CN104462893B - 多se模块管理方法和多se模块管理装置 - Google Patents

Abstract

本发明提出了一种多SE模块管理方法，用于终端，所述终端包括多个SE模块，包括：获取所述多个SE模块中每个SE模块的模块标识信息；建立与所述每个SE模块对应的访问控制规则缓存库和逻辑信道库，并使用所述每个SE模块的所述模块标识信息对所述访问控制规则缓存库和所述逻辑信道库进行标识；在接收到任一访问者对任一SE模块中任一应用程序的访问请求时，根据所述任一SE模块的目标模块标识信息从多个访问控制规则缓存库和逻辑信道库中选择出目标访问控制规则库和目标逻辑信道库。相应地，本发明还提供了一种多SE模块管理装置，通过本发明的技术方案，可以在一个NFC终端上实现对多个SE模块的有效管理，提高用户体验。

Description

多SE模块管理方法和多SE模块管理装置

技术领域

本发明涉及终端技术领域，具体而言，涉及一种多SE模块管理装置和一种多SE模块管理方法。

背景技术

现有支持NFC(近场通信)功能的移动终端有几种实现方案，如NFC-SWP，NFC-SD和全终端等。各种NFC方案的主要区别在于SE的集成方式上，如NFC-SWP方案将SE集成在用户智能卡中；NFC-SD方案将SE集成在SD存储卡中；全终端方案将SE集成在终端芯片中。

现有NFC终端仅支持一个SE模块，但为了顺应移动支付业务高速发展的需要，人们开始尝试在一个终端上集成多个SE模块的业务需求，但是，现有技术方案中，并没有相关技术可以实现对多个SE模块之间的应用的管理。

因此需要一种新的技术方案，可以在一个NFC终端上实现对多个SE模块的有效管理，提高用户体验。

发明内容

本发明正是基于上述问题，提出了一种新的技术方案，可以在一个NFC终端上实现对多个SE模块的有效管理，提高用户体验。

有鉴于此，本发明提出了一种多SE模块管理方法，用于终端，所述终端包括多个SE模块，包括：获取所述多个SE模块中每个SE模块的模块标识信息；建立与所述每个SE模块对应的访问控制规则缓存库和逻辑信道库，并使用所述每个SE模块的所述模块标识信息对所述访问控制规则缓存库和所述逻辑信道库进行标识；在接收到任一访问者对任一SE模块中任一应用程序的访问请求时，根据所述任一SE模块的目标模块标识信息从多个访问控制规则缓存库和逻辑信道库中选择出目标访问控制规则库和目标逻辑信道库。

在该技术方案中，通过模块标识来标识不同SE模块，并为每个SE模块建立对应的访问控制规则缓存库和逻辑信道库，并也用模块标识进行标识，这样，当终端接收到任一访问者的访问请求时，会根据访问请求想访问的SE模块的标识找到其对应的访问控制规则缓存库以及逻辑信道库，从而在通过访问控制规则缓存库鉴权后在对应的逻辑信道上完成与该SE模块的命令交互，以实现对多SE模块Applet应用的管理。

在上述技术方案中，优选地，还包括：在所述终端开机或在接收到任一访问者对任一SE模块中任一应用程序的访问请求时，从所述多个SE模块中读取最新的访问控制规则，以更新对应的访问控制规则缓存库。

在该技术方案中，终端会事先将SE模块中的访问控制规则缓存到终端的内存中，从而形成访问控制规则缓存库，以完成初始化工作，当其接收到访问者对SE中应用程序的访问请求时，会重新获取SE中的访问控制规则，并将新获取的访问控制规则与记录的访问控制规则进行对比，从而判断是否有增加的访问控制规则，在有新增的访问控制规则时，对记录的访问控制规则进行更新。这样，可以保证终端侧的访问控制规则缓存始终与SE中的访问控制规则一致，以完成对SE的安全访问控制的管理。

在上述技术方案中，优选地，还包括：从所述目标访问控制规则库中选择出与所述任一访问者的访问请求对应的目标访问控制规则；根据所述目标访问控制规则对所述任一访问者进行鉴权；在所述任一访问者鉴权通过时，根据所述任一应用程序的标识信息从所述目标逻辑信道库中选择出目标逻辑信道，以使用所述目标逻辑信道完成所述任一访问者和所述任一SE模块之间的命令交互。

在该技术方案中，在确定目标访问控制规则库和目标逻辑信道库之后，可以根据具体的访问请求确定对应的目标访问控制规则和目标逻辑信道，从而在通过目标访问控制规则鉴权后，使用目标逻辑信道完成任一访问者和任一SE模块之间的命令交互。其中，该目标逻辑信道只能用于此次业务，新的业务请求使用其他逻辑通道，直到此次业务结束，释放该逻辑通道该逻辑通道才能再次被使用。

在上述技术方案中，优选地，根据所述目标访问控制规则对所述任一访问者进行鉴权，具体包括：获取所述任一访问者的访问者信息，将所述访问者信息与所述目标访问控制规则进行匹配，以判断所述任一访问者是否有访问权限；在判断结果为所述任一访问者有访问权限时，判断所述任一访问者鉴权通过，在判断结果为所述任一访问者没有访问权限时，判断所述任一访问者鉴权未通过。

在该技术方案中，访问控制规则定义了哪个(或哪些)客户端应用可以访问哪个(或哪些)SE中的Applet应用程序，也可以定义允许访问的具体指令。将访问者信息和访问控制规则进行匹配，可以判断出访问者是否有访问权限，在访问者有访问权限时，允许其访问请求的对应资源，在访问者没有访问权限时，拒绝访问，并可提示用户非法访问，从而保证SE中数据的安全性。

在上述技术方案中，优选地，还包括：在所述任一访问者鉴权未通过时，拒绝所述任一访问者访问所述任一SE模块，并发出拒绝提示。

在该技术方案中，在访问者没有访问权限时，拒绝访问，并可提示用户非法访问，从而保证SE中数据的安全性。

根据本发明的另一方面，还提供了一种多SE模块管理装置，用于终端，所述终端包括多个SE模块，包括：获取单元，获取所述多个SE模块中每个SE模块的模块标识信息；标识单元，建立与所述每个SE模块对应的访问控制规则缓存库和逻辑信道库，并使用所述每个SE模块的所述模块标识信息对所述访问控制规则缓存库和所述逻辑信道库进行标识；选择单元，在接收到任一访问者对任一SE模块中任一应用程序的访问请求时，根据所述任一SE模块的目标模块标识信息从多个访问控制规则缓存库和逻辑信道库中选择出目标访问控制规则库和目标逻辑信道库。

在该技术方案中，通过模块标识来标识不同SE模块，并为每个SE模块建立对应的访问控制规则缓存库和逻辑信道库，并也用模块标识进行标识，这样，当终端接收到任一访问者的访问请求时，会根据访问请求想访问的SE模块的标识找到其对应的访问控制规则缓存库以及逻辑信道库，从而在通过访问控制规则缓存库鉴权后在对应的逻辑信道上完成与该SE模块的命令交互，以实现对多SE模块Applet应用的管理。

在上述技术方案中，优选地，还包括：更新单元，在所述终端开机或在接收到任一访问者对任一SE模块中任一应用程序的访问请求时，从所述多个SE模块中获取最新的访问控制规则，以更新对应的访问控制规则缓存库。

在该技术方案中，终端会事先将SE模块中的访问控制规则缓存到终端的内存中，从而形成访问控制规则缓存库，以完成初始化工作，当其接收到访问者对SE中应用程序的访问请求时，会重新获取SE中的访问控制规则，并将新获取的访问控制规则与记录的访问控制规则进行对比，从而判断是否有增加的访问控制规则，在有新增的访问控制规则时，对记录的访问控制规则进行更新。这样，可以保证终端侧的访问控制规则缓存始终与SE中的访问控制规则一致，以完成对SE的安全访问控制的管理。

在上述技术方案中，优选地，还包括：规则选择单元，从所述目标访问控制规则库中选择出与所述任一访问者的访问请求对应的目标访问控制规则；鉴权单元，根据所述目标访问控制规则对所述任一访问者进行鉴权；信道选择单元，在所述任一访问者鉴权通过时，根据所述任一应用程序的标识信息从所述目标逻辑信道库中选择出目标逻辑信道，以使用所述目标逻辑信道完成所述任一访问者和所述任一SE模块之间的命令交互。

在该技术方案中，在确定目标访问控制规则库和目标逻辑信道库之后，可以根据具体的访问请求确定对应的目标访问控制规则和目标逻辑信道，从而在通过目标访问控制规则鉴权后，使用目标逻辑信道完成任一访问者和任一SE模块之间的命令交互。其中，该目标逻辑信道只能用于此次业务，新的业务请求使用其他逻辑通道，直到此次业务结束，释放该逻辑通道该逻辑通道才能再次被使用。

在上述技术方案中，优选地，所述鉴权单元具体用于：获取所述任一访问者的访问者信息，将所述访问者信息与所述目标访问控制规则进行匹配，以判断所述任一访问者是否有访问权限；在判断结果为所述任一访问者有访问权限时，判断所述任一访问者鉴权通过，在判断结果为所述任一访问者没有访问权限时，判断所述任一访问者鉴权未通过。

在该技术方案中，访问控制规则定义了哪个(或哪些)客户端应用可以访问哪个(或哪些)SE中的Applet应用程序，也可以定义允许访问的具体指令。将访问者信息和访问控制规则进行匹配，可以判断出访问者是否有访问权限，在访问者有访问权限时，允许其访问请求的对应资源，在访问者没有访问权限时，拒绝访问，并可提示用户非法访问，从而保证SE中数据的安全性。

在上述技术方案中，优选地，还包括：提示单元，在所述任一访问者鉴权未通过时，拒绝所述任一访问者访问所述任一SE模块，并发出拒绝访问的提示。

在该技术方案中，在访问者没有访问权限时，拒绝访问，并可提示用户非法访问，从而保证SE中数据的安全性。

根据本发明的再一方面，还提供了一种终端，包括：多个SE模块；以及上述技术方案中任一项所述的多SE模块管理装置。终端具有和多SE模块管理装置相同的技术效果，在此不再赘述。

通过以上技术方案，可以在一个NFC终端上实现对多个SE模块的有效管理，提高用户体验。

附图说明

图1示出了根据本发明的实施例的多SE模块管理方法的流程图；

图2示出了根据本发明的实施例的多SE模块管理装置的框图；

图3示出了根据本发明的实施例的终端的结构图；

图4示出了根据本发明的一个实施例的多SE模块管理方法的具体流程图；

图5示出了根据本发明的另一个实施例的多SE模块管理方法的具体流程图。

具体实施方式

为了能够更清楚地理解本发明的上述目的、特征和优点，下面结合附图和具体实施方式对本发明进行进一步的详细描述。需要说明的是，在不冲突的情况下，本申请的实施例及实施例中的特征可以相互组合。

在下面的描述中阐述了很多具体细节以便于充分理解本发明，但是，本发明还可以采用其他不同于在此描述的其他方式来实施，因此，本发明的保护范围并不受下面公开的具体实施例的限制。

名词解释：

SE安全模块：SE是Security Element的缩写，主要用于存储NFC应用和用户敏感数据以及实现安全密钥运算的芯片模块；

SE Applet应用：特指存储在SE模块中的各类银行卡、身份卡、门禁卡等金融安全类应用以及个人化数据，如：招商银行卡，浦发银行卡，市政公交一卡通等等；

SE_ID：SE安全模块的标识，全网统一分配；

应用管理：特指对SE Applet应用的下载、更新、删除、查询等一系列操作。也可称为Applet应用管理等。

客户端应用：特指移动终端上运行的应用程序客户端，是一种应用软件，如手机钱包客户端等。

图1示出了根据本发明的实施例的多SE模块管理方法的流程图。

如图1所示，根据本发明的实施例的多SE模块管理方法，包括：步骤102，获取所述多个SE模块中每个SE模块的模块标识信息；步骤104，建立与所述每个SE模块对应的访问控制规则缓存库和逻辑信道库，并使用所述每个SE模块的所述模块标识信息对所述访问控制规则缓存库和所述逻辑信道库进行标识；步骤106，在接收到任一访问者对任一SE模块中任一应用程序的访问请求时，根据所述任一SE模块的目标模块标识信息从多个访问控制规则缓存库和逻辑信道库中选择出目标访问控制规则库和目标逻辑信道库。

在该技术方案中，通过模块标识来标识不同SE模块，并为每个SE模块建立对应的访问控制规则缓存库和逻辑信道库，并也用模块标识进行标识，这样，当终端接收到任一访问者的访问请求时，会根据访问请求想访问的SE模块的标识找到其对应的访问控制规则缓存库以及逻辑信道库，从而在通过访问控制规则缓存库鉴权后在对应的逻辑信道上完成与该SE模块的命令交互，以实现对多SE模块Applet应用的管理。

在上述技术方案中，优选地，还包括：在所述终端开机或在接收到任一访问者对任一SE模块中任一应用程序的访问请求时，从所述多个SE模块中读取最新的访问控制规则，以更新对应的访问控制规则缓存库。

在该技术方案中，终端会事先将SE模块中的访问控制规则缓存到终端的内存中，从而形成访问控制规则缓存库，以完成初始化工作，当其接收到访问者对SE中应用程序的访问请求时，会重新获取SE中的访问控制规则，并将新获取的访问控制规则与记录的访问控制规则进行对比，从而判断是否有增加的访问控制规则，在有新增的访问控制规则时，对记录的访问控制规则进行更新。这样，可以保证终端侧的访问控制规则缓存始终与SE中的访问控制规则一致，以完成对SE的安全访问控制的管理。

在上述技术方案中，优选地，还包括：从所述目标访问控制规则库中选择出与所述任一访问者的访问请求对应的目标访问控制规则；根据所述目标访问控制规则对所述任一访问者进行鉴权；在所述任一访问者鉴权通过时，根据所述任一应用程序的标识信息从所述目标逻辑信道库中选择出目标逻辑信道，以使用所述目标逻辑信道完成所述任一访问者和所述任一SE模块之间的命令交互。

在该技术方案中，在确定目标访问控制规则库和目标逻辑信道库之后，可以根据具体的访问请求确定对应的目标访问控制规则和目标逻辑信道，从而在通过目标访问控制规则鉴权后，使用目标逻辑信道完成任一访问者和任一SE模块之间的命令交互。其中，该目标逻辑信道只能用于此次业务，新的业务请求使用其他逻辑通道，直到此次业务结束，释放该逻辑通道该逻辑通道才能再次被使用。

在上述技术方案中，优选地，根据所述目标访问控制规则对所述任一访问者进行鉴权，具体包括：获取所述任一访问者的访问者信息，将所述访问者信息与所述目标访问控制规则进行匹配，以判断所述任一访问者是否有访问权限；在判断结果为所述任一访问者有访问权限时，判断所述任一访问者鉴权通过，在判断结果为所述任一访问者没有访问权限时，判断所述任一访问者鉴权未通过。

在该技术方案中，访问控制规则定义了哪个(或哪些)客户端应用可以访问哪个(或哪些)SE中的Applet应用程序，也可以定义允许访问的具体指令。将访问者信息和访问控制规则进行匹配，可以判断出访问者是否有访问权限，在访问者有访问权限时，允许其访问请求的对应资源，在访问者没有访问权限时，拒绝访问，并可提示用户非法访问，从而保证SE中数据的安全性。

在上述技术方案中，优选地，还包括：在所述任一访问者鉴权未通过时，拒绝所述任一访问者访问所述任一SE模块，并发出拒绝提示。

在该技术方案中，在访问者没有访问权限时，拒绝访问，并可提示用户非法访问，从而保证SE中数据的安全性。

图2示出了根据本发明的实施例的多SE模块管理装置的框图。

如图2所示，根据本发明的实施例的多SE模块管理装置200，包括：获取单元202，获取所述多个SE模块中每个SE模块的模块标识信息；标识单元204，建立与所述每个SE模块对应的访问控制规则缓存库和逻辑信道库，并使用所述每个SE模块的所述模块标识信息对所述访问控制规则缓存库和所述逻辑信道库进行标识；选择单元206，在接收到任一访问者对任一SE模块中任一应用程序的访问请求时，根据所述任一SE模块的目标模块标识信息从多个访问控制规则缓存库和逻辑信道库中选择出目标访问控制规则库和目标逻辑信道库。

在该技术方案中，通过模块标识来标识不同SE模块，并为每个SE模块建立对应的访问控制规则缓存库和逻辑信道库，并也用模块标识进行标识，这样，当终端接收到任一访问者的访问请求时，会根据访问请求想访问的SE模块的标识找到其对应的访问控制规则缓存库以及逻辑信道库，从而在通过访问控制规则缓存库鉴权后在对应的逻辑信道上完成与该SE模块的命令交互，以实现对多SE模块Applet应用的管理。

在上述技术方案中，优选地，还包括：更新单元208，在所述终端开机或在接收到任一访问者对任一SE模块中任一应用程序的访问请求时，从所述多个SE模块中获取最新的访问控制规则，以更新对应的访问控制规则缓存库。

在该技术方案中，终端会事先将SE模块中的访问控制规则缓存到终端的内存中，从而形成访问控制规则缓存库，以完成初始化工作，当其接收到访问者对SE中应用程序的访问请求时，会重新获取SE中的访问控制规则，并将新获取的访问控制规则与记录的访问控制规则进行对比，从而判断是否有增加的访问控制规则，在有新增的访问控制规则时，对记录的访问控制规则进行更新。这样，可以保证终端侧的访问控制规则缓存始终与SE中的访问控制规则一致，以完成对SE的安全访问控制的管理。

在上述技术方案中，优选地，还包括：规则选择单元210，从所述目标访问控制规则库中选择出与所述任一访问者的访问请求对应的目标访问控制规则；鉴权单元212，根据所述目标访问控制规则对所述任一访问者进行鉴权；信道选择单元214，在所述任一访问者鉴权通过时，根据所述任一应用程序的标识信息从所述目标逻辑信道库中选择出目标逻辑信道，以使用所述目标逻辑信道完成所述任一访问者和所述任一SE模块之间的命令交互。

在该技术方案中，在确定目标访问控制规则库和目标逻辑信道库之后，可以根据具体的访问请求确定对应的目标访问控制规则和目标逻辑信道，从而在通过目标访问控制规则鉴权后，使用目标逻辑信道完成任一访问者和任一SE模块之间的命令交互。其中，该目标逻辑信道只能用于此次业务，新的业务请求使用其他逻辑通道，直到此次业务结束，释放该逻辑通道该逻辑通道才能再次被使用。

在上述技术方案中，优选地，所述鉴权单元212具体用于：获取所述任一访问者的访问者信息，将所述访问者信息与所述目标访问控制规则进行匹配，以判断所述任一访问者是否有访问权限；在判断结果为所述任一访问者有访问权限时，判断所述任一访问者鉴权通过，在判断结果为所述任一访问者没有访问权限时，判断所述任一访问者鉴权未通过。

在该技术方案中，访问控制规则定义了哪个(或哪些)客户端应用可以访问哪个(或哪些)SE中的Applet应用程序，也可以定义允许访问的具体指令。将访问者信息和访问控制规则进行匹配，可以判断出访问者是否有访问权限，在访问者有访问权限时，允许其访问请求的对应资源，在访问者没有访问权限时，拒绝访问，并可提示用户非法访问，从而保证SE中数据的安全性。

在上述技术方案中，优选地，还包括：提示单元216，在所述任一访问者鉴权未通过时，拒绝所述任一访问者访问所述任一SE模块，并发出拒绝访问的提示。

在该技术方案中，在访问者没有访问权限时，拒绝访问，并可提示用户非法访问，从而保证SE中数据的安全性。

下面结合图3至图5详细说明本发明的技术方案。

图3示出了根据本发明的实施例的终端的结构图。

如图3所示，描述了本发明实现的基本实现框图。其中，应用程序客户端302是应用软件(即访问者)，如手机钱包客户端等，其会和某个或某些SE模块相对应；多SE访问接入304为应用程序客户端提供访问SE的接口，针对不同SE模块的访问用访问标识SE_ID来区分；访问控制规则服务306主要用于对SE的安全访问管理，阻止对SE资源的非授权访问和非法攻击，其中存储了每个SE模块的访问控制规则缓存库，不同SE模块的规则库用SE_ID来区分；适配层308负责将访问接入发送的命令适配发送到相应的SE中，实现客户端应用程序与SE之间的APDU命令交互。其中存储了使用逻辑信道库，用于管理使用中的逻辑信道。不同SE模块的使用逻辑信道库用SE_ID来区分。该模块会通过SE_ID和需要访问Applet应用的AID参数与SE模块建立逻辑信道，并将该逻辑信道存储在对应的使用逻辑信道库中，每个使用逻辑信道库可存储多个逻辑信道，以支持多业务并发的处理，可根据需要及SE模块的支持情况设定支持的最大逻辑信道个数；多SE模块310是集成了多个SE模块，每个SE集成的方式可以不同，也可以相同。每个SE模块用于存储了各类银行卡、身份卡、门禁卡等金融安全类应用以及用户的敏感数据(如密钥、余额等)。

本发明主要针对多SE模块的applet应用进行管理，多SE模块可按照业务需要进行组合，如支持双SWP-SIM卡的多SE的终端、支持单SWP-SIM卡且SD卡也集成SE的终端等等。

在图3中的访问控制规则服务306中会根据SE_ID来建立多个对应的访问控制规则缓存库，用于对每个SE模块的访问控制鉴权，实现对各SE模块的安全访问管理。各访问控制规则缓存库使用SE_ID来区分，各访问控制规则缓存库存储了具体的访问控制规则，这些规则定义了哪个(或哪些)客户端应用可以访问哪个(或哪些)SE Applet应用，也可以定义允许访问的具体指令。在终端开机初始化时或客户端应用程序需要访问SE模块时，终端会从SE模块中读取最新的访问控制规则存储在终端的访问控制规则缓存库中。另外在适配层310中还存储了使用逻辑信道库，为各SE模块管理使用中的逻辑信道，每个使用逻辑信道库可存储多个逻辑信道，以支持多业务并发的处理，可根据需要及SE模块的支持情况来设定支持的最大逻辑信道个数，各逻辑信道用逻辑信道号来标识。各SE模块的使用逻辑信道库使用SE_ID来区分。

如图4所示，根据本发明的实施例的多SE模块管理方法的具体流程包括：

步骤402，有客户端应用通过SE访问接入模块进行业务请求。

步骤404，根据客户端应用下发的SE_ID来更新对应的SE模块的访问控制规则缓存库。在访问控制规则服务306中缓存了多个访问控制规则缓存库，个数与SE模块的个数相同，由SE_ID来标识。

步骤406，规则更新后，使用对应的规则缓存库，对客户端应用进行鉴权。

步骤408，判断鉴权是否通过，在判断结果为是时，进入步骤410，否则，进入步骤412。

步骤410，在鉴权通过后，由适配层310通过SE_ID和需要访问Applet应用的AID参数与SE模块建立逻辑信道，逻辑信道存储在对应SE_ID的使用逻辑信道库中，建立的逻辑信道仅能用于此次业务，新业务请求使用其他逻辑信道，直到此次业务完成后，释放该逻辑信道，该逻辑信道才能再次被使用。最终访问SE的业务请求会在该逻辑信道上完成与SE模块的APDU命令交互。

步骤412，如鉴权未通过，则拒绝访问，并提示用户。

在图4中提到在鉴权通过后会通过SE_ID和需要访问Applet应用的AID参数与SE模块建立逻辑信道，下面以双SWP-SIM卡的多SE的终端为例来描述这一过程。

图5中的UICC1_SE是指集成在用户智能卡1中的SE模块，UICC2_SE是指集成在用户智能卡2中的SE模块，假设UICC1_SE的SE_ID为1，而UICC2_SE的SE_ID为2。其具体步骤包括：

步骤502，判断SE_ID是否为1，在判断结果为是时，进入步骤504，否则，进入步骤510。

步骤504，调用UICC1_SE的驱动接口向UICC1_SE模块发送建立逻辑信道的请求。

步骤506，UICC1_SE在建立逻辑信道成功后，返回逻辑信道号。

步骤508，终端将该逻辑信道号存储在对应的使用逻辑信道库中。

步骤510，判断SE_ID是否为2，在判断结果为是时，进入步骤512，否则，进入步骤520。

步骤512，调用UICC2_SE的驱动接口向UICC2_SE模块发送建立逻辑信道的请求。

步骤514，UICC2_SE在建立逻辑信道成功后，返回逻辑信道号。

步骤516，终端将该逻辑信道号存储在对应的使用逻辑信道库中。

步骤518，提示用户无效SE_ID，并禁止访问。

以上结合附图详细说明了本发明的技术方案，本发明主要通过SE_ID来标识不同SE模块，并为每个SE模块建立对应的访问控制规则缓存库和使用逻辑信道库，终端会根据SE_ID将客户端应用对某一SE模块的访问请求经访问控制规则缓存库鉴权后在对应的逻辑信道上完成与该SE模块的命令交互，以完成对多SE模块Applet应用的管理。通过本发明的技术方案，可使得在一个NFC终端上实现对多个SE模块的有效管理，提高用户体验。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (8)

1.一种多SE模块管理方法，用于终端，所述终端包括多个SE模块，其特征在于，包括：

获取所述多个SE模块中每个SE模块的模块标识信息；

建立与所述每个SE模块对应的访问控制规则缓存库和逻辑信道库，并使用所述每个SE模块的所述模块标识信息对所述访问控制规则缓存库和所述逻辑信道库进行标识；

在接收到任一访问者对任一SE模块中任一应用程序的访问请求时，根据所述任一SE模块的目标模块标识信息从多个访问控制规则缓存库和逻辑信道库中选择出目标访问控制规则库和目标逻辑信道库；

从所述目标访问控制规则库中选择出与所述任一访问者的访问请求对应的目标访问控制规则；

根据所述目标访问控制规则对所述任一访问者进行鉴权；

在所述任一访问者鉴权通过时，根据所述任一应用程序的标识信息从所述目标逻辑信道库中选择出目标逻辑信道，以使用所述目标逻辑信道完成所述任一访问者和所述任一SE模块之间的命令交互。

2.根据权利要求1所述的多SE模块管理方法，其特征在于，还包括：

在所述终端开机或在接收到任一访问者对任一SE模块中任一应用程序的访问请求时，从所述多个SE模块中读取最新的访问控制规则，以更新对应的访问控制规则缓存库。

3.根据权利要求1所述的多SE模块管理方法，其特征在于，根据所述目标访问控制规则对所述任一访问者进行鉴权，具体包括：

获取所述任一访问者的访问者信息，将所述访问者信息与所述目标访问控制规则进行匹配，以判断所述任一访问者是否有访问权限；

在判断结果为所述任一访问者有访问权限时，判断所述任一访问者鉴权通过，

在判断结果为所述任一访问者没有访问权限时，判断所述任一访问者鉴权未通过。

4.根据权利要求3所述的多SE模块管理方法，其特征在于，还包括：

在所述任一访问者鉴权未通过时，拒绝所述任一访问者访问所述任一SE模块，并发出拒绝提示。

5.一种多SE模块管理装置，用于终端，所述终端包括多个SE模块，其特征在于，包括：

获取单元，获取所述多个SE模块中每个SE模块的模块标识信息；

标识单元，建立与所述每个SE模块对应的访问控制规则缓存库和逻辑信道库，并使用所述每个SE模块的所述模块标识信息对所述访问控制规则缓存库和所述逻辑信道库进行标识；

选择单元，在接收到任一访问者对任一SE模块中任一应用程序的访问请求时，根据所述任一SE模块的目标模块标识信息从多个访问控制规则缓存库和逻辑信道库中选择出目标访问控制规则库和目标逻辑信道库；

规则选择单元，从所述目标访问控制规则库中选择出与所述任一访问者的访问请求对应的目标访问控制规则；

鉴权单元，根据所述目标访问控制规则对所述任一访问者进行鉴权；

信道选择单元，在所述任一访问者鉴权通过时，根据所述任一应用程序的标识信息从所述目标逻辑信道库中选择出目标逻辑信道，以使用所述目标逻辑信道完成所述任一访问者和所述任一SE模块之间的命令交互。

6.根据权利要求5所述的多SE模块管理装置，其特征在于，还包括：

更新单元，在所述终端开机或在接收到任一访问者对任一SE模块中任一应用程序的访问请求时，从所述多个SE模块中获取最新的访问控制规则，以更新对应的访问控制规则缓存库。

7.根据权利要求5所述的多SE模块管理装置，其特征在于，所述鉴权单元具体用于：

获取所述任一访问者的访问者信息，将所述访问者信息与所述目标访问控制规则进行匹配，以判断所述任一访问者是否有访问权限；

在判断结果为所述任一访问者有访问权限时，判断所述任一访问者鉴权通过，

在判断结果为所述任一访问者没有访问权限时，判断所述任一访问者鉴权未通过。

8.根据权利要求7所述的多SE模块管理装置，其特征在于，还包括：

提示单元，在所述任一访问者鉴权未通过时，拒绝所述任一访问者访问所述任一SE模块，并发出拒绝访问的提示。