CN103763428A - 一种移动终端上的应用管理系统和方法 - Google Patents

Abstract

本发明公开了一种移动终端，与管理服务器通信连接，所述移动终端上驻留有各种应用，该移动终端包括：应用信息接收器，适于从所述管理服务器获取要在所述移动终端上保护的一个或者多个应用；锁屏器，适于在移动终端的屏幕上呈现接收用户密码输入的锁屏接口，当接收到的密码与预设密码不匹配时，保持呈现锁屏接口；当匹配时，去除该锁屏接口；以及应用监控器，适于获取在移动终端中最新的活动应用，当确定所述最新的活动应用为所述要保护的一个或者多个应用之一时，激活所述锁屏器。本发明还公开了一种相应的管理服务器、应用管理系统以及应用管理方法。

Description

一种移动终端上的应用管理系统和方法

技术领域

本发明涉及移动通信领域，尤其涉及对移动终端上的应用进行管理的应用管理方式。

背景技术

随着信息技术的高速发展，出现了各种各样具有高处理能力的移动终端。适于在这些移动终端上运行的应用也越来越多地被开发出来，很多企业甚至都开发出了基于移动终端的商业应用。企业内部的员工也开始使用在移动终端上的应用来帮助与企业客户进行沟通和交易等。由于移动终端的便携性，用户很容易将移动终端同时用于个人和商业用途。因此，员工会在移动终端上下载并使用与企业本身业务无关的应用，并且有可能使得移动终端感染病毒并且导致企业的信息泄露。为了便于对移动终端进行管理，出现了对这些移动终端进行统一管理的企业移动终端管理系统(EMM)。

EMM通常包括安全管理、应用管理等。由于移动终端容易丢失和被偷窃，因此在移动终端上的数据处于高风险当中。当通过移动终端来访问企业数据并且在本地存储数据时，企业就失去了对在移动终端上的数据控制，因此需要EMM来对移动终端进行管理，以加强对在移动终端上的数据保护，包括防止对移动终端上数据的未经授权访问，具体措施可以包括密码保护、加密和／或远程擦除技术，即允许管理员删除出现问题的移动终端上的全部数据。

由于现在的移动终端上可以安装并且运行多种应用，一些应用是企业业务相关的应用、而另一些是例如终端用户的娱乐等用途的应用。移动终端由于其便携性，可能会被除了终端所有者之外的其他用户使用，因此对于不同类型的应用，需要提供不同级别的保护。

一种现有的移动终端保护方案是在移动终端上可以设置登录界面，只有用户在该登录界面上输入了正确的密码才可以登录到移动终端中。还有一种方式是，当移动终端丢失或者失窃时，还可以通过从服务器向移动终端发送指令，以使得移动终端被锁定导致用户不能登录，或者可以删除移动终端上的所有应用和数据，从而防止用户使用移动终端上的应用。在这两种方案中，会对移动终端整体进行控制，但是没有办法针对特定的应用进行专门控制。

在还有一种现有的移动终端保护方案中，可以在应用的逻辑中增加用户登录环节，只有在用户输入了正确密码之后才能使用该应用。但是对于这种方案来说，需要在每个应用中都加入登录处理，而应用并非全部由企业来开发，并且用户在每个应用上的用户名和密码也不相同，从而导致无法在EMM中进行统一管理。另一方面，在用户成功登录后并在用户退出登录之前，用户一直可以直接使用该应用，然而，在实践中，经常存在用户登录应用之后，该移动终端被其它用户使用的情况，此时现有的保护方案难以对应用进行保护。

因此，需要一种不用修改应用的内部逻辑、就可以在移动终端中对特定应用进行保护的应用保护方案。

发明内容

为此，本发明提供一种新的方案以力图解决或者至少缓解上面存在的问题。

根据本发明的一个方面，提供了一种移动终端，与管理服务器通信连接，该移动终端上驻留有各种应用。该移动终端包括：应用信息接收器，适于从管理服务器获取要在移动终端上保护的一个或者多个应用；锁屏器，适于在移动终端的屏幕上呈现接收用户密码输入的锁屏接口，当接收到的密码与预设密码不匹配时，保持呈现锁屏接口；当匹配时，去除该锁屏接口；以及应用监控器，适于获取在移动终端中最新的活动应用，当确定所述最新的活动应用为所述要保护的一个或者多个应用之一时，激活所述锁屏器。

可选地，根据本发明的移动终端还包括密码接收器，适于从管理服务器获取该移动终端上的预设密码。

可选地，根据本发明的移动终端还包括信令处理器，适于从与移动终端通信连接的信令服务器接收信令，当信令为下载应用信息信令时，指示应用信息接收器从管理服务器获取要在所述移动终端上保护的一个或者多个应用，以及当信令为下载密码信令时，指示密码接收器从管理服务器获取该移动终端上的预设密码。

可选地，在根据本发明的移动终端中，应用监控器每隔预定时间，例如每隔50毫秒获取在移动终端中最新的活动应用。

根据本发明的还有一个方面，提供了一种管理服务器，与移动终端通信连接。该管理服务器包括：信息处理器，适于生成要发送给移动终端的控制信息，并基于该控制信息生成通知消息并发送该通知消息到与该管理服务器通信相连的信令服务器；以及信息分配器，适于接收移动终端的访问请求，并将控制信息返回给所述移动终端，其中访问请求是移动终端在接收到信令服务器的信令之后发出的请求，以及其中控制信息包括要在移动终端上进行保护的一个或者多个应用信息，通知消息包括下载保护应用信息的通知消息，以及访问请求包括获取要在移动终端上进行保护的一个或者多个应用信息的下载请求。

可选地，在根据本发明的管理服务器中，控制信息包括移动终端上的预设密码信息，通知消息包括下载预设密码的通知消息，以及访问请求包括获取该移动终端上的预设密码的下载请求。

根据本发明的还有一个方面，提供了一种移动终端的应用管理系统，包括：根据本发明的管理服务器；一个或者多个根据本发明的移动终端；以及信令服务器，与管理服务器通信连接，从管理服务器接收通知消息，基于该通知消息生成信令，并经由网络将所述信令发送给所述一个或者多个移动终端。

根据本发明的还有一个方面，提供了一种应用管理方法，该方法在移动终端中执行并对该移动终端上的各种应用进行管理。该应用管理方法包括步骤：从与移动终端通信连接的管理服务器获取要在移动终端上保护的一个或者多个应用；获取在移动终端中最新的活动应用，并确定最新的活动应用是否为要保护的一个或者多个应用之一；当确定最新的活动应用为要保护的一个或者多个应用之一时，在移动终端的屏幕上呈现接收用户密码输入的锁屏接口；以及当接收到的密码与预设密码不匹配时，保持呈现锁屏接口；以及当匹配时，去除该锁屏接口。

可选地，根据本发明的应用管理方法，还包括步骤：从管理服务器获取该移动终端上的预设密码。

根据本发明的还有一个方面，提供了一种应用管理方法，该方法适于在与一个或者多个移动终端通信相连的管理服务器上执行，该方法包括步骤：生成要发送给移动终端的控制信息，并基于该控制信息生成通知消息并发送该通知消息到与该管理服务器通信相连的信令服务器；接收到来自移动终端的访问请求时，作为对所述访问请求的响应将控制信息返回给移动终端，其中访问请求是移动终端在接收到信令服务器的信令之后发出的请求；其中控制信息包括要在移动终端上进行保护的一个或者多个应用信息，通知消息包括下载保护应用信息的通知消息，以及访问请求包括获取要在移动终端上进行保护的一个或者多个应用信息的下载请求。

可选地，在根据本发明的应用管理方法中，控制信息包括移动终端上的预设密码信息，通知消息包括下载预设密码的通知消息，以及访问请求包括获取该移动终端上的预设密码的下载请求。

根据本发明的应用管理方式，首先从管理服务器获取移动终端中要进行保护的应用，当这些应用由于用户的操作而显示在移动终端屏幕最上方时，会在该应用上叠加一个锁屏界面，只有在用户输入了正确的密码之后，锁屏界面才会消失，并呈现出在下方的受保护应用。通过这种方式，可以设置要保护的应用，而且可以在应用之外设置保护应用的统一保护方式。

另外，根据本发明的应用管理方式，移动终端上的受保护应用和预设密码都是通过与移动终端通信连接的管理服务器提供的，从而可以保证用户无法去修改这些信息，这进一步提高了移动终端的安全性。

附图说明

为了实现上述以及相关目的，本文结合下面的描述和附图来描述某些说明性方面，这些方面指示了可以实践本文所公开的原理的各种方式，并且所有方面及其等效方面旨在落入所要求保护的主题的范围内。通过结合附图阅读下面的详细描述，本公开的上述以及其它目的、特征和优势将变得更加明显。遍及本公开，相同的附图标记通常指代相同的部件或元素。

图1示出了根据本发明一个实施例的移动终端的应用管理系统的示意图；

图2示出了根据本发明一个实施例的管理服务器的结构示意图；

图3示出了根据本发明一个实施例的移动终端的结构示意图；

图4示出了根据本发明一个实施例的锁屏接口的示意图；

图5示出了根据本发明一个实施例的、适于在管理服务器上执行的应用管理方法的流程图；以及

图6示出了根据本发明一个实施例的、适于在移动终端上执行的应用管理方法的流程图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

图1示出了根据本发明一个实施例的移动终端的应用管理系统100的示意图。如图1所示，应用管理系统100包括一个或者多个移动终端121、122、...、12n(在下文中统称为移动终端120)，适于由系统管理员使用来对整个管理系统进行管理的管理终端140，管理服务器130，以及信令服务器150。

一般而言，管理服务器130和信令服务器150分布在一个机房中，或者分布在经由高速网络相连的不同机房中，甚至有可能集成在一台物理服务器中，所以这些部署方式都在本发明的保护范围之内。

取决于移动终端的网络类型，移动终端120可以经由各种移动数据网络170与管理服务器130和／或进行通信。例如当移动终端120具有GPRS、3G、4G等移动通信功能时，移动终端120可以经由移动通信服务商提供的移动通信网络与管理服务器130和信令服务器150进行通信；而当移动终端120通过WiFi等无线通信方式进行连接时，则其可以利用热点提供的互联网络与管理服务器130和信令服务器150进行通信。无论移动终端120采用哪种网络方式连接管理服务器130和信令服务器150，只要移动终端120可以连接到管理服务器130和信令服务器150，所有这些网络方式都在本发明的保护范围之内。

图2示出了图1所示的应用管理系统100中的管理服务器130的结构示意图。如图2所示，管理服务器130包括信息处理器210。信息处理器210可以生成要发送给移动终端的控制信息。控制信息可以包括要在移动终端进行保护的一个或者多个应用的应用信息。每个应用的应用信息可以包括应用的大小，应用包名称、类别、图标、URL地址等。另外，可选地，当要向移动终端提供预设密码时，控制信息可以是移动终端上的预设密码。

在实践中，系统管理员在管理终端140上进行操作，从而与信息处理器210进行交互，从而生成针对某个移动终端的控制信息。信息处理器210通常具有web服务器功能，其利用诸如HTTP协议之类的网络协议与管理终端140进行通信，并在管理终端140的屏幕上显示适于生成控制信息的web页面。系统管理员在该web页面上进行操作，相应信息会发送到信息处理器210，从而在信息处理器210上生成控制信息。

可选地，在信息处理器210生成了控制信息之后，可以存储这些控制信信息。为此，管理服务器130包括存储器220，信息处理器210可以将生成的控制信息与移动终端标识符相关联地存储到存储器220中。一般而言，由于控制信息具有json格式，可以直接将控制信息存储到存储器220中而不需修改。

在生成了控制信息之后，信息处理器210基于该控制信息生成通知消息，并将所生成的通知消息发送给信令服务器150，以便信令服务器150通知相应的移动终端。通知消息一般不包括策略的具体内容，而是仅仅包括移动终端标识以及要移动终端执行的操作标记。例如，通知消息具有如下格式：{identifier：otype}，其中identifier表示移动终端的唯一识别码，而otype表示移动终端在收到消息要要执行的操作类型。

例如当通知消息为指示移动终端下载受保护应用信息时，通知消息为{clientID：disapp}；而当通知消息为指示移动终端下载预设密码时，通知消息为{clientID：reset_password}。

由于通知消息没有包括控制信息的具体内容，这样通知消息的长度就比较简短，并且也便于信令服务器150进行处理。信令服务器150在接收到来自管理服务器130的通知消息之后，对该通知消息进行解析，提取出其中的移动终端标识以及操作类型，并基于此创建信令消息，随后将该信令消息发送给与该移动终端标识相对应的移动终端。具体而言，根据本发明的一个实施方式，通知消息的格式为{identifier：otype}，则信令服务器150会创建内容包括otype的信令消息，并将该信息消息发送给标识为identifier的移动终端。例如，通知消息为{0bffda3a0b87a07d9026ac8228424b80：disapp}，则信令服务器150将内容为disapp的信令消息发送给移动终端标识为0bffda3a0b87a07d9026ac8228424b80的移动终端，以指示该移动终端去下载要在该移动终端上受保护的一个或者多个应用信息列表。而当通知消息为{0bffda3a0b87a07d9026ac8228424b80：reset_password}，则信令服务器150将内容为reset_password的信令消息发送给移动终端标识为0bffda3a0b87a07d9026ac8228424b80的移动终端，以指示该移动终端去下载要在该移动终端上的预设密码。

由于信令服务器150处理的数据较为简单，使得信令服务器150上的处理可以集中在可靠地将信令发送给各个移动终端上，这可以大大提高信令服务器150的可靠性和处理能力。这样，一台信令服务器150就可以应对非常大量的移动终端。

移动终端120在接收到来自信令服务器150的信令消息之后，向管理服务器150请求控制信息。下文中会对移动终端120的具体结构进行详细描述，这里不再赘述。

为了应对移动终端120在收到信令消息之后发起的访问请求，管理服务器130包括信息分配器230。信息分配器230处理来自移动终端120的访问请求。当访问请求中的标识指示要获取分配给该移动终端120的控制信息时，信息分配器230获取与该访问请求中的移动终端标识相对应的控制信息，并返回给移动终端120。可选地，由于控制信息通常与移动终端标识相关联地存储在存储器220中，因此，信息分配器230可以移动终端标识为关键字在存储器220中查找相应的控制信息，并且将该控制信息返回给移动终端120。

控制信息例如具有类文本描述的json格式，当控制信息为移动终端上受保护的应用信息时，下面是该种控制信息的一个示例：

在这个控制信息中，data字段中的内容是控制信息的具体内容，其中的actionType值为8，指示是发送给移动终端120的受保护应用列表，actionData中记载了各个应用的信息，其中包括每个应用的大小，应用包名称、类别、图标、URL地址等等。

另外，控制信息还包括在移动终端上的预设密码。其同样可以具有类文本描述的json格式，下面是该种控制信息的一个示例：

{

"statusCode"：1，

"errorDesc"：″″，

"password"：”1234”／／1-9任意四个数字的组合

}

其中的password字段指定了移动终端的预设密码。

还应当理解的是，由于需要管理的移动终端数量众多，而针对移动终端的控制信息很大程度上和使用该移动终端的人员类型相关，为了便于管理，通常可以将人员分组。因此，信息处理器210除了生成针对某个移动终端的控制信息之外，还可以生成针对特定组的控制信息。随后信息分配器230可以根据某个移动终端属于哪个组，而将针对该组的控制信息发送给该移动终端120。

移动终端120在接收到来自管理服务器130的控制信息之后，根据该可知信息来对移动终端120上的应用进行管理。

图3示出了根据本发明一个实施例的移动终端120的结构示意图。如图3所示，移动终端120包括信令处理器310。信令处理器310接收来自信令服务器150的信令消息，基于该信令消息的内容不同而分别指示应用信息接收器320或者密码接收器330生成不同的访问请求。例如当信令消息为下载应用信息信令，即otype的内容为disapp时，指示应用信息接收器320生成接收受保护应用信息的访问请求，并且发送到管理服务器130，以从管理服务器获取要在移动终端120上保护的一个或者多个应用。如果当信令消息为下载密码信令，即otype的内容为reset_password时，指示密码接收器330生成接收预设密码的访问请求，并且发送到管理服务器130，以从管理服务器130获取要移动终端120上的预设密码。

移动终端120包括应用监控器340。应用监控器340获取当前在移动终端120中最新的活动应用。随着计算机领域软件和硬件技术的发展，移动终端120目前通常为智能终端，即其中运行现代的操作系统(如Apple公司的iOS，谷歌公司开发的安卓系统等)，并利用操作系统来管理移动终端的硬件资源。移动终端120可以在操作系统上运行各种应用。操作系统也提供了一系列的操作接口来帮助监控和操作应用。应用监控器340可以利用这些操作接口来获得移动终端上当前最新的活动应用。在一个实现方式中，例如操作系统为安卓操作系统，安卓操作系统提供了一个ActivityManager实例，该实例中的函数getRunningTasks()可以返回当前活动的应用列表，而该列表中的第一个活动应用为最新的活动应用，因此应用监控器340可以利用这个函数来获得移动终端120中最新的活动应用。应当注意的是，现在的操作系统都提供了类似的操作接口，因此本发明不受限于此，所有可以获得最新活动应用的方式都在本发明的保护范围之内。

随后，应用监控器340判断所获取的最新活动应用是否为一个或者多个要保护的应用之一。这可以通过提取最新活动应用的标识，例如应用唯一名称，随后判断一个或者多个要保护的应用是否具有该标识来实现。

由于最新的活动应用为呈现在移动终端屏幕的最顶端并与用户进行交互的应用，如果该应用为受保护的应用，就需要在该用户与该应用进行交互之前，确定用户是否可以使用该应用。因此，移动终端120包括锁屏器350。当应用监控器340确定最新的活动应用为受保护的应用时，就激活锁屏器350。锁屏器350被激活时，在移动终端120的屏幕上呈现锁屏接口360，即将锁屏接口360覆盖在所获取的最新活动应用之上，用户无法绕过锁屏接口360和活动应用进行交互。

图4示出了根据本发明一个实施例的锁屏接口360的实施例。如图3所示，锁屏接口会显示一个锁屏图案，图案包括以九宫格方式排列的9个圆点。用户通过顺序连接这9个圆点中的至少4个点来输入手势，锁屏器218会把所输入的手势转换为与顺序连接的点相对应的字符串，并将其所作为接收到的密码输入。

应当注意的是，图4所示的锁屏接口360仅仅是一个示例，所有可以界面方式呈现在移动终端的屏幕顶端，并可以接受用户密码输入的锁屏接口都在本发明的保护范围之内。例如，另一个示例可以是在屏幕上直接显示密码输入框。

随后，锁屏器350会判断所接收的密码和预设密码是否一致，如果不一致，说明用户的密码输入错误，此时锁屏器350会保持呈现锁屏接口360，可选地还可以提供解锁错误提示。如果一致，则说明用户知晓密码，并有权利来使用受保护的应用，因此锁屏器350会去除锁屏接口360，并使得用户可以和活动应用进行交互。

根据本发明的移动终端120通过在检测到当前的活动应用是受保护应用时，在其上面叠加一个需要用户输入密码来解锁的锁屏接口，从而可以确保应用不会被非移动终端所有者使用。

为了更安全地保护受保护的应用，应用监控器340会每隔预定时间就获取移动终端中的最新活动应用并进行后续处理。这样，当用户在移动终端上进行操作时，只要最新的活动应用是受保护应用，就会在移动终端的屏幕上呈现锁屏接口，从而可以有效地保护受保护应用。如果把应用监控器340获取移动终端120中的最新活动应用的预定时间间隔设置的足够小，例如50毫秒，则对用户来说，基本上是实时地对受保护应用进行保护。

应用监控器340定时获取最新活动应用进行处理需要另外解决的一个问题是，如果最新活动应用是受保护应用并且成功地在锁屏接口上输入了密码解析解锁，如果用户持续与该受保护应用进行交互，此时不应该再次呈现锁屏接口。为此，在锁屏器350在去除锁屏接口360之前，会将作为当前最新活动应用的受保护应用从受保护应用列表中暂时排除，而当该受保护应用失去焦点，即有其他应用成为最新活动应用时，把该受保护应用重新添加到受保护应用中。以这种方式，可以使得受保护应用与用户的交互不受锁屏接口的干扰，同时又可以在应用发生切换时利用锁屏接口保护新的受保护应用。

根据本发明的移动终端120，只要受保护的应用一直处于用户操作中，就不会显示锁屏界面，而当该应用被切换到后端(例如用户将其他应用切换到前端进行操作)并又被切换到前端时，锁屏界面又会出现。这样，可以有效防止用户暂时离开时，应用被其他人使用或者应用中的信息被其他人获取的风险。

图5示出了根据本发明一个实施例的应用管理方法500的流程图。应用管理方法500在图1所示的管理服务器130中执行，来对移动终端120上的各种应用进行管理。

如图5所示，该方法始于步骤S510，在该步骤S510中，在管理服务器130处生成要发送给移动终端120的控制信息。控制信息包括在移动终端上受保护的一个或者多个应用的信息，以及移动终端上的预设密码。在实践中，系统管理员在管理终端140上进行操作，与管理服务器130进行交互，从而生成针对某个移动终端120的控制信息。

如上所述，控制信息例如可以具有类文本描述的json格式，在上面参考管理服务器130的描述中已经给出了详细描述，这里不再赘述。

可选择地，在步骤S510中，在管理服务器130生成了控制信息之后，可以存储这些控制信息。管理服务器130可以将生成的控制信息与移动终端标识符相关联地存储。

接着，在步骤S510中，管理服务器130基于该控制信息生成通知消息并将该通知消息发送给信令服务器，以便信令服务器150通知相应的移动终端。通知消息一般不包括控制信息的具体内容，而是仅仅包括移动终端标识以及要移动终端执行的操作标记。例如，通知消息具有如下格式：{identifier：otype}，其中identifier表示移动终端的唯一识别码，而otype表示移动终端在收到消息要要执行的操作类型。

随后，在步骤S520中，接收到来自移动终端120的访问请求，并且在步骤S530中，即响应于该访问请求，将与该移动终端相关联的控制信息发送给移动终端。根据本发明的一个实施例，当访问请求指示要获取在移动终端120上受保护的一个或者多个应用的应用信息时，则返回这些应用信息；而当访问请求指示要获取在移动终端120上的预设密码时，则返回预设密码。随后，在步骤S530中，管理服务器130获取与该访问请求中的移动终端标识相对应的控制信息，并返回给移动终端。可选地，由于控制信息通常与移动终端标识相关联地存储，因此，应用服务器可以移动终端标识为关键字来查找相应的控制信息。

图6示出了根据本发明一个实施例的应用管理方法600的流程图。应用管理方法600在图1所示的移动终端120中执行，来对移动终端120上的各种应用进行管理。

管理方法600始于步骤S610。在步骤S610中，从与移动终端120通信连接的管理服务器130获取要在移动终端120上保护的一个或者多个应用信息。根据一种实施方式，在步骤S610中，可以先接收来自信令服务器150的信令消息，如果信令消息为下载应用信息信令，即otype的内容为disapp时，根据该载应用信息信令生成接收受保护应用信息的访问请求，并且发送到管理服务器130，以从管理服务器获取要在移动终端120上保护的一个或者多个应用的信息。

可选择，管理方法600还包括步骤S620。在步骤S620中，从与移动终端120通信连接的管理服务器130获取移动终端120上的预设密码。根据一种实施方式，在步骤S620中，可以先接收来自信令服务器150的信令消息，如果信令消息为下载密码信令，即otype的内容为reset_password时，根据该载下载密码信令生成接收预设密码的访问请求，并且发送到管理服务器130，以从管理服务器130获取移动终端120上的预设密码。

随后，方法600进行到步骤S630。在步骤S630中，获取在移动终端120中最新的活动应用。随着计算机领域软件和硬件技术的发展，移动终端120目前通常为智能终端，即其中运行现代的操作系统(如Apple公司的iOS，谷歌公司开发的安卓系统等)，并利用操作系统来管理移动终端的硬件资源。移动终端120可以在操作系统上运行各种应用。操作系统也提供了一系列的操作接口来帮助监控和操作应用。在步骤S630中，可以利用这些操作接口来获得移动终端上当前最新的活动应用。在一个实现方式中，例如操作系统为安卓操作系统，安卓操作系统提供了一个ActivityManager实例，该实例中的函数getRunningTasks()可以返回当前活动的应用列表，而该列表中的第一个活动应用为最新的活动应用，因此在步骤S630中，可以利用这个函数来获得移动终端120中最新的活动应用。应当注意的是，现在的操作系统都提供了类似的操作接口，因此本发明不受限于此，所有可以获得最新活动应用的方式都在本发明的保护范围之内。

随后在步骤S640中，确定所获取的最新活动应用是否为要保护的一个或者多个应用之一。在步骤S640中，要根据所获取的受保护应用信息来确定所获取的最新活动应用是否为受保护应用。这可以通过提取最新活动应用的标识，例如应用唯一名称，随后判断所获取的一个或者多个应用是否具有该标识来实现。

由于最新的活动应用为呈现在移动终端屏幕的最顶端并与用户进行交互的应用，如果该应用为受保护的应用，就需要在该用户与该应用进行交互之前，确定用户是否可以使用该应用。因此，在步骤S640确定最新的活动应用为受保护的应用时，就进入步骤S650。在步骤S650中，在移动终端120的屏幕上呈现锁屏接口360，即将锁屏接口360覆盖在所获取的最新活动应用之上，用户无法绕过锁屏接口360和活动应用进行交互。

图4示出了根据本发明一个实施例的锁屏接口360的实施例。应当注意的是，图4所示的锁屏接口360仅仅是一个示例，所有可以界面方式呈现在移动终端的屏幕顶端，并可以接受用户密码输入的锁屏接口都在本发明的保护范围之内。例如，另一个示例可以是在屏幕上直接显示密码输入框。由于上文中对锁屏接口360进行了详细描述，这里不在进行赘述。。

随后，在步骤S660中，判断所接收的密码和预设密码是否一致，如果不一致，说明用户的密码输入错误，此时在步骤S650中会保持呈现锁屏接口250，可选地还可以提供解锁错误提示。如果一致，则说明用户知晓密码，并有权限来使用受保护的应用，因此方法600进入步骤S670，其中会去除锁屏接口360，并使得用户可以和活动应用进行交互。

根据本发明的应用管理方法600通过在检测到当前的活动应用是受保护应用时，在其上面叠加一个需要用户输入密码来解锁的锁屏接口，从而可以确保应用不会被非移动终端所有者使用。

为了更安全地保护受保护的应用，会每隔预定时间开始执行管理方法600中的步骤S630，即获取移动终端中的最新活动应用并进行后续处理。这样，当用户在移动终端上进行操作时，只要最新的活动应用是受保护应用，就会在移动终端的屏幕上呈现锁屏接口，从而可以有效地保护受保护应用。如果执行管理方法600的预定时间间隔设置的足够小，例如50毫秒，则对用户来说，基本上是实时地对受保护应用进行保护。

定时获取最新活动应用进行处理需要另外解决的一个问题是，如果最新活动应用是受保护应用并且成功地在锁屏接口上输入了密码解析解锁，如果用户持续与该受保护应用进行交互，此时不应该再次呈现锁屏接口。为此，在步骤S670去除锁屏接口360之前，管理方法还包括步骤，将作为当前最新活动应用的受保护应用从受保护应用列表中暂时排除。而当该受保护应用失去焦点，即有其他应用成为最新活动应用时，把该受保护应用重新添加到受保护应用中。以这种方式，可以使得受保护应用与用户的交互不受锁屏接口的干扰，同时又可以在应用发生切换时利用锁屏接口保护新的受保护应用。

根据本发明的应用管理方法600，只要受保护的应用一直处于用户操作中，就不会显示锁屏界面，而当该应用被切换到后端(例如用户将其他应用切换到前端进行操作)并又被切换到前端时，锁屏界面又会出现。这样，可以有效防止用户暂时离开时，应用被其他人使用或者应用中的信息被其他人获取的风险。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下被实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

C4、如C1-3中任一个所述的移动终端，其中所述应用监控器每隔预定时间获取在移动终端中最新的活动应用。D11、如D8-10中任一个所述的应用管理方法，其中所述获取在移动终端中最新的活动应用步骤包括：每隔预定时间获取在移动终端中最新的活动应用。E13、如E12所述的应用管理方法，其中所述控制信息包括移动终端上的预设密码信息，所述通知消息包括下载预设密码的通知消息，以及所述访问请求包括获取该移动终端上的预设密码的下载请求。

类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。

本领域那些技术人员应当理解在本文所公开的示例中的设备的模块或单元或组件可以布置在如该实施例中所描述的设备中，或者可替换地可以定位在与该示例中的设备不同的一个或多个设备中。前述示例中的模块可以组合为一个模块或者此外可以分成多个子模块。

本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和／或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。

此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

此外，所述实施例中的一些在此被描述成可以由计算机系统的处理器或者由执行所述功能的其它装置实施的方法或方法元素的组合。因此，具有用于实施所述方法或方法元素的必要指令的处理器形成用于实施该方法或方法元素的装置。此外，装置实施例的在此所述的元素是如下装置的例子：该装置用于实施由为了实施该发明的目的的元素所执行的功能。

如在此所使用的那样，除非另行规定，使用序数词“第一”、“第二”、“第三”等等来描述普通对象仅仅表示涉及类似对象的不同实例，并且并不意图暗示这样被描述的对象必须具有时间上、空间上、排序方面或者以任意其它方式的给定顺序。

尽管根据有限数量的实施例描述了本发明，但是受益于上面的描述，本技术领域内的技术人员明白，在由此描述的本发明的范围内，可以设想其它实施例。此外，应当注意，本说明书中使用的语言主要是为了可读性和教导的目的而选择的，而不是为了解释或者限定本发明的主题而选择的。因此，在不偏离所附权利要求书的范围和精神的情况下，对于本技术领域的普通技术人员来说许多修改和变更都是显而易见的。对于本发明的范围，对本发明所做的公开是说明性的，而非限制性的，本发明的范围由所附权利要求书限定。

Claims (10)

1.一种移动终端，与管理服务器通信连接，所述移动终端上驻留有各种应用，该移动终端包括：

应用信息接收器，适于从所述管理服务器获取要在所述移动终端上保护的一个或者多个应用；

锁屏器，适于在移动终端的屏幕上呈现接收用户密码输入的锁屏接口，当接收到的密码与预设密码不匹配时，保持呈现锁屏接口；当匹配时，去除该锁屏接口；以及

应用监控器，适于获取在移动终端中最新的活动应用，当确定所述最新的活动应用为所述要保护的一个或者多个应用之一时，激活所述锁屏器。

2.如权利要求1所述的移动终端，还包括密码接收器，适于从所述管理服务器获取该移动终端上的预设密码。

3.如权利要求1或者2所述的移动终端，还包括信令处理器，适于从与移动终端通信连接的信令服务器接收信令，当所述信令为下载应用信息信令时，指示所述应用信息接收器从所述管理服务器获取要在所述移动终端上保护的一个或者多个应用，以及

当所述信令为下载密码信令时，指示所述密码接收器从所述管理服务器获取该移动终端上的预设密码。

4.一种管理服务器，与移动终端通信连接，该管理服务器包括：

信息处理器，适于生成要发送给移动终端的控制信息，并基于该控制信息生成通知消息并发送该通知消息到与该管理服务器通信相连的信令服务器；以及

信息分配器，适于接收所述移动终端的访问请求，并将所述控制信息返回给所述移动终端，其中所述访问请求是移动终端在接收到信令服务器的信令之后发出的请求，以及

其中所述控制信息包括要在移动终端上进行保护的一个或者多个应用信息，所述通知消息包括下载保护应用信息的通知消息，以及所述访问请求包括获取要在移动终端上进行保护的一个或者多个应用信息的下载请求。

5.如权利要求4所述的管理服务器，其中所述控制信息包括移动终端上的预设密码信息，所述通知消息包括下载预设密码的通知消息，以及所述访问请求包括获取该移动终端上的预设密码的下载请求。

6.一种移动终端的应用管理系统，包括：

如权利要求4或者5所述的管理服务器；

一个或者多个如权利要求1-4中任一个所述的移动终端；以及

信令服务器，与所述管理服务器通信连接，从所述管理服务器接收通知消息，基于该通知消息生成信令，并经由网络将所述信令发送给所述一个或者多个移动终端。

7.一种应用管理方法，在移动终端中执行并对该移动终端上的各种应用进行管理，该应用管理方法包括步骤：

从与移动终端通信连接的管理服务器获取要在所述移动终端上保护的一个或者多个应用；

获取在移动终端中最新的活动应用，并确定所述最新的活动应用是否为要保护的一个或者多个应用之一；

当确定所述最新的活动应用为要保护的一个或者多个应用之一时，在移动终端的屏幕上呈现接收用户密码输入的锁屏接口；以及

当接收到的密码与预设密码不匹配时，保持呈现锁屏接口；以及当匹配时，去除该锁屏接口。

8.如权利要求7所述的应用管理方法，还包括步骤：

从所述管理服务器获取该移动终端上的预设密码。

9.如权利要求7或者8所述的应用管理方法，所述从获取要在所述移动终端上保护的一个或者多个应用的步骤包括：

从移动终端通信连接的信令服务器接收下载应用信息信令；以及

根据该下载应用信息信令从所述管理服务器获取要在所述移动终端上保护的一个或者多个应用信息，

所述获取该移动终端上的预设密码的步骤包括：

从移动终端通信连接的信令服务器接收下载密码信令；以及

根据该下载密码信令从所述管理服务器获取所述移动终端上的预设密码。

10.一种应用管理方法，该方法适于在与一个或者多个移动终端通信相连的管理服务器上执行，该方法包括步骤：

生成要发送给移动终端的控制信息，并基于该控制信息生成通知消息并发送该通知消息到与该管理服务器通信相连的信令服务器；

接收到来自所述移动终端的访问请求时，作为对所述访问请求的响应将所述控制信息返回给所述移动终端，其中所述访问请求是移动终端在接收到信令服务器的信令之后发出的请求；

其中所述控制信息包括要在移动终端上进行保护的一个或者多个应用信息，所述通知消息包括下载保护应用信息的通知消息，以及所述访问请求包括获取要在移动终端上进行保护的一个或者多个应用信息的下载请求。

Images