數字政務服務快應用技術要求數字政務服務快應用技術要求目次前言 II引言 III12345范圍...............................................................................目次前言 II引言 III12345范圍...............................................................................縮略語.............................................................................1112222455567899995.15.25.36數字政務服務快應用技術要求.........................................................6.16.26.36.46.56.66.77管理要求...........................................................................7.17.27.3任務管理......................................................................101011附錄A（資料性）接口響應碼定義列表示例...............................................I數字政務服務快應用技術要求1 范圍本文件規定了數字政務服務快應用的技術架構，提出數字政務服務快應用在前端設計、接口開發、服務檢測、云服務、上架部署、系統運維等方面的技術要求和管理要求。2 （文件。GB/TGB/ZGB/TGB/T22239 24294-200931072-201435273-2020信息安全技術基于互聯網電子政務信息安全實施指南科技平臺統一身份認證數字政務服務快應用技術要求1 范圍本文件規定了數字政務服務快應用的技術架構，提出數字政務服務快應用在前端設計、接口開發、服務檢測、云服務、上架部署、系統運維等方面的技術要求和管理要求。2 （文件。GB/TGB/ZGB/TGB/T22239 24294-200931072-201435273-2020信息安全技術基于互聯網電子政務信息安全實施指南科技平臺統一身份認證信息安全技術個人信息安全規范國家政務服務平臺移動端界面視覺要求ZWFWCZWFWCZWFWCZWFW20180113-20180131-20183 GB/T22239GB/Z24294-2009GB/T31072-2014GB/T32918GB/T35273-2020ZWFWC0111-2018界定的以及下列術語和定義適用于本文件。3.1快應用 quickapplication基于硬件平臺，用戶無需下載安裝、即點即用、原生的應用形態。3.2數字務務 digitalgovernmentservices由政府部門為自然人、法人和其他組織提供各類網上政務服務。3.31私有云 privatecloud云服務僅被一個云服務客戶使用，且資源被該云服務客戶控制的一類云部署模型。3.4政務云 governmentcloud務平臺。4縮略語APP：應用程序（Application）私有云 privatecloud云服務僅被一個云服務客戶使用，且資源被該云服務客戶控制的一類云部署模型。3.4政務云 governmentcloud務平臺。4縮略語APP：應用程序（Application）CA：證書頒發機構（CertificateAuthority）CPU：中央處理器（CentralProcessingUnit）H5：超文本標記語言第5版（HyperTextMarkupLanguage5）HTTP：超文本傳輸協議（HyperTextTransferProtocol）HTTP（ypeTextTranserrotcolverecureSocetLye）JAR（JavaArchive）JS（JavaScript）RPK（RapidTCP：傳輸控制協議（TransmissionControlProtocol）TLS：傳輸層安全性協議（TransportLayerSecurity）URL：統一資源定位器（UniformResourceLocator）UTF-8：可變長度字符編碼（UnicodeTransformationFormat-8）5數字政務服務快應用概述5.1 5G5G快應用“即點即用、原生體驗、原子化服務、靈活高效觸達用戶”的特點相契合。5.2 數字政務服務快應用架構如圖1所示。2圖1 數字務務應技架構圖1 數字務務應技架構數字政務服務快應用架構由服務端和客戶端組成，具體如下：a)客戶端：1)2)3)JavaScriptJS混合橋接層：負責連接框架層和應用層，將底層應用能力提供給快應用框架層；內建窗口部件：即各類UI組件庫，如：文本、圖片、列表等；內建特性：提供系統和三方服務的原生接口，如：網絡、設備、二維碼、加密等；應用服務：提供系統能力與第三方服務，如：推送、賬號、微信支付等；事件處理：設備交互事件處理，如：屏幕觸摸、按鍵操作等；安卓操作系統：提供最底層的系統服務。4)5)6)7)8)9)b)服務端：31)存儲：持久化數據集群，緩存集群，搜索集群等，統一對項目數據進行處理和維護。2)3)4)5)6)7)1)存儲：持久化數據集群，緩存集群，搜索集群等，統一對項目數據進行處理和維護。2)3)4)5)6)7)8)9)5.3 5.3.1 數字政務服務快應用業務流程如圖2所示：圖2 數字務務應業流程數字政務服務快應用業務流程分為四個階段：管理階段、準備階段、開發階段、運行階段。5.3.2 理、研發管理、安全保障等。5.3.3 準備階段主要由設計人員在業務準備階段根據業務需求進行前端設計。5.3.4 4署等工作。5.3.5 運行階段主要由運維人員開展系統運維、數據備份、安全加固與日常巡檢等工作。6 6.1 便用戶瀏覽和查詢相關內容，具體要求如下:a)b)c)APPAPP署等工作。5.3.5 運行階段主要由運維人員開展系統運維、數據備份、安全加固與日常巡檢等工作。6 6.1 便用戶瀏覽和查詢相關內容，具體要求如下:a)b)c)APPAPPZWFWC0104-2018數字政務服務快應用的界面視覺設計應支持殘障人士的無障礙瀏覽。d)6.2 6.2.1 數字政務服務快應用在開發前應進行技術選型，選型項目應包括以下內容：——虛擬機；——Web框架；——數據交換格式；——熔斷限流重試；——數據庫連接；——監控；——日志分析；——http調用；——數據庫；——消息中間件。6.2.2 以接口形式提供的政務服務，接口改造時，應在權限管理和防篡改方便進行處理，具體包括：a)服務接口權限分配：針對快應用系統中用戶的未登入、登入（實名）、登入+人臉驗證（業務標示）三種狀態，服務接口使用時應將權限分配為：不需要登入、需要登入（實名）、需要登入（實名）+人臉驗證；服務接口防篡改：涉及人員信息、查詢結果等安全性要求嚴格的接口，應進行防篡改處理。b)接口返回值格式要求5述見表1，接口響應碼定義列表示例見附錄A。表1 接口回格描述6.2.3 H5以H5形式提供的政務服務，需要請求URL對接服務功能，對請求URL開發時應滿足以下要求：a）b)c)請求URL對接服務時，URL中字母應全部為小寫；如果有單詞拼接時，應使用中劃線‘-’，不應使用下劃線‘_’；資源應采用資源名詞的復數形式。6.2.4服務穩定性保障要求服務開發完成后應保障上線后的運行穩定，服務上線前與上線后應至少滿足以下要求：a）b）c）d）服務上線前應評估接口性能，設置超時時間和重試次數。6.3 6.3.1 數字政務服務快應用信息安全基礎要求包括：a)b)應開展網絡安全等級保護定級備案工作，具體要求見GB/T22239；使用的密碼技術和產品應符合國家或行業標準，并符合相應的法律法規要求。身份認證數字政務服務快應用進行身份認證時，應參照ZWFWC0111-2018進行技術設計。 數字政務服務快應用開發，應滿足以下安全要求：a)應進行安全防護，如設置組件最小化權限、刪除測試信息等；述見表1，接口響應碼定義列表示例見附錄A。表1 接口回格描述6.2.3 H5以H5形式提供的政務服務，需要請求URL對接服務功能，對請求URL開發時應滿足以下要求：a）b)c)請求URL對接服務時，URL中字母應全部為小寫；如果有單詞拼接時，應使用中劃線‘-’，不應使用下劃線‘_’；資源應采用資源名詞的復數形式。6.2.4服務穩定性保障要求服務開發完成后應保障上線后的運行穩定，服務上線前與上線后應至少滿足以下要求：a）b）c）d）服務上線前應評估接口性能，設置超時時間和重試次數。6.3 6.3.1 數字政務服務快應用信息安全基礎要求包括：a)b)應開展網絡安全等級保護定級備案工作，具體要求見GB/T22239；使用的密碼技術和產品應符合國家或行業標準，并符合相應的法律法規要求。身份認證數字政務服務快應用進行身份認證時，應參照ZWFWC0111-2018進行技術設計。 數字政務服務快應用開發，應滿足以下安全要求：a)應進行安全防護，如設置組件最小化權限、刪除測試信息等；APT應保證數字政務服務快應用不含有國家信息安全漏洞庫（CNNVD）、國家信息安全漏洞共享平臺（CNVD）等漏洞庫6個月前公布的高危漏洞。b)c)d)e)6字段名字段類型是否必須字段描述codeIntegerY接口響應碼msgStringN用戶提示信息，在必要時服務器返回給用戶的提示，需要前端展示給用戶dataObjectN接口具體的數據，結構取決于當前業務接口6.3.2 數字政務服務快應用數據安全基礎要求包括：a)涉及個人信息的應符合GB/T35273-2020要求，其中用于政務服務身份認證的數據還應符合ZWFWC0131-2018要求；數據收集和使用應符合業務需要，明確責權，貫徹知情同意原則；日志打印時，應脫敏打印姓名、身份證號、密鑰等敏感數據。b)c)d)數據傳輸對于敏感個人信息傳輸，應滿足以下內容：a)HTTPSHTTPS（TLS1.2），CA）；6.3.2 數字政務服務快應用數據安全基礎要求包括：a)涉及個人信息的應符合GB/T35273-2020要求，其中用于政務服務身份認證的數據還應符合ZWFWC0131-2018要求；數據收集和使用應符合業務需要，明確責權，貫徹知情同意原則；日志打印時，應脫敏打印姓名、身份證號、密鑰等敏感數據。b)c)d)數據傳輸對于敏感個人信息傳輸，應滿足以下內容：a)HTTPSHTTPS（TLS1.2），CA）；CA應采用密碼技術保證數據傳輸的保密性和完整性，如：數字信封等。b)c)d)數據存儲對于敏感個人信息存儲，要求做到以下內容：a)b)c)對稱加密算法宜使用SM4；敏感個人信息在服務端存儲時，應采用密鑰分層管理機制來管理密鑰；對于不需要還原且唯一標識的數據宜使用雜湊算法進行計算，并對摘要數據進行Base64_URLSafe編碼。d)utf-8數組，如果是解密后的數據還原成字符串，應將解密后的字節數組按照utf-8編碼方式轉換成字符串。6.3.3 數字政務服務快應用安全管理要求包括：a)b)c)d)重要崗位人員應簽署崗位安全保密協議，防止重要信息外泄；應制定密碼安全管理制度及操作規范；應建立安全監測機制，預防和應對安全事件的發生，并制定應急預案；每年至少開展一次第三方安全評估工作，包括資產識別、威脅識別、脆弱性識別等方面。6.4 6.4.1 6.4.2 7白盒測試的要求如下：a)b)c)d)應確保手頭的原型圖與效果圖為當前最新版本；應確保制定的原型圖、效果圖與服務一致；應根據效果圖檢查服務界面；應預先考慮正式環境中可能出現的數據類型。6.4.3 功能測試的要求如下：a)b)c)d)應進行UI測試，保障界面顯示正確；應能夠探索遍歷到用戶文檔中寫明的主要功能，并且所有的功能都按照設計的方式正確運行；應對各個功能點進行正常場景測試和異常場景測試；應保證功能測試用例100%覆蓋。6.4.4 兼容性測試的要求如下：a)b)c)d)白盒測試的要求如下：a)b)c)d)應確保手頭的原型圖與效果圖為當前最新版本；應確保制定的原型圖、效果圖與服務一致；應根據效果圖檢查服務界面；應預先考慮正式環境中可能出現的數據類型。6.4.3 功能測試的要求如下：a)b)c)d)應進行UI測試，保障界面顯示正確；應能夠探索遍歷到用戶文檔中寫明的主要功能，并且所有的功能都按照設計的方式正確運行；應對各個功能點進行正常場景測試和異常場景測試；應保證功能測試用例100%覆蓋。6.4.4 兼容性測試的要求如下：a)b)c)d)6.4.5 接口測試的重點是要檢查數據的交換、傳遞和控制管理過程，以及系統間的相互邏輯依賴關系等，具體要求為：a)b)應對接口在業務功能正常場景和異常場景下數據交換、傳遞進行測試；應對接口安全性、敏感信息加密、權限控制等過程管理進行測試。c)6.4.6 應制定安全測試方案，測試內容應覆蓋本文件5.3章內容。6.5 6.5.1 服務部署前應在測試環境上先進行驗證。6.5.2 測試環境驗證后，可在生產環境上進行服務部署，部署時需要滿足以下要求：a)b)c)jarjar6.5.3 8服務部署在生產環境后，應完成以下要求：rpk6.6 數字政務服務快應用云服務的要求如下：a)b)c)應將云服務部署在指定的政務云上，且政務云應為私有云；應區分測試環境與生產環境；應對生產環境進行各項安全防護，確保政務云服務器安全穩定。6.7 6.7.1 數字政務服務快應用系統運維工作的基礎要求如下：a)b)c)d)e)應進行每日巡檢，密切注意監控數據，保障系統正常平穩運行；數據庫應每天至少備份一次；應定期對服務器進行安全加固；應根據服務器漏洞報告及處理建議及時進行補丁安裝及軟件版本升級；服務部署在生產環境后，應完成以下要求：rpk6.6 數字政務服務快應用云服務的要求如下：a)b)c)應將云服務部署在指定的政務云上，且政務云應為私有云；應區分測試環境與生產環境；應對生產環境進行各項安全防護，確保政務云服務器安全穩定。6.7 6.7.1 數字政務服務快應用系統運維工作的基礎要求如下：a)b)c)d)e)應進行每日巡檢，密切注意監控數據，保障系統正常平穩運行；數據庫應每天至少備份一次；應定期對服務器進行安全加固；應根據服務器漏洞報告及處理建議及時進行補丁安裝及軟件版本升級；若監控出現告警情況，應提取相關服務日志，定位故障問題，并及時恢復服務（重啟、擴容、替換服務器等）；解決告警情況后，應對故障進行復盤，準確找到問題根源，并對此問題進行優化操作。f)6.7.2 務監控等，各項監控內容包括：a)CPUTCP中間件監控應包括：對象數、連接數、命中率、碎片率等；數據庫監控應包括：主從延遲、慢查詢等。b)c)d)關鍵業務的實時監控應包括：請求數、成功數、失敗數、平均耗時、最大耗時等；對關鍵路徑的關鍵日志進行監控，及時通過日志感知異常情況。并且要求6.7.3 數字政務服務快應用應對后端接口進行運維巡檢，要求如下：a）b）c）應接入服務主要接口；應在生產環境下實現自動化巡檢；應滿足新服務首月30分鐘一次；服務穩定后一天兩次的巡檢周期。7 7.1 數字政務快應用服務制作任務管理應滿足以下要求：a）任務下發物料應完整；9b）c）d）7.2 服務研發期間應嚴格遵守物料內容，不得隨意私下更改。7.3 b）c）d）7.2 服務研發期間應嚴格遵守物料內容，不得隨意私下更改。7.3 項目管理人員應對數字政務服務快應用安全高度重視，要求滿足以下內容：a）b）c）數字政務服務快應用上線前，應覆蓋本文件5.4章服務檢測技術要求；應每季度對數字政務服務快應用所有服務器進行基線測試和漏洞掃描測試；每季度應盤點系統資源，應做到資產清晰可追溯、可查找。10附 錄 A（資料性）接口響應碼定義列表示例接口響應碼定義如表A.1所示：A.1接口響應碼定義列表1110000(系統內部錯誤)code類型0返回成功10000系統業務繁忙10019系統業務繁忙，建議稍后重試10002用戶登錄已過期（25分鐘賬號登錄過期，前端使用加密信息自動登錄）10003已經登入，未驗證人臉10004賬號授權過期10005授權碼無效10006參數token不存在10007數字政務token已過期10008用戶未授權10009授權獲取為空10010用戶信息獲取為空10011Openid獲取為空10012設備ID不一致，請重新登錄10013用戶已經存在綁定關系10014身份證與姓名不一致10015未綁定手機號10016身份證姓名校驗失敗10017用戶登錄已過期；用戶session30天過期；需要用戶手動輸入登錄10022未查詢到數據10023用戶已解綁數字政務服務賬號10024手機號未授權10025人臉校驗失敗10026年齡不在查詢范圍，請使用'幫他人領取防疫健康信息碼'10027認證失敗次數超限，請稍后再試10000~11000通用錯誤碼11001~13000A類業務錯誤碼13001~15000B類業務錯誤碼15001~17000C類業務錯誤碼17001~19000D類業務錯誤碼17001行程信息核驗失敗17002二維碼已失效或已過期附 錄 A（資料性）接口響應碼定義列表示例接口響應碼定義如表A.1所示：A.1接口響應碼定義列表1110000(系統內部錯誤)code類型0返回成功10000系統業務繁忙10019系統業務繁忙，建議稍后重試10002用戶登錄已過期（25分鐘賬號登錄過期，前端使用加密信息自動登錄）10003已經登入，未驗證人臉10004賬號授權過期10005授權碼無效10006參數token不存在100