CN116992401A - 账户间应用隔离的方法及电子设备 - Google Patents

Abstract

本申请公开了账户间应用隔离的方法及电子设备，涉及操作系统领域。本申请提供的账户间应用隔离的方包括：在应用程序的启动过程中，判断当前电子设备上登录账户与该应用程序的可执行权限是否匹配，进而确定是否继续启动该应用程序。通过本申请提供的账户间应用隔离方法，在电子设备上登录的账户不同的情况下，可以使用的应用程序不同，进而使得电子设备可以满足不同用户的需求，也保障了软件开发者的利益。

Description

账户间应用隔离的方法及电子设备

技术领域

本申请涉及操作系统领域，尤其涉及账户间应用隔离的方法及电子设备。

背景技术

随着电子技术的发展，越来越多的智能电子设备出现在消费者的日常生活中。其中，智能电子设备可以被一个或多个账户使用，并不会因为电子设备上登录账户的不同而影响电子设备上任意一个应用程序的使用。

但是，当不同的用户使用对应的不同的账户来操作电子设备上的应用程序会导致隐私泄露或者其他方面的问题。例如，家庭中的智能电视或智慧屏等产品可以安装有电影、游戏、学习软件等应用程序，那么家庭中的孩童和家长即便登录不同的账户或账户也均可以打开这些应用程序。但是，家长只希望孩童能够通过智能电视或智慧屏等产品使用学习软件等应用程序，而不能使用游戏和电影等应用程序。又例如，许多付费软件的付费许可针对的是一个账户，而非一个电子设备，当电子设备上下载并激活付费软件后，电子设备上的任何账户均可以使用该付费软件，不利于付费软件发明人的利益保护。

发明内容

本申请公开了账户间应用隔离的方法及电子设备，涉及操作系统领域。本申请提供的账户间应用隔离的方包括：在应用程序的启动过程中，判断当前电子设备上登录账户与该应用程序的可执行权限是否匹配，进而确定是否继续启动该应用程序。通过本申请提供的账户间应用隔离方法，在电子设备上登录的账户不同的情况下，可以使用的应用程序不同，进而使得电子设备可以满足不同用户的需求，也保障了软件开发者的利益。

第一方面，本申请提供了一种账户间应用隔离的方法，该方法包括：登录第一账户，该多账户包括该第一账户；响应于第一操作，在应用程序的启动过程中基于权限检查表判断第一应用程序的可执行权限是否与该第一账户匹配，该第一操作用于启动该第一应用程序，该权限检查表包括应用程序的可执行权限与该多账户的对应关系；若该第一应用程序的可执行权限与该第一账户匹配，则继续启动该第一应用程序；若该第一应用程序的可执行权限与该第一账户不匹配，则终止启动该第一应用程序。

在上述实施例中，电子设备在应用程序的启动过程中，判断当前登录账户与应用程序的可执行权限是否匹配，进而确定是否继续启动应用程序。这样，一方面，不同的账户可以对应不同的可使用的应用程序，满足不同用户的需求；另一方面，可以配置一个应用程序只被付费的账户启动，有利于保护软件开发者的利益。

结合第一方面的一些实施例，在一些实施例中，该响应于第一操作，在应用程序的启动过程中基于权限检查表判断第一应用程序的可执行权限是否与该第一账户匹配，具体包括：该响应于第一操作，在应用程序的进程特化过程中基于权限检查表判断第一应用程序的可执行权限是否与该第一账户匹配，该应用程序的进程特化过程属于该应用程序的启动过程。

在上述实施例中，可以在进程特化过程中去判断应用程序的可执行权限与账户是否匹配。其中，在进程特化作为应用程序启动过程中的靠前的过程，如果判断应用程序的可执行权限与账户不匹配，则可以尽早终止应用程序的启动，减少无效的操作数，进而减少电子设备的功耗。

结合第一方面的一些实施例，在一些实施例中，在应用程序的进程特化过程中基于权限检查表判断第一应用程序的可执行权限是否与该第一账户匹配，具体包括：在应用程序的进程特化过程中，通过钩子函数由linux安全模块基于权限检查表判断该第一应用程序的可执行权限是否与该第一账户匹配。

在上述实施例中，可以在应用程序的进程特化过程中，由linux安全模块判断应用程序的可执行权限是否与电子设备上登录的账户是否匹配，这样对linux内核的修改较小，进而几乎不影响linux内核的影响，并且保持较高的兼容性。

结合第一方面的一些实施例，在一些实施例中，在应用程序的进程特化过程中基于权限检查表判断第一应用程序的可执行权限是否与该第一账户匹配，具体包括：在应用程序的进程特化过程中，由linux进程管理模块基于该权限检查表判断该第一应用程序的可执行权限是否与该第一账户匹配。

在上述实施例中，通过修改linux内核，使得所有应用程序在启动过程中，linux进程管理模块会判断当前应用程序的可执行权限与当前登录的账户是否匹配，进而确定是否继续启动该应用程序。

结合第一方面的一些实施例，在一些实施例中，该钩子函数位于setresuid系统调用中。

在上述实施例中，钩子函数位于setresuid系统调用中，可以直接获取应用程序的标识和当前登录账户的标识，进而去判断应用程序的可执行权限和账户是否匹配，实现的复杂度低。

结合第一方面的一些实施例，在一些实施例中，该权限检查表以哈希链表的形式存储应用程序的可执行权限与该多账户的对应关系。

在上述实施例中，权限检查表可以以多种数据结构存储应用程序的可执行权限和多账户的对应关系，考虑到查找的效率可以使用哈希链表这种数据结构存储应用程序的可执行权限与多账户的对应关系。

结合第一方面的一些实施例，在一些实施例中，该哈希链表的关键字为账户标识。

在上述实施例中，考虑到电子设备上账户的数量一般远远低于应用程序的数量，当可执行权限检查表通过哈希链表这种数据结构存储的情况下，可以以账户标识作为关键字，进而提高在判断应用程序的可执行权限和账户是否匹配的过程中提高查找的效率。

第二方面，本申请实施例提供了一种电子设备，该电子设备包括：一个或多个处理器和存储器；该存储器与该一个或多个处理器耦合，该存储器用于存储计算机程序代码，该计算机程序代码包括计算机指令，该一个或多个处理器调用该计算机指令以使得该电子设备执行：登录第一账户，该多账户包括该第一账户；响应于第一操作，在应用程序的启动过程中基于权限检查表判断第一应用程序的可执行权限是否与该第一账户匹配，该第一操作用于启动该第一应用程序，该权限检查表包括应用程序的可执行权限与该多账户的对应关系；若该第一应用程序的可执行权限与该第一账户匹配，则继续启动该第一应用程序；若该第一应用程序的可执行权限与该第一账户不匹配，则终止启动该第一应用程序。

在上述实施例中，电子设备在应用程序的启动过程中，判断当前登录账户与应用程序的可执行权限是否匹配，进而确定是否继续启动应用程序。这样，一方面，不同的账户可以对应不同的可使用的应用程序，满足不同用户的需求；另一方面，可以配置一个应用程序只被付费的账户启动，有利于保护软件开发者的利益。

结合第二方面的一些实施例，在一些实施例中，该一个或多个处理器具体用于调用：该响应于第一操作，在应用程序的进程特化过程中基于权限检查表判断第一应用程序的可执行权限是否与该第一账户匹配，该应用程序的进程特化过程属于该应用程序的启动过程。

在上述实施例中，可以在进程特化过程中去判断应用程序的可执行权限与账户是否匹配。其中，在进程特化作为应用程序启动过程中的靠前的过程，如果判断应用程序的可执行权限与账户不匹配，则可以尽早终止应用程序的启动，减少无效的操作数，进而减少电子设备的功耗。

结合第二方面的一些实施例，在一些实施例中，该一个或多个处理器具体用于调用：在应用程序的进程特化过程中，通过钩子函数由linux安全模块基于权限检查表判断第一应用程序的可执行权限是否与该第一账户匹配。

在上述实施例中，可以在应用程序的进程特化过程中，由linux安全模块判断应用程序的可执行权限是否与电子设备上登录的账户是否匹配，这样对linux内核的修改较小，进而几乎不影响linux内核的影响，并且保持较高的兼容性。

结合第二方面的一些实施例，在一些实施例中，该一个或多个处理器具体用于调用：在应用程序的进程特化过程中，由linux进程管理模块基于权限检查表判断第一应用程序的可执行权限是否与该第一账户匹配。

在上述实施例中，通过修改linux内核，使得所有应用程序在启动过程中，linux进程管理模块会判断当前应用程序的可执行权限与当前登录的账户是否匹配，进而确定是否继续启动该应用程序。

结合第二方面的一些实施例，在一些实施例中，该钩子函数位于setresuid系统调用中。

在上述实施例中，钩子函数位于setresuid系统调用中，可以直接获取应用程序的标识和当前登录账户的标识，进而去判断应用程序的可执行权限和账户是否匹配，实现的复杂度低。

结合第二方面的一些实施例，在一些实施例中，该权限检查表以哈希链表的形式存储应用程序的可执行权限与该多账户的对应关系。

在上述实施例中，权限检查表可以以多种数据结构存储应用程序的可执行权限和多账户的对应关系，考虑到查找的效率可以使用哈希链表这种数据结构存储应用程序的可执行权限与多账户的对应关系。

结合第二方面的一些实施例，在一些实施例中，该哈希链表的关键字为账户标识。

在上述实施例中，考虑到电子设备上账户的数量一般远远低于应用程序的数量，当可执行权限检查表通过哈希链表这种数据结构存储的情况下，可以以账户标识作为关键字，进而提高在判断应用程序的可执行权限和账户是否匹配的过程中提高查找的效率。

第三方面，本申请实施例提供了一种芯片系统，该芯片系统应用于电子设备，该芯片系统包括一个或多个处理器，该处理器用于调用计算机指令以使得该电子设备执行如第一方面以及第一方面中任一可能的实现方式描述的方法。

第四方面，本申请实施例提供一种包含指令的计算机程序产品，当上述计算机程序产品在电子设备上运行时，使得上述电子设备执行如第一方面以及第一方面中任一可能的实现方式描述的方法。

第五方面，本申请实施例提供一种计算机可读存储介质，包括指令，当上述指令在电子设备上运行时，使得上述电子设备执行如第一方面以及第一方面中任一可能的实现方式描述的方法。

可以理解地，上述第二方面提供的电子设备、第三方面提供的芯片系统、第四方面提供的计算机程序产品和第五方面提供的计算机存储介质均用于执行本申请实施例所提供的方法。因此，其所能达到的有益效果可参考对应方法中的有益效果，此处不再赘述。

附图说明

图1A、图1B、图1C和图1D为本申请实施例提供的多用户使用相同应用程序的一个示例性示意图。

图1E和图1F为本申请和实施例提供的账户间应用隔离的方法使用场景的一个示例性示意图。

图2为本申请实施例提供的一种用户数据隔离方法的一个示例性示意图。

图3为本申请实施例提供的一种应用程序数据隔离方法的一个示例性示意图。

图4为本申请实施例提供的账户间应用隔离方法的一个示例性示意图。

图5为本申请实施例提供的权限检查表的一个示例性示意图。

图6为本申请实施例提供的通过钩子函数判断账户与应用程序的可执行权限是否匹配的一个示例性示意图。

图7为本申请实施例提供的在进程特化过程中调用插入钩子函数的一个示例性示意图。

图8为本申请实施例提供的电子设备硬件结构的一个示例性示意图。

图9A、图9B为本申请实施例提供的电子设备软件架构的一个示例性示意图。

图9C为本申请实施例提供的电子设备软件架构的一个示例性示意图。

具体实施方式

本申请以下实施例中所使用的术语只是为了描述特定实施例的目的，而并非旨在作为对本申请的限制。如在本申请的说明书所使用的那样，单数表达形式“一个”、“一种”、“该”、“上述”、“该”和“这一”旨在也包括复数表达形式，除非其上下文中明确地有相反指示。还应当理解，本申请中使用的术语“和/或”是指并包含一个或多个所列出项目的任何或所有可能组合。

以下，术语“第一”、“第二”仅用于描述目的，而不能理解为暗示或暗示相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”的特征可以明示或者隐含地包括一个或者更多个该特征，在本申请实施例的描述中，除非另有说明，“多个”的含义是两个或两个以上。

本申请以下实施例中的术语“用户界面(userinterface，UI)”，是应用程序或操作系统与用户之间进行交互和信息交换的介质接口，它实现信息的内部形式与用户可以接受形式之间的转换。用户界面是通过java、可扩展标记语言(extensible markup language，XML)等特定计算机语言编写的源代码，界面源代码在电子设备上经过解析，渲染，最终呈现为用户可以识别的内容。用户界面常用的表现形式是图形用户界面(graphic userinterface，GUI)，是指采用图形方式显示的与计算机操作相关的用户界面。它可以是在电子设备的显示屏中显示的文本、图标、按钮、菜单、选项卡、文本框、对话框、状态栏、导航栏、Widget等可视的界面元素。

操作系统(Operating System，OS)是管理和控制计算机硬件与软件资源的计算机程序，是直接运行在“裸机”上的最基本的系统软件，任何其他软件都必须在操作系统的支持下才能运行。

安卓(Android)是如今市面主流的手机和智能终端的操作系统。包括安卓操作系统在内的多种操作系统都支持多账户的使用，也就是说一个使用者必须在启动手机、智能终端或计算机时登录自己的账户才能正常地使用这个设备，不同的使用者有着各自专有的账户，用户可以通过一种或多种验证方式登录自己的账户。

在用户使用设备时，可能存在着某些应用(例如娱乐软件或付费应用)是一个用户希望只有自己能够执行的。但是，在大多数操作系统中，如果一个用户安装了某个应用程序，则其他用户都能使用这个应用程序，这就会带来一些隐私和利益上的冲突和风险，具体的内容如下文所示。

图1A、图1B、图1C和图1D为本申请实施例提供的多用户使用相同应用程序的一个示例性示意图。

其中，图1A为用户选择账户2登录的界面图；相对的，图1B为用户选择账户1登录的界面图。

如图1A和图1B所示，电子设备上显示的界面包括控件1A01、控件1A02、控件1A03、控件1A04、控件1A05、控件1A06、控件1A07。其中，控件1A01中包括控件1A02、控件1A03、控件1A04，其中，控件1A02对应于管理账户、控件1A03对应于账户1、控件1A04对应于账户2。

其中，电子设备上可以安装有多个应用程序，如音乐、图库、游戏、控件1A05对应于与音乐应用程序、控件1A06对应于图库应用程序、控件1A07对应于/>应用程序、控件1A08对应于游戏应用程序。

不论用户是通过账户1还是账户2登录电子设备，均可以使用电子设备上已经安装的应用程序。

如图1C和图1D所示，响应于用户点击控件1A05，电子设备均启动音乐应用程序。其中，图1D所示的内容为音乐应用程序界面的一个示意图。

很显然的，当不同的用户使用不同的账户登录电子设备后，若电子设备不通过账户去区分不同的用户，作出不同的响应，则实际上可以不需要账户登录这一过程。其次，实现用户之间的隔离是十分有必要的，网页浏览记录、照片、应用程序的使用权限等直接关系到用户的个人财产安全。例如，对于华为支付、等应用程序，虽然不同的应用程序有不同的应用程序级别的账户，但是不同的用户仍然能够在登录电子设备后随意操作华为支付、/> 等应用程序，具有极大的风险；又例如，对于付费使用的软件，不同的用户仍然能够在登录电子设备后随意使用其他用户付费下载并安装的应用程序，不利于软件开发者的利益保护。

又因为，电子设备并不能限制或保证只有一个用户使用，则需要电子设备上的操作系统实现不同用户之间的隔离，进而规避各种风险，保障软件开发者的利益。

图1E和图1F为本申请和实施例提供的账户间应用隔离的方法使用场景的一个示例性示意图。

在许多场景中，如在家庭生活、公司工作等场景中，不同的用户对应着不同的账户，不同的账户对应着相同的应用程序的可执行权限，要想使得不同的用户对应不同的应用程序的可执行权限，就需要反复删除安装应用程序。

例如，在家庭场景中，在电子设备为手机、智能电视或其他公用设备的情况下，家长使用的账户为普通账户2或者管理员账户，孩童使用的账户为普通账户1。要想使得孩童或账户1不能使用电子设备上的娱乐应用，需要家长在孩童使用电子设备前卸载娱乐应用，才能使得孩童在登普通录账户1后，不能使用电子设备上的娱乐应用。很显然的，这样频繁的操作会给使用者带来诸多的不便。

但是，如果不同的账户与应用程序的可执行权限的对应关系不同，则可以避免上述繁琐的操作。例如，普通账户2或者管理员账户拥有娱乐应用的运行权限或启动权限而普通账户1未拥有娱乐应用的运行权限或启动权限，则无需通过反复安装和卸载娱乐应用程序以达到限制孩童使用娱乐应用的目的。

例如，家长可以配置不同账户与应用程序的可执行权限的对应关系，进而使得一些应用可以被普通账户1打开，另一些应用不可以被普通账户1打开。

如图1E和图1F所示，电子设备上显示有对应不同账户的控件，分别为对应于普通账户1的控件1E01，普通账户2的控件1E02，管理员账户对应的控件1E03。用户可以选择不同的控件以登录不同的账户。

在电子设备上登录的账户为普通账户2或管理员账户的情况下，响应于用户点击控件1A08，电子设备可以启动游戏应用程序。

对应的，在电子设备上登录的账户为普通账户1情况下，响应于用户点击控件1A08，电子设备不启动游戏应用程序。

值得说明的是，本申请实施例的账户间应用隔离的方法使用场景并不局限于家庭生活、公司工作等使用场景。

例如，在其他如唱吧等其他场所中配置的公用设备中，不同的用户对应不同的账户，并且该公用设备上配置有多个免费和付费的软件。

对于购买付费软件的用户，在该公用设备上只需要登录自己的账户，则可以使用全部已经购买的付费软件。相比于需求付费软件的开发者额外验证软件级别的账户，省去了用户繁琐的登录步骤；其次，也不需要每个用户使用完该公用设备后，由设备维护者或设备管理者重置该公用设备，删除上一任使用该设备用户安装的应用程序，维护成本降低。对于没有购买付费软件的用户，在该公用设备登录账户后，并不能打开付费软件，也很好的保护了软件开发者的利益，避免该付费软件被滥用。

可以理解的是，在配置账户级别的应用程序的可执行权限后，可以简化用户的操作，还可以简化设备管理者或设备维护者的工作量，还可以保护软件开发者的利益。

下面介绍几种账户和/或应用程序数据隔离的方法。

图2为本申请实施例提供的一种用户数据隔离方法的一个示例性示意图。

如图2所示，当电子设备上安装有某个应用程序后，不同的用户均可以启动该应用程序。但是，在不同用户登录的安卓账户或应用程序的账户不同的情况下，应用程序会将该账户的相关信息保存在不同的路径，进而实现不同用户的数据隔离。

例如，当不同用户登录的安卓账户不同的情况下，安卓操作系统通过UserManagerService(用户管理服务)对多用户进行隔离。具体的，安卓通过UserManagerService提供的UserHandler区分不同的用户，UserHandler携带userId，不同用户的userID不同。应用程序的保存路径一般为“/data/user/userId/packageName”中，由于不同用户的userID不同，进而实现了不同用户的数据隔离。

并且，安卓进一步要求关于账户的通知需要等待账户登录后才显示，不同账户可以具有不同的工作区，任意账户均可以为电子设备安装应用程序，任意账户均无权访问其他账户的数据。

很显然的，图2所示的通过用户管理服务隔离不同用户数据的方法仅仅能够隔离不同用户的数据，但是并不能阻止某些用户使用电子设备上的应用程序。进一步的，由于图2所示的方法不能阻止某些用户使用电子设备上的应用程序，则会造成上文阐明的若干风险和缺陷。

图3为本申请实施例提供的一种应用程序数据隔离方法的一个示例性示意图。

电子设备可以通过修改硬件的方式来保护用户的数据安全和隐私。当前处理器中包含的几个扩展允许设备制造商在这个生态系统中插入其他层，例如图3中所示的裸机虚拟机监控程序(baremetalhypervisor)。

通过修改硬件修改安卓操作系统的顶级特权层，进而保护不同用户的数据。例如，如图3所示，在芯片级别增加裸机虚拟机监控程序，并在框架层增加策略处理程序服务(policyhandlerservice)以及在应用程序层增加对应的策略定义应用(policydefinitionapp)。策略定义应用向用户提供可操作的界面，用户可以在该界面配置策略处理服务的参数。

由于裸机虚拟机监控程序具有比linux内核更高的权限，当应用程序通执行IPC通信访问其他应用程序的数据时，电子设备可以通过Binder拦截应用程序的访问，进而保护应用程序的数据。或者，电子设备也可以在Libc插入钩子函数，阻止应用程序阻止执行系统调用(systemcall)。其中，策略处理程序服务用于确定是否拦截IPC通信，以及是阻止应用程序阻止系统调用。

除此之外，裸机虚拟机监控程序还可以对内核层和应用程序框架层进行完整性检查。

很显然的，图3所示的方法主要用于隔离恶意应用程序或木马等软件，进而保护电子设备上的应用程序的数据不被恶意应用程序或木马等软件窃取，并不能实现账户级别上的应用隔离。并且，图3所示的方法的实现依赖于芯片制造商对硬件进行修改，进而实现上文中类似裸机虚拟机监控程序的顶级特权层，实现的复杂度较高，且不适用已经售卖出去的电子设备。

与安卓操作系统不同的，提供的ios系统的账户Apple ID主要作用是不同设备之间的共享。例如，用户登录Apple ID后可以保存登录账户和密码信息，对设置账户和密码提供建议，同步已购项目等。在切换Apple ID之后，电子设备会询问用户是否保留与Apple ID绑定的数据，但不会对已经下载的应用程序进行执行权限的检查或限制，新的Apple ID对应的用户可以像原Apple ID对应的用户一样使用所有已下载的应用程序。只是在应用程序需要更新时，会在AppStore中检查该Apple ID是否购买该项目，如果没有购买该应用程序，则无法更新，直到切换Apple ID或购买该项目。同时部分应用程序会使用跟随Apple ID的云端数据，例如游戏进度，收藏夹等。

很显然的，虽然不同的Apple ID对应不同的账户的数据，可以保护账户的隐私数据，但是即便切换Apple ID后，删除之前Apple ID对应的账户的数据，其他用户仍然可以使用电子设备上已经安装的应用程序。而且，删除Apple ID对应的账户的数据不一定会删除应用程序保存的数据，例如游戏进度、网页浏览记录等应用程序私有的数据，这取决于应用程序开发者是否主动适配ios系统的要求，并且ios系统也没有强制要求应用程序开发者进行适配，也就是由于ios系统没有在系统层面保护、隔离不同用户的数据，在应用程序开发者没有适配的情况下，用户保存在应用程序中的数据可能被其他用户修改、破坏。

进一步的，由于切换Apple ID需要删除之前Apple ID对应的账户的数据，并从云端恢复当前Apple ID对应的账户的数据，删除操作和恢复操作需要花费的时间较长，拷贝次数较多导致电子设备的功耗较高，降低了用户的体验。

为了实现不同用户之间的隔离，或者说为了实现linux账户、安卓账户之间的应用程序级别的隔离，本申请实施例提供了账户间应用隔离的方法。

本申请实施例提供的账户间应用隔离方法，可以通过linux安全模块(linuxsecuritymodule，LSM)向应用程序的进程特化过程中需要调用的函数或系统调用中插入第一钩子函数，在第一钩子函数中判断应用的可执行权限与账户是否匹配，或者在第一钩子函数指向的函数或功能模块中判断应用的可执行权限与账户是否匹配。如果账户与可执行权限匹配，LSM或其他功能模块则可以允许应用程序完成进程特化，进而完成启动；如果账户与可执行权限不匹配，则LSM或其他功能模块终止应用程序的进程特化。

或者，本申请实施例提供的账户间应用隔离方法，通过修改linux内核，在应用程序的进程特化过程中判断应用程序的可执行权限与账户是否匹配。如果账户与可执行权限匹配，则可以允许应用程序完成进程特化，进而完成启动；如果账户与可执行权限不匹配，则终止应用程序的进程特化。

下面结合图4所示的内容，示例性的介绍本申请实施例提供的账户间应用隔离方法。

图4为本申请实施例提供的账户间应用隔离方法的一个示例性示意图。

如图4所示，本申请实施例提供的账户间应用隔离方法包括三个步骤，分别为步骤S401、步骤S402、步骤S403。

步骤S401：在应用程序的进程特化过程中，判断账户与应用程序的可执行权限是否匹配。

若账户与应用程序的可执行权限匹配，则执行步骤S402；若账户与应用程序的可执行权限不匹配，则执行步骤S403。

其中，电子设备内部存有账户与应用程序的可执行权限的对应关系，该对应关系的数据结构可以是表、链表、哈希链表、数组、字符串等形式，在此不做限定。该对应关系用于判断账户与应用程序的可执行权限是否匹配。为了方便说明，以权限检查表指代存储账户与应用程序的可执行权限的对应关系的文件。

其中，进程特化过程为应用程序在启动时的准备阶段。其中，应用程序可以响应于用户的交互而启动，其中用户的交互可以包括用户的点击如图1A和图1B所示，也可以包括语音交互等方式，在此不做限定。其中，应用程序也可以响应于其他应用程序的消息或指令而启动，或者响应于操作系统的消息或指令而启动，在此不作限定。

以安卓操作系统为例，示例性的介绍进程特化过程中的定义。在安卓操作系统中，进程特化过程至少包括：安卓系统将账户标识和应用程序标识发送到linux内核。账户标识可以为AccID，也可以是其他可以区分用户的标识，在此不做限定；应用程序ID可以为AppID，也可以是其他可以区分应用程序或应用程序对应进程的标识，在此不做限定。

进程特化过程还可以包括：操作系统为该被启动的应用配置所属的进程组；或者，进程特化过程还可以包括：操作系统为该被启动的应用配置内存、缓存资源；或者，进程特化过程还可以包括：操作系统为该被启动的应用配置信号量(semaphore)，或者，进程特化过程还可以包括：操作系统为该被启动的应用程序配置调度策略等，在此不做限定。

可选的，在本申请一些实施例中，操作系统会通过活动管理服务(ActivityManagerService，AMS)向zygote发出请求，之后zygote会调用forkAndSpicialize()函数。其中，forkAndSpicialize()函数可以为本申请实施例中的进程特化过程。forkAndSpicialize()函数会调用nativeForkSystemServer，在native层调用com_android_internal_os_Zygote_nativeForkAndSpecialize中的SpecializeCommon，从而fork出一子进程作为应用程序的进程。

值得说明的是，进程特化过程的核心为应用程序在启动时的准备阶段，在不同的操作系统下对应于更具体的不同的过程。可选的，在本申请一些实施例中，该权限检查表可以位于云端；可选的，在本申请一些实施例中，该权限检查表可以被普通账户或管理员账户修改。可选的，在本申请一些实施例中，该权限检查表可以只被管理员账户修改。可选的，在本申请一些实施例中，该权限检查表中应用程序的可执行权限与账户的对应关系可以被管理员账户和/或安装该应用的账户修改。

图5为本申请实施例提供的权限检查表的一个示例性示意图。

如图5所示，应用程序1标识、用户标识1、用户标识2位于一个哈希链表中，该哈希链表表示用户标识1对应的用户1和用户标识2对应的用户2可以启动应用程序1，即用户1和用户2与应用程序1的可执行权限匹配；应用程序2标识、用户标识1、用户标识3位于一个哈希链表中，该哈希链表表示用户标识1对应的用户1和用户标识3对应的用户3可以启动应用程序2，即用户1和用户3与应用程序2的可执行权限匹配；应用程序2标识、用户标识2、用户标识3位于一个哈希链表中，该哈希链表表示用户标识2对应的用户2和用户标识3对应的用户3可以启动应用程序3，即用户2和用户3与应用程序3的可执行权限匹配。

可选的，在本申请一些实施例中，可以用应用程序标识作为查找用户的关键词，即选择应用程序标识作为哈希链表的头。

可以理解的是，电子设备上应用程序的数量远大于用户数量，选择应用程序标识作为关键词搜索，可以降低搜索的复杂度进而降低搜索的时长、提高查找的效率，进而减小判断账户与应用程序的可执行权限的对应关系对进程特化的影响。即，选择应用程序标识作为关键词查找并且选择应用程序标识作为哈希链表的头可以快速的完成匹配。

可选的，在本申请一些实施例中，可以以应用程序标识为Key的倒排索引(inverted index)加速可执行权限检查。

可选的，在本申请一些实施例中，可以在linux内核中开辟一块空间作为缓存空间，该缓存空间中存储账户与应用程序的可执行权限的对应关系。可以理解的是，在linux内核中保存该账户与应用程序的可执行权限的对应关系，无需从其他地方读取写入缓存，进而可以尽可能的提高查找、匹配的效率。

可选的，在本申请一些实施例中，可以通过在进程特化过程涉及的系统调用中插入钩子函数，进而由LSM判断账户与应用程序的可执行权限是否匹配。可以理解的是，相比于修改linux内核，通过钩子函数在进程特化过程中由LSM判断账户与应用程序的可执行权限是否匹配，可以尽可能减少本申请实施例提供的账户间应用隔离方法对linux内核的性能的影响。

图6为本申请实施例提供的通过钩子函数判断账户与应用程序的可执行权限是否匹配的一个示例性示意图。

如图6所示，在电子设备实施本申请实施例提供的账户间应用隔离方法前，应用程序的启动过程可以分为三个阶段。阶段1：响应于用户的交互或者其他应用程序的唤起，应用程序开始启动；阶段2：linux内核为该应用程序执行进程特化，如分配资源等；阶段3：应用程序完成启动。

在电子设备实施本申请实施例提供的账户间应用隔离方法后，应用程序的启动过程可以分为三个阶段。阶段1：响应于用户的交互或者其他应用程序的唤起，应用程序开始启动；阶段2：linux内核为该应用程序执行进程特化，并在进程特化过程中，执行可执行权限检查，若该应用程序的可执行权限与账户匹配，则继续进程特化过程，若该应用程序的可执行权限与账户不匹配，则终止该进程特化过程。阶段3：应用程序完成启动。

图7为本申请实施例提供的在进程特化过程中调用插入钩子函数的一个示例性示意图。

如图7所示，在应用程序开始启动后，会调用setresuid()系统调用。由于setresuid()系统调用中插入有钩子函数，该钩子函数会执行可执行权限检查，查询账户与应用程序的可执行权限的对应关系，确定账户与应用程序的可执行权限是否匹配。该钩子函数根据是否匹配的结果，决策是否继续应用程序的进程特化过程。

可选的，在本申请一些实施例中，在通过钩子函数在进程特化过程中由LSM判断账户与应用程序的可执行权限是否匹配的情况下，可以选择在setresuid()系统调用插入钩子函数。其中，setresuid()系统调用会在进程特化过程中被调用。

可选的，在本申请一些实施例中，在setresuid()系统调用插入钩子函数的情况下，可以在可执行权限检查的过程中，首先判断uid或AppID是否位于特定的范围内，然后才判断账户和应用程序的可执行权限是否匹配。即，当uid或AppID位于特定的范围外，则不去判断账户和应用程序的可执行权限匹配，并且无需查询账户和应该用程序的可执行权限的对应关系。这是因为，考虑到在少数情况下，setresuid()系统调用不仅仅会在应用程序的进程特化过程中被调用，还可能会被其他的linux操作系统自身以及安卓系统或者基于安卓系统的的一些其他过程会调用到，需要通过uid或AppID是否位于特定的范围将这些过程过滤出去，避免误拦截一些系统操作。

例如，systemserver是zygote启动一个系统服务进程，systemserver用于初始化和启动系统中的服务，比如初始化AMS。在初始化systemserver的过程中会依次调用到forkAndSpecialize()系统调用、nativeForkSystemServer()系统调用、ForkAndSpecializeCommon()系统调用，在ForkAndSpecializeCommon中会调用到setresuid()系统调用。

其中，systemserver的uid与应用程序的uid不同。应用程序的uid可以位于10000至19999之间，其他进程的uid不处于10000至19999之间。所以可以通过uid的数值确定触发该系统调用的是应用程序还是其他系统进程，进而使得LSM插入的钩子函数只对应用程序响应，而不对其他进程响应。

值得说明的是，随着钩子函数插入的位置不同，可以获取到的用户区分应用程序和其他系统进程的参数不同，电子设备还可以通过其他参数去区分应用程序和其他系统进程，并不局限与上文中的uid这一种参数。

S402：终止该应用程序的进程特化过程。

在确定账户与应用程序的可执行权限不匹配后，终止该应用程序的进程特化过程。

其中，终止该应用程序的进程特化过程有许多方法，在此不作限定。下面示例性的介绍一种终止应用程序的进程特化的方法。

例如，由于当电子设备执行到setresuid()系统调用时，电子设备会通过钩子函数执行可权限检查，若账户与应用程序的可执行权限匹配，则返回值为0；若账户与应用程序的可执行权限不匹配则返回非0值。

在进程特化过程中，当电子设备执行到setresuid()系统调用时，linux内核执行的是security_task_fix_setuid()系统调用，并在其中调用call_int_hook(task_fix_setuid,0,new,old,flags)系统调用。在call_int_hook(task_fix_setuid,0,new,old,flags)系统调用中，如果该钩子函数返回值为0，则继续执行；如果该钩子函数的值不为0，则会终止触发钩子函数的进程，即终止进程特化过程。

S403：继续该应用程序的进程特化过程。

在确定账户与应用程序的可执行权限匹配后，继续该应用程序的进程特化过程。

可以理解的是，本申请实施例提供的账户间应用隔离方法在多账户系统上，只需要应用程序安装者或系统管理员通过配置权限检查表，即可控制可执行或可启动该应用程序的账户，有效的保证了用户的隐私安全。同时，修改权限文件后再次执行应用时会自动使用最新的权限设置，具有很好的用户体验。既可以很好地保护用户个人的应用隐私安全，也能够起到限制特定人群执行某些应用的效果。

可以理解的是，本申请实施例提供的账户间应用隔离方法在多账户系统上，可以不需要更改linux的内核，例如是在setresuid()系统调用中插入钩子函数以判断账户和应用程序的可执行权限是否匹配，进而适用各种基于linux内核的操作系统，移植性较好。进一步的，对于安卓操作系统来说，本申请实施例提供的账户间应用隔离方法与安卓现有的多账户隐私保护方案没有冲突，且可以互相配合，更好的保护用户财产利益和隐私。

下面示例性的介绍本申请中电子设备的软件架构和硬件结构。

图8为本申请实施例提供的电子设备硬件结构的一个示例性示意图。

电子设备可以是手机、平板电脑、桌面型计算机、膝上型计算机、手持计算机、笔记本电脑、超级移动个人计算机(ultra-mobile personal computer，UMPC)、上网本，以及蜂窝电话、个人数字助理(personal digital assistant，PDA)、增强现实(augmentedreality，AR)设备、虚拟现实(virtual reality，VR)设备、人工智能(artificialintelligence,AI)设备、可穿戴式设备、车载设备、智能家居设备和/或智慧城市设备，本申请实施例对该电子设备的具体类型不作特殊限制。

电子设备可以包括处理器110，外部存储器接口120，内部存储器121，通用串行总线(universal serial bus，USB)接口130，充电管理模块140，电源管理模块141，电池142，天线1，天线2，移动通信模块150，无线通信模块160，音频模块170，扬声器170A，受话器170B，麦克风170C，耳机接口170D，传感器模块180，按键190，马达191，指示器192，摄像头193，显示屏194，以及用户标识模块(subscriber identification module，SIM)卡接口195等。其中传感器模块180可以包括压力传感器180A，陀螺仪传感器180B，气压传感器180C，磁传感器180D，加速度传感器180E，距离传感器180F，接近光传感器180G，指纹传感器180H，温度传感器180J，触摸传感器180K，环境光传感器180L，骨传导传感器180M等。

可以理解的是，本发明实施例示意的结构并不构成对电子设备的具体限定。在本申请另一些实施例中，电子设备可以包括比图示更多或更少的部件，或者组合某些部件，或者拆分某些部件，或者不同的部件布置。图示的部件可以以硬件，软件或软件和硬件的组合实现。

处理器110可以包括一个或多个处理单元，例如：处理器110可以包括应用处理器(application processor，AP)，调制解调处理器，图形处理器(graphics processingunit，GPU)，图像信号处理器(image signal processor，ISP)，控制器，视频编解码器，数字信号处理器(digital signal processor，DSP)，基带处理器，和/或神经网络处理器(neural-network processing unit，NPU)等。其中，不同的处理单元可以是独立的器件，也可以集成在一个或多个处理器中。

控制器可以根据指令操作码和时序信号，产生操作控制信号，完成取指令和执行指令的控制。

处理器110中还可以设置存储器，用于存储指令和数据。在一些实施例中，处理器110中的存储器为高速缓冲存储器。该存储器可以保存处理器110刚用过或循环使用的指令或数据。如果处理器110需要再次使用该指令或数据，可从所述存储器中直接调用。避免了重复存取，减少了处理器110的等待时间，因而提高了系统的效率。

在一些实施例中，处理器110可以包括一个或多个接口。接口可以包括集成电路(inter-integrated circuit，I2C)接口，集成电路内置音频(inter-integrated circuitsound，I2S)接口，脉冲编码调制(pulse code modulation，PCM)接口，通用异步收发传输器(universal asynchronous receiver/transmitter，UART)接口，移动产业处理器接口(mobile industry processor interface，MIPI)，通用输入输出(general-purposeinput/output，GPIO)接口，用户标识模块(subscriber identity module，SIM)接口，和/或通用串行总线(universal serial bus，USB)接口等。

I2C接口是一种双向同步串行总线，包括一根串行数据线(serial data line，SDA)和一根串行时钟线(derail clock line，SCL)。在一些实施例中，处理器110可以包含多组I2C总线。处理器110可以通过不同的I2C总线接口分别耦合触摸传感器180K，充电器，闪光灯，摄像头193等。例如：处理器110可以通过I2C接口耦合触摸传感器180K，使处理器110与触摸传感器180K通过I2C总线接口通信，实现电子设备的触摸功能。

I2S接口可以用于音频通信。在一些实施例中，处理器110可以包含多组I2S总线。处理器110可以通过I2S总线与音频模块170耦合，实现处理器110与音频模块170之间的通信。在一些实施例中，音频模块170可以通过I2S接口向无线通信模块160传递音频信号，实现通过蓝牙耳机接听电话的功能。

PCM接口也可以用于音频通信，将模拟信号抽样，量化和编码。在一些实施例中，音频模块170与无线通信模块160可以通过PCM总线接口耦合。在一些实施例中，音频模块170也可以通过PCM接口向无线通信模块160传递音频信号，实现通过蓝牙耳机接听电话的功能。所述I2S接口和所述PCM接口都可以用于音频通信。

UART接口是一种通用串行数据总线，用于异步通信。该总线可以为双向通信总线。它将要传输的数据在串行通信与并行通信之间转换。在一些实施例中，UART接口通常被用于连接处理器110与无线通信模块160。例如：处理器110通过UART接口与无线通信模块160中的蓝牙模块通信，实现蓝牙功能。在一些实施例中，音频模块170可以通过UART接口向无线通信模块160传递音频信号，实现通过蓝牙耳机播放音乐的功能。

MIPI接口可以被用于连接处理器110与显示屏194，摄像头193等外围器件。MIPI接口包括摄像头串行接口(camera serial interface，CSI)，显示屏串行接口(displayserial interface，DSI)等。在一些实施例中，处理器110和摄像头193通过CSI接口通信，实现电子设备的拍摄功能。处理器110和显示屏194通过DSI接口通信，实现电子设备的显示功能。

GPIO接口可以通过软件配置。GPIO接口可以被配置为控制信号，也可被配置为数据信号。在一些实施例中，GPIO接口可以用于连接处理器110与摄像头193，显示屏194，无线通信模块160，音频模块170，传感器模块180等。GPIO接口还可以被配置为I2C接口，I2S接口，UART接口，MIPI接口等。

USB接口130是符合USB标准规范的接口，具体可以是Mini USB接口，Micro USB接口，USB Type C接口等。USB接口130可以用于连接充电器为电子设备充电，也可以用于电子设备与外围设备之间传输数据。也可以用于连接耳机，通过耳机播放音频。该接口还可以用于连接其他电子设备，例如AR设备等。

可以理解的是，本发明实施例示意的各模块间的接口连接关系，只是示意性说明，并不构成对电子设备的结构限定。在本申请另一些实施例中，电子设备也可以采用上述实施例中不同的接口连接方式，或多种接口连接方式的组合。

充电管理模块140用于从充电器接收充电输入。其中，充电器可以是无线充电器，也可以是有线充电器。在一些有线充电的实施例中，充电管理模块140可以通过USB接口130接收有线充电器的充电输入。在一些无线充电的实施例中，充电管理模块140可以通过电子设备的无线充电线圈接收无线充电输入。充电管理模块140为电池142充电的同时，还可以通过电源管理模块141为电子设备供电。

电源管理模块141用于连接电池142，充电管理模块140与处理器110。电源管理模块141接收电池142和/或充电管理模块140的输入，为处理器110，内部存储器121，显示屏194，摄像头193，和无线通信模块160等供电。电源管理模块141还可以用于监测电池容量，电池循环次数，电池健康状态(漏电，阻抗)等参数。在其他一些实施例中，电源管理模块141也可以设置于处理器110中。在另一些实施例中，电源管理模块141和充电管理模块140也可以设置于同一个器件中。

电子设备的无线通信功能可以通过天线1，天线2，移动通信模块150，无线通信模块160，调制解调处理器以及基带处理器等实现。

天线1和天线2用于发射和接收电磁波信号。电子设备中的每个天线可用于覆盖单个或多个通信频带。不同的天线还可以复用，以提高天线的利用率。例如：可以将天线1复用为无线局域网的分集天线。在另外一些实施例中，天线可以和调谐开关结合使用。

移动通信模块150可以提供应用在电子设备上的包括2G/3G/4G/5G等无线通信的解决方案。移动通信模块150可以包括至少一个滤波器，开关，功率放大器，低噪声放大器(low noise amplifier，LNA)等。移动通信模块150可以由天线1接收电磁波，并对接收的电磁波进行滤波，放大等处理，传送至调制解调处理器进行解调。移动通信模块150还可以对经调制解调处理器调制后的信号放大，经天线1转为电磁波辐射出去。在一些实施例中，移动通信模块150的至少部分功能模块可以被设置于处理器110中。在一些实施例中，移动通信模块150的至少部分功能模块可以与处理器110的至少部分模块被设置在同一个器件中。

调制解调处理器可以包括调制器和解调器。其中，调制器用于将待发送的低频基带信号调制成中高频信号。解调器用于将接收的电磁波信号解调为低频基带信号。随后解调器将解调得到的低频基带信号传送至基带处理器处理。低频基带信号经基带处理器处理后，被传递给应用处理器。应用处理器通过音频设备(不限于扬声器170A，受话器170B等)输出声音信号，或通过显示屏194显示图像或视频。在一些实施例中，调制解调处理器可以是独立的器件。在另一些实施例中，调制解调处理器可以独立于处理器110，与移动通信模块150或其他功能模块设置在同一个器件中。

无线通信模块160可以提供应用在电子设备上的包括无线局域网(wirelesslocal area networks，WLAN)(如无线保真(wireless fidelity，Wi-Fi)网络)，蓝牙(bluetooth，BT)，全球导航卫星系统(global navigation satellite system，GNSS)，调频(frequency modulation，FM)，近距离无线通信技术(near field communication，NFC)，红外技术(infrared，IR)等无线通信的解决方案。无线通信模块160可以是集成至少一个通信处理模块的一个或多个器件。无线通信模块160经由天线2接收电磁波，将电磁波信号调频以及滤波处理，将处理后的信号发送到处理器110。无线通信模块160还可以从处理器110接收待发送的信号，对其进行调频，放大，经天线2转为电磁波辐射出去。

在一些实施例中，电子设备的天线1和移动通信模块150耦合，天线2和无线通信模块160耦合，使得电子设备可以通过无线通信技术与网络以及其他设备通信。所述无线通信技术可以包括全球移动通讯系统(global system for mobile communications，GSM)，通用分组无线服务(general packet radio service，GPRS)，码分多址接入(code divisionmultiple access，CDMA)，宽带码分多址(wideband code division multiple access，WCDMA)，时分码分多址(time-division code division multiple access，TD-SCDMA)，长期演进(long term evolution，LTE)，BT，GNSS，WLAN，NFC，FM，和/或IR技术等。所述GNSS可以包括全球卫星定位系统(global positioning system，GPS)，全球导航卫星系统(globalnavigation satellite system，GLONASS)，北斗卫星导航系统(beidou navigationsatellite system，BDS)，准天顶卫星系统(quasi-zenith satellite system，QZSS)和/或星基增强系统(satellite based augmentation systems，SBAS)。

电子设备通过GPU，显示屏194，以及应用处理器等实现显示功能。GPU为图像处理的微处理器，连接显示屏194和应用处理器。GPU用于执行数学和几何计算，用于图形渲染。处理器110可包括一个或多个GPU，其执行程序指令以生成或改变显示信息。

显示屏194用于显示图像，视频等。显示屏194包括显示面板。显示面板可以采用液晶显示屏(liquid crystal display，LCD)，有机发光二极管(organic light-emittingdiode，OLED)，有源矩阵有机发光二极体或主动矩阵有机发光二极体(active-matrixorganic light emitting diode的，AMOLED)，柔性发光二极管(flex light-emittingdiode，FLED)，Miniled，MicroLed，Micro-oLed，量子点发光二极管(quantum dot lightemitting diodes，QLED)等。在一些实施例中，电子设备可以包括1个或N个显示屏194，N为大于1的正整数。

电子设备可以通过ISP，摄像头193，视频编解码器，GPU，显示屏194以及应用处理器等实现拍摄功能。

ISP用于处理摄像头193反馈的数据。例如，拍照时，打开快门，光线通过镜头被传递到摄像头感光元件上，光信号转换为电信号，摄像头感光元件将所述电信号传递给ISP处理，转化为肉眼可见的图像。ISP还可以对图像的噪点，亮度进行算法优化。ISP还可以对拍摄场景的曝光，色温等参数优化。在一些实施例中，ISP可以设置在摄像头193中。

摄像头193用于捕获静态图像或视频。物体通过镜头生成光学图像投射到感光元件。感光元件可以是电荷耦合器件(charge coupled device，CCD)或互补金属氧化物半导体(complementary metal-oxide-semiconductor，CMOS)光电晶体管。感光元件把光信号转换成电信号，之后将电信号传递给ISP转换成数字图像信号。ISP将数字图像信号输出到DSP加工处理。DSP将数字图像信号转换成标准的RGB，YUV等格式的图像信号。在一些实施例中，电子设备可以包括1个或N个摄像头193，N为大于1的正整数。

数字信号处理器用于处理数字信号，除了可以处理数字图像信号，还可以处理其他数字信号。例如，当电子设备在频点选择时，数字信号处理器用于对频点能量进行傅里叶变换等。

视频编解码器用于对数字视频压缩或解压缩。电子设备可以支持一种或多种视频编解码器。这样，电子设备可以播放或录制多种编码格式的视频，例如：动态图像专家组(moving picture experts group，MPEG)1，MPEG2，MPEG3，MPEG4等。

NPU为神经网络(neural-network，NN)计算处理器，通过借鉴生物神经网络结构，例如借鉴人脑神经元之间传递模式，对输入信息快速处理，还可以不断的自学习。通过NPU可以实现电子设备的智能认知等应用，例如：图像识别，人脸识别，语音识别，文本理解等。

内部存储器121可以包括一个或多个随机存取存储器(random access memory，RAM)和一个或多个非易失性存储器(non-volatile memory，NVM)。

随机存取存储器可以包括静态随机存储器(static random-access memory，SRAM)、动态随机存储器(dynamic random access memory，DRAM)、同步动态随机存储器(synchronous dynamic random access memory,SDRAM)、双倍资料率同步动态随机存取存储器(double data rate synchronous dynamic random access memory,DDR SDRAM，例如第五代DDR SDRAM一般称为DDR5 SDRAM)等；

非易失性存储器可以包括磁盘存储器件、快闪存储器(flash memory)。

快闪存储器按照运作原理划分可以包括NOR FLASH、NAND FLASH、3D NAND FLASH等，按照存储单元电位阶数划分可以包括单阶存储单元(single-level cell,SLC)、多阶存储单元(multi-level cell,MLC)、三阶储存单元(triple-level cell,TLC)、四阶储存单元(quad-level cell,QLC)等，按照存储规范划分可以包括通用闪存存储(英文：universalflash storage，UFS)、嵌入式多媒体存储卡(embedded multi media Card，eMMC)等。

随机存取存储器可以由处理器110直接进行读写，可以用于存储操作系统或其他正在运行中的程序的可执行程序(例如机器指令)，还可以用于存储用户及应用程序的数据等。

非易失性存储器也可以存储可执行程序和存储用户及应用程序的数据等，可以提前加载到随机存取存储器中，用于处理器110直接进行读写。

外部存储器接口120可以用于连接外部的非易失性存储器，实现扩展电子设备的存储能力。外部的非易失性存储器通过外部存储器接口120与处理器110通信，实现数据存储功能。例如将音乐，视频等文件保存在外部的非易失性存储器中。

电子设备可以通过音频模块170，扬声器170A，受话器170B，麦克风170C，耳机接口170D，以及应用处理器等实现音频功能。例如音乐播放，录音等。

音频模块170用于将数字音频信息转换成模拟音频信号输出，也用于将模拟音频输入转换为数字音频信号。音频模块170还可以用于对音频信号编码和解码。在一些实施例中，音频模块170可以设置于处理器110中，或将音频模块170的部分功能模块设置于处理器110中。

扬声器170A，也称“喇叭”，用于将音频电信号转换为声音信号。电子设备可以通过扬声器170A收听音乐，或收听免提通话。

受话器170B，也称“听筒”，用于将音频电信号转换成声音信号。当电子设备接听电话或语音信息时，可以通过将受话器170B靠近人耳接听语音。

麦克风170C，也称“话筒”，“传声器”，用于将声音信号转换为电信号。当拨打电话或发送语音信息时，用户可以通过人嘴靠近麦克风170C发声，将声音信号输入到麦克风170C。电子设备可以设置至少一个麦克风170C。在另一些实施例中，电子设备可以设置两个麦克风170C，除了采集声音信号，还可以实现降噪功能。在另一些实施例中，电子设备还可以设置三个，四个或更多麦克风170C，实现采集声音信号，降噪，还可以识别声音来源，实现定向录音功能等。

耳机接口170D用于连接有线耳机。耳机接口170D可以是USB接口130，也可以是3.5mm的开放移动电子设备平台(open mobile terminal platform，OMTP)标准接口，美国蜂窝电信工业协会(cellular telecommunications industry association of the USA，CTIA)标准接口。

压力传感器180A用于感受压力信号，可以将压力信号转换成电信号。在一些实施例中，压力传感器180A可以设置于显示屏194。压力传感器180A的种类很多，如电阻式压力传感器，电感式压力传感器，电容式压力传感器等。电容式压力传感器可以是包括至少两个具有导电材料的平行板。当有力作用于压力传感器180A，电极之间的电容改变。电子设备根据电容的变化确定压力的强度。当有触摸操作作用于显示屏194，电子设备根据压力传感器180A检测所述触摸操作强度。电子设备也可以根据压力传感器180A的检测信号计算触摸的位置。在一些实施例中，作用于相同触摸位置，但不同触摸操作强度的触摸操作，可以对应不同的操作指令。例如：当有触摸操作强度小于第一压力阈值的触摸操作作用于短消息应用图标时，执行查看短消息的指令。当有触摸操作强度大于或等于第一压力阈值的触摸操作作用于短消息应用图标时，执行新建短消息的指令。

陀螺仪传感器180B可以用于确定电子设备的运动姿态。在一些实施例中，可以通过陀螺仪传感器180B确定电子设备围绕三个轴(即，x，y和z轴)的角速度。陀螺仪传感器180B可以用于拍摄防抖。示例性的，当按下快门，陀螺仪传感器180B检测电子设备抖动的角度，根据角度计算出镜头模组需要补偿的距离，让镜头通过反向运动抵消电子设备的抖动，实现防抖。陀螺仪传感器180B还可以用于导航，体感游戏场景。

气压传感器180C用于测量气压。在一些实施例中，电子设备通过气压传感器180C测得的气压值计算海拔高度，辅助定位和导航。

磁传感器180D包括霍尔传感器。电子设备可以利用磁传感器180D检测翻盖皮套的开合。在一些实施例中，当电子设备是翻盖机时，电子设备可以根据磁传感器180D检测翻盖的开合。进而根据检测到的皮套的开合状态或翻盖的开合状态，设置翻盖自动解锁等特性。

加速度传感器180E可检测电子设备在各个方向上(一般为三轴)加速度的大小。当电子设备静止时可检测出重力的大小及方向。还可以用于识别电子设备姿态，应用于横竖屏切换，计步器等应用。

距离传感器180F，用于测量距离。电子设备可以通过红外或激光测量距离。在一些实施例中，拍摄场景，电子设备可以利用距离传感器180F测距以实现快速对焦。

接近光传感器180G可以包括例如发光二极管(LED)和光检测器，例如光电二极管。发光二极管可以是红外发光二极管。电子设备通过发光二极管向外发射红外光。电子设备使用光电二极管检测来自附近物体的红外反射光。当检测到充分的反射光时，可以确定电子设备附近有物体。当检测到不充分的反射光时，电子设备可以确定电子设备附近没有物体。电子设备可以利用接近光传感器180G检测用户手持电子设备贴近耳朵通话，以便自动熄灭屏幕达到省电的目的。接近光传感器180G也可用于皮套模式，口袋模式自动解锁与锁屏。

环境光传感器180L用于感知环境光亮度。电子设备可以根据感知的环境光亮度自适应调节显示屏194亮度。环境光传感器180L也可用于拍照时自动调节白平衡。环境光传感器180L还可以与接近光传感器180G配合，检测电子设备是否在口袋里，以防误触。

指纹传感器180H用于采集指纹。电子设备可以利用采集的指纹特性实现指纹解锁，访问应用锁，指纹拍照，指纹接听来电等。

温度传感器180J用于检测温度。在一些实施例中，电子设备利用温度传感器180J检测的温度，执行温度处理策略。例如，当温度传感器180J上报的温度超过阈值，电子设备执行降低位于温度传感器180J附近的处理器的性能，以便降低功耗实施热保护。在另一些实施例中，当温度低于另一阈值时，电子设备对电池142加热，以避免低温导致电子设备异常关机。在其他一些实施例中，当温度低于又一阈值时，电子设备对电池142的输出电压执行升压，以避免低温导致的异常关机。

触摸传感器180K，也称“触控器件”。触摸传感器180K可以设置于显示屏194，由触摸传感器180K与显示屏194组成触摸屏，也称“触控屏”。触摸传感器180K用于检测作用于其上或附近的触摸操作。触摸传感器可以将检测到的触摸操作传递给应用处理器，以确定触摸事件类型。可以通过显示屏194提供与触摸操作相关的视觉输出。在另一些实施例中，触摸传感器180K也可以设置于电子设备的表面，与显示屏194所处的位置不同。

骨传导传感器180M可以获取振动信号。在一些实施例中，骨传导传感器180M可以获取人体声部振动骨块的振动信号。骨传导传感器180M也可以接触人体脉搏，接收血压跳动信号。在一些实施例中，骨传导传感器180M也可以设置于耳机中，结合成骨传导耳机。音频模块170可以基于所述骨传导传感器180M获取的声部振动骨块的振动信号，解析出语音信号，实现语音功能。应用处理器可以基于所述骨传导传感器180M获取的血压跳动信号解析心率信息，实现心率检测功能。

按键190包括开机键，音量键等。按键190可以是机械按键。也可以是触摸式按键。电子设备可以接收按键输入，产生与电子设备的用户设置以及功能控制有关的键信号输入。

马达191可以产生振动提示。马达191可以用于来电振动提示，也可以用于触摸振动反馈。例如，作用于不同应用(例如拍照，音频播放等)的触摸操作，可以对应不同的振动反馈效果。作用于显示屏194不同区域的触摸操作，马达191也可对应不同的振动反馈效果。不同的应用场景(例如：时间提醒，接收信息，闹钟，游戏等)也可以对应不同的振动反馈效果。触摸振动反馈效果还可以支持自定义。

指示器192可以是指示灯，可以用于指示充电状态，电量变化，也可以用于指示消息，未接来电，通知等。

SIM卡接口195用于连接SIM卡。SIM卡可以通过插入SIM卡接口195，或从SIM卡接口195拔出，实现和电子设备的接触和分离。电子设备可以支持1个或N个SIM卡接口，N为大于1的正整数。SIM卡接口195可以支持Nano SIM卡，Micro SIM卡，SIM卡等。同一个SIM卡接口195可以同时插入多张卡。所述多张卡的类型可以相同，也可以不同。SIM卡接口195也可以兼容不同类型的SIM卡。SIM卡接口195也可以兼容外部存储卡。电子设备通过SIM卡和网络交互，实现通话以及数据通信等功能。在一些实施例中，电子设备采用eSIM，即：嵌入式SIM卡。eSIM卡可以嵌在电子设备中，不能和电子设备分离。

图9A、图9B为本申请实施例提供的电子设备软件架构的一个示例性示意图。

电子设备的软件系统可以采用分层架构，事件驱动架构，微核架构，微服务架构，或云架构。本申请实施例以linux系统为例，示例性说明电子设备的软件结构。

如图9A和图9B所示，linux系统可以包括用户层和内核层。其中用户层也可以称为用户态或用户空间，内核层也可以称为内核态或内核空间。

linux系统还可以包括系统调用，系统调用可以为操作系统的最小功能单位。linux系统还可以包括Shell，Shell可以称为命令解释器，可以为用户提供图形化窗口。

如图9A所示，内核层还包括进程管理模块和linux安全模块。应用程序在启动后，会调用setresuid()系统调用。在setresuid()系统调用中包括LSM中插入的钩子函数。在钩子函数中，电子设备会执行可执行权限检查，判断当前登录的账户与当前被启动应用程序的可执行权限是否匹配。若当前登录的账户与当前被启动应用程序的可执行权限匹配，则继续由进程管理模块继续进程特化；若当前登录的账户与当前被启动应用程序的可执行权限匹配，则中断当前进程特化的过程。

如图9B所示，内核层还包括进程管理模块。应用程序在启动后，会由内核层的进程管理模块开始进程特化，并在开始进程特化后执行可执行权限检查，判断当前登录的账户与当前被启动应用程序的可执行权限是否匹配。若当前登录的账户与当前被启动应用程序的可执行权限匹配，则继续由进程管理模块继续进程特化；若当前登录的账户与当前被启动应用程序的可执行权限匹配，则中断当前进程特化的过程。

图9C为本申请实施例提供的电子设备软件架构的一个示例性示意图。

一些实施例中，将Android系统分为四层，从上至下分别为应用程序层，应用程序框架层，安卓运行时(Android runtime)和系统库，以及内核层。

应用程序层可以包括一系列应用程序包。

如图9C所示，应用程序包可以包括相机，图库，日历，通话，地图，导航，WLAN，蓝牙，音乐，视频，短信息等应用程序。

应用程序框架层为应用程序层的应用程序提供应用编程接口(applicationprogramming interface，API)和编程框架。应用程序框架层包括一些预先定义的函数。

如图9C所示，应用程序框架层可以包括窗口管理器，内容提供器，视图系统，电话管理器，资源管理器，通知管理器等。

窗口管理器用于管理窗口程序。窗口管理器可以获取显示屏大小，判断是否有状态栏，锁定屏幕，截取屏幕等。

内容提供器用来存放和获取数据，并使这些数据可以被应用程序访问。所述数据可以包括视频，图像，音频，拨打和接听的电话，浏览历史和书签，电话簿等。

视图系统包括可视控件，例如显示文字的控件，显示图片的控件等。视图系统可用于构建应用程序。显示界面可以由一个或多个视图组成的。例如，包括短信通知图标的显示界面，可以包括显示文字的视图以及显示图片的视图。

电话管理器用于提供电子设备的通信功能。例如通话状态的管理(包括接通，挂断等)。

资源管理器为应用程序提供各种资源，比如本地化字符串，图标，图片，布局文件，视频文件等等。

通知管理器使应用程序可以在状态栏中显示通知信息，可以用于传达告知类型的消息，可以短暂停留后自动消失，无需用户交互。比如通知管理器被用于告知下载完成，消息提醒等。通知管理器还可以是以图表或者滚动条文本形式出现在系统顶部状态栏的通知，例如后台运行的应用程序的通知，还可以是以对话窗口形式出现在屏幕上的通知。例如在状态栏提示文本信息，发出提示音，电子设备振动，指示灯闪烁等。

Android Runtime包括核心库和虚拟机。Android runtime负责安卓系统的调度和管理。

核心库包含两部分：一部分是java语言需要调用的功能函数，另一部分是安卓的核心库。

应用程序层和应用程序框架层运行在虚拟机中。虚拟机将应用程序层和应用程序框架层的java文件执行为二进制文件。虚拟机用于执行对象生命周期的管理，堆栈管理，线程管理，安全和异常的管理，以及垃圾回收等功能。

系统库可以包括多个功能模块。例如：表面管理器(surface manager)，媒体库(Media Libraries)，三维图形处理库(例如：OpenGL ES)，2D图形引擎(例如：SGL)等。

表面管理器用于对显示子系统进行管理，并且为多个应用程序提供了2D和3D图层的融合。

媒体库支持多种常用的音频，视频格式回放和录制，以及静态图像文件等。媒体库可以支持多种音视频编码格式，例如:MPEG4，H.264，MP3，AAC，AMR，JPG，PNG等。

三维图形处理库用于实现三维图形绘图，图像渲染，合成，和图层处理等。

2D图形引擎是2D绘图的绘图引擎。

内核层是硬件和软件之间的层。内核层至少包含显示驱动，摄像头驱动，音频驱动，传感器驱动。

内核层还包括决策模块。其中，决策模块用于判断当前登录的账户与当前被启动应用程序的可执行权限是否匹配。若当前登录的账户与当前被启动应用程序的可执行权限匹配，则继续由进程管理模块继续进程特化；若当前登录的账户与当前被启动应用程序的可执行权限匹配，则中断当前进程特化的过程。

上述实施例中所用，根据上下文，术语“当…时”可以被解释为意思是“如果…”或“在…后”或“响应于确定…”或“响应于检测到…”。类似地，根据上下文，短语“在确定…时”或“如果检测到(所陈述的条件或事件)”可以被解释为意思是“如果确定…”或“响应于确定…”或“在检测到(所陈述的条件或事件)时”或“响应于检测到(所陈述的条件或事件)”。

在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。该计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行该计算机程序指令时，全部或部分地产生按照本申请实施例该的流程或功能。该计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。该计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，该计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线)或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。该计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。该可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如DVD)、或者半导体介质(例如固态硬盘)等。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，该流程可以由计算机程序来指令相关的硬件完成，该程序可存储于计算机可读取存储介质中，该程序在执行时，可包括如上述各方法实施例的流程。而前述的存储介质包括：ROM或随机存储记忆体RAM、磁碟或者光盘等各种可存储程序代码的介质。

Claims (17)

1.一种账户间应用隔离的方法，其特征在于，应用于支持多账户的电子设备，所述方法包括：

登录第一账户，所述多账户包括所述第一账户；

响应于第一操作，在应用程序的启动过程中基于权限检查表判断第一应用程序的可执行权限是否与所述第一账户匹配，所述第一操作用于启动所述第一应用程序，所述权限检查表包括应用程序的可执行权限与所述多账户的对应关系；

若所述第一应用程序的可执行权限与所述第一账户匹配，则继续启动所述第一应用程序；

若所述第一应用程序的可执行权限与所述第一账户不匹配，则终止启动所述第一应用程序。

2.根据权利要求1所述的方法，其特征在于，所述响应于第一操作，在应用程序的启动过程中基于权限检查表判断第一应用程序的可执行权限是否与所述第一账户匹配，具体包括：

响应于所述第一操作，在应用程序的进程特化过程中基于所述权限检查表判断所述第一应用程序的可执行权限是否与所述第一账户匹配，所述应用程序的进程特化过程属于所述应用程序的启动过程。

3.根据权利要求2所述的方法，其特征在于，在应用程序的进程特化过程中基于权限检查表判断第一应用程序的可执行权限是否与所述第一账户匹配，具体包括：

在应用程序的进程特化过程中，通过钩子函数由linux安全模块基于所述权限检查表判断所述第一应用程序的可执行权限是否与所述第一账户匹配。

4.根据权利要求2所述的方法，其特征在于，在应用程序的进程特化过程中基于权限检查表判断第一应用程序的可执行权限是否与所述第一账户匹配，具体包括：

在应用程序的进程特化过程中，由linux进程管理模块基于所述权限检查表判断所述第一应用程序的可执行权限是否与所述第一账户匹配。

5.根据权利要求3所述的方法，其特征在于，所述钩子函数位于setresuid系统调用中。

6.根据权利要求1-5中任一项所述的方法，其特征在于，所述权限检查表以哈希链表的形式存储应用程序的可执行权限与所述多账户的对应关系。

7.根据权利要求6所述的方法，其特征在于，所述哈希链表的关键字为账户标识。

8.一种电子设备，其特征在于，所述电子设备包括：一个或多个处理器和存储器；

所述存储器与所述一个或多个处理器耦合，所述存储器用于存储计算机程序代码，所述计算机程序代码包括计算机指令，所述一个或多个处理器调用所述计算机指令以使得所述电子设备执行：登录第一账户，所述多账户包括所述第一账户；响应于第一操作，在应用程序的启动过程中基于权限检查表判断第一应用程序的可执行权限是否与所述第一账户匹配，所述第一操作用于启动所述第一应用程序，所述权限检查表包括应用程序的可执行权限与所述多账户的对应关系；若所述第一应用程序的可执行权限与所述第一账户匹配，则继续启动所述第一应用程序；若所述第一应用程序的可执行权限与所述第一账户不匹配，则终止启动所述第一应用程序。

9.根据权利要求8所述的电子设备，其特征在于，所述一个或多个处理器具体用于调用：所述响应于第一操作，在应用程序的进程特化过程中基于权限检查表判断第一应用程序的可执行权限是否与所述第一账户匹配，所述应用程序的进程特化过程属于所述应用程序的启动过程。

10.根据权利要求9所述的电子设备，其特征在于，所述一个或多个处理器具体用于调用：在应用程序的进程特化过程中，通过钩子函数由linux安全模块基于权限检查表判断第一应用程序的可执行权限是否与所述第一账户匹配。

11.根据权利要求9所述的电子设备，其特征在于，所述一个或多个处理器具体用于调用：在应用程序的进程特化过程中，由linux进程管理模块基于权限检查表判断第一应用程序的可执行权限是否与所述第一账户匹配。

12.根据权利要求10所述的电子设备，其特征在于，所述钩子函数位于setresuid系统调用中。

13.根据权利要求8-12中任一项所述的电子设备，其特征在于，所述权限检查表以哈希链表的形式存储应用程序的可执行权限与所述多账户的对应关系。

14.根据权利要求13所述的电子设备，其特征在于，所述哈希链表的关键字为账户标识。

15.一种芯片系统，其特征在于，所示所述芯片系统应用于电子设备，所述芯片系统包括一个或多个处理器，所述处理器用于调用计算机指令以使得所述电子设备执行如权利要求1至7中任一项所述的方法。

16.一种计算机可读存储介质，包括指令，其特征在于，当所述指令在电子设备上运行时，使得所述电子设备执行如权利要求1至7中任一项所述的方法。

17.一种计算机程序产品，包括计算机指令，其特征在于，当所述计算机指令被一个或多个处理器执行时实现如权利要求1至7中任一项所述的方法。