支付公司核心賬務系統(tǒng)總體設計方案和對策

...wd......wd......wd...北京市萬隆然博科技有限責任公司樂視核心賬務系統(tǒng)總體設計方案技術方案概要書楊磊2014-9-21目錄1.工程背景12.系統(tǒng)方案12.1.總體流程12.2.系統(tǒng)架構22.3.系統(tǒng)功能設計32.3.1.前置子系統(tǒng)32.3.2.核心子系統(tǒng)42.3.3.清結算子系統(tǒng)52.3.4.管理子系統(tǒng)113.系統(tǒng)設計原那么134.網絡拓撲圖145.系統(tǒng)部署165.1.系統(tǒng)運行環(huán)境165.2.數據管理165.3.文件系統(tǒng)管理165.3.1.文件系統(tǒng)空間管理策略165.3.2.文件系統(tǒng)歸檔備份策略175.4.數據庫管理175.4.1.數據庫文件系統(tǒng)空間管理策略175.4.2.數據庫存儲空間估算185.4.3.數據庫空間管理策略185.4.4.數據庫備份策略196.信息類別及處理原那么206.1.業(yè)務分級處理206.2.數據分級保護207.7.應用層安全設計217.1.身份認證217.2.訪問控制227.3.數據加密227.4.數據完整性和不可否認性227.5.代碼安全237.6.異常監(jiān)控237.7.業(yè)務安全管理237.8.審計跟蹤24工程背景本文檔是樂視支付核心賬務系統(tǒng)的設計文檔，文中對系統(tǒng)的整體架構進展描述，對開發(fā)設計、系統(tǒng)測試、并行上線等階段提供指導作用。同時，本文檔劃分了系統(tǒng)的組成構造，并定義了各組成模塊的實現功能、以及采用的相關技術，指導各子模塊的設計工作及開發(fā)工作。文檔內容可以等價于以往工程定義文檔中的軟件架構HLD和平臺環(huán)境HLD。本文檔的閱讀對象是軟件開發(fā)人員、業(yè)務標準設計人員、軟件測試人員、系統(tǒng)安裝人員及用戶代表。核心賬務系統(tǒng)一期只實現了全網與一家財富公司直連。系統(tǒng)方案總體流程總體主要的流程包括開立賬戶、注銷賬戶兩個主要流程。開立賬戶流程1〕 客戶與樂視簽訂互聯網支付服務協議2〕 客戶提交開戶材料3〕 核實客戶身份證明文件4〕 為客戶開立結算賬戶并通過登記的聯系方式通知客戶5〕 客戶登錄系統(tǒng)完成客戶賬戶初始化〔修改密碼、指定對應的銀行結算賬戶〕*客戶在銀行開立的賬戶稱為客戶銀行結算賬戶，客戶在公司開立的非銀行結算賬戶稱為客戶交易賬戶。系統(tǒng)架構工程的體系構造如以以下列圖所示：圖SEQ圖\*ARABIC1體系架構整個工程的系統(tǒng)構造如以以下列圖所示：圖SEQ圖\*ARABIC2系統(tǒng)架構系統(tǒng)功能設計前置子系統(tǒng)綜合交易前置子系統(tǒng)包括的功能及組件：協議適配支持多種協議，如，WS等等格式校驗根據配置的校驗規(guī)那么檢驗報文的格式格式轉換對于外部的報文格式統(tǒng)一轉為統(tǒng)一支付內部的統(tǒng)一消息模型文件前置子系統(tǒng)包括的功能及組件：對賬文件上傳上傳文件至網狀網、銀行、天貓商城等文件服務器modify；modify獲取對賬文件從省移動，銀行、天貓等文件服務器獲取文件；任務調度該組件用于管理并執(zhí)行系統(tǒng)定時任務；文件驗簽該組件用于文件內容進展驗簽；支付網關子系統(tǒng)包括的功能及組件：用戶簽約用戶通過該功能與銀行建設簽約關系；支付扣款系統(tǒng)通過該功能通知銀行從指定賬戶中扣款；核心子系統(tǒng)包括的功能及組件：消息收發(fā)該組件發(fā)送,監(jiān)聽前置發(fā)送到請求隊列中的消息插件調度接收到的前置發(fā)送的消息后，根據業(yè)務編碼調用不同的業(yè)務插件完成具體業(yè)務的處理消息映射該組件映射統(tǒng)一消息模型到數據模型數據持久把映射后的數據存儲到數據庫中日志處理該組件負責把日志的內容打印到不同的日志文件中異步流水處理該組件負責把操作流水的數據存儲到數據庫中清結算子系統(tǒng)調度管理子系統(tǒng)流程管理流程管理主要包括任務定義和流程編排兩個模塊。任務定義主要負責定義原子任務以及該任務相關的所有公共參數。流程編排主要負責按具體的業(yè)務規(guī)那么編排一系列的原子任務，并設置各原子任務的執(zhí)行順序及與該任務的特殊參數。任務管理任務管理主要實現監(jiān)控已調度的業(yè)務流程，任務列表頁面上可以查看當前任務的執(zhí)行的狀態(tài)，以及對出錯的業(yè)務流程重做或接著異常點繼續(xù)執(zhí)行該流程。包含查詢任務列表、重新執(zhí)行該業(yè)務流、異?；謴?。查詢任務列表任務列表包括當前任務的詳細信息：業(yè)務流程名、提交時間、執(zhí)行時間、任務狀態(tài)等信息。其中任務狀態(tài)包括：未啟動、成功、失敗、停頓，對于正在執(zhí)行的任務的狀態(tài)頁面需異步刷新；操作欄中有啟動、恢復操作。啟動任務當一個運行中的任務由于業(yè)務約束或其它異常導致該任務失敗后，可以在列表頁中找到該任務并執(zhí)行啟動任務操作，該業(yè)務流程會被重新執(zhí)行?；謴腿蝿债斠粋€運行中的任務由于業(yè)務約束或其它異常導致該任務失敗后，可以在列表頁中找到該任務并執(zhí)行恢復任務操作，該業(yè)務流程執(zhí)行中斷點之后未完成的原子任務。方案任務管理 方案任務主要是對某一個業(yè)務流程設置屬性及業(yè)務規(guī)那么，自動創(chuàng)立并執(zhí)行該任務。該模塊主要包含創(chuàng)立、編輯、刪除、查詢方案化任務。方案任務屬性及業(yè)務規(guī)那么：1、 方案名稱：文本框，由中文、字母、數字下劃線組成，長度為64位；2、 開場時間：時間控件，不能小于當前時間；3、 過期時間：時間控件，不能小于當前時間；4、 時間設置：單項選擇框，枚舉類型：執(zhí)行一次、每幾天執(zhí)行、任務重復間隔。 創(chuàng)立方案任務 管理或運維人員通過后臺管理頁面輸入方案任務屬性，新建方案。調度引擎會定時檢查方案任務，如到達方案任務指定時間，那么該任務啟動并執(zhí)行。編寫方案任務管理或運維人員可以編輯方案任務中的任一屬性。刪除方案任務管理或運維人員可以刪除某方案任務，非物理刪除，標志刪除。查詢方案任務管理或運維人員可以通過輸入開場時間、完畢時間和方案名稱查詢符合上述要求的任務。計算資源管理計算資源管理〔或計算節(jié)點管理〕主要負責管理各個計算資源的元數據。計算資源的元數據包括該組件標識、名稱、版本號、包括IP、端口、服務地址、狀態(tài)、最大任務數、當前任務數等。計算資源元數據，包括如下屬性： 資源標識：資源的唯一編號 資源名稱：資源的名稱 版本號：資源版本號 IP地址：組件所在服務器的IP地址 端口：組件所在服務器的的端口 接口地址：服務接口調用地址，如://ip:port/spi/validate.do 狀態(tài)：組件實時運行狀態(tài)，正?；蝈礄C； 最大任務數：組件最大并發(fā)任務數； 當前任務數：組件當前共有多少任務在運行；系統(tǒng)管理系統(tǒng)管理包括操作員管理、權限管理、參數配置和操作日志管理。調度引擎子系統(tǒng)方案任務調度查詢緩存或后臺數據庫方案任務數據，當該任務預設的時間到達后，立即調度該任務。計算資源管理負責集中管理并維護分布式計算節(jié)點信息，這些信息包括計算節(jié)點的狀態(tài)〔正?；蝈礄C〕、當前任務數、最大任務數。節(jié)點可分配任務的規(guī)那么： 計算節(jié)點狀態(tài)為正常，當前任務數小于該節(jié)點的最大任務數時，可分配任務給該節(jié)點去執(zhí)行。 計算節(jié)點狀態(tài)為正常，當前任務數等于或大于該節(jié)點的最大任務數時，任務將會等待，直到當前任務數小于該節(jié)點的最大任務數時，任務才可分配到該節(jié)點上去執(zhí)行。 計算節(jié)點狀態(tài)為宕機，該節(jié)點不可用，任務不會分配到該節(jié)點上去執(zhí)行。流程實例管理管理并維護正在運行的流程實例整個生命周期，監(jiān)控流程的啟動、停頓、完成、失敗等事件，并針對相應的事件做相應的處理。任務實例管理管理并維護正在運行的任務實例整個生命周期，監(jiān)控任務的啟動、停頓、完成、失敗等事件，并針對相應的事件做相應的處理。調度策略管理根據集群中各計算節(jié)點處理能力，合理的安排任務到計算節(jié)點中去執(zhí)行接口管理接口管理主要包含以下內容： 服務器端接口：1. 任務回執(zhí)接口：接收任務引擎執(zhí)行消息2. 流程控制接口：接收調度管理系統(tǒng)發(fā)送過來的請求，完成對流程的啟動、停頓、停頓全部流程等管理控制工作 客戶端端接口：1. 任務調度接口：分發(fā)任務到任務引擎執(zhí)行具體任務接口2. 心跳檢測接口：定時去檢測任務引擎是否存活3. 任務控制接口：停頓任務引擎任務任務引擎子系統(tǒng)任務隊列管理負責對任務執(zhí)行接口以及任務控制接口的報文消息緩存管理，實現消息異步處理任務線程池管理對任務采用線程一一對應方式管理，實現任務實時的啟動、暫時、停頓的控制任務元數據管理對調度引擎發(fā)過來的流程ID以及任務ID查詢任務參數表以及系統(tǒng)參數表，封裝成map，提供功能插件以及公共組件使用。業(yè)務功能插件實現任務功能的實際業(yè)務向導處理〔例如：先做那個子任務在做那個子任務〕，具體實現由公共組件完成。公共組件對子任務的具體實現接口管理提供對任務執(zhí)行接口、任務控制接口以及心跳回執(zhí)接口的實現銀商應用組件銀商對賬銀商對賬主要包括以下幾個功能：A. 預處理主要負責文件檢測、文件備份、文件校驗〔文件名校驗、文件頭尾記錄校驗、記錄級校驗〕、異步入庫〔Oracle、HDFS〕、Hive建表。B. 文件比對采用Hive進展賬單文件比對，主要包括其它應用系統(tǒng)賬單文件、財富公司賬單文件、以及統(tǒng)一支付賬單文件的三方比對，并生成差異文件。C. 差異生成對已生成的生成差異文件進展合并D. 差異處理根據差異文件更新賬單流水信息管理子系統(tǒng)后臺管理我的首頁 個人信息 修改密碼業(yè)務管理 個人賬號管理 企業(yè)賬號管理結算管理 單筆付款申請 結算審批風控管理 賬號黑名單 規(guī)那么管理狀態(tài)監(jiān)控 服務狀態(tài)總攬 風險監(jiān)控 操作日志統(tǒng)計報表 交易統(tǒng)計 轉賬報表 支付報表 退貨報表 充值報表 提現報表系統(tǒng)管理 系統(tǒng)菜單設置 系統(tǒng)角色設置 系統(tǒng)用戶設置前臺管理賬戶管理 客戶信息交易管理 對賬文件查詢與下載 退款審核 交易明細虛擬賬戶 虛擬賬戶 提現 轉賬 虛擬交易查詢 網上充值 網上充值查詢 交易明細系統(tǒng)管理 證書安裝 密碼管理系統(tǒng)設計原那么對支付服務平臺而言，系統(tǒng)整體安全的重要性是不言而喻的。因此，在系統(tǒng)規(guī)劃和設計時，在技術和產品選擇時，應將安全性放在首位予以考慮，并盡量遵循國際標準、國家標準、行業(yè)標準或行業(yè)慣例。為了實現上述安全目標，在對樂視系統(tǒng)平臺安全體系的設計中，在樂視系統(tǒng)平臺的建設中，樂視公司投入大量的人力、物力、財力，從制定周密的信息系統(tǒng)安全策略開場，加強管理和監(jiān)視，制定嚴密的災難恢復體系和管理制度，不斷進展改進和完善。樂視系統(tǒng)平臺信息安全體系遵循如下原那么。需求、風險、代價平衡分析的原那么網絡系統(tǒng)中沒有絕對的安全，需通過安全風險分析，從系統(tǒng)建設需求、安全風險、安全投入、收益等方面找到平衡點，來規(guī)劃安全體系。在考慮安全性的同時，需要平衡安全和成本、安全和效率、安全和方便性之間的矛盾。多重保護的原那么〔全局防御的原那么〕任何安全保護措施都不是絕對安全的，都可能被攻破。但是建設一個多重保護系統(tǒng)，各重保護相互補充，當一重保護被攻破時，其它重保護仍可保護信息的安全。多層次〔網絡OSI參考模型中的邏輯層次〕保護的原那么安全體系的規(guī)劃應貫穿OSI參考模型的各個層次，如在鏈路層和網絡層實施包過濾，在表示層實施加密傳送，在應用層設置專用程序代碼、運行應用層審計軟件，在應用層之上啟動代理服務等。網絡分段的原那么〔物理和邏輯〕網絡分段是保證安全的重要措施。網絡分段可分為物理分段和邏輯分段。網絡可從物理上分為假設干段，即通過交換器連接各段。對于TCP/IP可進展邏輯分段，即把網絡分成假設干IP子網，各子網通過路由器連接，并在路由器上建設可訪問表，來控制各子網間的訪問。設多個安全單元的原那么把整個網絡的安全性賦予多個安全單元，如路由器、屏蔽子網、網關，形成了多道安全防線。易操作、靈活性的原那么〔安全措施由人完成〕安全措施與網絡的靈活性是一對矛盾，安全體系的規(guī)劃應以不影響系統(tǒng)的正常運轉和易操作、靈活性為前提。最小授權的原那么〔分散權力，降低災難程度〕特權〔超級〕網絡要有制約措施，分散過大的集中權力，以降低災難程度。綜合性原那么〔設備技術策略管理〕計算機網絡系統(tǒng)的安全應從物理上、技術上、管理制度〔如安全操作乃至計算機病毒的防范等〕上以及安全教育上全面采取措施，相互彌補和完善，盡可能地排除安全漏洞。網絡拓撲圖系統(tǒng)的網絡拓撲圖如下所示：圖SEQ圖\*ARABIC3網絡拓撲圖系統(tǒng)部署系統(tǒng)運行環(huán)境 系統(tǒng)運行平臺如下：操作系統(tǒng)：Linux數據庫：Oracle10G中間件：WebLogic主機服務器：IBMpcserver存儲：磁陣數據管理涉及在線數據保存與歷史數據備份，文件系統(tǒng)和數據庫都通過IBMTivoli軟件再備份到IBMTSM3310磁盤庫。為了提高數據庫恢復的效率，備份路徑都指定為硬盤，硬盤上的備份數據至少保存7天才能刪除，即一個數據庫全備的周期。文件系統(tǒng)管理文件系統(tǒng)空間管理策略文件系統(tǒng)隨著業(yè)務處理空間使用會不斷增長，需要定期清理不使用空間，為業(yè)務處理騰出空間。文件系統(tǒng)清理包括：1〕 操作系統(tǒng)清理目錄，包括/var等。2〕 業(yè)務系統(tǒng)運行臨時目錄。3〕 業(yè)務系統(tǒng)運行日志目錄。文件系統(tǒng)中與業(yè)務有關的清理，參考目前生產配置，確定空間管理策略，總體策略如下：1〕 日志備份。a) 超過200M日志文件需要備份。b) 應用日志保存7天。2〕 業(yè)務文件a) 上下發(fā)文件，根據不同業(yè)務保存時間7-140天不等。b) 其他接口文件。根據不同業(yè)務類型進展具體制定。文件系統(tǒng)歸檔備份策略文件系統(tǒng)需要進展定期歸檔備份，包括操作系統(tǒng)備份和業(yè)務文件系統(tǒng)備份。1〕 操作系統(tǒng)備份參考目前生產系統(tǒng)備份策略，每周就進展全備，備份歸檔目錄包括/、/var、/usr、home、/opt等。2〕 業(yè)務文件系統(tǒng)備份參考目前生產系統(tǒng)備份策略，進展每周全備、每天增量備份，備份目錄包括任何業(yè)務系統(tǒng)認為有必要備份的目錄，典型的目錄類型如下：(1) 應用程序目錄(2) 應用配置目錄(3) 歸檔目錄(4) 業(yè)務運行的關鍵目錄數據庫管理數據庫文件系統(tǒng)空間管理策略文件系統(tǒng)隨著業(yè)務處理空間使用會不斷增長，需要定期清理不使用空間，為業(yè)務處理騰出空間。文件系統(tǒng)清理包括：1〕 操作系統(tǒng)清理目錄，包括/var等。2〕 數據庫trace文件目錄，包括oracle和grid用戶ORACLE_BASE下diag產生的dump和trace文件。數據庫存儲空間估算【以每個月5億筆的交易量測算以下存儲的空間】交易核心數據〔前線庫Oracle保存30天的數據〕存儲空間〔12288G≈12T〕Oracle數據文件=每個月5億筆交易*12條數據*1K〔包含索引文件〕=6144GOracle日志文件=<數據文件大小>=6144G清結算后線庫Oracle數據庫〔2793G+3352G≈6T〕流水數據文件=每個月5億筆交易*平均每筆數據大小500B*3〔三方流水〕*4個月=2793G結果數據文件=每個月5億筆交易*平均每筆數據大小300B*24個月=3352G數據庫空間管理策略數據庫在業(yè)務系統(tǒng)投入使用后，會隨著業(yè)務數據量增長而容量進展增長。因此，在數據庫的日常運維中，監(jiān)控數據庫的空間是一項非常重要的內容。1〕分區(qū)增長，對于采用日期分區(qū)的，隨著時間增長進展分區(qū)的滾動創(chuàng)立。2〕數據庫存儲空間增長。需對投入使用的數據庫進展空間使用率監(jiān)控，在高于特定使用率時，需提前通知平臺工程師進展空間擴容。具體數據庫表管理策略與具體數據表數據存儲周期相關，在具體業(yè)務概要設計中確定。數據庫備份策略數據庫的備份，我們使用數據庫備份和數據表備份的策略進展。每周日進展數據庫的全庫備份，其它日期進展數據庫的日志備份。為了防止日志溢出，我們在每天成功備份日志后，并確認無誤后。即刪除數據庫服務器中對應的日志。前線庫Oracle：使用rman腳本定時將數據庫備份到本地硬盤，備份數據庫和日志歸檔文件，日志備份完畢刪除歸檔，冗余策略為2，即本地保存兩個完整備份集。 后線庫Oracle：為了實現數據庫備份的自動化，我們可以使用OracleASE提供的JobSchedule工作方案功能，定制指定時間指定的備份作業(yè)，可以沿用一期備份策略。為了提高數據庫恢復的效率，備份路徑都指定為硬盤，硬盤上的備份數據至少保存7天才能刪除，即一個數據庫全備的周期。數據庫備份成功后，通過IBMTivoli軟件將備份結果從文件系統(tǒng)備份到IBMTSM3310磁盤庫。備份類型頻率備份時間說明數據庫全備1次/周周日，2點前線庫Oracle和后線庫Oracle備份到本地硬盤，次日凌晨再備份到磁帶庫。數據庫日志備份6次/周周1到周6，每天2點備份到本地硬盤，次日凌晨再備份到磁帶庫對于一些重要的數據表，使用bcp導出明文文件的方式，將數據以表的方式備份出來。信息類別及處理原那么業(yè)務分級處理根據業(yè)務風險程度，把支付交易分成假設干級別，采用不同的安全控制手段來控制業(yè)務的安全性。下面定義了假設干級風險，風險系數依次越來越大:序號風險度描述0無風險如信息服務等交易1普通風險如賬戶查詢等2二級風險客戶內部賬戶轉帳等3三級風險客戶網上充值等業(yè)務4四級風險客戶約定賬戶支付5五級風險網上支付，如B2B和B2C等6六級風險委托支付數據分級保護系統(tǒng)中涉及商業(yè)秘密的數據具體見表。數據類別密級保密期限客戶信息商業(yè)機密長期客戶賬戶信息商業(yè)機密長期與客戶簽定的業(yè)務協議商業(yè)機密長期客戶業(yè)務信息商業(yè)機密長期客戶密碼信息商業(yè)絕密長期針對這些數據我們建議采用不同的安全保護措施：1、商業(yè)機密數據，采用明文存儲，密文傳輸，并施加數據對象級的訪問控制；2、商業(yè)絕密數據，采用密文存儲和密文傳輸。7. 應用層安全設計應用層安全是樂視系統(tǒng)平臺安全體系中的重要組成局部，主要包括：身份認證、訪問控制、業(yè)務安全管理、業(yè)務審計、異常業(yè)務監(jiān)控、數據安全以及數據完整性、不可否認性等內容。身份認證樂視系統(tǒng)平臺在用戶登錄或關鍵交易處理時使用一種或多種身份認證方式，包括用戶名/靜態(tài)口令、圖形驗證碼、數字證書等。靜態(tài)口令認證用戶名/靜態(tài)口令是最容易被承受、也最廣泛使用的身份認證手段，樂視系統(tǒng)平臺使用用戶名/靜態(tài)口令進展身份認證?？诹钯|量策略：1、口令的復雜性必須滿足同時包含字母和數字；2、口令的長度必須不小于6位；3、首次登錄強制性要求用戶修改初始密碼。賬號鎖定策略：1、一天內口令屢次認證失敗，自動鎖定用戶；2、賬號鎖定后，隔天自動解鎖或人工解鎖；圖形驗證碼圖形驗證碼是防止暴力破解密碼攻擊的有效手段，樂視系統(tǒng)平臺提供圖形驗證碼的輔助用戶身份認證。數字證書認證樂視系統(tǒng)平臺采取中國金融認證中心的數字證書，將證書存儲于USBKey，證書與用戶綁定，對企業(yè)用戶、內部操作員提供必要的雙因子強身份認證。訪問控制樂視系統(tǒng)平臺對系統(tǒng)資源、應用功能、數據資源進展嚴格的授權管理和訪問控制：1、系統(tǒng)提供基于角色的應用軟件功能的訪問控制，包括角色定義，角色的權限管理，用戶的角色管理。2、系統(tǒng)提供基于角色和組織機構的數據對象的訪問控制能力。3、用戶權限的分配遵循最小特權的原那么。4、提供系統(tǒng)資源〔文件、URL〕級別的訪問授權控制手段供應鏈網絡支付系統(tǒng)對用戶進展角色管理，包括業(yè)務管理崗、業(yè)務處理崗、資金管理崗、商務崗等，不同的角色分配不同的權限。數據加密樂視系統(tǒng)平臺在數據的傳輸、存儲中，采取了必要的加密措施。對商業(yè)機密數據，采用明文存儲，密文傳輸，并施加數據對象級的訪問控制；對商業(yè)絕密數據，采用密文存儲和密文傳輸。傳輸安全所有的涉密信息在公網必須以密文的形式傳輸。樂視系統(tǒng)平臺使用128位SSL協議或VPN技術，對用戶與服務器之間、第三方與樂視之間的數據傳遞進展加密保護，使用安全控件技術對用戶在客戶端瀏覽器輸入的口令進展增強加密保護。存儲安全樂視系統(tǒng)平臺的用戶身份信息使用數據庫存儲，靜態(tài)口令作為商業(yè)絕密數據，在數據庫中用單向散列算法加密存儲，防止反向解密攻擊。數據完整性和不可否認性SSL技術在保障信息加密傳輸的同時，提供數據完整性的保護。對關鍵業(yè)務操作，使用存儲于USBKey的數字證書進展數字簽名，在強身份認證的同時，實現數據完整性和不可否認性。代碼安全在登錄功能上做了