零信任架构实战：基于天远企业四要素验证构建自动化供应商准入网关

破解B2B供应链准入痛点：从依赖人工复核到数据穿透直连

在 AI 驱动的 B2B 供应链管理体系中，供应商准入流水线（Supplier Verification Pipeline）的合规性审查是业务运转的核心基石。随着电商平台与大型制造企业采购规模的指数级扩张，海量异动企业主体的涌现给合规审核带来了巨大的挑战。传统的审核模式严重依赖运营人员线下收取营业执照扫描件并进行人工比对，这种方式不仅流程冗长、效率低下，且极易因人为疏漏或信息不匹配资质而导致信用合规隐患。面对高并发的供应链网络，企业迫切需要一种能够前置准入校验、实时核验企业工商要素的自动化解决方案。

天远企业四要素验证接口的引入，为上述复杂的业务场景提供了强有力的数据穿透价值。在获得企业充分授权的前提下，风控网关只需将提取出的企业名称（ent_name）、统一社会信用代码（ent_code）、法定代表人姓名（legal_person）及其身份证号（id_card）作为入参发起请求。系统直连权威机构数据库，并通过高强度的 AES 算法解密，可精准带回 companyName（公司名称是否一致）、creditNo（信用代码是否一致）等核心核验字段。这些客观的数据结果，为构建智能化的供应商评级、准入门槛设定与动态风控策略提供了坚实可靠的数据依据。

将这种合规审查动作无缝嵌入 Python 微服务架构，能够真正实现自动化合规审查体系的闭环。借助自动化的接口调用，供应链系统可在供应商提交入驻申请的瞬间完成核心信息的一致性校验，对完全匹配的主体直接放行进入后续业务流，对要素不符的主体则触发人工复核提醒。这不仅显著提升了审核效率，降低了履约风险，更为 B2B 贸易创造了更加顺畅、安全的数字化体验。

1. Python 加密通信集成：构建高可用审核管道

1. 核心参数与加密配置

• 接口地址 : https://api.tianyuanapi.com/api/v1/QYGL4YAB (需在 URL 附加 ?t=13位时间戳)
• 请求方式 : POST
• 请求头 :
  • Access-Id: 账号的 Access-Id (必填)
  • Content-Type: application/json
• 关键入参 :
  • ent_name: 企业名称（必填）
  • ent_code: 企业统一信用代码（必填）
  • legal_person: 法人姓名（必填）
  • id_card: 法人身份证号码（必填）
• 鉴权与加密机制 : 使用账户的 16 进制 Access Key 作为密钥，采用 AES-128 算法的 CBC 模式。每次请求需动态生成 16 字节的 IV（初始化向量），并配合 PKCS7 填充，最终将 IV 与密文拼接后进行 Base64 编码放入请求体 data 字段中。

2. 标准化调用代码 (Python)

import time
import json
import base64
import requests
import os
from Cryptodome.Cipher import AES
from Cryptodome.Util.Padding import pad, unpad

# 基础配置
API_URL = "https://api.tianyuanapi.com/api/v1/QYGL4YAB"
ACCESS_ID = "your_access_id_here"
ACCESS_KEY_HEX = "your_16_hex_access_key"  # 16进制格式密钥

def encrypt_payload(data: dict, hex_key: str) -> str:
    """AES-128-CBC 加密并返回 Base64 编码"""
    key = bytes.fromhex(hex_key)
    iv = os.urandom(16)
    cipher = AES.new(key, AES.MODE_CBC, iv)
    padded_data = pad(json.dumps(data).encode('utf-8'), AES.block_size)
    ciphertext = cipher.encrypt(padded_data)
    return base64.b64encode(iv + ciphertext).decode('utf-8')

def decrypt_response(base64_str: str, hex_key: str) -> str:
    """Base64 解码后进行 AES-128-CBC 解密"""
    key = bytes.fromhex(hex_key)
    encrypted_bytes = base64.b64decode(base64_str)
    iv = encrypted_bytes[:16]
    ciphertext = encrypted_bytes[16:]
    cipher = AES.new(key, AES.MODE_CBC, iv)
    decrypted_padded = cipher.decrypt(ciphertext)
    return unpad(decrypted_padded, AES.block_size).decode('utf-8')

def main():
    timestamp = str(int(time.time() * 1000))
    request_url = f"{API_URL}?t={timestamp}"
    
    headers = {
        "Access-Id": ACCESS_ID,
        "Content-Type": "application/json"
    }
    
    # 业务入参
    payload = {
        "ent_name": "北京测试科技有限公司",
        "ent_code": "911100000000000000",
        "legal_person": "张三",
        "id_card": "110105199001011234"
    }
    
    # 构建加密请求体
    encrypted_data = encrypt_payload(payload, ACCESS_KEY_HEX)
    req_body = {"data": encrypted_data}
    
    try:
        response = requests.post(request_url, headers=headers, json=req_body)
        resp_json = response.json()
        
        if resp_json.get("code") == 200:
            decrypted_result = decrypt_response(resp_json["data"], ACCESS_KEY_HEX)
            print("校验成功，业务数据:", decrypted_result)
        else:
            print(f"请求异常: {resp_json.get('message')} (流水号: {resp_json.get('transaction_id')})")
    except Exception as e:
        print("调用过程发生错误:", str(e))

if __name__ == "__main__":
    main()

3. 终端快捷验证 (cURL)

curl -X POST "https://api.tianyuanapi.com/api/v1/QYGL4YAB?t=1710000000000" \
     -H "Access-Id: your_access_id" \
     -H "Content-Type: application/json" \
     -d '{"data": "iv_and_encrypted_payload_in_base64_format"}'

2. 核心要素验证数据解析与业务映射

以下为接口解密后返回的关键字段说明，这些字段构成了企业要素一致性评估的核心依据：

字段名	类型	业务说明
companyName	string	公司名称是否一致
creditNo	string	统一信用代码是否一致
legalPerson	string	法人姓名是否一致
idCard	string	身份证号是否一致

技术提示 ：在将业务数据落库存盘或在运维面板展示时，务必对 idCard（身份证号）及 legalPerson（法人姓名）等敏感 PII 信息进行脱敏处理（例如：110105********1234），严格遵循数据安全合规准则。

3. 场景化应用：让核验数据赋能合规闭环

在实际的业务流水线中，该接口的验证结果可灵活支撑多种合规场景：

• B2B 供应商自动入驻分流：在新供应商注册阶段，网关截获工商填报信息并调用该接口。若四个要素全部一致，系统自动为其开启绿色通道完成准入；若发现非存续异常主体或信息错漏，则立即拦截入驻动作并提示更新资料，确保底层商业生态健康。
• 高净值企业信贷资信评估：针对中小微企业的供应链融资需求，风控系统可在审批流前端引入核验环节。通过确保申请人身份与其宣称的企业法人身份高度绑定，可有效识别并阻断履约风险，强化风控模型的数据可信度。

4. 生产环境接入的安全与合规边界

在将 API 集成至核心生成环境时，开发团队需恪守以下底线要求：

1. 隐私授权合规：调用接口前，必须确保已通过用户协议或隐私政策等合规流程，取得所核验企业及法人的明确授权，坚决抵制任何未授权的数据查询。
2. 密文传输存储：通信全链路严格采用 AES 加密机制传输数据，落库时不仅要做日志脱敏，也应避免以明文形式存储完整的身份证号及统一社会信用代码。
3. 限流降级控制：鉴于业务流水线的瞬时高并发特征，必须在 API 网关处配置合理的请求速率限制（Rate Limiting），并设置优雅的超时降级策略，防范大批量无效查询冲击底层服务。