CN106469270A - 一种应用权限的管理方法、设备及系统 - Google Patents

Abstract

本发明公开了一种应用权限的管理方法、设备及系统，可通过终端侧与网络侧的相互配合，对应用安装过程中以及使用过程中的敏感权限设置给出相应建议，从而为终端用户提供了有效的应用权限管理，解决了现有的应用权限管理方法所存在的权限管理机制不灵活、以及安全性较低等问题，尤其解决了没有破解并获取root权限就无法对应用权限进行控制的问题，提高了应用权限管理的灵活性以及系统的安全性，提高了用户的应用体验。

Description

一种应用权限的管理方法、设备及系统

技术领域

本发明涉及终端技术领域，尤其涉及一种应用权限的管理方法、设备及系统。

背景技术

随着终端技术的不断发展，终端上安装的应用(即APP)的数量以及类型越来越多，如通信应用、购物应用、交友应用等。这些应用中的大部分应用在安装或使用过程中，常常会获取终端用户的隐私信息，比如用户位置信息、用户联系人信息、用户通话记录信息以及用户短信记录信息等，因而使得终端用户的隐私信息存在可能被恶意利用的风险，因而，为了避免上述问题，需要对终端上安装的各应用的权限进行相应控制或管理。

具体地，以具备安卓系统的终端为例，业界常采用以下几种方式对该终端上安装的各应用的权限进行相应控制或管理：

方式一：采用安卓系统所具备的Permission安全机制，对该终端上安装的各应用的权限进行相应控制或管理。

具体地，安卓应用的Permission授权由终端用户负责审核，一个程序在安装时，安卓系统会提供界面，让用户确认是否授予应用权限，只有获得用户授权，应用才能访问对应的系统资源。

然而，一旦应用获得请求的Permission权限，则可以以任意行为模式进行系统资源访问，Permission机制对此不作任何限制，这种过度的权限很容易导致恶意功能实施从而导致用户隐私被窃取甚至被恶意利用，降低系统安全性。此外，Permission机制的权限管理不够灵活，用户只能全部接受或者拒绝访问权限，而不能选择性地接受其中的部分权限，很容易造成应用申请过度的权限，使得恶意功能得以实施。

方式二：采用第三方安全软件(如360安全卫士等应用软件)对该终端上安装的各应用的权限进行相应控制或管理。

具体的，这些安全软件在获取了终端root权限之后，可提醒用户某个应用申请了哪些权限，以及在应用使用某个权限时提示用户是否授权，但是在没有获取root权限时，这些应用仅能提示用户相关应用正在使用某权限，但是无法禁止应用使用该权限。因此，这些软件虽然可以在一定程度上解决权限被滥用的问题，但是仍存在如下问题：

由于第三方安全软件没有获得root权限时，用户仅有接受应用全部的权限申请才能正常使用应用，所以大多数情况下用户都是授权应用使用全部权限的，这种管理手段本身来说非常不灵活，并且会极大地降低系统的安全性；另外，由于第三方安全软件需要对终端进行破解后才能获取到该终端的root权限，且，由于终端破解后，root权限有被恶意软件获取的危险，因而，会给用户的隐私造成更大的威胁，使得系统的安全性较低；再有，由于第三方安全软件主要是在终端侧对各应用进行保护，如果有应用使用用户授权的能力去执行一些能够泄露隐私信息的操作，则第三方软件是没办法对其进行防护的，比如游戏软件在后台发送短信订购某种业务，导致用户扣费，或者是社交类软件读取用户通信录，然后群发诈骗短信等，从而进一步降低了系统的安全性。

也就是说，现有的应用权限管理方法存在权限管理机制不灵活、以及安全性较低等问题，因此，亟需提供一种新的方法以解决上述各问题。

发明内容

本发明实施例提供了一种应用权限的管理方法、设备及系统，用于解决现有技术中管理机制不灵活、安全性较低等的问题。

本发明实施例提供了一种应用权限的管理方法，包括：

在应用的安装过程中，若监测到所述应用申请了敏感权限，则向网络侧设备发送应用权限查询请求；以及，接收所述网络侧设备根据所述应用权限查询请求、以及应用与应用所具备的应用权限之间的对应关系返回的第一应用权限使用建议，并根据所述第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行相应的应用权限设置；或者，

在应用的使用过程中，若监测到所述应用使用了敏感权限，则获取所述应用的权限使用行为信息以及使用环境信息，并将所述应用的权限使用行为信息以及使用环境信息上报给网络侧设备；以及，接收所述网络侧设备根据所述应用的权限使用行为信息以及使用环境信息、以及使用所述应用的其他终端用户的历史通信行为信息返回的第二应用权限使用建议，并根据所述第二应用权限使用建议以及终端用户的实际权限需求，向所述网络侧设备发送权限指示信息，以由所述网络侧设备根据所述权限指示信息，执行相应应用权限的禁止或放行。

本发明实施例还提供了一种应用权限的管理方法，包括：

接收终端侧设备在应用的安装过程中，发送的应用权限查询请求，所述应用权限查询请求是所述终端侧设备在监测到所述应用申请了敏感权限时，向所述网络侧设备发送的；根据所述应用权限查询请求，以及应用与应用所具备的应用权限建议之间的对应关系，确定所述应用对应的第一应用权限使用建议，并将所述第一应用权限设置建议返回给所述终端侧设备；或者，

接收终端侧设备在应用的使用过程中，监测到所述应用使用了敏感权限时上报的所述应用的权限使用行为信息以及使用环境信息；并根据所述应用的权限使用行为信息以及使用环境信息，以及，使用所述应用的其他终端用户的历史通信行为信息，确定所述应用对应的第二应用权限使用建议，并将所述第二应用权限使用建议返回给所述终端侧设备；以及，接收所述终端侧设备根据所述第二应用权限使用建议以及终端用户的实际权限需求，发送的权限指示信息，并根据所述权限指示信息，执行相应应用权限的禁止或放行。

相应地，本发明实施例提供了一种终端测设备，包括：

权限监测模块，用于在应用的安装过程中，监测所述应用是否申请了敏感权限；或，在应用的使用过程中，监测所述应用是否使用了敏感权限；

权限发送模块，用于若根据所述权限监测模块的监测结果，确定在应用的安装过程中，所述应用申请了敏感权限，则向所述网络侧设备发送应用权限查询请求；或，若根据所述权限监测模块的监测结果，确定在应用的使用过程中，所述应用申请了敏感权限，则获取所述应用的权限使用行为信息以及使用环境信息，并将所述应用的权限使用行为信息以及使用环境信息上报给网络侧设备；

权限处理模块，用于接收所述网络侧设备根据所述应用权限查询请求、以及应用与应用所具备的应用权限之间的对应关系所返回的第一应用权限使用建议，并根据所述第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行相应的应用权限设置；或，接收所述网络侧设备根据所述应用的权限使用行为信息以及使用环境信息、以及使用所述应用的其他终端用户的历史通信行为信息返回的第二应用权限使用建议，并根据所述第二应用权限使用建议以及终端用户的实际权限需求，向所述网络侧设备发送权限指示信息，以由所述网络侧设备根据所述权限指示信息，执行相应应用权限的禁止或放行。

相应地，本发明实施例还提供了一种网络侧设备，包括：

接收模块，用于接收终端侧设备在应用的安装过程中，发送的应用权限查询请求，所述应用权限查询请求是所述终端侧设备在监测到所述应用申请了敏感权限时，向所述网络侧设备发送的；或，接收终端侧设备在应用的使用过程中，监测到所述应用使用了敏感权限时上报的所述应用的权限使用行为信息以及使用环境信息；

处理模块，用于根据所述应用权限查询请求，以及应用与应用所具备的应用权限建议之间的对应关系，确定所述应用对应的第一应用权限使用建议；或，根据所述应用的权限使用行为信息以及使用环境信息，以及，使用所述应用的其他终端用户的历史通信行为信息，确定所述应用对应的第二应用权限使用建议；

发送模块，用于将所述第一应用权限使用建议返回给所述终端侧设备；或，将所述第二应用权限使用建议返回给所述终端侧设备；

所述接收模块，还用于接收所述终端侧设备根据所述第二应用权限使用建议以及终端用户的实际权限需求，发送的权限指示信息；

所述处理模块，还用于根据所述权限指示信息，执行相应应用权限的禁止或放行。

相应地，本发明实施例还提供了一种应用权限的管理系统，包括终端侧设备以及网络侧设备，其中：

所述终端侧设备，用于在应用的安装过程中，若监测到所述应用申请了敏感权限，则向网络侧设备发送应用权限查询请求；并根据所述网络侧设备返回的第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行相应的应用权限设置；或者，在应用的使用过程中，若监测到所述应用使用了敏感权限，则获取所述应用的权限使用行为信息以及使用环境信息，并将所述应用的权限使用行为信息以及使用环境信息上报给网络侧设备；以及，接收所述网络侧设备返回的第二应用权限使用建议，并根据所述第二应用权限使用建议以及终端用户的实际权限需求，向所述网络侧设备发送相应的权限指示信息；

所述网络侧设备，用于接收终端侧设备在应用的安装过程中，发送的应用权限查询请求，并根据所述应用权限查询请求，以及应用与应用所具备的应用权限建议之间的对应关系，确定所述应用对应的第一应用权限使用建议，并将所述第一应用权限使用建议返回给所述终端侧设备；或者，接收终端侧设备在应用的使用过程中，上报的所述应用的权限使用行为信息以及使用环境信息；并根据所述应用的权限使用行为信息以及使用环境信息，以及，使用所述应用的其他终端用户的历史通信行为信息，确定所述应用对应的第二应用权限使用建议，并将所述第二应用权限使用建议返回给所述终端侧设备；以及，接收所述终端侧设备根据所述第二应用权限使用建议以及终端用户的实际权限需求，发送的权限指示信息，并根据所述权限指示信息，执行相应应用权限的禁止或放行。

本发明有益效果如下：

本发明实施例提供了一种应用权限的管理方法、设备及系统，可通过终端侧与网络侧的相互配合，对应用安装过程中以及使用过程中的敏感权限设置给出相应建议，如，在应用的安装过程中，若监测到所述应用申请了敏感权限，则向网络侧设备发送应用权限查询请求，并根据网络侧设备根据所述应用权限查询请求、以及应用与应用所具备的应用权限之间的对应关系所返回的第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行相应的应用权限设置；或者，在应用的使用过程中，若监测到所述应用使用了敏感权限，则将所述应用的权限使用行为信息以及使用环境信息上报给网络侧设备，并根据所述网络侧设备根据所述应用的权限使用行为信息以及使用环境信息、以及使用所述应用的其他终端用户的历史通信行为信息返回的第二应用权限使用建议以及终端用户的实际权限需求，向所述网络侧设备发送权限指示信息，以由所述网络侧设备根据所述权限指示信息，执行相应应用权限的禁止或放行，从而为用户提供了有效的应用权限管理，解决了现有的应用权限管理方法所存在的权限管理机制不灵活、以及安全性较低等问题，尤其解决了没有破解并获取root权限就无法对应用权限进行控制的问题，提高了应用权限管理的灵活性以及系统的安全性，提高了用户的应用体验。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简要介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1所示为本发明实施例一中所述的一种应用权限的管理方法的流程示意图；

图2所示为本发明实施例二中所述的一种应用权限的管理方法的流程示意图；

图3所示为本发明实施例三中所述的第一种应用权限管理方法的流程示意图；

图4所示为本发明实施例三中所述的第二种应用权限管理方法的流程示意图；

图5所示为本发明实施例四中所述的一种终端侧设备的结构示意图；

图6所示为本发明实施例五中所述的一种网络侧设备的结构示意图；

图7所示为本发明实施例六中所述的一种应用权限的管理系统的结构示意图。

具体实施方式

本发明实施例提供了一种应用权限的管理方法、设备及系统，所述方法包括：在应用的安装过程中，若监测到所述应用申请了敏感权限，则向网络侧设备发送应用权限查询请求；以及，接收所述网络侧设备根据所述应用权限查询请求、以及应用与应用所具备的应用权限之间的对应关系所返回的第一应用权限使用建议，并根据所述第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行相应的应用权限设置；或者，

在应用的使用过程中，若监测到所述应用使用了敏感权限，则获取所述应用的权限使用行为信息以及使用环境信息，并将所述应用的权限使用行为信息以及使用环境信息上报给网络侧设备；以及，接收所述网络侧设备根据所述应用的权限使用行为信息以及使用环境信息、以及使用所述应用的其他终端用户的历史通信行为信息返回的第二应用权限使用建议，并根据所述第二应用权限使用建议以及终端用户的实际权限需求，向所述网络侧设备发送权限指示信息，以由所述网络侧设备根据所述权限指示信息，执行相应应用权限的禁止或放行。

也就是说，在本发明实施例所述技术方案中，可通过终端侧与网络侧的相互配合，对应用安装过程中以及使用过程中的隐私权限设置给出相应建议，从而为用户提供了有效的应用权限管理，解决了现有的应用权限管理方法所存在的权限管理机制不灵活、以及安全性较低等问题，尤其解决了没有破解并获取root权限就无法对应用权限进行控制的问题，提高了应用权限管理的灵活性以及系统的安全性，提高了用户的应用体验。

为了使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作进一步地详细描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

实施例一：

本发明实施例一提供了一种应用权限的管理方法，具体地，如图1所示，其为本发明实施例一中所述的应用权限的管理方法的流程示意图，所述应用权限的管理方法可包括以下步骤：

步骤101：判断应用处于安装状态还是使用状态，若处于安装状态，则执行步骤102；若处于使用状态，则执行步骤103。

步骤102：若监测到所述应用申请了敏感权限，则向网络侧设备发送应用权限查询请求，以及，接收所述网络侧设备根据所述应用权限查询请求、以及应用与应用所具备的应用权限之间的对应关系返回的第一应用权限使用建议，并根据所述第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行相应的应用权限设置。

具体地，如表1所示，所述敏感权限可包括终端侧敏感权限以及网络侧敏感权限，其中：

所述终端侧敏感权限可包括以下权限：访问联系人、获取手机号码、读取短信记录、读取通话记录、发送短信、拨打电话、监听手机通话、使用话筒录音、开启摄像头、打开移动网络开关、或完全网络访问等；

所述网络侧敏感权限可包括以下权限：发消息权限、网络传输权限、通话权限或网络发送权限等。

表1：敏感权限表

另外，需要说明的是，由表1可以看出，终端侧敏感权限具体可包括核心敏感权限以及重要敏感权限；其中，核心敏感权限可包括访问联系人、获取手机号、读取短信记录以及读取通话记录等；重要敏感权限可包括：发送短信、拨打电话、监听手机通话、使用话筒录音、打开摄像头、打开移动网络开关以及完全网络访问等，本发明实施例对此不作赘述。

进一步地，所述应用与应用所具备的应用权限之间的对应关系至少是根据以下数据得到的：

终端用户根据实际需求为各应用分配的应用权限；各应用的通用应用权限；以及，各应用所属类的通用应用权限。

其中，针对任一应用，终端用户根据实际需求为该应用分配的应用权限即为终端用户根据实际需求对该应用所进行的个性化权限设置，通常可用于用户重新安装该应用时使用；

另外，针对任一应用，该应用的通用应用权限主要是综合了其他终端用户对该应用的个性化权限设置所得到的，例如，如果有超过50％的终端用户对该应用的某项权限进行了禁止，则这个设置就成为该应用通用的权限设置；

再有，针对任一应用，该应用所属类的通用应用权限主要是综合了其他不同类应用的相应权限设置所得到的，例如，如果该应用属于多个分类，则按照取并集的原则，只要有某类应用对某项权限进行了禁止，则这个设置就成为该应用通用的权限设置。

另外，需要说明的是，所述应用与应用所具备的应用权限之间的对应关系的上述三个来源可具备不同的优先等级，如，终端用户根据实际需求为各应用分配的应用权限的优先等级通常可大于各应用的通用应用权限；各应用的通用应用权限的优先等级通常可大于各应用所属类的通用应用权限，本发明实施例对此不作赘述。

再有，需要说明的是，所述应用与应用所具备的应用权限之间的对应关系通常可存储在网络侧设备内(如网络侧设备的权限库内)，本发明实施例对此也不作赘述。

进一步地，在接收到网络侧设备返回的第一应用权限使用建议后，即可根据该第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行相应的应用权限设置。其中，需要说明的是，所述第一应用权限使用建议除了可包括终端侧权限使用建议之外，还可包括网络侧权限使用建议，本发明实施例对此不作赘述。

可选地，根据所述第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行相应的应用权限设置，可具体执行为：

若确定所述网络侧设备返回的第一应用权限使用建议符合终端用户的实际权限需求，则根据所述网络侧设备返回的第一应用权限使用建议对所述应用进行相应的应用权限设置；或者，

若确定所述网络侧设备返回的第一应用权限使用建议不符合终端用户的实际权限需求，则根据终端用户的实际权限需求对所述网络侧设备返回的第一应用权限使用建议进行修改，并根据修改后的第一应用权限使用建议对所述应用进行相应的应用权限设置。

也就是说，在应用的安装过程中，对所述应用的权限设置可参考网络侧设备返回的第一应用权限使用建议以及终端用户的实际权限需求，且，通常可以终端用户的实际权限需求为主，本发明实施例对此不作赘述。

进一步地，根据所述第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行相应的应用权限设置，还可具体执行为：

若确定具备终端root权限，则根据所述网络侧设备返回的第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行终端侧应用权限以及网络侧应用权限的权限设置；或者，

若确定不具备终端root权限，则根据所述网络侧设备返回的第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行网络侧应用权限的权限设置。

也就是说，在具备终端root权限时，能够根据第一应用权限使用建议以及终端用户的实际权限需求对终端侧以及网络侧一并进行权限设置，当不具备终端root权限时，则通常仅可根据第一应用权限使用建议以及终端用户的实际权限需求对网络侧权限进行相应设置，本发明实施例对此不作赘述。

步骤103：若监测到所述应用使用了敏感权限，则获取所述应用的权限使用行为信息以及使用环境信息，并将所述应用的权限使用行为信息以及使用环境信息上报给网络侧设备；以及，接收所述网络侧设备根据所述应用的权限使用行为信息以及使用环境信息、以及使用所述应用的其他终端用户的历史通信行为信息返回的第二应用权限使用建议，并根据所述第二应用权限使用建议以及终端用户的实际权限需求，向所述网络侧设备发送权限指示信息，以由所述网络侧设备根据所述权限指示信息，执行相应应用权限的禁止或放行。

具体地，如表2所示，所述应用的权限使用行为信息可包括：

是否在特定时间段内使用网络侧敏感权限；是否按照固定频率使用网络侧敏感权限；是否向特定的号码发送信息；发送内容是否非文字且包含敏感字段；或，是否向多个号码群发信息等。

表2：应用的权限使用行为信息表

进一步地，所述应用的使用环境信息可包括：

所述应用是在前台运行还是后台运行，即，应用对终端用户来说是否为可见运行；

所述应用使用权限的行为是由终端用户触发还是应用自行发起；

与所述应用同时运行在同一终端内的应用的类型；

所述应用的联网方式是无线宽带WiFi还是移动数据网络；

所述应用使用权限的时间是否处于正常时间段内，如：是否在早上6点到晚上24点之间等。

当然，需要说明的是，所述应用的使用环境信息并不受限于上述举例的各信息，还可包括其他信息，如，若应用在后台运行，则同一时间在前台运行的应用是否存在被窃取信息的风险等；或者，若应用的联网方式为移动数据网络，则应用传输的数据量是否过大等，本发明实施例对此不作限定。

进一步地，需要说明的是，所述第二应用权限使用建议通常是所述网络侧设备根据所述应用的权限使用行为信息以及使用环境信息、以及使用所述应用的其他终端用户的历史通信行为信息进行大数据分析得来的。

其中，使用所述应用的其他终端用户的历史通信行为信息可包括：其他终端用户在使用所述应用时，是否都在某特定时间段使用网络侧敏感权限；其他终端用户在使用所述应用时，是否都按照某个固定的频率使用网络侧敏感权限；其他终端用户在使用所述应用时，是否都向特定的号码发送信息；其他终端用户在使用所述应用时，是否都向多个号码群发信息等，本发明实施例对此不作限定。

另外，需要说明的是，使用所述应用的其他终端用户的历史通信行为信息通常可存储在网络侧设备内(如网络侧设备的权限库内)，本发明实施例对此不作赘述。

进一步地，需要说明的是，所述第二应用权限使用建议通常可仅包括网络侧权限使用建议；当然，需要说明的是，其还可包括终端侧权限使用建议，本发明实施例对此不作任何限定。

可选地，根据所述第二应用权限使用建议以及终端用户的实际权限需求，向所述网络侧设备发送相应的权限指示信息，可包括：

若确定所述网络侧设备返回的第二应用权限使用建议符合终端用户的实际权限需求，则向所述网络侧设备发送用于同意所述第二应用权限使用建议的权限指示信息；或者，

若确定所述网络侧设备返回的第二应用权限使用建议不符合终端用户的实际权限需求，则根据终端用户的实际权限需求对所述网络侧设备返回的第二应用权限使用建议进行修改，并向所述网络侧设备发送用于同意修改后的第二应用权限使用建议的权限指示信息。

也就是说，在应用的使用过程中，对所述应用的权限指示信息可参考网络侧设备返回的第二应用权限使用建议以及终端用户的实际权限需求，且，为了避免误操作，通常可以终端用户的实际权限需求为主，本发明实施例对此不作赘述。

进一步地，在根据所述第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行相应的应用权限设置之后，所述方法还可包括：

将根据所述第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行相应的应用权限设置所得到的第一应用权限设置结果反馈给网络侧设备，以由所述网络侧设备根据所述第一应用权限设置结果更新应用与应用所具备的应用权限之间的对应关系。

进一步地，在指示网络侧设备根据所述权限指示信息执行相应应用权限的禁止或放行之后，所述方法还可包括：

接收网络侧设备反馈的根据所述权限指示信息执行相应应用权限的禁止或放行的处理结果，以根据该处理结果，得知相应应用权限的设置状况。

最后，需要说明的是，本发明实施例一各步骤的执行主体通常可为终端侧设备；其中，所述终端侧设备不限于为手机、电脑以及平板电脑等。

本发明实施一例提供了一种应用权限的管理方法，可通过终端侧与网络侧的相互配合，对应用安装过程中以及使用过程中的敏感权限设置给出相应建议，如，在应用的安装过程中，若监测到所述应用申请了敏感权限，则向网络侧设备发送应用权限查询请求，并根据网络侧设备根据所述应用权限查询请求、以及应用与应用所具备的应用权限之间的对应关系所返回的第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行相应的应用权限设置；或者，在应用的使用过程中，若监测到所述应用使用了敏感权限，则将所述应用的权限使用行为信息以及使用环境信息上报给网络侧设备，并根据所述网络侧设备根据所述应用的权限使用行为信息以及使用环境信息、以及使用所述应用的其他终端用户的历史通信行为信息返回的第二应用权限使用建议以及终端用户的实际权限需求，向所述网络侧设备发送权限指示信息，以由所述网络侧设备根据所述权限指示信息，执行相应应用权限的禁止或放行，从而为用户提供了有效的应用权限管理，解决了现有的应用权限管理方法所存在的权限管理机制不灵活、以及安全性较低等问题，尤其解决了没有破解并获取root权限就无法对应用权限进行控制的问题，提高了应用权限管理的灵活性以及系统的安全性，提高了用户的应用体验。

实施例二：

本发明实施例二提供了一种以网络侧设备为执行主体的应用权限的管理方法，具体地，如图2所示，其为本发明实施例二中所述的一种应用权限的管理方法的流程示意图，所述应用权限的管理方法可包括以下步骤：

步骤201：判断应用处于安装状态还是使用状态，若处于安装状态，则执行步骤202；若处于使用状态，则执行步骤203。

步骤202：若接收到终端侧设备在应用的安装过程中，发送的应用权限查询请求，所述应用权限查询请求是所述终端侧设备在监测到所述应用申请了敏感权限时，向所述网络侧设备发送的；则根据所述应用权限查询请求，以及应用与应用所具备的应用权限建议之间的对应关系，确定所述应用对应的第一应用权限使用建议，并将所述第一应用权限设置建议返回给所述终端侧设备。

具体地，所述应用与应用所具备的应用权限之间的对应关系至少是根据以下数据得到的：

终端用户根据实际需求为各应用分配的应用权限；各应用的通用应用权限；以及，各应用所属类的通用应用权限。

其中，针对任一应用，终端用户根据实际需求为该应用分配的应用权限即为终端用户根据实际需求对该应用所进行的个性化权限设置，通常可用于用户重新安装该应用时使用；

另外，针对任一应用，该应用的通用应用权限主要是综合了其他终端用户对该应用的个性化权限设置所得到的，例如，如果有超过50％的终端用户对该应用的某项权限进行了禁止，则这个设置就成为该应用通用的权限设置；

再有，针对任一应用，该应用所属类的通用应用权限主要是综合了其他不同类应用的相应权限设置所得到的，例如，如果该应用属于多个分类，则按照取并集的原则，只要有某类应用对某项权限进行了禁止，则这个设置就成为该应用通用的权限设置。

另外，需要说明的是，所述应用与应用所具备的应用权限之间的对应关系的上述三个来源可具备不同的优先等级，如，终端用户根据实际需求为各应用分配的应用权限的优先等级通常可大于各应用的通用应用权限；各应用的通用应用权限的优先等级通常可大于各应用所属类的通用应用权限，本发明实施例对此不作赘述。

再有，需要说明的是，所述应用与应用所具备的应用权限之间的对应关系通常可存储在网络侧设备的权限库内，本发明实施例对此不作赘述。

进一步地，第一应用权限使用建议除了可包括终端侧权限使用建议之外，还可包括网络侧权限使用建议，本发明实施例对此不作赘述。

进一步地，在根据第一应用权限使用建议以及终端用户的实际权限需求对相应应用权限进行权限设置之后，所述方法还包括：

接收所述终端侧设备反馈的第一应用权限设置结果，并根据所述第一应用权限设置结果更新应用与应用所具备的应用权限之间的对应关系；

其中，所述第一应用权限设置结果是所述终端侧设备根据所述第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行相应的应用权限设置所得到的。

也就是说，可通过接收所述终端侧设备反馈的第一应用权限设置结果来更新网络侧设备中应用与应用所具备的应用权限之间的对应关系，从而保证对应关系的准确性。

步骤203：若接收到终端侧设备在应用的使用过程中，监测到所述应用使用了敏感权限时上报的所述应用的权限使用行为信息以及使用环境信息；则根据所述应用的权限使用行为信息以及使用环境信息，以及，使用所述应用的其他终端用户的历史通信行为信息，确定所述应用对应的第二应用权限使用建议，并将所述第二应用权限使用建议返回给所述终端侧设备；以及，接收所述终端侧设备根据所述第二应用权限使用建议以及终端用户的实际权限需求发送的权限指示信息，并根据所述权限指示信息，执行相应应用权限的禁止或放行。

具体地，所述应用的权限使用行为信息可包括：

是否在特定时间段内使用网络侧敏感权限；是否按照固定频率使用网络侧敏感权限；是否向特定的号码发送信息；发送内容是否非文字且包含敏感字段；或，是否向多个号码群发信息等。

所述应用的使用环境信息可包括：

所述应用是在前台运行还是后台运行，即，应用对终端用户来说是否为可见运行；

所述应用使用权限的行为是由终端用户触发还是应用自行发起；

与所述应用同时运行在同一终端内的应用的类型；

所述应用的联网方式是无线宽带WiFi还是移动数据网络；

所述应用使用权限的时间是否处于正常时间段内，如：是否在早上6点到晚上24点之间等。

当然，需要说明的是，所述应用的使用环境信息并不受限于上述举例的各信息，还可包括其他信息，如，若应用在后台运行，则同一时间在前台运行的应用是否存在被窃取信息的风险等；或者，若应用的联网方式为移动数据网络，则应用传输的数据量是否过大等，本发明实施例对此不作限定。

进一步地，其他终端用户的历史通信行为信息可包括：其他不同的终端用户在使用所述应用时，是否都在某特定时间段使用网络侧敏感权限；其他不同的终端用户在使用所述应用时，是否都按照某个固定的频率使用网络侧敏感权限；不同的终端用户在使用所述应用时，是否都向向特定的号码发送信息并且发送内容包含敏感字段；其他不同的终端用户在使用所述应用时，是否都向多个号码群发信息等。

另外，与所述应用与应用所具备的应用权限之间的对应关系相类似，使用所述应用的其他终端用户的历史通信行为信息通常也可存储于所述网络侧设备的权限库内。

进一步地，需要说明的是，所述第二应用权限使用建议通常是所述网络侧设备根据所述应用的权限使用行为信息以及使用环境信息、以及使用所述应用的其他终端用户的历史通信行为信息进行大数据分析得来的，具体的分析依据可如表3所示。

表3：应用权限使用建议依据表

进一步地，所述网络侧设备接收到的权限指示信息可以是：

终端侧设备在确定所述网络侧设备返回的第二应用权限使用建议符合终端用户的实际权限需求，向所述网络侧设备发送的用于同意所述第二应用权限使用建议的权限指示信息(即，确定所述第二应用权限使用建议正确的权限指示信息)；或者，可以是

若确定所述网络侧设备返回的第二应用权限使用建议不符合终端用户的实际权限需求，则根据终端用户的实际权限需求对所述网络侧设备返回的第二应用权限使用建议进行修改后，向所述网络侧设备发送的用于同意修改后的第二应用权限使用建议的权限指示信息。

进一步地，所述网络侧设备在接收到所述权限指示信息后，可通过以下方式执行相应应用权限的禁止或放行：

控制网络中的相关网元(如短信平台、交换机等)为相应应用提供相关应用权限的使用或禁止相关应用权限的使用等。

进一步地，在根据所述权限指示信息执行相应应用权限的禁止或放行之后，所述网络侧设备还可将相应的处理结果反馈给终端侧设备，以便终端侧设备得知相应应用权限的禁止或放行等状况。

即，如果网络侧设备经过动态分析给出的权限使用建议是所述应用不能使用某项敏感权限，则网络侧设备可向终端侧设备发送询问信息，若终端用户同意给予所述应用该项敏感权限，则终端侧设备可指示网络侧设备执行终端用户的指示，相应地，网络侧设备在执行相应操作后，还可将执行禁止或放行的处理结果反馈给终端侧设备以告知终端用户。

本发明实施二例提供了一种应用权限的管理方法，可通过终端侧与网络侧的相互配合，对应用安装过程中以及使用过程中的敏感权限设置给出相应建议，如，若接收到终端侧设备在应用的安装过程中，发送的应用权限查询请求，则可根据所述应用权限查询请求，以及应用与应用所具备的应用权限建议之间的对应关系，确定所述应用对应的第一应用权限使用建议，并将所述第一应用权限设置建议返回给所述终端侧设备；或者，若接收到终端侧设备在应用的使用过程中，监测到所述应用使用了敏感权限时上报的所述应用的权限使用行为信息以及使用环境信息，则可根据所述应用的权限使用行为信息以及使用环境信息，以及，使用所述应用的其他终端用户的历史通信行为信息，确定所述应用对应的第二应用权限使用建议，并将所述第二应用权限使用建议返回给所述终端侧设备，以及，接收所述终端侧设备根据所述第二应用权限使用建议以及终端用户的实际权限需求，发送的权限指示信息，并根据所述权限指示信息，执行相应应用权限的禁止或放行，从而为用户提供了有效的应用权限管理，解决了现有的应用权限管理方法所存在的权限管理机制不灵活、以及安全性较低等问题，尤其解决了没有破解并获取root权限就无法对应用权限进行控制的问题，提高了应用权限管理的灵活性以及系统的安全性，提高了用户的应用体验。

实施例三：

下面，将以终端侧设备与网络侧设备交互执行为例，对本发明实施例一以及实施例二中涉及到的应用权限管理方法进行具体说明。

如图3所示，其为本发明实施例三中所述的第一种应用权限管理方法的流程示意图，该第一种应用权限管理方法可适用于应用安装场景，包括以下步骤：

步骤301：终端侧设备在应用的安装过程中，监测应用是否申请了敏感权限。

具体地，终端侧设备可通过分析应用的配置文件(如manifest.xml等)，监测该应用是否申请了敏感权限。

步骤302：终端侧设备若监测到所述应用申请了敏感权限，则向网络侧设备发送应用权限查询请求。

步骤303：网络侧设备根据终端侧设备发送的应用权限查询请求以及应用与应用所具备的应用权限之间的对应关系确定相应的第一应用权限使用建议。

需要说明的是，应用与应用所具备的应用权限之间的对应关系通常可存储在网络侧设备的权限库内。

步骤304：网络侧设备将第一应用权限使用建议返回给终端侧设备。

步骤305：终端侧设备根据所述第一应用权限使用建议以及终端用户的实际权限需求对所述应用进行相应的应用权限设置。

可选地，根据所述第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行相应的应用权限设置，可包括：

若确定所述网络侧设备返回的第一应用权限使用建议符合终端用户的实际权限需求，则根据所述网络侧设备返回的第一应用权限使用建议对所述应用进行相应的应用权限设置；或者，

若确定所述网络侧设备返回的第一应用权限使用建议不符合终端用户的实际权限需求，则根据终端用户的实际权限需求对所述网络侧设备返回的第一应用权限使用建议进行修改，并根据修改后的第一应用权限使用建议对所述应用进行相应的应用权限设置。

进一步地，根据所述第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行相应的应用权限设置，还可包括：

若确定具备终端root权限，则根据所述网络侧设备返回的第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行终端侧应用权限以及网络侧应用权限的权限设置；或者，

若确定不具备终端root权限，则根据所述网络侧设备返回的第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行网络侧应用权限的权限设置。

进一步地，需要说明的是，终端侧设备在接收到第一应用权限使用建议时，可将第一应用权限使用建议展示给终端用户，以便终端用户根据展示的第一应用权限使用建议，确定第一应用权限使用建议是否符合终端用户的实际权限需求。

步骤306：终端侧设备将第一应用权限设置结果反馈给网络侧设备。

其中，所述第一应用权限设置结果是所述终端侧设备根据所述第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行相应的应用权限设置所得到的。

步骤307：网络侧设备根据第一应用权限设置结果，更新应用与应用所具备的应用权限之间的对应关系等。

即，网络侧设备可通过接收所述终端侧设备反馈的所述第一应用权限设置结果来更新网络侧设备中应用与应用所具备的应用权限之间的对应关系，从而保证对应关系的准确性。

进一步地，本发明实施例三还提供了第二种应用权限的管理方法，如图4所示，其为本发明实施例三中所述的第二种应用权限的管理方法的流程示意图，该第二种应用权限的管理方法可适用于应用的使用场景，包括以下步骤：

步骤401：终端侧设备在应用的使用过程中，监测应用是否使用了敏感权限。

具体地，终端侧设备可通过分析应用的配置文件(如manifest.xml等)，监测该应用是否使用了敏感权限。

步骤402：终端侧设备若监测到所述应用使用了敏感权限，则向网络侧设备上报所述应用的权限使用行为信息以及使用环境信息。

具体地，所述应用的权限使用行为信息可包括：

是否在特定时间段内使用网络侧敏感权限；是否按照固定频率使用网络侧敏感权限；是否向特定的号码发送信息；发送内容是否非文字且包含敏感字段；或，是否向多个号码群发信息等。

所述应用的使用环境信息可包括：

所述应用是在前台运行还是后台运行，即，应用对终端用户来说是否为可见运行；

所述应用使用权限的行为是由终端用户触发还是应用自行发起；

与所述应用同时运行在同一终端内的应用的类型；

所述应用的联网方式是无线宽带WiFi还是移动数据网络；

所述应用使用权限的时间是否处于正常时间段内，如：是否在早上6点到晚上24点之间等。

步骤403：网络侧设备根据终端侧设备上报的所述应用的权限使用行为信息以及使用环境信息，以及其他终端用户的历史通信行为信息确定第二应用权限使用建议。

具体地，所述第二应用权限使用建议是所述网络侧设备根据所述应用的权限使用行为信息以及使用环境信息、以及使用所述应用的其他终端用户的历史通信行为信息进行大数据分析得来的。

需要说明的是，其他终端用户的历史通信行为信息可包括：其他不同的终端用户在使用所述应用时，是否都在某特定时间段使用网络侧敏感权限；其他不同的终端用户在使用所述应用时，是否都按照某个固定的频率使用网络侧敏感权限；不同的终端用户在使用所述应用时，是否都向向特定的号码发送信息并且发送内容包含敏感字段；其他不同的终端用户在使用所述应用时，是否都向多个号码群发信息等。

步骤404：网络侧设备将所述第二应用权限使用建议返回给终端侧设备。

具体地，网络侧设备通过动态分析后将相应的第二应用权限使用建议返回给终端侧设备；

也就是说，网络侧设备返回终端侧设备的第二应用权限使用建议可通过网络侧设备以及终端侧设备的相互交互得到的，也可包括对其他终端用户的历史通信行为信息大数据进行的分析。

步骤405：终端侧设备根据网络侧设备返回的第二应用权限使用建议以及终端用户的实际权限需求向网络侧设备发送相应的权限指示信息。

具体的，向网络侧设备发送相应的权限指示信息可包括：

若确定所述网络侧设备返回的第二应用权限使用建议符合终端用户的实际权限需求，则向所述网络侧设备发送用于同意所述第二应用权限使用建议的权限指示信息；或者，

若确定所述网络侧设备返回的第二应用权限使用建议不符合终端用户的实际权限需求，则根据终端用户的实际权限需求对所述网络侧设备返回的第二应用权限使用建议进行修改，并向所述网络侧设备发送用于同意修改后的第二应用权限使用建议的权限指示信息。

步骤406：网络侧设备根据所述权限指示信息对所述应用执行相应应用权限的禁止或放行。

具体地，所述网络侧设备在接收到所述权限指示信息后，可通过以下方式执行相应应用权限的禁止或放行：

控制网络中的相关网元(如短信平台、交换机等)为相应应用提供相关应用权限的使用或禁止相关应用权限的使用等。

步骤407：网络侧设备将对所述应用执行相应应用权限的禁止或放行的处理结果反馈给终端侧设备。

即，如果网络侧设备经过动态分析给出的权限使用建议是所述应用不能使用某项敏感权限，则网络侧设备可向终端侧设备发送询问信息，若终端用户同意给予所述应用该项敏感权限，则终端侧设备可指示网络侧设备执行终端用户的指示，相应地，网络侧设备在执行相应操作后，还可将执行禁止或放行的处理结果反馈给终端侧设备以告知终端用户。

实施例四：

基于与本发明实施例一相同的发明构思，本发明实施例四提供了一种终端侧设备，具体地，如图5所示，其为本发明实施例四中所述的终端侧设备的结构示意图，所述的终端侧设备可包括：

权限监测模块51，用于在应用的安装过程中，监测所述应用是否申请了敏感权限；或，在应用的使用过程中，监测所述应用是否使用了敏感权限；

权限发送模块52，用于若根据所述权限监测模块51的监测结果，确定在应用的安装过程中，所述应用申请了敏感权限，则向所述网络侧设备发送应用权限查询请求；或，若根据所述权限监测模块51的监测结果，确定在应用的使用过程中，所述应用申请了敏感权限，则获取所述应用的权限使用行为信息以及使用环境信息，并将所述应用的权限使用行为信息以及使用环境信息上报给网络侧设备；

权限处理模块53，用于接收所述网络侧设备根据所述应用权限查询请求、以及应用与应用所具备的应用权限之间的对应关系所返回的第一应用权限使用建议，并根据所述第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行相应的应用权限设置；或，接收所述网络侧设备根据所述应用的权限使用行为信息以及使用环境信息、以及使用所述应用的其他终端用户的历史通信行为信息返回的第二应用权限使用建议，并根据所述第二应用权限使用建议以及终端用户的实际权限需求，向所述网络侧设备发送权限指示信息，以由所述网络侧设备根据所述权限指示信息，执行相应应用权限的禁止或放行。

具体地，如表1所示，所述敏感权限可包括终端侧敏感权限以及网络侧敏感权限，其中：

所述终端侧敏感权限可包括以下权限：访问联系人、获取手机号码、读取短信记录、读取通话记录、发送短信、拨打电话、监听手机通话、使用话筒录音、开启摄像头、打开移动网络开关、或完全网络访问等；

所述网络侧敏感权限可包括以下权限：发消息权限、网络传输权限、通话权限或网络发送权限等，本发明实施例对此不作赘述。

进一步地，如表2所示，所述应用的权限使用行为信息可包括：是否在特定时间段内使用网络侧敏感权限；是否按照固定频率使用网络侧敏感权限；是否向特定的号码发送信息；发送内容是否非文字且包含敏感字段；或，是否向多个号码群发信息等。

进一步地，所述应用的使用环境信息可包括：

所述应用是在前台运行还是后台运行，即，应用对终端用户来说是否为可见运行；

所述应用使用权限的行为是由终端用户触发还是应用自行发起；

与所述应用同时运行在同一终端内的应用的类型；

所述应用的联网方式是无线宽带WiFi还是移动数据网络；

所述应用使用权限的时间是否处于正常时间段内，如：是否在早上6点到晚上24点之间等。

进一步地，所述应用与应用所具备的应用权限之间的对应关系至少是根据以下数据得到的：

终端用户根据实际需求为各应用分配的应用权限；各应用的通用应用权限；以及，各应用所属类的通用应用权限。

其中，针对任一应用，终端用户根据实际需求为该应用分配的应用权限即为终端用户根据实际需求对该应用所进行的个性化权限设置，通常可用于用户重新安装该应用时使用；

另外，针对任一应用，该应用的通用应用权限主要是综合了其他终端用户对该应用的个性化权限设置所得到的，例如，如果有超过50％的终端用户对该应用的某项权限进行了禁止，则这个设置就成为该应用通用的权限设置；

再有，针对任一应用，该应用所属类的通用应用权限主要是综合了其他不同类应用的相应权限设置所得到的，例如，如果该应用属于多个分类，则按照取并集的原则，只要有某类应用对某项权限进行了禁止，则这个设置就成为该应用通用的权限设置。

另外，需要说明的是，所述应用与应用所具备的应用权限之间的对应关系的上述三个来源可具备不同的优先等级，如，终端用户根据实际需求为各应用分配的应用权限的优先等级通常可大于各应用的通用应用权限；各应用的通用应用权限的优先等级通常可大于各应用所属类的通用应用权限，本发明实施例对此不作赘述。

再有，需要说明的是，所述应用与应用所具备的应用权限之间的对应关系通常可存储在网络侧设备内(如网络侧设备的权限库内)，本发明实施例对此也不作赘述。

进一步地，需要说明的是，所述第一应用权限使用建议除了可包括终端侧权限使用建议之外，还可包括网络侧权限使用建议，本发明实施例对此不作赘述。

进一步地，所述权限处理模块53具体可用于若确定所述网络侧设备返回的第一应用权限使用建议符合终端用户的实际权限需求，则根据所述网络侧设备返回的第一应用权限使用建议对所述应用进行相应的应用权限设置；或者，

若确定所述网络侧设备返回的第一应用权限使用建议不符合终端用户的实际权限需求，则根据终端用户的实际权限需求对所述网络侧设备返回的第一应用权限使用建议进行修改，并根据修改后的第一应用权限使用建议对所述应用进行相应的应用权限设置。

也就是说，在应用的安装过程中，对所述应用的权限设置可参考网络侧设备返回的第一应用权限使用建议以终端用户的实际权限需求，且，通常可以终端用户的实际权限需求为主，本发明实施例对此不作赘述。

进一步地，所述权限处理模块53，具体还可用于若确定所述终端侧设备具备终端root权限，则根据所述网络侧设备返回的第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行终端侧应用权限以及网络侧应用权限的权限设置；或者，

若确定所述终端侧设备不具备终端root权限，则根据所述网络侧设备返回的第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行网络侧应用权限的权限设置。

也就是说，在具备终端root权限时，能够根据第一应用权限使用建议以及终端用户的实际权限需求对终端侧以及网络侧一并进行权限设置，当不具备终端root权限时，则通常仅可根据第一应用权限使用建议以及终端用户的实际权限需求对网络侧权限进行相应设置，本发明实施例对此不作赘述。

进一步地，所述权限处理模块53，具体可用于若确定所述网络侧设备返回的第二应用权限使用建议符合终端用户的实际权限需求，则向所述网络侧设备发送用于同意所述第二应用权限使用建议的权限指示信息；或者，

若确定所述网络侧设备返回的第二应用权限使用建议不符合终端用户的实际权限需求，则根据终端用户的实际权限需求对所述网络侧设备返回的第二应用权限使用建议进行修改，并向所述网络侧设备发送用于同意修改后的第二应用权限使用建议的权限指示信息。

需要说明的是，所述第二应用权限使用建议通常是所述网络侧设备根据所述应用的权限使用行为信息以及使用环境信息、以及使用所述应用的其他终端用户的历史通信行为信息进行大数据分析得来的。

其中，使用所述应用的其他终端用户的历史通信行为信息可包括：其他终端用户在使用所述应用时，是否都在某特定时间段使用网络侧敏感权限；其他终端用户在使用所述应用时，是否都按照某个固定的频率使用网络侧敏感权限；其他终端用户在使用所述应用时，是否都向特定的号码发送信息；其他终端用户在使用所述应用时，是否都向多个号码群发信息等，本发明实施例对此不作限定。

进一步地，需要说明的是，所述第二应用权限使用建议通常可仅包括网络侧权限使用建议；当然，需要说明的是，其还可包括终端侧权限使用建议，本发明实施例对此不作任何限定。

进一步地，所述终端侧设备还可包括反馈模块54，所述反馈模块54可用于在根据所述第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行相应的应用权限设置之后，将根据所述第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行相应的应用权限设置所得到的第一应用权限设置结果反馈给网络侧设备，以由所述网络侧设备根据所述第一应用权限设置结果更新应用与应用所具备的应用权限之间的对应关系。

实施例五：

基于与本发明实施例二相同的发明构思，本发明实施例五提供了一种网络侧设备，具体地，如图6所示，其为本发明实施例四种所述的网络侧设备的结构示意图，所述的网络侧设备可包括：

接收模块61，用于接收终端侧设备在应用的安装过程中，发送的应用权限查询请求，所述应用权限查询请求是所述终端侧设备在监测到所述应用申请了敏感权限时，向所述网络侧设备发送的；或，接收终端侧设备在应用的使用过程中，监测到所述应用使用了敏感权限时上报的所述应用的权限使用行为信息以及使用环境信息；

处理模块62，用于根据所述应用权限查询请求，以及应用与应用所具备的应用权限建议之间的对应关系，确定所述应用对应的第一应用权限使用建议；或，根据所述应用的权限使用行为信息以及使用环境信息，以及，使用所述应用的其他终端用户的历史通信行为信息，确定所述应用对应的第二应用权限使用建议；

发送模块63，用于将所述第一应用权限使用建议返回给所述终端侧设备；或，将所述第二应用权限使用建议返回给所述终端侧设备；

所述接收模块61，还用于接收所述终端侧设备根据所述第二应用权限使用建议以及终端用户的实际权限需求，发送的权限指示信息；

所述处理模块62，还用于根据所述权限指示信息，执行相应应用权限的禁止或放行。

具体地，所述应用的权限使用行为信息可包括：

是否在特定时间段内使用网络侧敏感权限；是否按照固定频率使用网络侧敏感权限；是否向特定的号码发送信息；发送内容是否非文字且包含敏感字段；或，是否向多个号码群发信息等。

所述应用的使用环境信息可包括：

所述应用是在前台运行还是后台运行，即，应用对终端用户来说是否为可见运行；所述应用使用权限的行为是由终端用户触发还是应用自行发起；与所述应用同时运行在同一终端内的应用的类型；所述应用的联网方式是无线宽带WiFi还是移动数据网络；所述应用使用权限的时间是否处于正常时间段内，如：是否在早上6点到晚上24点之间等。

进一步地，所述应用与应用所具备的应用权限之间的对应关系至少是根据以下数据得到的：

终端用户根据实际需求为各应用分配的应用权限；各应用的通用应用权限；以及，各应用所属类的通用应用权限。

其中，针对任一应用，终端用户根据实际需求为该应用分配的应用权限即为终端用户根据实际需求对该应用所进行的个性化权限设置，通常可用于用户重新安装该应用时使用；

另外，针对任一应用，该应用的通用应用权限主要是综合了其他终端用户对该应用的个性化权限设置所得到的，例如，如果有超过50％的终端用户对该应用的某项权限进行了禁止，则这个设置就成为该应用通用的权限设置；

再有，针对任一应用，该应用所属类的通用应用权限主要是综合了其他不同类应用的相应权限设置所得到的，例如，如果该应用属于多个分类，则按照取并集的原则，只要有某类应用对某项权限进行了禁止，则这个设置就成为该应用通用的权限设置。

另外，需要说明的是，所述应用与应用所具备的应用权限之间的对应关系的上述三个来源可具备不同的优先等级，如，终端用户根据实际需求为各应用分配的应用权限的优先等级通常可大于各应用的通用应用权限；各应用的通用应用权限的优先等级通常可大于各应用所属类的通用应用权限，本发明实施例对此不作赘述。

进一步地，需要说明的是，所述第一、第二应用权限使用建议除了可包括终端侧权限使用建议之外，还可包括网络侧权限使用建议；另外，需要说明的是，所述第二应用权限使用建议通常是所述网络侧设备根据所述应用的权限使用行为信息以及使用环境信息、以及使用所述应用的其他终端用户的历史通信行为信息进行大数据分析得来的。

其中，其他终端用户的历史通信行为信息可包括：其他不同的终端用户在使用所述应用时，是否都在某特定时间段使用网络侧敏感权限；其他不同的终端用户在使用所述应用时，是否都按照某个固定的频率使用网络侧敏感权限；不同的终端用户在使用所述应用时，是否都向向特定的号码发送信息并且发送内容包含敏感字段；其他不同的终端用户在使用所述应用时，是否都向多个号码群发信息等。

进一步地，所述接收模块61还可用于在所述发送模块将所述第一应用权限使用建议返回给所述终端侧设备之后，接收所述终端侧设备反馈的第一应用权限设置结果；其中，所述第一应用权限设置结果是所述终端侧设备根据所述第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行相应的应用权限设置所得到的；

所述处理模块62，还可用于根据所述第一应用权限设置结果更新应用与应用所具备的应用权限之间的对应关系。

进一步地，所述网络侧设备还可包括反馈模块64：

所述反馈模块64，可用于在所述处理模块62根据所述权限指示信息执行相应应用权限的禁止或放行之后，将所述处理模块62根据所述权限指示信息执行相应应用权限的禁止或放行的处理结果反馈给终端侧设备。

另外，需要说明的是，所述网络侧设备还可包括用于存储所述应用与应用所具备的应用权限之间的对应关系、以及使用所述应用的其他终端用户的历史通信行为信息的存储模块等，本发明实施例对此不作限定。

实施例六：

基于与本发明实施例三相同的发明构思，本发明实施例六提供了一种应用权限的管理系统，具体地，如图7所示，其为本发明实施例六中所述的系统的结构示意图，所述的系统可包括：终端侧设备71以及网络侧设备72：

所述终端侧设备71，用于在应用的安装过程中，若监测到所述应用申请了敏感权限，则向网络侧设备72发送应用权限查询请求；并根据所述网络侧设备72返回的第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行相应的应用权限设置；或者，在应用的使用过程中，若监测到所述应用使用了敏感权限，则获取所述应用的权限使用行为信息以及使用环境信息，并将所述应用的权限使用行为信息以及使用环境信息上报给网络侧设备72；以及，接收所述网络侧设备72返回的第二应用权限使用建议，并根据所述第二应用权限使用建议以及终端用户的实际权限需求，向所述网络侧设备72发送相应的权限指示信息；

所述网络侧设备72，用于接收终端侧设备71在应用的安装过程中，发送的应用权限查询请求，并根据所述应用权限查询请求，以及应用与应用所具备的应用权限建议之间的对应关系，确定所述应用对应的第一应用权限使用建议，并将所述第一应用权限使用建议返回给所述终端侧设备71；或者，接收终端侧设备71在应用的使用过程中，上报的所述应用的权限使用行为信息以及使用环境信息；并根据所述应用的权限使用行为信息以及使用环境信息，以及，使用所述应用的其他终端用户的历史通信行为信息，确定所述应用对应的第二应用权限使用建议，并将所述第二应用权限使用建议返回给所述终端侧设备71；以及，接收所述终端侧设备71根据所述第二应用权限使用建议以及终端用户的实际权限需求，发送的权限指示信息，并根据所述权限指示信息，执行相应应用权限的禁止或放行。

本领域技术人员应明白，本发明的实施例可提供为方法、装置(设备)、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、装置(设备)和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (29)

1.一种应用权限的管理方法，其特征在于，包括：

在应用的安装过程中，若监测到所述应用申请了敏感权限，则向网络侧设备发送应用权限查询请求；以及，接收所述网络侧设备根据所述应用权限查询请求、以及应用与应用所具备的应用权限之间的对应关系返回的第一应用权限使用建议，并根据所述第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行相应的应用权限设置；或者，

在应用的使用过程中，若监测到所述应用使用了敏感权限，则获取所述应用的权限使用行为信息以及使用环境信息，并将所述应用的权限使用行为信息以及使用环境信息上报给网络侧设备；以及，接收所述网络侧设备根据所述应用的权限使用行为信息以及使用环境信息、以及使用所述应用的其他终端用户的历史通信行为信息返回的第二应用权限使用建议，并根据所述第二应用权限使用建议以及终端用户的实际权限需求，向所述网络侧设备发送权限指示信息，以由所述网络侧设备根据所述权限指示信息，执行相应应用权限的禁止或放行。

2.如权利要求1所述的方法，其特征在于，所述敏感权限包括终端侧敏感权限以及网络侧敏感权限；

所述终端侧敏感权限不限于为以下权限：访问联系人、获取手机号码、读取短信记录、读取通话记录、发送短信、拨打电话、监听手机通话、使用话筒录音、开启摄像头、打开移动网络开关、或完全网络访问；

所述网络侧敏感权限不限于为以下权限：发消息权限、网络传输权限、通话权限或网络发送权限。

3.如权利要求1所述的方法，其特征在于，根据所述第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行相应的应用权限设置，包括：

若确定所述网络侧设备返回的第一应用权限使用建议符合终端用户的实际权限需求，则根据所述网络侧设备返回的第一应用权限使用建议对所述应用进行相应的应用权限设置；或者，

若确定所述网络侧设备返回的第一应用权限使用建议不符合终端用户的实际权限需求，则根据终端用户的实际权限需求对所述网络侧设备返回的第一应用权限使用建议进行修改，并根据修改后的第一应用权限使用建议对所述应用进行相应的应用权限设置。

4.如权利要求1所述的方法，其特征在于，根据所述第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行相应的应用权限设置，包括：

若确定具备终端root权限，则根据所述网络侧设备返回的第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行终端侧应用权限以及网络侧应用权限的权限设置；或者，

若确定不具备终端root权限，则根据所述网络侧设备返回的第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行网络侧应用权限的权限设置。

5.如权利要求1所述的方法，其特征在于，所述应用与应用所具备的应用权限之间的对应关系至少是根据以下数据得到的：

终端用户根据实际需求为各应用分配的应用权限；各应用的通用应用权限；以及，各应用所属类的通用应用权限。

6.如权利要求1所述的方法，其特征在于，所述应用的权限使用行为信息包括：

是否在特定时间段内使用网络侧敏感权限；是否按照固定频率使用网络侧敏感权限；是否向特定的号码发送信息；发送内容是否非文字且包含敏感字段；或，是否向多个号码群发信息；

所述应用的使用环境信息包括：

所述应用是在前台运行还是后台运行；所述应用使用权限的行为是由终端用户触发还是应用自行发起；与所述应用同时运行在同一终端内的应用的类型；所述应用的联网方式是无线宽带WiFi还是移动数据网络；或，所述应用使用权限的时间是否处于正常时间段内。

7.如权利要求1所述的方法，其特征在于，所述第二应用权限使用建议是所述网络侧设备根据所述应用的权限使用行为信息以及使用环境信息、以及使用所述应用的其他终端用户的历史通信行为信息进行大数据分析得来的。

8.如权利要求1所述的方法，其特征在于，根据所述第二应用权限使用建议以及终端用户的实际权限需求，向所述网络侧设备发送权限指示信息，包括：

若确定所述网络侧设备返回的第二应用权限使用建议符合终端用户的实际权限需求，则向所述网络侧设备发送用于同意所述第二应用权限使用建议的权限指示信息；或者，

若确定所述网络侧设备返回的第二应用权限使用建议不符合终端用户的实际权限需求，则根据终端用户的实际权限需求对所述网络侧设备返回的第二应用权限使用建议进行修改，并向所述网络侧设备发送用于同意修改后的第二应用权限使用建议的权限指示信息。

9.如权利要求1所述的方法，其特征在于，在根据所述第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行相应的应用权限设置之后，所述方法还包括：

将根据所述第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行相应的应用权限设置所得到的第一应用权限设置结果反馈给网络侧设备，以由所述网络侧设备根据所述第一应用权限设置结果更新应用与应用所具备的应用权限之间的对应关系。

10.一种应用权限的管理方法，其特征在于，包括：

接收终端侧设备在应用的安装过程中，发送的应用权限查询请求，所述应用权限查询请求是所述终端侧设备在监测到所述应用申请了敏感权限时，向所述网络侧设备发送的；根据所述应用权限查询请求，以及应用与应用所具备的应用权限建议之间的对应关系，确定所述应用对应的第一应用权限使用建议，并将所述第一应用权限使用建议返回给所述终端侧设备；或者，

接收终端侧设备在应用的使用过程中，监测到所述应用使用了敏感权限时上报的所述应用的权限使用行为信息以及使用环境信息；并根据所述应用的权限使用行为信息以及使用环境信息，以及，使用所述应用的其他终端用户的历史通信行为信息，确定所述应用对应的第二应用权限使用建议，并将所述第二应用权限使用建议返回给所述终端侧设备；以及，接收所述终端侧设备根据所述第二应用权限使用建议以及终端用户的实际权限需求，发送的权限指示信息，并根据所述权限指示信息，执行相应应用权限的禁止或放行。

11.如权利要求10所述的方法，其特征在于，所述应用与应用所具备的应用权限之间的对应关系至少是根据以下数据得到的：

终端用户根据实际需求为各应用分配的应用权限；各应用的通用应用权限；以及，各应用所属类的通用应用权限。

12.如权利要求10所述的方法，其特征在于，所述第二应用权限使用建议是所述网络侧设备根据所述应用的权限使用行为信息以及使用环境信息、以及使用所述应用的其他终端用户的历史通信行为信息进行大数据分析得来的。

13.如权利要求11所述的方法，其特征在于，在将所述第一应用权限设置建议返回给所述终端侧设备之后，所述方法还包括：

接收所述终端侧设备反馈的第一应用权限设置结果，并根据所述第一应用权限设置结果更新应用与应用所具备的应用权限之间的对应关系；

其中，所述第一应用权限设置结果是所述终端侧设备根据所述第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行相应的应用权限设置所得到的。

14.如权利要求10所述的方法，其特征在于，在根据所述权限指示信息执行相应应用权限的禁止或放行之后，所述方法还包括：

将根据所述权限指示信息执行相应应用权限的禁止或放行的处理结果反馈给终端侧设备。

15.一种终端侧设备，其特征在于，包括：

权限监测模块，用于在应用的安装过程中，监测所述应用是否申请了敏感权限；或，在应用的使用过程中，监测所述应用是否使用了敏感权限；

权限发送模块，用于若根据所述权限监测模块的监测结果，确定在应用的安装过程中，所述应用申请了敏感权限，则向所述网络侧设备发送应用权限查询请求；或，若根据所述权限监测模块的监测结果，确定在应用的使用过程中，所述应用申请了敏感权限，则获取所述应用的权限使用行为信息以及使用环境信息，并将所述应用的权限使用行为信息以及使用环境信息上报给网络侧设备；

权限处理模块，用于接收所述网络侧设备根据所述应用权限查询请求、以及应用与应用所具备的应用权限之间的对应关系所返回的第一应用权限使用建议，并根据所述第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行相应的应用权限设置；或，接收所述网络侧设备根据所述应用的权限使用行为信息以及使用环境信息、以及使用所述应用的其他终端用户的历史通信行为信息返回的第二应用权限使用建议，并根据所述第二应用权限使用建议以及终端用户的实际权限需求，向所述网络侧设备发送权限指示信息，以由所述网络侧设备根据所述权限指示信息，执行相应应用权限的禁止或放行。

16.如权利要求15所述的设备，其特征在于，所述敏感权限包括终端侧敏感权限以及网络侧敏感权限；

所述终端侧敏感权限不限于为以下权限：访问联系人、获取手机号码、读取短信记录、读取通话记录、发送短信、拨打电话、监听手机通话、使用话筒录音、开启摄像头、打开移动网络开关、或完全网络访问；

所述网络侧敏感权限不限于为以下权限：发消息权限、网络传输权限、通话权限或网络发送权限。

17.如权利要求15所述的设备，其特征在于，

所述权限处理模块，具体用于若确定所述网络侧设备返回的第一应用权限使用建议符合终端用户的实际权限需求，则根据所述网络侧设备返回的第一应用权限使用建议对所述应用进行相应的应用权限设置；或者，

若确定所述网络侧设备返回的第一应用权限使用建议不符合终端用户的实际权限需求，则根据终端用户的实际权限需求对所述网络侧设备返回的第一应用权限使用建议进行修改，并根据修改后的第一应用权限使用建议对所述应用进行相应的应用权限设置。

18.如权利要求15所述的设备，其特征在于，

所述权限处理模块，具体用于若确定所述终端侧设备具备终端root权限，则根据所述网络侧设备返回的第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行终端侧应用权限以及网络侧应用权限的权限设置；或者，

若确定所述终端侧设备不具备终端root权限，则根据所述网络侧设备返回的第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行网络侧应用权限的权限设置。

19.如权利要求15所述的设备，其特征在于，所述应用与应用所具备的应用权限之间的对应关系至少是根据以下数据得到的：

终端用户根据实际需求为各应用分配的应用权限；各应用的通用应用权限；以及，各应用所属类的通用应用权限。

20.如权利要求15所述的设备，其特征在于，所述应用的权限使用行为信息包括：

是否在特定时间段内使用网络侧敏感权限；是否按照固定频率使用网络侧敏感权限；是否向特定的号码发送信息；发送内容是否非文字且包含敏感字段；或，是否向多个号码群发信息；

所述应用的使用环境信息包括：

所述应用是在前台运行还是后台运行；所述应用使用权限的行为是由终端用户触发还是应用自行发起；与所述应用同时运行在同一终端内的应用的类型；所述应用的联网方式是无线宽带WiFi还是移动数据网络；或，所述应用使用权限的时间是否处于正常时间段内。

21.如权利要求15所述的设备，其特征在于，所述第二应用权限使用建议是所述网络侧设备根据所述应用的权限使用行为信息以及使用环境信息、以及使用所述应用的其他终端用户的历史通信行为信息进行大数据分析得来的。

22.如权利要求15所述的设备，其特征在于，

所述权限处理模块，具体用于若确定所述网络侧设备返回的第二应用权限使用建议符合终端用户的实际权限需求，则向所述网络侧设备发送用于同意所述第二应用权限使用建议的权限指示信息；或者，

若确定所述网络侧设备返回的第二应用权限使用建议不符合终端用户的实际权限需求，则根据终端用户的实际权限需求对所述网络侧设备返回的第二应用权限使用建议进行修改，并向所述网络侧设备发送用于同意修改后的第二应用权限使用建议的权限指示信息。

23.如权利要求15所述的设备，其特征在于，所述设备还包括反馈模块：

所述反馈模块，用于在根据所述第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行相应的应用权限设置之后，将根据所述第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行相应的应用权限设置所得到的第一应用权限设置结果反馈给网络侧设备，以由所述网络侧设备根据所述第一应用权限设置结果更新应用与应用所具备的应用权限之间的对应关系。

24.一种网络侧设备，其特征在于，包括：

接收模块，用于接收终端侧设备在应用的安装过程中，发送的应用权限查询请求，所述应用权限查询请求是所述终端侧设备在监测到所述应用申请了敏感权限时，向所述网络侧设备发送的；或，接收终端侧设备在应用的使用过程中，监测到所述应用使用了敏感权限时上报的所述应用的权限使用行为信息以及使用环境信息；

处理模块，用于根据所述应用权限查询请求，以及应用与应用所具备的应用权限建议之间的对应关系，确定所述应用对应的第一应用权限使用建议；或，根据所述应用的权限使用行为信息以及使用环境信息，以及，使用所述应用的其他终端用户的历史通信行为信息，确定所述应用对应的第二应用权限使用建议；

发送模块，用于将所述第一应用权限使用建议返回给所述终端侧设备；或，将所述第二应用权限使用建议返回给所述终端侧设备；

所述接收模块，还用于接收所述终端侧设备根据所述第二应用权限使用建议以及终端用户的实际权限需求，发送的权限指示信息；

所述处理模块，还用于根据所述权限指示信息，执行相应应用权限的禁止或放行。

25.如权利要求24所述的设备，其特征在于，所述应用与应用所具备的应用权限之间的对应关系至少是根据以下数据得到的：

终端用户根据实际需求为各应用分配的应用权限；各应用的通用应用权限；以及，各应用所属类的通用应用权限。

26.如权利要求24所述的设备，其特征在于，所述第二应用权限使用建议是所述网络侧设备根据所述应用的权限使用行为信息以及使用环境信息、以及使用所述应用的其他终端用户的历史通信行为信息进行大数据分析得来的。

27.如权利要求24所述的设备，其特征在于，

所述接收模块，还用于在所述发送模块将所述第一应用权限使用建议返回给所述终端侧设备之后，接收所述终端侧设备反馈的第一应用权限设置结果；其中，所述第一应用权限设置结果是所述终端侧设备根据所述第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行相应的应用权限设置所得到的；

所述处理模块，还用于根据所述第一应用权限设置结果更新应用与应用所具备的应用权限之间的对应关系。

28.如权利要求24所述的设备，其特征在于，所述设备还包括反馈模块：

所述反馈模块，用于在所述处理模块根据所述权限指示信息执行相应应用权限的禁止或放行之后，将所述处理模块根据所述权限指示信息执行相应应用权限的禁止或放行的处理结果反馈给终端侧设备。

29.一种应用权限的管理系统，其特征在于，包括终端侧设备以及网络侧设备，其中：

所述终端侧设备，用于在应用的安装过程中，若监测到所述应用申请了敏感权限，则向网络侧设备发送应用权限查询请求；并根据所述网络侧设备返回的第一应用权限使用建议以及终端用户的实际权限需求，对所述应用进行相应的应用权限设置；或者，在应用的使用过程中，若监测到所述应用使用了敏感权限，则获取所述应用的权限使用行为信息以及使用环境信息，并将所述应用的权限使用行为信息以及使用环境信息上报给网络侧设备；以及，接收所述网络侧设备返回的第二应用权限使用建议，并根据所述第二应用权限使用建议以及终端用户的实际权限需求，向所述网络侧设备发送相应的权限指示信息；

所述网络侧设备，用于接收终端侧设备在应用的安装过程中，发送的应用权限查询请求，并根据所述应用权限查询请求，以及应用与应用所具备的应用权限建议之间的对应关系，确定所述应用对应的第一应用权限使用建议，并将所述第一应用权限使用建议返回给所述终端侧设备；或者，接收终端侧设备在应用的使用过程中，上报的所述应用的权限使用行为信息以及使用环境信息；并根据所述应用的权限使用行为信息以及使用环境信息，以及，使用所述应用的其他终端用户的历史通信行为信息，确定所述应用对应的第二应用权限使用建议，并将所述第二应用权限使用建议返回给所述终端侧设备；以及，接收所述终端侧设备根据所述第二应用权限使用建议以及终端用户的实际权限需求，发送的权限指示信息，并根据所述权限指示信息，执行相应应用权限的禁止或放行。