CN110727476A - 一种授权配置文件的生成方法、装置、设备及存储介质 - Google Patents
一种授权配置文件的生成方法、装置、设备及存储介质 Download PDFInfo
- Publication number
- CN110727476A CN110727476A CN201910967736.9A CN201910967736A CN110727476A CN 110727476 A CN110727476 A CN 110727476A CN 201910967736 A CN201910967736 A CN 201910967736A CN 110727476 A CN110727476 A CN 110727476A
- Authority
- CN
- China
- Prior art keywords
- authorization
- authorized
- allowed
- source code
- mapping table
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000013475 authorization Methods 0.000 title claims abstract description 218
- 238000000034 method Methods 0.000 title claims abstract description 70
- 230000006870 function Effects 0.000 claims abstract description 93
- 238000013507 mapping Methods 0.000 claims abstract description 81
- 238000005516 engineering process Methods 0.000 claims abstract description 17
- 230000008569 process Effects 0.000 claims description 22
- 238000004590 computer program Methods 0.000 claims description 8
- 238000004458 analytical method Methods 0.000 claims description 7
- 238000012545 processing Methods 0.000 description 7
- 238000010586 diagram Methods 0.000 description 6
- 230000003287 optical effect Effects 0.000 description 6
- 239000013307 optical fiber Substances 0.000 description 2
- 230000002093 peripheral effect Effects 0.000 description 2
- 230000000644 propagated effect Effects 0.000 description 2
- 230000009471 action Effects 0.000 description 1
- 238000003491 array Methods 0.000 description 1
- 230000009286 beneficial effect Effects 0.000 description 1
- 238000004891 communication Methods 0.000 description 1
- 238000012937 correction Methods 0.000 description 1
- 238000011161 development Methods 0.000 description 1
- 230000000694 effects Effects 0.000 description 1
- 230000008676 import Effects 0.000 description 1
- 230000007246 mechanism Effects 0.000 description 1
- 238000012797 qualification Methods 0.000 description 1
- 230000008707 rearrangement Effects 0.000 description 1
- 239000004065 semiconductor Substances 0.000 description 1
- 238000006467 substitution reaction Methods 0.000 description 1
- 238000012360 testing method Methods 0.000 description 1
- 230000001960 triggered effect Effects 0.000 description 1
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F9/00—Arrangements for program control, e.g. control units
- G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
- G06F9/44—Arrangements for executing specific programs
- G06F9/445—Program loading or initiating
- G06F9/44505—Configuring for program initiating, e.g. using registry, configuration files
- G06F9/4451—User profiles; Roaming
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
- G06F21/12—Protecting executable software
- G06F21/121—Restricting unauthorised execution of programs
- G06F21/125—Restricting unauthorised execution of programs by manipulating the program code, e.g. source code, compiled code, interpreted code, machine code
Landscapes
- Engineering & Computer Science (AREA)
- Software Systems (AREA)
- Theoretical Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Multimedia (AREA)
- Technology Law (AREA)
- Computer Hardware Design (AREA)
- Stored Programmes (AREA)
- Storage Device Security (AREA)
Abstract
本发明实施例公开了一种授权配置文件的生成方法、装置、设备及存储介质，所述方法包括：确定源码授权映射表，源码授权映射表中包括允许被匹配的具有标准功能的函数及其允许被操作的对象类型、以及允许的操作类型之间的映射关系；确定安全上下文文件，安全上下文文件包括允许操作的被操作对象所归属的属主类型；对待授权应用程序进行解析，通过关键字段识别技术结合所述源码授权映射表以及所述安全上下文文件获取授权语法格式中的各目标字段；将各目标字段填充至授权语法格式的对应位置，生成授权语句；基于授权语句生成授权配置文件。通过采用上述技术方案，实现了自动生成SELinux授权配置文件，提高授权效率，节省人力资源的目的。
Description
技术领域
本发明实施例涉及软件开发技术领域，尤其涉及一种授权配置文件的生成方法、装置、电子设备及存储介质。
背景技术
由于安卓Android系统的灵活性和良好的兼容性，使得越来越多的终端采用Android系统，同时也出现了大量的Android应用。其中大部分应用可能涉及用户的隐私信息，为了保证Android系统的安全性，Android系统的内核集成了SELinux(Security-Enhance Linux，安全增强系统)。SELinux的主要作用是最大限度地减小系统中服务进程可访问的资源。
在实现本发明的过程中，发明人发现现有技术至少存在如下问题：
目前Android系统的SELinux授权方式主要是开发人员根据日志信息手动添加SELinux授权，或者在编写应用代码的同时由开发人员手动为目标进程授权。根据日志信息添加SELinux授权的方式，需要预先对应用进行测试，以获得所述日志信息，而测试是一项非常耗时的操作，并且手动添加SELinux授权的方式显然效率较低，且对开发人员的资质具有较高的要求，目前大部分开发人员尚不具备此能力。
发明内容
本发明实施例提供一种授权配置文件的生成方法、装置、设备及存储介质，以实现自动生成SELinux授权配置文件，提高授权效率，节省人力资源的目的。
第一方面，本发明实施例提供了一种授权配置文件的生成方法，所述方法包括：
确定源码授权映射表，所述源码授权映射表中包括允许被匹配的具有标准功能的函数及其允许被操作的对象类型、以及允许的操作类型之间的映射关系；
确定安全上下文文件，所述安全上下文文件包括允许操作的被操作对象所归属的属主类型；
对待授权应用程序进行解析，通过关键字段识别技术结合所述源码授权映射表以及所述安全上下文文件获取授权语法格式中的各目标字段；
将所述各目标字段填充至授权语法格式的对应位置，生成授权语句；
基于所述授权语句生成授权配置文件。
进一步的，所述目标字段包括：进程类型subType、属主类型objType、操作对象类型objResType和操作类型permission。
进一步的，对待授权应用程序进行解析，通过关键字段识别技术结合所述源码授权映射表以及所述安全上下文文件获取授权语法格式中的各目标字段，包括：
对待授权应用程序所在目录的te文件进行解析，通过关键字段匹配获得待授权进程类型subType。
进一步的，对待授权应用程序进行解析，通过关键字段识别技术结合所述源码授权映射表以及所述安全上下文文件获取授权语法格式中的各目标字段，包括：
对待授权应用程序进行解析，并在待授权应用程序源码中匹配所述源码授权映射表中包括的允许被操作的函数，获得目标函数；
记录所述目标函数所在文件的文件名以及所在行的行号；
根据所述目标函数的参数从对应的所述安全上下文文件中确定被操作对象所归属的属主类型objType。
进一步的，将所述各目标字段填充至授权语法格式的对应位置，生成授权语句的同时，还包括：
将所述目标函数所在的文件名以及行号以注释的形式添加在授权语句所在行的行尾。
进一步的，所述方法还包括：
基于NeverAllow规则确定所述授权语句是否正确；
若所述授权语句不正确，则基于添加在授权语句所在行行尾的注释对问题代码进行定位。
进一步的，对待授权应用程序进行解析，通过关键字段识别技术结合所述源码授权映射表以及所述安全上下文文件获取授权语法格式中的各目标字段，包括：
对待授权应用程序进行解析，并在待授权应用程序源码中匹配所述源码授权映射表中包括的允许被操作的函数，获得目标函数；
基于所述源码授权映射表中包括的允许被匹配的具有标准功能的函数及其允许被操作的对象类型objResType、以及允许的操作类型permission之间的映射关系确定所述目标函数对应的对象类型objResType以及允许的操作类型permission。
第二方面，本发明实施例提供了一种授权配置文件的生成装置，所述装置包括：
第一确定模块，用于确定源码授权映射表，所述源码授权映射表中包括允许被匹配的具有标准功能的函数及其允许被操作的对象类型、以及允许的操作类型之间的映射关系；
第二确定模块，用于确定安全上下文文件，所述安全上下文文件包括允许操作的被操作对象所归属的属主类型；
解析模块，用于对待授权应用程序进行解析，通过关键字段识别技术结合所述源码授权映射表以及所述安全上下文文件获取授权语法格式中的各目标字段；
授权语句生成模块，用于将所述各目标字段填充至授权语法格式的对应位置，生成授权语句；
授权配置文件生成模块，用于基于所述授权语句生成授权配置文件。
第三方面，本发明实施例提供了一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现本发明实施例所述的授权配置文件的生成方法。
第四方面，本发明实施例提供了一种包含计算机可执行指令的存储介质，所述计算机可执行指令在由计算机处理器执行时实现本发明实施例所述的授权配置文件的生成方法。
本发明实施例提供的一种授权配置文件的生成方法，通过确定源码授权映射表，所述源码授权映射表中包括允许被匹配的具有标准功能的函数及其允许被操作的对象类型、以及允许的操作类型之间的映射关系；确定安全上下文文件，所述安全上下文文件包括允许操作的被操作对象所归属的属主类型；对待授权应用程序进行解析，通过关键字段识别技术结合所述源码授权映射表以及所述安全上下文文件获取授权语法格式中的各目标字段；将所述各目标字段填充至授权语法格式的对应位置，生成授权语句；基于所述授权语句生成授权配置文件的技术手段，实现了自动生成SELinux授权配置文件，提高授权效率，节省人力资源的目的。
附图说明
为了更清楚地说明本发明实施例中的技术方案，下面将对本发明实施例描述中所需要使用的附图作简单的介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据本发明实施例的内容和这些附图获得其他的附图。
图1为本发明实施例一提供的一种授权配置文件的生成方法的流程示意图；
图2为本发明实施例一提供的另一种授权配置文件的生成方法的流程示意图；
图3为本发明实施例二提供的一种授权配置文件的生成装置的结构示意图；
图4为本发明实施例三提供的一种电子设备的结构示意图。
具体实施方式
为使本发明解决的技术问题、采用的技术方案和达到的技术效果更加清楚，下面将结合附图对本发明实施例的技术方案作进一步的详细描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是的实施例。基于本发明中的实施例，本领域技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
实施例一
图1为本发明实施例一提供的一种授权配置文件的生成方法流程示意图。本实施例提供的授权配置文件的生成方法适用于自动对Android平台的程序进行SELinux授权的场景，以保证Android系统的安全性。SELinux的授权语法格式为：allow subType(:process)objType:objResType permission，其含义为：允许subType类型的授权主体(通常为某种类型的进程)具有对objType:objResType类型的客体的某种权限(权限具体例如是读或者写等操作)。本发明实施例的技术方案旨在通过源代码解析的自动化方式确定所述授权语法格式中的各目标字段(subType、objType、objResType以及permission)，以生成授权语句，进而生成授权配置文件。本实施例公开的授权配置文件的生成方法可以由授权配置文件的生成装置来执行，其中该装置可由软件和/或硬件实现，并一般集成在终端中，例如服务器。
如图1所示，该方法包括如下步骤：
步骤110、确定源码授权映射表，所述源码授权映射表中包括允许被匹配的具有标准功能的函数及其允许被操作的对象类型、以及允许的操作类型之间的映射关系。
其中，所述允许被匹配的具有标准功能的函数具体指由操作系统向软件开发者提供的一整套函数集合。假设待授权应用程序的源码形式为：open(param1，param2)；其中param1、param2为字符串，如果param1的结尾为“/”则代表被打开的是路径(dir)，如果param2为“O_RDONLY”则打开方式为只读，此时所述源码授权映射表中存储的映射关系具体为：open(file_path，read_only)；->dir{open read}，对应的允许被匹配的具有标准功能的函数为open，其允许被操作的对象类型objResType为dir，允许的操作类型permission为{open read}。
所述源码授权映射表起到授权操作专家库的作用，其明确指出允许哪些函数可以被操作、可以被执行什么类型的操作以及允许被操作的对象类型。如果每次都通过源码解析得到linux源码后再进行授权，会做很多重复且类似的解析操作，因此，通过源码授权映射表将历史的解析结果进行汇总，得到允许被匹配的具有标准功能的函数及其允许被操作的对象类型以及允许的操作类型之间的映射关系，可提高授权配置文件的生成速度，节省系统资源。
步骤120、确定安全上下文文件，所述安全上下文文件包括允许操作的被操作对象所归属的属主类型。
继续以上述授权语法“allow qq taobao_file:dir{open read}”为例，所述被操作对象dir所归属的属主类型objType为taobao_file，即允许qq类型的进程读或者打开taobao_file文件中的函数dir。具体的，需要检索Android源码中SELinux相关文件夹，将file_contexts(包含文件级别的objType)、genfs_contexts(包含文件系统级别的objType)、hwservice_contexts(包含硬件相关底层服务的objType)、service_contexts(包含其他服务的objType)以及property_contexts(包含属性的objType)确定为所述安全上下文文件。
步骤130、对待授权应用程序进行解析，通过关键字段识别技术结合所述源码授权映射表以及所述安全上下文文件获取授权语法格式中的各目标字段。
具体的，对待授权应用程序所在目录的te文件进行解析，通过关键字段匹配获得待授权进程类型subType。可以理解的是，在本领域内，约定在开发过程中源码文件夹中存放AA.te，即表示该源码对应的进程类型为AA。关键字段需要按照预先的约定进行设置，例如约定如果A目录下的源码编译输出的进程类型为AA，则在目录A下手动创建AA.te，此动作只需执行一次，之后系统即可通过搜索应用源码下后缀为.te的文件，即可确定其待授权进程类型subType。
例如，假设所述待授权应用程序为：
qq/src
1000:open(“/sdcard/android/taobao/user_log.txt”,“rw”)
qq/qq.te
则可确定待授权进程类型subType为qq。
进一步的，对待授权应用程序进行解析，通过关键字段识别技术结合所述源码授权映射表以及所述安全上下文文件获取授权语法格式中的各目标字段，还包括：
对待授权应用程序进行解析，并在待授权应用程序源码中匹配所述源码授权映射表中包括的允许被匹配的具有标准功能的函数，获得目标函数；
记录所述目标函数所在文件的文件名以及所在行的行号；
根据所述目标函数的参数从对应的所述安全上下文文件中确定被操作对象所归属的属主类型objType。
假设所述源码授权映射表为：open(file_path，read_only)；->dir{open read}；
所述安全上下文文件为：
/sdcard/android/taobao(/.*)？u:object_r:taobao_file:s0#taobao_file定义在file.te
所述待授权应用程序为：
qq/src
1000:open(“/sdcard/android/taobao/user_log.txt”,“rw”)
qq/qq.te
通过匹配获得目标函数open，进一步在待授权应用程序源码中确定所述目标函数open所在文件的文件名以及所在行的行号，并记录下所述文件名以及行号。进一步根据所述目标函数open的参数/sdcard/android/从对应的所述安全上下文文件中确定被操作对象所归属的属主类型objType，通过参数匹配获得所述属主类型objType为taobao_file。
进一步的，对待授权应用程序进行解析，通过关键字段识别技术结合所述源码授权映射表以及所述安全上下文文件获取授权语法格式中的各目标字段，还包括：
对待授权应用程序进行解析，并在待授权应用程序源码中匹配所述源码授权映射表中包括的允许被匹配的具有标准功能的函数，获得目标函数；
基于所述源码授权映射表中包括的允许被匹配的具有标准功能的函数及其允许被操作的对象类型objResType以及允许的操作类型permission之间的映射关系确定所述目标函数对应的对象类型objResType以及允许的操作类型permission。
例如，假设待授权应用程序为：
qq/src
1000:open(“/sdcard/android/taobao/user_log.txt”,“rw”)
qq/qq.te
所述源码授权映射表为：
open{file_path，read_only}；
通过匹配可获得目标函数open，基于源码授权映射表中包括的允许被匹配的具有标准功能的函数及其允许被操作的对象类型objResType以及允许的操作类型permission之间的映射关系确定所述目标函数open对应的对象类型objResType为file_path以及允许的操作类型permission为读read。
步骤140、将所述各目标字段填充至授权语法格式的对应位置，生成授权语句。
具体的，是将进程类型subType、属主类型objType、操作对象类型objResType和操作类型permission分别填充至语法格式allow subType(:process)objType:objResTypepermission的对应位置，得到授权语句。
进一步的，将所述各目标字段填充至授权语法格式的对应位置，生成授权语句的同时，所述方法还包括：
将所述目标函数所在的文件名以及行号以注释的形式添加在授权语句所在行的行尾，以方便后期追溯，具体是授权操作违背了NeverAllow规则，则可以依据所述注释快速定位问题代码。
进一步的，所述方法还包括：
基于NeverAllow规则确定所述授权语句是否正确；
若所述授权语句不正确，则基于添加在授权语句所在行行尾的注释对问题代码进行定位。
为了避免过度授权，google定义了一系列的NeverAllow规则，具体是不允许哪些资源被访问，或者不允许哪种类型的进程具有何种权限。
步骤150、基于所述授权语句生成授权配置文件。
所有的授权语句构成授权配置文件，该授权配置文件与待授权应用程序打包在一起烧录至Android设备，当Android设备启动时，将其中的授权配置文件进行加载，从而实现对所述待授权应用程序的自动授权。
本实施例提供的一种授权配置文件的生成方法，通过确定源码授权映射表，所述源码授权映射表中包括允许被匹配的具有标准功能的函数及其允许被操作的对象类型、以及允许的操作类型之间的映射关系；确定安全上下文文件，所述安全上下文文件包括允许操作的被操作对象所归属的属主类型；对待授权应用程序进行解析，通过关键字段识别技术结合所述源码授权映射表以及所述安全上下文文件获取授权语法格式中的各目标字段；将所述各目标字段填充至授权语法格式的对应位置，生成授权语句；基于所述授权语句生成授权配置文件的技术手段，实现了自动生成SELinux授权配置文件，提高授权效率，节省人力资源的目的。
在上述技术方案的基础上，参见图2所示的另一种授权配置文件的生成方法的流程示意图，其具体包括：
开始-将NeverAllow规则导入服务器-将源码授权映射表导入服务器-将安全上下文文件导入服务器(具体的，需要检索Android源码中SELinux相关文件夹，将file_contexts(包含文件级别的objType)、genfs_contexts(包含文件系统级别的objType)、hwservice_contexts(包含硬件相关底层服务的objType)、service_contexts(包含其他服务的objType)以及property_contexts(包含属性的objType)导入服务器系统)-将待授权应用程序导入服务器-解析待授权应用程序生成待授权进程类型subType-解析待授权应用程序生成属主类型objType-解析待授权应用程序生成操作对象类型objResType-解析待授权应用程序生成操作类型permission-生成授权语句-判断授权语句是否触发了NeverAllow规则-如果触发了NeverAllow规则，则修改授权语句，否则生成授权配置文件***.te-结束。
实施例二
图3为本发明实施例二提供的一种授权配置文件的生成装置的结构示意图。参见图3所示，所述装置包括：第一确定模块310、第二确定模块320、解析模块330、授权语句生成模块340和授权配置文件生成模块350；
其中，第一确定模块310，用于确定源码授权映射表，所述源码授权映射表中包括允许被匹配的具有标准功能的函数及其允许被操作的对象类型、以及允许的操作类型之间的映射关系；第二确定模块320，用于确定安全上下文文件，所述安全上下文文件包括允许操作的被操作对象所归属的属主类型；解析模块330，用于对待授权应用程序进行解析，通过关键字段识别技术结合所述源码授权映射表以及所述安全上下文文件获取授权语法格式中的各目标字段；授权语句生成模块340，用于将所述各目标字段填充至授权语法格式的对应位置，生成授权语句；授权配置文件生成模块350，用于基于所述授权语句生成授权配置文件。
进一步的，所述目标字段包括：进程类型subType、属主类型objType、操作对象类型objResType和操作类型permission。
进一步的，解析模块330具体用于：
对待授权应用程序所在目录的te文件进行解析，通过关键字段匹配获得待授权进程类型subType。
进一步的，解析模块330包括：
匹配单元，用于对待授权应用程序进行解析，并在待授权应用程序源码中匹配所述源码授权映射表中包括的允许被匹配的具有标准功能的函数，获得目标函数；
记录单元，用于记录所述目标函数所在文件的文件名以及所在行的行号；
确定单元，用于根据所述目标函数的参数从对应的所述安全上下文文件中确定被操作对象所归属的属主类型objType。
进一步的，所述装置还包括：
注释模块，用于将所述各目标字段填充至授权语法格式的对应位置，生成授权语句的同时，将所述目标函数所在的文件名以及行号以注释的形式添加在授权语句所在行的行尾。
进一步的，所述装置还包括：
校正模块，用于基于NeverAllow规则确定所述授权语句是否正确；若所述授权语句不正确，则基于添加在授权语句所在行行尾的注释对问题代码进行定位。
进一步的，解析模块330还具体用于：
对待授权应用程序进行解析，并在待授权应用程序源码中匹配所述源码授权映射表中包括的允许被匹配的具有标准功能的函数，获得目标函数；基于所述源码授权映射表中包括的允许被匹配的具有标准功能的函数及其允许被操作的对象类型objResType以及允许的操作类型permission之间的映射关系确定所述目标函数对应的对象类型objResType以及允许的操作类型permission。
本实施例提供的授权配置文件的生成装置，通过确定源码授权映射表，所述源码授权映射表中包括允许被匹配的具有标准功能的函数及其允许被操作的对象类型、以及允许的操作类型之间的映射关系；确定安全上下文文件，所述安全上下文文件包括允许操作的被操作对象所归属的属主类型；对待授权应用程序进行解析，通过关键字段识别技术结合所述源码授权映射表以及所述安全上下文文件获取授权语法格式中的各目标字段；将所述各目标字段填充至授权语法格式的对应位置，生成授权语句；基于所述授权语句生成授权配置文件的技术手段，实现了自动生成SELinux授权配置文件，提高授权效率，节省人力资源的目的。
本发明实施例所提供的授权配置文件的生成装置可执行本发明任意实施例所提供的授权配置文件的生成方法，具备执行方法相应的功能模块和有益效果。未在上述实施例中详尽描述的技术细节，可参见本发明任意实施例所提供的授权配置文件的生成方法。
实施例三
图4为本发明实施例三提供的一种电子设备的结构示意图。图4示出了适于用来实现本发明实施方式的示例性电子设备12的框图。图4显示的电子设备12仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。
如图4所示，电子设备12以通用计算设备的形式表现。电子设备12的组件可以包括但不限于：一个或者多个处理器或者处理单元16，系统存储器28，连接不同系统组件(包括系统存储器28和处理单元16)的总线18。
总线18表示几类总线结构中的一种或多种，包括存储器总线或者存储器控制器，外围总线，图形加速端口，处理器或者使用多种总线结构中的任意总线结构的局域总线。举例来说，这些体系结构包括但不限于工业标准体系结构(ISA)总线，微通道体系结构(MAC)总线，增强型ISA总线、视频电子标准协会(VESA)局域总线以及外围组件互连(PCI)总线。
电子设备12典型地包括多种计算机系统可读介质。这些介质可以是任何能够被电子设备12访问的可用介质，包括易失性和非易失性介质，可移动的和不可移动的介质。
系统存储器28可以包括易失性存储器形式的计算机系统可读介质，例如随机存取存储器(RAM)30和/或高速缓存存储器32。电子设备12可以进一步包括其它可移动/不可移动的、易失性/非易失性计算机系统存储介质。仅作为举例，存储系统34可以用于读写不可移动的、非易失性磁介质(图4未显示，通常称为“硬盘驱动器”)。尽管图4中未示出，可以提供用于对可移动非易失性磁盘(例如“软盘”)读写的磁盘驱动器，以及对可移动非易失性光盘(例如CD-ROM,DVD-ROM或者其它光介质)读写的光盘驱动器。在这些情况下，每个驱动器可以通过一个或者多个数据介质接口与总线18相连。存储器28可以包括至少一个程序产品，该程序产品具有一组(例如授权配置文件的生成装置的第一确定模块310、第二确定模块320、解析模块330、授权语句生成模块340和授权配置文件生成模块350)程序模块，这些程序模块被配置以执行本发明各实施例的功能。
具有一组(授权配置文件的生成装置的第一确定模块310、第二确定模块320、解析模块330、授权语句生成模块340和授权配置文件生成模块350)程序模块42的程序/实用工具40，可以存储在例如存储器28中，这样的程序模块42包括但不限于操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。程序模块42通常执行本发明所描述的实施例中的功能和/或方法。
电子设备12也可以与一个或多个外部设备14(例如键盘、指向设备、显示器24等)通信，还可与一个或者多个使得用户能与该电子设备12交互的设备通信，和/或与使得该电子设备12能与一个或多个其它计算设备进行通信的任何设备(例如网卡，调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口22进行。并且，电子设备12还可以通过网络适配器20与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。如图所示，网络适配器20通过总线18与电子设备12的其它模块通信。应当明白，尽管图中未示出，可以结合电子设备12使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。
处理单元16通过运行存储在系统存储器28中的程序，从而执行各种功能应用以及数据处理，例如实现本发明实施例所提供的授权配置文件的生成方法，该方法包括：
确定源码授权映射表，所述源码授权映射表中包括允许被匹配的具有标准功能的函数及其允许被操作的对象类型以及允许的操作类型之间的映射关系；
确定安全上下文文件，所述安全上下文文件包括允许操作的被操作对象所归属的属主类型；
对待授权应用程序进行解析，通过关键字段识别技术结合所述源码授权映射表以及所述安全上下文文件获取授权语法格式中的各目标字段；
将所述各目标字段填充至授权语法格式的对应位置，生成授权语句；
基于所述授权语句生成授权配置文件。
处理单元16通过运行存储在系统存储器28中的程序，从而执行各种功能应用以及数据处理，例如实现本发明实施例所提供的授权配置文件的生成方法。
当然，本领域技术人员可以理解，处理器还可以实现本发明任意实施例所提供的授权配置文件的生成方法的技术方案。
实施例五
本发明实施例五还提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如本发明实施例所提供的授权配置文件的生成方法，该方法包括：
确定源码授权映射表，所述源码授权映射表中包括允许被匹配的具有标准功能的函数及其允许被操作的对象类型以及允许的操作类型之间的映射关系；
确定安全上下文文件，所述安全上下文文件包括允许操作的被操作对象所归属的属主类型；
对待授权应用程序进行解析，通过关键字段识别技术结合所述源码授权映射表以及所述安全上下文文件获取授权语法格式中的各目标字段；
将所述各目标字段填充至授权语法格式的对应位置，生成授权语句；
基于所述授权语句生成授权配置文件。
当然，本发明实施例所提供的一种计算机可读存储介质，其上存储的计算机程序不限于如上所述的方法操作，还可以执行本发明任意实施例所提供的授权配置文件的生成方法中的相关操作。
本发明实施例的计算机存储介质，可以采用一个或多个计算机可读的介质的任意组合。计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本文件中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。
计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。
计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括——但不限于无线、电线、光缆、RF等等，或者上述的任意合适的组合。
可以以一种或多种程序设计语言或其组合来编写用于执行本发明操作的计算机程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、Smalltalk、C++，还包括常规的过程式程序设计语言—诸如”C”语言或类似的程序设计语言。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络——包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。
注意，上述仅为本发明的较佳实施例及所运用技术原理。本领域技术人员会理解，本发明不限于这里所述的特定实施例，对本领域技术人员来说能够进行各种明显的变化、重新调整和替代而不会脱离本发明的保护范围。因此，虽然通过以上实施例对本发明进行了较为详细的说明，但是本发明不仅仅限于以上实施例，在不脱离本发明构思的情况下，还可以包括更多其他等效实施例，而本发明的范围由所附的权利要求范围决定。
Claims (10)
1.一种授权配置文件的生成方法，其特征在于，包括：
确定源码授权映射表，所述源码授权映射表中包括允许被匹配的具有标准功能的函数及其允许被操作的对象类型、以及允许的操作类型之间的映射关系；
确定安全上下文文件，所述安全上下文文件包括允许操作的被操作对象所归属的属主类型；
对待授权应用程序进行解析，通过关键字段识别技术结合所述源码授权映射表以及所述安全上下文文件获取授权语法格式中的各目标字段；
将所述各目标字段填充至授权语法格式的对应位置，生成授权语句；
基于所述授权语句生成授权配置文件。
2.根据权利要求1所述的方法，其特征在于，所述目标字段包括：进程类型subType、属主类型objType、操作对象类型objResType和操作类型permission。
3.根据权利要求1所述的方法，其特征在于，对待授权应用程序进行解析，通过关键字段识别技术结合所述源码授权映射表以及所述安全上下文文件获取授权语法格式中的各目标字段，包括：
对待授权应用程序所在目录的te文件进行解析，通过关键字段匹配获得待授权进程类型subType。
4.根据权利要求1所述的方法，其特征在于，对待授权应用程序进行解析，通过关键字段识别技术结合所述源码授权映射表以及所述安全上下文文件获取授权语法格式中的各目标字段，包括：
对待授权应用程序进行解析，并在待授权应用程序源码中匹配所述源码授权映射表中包括的允许被操作的函数，获得目标函数；
记录所述目标函数所在文件的文件名以及所在行的行号；
根据所述目标函数的参数从对应的所述安全上下文文件中确定被操作对象所归属的属主类型objType。
5.根据权利要求4所述的方法，其特征在于，将所述各目标字段填充至授权语法格式的对应位置，生成授权语句的同时，还包括：
将所述目标函数所在的文件名以及行号以注释的形式添加在授权语句所在行的行尾。
6.根据权利要求5所述的方法，其特征在于，还包括：
基于NeverAllow规则确定所述授权语句是否正确；
若所述授权语句不正确，则基于添加在授权语句所在行行尾的注释对问题代码进行定位。
7.根据权利要求1-6任一项所述的方法，其特征在于，对待授权应用程序进行解析，通过关键字段识别技术结合所述源码授权映射表以及所述安全上下文文件获取授权语法格式中的各目标字段，包括：
对待授权应用程序进行解析，并在待授权应用程序源码中匹配所述源码授权映射表中包括的允许被操作的函数，获得目标函数；
基于所述源码授权映射表中包括的允许被匹配的具有标准功能的函数及其允许被操作的对象类型objResType、以及允许的操作类型permission之间的映射关系确定所述目标函数对应的对象类型objResType以及允许的操作类型permission。
8.一种授权配置文件的生成装置，其特征在于，所述装置包括：
第一确定模块，用于确定源码授权映射表，所述源码授权映射表中包括允许被匹配的具有标准功能的函数及其允许被操作的对象类型、以及允许的操作类型之间的映射关系；
第二确定模块，用于确定安全上下文文件，所述安全上下文文件包括允许操作的被操作对象所归属的属主类型；
解析模块，用于对待授权应用程序进行解析，通过关键字段识别技术结合所述源码授权映射表以及所述安全上下文文件获取授权语法格式中的各目标字段；
授权语句生成模块，用于将所述各目标字段填充至授权语法格式的对应位置，生成授权语句；
授权配置文件生成模块，用于基于所述授权语句生成授权配置文件。
9.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1-7中任一项所述的授权配置文件的生成方法。
10.一种包含计算机可执行指令的存储介质，其特征在于，所述计算机可执行指令在由计算机处理器执行时实现如权利要求1-7中任一项所述的授权配置文件的生成方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201910967736.9A CN110727476B (zh) | 2019-10-12 | 2019-10-12 | 一种授权配置文件的生成方法、装置、设备及存储介质 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201910967736.9A CN110727476B (zh) | 2019-10-12 | 2019-10-12 | 一种授权配置文件的生成方法、装置、设备及存储介质 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN110727476A true CN110727476A (zh) | 2020-01-24 |
| CN110727476B CN110727476B (zh) | 2023-04-07 |
Family
ID=69220003
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201910967736.9A Active CN110727476B (zh) | 2019-10-12 | 2019-10-12 | 一种授权配置文件的生成方法、装置、设备及存储介质 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN110727476B (zh) |
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN114499759A (zh) * | 2022-01-21 | 2022-05-13 | 北京京东振世信息技术有限公司 | 报文生成方法、装置、电子设备及存储介质 |
| CN115242861A (zh) * | 2022-07-06 | 2022-10-25 | 重庆长安新能源汽车科技有限公司 | 一种rte层通信数据映射配置文件的生成方法及系统、计算机可读存储介质、电子设备 |
| CN117436065A (zh) * | 2023-12-20 | 2024-01-23 | 中建三局集团有限公司 | 多种bim设计软件的统一授权管理方法、系统及介质 |
Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5450581A (en) * | 1992-04-30 | 1995-09-12 | International Business Machines Corporation | System for copying from one database management system to another by translating authorization statements |
| CN103870306A (zh) * | 2014-02-21 | 2014-06-18 | 北京奇虎科技有限公司 | 基于智能终端设备安装应用程序的方法与装置 |
| US20150096034A1 (en) * | 2013-09-30 | 2015-04-02 | Hewlett-Packard Development Company, L.P. | Determine Anomalies in Web Application Code Based on Authorization Checks |
| US20170068810A1 (en) * | 2014-02-21 | 2017-03-09 | Beijing Qihoo Technology Company Limited | Method and apparatus for installing an application program based on an intelligent terminal device |
| US20180063140A1 (en) * | 2016-08-29 | 2018-03-01 | International Business Machines Corporation | Configuration based client for oauth authorization with arbitrary services and applications |
| CN108664344A (zh) * | 2018-05-14 | 2018-10-16 | 浪潮通用软件有限公司 | 一种支持多电商平台对接的适配系统及方法 |
-
2019
- 2019-10-12 CN CN201910967736.9A patent/CN110727476B/zh active Active
Patent Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5450581A (en) * | 1992-04-30 | 1995-09-12 | International Business Machines Corporation | System for copying from one database management system to another by translating authorization statements |
| US20150096034A1 (en) * | 2013-09-30 | 2015-04-02 | Hewlett-Packard Development Company, L.P. | Determine Anomalies in Web Application Code Based on Authorization Checks |
| CN103870306A (zh) * | 2014-02-21 | 2014-06-18 | 北京奇虎科技有限公司 | 基于智能终端设备安装应用程序的方法与装置 |
| US20170068810A1 (en) * | 2014-02-21 | 2017-03-09 | Beijing Qihoo Technology Company Limited | Method and apparatus for installing an application program based on an intelligent terminal device |
| US20180063140A1 (en) * | 2016-08-29 | 2018-03-01 | International Business Machines Corporation | Configuration based client for oauth authorization with arbitrary services and applications |
| CN108664344A (zh) * | 2018-05-14 | 2018-10-16 | 浪潮通用软件有限公司 | 一种支持多电商平台对接的适配系统及方法 |
Non-Patent Citations (1)
| Title |
|---|
| 付志峰 等: "SELinux中访问控制机制的分析", 《计算机工程》 * |
Cited By (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN114499759A (zh) * | 2022-01-21 | 2022-05-13 | 北京京东振世信息技术有限公司 | 报文生成方法、装置、电子设备及存储介质 |
| CN114499759B (zh) * | 2022-01-21 | 2024-04-12 | 北京京东振世信息技术有限公司 | 报文生成方法、装置、电子设备及存储介质 |
| CN115242861A (zh) * | 2022-07-06 | 2022-10-25 | 重庆长安新能源汽车科技有限公司 | 一种rte层通信数据映射配置文件的生成方法及系统、计算机可读存储介质、电子设备 |
| CN115242861B (zh) * | 2022-07-06 | 2023-07-18 | 深蓝汽车科技有限公司 | 一种rte层通信数据映射配置文件的生成方法及系统、计算机可读存储介质、电子设备 |
| CN117436065A (zh) * | 2023-12-20 | 2024-01-23 | 中建三局集团有限公司 | 多种bim设计软件的统一授权管理方法、系统及介质 |
| CN117436065B (zh) * | 2023-12-20 | 2024-03-19 | 中建三局集团有限公司 | 多种bim设计软件的统一授权管理方法、系统及介质 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN110727476B (zh) | 2023-04-07 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US9075997B2 (en) | Global variable security analysis | |
| US7849509B2 (en) | Detection of security vulnerabilities in computer programs | |
| US9063766B2 (en) | System and method of manipulating virtual machine recordings for high-level execution and replay | |
| US11650905B2 (en) | Testing source code changes | |
| US11074154B2 (en) | Identifying a source file for use in debugging compiled code | |
| CN110727476B (zh) | 一种授权配置文件的生成方法、装置、设备及存储介质 | |
| US9690946B2 (en) | Security analysis using relational abstraction of data structures | |
| US10942718B2 (en) | Systems and/or methods for type inference from machine code | |
| US11200048B2 (en) | Modification of codified infrastructure for orchestration in a multi-cloud environment | |
| US10296311B2 (en) | Finding uninitialized variables outside the local scope | |
| US8930923B2 (en) | Generating debugging extension source code utilizing debugging information | |
| CN110597704B (zh) | 应用程序的压力测试方法、装置、服务器和介质 | |
| CN110659210A (zh) | 一种信息获取方法、装置、电子设备及存储介质 | |
| US20140258785A1 (en) | Identifying a storage location for a storage address requested during debugging | |
| Peng et al. | {GLeeFuzz}: Fuzzing {WebGL} Through Error Message Guided Mutation | |
| Lawall et al. | WYSIWIB: exploiting fine‐grained program structure in a scriptable API‐usage protocol‐finding process | |
| US9064042B2 (en) | Instrumenting computer program code by merging template and target code methods | |
| US20230141948A1 (en) | Analysis and Testing of Embedded Code | |
| US9841960B2 (en) | Dynamic provision of debuggable program code | |
| US9710361B2 (en) | Smart programming playgrounds | |
| CN112114811A (zh) | 一种编译方法、装置和设备 | |
| US9697018B2 (en) | Synthesizing inputs to preserve functionality | |
| CN112528273B (zh) | 医疗数据的探测方法、装置、介质及电子设备 | |
| Hay | Forensic memory analysis for Apple OS X | |
| CN116881129A (zh) | 快速排查资源未释放代码的方法、设备及计算机可读介质 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant |