CN111680309A - 数据处理方法、装置、终端及存储介质 - Google Patents

Abstract

本申请公开了一种数据处理方法、装置、终端及存储介质。其中方法包括：检测控制操作；在预设的多个安全工作空间中，确定发起控制操作的第一安全工作空间；判断第一安全工作空间是否具有执行控制操作的操作权限；依据判断结果，对控制操作进行处理。本申请通过多个安全工作空间的设置，起到了对数据进行隔离的作用，而通过判断第一安全工作空间是否具有执行控制操作的操作权限，来对控制操作进行处理的方式，则实现了对不同工作空间各自的操作权限进行控制的目的，避免了空间内数据被非法转移造成的数据泄漏问题，提高了工作空间内数据的安全性。

Description

数据处理方法、装置、终端及存储介质

技术领域

本申请涉及计算机网络安全技术领域，具体涉及一种数据处理方法、装置、终端及存储介质。

背景技术

智能化技术的发展离不开数据，数据安全问题在智能化技术演进过程越来越重要。相关技术中主要通过加密算法对数据进行加密，避免数据被恶意读取，起到保护数据安全的作用。

这种方式虽然能够一定程度上起到保护数据的作用，但加密后的数据仍然存在因被非法拷贝所导致的数据流转范围无法控制的问题。同时，由于数据无差别的存储在本地磁盘，因此存在无法区分不同安全级别的数据的问题。

发明内容

为了解决上述至少一个技术问题，本申请提供一种数据处理方法、装置、终端及存储介质。

根据本申请的第一方面，提供了一种数据处理方法，该方法包括：

检测对待处理目标的控制操作；

在预设的多个安全工作空间中，确定发起控制操作的第一安全工作空间；

判断第一安全工作空间是否具有执行控制操作的操作权限；

依据判断结果对待处理目标进行处理。

根据本申请的第二方面，提供了一种数据处理装置，该装置包括：

检测模块，用于检测对待处理目标的控制操作；

第一空间确定模块，用于在预设的多个安全工作空间中，确定发起控制操作的第一安全工作空间；

判断模块，用于判断第一安全工作空间是否具有执行控制操作的操作权限；

处理模块，用于依据判断结果对待处理目标进行处理。

根据本申请的第三方面，提供了一种终端，该终端包括：存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，处理器执行计算机程序时以实现上述数据处理方法。

根据本申请的第四方面，提供了一种计算机可读存储介质，该介质存储有计算机可执行指令，该计算机可执行指令用于以执行上述数据处理方法。

本申请通过多个安全工作空间的设置，起到了对数据进行隔离的作用，而通过确定发起控制操作的第一安全工作空间，并判断第一安全工作空间是否具有执行控制操作的操作权限，来对控制操作进行处理的方式，实现了对不同安全工作空间各自的操作权限进行控制的目的，避免了安全工作空间内数据被非法转移造成的数据泄漏问题，提高了安全工作空间内数据的安全性。

附图说明

为了更清楚地说明本申请实施例中的技术方案，下面将对本申请实施例描述中所需要使用的附图作简单地介绍。

图1为根据本申请实施例提供的一种数据处理方法的流程示意图；

图2为根据本申请实施例提供的一种数据处理方法中判断操作权限一个实施例的流程示意图；

图3为根据本申请实施例提供的一种数据处理方法的应用架构示意图；

图4为根据本申请实施例提供的一种数据处理方法的应用架构中文件控制模块的处理流程示意图；

图5为根据本申请实施例提供的一种数据处理方法的应用架构中写操作的处理流程示意图；

图6为根据本申请实施例提供的一种数据处理方法的应用架构中网络控制模块的处理流程示意图；

图7为根据本申请实施例提供的一种数据处理方法的应用架构中应用程序控制模块的处理流程示意图；以及

图8为根据本申请实施例提供的一种数据处理装置的框图结构示意图。

具体实施方式

为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本申请，并不用于限定本申请。

需要说明的是，虽然在装置示意图中进行了功能模块划分，在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于装置中的模块划分，或流程图中的顺序执行所示出或描述的步骤。

在本申请实施例中，安全工作空间是指采用容器技术中在终端本地创建的虚拟工作空间，其运行在物理平台上，能够通过虚拟技术来为不同的安全工作空间进行物理资源的自动化分配。

为使本申请的目的、技术方案和优点更加清楚，下面将结合附图对本申请的实施方式作进一步地详细描述。

根据本申请的一个实施例，提供了一种数据处理方法，如图1所示，该方法包括：步骤S101至步骤S104。

步骤S101：检测对待处理目标的控制操作。

具体地，可以在终端设备被启动后执行该步骤。

具体地，待处理目标可以为应用程序，也可以为文件。

具体地，可以在预配置的应用界面被切换至终端屏幕当前的显示界面时，执行该步骤。

步骤S102：在预设的多个安全工作空间中，确定发起控制操作的第一安全工作空间。

具体地，多个安全工作空间均被设置在终端。

在本申请实施例中，安全工作空间用于表征对数据进行处理的操作区。

具体地，终端的使用用户可以为企业用户，也可也为个人用户。更具体地，可以通过用户注册来选定用户类型，即选择注册为企业用户或个人用户。

具体地，安全工作空间可以依据工作部门来创建。例如，创建针对财务部门的安全工作空间、针对研发部门的安全工作空间、针对业务部门的安全工作空间等。更具体地，不同的安全工作空间可以对应不同的空间信息(如空间账号和空间密钥)。例如，针对财务部门的安全工作空间的空间信息为username：aaa；password：AAA；针对研发部门的安全工作空间的空间信息为username：bbb；password：BBB。

具体地，可以依据不同安全工作空间各自对应的空间信息来限制当前终端用户能够进入的安全工作空间。例如，若检测到终端用户输入针对财务部门的安全工作空间的空间信息，则控制当前终端用户进入针对财务部门的安全工作空间的内部，以使终端用户在针对财务部门的安全工作空间的内部进行操作。

具体地，可以依据用户账号来限制终端用户能够进入的安全工作空间，即，不同用户账号对应不同的管理权限。例如，假设终端用户“xxx”对应的管理权限为管理员权限，若检测到的用户账号对应的终端用户为“xxx”，那么终端用户“xxx”无需输入不同安全工作空间的空间信息，即可直接进入任意安全工作空间并进行操作。

具体地，可以通过交互界面显示已创建在终端内的多个安全工作空间，并依据该交互界面来检测发起控制操作的第一安全工作空间。

例如，通过该交互界面检测到单击操作时，可以启动预配置的文件传输窗口，该文件传输窗口可以提供不同控件，以依据不同空间来确定检测到的控制操作的类型。

具体地，该交互界面还可以提供多种显示控件，例如缩略图显示控件。以使用户通过对缩略图显示控件的选择操作，来控制多个安全工作空间的显示方式。

步骤S103：判断第一安全工作空间是否具有执行控制操作的操作权限。

具体地，控制操作可以为在第一安全工作空间内的操作，也可以为同一终端内跨空间的控制操作，还可以为跨主机的控制操作。例如，在第一安全工作空间对存储在第二安全工作空间的文件的读/写操作，从第一安全工作空间向其他安全工作空间进行数据传输的操作等，从第一安全工作空间向U盘等外接设备进行数据读取或数据传输的操作等。

例如，假设终端内包括有安全工作空间a、安全工作空间b和安全工作空间c，安全工作空间b可能仅具有向安全工作空间c进行数据传输的权限，不具有向安全工作空间a进行数据传输的权限；或者仅具有读取安全工作空间a内的文件的操作权限。因此，需要确定第一安全工作空间是否具有执行控制操作的操作权限，以便为后续的处理提供处理依据。

步骤S104：依据判断结果对待处理目标进行处理。

本申请实施例，通过多个安全工作空间的设置，起到了对数据进行隔离的作用，而通过确定发起控制操作的第一安全工作空间，并判断第一安全工作空间是否具有执行控制操作的操作权限，来对控制操作进行处理的方式，则实现了对不同安全工作空间各自的操作权限进行控制的目的，避免了安全工作空间内数据被非法转移造成的数据泄漏问题，提高了安全工作空间内数据的安全性。

在一些实施例中，如图2所示，步骤S103判断第一安全工作空间是否具有执行控制操作的操作权限，包括：步骤S1031至步骤S1034。

步骤S1031：若控制操作为跨空间控制操作，则在预设的多个安全工作空间中，确定跨空间控制操作指向的第二安全工作空间。

具体地，第一安全工作空间和第二安全工作空间均为同一终端内的安全工作空间。

具体地，跨空间控制操作可以包括将数据在不同安全工作空间间进行传输的操作、对其他安全工作空间内的数据进行读写的操作等。

例如，假设当前终端内创建有安全工作空间a和安全工作空间b，若安全工作空间a向安全工作空间b发起数据传输操作或对安全工作空间b内文件的读写操作，那么安全工作空间a为第一安全工作空间，安全工作空间b为接受被传输数据的第二安全工作空间。

步骤S1032：确定第一安全工作空间的空间权重，以及第二安全工作空间的空间权重。

具体地，空间权重可以在安全工作空间创建完成时设置，也可以在应用过程中根据用户的调整操作来进行调整。

步骤S1033：将第一安全工作空间的空间权重和第二安全工作空间的空间权重进行比较。

步骤S1034：依据比较结果以及跨空间控制操作的类型，判断第一安全工作空间是否具有执行控制操作的操作权限。

在本申请实施例中，可以通过空间权重来对安全工作空间和非安全工作空间加以区分。例如，若空间权重值为0，那么确定为非安全工作空间；若空间权重值大于0，那么确定为安全工作空间。

应用时，一般将空间权重值为0的工作空间作为个人工作空间，即非安全工作空间。在第二安全工作空间为个人工作空间时，表示将被控制文件由安全工作空间向非安全工作空间进行传输，为了保证数据传输的安全性，一般将空间权重大于0的安全工作空间向空间权重为0的个人工作空间的文件传输策略设置为禁止，也就是说，本申请实施例提供的文件传输的流转范围是在空间权重大于0的安全工作空间之间，且流转方式为由空间权重低的工作空间向空间权重高的工作空间进行流转。

需要说明的是，还可以通过空间等级参数、虚拟经验值等形式对安全工作空间进行区分，此处不再一一列举。

本申请实施例将空间权重的比较作为确定第一安全工作空间是否具有执行控制操作的操作权限的判断依据，这种为不同安全工作空间定义空间权重的方式，既起到了以空间权重来对不同安全工作空间内数据进行分类的作用，又实现了通过定义空间权重，来设置不同安全工作空间各自的操作权限的目的，达到了通过限制数据在不同安全工作空间的流转范围，有效地避免了数据被泄漏。

在如图2所示的一些实施例中，步骤S1034依据比较结果以及跨空间控制操作的类型，判断第一安全工作空间是否具有执行控制操作的操作权限的步骤，进一步包括：步骤S10341(图中未示出)：若跨空间控制操作的类型为对待处理目标的跨空间数据传输操作，且第一工作的空间权重不高于第二安全工作空间的空间权重，则确定第一安全工作空间具有执行跨空间数据传输操作的操作权限。

步骤S104中依据判断结果对控制操作进行处理的步骤，包括：步骤S1041(图中未示出)：若第一安全工作空间具有执行跨空间数据传输操作的操作权限，则控制第一安全工作空间将待处理目标发送至第二安全工作空间。

本申请实施例提供了对待处理目标的数据传输功能，并将数据传输功能限制为：允许空间权重低的安全工作空间向空间权重高的安全工作空间发送数据传输。

在本申请实施例中，通过将空间权重的比较结果和跨空间控制操作的类型两个因素作为确定第一安全工作空间是否具有执行控制操作的操作权限的判断依据，起到了对跨工作控制操作进行细化分类的作用，提高了步骤S1034中确定第一安全工作空间是否具有执行控制操作的操作权限的判断精度。

例如，假设工作空间a的空间权重为N，工作空间b的空间权重为M，若N≤M，那么可以将工作空间a内的数据发送到工作空间b。

在如图2所示的一些实施例中，步骤S10341中确定第一安全工作空间具有执行跨空间数据传输操作的操作权限的步骤之前，该方法还包括：确定发起数据传输处理的第一应用程序，第一应用程序运行在第一安全工作空间；确定用于接受数据传输处理的第二应用程序，第二应用程序运行在第二安全工作空间；步骤S10341中确定第一安全工作空间具有执行跨空间数据传输操作的操作权限，包括：若第二应用程序为第一应用程序的可通信应用，则确定第一安全工作空间具有执行跨空间数据传输操作的操作权限。

具体地，可以将第二应用程序的应用信息，分别与预配置给第一应用程序的多个可通信应用各自的应用信息进行匹配，若匹配成功，则确定第二应用程序为第一应用程序的可通信应用。

更具体地，应用信息可以为应用标识、应用版本号等信息。

本申请实施例起到了对跨空间数据传输中应用程序的限制，即对发起数据传输的应用程序以及允许接受数据传输的应用程序进行限制，通过这种应用程序的限制，实现了对第二安全工作空间内能够获取被传输的数据的应用程序进行限制的目的，防止数据被第二安全工作空间内的非法应用程序获取。

在一些实施例中，确定发起数据传输处理的第一应用程序的步骤之前，进一步包括：检测启动第一应用程序的操作；确定第一应用程序是否为第一安全工作空间的被授权应用。

本申请实施例提供了对安全工作空间内可运行应用程序的判断功能，起到了为安全工作空间配置被授权应用程序的作用，防止了非被授权应用程序在安全工作空间的运行。

具体地，可以通过预配置的应用程序控制策略来判断第一应用程序是否为第一安全工作空间的被授权应用程序，即确定第一应用程序是否允许在第一安全工作空间中运行，通过应用程序控制策略来配置不同工作空间各自的被授权应用程序，防止非法应用程序在安全工作空间的运行，实现通过被授权应用程序将数据在不同安全工作空间进行流转控制的目的，防止数据被非法转移，提高数据的安全性。

具体地，应用程序可以通过交互界面来建立与工作空间的关联关系，也可以通过对应用程序图标的拖动操作来建立与工作空间关联关系。建立关联关系之后，还可以通过进一步地的授权操作来配置其是否为已授权应用。

例如，检测到用户将Excel图标拖动至安全工作空间1中后，Excel建立与安全工作空间1的关联关系，此时，安全工作空间1可以通过发送应用授权的提示信息，以便用户选择是否授权Excel为安全工作空间1的被授权应用程序，若检测到用户选择授权的指令，那么确定Excel为安全工作空间1的合法应用程序，即Excel为安全工作空间1的被授权应用程序。

例如，检测到用户拖动浏览器图标移动至安全工作空间1的拖动操作，并在接受到用户选择授权该浏览器为安全工作空间1的被授权应用程序的指令后，确定该浏览器图标对应的浏览器为被授权应用程序。

在一些实施例中，如图2所示的步骤S1034依据比较结果以及跨空间控制操作的类型，判断第一安全工作空间是否具有执行控制操作的操作权限的步骤，包括：若跨空间操作的类型为对待处理目标的跨空间数据读取操作，且第一安全工作空间的空间权重高于第二安全工作空间的空间权重，则确定第一安全工作空间具有执行跨空间数据读取操作的操作权限。

步骤S104中依据判断结果对待处理目标作进行处理，包括：步骤S1042(图中未示出)：若第一安全工作空间具有执行跨空间数据读取操作的操作权限，则将待处理目标由第二安全工作空间同步至第一安全工作空间。

本申请实施例提供了跨空间的文件读取功能，并将跨空间的文件读取功能限制为：允许空间权重高的安全工作空间对空间权重低的安全工作空间内的文件的进行读取。

例如，假设文件yy.doc存储在安全工作空间a，若在安全工作空间b读取文件yy.doc，那么需要将安全工作空间a的空间权重与安全工作空间b的空间权重进行比较，若安全工作空间a的空间权重高于安全工作空间b的空间权重，那么禁止在安全工作空间b中读取文件yy.doc；若安全工作空间a的空间权重低于安全工作空间b的空间权重，那么允许在安全工作空间b中读取文件yy.doc，即安全工作空间b具有在安全工作空间b中读取文件yy.doc的操作权限。

在一些实施例中，如图1所示，步骤S103判断第一安全工作空间是否具有执行控制操作的操作权限的步骤，进一步包括步骤S1035(图中未示出)，即，若控制操作为空间内数据操作，则确定第一安全工作空间具有执行控制操作的操作权限。

步骤S104中依据判断结果对待处理目标进行处理的步骤，进一步包括：若待处理目标为应用程序，控制该应用程序在第一安全空间的运行；若待处理目标为文件，在第一安全空间对读取该文件，并对该文件进行编辑。

在本申请实施例中，待处理目标既可以为存储在第一安全工作空间内的文件，也可以为应用程序。更具体地，在待处理目标为文件时，依据该文件的文件密钥对该文件进行解密处理，以将解密处理后的该文件进行显示处理；更具体地，在待处理目标为应用程序时，可以参照上述对被启动的应用程序进行判断的步骤，来确定其是否为第一安全工作空间的被授权应用程序，从而控制应用程序在第一安全工作空间的运行。

在一些实施例中，如图1所示，步骤S103判断第一安全工作空间是否具有执行控制操作的操作权限，包括步骤S1036至步骤S1038(图中未示出)，且步骤S104包括S1045(图中未示出)。其中，

步骤S1036：若控制操作为跨主机控制操作，则确定被操作设备。

具体地，被操作设备可以为U盾、U盘等外接设备，也可以为其他终端。

步骤S1037：依据被操作设备对应的设备类型，确定对应的操作相关信息。

步骤S1038：若操作相关信息为允许运行第一安全工作空间的目标终端与被操作设备进行通信，则确定第一安全工作空间具有执行控制操作的操作权限。

具体地，若被操作设备为外接设备，那么操作相关信息可以为是否允许外接设备与发起终端进行通信的信息；若被操作设备为其他终端，那么操作相关信息可以为是否允许发起终端与其他终端进行通信的信息。

步骤S1045：对目标终端与被操作设备间的通信接口，执行启动处理，以使目标终端将待处理目标发送至被操作设备。

具体地，若第一安全工作空间和第二安全工作空间分别为创建在不同终端，那么该控制操作为跨主机的不同终端间的控制操作。例如，假设终端A内创建有安全工作空间a1和安全工作空间a2，若终端A内安全工作空间a1向终端B发起数据传输操作，那么控制操作为跨主机控制操作，被操作设备为其他终端。

具体地，不同的被操作设备与目标终端的通信接口不同。例如，目标终端与外接设备的通信接口可能为USB接口；目标终端与其他终端的通信接口则为VPN网络接口，即目标终端通过VPN协议与其他终端进行通信。

在一些实施例中，如图1所示，该方法还包括：

步骤S105(图中未示出)：确定对控制操作进行处理的操作事件记录，以依据操作事件记录进行分析。

本申请实施例通过确定操作事件记录，为后续对不同安全工作空间的文件传输操作进行行为分析提供了分析依据。

鉴于该步骤中控制操作可以为空间内的控制操作，也可以为跨空间的控制操作，其中，跨空间的控制操作既可以为对其他安全工作空间的数据读取操作，也可以为向其他安全工作空间进行数据传输的操作。

因此，在控制操作为跨空间操作控制时，操作事件记录可能包括时间戳(执行控制操作的时间)、操作事件类型、发起控制操作的工作空间(即第一安全工作空间)、被操作的工作空间(即第二安全工作空间)、被操作的数据等信息；在控制操作为空间内操作控制时，操作事件记录可能包括时间戳(即执行控制操作的时间)、操作事件类型、发起控制操作的工作空间、被操作的数据等信息。

为了进一步说明本申请提供的方法，下面结合图3至图7对本申请实施例提供的数据处理方法进行说明。

如图3所示，当前终端内配置有多个安全工作空间，多个安全工作空间分别对应不同的权重值。各个安全工作空间可以由文件控制模块、网络控制模块和应用程序控制模块来进行管理。其中，文件控制模块用于提供文件读写服务，能够对文件进行加密处理；网络控制模块能够提供VPN服务，即通过VPN模块生成VPN数据来进行文件传输；应用程序控制模块用于对应用程序行为鉴权，即确定应用程序是否为被授权应用程序。

具体地，当前终端可以为预装有操作系统的移动终端或固定终端，例如智能手机、平板电脑、台式机等。

下面结合图4对不同权重空间的文件读操作、写操作进行说明。安全工作空间21、安全工作空间22分别对安全工作空间23内的虚拟磁盘或虚拟文件的读操作、写操作为例进行说明。该实施例中三个工作空间的空间权重大小关系为：安全工作空间21的空间权重<安全工作空间22的空间权重<安全工作空间23的空间权重。

在一些应用场景中，以文件控制模块对安全工作空间21向安全工作空间22内的虚拟磁盘或虚拟文件夹发起的读操作的处理，处理流程为：

S11：获取安全工作空间21对安全工作空间22发起的读操作；

S12：判断是否允许安全工作空间21对安全工作空间22的虚拟磁盘或虚拟文件夹进行读操作，并根据判断结果执行处理。

若预配置的文件控制策略为禁止低权重安全工作空间应用程序对高权重安全工作空间内的虚拟磁盘或虚拟文件进行读操作，那么文件控制模块拒绝该读操作，即S12被拒绝。

在一些应用场景中，以文件控制模块对安全工作空间23向安全工作空间22的虚拟磁盘或虚拟文件夹发起的读操作进行处理，处理流程为：

S21：获取安全工作空间23内应用程序对安全工作空间22的虚拟磁盘或虚拟文件夹发起的读操作；

S22：判断是否允许安全工作空间23对安全工作空间22的虚拟磁盘或虚拟文件夹进行读操作，并根据判断结果执行处理。

由于预配置的文件控制策略为允许高权重安全空间应用程序对低权重安全空间内的虚拟磁盘或虚拟文件进行读操作，因此，生成允许读操作的指令，即S22允许；

S23：控制数据加解密模块读取密文并进行解析，得到解密数据；

S24：将解密数据返回至安全工作空间22的虚拟磁盘或虚拟文件夹；

S25：将该解密数据返回至安全工作空间23内的该应用程序，完成安全工作空间23的应用程序对安全工作空间22的虚拟磁盘或虚拟文件夹的读操作处理。

另外，由于安全工作空间22的应用程序对安全工作空间22的虚拟磁盘或虚拟文件夹的执行过程同S21至S24，此处不再赘述。

在一些应用场景中，由文件控制模块对其它空间内应用程序向安全工作空间22的虚拟磁盘或虚拟文件夹发起的写操作进行处理，处理流程为：

S31：获取其它空间内应用程序对安全工作空间22的虚拟磁盘或虚拟文件夹发起的写操作；

S32：判断是否允许其它安全工作空间内的应用程序对安全工作空间22的虚拟磁盘或虚拟文件夹进行写操作处理，并根据判断结果执行处理。

若文件控制模块的判断结果为拒绝，那么禁止其它空间内的应用程序对安全工作空间22的虚拟磁盘或虚拟文件夹进行写操作。

具体地，文件控制模块根据预配置的写操作控制策略来进行判断。例如，若写操作控制策略为禁止低权重安全工作空间应用程序对高权重安全工作空间的虚拟磁盘或虚拟文件进行写操作，那么文件控制模块禁止其它空间内的应用程序发起的对安全工作空间22的虚拟磁盘或虚拟文件夹的写操作。

在一些应用场景中，由文件控制操作对安全工作空间22发起的对安全工作空间22的虚拟磁盘或虚拟文件夹发起的写操作进行处理，处理流程为：

S41：获取安全工作空间22内的应用程序发起的对安全工作空间22的虚拟磁盘或虚拟文件夹发起的写操作；

S42：判断是否允许安全工作空间22内的应用程序对安全工作空间22的虚拟磁盘或虚拟文件夹进行写操作，并根据判断结果执行处理。

由于预配置的文件控制策略为允许空间内的应用程序对安全工作空间的虚拟磁盘或虚拟文件进行写操作，因此，生成允许读操作的指令；

S43：控制数据加解密模块读取密文并进行写操作。

根据上述对读写操作流程的说明，下面以在安全工作空间内的应用程序对个人空间的磁盘的读写为例进行说明。根据图5可知，检测到当前安全工作空间内的应用程序对个人空间的磁盘发起的读写操作时，由文件控制模块来查询预配置的策略，判断是否允许；若允许，那么将对个人空间磁盘的读写操作进行映射处理，同步至当前安全工作空间内的虚拟磁盘或虚拟文件夹，通过这种工作空间的同步处理，既起到了隔离数据的目的，又能够利用图4提供的数据加解密模块对操作完成后的数据进行加密，提高数据的保密性。

下面结合图6对网络控制模块的处理流程进行说明，该实施例中包括个人空间、安全工作空间61和安全工作空间62。其中，个人空间是指权重为零的工作空间，即非安全工作空间。

在一些应用场景中，当前终端检测到安全工作空间61内的应用程序001对个人工作空间内的应用程序002发起交互数据时，由网络控制模块依据预配置的策略，来对是否允许安全工作空间61内的应用程序001与个人空间内的应用程序002进行数据交互进行审批判断。由于个人空间并非安全工作空间，因此，策略不允许。

在一些应用场景中，当前终端检测到安全工作空间61内的应用程序001向安全工作空间62内的应用程序003发起进行交互的本地网络数据时，由网络控制模块依据预配置的策略，来对是否允许安全工作空间61内的应用程序001与安全工作空间62内的应用程序003进行数据交互进行审批判断。若策略允许与安全工作空间62内的应用程序003进行数据交互，安全工作空间61内的应用程序001中与应用程序003交互的本地网络数据发送至安全工作空间62的应用程序003。

在一些应用场景中，若当前终端检测到安全工作空间61内编号为001的应用程序发起的跨主机数据时，由网络控制模块依据预配置的策略，来对是否允许该跨主机数据在不同的主机间进行数据传输进行审批判断；若策略允许，则将跨主机数据发送至目标设备(如其它终端、U盘、蓝牙设备等)。例如，当前终端检测到安全工作空间61内编号为001的应用程序发起VPN数据时，根据预配置的策略来对是否允许利用VPN协议进行数据传输，若策略允许，则将当前终端IP设置为VPN连接。

下面结合图7对应用程序控制模块的处理流程进行说明。该实施例中包括两个安全工作空间，分别为：安全工作空间71和安全工作空间72。其中，安全工作空间内部通过应用程序控制模块来对同一安全空间内的不同应用程序的通信进行控制，以及不同安全工作空间内不同应用程序间的通信进行控制。

该实施例中，安全工作空间71内包括应用程序004和应用程序005两类应用，检测到安全工作空间71的应用程序004与安全工作空间71的应用程序005间的通信请求时，由安全工作空间71的应用程序控制模块来查询预配置的策略，确定是否允许通信。由于该策略为同一安全工作空间内不同应用程序间允许通信的策略，因此，不论是安全工作空间71的应用程序004向安全工作空间71的应用程序005进行通信，还是安全工作空间71的应用程序005向安全工作空间71的应用程序004进行通信，均允许。另外，是否允许安全工作空间71的应用程序005与安全工作空间72的应用程序006进行通信，也是由安全工作空间71的应用程序控制模块来判断，若允许，则放行跨工作空间的通信数据。

另外，在一些实施例中，安全工作空间是否允许如U盘、U盾等外接设备的访问，以及其它高危操作(例如U盾数字证书的修改操作)，也由安全工作空间内应用程序控制模块来控制。

本申请的又一实施例提供了一种数据处理装置，如图8所示，该装置包括：检测模块801、第一空间确定模块802、判断模块803以及处理模块804。

检测模块801，用于检测对待处理目标的控制操作；

第一安全空间确定模块802，用于在预设的多个安全工作空间中，确定发起控制操作的第一安全工作空间；

判断模块803，用于判断第一安全工作空间是否具有执行控制操作的操作权限；

处理模块804，用于依据判断结果对待处理目标进行处理。

本申请实施例，通过多个安全工作空间的设置，起到了对数据进行隔离的作用，而通过确定发起控制操作的第一安全工作空间，并判断第一安全工作空间是否具有执行控制操作的操作权限，来对控制操作进行处理的方式，则实现了对不同安全工作空间各自的操作权限进行控制的目的，避免了安全工作空间内数据被非法转移造成的数据泄漏问题，提高了安全工作空间内数据的安全性。

进一步地，判断模块803包括：第二空间确定子模块、空间权重确定子模块、空间权重比较子模块以及第一操作权限判断子模块(图中未示出)。

第二空间确定子模块，用于若控制操作为跨空间控制操作，则在预设的多个安全工作空间中，确定跨空间控制操作指向的第二安全工作空间；

空间权重确定子模块，用于确定第一安全工作空间的空间权重，以及第二安全工作空间的空间权重；

空间权重比较子模块，用于将第一安全工作空间的空间权重和第二安全工作空间的空间权重进行比较；

第一操作权限判断子模块，用于依据比较结果以及跨空间控制操作的类型，判断第一安全工作空间是否具有执行控制操作的操作权限。

进一步地，第一操作权限判断子模块包括：

第一判断单元(图中未示出)：若跨空间操作的类型为对待处理目标的跨空间数据传输操作，且第一安全工作空间的空间权重不高于第二安全工作空间的空间权重，则确定第一安全工作空间具有执行跨空间数据传输操作的操作权限。

进一步地，确定第一安全工作空间具有执行跨空间数据传输操作的操作权限的步骤之前，第一判断单元包括：第一应用程序确定子单元、第二应用程序确定子单元和权限判断子单元(图中未示出)。

第一应用程序确定子单元，用于确定发起数据传输处理的第一应用程序，第一应用程序运行在第一安全工作空间；

第二应用程序确定子单元，用于确定用于接受数据传输处理的第二应用程序，第二应用程序运行在第二安全工作空间；

权限判断子单元，用于若第二应用程序为第一应用程序的可通信应用，则确定第一安全工作空间具有执行跨空间数据传输操作的操作权限。

进一步地，确定发送数据传输处理的第一应用程序之前，第一判断单元还包括：

应用启动检测子单元，用于检测启动第一应用程序的操作；

应用判断子单元，用于确定第一应用程序是否为第一安全工作空间的被授权应用。

进一步地，处理模块包括：

第一处理子模块(图中未示出)，用于若第一安全工作空间具有执行跨空间数据传输操作的操作权限，则控制第一安全工作空间将待处理目标发送至第二安全工作空间。

进一步地，第一操作权限判断子模块包括：

第二判断单元(图中未示出)，用于若跨空间操作的类型为对待处理目标的跨空间数据读取操作，且第一安全工作空间的空间权重不低于第二安全工作空间的空间权重，则确定第一安全工作空间具有执行跨空间数据读取操作的操作权限。

进一步地，处理模块包括：

第二处理子模块(图中未示出)，用于若第一安全工作空间具有执行跨空间数据读取操作的操作权限，则将待处理目标由第二安全工作空间同步至第一安全工作空间。

进一步地，判断模块803包括：

第二操作权限判断子模块(图中未示出)，用于若控制操作为空间内数据操作，则确定第一安全工作空间具有执行控制操作的操作权限。

进一步地，处理模块包括以下至少一个子模块：

第三处理子模块，用于若待处理目标为应用程序，控制该应用程序在第一安全空间的运行；

第四处理子模块，用于若待处理目标为文件，在第一安全空间对读取该文件，并对该文件进行编辑。

进一步地，判断模块803包括：跨主机操作确定子模块(图中未示出)、操作相关信息确定子模块(图中未示出)以及

跨主机操作确定子模块，用于若控制操作为跨主机控制操作，则确定被操作设备；

操作相关信息确定子模块，用于依据被操作设备对应的设备类型，确定对应的操作相关信息；

第三操作权限判断子模块，用于若操作相关信息为允许运行第一安全工作空间的目标终端与被操作设备进行通信，则确定第一安全工作空间具有执行控制操作的操作权限。

进一步地，处理模块包括：

第五处理子模块(图中未示出)，用于对目标终端与被操作设备间的通信接口，执行启动处理，以使目标终端将待处理目标发送至被操作设备。

进一步地，该装置还包括：

操作事件记录确定模块(图中未示出)，用于确定执行控制操作的操作事件记录，以依据操作事件记录进行分析。

本实施例的数据处理装置可执行本申请实施例提供的数据处理方法，其实现原理相类似，此处不再赘述。

本申请又一实施例提供了一种终端，包括：存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，该处理器执行计算机程序时以实现上述数据处理方法。

具体地，处理器可以是CPU，通用处理器，DSP，ASIC，FPGA或者其他可编程逻辑器件、晶体管逻辑器件、硬件部件或者其任意组合。其可以实现或执行结合本申请公开内容所描述的各种示例性的逻辑方框，模块和电路。处理器也可以是实现计算功能的组合，例如包含一个或多个微处理器组合，DSP和微处理器的组合等。

具体地，处理器通过总线与存储器连接，总线可包括一通路，以用于传送信息。总线可以是PCI总线或EISA总线等。总线可以分为地址总线、数据总线、控制总线等。

存储器可以是ROM或可存储静态信息和指令的其他类型的静态存储设备，RAM或者可存储信息和指令的其他类型的动态存储设备，也可以是EEPROM、CD-ROM或其他光盘存储、光碟存储(包括压缩光碟、激光碟、光碟、数字通用光碟、蓝光光碟等)、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。

可选的，存储器用于存储执行本申请方案的计算机程序的代码，并由处理器来控制执行。处理器用于执行存储器中存储的应用程序代码，以实现图8所示实施例提供的数据处理装置的动作。

本申请实施例，通过多个安全工作空间的设置，起到了对数据进行隔离的作用，而通过确定发起控制操作的第一安全工作空间，并判断第一安全工作空间是否具有执行控制操作的操作权限，来对控制操作进行处理的方式，则实现了对不同安全工作空间各自的操作权限进行控制的目的，避免了安全工作空间内数据被非法转移造成的数据泄漏问题，提高了安全工作空间内数据的安全性。

本申请又一实施例提供了一种计算机可读存储介质，存储有计算机可执行指令，该计算机可执行指令用于执行上述图1或图2所示的数据处理方法。

本申请实施例，通过多个安全工作空间的设置，起到了对数据进行隔离的作用，而通过确定发起控制操作的第一安全工作空间，并判断第一安全工作空间是否具有执行控制操作的操作权限，来对控制操作进行处理的方式，则实现了对不同安全工作空间各自的操作权限进行控制的目的，避免了安全工作空间内数据被非法转移造成的数据泄漏问题，提高了安全工作空间内数据的安全性。

以上所描述的装置实施例仅是示意性的，其中作为分离部件说明的单元可以是或者也可以不是物理上分开的，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。

本领域普通技术人员可以理解，上文中所公开方法中的全部或某些步骤、系统可以被实施为软件、固件、硬件及其适当的组合。某些物理组件或所有物理组件可以被实施为由处理器，如中央处理器、数字信号处理器或微处理器执行的软件，或者被实施为硬件，或者被实施为集成电路，如专用集成电路。这样的软件可以分布在计算机可读介质上，计算机可读介质可以包括计算机存储介质(或非暂时性介质)和通信介质(或暂时性介质)。如本领域普通技术人员公知的，术语计算机存储介质包括在用于存储信息(诸如计算机可读指令、数据结构、程序模块或其他数据)的任何方法或技术中实施的易失性和非易失性、可移除和不可移除介质。计算机存储介质包括但不限于RAM、ROM、EEPROM、闪存或其他存储器技术、CD-ROM、数字多功能盘(DVD)或其他光盘存储、磁盒、磁带、磁盘存储或其他磁存储装置、或者可以用于存储期望的信息并且可以被计算机访问的任何其他的介质。此外，本领域普通技术人员公知的是，通信介质通常包含计算机可读指令、数据结构、程序模块或者诸如载波或其他传输机制之类的调制数据信号中的其他数据，并且可包括任何信息递送介质。

以上是对本申请的较佳实施进行了具体说明，但本申请并不局限于上述实施方式，熟悉本领域的技术人员在不违背本申请精神的前提下还可做出种种的等同变形或替换，这些等同的变形或替换均包含在本申请权利要求所限定的范围内。

Claims (15)

1.一种数据处理方法，其特征在于，包括：

检测对待处理目标的控制操作；

在预设的多个安全工作空间中，确定发起所述控制操作的第一安全工作空间；

判断所述第一安全工作空间是否具有执行所述控制操作的操作权限；

依据判断结果对所述待处理目标进行处理。

2.根据权利要求1所述的方法，其特征在于，所述判断所述第一安全工作空间是否具有执行所述控制操作的操作权限的步骤，包括：

若所述控制操作为跨空间控制操作，则在预设的多个安全工作空间中，确定所述跨空间控制操作指向的第二安全工作空间；

确定所述第一安全工作空间的空间权重，以及所述第二安全工作空间的空间权重；

将所述第一安全工作空间的空间权重和所述第二安全工作空间的空间权重进行比较；

依据比较结果以及所述跨空间控制操作的类型，判断所述第一安全工作空间是否具有执行所述控制操作的操作权限。

3.根据权利要求2所述的方法，其特征在于，所述依据比较结果以及所述跨空间控制操作的类型，判断所述第一安全工作空间是否具有执行所述控制操作的操作权限的步骤，包括：

若所述跨空间控制操作的类型为对所述待处理目标的跨空间数据传输操作，且所述第一安全工作空间的空间权重不高于所述第二安全工作空间的空间权重，则确定所述第一安全工作空间具有执行跨空间数据传输操作的操作权限。

4.根据权利要求3所述的方法，其特征在于，所述确定所述第一安全工作空间具有执行跨空间数据传输操作的操作权限的步骤之前，所述方法还包括：

确定发起数据传输处理的第一应用程序，所述第一应用程序运行在所述第一安全工作空间；

确定用于接受数据传输处理的第二应用程序，所述第二应用程序运行在所述第二安全工作空间；

若所述第二应用程序为所述第一应用程序的可通信应用，则确定所述第一安全工作空间具有执行跨空间数据传输操作的操作权限。

5.根据权利要求4所述的方法，其特征在于，所述确定发起数据传输处理的第一应用程序的步骤之前，所述方法还包括：

检测启动所述第一应用程序的操作；

确定所述第一应用程序是否为所述第一安全工作空间的被授权应用。

6.根据权利要求3所述的方法，其特征在于，所述依据判断结果对所述待处理目标进行处理的步骤，包括：

若所述第一安全工作空间具有执行跨空间数据传输操作的操作权限，则控制所述第一安全工作空间将所述待处理目标发送至所述第二安全工作空间。

7.根据权利要求2所述的方法，其特征在于，所述依据比较结果以及所述跨空间控制操作的类型，判断所述第一安全工作空间是否具有执行所述控制操作的操作权限的步骤，包括：

若所述跨空间操作的类型为对所述待处理目标的跨空间数据读取操作，且所述第一安全工作空间的空间权重不低于所述第二安全工作空间的空间权重，则确定所述第一安全工作空间具有执行跨空间数据读取操作的操作权限。

8.根据权利要求7所述的方法，其特征在于，所述依据判断结果对所述待处理目标进行处理的步骤，包括：

若所述第一安全工作空间具有执行跨空间数据读取操作的操作权限，则将所述待处理目标由所述第二安全工作空间同步至所述第一安全工作空间。

9.根据权利要求1所述的方法，其特征在于，所述判断所述第一安全工作空间是否具有执行所述控制操作的操作权限的步骤，包括：

若所述控制操作为安全工作空间内数据操作，则确定所述第一安全工作空间具有执行所述控制操作的操作权限。

10.根据权利要求9所述的方法，其特征在于，所述依据判断结果对所述待处理目标进行处理的步骤，包括以下至少一个步骤：

若所述待处理目标为应用程序，控制该应用程序在所述第一安全空间的运行；

若所述待处理目标为文件，在所述第一安全空间读取该文件，并对该文件进行编辑。

11.根据权利要求1所述的方法，其特征在于，

所述判断所述第一安全工作空间是否具有执行所述控制操作的操作权限的步骤，包括：

若所述控制操作为跨主机控制操作，则确定被操作设备；

依据所述被操作设备对应的设备类型，确定对应的操作相关信息；

若所述操作相关信息为允许运行所述第一安全工作空间的目标终端与所述被操作设备进行通信，则确定所述第一安全工作空间具有执行所述控制操作的操作权限；

所述依据判断结果对所述待处理目标进行处理的步骤，包括以下至少一个步骤：

对所述目标终端与所述被操作设备间的通信接口，执行启动处理，以使目标终端将所述待处理目标发送至所述被操作设备。

12.根据权利要求1所述的方法，其特征在于，所述方法还包括：

确定对所述控制操作进行处理的操作事件记录。

13.一种数据处理装置，其特征在于，包括：

检测模块，用于检测对待处理目标的控制操作；

第一空间确定模块，用于在预设的多个安全工作空间中，确定发起所述控制操作的第一安全工作空间；

判断模块，用于判断所述第一安全工作空间是否具有执行所述控制操作的操作权限；

处理模块，用于依据判断结果对所述待处理目标进行处理。

14.一种终端，包括：存储器、处理器及存储在该存储器上并可在该处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序以实现权利要1至12中任一项所述的方法。

15.一种计算机可读存储介质，存储有计算机可执行指令，所述计算机可执行指令用于执行权利要求1至12中任一项所述的方法。

Images