本发明涉及智能制造，尤其涉及一种数据安全防护方法、数据安全防护装置及基于1+n架构的工业系统。
背景技术：
1、制造业正经历着前所未有的变革，自动化、网络化、智能化的趋势日益明显。在这一背景下，基于1+n架构的工业系统逐渐成为主流，其中“1”代表核心工业底座（工业app低代码开发平台），而“n”则代表多样化的工业应用和服务。然而，这种高度集成和互联互通的系统也带来了严峻的安全挑战，此外，面向一些保密要求严格的特殊场景的核心工业应用需要严格遵循国家信息系统安全分级保护的原则，确保数据的机密性、完整性和可用性，因此，工业底座的安全性与数据防护问题，已成为制约工业智能化发展的关键因素。
2、当前市场上存在多种工业底座安全加固技术，如通过硬件加密、软件防火墙、入侵检测系统等手段提升系统的防御能力。但这些技术大多针对单一系统或组件，且偏重于硬件控制层面，缺乏在1+n架构下对整体安全性的统筹考虑。在数据传输和存储过程中，加密技术被广泛应用以确保数据机密性。然而，随着工业数据的爆炸式增长和传输路径的复杂化，如何在保证效率的同时确保数据安全，成为一项技术难题。此外，数据备份、容灾恢复等技术也是数据安全防护的重要组成部分。
3、因此，如何能够在1+n架构下实现数据安全防护成为本领域技术人员亟待解决的技术问题。
技术实现思路
1、本发明提供了一种数据安全防护方法、数据安全防护装置及基于1+n架构的工业系统，解决相关技术中存在的工业系统中的数据安全存在风险的问题。
2、作为本发明的第一个方面，提供一种数据安全防护方法，其中，包括：
3、获取经过基础设施安全防护层处理后的用户登录信息，并对用户登录信息进行用户登录认证处理和第一接口请求认证处理，其中，所述用户登录认证处理至少包括对用户登录信息依次进行的第一基础服务安全防护层处理和第一平台应用安全防护层处理，所述第一接口请求认证处理至少包括对用户登录信息进行的第二基础服务安全防护层处理，所述基础设施安全防护层至少包括用户权限防护和用户登录信息复杂度防护，所述第一基础服务安全防护层至少包括密级认证防护，所述第一平台应用安全防护层至少包括身份认证防护，所述第二基础服务安全防护层至少包括登录接口认证、服务接口权限认证以及身份有效性认证；所述用户登录信息至少包括登录接口、登录账号和登录密码；
4、当用户登录成功后，获取用户数据访问请求信息，并对所述用户数据访问请求信息进行第二接口请求认证处理，其中所述第二接口请求认证处理至少包括对用户数据访问请求信息进行的第二平台应用安全防护层处理，所述第二平台应用安全防护层至少包括数据访问控制防护、数据密级控制防护和数据输出控制防护。
5、进一步地，所述对用户登录信息进行用户登录认证处理，包括：
6、当所述登录接口认证通过后，在第一基础服务安全防护层和第一平台应用安全防护层根据预设账户策略对登录账号的有效性以及所述登录密码的正确性进行验证，以及根据预设登录信息认证规则对登录账号以及登录密码的密级合规性进行验证；
7、若所述登录账号的有效性、登录密码的正确性以及两者的密级合规性均验证通过，则返回认证成功的提示信息，否则返回认证失败的提示信息。
8、进一步地，当所述登录接口认证通过后，在第一基础服务安全防护层和第一平台应用安全防护层根据预设账户策略对登录账号的有效性以及所述登录密码的正确性进行验证，以及根据预设登录信息认证规则对登录账号以及登录密码的密级合规性进行验证，包括：
9、判断所述登录账号是否为小三员应用账号，所述小三员应用至少包括生产管理、设备管理、工艺管理和能源管理；
10、若所述登录账号为小三员应用账号，则根据预设三员账号密码信息进行登录密码的正确性验证；
11、若所述小三员应用账号的登录密码正确性验证成功，则获取小三员应用账号映射的大三员平台账号，其中所述大三员平台至少包括基于1+n架构的工业系统；
12、对所述大三员平台账号进行登录信息有效性验证，其中所述大三员平台账号的登录信息有效性验证至少包括用户管理认证、账户策略认证和保密参数认证；
13、若所述小三员应用账号的登录密码正确性验证不成功，则对所述登录账号进行登录信息有效性验证，以及对所述登录账号对应的登录密码进行正确性验证；
14、若所述大三员平台账号的登录信息有效性验证通过，或者所述登录账号的有效性验证以及所述登录账号对应的登录密码的正确性验证均通过，则返回带有用户信息的加密token信息，否则返回认证失败的提示信息；
15、其中，所述小三员应用和大三员平台均包括各自独立的三员账号信息以及对应的密码信息，所述三员账号信息包括系统管理员账号信息、安全设计员账号信息和安全保密员账号信息，所述小三员应用中的三员账号信息均对应虚拟用户，且所述小三员应用中的三员账号信息均能够映射到大三员平台的三员账号信息。
16、进一步地，对所述用户登录信息进行第一接口请求认证处理，包括：
17、获取用户接口请求信息，所述用户接口请求信息至少包括内部门户端请求和异构系统外部调用接口请求；
18、判断所述用户接口请求信息是否为内部门户端请求；
19、若所述用户接口请求信息为内部门户端请求，则在第二基础服务安全防护层对所述登录接口进行接口认证；
20、若所述接口请求信息为异构系统外部调用接口请求，则调用登录接口，并获取异构系统预设的账户信息在第二基础服务安全防护层进行登录接口认证；
21、当所述登录接口认证通过后，对加密的token信息进行解密并对解密后的token信息进行有效性认证；
22、若所述解密后的token信息的有效性认证通过，则确定用户登录成功；
23、若所述解密后的token信息的有效性认证未通过，则返回用户登录未成功的提示信息。
24、进一步地，在第二基础服务安全防护层对所述登录接口进行接口认证，以及，获取异构系统预设的账户信息在第二基础服务安全防护层进行登录接口认证，均包括：
25、将所述登录接口中的接口访问路径与接口白名单中预设访问路径进行比对；
26、若所述登录接口中的接口访问路径位于所述接口白名单中，则返回进一步验证提示信息，所述进一步验证提示信息携带应用编号信息；
27、若所述登录接口中的接口访问路径不在所述接口白名单中，则返回接口认证失败的提示信息，所述接口认证失败的提示信息携带token信息和应用编号信息。
28、进一步地，对所述用户数据访问请求信息进行第二接口请求认证处理，包括：
29、判断所述用户数据访问请求信息是否为内部应用访问，所述用户数据访问请求信息包括内部应用访问和异构系统应用访问；
30、若所述用户数据访问请求信息为内部应用访问，则根据数据访问授权规则对所述用户数据访问请求信息进行数据访问控制，其中所述数据访问授权规则至少包括表单授权、流程授权和用户组织角色授权；
31、根据数据密级控制规则以及接口授权规则对用户数据访问请求信息进行数据输出控制，其中所述数据密级控制规则至少包括用户密级、数据密级和文件密级；
32、向用户返回权限下的可见数据信息。
33、进一步地，若所述用户数据访问请求信息为异构系统应用访问，则根据用户数据访问请求信息对用户进行单点登录认证处理后按照内部应用访问的方式进行第二接口请求认证处理。
34、进一步地，根据用户数据访问请求信息对用户进行单点登录认证处理后按照内部应用访问的方式进行第二接口请求认证处理，包括：
35、根据所述用户数据访问请求信息判断当前用户是否具有当前异构系统的访问权限；
36、若当前用户具有当前异构系统的访问权限，则将包括入口信息在内的单点预设信息返回至门户端；
37、接收门户端的单点登录路径获取接口请求信息，所述单点登录路径获取接口请求信息至少包括所述单点预设信息；
38、根据所述单点登录路径获取接口请求信息调用登录接口，并获取异构系统预设的账户信息在第二基础服务安全防护层进行登录接口认证；
39、若所述登录接口认证通过，则确定单点登录路径获取接口请求成功，并向门户端返回请求成功结果信息，所述请求成功结果信息至少包括时效性临时校验信息和携带入口信息的异构系统访问路径，所述门户端能够根据所述异构系统访问路径和所述时效性临时校验信息对异构系统进行访问。
40、作为本发明的另一个方面，提供一种数据安全防护装置，用于实现前文所述的数据安全防护方法，其中，包括：
41、登录防护模块，用于获取经过基础设施安全防护层处理后的用户登录信息 ，并对用户登录信息进行用户登录认证处理和第一接口请求认证处理，其中，所述用户登录认证处理至少包括对用户登录信息依次进行的第一基础服务安全防护层处理和第一平台应用安全防护层处理，所述第一接口请求认证处理至少包括对用户登录信息进行的第二基础服务安全防护层处理，所述基础设施安全防护层至少包括用户权限防护和用户登录信息复杂度防护，所述第一基础服务安全防护层至少包括密级认证防护，所述第一平台应用安全防护层至少包括身份认证防护，所述第二基础服务安全防护层至少包括登录接口认证、服务接口权限认证以及身份有效性认证；所述用户登录信息至少包括登录接口、登录账号和登录密码；
42、数据访问防护模块，用于当用户登录成功后，获取用户数据访问请求信息，并对所述用户数据访问请求信息进行第二接口请求认证处理，其中所述第二接口请求认证处理至少包括对用户数据访问请求信息进行的第二平台应用安全防护层处理，所述第二平台应用安全防护层至少包括数据访问控制防护、数据密级控制防护和数据输出控制防护。
43、作为本发明的另一个方面，提供一种基于1+n架构的工业系统，其中，包括：门户端、服务端和多个应用端，所述服务端包括前文所述的数据安全防护装置，所述门户端和多个应用端均与所述服务端通信连接。
44、本发明提供的数据安全防护方法，通过在用户登录时基于基础设施安全防护层、第一基础服务安全防护层、第二基础服务安全防护层以及第一平台应用安全防护层的防护处理，实现对用户登录信息的层层防护，确保在用户登录过程中工业系统的安全性；另外针对用户登录成功后的数据访问过程在第二平台应用安全防护层进行数据防护处理，同样能够保证数据访问过程中工业系统的安全性，因此，本发明提供的数据安全防护方法能够保证在1+n架构下的数据安全防护，提升工业系统的数据安全性。
1.一种数据安全防护方法，其特征在于，包括：
2.根据权利要求1所述的数据安全防护方法，其特征在于，所述对用户登录信息进行用户登录认证处理，包括：
3.根据权利要求2所述的数据安全防护方法，其特征在于，当所述登录接口认证通过后，在第一基础服务安全防护层和第一平台应用安全防护层根据预设账户策略对登录账号的有效性以及所述登录密码的正确性进行验证，以及根据预设登录信息认证规则对登录账号以及登录密码的密级合规性进行验证，包括：
4.根据权利要求1至3中任意一项所述的数据安全防护方法，其特征在于，对所述用户登录信息进行第一接口请求认证处理，包括：
5.根据权利要求4所述的数据安全防护方法，其特征在于，在第二基础服务安全防护层对所述登录接口进行接口认证，以及，获取异构系统预设的账户信息在第二基础服务安全防护层进行登录接口认证，均包括：
6.根据权利要求1至3中任意一项所述的数据安全防护方法，其特征在于，对所述用户数据访问请求信息进行第二接口请求认证处理，包括：
7.根据权利要求6所述的数据安全防护方法，其特征在于，若所述用户数据访问请求信息为异构系统应用访问，则根据用户数据访问请求信息对用户进行单点登录认证处理后按照内部应用访问的方式进行第二接口请求认证处理。
8.根据权利要求7所述的数据安全防护方法，其特征在于，根据用户数据访问请求信息对用户进行单点登录认证处理后按照内部应用访问的方式进行第二接口请求认证处理，包括：
9.一种数据安全防护装置，用于实现权利要求1至8中任意一项所述的数据安全防护方法，其特征在于，包括：
10.一种基于1+n架构的工业系统，其特征在于，包括：门户端、服务端和多个应用端，所述服务端包括权利要求9所述的数据安全防护装置，所述门户端和多个应用端均与所述服务端通信连接。
