DB65-T 4763-2023 一体化政务服务平台移动端接入规范

DB65一体化政务服务平台移动端接入规范2024-02-23发布2024-04-10实施IDB65/T4763—2023 32规范性引用文件 33术语和定义 34缩略语 45总体要求 45.1基本要求 45.2技术要求 45.3数据安全要求 55.4代码安全要求 66总体架构 67应用接入要求 77.1应用接入流程 77.2应用申请 87.3应用对接 97.4应用审核 97.5应用上架 97.6应用运行管理 9 10附录B(资料性)各地(州、市)、县(市、区)常用简称 附录D(资料性)接口接入申请表 附录E(资料性)应用接入规范 附录F(资料性)应用自测报告 21IIDB65/T4763—2023本文件按照GB/T1.1—2020《标准化工作导则起草。第1部分：标准化文件的结构和起草规则》的规定本文件由新疆维吾尔自治区政务服务和公共资源交易中心提出。本文件由新疆维吾尔自治区工业和信息化厅归口并组织实施。本文件起草单位：新疆维吾尔自治区政务服务和公共资源交易中心。本文件主要起草人：赵琰、马路、刘洁、向龙华、刘俊伟、叶威、陈现伟、李敬波、冯琳、王芳琳、马晓峰、胡晓丽、王鹏、李文。本文件中的疑问，请咨询新疆维吾尔自治区政务服务和公共资源交易中心。对本文件的修改意见，请反馈至新疆维吾尔自治区工业和信息化厅、新疆维吾尔自治区政务服务和公共资源交易中心(乌鲁木齐市水磨沟准格尔街299号),新疆维吾尔自治区市场监督管理局(乌鲁木齐市新华南路167号)。新疆维吾尔自治区工业和信息化厅联系电话传真邮编：830091。新疆维吾尔自治区政务服务和公共资源交易中心联系电话传真邮编：830063。新疆维吾尔自治区市场监督管理局联系电话传真邮编：830004。DB65/T4763—20233一体化政务服务平台移动端接入规范本文件规定了一体化政务服务平台移动端(以下简称“新服办”)接入的总体要求、总体架构、应用接入要求。本文件适用政务服务应用和便民服务应用接入新服办。2规范性引用文件本文件没有规范性引用文件。下列术语和定义适用于本文件。3.1新服办X-Fuban由新疆维吾尔自治区人民政府主办，集政务服务、政务公开、便民服务、政民互动等应用为一体的综合移动平台，展现渠道有APP、微信小程序、支付宝小程序等。3.2接入单位accessorganization基于新服办提供个人和企业服务的组织。3.3政务服务应用governmentserviceapplication各级政府、各相关部门及事业单位，根据法律法规，为社会团体、企事业单位和个人提供许可、确认、裁决、奖励、处罚等行政服务。以下简称“政务应用”。3.4便民服务应用convenientserviceapplication便民服务是指以为民、便民、利民为服务宗旨，提供水、暖、电、气缴费等便民服务的应用。以下简称“便民应用”。3.5应用管理平台applicationmanagementplatform对新服办上承载的政务应用、便民应用进行管理的平台。DB65/T4763—20234SM2密码算法SM2algorithm一种椭圆曲线密码算法，密钥长度为256比特。3.7应用标识applicationidentifier是用来标识接入新服办不同应用的唯一代码。4缩略语下列缩略语适用于本文件。APP:应用程序(Application)HTTPS:超文本传输安全协议(HypertextTransferProtocolSecure)5.1基本要求政务应用、便民应用应按照统一规范接口、统一界面风格、统一身份认证、统一部署接入的要求接入新服办。5.1.1统一规范接口按照技术要求、数据安全要求、代码安全要求进行接口开发和对接。5.1.2统一界面设计应用界面宜与新服办整体保持一致，设计要求如下：a)服务风格统一：所有接入的应用应统一字体大小、统一图片尺寸、统一按钮规格、统一表单样式、统一加载效果、统一底部落款；b)交互提示友好：不同使用场景下应提供对应的使用引导；c)结构布局清晰：相同类型业务数据应归类展示，不同业务数据展示方式须作区分；d)体验流畅高效：页面切换平滑顺畅；e)操作层级简化：层级切换流程精简、完整；f)底部标识统一：所有应用的页面底部须注明“本服务由某某单位提供”。5.1.3统一身份认证对接一体化政务服务平台应统一身份认证，完成用户登录信息访问互通、统一用户注册、统一用户登录。5.1.4统一部署环境宜统一部署在新疆维吾尔自治区电子政务外网。5.2技术要求接入新服办的应用宜支持HTTPS访问。DB65/T4763—202355.2.2兼容性要求宜支持鸿蒙HarmonyOS系统、安卓Android系统、苹果iOS系统等市场主流移动终端操作系统以及市场主流机型。对非必需实时请求类接口，宜做缓存处理，缓存清除周期≥24h。5.2.4命名要求包括应用名称和应用标识两部分，应用名称以中文进行命名，能符合应用本身的服务内容。应用标识命名规则要求如下：a)自治区级部门应用标识命名要求：应用标识=[部门简称汉语拼音首字母]+[应用名称汉语拼音首字母];示例：b)地(州、市)、县(市、区)应用标识命名要求：应用标识=[地区名称汉语拼音首字母]+[应用名称汉语拼音首字母]。示例：[乌鲁木齐市]中考查询，命名为wlmqszkcx[沙依巴克区]公积金查询，命名为sybkqgjjcx注：名称过长的地区可使用简称，地(州、市)、县(市、区)常用简称见附录B。c)在应用管理平台提交应用时，如提示应用标识已存在，应在应用标识后添加时间戳。示例：[乌鲁木齐市]个税计算器，命名为wlmgsgsjsq,如果出现一个应用名称为[乌鲁木齐市]个税计时器，命名为5.3数据安全要求5.3.1接口鉴权接口鉴权支持签名鉴权和白名单鉴权两种模式，应用接入时应至少选择其中一种模式进行接口访问鉴权。a)签名鉴权：请求签名机制，签名算法采用SM2密码算法，双方以安全方式存储通讯密钥；b)白名单鉴权：接口白名单，与新服办对接的应用接口应加入访问白名单。5.3.2数据脱敏接入单位对敏感信息应做好信息保护，敏感信息包括但不限于公民身份证号码、固定电话号码、手机号码、地址、电子邮箱、银行卡号等，对外显示的用户信息须对涉及到的敏感信息进行数据脱敏后向用户展示，常见敏感信息脱敏规则如下：b)公民身份号码脱敏规则：保留后4位，其余用*替换；c)固定电话号码脱敏规则：保留后4位，其余用*替换；e)地址脱敏规则：保留前6位，其余用*替换；DB65/T4763—20236f)电子邮箱脱敏规则：保留前1位及@后面的部分，其余用*替换；g)银行卡号脱敏规则：保留前6位及后4位，其余用*替换。5.3.3图形验证码使用应用涉及到表单提交时，应加入图形验证码。图形验证码技术要求如下：a)图形验证码在设计上应考虑安全因素，常见的方式是增加背景干扰元素；b)图形验证码在一次使用后应立即失效，新的请求须重新生成图形验证码。5.3.4表单输入校验接入单位开发应用时，应在服务端对输入数据进行最终校验，前端校验只能作为辅助手段。数据校验不通过时，应告知用户输入错误并且建议用户重新输入。应对登录口令进行弱口令校验，用户设置的登录口令是弱口令时提示用户重新设置登录口令。5.4代码安全要求代码安全要求包括但不限于：a)采取反编译防护、反盗版防护等措施，防止被破解、篡改或二次打包，保护源代码安全；b)所引用、包含接入代码或开源代码的安全性；c)代码中不存在已公布的高危风险漏洞；d)禁止内容组件被外部程序调用，如需供外部调用，应检查调用者是否符合访问控制机制。新服办总体架构包括基础设施层、数据资源层、应用支撑层、应用系统层、用户终端层，接入的应用展示在用户终端层，应用管理平台在应用系统层，总体架构见图1。DB65/T4763—20237用户终端层用户终端层移动APP小程序其他应用系统层应用管理平台用户管理应用接入管理应用发布管理其他事项管理统一身份认证服务评价数据分析统一事项统一“好统一电子服务差评”证照其他其他数据支撑用户信息库事项库办件库评价信息库其他云基础设施电子政务外网安全基础设施其他数据交换数据共享数据分析移动政务服务系统安全保障移动政务服务系统对接标准应用支撑层基础实施层数据资源层业务支撑公共支撑图1总体架构图7应用接入要求7.1应用接入流程应用接入到新服办流程主要包括应用申请、应用对接、应用审核，应用上架、应用运行管理，应用接入流程图见图2。DB65/T4763—20238接入单位梳理可接入应用并填写应用申请表、接口接入申审核不通过审核不通过请表并提交审核审核不通过审核不通过地(州、市)及(区、县)提交自治区各部门审核通过用行理应用申请应用对接应用审核应用上架应用行理应用申请应用对接应用审核应用上架应运管审核不通过自治区政务服务管理机构对申请内容进行审核审核不通过审核通过自治区政务服务管理机构将应用管理平台账号、密码、接入指南以及帮助文档进行分配接入单位登录应用管理平台应用注册应用对接应用自测应用提交审核不通过应用审核审核通过应用上架应用运行管理图2应用接入流程图7.2应用申请7.2.1填写申请表自治区级申请接入单位9自治区级申请接入单位应统一填写应用接入申请表(见附录C)、接口接入申请表(见附录D),统一由主管业务部门审核并盖章后提交至自治区政务服务管理机构。地(州、市)及县(市、区)级申请接入单位地(州、市)、区(县)级申请接入单位应统一填写应用接入申请表(见附录C)、接口接入申请表(见附录D),由地(州、市)政务服务管理机构审核并盖章后，统一由所属地(州、市)政务服务管理机构提交至自治区政务服务管理机构。自治区政务服务管理机构对提交的应用接入申请进行审核，对审核不通过的应用接入申请予以退回，自治区级应用接入申请退回至主管业务部门，地(州、市)、县(市、区)应用接入申请退回至所属地 (州、市)政务服务管理机构，接入单位应修改完善后重新提交审核。对审核通过的应用接入申请，自治区政务服务管理机构将应用管理平台的账号、密码、接入指南及帮助文档提供至自治区主管业务部门、地(州、市)政务服务管理机构，由自治区主管业务部门、地(州、市)政务服务管理机构分配至接入单位。接入单位登录应用管理平台完成应用注册、获取密钥后，按照应用接入规范进行应用对接(见附录E)。接入单位在应用提交前，应根据应用自测报告(见附录F)对应用进行全面测试并通过全部自测内接入单位在应用管理平台提交自测通过的应用以及应用自测报告。自治区政务服务管理机构对应用进行审核，对不符合要求的应用予以退回，接入单位修改完善后可重新提交审核。应用审核通过后，上架至新服办各接入单位服务站点下。7.6应用运行管理自治区政务服务管理机构对应用运行情况进行统一管理，对运行不稳定、安全风险大、并发性能差的应用予以通知整改，必要时对应用进行下架，下架应用在整改完毕后可重新提交审核，审核通过后允许上架。DB65/T4763—2023(资料性)自治区级部门常用简称自治区级部门常用简称见表A.1。表A.1自治区级部门常用简称药监局广播电视局体育局林草局保密局税务局DB65/T4763—2023表A.1自治区级部门常用简称(续)气象局地震局新疆维吾尔自治区烟草专卖局烟草局新闻出版局DB65/T4763—2023(资料性)地(州、市)、县(市、区)常用简称地(州、市)、县(市、区)常用简称见表B.1。表B.1地(州、市)、县(市、区)常用简称地(州、市)、县(市、区)名称简称乌鲁木齐市乌市天山区天山区沙依巴克区沙区乌鲁木齐高新技术产业开发区(新市区)新市区水磨沟区水区乌鲁木齐经济技术开发区(头屯河区)头屯河区达坂城区达坂城区米东区米东区乌鲁木齐县乌鲁木齐县甘泉堡经济技术开发区甘泉堡克拉玛依市克拉玛依市独山子区独山子区克拉玛依区克拉玛依区白碱滩区白碱滩区乌尔禾区乌尔禾区吐鲁番市吐鲁番市高昌区高昌区鄯善县鄯善县托克逊县托克逊县哈密市哈密市伊州区伊州区巴里坤哈萨克自治县巴里坤伊吾县伊吾县昌吉回族自治州昌吉州昌吉市昌吉市阜康市阜康市呼图壁县呼图壁县玛纳斯县玛纳斯县奇台县奇台县吉木萨尔县吉木萨尔县木垒哈萨克自治县木垒县新疆昌吉国家农业科技园区科技园区DB65/T4763-2023表B.1地(州、市)、县(市、区)常用简称(续)地(州、市)、县(市、区)名称简称昌吉州高新技术产业开发区高新区准东经济技术开发区准东区博尔塔拉蒙古自治州博州博乐市博乐市阿拉山口市阿拉山口市精河县精河县温泉县温泉县巴音郭楞蒙古自治州巴州库尔勒市库尔勒市轮台县轮台县尉犁县尉犁县若羌县若羌县且末县且末县焉耆回族自治县焉耆县和静县和静县和硕县和硕县博湖县博湖县库尔勒经济开发区库尔勒经开区阿克苏地区阿克苏地区阿克苏市阿克苏市库车市库车市温宿县温宿县沙雅县沙雅县新和县新和县拜城县拜城县乌什县乌什县阿瓦提县阿瓦提县柯坪县柯坪县阿克苏市经济技术开发区阿克苏市经开区库车市经济技术开发区库车市经开区克孜勒苏柯尔克孜自治州克州阿图什市阿图什市阿克陶县阿克陶县阿合奇县阿合奇县乌恰县乌恰县喀什地区喀什地区喀什市喀什市喀什经济开发区喀什经开区疏附县疏附县DB65/T4763—2023表B.1地(州、市)、县(市、区)常用简称(续)地(州、市)、县(市、区)名称简称疏勒县疏勒县英吉沙县英吉沙县泽普县泽普县莎车县莎车县叶城县叶城县麦盖提县麦盖提县岳普湖县岳普湖县伽师县伽师县巴楚县巴楚县塔什库尔干塔吉克自治县塔县和田地区和田地区和田市和田市和田县和田县墨玉县墨玉县皮山县皮山县洛浦县洛浦县策勒县策勒县于田县于田县民丰县民丰县伊犁哈萨克自治州伊犁州伊宁市伊宁市奎屯市奎屯市霍尔果斯市霍尔果斯市伊宁县伊宁县察布查尔锡伯自治县察县霍城县霍城县巩留县巩留县新源县新源县昭苏县昭苏县特克斯县特克斯县尼勒克县尼勒克县塔城地区塔城地区塔城市塔城市乌苏市乌苏市沙湾市沙湾市额敏县额敏县托里县托里县裕民县裕民县和布克赛尔蒙古自治县和布县DB65/T4763—2023表B.1地(州、市)、县(市、区)常用简称(续)地(州、市)、县(市、区)名称简称阿勒泰地区阿勒泰地区阿勒泰市阿勒泰市布尔津县布尔津县富蕴县富蕴县福海县福海县哈巴河县哈巴河县青河县青河县吉木乃县吉木乃县(资料性)应用接入申请表接入单位填写应用接入申请表C.1相关内容，报自治区政务服务管理机构审核。表C.1应用接入申请表接入单位接入单位所属层级口自治区本级□地(州、市)口区(县)业务对接部门联系人联系方式业务对接技术联系人所属单位业务对接技术联系人联系方式服务名称服务对象展现渠道服务简介是否需要用户登录是否需要用户认证口社会团体□微信小程序口支付宝小程序口社会团体□微信小程序□支付宝小程序(以上表格可自行添加)其他情况说明签字盖章(审核意见)盖章DB65/T4763—2023(资料性)接口接入申请表接入单位根据应用实际接入接口、环境等各项参数，详细填写接口接入申请表D.1相关内容，报自治区政务服务管理机构审核。表D.1接口接入申请表接口名称网络环境接口地址接口承载能力返回格式请求方式接口协议接口备注请求参数参数名必填(是|否)类型参数示例参数说明参数位置(以上表格可自行添加)返回参数参数名必填(是|否)类型说明(结果状态码)(以上表格可自行添加)DB65/T4763—2023应用接入规范E.1请求方式请求方式见表E.1,请求参数说明见表E.2。表E.1请求方式请求方式POST接口地址https://********/rest/extranetNeedLoginInterfaceapp/getUserSM2DataForAppEntryt表E.2请求参数说明1字符串用户token,在请求头传入；用户为自然人的返回参数说明见表E.3。表E.3自然人返回参数说明序号参数名称描述1usertype用户类型标识，当值为1时用户类型为自然人2userguid用户唯一标识3mobilephonenumber手机号码4certification自然人实名认证等级，0代表未认证，1代表一级认证，2代表二级认证，3代表三级认证，4代表四级认证，5代表五级认证5username用户姓名6idnumber身份证号7loginid登录账号8startdate身份证有效期起始日期9enddate身份证有效期截至日期DB65/T4763—2023表E.3自然人返回参数说明(续)E.3法人返回参数用户为法人的返回参数说明见表E.4。表E.4法人返回参数说明序号参数名称描述1usertype用户类型标识，当值为2时用户类型为法人2userguid用户唯一标识3loginid登录账号4unifiedsocialcreditcode统一社会信用代码5enterprisename企业名称6legalrepresentative法人代表7legalpersonidnumber法人身份证号8certification法人实名认证等级，0代表未认证，1代表已认证9contactmobilephonenumber联系人手机号contactname联系人姓名contactidnumber联系人身份证号registerdate账号注册时间E.4解密示例部分敏感信息字段解密示例。示例：/**加密*@paramtext*需要加密的内容*@returnString*/publicStringencrypt(Stringtext)throwsException{byte[]m=Base64.getEncoder().encode(text.getBytes("utf-8"));//拿公钥的时候优先使用公钥keyStringkey=pubk;DB65/T4763—202320//如果公钥key没有，那么使用私钥获取公钥if(StringUtil.isBlank(key)){key=prik+PUB;}sm2Engine.init(true,newParametersWithRandom(keys.get(key),newSecureRandom()));byte[]enc=sm2EcessBlock(m,0,m.length);returnFormartUtil.byteToHex(enc);}/***解密**@paramenc*密文*@returnString*/publicStringdecrypt(Stringenc)throwsException{sm2Engine.init(false,keys.get(prik));byte[]eec=FormartUtil.hexToByte(enc);byte[]dec=sm2EcessBlock(eec,0,eec.length);byte[]eee=Base64.getDecoder(.decode(dec);returnnewString(eee,"utf-8");}DB65/T4763—202321应用自测报告应用自测报告表见F.1。表F.1应用自测报告应用自测报告应用名称接入单位联系人及手机号码测试项功能点测试内容自测结果备注设备系统+兼容性测试手机系统(苹果)测试□通过□不通过手机系统(安卓)测试□通过口不通过手机系统(鸿蒙)测试□通过□不通过地址定位基于无线通信下的定位准确□不通过基于移动通信下的定位准确□不通过自适应检查在不同大小屏幕手机下，界面可以进行自适应口不通过底部落款底部落款应用主页底部，显示本服务由XXX单位提供□通过□不通过用户登录自动加载登录界面如果应用涉及到用户认证，须自动加载登录界面□不通过用户切换多用户切换登录时，能正常获取登录用户的相关信息□通过口不通过登录弱口令检验用户登录禁止弱口令口不通过业务流程业务流程通过完整业务流程测试口不通过附件(包含图片、文档等)上传/下载上传附件出现该附件的预览口不通过重新上传新附件应该进行新传附件预览□不通过上传成功检查上传的文件是否能正确打开□通过口不通过手机拍照手机拍照后，上传成功口不通过从相册中选取图片从相册中选取