一种ceph分布式文件系统存储国密加固方法及系统与流程

1.本发明涉及ceph分布式文件系统存储技术领域，尤其是涉及一种ceph分布式文件系统存储国密加固方法及系统。


背景技术：

2.随着互联网的应用和发展，互联网数据量不断增加。ceph分布式存储系统是目前应用较为广泛的一种存储系统，它同时支持块存储、对象存储和文件系统三种存储方式，具备高性能、可拓展等突出优势。其中，文件系统是对文件存储设备的空间进行组织和分配，负责存储文件并对存入的文件进行保护和检索的系统，ceph分布式文件系统存储由于其利于共享的特点，越来越受到人们的青睐。
3.现有的开源ceph分布式文件系统存储的客户端接入认证及数据存储的接入方式未对对方身份进行验证，容易被窃取用户凭证和会话信息，同时客户端在接入ceph服务端进行数据传送过程中，也存在请求被中途截获或盗取的隐患，严重的甚至可能带来整个网络的瘫痪；而如果ceph分布式文件系统存储里的数据最终落在硬件设备上是明文的，则当用户失去对数据的控制时，如硬件设备丢失，存储设备被恶意盗取等，设备获得者可以直接读取或者还原存储设备上的数据，这一系列问题都将导致用户的数据安全隐患和隐私泄露风险。


技术实现要素：

4.基于此，本发明的目的在于提供一种ceph分布式文件系统存储国密加固方法及系统，防止客户端请求被中途截获或盗取以及失去对硬件设备控制后数据泄露的问题，有效保障用户认证访问、数据通信及隐私安全。
5.为解决上述技术问题，本发明采用以下技术方案：
6.本发明提供了一种ceph分布式文件系统存储国密加固方法，其包括如下步骤：
7.在预设通信协议的基础上加入基于国密算法sm2/sm3/sm4的tls/ssl双向认证；
8.建立国密可信传输通道；
9.基于国密算法sm3/sm4对服务端存储的数据进行国密加固。
10.在其中一个实施例中，所述步骤基于国密算法sm3/sm4对服务端存储的数据进行国密加固之前，还包括：
11.预置sm4国密算法的第二密钥。
12.在其中一个实施例中，所述步骤在预设通信协议的基础上加入基于国密算法sm2/sm3/sm4的tls/ssl双向认证的方法，具体操作包括：
13.将openssl源码的密码算法文件修改为sm2/sm3/sm4国密算法；
14.利用openssl生成国密算法sm2/sm4对应的密钥。
15.在其中一个实施例中，所述步骤建立国密可信传输通道方法，包括：
16.步骤s201、客户端和服务端分别向公共的ca管理平台申请基于sm2国密算法的数
字证书；
17.步骤s202、客户端向分布式文件系统存储的服务端发送tsl/ssl信息，并产生随机数a；其中，所述tsl/ssl信息包括客户端支持的国密算法及ssl协议的版本；
18.步骤s203、服务端回应确定使用的ssl协议的版本及选择sm2国密算法，产生随机数b，并从服务端秘钥库中取出要使用的sm2公钥及步骤s201中申请的数字证书发送给客户端；
19.步骤s204、客户端在接收到sm2公钥及数字证书后，通过ca管理平台以及sm3国密算法验证数字证书是否具有合法性及完整性；如是，则转入步骤s205；如否，则客户端返回不安全的警告信息；
20.步骤s205、客户端发送步骤s201中申请的数字证书及sm2公钥给服务端；
21.步骤s206、服务端对客户端发送的sm2公钥及数字证书通过ca公共管理平台进行校验；
22.步骤s207、客户端发送需要使用sm4国密算法为用户后续数据进行加密的方案给服务端；
23.步骤s208、服务端收到步骤s207中客户端发送的方案后，考虑sm4国密算法的加密效率，同意使用sm4国密算法对通信报文进行加解密；
24.步骤s209、客户端根据随机数a和b生成随机码r，随机码r作为sm4国密算法加密的密钥，并使用服务端的sm2公钥对随机码r进行加密，获得加密随机码r并发送给服务端；
25.步骤s210、服务端使用sm2私钥对加密随机码r进行解密，获得sm4国密算法的第一密钥；
26.步骤s211、客户端与服务端之间基于国密算法sm2/sm3/sm4的tls/ssl双向认证建立国密可信传输通道。
27.在其中一个实施例中，所述步骤s211之后，还包括
28.步骤s212、通过sm3国密算法验证客户端和服务端在数据通信过程中的通信报文的完整性。
29.在其中一个实施例中，当客户端发起写入请求操作时，所述步骤基于国密算法sm3/sm4对服务端存储的数据进行国密加固的方法，具体操作包括：
30.步骤s310a、客户端发起写入请求信息，其中，写入请求信息包括待写入数据；
31.步骤s320a、调用sm4国密算法对待写入数据进行加密，获取加密后的待写入数据；
32.步骤s330a、调用sm3国密算法校验待写入数据是否具有完整性；若是，则转入步骤s340a；若否，则客户端返回不安全警告信息，停止客户端与服务端之间的数据通信；
33.步骤s340a、服务器存储加密后的待写入数据。
34.在其中一个实施例中，所述步骤s340a的方法，具体操作包括：
35.第一存储副本primary osd收到客户端发送的写入请求信息，向第二存储副本secondary osd和第三存储副本tertiary osd同时转发写入请求信息，调用sm4国密算法对待写入数据进行加密，第二存储副本secondary osd和第三存储副本tertiary osd对加密后的待写入数据进行写入操作，第二存储副本secondary osd和第三存储副本tertiary osd写入操作完成后给第一存储副本primary osd发送确认消息，第一存储副本primary osd接收确认消息并完成对加密后的待写入数据写入操作；其中，硬件设备服务器包括第一
存储副本primary osd、第二存储副本secondary osd和第三存储副本tertiary osd。
36.在其中一个实施例中，当服务端发起读出请求操作时，所述步骤基于国密算法sm3/sm4对服务端存储的数据进行国密加固的方法，具体操作包括：
37.步骤s310b、客户端发起读出请求信息，其中，读出请求信息包括待读出数据；
38.步骤s320b、调用sm3国密算法校验待读出数据是否具有完整性；若是，则转入步骤s330b；若否，则客户端返回不安全警告信息，停止客户端与服务端之间的数据通信；
39.步骤s330b、调用sm4国密算法对待读出数据进行解密，获取解密后的待读出数据；
40.步骤s340b、解密后的待读出数据从服务端传输至客户端。
41.一种ceph分布式文件系统存储国密加固系统，其包括
42.双向认证加密模块，用于在预设通信协议的基础上加入基于国密算法sm2/sm3/sm4的tls/ssl双向认证；
43.国密通道建立模块，用于建立国密可信传输通道；
44.数据加解密模块，用于基于国密算法sm3/sm4对服务端存储的数据进行国密加固。
45.在其中一个实施例中，还包括
46.预置密钥模块，用于预置sm4国密算法的第二密钥。
47.综上所述，本发明提供的一种ceph分布式文件系统存储国密加固方法及系统通过客户端与服务端之间基于国密算法sm2/sm3/sm4的双向认证通信，提高客户端与服务端之间认证及通信的安全性，解决未进行身份认证时用户凭证和会话信息易被窃取、用户请求易被中途拦截或盗取的问题；另外，通过对ceph分布式文件系统存储对应的硬件设备服务器上存储的数据进行sm3/sm4国密加固，使得整个ceph分布式文件系统存储实现认证加密通信的国密替代，即使在失去对硬件设备服务器控制后，硬件设备服务器内的数据内容也不能被读取识别，有效保障用户数据及隐私安全。
附图说明
48.图1为本发明实施例提供的第一种ceph分布式对象存储系统国密加固方法的流程示意图；
49.图2为本发明实施例提供的第二种ceph分布式文件系统存储国密加固方法的流程示意图；
50.图3为本发明实施例提供的第一种建立国密可信传输通道方法的流程示意图；
51.图4为本发明实施例提供的第二种建立国密可信传输通道方法的流程示意图；
52.图5为本发明实施例提供的第三种ceph分布式文件系统存储国密加固方法的流程示意图；
53.图6为本发明实施例提供的第一种ceph分布式文件系统存储国密加固系统的结构框图；
54.图7为本发明实施例提供的第二种ceph分布式文件系统存储国密加固系统的结构框图；
55.图8为本发明实施例提供ceph分布式文件系统存储国密加固示意图；
56.图9为本发明实施例提供的ceph分布式文件系统存储底层硬件设备服务器osd组件上数据国密加固示意图。
具体实施方式
57.为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
58.ceph分布式文件系统存储是ceph提供的三大类存储方式之一，posix标准兼容，主要用于文件共享存储，主要包括用于数据存储的osd组件、用于集群监控的mon组件以及用于存储元数据的mds组件。
59.ceph分布式文件系统存储支持nfs协议、cifs协议、smb协议等三种协议，ceph分布式文件系统存储的客户端可以通过调用nfs协议、cifs协议、smb协议三种协议，进而调用服务端的ganesha服务或者samba服务，从而实现对服务端集群的操作，其中ganesha服务对应nfs协议，samba服务对应cifs协议和smb协议；本发明中，客户端可以是个人windows/linux电脑、mac或其他客户端服务器等，在客户端可以像操作本地文件一样实现对服务端文件的操作。
60.如图8所示，ceph分布式文件系统存储底层在ceph集群上创建多个资源池p(pool)，资源池p里面分别存储着数据以及元数据(文件系统中的数据管理信息)；ceph集群包括libcephfs库，本发明支持通过c、c 、python开发语言开发的客户端调取libcephfs库实现对ceph分布式文件系统存储的操作，如文件上传、下载、编辑等。
61.图1是本发明实施例提供的第一种ceph分布式文件系统存储国密加固方法的流程示意图，如图1所示，一种ceph分布式文件系统存储国密加固方法，具体包括如下步骤：
62.步骤s100、在预设通信协议的基础上加入基于国密算法sm2/sm3/sm4的tls/ssl双向认证；ceph分布式文件系统存储的客户端在调用预设通信协议之前加入基于国密算法sm2/sm3/sm4的tls/ssl双向认证，其中，预设通信协议包括nfs协议、cifs协议及smb协议。
63.具体地，所述步骤s100的方法，具体操作包括：
64.将openssl源码的密码算法文件修改为sm2/sm3/sm4国密算法；具体地，将openssl源码的cipher.c密码算法文件中的密码替换为sm2/sm3/sm4国密算法；
65.利用openssl生成国密算法sm2/sm4对应的密钥。
66.步骤s200、建立国密可信传输通道；客户端通过调用预设通信协议与服务端建立国密可信传输通道，利用sm4国密算法对预设通信协议传输的内容进行加密，进而保障客户端与服务端之间数据通信的加密效果，防止客户端请求被中途截获或盗取的问题，有效保障用户认证访问、数据通信及隐私安全。
67.如图3所示，在一个实施例中，所述步骤s200的方法，具体操作包括：
68.步骤s201、客户端和服务端分别向公共的ca管理平台申请基于sm2国密算法的数字证书；
69.步骤s202、客户端向分布式文件系统存储的服务端发送tsl/ssl信息，并产生随机数a；其中，所述tsl/ssl信息包括客户端支持的国密算法及ssl协议的版本等；
70.步骤s203、服务端回应确定使用的ssl协议的版本及选择sm2国密算法，产生随机数b，并从服务端秘钥库中取出要使用的sm2公钥及步骤s201中申请的数字证书发送给客户端；
71.步骤s204、客户端在接收到sm2公钥及数字证书后，通过ca管理平台以及sm3国密算法验证数字证书是否具有合法性及完整性；如是，则转入步骤s205；如否，则客户端返回不安全的警告信息；其中，验证数字证书是否具有合法性及完整性包括验证数字证书是否过期、是否已经被吊销、是否可信等内容；
72.步骤s205、客户端发送步骤s201中申请的数字证书及sm2公钥给服务端；
73.步骤s206、服务端对客户端发送的sm2公钥及数字证书通过ca公共管理平台进行校验；
74.步骤s207、客户端发送需要使用sm4国密算法为用户后续数据进行加密的方案给服务端；
75.步骤s208、服务端收到步骤s207中客户端发送的方案后，考虑sm4国密算法的加密效率，同意使用sm4国密算法对通信报文进行加解密；
76.步骤s209、客户端根据随机数a和b生成随机码r，随机码r作为sm4国密算法加密的密钥，并使用服务端的sm2公钥对随机码r进行加密，获得加密随机码r并发送给服务端；
77.步骤s210、服务端使用sm2私钥对加密随机码r进行解密，获得sm4国密算法的第一密钥；
78.步骤s211、客户端与服务端之间基于国密算法sm2/sm3/sm4的tls/ssl双向认证建立国密可信传输通道；通过sm4国密算法的第一密钥对基于nfs协议、cifs协议、smb协议的报文进行加解密，开始进行数据通信，进而保障客户端与服务端之间数据通信的加密效果，防止客户端请求被中途截获或盗取的问题，有效保障用户认证访问、数据通信及隐私安全。
79.如图4所示，在其中一个实施例中，所述步骤s211之后，还包括
80.步骤s212、通过sm3国密算法验证客户端和服务端在数据通信过程中的通信报文的完整性。
81.本发明一种ceph分布式文件系统存储国密加固方法通过客户端与服务端之间基于国密算法sm2/sm3/sm4的双向认证通信，提高客户端与服务端之间认证及通信的安全性，解决未进行身份认证时用户凭证和会话信息易被窃取、用户请求易被中途拦截或盗取的问题。
82.步骤s300、基于国密算法sm3/sm4对服务端存储的数据进行国密加固；其中，服务端为ceph分布式文件系统存储对应的硬件设备服务器，硬件设备服务器上的资源池p是对存储对象pg的逻辑分区，在一个资源池p里面存储的同一存储对象pg会最终落在不同的osd组件(一般配置成与磁盘对应)上；ceph分布式文件系统存储一般采用三副本的存储方式，硬件设备服务器包括第一存储副本primary osd、第二存储副本secondary osd和第三存储副本tertiary osd，即一个存储对象pg会落在3个osd组件上，如图9所示的ceph分布式文件系统存储的底层osd组件上数据国密加固示意图。
83.在一个实施例中，当客户端发起写入请求操作时，所述步骤s300的方法，具体操作包括：
84.步骤s310a、客户端发起写入请求信息，其中，写入请求信息包括待写入数据；
85.步骤s320a、调用sm4国密算法对待写入数据进行加密，获取加密后的待写入数据；
86.步骤s330a、调用sm3国密算法校验待写入数据是否具有完整性；若是，则转入步骤s340a；若否，则客户端返回不安全警告信息，停止客户端与服务端之间的数据通信；
87.步骤s340a、服务端存储加密后的待写入数据，实现对服务端存储的数据的国密加固。
88.在一个实施例中，所述步骤s340a的方法，具体操作包括：
89.第一存储副本primary osd收到客户端发送的写入请求信息，向第二存储副本secondary osd和第三存储副本tertiary osd同时转发写入请求信息，调用sm4国密算法对待写入数据进行加密，第二存储副本secondary osd和第三存储副本tertiary osd对加密后的待写入数据进行写入操作，第二存储副本secondary osd和第三存储副本tertiary osd写入操作完成后给第一存储副本primary osd发送确认消息，第一存储副本primary osd接收确认消息并完成对加密后的待写入数据写入操作。
90.在一个实施例中，当客户端发起读出请求操作时，所述步骤s300的方法，具体操作包括：
91.步骤s310b、客户端发起读出请求信息，其中，读出请求信息包括待读出数据；
92.步骤s320b、调用sm3国密算法校验待读出数据是否具有完整性；若是，则转入步骤s330b；若否，则客户端返回不安全警告信息，停止客户端与服务端之间的数据通信；
93.步骤s330b、调用sm4国密算法对待读出数据进行解密，获取解密后的待读出数据；
94.步骤s340b、解密后的待读出数据从服务端传输至客户端，实现对服务端存储的数据的国密加固。
95.在一个实施例中，所述步骤s340b的方法，具体操作包括：
96.第二存储副本secondary osd和第三存储副本tertiary osd收到客户端发送的读出请求信息，同时向第一存储副本primary osd转发读出请求信息，调用sm4国密算法对待读出数据进行解密，第一存储副本primary osd将解密后的待读出数据发送给客户端，第一存储副本primary osd完成服务端的读出操作后给第二存储副本secondary osd和第三存储副本tertiary osd发送确认消息，第二存储副本secondary osd和第三存储副本tertiary osd接收确认消息并将解密后的待读出数据发送给客户端。
97.如图2所示，在一个实施例中，所述步骤s300之前，还包括
98.步骤s400、预置sm4国密算法的第二密钥；在各个osd组件所在的硬件设备服务器上预置sm4国密算法的第二密钥。
99.在本实施中，步骤s400位于步骤s300之前，步骤s130也可根据需要描述成位于步骤s1200之前即步骤s100之后及步骤s200之前，步骤s300还可根据需要描述成位于步骤s100之前。
100.如图5所示，为了更加清晰本发明的技术方案，下面再阐述优选实施例。
101.步骤s100、在预设通信协议的基础上加入基于国密算法sm2/sm3/sm4的tls/ssl双向认证；
102.步骤s201、客户端和服务端分别向公共的ca管理平台申请基于sm2国密算法的数字证书；
103.步骤s202、客户端向分布式文件系统存储的服务端发送tsl/ssl信息，并产生随机数a；
104.步骤s203、服务端回应确定使用的ssl协议的版本及选择sm2国密算法，产生随机数b，并从服务端秘钥库中取出要使用的sm2公钥及步骤s201中申请的数字证书发送给客户
端；
105.步骤s204、客户端在接收到sm2公钥及数字证书后，通过ca管理平台以及sm3国密算法验证数字证书是否具有合法性及完整性；如是，则转入步骤s205；如否，则客户端返回不安全的警告信息；
106.步骤s205、客户端发送步骤s201中申请的数字证书及sm2公钥给服务端；
107.步骤s206、服务端对客户端发送的sm2公钥及数字证书通过ca公共管理平台进行校验；
108.步骤s207、客户端发送需要使用sm4国密算法为用户后续数据进行加密的方案给服务端；
109.步骤s208、服务端收到步骤s207中客户端发送的方案后，考虑sm4国密算法的加密效率，同意使用sm4国密算法对通信报文进行加解密；
110.步骤s209、客户端根据随机数a和b生成随机码r，随机码r作为sm4国密算法加密的密钥，并使用服务端的sm2公钥对随机码r进行加密，获得加密随机码r并发送给服务端；
111.步骤s210、服务端使用sm2私钥对加密随机码r进行解密，获得sm4国密算法的第一密钥；
112.步骤s211、客户端与服务端之间基于国密算法sm2/sm3/sm4的tls/ssl双向认证建立国密可信传输通道；
113.步骤s212、通过sm3国密算法验证客户端和服务端在数据通信过程中的通信报文的完整性；
114.步骤s400、预置sm4国密算法的第二密钥；
115.步骤s300、基于国密算法sm3/sm4对服务端存储的数据进行国密加固。
116.本发明一种ceph分布式文件系统存储国密加固方法通过对ceph分布式文件系统存储对应的硬件设备服务器上存储的数据进行sm3/sm4国密加固，使得整个ceph分布式文件系统存储实现认证加密通信的国密替代，即使在失去对硬件设备服务器控制后如硬件设备丢失，存储设备被恶意盗取等，硬件设备服务器内的数据内容也不能被读取识别，有效保障用户数据及隐私安全。
117.图6示出了本发明提供的一种ceph分布式文件系统存储国密加固系统的结构框图，如图6所示，对应于上述一种ceph分布式文件系统存储国密加固方法，本发明还提供一种ceph分布式文件系统存储国密加固系统，该ceph分布式文件系统存储国密加固系统包括用于执行上述ceph分布式文件系统存储国密加固方法的模块，该ceph分布式文件系统存储国密加固系统可以被配置于云平台，本发明提供一种ceph分布式文件系统存储国密加固系统，通过客户端与服务端之间基于国密算法sm2/sm3/sm4的双向认证通信，提高客户端与服务端之间认证及通信的安全性，解决未进行身份认证时用户凭证和会话信息易被窃取、用户请求易被中途拦截或盗取的问题；另外，通过对ceph分布式文件系统存储对应的硬件设备服务器上存储的数据进行sm3/sm4国密加固，使得整个ceph分布式文件系统存储实现认证加密通信的国密替代，即使在失去对硬件设备服务器控制后，硬件设备服务器内的数据内容也不能被读取识别，有效保障用户数据及隐私安全。
118.具体地，请参考图6，该一种ceph分布式文件系统存储国密加固系统包括双向认证加密模块100、国密通道建立模块200及数据加解密模块300。
119.双向认证加密模块100，用于在预设通信协议的基础上加入基于国密算法sm2/sm3/sm4的tls/ssl双向认证；双向认证加密模块100用于ceph分布式文件系统存储的客户端在调用预设通信协议之前加入基于国密算法sm2/sm3/sm4的tls/ssl双向认证。
120.国密通道建立模块200，用于建立国密可信传输通道；具体地，客户端通过调用预设通信协议与服务端建立国密可信传输通道，利用sm4国密算法对预设通信协议传输的内容进行加密，进而保障客户端与服务端之间数据通信的加密效果，防止客户端请求被中途截获或盗取的问题，有效保障用户认证访问、数据通信及隐私安全。
121.数据加解密模块300，用于基于国密算法sm3/sm4对服务端存储的数据进行国密加固；具体地，数据加解密模块300用于在客户端发起写入请求时，向osd组件写入待写入数据前先调用sm4国密算法对待写入数据进行加密，并调用sm3国密算法对数据完整性进行校验；另外，还用于从osd组件读取数据时先对待读取数据调用sm4国密算法进行解密，并运用sm3校验待读取数据完整性，从而保证数据的加密存储。
122.如图7所示，在一个实施例中，所述ceph分布式文件系统存储国密加固系统还包括预置密钥模块400，用于预置sm4国密算法的第二密钥；具体地，所述预置密钥模块400用于预置sm4国密算法的第二密钥在各个osd组件所在的硬件设备服务器上。
123.综上所述，本发明一种ceph分布式文件系统存储国密加固方法及系统通过客户端与服务端之间基于国密算法sm2/sm3/sm4的双向认证通信，提高客户端与服务端之间认证及通信的安全性，解决未进行身份认证时用户凭证和会话信息易被窃取、用户请求易被中途拦截或盗取的问题；另外，通过对ceph分布式文件系统存储对应的硬件设备服务器上存储的数据进行sm3/sm4国密加固，使得整个ceph分布式文件系统存储实现认证加密通信的国密替代，即使在失去对硬件设备服务器控制后，硬件设备服务器内的数据内容也不能被读取识别，有效保障用户数据及隐私安全。
124.本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。
125.在本发明所提供的几个实施例中，应该理解到，所揭露的系统和方法，可以通过其它的方式实现。例如，以上所描述的系统实施例仅仅是示意性的。例如，各个单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。
126.本发明实施例方法中的步骤可以根据实际需要进行顺序调整、合并和删减。本发明实施例装置中的单元可以根据实际需要进行合并、划分和删减。另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以是两个或两个以上单元集成在一个单元中。该集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分，或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以
使得一台计算机设备(可以是个人计算机，终端，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。
127.以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本发明范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明的保护范围应以所附权利要求为准。