CN116032613A - 区块链数字凭证交换方法、文件存储访问方法和*** - Google Patents

Abstract

本发明提供了一种区块链数字凭证交换方法、文件存储访问方法和***，涉及区块链技术领域，方法包括：基于客户端的初始化安全参数请求对安全参数进行初始化；基于客户端的数字凭证注册请求验证链上的前一版凭证摘要和注册请求中的前一版凭证摘要是否相同，若相同则返回注册成功；基于用户侧客户端的数字凭证验证请求验证链上的前一版凭证摘要和验证请求中的前一版凭证摘要是否相同，以及验证数字凭证验证请求中的待验证数字身份Did所对应的链上凭证摘要和数字凭证验证请求中的当前凭证摘要是否相同，若相同则返回验证成功。本发明可以解决去中心化***中数字凭证安全交换和认证问题，以及从根本上解决了传统方案中的安全性和认证单点问题。

Description

区块链数字凭证交换方法、文件存储访问方法和***

技术领域

本发明涉及区块链技术领域，尤其涉及一种区块链数字凭证交换方法、文件存储访问方法和***。

背景技术

随着去中心化数字经济的发展，如何实现不可信环境下的身份互认是亟待解决的关键问题。以数字资产交换场景为例，数字资产所有者希望其对数字资产的发布范围、使用方式具有完全控制和安全访问的能力，与此同时，数字资产接收者希望数字资产来源可信。传统基于证书颁发机构(CA，Certificate Authority)的公钥基础设施(PKI，Public KeyInfrastructure)身份认证模式采用中心化的认证模式，用户向服务机构出示数字身份证明，须来源于第三方可信机构，同时也需借助第三方机构实现身份认证，接收方要确认数据是否来自可信数据源，也要依赖第三方机构提供的认证服务。

传统PKI身份认证模式以CA认证为核心，具有认证效率高的优势，但该模式在抵御安全攻击方面已被认为具有单点风险，尤其是当CA服务器遭受网络攻击或***故障时，无法正常对外提供服务；同时，不同的服务提供商支持的认证机构也存在差异，如果用户拥有的数字身份证书，其认证机构恰好不在服务提供商的支持清单中，将不得不重新注册新的数字身份，从而面临网络部署复杂、使用麻烦等难题。针对互联网安全访问，业界也提供了TLS(SSL)等客户端/服务器的点对点的身份认证方法，解决了身份证明依赖第三方机构的问题，但其认证模式仍然是单向的，如果改造适用于双向的身份认证，将使握手次数增加到双倍，降低了彼此通信交互的效率。

发明内容

有鉴于此，本发明提供一种区块链数字凭证交换方法、文件存储访问方法和***，以解决上述提及的至少一个问题。

为了实现上述目的，本发明采用以下方案：

根据本发明的第一方面，提供一种区块链数字凭证交换方法，所述方法包括：基于用户侧客户端的初始化安全参数请求对安全参数进行初始化以及生成和数字身份Did对应的对称密钥，将所述数字身份Did和用户公钥一起在区块链记账节点存证，并将并将初始化后的安全参数及所述对称密钥返回给所述用户侧客户端；基于用户侧客户端的数字凭证注册请求验证链上的前一版凭证摘要和注册请求中的前一版凭证摘要是否相同，若相同则将数字身份Did和注册请求中的当前凭证摘要一起在区块链记账节点上存储上链并返回注册成功的信息给用户，否则返回注册失败的信息给用户；基于用户侧客户端的数字凭证验证请求验证链上的前一版凭证摘要和验证请求中的前一版凭证摘要是否相同，若不相同则返回验证失败的信息给所述用户侧客户端，若相同则进一步验证数字凭证验证请求中的待验证数字身份Did所对应的链上凭证摘要和数字凭证验证请求中的当前凭证摘要是否相同，若相同则返回验证成功的信息给用户，否则返回验证失败的信息给用户。

根据本发明的第二方面，提供一种基于上述区块链数字凭证交换方法的文件存储方法，所述方法包括：用户在用户侧客户端的数字凭证验证请求通过后，通过客户端发起文件上传请求；客户端利用对称密钥对所述文件进行加密成密态文件，并利用用户私钥对所述文件进行签名，然后将签名、密态文件和数字身份Did一起上传给服务网关；所述服务网关调用去中心化文件存储API将所述密态文件分片存储至区块链存储节点，并生成内容标识符Cid；服务网关检测所述密态文件存储是否成功以及内容标识符Cid是否成功生成，若所述密态文件未存储成功，或内容标识符Cid未成功生成，则返回文件存储失败信息给所述客户端，若密态文件存储成功且内容标识符Cid成功生成，则执行区块链智能合约将内容标识符Cid与数字身份Did的对应关系在区块链记账节点上存证，并向所述客户端返回文件存储成功的信息。

根据本发明的第三方面，提供一种基于上述区块链数字凭证交换方法的文件访问方法，所述方法包括：用户在用户侧客户端的数字凭证验证请求通过后，通过客户端发起文件目录查询请求；客户端提取用户的数字身份Did，通过服务网关调用区块链查询智能合约API向区块链记账节点查询用户文件目录列表；区块链记账节点将与所述数字身份Did相关的文件目录列表返回给客户端；用户从文件目录列表中选取访问文件并向客户端提交文件访问请求；客户端基于所述文件访问请求提取文件的内容标识符Cid，通过服务网关调用区块链存储智能合约API向区块链存储节点获取密态文件；区块链存储节点汇总文件分片文件形成密态文件，并从区块链结账节点处获取数字身份Did所对应的用户公钥；区块链存储节点对密态文件进行完整性校验和签名验证，通过完整性校验和签名验证后将密态文件返回给客户端；客户端利用对称密钥解密密态文件生成明文展示给用户。

根据本发明的第四方面，提供一种区块链数字凭证交换***，所述***包括：客户端、服务网关和区块链记账节点，所述客户端位于用户侧，所述客户端通过所述服务网关与所述区块链记账节点通信，其中：服务网关将用户基于客户端提出的初始化安全参数请求发送至区块链记账节点，区块链记账节点对安全参数进行初始化以及生成和数字身份Did对应的对称密钥，将所述数字身份Did和用户公钥一起在区块链记账节点存证，并将并将初始化后的安全参数及所述对称密钥通过服务网关返回给客户端；区块链记账节点基于用户侧客户端的数字凭证注册请求验证链上的前一版凭证摘要和注册请求中的前一版凭证摘要是否相同，若相同则将数字身份Did和注册请求中的当前凭证摘要一起在区块链记账节点上存储上链并返回注册成功的信息给所述用户侧客户端，否则返回注册失败的信息给所述用户侧客户端；区块链记账节点基于用户侧客户端的数字凭证验证请求验证链上的前一版凭证摘要和验证请求中的前一版凭证摘要是否相同，若不相同则返回验证失败的信息给所述用户侧客户端，若相同则进一步验证数字凭证验证请求中的待验证数字身份Did所对应的链上凭证摘要和数字凭证验证请求中的当前凭证摘要是否相同，若相同则返回验证成功的信息给所述用户侧客户端，否则返回验证失败的信息给所述用户侧客户端。

根据本发明的第五方面，提供一种基于上述区块链数字凭证交换方法的文件存储***，所述***包括：客户端、服务网关、区块链存储节点和区块链记账节点，其中：用户在用户侧客户端的数字凭证验证请求通过后，通过客户端发起文件上传请求；客户端利用对称密钥对所述文件进行加密成密态文件，并利用用户私钥对所述文件进行签名，然后将签名、密态文件和数字身份Did一起上传给服务网关；所述服务网关调用去中心化文件存储API将所述密态文件分片存储至区块链存储节点，并生成内容标识符Cid；服务网关检测所述密态文件存储是否成功以及内容标识符Cid是否成功生成，若所述密态文件未存储成功，或内容标识符Cid未成功生成，则返回文件存储失败信息给所述客户端，若密态文件存储成功且内容标识符Cid成功生成，则执行区块链智能合约将内容标识符Cid与数字身份Did的对应关系在区块链记账节点上存证，并向所述客户端返回文件存储成功的信息。

根据本发明的第六方面，提供一种基于上述区块链数字凭证交换方法的文件访问***，所述***包括：客户端、服务网关、区块链存储节点和区块链记账节点，其中：用户在用户侧客户端的数字凭证验证请求通过后，通过客户端发起文件目录查询请求；客户端提取用户的数字身份Did，通过服务网关调用区块链查询智能合约API向区块链记账节点查询用户文件目录列表；区块链记账节点将与所述数字身份Did相关的文件目录列表返回给客户端；用户从文件目录列表中选取访问文件并向客户端提交文件访问请求；客户端基于所述文件访问请求提取文件的内容标识符Cid，通过服务网关调用区块链存储智能合约API向区块链存储节点获取密态文件；区块链存储节点汇总文件分片文件形成密态文件，并从区块链结账节点处获取数字身份Did所对应的用户公钥；区块链存储节点对密态文件进行完整性校验和签名验证，通过完整性校验和签名验证后将密态文件返回给客户端；客户端利用对称密钥解密密态文件生成明文展示给用户。

根据本发明的第七方面，提供一种电子设备，包括存储器、处理器以及存储在所述存储器上并可在所述处理器上运行的计算机程序，处理器执行所述计算机程序时实现上述方法的步骤。

根据本发明的第八方面，提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现上述方法的步骤。

根据本发明的第九方面，提供一种计算机程序产品，包括计算机程序/指令，所述计算机程序/指令被处理器执行时实现上述方法的步骤。

由上述技术方案可知，本发明可以解决去中心化***中数字凭证安全交换和认证问题，该方法建立在区块链去中心化架构基础上，用户基于分布式数字身份认证模式产生自签名数字凭证，结合区块链去中心化存储构造数字身份与内容标识符Cid的访问权限关系，实现用户数字凭证与去中心化数字资产的确权认证与可信源管理。本申请从根本上解决了传统方案中的安全性和认证单点问题，并在可信数据源认证方面提供了更具扩展性的解决方案，可广泛应用在安全数据分享、金融业务等业务场景中。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。在附图中：

图1是本申请实施例提供的一种区块链数字凭证交换方法的流程示意图；

图2是本申请实施例提供的初始化安全参数的流程示意图；

图3是本申请实施例提供的数字凭证注册的流程示意图；

图4是本申请实施例提供的数字凭证验证的流程示意图；

图5是本申请实施例提供的一种文件存储方法的流程示意图；

图6是本申请实施例提供的文件存储方法的执行主体的连接结构图；

图7是本申请实施例提供的一种文件访问方法的流程示意图；

图8是本申请实施例提供的一种区块链数字凭证交换***的结构示意图；

图9是本申请实施例提供的一种文件存储***的结构示意图；

图10是本申请实施例提供的电子设备的***构成示意框图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚明白，下面结合附图对本发明实施例做进一步详细说明。在此，本发明的示意性实施例及其说明用于解释本发明，但并不作为对本发明的限定。

首先对本申请涉及的一些技术术语作简单说明：

术语“数字身份”(Digital Identity)：是指通过数字化信息将个体可识别的刻画出来，将真实的身份信息浓缩为数字代码形式的公/私钥，以便对个体的行为信息进行绑定、查询和验证。

术语“数字凭证”(Digital Certification)：又称为数字身份证书，数字身份凭证，指用户证明公钥拥有者的真实身份的数字凭证，包括姓名、地址、电子邮件等随证明公钥一起发布。一般采用x509公钥证书的标准格式。

术语“内容标识符”(Cid)：是一个自定义的内容地址标识符，它利用密码学哈希算法(sha-256)构造基于内容的地址信息，一般采用256位字符长度定义。

如图1所示为本申请实施例提供的一种区块链数字凭证交换方法的流程示意图，该流程包括初始化安全参数、数字凭证注册和数字凭证验证三部分，具体来说，该方法包括如下步骤：

步骤S101：基于用户侧客户端的初始化安全参数请求对安全参数进行初始化以及生成和数字身份Did对应的对称密钥，将所述数字身份Did和用户公钥一起在区块链记账节点存证，并将并将初始化后的安全参数及所述对称密钥返回给所述用户侧客户端。

步骤S102：基于用户侧客户端的数字凭证注册请求验证链上的前一版凭证摘要和注册请求中的前一版凭证摘要是否相同，若相同则将数字身份Did和注册请求中的当前凭证摘要一起在区块链记账节点上存储上链并返回注册成功的信息给用户，否则返回注册失败的信息给用户。

步骤S103：基于用户侧客户端的数字凭证验证请求验证链上的前一版凭证摘要和验证请求中的前一版凭证摘要是否相同，若不相同则返回验证失败的信息给用户，若相同则进一步验证数字凭证验证请求中的待验证数字身份Did所对应的链上凭证摘要和数字凭证验证请求中的当前凭证摘要是否相同，若相同则返回验证成功的信息给用户，否则返回验证失败的信息给用户。

本实施例的上述步骤的主体涉及用户、客户端、服务网关和区块链记账节点，其中用户可以发起安全参数初始化请求，为收到的数字凭证在区块链网络注册数字身份Did，作为文件所有者上传文件和访问文件，以及在上传和访问文件前发起数字凭证验证请求，用户的数字凭证可以是由签发者颁发给用户的。客户端则主要负责发起智能合约部署请求、去中心化存储交易请求、去中心化存储查询请求等。服务网关主要负责提供智能合约API，实现限流熔断，安全检测，文件存储和访问，身份验证和安全参数设置等。区块链记账节点完成交易广播、交易执行、交易验证、共识和存储等功能的节点。

优选的，如图2所示，上述步骤S101的初始化安全参数操作步骤具体可以包括如下步骤：

步骤S1011：用户向客户端提交初始化安全参数请求。

步骤S1012：客户端收到用户发出的初始化安全参数请求后，调用密钥生成SDK生成不对称用户私钥和用户公钥，将所述用户私钥存储在客户端本地以及将所述用户公钥上传至服务网关。

下面是如何设置安全参数K：

采用离散对数算法(DLP)，设置安全参数K＝{(p,α,β,k,s):β≡α^k(modp)}，选取大素数p和原始根参数α，令

用户选取密钥k,s∈Z_p，使得：

β≡α^k(modp)

其中，s表示对称密钥。将(k,s)作为用户私钥存储在客户端，(p,α,β)作为用户公钥在区块链记账节点存证。

步骤S1013：服务网关基于所述用户公钥和数字身份Did调用区块链智能合约接口初始化安全参数。

步骤S1014：区块链记账节点的交易处理模块接收和检查所述初始化安全参数请求。

步骤S1015：区块链记账节点执行密钥处理智能合约代入数字身份Did生成对称密钥。

在本实施例中的对称密钥s形式上为伪随机数，可通过下式表示：

s＝GenSymKey(Did,P(1^k))

其中，GenSymKey为对称密钥生成函数，Did表示用户分布式数字身份，P(1^k)表示安全参数。

步骤S1016：将所述数字身份Did和用户公钥一起在区块链记账节点存证，同时将初始化后的安全参数及对称密钥返回给服务网关。当区块链记账节点在将对称密钥返回给服务网关时，其可以用用户公钥对对称密钥进行加密，然后将加密后的对称密钥返回给服务网关。

步骤S1017：服务网关将初始化后的安全参数及对称密钥返传给客户端。

步骤S1018：客户端将加密的对称密钥利用用户公钥解密后存储到本地保管。

步骤S1019：客户端向用户返回初始化安全参数成功的消息。

优选的，如图3所示，上述步骤S102的数字凭证注册操作步骤具体可以包括如下步骤：

步骤S1021：用户向客户端提交数字凭证注册请求。

该数字凭证为签发者颁发给用户的，设用户数字凭证为Cert，形式上Cert可以为：

Cert＝{ver,Did,pk,timestamp,Prooftype,Proof,Signature,Digest,Metadata,Extension}

Extension＝{AssociatedCertificate,validatePeriod}

其中，ver表示版本号，Did表示数字身份标识，pk表示公钥，timestamp表示时间戳，Prooftype表示证明类型,Proof表示证明体信息,signature表示签名,Digest表示签名摘要,Metadata表示元数据,Extension表示扩展信息，其内部数据域AssociatedCertificate记录上一个用户证书的签名摘要，ValidatePeriod为证书有效期。

步骤S1022：客户端收到用户发出的数字凭证注册请求后，提取当前凭证摘要信息(即上述Digest)，用哈希算法对数字凭证进行校验，校验通过后利用用户私钥将当前凭证摘要、前一版凭证摘要和数字身份Did加密后发送至服务网关。

步骤S1023：服务网关调用注册数字凭证API接口上传所述数字凭证摘要、前一版凭证摘要和数字身份Did至区块链记账节点。

步骤S1024：区块链记账节点获取链上的前一版凭证摘要。

步骤S1025：验证链上的前一版凭证摘要和服务网关上传的前一版凭证摘要是否相同，若相同则进入步骤S1026，否则向客户端返回注册失败的结果。

步骤S1026：将数字身份Did和注册请求中的当前凭证摘要一起在区块链记账节点上存储上链并返回注册成功的信息给客户端。

优选的，如图4所示，上述步骤S103的数字凭证验证操作步骤具体可以包括如下步骤：

步骤S1031：用户向客户端提交数字凭证验证请求。

步骤S1032：客户端收到用户发出的数字凭证验证请求后，提取当前凭证摘要信息，用哈希算法对数字凭证进行校验，校验通过后利用用户私钥将当前凭证摘要、前一版凭证摘要和待验证数字身份Did加密后发送至服务网关。

步骤S1033：服务网关调用验证数字凭证API接口上传所述数字凭证摘要、前一版凭证摘要和待验证数字身份Did至区块链记账节点。

步骤S1034：区块链记账节点读取待验证数字身份Did所对应的链上凭证摘要，以及链上的前一版凭证摘要。

步骤S1035：验证链上的前一版凭证摘要和服务网关上传的前一版凭证摘要是否相同，若相同则进入步骤S1036，否则向用户返回验证失败的结果。

步骤S1036：验证数字凭证验证请求中的待验证数字身份Did所对应的链上凭证摘要和数字凭证验证请求中的当前凭证摘要是否相同，若相同则向用户返回验证成功的结果，否则向用户返回验证失败的结果。

由上述技术方案可知，本发明提供的区块链数字凭证交换方法，可以解决去中心化***中数字凭证安全交换和认证问题，该方法建立在区块链区中心化架构基础上，用户基于分布式数字身份认证模式产生自签名数字凭证，从根本上解决了传统方案中的安全性和认证单点问题，并在可信数据源认证方面提供了更具扩展性的解决方案，可广泛应用在安全数据分享、金融业务等业务场景中。

如图5所示为本申请实施例提供的一种文件存储方法的流程示意图，该方法基于上述区块链数字凭证交换方法，该文件存储方法所涉及的主体除了上述用户、客户端、服务网格、区块链记账节点外，还包括了区块链存储节点，这些主体的连接结构如图6所示，区块链存储节点负责接收服务网关的文件读写请求，进行分散式文件读写，交易信息存证到区块链记账节点。

该方法包括如下步骤：

步骤S501：用户在用户侧客户端的数字凭证验证请求通过后，通过客户端发起文件上传请求。

用户在发起文件上传请求先，需要经过上述步骤S103的数字凭证验证，仅验证通过后，才可以正常发起文件上传请求。

步骤S502：客户端利用对称密钥对所述文件进行加密成密态文件，并利用用户私钥对所述文件进行签名，然后将签名、密态文件和数字身份Did一起上传给服务网关。

本步骤的具体处理流程如下：

(1)将加密后的对称密钥

解密还原为对称密钥sk_b：

(2)用对称密钥sk_b加密文件M，产生密态文件C_M：C_M＝SymEncry(M,sk_b)；

(3)用用户私钥sk_u对密态文C_M进行签名，产生签名

(4)形成上传服务网关的报文：P_M＝(Did,C_M,S_CM)。

步骤S503：服务网关调用去中心化文件存储API将密态文件上传给区块链存储节点。具体来说，是将上述报文P_M上传给区块链存储节点。

步骤S504：区块链存储节点将密态文件分片存储，同时生成内容标识符Cid。

区块链存储节点在收到报文P_M后，首先解析报文P_M，将解析出的密态文件C_M，然后将密态文件C_M进行分布式存储，同时还会生成密态文件的内容标识符Cid。

设M为数字文件明文，Cid表示数字文件的内容地址信息，形式上：

Cid＝H(M,Did_sender)

其中H是Hash函数，Did_sender表示发送者的数字身份ID。

步骤S505：服务网关检测所述密态文件存储是否成功以及内容标识符Cid是否成功生成，若所述密态文件未存储成功，或内容标识符Cid未成功生成，则返回文件存储失败信息给客户端，若密态文件存储成功且内容标识符Cid成功生成，则进入步骤S506。

步骤S506：执行区块链智能合约将内容标识符Cid与数字身份Did的对应关系在区块链记账节点上存证，并向所述客户端返回文件存储成功的信息。

生成用户(数字身份Did)与Cid的权限关系rel(DID_rev,Cid_m)，上链存证。形式上：

rel(DID_rev,Cid_m)＝H(DID_rev||Cid_m)。

其中，DID_rev表示用户的数字身份标识，Cid_m表示数字资产m的Cid。上链存证采取的kv形式存储，形式化为：

(k,v)＝(rel(DID_rev,Cid_m),{Cid_m,C_Digest(m)})。

由上述技术方案可知，本发明提供的文件存储方法，可以解决去中心化***中数字凭证安全交换和认证问题，该方法建立在区块链区中心化架构基础上，用户基于分布式数字身份认证模式产生自签名数字凭证，结合区块链去中心化存储构造数字身份与内容标识符Cid的访问权限关系，实现用户数字凭证与去中心化数字资产的确权认证与可信源管理。本申请从根本上解决了传统方案中的安全性和认证单点问题，并在可信数据源认证方面提供了更具扩展性的解决方案，可广泛应用在安全数据分享、金融业务等业务场景中。

如图7所示为本申请实施例提供的一种文件访问方法的流程示意图，该方法基于上述区块链数字凭证交换方法，该文件访问方法所涉及的主体和上述文件存储方法相同，该方法包括如下步骤：

步骤S701：用户在用户侧客户端的数字凭证验证请求通过后，通过客户端发起文件目录查询请求。

步骤S702：客户端提取用户的数字身份Did，通过服务网关申请文件目录列表。

步骤S703：服务网关调用区块链查询智能合约API向区块链记账节点查询用户文件目录列表。

步骤S704：区块链记账节点执行智能合约，根据服务网关送入的用户数字身份Did，查询与数字身份Did的链上对应记录，如果记录存在则检查成功并进入步骤S705，如果记录不存在则向用户返回查询文件不存在的消息。

步骤S705：区块链记账节点将与所述数字身份Did相关的文件目录列表返回给客户端。

步骤S706：客户端展现上述文件目录列表给用户。

步骤S707：用户从文件目录列表中选取访问文件并向客户端提交文件访问请求。

步骤S708：客户端基于所述文件访问请求提取文件的内容标识符Cid，向服务网关提交文件访问请求。

步骤S709：服务网关调用区块链存储智能合约API向区块链存储节点获取密态文件。

步骤S710：区块链存储节点汇总文件分片文件形成密态文件，并向区块链记账节点请求与数字身份Did所对应的用户公钥。

步骤S711：区块链结账节点查询并获取链上数字身份Did所对应的用户公钥，然后将用户公钥返回给区块链存储节点。

步骤S712：区块链存储节点对密态文件进行完整性校验和签名验证，通过完整性校验和签名验证后将密态文件返回给客户端。

步骤S713：客户端利用用对称密钥解密密态文件生成明文展示给用户，并返回访问结果给用户。

由上述技术方案可知，本发明提供的文件访问方法，可以解决去中心化***中数字凭证安全交换和认证问题，该方法建立在区块链区中心化架构基础上，用户基于分布式数字身份认证模式产生自签名数字凭证，结合区块链去中心化存储构造数字身份与内容标识符Cid的访问权限关系，实现用户数字凭证与去中心化数字资产的确权认证与可信源管理。本申请从根本上解决了传统方案中的安全性和认证单点问题，并在可信数据源认证方面提供了更具扩展性的解决方案，可广泛应用在安全数据分享、金融业务等业务场景中。

如图8所示为本申请实施例提供的一种区块链数字凭证交换***的结构示意图，该***包括：客户端810、服务网关820和区块链记账节点830，客户端810位于用户侧，客户端810通过服务网关820与区块链记账节点830通信连接，其中：

服务网关820将用户基于客户端提出的初始化安全参数请求发送至区块链记账节点830，区块链记账节点830对安全参数进行初始化以及生成和数字身份Did对应的对称密钥，将所述数字身份Did和用户公钥一起在区块链记账节点830存证，并将并将初始化后的安全参数及所述对称密钥通过服务网关820返回给客户端810。

区块链记账节点830基于用户侧客户端810的数字凭证注册请求验证链上的前一版凭证摘要和注册请求中的前一版凭证摘要是否相同，若相同则将数字身份Did和注册请求中的当前凭证摘要一起在区块链记账节点830上存储上链并返回注册成功的信息给所述用户侧客户端810，否则返回注册失败的信息给所述用户侧客户端810。

区块链记账节点830基于用户侧客户端810的数字凭证验证请求验证链上的前一版凭证摘要和验证请求中的前一版凭证摘要是否相同，若不相同则返回验证失败的信息给所述用户侧客户端810，若相同则进一步验证数字凭证验证请求中的待验证数字身份Did所对应的链上凭证摘要和数字凭证验证请求中的当前凭证摘要是否相同，若相同则返回验证成功的信息给所述用户侧客户端810，否则返回验证失败的信息给所述用户侧客户端810。

优选的，上述服务网关820将基于用户侧客户端的初始化安全参数请求对安全参数进行初始化以及生成数字身份Did和对称密钥包括：客户端810收到用户发出的初始化安全参数请求后，调用密钥生成SDK生成不对称用户私钥和用户公钥，将所述用户私钥存储在客户端810本地，将所述用户公钥上传至服务网关820。服务网关820基于所述用户公钥和数字身份Did调用区块链智能合约接口初始化安全参数。区块链记账节点830的交易处理模块接收和检查所述初始化安全参数请求，然后执行密钥处理智能合约生成数字身份Did和对称密钥。

优选的，上述区块链记账节点830将对称密钥返回给所述用户侧客户端810包括利用用户公钥对所述对称密钥进行加密，将加密后的密文返回给客户端810；客户端810利用用户公钥解密所述密文后得到所述对称密钥。

优选的，上述区块链记账节点830基于用户侧客户端810的数字凭证注册请求验证链上的前一版凭证摘要和注册请求中的前一版凭证摘要是否相同包括：客户端810收到用户发出的数字凭证注册请求后，提取当前凭证摘要信息，用哈希算法对数字凭证进行校验，校验通过后利用用户私钥将当前凭证摘要、前一版凭证摘要和数字身份Did加密后发送至服务网关820。服务网关820调用注册数字凭证API接口上传所述数字凭证摘要、前一版凭证摘要和数字身份Did至区块链记账节点830。区块链记账节点830获取链上的前一版凭证摘要，并验证链上的前一版凭证摘要和服务网关上传的前一版凭证摘要是否相同。

优选的，上述区块链记账节点830基于用户侧客户端的数字凭证验证请求验证链上的前一版凭证摘要和注册请求中的前一版凭证摘要是否相同包括：客户端810收到用户发出的数字凭证验证请求后，提取当前凭证摘要信息，用哈希算法对数字凭证进行校验，校验通过后利用用户私钥将当前凭证摘要、前一版凭证摘要和待验证数字身份Did加密后发送至服务网关820。服务网关820调用验证数字凭证API接口上传所述数字凭证摘要、前一版凭证摘要和待验证数字身份Did至区块链记账节点830。区块链记账节点830读取待验证数字身份Did所对应的链上凭证摘要，以及链上的前一版凭证摘要，并验证链上的前一版凭证摘要和服务网关上传的前一版凭证摘要是否相同。

由上述技术方案可知，本发明提供的区块链数字凭证交换***，可以解决去中心化***中数字凭证安全交换和认证问题，该方法建立在区块链区中心化架构基础上，用户基于分布式数字身份认证模式产生自签名数字凭证，从根本上解决了传统方案中的安全性和认证单点问题，并在可信数据源认证方面提供了更具扩展性的解决方案，可广泛应用在安全数据分享、金融业务等业务场景中。

如图9所示为本申请实施例提供的一种文件存储***的结构示意图，该文件存储***客户端910、服务网关920、区块链存储节点930和区块链记账节点940，服务网关920分别和客户端910、、区块链存储节点930及区块链记账节点940通信连接，区块链存储节点930和区块链记账节点940之间通信连接，其中：

用户在用户侧客户端910的数字凭证验证请求通过后，通过客户端910发起文件上传请求。

客户端910利用对称密钥对所述文件进行加密成密态文件，并利用用户私钥对所述文件进行签名，然后将签名、密态文件和数字身份Did一起上传给服务网关920。

服务网关920调用去中心化文件存储API将所述密态文件分片存储至区块链存储节点930，并生成内容标识符Cid。

服务网关920检测所述密态文件存储是否成功以及内容标识符Cid是否成功生成，若所述密态文件未存储成功，或内容标识符Cid未成功生成，则返回文件存储失败信息给所述客户端910，若密态文件存储成功且内容标识符Cid成功生成，则执行区块链智能合约将内容标识符Cid与数字身份Did的对应关系在区块链记账节点940上存证，并向所述客户端910返回文件存储成功的信息。

由上述技术方案可知，本发明提供的文件存储***，可以解决去中心化***中数字凭证安全交换和认证问题，该方法建立在区块链区中心化架构基础上，用户基于分布式数字身份认证模式产生自签名数字凭证，结合区块链去中心化存储构造数字身份与内容标识符Cid的访问权限关系，实现用户数字凭证与去中心化数字资产的确权认证与可信源管理。本申请从根本上解决了传统方案中的安全性和认证单点问题，并在可信数据源认证方面提供了更具扩展性的解决方案，可广泛应用在安全数据分享、金融业务等业务场景中。

本申请实施例还提供了一种文件访问***，其结构如图9所示，该***包括：客户端910、服务网关920、区块链存储节点930和区块链记账节点940，其中：

用户在用户侧客户端910的数字凭证验证请求通过后，通过客户端910发起文件目录查询请求。

客户端910提取用户的数字身份Did，通过服务网关920调用区块链查询智能合约API向区块链记账节点940查询用户文件目录列表。

区块链记账节点940将与所述数字身份Did相关的文件目录列表返回给客户端910。

用户从文件目录列表中选取访问文件并向客户端910提交文件访问请求。

客户端910基于所述文件访问请求提取文件的内容标识符Cid，通过服务网关920调用区块链存储智能合约API向区块链存储节点930获取密态文件。

区块链存储节点930汇总文件分片文件形成密态文件，并从区块链结账节点940处获取数字身份Did所对应的用户公钥。

区块链存储节点930对密态文件进行完整性校验和签名验证，通过完整性校验和签名验证后将密态文件返回给客户端910。

客户端910利用用户私钥解密密态文件生成明文展示给用户。

由上述技术方案可知，本发明提供的文件访问***，可以解决去中心化***中数字凭证安全交换和认证问题，该方法建立在区块链区中心化架构基础上，用户基于分布式数字身份认证模式产生自签名数字凭证，结合区块链去中心化存储构造数字身份与内容标识符Cid的访问权限关系，实现用户数字凭证与去中心化数字资产的确权认证与可信源管理。本申请从根本上解决了传统方案中的安全性和认证单点问题，并在可信数据源认证方面提供了更具扩展性的解决方案，可广泛应用在安全数据分享、金融业务等业务场景中。

本发明实施例还提供一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，处理器执行所述程序时实现上述方法。

本发明实施例还提供一种计算机程序产品，包括计算机程序/指令，计算机程序/指令被处理器执行时实现上述方法的步骤。

本发明实施例还提供一种计算机可读存储介质，计算机可读存储介质存储有执行上述方法的计算机程序。

如图10所示，该电子设备600还可以包括：通信模块110、输入单元120、音频处理器130、显示器160、电源170。值得注意的是，电子设备600也并不是必须要包括图10中所示的所有部件；此外，电子设备600还可以包括图10中没有示出的部件，可以参考现有技术。

如图10所示，中央处理器100有时也称为控制器或操作控件，可以包括微处理器或其他处理器装置和/或逻辑装置，该中央处理器100接收输入并控制电子设备600的各个部件的操作。

其中，存储器140，例如可以是缓存器、闪存、硬驱、可移动介质、易失性存储器、非易失性存储器或其它合适装置中的一种或更多种。可储存上述与失败有关的信息，此外还可存储执行有关信息的程序。并且中央处理器100可执行该存储器140存储的该程序，以实现信息存储或处理等。

输入单元120向中央处理器100提供输入。该输入单元120例如为按键或触摸输入装置。电源170用于向电子设备600提供电力。显示器160用于进行图像和文字等显示对象的显示。该显示器例如可为LCD显示器，但并不限于此。

该存储器140可以是固态存储器，例如，只读存储器(ROM)、随机存取存储器(RAM)、SIM卡等。还可以是这样的存储器，其即使在断电时也保存信息，可被选择性地擦除且设有更多数据，该存储器的示例有时被称为EPROM等。存储器140还可以是某种其它类型的装置。存储器140包括缓冲存储器141(有时被称为缓冲器)。存储器140可以包括应用/功能存储部142，该应用/功能存储部142用于存储应用程序和功能程序或用于通过中央处理器100执行电子设备600的操作的流程。

存储器140还可以包括数据存储部143，该数据存储部143用于存储数据，例如联系人、数字数据、图片、声音和/或任何其他由电子设备使用的数据。存储器140的驱动程序存储部144可以包括电子设备的用于通信功能和/或用于执行电子设备的其他功能(如消息传送应用、通讯录应用等)的各种驱动程序。

通信模块110即为经由天线111发送和接收信号的发送机/接收机110。通信模块(发送机/接收机)110耦合到中央处理器100，以提供输入信号和接收输出信号，这可以和常规移动通信终端的情况相同。

基于不同的通信技术，在同一电子设备中，可以设置有多个通信模块110，如蜂窝网络模块、蓝牙模块和/或无线局域网模块等。通信模块(发送机/接收机)110还经由音频处理器130耦合到扬声器131和麦克风132，以经由扬声器131提供音频输出，并接收来自麦克风132的音频输入，从而实现通常的电信功能。音频处理器130可以包括任何合适的缓冲器、解码器、放大器等。另外，音频处理器130还耦合到中央处理器100，从而使得可以通过麦克风132能够在本机上录音，且使得可以通过扬声器131来播放本机上存储的声音。

本领域内的技术人员应明白，本发明的实施例可提供为方法、***、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(***)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

本发明中应用了具体实施例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (13)

1.一种区块链数字凭证交换方法，其特征在于，所述方法包括：

基于用户侧客户端的初始化安全参数请求对安全参数进行初始化以及生成和数字身份Did对应的对称密钥，将所述数字身份Did和用户公钥一起在区块链记账节点存证，并将并将初始化后的安全参数及所述对称密钥返回给所述用户侧客户端；

基于用户侧客户端的数字凭证注册请求验证链上的前一版凭证摘要和注册请求中的前一版凭证摘要是否相同，若相同则将数字身份Did和注册请求中的当前凭证摘要一起在区块链记账节点上存储上链并返回注册成功的信息给用户，否则返回注册失败的信息给用户；

基于用户侧客户端的数字凭证验证请求验证链上的前一版凭证摘要和验证请求中的前一版凭证摘要是否相同，若不相同则返回验证失败的信息给用户，若相同则进一步验证数字凭证验证请求中的待验证数字身份Did所对应的链上凭证摘要和数字凭证验证请求中的当前凭证摘要是否相同，若相同则返回验证成功的信息给用户，否则返回验证失败的信息给用户。

2.如权利要求1所述的区块链数字凭证交换方法，其特征在于，所述基于用户侧客户端的初始化安全参数请求对安全参数进行初始化以及生成和数字身份Did对应的对称密钥包括：

客户端收到用户发出的初始化安全参数请求后，调用密钥生成SDK生成不对称用户私钥和用户公钥，将所述用户私钥存储在客户端本地，将所述用户公钥上传至服务网关；

所述服务网关基于所述用户公钥和数字身份Did调用区块链智能合约接口初始化安全参数；

区块链记账节点的交易处理模块接收和检查所述初始化安全参数请求，然后执行密钥处理智能合约代入数字身份Did生成对称密钥。

3.如权利要求1所述的区块链数字凭证交换方法，其特征在于，将对称密钥返回给所述用户侧客户端包括：

利用用户公钥对所述对称密钥进行加密，将加密后的密文返回给客户端；

客户端利用用户公钥解密所述密文后得到所述对称密钥。

4.如权利要求1所述的区块链数字凭证交换方法，其特征在于，所述基于用户侧客户端的数字凭证注册请求验证链上的前一版凭证摘要和注册请求中的前一版凭证摘要是否相同包括：

客户端收到用户发出的数字凭证注册请求后，提取当前凭证摘要信息，用哈希算法对数字凭证进行校验，校验通过后利用用户私钥将当前凭证摘要、前一版凭证摘要和数字身份Did加密后发送至服务网关；

所述服务网关调用注册数字凭证API接口上传所述数字凭证摘要、前一版凭证摘要和数字身份Did至区块链记账节点；

所述区块链记账节点获取链上的前一版凭证摘要，并验证链上的前一版凭证摘要和服务网关上传的前一版凭证摘要是否相同。

5.如权利要求1所述的区块链数字凭证交换方法，其特征在于，所述基于用户侧客户端的数字凭证验证请求验证链上的前一版凭证摘要和注册请求中的前一版凭证摘要是否相同包括：

客户端收到用户发出的数字凭证验证请求后，提取当前凭证摘要信息，用哈希算法对数字凭证进行校验，校验通过后利用用户私钥将当前凭证摘要、前一版凭证摘要和待验证数字身份Did加密后发送至服务网关；

所述服务网关调用验证数字凭证API接口上传所述数字凭证摘要、前一版凭证摘要和待验证数字身份Did至区块链记账节点；

所述区块链记账节点读取待验证数字身份Did所对应的链上凭证摘要，以及链上的前一版凭证摘要，并验证链上的前一版凭证摘要和服务网关上传的前一版凭证摘要是否相同。

6.一种基于权利要求1所述的区块链数字凭证交换方法的文件存储方法，其特征在于，所述方法包括：

用户在用户侧客户端的数字凭证验证请求通过后，通过客户端发起文件上传请求；

客户端利用对称密钥对文件进行加密成密态文件，并利用用户私钥对所述文件进行签名，然后将签名、密态文件和数字身份Did一起上传给服务网关；

所述服务网关调用去中心化文件存储API将所述密态文件分片存储至区块链存储节点，并生成内容标识符Cid；

服务网关检测所述密态文件存储是否成功以及内容标识符Cid是否成功生成，若所述密态文件未存储成功，或内容标识符Cid未成功生成，则返回文件存储失败信息给所述客户端，若密态文件存储成功且内容标识符Cid成功生成，则执行区块链智能合约将内容标识符Cid与数字身份Did的对应关系在区块链记账节点上存证，并向所述客户端返回文件存储成功的信息。

7.一种基于权利要求1所述的区块链数字凭证交换方法的文件访问方法，其特征在于，所述方法包括：

用户在用户侧客户端的数字凭证验证请求通过后，通过客户端发起文件目录查询请求；

客户端提取用户的数字身份Did，通过服务网关调用区块链查询智能合约API向区块链记账节点查询用户文件目录列表；

区块链记账节点将与所述数字身份Did相关的文件目录列表返回给客户端；

用户从文件目录列表中选取访问文件并向客户端提交文件访问请求；

客户端基于所述文件访问请求提取文件的内容标识符Cid，通过服务网关调用区块链存储智能合约API向区块链存储节点获取密态文件；

区块链存储节点汇总文件分片文件形成密态文件，并从区块链结账节点处获取数字身份Did所对应的用户公钥；

区块链存储节点对密态文件进行完整性校验和签名验证，通过完整性校验和签名验证后将密态文件返回给客户端；

客户端利用对称密钥解密密态文件生成明文展示给用户。

8.一种区块链数字凭证交换***，其特征在于，所述***包括：客户端、服务网关和区块链记账节点，所述客户端位于用户侧，所述客户端通过所述服务网关与所述区块链记账节点通信，其中：

服务网关将用户基于客户端提出的初始化安全参数请求发送至区块链记账节点，区块链记账节点对安全参数进行初始化以及生成和数字身份Did对应的对称密钥，将所述数字身份Did和用户公钥一起在区块链记账节点存证，并将并将初始化后的安全参数及所述对称密钥通过服务网关返回给客户端；

区块链记账节点基于用户侧客户端的数字凭证注册请求验证链上的前一版凭证摘要和注册请求中的前一版凭证摘要是否相同，若相同则将数字身份Did和注册请求中的当前凭证摘要一起在区块链记账节点上存储上链并返回注册成功的信息给所述用户侧客户端，否则返回注册失败的信息给所述用户侧客户端；

区块链记账节点基于用户侧客户端的数字凭证验证请求验证链上的前一版凭证摘要和验证请求中的前一版凭证摘要是否相同，若不相同则返回验证失败的信息给所述用户侧客户端，若相同则进一步验证数字凭证验证请求中的待验证数字身份Did所对应的链上凭证摘要和数字凭证验证请求中的当前凭证摘要是否相同，若相同则返回验证成功的信息给所述用户侧客户端，否则返回验证失败的信息给所述用户侧客户端。

9.一种基于权利要求1所述的区块链数字凭证交换方法的文件存储***，其特征在于，所述***包括：客户端、服务网关、区块链存储节点和区块链记账节点，其中：

用户在用户侧客户端的数字凭证验证请求通过后，通过客户端发起文件上传请求；

客户端利用对称密钥对文件进行加密成密态文件，并利用用户私钥对所述文件进行签名，然后将签名、密态文件和数字身份Did一起上传给服务网关；

所述服务网关调用去中心化文件存储API将所述密态文件分片存储至区块链存储节点，并生成内容标识符Cid；

服务网关检测所述密态文件存储是否成功以及内容标识符Cid是否成功生成，若所述密态文件未存储成功，或内容标识符Cid未成功生成，则返回文件存储失败信息给所述客户端，若密态文件存储成功且内容标识符Cid成功生成，则执行区块链智能合约将内容标识符Cid与数字身份Did的对应关系在区块链记账节点上存证，并向所述客户端返回文件存储成功的信息。

10.一种基于权利要求1所述的区块链数字凭证交换方法的文件访问***，其特征在于，所述***包括：客户端、服务网关、区块链存储节点和区块链记账节点，其中：

用户在用户侧客户端的数字凭证验证请求通过后，通过客户端发起文件目录查询请求；

客户端提取用户的数字身份Did，通过服务网关调用区块链查询智能合约API向区块链记账节点查询用户文件目录列表；

区块链记账节点将与所述数字身份Did相关的文件目录列表返回给客户端；

用户从文件目录列表中选取访问文件并向客户端提交文件访问请求；

客户端基于所述文件访问请求提取文件的内容标识符Cid，通过服务网关调用区块链存储智能合约API向区块链存储节点获取密态文件；

区块链存储节点汇总文件分片文件形成密态文件，并从区块链结账节点处获取数字身份Did所对应的用户公钥；

区块链存储节点对密态文件进行完整性校验和签名验证，通过完整性校验和签名验证后将密态文件返回给客户端；

客户端利用对称密钥解密密态文件生成明文展示给用户。

11.一种电子设备，包括存储器、处理器以及存储在所述存储器上并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1至5任一项所述方法的步骤。

12.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至5任一项所述方法的步骤。

13.一种计算机程序产品，包括计算机程序/指令，其特征在于，所述计算机程序/指令被处理器执行时实现权利要求1至5任一项所述方法的步骤。

Images