海南省公共资源交易统一CA互认平台应用系统对接技术规范（试行）

公共资源交易领域数字证书（CA）全国互认通用技术解决方案海南省公共资源交易统一CA互认平台应用系统对接技术规范（试行）34目 录规范A、介质CA对接应用系统技术规范2一、概述2二、对接准备2三、对接流程2四、接口说明2i.签名证书初始化 InitSignCer2ii.加密证书初始化 InitEncCer3iii.读取证书序列号 ClientSignCertSN3iv.获取使用者CN项 ClientSignCertCN3v.读取签名证书 SignCert3vi.读取加密证书 EncCert4vii.获取设备唯一标识符DeviceNum4viii.读取使用者密钥标识符CertSubjectKeyID4ix.读取有效期信息CertYouXiaoQi5x.数据签名SignData5xi.数据验签VerifyData5xii.数据加密Encrypt6xiii.数据解密Decrypt6xiv.读取证书颁发者Bfjg6规范B、移动CA对接应用系统技术规范7一、概述7三、对接流程8四、调用流程说明8五、海南标联接口11六、应用系统需提供接口20七、SDK包说明29八、数据类型定义30九、token生成规则32规范C、H5签章控件对接应用系统技术规范33一、概述33二、系统介绍34三、应用部署35四、应用整合37五、移动端签章38六、附录A 签章页规则39七、附录B SM4加密代码示例39八、附录C Token生成规则40九、附录D 移动端签章页规则43规范A、介质CA对接应用系统技术规范一、概述本文档描述了应用系统对接海南省统一ca互认多CA的标准与流程。海南省统一ca互认多CA提供的功能如下：1. 通过统一ca互认平台多CA控件，支持获取证书基本信息。2. 通过统一ca互认平台多CA控件，支持签名、验签。3. 通过统一ca互认平台多CA控件，支持加密、解密。二、对接准备2.1海南省统一ca互认获取请咨询当地的项目负责人索要驱动安装包。2.2环境部署在开发环境下安装驱动。双击驱动安装包，即可开始安装。2.3插入CA key安装完成之后需插入CA锁，当右下角有插入提示，即表示已正确识别key。三、对接流程功能的具体实现方式见Demo。四、接口说明4.1接口方法i. 签名证书初始化 InitSignCer接口原型InitSignCer功能描述签名证书初始化参数无返回值备注ii. 加密证书初始化 InitEncCer接口原型InitEncCer功能描述加密证书初始化参数无返回值备注iii. 读取证书序列号 ClientSignCertSN接口原型ClientSignCertSN功能描述读取证书序列号参数无返回值成功：返回rtn，值取决于为SignCer.SerialNumber对象：失败： NULL：备注需要先做签名证书初始化，有签名证书对象SignCeriv. 获取使用者CN项 ClientSignCertCN接口原型ClientSignCertCN功能描述获取使用者CN项参数无返回值成功：返回rtn，值取决于为SignCer.FriendlyName对象失败：NULL备注需要先做签名证书初始化，有签名证书对象SignCerv. 读取签名证书 SignCert接口原型SignCert功能描述读取签名证书参数无返回值成功：返回rtn，值取决于为签名证书值SignCer.Content失败：NULL备注需要先做签名证书初始化，有签名证书对象SignCervi. 读取加密证书 EncCert接口原型EncCert功能描述读取加密证书参数无返回值成功：返回rtn，值取决于为加密证书值EncCer.Content失败：NULL备注需要先做加密证书初始化，有加密证书对象EncCervii. 获取设备唯一标识符DeviceNum接口原型DeviceNum功能描述获取设备唯一标识符参数无返回值成功：返回rtn，值取决于为$('DeviceAx').Epoint_GetDevSN(0)失败：NULL：备注前台需要加载<OBJECT width="0" height="0" id="DeviceAx" classid="clsid:F73069F8-F828-4837-A925-E1E030E24D7C"></OBJECT>viii. 读取使用者密钥标识符CertSubjectKeyID接口原型CertSubjectKeyID功能描述读取使用者密钥标识符参数无返回值成功：返回rtn，值取决于为EncCer.CertSubjectKeyID失败：NULL：备注需要先做加密证书初始化，有加密证书对象EncCer4.2接口属性ix. 读取有效期信息CertYouXiaoQi接口原型CertYouXiaoQi功能描述读取有效期信息参数无返回值成功：返回rtn，值取决于为SignCer.NotAfterSystemTime失败：NULL：备注需要先做签名证书初始化，有签名证书对象SignCerx. 数据签名SignData接口原型SignData功能描述数据签名参数OrgData：原文返回值成功：返回rtn，值取决于为SignCer.PKCS1String(OrgData)失败：NULL：备注需要先做签名证书初始化，有签名证书对象SignCerxi. 数据验签VerifyData接口原型VerifyData功能描述数据验签参数OrgData：原文SingCerInfo：签名证书SinInfo：签名后数据返回值成功：true失败：false备注需要先做签名证书初始化，有签名证书对象SignCerxii. 数据加密Encrypt接口原型Encrypt功能描述数据加密参数OrgData：原文返回值成功：返回加密数据失败：NULL：备注需要先做加密证书初始化，有加密证书对象EncCerxiii. 数据解密Decrypt接口原型Decrypt功能描述数据解密参数JiaMiData：加密数据返回值成功：返回rtn，值取决于为EncCer.PrivateDecrypt(JiaMiData)失败：NULL：备注需要先做加密证书初始化，有加密证书对象EncCerxiv. 读取证书颁发者Bfjg接口原型Bfjg功能描述读取证书颁发者参数无返回值成功：值取决于为SignCer.Issuer失败：NULL：备注需要先做签名证书初始化，有签名证书对象SignCer规范B、移动CA对接应用系统技术规范一、概述1.1说明本文档描述了应用系统对接海南标联的标准与流程。海南标联提供的功能：1、 通过海南标联APP，支持扫码签名、解密。2、 通过海南标联SDK，支持加密。3、 通过EpQzFileServer，支持Web应用签章。4、 通过IWebNet，支持单机客户端应用签章。1.2预期读者本规范适用于准备与海南标联对接的应用系统开发人员。1.3名词解释名词解释说明应用系统使用海南标联实现扫码登录、扫码签名等与CA证书相关功能的系统。platformcode应用系统的唯一标识，调用接口时用于标识来源系统。appkey用于生成token令牌，对接海南标联时进行接口认证。appsecret用于生成token令牌，对接海南标联时进行接口认证。三、对接流程3.1发放口令1、 需要先提供106.海南标联_应用系统接入信息表2、 海南标联根据接入信息表完成platformcode，appkey，appsecret生成。3、 海南标联通过邮箱发放口令至接入申请表的“项目负责人邮箱”。4、 应用系统通过此appkey和appsecret生成token（token的生成规则请看 token生成规则 章节），用于对接海南标联时进行接口认证。3.2内部开发1、 应用系统按照本文档进行接口开发。2、 应用系统开发完成，与海南标联测试系统进行测试联调。3、 系统测试联调完成后，联系海南标联开发人员获取正式环境信息。四、调用流程说明4.1登录1、 应用系统首先需要提供 证书绑定 接口。当用户在海南标联下载完证书后，海南标联服务会调用应用系统的 证书绑定 接口，将证书信息、个人信息以及企业信息推送给应用系统。应用系统可利用这些数据将证书信息绑定到对应用户上，若不存在所传用户数据，也可利用这些数据进行自动注册。2、 用户在需要使用海南标联进行登录时，应用系统调用 创建二维码 接口（二维码类型为“签名”, 可选值见 二维码类型），org字段需要传入待签名字符串（一般为当前时间戳），获取二维码信息content值。应用系统可利用content值生成二维码图片。3、 用户打开海南标联App，打开“扫一扫”，扫描上一步生成的二维码图片。海南标联App通过解析二维码图片，获取二维码信息。海南标联App会根据二维码类型，跳转对应类型处理页面，这里将跳转签名页面。用户在选择完证书后，会利用所选证书，对上一步所传org字段进行签名，并将签名串赋值到signed字段值中。4、 （可选）签名完成后若应用系统提供了 接收二维码结果 接口，会调用该接口将二维码处理结果推送给应用系统，若未提供则不调用，需要通过第五步获取处理结果。5、 应用系统在第二步中调用完 创建二维码 接口后，再轮询调用 查询二维码结果 接口，若接口返回的qrstatus值为未扫码或者已扫码未确认（值见 扫码状态），则继续调用 查询二维码结果 接口。直到当接口返回的qrstatus值为已扫码已确认（值见 扫码状态），业务系统可通过signed字段值获取签名串，signcert字段值获取签名证书。6、 业务系统利用org值、signed值、signcert值调用SDK的 验签 方法，若返回值为true，表示数据有效可信。验签通过后，业务系统还可对org值做校验逻辑（例如若org为时间戳，可验证时间戳是否过期）。7、 校验都完成后，可通过第五步 查询二维码结果 接口中返回的dognum或devicenum值查询得到在第一步 证书绑定 接口中绑定的用户。8、 成功获取用户，完成登录。4.2签章4.2.1Web端海南标联提供了一个名为EpQzFileServer的docker镜像用于签章。应用系统在对接时，需要在页面中加入frame标签，标签地址指向EpQzFileServer中的页面。指定页面即为新点H5签章