开放银行(Open Banking)API与数据共享实务
0 阅读
开放银行PSD2API标准OAuth2mTLS数据共享
开放银行API标准(PSD2/OBIE)、数据共享架构、安全认证(OAuth2/mTLS)与第三方服务商(TPP)管理实务
一、开放银行监管框架
| 维度 | 欧盟PSD2 | 英国OBIE | 中国实践 |
|---|---|---|---|
| 法律效力 | 直接生效的指令(2018年实施) | 自愿+竞争驱动(2017年启动) | 指导意见为主(2020年《金融数据安全》) |
| 数据范围 | 账户信息(AISP)+支付发起(PISP) | 账户/交易/产品/分支机构 | 公共数据+部分账户数据 |
| 技术标准 | Berlin Group NextGenPSD2 API | OBIE API Standard v3.1 | 各行自有API+中国银联标准 |
| 安全要求 | 强客户认证(SCA)+mTLS | OAuth2+FAPI | 等保三级+国密算法 |
| 监管主体 | EBA+各国主管当局 | FCA+CMA | 人民银行+银保监会 |
二、开放银行API架构设计
| API层级 | 功能 | 端点示例 | 认证方式 |
|---|---|---|---|
| 账户信息API(AISP) | 获取账户列表/余额/交易明细 | GET /accounts/{id}/balances | OAuth2授权码+SCA |
| 支付发起API(PISP) | 发起单笔/批量支付 | POST /payment-orders | OAuth2+SCA+签名 |
| 产品信息API | 查询金融产品/利率/费率 | GET /products/savings | API Key(公开数据) |
| 客户验证API | KYC/身份验证 | POST /kyc/verify | mTLS+OAuth2 |
三、安全认证流程
| 步骤 | 操作 | 技术实现 | 安全要求 |
|---|---|---|---|
| 1.TPP注册 | 第三方服务商向银行注册 | X.509证书颁发+API Key生成 | 验证TPP资质+反洗钱审查 |
| 2.用户授权 | 客户同意数据共享 | OAuth2授权码流程+跳转银行页面 | 明确授权范围+有效期+可撤销 |
| 3.强客户认证(SCA) | 双因素认证 | SMS验证码+生物识别/密码 | 满足PSD2 SCA要求(知识+持有+固有) |
| 4.API调用 | TPP访问银行API | mTLS双向证书认证+Bearer Token | Token有效期≤5分钟+证书定期轮换 |
| 5.数据加密 | 传输与存储加密 | TLS1.3+AES-256 | 敏感字段脱敏+日志不记录明文 |
四、中国开放银行实践模式
| 模式 | 特点 | 代表银行 | API数量 |
|---|---|---|---|
| 银行自建API平台 | 银行独立开发+对外开放 | 招商银行/浦发银行 | 200-500个 |
| 银联云闪付开放平台 | 银联主导+银行参与 | 中国银联 | 100+个支付类API |
| 金融科技合作模式 | 银行+科技公司联合运营 | 微众银行+腾讯 | 场景化定制API |