CN114861207A - 数据处理方法、装置、电子设备和计算机可读存储介质 - Google Patents

Abstract

本公开提供了一种数据处理方法、装置、电子设备、计算机可读存储介质和计算机程序产品，涉及计算机技术领域，尤其涉及数据安全技术领域。实现方案为：获取由服务器利用第一密钥加密的加密数据；从服务器获取第一密钥以及被允许访问加密数据的第一应用程序的第一标识；将加密数据映射到虚拟目录中；响应于接收到第二应用程序通过虚拟目录对加密数据的访问请求，基于第一标识和第二应用程序的第二标识，对第二应用程序进行验证；以及响应于第一标识与第二标识相匹配，利用第一密钥对加密数据进行解密，以使第二应用程序能够访问经解密的数据。

Description

数据处理方法、装置、电子设备和计算机可读存储介质

技术领域

本公开涉及计算机技术领域，尤其涉及数据安全技术领域，具体涉及一种数据处理方法、装置、电子设备、计算机可读存储介质和计算机程序产品。

背景技术

随着计算机技术的发展，越来越多的计算设备之间可以共享数据，在进行数据共享的场景中，数据安全问题逐渐成为一个不可忽视的问题。数据的加密和解密技术能够为提升数据安全提供帮助。

在此部分中描述的方法不一定是之前已经设想到或采用的方法。除非另有指明，否则不应假定此部分中描述的任何方法仅因其包括在此部分中就被认为是现有技术。类似地，除非另有指明，否则此部分中提及的问题不应认为在任何现有技术中已被公认。

发明内容

本公开提供了一种数据处理方法、装置、电子设备、计算机可读存储介质和计算机程序产品。

根据本公开的一方面，提供了一种数据处理方法，应用于客户端。该方法包括：获取由服务器利用第一密钥加密的加密数据；从服务器获取第一密钥以及被允许访问加密数据的第一应用程序的第一标识；将加密数据映射到虚拟目录中；响应于接收到第二应用程序通过虚拟目录对加密数据的访问请求，基于第一标识和第二应用程序的第二标识，对第二应用程序进行验证；以及响应于第一标识与第二标识相匹配，利用第一密钥对加密数据进行解密，以使第二应用程序能够访问经解密的数据。

根据本公开的另一方面，提供了一种数据处理装置，应用于客户端。该装置包括：第一获取单元，被配置为获取由服务器利用第一密钥加密的加密数据；第二获取单元，被配置为从服务器获取第一密钥以及被允许访问加密数据的第一应用程序的第一标识；映射单元，被配置为将加密数据映射到虚拟目录中；验证单元，被配置为响应于接收到第二应用程序通过虚拟目录对加密数据的访问请求，基于第一标识和第二应用程序的第二标识，对第二应用程序进行验证；以及解密单元，被配置为响应于第一标识与第二标识相匹配，利用第一密钥对加密数据进行解密，以使第二应用程序能够访问经解密的数据。

根据本公开的另一方面，提供了一种电子设备，包括至少一个处理器；以及与至少一个处理器通信连接的存储器；存储器存储有可被至少一个处理器执行的指令，所述指令被至少一个处理器执行，以使至少一个处理器能够执行根据上述的数据处理方法。

根据本公开的另一方面，提供了一种存储有计算机指令的非瞬时计算机可读存储介质，所述计算机指令用于使计算机执行根据上述的数据处理方法。

根据本公开的另一方面，提供了一种计算机程序产品，包括计算机程序，其中，计算机程序在被处理器执行时实现根据上述的数据处理方法。

根据本公开的一个或多个实施例，可以将数据的加解密能力与业务应用的开发解耦，提升数据加解密效率。

应当理解，本部分所描述的内容并非旨在标识本公开的实施例的关键或重要特征，也不用于限制本公开的范围。本公开的其它特征将通过以下的说明书而变得容易理解。

附图说明

附图示例性地示出了实施例并且构成说明书的一部分，与说明书的文字描述一起用于讲解实施例的示例性实施方式。所示出的实施例仅出于例示的目的，并不限制权利要求的范围。在所有附图中，相同的附图标记指代类似但不一定相同的要素。

图1示出了根据本公开的实施例的可以在其中实施本文描述的各种方法的示例性系统的示意图；

图2示出了根据本公开的实施例的数据处理方法的流程图；

图3示出了根据本公开的实施例的数据处理方法的部分过程的流程图；

图4示出了根据本公开的实施例的数据处理方法的流程图；

图5示出了根据本公开的实施例的数据处理装置的结构框图；

图6示出了根据本公开的实施例的数据处理装置的结构框图；以及

图7示出了能够用于实现本公开的实施例的示例性电子设备的结构框图。

具体实施方式

以下结合附图对本公开的示范性实施例做出说明，其中包括本公开实施例的各种细节以助于理解，应当将它们认为仅仅是示范性的。因此，本领域普通技术人员应当认识到，可以对这里描述的实施例做出各种改变和修改，而不会背离本公开的范围。同样，为了清楚和简明，以下的描述中省略了对公知功能和结构的描述。

在本公开中，除非另有说明，否则使用术语“第一”、“第二”等来描述各种要素不意图限定这些要素的位置关系、时序关系或重要性关系，这种术语只是用于将一个要素与另一要素区分开。在一些示例中，第一要素和第二要素可以指向该要素的同一实例，而在某些情况下，基于上下文的描述，它们也可以指代不同实例。

在本公开中对各种所述示例的描述中所使用的术语只是为了描述特定示例的目的，而并非旨在进行限制。除非上下文另外明确地表明，如果不特意限定要素的数量，则该要素可以是一个也可以是多个。此外，本公开中所使用的术语“和/或”涵盖所列出的项目中的任何一个以及全部可能的组合方式。

本公开的技术方案中，所涉及的用户个人信息的收集、存储、使用、加工、传输、提供和公开等处理，均符合相关法律法规的规定，且不违背公序良俗。

如上文所述，在进行数据共享的场景中，数据安全问题逐渐成为一个不可忽视的问题。例如，在云计算或边缘计算的场景中，服务器或客户端设备均可以对数据进行加密或解密，以提升数据的安全性。

在一些实施例中，可以使用应用层的文件加解密方案。但是在应用层对文件进行加密或解密通常需要对应用程序底层代码进行修改，这一过程较为繁琐，并且对于应用程序的开发者的开发规范要求高。在一些实施例中，可以利用专用的加解密软件开发工具包来满足文件加解密的需求。

随着边缘计算技术的持续发展，越来越多的计算节点以及应用分布式地部署在靠近终端的数据中心，这使得在服务的响应性能和可靠性都高于云计算技术。与此同时，边缘设备处的数据安全也越来越重要。例如，在利用边缘计算技术进行模型训练的场景中，可以在云端进行模型训练，并在边缘端部署模型，边缘端设备处的AI模型数据、重要的配置文件、以及边云通信依赖的证书文件等均存在较高的安全需求，一旦泄露将会带来严重的安全隐患。

在边缘AI的场景下，边缘设备通常采用目前流行的云原生微服务架构。不同的微服务通常来自于不同的研发团队，所使用的底层技术或开发语言也不尽相同。此外，在常见的边缘AI方案中还会大量使用开源的软件产品和工具。当存在加解密数据需求时，开发人员需要为不同的开发语言适配对应的加解密软件开发工具包，这种工作的工作量巨大且不易维护。此外，使用加解密软件开发工具包需要使用者自行妥善保管密钥，通常还需要结合密钥管理服务(KMS)进行协同，整体提升了开发难度。如软件开发工具包使用者未遵循开发规范，将密钥硬编码在代码中则可能大幅降低数据的安全性。

鉴于此，本公开提出一种数据处理方法，通过客户端将加密数据映射到虚拟目录中，当应用程序通过虚拟目录的访问路径访问加密数据时，客户端能够响应于该访问请求，根据标识验证提出该访问请求的应用程序是否为已获得授权的应用程序；并针对已获得授权的应用程序提供解密数据。由此，无需客户端的用户利用软件开发工具包对应用程序的底层代码进行修改，也无需开发人员针对不同客户端所使用的不同的开发语言来适配加解密软件开发工具包，能够在确保整体加解密强度的情况下，将数据的加解密能力与业务应用的开发解耦，提升数据加解密效率。

下面将结合附图详细描述本公开的实施例。

图1示出了根据本公开的实施例可以将本文描述的各种方法和装置在其中实施的示例性系统100的示意图。参考图1，该系统100包括一个或多个客户端设备101、102、103、104、105和106、服务器120以及将一个或多个客户端设备耦接到服务器120的一个或多个通信网络110。客户端设备101、102、103、104、105和106可以被配置为执行一个或多个应用程序。

在某些实施例中，服务器120还可以提供其他服务或软件应用，这些服务或软件应用可以包括非虚拟环境和虚拟环境。在某些实施例中，这些服务可以作为基于web的服务或云服务提供，例如在软件即服务(SaaS)模型下提供给客户端设备101、102、103、104、105和/或106的用户。

在图1所示的配置中，服务器120可以包括实现由服务器120执行的功能的一个或多个组件。这些组件可以包括可由一个或多个处理器执行的软件组件、硬件组件或其组合。操作客户端设备101、102、103、104、105和/或106的用户可以依次利用一个或多个客户端应用程序来与服务器120进行交互以利用这些组件提供的服务。应当理解，各种不同的系统配置是可能的，其可以与系统100不同。因此，图1是用于实施本文所描述的各种方法的系统的一个示例，并且不旨在进行限制。

在本公开的实施例中，客户端设备101、102、103、104、105和/或106可以运行使得能够执行根据本公开实施例的数据处理方法的一个或多个服务或软件应用。

客户端设备可以提供使客户端设备的用户能够与客户端设备进行交互的接口。客户端设备还可以经由该接口向用户输出信息。尽管图1仅描绘了六种客户端设备，但是本领域技术人员将能够理解，本公开可以支持任何数量的客户端设备。

客户端设备101、102、103、104、105和/或106可以包括各种类型的计算机设备，例如便携式手持设备、通用计算机(诸如个人计算机和膝上型计算机)、工作站计算机、可穿戴设备、智能屏设备、自助服务终端设备、服务机器人、游戏系统、瘦客户端、各种消息收发设备、传感器或其他感测设备等。这些计算机设备可以运行各种类型和版本的软件应用程序和操作系统，例如MICROSOFT Windows、APPLE iOS、类UNIX操作系统、Linux或类Linux操作系统(例如GOOGLE Chrome OS)；或包括各种移动操作系统，例如MICROSOFT WindowsMobile OS、iOS、Windows Phone、Android。便携式手持设备可以包括蜂窝电话、智能电话、平板电脑、个人数字助理(PDA)等。可穿戴设备可以包括头戴式显示器(诸如智能眼镜)和其他设备。游戏系统可以包括各种手持式游戏设备、支持互联网的游戏设备等。客户端设备能够执行各种不同的应用程序，例如各种与Internet相关的应用程序、通信应用程序(例如电子邮件应用程序)、短消息服务(SMS)应用程序，并且可以使用各种通信协议。

网络110可以是本领域技术人员熟知的任何类型的网络，其可以使用多种可用协议中的任何一种(包括但不限于TCP/IP、SNA、IPX等)来支持数据通信。仅作为示例，一个或多个网络110可以是局域网(LAN)、基于以太网的网络、令牌环、广域网(WAN)、因特网、虚拟网络、虚拟专用网络(VPN)、内部网、外部网、区块链网络、公共交换电话网(PSTN)、红外网络、无线网络(例如蓝牙、WIFI)和/或这些和/或其他网络的任意组合。

服务器120可以包括一个或多个通用计算机、专用服务器计算机(例如PC(个人计算机)服务器、UNIX服务器、中端服务器)、刀片式服务器、大型计算机、服务器群集或任何其他适当的布置和/或组合。服务器120可以包括运行虚拟操作系统的一个或多个虚拟机，或者涉及虚拟化的其他计算架构(例如可以被虚拟化以维护服务器的虚拟存储设备的逻辑存储设备的一个或多个灵活池)。在各种实施例中，服务器120可以运行提供下文所描述的功能的一个或多个服务或软件应用。

服务器120中的计算单元可以运行包括上述任何操作系统以及任何商业上可用的服务器操作系统的一个或多个操作系统。服务器120还可以运行各种附加服务器应用程序和/或中间层应用程序中的任何一个，包括HTTP服务器、FTP服务器、CGI服务器、JAVA服务器、数据库服务器等。

在一些实施方式中，服务器120可以包括一个或多个应用程序，以分析和合并从客户端设备101、102、103、104、105和/或106的用户接收的数据馈送和/或事件更新。服务器120还可以包括一个或多个应用程序，以经由客户端设备101、102、103、104、105和/或106的一个或多个显示设备来显示数据馈送和/或实时事件。

在一些实施方式中，服务器120可以为分布式系统的服务器，或者是结合了区块链的服务器。服务器120也可以是云服务器，或者是带人工智能技术的智能云计算服务器或智能云主机。云服务器是云计算服务体系中的一项主机产品，以解决传统物理主机与虚拟专用服务器(VPS，Virtual Private Server)服务中存在的管理难度大、业务扩展性弱的缺陷。

系统100还可以包括一个或多个数据库130。在某些实施例中，这些数据库可以用于存储数据和其他信息。例如，数据库130中的一个或多个可用于存储诸如音频文件和视频文件的信息。数据库130可以驻留在各种位置。例如，由服务器120使用的数据库可以在服务器120本地，或者可以远离服务器120且可以经由基于网络或专用的连接与服务器120通信。数据库130可以是不同的类型。在某些实施例中，由服务器120使用的数据库例如可以是关系数据库。这些数据库中的一个或多个可以响应于命令而存储、更新和检索到数据库以及来自数据库的数据。

在某些实施例中，数据库130中的一个或多个还可以由应用程序使用来存储应用程序数据。由应用程序使用的数据库可以是不同类型的数据库，例如键值存储库，对象存储库或由文件系统支持的常规存储库。

图1的系统100可以以各种方式配置和操作，以使得能够应用根据本公开所描述的各种方法和装置。

图2示出了根据本公开的实施例的数据处理方法200的流程图。数据处理方法200应用于客户端，例如可以应用于边缘计算场景中的边缘设备。

方法200包括以下步骤：

步骤S210、获取由服务器利用第一密钥加密的加密数据；

步骤S220、从服务器获取第一密钥以及被允许访问加密数据的第一应用程序的第一标识；

步骤S230、将加密数据映射到虚拟目录中；

步骤S240、响应于接收到第二应用程序通过虚拟目录对加密数据的访问请求，基于第一标识和第二应用程序的第二标识，对第二应用程序进行验证；以及

步骤S250、响应于第一标识与第二标识相匹配，利用第一密钥对加密数据进行解密，以使第二应用程序能够访问经解密的数据。

客户端可以与服务器设备(例如边缘计算场景中的云服务器)进行通信。

在步骤S210中，所获取的加密数据可以是由服务器利用第一密钥基于各种加密技术(例如对称性加密技术)进行加密得到的。并且加密数据可以是加密的文字数据、图片数据、视频数据等。加密数据还可以是AI模型数据、模型相关的配置文件、以及边云通信依赖的证书文件等。在一个示例中，可以基于数据加密标准(Data Encryption Standard，DES)使用56位密钥对64位的数据块进行加密。

在步骤S220中，客户端获取的第一密钥是服务器对数据进行加密所使用的第一密钥。第一标识可以是与第一应用对应的唯一的数字串。在一个示例中，被允许访问加密数据的第一应用程序可以是多个，由此，可以有多个标识，每个标识可以对应于被允许访问加密数据的一个第一应用程序。

步骤S230中，可以根据预设的映射规则，将加密数据映射到虚拟目录中。虚拟目录可以是对存储有加密数据的源目录的映射。虚拟目录的访问路径与源目录的访问路径不同，虚拟目录可以用于接收应用程序对加密数据的访问请求。换言之，应用程序将不直接访问源目录，而对映射得到的虚拟目录进行访问。

应当理解，还可以将未经加密的明文数据映射到虚拟目录中，应用程序也可以通过虚拟目录对明文数据发送访问请求，在此不再赘述。

在步骤S240中，客户端可以根据第二应用程序的访问请求，生成与第二应用程序相对应的第二标识。并且对第二应用程序进行验证可以包括验证第二标识是否与第一标识相匹配。在一个示例中，当存在多个第一标识时，可以验证第二标识是否与多个第一标识中的任意一个第一标识相匹配。

客户端将加密数据映射到虚拟目录中，当应用程序通过虚拟目录的访问路径访问加密数据时，客户端能够响应于该访问请求，根据标识验证提出该访问请求的应用程序是否为已获得授权的应用程序；并针对已获得授权的应用程序提供解密数据。由此，无需客户端的用户利用软件开发工具包对应用程序的底层代码进行修改，也无需开发人员针对不同客户端所使用的不同的开发语言来适配加解密软件开发工具包，能够在确保整体加解密强度的情况下，将数据的加解密能力与业务应用的开发解耦，提升数据加解密效率。

此外，通过利用应用程序的标识，可以实现更细粒度的应用级的权限控制。换言之，只有被验证为被允许访问加密数据的那些应用程序才能访问解密后的数据，而同一个客户端设备上那些未被验证为被允许访问加密数据的那些应用程序则无法访问解密后的数据。此外，即便客户端设备上的应用程序遭到恶意篡改，或有恶意应用程序试图访问加密文件，由于应用程序的当前标识和第一标识不匹配，因此也无法获取解密数据。

图3示出了根据本公开的实施例的数据处理方法200的部分过程的流程图。根据一些实施例，如图3所示，上述步骤S220可以包括：

步骤S321、从服务器接收访问策略信息，其中，访问策略信息是由服务器利用第二密钥，对第一密钥以及第一标识两者进行加密获得的；以及

步骤S322、利用第二密钥对访问策略信息进行解密，以获取第一密钥以及第一标识。

第二密钥可以是根密钥，并且服务器和客户端均可以持有该根密钥，由此，通过利用第二密钥对第一密钥以及第一标识两者进行加密，获得的访问策略信息安全性更高，进一步提升了第一密钥以及第一标识在传输过程中的安全性。

根据一些实施例，客户端可以包括密钥芯片，并且上述步骤S322可以包括：

利用预制在密钥芯片中的第二密钥对访问策略信息进行解密。

密钥芯片可以是TPM(Trusted Platform Module)安全芯片(TPM芯片是符合可信赖平台模块标准的安全芯片)或SE(Secure Element)芯片(SE芯片是安全元件芯片，该芯片中可以具有加密/解密逻辑电路)，密钥芯片能够作为客户端设备可信的凭据并有效地防止非法用户访问客户端设备。

通过在客户端设备上设置密钥芯片，并在密钥芯片中预制第二密钥(根密钥)，假如攻击者将客户端中的加密文件和授权应用(被允许访问加密文件的应用程序)整体复制到其他(未设置有密钥芯片)客户端设备上，由于未设置有密钥芯片的其他客户端设备上不存在第二密钥(根密钥)，无法对访问策略信息进行解密，从而无法获取解密后的数据。由此能够实现将加密数据、授权应用、授权客户端设备三者的信任链构建。

根据一些实施例，上述步骤S230可以包括：

将存储在源目录中的加密数据映射到虚拟目录中，虚拟目录具有与源目录相同的目录结构。

由此，在第二应用程序访问虚拟目录中的加密数据或其他数据时，由于虚拟目录具有与源目录相同的目录结构，使得第二应用程序只需按照虚拟目录与源目录的映射关系访问虚拟目录，而无需修改应用程序对数据进行访问时的访问路径的结构。

在一些场景(例如边缘AI的场景)中，边缘设备内多为目前流行的云原生微服务架构。在保障数据安全的前提下，进一步提升用户体验将是有利的。

图4示出了根据本公开的实施例的数据处理方法400的流程图。如图4所示，方法400中的步骤S410至步骤S450与图2中关于方法200描述的步骤S210至步骤S250类似，为了简洁起见，在此不再赘述。

根据一些实施例，在步骤S430、将所述加密数据映射到所述虚拟目录中之前，方法400还可以包括：

步骤S460、接收由服务器基于用户输入的第一配置信息修改的第二配置信息，第一配置信息和第二配置信息用于指示部署第二应用程序所需的数据访问路径；以及

步骤S470、基于第二配置信息，对客户端进行配置，以使第二应用程序能够通过虚拟目录对加密数据发出访问请求。

在步骤S460中，服务器可以是Kubernetes(K8s)集群中的master服务器。Kubernetes是轻便、可扩展的开源平台，用于管理容器化应用和服务，在Kubernetes中，可以将组成应用的容器组合成一个逻辑单元以方便管理。当用户向服务器提交了第一配置信息以请求部署相关业务应用时，服务器可以对第一配置信息进行修改，以生成第二配置信息。例如，可以修改第一配置信息中的访问路径、计算资源的配置情况等。

在基于第二配置信息对客户端进行重新配置后，第二应用程序能够通过虚拟目录对加密数据发出访问请求。

在步骤S470之后，再将加密数据映射到虚拟目录中，启动相关业务应用的镜像，从而使得用户在请求部署相关业务应用时，客户端能够自动完成数据的解密，无需用户手动修改配置信息和应用程序的启动顺序。业务应用能够如同访问明文数据那样访问加密数据，减少用户对解密流程的感知，从而提升用户体验。

在一些场景(例如边缘AI的场景)中，客户端设备(例如边缘设备)处的网络情况可能比较复杂，可能无法随时从服务器获取第一密钥以及第一标识。

根据一些实施例，方法200还可以包括：将第一密钥以及第一标识存储至客户端本地。

在一些示例中，可以将第一密钥以及第一标识存储至客户端的内存中。

由此，通过将第一密钥以及第一标识存储至客户端本地，可以减少客户端设备在进行数据解密时对网络环境的依赖，从而提升数据解密的稳定性，避免网络情况的波动对数据解密产生不利影响。

根据一些实施例，方法200还可以包括：

响应于第一标识与第二标识不匹配，将加密数据发送至第二应用程序。

由此，当第一标识与第二标识不匹配时，发出访问请求的应用程序可能被认为是非授权应用，因此，仅向该非授权应用提供加密数据而不提供解密后的数据。

根据一些实施例，第一标识可以是第一数字签名，并且第二标识可以是第二数字签名。一个应用程序可以具有唯一对应的一个数字签名。数字签名可以是服务器基于数字签名标准(Digital Signature Standard，DSS)生成的。在一个示例中，可以利用哈希算法针对应用程序做数字摘要，再利用签名私钥对数字摘要做非对称加密，以生成数字签名。

根据本公开的另一方面，提供了一种数据处理装置，应用于客户端。参考图5，图5示出了根据本公开的实施例的数据处理装置500的结构框图。装置500包括：

第一获取单元510，被配置为获取由服务器利用第一密钥加密的加密数据；

第二获取单元520，被配置为从服务器获取第一密钥以及被允许访问加密数据的第一应用程序的第一标识；

映射单元530，被配置为将加密数据映射到虚拟目录中；

验证单元540，被配置为响应于接收到第二应用程序通过虚拟目录对加密数据的访问请求，基于第一标识和第二应用程序的第二标识，对第二应用程序进行验证；以及

解密单元550，被配置为响应于第一标识与第二标识相匹配，利用第一密钥对加密数据进行解密，以使第二应用程序能够访问经解密的数据。

根据一些实施例，第二获取单元520可以被进一步配置为：

从服务器接收访问策略信息，其中，访问策略信息是由服务器利用第二密钥，对第一密钥以及第一标识两者进行加密获得的；以及

利用第二密钥对访问策略信息进行解密，以获取第一密钥以及第一标识。

根据一些实施例，客户端可以包括密钥芯片，并且第二获取单元520可以被进一步配置为：利用预制在密钥芯片中的第二密钥对访问策略信息进行解密。

根据一些实施例，映射单元530可以被进一步配置为：

将存储在源目录中的加密数据映射到虚拟目录中，虚拟目录具有与源目录相同的目录结构。

图6示出了根据本公开的实施例的数据处理装置600的结构框图。如图6所示，装置600所包括的第一获取单元610、第二获取单元620、映射单元630、验证单元640和解密单元650与图5中描述的数据处理装置500中的相应单元类似，为了简洁起见，在此不再赘述。

如图6所示，根据一些实施例，装置600还可以包括配置单元660。配置单元660被配置为：在将加密数据映射到虚拟目录中之前，接收由服务器基于用户输入的第一配置信息修改的第二配置信息，第一配置信息和第二配置信息用于指示部署第二应用程序所需的数据访问路径；以及基于第二配置信息，对客户端进行配置，以使第二应用程序能够通过虚拟目录对加密数据发出访问请求。

继续参考图6，根据一些实施例，装置600还可以包括存储单元670。存储单元670被配置为将第一密钥以及第一标识存储至客户端本地。

继续参考图6，根据一些实施例，装置600还可以包括发送单元680。发送单元680被配置为响应于第一标识与第二标识不匹配，将加密数据发送至第二应用程序。

根据一些实施例，第一标识可以是第一数字签名，并且第二标识可以是第二数字签名。

根据本公开的实施例，还提供了一种电子设备、一种可读存储介质和一种计算机程序产品。

参考图7，现将描述可以作为本公开的服务器或客户端的电子设备700的结构框图，其是可以应用于本公开的各方面的硬件设备的示例。电子设备旨在表示各种形式的数字电子的计算机设备，诸如，膝上型计算机、台式计算机、工作台、个人数字助理、服务器、刀片式服务器、大型计算机、和其它适合的计算机。电子设备还可以表示各种形式的移动装置，诸如，个人数字处理、蜂窝电话、智能电话、可穿戴设备和其它类似的计算装置。本文所示的部件、它们的连接和关系、以及它们的功能仅仅作为示例，并且不意在限制本文中描述的和/或者要求的本公开的实现。

如图7所示，电子设备700包括计算单元701，其可以根据存储在只读存储器(ROM)702中的计算机程序或者从存储单元708加载到随机访问存储器(RAM)703中的计算机程序，来执行各种适当的动作和处理。在RAM703中，还可存储电子设备700操作所需的各种程序和数据。计算单元701、ROM 702以及RAM 703通过总线704彼此相连。输入/输出(I/O)接口705也连接至总线704。

电子设备700中的多个部件连接至I/O接口705，包括：输入单元706、输出单元707、存储单元708以及通信单元709。输入单元706可以是能向电子设备700输入信息的任何类型的设备，输入单元706可以接收输入的数字或字符信息，以及产生与电子设备的用户设置和/或功能控制有关的键信号输入，并且可以包括但不限于鼠标、键盘、触摸屏、轨迹板、轨迹球、操作杆、麦克风和/或遥控器。输出单元707可以是能呈现信息的任何类型的设备，并且可以包括但不限于显示器、扬声器、视频/音频输出终端、振动器和/或打印机。存储单元708可以包括但不限于磁盘、光盘。通信单元709允许电子设备700通过诸如因特网的计算机网络和/或各种电信网络与其他设备交换信息/数据，并且可以包括但不限于调制解调器、网卡、红外通信设备、无线通信收发机和/或芯片组，例如蓝牙^TM设备、802.11设备、WiFi设备、WiMax设备、蜂窝通信设备和/或类似物。

计算单元701可以是各种具有处理和计算能力的通用和/或专用处理组件。计算单元701的一些示例包括但不限于中央处理单元(CPU)、图形处理单元(GPU)、各种专用的人工智能(AI)计算芯片、各种运行机器学习模型算法的计算单元、数字信号处理器(DSP)、以及任何适当的处理器、控制器、微控制器等。计算单元701执行上文所描述的各个方法和处理，例如方法200或方法400。例如，在一些实施例中，方法200或方法400可被实现为计算机软件程序，其被有形地包含于机器可读介质，例如存储单元708。在一些实施例中，计算机程序的部分或者全部可以经由ROM 702和/或通信单元709而被载入和/或安装到电子设备700上。当计算机程序加载到RAM703并由计算单元701执行时，可以执行上文描述的方法200或方法400的一个或多个步骤。备选地，在其他实施例中，计算单元701可以通过其他任何适当的方式(例如，借助于固件)而被配置为执行方法200或方法400。

本文中以上描述的系统和技术的各种实施方式可以在数字电子电路系统、集成电路系统、场可编程门阵列(FPGA)、专用集成电路(ASIC)、专用标准产品(ASSP)、芯片上系统的系统(SOC)、复杂可编程逻辑设备(CPLD)、计算机硬件、固件、软件、和/或它们的组合中实现。这些各种实施方式可以包括：实施在一个或者多个计算机程序中，该一个或者多个计算机程序可在包括至少一个可编程处理器的可编程系统上执行和/或解释，该可编程处理器可以是专用或者通用可编程处理器，可以从存储系统、至少一个输入装置、和至少一个输出装置接收数据和指令，并且将数据和指令传输至该存储系统、该至少一个输入装置、和该至少一个输出装置。

用于实施本公开的方法的程序代码可以采用一个或多个编程语言的任何组合来编写。这些程序代码可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器或控制器，使得程序代码当由处理器或控制器执行时使流程图和/或框图中所规定的功能/操作被实施。程序代码可以完全在机器上执行、部分地在机器上执行，作为独立软件包部分地在机器上执行且部分地在远程机器上执行或完全在远程机器或服务器上执行。

在本公开的上下文中，机器可读介质可以是有形的介质，其可以包含或存储以供指令执行系统、装置或设备使用或与指令执行系统、装置或设备结合地使用的程序。机器可读介质可以是机器可读信号介质或机器可读储存介质。机器可读介质可以包括但不限于电子的、磁性的、光学的、电磁的、红外的、或半导体系统、装置或设备，或者上述内容的任何合适组合。机器可读存储介质的更具体示例会包括基于一个或多个线的电气连接、便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或快闪存储器)、光纤、便捷式紧凑盘只读存储器(CD-ROM)、光学储存设备、磁储存设备、或上述内容的任何合适组合。

为了提供与用户的交互，可以在计算机上实施此处描述的系统和技术，该计算机具有：用于向用户显示信息的显示装置(例如，CRT(阴极射线管)或者LCD(液晶显示器)监视器)；以及键盘和指向装置(例如，鼠标或者轨迹球)，用户可以通过该键盘和该指向装置来将输入提供给计算机。其它种类的装置还可以用于提供与用户的交互；例如，提供给用户的反馈可以是任何形式的传感反馈(例如，视觉反馈、听觉反馈、或者触觉反馈)；并且可以用任何形式(包括声输入、语音输入或者、触觉输入)来接收来自用户的输入。

可以将此处描述的系统和技术实施在包括后台部件的计算系统(例如，作为数据服务器)、或者包括中间件部件的计算系统(例如，应用服务器)、或者包括前端部件的计算系统(例如，具有图形用户界面或者网络浏览器的用户计算机，用户可以通过该图形用户界面或者该网络浏览器来与此处描述的系统和技术的实施方式交互)、或者包括这种后台部件、中间件部件、或者前端部件的任何组合的计算系统中。可以通过任何形式或者介质的数字数据通信(例如，通信网络)来将系统的部件相互连接。通信网络的示例包括：局域网(LAN)、广域网(WAN)和互联网。

计算机系统可以包括客户端和服务器。客户端和服务器一般远离彼此并且通常通过通信网络进行交互。通过在相应的计算机上运行并且彼此具有客户端-服务器关系的计算机程序来产生客户端和服务器的关系。服务器可以是云服务器，也可以为分布式系统的服务器，或者是结合了区块链的服务器。

应该理解，可以使用上面所示的各种形式的流程，重新排序、增加或删除步骤。例如，本公开中记载的各步骤可以并行地执行、也可以顺序地或以不同的次序执行，只要能够实现本公开公开的技术方案所期望的结果，本文在此不进行限制。

虽然已经参照附图描述了本公开的实施例或示例，但应理解，上述的方法、系统和设备仅仅是示例性的实施例或示例，本发明的范围并不由这些实施例或示例限制，而是仅由授权后的权利要求书及其等同范围来限定。实施例或示例中的各种要素可以被省略或者可由其等同要素替代。此外，可以通过不同于本公开中描述的次序来执行各步骤。进一步地，可以以各种方式组合实施例或示例中的各种要素。重要的是随着技术的演进，在此描述的很多要素可以由本公开之后出现的等同要素进行替换。

Claims (19)

1.一种数据处理方法，应用于客户端，所述方法包括：

获取由服务器利用第一密钥加密的加密数据；

从所述服务器获取所述第一密钥以及被允许访问所述加密数据的第一应用程序的第一标识；

将所述加密数据映射到虚拟目录中；

响应于接收到第二应用程序通过所述虚拟目录对所述加密数据的访问请求，基于所述第一标识和所述第二应用程序的第二标识，对所述第二应用程序进行验证；以及

响应于所述第一标识与所述第二标识相匹配，利用所述第一密钥对所述加密数据进行解密，以使所述第二应用程序能够访问经解密的数据。

2.根据权利要求1所述的方法，其中，从所述服务器获取所述第一密钥以及被允许访问所述加密数据的第一应用程序的第一标识包括：

从所述服务器接收访问策略信息，其中，所述访问策略信息是由所述服务器利用第二密钥，对所述第一密钥以及所述第一标识两者进行加密获得的；以及

利用所述第二密钥对所述访问策略信息进行解密，以获取所述第一密钥以及所述第一标识。

3.根据权利要求2所述的方法，其中，所述客户端包括密钥芯片，并且其中，利用所述第二密钥对所述访问策略信息进行解密包括：

利用预制在所述密钥芯片中的第二密钥对所述访问策略信息进行解密。

4.根据权利要求1所述的方法，其中，将所述加密数据映射到所述虚拟目录中包括：

将存储在源目录中的所述加密数据映射到所述虚拟目录中，所述虚拟目录具有与所述源目录相同的目录结构。

5.根据权利要求1至4中任一项所述的方法，还包括：在将所述加密数据映射到所述虚拟目录中之前，

接收由所述服务器基于用户输入的第一配置信息修改的第二配置信息，所述第一配置信息和所述第二配置信息用于指示部署第二应用程序所需的数据访问路径；以及

基于所述第二配置信息，对所述客户端进行配置，以使所述第二应用程序能够通过所述虚拟目录对所述加密数据发出访问请求。

6.根据权利要求1至4中任一项所述的方法，还包括：

将所述第一密钥以及所述第一标识存储至所述客户端本地。

7.根据权利要求1至4中任一项所述的方法，还包括：

响应于所述第一标识与所述第二标识不匹配，将所述加密数据发送至所述第二应用程序。

8.根据权利要求1至4中任一项所述的方法，其中，所述第一标识是第一数字签名，并且所述第二标识是第二数字签名。

9.一种数据处理装置，应用于客户端，所述装置包括：

第一获取单元，被配置为获取由服务器利用第一密钥加密的加密数据；

第二获取单元，被配置为从所述服务器获取所述第一密钥以及被允许访问所述加密数据的第一应用程序的第一标识；

映射单元，被配置为将所述加密数据映射到虚拟目录中；

验证单元，被配置为响应于接收到第二应用程序通过所述虚拟目录对所述加密数据的访问请求，基于所述第一标识和所述第二应用程序的第二标识，对所述第二应用程序进行验证；以及

解密单元，被配置为响应于所述第一标识与所述第二标识相匹配，利用所述第一密钥对所述加密数据进行解密，以使所述第二应用程序能够访问经解密的数据。

10.根据权利要求9所述的装置，其中，所述第二获取单元被进一步配置为：

从所述服务器接收访问策略信息，其中，所述访问策略信息是由所述服务器利用第二密钥，对所述第一密钥以及所述第一标识两者进行加密获得的；以及

利用所述第二密钥对所述访问策略信息进行解密，以获取所述第一密钥以及所述第一标识。

11.根据权利要求10所述的装置，其中，所述客户端包括密钥芯片，并且其中，所述第二获取单元被进一步配置为：

利用预制在所述密钥芯片中的第二密钥对所述访问策略信息进行解密。

12.根据权利要求9所述的装置，其中，所述映射单元被进一步配置为：

将存储在源目录中的所述加密数据映射到所述虚拟目录中，所述虚拟目录具有与所述源目录相同的目录结构。

13.根据权利要求9至12中任一项所述的装置，还包括配置单元，所述配置单元被配置为：在将所述加密数据映射到所述虚拟目录中之前，

接收由所述服务器基于用户输入的第一配置信息修改的第二配置信息，所述第一配置信息和所述第二配置信息用于指示部署第二应用程序所需的数据访问路径；以及

基于所述第二配置信息，对所述客户端进行配置，以使所述第二应用程序能够通过所述虚拟目录对所述加密数据发出访问请求。

14.根据权利要求9至12中任一项所述的装置，还包括：

存储单元，被配置为将所述第一密钥以及所述第一标识存储至所述客户端本地。

15.根据权利要求9至12中任一项所述的装置，还包括：

发送单元，被配置为响应于所述第一标识与所述第二标识不匹配，将所述加密数据发送至所述第二应用程序。

16.根据权利要求9至12中任一项所述的装置，其中，所述第一标识是第一数字签名，并且所述第二标识是第二数字签名。

17.一种电子设备，包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求1-8中任一项所述的方法。

18.一种存储有计算机指令的非瞬时计算机可读存储介质，其中，所述计算机指令用于使所述计算机执行根据权利要求1-8中任一项所述的方法。

19.一种计算机程序产品，包括计算机程序，其中，所述计算机程序在被处理器执行时实现权利要求1-8中任一项所述的方法。

Images