383 lines
18 KiB
Markdown
383 lines
18 KiB
Markdown
# 认证身份中心设计
|
||
|
||
## 1. 总体定位
|
||
|
||
认证身份中心是4A系统的**统一认证入口和账号数据基座**，合并了传统4A中"认证"和"身份"两个模块。核心职责：
|
||
|
||
- 维护全平台统一的账号数据模型
|
||
- 提供多因素认证能力（密码 + 人脸 + SIM卡识别 + 短信验证码）
|
||
- 管理用户会话和令牌（JWT签发/验证/刷新）
|
||
- 与现网账号平台保持账号数据实时/准实时一致
|
||
|
||
---
|
||
|
||
## 2. 数据模型
|
||
|
||
### 2.1 核心账号表（T_ACCOUNT）
|
||
|
||
```sql
|
||
-- 账号主表
|
||
CREATE TABLE T_ACCOUNT (
|
||
account_id BIGINT PRIMARY KEY AUTO_INCREMENT,
|
||
-- 统一账号标识（与现网账号平台对齐）
|
||
uid VARCHAR(64) NOT NULL UNIQUE COMMENT '统一用户ID，与现网平台一致',
|
||
login_name VARCHAR(128) NOT NULL UNIQUE COMMENT '登录名',
|
||
display_name VARCHAR(256) COMMENT '显示姓名',
|
||
-- 身份信息
|
||
id_type TINYINT NOT NULL DEFAULT 1 COMMENT '身份类型:1-内部员工 2-外包 3-第三方 4-临时',
|
||
employee_id VARCHAR(64) COMMENT '工号',
|
||
org_code VARCHAR(64) COMMENT '所属组织编码',
|
||
org_path VARCHAR(512) COMMENT '组织全路径, 如:省公司/市公司/部门',
|
||
-- 联系方式
|
||
mobile VARCHAR(32) COMMENT '手机号',
|
||
email VARCHAR(256) COMMENT '邮箱',
|
||
-- 认证凭据
|
||
password_hash VARCHAR(256) COMMENT '密码哈希(BCrypt)',
|
||
password_salt VARCHAR(64) COMMENT '密码盐值',
|
||
password_version INT NOT NULL DEFAULT 1 COMMENT '密码策略版本号',
|
||
need_reset_password TINYINT NOT NULL DEFAULT 0 COMMENT '需要重置密码:0-否 1-是',
|
||
-- 人脸信息
|
||
face_template_id VARCHAR(128) COMMENT '人脸模板ID(金科侧)',
|
||
face_registered TINYINT NOT NULL DEFAULT 0 COMMENT '是否已注册人脸',
|
||
-- SIM卡信息
|
||
sim_imsi VARCHAR(64) COMMENT 'SIM卡IMSI(互联网SIM卡识别用)',
|
||
sim_phone VARCHAR(32) COMMENT 'SIM卡关联手机号',
|
||
sim_verified TINYINT NOT NULL DEFAULT 0 COMMENT 'SIM卡是否已验证',
|
||
-- 状态管理
|
||
status TINYINT NOT NULL DEFAULT 1 COMMENT '状态:0-禁用 1-正常 2-锁定 3-过期',
|
||
lock_reason VARCHAR(256) COMMENT '锁定原因',
|
||
last_login_ip VARCHAR(64) COMMENT '最后登录IP',
|
||
last_login_time DATETIME COMMENT '最后登录时间',
|
||
login_fail_count INT NOT NULL DEFAULT 0 COMMENT '连续登录失败次数',
|
||
unlock_time DATETIME COMMENT '自动解锁时间',
|
||
-- 有效期
|
||
effective_date DATE COMMENT '生效日期',
|
||
expire_date DATE COMMENT '失效日期',
|
||
-- 审计字段
|
||
created_by VARCHAR(64) NOT NULL,
|
||
created_at DATETIME NOT NULL DEFAULT CURRENT_TIMESTAMP,
|
||
updated_by VARCHAR(64) NOT NULL,
|
||
updated_at DATETIME NOT NULL DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP,
|
||
version INT NOT NULL DEFAULT 0 COMMENT '乐观锁版本号',
|
||
deleted TINYINT NOT NULL DEFAULT 0 COMMENT '逻辑删除:0-未删除 1-已删除',
|
||
|
||
INDEX idx_uid (uid),
|
||
INDEX idx_login_name (login_name),
|
||
INDEX idx_org_code (org_code),
|
||
INDEX idx_mobile (mobile),
|
||
INDEX idx_status (status)
|
||
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COMMENT='账号主表';
|
||
```
|
||
|
||
### 2.2 账号扩展属性表（T_ACCOUNT_ATTR）
|
||
|
||
支持与现网平台扩展属性的灵活映射，避免频繁改表。
|
||
|
||
```sql
|
||
CREATE TABLE T_ACCOUNT_ATTR (
|
||
id BIGINT PRIMARY KEY AUTO_INCREMENT,
|
||
account_id BIGINT NOT NULL COMMENT '关联账号ID',
|
||
attr_key VARCHAR(128) NOT NULL COMMENT '属性键',
|
||
attr_value VARCHAR(1024) COMMENT '属性值',
|
||
attr_type VARCHAR(32) COMMENT '值类型:string/number/date/json',
|
||
created_at DATETIME NOT NULL DEFAULT CURRENT_TIMESTAMP,
|
||
updated_at DATETIME NOT NULL DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP,
|
||
|
||
UNIQUE KEY uk_account_attr (account_id, attr_key),
|
||
INDEX idx_attr_key (attr_key, attr_value(128))
|
||
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COMMENT='账号扩展属性表';
|
||
```
|
||
|
||
### 2.3 与现网账号平台拉齐方案
|
||
|
||
现网账号平台通常是多系统异构的（HR系统、OA、运维平台等各有账号体系）。拉齐策略：
|
||
|
||
```
|
||
┌─────────────────────────────────────────────────────────────────┐
|
||
│ 现网账号平台（多源） │
|
||
│ ┌──────────┐ ┌──────────┐ ┌──────────┐ ┌──────────────┐ │
|
||
│ │ HR系统 │ │ OA系统 │ │ 运维平台 │ │ 第三方接入 │ │
|
||
│ │ (工号为主)│ │(邮箱为主) │ │ (SSH用户) │ │ (API对接) │ │
|
||
│ └─────┬────┘ └────┬─────┘ └─────┬────┘ └──────┬───────┘ │
|
||
│ │ │ │ │ │
|
||
│ └──────┬─────┴──────┬──────┴──────────────┘ │
|
||
│ │ │ │
|
||
│ ┌──────▼────────────▼──────┐ │
|
||
│ │ 账号同步适配器层 │ │
|
||
│ │ (定时拉取 + 变更推送) │ │
|
||
│ │ 策略：现网→自研单向同步 │ │
|
||
│ │ 冲突：以现网最新时间为准 │ │
|
||
│ └───────────┬──────────────┘ │
|
||
│ │ │
|
||
│ ┌───────────▼──────────────┐ │
|
||
│ │ 自研T_ACCOUNT主表 │ │
|
||
│ │ (以uid为统一标识) │ │
|
||
│ │ 额外字段：sync_source │ │
|
||
│ │ sync_version │ │
|
||
│ └──────────────────────────┘ │
|
||
└─────────────────────────────────────────────────────────────────┘
|
||
```
|
||
|
||
**同步策略关键点**：
|
||
|
||
1. **单向同步**：现网平台 → 自研系统（防止自研的修改反向污染现网）
|
||
2. **标识统一**：`uid` 字段作为跨系统唯一标识，映射现网各系统 ID
|
||
3. **定时+事件驱动**：
|
||
- 定时全量同步（每天凌晨）
|
||
- 变更事件订阅（MQ消息，实时增量同步）
|
||
- 手动触发全量同步（管理员操作）
|
||
4. **冲突处理**：
|
||
- 自研系统只读现网字段，不做覆盖
|
||
- 现网字段为主版本，自研扩展字段（如人脸模板ID）为从版本
|
||
- 时间戳精度到毫秒级，解决并发冲突
|
||
5. **挂载表记录同步日志**：T_ACCOUNT_SYNC_LOG 记录每次同步的变更明细
|
||
|
||
---
|
||
|
||
## 3. 认证能力接入
|
||
|
||
### 3.1 认证流程总图
|
||
|
||
```
|
||
┌──────────────────────┐
|
||
│ 统一认证入口 │
|
||
│ POST /api/v1/auth │
|
||
└──────────┬───────────┘
|
||
│
|
||
┌─────────────────┼─────────────────┐
|
||
│ │ │
|
||
┌─────▼─────┐ ┌──────▼──────┐ ┌──────▼──────┐
|
||
│ 密码认证 │ │ 人脸认证 │ │ SIM认证 │
|
||
│ provider │ │ provider │ │ provider │
|
||
└─────┬─────┘ └──────┬──────┘ └──────┬──────┘
|
||
│ │ │
|
||
└────────┬────────┴────────┬────────┘
|
||
│ │
|
||
┌──────▼──────┐ ┌──────▼──────┐
|
||
│ 认证成功 │ │ 认证失败 │
|
||
│ → 生成令牌 │ │ → 记录失败 │
|
||
│ → 返回JWT │ │ → 触发告警 │
|
||
└─────────────┘ └─────────────┘
|
||
```
|
||
|
||
### 3.2 密码认证
|
||
|
||
- **技术选型**：BCrypt（自适应哈希，cost factor=10-12）
|
||
- **策略**：
|
||
- 支持密码复杂度策略（长度/大小写/特殊字符组合）
|
||
- 支持密码历史管理（禁止使用最近N次密码）
|
||
- 连续失败N次后锁定账号 T 分钟
|
||
- 支持首次登录强制改密
|
||
- **接口**：标准 OAuth2 Password Grant + 自定义扩展
|
||
|
||
### 3.3 金科人脸识别接入
|
||
|
||
**集成方案**：
|
||
|
||
```yaml
|
||
# 金科人脸识别对接配置
|
||
face_recognition:
|
||
provider: "jinke"
|
||
api_base: "https://face-api.chinamobile.com/v2"
|
||
auth_mode: "aksk" # API Key + Secret Key 认证
|
||
timeout_ms: 5000
|
||
retry:
|
||
max_attempts: 2
|
||
backoff_ms: 200
|
||
endpoints:
|
||
verify: "/face/verify" # 1:1 人脸验证
|
||
detect: "/face/detect" # 人脸检测
|
||
register: "/face/register" # 人脸模板注册
|
||
delete: "/face/template/delete" # 删除人脸模板
|
||
liveness:
|
||
enabled: true # 活体检测开关
|
||
mode: "action" # action: 动作指令式, flash: 闪光
|
||
```
|
||
|
||
**认证流程**：
|
||
|
||
1. 客户端采集人脸图片 → 上传至自研后台
|
||
2. 自研后台调用金科 `/face/detect` 检测有效性（活体检测）
|
||
3. 通过后调用 `/face/verify` 传入用户 `uid` + 人脸图片
|
||
4. 金科返回置信度和匹配结果（阈值 >= 0.85 视为通过）
|
||
5. 自研后台记录认证日志，签发JWT
|
||
|
||
### 3.4 互联网SIM卡识别
|
||
|
||
**能力说明**：
|
||
- 利用运营商网关能力，识别用户手机号与SIM卡IMSI的绑定关系
|
||
- 用户通过蜂窝网络访问时，网关可携带SIM卡信息
|
||
- 实现"无感认证"——用户只需打开页面即可自动识别身份
|
||
|
||
**接入方案**：
|
||
|
||
```
|
||
用户手机(蜂窝网络) ──→ 运营商网关 ──→ 自研4A网关
|
||
↑ ↑
|
||
HTTP Header携带 解析Header提取
|
||
IMSI/MSISDN SIM信息，与账号
|
||
T_ACCOUNT.sim_imsi
|
||
做匹配验证
|
||
```
|
||
|
||
**技术要点**：
|
||
|
||
1. 依赖运营商网关配置（需与网络部协调开通）
|
||
2. 作为辅助认证因子，不可单独作为强认证手段
|
||
3. 需配合设备指纹、IP地理位置等信息做风险判断
|
||
4. 当SIM信息与预注册信息不一致时，触发二次认证（短信验证码）
|
||
|
||
### 3.5 消息中心短信接入
|
||
|
||
**集成方案**：
|
||
|
||
```yaml
|
||
sms:
|
||
provider: "message_center" # 中国移动消息中心
|
||
api_base: "https://msg-center.chinamobile.com/api"
|
||
app_id: "${SMS_APP_ID}"
|
||
app_secret: "${SMS_APP_SECRET}"
|
||
endpoints:
|
||
send: "/sms/send"
|
||
batch_send: "/sms/batch_send"
|
||
query_status: "/sms/status/{msg_id}"
|
||
features:
|
||
template: true # 使用短信模板（防篡改）
|
||
signature: "【中国移动】"
|
||
expiry_minutes: 5 # 验证码有效期5分钟
|
||
```
|
||
|
||
**流程**：
|
||
|
||
1. 发送验证码：生成6位数字验证码 → 写入 Redis（key=sms:code:{mobile}, TTL=300s）→ 调用消息中心API下发
|
||
2. 验证：用户提交验证码 → 查 Redis 比对 → 正确则完成认证
|
||
3. 限制策略：60秒内不可重复发送，每日上限10次
|
||
|
||
### 3.6 多因素认证组合策略
|
||
|
||
```
|
||
┌──────────────────────────────────────────────────────────────────┐
|
||
│ MFA策略配置（可动态调整） │
|
||
│ │
|
||
│ 场景类型 │ 认证因子组合 │
|
||
│ ──────────────────┼─────────────────────────────────────────── │
|
||
│ 内部网络登录 │ 密码 (单因素) │
|
||
│ 远程VPN登录 │ 密码 + 短信验证码 (双因素) │
|
||
│ 堡垒机登录 │ 密码 + 人脸/SIM (双因素) │
|
||
│ 敏感操作确认 │ 已登录令牌 + 短信验证码 (双因素) │
|
||
│ 管理员操作 │ 密码 + 人脸 + 短信验证码 (三因素) │
|
||
│ SIM卡网关识别 │ SIM识别 (零操作) │
|
||
└──────────────────────────────────────────────────────────────────┘
|
||
```
|
||
|
||
---
|
||
|
||
## 4. 令牌与会话管理
|
||
|
||
### 4.1 JWT令牌设计
|
||
|
||
```json
|
||
{
|
||
"access_token": {
|
||
"header": {"alg": "RS256", "typ": "JWT", "kid": "2026-01"},
|
||
"payload": {
|
||
"sub": "uid_00123",
|
||
"iss": "4a-self",
|
||
"aud": "4a-resource-centers",
|
||
"exp": 3600,
|
||
"iat": 1700000000,
|
||
"jti": "unique-token-id-abc123",
|
||
"auth_context": {
|
||
"mfa_level": 2,
|
||
"auth_methods": ["password", "sms"],
|
||
"session_id": "sess_xyz789"
|
||
},
|
||
"roles": ["operator", "auditor"]
|
||
},
|
||
"sign": "RS256_signature..."
|
||
},
|
||
"refresh_token": {
|
||
"expiry": 86400 * 7,
|
||
"rotation": true
|
||
}
|
||
}
|
||
```
|
||
|
||
- **签名算法**：RS256（非对称），access_token 和 refresh_token 使用不同密钥对
|
||
- **有效期**：access_token 1小时，refresh_token 7天（支持滑动刷新）
|
||
- **吊销机制**：Redis 维护黑名单（`jti:revoked`），注销/改密后立即使所有token失效
|
||
|
||
### 4.2 会话状态存储
|
||
|
||
```
|
||
Redis Key 设计:
|
||
4a:session:{session_id} → Session对象（用户信息、MFA等级、设备指纹）
|
||
4a:token:jti:{jti} → 令牌元数据（issuer_ip、issued_at、status）
|
||
4a:token:user:{uid} → 用户当前有效令牌列表
|
||
4a:token:blacklist:{jti} → 吊销令牌集合（TTL = token有效期）
|
||
4a:sms:code:{mobile} → 短信验证码（TTL = 300s）
|
||
4a:login:fail:{uid} → 登录失败计数（TTL = 锁定周期）
|
||
```
|
||
|
||
---
|
||
|
||
## 5. 接口规范
|
||
|
||
### 5.1 认证接口
|
||
|
||
| 接口 | 方法 | 说明 |
|
||
|------|------|------|
|
||
| `/api/v1/auth/login` | POST | 统一登录入口，请求体指定认证方式 |
|
||
| `/api/v1/auth/refresh` | POST | 刷新access_token |
|
||
| `/api/v1/auth/logout` | POST | 登出，吊销令牌 |
|
||
| `/api/v1/auth/check` | GET | 校验令牌有效性 |
|
||
| `/api/v1/auth/sms/send` | POST | 发送短信验证码 |
|
||
| `/api/v1/auth/face/register` | POST | 注册人脸模板 |
|
||
| `/api/v1/auth/sim/verify` | POST | SIM卡验证 |
|
||
|
||
### 5.2 账号管理接口
|
||
|
||
| 接口 | 方法 | 说明 |
|
||
|------|------|------|
|
||
| `/api/v1/accounts` | GET | 分页查询账号列表 |
|
||
| `/api/v1/accounts/{uid}` | GET | 查询单个账号详情 |
|
||
| `/api/v1/accounts` | POST | 创建账号（同步到现网需审批） |
|
||
| `/api/v1/accounts/{uid}` | PUT | 更新账号信息 |
|
||
| `/api/v1/accounts/{uid}` | DELETE | 禁用/删除账号 |
|
||
| `/api/v1/accounts/{uid}/password` | PUT | 修改密码 |
|
||
| `/api/v1/accounts/{uid}/status` | PATCH | 修改账号状态 |
|
||
| `/api/v1/accounts/sync/trigger` | POST | 手动触发全量同步 |
|
||
| `/api/v1/accounts/sync/log` | GET | 查询同步日志 |
|
||
|
||
### 5.3 响应格式
|
||
|
||
```json
|
||
// 成功响应
|
||
{
|
||
"code": 0,
|
||
"message": "success",
|
||
"data": {},
|
||
"request_id": "req-uuid-xxx"
|
||
}
|
||
|
||
// 错误响应
|
||
{
|
||
"code": 40101,
|
||
"message": "invalid_credentials",
|
||
"detail": "密码错误，还剩3次尝试机会",
|
||
"request_id": "req-uuid-xxx"
|
||
}
|
||
```
|
||
|
||
---
|
||
|
||
## 6. 与泰岳版比对关注点
|
||
|
||
| 项 | 自研方案 | 泰岳方案（推测） | 验证方法 |
|
||
|----|---------|-----------------|---------|
|
||
| 密码存储 | BCrypt + 多代盐值 | 厂商自研加密模块 | 黑盒：记录认证耗时 |
|
||
| 会话管理 | Redis + JWT | 可能为DB + Session | 比较并发下Session创建吞吐 |
|
||
| 认证流程扩展 | Provider模式，可插拔 | 模块化程度未知 | 接入新因子时的改动量对比 |
|
||
| 多因素组合 | 策略引擎（DSL配置） | 可能硬编码 | 配置灵活度对比 |
|
||
| 账号同步 | 适配器模式对接多源 | 可能单源集中 | 同步延迟和完整性对比 |
|