CN109284617A - 控制多进程访问磁盘文件的方法、装置及存储介质 - Google Patents

Abstract

本发明公开了一种控制多进程访问磁盘文件的方法，包括：在磁盘文件索引***的各级索引中分配控制机制；各级索引根据控制机制向访问主体分配多级访问权限；访问主体根据所述多级访问权限对磁盘文件进行访问；其中，控制机制包括：访问主体级别与访问权限的对应关系；本申请实施例还提供一种控制多进程访问磁盘文件的装置、网络设备及存储介质；本申请实施例通过在的索引文件中分配控制机制，使得访问主体对磁盘文件的访问通过3层控制机制才被允许，增大了多进程情况下对文件的访问控制速率；极大的增强了文件的安全性、完整性。有利于文件***不经常变化或者具有变化规律的***的访问控制。

Description

控制多进程访问磁盘文件的方法、装置及存储介质

技术领域

本发明涉及文件访问控制领域，具体涉及一种控制多进程访问磁盘文件的方法、装置及存储介质。

背景技术

文件访问控制，指***通过预定的策略，对用户和进程访问磁盘文件的能力。文件访问控制是文件数据的保密性、完整性、可用性的重要基础，是访问控制类软件的关键技术之一，保护数据的安全性、保密性、完整性和可信性。

文件访问控制包括：用户、主体、客体、动作和控制策略等要素。当前文件访问控制主要有自主访问控制(discretionary access control,DAC)、强制访问控制(mandatoryaccess control,MAC)和基于角色访问控制(role-based access control,RBAC)三种方式。自主访问控制是目前主要的控制方式，其提供的访问控制方式安全性较低，可被绕过。强制访问控制提供的访问控制方式安全性高，是由***对用户所创建的对象根据预定义的规则控制用户和进程访问文件***的权限，主要适用安全性较高的场合。基于角色的访问控制定义了角色的概念，将一组相同安全属性的权限定义为一个角色，用户与角色相关联。把对用户的控制转向对角色的控制，具有较高和较灵活的运用方式。通常自主访问控制与强制访问控制结合使用。一个主体只有通过自主与强制性访问限制检查后，才能访问其客体。

但这三种方式都是基于文件的整体进行控制。无法做到对文件的部分内容分配不同的访问控制权限。

因此，现有技术中存在的上述技术问题还有待于改进。

发明内容

本发明实施例提供一种控制多进程访问磁盘文件的方法、装置及存储介质，能够通过构建多层文件控制机制，增强文件的安全性和完整性，提升多进程情况下对文件的访问控制速率。

有鉴于此，本申请第一方面提供一种控制多进程同时操纵磁盘文件的方法，该方法包括：在磁盘文件索引***的各级索引中分配控制机制；其中，该索引***可以为当前文件管理中常用的三级目录，随着技术的发展，也可能发展为更多或更少级别的目录，本实施例并不对索引***目录的级别数量进行限定；该各级索引根据该控制机制向访问主体分配多级访问权限；该访问主体根据该多级访问权限对磁盘文件进行访问；其中，该多级访问权限可以包括读权限，写权限，读写权限、无权限及锁定；该控制机制包括：访问主体级别与访问权限的对应关系。由以上第一方面可知，通过在磁盘文件索引***的各级索引中分配控制机制，向访问主体分配多级访问权限，从而使得多个访问主体能够分别根据各自的多级访问权限，对磁盘文件的不同部分进行访问，增强了文件访问控制的安全性，提升了多进程访问磁盘文件的处理速率，实现了多进程情况下对相同文件的不同部分的访问控制。

结合本申请第一方面，在第一种可能的实现方式中，该在磁盘文件索引***的各级索引中分配控制机制，包括：向第一索引分配第一控制机制；向第二索引分配第二控制机制；向第三索引分配第三控制机制；其中，该第三索引为该第二索引的子级别索引，该第二索引为该第一索引的子级别索引；该第一索引可以为超级块索引super block，该第二索引可以为索引节点INode，该第三索引可以为数据区data block；该各级索引根据控制机制向访问主体分配多级访问权限，包括：该第一索引根据该第一控制机制向访问主体分配第一访问权限，该第一访问权限为访问磁盘的权限；其中，该第二索引根据该第二控制机制向访问主体分配第二访问权限，该第二访问权限为访问磁盘中文件的权限；该第三索引根据该第三控制机制向该访问主体分配第三访问权限，该第三访问权限为访问磁盘中文件内不同部分的权限；其中，该访问主体包括访问进程与访问用户，该访问进程与访问用户的权限是由该访问主体所在的操作***分配的，该索引***能够对该权限进行识别；该访问主体根据该多级访问权限对磁盘文件进行访问，包括：该访问主体根据该第一访问权限、该第二访问权限和该第三访问权限对磁盘文件进行访问。由以上第一方面第一种可能的实现方式可知，该磁盘文件通过向现有文件管理***中常用的三级索引目录分配控制机制，使得访问磁盘文件的访问主体在该控制机制的分配下获得三级访问权限，从而不同的访问主体可以根据各自的三级访问权限同时对同一磁盘文件的不同部分进行访问，从而在现有文件管理***的环境中，实现多进程情况下对相同文件的不同部分的访问控制。

结合本申请第一方面第一种可能的实现方式，在第二种可能的实现方式中，该第一控制机制包括：多个访问主体级别与磁盘访问权限的对应关系，该磁盘访问权限包括读权限、读写权限、无权限或锁定；其中，由于对磁盘的写入必须建立在读取到磁盘信息的基础上，因此访问主体对磁盘的访问权限不包括写权限；该第二控制机制包括：多个访问主体级别与多个文件访问权限的对应关系，该文件访问权限包括读权限、写权限、读写权限、无权限或锁定；该第三控制机制包括：访问主体级别与磁盘文件中不同部分的子权限的对应关系，该子权限包括读权限、写权限、读写权限、无权限或锁定；其中，该子权限为同一磁盘文件中部分内容的访问权限，因此该子权限的全集为该第三访问权限；该第一索引根据该第一控制机制向访问主体分配第一访问权限，包括：该第一索引根据多个访问主体级别与磁盘访问权限的对应关系，向该访问主体分配对磁盘的读权限、读写权限、无权限或锁定；该第二索引根据该第二控制机制向访问主体分配第二访问权限，包括：该第二索引根据多个访问主体级别与多个文件访问权限的对应关系，向该访问主体分配对磁盘内文件的读权限、写权限、读写权限、无权限或锁定；该第三索引根据该第三控制机制向该访问主体分配第三访问权限，包括：该第三索引根据访问主体级别与磁盘文件中不同部分的子权限的对应关系，向该访问主体分配对磁盘内文件不同部分的读权限、写权限、读写权限、无权限或锁定；该访问主体根据该第一访问权限、该第二访问权限和该第三访问权限对磁盘文件进行访问，包括该访问主体根据读权限、读写权限、无权限或锁定对磁盘进行访问，该访问主体根据读权限、写权限、读写权限、无权限或锁定对磁盘内的文件进行访问，该访问主体根据读权限、写权限、读写权限、无权限或锁定对磁盘内文件的不同部分进行访问。其中，当该第一索引通过该第一控制机制判断该访问主体具备除内存操作以外的操作，该第一索引向该访问主体分配读权限；当访问主体使用读权限对磁盘进行访问时，对于磁盘中的文件或磁盘中文件的部分内容，该访问主体只能使用读权限、无权限或锁定进行访问；当该第一索引通过该第一控制机制判断该访问主体必须有写文件的权限，该第一索引向该访问主体分配读写权限；当一个访问主体使用读权限对磁盘中的文件进行访问时，其他访问主体也对该磁盘中的文件具有读权限；当一个访问主体对磁盘中的文件的一部分具有写权限时，其他访问主体对磁盘文件中的该部分只有读权限或无权限。由以上第一方面第二种可能的实现方式可知，通过磁盘文件中的三级控制机制，分层依次设置了访问主体访问磁盘的权限、访问磁盘中文件的权限以及访问磁盘中文件不同部分内容的权限，从而能够对不同的访问主体在相同磁盘文件中不同的部分设置各自的访问权限，实现多进程访问磁盘文件的高效处理。

结合本申请第一方面第二种可能的实现方式，在第三种可能的实现方式中，该磁盘文件还包括日志，用于记录该访问主体对该磁盘文件的访问情况。由以上第一方面第三种可能的实现方式可知，日志对访问主体访问磁盘文件的情况进行记录，从而使得用户可以通过日志得知每一访问主体根据多级访问权限对磁盘文件的访问情况，方便用户及时根据日志调整控制策略，防止违规策略情况的出现，杜绝磁盘文件的非法访问。

本申请第二方面提供一种控制多进程访问磁盘文件的装置，该装置具有实现上述第一方面或第一方面任意一种可能实现方式的方法的功能。该功能可以通过硬件实现，也可以通过硬件执行相应的软件实现。该硬件或软件包括一个或多个与上述功能相对应的模块。

本申请第三方面提供一种网络设备，包括：处理器和存储器；该存储器用于存储计算机执行指令，当该网络设备工作时，该处理器执行该存储器存储的该计算机执行指令，以使该网络设备执行如上述第一方面或第一方面任意一种可能实现方式的控制多进程访问磁盘文件的方法。

本申请第四方面提供一种计算机可读存储介质，该计算机可读存储介质中存储有指令，当其在计算机上运行时，使得计算机可以执行上述第一方面或第一方面任意一种可能实现方式的控制多进程访问磁盘文件的方法。

从以上技术方案可以看出，本申请实施例具有以下优点：

本发明实施例中，在强制访问控制的基础上，通过在各级索引目录中构建控制机制，使得访问主体对磁盘文件的访问通过3层访问控制机制才被允许，通过控制多进程情况下的文件块权限极大的增大了文件访问控制方法，及多进程情况下对文件的访问控制速率；极大的增强了文件的安全性、完整性，有利于文件***不经常变化或者具有变化规律的***的访问控制。

附图说明

图1为本申请实施例中自主访问控制的网络架构拓扑图；

图2为本申请实施例中强制访问控制的网络架构拓扑图；

图3为本申请实施例中控制多进程访问磁盘文件的方法的一实施例示意图；

图4为本申请实施例中控制多进程访问磁盘文件的方法的另一实施例示意图；

图5为本申请实施例中控制多进程访问磁盘文件的方法的另一实施例示意图；

图6为本申请实施例中控制多进程访问磁盘文件的方法的另一实施例示意图；

图7为本申请实施例中控制多进程访问磁盘文件的方法的另一实施例示意图；

图8为本申请实施例中控制多进程访问磁盘文件的方法的另一实施例示意图；

图9为本申请实施例中网络设备的示意图；

图10为本申请实施例中控制多进程访问磁盘文件的装置的示意图。

具体实施方式

本发明实施例提供一种控制多进程访问磁盘文件的方法、装置及存储介质，能够实现多进程对磁盘文件不同部分的访问，提升了多进程访问文件的处理效率。

为了使本技术领域的人员更好地理解本申请方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分的实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本申请保护的范围。

本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”、“第三”“第四”等(如果存在)是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的实施例能够以除了在这里图示或描述的内容以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、***、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

如图1所示，自主访问控制(discretionary access control,DAC)。第一访问主体10对磁盘文件30进行访问时，磁盘文件30在确认第一访问主体10身份及所属组的基础上，根据第一访问主体10的身份和授权来决定访问权限，从而对访问进行限定。其中，获得相应权限的第一访问主体10能够自己的决定，将访问控制权限的一部分授予第二访问主体20或从第二访问主体20那里收回他所授予的访问权限。使用这种控制方法，用户或应用可任意在***中规定谁可以访问它们的资源，这样，用户或用户进程就可有选择地与其他用户共享资源。它是一种对单独用户执行访问控制的过程和措施，缺点时信息安全性不强，用户之间容易互相转让权限的方式绕过磁盘文件所设置的访问限定。

强制访问控制(mandatory access control,MAC),依据用户和数据文件的安全级别来决定用户是否有对该文件的访问权限。在强制访问控制中，每个用户及文件都被赋予一定的安全级别，用户不能改变自身或任何客体的安全级别，只有***管理员可以确定用户和组的访问权限。***通过比较用户和访问的文件的安全级别来决定用户是否可以访问该文件。如图2所示，第一访问主体10和第二访问主体20都只能根据自身被赋予的访问权限对磁盘文件进行访问。具有较高的安全性，但是可管理性不足，控制策略一旦建成不易修改，灵活性较差。

上述两种常用的访问控制方式中，DAC具有设置灵活的优点，但数据安全性较差，MAC具有高安全性的特点，但灵活性不强；DAC与MAC均不能兼顾数据安全性与灵活性，根本原因在于，两种方式都是对文件的整体进行控制，无法做到对文件的不同部分分配不同的访问控制，从而造成了磁盘文件数据安全性与访问管理灵活性不能兼顾的情况。

针对上述问题，本实施例提供一种控制多进程访问磁盘文件的方法，能够对磁盘文件不同部分内容分配不同的访问权限，为便于理解，下面对本申请实施例中的具体流程进行描述，请参阅图3，本申请实施例中控制多进程访问磁盘文件的方法的一个实施例包括：

301、在磁盘文件索引***的各级索引中分配控制机制。

本实施例中，该索引***可以是目前文件管理中常用的三级索引目录，随着技术的发展，随着技术的发展，也可能发展为更多或更少级别的目录，本实施例并不对索引***目录的级别数量进行限定。

302、各级索引根据控制机制向访问主体分配多级访问权限。

本实施例中，各级索引根据控制机制向访问主体分配多级访问权限，使得访问主体在每一级别的索引目录中都具有对应的访问权限。

303、访问主体根据多级访问权限对磁盘文件进行访问。

本实施例中，访问主体根据多级访问权限，逐级对索引目录进行访问；其中，该多级访问权限包括多个级别的访问权限，每一级别的访问权限对应一个索引级别，该访问主体根据每一级别的访问权限对该索引级别的磁盘文件进行访问。

本实施例中，利用磁盘文件具有多级索引目录的情况，在各级索引目录中对应地设置控制机制，使得访问主体在访问磁盘文件时，能够根据该控制机制在各级索引都获得相应访问权限，从而访问主体能够根据各级索引的访问权限对文件的不同部分进行合法的访问，其中，同一访问主体在磁盘文件中的不同部分，会得到不同的访问权限，当访问主体的数量为多个时，实现了多进程情况下对相同文件不同部分的的访问控制。

需要说明的是，上述实施例的改进点在于：通过在磁盘文件索引***分配控制机制，向访问主体分配多级访问权限，使得访问主体对于磁盘文件的不同部分具有不同的访问权限；上述实施例并不对索引***中索引目录的级别数量进行限定，无论是只有一个级别的索引目录，还是多个级别的索引目录，都属于本实施例的保护范围。下面针对当前常用的三级索引目录构建控制机制的情况，说明如下。

本实施例提供了一种三级索引目录下构建控制机制的方式，如图4所示，本实施例包括以下步骤：

401、向第一索引分配第一控制机制；向第二索引分配第二控制机制；向第三索引分配第三控制机制。

本实施例中，该第三索引为该第二索引的子级别索引，该第二索引为该第一索引的子级别索引；可见该三级索引目录关系为第一索引包括第二索引，第二索引包括第三索引的总分关系，其中，第一索引包括多个第二索引，第二索引包括多个第三索引，在第一索引、第二索引及第三索引中分别分配控制机制，为后续分配权限打下基础。

402、第一索引根据第一控制机制向访问主体分配第一访问权限；第二索引根据第二控制机制向访问主体分配第二访问权限；第三索引根据第三控制机制向访问主体分配第三访问权限。

本实施例中，通过三个索引向访问主体分配三级访问权限；使得访问主体在每个级别的索引目录中都获得了相应的访问权限。

403、访问主体根据第一访问权限、第二访问权限和第三访问权限对磁盘文件进行访问。

本实施例中，访问主体根据所得到的三级访问权限，对磁盘文件进行访问；从而使得访问主体根据上述三个访问权限的指引，实现了对访问主体在磁盘文件中不同部分的访问控制。

需要说明的是，在上述实施例中，该第一控制机制、第二控制机制及第三控制机制，指的是在相应索引级别中，访问主体级别与访问权限的对应关系；上述实施例并没有限定该对应关系的具体形式，因此只要是在各级索引中根据访问主体的级别分配访问权限的对应关系，均落入本实施例的保护范围；对于访问主体级别和访问权限在各级索引中的对应关系，说明如下。

本实施例提供了一种在三级目录下，在每级索引中分别构建不同控制机制的情况，如图5所示，包括以下步骤：

501、向第一索引分配第一控制机制，该第一控制机制为多个访问主体级别与磁盘访问权限的对应关系。

本实施例中，根据第一索引所在的级别，第一控制机制负责分配对磁盘的访问权限。

502、向第二索引分配第二控制机制，该第二控制机制为多个访问主体级别与多个文件访问权限的对应关系。

本实施例中，根据第二索引所在的级别，第二控制机制负责分配对磁盘中文件的访问权限。

503、向第三索引分配第三控制机制，该第三控制机制为访问主体级别与磁盘文件中不同部分的子权限的对应关系。

本实施例中，根据第三索引所在的级别，第三控制机制负责分配对磁盘中文件不同部分的访问权限，其中，对磁盘文件中每一部分的访问权限为一个子权限，子权限的全集为第三访问权限。

504、第一索引根据多个访问主体级别与磁盘访问权限的对应关系，向访问主体分配第一访问权限。

本实施例中，该第一访问权限为访问主体对磁盘访问的权限。

505、第二索引根据多个访问主体级别与多个文件访问权限的对应关系，向访问主体分配第二访问权限。

本实施例中，该第二访问权限为访问主体对磁盘中文件进行访问的权限。

506、第三索引根据访问主体级别与磁盘文件中不同部分的子权限的对应关系，向访问主体分配第三访问权限。

本实施例中，该第三访问权限包括多个字子权限，每个子权限为访问主体对磁盘中文件不同部分进行访问的权限。

507、访问主体根据第一访问权限对磁盘文件的磁盘进行访问。

508、访问主体根据第二访问权限对磁盘中的文件进行访问。

509、访问主体根据第三访问权限对磁盘中文件的不同部分进行访问。

需要说明的是，上述步骤504在步骤501之后执行，步骤507在步骤504之后执行；步骤505在步骤502之后执行，步骤508在步骤505之后执行；步骤506在步骤503之后执行，步骤509在步骤506之后执行；上述以外步骤的先后顺序，本实施例不进行限定。

上述实施例中，三个索引通过第一控制机制，第二控制机制及第三控制机制，先后分配了访问主体级别与磁盘，磁盘中的文件以及磁盘中文件不同部分的对应关系，使得访问可以通过三级控制机制所分配的三级访问权限，先后对磁盘、磁盘中的文件以及磁盘中文件的不同部分进行访问，从而实现了访问主体对磁盘文件中不同部分进行访问的权限控制。在访问主体对磁盘文件进行访问的过程中，管理员需要监控访问主体对磁盘文件的访问情况，从而及时地调整策略，防止出现不合法访问的情况，因此需要引入日志，对访问主体访问磁盘文件的情况进行记录，以方便管理员对访问主体访问磁盘的情况进行监控，具体步骤如下：

5011、向第一索引分配第一控制机制，该第一控制机制为多个访问主体级别与磁盘访问权限的对应关系。

5021、向第二索引分配第二控制机制，该第二控制机制为多个访问主体级别与多个文件访问权限的对应关系。

5031、向第三索引分配第三控制机制，该第三控制机制为访问主体级别与磁盘文件中不同部分的子权限的对应关系。

5041、第一索引根据多个访问主体级别与磁盘访问权限的对应关系，向访问主体分配第一访问权限。

5051、第二索引根据多个访问主体级别与多个文件访问权限的对应关系，向访问主体分配第二访问权限。

5061、第三索引根据访问主体级别与磁盘文件中不同部分的子权限的对应关系，向访问主体分配第三访问权限。

5071、访问主体根据第一访问权限对磁盘文件的磁盘进行访问，根据第二访问权限对磁盘中的文件进行访问，根据第三访问权限对磁盘中文件的不同部分进行访问。

上述步骤5011至5071与步骤501至507相同，此处不再赘述。

5081、日志对步骤5071中访问主体对磁盘文件的访问情况进行记录。

本实施例中，日志对访问主体对磁盘文件的访问情况进行记录，并生成日志信息，供管理员查看，方便管理员进行维护，确保文件不被非法访问。

上述实施例中，第一访问权限包括读权限，读写权限，无权限及锁定四种，由于必须要先读取到磁盘内容才能对磁盘进行写入操作，因此第一访问权限不包括写权限；第二访问权限包括读权限、写权限、读写权限、无权限或锁定；第三访问权限包括读权限、写权限、读写权限、无权限或锁定；上述权限按照权限的优先级来排序：读写权限＞读权限＝写权限＞无权限＝锁定；当在三级访问权限中，下一级别访问权限的优先级小于或等于上一级别的优先级，根据三级目录中权限分配情况的不同，按照以第一访问权限的类型来分类，具体有以下三种分配情况：

一.第一访问权限为读权限时；

第二访问权限为读权限；

对应的，第三访问权限为读权限、无权限或锁定；

或者，第二访问权限为无权限，

对应的，第三访问权限为无权限；

或者，第二访问权限为锁定；

对应的，第三访问权限为锁定。

本实施例中，当第一访问权限为读权限时，按照上述权限优先级的排序，第二访问权限和第三访问权限最高只能获得读权限。

二、第二访问权限为读写权限时；

第二访问权限为读写权限；

对应的，第三访问权限为读权限，写权限，读写权限，无权限或锁定；

或者，第二访问权限为读权限；

对应的，第三访问权限为读权限、无权限或锁定；

或者，第二访问权限为写权限；

对应的，第三访问权限为写权限、无权限或锁定；

或者，第二访问权限为无权限或锁定；

对应的，第三访问权限相应地为无权限或锁定。

本实施例中，当第一访问权限为读写权限时，第二访问权限可以为任意一种权限，第三访问权限根据权限的优先级受到第二访问权限的限制。

三、第一访问权限为无权限或锁定时；

第二访问权限响应地为无权限或锁定；

第三访问权限响应地为无权限或锁定。

本实施例中，无权限和锁定是相同的情况，都无法对相应的级别进行访问，因此当上一级别的权限都无法访问的时候，下一级别的权限自然也无法访问了。

上述三个实施例对访问权限具体的类型及分配方式做了介绍，访问主体在各索引级别中根据所获得的访问权限，对该级别的磁盘文件进行访问，以实现对磁盘文件中不同部分的访问控制，需要说明的是，访问主体分配访问进程和访问用户两部分，在向访问主体根据访问权限对磁盘文件进行访问的过程中，磁盘文件对访问主体访问权限的识别，可以分为以下三种方式：一、仅识别访问进程的权限；二、识别访问用户的权限；三、同时识别访问进程和访问用户的权限。以下针对上述三种情况说明如下：

一、仅识别访问进程的权限。

本实施例仅针对访问进程分配权限，访问主体访问磁盘文件时，磁盘文件只检测访问进程是否有权限，请参阅图6，本实施例具体说明如下：

601、磁盘文件索引***向第一索引分配第一控制机制；向第二索引分配第二控制机制；向第三索引分配第三控制机制。

本实施例中，本步骤与步骤401相同，此处不再赘述。

602、第一索引根据所述第一控制机制向访问进程分配第一访问权限；第二索引根据第二控制机制向访问进程分配第二访问权限；第三索引根据第三控制机制向访问进程分配第三访问权限。

本实施例中，本步骤与步骤402相似，此处不再赘述。

603、访问主体根据第一访问权限、第二访问权限和第三访问权限对磁盘文件进行访问。

本实施例中，访问主体对磁盘文件进行访问的过程中，访问用户根据访问进程的第一访问权限、第二访问权限和第三访问权限，对磁盘文件的各个部分进行访问。

本实施例中，只针对访问进程进行权限分配，而不限定访问用户的权限，即任意访问用户只要具有合法的访问进程，即可根据该访问进程的访问权限对磁盘文件的各部分进行相应的访问，本实施例适用只限定访问进程而对访问用户没有要求的文件访问控制***。进一步地，本实施例所提供的具体权限分配方式可参照上述三种分配情况，此处不再赘述。

二、仅识别访问用户的权限。

本实施例仅针对访问用户分配权限，访问主体访问磁盘文件时，磁盘文件只检测访问用户是否有权限，请参阅图7，本实施例具体说明如下：

701、磁盘文件索引***向第一索引分配第一控制机制；向第二索引分配第二控制机制；向第三索引分配第三控制机制。

本实施例中，本步骤与步骤401相同，此处不再赘述。

702、第一索引根据所述第一控制机制向访问用户分配第一访问权限；第二索引根据第二控制机制向访问用户分配第二访问权限；第三索引根据第三控制机制向访问用户分配第三访问权限。

本实施例中，本步骤与步骤402相似，此处不再赘述。

703、访问主体根据第一访问权限、第二访问权限和第三访问权限对磁盘文件进行访问。

本实施例中，访问主体对磁盘文件进行访问的过程中，访问用户根据第一访问权限、第二访问权限和第三访问权限，通过访问进程对磁盘文件的各个部分进行访问。

本实施例中，只针对访问用户进行权限分配，而不限定访问进程的权限，即任意访问用户只要访问权限合法，即可通过自身访问权限使用任意访问进程对磁盘文件的各部分进行相应的访问，本实施例适用只限定访问用户而对访问进程没有要求的文件访问控制***。进一步地，本实施例所提供的具体权限分配方式可参照前述三种分配情况，此处不再赘述。

三、同时识别访问进程和访问用户的权限.

本实施例中，既对访问用户分配权限又对访问进程分配权限，访问主体访问磁盘文件时，必须磁盘文件检测到访问用户和访问进程均具备相应权限，才允许访问。请参阅图8，本实施例具体说明如下：

801、磁盘文件索引***向第一索引分配第一控制机制；向第二索引分配第二控制机制；向第三索引分配第三控制机制。

本实施例中，本步骤与步骤401相同，此处不再赘述。

802、第一索引根据所述第一控制机制向访问进程分配第一访问权限；第二索引根据第二控制机制向访问进程分配第二访问权限；第三索引根据第三控制机制向访问进程分配第三访问权限。

本实施例中，本步骤与步骤402相似，此处不再赘述。

803、第一索引根据所述第一控制机制向访问用户分配第一访问权限；第二索引根据第二控制机制向访问用户分配第二访问权限；第三索引根据第三控制机制向访问用户分配第三访问权限。

本实施例中，本步骤与步骤402相似，此处不再赘述。

804、访问主体根据访问用户和访问主体各自获得的第一访问权限、第二访问权限和第三访问权限对磁盘文件进行访问。

本实施例中，访问用户和访问进程均分配了访问权限，必须访问用户和访问进程同时具备相同权限，访问主体才能够以该权限对磁盘文件进行访问；否则，若访问用户和访问进程权限不同，则访问主体只能按照较低的权限对磁盘文件进行访问。例如，访问用户的第一访问权限为读写权限，访问进程的第一访问权限也为读写权限，则访问主体可以根据读写权限对磁盘进行访问；对应地，若访问用户的第一访问权限为读写权限，访问进程的第一访问权限仅为读权限，则访问主体只能根据读权限对磁盘进行访问。本实施例中针对访问权限具体的分配方式，可参照前述分配情况，此处不再赘述。

上述主要从各级索引与访问主体之间交互的角度对本申请实施例提供的方案进行了介绍。可以理解的是，上述磁盘文件中的索引***为了实现上述功能，其包含了执行各个功能相应的硬件结构和/或软件模块。本领域技术人员应该很容易意识到，结合本文中所公开的实施例描述的各示例的模块及算法步骤，本申请能够以硬件或硬件和计算机软件的结合形式来实现。某个功能究竟以硬件还是计算机软件驱动硬件的方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

从硬件结构上来描述，上述控制多进程访问磁盘文件的方法可以由一个实体设备实现，也可以由多个实体设备共同实现，还可以是一个实体设备内的一个逻辑功能模块，本申请实施例对此不作具体限定。

例如，上述控制多进程访问磁盘文件的方法可以通过图9中的通信设备来实现。图9为本申请实施例提供的通信设备的硬件结构示意图。该通信设备包括至少一个处理器901，通信线路902，存储器903以及至少一个通信接口904。

处理器901可以是一个通用中央处理器(central processing unit，CPU)，微处理器，特定应用集成电路(application-specific integrated circuit，服务器IC)，或一个或多个用于控制本申请方案程序执行的集成电路。

通信线路902可包括一通路，在上述组件之间传送信息。

通信接口904，使用任何收发器一类的装置，用于与其他设备或通信网络通信，如以太网，无线接入网(radio access network，RAN)，无线局域网(wireless local areanetworks，WLAN)等。

存储器903可以是只读存储器(read-only memory，ROM)或可存储静态信息和指令的其他类型的静态存储设备，随机存取存储器(random access memory，RAM)或者可存储信息和指令的其他类型的动态存储设备，也可以是电可擦可编程只读存储器(electricallyer服务器able programmable read-only memory，EEPROM)、只读光盘(compact discread-only memory，CD-ROM)或其他光盘存储、光碟存储(包括压缩光碟、激光碟、光碟、数字通用光碟、蓝光光碟等)、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。存储器可以是独立存在，通过通信线路902与处理器相连接。存储器也可以和处理器集成在一起。

其中，存储器903用于存储执行本申请方案的计算机执行指令，并由处理器901来控制执行。处理器901用于执行存储器903中存储的计算机执行指令，从而实现本申请下述实施例提供的计费管理的方法。

可选的，本申请实施例中的计算机执行指令也可以称之为应用程序代码，本申请实施例对此不作具体限定。

在具体实现中，作为一种实施例，处理器901可以包括一个或多个CPU，例如图9中的CPU0和CPU1。

在具体实现中，作为一种实施例，通信设备可以包括多个处理器，例如图9中的处理器901和处理器907。这些处理器中的每一个可以是一个单核(single-CPU)处理器，也可以是一个多核(multi-CPU)处理器。这里的处理器可以指一个或多个设备、电路、和/或用于处理数据(例如计算机程序指令)的处理核。

在具体实现中，作为一种实施例，通信设备还可以包括输出设备905和输入设备906。输出设备905和处理器901通信，可以以多种方式来显示信息。例如，输出设备905可以是液晶显示器(liquid crystal display，LCD)，发光二级管(light emitting diode，LED)显示设备，阴极射线管(cathode ray tube，CRT)显示设备，或投影仪(projector)等。输入设备906和处理器901通信，可以以多种方式接收用户的输入。例如，输入设备906可以是鼠标、键盘、触摸屏设备或传感设备等。

上述的通信设备可以是一个通用设备或者是一个专用设备。在具体实现中，通信设备可以是台式机、便携式电脑、网络服务器、掌上电脑(personal digital assistant，PDA)、移动手机、平板电脑、无线终端设备、嵌入式设备或有图9中类似结构的设备。本申请实施例不限定通信设备的类型。

本申请实施例可以根据上述方法示例对用户面功能网元和用户面功能网元进行功能单元的划分，例如，可以对应各个功能划分各个功能单元，也可以将两个或两个以上的功能集成在一个处理单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。需要说明的是，本申请实施例中对单元的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。

比如，以采用集成的方式划分各个功能单元的情况下，图10示出了一种控制多进程访问磁盘文件的装置的结构示意图。

如图10所示，本申请实施例提供的控制多进程访问磁盘文件的装置，包括：

控制机制分配单元1001，用于在磁盘文件索引***的各级索引中分配控制机制；

权限分配单元1002，用于在各级索引中根据控制机制分配单元1001分配的控制机制向访问主体分配多级访问权限；

访问单元1003，用于访问主体根据权限分配单元1002分配的多级访问权限对磁盘文件进行访问；

其中，控制机制包括：访问主体级别与访问权限的对应关系。

可选地，该控制机制分配单元1001，用于：向第一索引分配第一控制机制；向第二索引分配第二控制机制；向第三索引分配第三控制机制；其中，第三索引为第二索引的子级别索引，第二索引为第一索引的子级别索引。

对应地，该权限分配单元1002，用于：第一索引根据控制机制分配单元1001分配的第一控制机制向访问主体分配第一访问权限，第一访问权限为访问磁盘的权限；第二索引根据控制机制分配单元1001分配的第二控制机制向访问主体分配第二访问权限，第二访问权限为访问磁盘中文件的权限；第三索引根据控制机制分配单元1001分配的第三控制机制向访问主体分配第三访问权限，第三访问权限为访问磁盘中文件内不同部分的权限。

对应地，该访问单元1003，用于：访问主体根据权限分配单元1002分配的第一访问权限、第二访问权限和第三访问权限对磁盘文件进行访问。

可选地，控制机制分配单元1001中：第一控制机制包括多个访问主体级别与磁盘访问权限的对应关系，磁盘访问权限包括读权限、读写权限、无权限或锁定；第二控制机制包括多个访问主体级别与多个文件访问权限的对应关系，文件访问权限包括读权限、写权限、读写权限、无权限或锁定；第三控制机制包括访问主体级别与磁盘文件中不同部分的子权限的对应关系，子权限包括读权限、写权限、读写权限、无权限或锁定。

对应地，该权限分配单元1002，用于：第一索引根据控制机制分配单元1001分配的多个访问主体级别与磁盘访问权限的对应关系，向访问主体分配对磁盘的读权限、读写权限、无权限或锁定；第二索引根据控制机制分配单元1001分配的多个访问主体级别与多个文件访问权限的对应关系，向访问主体分配对磁盘内文件的读权限、写权限、读写权限、无权限或锁定；第三索引根据控制机制分配单元1001分配的访问主体级别与磁盘文件中不同部分的子权限的对应关系，向访问主体分配对磁盘内文件不同部分的读权限、写权限、读写权限、无权限或锁定。

对应地，该访问单元1003，用于：访问主体根据权限分配单元1002分配的读权限、读写权限、无权限或锁定对磁盘进行访问，访问主体根据权限分配单元1002分配的读权限、写权限、读写权限、无权限或锁定对磁盘内的文件进行访问，访问主体根据权限分配单元1002分配的读权限、写权限、读写权限、无权限或锁定对磁盘内文件的不同部分进行访问。

可选地，装置还包括日志单元1004，用于记录访问主体对磁盘文件的访问情况。

在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。

该计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行该计算机程序指令时，全部或部分地产生按照本发明实施例该的流程或功能。该计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。该计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一计算机可读存储介质传输，例如，该计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(DSL))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。该计算机可读存储介质可以是计算机能够存储的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。该可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，DVD)、或者半导体介质(例如固态硬盘Solid State Disk(SSD))等。

本领域普通技术人员可以理解上述实施例的各种方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，该程序可以存储于一计算机可读存储介质中，存储介质可以包括：ROM、RAM、磁盘或光盘等。

以上对本发明实施例所提供的控制多进程访问磁盘文件的方法、装置、终端设备及存储介质进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (10)

1.一种控制多进程访问磁盘文件的方法，其特征在于，包括：

在磁盘文件索引***的各级索引中分配控制机制；

所述各级索引根据所述控制机制向访问主体分配多级访问权限；

所述访问主体根据所述多级访问权限对磁盘文件进行访问；

其中，所述控制机制包括：访问主体级别与访问权限的对应关系。

2.根据权利要求1所述的方法，其特征在于，

所述在磁盘文件索引***的各级索引中分配控制机制，包括：

向第一索引分配第一控制机制；

向第二索引分配第二控制机制；

向第三索引分配第三控制机制；

其中，所述第三索引为所述第二索引的子级别索引，所述第二索引为所述第一索引的子级别索引；

所述各级索引根据控制机制向访问主体分配多级访问权限，包括：

所述第一索引根据所述第一控制机制向所述访问主体分配第一访问权限，所述第一访问权限为访问磁盘的权限；

所述第二索引根据所述第二控制机制向所述访问主体分配第二访问权限，所述第二访问权限为访问磁盘中文件的权限；

所述第三索引根据所述第三控制机制向所述访问主体分配第三访问权限，所述第三访问权限为访问磁盘中文件内不同部分的权限；

所述访问主体根据所述多级访问权限对磁盘文件进行访问，包括：

所述访问主体根据所述第一访问权限、所述第二访问权限和所述第三访问权限对磁盘文件进行访问。

3.根据权利要求2所述的方法，其特征在于，

所述第一控制机制包括：多个访问主体级别与磁盘访问权限的对应关系，所述磁盘访问权限包括读权限、读写权限、无权限或锁定；

所述第二控制机制包括：多个访问主体级别与多个文件访问权限的对应关系，所述文件访问权限包括读权限、写权限、读写权限、无权限或锁定；

所述第三控制机制包括：访问主体级别与磁盘文件中不同部分的子权限的对应关系，所述子权限包括读权限、写权限、读写权限、无权限或锁定；

所述第一索引根据所述第一控制机制向访问主体分配第一访问权限，包括：

所述第一索引根据多个访问主体级别与磁盘访问权限的对应关系，向所述访问主体分配对磁盘的读权限、读写权限、无权限或锁定；

所述第二索引根据所述第二控制机制向访问主体分配第二访问权限，包括：

所述第二索引根据多个访问主体级别与多个文件访问权限的对应关系，向所述访问主体分配对磁盘内文件的读权限、写权限、读写权限、无权限或锁定；

所述第三索引根据所述第三控制机制向所述访问主体分配第三访问权限，包括：

所述第三索引根据访问主体级别与磁盘文件中不同部分的子权限的对应关系，向所述访问主体分配对磁盘内文件不同部分的读权限、写权限、读写权限、无权限或锁定；

所述访问主体根据所述第一访问权限、所述第二访问权限和所述第三访问权限对磁盘文件进行访问，包括：

所述访问主体根据读权限、读写权限、无权限或锁定对磁盘进行访问，所述访问主体根据读权限、写权限、读写权限、无权限或锁定对磁盘内的文件进行访问，所述访问主体根据读权限、写权限、读写权限、无权限或锁定对磁盘内文件的不同部分进行访问。

4.根据权利要求1至3所述的方法，其特征在于，所述磁盘文件还包括日志，用于记录所述访问主体对所述磁盘文件的访问情况。

5.一种控制多进程访问磁盘文件的装置，其特征在于，包括：

控制机制分配单元，用于在磁盘文件索引***的各级索引中分配控制机制；

权限分配单元，用于在所述各级索引中根据所述控制机制分配单元分配的所述控制机制向访问主体分配多级访问权限；

访问单元，用于所述访问主体根据权限分配单元分配的所述多级访问权限对磁盘文件进行访问；

其中，所述控制机制包括：访问主体级别与访问权限的对应关系。

6.根据权利要求5所述的装置，其特征在于，

所述控制机制分配单元，用于：

向第一索引分配第一控制机制；

向第二索引分配第二控制机制；

向第三索引分配第三控制机制；

其中，所述第三索引为所述第二索引的子级别索引，所述第二索引为所述第一索引的子级别索引；

所述权限分配单元，用于：

所述第一索引根据所述控制机制分配单元分配的所述第一控制机制向访问主体分配第一访问权限，所述第一访问权限为访问磁盘的权限；

所述第二索引根据所述控制机制分配单元分配的所述第二控制机制向访问主体分配第二访问权限，所述第二访问权限为访问磁盘中文件的权限；

所述第三索引根据所述控制机制分配单元分配的所述第三控制机制向所述访问主体分配第三访问权限，所述第三访问权限为访问磁盘中文件内不同部分的权限；

所述访问单元，用于：

所述访问主体根据所述权限分配单元分配的所述第一访问权限、所述第二访问权限和所述第三访问权限对磁盘文件进行访问。

7.根据权利要求6所述的装置，其特征在于，

所述控制机制分配单元中：

所述第一控制机制包括：多个访问主体级别与磁盘访问权限的对应关系，所述磁盘访问权限包括读权限、读写权限、无权限或锁定；

所述第二控制机制包括：多个访问主体级别与多个文件访问权限的对应关系，所述文件访问权限包括读权限、写权限、读写权限、无权限或锁定；

所述第三控制机制包括：访问主体级别与磁盘文件中不同部分的子权限的对应关系，所述子权限包括读权限、写权限、读写权限、无权限或锁定；

所述权限分配单元，用于：

所述第一索引根据所述控制机制分配单元分配的多个访问主体级别与磁盘访问权限的对应关系，向所述访问主体分配对磁盘的读权限、读写权限、无权限或锁定；

所述第二索引根据所述控制机制分配单元分配的多个访问主体级别与多个文件访问权限的对应关系，向所述访问主体分配对磁盘内文件的读权限、写权限、读写权限、无权限或锁定；

所述第三索引根据所述控制机制分配单元分配的访问主体级别与磁盘文件中不同部分的子权限的对应关系，向所述访问主体分配对磁盘内文件不同部分的读权限、写权限、读写权限、无权限或锁定；

所述访问单元，用于：

所述访问主体根据所述权限分配单元分配的读权限、读写权限、无权限或锁定对磁盘进行访问，所述访问主体根据所述权限分配单元分配的读权限、写权限、读写权限、无权限或锁定对磁盘内的文件进行访问，所述访问主体根据所述权限分配单元分配的读权限、写权限、读写权限、无权限或锁定对磁盘内文件的不同部分进行访问。

8.根据权利要求5至7所述的装置，其特征在于，所述装置还包括日志单元，用于记录所述访问主体对所述磁盘文件的访问情况。

9.一种网络设备，其特征在于，所述网络设备包括：交互装置、输入/输出(I/O)接口、处理器和存储器，所述存储器中存储有程序指令；

所述交互装置用于获取用户输入的操作指令；

所述处理器用于执行存储器中存储的程序指令，执行如权利要求1-4任一所述的方法。

10.一种计算机可读存储介质，包括指令，其特征在于，当所述指令在计算机设备上运行时，使得所述计算机设备执行如权利要求1-4中任一项所述的方法。