具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合附图对本发明的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

目前，业界的前端方面的保密性技术存在着很大短板，某些企业就算具备自研方案也存在着通用性差，无法普遍适用等问题，前端开发者往往在这方面能力有待提升，针对性开发也比较费时费力。

基于此，本发明实施例提供的一种数据防泄密方法、装置及系统，在界面防泄密方面，本方案提供动态水印可根据业务需求灵活显示内容；在数据防泄密方面，数据可根据项目系统本身配置加入水印信息作为一个加密码标志。本发明提供的方案可以兼顾代码埋点与无埋点的优势，为用户提供更加灵活的信息收集手段。

为便于对本实施例进行理解，首先对本发明实施例所公开的一种数据防泄密方法进行详细介绍。

本发明实施例提供了一种数据防泄密方法，参见图1所示的应用于客户端的数据防泄密方法流程图，该方法包括以下步骤：

步骤S102，获取水印配置数据和公钥数据。

在本发明实施例中，水印配置数据中包括界面显示水印的内容、形状、位置、样式以及出现时机等相关参数。可以在应用初始化阶段从后端接口读取水印配置数据和公钥数据。公钥数据可以预先生成。

步骤S104，根据水印配置数据生成水印数据。

在本发明实施例中，水印数据可以用于在界面进行显示。计算水印在容器排列数目，将在水印模型置放在全局组件中进行渲染。水印数据可以是动态水印数据，可根据业务需求灵活显示内容。

步骤S106，随机生成对称性秘钥数据。

在本发明实施例中，对称性秘钥数据可以是SM4类型的秘钥数据。

步骤S108，利用公钥数据对对称性秘钥数据进行加密，得到密文数据。

在本发明实施例中，将公钥数据作为加密因子，对对称性秘钥数据进行AES非对称加密生成密文数据。

步骤S110，利用对称性秘钥数据对待保护数据进行加密，得到加密报文。

在本发明实施例中，待保护数据包括水印数据。可根据项目系统本身配置加入水印信息作为一个加密码标志，以便后期进行泄密溯源。

步骤S112，将密文数据和加密报文发送至服务端，以使服务端根据密文数据和加密报文进行业务处理。

在本发明实施例中，客户端与服务端可以通信连接。客户端将密文数据和加密报文发送至服务端。

本发明实施例提供了一种数据防泄密方案，该方案包括：获取水印配置数据和公钥数据；根据水印配置数据生成水印数据；随机生成对称性秘钥数据；利用公钥数据对对称性秘钥数据进行加密，得到密文数据；利用对称性秘钥数据对待保护数据进行加密，得到加密报文；待保护数据包括水印数据；将密文数据和加密报文发送至服务端，以使服务端根据密文数据和加密报文进行业务处理。本发明实施提供的动态水印可根据业务需求灵活显示内容，利用公钥数据对随机生成的对称性秘钥进行加密，进而对待保护数据和水印数据进行保护，在防泄密的同时，便于根据水印信息进行泄密后溯源。

在一个实施例中，根据水印配置数据生成水印数据，可以按照如下步骤执行：

根据水印配置数据构建水印组件；根据水印组件、容器参数和显示参数生成水印排列数据；根据水印排列数据进行渲染，得到水印数据。

在本发明实施例中，容器是指界面用于显示水印数据的区域大小，例如可以是界面的满屏，也可以是界面的部分区域。容器参数，用于确定容器的显示区域。显示参数可以根据实际需求进行设置，用于确定显示效果。

参见图4所示的界面上动态水印铺满视图的流程，在页面首次加载时，界面会根据从后端获取的数据对单元的水印组件进行构建；然后根据所需要的容器的长宽和本次渲染水印构件的单元大小以及倾斜角度来计算出视图中水印横排纵列数据；然后根据排列数在容器内进行渲染；最后把渲染完成的整个水印容器挂载在视图上。

需要说明的是，水印本身相关的空间属性(大小、颜色、字体、粗细、位置、倾斜度等)都可以进行用户自定义。

在一个实施例中，将密文数据和加密报文发送至服务端，可以按照如下步骤执行：

将密文数据存储在请求报文中；将请求报文和加密报文发送至服务端。

在本发明实施例中，可以将密文数据设置在请求报文的头部位置，将加密报文和载有密文数据的请求报文发送至服务端。

在一个实施例中，将密文数据存储在请求报文中之后，还包可以执行如下步骤：

对请求报文中的明文数据进行加密，得到加密信息；将加密信息、密文数据和加密报文发送至服务端。

在本发明实施例中，为了避免篡改，可在前端请求前将请求报文中的明文数据进行MD5加密，之后，放在请求报文头一起传送，以便服务端将解密后的报文进行MD5加密进行比对，从而进一步保证信息的安全性。

本发明实施例提供了一种数据防泄密方法，参见图2所示的应用于服务端的数据防泄密方法流程图，该方法包括如下步骤：

步骤S202，接收客户端发送的密文数据和加密报文。

步骤S204，对密文数据进行解密，得到对称性秘钥数据。

步骤S206，利用对称性秘钥数据对加密报文进行解密，得到待保护数据。

在本发明实施例中，待保护数据包括水印数据。

步骤S208，根据待保护数据进行业务处理，并利用对称性秘钥数据对业务处理结果进行加密。

步骤S210，将加密后的业务处理结果发送至客户端，以使客户端根据加密后的业务处理结果进行业务处理。

在一个实施例中，该方法还可以执行如下步骤：

接收加密信息；根据加密信息获取请求报文中的明文数据。

在一个实施例中，该方法还可以执行如下步骤：

根据水印数据确定待保护数据；根据待保护数据确定泄密者信息。

参见图3所示的整体操作流程示意图，下面以一个具体实施例，对该方案的实施进行说明。

在应用初始化阶段从后端接口读取配置数据，对界面显示水印的内容、形状、位置、样式以及出现时机等相关参数输入到水印类中模型创建；

计算水印在容器排列数目，将在水印模型置放在全局组件中进行渲染；

前端随机生成SM4的对称性秘钥(M1)，把步骤S101获取的SM2公钥(M2)作为加密因子对SM4公钥进行AES非对称加密生成密文(A1)；

将第三步生成的秘钥A1放在前端请求体的Header中以及使用M1加密请求报文体，一并传输给后端；

后端收到前端此次请求的报文体，将Header中的A1进行解密得到M1，再进而对Body信息体进行解密，从而进行常规业务流程，再返回加密数据；

前端收到返回的报文体，直接用M1进行解密。

同时为了避免篡改，可在前端请求前将明文body进行MD5加密放在请求头一起传送，后端将解密后的body进行MD5加密进行比对。

本发明由服务端和客户端两部分构成，服务端方面为前端提供所需要配置数据，包括某个加密环节的公私钥以及后端可配置化的水印相关信息。在应用初始化阶段，服务端将后台配置数据送达前端，前端以此来进行保存与界面水印的初始化，进而保证水印均匀覆盖在用户可见视图范围；在前后端数据交互中，将数据结合水印信息进行加密，在保证加密效果的同时也能使得加密后密文有了标识性。这样的过程在每一次交互中不断重复，并保证前后端能够不断地加解密。

本发明提供了一种数据防泄密方法、装置及系统，从用户视图以及业务数据两方面对一些泄密行为进行提防，另外开发者也根据业务场景需要和界面美观需要对水印进行精细化设计来达到宾主尽欢的效果。与现有方案相比，本方案除了能有效预防泄密的特点之外，对泄密后溯源也做了相关准备，对于每一个界面、每一段数据都能根据水印产生根源性追溯，快速定位泄密者，使得应用的安全性大大加强。

本发明实施例中还提供了一种应用于客户端的数据防泄密装置，如下面的实施例所述。由于该装置解决问题的原理与应用于客户端的数据防泄密方法相似，因此该装置的实施可以参见应用于客户端的数据防泄密方法的实施，重复之处不再赘述。参见图5所示的应用于客户端的数据防泄密装置结构框图，该装置包括：

获取模块51，用于获取水印配置数据和公钥数据；水印模块52，用于根据水印配置数据生成水印数据；秘钥模块53，用于随机生成对称性秘钥数据；密文模块54，用于利用公钥数据对对称性秘钥数据进行加密，得到密文数据；加密模块55，用于利用对称性秘钥数据对待保护数据进行加密，得到加密报文；待保护数据包括水印数6据；发送模块56，用于将密文数据和加密报文发送至服务端，以使服务端根据密文数据和加密报文进行业务处理。

在一个实施例中，水印模块，具体用于：根据水印配置数据构建水印组件；根据水印组件、容器参数和显示参数生成水印排列数据；根据水印排列数据进行渲染，得到水印数据。

在一个实施例中，发送模块，包括：处理单元，用于将密文数据存储在请求报文中；数据单元，用于将请求报文和加密报文发送至服务端。

在一个实施例中，处理单元，具体用于：对请求报文中的明文数据进行加密，得到加密信息；将加密信息、密文数据和加密报文发送至服务端。

本发明实施例中还提供了一种应用于服务端的数据防泄密装置，如下面的实施例所述。由于该装置解决问题的原理与应用于服务端的数据防泄密方法相似，因此该装置的实施可以参见应用于服务端的数据防泄密方法的实施，重复之处不再赘述。参见图6所示的应用于服务端的数据防泄密装置结构框图，该装置包括：

接收模块61，用于接收客户端发送的密文数据和加密报文；数据模块62，用于对密文数据进行解密，得到对称性秘钥数据；解密模块63，用于利用对称性秘钥数据对加密报文进行解密，得到待保护数据；待保护数据包括水印数据；业务模块64，用于根据待保护数据进行业务处理，并利用对称性秘钥数据对业务处理结果进行加密；结果模块65，用于将加密后的业务处理结果发送至客户端，以使客户端根据加密后的业务处理结果进行业务处理。

在一个实施例中，该装置还包括明文模块，用于：接收加密信息；根据加密信息获取请求报文中的明文数据。

在一个实施例中，还包括防泄密模块，用于：根据水印数据确定待保护数据；根据待保护数据确定泄密者信息。

本发明实施例中还提供了一种数据防泄密系统，该系统包括客户端和服务端，客户端与服务端通信连接；客户端包括上述任一种应用于客户端的数据防泄密装置；服务端包括上述任一种应用于服务端的数据防泄密装置。

基于同一发明构思，本发明实施例中还提供了一种用于实现上述数据防泄密方法中的全部或部分内容的电子设备实施例。该电子设备具体包含有如下内容：

处理器(processor)、存储器(memory)、通信接口(Communications Interface)和总线；其中，所述处理器、存储器、通信接口通过所述总线完成相互间的通信；所述通信接口用于实现相关设备之间的信息传输；该电子设备可以是台式计算机、平板电脑及移动终端等，本实施例不限于此。在本实施例中，该电子设备可以参照实施例用于实现上述数据防泄密方法的实施例及用于实现上述数据防泄密装置的实施例进行实施，其内容被合并于此，重复之处不再赘述。

图7为本发明实施例中提供的一种电子设备的系统组成结构示意图。如图7所示，该电子设备70可以包括处理器701和存储器702；存储器702耦合到处理器701。值得注意的是，该图7是示例性的；还可以使用其他类型的结构，来补充或代替该结构，以实现电信功能或其他功能。

在一个实施例中，数据防泄密方法实现的功能可以被集成到处理器701中。其中，处理器701可以被配置为进行如下控制：

获取水印配置数据和公钥数据；根据水印配置数据生成水印数据；随机生成对称性秘钥数据；利用公钥数据对对称性秘钥数据进行加密，得到密文数据；利用对称性秘钥数据对待保护数据进行加密，得到加密报文；待保护数据包括水印数据；将密文数据和加密报文发送至服务端，以使服务端根据密文数据和加密报文进行业务处理。

由上可知，本发明的实施例中提供的电子设备，提供的动态水印可根据业务需求灵活显示内容，利用公钥数据对随机生成的对称性秘钥进行加密，进而对待保护数据和水印数据进行保护，在防泄密的同时，便于根据水印信息进行泄密后溯源。

在另一个实施例中，数据防泄密装置可以与处理器701分开配置，例如可以将数据防泄密装置配置为与处理器701连接的芯片，通过处理器的控制来实现数据防泄密方法的功能。

如图7所示，该电子设备70还可以包括：通信模块703、输入单元704、音频处理单元705、显示器706、电源707。值得注意的是，电子设备70也并不是必须要包括图7中所示的所有部件；此外，电子设备70还可以包括图7中没有示出的部件，可以参考现有技术。

如图7所示，处理器701有时也称为控制器或操作控件，可以包括微处理器或其他处理器装置和/或逻辑装置，该处理器701接收输入并控制电子设备70的各个部件的操作。

其中，存储器702，例如可以是缓存器、闪存、硬驱、可移动介质、易失性存储器、非易失性存储器或其它合适装置中的一种或更多种。可储存上述与失败有关的信息，此外还可存储执行有关信息的程序。并且处理器701可执行该存储器702存储的该程序，以实现信息存储或处理等。

输入单元704向处理器701提供输入。该输入单元704例如为按键或触摸输入装置。电源707用于向电子设备70提供电力。显示器706用于进行图像和文字等显示对象的显示。该显示器例如可为LCD显示器，但并不限于此。

该存储器702可以是固态存储器，例如，只读存储器(ROM)、随机存取存储器(RAM)、SIM卡等。还可以是这样的存储器，其即使在断电时也保存信息，可被选择性地擦除且设有更多数据，该存储器的示例有时被称为EPROM等。存储器702还可以是某种其它类型的装置。存储器702包括缓冲存储器7021(有时被称为缓冲器)。存储器702可以包括应用/功能存储部7022，该应用/功能存储部7022用于存储应用程序和功能程序或用于通过处理器701执行电子设备70的操作的流程。

存储器702还可以包括数据存储部7023，该数据存储部7023用于存储数据，例如联系人、数字数据、图片、声音和/或任何其他由电子设备使用的数据。存储器702的驱动程序存储部7024可以包括电子设备的用于通信功能和/或用于执行电子设备的其他功能(如消息传送应用、通讯录应用等)的各种驱动程序。

通信模块703即为经由天线708发送和接收信号的发送机/接收机。通信模块(发送机/接收机)703耦合到处理器701，以提供输入信号和接收输出信号，这可以和常规移动通信终端的情况相同。

基于不同的通信技术，在同一电子设备中，可以设置有多个通信模块703，如蜂窝网络模块、蓝牙模块和/或无线局域网模块等。通信模块(发送机/接收机)703还经由音频处理单元705耦合到扬声器709和麦克风710，以经由扬声器709提供音频输出，并接收来自麦克风710的音频输入，从而实现通常的电信功能。音频处理单元705可以包括任何合适的缓冲器、解码器、放大器等。另外，音频处理单元705还耦合到处理器701，从而使得可以通过麦克风710能够在本机上录音，且使得可以通过扬声器709来播放本机上存储的声音。

本发明的实施例中还提供了一种用于实现上述实施例中数据防泄密方法中全部步骤的一种计算机可读存储介质，该计算机可读存储介质上存储有计算机程序，该计算机程序被处理器执行时实现上述实施例中的数据防泄密方法的全部步骤，例如，该处理器执行该计算机程序时实现下述步骤：

获取水印配置数据和公钥数据；根据水印配置数据生成水印数据；随机生成对称性秘钥数据；利用公钥数据对对称性秘钥数据进行加密，得到密文数据；利用对称性秘钥数据对待保护数据进行加密，得到加密报文；待保护数据包括水印数据；将密文数据和加密报文发送至服务端，以使服务端根据密文数据和加密报文进行业务处理。

由上可知，本发明的实施例中提供的计算机可读存储介质，提供的动态水印可根据业务需求灵活显示内容，利用公钥数据对随机生成的对称性秘钥进行加密，进而对待保护数据和水印数据进行保护，在防泄密的同时，便于根据水印信息进行泄密后溯源。

虽然本发明提供了如实施例或流程图所述的方法操作步骤，但基于常规或者无创造性的劳动可以包括更多或者更少的操作步骤。实施例中列举的步骤顺序仅仅为众多步骤执行顺序中的一种方式，不代表唯一的执行顺序。在实际中的装置或客户端产品执行时，可以按照实施例或者附图所示的方法顺序执行或者并行执行(例如并行处理器或者多线程处理的环境)。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。术语“上”、“下”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。

除非另有明确的规定和限定，术语“安装”、“相连”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以根据具体情况理解上述术语在本发明中的具体含义。

需要说明的是，在不冲突的情况下，本发明中的实施例及实施例中的特征可以相互组合。本发明并不局限于任何单一的方面，也不局限于任何单一的实施例，也不局限于这些方面和/或实施例的任意组合和/或置换。可单独使用本发明的每个方面和/或实施例，或者与一个或更多其他方面和/或其他实施例结合使用。

最后应说明的是：以上所述实施例，仅为本发明的具体实施方式，用以说明本发明的技术方案，而非对其限制，本发明的保护范围并不局限于此，尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，其依然可以对前述实施例所记载的技术方案进行修改或可轻易想到变化，或者对其中部分技术特征进行等同替换；而这些修改、变化或者替换，并不使相应技术方案的本质脱离本发明实施例技术方案的精神和范围，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。