一种合约凭证跨空间数据共享管控方法、设备及介质与流程

本技术涉及数据跨域安全共享，尤其涉及一种合约凭证跨空间数据共享管控方法、设备及介质。

背景技术：

1、随着各行业、区域可信数据空间的加速建设，不同可信数据空间之间因信任隔离、流程不透明、监管困难等问题，形成了比早期数据孤岛更为深层的数据流通壁垒。

2、现有跨域数据共享技术方案主要分为三类：第一类是基于中心化平台的数据交换方案，通过集中式平台或api网关实现数据对接，但存在单点故障风险，且平台方难以自证公平性与中立性；第二类是基于区块链的存证与共享方案，利用分布式记账实现不可篡改记录，但往往将整个协商流程置于链上导致存储成本高、性能瓶颈严重，且多侧重于单一空间内的管控，缺乏跨域协同机制；第三类是基于分布式数字身份的去中心化方案，虽可实现跨域身份互认，但未能与数据分类分级、合约协商、使用控制等业务环节深度联动，身份可信难以转化为数据使用的全过程可控。

3、因此，如何通过分布式数字身份技术实现跨空间主体的统一身份标识与可验证凭证管理，成为亟待解决的技术问题。

技术实现思路

1、本技术实施例提供了一种合约凭证跨空间数据共享管控方法、设备及介质，用以解决如下技术问题：如何通过分布式数字身份技术实现跨空间主体的统一身份标识与可验证凭证管理。

2、第一方面，本技术实施例提供了一种合约凭证跨空间数据共享管控方法，方法包括：在数据使用方的业务节点对数据使用方的身份核验通过后，将附有统一身份标识与可验证凭证的数据使用申请提交至功能节点，并在功能节点核验通过后，将数据使用申请转发至数据提供方的业务节点进行二次核验；通过数据使用方及数据提供方在线磋商，获得数字合约，并将数字合约备案至数据使用方和数据提供方的业务节点以及功能节点；响应于数据使用方的调用数据指令，将功能节点生成的授权凭证与合约可验证凭证发送至数据提供方网关进行验证并查询数字合约的实时状态，以确认数字合约是否处于允许访问状态并执行访问策略。

3、在本技术的一种实现方式中，在数据使用方的业务节点对数据使用方的身份核验通过后，将附有统一身份标识与可验证凭证的数据使用申请提交至功能节点，具体包括：获取数据使用方的用户认证信息，并基于用户认证信息核验数据使用方的身份；将通过核验的用户认证信息同步至功能节点，并基于分布式数字身份技术生成数据使用方的统一身份标识和对应的可验证凭证；将统一身份标识与可验证凭证返回至数据使用方的业务节点，并将统一身份标识与可验证凭证附于数据使用申请中，以提交至功能节点。

4、在本技术的一种实现方式中，在功能节点核验通过后，将数据使用申请转发至数据提供方的业务节点进行二次核验，具体包括：在功能节点接收到数据使用申请后，对统一身份标识和可验证凭证进行核验，并将通过核验的数据使用申请转发至数据提供方的业务节点；接收数据使用申请后，向功能节点发起针对数据使用方的二次身份核验请求，以对数据使用方的身份执行二次核验，并将核验结果返回至数据提供方的业务节点。

5、在本技术的一种实现方式中，通过数据使用方及数据提供方在线磋商，获得数字合约，具体包括：获取数据使用申请中数据资源的分类分级信息，并基于分类分级信息，确定数据资源对应的磋商事项的初始范围；其中，磋商事项包含合约策略、约束条件和标的物；在初始范围内设定磋商事项的提议内容，并将提议内容通过数据提供方的业务节点发送至数据使用方的业务节点，以进行在线沟通与修订；在数据提供方与数据使用方协商达成一致后，生成包含合约全文、双方签名及时间戳的最终合约，并生成存证哈希锚定上链，以获得区块链返回的交易id。

6、在本技术的一种实现方式中，将提议内容通过数据提供方的业务节点发送至数据使用方的业务节点，以进行在线沟通与修订，具体包括：数据使用方的业务节点或数据提供方的业务节点将当前轮次修订后的合约内容发送至对方业务节点，以生成接受确认信息或拒绝确认信息，并将修订后的合约内容返回至发起方业务节点；其中，发起方业务节点为数据使用方的业务节点或数据提供方的业务节点；发起方业务节点接收到修订后的合约内容后，进行发送与确认，直至数据提供方与数据使用方协商达成一致。

7、在本技术的一种实现方式中，将数字合约备案至数据使用方和数据提供方的业务节点以及功能节点，具体包括：将数字合约分别存证于数据使用方的业务节点和数据提供方的业务节点的本地存储中，并将存证后的数字合约的备案记录同步至功能节点；针对核验通过后的数字合约生成合约可验证凭证，并将合约可验证凭证返回至数据使用方的业务节点。

8、在本技术的一种实现方式中，响应于数据使用方的调用数据指令，将功能节点生成的授权凭证与合约可验证凭证发送至数据提供方网关进行验证并查询数字合约的实时状态，以确认数字合约是否处于允许访问状态并执行访问策略，具体包括：数据使用方的业务节点发起携带授权凭证与合约可验证凭证的数据调用请求，并将数据调用请求发送至数据提供方的网关，以验证合约可验证凭证的签名链；确认合约可验证凭证真实有效且未过期，并基于授权凭证查询区块链上对应的数字合约，确认数字合约处于生效状态且本次调用未超出约定的用量限制和频次限制；确认通过后，数据提供方的网关允许数据使用方访问数据，并更新数字合约的履行状态，以及持续监控数字合约的状态。

9、在本技术的一种实现方式中，访问策略，具体包括：从数字合约中提取合约策略与约束条件；其中，合约策略包含数据交付方式和数据交付范围；约束条件包含有效时段、允许调用总量、允许调用频次以及数据使用目的；基于合约策略确定数据访问的交付方式，并基于约束条件对当前数据调用请求进行校验，判断当前数据调用请求的发生时刻是否处于有效时段内、累计调用量是否未超过允许调用总量、单位时间内的调用次数是否未超过允许调用频次以及当前数据调用请求所声明的使用目的是否匹配数据使用目的；在校验全部通过后，按照交付方式向数据使用方交付数据资源，并在交付完成后更新数字合约中的累计调用量。

10、第二方面，本技术实施例还提供了一种合约凭证跨空间数据共享管控设备，设备包括：至少一个处理器；以及，与至少一个处理器通信连接的存储器；其中，存储器存储有可被至少一个处理器执行的指令，指令被至少一个处理器执行，以使至少一个处理器能够：在数据使用方的业务节点对数据使用方的身份核验通过后，将附有统一身份标识与可验证凭证的数据使用申请提交至功能节点，并在功能节点核验通过后，将数据使用申请转发至数据提供方的业务节点进行二次核验；通过数据使用方及数据提供方在线磋商，获得数字合约，并将数字合约备案至数据使用方和数据提供方的业务节点以及功能节点；响应于数据使用方的调用数据指令，将功能节点生成的授权凭证与合约可验证凭证发送至数据提供方网关进行验证并查询数字合约的实时状态，以确认数字合约是否处于允许访问状态并执行访问策略。

11、第三方面，本技术实施例还提供了一种合约凭证跨空间数据共享管控的非易失性计算机存储介质，存储有计算机可执行指令，计算机可执行指令被设置为：在数据使用方的业务节点对数据使用方的身份核验通过后，将附有统一身份标识与可验证凭证的数据使用申请提交至功能节点，并在功能节点核验通过后，将数据使用申请转发至数据提供方的业务节点进行二次核验；通过数据使用方及数据提供方在线磋商，获得数字合约，并将数字合约备案至数据使用方和数据提供方的业务节点以及功能节点；响应于数据使用方的调用数据指令，将功能节点生成的授权凭证与合约可验证凭证发送至数据提供方网关进行验证并查询数字合约的实时状态，以确认数字合约是否处于允许访问状态并执行访问策略。

12、本技术实施例提供的一种合约凭证跨空间数据共享管控方法、设备及介质，具有以下有益效果：通过使用方业务节点初验、功能节点跨域核验及提供方业务节点二次核验三级身份校验流程，利用统一分布式数字身份标识与可验证凭证完成跨可信数据空间身份互认；供需双方在线多轮磋商生成数字合约，合约同步备案至使用方业务节点、提供方业务节点、区域或行业功能节点三方节点，全链路统一留存合约正本，避免单方篡改合约条款、线下口头约定权责不清引发的数据流通纠纷；数据调用阶段同步校验授权凭证、合约可验证凭证双重凭证，同时实时查询链上数字合约动态状态，双重校验机制杜绝过期、伪造、无授权凭证发起数据调用，提升数据访问准入安全门槛。