政务数据共享交换技术规范

政务数据共享交换技术规范总则政务数据共享交换的核心不是"建系统"，而是"破壁垒"——本规范旨在通过刚性的技术约束与流程切分，根除政务数据"不愿给、不敢给、不会给"的痼疾，确保跨部门、跨层级数据流转"流转有踪、使用有界、出事可溯"。适用范围本规范适用于省、市、县三级政务部门（含党委、人大、政协、法院、检察院等政务机构）及授权企事业单位间，通过政务数据共享交换平台开展的结构化数据与非结构化数据的归集、共享、开放与回流。非政务机构参与政务数据公共服务时，参照执行。基本原则一数一源，多源校验：基础数据（如人口、法人、电子证照）必须明确唯一权威提供方，其他部门可通过接口比对校验，严禁私自采录导致数据冲突。最小可用，按需共享：数据提供方仅交付业务必需字段，禁止"打包式"全量推送。涉及个人敏感信息的，必须进行脱敏或加密处理。全程留痕，闭环追溯：从数据申请、审批、调用到注销，全生命周期日志必须在交换平台留存至少12个月，且日志哈希值同步上链存证，防篡改。体系架构与角色职责数据流转的失败往往源于权责边界的模糊，明确各参与方的RACI矩阵是保障交换机制顺畅运转的先决条件。架构拓扑政务数据共享交换采用"两级枢纽、三层分发"架构。省级平台作为核心枢纽，向下对接各地市级子平台，向上联通国家级共享平台。数据实体物理分散在各部门业务数据库中，通过前置机汇聚至共享交换平台，逻辑集中调度。跨层级数据请求优先由本级平台路由，本级无权处理的向上一级转发。角色与职责矩阵数据提供方：拥有数据所有权与定义权的政务部门。负责数据治理、接口发布、权限授予。必须保障接口可用性SLA≥99.9%，接口响应时间数据消费方：因履职需要发起数据请求的部门。负责按申请用途使用数据，严禁超范围使用或将数据转交第三方。发现数据异常需在24小时内向提供方与平台管理方双线反馈。数据归集与资源编目缺乏标准编目的数据池无异于信息沼泽，资源目录是数据资产得以被发现和调用的唯一索引。元数据标准所有接入平台的政务数据必须符合GB/T21062.2-2007《政务信息资源交换体系第2部分：技术要求》。核心元数据必须包含：资源名称、资源提供方代码、资源分类（基础类/主题类/部门类）、数据格式（API/库表/文件）、更新频率、共享属性（无条件共享/有条件共享/不予共享）。对于"有条件共享"类资源，必须在目录中挂载具体的申请条件与限制条款；对于"不予共享"类，必须提供明确的法律法规依据（如《中华人民共和国个人信息保护法》特定条款），严禁仅以"部门内部规定"为由拒绝共享。编目与发布流程资源注册：数据提供方在前置机配置数据源连接（支持Oracle、MySQL、PostgreSQL），选择库表或视图，系统自动抽取Schema生成字段映射草表。目录编目：基于草表填写元数据信息，设定敏感字段标签（如身份证号标记为L3级敏感）。审核发布：平台管理方在3个工作日内完成合规性审核。审核通过后，资源目录在共享门户上线，状态变更为"可用"。共享交换流程规范流程的价值在于剔除人为干预带来的不确定性，用闭环审批机制锁定每一次数据流动的合法性。接口申请与授权数据消费方在共享门户检索目标资源，提交数据共享申请。申请单必须包含：使用场景描述（需关联具体业务办件项代码）、申请字段清单、调用频次预估、数据留存期限。审批流程采用双线并行机制：业务审批线：数据提供方业务处室审查用途合理性与字段必要性，应在3个工作日内给出"同意/驳回/要求调整"结论。安全审批线：涉及L3及以上敏感数据的，平台安全审计组同步进行数据出境风险评估与隐私合规审查，限时2个工作日。任一审批节点驳回，流程终止并记录原因。审批通过后，平台自动生成带有有效期的AppKey与AppSecret，并下发至消费方前置机的受控配置库中。严禁通过微信、邮件等明文渠道传递密钥（密钥泄露将导致政务数据被未授权第三方批量爬取）→必须通过平台内置的密钥分发通道（KMS）进行端到端加密下发。调用与对账消费方通过RESTfulAPI或消息队列（MQ）拉取数据。对于大批量数据（单次>10万条），严禁使用同步接口拉取（会导致平台线程池耗尽、引发雪崩）→必须切换为异步离线文件交换模式，平台生成CSV或Parquet文件上传至对象存储（OSS），返回临时下载链接（有效期≤每日00:30自动执行T+1日结算对账。平台汇总每个消费方的成功调用量、失败调用量，生成对账单推送至双方前置机。数据提供方如发现调用量异常激增（如环比增长超200%），必须在4小时内冻结该AppKey并发起人工核查。接口技术规范接口是数据交换的咽喉，其设计规范直接决定了跨部门协同的并发吞吐能力与系统鲁棒性。通信与报文规范协议：必须使用HTTPS（TLS1.2及以上版本），严禁使用HTTP明文传输。双向认证（mTLS）优先用于核心政务网段间的接口调用。报文格式：统一采用JSON格式，字符编码必须为UTF-8无BOM头。对于数据量超1MB的报文，必须启用GZIP压缩。时间格式：所有时间字段必须采用ISO8601标准，格式为yyyy-MM-dd'T'HH:mm:ss.SSSZ，统一使用东八区（UTC+8）时间。鉴权与限流机制接口鉴权优先采用OAuth2.0客户端凭证模式；若消费方系统不支持OAuth架构，则采用HMAC-SHA256签名算法（将请求时间戳、随机数、请求体拼接后使用AppSecret加密）；严禁使用明文传递AppKey与AppSecret的BasicAuth认证。流量控制采用令牌桶算法。平台默认为每个接口分配1000QPS的令牌桶容量。当消费方请求速率达到800QPS（即80%阈值）时，触发黄灯告警，通过Webhook推送至运维群；当超过1000QPS时，网关返回HTTP状态码429TooManyRequests错误码体系错误码采用领域代码(2位)+业务模块(2位)+具体错误(4位)的8位数字结构。10000001：鉴权失败（AppKey无效或签名错误）。10000002：权限不足（未申请该字段或授权已过期）。20030001：数据源连接超时。消费方必须针对不同错误码设计差异化重试策略：对于鉴权类错误（10xxxxxx），严禁重试，必须立即终止并告警运维人员检查本地密钥配置；对于网络或服务端超时类错误（20xxxxxx），可执行指数退避重试。数据安全与权限控制数据共享的红线在于安全失控，必须通过国密算法与动态脱敏技术构筑"可用不可见"的防护墙。传输与存储加密数据在传输层（TLCP协议）必须使用国密SM2进行密钥协商与证书认证，业务报文使用SM4分组密码算法（CBC模式）进行加密。严禁使用已被攻破的RC4、DES或MD5算法。对于落地存储在共享交换前置机或数据沙箱中的临时数据，必须采用透明数据加密（TDE）。平台管理方需每日轮换数据加密密钥（DEK），且KEK（主加密密钥）必须托管于硬件密码机（HSM）中。分级分类与动态脱敏根据数据敏感度分为L1（公开）、L2（内部）、L3（敏感）、L4（极敏感，如生物特征、密码哈希）。L3级数据严禁明文直接返回给消费方业务系统。消费方调用包含L3级数据的接口时，平台网关必须执行动态脱敏。身份证号：保留前6位与后4位，中间8位以*替换。严禁输出完整18位身份证号（造成个人身份被精准定位与关联分析），替代方案是使用SM3算法生成不可逆哈希值供比对。手机号：保留前3位与后4位，中间4位脱敏。地址：仅保留至区县级行政区划。脱敏规则由数据提供方在编目时配置。若消费方因特殊业务（如反欺诈、案件侦办）需获取明文数据，必须额外提交"明文数据使用承诺书"并经数据提供方"一把手"签字授权，平台审计组备案后，由超级管理员在KMS控制台临时开启白名单通道（有效期不超过24小时）。风险演化与阻断策略若政务数据在共享交换节点未进行隔离域划分，一旦消费方系统遭遇勒索软件感染或存在SQL注入漏洞，攻击者可通过共享接口实现横向渗透：→攻击者获取消费方接口密钥→调用平台接口逆向探测其他部门数据→引发跨部门数据雪崩式泄露。为阻断此风险，平台必须实施网络微隔离（ZeroTrust网关隔离），消费方前置机只能访问被授权的特定API端点；同时配置异常行为分析模型（UEBA），当检测到同一密钥在5分钟内请求了5个以上不同主题域的接口，或请求参数出现大量枚举特征时，必须在1分钟内自动阻断该来源IP并封禁密钥，同时触发一级安全告警。运维监控与应急响应监控不是为了展示大屏上的绿点，而是为了在业务受损前捕捉到流量异常并完成自愈。监控指标与阈值共享交换平台必须对以下核心SLA指标进行毫秒级采集与告警：接口可用性：连续1分钟内HTTP状态码5xx比例>5响应延迟：P99响应时间>2000消息积压：MQ队列积压消息数>50000异常分级与响应机制平台实施三级异常响应机制，严格按严重程度启动对应预案。Ⅰ级响应（特大故障）判定标准：共享交换核心枢纽宕机，或全省超过30%的前置机断线，导致跨部门业务全面停摆。启动权限：平台管理方局长。处置原则：15分钟内启动容灾切换。灾备中心接管流量后，运维团队需在2小时内定位主中心故障根因。业务恢复前，每30分钟向省政府办公厅专报一次恢复进展。严禁在未查清根因前盲目重启服务（可能导致未落盘的交换事务数据丢失），必须先通过消息队列对账脚本锁定断点。Ⅱ级响应（重大故障）判定标准：单个核心数据源（如省人口库、法人库）接口不可用超过15分钟，或关键数据流转链路阻断。启动权限：平台管理方技术负责人。处置原则：触发服务降级。网关自动将对该数据源的访问路由至本地只读缓存库（RedisCluster），并在响应头中附加Data-Stale:true标记。消费方业务系统收到该标记后，必须在前端提示"数据可能非最新"。缓存数据TTL设定为30分钟，超时后若主源未恢复，停止返回缓存数据并返回HTTP503ServiceUnavailable。Ⅲ级响应（一般故障）判定标准：非核心接口响应缓慢，或个别消费方调用频次超限被封禁。启动权限：值班运维工程师。处置原则：30分钟内完成限流配置调整或扩容。对于消费方引发的故障，需在1小时内向消费方发送《数据接口整改通知书》，要求其限期优化调用逻辑。闭环管理每次Ⅰ级或Ⅱ级响应结束后，必须在48小时内召开复盘会议，遵循PDCA闭环。输出《故障复盘报告》必须包含：时间轴（精确到分钟）、根因分析（使用5Whys或鱼骨图）、暴露的架构缺陷、改进措施清单与责任人。改进措施需录入Jira系统跟踪，平台管理方每周核查进度，确保所有隐患闭环销项。附录附录A：数据共享接口请求报文样例{

"header":{

"requestId":"REQ-20231101-0001-ABCD",

"sourceSystem":"SYS_HEALTH_COMMISSION",

"targetSystem":"SYS_PUBLIC_SECURITY",

"timestamp":"2023-11-01T14:30:00.000+0800",

"signature":"HMAC-SHA256(Base64(payload),AppSecret)"

},

"payload":{

"apiCode":"API_POPULATION_QUERY_01",

"version":"2.0",

"params":{

"idCardHash":"d41d8cd98f00b