4、设备注册与认证：一机一密认证流程、一型一密认证流程、动态注册实现、设备激活与状态管理

设备怎么证明「我是我」？这是物联网平台要解决的第一个问题。

我刚开始做智能照明项目时，客户问了个很实在的问题：「灯坏了换一个，难道还要重新烧录密钥？」嗯，这就是我们今天要聊的核心——设备注册与认证。说白了，就是让设备在平台上有个合法身份，并且能安全地证明自己。

4.1 一机一密认证流程

一机一密，顾名思义，每台设备出厂时就烧录了唯一的密钥。这个密钥通常是一对三元组：ProductKey、DeviceName、DeviceSecret。

认证流程大致如下：

1. 设备上电，读取本地存储的三元组
2. 构造MQTT连接请求，携带ProductKey和DeviceName
3. 平台根据DeviceName查找对应的DeviceSecret
4. 设备用DeviceSecret对随机数签名，平台验证签名
5. 验证通过，平台下发Token，后续通信使用Token

4.2 一型一密认证流程

一型一密就灵活多了。同一型号的设备共用一套密钥，设备首次联网时，用型号密钥动态获取自己的唯一凭证。

流程是这样的：

1. 设备出厂时只烧录ProductKey和ProductSecret（型号密钥）
2. 设备首次联网，用ProductSecret向平台发起注册请求
3. 平台生成唯一的DeviceName和DeviceSecret，返回给设备
4. 设备保存自己的三元组，后续认证走一机一密流程

4.3 动态注册实现

动态注册，说白了就是设备自己「上户口」。我习惯用MQTT协议来实现，因为MQTT在物联网场景下最通用。

下面是一个Python实现的动态注册示例：

import paho.mqtt.client as mqtt
import json
import hmac
import hashlib
import time

class DeviceDynamicRegister:
    def __init__(self, product_key, product_secret):
        self.product_key = product_key
        self.product_secret = product_secret
        self.client = None
        
    def _generate_signature(self, random_str):
        """生成签名，用于身份验证"""
        message = f"{self.product_key}{random_str}"
        return hmac.new(
            self.product_secret.encode(),
            message.encode(),
            hashlib.sha256
        ).hexdigest()
    
    def register(self):
        """执行动态注册"""
        # 构造注册请求
        random_str = str(int(time.time()))
        sign = self._generate_signature(random_str)
        
        payload = {
            "productKey": self.product_key,
            "random": random_str,
            "signMethod": "hmacsha256",
            "sign": sign
        }
        
        # 发送注册请求到平台
        # 这里假设平台注册主题为 /sys/{productKey}/device/register
        self.client = mqtt.Client()
        self.client.connect("iot-platform.example.com", 1883, 60)
        
        # 发布注册请求
        topic = f"/sys/{self.product_key}/device/register"
        self.client.publish(topic, json.dumps(payload))
        
        # 等待平台响应，获取DeviceName和DeviceSecret
        # 实际项目中需要实现回调处理
        print("动态注册请求已发送，等待平台响应...")
        
    def save_credentials(self, device_name, device_secret):
        """保存设备凭证到本地"""
        credentials = {
            "productKey": self.product_key,
            "deviceName": device_name,
            "deviceSecret": device_secret
        }
        with open("device_credentials.json", "w") as f:
            json.dump(credentials, f)
        print("设备凭证已保存到本地")

# 使用示例
register = DeviceDynamicRegister("a1b2c3d4", "secret123")
register.register()

4.4 设备激活与状态管理

设备注册成功后，还需要激活才能正式工作。激活，说白了就是设备第一次成功连接平台并上报数据。

状态管理通常包含这几个状态：

状态	说明	触发条件
未注册	设备在平台没有记录	出厂默认状态
已注册	设备信息已录入平台	动态注册或手动添加完成
已激活	设备首次成功连接	设备上线并上报数据
在线	设备当前保持连接	心跳正常
离线	设备断开连接	心跳超时或主动断开
已禁用	平台禁止设备接入	管理员操作或安全策略

我建议在平台端维护一个设备状态机。每次状态变更都记录时间戳，方便排查问题。

嗯，这里要注意一点：设备离线后重新上线，不需要重新激活。激活是一次性的，后续只需要走正常的认证流程就行。我见过有团队把激活和认证搞混，每次重连都重新激活，结果设备状态乱成一锅粥。

你想想看，如果一盏灯每次断电重启都要重新激活，那用户得多崩溃？所以，激活状态要持久化存储，设备重启后直接读取本地凭证，走一机一密认证就行。

最后，关于状态管理，我个人的习惯是用Redis来缓存设备在线状态。因为设备上下线很频繁，用数据库扛不住。Redis的过期时间正好可以用来做心跳超时检测，一举两得。