DB36／T 1476-2021  碳普惠平台建设技术规范

应为平台的运行提供基础服务支撑，包括日志采集服务、统一身份认证、统一支付服务、缓存服务 数据交换服务、物流跟踪服务及服务网关等

应为平台用户、平台运营方、平台入驻商户提供应用服务，由商城平台、支付平台、应用服务 组成。

应为平台用户、平台运营方、平台入驻商户提供包括PC端和移动端多种访问方式，支持各和 动终端设备。

防火标准规范范本DB36/T 1476202

6.1.1应包括PC端后台管理功能和移动端APP应用程序、小程序功能，PC端应采用B/S访问方式， 移动端应同时支持Android、苹果IOS和华为鸿蒙系统。 6.1.2应包括应用服务功能，可包括但不限于低碳应用、便民服务应用及营销工具应用。 6.1.3应包括碳普惠商城平台相关功能，包括移动商城、商城商户管理系统、商城运营管理系统。 6.1.4应包括碳普惠支付平台相关功能，包括电子钱包、支付平台商户管理系统、支付平台运营管理 系统，可支持多家银行电子钱包，电子钱包应支持通用账户和专款专用账户。

6.2.1低碳行为应用

将平台用户低碳行为转化为减碳量及碳积分，主要包括绿色出行、绿色消费、绿色生活、绿色公益 等可记录用户低碳行为数据的应用。

6.2.2便民服务应用

可为平台用户提供涉及日常出行、信息查询、网上缴费、无感停车缴费、智慧物业、家政等便民服 务

6.2.3营销工具应用

可包括但不限于朋友圈分享等多种营销功能

6.3.1.1应为平台用户提供便捷的网上购物服务，支持商品浏览、在线购买、线上支付、商品退货、 订单物流查询、服务评价等。 6.3.1.2应提供碳积分优惠兑换专区和绿色消费积分专区服务。 6.3.1.3应包括但不限于商品搜索、购物车、在线支付、订单管理、收货地址管理、退货管理、碳积 分优惠专区、普惠商品专区、物流查询、碳积分查询、服务评价等，

6.3.2商户后台管理

6.3.2.1应为平台入驻商户提供日常门店运营管理功能，商家可上架本店经营许可范围内的各类商品， 厂解每日商品销售情况，并为平台用户提供商品咨询、商品退换货等服务。 6.3.2.2应包括但不限于商品管理、订单管理、用户统计、服务评价管理、订单统计、结算统计、优 惠券管理、退货管理、物流跟踪、会员管理等

6.3.3平台运营后台管理

应为平台入驻商户提供日常运营管理功能，包括商户入驻审核、商品分类管理、营销活动策划管理、 广告发布管理及各类运营数据统计分析等。

DB36/T14762021

6.4.2支付平台商户管理

6.4.3支付平台运营管理

7.1碳普惠平台和第三方应用平台接口数据交互方式应采用HTTPS协议，并以POST请求方式提交，请 求数据与返回数据均使用JSON格式，参见附录A。 7.2敏感数据的传输应进行加密处理，依据GB/T35276、GB/T32905、GB/T32907的要求采用SM2、 SM3、SM4国密算法加密，

应满足GB/T22239安全等级保护基本要求并根据GB/T22240安全防护等级三级标准设计，需通过 第三方检测机构的安全性评测

8. 2. 1访问控制

2.1.1应控制不同用户在不同数据、不同业务环节上的查询、添加、修改、删除的权限，提供 L地址、Service接口、IP地址的控制能力，提供Session的超时控制。 2.1.2应限制登录失败次数，避免客户密码遭到窃取。

8. 2. 2 数据库系统

8.2.2.1应通过系统权限、数据权限、角色权限管理，建立数据库系统的权限控制机制，任何业务终 端不应直接访问数据库服务器，应通过Web服务器或接口服务器访问数据库服务器，并设置严格的数据 库访间权限， 3.2.2.2应建立完备的数据修改日志，通过安全审计记录追踪用户对数据库的操作，明确对数据库的 安全责任。

DB36/T 1476202

应通过信息加密、数字签名、身份认证等措施综合解决信息的机密性、完整性、身份真实性和操作 的不可否认性间题。

立配备防火墙、人侵检测等安全设备，保证网络免受攻击和非法访问，防正外部入侵，确保网络 行和传输的安全。

8. 3. 2主机系统

应选用Linux操作系统或国产操作系统， 定期扫描操作系统安全漏洞并及时给系统打补丁 选用国产杀毒软件和攻击防御系统软件对主机系统进行安全防护。

8.4.1应对所有数据进行定期备份，可采用定期全备份、差分备份、按需备份、异地备份和增量备份 的策略，来保证数据的安全。 8.4.2应对口令等敏感数据进行加密存储，对敏感数据做脱敏处理，参见附录B。 3.4.3应将加密密钥与加密数据分开进行存储，并对密钥进行严格的访问。 3.4.4应保护用户隐私，用户信息安全管理应符合GB/T35273的要求

9.2.1应定期评估存储设施及软件平台的性能，确认数据存储的安全等级，保证数据存储设 器设备、集群系统、存储阵列、存储网络等以及支撑数据存储设施运行的软件平台的安全性、 可用性，保证存储数据的安全。 9.2.2应制定故障应急预案，及时消除故障隐患，保障信息系统的安全、稳定、持续运行

9.2.2应制定故障应急预案，及时消除故障隐患，保障信息系统的安全、稳定、持续运行。

应定期评估系统平台，保证操作系统、数据库系统、中间件、其他支撑应用软件系统及网络协议 全性，及时处理安全漏洞。

应对系统的安全威胁、脆弱性、漏洞以及安全管理进行评估，制定风险应对策略和风险处理机制 消除或弱化风险，将残余风险控制在可控范围内，

应制定病毒防护和恢复策略，定期评估病毒影响，采取相应的病毒防护措施，制定病毒事件处理

DB36/T1476202

竣工资料DB36/T 1476202

DB36/T14762021

DB36/T 1476202

B.1具体数据脱敏规则见表B.1

水利常用表格表B.1数据脱敏规则

表B.1数据脱敏规则