 公钥进行加密,生成 D1；并将 D1 放置 head 中传输，key 为 ENCRYPT_KEY。8.3.1.3向管理方发起访问，其中服务访问 head 包括加密通信数据 D1、签名 A1 和报文体 C。8.3.2一卡通平台8.3.2.1一卡通平台用 SM2 私钥对 D1 进行解密，获取应用系统随机生成对称 SM4 密钥随机串 B。8.3.2.2通
14、过 B 对加密通信信息 C 进行解密，获取到访问入参明文。8.3.2.3用获取到的入参明文进行 MD5 压缩加密，生成 M2。8.3.2.4一卡通平台用应用系统提供的非对称 SM2 公钥对 A1 进行解密，并与 M2 进行比对验签。8.3.2.5验签通过，说明通信信息中途没有被篡改，信息传输完整，签名验证通过，可正常对访问响应处理。8.4个人隐私保护8.4.1应用系统需提供个人信息展示功能的，隐私数据脱敏范围不少于 50%。示例：a)姓名脱敏显示：*明，显示姓名的最后 12 个汉字；b)公民身份号码和社保卡号脱敏显示：*4432，显示最后 4 位，其他隐藏；c)手机号码脱敏显示：133*438
15、7，显示前 3 位和后 4 位，其他隐藏；d)证件有效日期和证件失效日期脱敏显示：*0421，显示后 4 位，其他隐藏；e)用户户籍地址、用户居住地址、用户工作单位和发卡地脱敏显示：北京市海淀区*，长度大于 12 时,只显示前 6 位，不足 12 位显示不超过 50%，其他隐藏。8.4.2应用系统需向第三方应用系统提供个人信息共享功能的，应按 GB/T 35273 的要求进行数据保护处理，并前置本人授权同意环节。DB 3413/T 001320226AA附录A（资料性）HTTP 访问签名参数说明A.1文件中 HTTP 访问签名的参数见表 A.1。表 A.1 API 访问签名参数表参数是否必填类
16、型说明ENCRYPT_KEY是字符串SM2加密SM4密钥所得SIGN_KEYa是字符串访问报文参数MD5签名A.2访问报文参数 MD5 签名见表 A.2表 A.2 访问报文参数 MD5 签名 SIGN_KEY 参数表参数类型参数是否必填格式说明公共参数deviceSerial是string设备序列号timestamp是number调用时间戳业务参数data是json业务参数，如姓名、身份证号、社保号等DB 3413/T 001320227BB附录B（资料性）H5 访问签名参数说明文件中访问签名参数见表B.1。表 B.1 访问签名参数_api_signature 参数表参数类型参数是否必填格式说明公共参数deviceSerial是string设备序列号timestamp是number调用时间戳业务参数data是json业务参数，如姓名、身份证号、社保号等DB 3413/T 001320228参考文献1 ZWFW C0131-2018国家政务服务平台统一身份认证隐私保护要求
