零信任架构实战：基于天远风控经营异常预警构建自动化企业准入网关

破解B2B供应商准入痛点：从传统人工核查到数据直连

在构建B2B SaaS供应商风险管理CRM系统时，核心挑战在于如何对入驻的庞大供应商群体进行及时、准确的资质评估与合规确认。传统的供应商尽调往往依赖人工收集营业执照、线下走访或通过工商网站手动比对。这种方式不仅流程繁琐、效率低下，更难以实时感知供应商在经营过程中潜藏的"履约隐患"与"非存续异常主体"状态，极易导致供应链条的合规盲区。

为了突破这一瓶颈，现代化的风控网关在获得企业授权的前提下，只需将供应商的统一社会信用代码（EntCode）作为指定入参，便可系统化直连权威数据库。通过天远风控经营异常预警接口，CRM系统能够解密获取关键字段，如putReason（列入异常原因）、decisionDept（作出决定机关）等。这些数据为供应商的分层管理、准入评估与动态合规流转提供了客观的数据依据，确保平台不会引入资质异常的合作方。

通过将这种合规审查动作无缝嵌入B2B业务微服务或风控网关，平台可以实现前置的自动化校验与业务顺畅流转。当检测到异常经营记录时，系统自动触发人工复核提醒或限制业务权限，从而以纯技术的手段构建起坚固的供应链安全防线。

1. PHP 加密通信集成：构建高可用审核管道

1. 核心参数与加密配置

接口地址 : https://api.tianyuanapi.com/api/v1/QYGL7C1A (需在 URL 附加 ?t=13位时间戳)
请求方式 : POST
请求头 :
- Access-Id: 账号的 Access-Id (必填)
- Content-Type: application/json
关键入参 :
- EntCode: 企业统一社会信用代码（必填）
- PageSize: 每页返回的记录条数（必填）
- PageNum: 当前页码，从1开始（必填）
鉴权与加密机制 : 使用账户的 16 进制 Access Key 作为密钥，采用 AES-128 算法的 CBC 模式。每次请求需动态生成 16 字节的 IV（初始化向量），并配合 PKCS7 填充，最终将 IV 与密文拼接后进行 Base64 编码放入请求体 data 字段中。

2. 标准化调用代码 (PHP)

php 复制代码

<?php
class TianyuanApiClient {
    private $accessId;
    private $accessKey;
    private $apiUrl;

    public function __construct($accessId, $accessKey, $apiUrl) {
        $this->accessId = $accessId;
        $this->accessKey = $accessKey;
        $this->apiUrl = $apiUrl;
    }

    private function encryptData($data) {
        $iv = random_bytes(16);
        $jsonStr = json_encode($data, JSON_UNESCAPED_UNICODE);
        // hex2bin 将16进制密钥转换为二进制，AES-128需要16字节密钥
        $encrypted = openssl_encrypt($jsonStr, 'AES-128-CBC', hex2bin($this->accessKey), OPENSSL_RAW_DATA, $iv);
        return base64_encode($iv . $encrypted);
    }

    private function decryptData($base64Data) {
        $rawData = base64_decode($base64Data);
        $iv = substr($rawData, 0, 16);
        $encrypted = substr($rawData, 16);
        $decrypted = openssl_decrypt($encrypted, 'AES-128-CBC', hex2bin($this->accessKey), OPENSSL_RAW_DATA, $iv);
        return $decrypted;
    }

    public function sendRequest($params) {
        $timestamp = (int)(microtime(true) * 1000);
        $url = $this->apiUrl . "?t=" . $timestamp;
        
        $encryptedData = $this->encryptData($params);
        $requestBody = json_encode(["data" => $encryptedData]);

        $ch = curl_init($url);
        curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
        curl_setopt($ch, CURLOPT_POST, true);
        curl_setopt($ch, CURLOPT_POSTFIELDS, $requestBody);
        curl_setopt($ch, CURLOPT_HTTPHEADER, [
            'Access-Id: ' . $this->accessId,
            'Content-Type: application/json'
        ]);
        curl_setopt($ch, CURLOPT_TIMEOUT, 10);

        $response = curl_exec($ch);
        curl_close($ch);

        $resData = json_decode($response, true);
        if (isset($resData['data'])) {
            $resData['data'] = json_decode($this->decryptData($resData['data']), true);
        }
        return $resData;
    }
}

// 使用示例
$client = new TianyuanApiClient('您的AccessId', '您的16进制AccessKey', 'https://api.tianyuanapi.com/api/v1/QYGL7C1A');
$params = [
    "EntCode" => "91110000X000000000",
    "PageSize" => 10,
    "PageNum" => 1
];
$result = $client->sendRequest($params);
print_r($result);
?>

3. 终端快捷验证 (cURL)

bash 复制代码

# 生成13位时间戳
TIMESTAMP=$(date +%s000)

curl -X POST "https://api.tianyuanapi.com/api/v1/QYGL7C1A?t=${TIMESTAMP}" \
     -H "Content-Type: application/json" \
     -H "Access-Id: YOUR_ACCESS_ID" \
     -d '{"data": "YOUR_ENCRYPTED_BASE64_STRING"}'

2. 核心经营异常数据解析与业务映射

以下是接口解密后返回的关键字段及其在系统中的业务映射逻辑：

字段名	类型	业务映射与说明
`abnormalDate`	string	列入日期（YYYY-MM-DD）。用于评估企业违规发生的时效，判断风险新旧。
`putReason`	string	列入原因（如：未按规定公示年报）。帮助风控引擎给供应商的风险行为定性。
`removeDate`	string/null	移出日期，若未移出则为 null。判断企业是否已完成整改，仍为 null 意味着处于非存续异常主体高风险状态。
`removeReason`	string	移出原因（如：按时补报年报）。反映企业对合规要求的补救力度。
`decisionDept`	string	作出决定机关。识别监管处罚级别。
`caseNumber`	string	决定书文号。留档作为尽职调查的重要凭据。

技术提示 ：在保存及展示敏感数据（如企业具体人员信息、联系方式等）时，务必在应用层或前端输出前进行脱敏处理（例如将法定代表人姓名处理为 张*明），以保障商业数据的隐私合规。

3. 场景化应用：让核验数据赋能合规闭环

在实际的B2B SaaS业务线中，经营异常预警接口能够赋能多个核心环节：

B2B供应商自动入驻审核：在供应商填写工商信息注册时，系统自动调用该接口核验其是否存在尚未移出的经营异常名录。如返回记录表明其存在严重的"履约隐患"，风控网关将执行前置准入校验，阻断其入驻流程并流转至人工复核池。
供应链金融资信评估：针对在平台上进行账期采购的活跃客户，系统在生成授信额度前，可定期排查其经营状态。一旦捕获到异常列入事件，系统便可自动冻结或下调其可用额度，降低平台的坏账及信用合规风险。
招投标资质动态监控：对于大型企业的线上招投标模块，持续监控中标候选人的工商经营状态至关重要。利用定时任务周期性轮询预警接口，可在签署电子合同前的一刻精准感知企业异动，从而避免将采购订单发往濒临吊销的异常实体。

4. 生产环境接入的安全与合规边界

在生产环境中进行深度集成时，开发者须严格遵守以下安全与合规边界：

隐私授权：对于此类工商与资质数据的查询，必须确保平台协议中包含企业信息查询相关的授权条款，确保数据查询行为具备充分的合规前提。
密文传输存储：通信全链路不仅需基于HTTPS，业务层还需严格执行AES-128-CBC双向加密。在数据库中落地存档的决定书文号或异常明细数据同样建议采取落盘加密。
限流控制 ：为了避免突发的并发查询（如年底集中对账时的全量查询）触发服务端流控，建议在网关层引入令牌桶限流，同时结合Redis对短期内重复查询的相同企业 EntCode 进行缓存，提升整体调用的健壮性。