CN113641989B - 应用管理方法、装置及系统、电子设备 - Google Patents

Abstract

本发明提供了一种应用管理方法、装置及系统、电子设备，涉及数据安全技术领域，在进行应用管理时，根据应用域类型将应用分为普通域应用和安全域应用两类，普通域应用安装和运行在电子设备的操作系统环境，安全域应用安装和运行在沙箱环境，且不同于普通域应用，安全域应用产生的应用数据均存储在与内部私有目录对应的存储区域，这样实现了应用数据的双域管理，提高了应用数据的安全性，从而提高了用户体验。

Description

应用管理方法、装置及系统、电子设备

技术领域

本发明涉及数据安全技术领域，尤其是涉及一种应用管理方法、装置及系统、电子设备。

背景技术

安卓(Android)是一种基于Linux内核的自由及开放源代码的操作系统，是移动终端操作系统的主流系统之一，安卓系统的应用市场所包含的应用数以千万计，应用涉及用户生活的方方面面，大大方便了人类的日常生活。但是由于安卓系统的开放性，使其在诸如手机等移动终端的安全方面，如手机病毒、恶意软件、隐私泄露等方面存在着很大的挑战，这些挑战严重威胁了使用安卓系统的用户。

发明内容

本发明的目的在于提供一种应用管理方法、装置及系统、电子设备，以提高应用数据的安全性，从而提高用户体验。

第一方面，本发明实施例提供了一种应用管理方法，应用于客户端，所述客户端所在的电子设备上部署有预设的沙箱环境；所述方法包括：

当获取到目标应用的安装指令时，获取所述目标应用的目标安装数据和目标应用域类型；所述目标应用域类型包括普通域或安全域；

根据所述目标安装数据，将所述目标应用安装在与所述目标应用域类型对应的目标环境中；所述目标环境包括与所述普通域对应的所述电子设备的操作系统环境或与所述安全域对应的沙箱环境；

当获取到所述目标应用的启动指令时，控制所述目标应用运行在所述目标环境中，并将所述目标应用产生的应用数据存储在与所述目标应用域类型对应的指定存储区域；所述指定存储区域包括与所述普通域对应的第一存储区域或与所述安全域对应的第二存储区域，其中，所述第二存储区域为与内部私有目录对应的存储区域。

进一步地，在获取目标应用的安装指令之前，所述方法还包括：

当获取到搜索指令时，将所述搜索指令发送至服务器；

接收所述服务器返回的与所述搜索指令对应的应用列表数据；

将所述应用列表数据分别在与应用域类型对应的两个标签页展示。

进一步地，所述应用数据包括内部私有目录数据和外部私有目录数据；所述将所述目标应用产生的应用数据存储在与所述目标应用域类型对应的指定存储区域，包括：

当所述目标应用域类型为安全域时，将所述目标应用产生的内部私有目录数据，存储在所述客户端的应用内部私有目录下的第一指定文件夹下；并将所述目标应用产生的外部私有目录数据，通过文件目录重定向存储在所述客户端的应用内部私有目录下的第二指定文件夹下。

进一步地，所述将所述目标应用产生的应用数据存储在与所述目标应用域类型对应的指定存储区域，还包括：

当所述目标应用域类型为普通域时，将所述目标应用产生的内部私有目录数据和外部私有目录数据，分别存储在/data/data/packagename路径和/storage/emulated/0/Android/data/packagename路径下；其中，packagename为所述目标应用的包名。

进一步地，所述将所述目标应用安装在与所述目标应用域类型对应的目标环境中之后，所述方法还包括：

在与所述目标应用域类型对应的目标界面上，生成并显示与所述目标应用对应的目标图标，以供用户通过点击所述目标图标来启动所述目标应用；其中，所述目标界面包括与所述普通域对应的所述电子设备的操作系统桌面或与所述安全域对应的所述客户端的客户端平台。

进一步地，所述方法还包括：

当检测到所述电子设备已被获取超级管理员权限时，卸载所述客户端。

第二方面，本发明实施例还提供了一种应用管理装置，应用于客户端，所述客户端所在的电子设备上部署有预设的沙箱环境；所述装置包括：

获取模块，用于当获取到目标应用的安装指令时，获取所述目标应用的目标安装数据和目标应用域类型；所述目标应用域类型包括普通域或安全域；

安装模块，用于根据所述目标安装数据，将所述目标应用安装在与所述目标应用域类型对应的目标环境中；所述目标环境包括与所述普通域对应的所述电子设备的操作系统环境或与所述安全域对应的沙箱环境；

存储模块，用于当获取到所述目标应用的启动指令时，控制所述目标应用运行在所述目标环境中，并将所述目标应用产生的应用数据存储在与所述目标应用域类型对应的指定存储区域；所述指定存储区域包括与所述普通域对应的第一存储区域或与所述安全域对应的第二存储区域，其中，所述第二存储区域为与内部私有目录对应的存储区域。

第三方面，本发明实施例还提供了一种应用管理系统，包括客户端、服务器和管理端，所述服务器分别与所述客户端和所述管理端连接；所述客户端运行时执行第一方面所述的方法；所述管理端用于上传应用相关数据至所述服务器，所述应用相关数据包括应用的安装数据和应用域类型。

第四方面，本发明实施例还提供了一种电子设备，包括存储器、处理器，所述存储器中存储有可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现上述第一方面的应用管理方法。

第五方面，本发明实施例还提供了一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器运行时执行上述第一方面的应用管理方法。

本发明实施例提供的应用管理方法、装置及系统、电子设备中，该方法应用于客户端，客户端所在的电子设备上部署有预设的沙箱环境；该方法包括：当获取到目标应用的安装指令时，获取目标应用的目标安装数据和目标应用域类型；目标应用域类型包括普通域或安全域；根据目标安装数据，将目标应用安装在与目标应用域类型对应的目标环境中；目标环境包括与普通域对应的电子设备的操作系统环境或与安全域对应的沙箱环境；当获取到目标应用的启动指令时，控制目标应用运行在目标环境中，并将目标应用产生的应用数据存储在与目标应用域类型对应的指定存储区域；指定存储区域包括与普通域对应的第一存储区域或与安全域对应的第二存储区域，其中，第二存储区域为与内部私有目录对应的存储区域。这样可以根据应用域类型将应用分为普通域应用和安全域应用两类，普通域应用安装和运行在电子设备的操作系统环境，安全域应用安装和运行在沙箱环境，且不同于普通域应用，安全域应用产生的应用数据均存储在与内部私有目录对应的存储区域，这样实现了应用数据的双域管理，提高了应用数据的安全性，从而提高了用户体验。

附图说明

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的一种应用管理系统的结构示意图；

图2为本发明实施例提供的一种应用管理系统的双域管理方案流程图；

图3为本发明实施例提供的一种应用列表数据的展示示意图；

图4为本发明实施例提供的一种应用管理方法的流程示意图；

图5为本发明实施例提供的一种应用管理装置的结构示意图；

图6为本发明实施例提供的一种电子设备的结构示意图。

具体实施方式

下面将结合实施例对本发明的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

安卓系统的开放性，使其应用数据的安全性较低，影响用户体验。基于此，本发明实施例提供的一种应用管理方法、装置及系统、电子设备，可以提高应用数据的安全性，从而提高用户体验。

为便于对本实施例进行理解，首先对本发明实施例所公开的一种应用管理系统进行详细介绍。

参见图1所示的一种应用管理系统的结构示意图，该应用管理系统包括客户端11、服务器12和管理端13，服务器12分别与客户端11和管理端13连接；客户端11运行时执行后续的应用管理方法；管理端13用于上传应用相关数据至服务器12，该应用相关数据包括应用的安装数据和应用域类型，该应用域类型分为普通域和安全域。

图1所示，客户端11可以为多个。客户端11所在的电子设备上部署有预设的沙箱环境；该电子设备可以但不限于为诸如手机或平板电脑等移动终端。客户端11也可以称为双域管理应用，其与应用市场(应用商店)类似，能够为用户提供可下载的应用列表，并对所提供的应用进行相应管理。用户在安装该客户端11的同时，部署该预设的沙箱环境。

双域管理应用中，应用被区分为安全域应用和普通域应用两类。安全域应用的应用域类型为安全域，安全域应用安装和运行在部署的沙箱环境中，其中沙箱是虚拟系统程序，沙箱中运行了预设的安卓系统，通过沙箱为安全域应用提供一个封闭的运行环境；普通域应用的应用域类型为普通域，普通域应用安装和运行于安卓系统环境。这样可以实现应用的双域管理，满足一些对保密性要求较高的人群使用安卓系统的手机时对安装应用的数据安全管控要求。需要说明的是，虽然本实施例中该双域管理应用针对的是安卓系统的应用管理，但本发明的保护范围不限于此，在其他实施例中，也可以适用于其他操作系统的应用管理。

为了便于理解，下面以客户端为双域管理应用，电子设备的操作系统为手机的安卓系统为例，参照图2对上述应用管理系统的双域管理方案进行介绍：

步骤S202，部署服务器。

服务器用于管理用户和应用相关的信息。

步骤S204，管理端上传应用相关数据至服务器，应用相关数据包括应用的安装数据和应用域类型。

安装数据可以但不限于为APK(Android application package，安卓应用程序包)文件。

步骤S206，双域管理应用获取服务器返回的应用列表数据，并将应用列表数据分别在与应用域类型对应的两个标签页展示。

双域管理应用可以通过事先定义好的诸如HTTP(Hyper Text TransferProtocol，超文本传输协议)RESTful(Representational State Transfer)接口，获取服务器返回的应用列表数据，同时根据应用域类型，将应用列表数据分别在两个TAB(标签)页展示，如图3所示，该应用列表页面包括两个可选的标签普通域和安全域，用户可以在选定的标签下进行相应应用域类型的应用下载，例如，用户选定安全域，再点击应用A的下载按钮，则进行安全域下的应用A下载。

步骤S208，用户选择相应应用进行下载安装。

用户可以在应用列表页面，根据自身需要下载指定应用域的应用进行安装。用户打开应用时，若应用的应用域类型为安全域，则执行步骤S210；若应用的应用域类型为普通域，则执行步骤S212。

步骤S210，打开应用，应用运行于预设的沙箱环境中，应用数据存储于双域管理应用的私有目录下指定文件夹中进行管理。

安全域应用在使用过程中产生的应用数据(包括用户数据)将保存至与安全域对应的指定的存储区域。

步骤S212，打开应用，应用运行于安卓系统环境，应用数据存储于手机安卓文件夹里data目录的指定包名文件夹中进行管理。

普通域应用在使用过程中产生的应用数据将保存至安卓系统预设的存储区域。

本发明实施例提供的应用管理系统，在管理端上传APK文件至部署的服务器时携带应用的应用域类型TYPE，即普通域或安全域；双域管理应用客户端从服务器获取的应用列表信息，根据TYPE区分为普通域应用列表标签页和安全域应用列表标签页；用户从客户端的相应标签页下载对应的安全域应用或普通域应用进行安装；安全域应用和普通域应用根据TYPE调用不同的安装API(Application Programming Interface，应用程序接口)，并将相关应用数据进行分域管理，从而实现了安卓手机应用数据的双域管理，提高了应用数据的安全性，从而提高了用户体验。

本发明实施例还提供了一种应用管理方法，该方法应用于上述客户端，该客户端所在的电子设备上部署有预设的沙箱环境；参见图4所示的一种应用管理方法的流程示意图，该方法主要包括如下步骤S402～步骤S406：

步骤S402，当获取到目标应用的安装指令时，获取目标应用的目标安装数据和目标应用域类型；该目标应用域类型包括普通域或安全域。

在一些可能的实施例中，在获取目标应用的安装指令之前，该方法还包括：当获取到搜索指令时，将搜索指令发送至服务器；接收服务器返回的与搜索指令对应的应用列表数据；将该应用列表数据分别在与应用域类型对应的两个标签页展示。其中，搜索指令可以携带一些关键词，服务器基于这些关键词进行搜索，得到应用列表数据。这样可以方便用户快速查找到所需的应用。

用户可以将一些使用安全级别较高的应用安装在安全域中，将一些安全级别偏低的应用安装在普通域中；也可以将同一应用分别安装在安全域和普通域中，在安全域中安装的应用登录安全级别较高的账号，在普通域中安装的应用登录安全级别较低的账号。本实施例中，可以根据应用域类型将应用分为普通域应用和安全域应用两类，普通域应用的应用域类型为普通域，安全域应用的应用域类型为安全域。

步骤S404，根据目标安装数据，将目标应用安装在与目标应用域类型对应的目标环境中；该目标环境包括与普通域对应的电子设备的操作系统环境或与安全域对应的沙箱环境。

在进行应用安装时，普通域应用和安全域应用所调用的安装API不同，从而可以将普通域应用安装在电子设备的操作系统环境(例如安卓系统环境)中，将安全域应用安装在沙箱环境中。基于此，上述步骤S404可以通过如下过程实现：根据目标安装数据，调用与目标应用域类型对应的安装API进行目标应用安装。

步骤S406，当获取到目标应用的启动指令时，控制目标应用运行在目标环境中，并将目标应用产生的应用数据存储在与目标应用域类型对应的指定存储区域；该指定存储区域包括与普通域对应的第一存储区域或与安全域对应的第二存储区域，其中，第二存储区域为与内部私有目录对应的存储区域。

用户启动应用后，普通域应用运行在诸如安卓系统环境等电子设备的操作系统环境中，安全域应用运行在沙箱环境中，这样实现了基于沙箱环境的应用隔离；普通域应用产生的应用数据存储在第一存储区域，安全域应用产生的应用数据存储在第二存储区域，这样实现了应用数据的双域存储；并且，第二存储区域为与内部私有目录对应的存储区域，这就使得安全域应用产生的应用数据的安全性得到了大大保护，要想获取该应用数据只能通过root(超级用户权限或超级管理员权限，也称为根权限)手段。

应用数据分为公有目录数据和私有目录数据，其中私有目录是指仅某个应用自己可管理访问的文件目录，即该目录归属于该应用，私有目录数据又分为内部私有目录数据和外部私有目录数据。基于此，在一些可能的实施例中，上述步骤S406可以通过如下方式进行安全域应用产生的应用数据的存储：当目标应用域类型为安全域时，将目标应用产生的内部私有目录数据，存储在客户端的应用内部私有目录下的第一指定文件夹下；并将目标应用产生的外部私有目录数据，通过文件目录重定向存储在客户端的应用内部私有目录下的第二指定文件夹下。这样使得安全域应用产生的内部私有目录数据和外部私有目录数据均存储在与内部私有目录对应的存储区域，安全域应用产生的私有目录数据需要获取root权限才能查看，保证了该私有目录数据的安全性。

例如，安全域应用产生的内部私有目录数据存放于/data/data/双域管理应用的包名/存放安全域应用内部私有目录文件的文件夹/安全域应用的包名，安全域应用产生的外部私有目录数据存放于/data/data/双域管理应用的包名/存放安全域应用内部私有目录文件的文件夹/sdcard/0/Android/data/安全域应用的包名，即通过sdcard/0重定向于/data/data/双域管理应用的包名/存放安全域应用内部私有目录文件的文件夹，从而保证应用数据的安全性。

以电子设备的操作系统环境为手机的安卓系统环境为例，因用户对普通域应用的应用数据安全性要求不高，所以普通域应用与用户在手机自带应用市场安装的应用运行环境一样，普通域应用可以按照安卓应用存储规范，由应用本身控制应用的数据存储位置。基于此，在一些可能的实施例中，上述步骤S406可以通过如下方式进行普通域应用产生的应用数据的存储：当目标应用域类型为普通域时，将目标应用产生的内部私有目录数据和外部私有目录数据，分别存储在/data/data/packagename路径和/storage/emulated/0/Android/data/packagename路径下；其中，packagename为目标应用的包名。普通域应用产生的内部私有目录数据，需要获取root权限才能查看，其他应用无法访问存储在内部存储空间中的文件；对于普通域应用产生的外部私有目录数据，系统会在外部存储空间中提供目录，普通域应用可以在该外部存储空间中保存对用户有价值的文件。

本发明实施例提供的应用管理方法，根据应用域类型将应用分为普通域应用和安全域应用两类，普通域应用安装和运行在电子设备的操作系统环境，安全域应用安装和运行在沙箱环境，且不同于普通域应用，安全域应用产生的应用数据均存储在与内部私有目录对应的存储区域，这样实现了应用数据的双域管理，提高了应用数据的安全性，从而提高了用户体验。

本发明实施例还提供了一种沙箱的实现方式，具体如下：沙箱包括一个主进程、一个服务进程和多个客户端进程，其中主进程用于管理运行在沙箱的安全域应用；服务进程通过Content Provider启动，提供了代理服务，通过对安卓系统的BinderProxy进行重新构造并替换，从而实现了一套可以替代安卓系统Framework层的系统服务Service，其中的Service是对原安卓系统中的服务service的封装，从而实现对原安卓系统服务的代理和替换；客户端进程是运行的安全域应用的进程。需要说明的是，本发明实施例对沙箱的实现方式不做限定，在其他实施例中，也可以采用其他自设的沙箱环境来实现安全域应用的运行空间隔离和数据重定向。

在一些可能的实施例中，将目标应用安装在与目标应用域类型对应的目标环境中之后，上述方法还包括：在与目标应用域类型对应的目标界面上，生成并显示与目标应用对应的目标图标，以供用户通过点击目标图标来启动目标应用；其中，目标界面包括与普通域对应的电子设备的操作系统桌面或与安全域对应的客户端的客户端平台。

对于普通域应用，可以在手机的安卓系统桌面上创建其桌面快捷方式(即目标图标)，以方便用户打开普通域应用。对于安全域应用，可以在双域管理应用的平台上生成运行图标(即目标图标)，在安卓系统桌面上不再生产安全域应用的桌面快捷方式，用户只能通过双域管理应用打开安全域应用，无法直接通过查看安卓系统桌面上的桌面快捷方式来获知指定应用是否安装在安卓系统中，这样起到了对安全域应用中的相关信息的保护作用，也即进一步提高了安全域应用的应用数据的安全性。

进一步地，上述方法还包括：当检测到电子设备已被获取超级管理员权限时，卸载该客户端。这样双域管理应用一旦检测到手机已被获取root权限，则卸载自身，进一步保证了安全域应用的应用数据的绝对安全性。

本发明实施例提供的应用管理方法，区别于现有安卓应用软件的数据存储方案，摆脱了应用只能单一地遵循安卓系统存储规范，开创性地将应用区分为安全域应用和普通域应用，结合预设的沙箱环境，将安全域应用和普通域应用产生的应用数据分别划分在指定的区域，相比于普通域应用，安全域应用因应用数据都保存在双域管理应用的内部私有目录下，这就使得应用数据的安全性得到了大大保护，要想获取应用数据只能通过root手段，而双域管理应用在检测到手机已被root，则将卸载自身，从而保证了数据的绝对安全性。而普通域应用因用户对其应用数据安全性要求不高，则按照安卓应用存储规范，由应用本身控制应用的数据存储位置。这样实现了应用数据的双域管理。

对应于上述的应用管理方法，本发明实施例还提供了一种应用管理装置，该装置应用于客户端，客户端所在的电子设备上部署有预设的沙箱环境。参见图5所示的一种应用管理装置的结构示意图，该装置包括：

获取模块52，用于当获取到目标应用的安装指令时，获取目标应用的目标安装数据和目标应用域类型；目标应用域类型包括普通域或安全域；

安装模块54，用于根据目标安装数据，将目标应用安装在与目标应用域类型对应的目标环境中；目标环境包括与普通域对应的电子设备的操作系统环境或与安全域对应的沙箱环境；

存储模块56，用于当获取到目标应用的启动指令时，控制目标应用运行在目标环境中，并将目标应用产生的应用数据存储在与目标应用域类型对应的指定存储区域；指定存储区域包括与普通域对应的第一存储区域或与安全域对应的第二存储区域，其中，第二存储区域为与内部私有目录对应的存储区域。

本发明实施例提供的应用管理装置，根据应用域类型将应用分为普通域应用和安全域应用两类，普通域应用安装和运行在电子设备的操作系统环境，安全域应用安装和运行在沙箱环境，且不同于普通域应用，安全域应用产生的应用数据均存储在与内部私有目录对应的存储区域，这样实现了应用数据的双域管理，提高了应用数据的安全性，从而提高了用户体验。

进一步地，上述装置还包括与上述获取模块52连接的展示模块，展示模块用于：当获取到搜索指令时，将搜索指令发送至服务器；接收服务器返回的与搜索指令对应的应用列表数据；将应用列表数据分别在与应用域类型对应的两个标签页展示。

进一步地，上述应用数据包括内部私有目录数据和外部私有目录数据；上述存储模块56具体用于：当目标应用域类型为安全域时，将目标应用产生的内部私有目录数据，存储在客户端的应用内部私有目录下的第一指定文件夹下；并将目标应用产生的外部私有目录数据，通过文件目录重定向存储在客户端的应用内部私有目录下的第二指定文件夹下。

进一步地，上述存储模块56还用于：当目标应用域类型为普通域时，将目标应用产生的内部私有目录数据和外部私有目录数据，分别存储在/data/data/packagename路径和/storage/emulated/0/Android/data/packagename路径下；其中，packagename为目标应用的包名。

进一步地，上述装置还包括与上述安装模块54连接的生成模块，生成模块用于：在与目标应用域类型对应的目标界面上，生成并显示与目标应用对应的目标图标，以供用户通过点击目标图标来启动目标应用；其中，目标界面包括与普通域对应的电子设备的操作系统桌面或与安全域对应的客户端的客户端平台。

进一步地，上述装置还包括与上述存储模块56连接的卸载模块，卸载模块用于当检测到电子设备已被获取超级管理员权限时，卸载客户端。

本实施例所提供的装置，其实现原理及产生的技术效果和前述方法实施例相同，为简要描述，装置实施例部分未提及之处，可参考前述方法实施例中相应内容。

参见图6，本发明实施例还提供一种电子设备100，包括：处理器60，存储器61，总线62和通信接口63，所述处理器60、通信接口63和存储器61通过总线62连接；处理器60用于执行存储器61中存储的可执行模块，例如计算机程序。

其中，存储器61可能包含随机存取存储器(Random Access Memory，简称RAM)，也可能还包括非易失性存储器(non-volatile memory，简称NVM)，例如至少一个磁盘存储器。通过至少一个通信接口63(可以是有线或者无线)实现该系统网元与至少一个其他网元之间的通信连接，可以使用互联网，广域网，本地网，城域网等。

总线62可以是工业标准体系结构(Industry Standard Architecture，简称ISA)总线、外设部件互连标准(Peripheral Component Interconnect，简称PCI)总线或扩展工业标准结构(Extended Industry Standard Architecture，简称EISA)总线等。所述总线可以分为地址总线、数据总线、控制总线等。为便于表示，图6中仅用一个双向箭头表示，但并不表示仅有一根总线或一种类型的总线。

其中，存储器61用于存储程序，所述处理器60在接收到执行指令后，执行所述程序，前述本发明实施例任一实施例揭示的流程定义的装置所执行的方法可以应用于处理器60中，或者由处理器60实现。

处理器60可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过处理器60中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器60可以是通用处理器，包括中央处理器(Central Processing Unit，简称CPU)、网络处理器(Network Processor，简称NP)等；还可以是数字信号处理器(Digital SignalProcessing，简称DSP)、专用集成电路(Application Specific Integrated Circuit，简称ASIC)、现成可编程门阵列(Field-Programmable Gate Array，简称FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本发明实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本发明实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器61，处理器60读取存储器61中的信息，结合其硬件完成上述方法的步骤。

本发明实施例还提供了一种计算机可读存储介质，该计算机可读存储介质上存储有计算机程序，该计算机程序被处理器运行时执行前面方法实施例中所述的应用管理方法。该计算机可读存储介质包括：U盘、移动硬盘、只读存储器(Read-Only Memory，简称ROM)、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

在这里示出和描述的所有示例中，任何具体值应被解释为仅仅是示例性的，而不是作为限制，因此，示例性实施例的其他示例可以具有不同的值。

附图中的流程图和框图显示了根据本发明的多个实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统、装置和方法，可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，又例如，多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些通信接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims (8)

1.一种应用管理方法，其特征在于，应用于客户端，所述客户端所在的电子设备上部署有预设的沙箱环境；所述方法包括：

当获取到目标应用的安装指令时，获取所述目标应用的目标安装数据和目标应用域类型；所述目标应用域类型包括普通域或安全域；

根据所述目标安装数据，将所述目标应用安装在与所述目标应用域类型对应的目标环境中；所述目标环境包括与所述普通域对应的所述电子设备的操作系统环境或与所述安全域对应的沙箱环境；

当获取到所述目标应用的启动指令时，控制所述目标应用运行在所述目标环境中，并将所述目标应用产生的应用数据存储在与所述目标应用域类型对应的指定存储区域；所述指定存储区域包括与所述普通域对应的第一存储区域或与所述安全域对应的第二存储区域，其中，所述第二存储区域为与内部私有目录对应的存储区域；

所述将所述目标应用安装在与所述目标应用域类型对应的目标环境中之后，所述方法还包括：

在与所述目标应用域类型对应的目标界面上，生成并显示与所述目标应用对应的目标图标，以供用户通过点击所述目标图标来启动所述目标应用；其中，所述目标界面包括与所述普通域对应的所述电子设备的操作系统桌面或与所述安全域对应的所述客户端的客户端平台；

所述应用数据包括内部私有目录数据和外部私有目录数据；所述将所述目标应用产生的应用数据存储在与所述目标应用域类型对应的指定存储区域，包括：

当所述目标应用域类型为安全域时，将所述目标应用产生的内部私有目录数据，存储在所述客户端的应用内部私有目录下的第一指定文件夹下；并将所述目标应用产生的外部私有目录数据，通过文件目录重定向存储在所述客户端的应用内部私有目录下的第二指定文件夹下。

2.根据权利要求1所述的应用管理方法，其特征在于，在获取目标应用的安装指令之前，所述方法还包括：

当获取到搜索指令时，将所述搜索指令发送至服务器；

接收所述服务器返回的与所述搜索指令对应的应用列表数据；

将所述应用列表数据分别在与应用域类型对应的两个标签页展示。

3.根据权利要求1所述的应用管理方法，其特征在于，所述将所述目标应用产生的应用数据存储在与所述目标应用域类型对应的指定存储区域，还包括：

当所述目标应用域类型为普通域时，将所述目标应用产生的内部私有目录数据和外部私有目录数据，分别存储在/data/data/packagename路径和/storage/emulated/0/Android/data/packagename路径下；其中，packagename为所述目标应用的包名。

4.根据权利要求1所述的应用管理方法，其特征在于，所述方法还包括：

当检测到所述电子设备已被获取超级管理员权限时，卸载所述客户端。

5.一种应用管理装置，其特征在于，应用于客户端，所述客户端所在的电子设备上部署有预设的沙箱环境；所述装置包括：

获取模块，用于当获取到目标应用的安装指令时，获取所述目标应用的目标安装数据和目标应用域类型；所述目标应用域类型包括普通域或安全域；

安装模块，用于根据所述目标安装数据，将所述目标应用安装在与所述目标应用域类型对应的目标环境中；所述目标环境包括与所述普通域对应的所述电子设备的操作系统环境或与所述安全域对应的沙箱环境；

存储模块，用于当获取到所述目标应用的启动指令时，控制所述目标应用运行在所述目标环境中，并将所述目标应用产生的应用数据存储在与所述目标应用域类型对应的指定存储区域；所述指定存储区域包括与所述普通域对应的第一存储区域或与所述安全域对应的第二存储区域，其中，所述第二存储区域为与内部私有目录对应的存储区域；

还包括与所述安装模块连接的生成模块，所述生成模块用于：在与所述目标应用域类型对应的目标界面上，生成并显示与所述目标应用对应的目标图标，以供用户通过点击所述目标图标来启动所述目标应用；其中，所述目标界面包括与所述普通域对应的所述电子设备的操作系统桌面或与所述安全域对应的所述客户端的客户端平台；

所述应用数据包括内部私有目录数据和外部私有目录数据；所述存储模块具体用于：当所述目标应用域类型为安全域时，将所述目标应用产生的内部私有目录数据，存储在所述客户端的应用内部私有目录下的第一指定文件夹下；并将所述目标应用产生的外部私有目录数据，通过文件目录重定向存储在所述客户端的应用内部私有目录下的第二指定文件夹下。

6.一种应用管理系统，其特征在于，包括客户端、服务器和管理端，所述服务器分别与所述客户端和所述管理端连接；所述客户端运行时执行权利要求1-4中任一项所述的方法；所述管理端用于上传应用相关数据至所述服务器，所述应用相关数据包括应用的安装数据和应用域类型。

7.一种电子设备，包括存储器、处理器，所述存储器中存储有可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1-4中任一项所述的方法。

8.一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，其特征在于，所述计算机程序被处理器运行时执行权利要求1-4中任一项所述的方法。