CN118260743A - 一种特权操作执行方法和电子设备 - Google Patents

Abstract

本申请实施例公开了一种特权操作执行方法和电子设备，涉及智能设备领域，能够提高电子设备的操作系统安全性。具体方案为：获取来自第一应用进程的特权操作请求；特权操作请求携带有第一应用进程的特征参数和指示第一特权操作的第一操作码，特权操作请求用于请求执行第一特权操作；对特征参数和第一操作码进行校验；在对特征参数和第一操作码校验成功的情况下，执行第一特权操作。

Description

一种特权操作执行方法和电子设备

技术领域

本申请涉及智能设备领域，尤其涉及一种特权操作执行方法和电子设备。

背景技术

目前，在电子设备中，为了方便实现应用功能，往往需要赋予某些应用程序非常大的权限能力，甚至使用根权限(root权限)。但是，在赋予应用程序较大的权限后，一旦这些应用程序出现漏洞或被恶意攻击，则会导致电子设备的整个操作系统的权限泄露，进而造成信息泄露或操作系统被攻占，最终结果是电子设备的安全防护措施失效。

发明内容

本申请实施例提供一种特权操作执行方法和电子设备，能够提高电子设备的操作系统安全性。

为达到上述目的，本申请的实施例采用如下技术方案：

第一方面，本申请提供了一种电子设备，该设备可以包括：存储器和控制器。其中，控制器被配置为：获取来自第一应用进程的特权操作请求；特权操作请求携带有第一应用进程的特征参数和指示第一特权操作的第一操作码，特权操作请求用于请求执行第一特权操作；对特征参数和第一操作码进行校验；在对特征参数和第一操作码校验成功的情况下，执行第一特权操作。

在第一方面的一种可能的实现方式中，控制器具体被配置为：在特权操作请求中携带有预设分组权限的标识的情况下，对该特征参数和该第一操作码进行校验。

在第一方面的一种可能的实现方式中，控制器还被配置为：在特权操作请求中未携带有预设分组权限的标识的情况下，则向第一应用进程发送第一拒绝响应；第一拒绝响应用于指示拒绝处理第一特权操作。

在第一方面的一种可能的实现方式中，控制器具体被配置为：通过第一管道接口接收来自第一应用进程的特权操作请求；第一管道接口与预设分组权限的标识对应。

在第一方面的一种可能的实现方式中，特征参数包括第一进程识别号PI D；控制器具体被配置为：在存储器中存储第一校验文件的情况下，根据第一PI D确定第一应用进程的标准校验文件参数，并利用标准校验文件参数对第一校验文件的参数进行校验；第一校验文件由第一应用进程在发送特权操作请求时生成；标准校验文件参数至少包括：名称、权限、内容格式；在利用标准校验文件参数对第一校验文件的参数校验成功的情况下，根据第一PI D确定第一应用进程所属的第一应用的应用名称；根据应用名称确定与第一应用进程对应的至少一个可用操作码；若第一操作码属于至少一个可用操作码中的一个，则确定对特征参数和第一操作码校验成功；若第一操作码不属于至少一个可用操作码中的一个，则确定对特征参数和第一操作码校验失败。

在第一方面的一种可能的实现方式中，特征参数还包括第一随机码，第一校验文件中包括有第二PI D、第二操作码和第二随机码。该控制器具体被配置为：在利用标准校验文件参数对第一校验文件的参数校验成功的情况下，若第二PI D和第一PI D相同，第二操作码和第一操作码相同且第二随机码和第一随机码相同，则根据第一PI D确定第一应用进程所属的第一应用的应用名称。

在第一方面的一种可能的实现方式中，控制器还被配置为：在利用标准校验文件参数对第一校验文件的参数校验成功的情况下，若第二PI D和第一PI D不同，和/或第二操作码和第一操作码不同,和/或第二随机码和第一随机码不同，则确定对特征参数和第一操作码校验失败。

第二方面，本申请提供了一种特权操作执行方法，应用于电子设备。该方法可以包括：获取来自第一应用进程的特权操作请求；特权操作请求携带有第一应用进程的特征参数和指示第一特权操作的第一操作码，特权操作请求用于请求执行第一特权操作；对特征参数和第一操作码进行校验；在对特征参数和第一操作码校验成功的情况下，执行第一特权操作。

在第二方面的一种可能的实现方式中，对特征参数和第一操作码进行校验包括：在特权操作请求中携带有预设分组权限的标识的情况下，对特征参数和第一操作码进行校验。

在第二方面的一种可能的实现方式中，该方法还包括：在特权操作请求中未携带有预设分组权限的标识的情况下，则向第一应用进程发送第一拒绝响应；第一拒绝响应用于指示拒绝处理第一特权操作。

在第二方面的一种可能的实现方式中，获取来自第一应用进程的特权操作请求，包括：通过第一管道接口接收来自第一应用进程的特权操作请求；第一管道接口与预设分组权限的标识对应。

在第二方面的一种可能的实现方式中，特征参数包括第一进程识别号PI D；对特征参数和第一操作码进行校验，包括：在存储有第一校验文件的情况下，根据第一PI D确定第一应用进程的标准校验文件参数，并利用标准校验文件参数对第一校验文件的参数进行校验；第一校验文件由第一应用进程在发送特权操作请求时生成；标准校验文件参数至少包括：名称、权限、内容格式；在利用标准校验文件参数对第一校验文件的参数校验成功的情况下，根据第一PI D确定第一应用进程所属的第一应用的应用名称；根据应用名称确定与第一应用进程对应的至少一个可用操作码；若第一操作码属于至少一个可用操作码中的一个，则确定对特征参数和第一操作码校验成功；若第一操作码不属于至少一个可用操作码中的一个，则确定对特征参数和第一操作码校验失败。

在第二方面的一种可能的实现方式中，特征参数还包括第一随机码，第一校验文件中包括有第二PI D、第二操作码和第二随机码；在利用标准校验文件参数对第一校验文件的参数校验成功的情况下，根据第一PI D确定第一应用进程所属的第一应用的应用名称，包括：在利用标准校验文件参数对第一校验文件的参数校验成功的情况下，若第二PI D和第一PI D相同，第二操作码和第一操作码相同且第二随机码和第一随机码相同，则根据第一PI D确定第一应用进程所属的第一应用的应用名称。

在第二方面的一种可能的实现方式中，对特征参数和第一操作码进行校验还包括：在利用标准校验文件参数对第一校验文件的参数校验成功的情况下，若第二PI D和第一PI D不同，和/或第二操作码和第一操作码不同,和/或第二随机码和第一随机码不同，则确定对特征参数和第一操作码校验失败。

第三方面，提供了一种电子设备，该电子设备具有实现上述第二方面所述的方法的功能。该功能可以通过硬件实现，也可以通过硬件执行相应的软件实现。该硬件或软件包括一个或多个与上述功能相对应的模块。

第四方面，提供了一种电子设备，包括：处理器和存储器；该存储器用于存储计算机指令，当该电子设备运行时，该处理器执行该存储器存储的该计算机指令，以使该电子设备执行如上述第二方面中任一项所述的特权操作执行方法。

第五方面，提供了一种计算机可读存储介质，该计算机可读存储介质中存储有指令，当其在电子设备上运行时，使得电子设备可以执行上述第二方面中任一项所述的特权操作执行方法。

第六方面，提供了一种包含计算机指令的计算机程序产品，当计算机指令在电子设备上运行时，使得电子设备可以执行上述第二方面中任一项所述的特权操作执行方法。

第七方面，提供了一种装置(例如，该装置可以是芯片系统)，该装置包括处理器，用于支持电子设备实现上述第二方面中所涉及的功能。在一种可能的设计中，该装置还包括存储器，该存储器，用于保存显示设备必要的程序指令和数据。该装置是芯片系统时，可以由芯片构成，也可以包含芯片和其他分立器件。

基于本申请实施例提供的技术方案，电子设备不会给其上的应用程序分配高级权限(例如root权限)。在某些应用进程(例如第一应用进程)需要执行一些高级权限(例如root权限)对应的特权操作时，电子设备(具体可以是电子设备中的超级服务)在获取到该应用进程的特权操作请求后，会根据预定的规则对其中包含的指示应用进程特征的特征参数以及指示该应用进程需要执行的特权操作的操作码进行校验，只有校验成功后，才会执行相应的特权操作。可以看出，在该技术方案中，应用进程本身将无法直接执行特权操作，电子设备会对其特权操作请求中的信息进行校验后才会代为执行特权操作。这样一来，在可以执行应用进程所需要执行的特权操作的基础上，电子设备的操作系统不需要将高级权限赋予给应用程序，也就避免了因为应用程序本身的漏洞导致电子设备的操作系统信息泄露或者被攻占的安全问题，提高了电子设备的操作系统安全性。

附图说明

图1为本申请实施例提供的一种特权操作执行方法的原理示意图；

图2为本申请实施例提供的一种电子设备的控制场景示意图；

图3为本申请实施例提供的一种控制装置的结构示意图；

图4为本申请实施例提供的一种电子设备的结构示意图；

图5为本申请实施例提供的一种电子设备的软件结构示意图；

图6为本申请实施例提供的一种超级服务使用场景示意图；

图7为本申请实施例提供的一种特权操作执行方法的流程示意图一；

图8为本申请实施例提供的一种特权操作执行方法的流程示意图二；

图9为本申请实施例提供的一种特权操作执行方法的流程示意图三；

图10为本申请实施例提供的一种特权操作执行方法的流程示意图四；

图11为本申请实施例提供的一种特权操作执行方法的流程示意图五；

图12为本申请实施例提供的一种特权操作执行方法的流程示意图六；

图13为本申请实施例提供的一种特权操作执行方法的流程示意图七；

图14为本申请实施例提供的一种特权操作执行方法的流程示意图八；

图15为本申请实施例提供的一种特权操作执行装置的结构示意图；

图16为本申请实施例提供的另一种电子设备的结构示意图。

具体实施方式

为使本申请的目的和实施方式更加清楚，下面将结合本申请示例性实施例中的附图，对本申请示例性实施方式进行清楚、完整地描述，显然，描述的示例性实施例仅是本申请一部分实施例，而不是全部的实施例。

需要说明的是，本申请中对于术语的简要说明，仅是为了方便理解接下来描述的实施方式，而不是意图限定本申请的实施方式。除非另有说明，这些术语应当按照其普通和通常的含义理解。

本申请中说明书和权利要求书及上述附图中的术语“第一”、“第二”、“第三”等是用于区别类似或同类的对象或实体，而不必然意味着限定特定的顺序或先后次序，除非另外注明。应该理解这样使用的用语在适当情况下可以互换。

本申请中术语“包括”和“具有”以及他们的任何变形，意图在于覆盖但不排他的包含，例如，包含了一系列组件的产品或设备不必限于清楚地列出的所有组件，而是可包括没有清楚地列出的或对于这些产品或设备固有的其它组件。

本申请中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。另外，本公开中字符“/”，一般表示前后关联对象是一种“或”的关系。

基于本申请描述的示例性实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本申请所附权利要求保护的范围。此外，虽然本申请中公开内容按照示范性一个或几个实例来介绍，但应理解，可以就这些公开内容的各个方面也可以单独构成一个完整实施方式。需要说明的是，本申请中对于术语的简要说明，仅是为了方便理解接下来描述的实施方式，而不是意图限定本申请的实施方式。除非另有说明，这些术语应当按照其普通和通常的含义理解。

目前，在智能电视中，为了方便实现应用功能，往往需要赋予某些应用程序非常大的权限能力，甚至使用root超级权限。但是，在赋予应用程序较大的权限后，一旦这些应用程序出现漏洞或被恶意攻击，则会导致智能电视的整个操作系统的权限泄露，进而造成信息泄露或操作系统被攻占，最终结果是智能电视的安全防护措施失效。

针对该问题，目前行业内的做法为：保留几个核心应用程序的特权能力(例如root权限)，将普通应用程序的能力权限降低。这样可以在一定程度上降低操作系统权限泄露的风险。但是，这种方法不够彻底，保留有特权能力的核心应用程序若出现漏洞被恶意攻击，电子设备的操作系统权限仍然存在泄漏的风险，进而导致一定的系统安全隐患，降低了用户的使用体验。

基于此，参照图1所示，本申请实施例提供一种特权操作执行方法，该方法可以应用于电子设备，具体可以由电子设备中的超级服务实施。在该技术方案中，电子设备可以不给任何应用程序赋予涉及到操作系统安全的高级权限。在某个应用进程(第一应用进程，后续以此为例)需要执行某个特权操作(例如第一特权操作)时，其可以向电子设备中的超级服务发送特权操作请求。该特权操作请求中可以携带有第一应用进程的特征参数和指示第一特权操作的第一操作码。超级服务在获取到来自第一应用进程的特权操做请求后，可以首先对该特征参数和第一操作码进行校验，只有校验成功的情况下，才会由超级服务代为执行该第一特权操作。这样一来，在可以执行应用进程所需要执行的特权操作的基础上，电子设备的操作系统不需要将高级权限赋予给应用程序，也就避免了因为应用程序本身的漏洞导致电子设备的操作系统信息泄露或者被攻占的安全问题，提高了电子设备的安全性。

下面结合附图对本申请提供的特权操作执行方法进行详细描述。

本申请实施方式提供的电子设备可以具有多种实施形式，例如，可以是电视机、智能电视、激光投影设备、电子白板(e lectron ic bu l let in board)、电子桌面(electron ic tab le)等安装有应用程序的电子设备。本申请实施例在此对电子设备的具体形态不做限制。本申请实施例中以电子设备为电视机为例进行示意说明。

实际中，电子设备中的应用进程可以是主动要求执行特权操作，也可以是响应于用户的触发操作从而要求执行特权操作的。其中，该触发操作可以是在电子设备上直接操作实现，也可以是通过控制装置控制电子设备实现的。

以电子设备为电视机为例，图2为根据实施例中电子设备与控制装置之间操作场景的示意图。如图2所示，用户可通过智能设备300或控制装置100操作电视机200。

在一些实施例中，控制装置100可以是遥控器，遥控器和电视机200的通信包括红外协议通信，及其他短距离通信方式，通过无线或有线方式来控制电视机200。用户可以通过遥控器上按键、语音输入、控制面板输入等输入用户指令，来控制电视机200。

需要说明的是，本申请实施例中电视机200和控制装置100之间可以采用红外协议通信，也可以采用其他通信协议通信。本申请实施例对电视机200和控制装置100之间的通信协议不作限制。

在一些实施例中，用户也可以使用智能设备300(如移动终端、平板电脑、计算机、笔记本电脑等)控制电视机200。例如，使用在智能设备上运行的应用程序控制显示设备200。

在一些实施例中，智能设备300和电视机200上可以安装相同或者相互匹配的软件应用，从而实现通过网络协议进行连接通信，进而实现一对一控制操作和数据通信的目的。这种情况下，智能设备300上显示的音视频内容还可以传输到电视机200上，实现同步显示功能。

在一些实施例中，电视机200可以不使用上述的智能设备300或控制装置100接收指令，而是通过触摸或者手势等接收用户的控制。

在一些实施例中，电视机200还可以采用除了控制装置100和智能设备300之外的方式进行控制，例如，可以通过电视机200设备内部配置的获取语音指令的模块直接接收用户的语音指令控制，也可以通过电视机200设备外部设置的语音控制设备来接收用户的语音指令控制。

图3示例性示出了一种可能的控制装置100的配置框图。如图3所示，控制装置100包括控制器110、通信接口130、用户输入/输出接口140、存储器、供电电源。控制装置100可接收用户的输入操作指令(例如语音指令)，且将操作指令转换为电视机200可识别和响应的指令，起到用户与电视机200之间交互中介作用。

示例地，以电子设备为电视机为例，图4示出了本申请实施例提供的一种电视机的结构示意图。

如图4，电视机200包括调谐解调器210、通信器220、检测器230、外部装置接口240、控制器250、显示器260、音频输出接口270、存储器、供电电源、用户接口中的至少一种。

在一些实施例中控制器包括处理器，视频处理器，音频处理器，图形处理器，RAM，ROM，用于输入/输出的第一接口至第n接口。

显示器260包括用于呈现画面的显示屏组件，以及驱动图像显示的驱动组件，用于接收源自控制器输出的图像信号，进行显示视频内容、图像内容以及菜单操控界面的组件以及用户操控用户界面(Use I nterface，UI)。

显示器260可为液晶显示器、OLED显示器、以及投影显示器，还可以为一种投影装置和投影屏幕。

通信器220是用于根据各种通信协议类型与外部设备或服务器进行通信的组件。例如：通信器可以包括Wifi模块，蓝牙模块，有线以太网模块等其他网络通信协议芯片或近场通信协议芯片，以及红外接收器中的至少一种。电视机200可以通过通信器220与控制装置100或智能设备300建立控制信号和数据信号的发送和接收。

用户接口，可用于接收控制装置200(如：红外遥控器等)或智能设备3的控制信号。

检测器230用于采集外部环境或与外部交互的信号。例如，检测器230包括光接收器，用于采集环境光线强度的传感器；或者，检测器230包括图像采集器，如摄像头，可以用于采集外部环境场景、用户的属性或用户交互手势，再或者，检测器230包括声音采集器，如麦克风等，用于接收外部声音。

外部装置接口240可以包括但不限于如下：高清多媒体接口接口(HDMI)、模拟或数据高清分量输入接口(分量)、复合视频输入接口(CVBS)、USB输入接口(USB)、RGB端口等任一个或多个接口。也可以是上述多个接口形成的复合性的输入/输出接口。

调谐解调器210通过有线或无线接收方式接收广播电视信号，以及从多个无线或有线广播电视信号中解调出音视频信号，如以及EPG数据信号。

在一些实施例中，控制器250和调谐解调器210可以位于不同的分体设备中，即调谐解调器210也可在控制器250所在的主体设备的外置设备中，如外置机顶盒等。

控制器250，通过存储在存储器上中各种软件控制程序和操作系统中的各类服务，来控制电视机200的工作和响应用户的操作。控制器250控制显示设备01的整体操作。例如：控制器250可以控制电子机中的超级服务接收应用进程发送的特权操作请求，并对其中携带的应用进程的特征参数和指示特权操作的操作码进行校验，校验成功后，则由超级服务执行该第一特权操作。

在一些实施例中控制器包括中央处理器(Centra l Process ing Un it，CPU)，视频处理器，音频处理器，图形处理器(Graph ics Process ing Un it，GPU)，RAM RandomAccess Memory，RAM)，ROM(Read-On ly Memory,ROM)，用于输入/输出的第一接口至第n接口，通信总线(Bus)等中的至少一种。

用户可在显示器260上显示的图形用户界面(GUI)输入用户命令，则用户输入接口通过图形用户界面(GUI)接收用户输入命令。或者，用户可通过输入特定的声音或手势进行输入用户命令，则用户输入接口通过传感器识别出声音或手势，来接收用户输入命令。

“用户界面U I”，是应用程序或操作系统与用户之间进行交互和信息交换的介质接口，它实现信息的内部形式与用户可以接受形式之间的转换。用户界面常用的表现形式是图形用户界面(Graph ic User I nterface，GUI)，是指采用图形方式显示的与计算机操作相关的用户界面。它可以是在显示设备的显示屏中显示的一个图标、窗口、控件等界面元素，其中控件可以包括图标、按钮、菜单、选项卡、文本框、对话框、状态栏、导航栏、Widget等可视的界面元素中的至少一种。

可以理解的是，一般而言，电子设备功能的实现除了需要上述硬件的支持外，还需要软件的配合。

在一些实施例中，以电子设备为电视机为例，参照图5所示，可以将电视机的操作系统分为三层，由上至下依次为UI层、服务框架(service framework)层(也可以称为系统运行库层)和平台(p l atform)层(也可以称为内核层)。

其中，UI层具体可以包括有至少一个本地应用程序(nat ive APP)、至少一个万维网应用程序(web APPs)、应用程序框架(APP(Application，应用程序)framework)和桌面启动器l auncher。在一些实施例中，应用程序框架可以为单独的一层即应用程序框架层，本地应用和万维网应用以及桌面启动器(或者桌面应用)可以同属于位于应用程序框架层的上一层——应用程序层(此时电视机的操作系统被分为四层)，具体划分方式本申请不做具体限制。

本地应用程序可以是操作系统自带的窗口(Window)程序、系统设置程序或时钟程序等；万维网应用程序则可以是是第三方开发者所开发的任意应用程序。在具体实施时，UI层中的APP不限于以上举例。

应用程序框架为应用程序提供应用编程接口(app l icat ion programminginterface，API)和编程框架。应用程序框架层包括一些预先定义的函数或服务。应用程序框架层相当于一个处理中心，这个中心决定让UI层中的应用程序(本地应用或web应用或桌面启动器)做出动作。应用程序通过API接口，可在执行中访问系统中的资源和取得系统的服务。

如图5所示，本申请实施例中应用程序框架提供应用程序业务相关的基础服务，有少量的通用基础库或进程以及大量的逻辑操作接口。示例性的，应用程序框架中可以包括有应用引擎(engine)，系统API、媒体后端(med ia backend)、数据版权管理后端(DRM(digita l r ights Management)backend)。其中，应用引擎主要用于对应用程序功能的控制。系统API则用于为应用程序提供操作系统接收或者支持的函数或服务。媒体后端主要用于管理任意应用程序播放多媒体资源的需求。数据版权管理后端则用于对任意具有数据版权的文件进行管理。

在一些实施例中，桌面启动器主要用于对电视机的显示界面进行控制管理，其可以控制电视机的显示界面中显示应用商店(APP store)、标准化推荐(recomm andat ion)和搜索(search)等内容。

在一些实施例中，服务框架层用于为上层即UI层提供支撑，当UI层被使用时，操作系统会运行服务框架层中包含的各类库或者各类服务以实现框架层要实现的功能。服务框架层用于提供软件平台所需的基础服务，其具体可以根据基础服务功能的不同划分为各个进程服务(ProcessService)，并提供上层调用接口或者网络服务器接口。

为了实现本申请实施例所提供的技术方案，该电视机中可以存在有超级服务(SuperService)。该超级服务在电视机开机的情况下主动运行，且具备操作系统最高的root权限。

应用程序的应用进程在有些时候可能需要执行特定的操作，而这些特定的操作若需要操作系统比较高级的权限(例如root权限)时，可以将该特定的操作称为特权操作。在某个应用进程需要执行某个特权操作时，其需要向超级服务发送特权操作请求。该特权操作带有该应用进程的相关信息(例如特征参数)以及指示该特权操作的操作码。超级服务在对该特权操作请求中携带的信息校验成功后，则代为执行该应用进程请求的特权操作。该超级服务可以如图5所示，单独存在于服务框架层和平台层之间。也可以存在于服务框架层中。

示例性的，参照图6所示，以实际中可能存在的四种场景对超级服务的实现进行简要说明。

第一种场景：对于酒店房间的电视机而言，酒店管理员在通过某台电视机(例如电视A)的设置(sett ing)菜单(相应功能或接口可以在应用程序框架中)调试好电视A后，需要将调试好的参数分发到所有酒店房间中的电视中，该操作具体可以称为克隆配置(CloneConfig)。该克隆配置具体由电视机中的特定应用(具体为设置菜单对应的设置应用)实施。

具体的，管理员在调试好电视A后，可以利用U盘(或者任意可行存储介质)将配置文件拷贝下后，再导入至其他电视中，由其他电视中的设置应用进行配置。其他电视中设置应用的工作过程可以包括有：1)接收来自U盘的各种配置文件；2)拷贝配置文件到相应的系统位置；3)设定配置文件的权限；4)变更操作系统的某些设定。

电视A和其他电脑的设置应用进行克隆配置的过程中，拷贝配置文件和设定配置文件权限属于需要操作系统高级权限特权操作。为了保证操作系统的安全性，所有应用程序或者服务均没有特权操作对应的权限，所以参照图6所示，为了实现克隆配置操作，设置应用(具体可以是设置应用的应用进程)需要向超级服务发送请求克隆配置操作(具体可以是克隆配置中的任一个特权操作)的特权操作请求。超级服务对该特权操作请求中的信息校验成功后，则代为执行克隆配置操作。这样，便利用超级服务实现了隔离执行。具体如何校验在后续实施例中具体说明，此处不做具体阐述，后续三种场景同理。

第二种场景，电视机的服务框架层中的基础业务服务进程(也可称为应用进程)ProcessA，会监控操作系统的内存余量，当内存余量较少时，执行清除缓存(DropCache)操作，此操作需要root权限，为特权操作。

参照图6所示，为了实现清除缓存操作，ProcessA需要向超级服务发送请求清除缓存操作的特权操作请求。超级服务对该特权操作请求中的信息校验成功后，则代为执行清除缓存操作。这样，便利用超级服务实现了清除缓存操作的执行与ProcessA分离，这样既保证了清除缓存操作的功能实现，又将ProcessA的能力权限降低到安全可控状态。

第三种场景：电视机的服务框架层中的基础业务服务进程ProcessB，会定期执行系统分区空间碎片整理的任务——碎片整理(SysTr im)。碎片整理是操作系统非常底层的技术实现，需要对分区执行数据块级别迁移操作，要求具有root权限才能执行。

参照图6所示，为了实现碎片整理操作，ProcessB需要向超级服务发送请求碎片整理操作的特权操作请求。超级服务对该特权操作请求中的信息校验成功后，则代为执行碎片整理操作。这样，便利用超级服务实现了碎片整理操作的执行与ProcessB分离，这样既保证了碎片整理操作的功能实现，又将ProcessB的能力权限降低到安全可控状态。

第四种场景：电视机的服务框架层中的基础业务服务进程ProcessS，会根据操作打包操作系统中的业务文件日志，并放置到特定存储区域上，称为获取日志GetLog。由于业务文件日志来源于操作系统中各个业务进程，甚至是基于root权限的操作系统基本运行状态文件，因此需要root权限执行相应操作。

参照图6所示，为了实现获取日志操作，ProcessS需要向超级服务发送请求获取日志操作的特权操作请求。超级服务对该特权操作请求中的信息校验成功后，则代为执行获取日志操作。这样，便利用超级服务实现了获取日志操作的执行与ProcessS分离，这样既保证了获取日志操作的功能实现，又将ProcessS的能力权限降低到安全可控状态。

在一些实施例中，平台层是硬件和软件之间的层。平台层至少包含以下驱动中的至少一种：音频驱动、显示驱动、蓝牙驱动、摄像头驱动、WI F I驱动、USB驱动、HDMI驱动、传感器驱动(如指纹传感器，温度传感器，压力传感器等)、MIC驱动以及电源驱动等。

以下实施例中的方法均可以在具有上述硬件结构或软件结构的电子设备中实现。

以下结合附图7对本申请实施例提供的技术方案进行详细说明。参照图7所示，本申请实施例提供一种特权操作执行方法，该方法可以以包括S701-S703：

S701、超级服务获取来自第一应用进程的特权操作请求。

其中，特权操作请求可以携带有第一应用进程的特征参数和指示第一特权操作的第一操作码，特权操作请求用于请求执行第一特权操作。第一应用的特征参数用于表征第一应用进程的信息，以方便超级服务明确特权操作请求的请求方。

第一应用进程为电子设备中的第一应用运行时产生的进程，例如前述图6所示的四种场景中向超级服务发送特权操作请求的进程。第一应用可以是指电子设备中任一应用或除超级服务以外的服务。第一特权操作可以是涉及到电子设备的操作系统的高级权限(例如root权限)的操作，例如前述实施例中图6相关表述中提到的几类操作。

在第一应用需要执行某个特权操作(例如第一特权操作时)，第一应用进程可以向超级服务发送特权操作请求，以使得超级服务获取到第一应用进程的特权操作请求。

在一种可能的实现方式中，第一应用可以是响应于用户对电子设备的触发后，向超级服务发送特权操作请求。也就是说，用户可以通过直接操作电子设备或者通过控制装置控制电子设备，从而使得第一应用需要执行第一特权操作，并向超级服务发送特权操作请求。

在另一种可能的实现方式中，第一应用还可以是在运行过程中根据运行需求主动向超级服务发送特权操作请求，以请求执行第一特权操作。

S702、超级服务对特权操作请求中携带的特征参数和第一操作码进行校验。

在超级服务获取到了来自第一应用进程的特权操作请求后，为了确定第一应用进程及其要求的第一特权操作是合法的，可以执行的，则需要通过特权操作请求中携带的特征参数和第一操作码来进行确定。

示例性的，特征参数可以包括第一进程识别号(process ident ificat ion，PID)。每一个应用或者服务在电子设备中运行后生成的进程均为具备唯一的PI D，所以超级服务可以据此来确认第一应用进程的可靠性。

在本申请实施例中，每一个特权操作均会对应唯一的操作码，这可以是预先规定配置好的。超级服务则可以据此来确定特权操作请求的第一特权操作是否可靠。

也就是说，基于PI D和操作码，超级服务则可以对第一应用进程请求第一特权操作这一行为进行校验，以确定执行该第一特权操作是否会对操作系统的安全性造成不好的影响。进而可以决定是否执行该第一特权操作。

在一些实施例中，结合图7，参照图8所示，S702具体可以包括S7021-S7026：

S7021、超级服务判断电子设备中是否存储有第一校验文件。

其中，第一校验文件由第一应用进程在发送特权操作请求时生成。

实际中，在某个应用进程申请特权操作，即向超级服务发送特权操作请求时，依据预先的安全配置要求，需要将特征参数和操作码按照固定格式和名称存储在特定存储区中，即生成相应的校验文件，例如【/tmp/super.pid】。出于保证安全的目的，该校验文件在生成时的权限的400权限，即为只读文件。不同应用程序生成校验文件的存储区是不同的；名称、内容格式等参数也是不同的。

如果电子设备中不存在第一校验文件，则可以表明当前超级服务获取到的特权操作请求可能是他应用进程伪装为第一应用进程发送的，或者是第一应用进程出现错误的情况下发送的。此时的特权操作请求也大概率是非法的，执行对应的第一特权操作会增大电子设备的操作系统安全风险。也就是说，此处不应当执行相应的第一特权操作。

基于此，超级服务可以首先通过判断电子设备中是否存储有第一校验文件，便可以初步确定当前接收到的特权操作请求是否是由其他应用进程伪装为第一应用进程发送的，或者第一应用进程是否是在出现错误的情况下发送的。而特权操作请求如果是非正常的第一应用进程发送的，则必然不能对该请求处理或者说执行相应的第一特权操作。

在超级服务确定电子设备中存储有第一校验文件的情况下，可以初步确定特权操作请求可能是正常的第一应用进程发送的，可以进一步对第一校验文件的参数(名称、权限、内容格式等)进行校验，既执行S7022。这样便可以一定程度上，确定该特权操作请求是否合法，也就可以决定是否可以响应于该特权操作请求执行第一特权操作。

在超级服务确定电子设备中未存储有第一校验文件的情况下，可以确定特权操作请求不是正常的第一应用进程发送的，该特权操作请求或者其申请者是不合法的，执行第一特权操作具备很大风险，会对电子设备的操作系统产生较大的安全隐患，所以此时整个流程结束。在一些实施例中，参照图8所示，为了使得第一应用进程明确知晓其特权操作请求失败，则超级服务确定电子设备中未存储有第一校验文件的情况下，向第一应用进程发送第一拒绝响应。该第一拒绝响应用于指示无法执行第一特权操作。进一步的，该第一拒绝响应中还可以携带有第一拒绝理由，即指示未存储有对应的第一校验文件，所以无法执行第一特权操作。

S7022、超级服务根据特权操作请求中的第一PI D确定第一应用进程的标准校验文件参数，并利用标准校验文件参数对第一校验文件的参数进行校验。

其中，标准校验文件参数至少包括：名称、权限和内容格式。第一校验文件的参数也至少包括：名称、权限和内容格式。

实际中，不同应用进程的PI D是不一样的，不同应用进程对应的校验文件的参数也是不一样的。每个应用进程对应的校验文件的参数可以称为该应用进程的标准校验文件参数。

在电子设备中可以存储有PI D和标准校验文件参数的对照表。超级服务可以根据该对照表查找得到第一应用进程的标准校验文件参数。

利用标准校验文件参数对第一校验文件的参数进行校验具体可以是利用两者相同类别的参数的具体值做匹配，若每种参数的值都相同，则校验成功，否则校验失败。例如，若标准校验文件参数中的名称与第一校验文件的名称相同，标准校验文件参数中的权限与第一校验文件的权限相同，且标准校验文件参数中的内容格式与第一校验文件的内容格式相同，则校验成功。又例如，若标准校验文件参数中的名称与第一校验文件的名称不同，和/或标准校验文件参数中的权限与第一校验文件的权限不同，和/或标准校验文件参数中的内容格式与第一校验文件的内容格式不同，则校验失败。

在超级服务利用标准校验文件参数对第一校验文件的参数校验成功的情况下，则可以表明特权操作请求大概率是正常的第一应用进程发送的，特权操作请求也大概率是合法的，对特征参数的校验成功。之后，可以进一步对第一操作码的有效性和安全性进行校验，既执行S7023。这样便可以准确的确定该特权操作请求的合法性，也就可以决定是否可以响应于该特权操作请求执行第一特权操作。

在超级服务利用标准校验文件参数对第一校验文件的参数校验失败的情况下，则可以表明特权操作请求大概率是非正常的第一应用进程发送的，特权操作请求也大概率是不合法的，对特征参数的校验失败。之后，则不用再继续特权操作执行方法的流程，既流程结束。另外，为了使得第一应用进程明确知晓其特权操作请求失败，则超级服务利用标准校验文件参数对第一校验文件的参数校验失败的情况下，向第一应用进程发送第二拒绝响应。该第二拒绝响应用于指示无法执行第一特权操作。进一步的，该第二拒绝响应中还可以携带有第二拒绝理由，即指示第一校验文件的参数错误，所以无法执行第一特权操作。

在一些实施例中，为了进一步保证安全性，第一校验文件在生成是可以是按照预定加密方式进行加密的。基于此结合图8，参照图9所示，S7022具体可以包括S70221和S70222：

S70221、超级服务在第一校验文件存在的情况下，利用预设解密规则对第一校验文件进行解密，以获取第一校验文件的参数。

在本申请实施例中，第一校验文件的加密方式和解密方式可以任意可行的方式，本申请对此不做具体限制。

S70222、超级服务根据第一PI D确定第一应用进程的标准校验文件参数，并利用标准校验文件参数对第一校验文件的参数进行校验。

基于S70221和S70222对应的技术方案，因为第一校验文件是加密处理的，后续的校验也需要解密。而若是非法的第一应用进程，则其生成的第一校验文件可能是非加密或者加密方式不正确的，所以超级服务也就会对第一校验文件的参数校验失败。而只有正常的第一应用进程采用规定的加密方式加密，超级服务才能顺利完成对第一校验文件的参数校验。所以这样使得整个特权操作执行的过程更为安全，进一步保证了操作系统的安全性。

S7023、超级服务在利用标准校验文件参数对第一校验文件的参数校验成功的情况下，根据第一PI D确定第一应用进程所属的第一应用的应用名称。

在本申请实施例中，超级服务在配置好时，其程序内会预置有有效规则表。该有效规则表中则包括有该电子设备的操作系统所允许执行特权操作的每个应用程序的应用名称(或称为程序名称ProcessName)、可执行的特权操作(具体是该应用程序运行时可能需要执行的特权操作)对应的操作码(CodeI ndex)、可执行的特权操作对应的特权指令(CmdFunct ion)。其中，有效规则表中的特权指令预先设计好了具体实施的动作和功效，也就是说做什么或者起到什么作用。例如，克隆配置操作对应的特权指令预先设计好的具体实施动作可以为对设定好的参数进行复制并存储在特定存储区域。

示例性的，该有效规则表可以如下表1所示：

表1-有效规则表

应用名称	操作码	特权指令
			应用A	051	指令1
应用B	055	指令5
			…	…	…

表1中以每个应用仅存在一个可执行的特权操作为例，所以其均对应有一个操作码和一个特权指令。实际中一个应用可以存在有多个可执行的特权操作，相应的，该应用也就可以对应有多个特权操作和多个特权指令。对此本申请不做具体限制。

基于超级服务所具备的该有效规则表，超级服务则可以利用第一应用该进程对应的应用名称来确定第一应用所能执行的特权操作对应的第二操作码，进而可以根据该操作码确定接收到特权操作请求中携带的第一操作码是否是第一应用可以执行的特权操作对应的操作码，或者说决定第一操作码是否有效，有效才可以代第一应用执行第一特权操作，否则认为该第一操作码无效，不代第一应用执行第一特权操作。所以在利用标准校验文件参数对第一校验文件的参数校验成功的情况下，超级服务可以首先根据第一PI D确定第一应用进程所属的第一应用的应用名称。

之后，则可以基于该应用名称确定与第一应用进程对应的至少一个可用操作码，即执行S7024。进而可以利用至少一个可用操作码对第一操作码完成有效性的校验。

S7024、超级服务根据第一应用进程的应用名称确定与第一应用进程对应的至少一个可用操作码。

具体的，超级服务可以利用第一应用进程的应用名称从有效规则表中查找对应的可用操作码。进而利用至少一个可用操作码对第一操作码完成有效性的校验，具体是确定第一操作码是否为至少一个可用操作码中的任一个，若是，则认为对第一操作码校验成功；若不是，则认为对第一操作码校验失败。

S7025、若第一操作码属于至少一个可用操作码中的一个，则超级服务确定对特征参数和第一操作码校验成功。

在对特征参数校验成功，且第一操作码属于至少一个可用操作码中的一个(即对第一操作码校验成功)的情况下，便可以认为对特征参数和第一操作码校验成功。此时，认为第一应用进程的特权操作请求合法，且需求的第一特权操作有效，则后续超级服务可以代为执行第一特权操作，即执行S703。

S7026、若第一操作码不属于至少一个可用操作码中的一个，则超级服务确定对特征参数和第一操作码校验失败。

在对特征参数校验成功，但是第一操作码不属于至少一个可用操作码中的一个(即对第一操作码校验失败)的情况下，则超级服务确定对特征参数和第一操作码校验失败。此时，则认为第一特权操作可能不是第一应用进程可执行的，所以超级服务不对第一特权操作进行执行，整个流程结束。

在一些实施例中，参照图8所示，为了使得第一应用进程明确知晓其特权操作请求失败，则S7026后，超级服务还可以向第一应用进程发送第三拒绝响应。该第三拒绝响应用于指示无法执行第一特权操作。进一步的，该第三拒绝响应中还可以携带有第三拒绝理由，即指示第一操作码无效，所以无法执行第一特权操作。

S703、超级服务在对特权操作请求中携带的特征参数和第一操作码校验成功的情况下，执行第一特权操作。

具体的，超级服务执行第一特权操作的方式，可以是执行有效规则表中与第一操作码对应的特权指令。因为该特权指令时提前约定好的内置指令无法被更改，指令操作的安全性更高，可以进一步保证操作系统的安全性。

基于本申请实施例提供的技术方案，电子设备不会给其上的应用程序分配高级权限(例如root权限)。在某些应用进程(例如第一应用进程)需要执行一些高级权限(例如root权限)对应的特权操作时，电子设备(具体可以是电子设备中的超级服务)在获取到该应用进程的特权操作请求后，会根据预定的规则对其中包含的指示应用进程特征的特征参数以及指示该应用进程需要执行的特权操作的操作码进行校验，只有校验成功后，才会执行相应的特权操作。可以看出，在该技术方案中，应用进程本身将无法直接执行特权操作，电子设备会对其特权操作请求中的信息进行校验后才会代为执行特权操作。这样一来，在可以执行应用进程所需要执行的特权操作的基础上，电子设备的操作系统不需要将高级权限赋予给应用程序，也就避免了因为应用程序本身的漏洞导致电子设备的操作系统信息泄露或者被攻占的安全问题，提高了电子设备的安全性。

在一些实施例，因为特权操作时分为很多类的，为了方便管理，也为了初步筛选可执行特权操作的应用程序或服务，可以预先为电子设备上的所有可执应用程序和服务按照其可执行的特权操作的类别进行分类，并设置相应的分组权限。之后，超级服务在接收到特权操作请求时，则会首先确定其是否携带有预设分组权限的标识。预设分组权限为预先设置的分组权限中的一个。若有预设分组权限的标识，则认为该特权操作请求是约定好的一些应用程序或服务发送的，可以进行后续的流程；若没有预设分组权限的标识，则认为该特权操作请求不是约定好的一些应用程序或服务发送的，则不再进行后续流程。基于此，结合图7，参照图10所示，S702具体可以包括S702A：

S702A、在特权操作请求中携带有预设分组权限的标识的情况下，超级服务对特征参数和第一操作码进行校验。

其中，预设分组权限的标识为第一应用进程具备的分组权限的标识。

另外，在特权操作请求中未携带有预设分组权限的标识的情况下，超级服务则可以向第一应用进程发送第四拒绝响应。第四拒绝响应用于指示无法执行第一特权操作。进一步的，该第四拒绝响应中还可以携带有第四拒绝理由，即指示不存在执行特权操作权限，所以无法执行第一特权操作。

这样一来，便可以初步筛选出可以安全的可以处理的特权操作请求，提高了操作系统的安全性。同时，因为其他没有分组权限的应用进程的特权操作请求不会做其他处理，也就一定程度上提高了特权操作执行方法的效率。

在本申请实施例中，超级服务是通过管道接口(一种特殊的API)来接收应用进程的特权操作申请的。超级服务可以具备有多个管道接口，出于管理和安全的目的，不同管道接口可以接收具备不同分组权限的应用程序或服务发送的特权操作请求。基于此，结合图10，参照图11所示，S701具体可以包括S7011A：

S7011A、超级服务通过第一管道接口接收来自第一应用进程的特权操作请求。

其中，第一管道接口与预设分组权限的标识对应，第一管道接口为超级服务的至少一个管道接口中的任一个。

超级服务中可以存储有每个管道接口和分组权限的标识的对应关系，在管道接口接收到特权操作请求时，则会首先对其中携带的分组权限的标识进行判断，若该标识与管道接口对应，则接收并由超级服务做后续处理；否则拒绝接收，并向对应的应用进程发送决绝接收响应，以指示其发送错误。

这样一来，超级服务可以通过管道接口和预设的分组权限顺利接收符合要求的应用进程发送的特权操作请求，提高了操作系统高的安全性。

一个应用程序或者服务可能是具备有多个功能，其中可能仅存在部分功能的实现需要执行特权操作，而这部分功能中不同的功能对应特权操作也不同。为了区分不同的功能，所以特征参数中还会包括有第一随机码，该第一随机码可以是第一应用进程针对当前要实现的功能随机生成的。同时，第一应用进程生成的第一校验文件中则会存在有第二PID、第二随机码和第二操作码。实际中如果某个应用进程出现异常，可能会使得第一校验文件中的三种参数和特权操作请求中携带的特征参数中的三种参数不对应，此时可以认为特权操作请求是存在一定问题的，出于保证操作系统安全的考虑，不应当执行第一特权操作。只有在特权操作请求中携带的特征参数中的三种参数和第一校验文件中的三种参数对应相同时，才可以认为特权操作请求无问题，可考虑执行第一特权操作。

所以为了，进一步保证操作系统的安全性，本申请提供的特权操作执行方式中，还应判断特权操作请求中携带的特征参数中的三种参数和第一校验文件中的三种参数是否对应相同，或者可以称为验证特征参数和操作码的一致性。

在一种可能的实现方式中，验证特征参数和操作码的一致性可以放在利用标准校验文件参数对第一校验文件的参数校验之后。基于此，以特征参数包括第一PI D和第一随机码，第一校验文件中包括第二PI D、第二操作码和第二随机码为例，结合图8，参照图12所示，S7023具体可以包括S70231-S70233：

S70231、超级服务在利用标准校验文件参数对第一校验文件的参数校验成功的情况下，判断第一PI D和第二PI D是否相同、第一操作码和第二操作码是否相同以及第一随机码和第二随机码是否相同。

在第一PI D和第二PI D相同、第一操作码和第二操作码相同且第一随机码和第二随机码相同的情况下，则可以认为特征参数和第一操作码的一致性是很好的，第一应用进程发起的特权操作请求大概率是没有问题的。这种情况下，超级服务则可以继续确定第一操作码的有效，即确定第一应用进程是否被允许执行第一特权操作。即执行后续的S70232-S7026。

在第一PI D和第二PI D不同，和/或第二操作码和第一操作码不同,和/或第二随机码和第一随机码不同的情况下，则确定特征参数和第一操作码的一致性不好，可以认为第一应用进程是存在异常的。此时超级服务则可以结束整个特权操作执行方法的流程。另外，为了使得第一应用进程明确知晓其特权操作请求失败，则超级服务在第一PI D和第二PI D不同，和/或第二操作码和第一操作码不同,和/或第二随机码和第一随机码不同的情况下，可以向第一应用进程发送第五拒绝响应，即执行S70233。该第五拒绝响应用于指示无法执行第一特权操作。进一步的，该第五拒绝响应中还可以携带有第五拒绝理由，即指示特征参数和第一操作码的一致性存在问题，所以无法执行第一特权操作。

实际中可以不存在上述S70231这一判断步骤，超级服务可以在利用标准校验文件参数对第一校验文件的参数校验成功的情况下，若确定第一PI D和第二PI D相同、第一操作码和第二操作码相同且第一随机码和第二随机码相同，则执行S70232；若确定第一PI D和第二PI D不同，和/或第二操作码和第一操作码不同,和/或第二随机码和第一随机码不同，则执行S70233。

S70232、超级服务根据第一PI D确定第一应用进程所属的第一应用的应用名称。

S70232后执行S7024。

S70233、超级服务向第一应用进程发送第五拒绝响应。

基于上述S70231-S70233对应的技术方案，可以通过对特征参数和第一操作码的一致性检验，保证后续执行第一特权操作时，第一应用进程是无异常的，也就保证了操作系统的安全性。

在另一种可能的实现方式中，验证特征参数和操作码的一致性可以放在利用标准校验文件参数对第一校验文件的参数校验之前。基于此，以特征参数包括第一PI D和第一随机码，第一校验文件中包括第二PI D、第二操作码和第二随机码为例，结合图8，参照图13所示，S7021和S7022之间还可以包括有S1301和S1302：

S1301、超级服务在确定电子设备中存储有第一校验文件的情况下，判断第一PI D和第二PI D是否相同、第一操作码和第二操作码是否相同以及第一随机码和第二随机码是否相同。

若确定第一PI D和第二PI D相同、第一操作码和第二操作码相同且第一随机码和第二随机码相同的情况下，则可以认为特征参数和第一操作码的一致性是很好的，第一应用进程发起的特权操作请求大概率是没有问题的。这种情况下，超级服务则可以继续对第一校验文件的参数进行校验。即执行后续的S7022-S7026。

在第一PI D和第二PI D不同，和/或第二操作码和第一操作码不同,和/或第二随机码和第一随机码不同的情况下，则确定特征参数和第一操作码的一致性不好，可以认为第一应用进程是存在异常的。此时超级服务则可以拒绝处理第一应用进程的特权操作请求，结束整个特权操作执行方法的流程。另外，为了使得第一应用进程明确知晓其特权操作请求失败，则超级服务在第一PI D和第二PI D不同，和/或第二操作码和第一操作码不同,和/或第二随机码和第一随机码不同的情况下，可以向第一应用进程发送第六拒绝响应，即执行S1302。该第六拒绝响应用于指示无法执行第一特权操作。进一步的，该第六拒绝响应中还可以携带有第六拒绝理由，即指示特征参数和第一操作码的一致性存在问题，所以无法执行第一特权操作。

S1302、超级服务向第一应用进程发送第六拒绝响应。

基于上述S1301-S1302对应的技术方案，可以通过对特征参数和第一操作码的一致性检验，保证后续执行第一特权操作时，第一应用进程是无异常的，也就保证了操作系统的安全性。

需要说明的是，实际中对于一些电子设备厂商本身较为信任的应用程序而言，可以认为其在请求特权操作时，一般不会存在异常，即其特征参数和操作码的一致性是良好的。所以对于这类应用程序(可称为信任应用程序)而言，其应用进程发送了特权操作请求后，超级服务可以不执行特征参数和操作码的一致性检验的相关流程，仅执行其他流程。而对于其他的应用进程发送的特权操作请求，则超级服务需要执行如图12或图13所示的特权操作执行方法的所有流程。

为了实现这一点，超级服务可以提前存储有指示信任应用程序的指示信息，例如有效规则表中的每个应用程序可以对应有信任标识。若某个应用程序对应的信任标识为“信任”，则表明该应用程序是被信任的，可以不做特征参数和操作码的一致性检验；若某个应用程序对应的信任标识为“不信任”，则表明该应用程序是不被信任的，需要做特征参数和操作码的一致性检验。超级服务在接收到应用进程的特权操作请求后，可以依据其携带的PI D确定该应用进程的名称，从而可以从有效规则表中确定该应用程序是否被信任，进而决定是否执行特征参数和操作码的一致性检验的相关流程。

在一些实施例中，超级服务判断第一PI D和第二PI D是否相同、第一操作码和第二操作码是否相同以及第一随机码和第二随机码是否相同时，可以依次进行三个判断，也可以同时进行，本申请对此不做具体限制。示例性的，以图12所示的方法流程为依据，以依次进行三个判断为例，本申请实施例提供的特权操作执行方法的整体流程可以如图14所示，其具体可以包括S1-S12：

S1、第一应用进程创建第一校验文件。

在第一应用进程需要执行特权操作时，为了方便超级服务进行校验，需要生成创建第一校验文件。第一校验文件中可以存在有第二PI D、第二随机码和第二操作码。

S2、第一应用进程向超级服务发送特权操作请求。

其中，特权操作请求可以携带有第一应用进程的特征参数和指示第一特权操作的第一操作码，特权操作请求用于请求执行第一特权操作。第一应用进程具体可以是通过超级服务对外提供的管道接口发送该特权操作请求的。管道接口只接收或处理具备与自身对应的分组权限的应用进程发送的特权操作请求。也就是说，该特权操作请求中应当携带有指示管道接口对应的分组权限的标识，即前述实施例中的预设分组权限的标识。

S1和S2可以是同时执行的，也可以是以任意顺序先后执行，但均要在S3之前执行。

S3、超级服务判断第一校验文件是否存在。

若确定存在第一校验文件，则执行S4，否则执行S12。

S4、超级服务判断第一校验文件的权限是否正确。

若确定第一校验文件的权限正确，则执行S5；若确定第一校验文件的权限不正确，则执行S12。

S5、超级服务判断第一校验文件的内容格式是否正确。

若确定第一校验文件的内容格式正确，则执行S6；若确定第一校验文件的内容格式不正确，则执行S12。

S4和S5的先后顺序可以依据实际需求而定。此外，超级服务也可以同时对第一校验文件的权限和内容格式进行判断。具体判断的实现可以参照前述实施例中S7022的相关表述，此处不再赘述。

S6、超级服务判断第二PI D和第一PI D是否相同。

若确定第二PI D和第一PI D相同，则执行S7；若确定第二PI D和第一PI D不同，则执行S12。

S7、超级服务判断第二随机码和第一随机码是否相同。

若确定第二随机码和第一随机码相同，则执行S8；若确定第二随机码和第一随机码不同，则执行S12。

S8、超级服务判断第二操作码和第一操作码是否相同。

若确定第二操作码和第一操作码相同，则执行S9；若确定第二操作码和第一操作码不同，则执行S12。

实际中，S6-S8的先后顺序不做具体限制，可以根据实际需求而定。

S9、超级服务获取第一应用进程的应用名称。

具体如何获取可以参照前述实施例中的相关表述，此处不再赘述。

S10、超级服务基于第一应用进程的应用名称和有效规则表，判断第一操作码是否有效。

具体如何基于第一应用进程的应用名称和有效规则表判断第一操作码是否有效可以参照前述实施例中S7023-S7026对应的内容，此处不再赘述。

若确定第一操作码有效，则执行S11；若确定第一操作码无效，则执行S12。

S11、超级服务执行第一特权操作。

具体的，超级服务可以是执行有效规则表中对应第一特权操作的特权指令。

S12、超级服务向第一应用进程发送拒绝响应。

其中，根据超级服务具体发送拒绝响应的实际，拒绝响应具体可以为前述实施例中第一拒绝响应或者第二拒绝响应或者第三拒绝响应或者第四拒绝响应或者第五拒绝响应或者第六拒绝响应。

参照前述具体实施例的表述，基于上述S1-S12对应的整体流程可以看出，结合管道接口和分组权限的限制以及S3-S8的执行，共同决定了操作申请者(即第一应用进程)的合法性和一致性，即第一应用进程是合法无异常的，且其特征参数和第一操作码和第一校验文件中的一致；S8-S10则共同决定了第一操作码的有效性和一致性，即第一操作码是第一应用进程对应的可执行特权操作对应的操作码，且和第一校验文件中的第二操作码一致；同时S10和S11则共同决定了超级服务执行第一特权操作的安全性，即第一操作码对饮高的第一特权操作是由提前规定好的特权指令实施的，不可修改，安全可靠。这样一来，在执行应用进程所需要执行的特权操作的基础上，电子设备的操作系统不需要将高级权限赋予给应用程序，也就避免了因为应用程序本身的漏洞导致电子设备的操作系统信息泄露或者被攻占的安全问题，提高了电子设备的操作系统安全性。

上述主要从方法的角度对本申请实施例提供的方案进行了介绍。为了实现上述功能，其包含了执行各个功能相应的硬件结构和/或软件模块。本领域技术人员应该很容易意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，本申请能够以硬件或硬件和计算机软件的结合形式来实现。某个功能究竟以硬件还是计算机软件驱动硬件的方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

本申请实施例可以根据上述方法示例对电子设备进行功能模块的划分，例如，可以对应各个功能划分各个功能模块，也可以将两个或两个以上的功能集成在一个处理模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。需要说明的是，本申请实施例中对模块的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。

参照图15所示，本申请实施例提供一种特权操作执行装置，应用于电子设备，具体可以为电子设备中的超级服务。该特权操作执行装置可以包括获取模块151、校验模块152和执行模块153。

其中，获取模块151，用于获取来自第一应用进程的特权操作请求；特权操作请求携带有第一应用进程的特征参数和指示第一特权操作的第一操作码，特权操作请求用于请求执行第一特权操作。校验模块152，用于对获取模块151获取的特权操作请求中的特征参数和第一操作码进行校验。执行模块153，用于在校验模块152对特征参数和第一操作码校验成功的情况下，执行第一特权操作。

在一种可能的实现方式中，校验模块152具体用于：在特权操作请求中携带有预设分组权限的标识的情况下，对特征参数和第一操作码进行校验。

在一种可能的实现方式中，获取模块151具体用于：通过第一管道接口接收来自第一应用进程的特权操作请求；第一管道接口与预设分组权限的标识对应。

在一种可能的实现方式中，特征参数包括第一进程识别号PI D；校验模块152具体用于：在电子设备存储有第一校验文件的情况下，根据第一PI D确定第一应用进程的标准校验文件参数，并利用标准校验文件参数对第一校验文件的参数进行校验；第一校验文件由第一应用进程在发送特权操作请求时生成；标准校验文件参数至少包括：名称、权限、内容格式；在利用标准校验文件参数对第一校验文件的参数校验成功的情况下，根据第一PID确定第一应用进程所属的第一应用的应用名称；根据应用名称确定与第一应用进程对应的至少一个可用操作码；若第一操作码属于至少一个可用操作码中的一个，则确定对特征参数和第一操作码校验成功；若第一操作码不属于至少一个可用操作码中的一个，则确定对特征参数和第一操作码校验失败。

在一种可能的实现方式中，特征参数还包括第一随机码，第一校验文件中包括有第二PI D、第二操作码和第二随机码。校验模块152具体用于：在利用标准校验文件参数对第一校验文件的参数校验成功的情况下，若第二PI D和第一PI D相同，第二操作码和第一操作码相同且第二随机码和第一随机码相同，则根据第一PI D确定第一应用进程所属的第一应用的应用名称。

关于上述实施例中的应用于电子设备的特权操作执行装置，其中各个模块执行操作的具体方式已经在前述中的特权操作执行方法的实施例中进行了详细描述，此处将不做详细阐述说明。

应理解以上装置中单元或模块(以下均称为单元)的划分仅仅是一种逻辑功能的划分，实际实现时可以全部或部分集成到一个物理实体上，也可以物理上分开。且装置中的单元可以全部以软件通过处理元件调用的形式实现；也可以全部以硬件的形式实现；还可以部分单元以软件通过处理元件调用的形式实现，部分单元以硬件的形式实现。

例如，各个单元可以为单独设立的处理元件，也可以集成在装置的某一个芯片中实现，此外，也可以以程序的形式存储于存储器中，由装置的某一个处理元件调用并执行该单元的功能。此外这些单元全部或部分可以集成在一起，也可以独立实现。这里的处理元件又可以称为处理器，可以是一种具有信号的处理能力的集成电路。在实现过程中，上述方法的各步骤或以上各个单元可以通过处理器元件中的硬件的集成逻辑电路实现或者以软件通过处理元件调用的形式实现。

在一个例子中，以上装置中的单元可以是被配置成实施以上方法的一个或多个集成电路，例如：一个或多个ASI C，或，一个或多个DSP，或，一个或者多个FPGA，或这些集成电路形式中至少两种的组合。

再如，当装置中的单元可以通过处理元件调度程序的形式实现时，该处理元件可以是通用处理器，例如CPU或其它可以调用程序的处理器。再如，这些单元可以集成在一起，以片上系统SOC的形式实现。

在一种实现中，以上装置实现以上方法中各个对应步骤的单元可以通过处理元件调度程序的形式实现。例如，该装置可以包括处理元件和存储元件，处理元件调用存储元件存储的程序，以执行以上方法实施例的特权操作执行方法。存储元件可以为与处理元件处于同一芯片上的存储元件，即片内存储元件。

在另一种实现中，用于执行以上方法的程序可以在与处理元件处于不同芯片上的存储元件，即片外存储元件。此时，处理元件从片外存储元件调用或加载程序于片内存储元件上，以调用并执行以上方法实施例的特权操作执行方法。

参照图16所示，本申请实施例还提供一种电子设备，包括：存储器161和控制器162。其中，控制器162，被配置为：获取来自第一应用进程的特权操作请求；特权操作请求携带有第一应用进程的特征参数和指示第一特权操作的第一操作码，特权操作请求用于请求执行第一特权操作；对特征参数和第一操作码进行校验；在对特征参数和第一操作码校验成功的情况下，执行第一特权操作。

在一种可能的实现方式中，控制器162具体被配置为：在特权操作请求中携带有预设分组权限的标识的情况下，对该特征参数和该第一操作码进行校验。

在一种可能的实现方式中，控制器162还被配置为：在特权操作请求中未携带有预设分组权限的标识的情况下，则向第一应用进程发送第一拒绝响应；第一拒绝响应用于指示拒绝处理第一特权操作。

在一种可能的实现方式中，控制器162具体被配置为：通过第一管道接口接收来自第一应用进程的特权操作请求；第一管道接口与预设分组权限的标识对应。

在一种可能的实现方式中，特征参数包括第一进程识别号PI D；控制器162具体被配置为：在存储器161中存储第一校验文件的情况下，根据第一PI D确定第一应用进程的标准校验文件参数，并利用标准校验文件参数对第一校验文件的参数进行校验；第一校验文件由第一应用进程在发送特权操作请求时生成；标准校验文件参数至少包括：名称、权限、内容格式；在利用标准校验文件参数对第一校验文件的参数校验成功的情况下，根据第一PI D确定第一应用进程所属的第一应用的应用名称；根据应用名称确定与第一应用进程对应的至少一个可用操作码；若第一操作码属于至少一个可用操作码中的一个，则确定对特征参数和第一操作码校验成功；若第一操作码不属于至少一个可用操作码中的一个，则确定对特征参数和第一操作码校验失败。

在一种可能的实现方式中，特征参数还包括第一随机码，第一校验文件中包括有第二PI D、第二操作码和第二随机码。该控制器162具体被配置为：在利用标准校验文件参数对第一校验文件的参数校验成功的情况下，若第二PI D和第一PI D相同，第二操作码和第一操作码相同且第二随机码和第一随机码相同，则根据第一PI D确定第一应用进程所属的第一应用的应用名称。

在一种可能的实现方式中，控制器162还被配置为：在利用标准校验文件参数对第一校验文件的参数校验成功的情况下，若第二PI D和第一PI D不同，和/或第二操作码和第一操作码不同,和/或第二随机码和第一随机码不同，则确定对特征参数和第一操作码校验失败。

当然，本申请实施例提供的电子设备包括但不限于上述模块，例如电子设备还可以包括显示器。显示器可以用于显示电子设备需要显示的内容，或者还可用于接收用户的触摸操作并作出相应的显示响应。

本申请实施例还提供一种电子设备，包括：处理器和存储器；该存储器用于存储计算机指令，当该显示设备运行时，该处理器执行该存储器存储的该计算机指令，以使该电子设备执行本申请实施例提供的特权操作执行方法。

本申请实施例还提供一种计算机可读存储介质，该计算机可读存储介质中存储有计算机指令，当计算机指令在显示设备上运行时，使得显示设备可以执行本申请实施例提供的显示设备的控制方法。

例如，该计算机可读存储介质可以是ROM、RAM、只读光盘(Compact Di sc Read-Only Memory，CD-ROM)、磁带、软盘和光数据存储设备等。

本申请实施例还提供一种包含计算机指令的计算机程序产品，当计算机指令在电子设备上运行时，使得显示设备可以执行本申请实施例提供的特权操作执行方法。

本申请实施例还提供一种装置(例如，该装置可以是芯片系统)，该装置包括处理器，用于支持电子设备实现本申请实施例提供的特权操作执行方法。在一种可能的设计中，该装置还包括存储器，该存储器，用于保存显示设备必要的程序指令和数据。该装置是芯片系统时，可以由芯片构成，也可以包含芯片和其他分立器件。

通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将装置(如，第一控制设备，区域控制器)的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。上述描述的系统，装置(如，第一控制设备，区域控制器)和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统，装置(如，第一控制设备，区域控制器)和方法，可以通过其它的方式实现。例如，以上所描述的装置(如，第一控制设备，区域控制器)实施例仅仅是示意性的，例如，模块或单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)或处理器执行本申请各个实施例方法的全部或部分步骤。而前述的存储介质包括：快闪存储器、移动硬盘、只读存储器、随机存取存储器、磁碟或者光盘等各种可以存储程序代码的介质。

以上，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以权利要求的保护范围为准。

Claims (10)

1.一种电子设备，其特征在于，所述电子设备包括：

存储器；

控制器，被配置为：

获取来自第一应用进程的特权操作请求；所述特权操作请求携带有所述第一应用进程的特征参数和指示第一特权操作的第一操作码，所述特权操作请求用于请求执行所述第一特权操作；

对所述特征参数和所述第一操作码进行校验；

在对所述特征参数和所述第一操作码校验成功的情况下，执行所述第一特权操作。

2.根据权利要求1所述的电子设备，其特征在于，所述控制器具体被配置为：

在所述特权操作请求中携带有预设分组权限的标识的情况下，对所述特征参数和所述第一操作码进行校验。

3.根据权利要求2所述的电子设备，其特征在于，所述控制器具体被配置为：

通过第一管道接口接收来自所述第一应用进程的特权操作请求；所述第一管道接口与所述预设分组权限的标识对应。

4.根据权利要求1所述的电子设备，其特征在于，所述特征参数包括第一进程识别号PID；所述控制器具体被配置为：

在所述存储器中存储第一校验文件的情况下，根据所述第一PID确定所述第一应用进程的标准校验文件参数，并利用所述标准校验文件参数对所述第一校验文件的参数进行校验；所述第一校验文件由所述第一应用进程在发送所述特权操作请求时生成；所述标准校验文件参数至少包括：名称、权限、内容格式；

在利用所述标准校验文件参数对所述第一校验文件的参数校验成功的情况下，根据所述第一PID确定所述第一应用进程所属的第一应用的应用名称；

根据所述应用名称确定与所述第一应用进程对应的至少一个可用操作码；

若所述第一操作码属于所述至少一个可用操作码中的一个，则确定对所述特征参数和所述第一操作码校验成功；

若所述第一操作码不属于所述至少一个可用操作码中的一个，则确定对所述特征参数和所述第一操作码校验失败。

5.根据权利要求4所述的电子设备，其特征在于，所述特征参数还包括第一随机码，所述第一校验文件中包括有第二PID、第二操作码和第二随机码；

所述控制器具体被配置为：

在利用标准校验文件参数对所述第一校验文件的参数校验成功的情况下，若所述第二PID和所述第一PID相同，所述第二操作码和所述第一操作码相同且所述第二随机码和所述第一随机码相同，则根据所述第一PID确定所述第一应用进程所属的第一应用的应用名称。

6.一种特权操作执行方法，其特征在于，应用于电子设备，所述方法包括：

获取来自第一应用进程的特权操作请求；所述特权操作请求携带有所述第一应用进程的特征参数和指示第一特权操作的第一操作码，所述特权操作请求用于请求执行所述第一特权操作；

对所述特征参数和所述第一操作码进行校验；

在对所述特征参数和所述第一操作码校验成功的情况下，执行所述第一特权操作。

7.根据权利要求6所述的方法，其特征在于，所述对所述特征参数和所述第一操作码进行校验，包括：

在所述特权操作请求中携带有预设分组权限的标识的情况下，对所述特征参数和所述第一操作码进行校验。

8.根据权利要求7所述的方法，其特征在于，所述获取来自第一应用进程的特权操作请求，包括：

通过第一管道接口接收来自所述第一应用进程的特权操作请求；所述第一管道接口与所述预设分组权限的标识对应。

9.根据权利要求6所述的方法，其特征在于，所述特征参数包括第一进程识别号PID；所述对所述特征参数和所述第一操作码进行校验，包括：

在存储有第一校验文件的情况下，根据所述第一PID确定所述第一应用进程的标准校验文件参数，并利用所述标准校验文件参数对所述第一校验文件的参数进行校验；所述第一校验文件由所述第一应用进程在发送所述特权操作请求时生成；所述标准校验文件参数至少包括：名称、权限、内容格式；

在利用所述标准校验文件参数对所述第一校验文件的参数校验成功的情况下，根据所述第一PID确定所述第一应用进程所属的第一应用的应用名称；

根据所述应用名称确定与所述第一应用进程对应的至少一个可用操作码；

若所述第一操作码属于所述至少一个可用操作码中的一个，则确定对所述特征参数和所述第一操作码校验成功；

若所述第一操作码不属于所述至少一个可用操作码中的一个，则确定对所述特征参数和所述第一操作码校验失败。

10.根据权利要求9所述的方法，其特征在于，所述特征参数还包括第一随机码，所述第一校验文件中包括有第二PID、第二操作码和第二随机码；

所述在利用标准校验文件参数对所述第一校验文件的参数校验成功的情况下，根据所述第一PID确定所述第一应用进程所属的第一应用的应用名称，包括：

在利用标准校验文件参数对所述第一校验文件的参数校验成功的情况下，若所述第二PID和所述第一PID相同，所述第二操作码和所述第一操作码相同且所述第二随机码和所述第一随机码相同，则根据所述第一PID确定所述第一应用进程所属的第一应用的应用名称。