CN102722500B - 一种虚拟文件系统及其实现方法 - Google Patents

Abstract

本发明公开一种虚拟文件系统及其实现方法。该虚拟文件系统包括：应用程序权限数据库，用于存储应用程序的文件权限信息；系统植入模块，用于实现与操作系统内核的文件系统的对接；文件系统流转引擎根据所述应用程序权限数据库存储的应用程序的文件权限信息拒绝或者允许应用程序的文件操作，当允许应用程序的文件操作时，通过文件流转引擎拦截或转发文件操作。通过在文件系统和应用程序之间引入虚拟层，在应用程序尝试获取文件系统中数据时，需要经过本专利中的虚拟层模块，根据其应用程序所拥有的权限，通过对文件系统请求进行转发、重定向、在给定权限中执行等操作。

Description

一种虚拟文件系统及其实现方法

技术领域

本发明涉及系统虚拟化技术，尤其涉及一种虚拟文件系统及其实现方法。

背景技术

文件系统的诞生是和计算机发展路线相辅相成的。早期，采用通过具体操作硬件接口直接读取存储媒介的办法，不同应用、不同硬件采用不同的存储办法。后来引入了简单文件系统如FAT(File AllocationTable，文件分配表)分区等，实现了简单的文件管理。再往后，操作系统中集合了文件系统功能，并将文件系统管理功能形成了现在通用的结构。但是，文件系统的基本功能目标从诞生之初就没有变化，即仅仅是一个文件信息的索引存储，难以适应现代化的业务需求。

Linux中提供了VFS(Virtual File System，虚拟文件系统)功能，能够让操作系统在同一的API(Application Programming Interface，应用程序编程接口)接口下，实现对不同文件存储媒介的访问，如磁盘、磁带、Flash存储等，也可以实现对同一媒介中不同磁盘分区的访问，如NTFS(New Technology File System，新技术文件系统)、EXT2、Yaffs、NFS(Network File System，网络文件系统)等，较传统操作系统有进步，但是还是无法实现更迅速的业务变更和业务支撑能力。

当前的文件系统中，应用程序通过API可以直接访问目录结构和文件信息，对于应用程序的内容访问控制、安全权限访问控制功能则有局限，无法精确控制应用程序所能访问的资源。

在当前的嵌入式开发中，开源代码的应用越来越广泛，但是不同开源代码架设的系统环境不尽相同，为移植带来了困扰，也带来了安全隐患。

发明内容

本发明要解决的一个技术问题是提供一种虚拟文件系统，可以提高系统安全性。

本发明提供一种虚拟文件系统，包括：

应用程序权限数据库，用于存储应用程序的文件权限信息；

系统植入模块，用于实现与操作系统内核的文件系统的对接，实现用户接口同原操作系统的用户系统匹配、对操作系统内核的文件系统的文件操作进行封装；

文件系统流转引擎，用于接收来自应用程序的文件操作请求，根据所述应用程序权限数据库存储的应用程序的文件权限信息拒绝或者允许应用程序的所述文件操作，当允许应用程序的所述文件操作时，通过所述系统植入模块实现所述文件操作。

根据本发明的虚拟文件系统的一个实施例，文件系统流转引擎还根据应用程序的文件权限信息对文件内容执行过滤文件操作。

根据本发明的虚拟文件系统的一个实施例，还包括文件映射数据库，用于存储应用程序的文件映射位置；所述文件系统流转引擎还用于根据所述文件映射数据库存储的应用程序的文件映射位置进行转发文件操作。

根据本发明的虚拟文件系统的一个实施例，还包括兼容数据库，用于存储不同操作系统之间文件系统环境的差别和兼容性方式；所述文件系统流转引擎根据所述兼容数据库存储的信息实现所述应用程序的文件操作对不同操作系统的兼容。

根据本发明的虚拟文件系统的一个实施例，虚拟文件系统基于中间件虚拟机实现，或者在嵌入式LINUX系统中通过扩展VFS实现，也能其他操作系统(ucOS、vxworks等)的文件系统中扩展实现。

本发明的虚拟文件系统，由文件系统流转引擎基于应用程序权利数据库存储的应用程序的文件权限信息对应用程序的文件操作请求进行权限控制，提高了对应用程序的文件操作的安全性。

本发明要解决的一个技术问题是提供一种虚拟文件系统的实现方法，可以提高系统安全性。

本发明提供一种虚拟文件系统的实现方法，包括：

接收来自应用程序的文件操作请求；

根据存储的应用程序的文件权限信息拒绝或者允许应用程序的所述文件操作；

当允许应用程序的所述文件操作时，通过文件流转引擎拦截或转发所述文件操作。

本发明提供一种虚拟文件系统的实现方法的一个实施例，还包括：根据应用程序的文件权限信息对文件内容执行过滤文件操作。

本发明提供一种虚拟文件系统的实现方法的一个实施例，还包括：根据文件映射数据库存储的应用程序的文件映射位置进行转发文件操作。

本发明提供一种虚拟文件系统的实现方法的一个实施例，还包括：通过兼容数据库存储不同操作系统之间文件系统环境的差别和兼容性方式；根据所述兼容数据库存储的信息实现拦截所述应用程序的文件操作，改写其面向的文件目录视图，实现对不同操作系统的兼容。

本发明提供一种虚拟文件系统的实现方法的一个实施例，虚拟文件系统基于中间件虚拟机实现，或者在LINUX系统中通过扩展VFS实现。

本发明提供的虚拟文件系统的实现方法，基于应用程序的文件权限信息对应用程序的文件操作进行控制，提高了应用程序的文件操作的安全性。

附图说明

图1示出本发明的虚拟文件系统的一个实施例的结构图；

图2示出本发明的虚拟文件系统的一个实施例在系统中位置图示；

图3示出本发明的虚拟文件系统的一个实施例的层次逻辑图；

图4示出本发明的虚拟文件系统的实现方法的一个实施例的流程图；

图5示出本发明的虚拟文件系统的实现方法的另一个实施例的流程图。

具体实施方式

下面参照附图对本发明进行更全面的描述，其中说明本发明的示例性实施例。

图1示出本发明的虚拟文件系统的一个实施例的结构图。如图1所示，该虚拟文件系统包括文件系统流转引擎11、系统植入模块12和应用程序权限数据库13。其中，应用程序权限数据库13存储应用程序的文件权限信息；权限信息既可以分组保存，也可以为每个应用程序进行单独保存。系统植入模块12用于实现与操作系统内核的文件系统的对接，实现用户接口同原操作系统的用户系统匹配、对操作系统内核的文件系统的文件操作进行封装；文件系统流转引擎11接收来自应用程序的文件操作请求，根据应用程序权限数据库13存储的应用程序的文件权限信息拒绝或者允许应用程序的文件操作，当允许应用程序的文件操作时，通过调用系统植入模块12相关接口实现具体文件操作。文件系统流转引擎还可以根据应用程序的文件权限信息对文件内容执行过滤文件操作。

上述实施例中，文件系统流转引擎基于应用程序权利数据库存储的应用程序的文件权限信息对应用程序的文件操作请求进行权限控制，提高了对应用程序的文件操作的安全性。

可选地，虚拟文件系统还包括文件映射数据库14和/或应用程序兼容数据库15。文件映射数据库14存储应用程序的文件映射位置；例如将/System/etc下的文件映射到/etc目录下，保证应用程序在试图访问某一目录时，实际将访问另外一目录中，保证整个系统的安全。文件系统流转引擎11还根据文件映射数据库14存储的应用程序的文件映射位置进行转发文件操作。兼容数据库15存储不同操作系统之间文件系统环境的差别和兼容性方式；例如Android系统和常见的Linux之间的文件系统差异性较大，通过兼容数据库实现针对Android下的程序，将原有Linux下的文件系统内容映射到Android的目录结构中，以实现跨操作系统之间的应用程序兼容性。文件系统流转引擎11根据兼容数据库存储的信息实现应用程序的文件操作对不同操作系统的兼容。

系统植入模块负责完成同原操作系统之间的对接，包括保证用户接口同原有操作系统的用户系统匹配、将下层操作系统的实际文件操作封装后，供内部或者上层调用。

文件系统流转引擎是本系统的核心组件，负责完成将来自应用程序的请求通过底层数据库的资料进行分析之后，转到相应的执行结果。执行结果包括转发文件操作、拒绝文件操作、过滤文件操作以及允许文件操作等。

需要指出，系统植入模块和文件系统流转引擎也可以作为一个模块实现。

转发文件操作会将文件的请求转发到另外一种模式下，如将某目录的数据实际映射到另外一目录后进行执行。如果应用程序访问权限不满足，则将执行拒绝文件操作。在访问部分敏感文件内容时，将进行过滤文件操作。如果该文件允许应用程序完全访问，则将执行允许文件操作。

本发明的系统通过不限于以上列举的控制方式，可以实现应用程序与文件系统的隔离，为应用程序提供一个安全的文件存储沙箱。

上述实施例中，为网关运行增值服务应用程序提供一个安全的文件系统权限管理方案，为云计算平台提供一种对文件系统访问的隔离方法。

通过文件映射数据库和应用程序兼容数据库，可以提供不同操作系统平台(例如Android平台和Linux平台)之间的相互映射性和相互关联性。

图2示出本发明的虚拟文件系统的一个实施例在系统中位置图示。虚拟文件系统22通常处于操作系统内核21和底层文件系统接口23之间，起到承上启下的作用。例如，虚拟文件系统22拦截来自操作系统内核21的文件系统的读写请求，在通过文件流转引擎对其读写请求进行读写任务判别之后，再通过底层文件系统接口23调用ExtFS、FAT3224等具体文件系统读写模块，完成读写任务。

图3示出本发明的虚拟文件系统的实现方法的一个实施例的流程图。

如图4所示，在步骤302，接收来自应用程序的文件操作请求；

在步骤304，根据存储的应用程序的文件权限信息拒绝或者允许应用程序的文件操作；

在步骤306，当允许应用程序的文件操作时，通过文件流转引擎调用系统植入模块实现文件操作，拦截或转发文件操作。

上述实施例中，基于应用程序的文件权限信息对应用程序的文件操作进行控制，提高了应用程序的文件操作的安全性。

基于嵌入式Linux系统的虚拟文件系统可以通过两种方式实现：(1)扩展Linux中自带的VFS；(2)作为中间件虚拟机实现，通过运行中间件虚拟机，将虚拟文件系统作为中间件虚拟机一模块执行。

下面对通过扩展Linux中自带的VFS实现虚拟文件系统进行说明。

通过VFS扩展的实现方式框图如图4所示，通过在原有文件系统支撑VFS层41上增加一文件系统虚拟化VFS层42，并且添加应用层管理模块，通过应用层管理程序45和虚拟化支撑数据库46实现对文件系统的管理。

虚拟VFS中，为应用程序提供了常规应用程序所需要的一切文件访问API接口43。另外，为了方便进行调度和管理，提供了proc接口44，通过proc接口44对应用程序的权限、文件映射数据等管理信息进行查询和设置。

本参考实现中，调度管理方式通过proc接口是为了遵循linux系统编程的习惯规范，本发明不仅仅局限于使用proc接口。

本领域的技术人员应当理解，本发明虚拟文件系统的实施例也可以在其他操作系统的文件系统中扩展实现。

图5示出本发明的虚拟文件系统的实现方法的另一个实施例的流程图，该图示出引入虚拟VFS层的文件操作系统调用流程的示例。

步骤502，应用程序发起一个正常的文件系统调用读写请求，如open、read、write、ioctl等。该系统请求将通过Linux内核的系统调用层封装，转换为对VFS的系统调用。

步骤504，虚拟VFS层将拦截该VFS系统调用。

步骤506，虚拟VFS层通过内嵌的文件系统流转引擎，根据权限数据库、兼容数据库和映射数据库的内容，判断该读写请求是否有效，以及该读写请求应该转发到哪个具体的文件中。

步骤508，如果读写请求为有效，文件系统流转引擎将该读写请求映射到正确的文件系统路径中，调用Linux的其他模块完成文件读写操作。

步骤510，操作完成后向虚拟VFS返回操作结果，回应读写请求。

步骤512，VFS虚拟层将文件读写操作的信息反馈给应用程序，完成本次操作。

在系统启动阶段，VFS通过系统植入模块，加载进Linux的VFS模块中。在系统运行阶段，虚拟VFS通过提供基于sysfs和procfs的读写接口，可配置其权限数据库、兼容数据库和映射数据库。

本发明通过在文件系统和应用程序之间引入虚拟文件系统，在应用程序尝试获取文件系统中数据时，经过本专利中的虚拟层模块，根据其应用程序所拥有的权限，通过对文件系统请求进行转发、重定向、在给定权限中执行等操作，一方面实现了应用程序对实际物理文件系统的隔离，所有的文件读写操作将经过验证，符合权限要求之后才能够进行，另一方面可以对不同的应用程序提供不同的文件视图(如隐藏部分系统文件、系统目录，敏感文件、敏感目录)，并且划分不同的权限，细分访问粒度。

通过本发明的虚拟文件系统，实现对不同应用程序提供不同的文件系统视图。不同的应用程序，进行文件夹目录遍历方法所获取的目录结构均将根据应用程序自身的权限和功能有所不同。

本发明可以应用于网络设备开发中的安全技术和虚拟化技术领域，实现在业务网关中通过文件系统虚拟化隔离增值应用的方法。

本发明的描述是为了示例和描述起见而给出的，而并不是无遗漏的或者将本发明限于所公开的形式。很多修改和变化对于本领域的普通技术人员而言是显然的。选择和描述实施例是为了更好说明本发明的原理和实际应用，并且使本领域的普通技术人员能够理解本发明从而设计适于特定用途的带有各种修改的各种实施例。

Claims (7)

1.一种虚拟文件系统，其特征在于，包括：

应用程序权限数据库，用于存储应用程序的文件权限信息；

系统植入模块，用于实现与操作系统内核的文件系统的对接，实现用户接口同原操作系统的用户系统匹配、对操作系统内核的文件系统的文件操作进行封装；

文件映射数据库，用于存储应用程序的文件映射位置；

兼容数据库，用于存储不同操作系统之间文件系统环境的差别和兼容性方式；

文件系统流转引擎，用于接收来自应用程序的文件操作请求，根据所述应用程序权限数据库存储的应用程序的文件权限信息拒绝或者允许应用程序的所述文件操作，当允许应用程序的所述文件操作时，通过所述系统植入模块实现所述文件操作；根据所述文件映射数据库存储的应用程序的文件映射位置进行转发文件操作；根据所述兼容数据库存储的信息实现所述应用程序的文件操作对不同操作系统的兼容。

2.根据权利要求1所述的虚拟文件系统，其特征在于，所述文件系统流转引擎还根据应用程序的文件权限信息对文件内容执行过滤文件操作。

3.根据权利要求1所述的虚拟文件系统，其特征在于，在系统启动阶段，所述虚拟文件系统通过所述系统植入模块，加载进Linux的虚拟文件系统模块中；在系统运行阶段，所述虚拟文件系统通过提供基于sysfs和procfs的读写接口，配置所述应用程序权限数据库、兼容数据库和文件映射数据库。

4.根据权利要求1至3中任意一项所述的虚拟文件系统，其特征在于，所述虚拟文件系统基于中间件虚拟机实现，或者在LINUX系统中通过扩展VFS实现。

5.一种虚拟文件系统的实现方法，其特征在于，包括：

接收来自应用程序的文件操作请求；

根据应用程序的文件权限信息拒绝或者允许应用程序的所述文件操作；

当允许应用程序的所述文件操作时，通过文件流转引擎拦截或转发所述文件操作；

根据文件映射数据库存储的应用程序的文件映射位置进行转发文件操作；

其中，还包括：

存储不同操作系统之间文件系统环境的差别和兼容性方式；

根据所述不同操作系统之间文件系统环境的兼容性方式实现所述应用程序的文件操作对不同操作系统的兼容。

6.根据权利要求5所述的方法，其特征在于，还包括：

根据应用程序的文件权限信息对文件内容执行过滤文件操作。

7.根据权利要求5至6中任意一项所述的方法，其特征在于，所述虚拟文件系统基于中间件虚拟机实现，或者在嵌入式LINUX系统中通过扩展VFS实现。