CN114610402A - 操作权限控制方法和操作权限配置方法 - Google Patents

Abstract

本发明提供了一种操作权限控制方法，用于电子设备中，所述方法包括：监测所述电子设备的软件操作，所述电子设备处于第一权限范围；当监测到目标软件在所述电子设备中处于待操作状态时，则拦截所述目标软件的运行并将所述目标软件的软件信息发送到软件控制中心，以便所述软件控制中心反馈操作指示；若所述操作指示包括权限配置，且所述权限配置超出所述第一权限范围，则在预先配置的第二权限范围内根据所述权限配置提升所述目标软件的操作权限；及在所述操作权限下，操作所述目标软件。本实施例解决了操作系统部署了最小权限范围的情况下的应用软件操作不兼容的问题，减少了处于最小权限范围的软件的使用障碍。

Description

操作权限控制方法和操作权限配置方法

技术领域

本发明涉及计算机技术领域，尤其涉及一种操作权限控制方法、系统、计算机设备及计算机可读存储介质，以及一种操作权限配置方法。

背景技术

随着计算机和网络的发展，各类电子设备大量地应用于各种场景中。为适应需求，有时候需要对这些电子设备进行软件下载、软件安装、运行安装和管理等。在现有技术中，电子设备的操作系统可以根据用户权限将用户划分多个等级，如超级管理员、管理员、普通用户、访客用户等。若用户权限越小，那么该用户出问题(例如泄露密码、系统漏洞被利用)时，给本机和网络带来的破坏越小。比如，windows操作系统中默认的guest账号，就是最小授权客户权限，使用该账号登录后，无法查看和修改系统文件、无法安装驱动程序。但在实际工作中，常用软件和某些行业办公软件通常需要高权限，这样就产生了应用软件的操作等兼容性难题，限制了电子设备在最小权限范围下应用软件的使用。因此，如何既能保障软件操作的安全性，又能保障软件操作的高效使用，成为了当前亟需解决的技术问题。

发明内容

本发明的目的是提供一种操作权限控制方法、系统、计算机设备及计算机可读存储介质，以及一种操作权限配置方法，用于解决如何同时保障软件操作的安全性和高效使用的技术问题。

本发明实施例的一个方面提供了一种操作权限控制方法，所述方法包括：监测所述电子设备的软件操作，所述电子设备处于第一权限范围；当监测到目标软件在所述电子设备中处于待操作状态时，则拦截所述目标软件的运行并将所述目标软件的软件信息发送到软件控制中心，以便所述软件控制中心反馈操作指示；若所述操作指示包括权限配置，且所述权限配置超出所述第一权限范围，则在预先配置的第二权限范围内根据所述权限配置提升所述目标软件的操作权限；及在所述操作权限下，操作所述目标软件。

可选的，所述第一权限范围，为对应于访客账号的预设最小权限范围；所述第二权限范围，为对应于管理员账号的预设管理员权限范围；其中，所述第二权限范围大于所述第一权限范围。

可选的，所述方法还包括：若所述操作指示包括禁止操作信息，则禁止所述目标软件的操作。

可选的，所述当监测到目标软件在所述电子设备中处于待操作状态时，则拦截所述目标软件的运行并将所述目标软件的软件信息发送到软件控制中心，以便所述软件控制中心反馈操作指示的步骤，包括：提取所述目标软件的软件信息，所述软件信息包括软件指纹、文件路径、文件数字签名和/或文件格式；及将所述软件信息上传至所述软件控制中心，以便所述软件控制中心根据所述软件信息和预设特征库反馈所述操作指示；所述预设特征库用于判断所述软件信息的合法性。

可选的，所述电子设备预先安装有安全终端应用，所述安全终端应用被配置所述第二权限范围内的各项权限；所述在预先配置的第二权限范围内根据所述权限配置提升所述目标软件的操作权限的步骤，包括：复制所述安全终端应用的令牌信息；从复制的令牌信息中删除所述权限配置中没有的权限信息，得到目标令牌信息；及根据所述目标令牌信息，创建所述目标软件的进程。

本发明实施例的一个方面又提供了一种操作权限配置方法，用于软件控制中心，所述方法包括：接收电子设备提供的目标软件的软件信息，所述电子设备处于预设最小权限范围内；根据所述软件信息和预设特征库生成操作指示；其中，所述操作指示包括是否允许所述目标软件的操作以及在允许所述目标软件操作时需要的权限配置；及将所述操作指示发送至所述电子设备，以便所述电子设备禁止所述目标软件的操作，或根据所述权限配置提升所述目标软件的操作权限并操作所述目标软件。

可选的，所述预设特征库包括软件黑名单和软件白名单，所述操作指示包括允许操作信息和禁止操作信息；所述根据所述软件信息和预设特征库生成操作指示的步骤，包括：根据所述软件信息判断所述目标软件是否在所述软件黑名单中；若所述目标软件在所述软件黑名单中，则生成所述禁止操作信息；若所述目标软件不在所述软件黑名单中，则根据所述软件信息判断所述目标软件是否在所述软件白名单中；若所述目标软件在所述软件白名单中，则生成所述允许操作信息，并根据所述软件信息获取所述目标软件操作时需要的权限配置；及若所述目标软件不在所述软件白名单中，则生成所述禁止操作信息。

可选的，还包括：若所述目标软件不在所述软件白名单中，检测所述软件信息中是否存在预设高危信息；及若所述软件信息中存在所述预设高危信息，则将所述目标软件添加到所述软件黑名单中。

本发明实施例的一个方面又提供了一种操作权限配置系统，用于电子设备中，包括：监测模块，用于监测所述电子设备的软件操作，所述电子设备处于第一权限范围；拦截模块，用于当监测到目标软件在所述电子设备中处于待操作状态时，则拦截所述目标软件的运行并将所述目标软件的软件信息发送到软件控制中心，以便所述软件控制中心反馈操作指示；提升模块，用于若所述操作指示包括权限配置，且所述权限配置超出所述第一权限范围，则在预先配置的第二权限范围内根据所述权限配置提升所述目标软件的操作权限；及操作模块，用于在所述操作权限下，操作所述目标软件。

本发明实施例的一个方面又提供了一种计算机设备，所述计算机设备包括存储器、处理器以及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现如上述操作权限控制方法的步骤或操作权限配置方法的步骤。

本发明实施例的一个方面又提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序可被至少一个处理器所执行，以使所述至少一个处理器执行上述操作权限控制方法的步骤或操作权限配置方法的步骤。

本发明实施例提供的操作权限控制方法、系统、设备及计算机可读存储介质，通过第一权限范围限制各个软件在电子设备的操作，以确保电子设备的安全性。在该第一权限范围下，监测各个软件的操作，将监测到的相应软件的软件信息发送到软件控制中心。通过软件控制中心来判断相应软件是否可以在电子设备上安全操作，以及是否可以在确保安全的前提下提升相应软件在电子设备中的操作权限，并以此反馈相应的操作指示。当操作指示包括允许相应软件在电子设备上运行，且提供相应软件在电子设备上的权限配置时，电子设备可以依此权限配置单独提升相应软件在电子设备中的操作权限，使相应软件可以在电子设备中正常操作，如正常安装、运行等。可知，本发明通过第一权限范围保障了电子设备的安全问题，通过软件控制中心提供的权限配置提升软件的操作权限，使得一些高权限要求的软件得以正常操作。可知，本发明解决了操作系统部署了最小权限范围的情况下的应用软件操作不兼容的问题，减少了处于最小权限范围的软件的使用障碍。

附图说明

图1示意性示出了根据本发明实施例的操作权限控制方法的应用环境图；

图2示意性示出了根据本发明实施例一的操作权限控制方法的流程图；

图3为图2中步骤S202的子步骤图；

图4为图2中步骤S204的另一子步骤图；

图5为本发明实施例一的具体示例流程图；

图6示意性示出了根据本发明实施例二的操作权限配置方法的流程图；

图7为图2中步骤S604的子步骤图；

图8为图2中步骤S708的子步骤图；

图9为本发明实施例二的具体示例流程图；

图10示意性示出了根据本发明实施例三的操作权限配置系统的框图；

图11示意性示出了根据本发明实施例四的操作权限配置系统的框图；及

图12示意性示出了根据本发明实施例五的适于实现操作权限控制方法的计算机设备的硬件架构示意图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

需要说明的是，在本发明实施例中涉及“第一”、“第二”等的描述仅用于描述目的，而不能理解为指示或暗示其相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”的特征可以明示或者隐含地包括至少一个该特征。另外，各个实施例之间的技术方案可以相互结合，但是必须是以本领域普通技术人员能够实现为基础，当技术方案的结合出现相互矛盾或无法实现时应当认为这种技术方案的结合不存在，也不在本发明要求的保护范围之内。

在本发明的描述中，需要理解的是，步骤前的数字标号并不标识执行步骤的前后顺序，仅用于方便描述本发明及区别每一步骤，因此不能理解为对本发明的限制。

下面为本发明涉及的术语解释：

软件操作：可以是软件安装、软件运行等。

最小权限范围：操作系统一般将用户账号权限划分多个等级，有超级管理员、管理员、普通用户、访客用户等。比如windows操作系统中默认的guest账号，就是最小授权客户权限，使用该账号登录后，无法查看和修改系统文件、无法安装驱动程序。

软件指纹：用于标识对应软件特征的特殊信息。

文件路径：用于确定对应软件的安装位置，以及用于获取对应软件的源程序等原始数据。

文件数字签名:用于确保对应软件的文件的完整性和安全性。

文件格式：用于判断对应软件的是否为程序文件是否为标准格式。

图1示意性示出了根据本发明实施例的操作权限控制方法的环境应用示意图。如图1所示，软件控制中心2可以通过网络4连接多个电子设备6，每个电子设备6安装有安全终端应用8。

软件控制中心2可以通过一个或多个网络4提供软件控制服务。

软件控制中心2，可以由单个或多个计算机设备组成，如，机架式服务器、刀片式服务器、塔式服务器或机柜式服务器(包括独立的服务器，或者多个服务器所组成的服务器集群)等。所述一个或多个计算机设备可以包括虚拟化计算实例。计算机设备可以基于定义用于仿真的特定软件(例如，操作系统，专用应用程序，服务器)的虚拟映像和/或其他数据来加载虚拟机。随着对不同类型的处理服务的需求改变，可以在所述一个或多个计算机设备上加载和/或终止不同的虚拟机。

网络4可以包括各种网络设备，例如路由器，交换机，多路复用器，集线器，调制解调器，网桥，中继器，防火墙，代理设备和/或等等。网络4可以包括物理链路，例如同轴电缆链路，双绞线电缆链路，光纤链路，它们的组合和/或类似物。网络4可以包括无线链路，例如蜂窝链路，卫星链路，Wi-Fi链路和/或类似物。

多个电子设备6可以被配置为访问软件控制中心2的内容和服务。多个电子设备6可以包括任何类型的计算机设备，如终端类设备：移动设备，平板设备，膝上型计算机，智能设备(例如，智能服饰，智能手表，智能扬声器，智能眼镜)，虚拟现实耳机，游戏设备，机顶盒，数字流设备，机器人，车载终端，智能电视，电视盒，电子书阅读器，MP3(运动图像专家组音频层III)播放器，MP4(运动图像专家组音频层IV)播放器等。多个电子设备6亦可以包括非终端设备，如网关、交换机等。

多个电子设备6可以配置有关联账号或识别信息，以方便软件控制中心的控制和管理。

安全终端应用8可以安装在电子设备6中，用于在本地控制和管理软件操作行为，例如监测电子设备6上的软件操作情况，并将监测到的信息通过网络4上报到软件控制中心2。

本发明在于提供一种操作权限控制方法，其可以通过安全终端应用8对电子设备6中的软件操作进行监控，并将监测到的软件的操作信息上报到所述软件控制中心2，以方便软件控制中心2对每个电子设备6的软件的操作进行控制和管理。

下文将提供多个实施例，下文提供的各个实施例可以用于实现上文描述的软件操作。

实施例一

图2示意性示出了根据本发明实施例一的操作权限控制方法的流程图。本实施例可以被执行在电子设备6中。可以理解，本方法实施例中的流程图不用于对执行步骤的顺序进行限定。

如图2所示，该操作权限控制方法可以包括步骤S200～S206其中：

步骤S200，监测所述电子设备的软件操作，所述电子设备处于第一权限范围。

电子设备6可以将用户划分为多个用户等级，每个用户等级可以分配对应的权限范围。例如，根据用户等级从大到小可以将用户账号分为：管理员账号、…、普通账号和访客账号；通过不同的账号登入电子设备6可以拥有不同的权限范围。

为确保电子设备6的安全，本实施例为电子设备6配置最小权限范围。例如，对应于windows guest账号的权限范围：无法查看和修改系统文件、无法安装驱动程序。因此，所述第一权限范围，可以为对应于访客账号的预设最小权限范围。

实际操作中，部分软件对权限需求较高(通常会高于所述第一权限范围)，从而导致这样一个问题，即：通过第一权限范围，限制电子设备6上的软件的各种高风险行为，但同时也会使得一些软件因操作权限问题而无法正常安装或运行。为此，可以在电子设备6中预先安装安全终端应用8，并为安全终端应用8配置第二权限范围内的各项权限。所述第二权限范围，可以为对应于管理员账号的预设管理员权限范围。其中，所述第二权限范围大于所述第一权限范围。安全终端应用8可以用于监控和拦截软件的安装和运行，及提升软件的安装/运行权限。这样，电子设备6整体上可以在第一权限范围的限制下安装和运行软件，同时，可以基于第二权限范围为一些高权限要求的软件提升操作权限，使之得以安装和运行。

步骤S202，当监测到目标软件在所述电子设备中处于待操作状态时，则拦截所述目标软件的运行并将所述目标软件的软件信息发送到软件控制中心，以便所述软件控制中心反馈操作指示。

所述目标软件可以是电子设备6待安装的应用软件，也可以是电子设备6预先安装好的应用软件。当所述目标用户进入电子设备6后，并点击安装所述目标软件或点击运行所述目标软件时，所述目标软件将处于所述待操作状态(待安装状态或待运行状态)。当监测到所述目标软件处于待操作状态时，可以拦截所述目标软件的安装信息或运行信息，并从所述安装信息或所述运行信息中提取出所述目标软件的软件信息。

在一些示例性的实施例中，为进一步提升安全性，当得到所述软件信息后，电子设备6还可以检测所述软件信息中是否存在预设高危信息；若所述软件信息中存在预设高危信息，则禁止操作所述目标软件并生成高危警告信息，以提醒所述目标用户。

在示例性的实施例中，如图3所示，所述步骤S202还可以进一步的包括步骤S300～步骤S302，其中：步骤S300，提取所述目标软件的软件信息，所述软件信息包括软件指纹、文件路径、文件数字签名和/或文件格式；步骤S302，将所述软件信息上传至所述软件控制中心，以便所述软件控制中心根据所述软件信息和预设特征库反馈所述操作指示；所述预设特征库用于判断所述软件信息的合法性。本实施例使用资源访问限制原理，结合软件控制中心，提供了解决兼容性问题的方法，保证用户任何软件都可以在最小权限范围的环境中正常工作且接受合法性审核。

为了使得所述软件控制中心2能够有效反馈所述操作指示，以下提供几种方案。

(1)所述预设特征库预先配置软件白名单。

所述软件白名单包括允许操作的多个应用软件。

所述操作指示包括是否允许所述目标软件的操作以及在允许所述目标软件操作时需要的权限配置。所述软件指纹为目标软件的唯一标识，可以用于识别所述目标软件。

软件控制中心2可以根据所述软件指纹、文件路径、文件数字签名和/或文件格式判断所述目标软件是否在所述软件白名单。若所述目标软件在所述软件白名单，则说明所述软件信息为合法，否则为不合法。

若所述目标软件在所述软件白名单，则获取所述目标软件操作时需要的权限配置，例如，软件控制中心2可以根据所述文件路径确定该目标软件在运行时是否需要连接打印机、是否需要访问网络等权限。软件控制中心2还可以将所述权限配置和所述允许操作信息反馈至电子设备6。

若所述目标软件不在所述软件白名单，根据将禁止操作信息发送至电子设备6。本实施例通过所述软件白名单，可以屏蔽各种已知或未知的高风险操作行为。

(2)所述预设特征库预先配置软件黑名单。

所述软件黑名单包括禁止操作的多个应用软件。

可以根据所述软件指纹判断所述目标软件是否存在所述软件黑名单，若所述目标软件存在所述软件黑名单，则将禁止操作信息发送至所述电子设备6。本实施例通过配置软件黑名单，并通过所述软件黑名单判断所述目标软件是否合法，可以屏蔽各种已知的高风险操作行为，提高所述软件控制中心2的反馈速度。

步骤S204，若所述操作指示包括权限配置，且所述权限配置超出所述第一权限范围，则在预先配置的第二权限范围内根据所述权限配置提升所述目标软件的操作权限。

软件控制中心2可以根据所述软件信息判断所述目标软件是否可以在电子设备6运行，以及所述目标软件可以在电子设备6被授予的操作权限，如安装权限、运行权限等。

当软件控制中心2允许所述目标软件在电子设备6中操作时，则会向电子设备反馈相应的操作指示，该操作指示可以包括允许操作的操作信息，以及所述目标软件的权限配置。

所述目标软件的权限配置，是所述目标软件可以在电子设备6中被授予的最高操作权限。如果权限配置的部分权限高于所述第一权限范围，因此需要被单独提升操作权限。

电子设备6在接收到包括所述权限配置的操作指示之后，可以根据所述权限配置提升所述目标软件的操作权限，如安装或运行权限，从而确保所述目标软件的正常工作。

在具体操作时，如图4所示，电子设备6可以通过步骤S400～S404来实现所述目标软件在所述电子设备6中的操作权限的提升。步骤S400，复制所述安全终端应用的令牌信息；步骤S402，从复制的令牌信息中删除所述权限配置中没有的权限信息，得到目标令牌信息；及步骤S404，根据所述目标令牌信息，创建所述目标软件的进程。在本实施例中，通过提供所述目标软件的最小范围的目标令牌信息，提升所述目标软件的操作权限以使之可以正常操作，又限制其权限配置外的操作，确保安全性。

安全终端应用8的令牌信息为访问第二权限范围内所有权限信息的集合。

通过所述目标令牌信息可以使所述目标软件在所述第一权限范围内操作所述目标软件。

步骤S206，在所述操作权限下，操作所述目标软件。

当所述目标软件的操作权限提升后，电子设备6可以根据所述操作权限，安全操作所述目标软件。

步骤S208，若所述操作指示包括禁止操作信息，则禁止所述目标软件的操作。

当所述操作指示包括禁止操作信息，则说明所述目标软件是被软件控制中心2判定为不合法软件。此时，可以通过安全终端应用8禁止所述目标软件在电子设备6上操作。

本发明实施例所述的操作权限控制方法，通过第一权限范围限制各个软件在电子设备6的操作，以确保电子设备6的安全性。在该第一权限范围下，监测各个软件的操作，将监测到的相应软件的软件信息发送到软件控制中心2。通过软件控制中心2来判断相应软件是否可以在电子设备6上安全操作，以及是否可以在确保安全的前提下提升相应软件在电子设备6中的操作权限，并以此反馈相应的操作指示。当操作指示包括允许相应软件在电子设备6上运行，且提供相应软件在电子设备6上的权限配置时，电子设备6可以依此权限配置单独提升相应软件在电子设备6中的操作权限，使相应软件可以在电子设备6中正常操作，如正常安装、运行等。可知，本实施例通过第一权限范围保障了电子设备6的安全问题，通过软件控制中心2提供的权限配置提升软件的操作权限，使得一些高权限要求的软件得以正常操作。可知，本实施例解决了操作系统部署了最小权限范围的情况下的应用软件操作不兼容的问题，减少了处于最小权限范围的软件的使用障碍。

如图5所示，为了方便理解，以下提供一个软件操作示例。

电子设备6的操作系统为Windows10、目标软件为“鲁大师”，电子设备6在对应于guest账号的最小权限范围下运行。

步骤S500，Windows10系统预先安装安全终端应用(SafetyTerminal)，所述安全终端应用配置有所述windows10系统的最高权限范围，例如，管理员权限。

步骤S502，目标用户以guest账号登录所述Windows10系统。

步骤S504，目标用户在Windows10系统中点击运行鲁大师。

步骤S506，SafetyTerminal拦截所述鲁大师的指纹(Md5+SHA1)信息和其他信息(文件路径、文件数字签名和文件格式)，并将指纹信息和其他信息发送到软件控制中心2。

步骤S508，软件控制中心2根据指纹信息和其他信息判断是否允许所述鲁大师的运行，并向反馈操作指示。其中，若所述反馈操作指示包括禁止操作信息，则执行步骤S510；若所述操作指示包括允许操作信息和权限配置，则执行步骤S512。

步骤S510，SafetyTerminal禁止鲁大师在所述windows10系统中运行。流程结束。

步骤S512，复制SafetyTerminal的令牌信息，并根据所述权限配置删除不需要的权限信息，以得到目标令牌信息。

步骤S514，根据所述允许操作信息创建鲁大师的运行进程，并将所述目标令牌信息添加到所述鲁大师的运行进程中，以使所述鲁大师可以在所述最小权限范围下正常运行。

由于软件控制中心2与电子设备6为不同的设备，其属于电子设备6的远程设备，所以通过软件控制中心管理2控制电子设备6中的软件的安装、运行等操作，具有更高的可靠性；并在软件控制中心2的操作指示下，通过目标令牌信息提升“鲁大师”在Windows系统中的权限范围，使得“鲁大师”可以在Windows系统运行在最小权限环境下(以guest账号登录所述windows10系统)，仍然可以正常运行。可知，本实施例既能保障软件操作的安全性，又能保障软件操作的高效使用。

实施例二

图6示意性示出了根据本发明实施例二的操作权限配置方法的流程图。本实施例可以被执行在软件控制中心2中。可以理解，本方法实施例中的流程图不用于对执行步骤的顺序进行限定。

如图6所示，该操作权限配置方法可以包括步骤S600～S604，其中：

步骤S600，接收电子设备提供的目标软件的软件信息，所述电子设备处于预设最小权限范围内。

为确保电子设备6的安全，本实施例为电子设备6配置最小权限范围。例如，对应于windows guest账号的权限范围：无法查看和修改系统文件、无法安装驱动程序。

实际操作中，部分软件对权限需求较高(通常会高于所述第一权限范围)，从而导致这样一个问题，即：通过最小权限范围，限制电子设备6上的软件的各种高风险行为，但同时也会使得一些软件因操作权限问题而无法正常安装或运行。电子设备6可以监控和拦截权限要求高于所述最小权限范围的各种软件的安装和运行，例如监控和拦截所述目标软件的安装或运行，并将所述目标软件的软件信息上报给软件控制中心2，以便软件控制中心2决定目标软件的安装或运行。

步骤S602，根据所述软件信息和预设特征库生成操作指示；其中，所述操作指示包括是否允许所述目标软件的操作以及在允许所述目标软件操作时需要的权限配置。

示例性的，所述软件信息可以包括软件指纹、文件路径、文件数字签名和/或文件格式。

其中，所述软件指纹和文件数字签名可以用于根据预设特征库判断所述目标软件的合法性。若所述目标软件不合法，那么所述操作指示包括禁止操作信息。若所述目标软件合法，那么软件控制中心2可以根据软件信息获取所述目标软件操作时需要的权限配置，其中，所述权限配置还可以预先获取并存储于所述预设特征库中。

在示例性的实施例中，所述预设特征库包括软件黑名单和软件白名单，所述操作指示包括允许操作信息和禁止操作信息；所述步骤S602还可以进一步的包括步骤S700～步骤S708，其中：所述根据所述软件信息和预设特征库生成操作指示的步骤，包括：步骤S700，根据所述软件信息判断所述目标软件是否在所述软件黑名单中；步骤S702，若所述目标软件在所述软件黑名单中，则生成所述禁止操作信息；步骤S704，若所述目标软件不在所述软件黑名单中，则根据所述软件信息判断所述目标软件是否在所述软件白名单中；步骤S706，若所述目标软件在所述软件白名单中，则生成所述允许操作信息，并根据所述软件信息获取所述目标软件操作时需要的权限配置；及步骤S708，若所述目标软件不在所述软件白名单中，则生成所述禁止操作信息。在本实施例中，软件控制中心2可以通过所述软件黑名单和所述软件白名单，判断所述目标软件的合法性。本实施例通过配置软件黑名单，并通过软件黑名单判断所述目标软件是否合法，提高了软件识别效率。

所述预设特征库中配置有多个应用软件，每个应用软件映射有相应应用软件对应的特征信息，所述特征信息用于确定对应的应用软件，所述方法所述预设特征库的配置步骤，其中：

(1)获取多个合法应用软件的基本信息和多个不合法应用软件的基本信息。

(2)从各个合法应用软件的基本信息和多各个不合法应用软件的基本信息中提取特征信息，以得到多个特征信息，其中，每个应用软件对应一个或多个特征信息，所述特征信息包各个应用软件的软件指纹、文件路径、文件数字签名和/或文件格式等信息。

(3)根据多个特征信息创建所述预设特征库，并将所述多个合法应用软件添加到所述预设特征库的软件白名单中，及将所述多个不合法应用软件添加到所述预设特征库的软件黑名单中。

在示例性的实施例中，如图8所示，所述方法还可以包括步骤S710～步骤S712，其中：步骤S710，若所述目标软件不在所述软件白名单中，检测所述软件信息中是否存在预设高危信息；及步骤S712，若所述软件信息中存在所述预设高危信息，则将所述目标软件添加到所述软件黑名单中。软件控制中心2还可以检测所述软件信息中是否携带有恶意攻击信息或文件。例如，件控制中心2可以根据所述文件路径、所述文件数字签名和/或所述文件格式判断所述软件信息中是否存在预设高危信息。若所述软件信息中存在预设高危信息(如恶意攻击信息或文件等)，那么软件控制中心2可以将所述目标软件添加到所述软件黑名单，并生成所述禁止操作信息。当软件控制中心2再次接收到该目标软件的软件信息时，软件控制中心2可以直接确定该目标软件在软件黑名单。本实施例通过将存在预设高危信息的目标软件添加到所述软件黑名单，可以屏蔽已知的高风险操作行为，缩短了软件控制中心2反馈所述操作指示的时间，提高了反馈所述操作指示的效率。

步骤S604，将所述操作指示发送至所述电子设备，以便所述电子设备禁止所述目标软件的操作，或根据所述权限配置提升所述目标软件的操作权限并操作所述目标软件。

本发明实施例所述的操作权限配置方法，通过软件控制中心2来判断相应软件是否可以在电子设备6上安全操作，以及是否可以在确保安全的前提下提升相应软件在电子设备6中的操作权限；解决了操作系统部署了最小权限范围的情况下的应用软件操作不兼容的问题，减少了处于最小权限范围的软件的使用障碍。

如图9所示，为了方便理解，以下提供一个软件控制中心2和电子设备6的信息交互的具体示例。

步骤S900，电子设备6中预先安装安全终端应用8，所述电子设备6运行在预设最大权限范围下。

步骤S902，电子设备6通过安全终端应用8监控电子设备6的软件操作。

步骤S904，当目标用户点击待操作目标软件时，电子设备6则通过安全终端应用8拦截所述目标软件的软件信息。

步骤S906，电子设备6通过安全终端应用8将所述软件信息发送到软件控制中心2。

步骤S908，软件控制中心2根据所述软件信息判断所述目标软件是否可以运行在所述电子设备6中，并生成操作指示。所述操作指示包括禁止操作信息，或允许操作信息和权限配置。

步骤S910，软件控制中心2将所述操作指示发送到安全终端应用8。

步骤S912，若所述操作指示包括禁止操作信息，电子设备6则禁止所述电子设备操作所述目标软件。

步骤S914，若所述操作指示包括允许操作信息和权限配置，电子设备6则复制安全终端8的令牌信息，从复制的令牌信息中删除所述权限配置中没有的权限信息，得到目标令牌信息；根据所述目标令牌信息，将所述目标令牌信息添加到所述目标软件的运行进程中，以使所述目标软件可以在所述预设最小权限范围下正常运行。

实施例三

图10示意性示出了根据本发明实施例三的操作权限配置系统的框图，该操作权限配置系统可以被分割成一个或多个程序模块，一个或者多个程序模块被存储于存储介质中，并由一个或多个处理器所执行，以完成本发明实施例。本发明实施例所称的程序模块是指能够完成特定功能的一系列计算机程序指令段，以下描述将具体介绍本实施例中各程序模块的功能。

如图10所示，该操作权限配置系统1000可以包括监测模块1000、拦截模块1002、提升模块1004和操作模块1006，其中：

监测模块1000，用于监测所述电子设备的软件操作，所述电子设备处于第一权限范围。

拦截模块1002，用于当监测到目标软件在所述电子设备中处于待操作状态时，则拦截所述目标软件的运行并将所述目标软件的软件信息发送到软件控制中心，以便所述软件控制中心反馈操作指示。

在示例性的实施例中，所述拦截模块1002，还用于：提取所述目标软件的软件信息，所述软件信息包括软件指纹、文件路径、文件数字签名和/或文件格式；及将所述软件信息上传至所述软件控制中心，以便所述软件控制中心根据所述软件信息和预设特征库反馈所述操作指示；所述预设特征库用于判断所述软件信息的合法性。

提升模块1004，用于若所述操作指示包括权限配置，且所述权限配置超出所述第一权限范围，则在预先配置的第二权限范围内根据所述权限配置提升所述目标软件的操作权限。

在示例性的实施例中，所述电子设备预先安装有安全终端应用，所述安全终端应用被配置所述第二权限范围内的各项权限；所述提升模块1004，还用于：复制所述安全终端应用的令牌信息；从复制的令牌信息中删除所述权限配置中没有的权限信息，得到目标令牌信息；及根据所述目标令牌信息，创建所述目标软件的进程。

操作模块1006，用于在所述操作权限下，操作所述目标软件。

在示例性的实施例中，所述第一权限范围，为对应于访客账号的预设最小权限范围；所述第二权限范围，为对应于管理员账号的预设管理员权限范围；其中，所述第二权限范围大于所述第一权限范围。

在示例性的实施例中，该操作权限配置系统1000还可以包括禁止模块，所述禁止模块，用于若所述操作指示包括禁止操作信息，则禁止所述目标软件的操作。

实施例四

图11示意性示出了根据本发明实施例四的操作权限配置系统的框图，该操作权限配置系统可以被分割成一个或多个程序模块，一个或者多个程序模块被存储于存储介质中，并由一个或多个处理器所执行，以完成本发明实施例。本发明实施例所称的程序模块是指能够完成特定功能的一系列计算机程序指令段，以下描述将具体介绍本实施例中各程序模块的功能。

如图11所示，该操作权限配置系统1100可以包括接收模块1100、生成模块1102和发送模块1104，其中：

接收模块1100，用于接收电子设备提供的目标软件的软件信息，所述电子设备处于预设最小权限范围内。

生成模块1102，用于根据所述软件信息和预设特征库生成操作指示；其中，所述操作指示包括是否允许所述目标软件的操作以及在允许所述目标软件操作时需要的权限配置。

在示例性的实施例中，所述预设特征库包括软件黑名单和软件白名单，所述操作指示包括允许操作信息和禁止操作信息；所述生成模块1102，还用于：根据所述软件信息判断所述目标软件是否在所述软件黑名单中；若所述目标软件在所述软件黑名单中，则生成所述禁止操作信息；若所述目标软件不在所述软件黑名单中，则根据所述软件信息判断所述目标软件是否在所述软件白名单中；若所述目标软件在所述软件白名单中，则生成所述允许操作信息，并根据所述软件信息获取所述目标软件操作时需要的权限配置；及若所述目标软件不在所述软件白名单中，则生成所述禁止操作信息。

在示例性的实施例中，所述生成模块1102，还用于：若所述目标软件不在所述软件白名单中，检测所述软件信息中是否存在预设高危信息；及若所述软件信息中存在所述预设高危信息，则将所述目标软件添加到所述软件黑名单中。

发送模块1104，用于将所述操作指示发送至所述电子设备，以便所述电子设备禁止所述目标软件的操作，或根据所述权限配置提升所述目标软件的操作权限并操作所述目标软件。

实施例五

图12示意性示出了根据本发明实施例五的适于实现操作权限控制方法的计算机设备1200的硬件架构示意图。在本实施例中，计算机设备1200可以为电子设备6，以可以作为电子设备6的一部分。在其他实施例中，计算机设备1200可以为软件控制中心2，以可以作为软件控制中心2的一部分。本实施例中，计算机设备1200是一种能够按照事先设定或者存储的指令，自动进行数值计算和/或信息处理的设备。例如，可以是智能手机、平板电脑、笔记本电脑、台式计算机、机架式服务器、刀片式服务器、塔式服务器或机柜式服务器(包括独立的服务器，或者多个服务器所组成的服务器集群)、网关等。如图10所示，计算机设备1200至少包括但不限于：可通过系统总线相互通信链接存储器1210、处理器1220、网络接口1230。其中：

存储器1210至少包括一种类型的计算机可读存储介质，可读存储介质包括闪存、硬盘、多媒体卡、卡型存储器(例如，SD或DX存储器等)、随机访问存储器(RAM)、静态随机访问存储器(SRAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、可编程只读存储器(PROM)、磁性存储器、磁盘、光盘等。在一些实施例中，存储器1210可以是计算机设备1200的内部存储模块，例如该计算机设备1200的硬盘或内存。在另一些实施例中，存储器1210也可以是计算机设备1200的外部存储设备，例如该计算机设备1200上配备的插接式硬盘，智能存储卡(Smart Media Card，简称为SMC)，安全数字(Secure Digital，简称为SD)卡，闪存卡(Flash Card)等。当然，存储器1210还可以既包括计算机设备1200的内部存储模块也包括其外部存储设备。本实施例中，存储器1210通常用于存储安装于计算机设备1200的操作系统和各类应用软件，例如操作权限控制方法的程序代码等。此外，存储器1210还可以用于暂时地存储已经输出或者将要输出的各类数据。

处理器1220在一些实施例中可以是中央处理器(Central Processing Unit，简称为CPU)、控制器、微控制器、微处理器、或其他数据处理芯片。该处理器1220通常用于控制计算机设备1200的总体操作，例如执行与计算机设备1200进行数据交互或者通信相关的控制和处理等。本实施例中，处理器1220用于运行存储器1210中存储的程序代码或者处理数据。

网络接口1230可包括无线网络接口或有线网络接口，该网络接口1230通常用于在计算机设备1200与其他计算机设备之间建立通信链接。例如，网络接口1230用于通过网络将计算机设备1200与外部终端相连，在计算机设备1200与外部终端之间的建立数据传输通道和通信链接等。网络可以是企业内部网(Intranet)、互联网(Internet)、全球移动通讯系统(Global System of Mobile communication，简称为GSM)、宽带码分多址(WidebandCode Division Multiple Access，简称为WCDMA)、4G网络、5G网络、蓝牙(Bluetooth)、Wi-Fi等无线或有线网络。

需要指出的是，图12仅示出了具有部件1210-1230的计算机设备，但是应理解的是，并不要求实施所有示出的部件，可以替代的实施更多或者更少的部件。

在本实施例中，存储于存储器1210中的操作权限控制方法还可以被分割为一个或者多个程序模块，并由一个或多个处理器(本实施例为处理器1220)所执行，以完成本发明实施例。

实施例六

本发明还提供一种计算机可读存储介质，计算机可读存储介质其上存储有计算机程序，计算机程序被处理器执行时实现实施例中的操作权限控制方法的步骤或操作权限配置方法的步骤。

本实施例中，计算机可读存储介质包括闪存、硬盘、多媒体卡、卡型存储器(例如，SD或DX存储器等)、随机访问存储器(RAM)、静态随机访问存储器(SRAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、可编程只读存储器(PROM)、磁性存储器、磁盘、光盘等。在一些实施例中，计算机可读存储介质可以是计算机设备的内部存储单元，例如该计算机设备的硬盘或内存。在另一些实施例中，计算机可读存储介质也可以是计算机设备的外部存储设备，例如该计算机设备上配备的插接式硬盘，智能存储卡(Smart Media Card，简称为SMC)，安全数字(Secure Digital，简称为SD)卡，闪存卡(Flash Card)等。当然，计算机可读存储介质还可以既包括计算机设备的内部存储单元也包括其外部存储设备。本实施例中，计算机可读存储介质通常用于存储安装于计算机设备的操作系统和各类应用软件，例如实施例中操作权限控制方法或操作权限配置方法的程序代码等。此外，计算机可读存储介质还可以用于暂时地存储已经输出或者将要输出的各类数据。

显然，本领域的技术人员应该明白，上述的本发明实施例的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，并且在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明实施例不限制于任何特定的硬件和软件结合。

以上仅为本发明的优选实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (11)

1.一种操作权限控制方法，用于电子设备中，其特征在于，所述方法包括：

监测所述电子设备的软件操作，所述电子设备处于第一权限范围；

当监测到目标软件在所述电子设备中处于待操作状态时，则拦截所述目标软件的运行并将所述目标软件的软件信息发送到软件控制中心，以便所述软件控制中心反馈操作指示；

若所述操作指示包括权限配置，且所述权限配置超出所述第一权限范围，则在预先配置的第二权限范围内根据所述权限配置提升所述目标软件的操作权限；及

在所述操作权限下，操作所述目标软件。

2.根据权利要求1所述的操作权限控制方法，其特征在于，

所述第一权限范围，为对应于访客账号的预设最小权限范围；

所述第二权限范围，为对应于管理员账号的预设管理员权限范围；

其中，所述第二权限范围大于所述第一权限范围。

3.根据权利要求1所述的操作权限控制方法，其特征在于，所述方法还包括：

若所述操作指示包括禁止操作信息，则禁止所述目标软件的操作。

4.根据权利要求1所述的操作权限控制方法，其特征在于，所述当监测到目标软件在所述电子设备中处于待操作状态时，则拦截所述目标软件的运行并将所述目标软件的软件信息发送到软件控制中心，以便所述软件控制中心反馈操作指示的步骤，包括：

提取所述目标软件的软件信息，所述软件信息包括软件指纹、文件路径、文件数字签名和/或文件格式；及

将所述软件信息上传至所述软件控制中心，以便所述软件控制中心根据所述软件信息和预设特征库反馈所述操作指示；所述预设特征库用于判断所述软件信息的合法性。

5.根据权利要求1所述的操作权限控制方法，其特征在于，所述电子设备预先安装有安全终端应用，所述安全终端应用被配置所述第二权限范围内的各项权限；所述在预先配置的第二权限范围内根据所述权限配置提升所述目标软件的操作权限的步骤，包括：

复制所述安全终端应用的令牌信息；

从复制的令牌信息中删除所述权限配置中没有的权限信息，得到目标令牌信息；及

根据所述目标令牌信息，创建所述目标软件的进程。

6.一种操作权限配置方法，用于软件控制中心，其特征在于，所述方法包括：

接收电子设备提供的目标软件的软件信息，所述电子设备处于预设最小权限范围内；

根据所述软件信息和预设特征库生成操作指示；其中，所述操作指示包括是否允许所述目标软件的操作以及在允许所述目标软件操作时需要的权限配置；及

将所述操作指示发送至所述电子设备，以便所述电子设备禁止所述目标软件的操作，或根据所述权限配置提升所述目标软件的操作权限并操作所述目标软件。

7.根据权利要求6所述的操作权限配置方法，其特征在于，所述预设特征库包括软件黑名单和软件白名单，所述操作指示包括允许操作信息和禁止操作信息；

所述根据所述软件信息和预设特征库生成操作指示的步骤，包括：

根据所述软件信息判断所述目标软件是否在所述软件黑名单中；

若所述目标软件在所述软件黑名单中，则生成所述禁止操作信息；

若所述目标软件不在所述软件黑名单中，则根据所述软件信息判断所述目标软件是否在所述软件白名单中；

若所述目标软件在所述软件白名单中，则生成所述允许操作信息，并根据所述软件信息获取所述目标软件操作时需要的权限配置；及

若所述目标软件不在所述软件白名单中，则生成所述禁止操作信息。

8.根据权利要求7所述的操作权限配置方法，其特征在于，还包括：

若所述目标软件不在所述软件白名单中，检测所述软件信息中是否存在预设高危信息；及

若所述软件信息中存在所述预设高危信息，则将所述目标软件添加到所述软件黑名单中。

9.一种操作权限配置系统，用于电子设备中，其特征在于，包括：

监测模块，用于监测所述电子设备的软件操作，所述电子设备处于第一权限范围；

拦截模块，用于当监测到目标软件在所述电子设备中处于待操作状态时，则拦截所述目标软件的运行并将所述目标软件的软件信息发送到软件控制中心，以便所述软件控制中心反馈操作指示；

提升模块，用于若所述操作指示包括权限配置，且所述权限配置超出所述第一权限范围，则在预先配置的第二权限范围内根据所述权限配置提升所述目标软件的操作权限；及

操作模块，用于在所述操作权限下，操作所述目标软件。

10.一种计算机设备，包括存储器、处理器以及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时用于实现权利要求1至8中任一项所述方法的步骤。

11.一种计算机可读存储介质，其特征在于，存储有计算机程序，所述计算机程序可被至少一个处理器所执行，以使所述至少一个处理器执行如权利要求1至8中任一项所述方法的步骤。

Images