[发明专利]一种基于安全鉴权的RPC远程过程调用方法

说明书

技术领域

本发明是关于RPC远程调用服务领域，特别涉及一种基于安全鉴权的RPC远程过程调用方法。

背景技术

RPC是Remote Procedure Calling，远程过程调用的缩写。随着分布式技术的发展，软件的结构体系发生了较大的变化，特别是银行、金融、互联网等一些大流量、高并发的网站架构中，为了支持海量的访问，可以采用分布式，将客户端和服务端分离，多台服务器支撑业务系统水平扩展，负载均衡比如Nginx进行流量分发，这样即便某些服务挂了，也不会影响整个网站。由此可见分布式的重要性，然而随着分布式的发展，以及不同站点之间需要进行通信和共享，这样RPC就显得非常的重要，常见的RPC比如：DUBBO、Hessian、webservice等。

RPC远程过程调用，就需要服务端暴露自己的相应的业务接口方法，让客户端去调用，这个过程中服务端相应的业务接口方法是需要暴露出来的，比如：

webservice的wsdl：

<？xml version＝"1.0"encoding＝"UTF8"？>

<definitions targetNamespace＝"http://localhost:8080/dbapp/HelloService">

<message name＝"sayHelloRequest">…</message>

<message name＝"sayHelloResponse">…</message>

<portType name＝"HelloServiceImpl"></portType>

<binding name＝"helloServiceSoapBinding"

type＝"impl:HelloServiceImpl"></binding>

<service name＝"HelloServiceImplService"

type＝"impl:HelloServiceImpl"></service>

</definitions>

dubbo暴露的服务接口：

<bean id＝"helloService"

class＝"cn.com.dbapp.hello.impl.HelloServiceImpl"/>

<dubbo:service interface＝"cn.com.dbapp.hello.HelloService"

ref＝"helloService">

<dubbo:method name＝"sayHello"/>

</dubbo:service>

那么就存在一个问题，只要相应的主机防火墙端口开通并且拿到服务端暴露的接口方法的接口的相关文档，就可以实现远程RPC的调用。这样对于“非正式”(未授权的)客户端也可以调用。一旦服务端没有对客户端进行调用权限的认证，那么匿名的也可以调用相应的业务方法，从而得到相关的信息。这样对于信息泄露存在安全隐患的。从而降低了RPC的安全。

发明内容

本发明的主要目的在于克服现有技术中的不足，提供一种基于RPC远程调用服务，通过服务端对客户端发送过来的3个必填参数进行安全鉴权来实现的安全鉴权方法。为解决上述技术问题，本发明的解决方案是：

提供一种基于安全鉴权的RPC远程过程调用方法，用于服务端对于调用者客户端进行调用权限的认证，所述基于安全鉴权的RPC远程过程调用方法具体包括下述步骤：

(1)服务端为每一个调用者客户端提供一个8位的密钥；

(2)当调用者客户端需要对服务端进行调用时，每个调用者客户端都需要向服务端传3个参数：时间戳(timestamp，GMT和当前的时间毫秒差，java即为System.currentTimeMillis())、8位随机数(randomNum)、数字签名CS(signature)；

数字签名采用消息摘要算法第五版(即MD5，为计算机安全领域广泛使用的一种散列函数，用以提供消息的完整性保护)，所述数字签名CS(客户端数字签名)＝MD5(时间戳+8位随机数+约定的密钥)；