[发明专利]基于SGX的微服务间接口鉴权方法、系统、终端及存储介质

权利要求书

1.一种基于SGX的微服务间接口鉴权方法，其特征在于，包括：

SGX秘钥管理中心从微服务注册中心获取各微服务的IP地址，为每个微服务生成一对非对称密钥，所述非对称密钥包括公钥和私钥；

将微服务的非对称密钥与IP地址绑定，将公钥下发至绑定的IP地址；

接收微服务发送的鉴权请求，所述鉴权请求包括第一微服务的IP地址和基于业务请求端公钥的认证密文，查找第一微服务的IP地址绑定的私钥，并利用私钥对认证密文进行解密；

如果解密成功，则将解密得到的权限标识符返回至发送鉴权请求的第二微服务，所述权限标识符用于指示第二微服务对第一微服务鉴权成功；

所述认证密文的生成方法包括：

第一微服务在向第二微服务发送认证密文之前，获取时间戳；

将时间戳与本地接口的权限标识进行拼接，并将拼接后的数据作为认证信息；

利用本地的公钥对所述认证信息进行加密得到认证密文，将所述认证密文添加至调用请求头部，并向第二微服务发送所述调用请求；

所述鉴权请求的生成方法包括：

第二微服务从接收的调用请求的头部提取认证密文并将认证密文与调用请求的源IP地址添加至鉴权请求，将所述鉴权请求发送至SGX秘钥管理中心；

所述权限标识符用于指示第二微服务对第一微服务鉴权成功，包括：

第二微服务接收SGX秘钥管理中心返回的权限标识，并比对权限标识等级与本地权限标识等级，如果权限标识等级不低于本地权限标识等级，则通过第一微服务的调用请求。

2.根据权利要求1所述的方法，其特征在于，SGX秘钥管理中心从微服务注册中心获取各微服务的IP地址，为每个微服务生成一对非对称密钥，所述非对称密钥包括公钥和私钥，

从微服务注册中心获取所有微服务的IP地址，并将所有微服务的IP地址保存至微服务IP列表；

利用密钥生成软件为IP列表中的每个IP地址生成一对非对称密钥。

3.根据权利要求1所述的方法，其特征在于，将微服务的非对称密钥与IP地址绑定，将公钥下发至绑定的IP地址，包括：

将为IP地址生成的非对称密钥保存至所述IP地址在IP列表中的关联位置，得到IP地址与非对称密钥的绑定列表；

创建多个线程分别从绑定列表提取各IP地址的绑定公钥，将提取的公钥按照与其绑定的IP地址下发至相应的微服务。

4.根据权利要求3所述的方法，其特征在于，将微服务的非对称密钥与IP地址绑定，将公钥下发至绑定的IP地址，包括：

将公钥保存至相应的微服务的内存。

5.一种基于SGX的微服务间接口鉴权系统，其特征在于，包括：

密钥生成单元，用于SGX秘钥管理中心从微服务注册中心获取各微服务的IP地址，为每个微服务生成一对非对称密钥，所述非对称密钥包括公钥和私钥；

密钥绑定单元，用于将微服务的非对称密钥与IP地址绑定，将公钥下发至绑定的IP地址；

鉴权解密单元，用于接收微服务发送的鉴权请求，所述鉴权请求包括第一微服务的IP地址和基于业务请求端公钥的认证密文，查找第一微服务的IP地址绑定的私钥，并利用私钥对认证密文进行解密；

标识返回单元，用于如果解密成功，则将解密得到的权限标识符返回至发送鉴权请求的第二微服务，所述权限标识符用于指示第二微服务对第一微服务鉴权成功；

所述认证密文的生成方法包括：

第一微服务在向第二微服务发送认证密文之前，获取时间戳；

将时间戳与本地接口的权限标识进行拼接，并将拼接后的数据作为认证信息；

利用本地的公钥对所述认证信息进行加密得到认证密文，将所述认证密文添加至调用请求头部，并向第二微服务发送所述调用请求；

所述鉴权请求的生成方法包括：

第二微服务从接收的调用请求的头部提取认证密文并将认证密文与调用请求的源IP地址添加至鉴权请求，将所述鉴权请求发送至SGX秘钥管理中心；

所述权限标识符用于指示第二微服务对第一微服务鉴权成功，包括：

第二微服务接收SGX秘钥管理中心返回的权限标识，并比对权限标识等级与本地权限标识等级，如果权限标识等级不低于本地权限标识等级，则通过第一微服务的调用请求。