[發明專利]用于加載應用類的系統和方法

有效

• 申請號: 201080055128.8
• 申請日: 2010-11-05
• 公開（公告）號: CN102640159A
• 公開（公告）日: 2012-08-15
• 發明（設計）人: 托馬斯·T·惠勒
• 申請（專利權）人: 歐搜卡德遠程有限責任公司
• 主分類號: G06F21/00
• 分類號: G06F21/00
• 代理公司: 北京東方億思知識產權代理有限責任公司 11258
• 代理人: 李曉冬

技術領域

本公開涉及安全應用，并且具體地涉及基于用戶安全許可將類加載到應用中。

背景技術

當調用設備上的應用時，取決于用戶的安全許可，可能需要防止對該應用或該應用的某些能力的未經授權訪問。現有解決方案使用應用邏輯內的或安全模塊內的條件邏輯來判斷受保護的能力是否可被訪問。然而，如果許可被意外地或者因惡意意圖而錯誤地設置，則在實現這些能力的代碼對于該應用是可見的情況下，受保護的能力可被訪問。這在分布式應用中可能是一個嚴重的問題。

需要一種用于開發和/或提供安全應用的經改進系統和方法。

發明內容

在本公開的一個方面中，提供了一種用于在應用中加載類的方法，包括：確定類需求；確定安全許可；檢索與所述安全許可相關聯的所需類的類變體；以及加載檢索到的類變體。

在本公開的一個方面中，提供了一種應用，包括請求處理機以及至少一個類加載器。請求處理機可被配置為：處理對類的請求；以及確定該應用的安全許可。類加載器可被配置為取決于安全許可來加載類變體。

在本公開的一個方面中，提供了一種包含由處理器運行的計算機可執行指令的計算機可讀介質，所述計算機可執行指令在被運行時使得所述處理器：對安全令牌解碼；從所述安全令牌確定安全許可；選擇與所述安全許可相關聯的類貯存庫；以及從所選類貯存庫加載類。

附圖說明

現在僅以示例的方式參考具體實施例和附圖，在附圖中：

圖1圖示出了應用結構；

圖2圖示出了用于將類加載到圖1的應用中的處理；

圖3圖示出了用于執行調用的處理；

圖4圖示出了用于獲取類實例的處理；

圖5圖示出了用于運行應用的處理和存儲器；

圖6圖示出了可在圖5的處理器上執行的指令集；以及

圖7圖示出了與類貯存庫處理器通信的應用處理器。

具體實施方式

圖1圖示出了應用結構10。應用10包括應用類12，應用類12已被加載并用來執行該應用的功能。應用類通常利用請求處理機(request?handler)15內的類加載器14來加載。在本公開的一個實施例中，應用10可被配置為將一組安全許可編碼為安全令牌。當該應用執行安全操作時，請求處理機15攔截該調用。請求處理機15可位于呼叫者本地或者在遠程進程中。本實施例的類加載器14被配置為基于編碼在安全令牌中的許可來加載類的多個變體。安全令牌可以在應用被安裝在特定計算設備上時、當用戶執行登錄操作時或者通過建立用戶的安全憑證的任何其它手段來生成。在分布式應用中，安全令牌可以通過安全(加密)連接在利用已建立機制執行遠程操作(例如，遠程調用)的進程之間傳遞。類加載器14使用安全許可來確定要加載哪個變體。

在圖2的流程圖100中示出了用于加載類的處理。在步驟101，對將被加載的類的需求被生成。對于該應用的安全許可然后被評估(步驟102)。與安全許可相關聯的所需類的類變體然后被檢索(步驟03)并被加載(步驟104)。

特定組的許可被映射到類的特定變體組。每組可包含不同群組的類。然而，將由應用直接訪問的每個變體類具有相同的名稱和名稱空間，并且提供相同的公共API。每組變體類被包含在分離的貯存庫中，例如貯存庫A?17、貯存庫B?18等。類貯存庫可本地地位于文件系統中，或者可經由網絡從中央遠程服務器獲得。類加載器14利用安全許可來確定要從哪個貯存庫加載類。當應用需要訪問經過安全許可的類時，類加載器將基于該應用的許可從適當貯存庫加載該類的變體。這保護了系統的受保護的能力不被意外地或惡意地使用。由于該類的每個變體具有正確的名稱空間并且提供正確的公共API，因此當該類在應用內被加載并被調用時將適當地運行。

類的一個變體可被編碼為提供僅可供具有管理安全許可的用戶訪問的完全能力，而該同一個類的另一變體可被編碼為提供可供具有只讀安全許可的用戶訪問的縮減了的功能。例如，一個類變體可支持對所有用戶賬戶的創建和刪除，另一種類變體可支持對賬戶信息的更新而不支持創建或刪除，并且第三類變體可僅支持當前用戶對賬戶信息的查看。

在圖3中，示出了用于執行由應用對類的調用的處理200。在步驟201，請求處理機15接收該調用并且在步驟202中從該調用中解碼安全令牌。如果該安全令牌是有效的(步驟203)，則類加載器14從適當的類貯存庫中檢索與該安全令牌中指示的安全許可相匹配的類變體(步驟204)。檢索到的類然后可被用來執行該調用(步驟205)。