零信任架构实战：基于天远名下企业A构建自动化商户合规网关

破解自由职业者平台商户准入痛点：从传统人工核查到数据直连

在当今繁荣的自由职业者平台及灵活用工业务中，平台方迫切需要对入驻的企业客户或发包方进行真实资质与关联背景的严格核对，以防范履约隐患。传统的企业资质核验依赖于人工审核营业执照截图或手动查询工商信息，这种方式不仅流程冗长、效率低下，且极易出现信息不匹配资质的情况，难以满足平台实时动态审核的诉求。

通过系统直连权威数据库，在获得用户授权的前提下，平台系统只需传入目标人员的身份证号（id_card），即可穿透查询该人员名下关联的企业基本信息、持股情况以及行政处罚记录。接口响应中返回的 regStatus（企业状态）、industry（行业）以及 dishonestExecutedPerson（失信被执行人记录）等客观数据维度，能精准反馈该企业关联人的真实资信状况。

将这套合规核查动作无缝嵌入到平台的发包方入驻微服务网关中，可以实现前置自动化校验与业务顺畅流转。一旦发现异常的失信记录或非存续异常主体，系统便能及时发起人工复核提醒，有效保障自由职业者的合法权益。

1. PHP 加密通信集成：构建高可用审核管道

1. 核心参数与加密配置

接口地址 : https://api.tianyuanapi.com/api/v1/QYGLVR76 (需在 URL 附加 ?t=13位时间戳)
请求方式 : POST
请求头 :
- Access-Id: 账号的 Access-Id (必填)
- Content-Type: application/json
关键入参 :
- id_card: 身份证号（必填）
鉴权与加密机制 : 使用账户的 16 进制 Access Key 作为密钥，采用 AES-128 算法的 CBC 模式。每次请求需动态生成 16 字节的 IV（初始化向量），并配合 PKCS7 填充，最终将 IV 与密文拼接后进行 Base64 编码放入请求体 data 字段中。

2. 标准化调用代码 (PHP)

php 复制代码

<?php
class TianyuanApiClient {
    private $accessId;
    private $accessKey;
    private $apiUrl;

    public function __construct($accessId, $accessKey, $apiUrl) {
        $this->accessId = $accessId;
        $this->accessKey = $accessKey;
        $this->apiUrl = $apiUrl;
    }

    private function encrypt($data) {
        $iv = random_bytes(16);
        $encrypted = openssl_encrypt($data, 'aes-128-cbc', $this->accessKey, OPENSSL_RAW_DATA, $iv);
        return base64_encode($iv . $encrypted);
    }

    private function decrypt($base64Data) {
        $data = base64_decode($base64Data);
        $iv = substr($data, 0, 16);
        $encrypted = substr($data, 16);
        return openssl_decrypt($encrypted, 'aes-128-cbc', $this->accessKey, OPENSSL_RAW_DATA, $iv);
    }

    public function request($params) {
        $encryptedData = $this->encrypt(json_encode($params));
        $requestBody = json_encode(['data' => $encryptedData]);
        
        $timestamp = (int)(microtime(true) * 1000);
        $url = $this->apiUrl . "?t=" . $timestamp;
        
        $ch = curl_init($url);
        curl_setopt($ch, CURLOPT_POST, true);
        curl_setopt($ch, CURLOPT_POSTFIELDS, $requestBody);
        curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
        curl_setopt($ch, CURLOPT_HTTPHEADER, [
            'Content-Type: application/json',
            'Access-Id: ' . $this->accessId
        ]);
        
        $response = curl_exec($ch);
        curl_close($ch);
        
        $result = json_decode($response, true);
        if (isset($result['data']) && !empty($result['data'])) {
            $result['decrypted_data'] = json_decode($this->decrypt($result['data']), true);
        }
        
        return $result;
    }
}

// 示例调用
$client = new TianyuanApiClient("YOUR_ACCESS_ID", "YOUR_ACCESS_KEY", "https://api.tianyuanapi.com/api/v1/QYGLVR76");
$response = $client->request(["id_card" => "110105199001011234"]);
print_r($response);

3. 终端快捷验证 (cURL)

bash 复制代码

# 生成加密请求体并调用（示意代码，实际由于动态IV需使用脚本完成加密）
curl -X POST "https://api.tianyuanapi.com/api/v1/QYGLVR76?t=1695024000000" \
     -H "Access-Id: YOUR_ACCESS_ID" \
     -H "Content-Type: application/json" \
     -d '{"data": "base64加密字符串..."}'

2. 核心企业数据解析与业务映射

以下是接口返回的典型加密字段解析后内容映射，供业务侧核对：

regStatus: 企业状态（如存续、注销等），用于识别企业活跃度。
creditCode: 统一社会信用代码。
name: 关联企业名。
stockholder: 持股信息（investRate 占比，subscriptAmt 出资金额）。
adminPenalty: 行政处罚信息，用以侧面评估信用合规。
dishonestExecutedPerson: 失信被执行记录（含 performance 履行情况），关键资信评估依据。

技术提示 ：在保存日志或前台展示时，务必对关联人员姓名、证件号等进行 PII 字段脱敏，例如显示为 110****1234，确保持续符合数据安全规范。

3. 场景化应用：让核验数据赋能合规闭环

场景一：发包方前置准入校验

在发包方首次提交入驻申请时，平台系统通过接口实时校验法人身份关联的企业状态。若系统判定为非存续异常主体，则自动驳回请求并引导补充验证；若显示正常，则流转至下一步签署服务协议。

场景二：交易履约隐患排查

针对平台上订单金额大、发包频繁的企业客户，系统可定时拉取其失信和被执行记录。一旦发现新增的行政处罚或失信执行事件，系统可通过合规审查规则进行降权处理，防范潜在的履约隐患。

4. 生产环境接入的安全与合规边界

隐私授权：在调用接口前，务必通过数字协议等方式获得用户关于身份信息查询及信用核验的明确授权。
密文传输存储：通信全链路必须依赖 AES-128-CBC 与 HTTPS 的双重加密，关键数据落地数据库时应当加密存储。
限流控制：对于高频发起的身份校验请求，应当在 API 网关层面部署合理的限流与风控防刷策略，过滤异常高频试探行为。