权限管理方法和电子设备与流程

1.本技术涉及终端技术领域，尤其涉及一种权限管理方法和电子设备。


背景技术：

2.随着终端技术的发展，在一些终端的应用使用场景下，需要对终端的应用提供的内容或服务进行的授权范围进行管理。使用者在浏览或使用应用内的内容或服务时，需要得到相关许可。比如，许可可以包括：使用者是否是成年人、是否隶属于某组织、是否有浏览或使用的权限等等。
3.现有的实现方式是由终端中的各个应用独自处理其提供的内容或服务的授权范围。在涉及到多个应用或平台时，使用者需要在每个应用中注册组织账号，来实现管理和同步组织内子账号对应用的内容或服务的使用权限。
4.但是，这种各个应用独自处理所提供的内容或服务的权限的方法，使用者管理各个应用中内容或服务的授权范围的流程复杂。


技术实现要素：

5.本技术提供一种权限管理方法和电子设备，在不同的场景下，可以对应用中的内容或终端提供的服务进行权限管控，实现精细化的内容与服务的授权管理，满足不同场景下的用户需求。为达到上述目的，本技术的实施例采用如下技术方案。
6.第一方面，提供了一种权限管理方法，该方法包括：
7.第一方面，提供一种权限管理方法，应用于授权中心、多个管控应用和多个通用应用，管控应用与通用应用安装同一个终端上，授权中心是配置在终端、用于管理多个通用应用的使用权限的服务，管控应用用于管理一个或多个通用应用，该方法包括：
8.授权中心获取第一管控信息；第一管控信息包括多个通用应用中每个通用应用的内容管控信息、服务管控信息和用户身份信息；内容管控信息包括对应通用应用允许访问的内容类别和对应通用应用允许访问的用户标识，用户身份信息用于指示对应通用应用所安装的终端的身份标识，服务管控信息包括对应通用应用允许访问的服务类别。
9.授权中心接收来自多个通用应用中第一通用应用发送的查询请求；查询请求用于查询第一通用应用所安装的终端是否有权限访问目标对象；目标对象包括第一通用应用的内容和第一通用应用的服务中至少一种。
10.授权中心响应于查询请求，根据第一管控信息，从多个管控应用中确定与第一通用应用所安装的终端对应的目标管控应用。
11.授权中心向目标管控应用发送目标对象的授权请求，并接收目标管控应用返回的授权结果；授权请求用于请求目标管控应用查询第一通用应用所安装的终端是否有权限访问目标对象。
12.授权中心将授权结果返回至第一通用应用。
13.在本技术中，管控应用或通用应用可以向授权中心发送通用应用的管控信息，在
通用需要访问内容或服务的情况下，通用应用向授权中心发送目标对象的查询请求，授权中心响应于该查询请求，从管控信息中确定与通用应用所安装的终端对应的目标管控应用。授权中心向该目标管控应用发送授权请求。目标管控应用响应于该授权请求，查询通用应用所安装的终端是否有权限访问目标对象，得到授权结果。管控应用将授权结果返回至授权中心，实现目标对象的权限管理。授权中心将该授权结果发送至通用应用。通用应用基于授权结果，确定所安装的终端有权限访问目标对象，或者，无权限访问目标对象。其中，授权中心与通用应用、管控应用通过预设的接口进行通信。目标对象可以为通用应用中的内容或服务。由于授权中心可以获取终端本地各个通用应用的管控信息和各个管控应用的信息，在当前通用应用触发目标对象的访问时，可以及时向授权中心发送查询请求，授权中心可以基于终端本地各个通用应用的管控信息和各个管控应用的信息，确定与当前通用应用所安装的终端对应的目标管控应用，从而向目标管控应用发送目标对象的授权请求，以此得到管控应用查询到的通用应用所安装的终端访问目标对象的授权结果。从而实现了授权中心对通用应用的内容或服务的授权范围的管理，细化了通用应用的权限管理粒度，优化了用户的使用体验。
14.在第一方面的一种可能的实现方式中，多个通用应用通过多个第一预设接口与授权中心进行通信，多个通用应用与多个第一预设接口一一对应；多个管控应用通过多个第二预设接口与授权中心进行通信，多个管控应用与多个第二预设接口一一对应。
15.本技术中，通过在授权中心增设第一预设接口和第二预设接口，可以实现授权中心与通用应用、管控应用的内部数据交互，在存在多个管控应用对多个通用应用的内容权限管控场景下，授权中心作为管控应用于通用应用之间的中介方，可以起到多个通用应用的查询请求的接收与向多个管控应用针对性地发送授权请求的目的，实现了不同场景下对通用应用的内容或服务的授权范围的管理，优化了用户的使用体验。
16.在第一方面的另一种可能的实现方式中，授权中心可以从多个管控应用获取到第一管控信息。具体的，授权中心获取第一管控信息，包括：授权中心接收多个管控应用中每个管控应用发送的第二管控信息；第一管控信息包括多个管控应用发送的第二管控信息。
17.在该实现方式中，用户可以通过管控应用配置第二管控信息，从而授权中心接收来自于管控应用的第二管控信息。基于管控应用进行第二管控信息的配置与发送，管控应用作为管理者所使用的应用，管理应用中包括管理者相应地企业信息，可以减少管控信息中用户身份信息的录入量，简化第二管控信息的配置流程。
18.在第一方面的另一种可能的实现方式中，在授权中心接收多个管控应用中每个管控应用发送的第二管控信息之前，该方法还包括：授权中心分别根据多个管控应用中每个管控应用的应用签名指纹，确定每个管控应用是否可信。
19.其中，授权中心获取第一管控信息，包括：如果管控应用可信，授权中心接收多个管控应用中每个管控应用发送的第二管控信息。在该实现方式中，授权中心只接收来自可信的管控应用的第二管控信息。这样，可以保证第二管控信息的可靠性。
20.在第一方面的另一种可能的实现方式中，授权中心可以从多个通用应获取到第一管控信息。具体的，授权中心获取第一管控信息，包括：授权中心接收多个通用应用中每个通用应用发送的第三管控信息；第一管控信息包括多个通用应用发送的第三管控信息。
21.在该实现方式中，用户可以通过通用应用配置第三管控信息，从而授权中心接收
来自于通用应用的第三管控信息。基于通用应用进行第三管控信息的配置与发送，通用应用中包括了应用内部的所有内容与服务，基于应用内部的所有内容与服务进行管控信息的配置，其配置的粒度更细致，使得管控信息的权限管控粒度更准确。
22.第二方面，提供一种权限管理方法，应用于授权中心、多个管控应用和多个通用应用，管控应用与通用应用安装同一个终端上，授权中心是配置在终端、用于管理多个通用应用的使用权限的服务，管控应用用于管理一个或多个通用应用，该方法包括：
23.管控应用向授权中心发送的第一管控信息；第一管控信息包括多个通用应用中每个通用应用的内容管控信息、服务管控信息和用户身份信息；内容管控信息包括对应通用应用允许访问的内容类别和对应通用应用允许访问的用户标识，用户身份信息用于指示对应通用应用所安装的终端的身份标识，服务管控信息包括对应通用应用允许访问的服务类别。
24.管控应用接收授权中心发送的目标对象的授权请求；授权请求为授权中心在接收到来自多个通用应用中第一通用应用发送的查询请求时，根据第一管控信息从多个管控应用中确定与第一通用应用所安装的终端对应的管控应用的情况下发送的；目标对象包括第一通用应用的内容和第一通用应用的服务中至少一种；查询请求用于查询第一通用应用所安装的终端是否有权限访问目标对象；授权请求用于请求目标管控应用查询第一通用应用所安装的终端是否有权限访问目标对象。
25.管控应用响应于授权请求，查询第一通用应用所安装的终端是否有权限访问目标对象，得到授权结果。
26.管控应用向授权中心发送授权结果，以使授权中心将授权结果返回至第一通用应用。
27.在本技术中，管控应用或通用应用可以向授权中心发送通用应用的管控信息，在通用需要访问内容或服务的情况下，通用应用向授权中心发送目标对象的查询请求，授权中心响应于该查询请求，从管控信息中确定与通用应用所安装的终端对应的目标管控应用。授权中心向该目标管控应用发送授权请求。目标管控应用响应于该授权请求，查询通用应用所安装的终端是否有权限访问目标对象，得到授权结果。管控应用将授权结果返回至授权中心，实现目标对象的权限管理。授权中心将该授权结果发送至通用应用。通用应用基于授权结果，确定所安装的终端有权限访问目标对象，或者，无权限访问目标对象。其中，授权中心与通用应用、管控应用通过预设的接口进行通信。目标对象可以为通用应用中的内容或服务。由于授权中心可以获取终端本地各个通用应用的管控信息和各个管控应用的信息，在当前通用应用触发目标对象的访问时，可以及时向授权中心发送查询请求，授权中心可以基于终端本地各个通用应用的管控信息和各个管控应用的信息，确定与当前通用应用所安装的终端对应的目标管控应用，从而向目标管控应用发送目标对象的授权请求，以此得到管控应用查询到的通用应用所安装的终端访问目标对象的授权结果。从而实现了授权中心对通用应用的内容或服务的授权范围的管理，细化了通用应用的权限管理粒度，优化了用户的使用体验。
28.在第二方面的另一种可能的实现方式中，多个通用应用通过多个第一预设接口与授权中心进行通信，多个通用应用与多个第一预设接口一一对应；多个管控应用通过多个第二预设接口与授权中心进行通信，多个管控应用与多个第二预设接口一一对应。
29.本技术中，通过在授权中心增设第一预设接口和第二预设接口，可以实现授权中心与通用应用、管控应用的内部数据交互，在存在多个管控应用对多个通用应用的内容权限管控场景下，授权中心作为管控应用于通用应用之间的中介方，可以起到多个通用应用的查询请求的接收与向多个管控应用针对性地发送授权请求的目的，实现了不同场景下对通用应用的内容或服务的授权范围的管理，优化了用户的使用体验。
30.在第二方面的另一种可能的实现方式中，管控应用响应于授权请求，查询第一通用应用所安装的终端是否有权限访问目标对象，得到授权结果，包括：
31.管控应用响应于授权请求，获取第一管控信息；基于第一管控信息，查询第一通用应用所安装的终端是否有权限访问目标对象，得到授权结果。
32.本技术中，管控应用中存储着与第一通用应用所安装的终端对应的管控信息，通过管控应用来查询第一通用应用所安装的终端是否有权限访问目标对象，查询效率更高。
33.第三方面，提供一种权限管理方法，应用于授权中心、多个管控应用和多个通用应用，管控应用与通用应用安装同一个终端上，授权中心是配置在终端、用于管理多个通用应用的使用权限的服务，管控应用用于管理一个或多个通用应用，该方法包括：
34.在通用应用处于第一状态的情况下，向授权中心发送目标对象的查询请求；目标对象包括通用应用的内容和通用应用的服务中至少一种；查询请求用于查询通用应用所安装的终端是否有权限访问目标对象。
35.通用应用接收授权中心返回的授权结果；授权结果为授权中心响应于查询请求，从多个管控应用中确定与通用应用所安装的终端对应的目标管控应用，并向目标管控应用发送目标对象的授权请求，目标管控应用响应于授权请求，查询第一通用应用所安装的终端是否有权限访问目标对象，向授权中心返回的。
36.在本技术中，管控应用或通用应用可以向授权中心发送通用应用的管控信息，在通用需要访问内容或服务的情况下，通用应用向授权中心发送目标对象的查询请求，授权中心响应于该查询请求，从管控信息中确定与通用应用所安装的终端对应的目标管控应用。授权中心向该目标管控应用发送授权请求。目标管控应用响应于该授权请求，查询通用应用所安装的终端是否有权限访问目标对象，得到授权结果。管控应用将授权结果返回至授权中心，实现目标对象的权限管理。授权中心将该授权结果发送至通用应用。通用应用基于授权结果，确定所安装的终端有权限访问目标对象，或者，无权限访问目标对象。其中，授权中心与通用应用、管控应用通过预设的接口进行通信。目标对象可以为通用应用中的内容或服务。由于授权中心可以获取终端本地各个通用应用的管控信息和各个管控应用的信息，在当前通用应用触发目标对象的访问时，可以及时向授权中心发送查询请求，授权中心可以基于终端本地各个通用应用的管控信息和各个管控应用的信息，确定与当前通用应用所安装的终端对应的目标管控应用，从而向目标管控应用发送目标对象的授权请求，以此得到管控应用查询到的通用应用所安装的终端访问目标对象的授权结果。从而实现了授权中心对通用应用的内容或服务的授权范围的管理，细化了通用应用的权限管理粒度，优化了用户的使用体验。
37.在第三方面的另一种可能的实现方式中，多个通用应用通过多个第一预设接口与授权中心进行通信，多个通用应用与多个第一预设接口一一对应；多个管控应用通过多个第二预设接口与授权中心进行通信，多个管控应用与多个第二预设接口一一对应。
38.本技术中，通过在授权中心增设第一预设接口和第二预设接口，可以实现授权中心与通用应用、管控应用的内部数据交互，在存在多个管控应用对多个通用应用的内容权限管控场景下，授权中心作为管控应用于通用应用之间的中介方，可以起到多个通用应用的查询请求的接收与向多个管控应用针对性地发送授权请求的目的，实现了不同场景下对通用应用的内容或服务的授权范围的管理，优化了用户的使用体验。
39.在第三方面的另一种可能的实现方式中通用应用处于第一状态，包括：通用应用需要访问通用应用中的内容，或需要访问通用应用中的服务端状态。
40.在该实现方式中，通用应用可以基于用户访问内容或服务的操作触发向授权中心发送查询请求，可以及时地获取用户当前访问内容或服务的授权结果，从而实现对当前访问内容或服务的相应地操作。
41.在第三方面的另一种可能的实现方式中在向授权中心发送目标对象的查询请求之前，该方法还包括：通用应用根据授权中心的签名指纹，确定授权中心是否可信。
42.向授权中心发送目标对象的查询请求，包括：如果授权中心可信，通用应用向授权中心发送目标对象的查询请求。
43.在该实现方式中，通用应用只向可信的授权中心发送目标对象的查询请求。这样，通用应用不会泄露当前终端所进行的操作，可以保证通用应用的操作安全性和访问安全性。
44.可以理解地，上述提供的第二方面和第三方面及任一种可能的实现方式所述的方法所能达到的有益效果，可参考第一方面及其任一种可能的实现方式中的有益效果，此处不再赘述。
45.第四方面，提供了一种电子设备，该电子设备包括存储器和一个或多个处理器；所述存储器与所述处理器耦合；所述存储器中存储有计算机程序代码，所述计算机程序代码包括计算机指令，当所述计算机指令被所述处理器执行时，使得所述电子设备执行如上述第一方面、第二方面、第三方面及其任一种可能的实现方式所述的方法。
46.第五方面，提供了一种计算机可读存储介质，该计算机可读存储介质中存储有指令，当其在电子设备上运行时，使得电子设备可以执行上述第一方面中任一项所述的方法。
47.第六方面，提供了一种包含指令的计算机程序产品，当其在电子设备上运行时，使得电子设备可以执行上述第一方面中任一项所述的方法。
48.第七方面，本技术实施例提供了一种芯片，芯片包括处理器，处理器用于调用存储器中的计算机程序，以执行如第一方面的方法。
49.可以理解地，上述提供的第四方面所述的电子设备，第五方面所述的计算机可读存储介质，第六方面所述的计算机程序产品，第七方面所述的芯片所能达到的有益效果，可参考第一方面、第二方面、第三方面及其任一种可能的设计方式中的有益效果，此处不再赘述。
附图说明
50.图1为本技术实施例提供的现有的应用权限管理系统结构示意图；
51.图2为本技术实施例提供的权限管理方法的应用环境示意图；
52.图3为本技术实施例提供的一种场景下系统结构示意图；
53.图4为本技术实施例提供的电子设备的硬件结构示意图；
54.图5为本技术实施例提供的电子设备的软件架构示意图；
55.图6为本技术实施例提供的权限管理方法的流程图；
56.图7为本技术实施例提供的一种场景下权限管理方法的环境示意图；
57.图8为本技术实施例提供的另一种场景下权限管理方法的环境示意图；
58.图9为本技术实施例提供的一种芯片系统的结构示意图。
具体实施方式
59.在本技术实施例的描述中，以下实施例中所使用的术语只是为了描述特定实施例的目的，而并非旨在作为对本技术的限制。如在本技术的说明书和所附权利要求书中所使用的那样，单数表达形式“一种”、“所述”、“上述”、“该”和“这一”旨在也包括例如“一个或多个”这种表达形式，除非其上下文中明确地有相反指示。还应当理解，在本技术以下各实施例中，“至少一个”、“一个或多个”是指一个或两个以上(包含两个)。术语“和/或”，用于描述关联对象的关联关系，表示可以存在三种关系；例如，a和/或b，可以表示：单独存在a，同时存在a和b，单独存在b的情况，其中a、b可以是单数或者复数。字符“/”一般表示前后关联对象是一种“或”的关系。
60.在本说明书中描述的参考“一个实施例”或“一些实施例”等意味着在本技术的一个或多个实施例中包括结合该实施例描述的特定特征、结构或特点。由此，在本说明书中的不同之处出现的语句“在一个实施例中”、“在一些实施例中”、“在其他一些实施例中”、“在另外一些实施例中”等不是必然都参考相同的实施例，而是意味着“一个或多个但不是所有的实施例”，除非是以其他方式另外特别强调。术语“包括”、“包含”、“具有”及它们的变形都意味着“包括但不限于”，除非是以其他方式另外特别强调。术语“连接”包括直接连接和间接连接，除非另外说明。“第一”、“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量。
61.在本技术实施例中，“示例性的”或者“例如”等词用于表示作例子、例证或说明。本技术实施例中被描述为“示例性的”或者“例如”的任何实施例或设计方案不应被解释为比其它实施例或设计方案更优选或更具优势。确切而言，使用“示例性的”或者“例如”等词旨在以具体方式呈现相关概念。
62.随着终端技术的发展，在一些终端的应用使用场景下，需要对终端的应用提供的内容或服务进行的授权范围进行管理。使用者在浏览或使用应用内的内容或服务时，需要得到相关许可。比如，许可可以包括：使用者是否是成年人、是否隶属于某组织、是否有浏览或使用的权限等等。
63.现有技术中提供了一种针对企业使用场景下，应用授权范围的管控方案，参考图1。用户可以通过图1所示的管控端创建账户(比如，图1中的1)，并在管控端配置对应的服务器，也即，将服务器注册至管控端(比如，图1中的2)。在将服务器注册至管控端之后，服务器可以启动与管控端之间的安全连接(比如，图1中的3)，以实现服务器与管控端之间的通信。用户可基于图1所示的服务器进行各个应用的授权范围的配置设置(比如，图1中的4)，比如，进行同步设备(比如，图1中的5)、关联用户(比如，图1中的6)等操作。这里同步设备指的是同步企业范围内的设备；关联用户指的是关联企业内部的用户。在设备被激活的情况下
(比如，图1中的7)，设备与服务器进行通信(比如，图1中的8)，服务器完成设备的设置登录操作(比如，图1中的9)，从而使得激活的设备可被服务器管理(比如，图1中的10)。在这种场景下，企业内部设备可根据服务器配置的各个应用的授权范围的配置，对有权的应用进行查看或使用。然而，这种管控方案限制于对应用进行权限管控，无法实现对应用内部的内容进行权限管控。
64.现有的技术还提供了一种针对应用内容管控的方案。例如，某个办公应用包括文档、报表、演示文稿等不同类型的内容文件。通过设定办公应用内部的内容文件的授权范围，实现不同的设备来查看使用不同授权范围的内容文件。示例性地，在进行应用管理时，管理员可以添加应用并将其分配给用户组合设备，其中，用户组合设备包括特定组中的用户、特定组中的设备等。将应用配置为启动特定设置后启动或运行，并更新用户组合设备上的现有应用。查看有关使用哪些应用的报表，并跟踪其使用情况。通过从应用中删除组织数据来执行选择性擦除。针对应用内部的数据(内容)的管理上，使用预设标识将组织数据与个人数据隔离。也即，将个人信息与组织信息识别隔离。使用组织凭据访问的数据被授予其他安全保护。通过限制用户可执行的操作(例如复制和粘贴、保存以及查看)来帮助保护个人设备上的访问权限。这种方法可以在指定服务器中已注册的设备上创建和部署。在已注册的设备上，应用保护策略可以添加额外的保护层。然而，这种方法只适用于指定的某一个办公应用，无法应用于其他应用中。
65.现有的的技术还提供了一种针对应用内容管控的方案。由终端中的各个应用独自处理其提供的内容或服务的授权范围。在涉及到多个应用或平台时，使用者需要在每个应用中注册组织账号，来实现管理和同步组织内子账号对应用的内容或服务的使用权限。
66.但是，这种各个应用独自处理所提供的内容或服务的权限的方法，使用者管理各个应用中内容或服务的授权范围的流程复杂。
67.基于上述这些问题，本实施例提供了一种权限管理方法，应用于授权中心、多个管控应用和多个通用应用的场景中。每个管控应用安装在一个第一终端上，多个通用应用安装在至少一个第二终端上，一个管控应用用于管理一个或多个第二终端上的通用应用。
68.参考图2，图2给出了本实施例提供的权限管理方法的应用环境意图。管控应用或通用应用可以向授权中心发送通用应用的管控信息。其中，管控信息包括内容管控信息、服务管控信息和用户身份信息。在通用应用查看或使用内容(或服务)的情况下，通用应用向授权中心发送目标对象的查询请求，授权中心在接收到通用应用发送的目标对象的查询请求的情况下，响应于该查询请求，根据管控信息确定与通用应用所安装的终端对应的目标管控应用。授权中心向该目标管控应用发送授权请求。目标管控应用响应于该授权请求，查询通用应用所安装的终端是否有权限访问目标对象，得到授权结果。管控应用将授权结果返回至授权中心，实现目标对象的权限管理。授权中心将该授权结果发送至通用应用。通用应用基于授权结果，确定所安装的终端有权限访问目标对象，或者，无权限访问目标对象。其中，授权中心与通用应用、管控应用通过预设的接口进行通信。目标对象可以为通用应用中的内容或服务。
69.示例性地，管控应用为具有第一预设接口的应用，其用于提供企业身份认证、内容/服务授权能力。通用应用为具有第二预设接口的应用，通用应用为面向用户的内容或服务提供商的应用，例如微信
tm
、抖音
tm
、优酷
tm
、百度网盘
tm
等。
70.在一些实施例中，本实施提供的权限管理方法可应用于图3所示的系统环境中。参考图3，图3给出了一种授权中心、多个管控应用、多个通用应用的系统环境示意图。
71.其中，多个管控应用、多个通用应用安装在同一个终端，授权中心是配置在该终端上、用于管理多个通用应用的使用权限的服务。
72.多个通用应用通过多个第一预设接口与授权中心进行通信，多个通用应用与多个第一预设接口一一对应；多个管控应用通过多个第二预设接口与授权中心进行通信，多个管控应用与多个第二预设接口一一对应。
73.本技术中，通过在授权中心增设第一预设接口和第二预设接口，可以实现授权中心与通用应用、管控应用的数据交互，在存在多个管控应用对多个通用应用的内容权限管控场景下，授权中心作为管控应用于通用应用之间的中介方，可以起到多个通用应用的查询请求的接收与向多个管控应用针对性地发送授权请求的目的，实现了不同场景下对通用应用的内容或服务的授权范围的管理。
74.由于授权中心中存储着各个通用应用的管控信息和各个管控应用的信息等，在当前通用应用触发目标对象的访问时，可以及时向授权中心发送查询请求，授权中心可以基于本地存储的各个通用应用的管控信息和各个管控应用的信息，确定与当前通用应用所安装的终端对应的目标管控应用，从而向目标管控应用发送目标对象的授权请求，以此得到管控应用查询到的通用应用所安装的终端访问目标对象的授权结果。从而实现了对通用应用的内容或服务的授权范围的管理，细化了通用应用的权限管理粒度，优化了用户的使用体验。
75.以上述图3给出的系统环境为例来说明本技术提供的权限管理方法。本技术实施例中的电子设备100可以为安装有上述实施例中提及到的管控应用、通用应用以及配置有授权中心服务的电子设备。示例性地，电子设备可以为便携式计算机(如手机)、平板电脑、笔记本电脑、个人计算机(personal computer，pc)、可穿戴电子设备(如智能手表)、增强现实(augmented reality，ar)\虚拟现实(virtual reality，vr)设备、车载电脑等，以下实施例对该电子设备的具体形式不做特殊限制。
76.请参考图4，其示出本技术实施例提供一种电子设备(如电子设备100)的结构框图。其中，电子设备100可以包括处理器310，外部存储器接口320，内部存储器321，通用串行总线(universal serial bus，usb)接口330，充电管理模块340，电源管理模块341，电池342，天线1，天线2，射频模块350，通信模块360，音频模块370，扬声器370a，受话器370b，麦克风370c，耳机接口370d，传感器模块380，按键390，马达391，指示器392，摄像头393，显示屏394，以及用户标识模块(subscriber identification module，sim)卡接口395等。
77.本发明实施例示意的结构并不构成对电子设备100的限定。可以包括比图示更多或更少的部件，或者组合某些部件，或者拆分某些部件，或者不同的部件布置。图示的部件可以以硬件，软件或软件和硬件的组合实现。
78.处理器310可以包括一个或多个处理单元。例如，处理器310可以包括应用处理器(applicationprocessor，ap)，调制解调处理器，图形处理器(graphics processing unit，gpu)，图像信号处理器(image signal processor，isp)，控制器，存储器，视频编解码器，数字信号处理器(digital signal processor，dsp)，基带处理器，和/或神经网络处理器(neural-network processing unit，npu)等。其中，不同的处理单元可以是独立的器件，也
可以集成在一个或多个处理器中。
79.上述控制器可以是指挥电子设备100的各个部件按照指令协调工作的决策者。是电子设备100的神经中枢和指挥中心。控制器根据指令操作码和时序信号，产生操作控制信号，完成取指令和执行指令的控制。
80.处理器310中还可以设置存储器，用于存储指令和数据。在一些实施例中，处理器310中的存储器为高速缓冲存储器，可以保存处理器310刚用过或循环使用的指令或数据。如果处理器310需要再次使用该指令或数据，可从所述存储器中直接调用。避免了重复存取，减少了处理器310的等待时间，因而提高了系统的效率。
81.在一些实施例中，处理器310可以包括接口。接口可以包括集成电路(inter-integrated circuit，i2c)接口，集成电路内置音频(inter-integrated circuit sound，i2s)接口，脉冲编码调制(pulse code modulation，pcm)接口，通用异步收发传输器(universal asynchronous receiver/transmitter，uart)接口，移动产业处理器接口(mobile industryprocessor interface，mipi)，通用输入输出(general-purpose input/output，gpio)接口，sim接口，和/或usb接口等。
82.gpio接口可以通过软件配置。gpio接口可以配置为控制信号，也可配置为数据信号。在一些实施例中，gpio接口可以用于连接处理器310与摄像头393，显示屏394，通信模块360，音频模块370，传感器模块380等。gpio接口还可以被配置为i2c接口，i2s接口，uart接口，mipi接口等。
83.本实施例中可以设定gpio接口来实现使用端使用应用时与授权中心的通信；管控端配置信息时与授权中心的通信。
84.本发明实施例示意的各模块间的接口连接关系，只是示意性说明，并不构成对电子设备100的结构限定。电子设备100可以采用本发明实施例中不同的接口连接方式，或多种接口连接方式的组合。
85.充电管理模块340用于从充电器接收充电输入。其中，充电器可以是无线充电器，也可以是有线充电器。在一些有线充电的实施例中，充电管理模块340可以通过usb接口330接收有线充电器的充电输入。在一些无线充电的实施例中，充电管理模块340可以通过电子设备100的无线充电线圈接收无线充电输入。充电管理模块340为电池342充电的同时，还可以通过电源管理模块341为电子设备100供电。
86.电源管理模块341用于连接电池342，充电管理模块340与处理器310。电源管理模块341接收所述电池342和/或充电管理模块340的输入，为处理器310，内部存储器321，外部存储器接口320，显示屏394，摄像头393，和通信模块360等供电。电源管理模块341还可以用于监测电池容量，电池循环次数，电池健康状态(漏电，阻抗)等参数。在一些实施例中，电源管理模块341也可以设置于处理器310中。在一些实施例中，电源管理模块341和充电管理模块340也可以设置于同一个器件中。
87.电子设备100的无线通信功能可以通过天线1，天线2，射频模块350，通信模块360，调制解调器以及基带处理器等实现。
88.在一些实施例中，电子设备100的天线1和射频模块350耦合，天线2和通信模块360耦合，使得电子设备100可以通过无线通信技术与网络以及其他设备通信。所述无线通信技术可以包括全球移动通讯系统(global system for mobile communications，gsm)，通用
分组无线服务(general packet radio service，gprs)，码分多址接入(code division multiple access，cdma)，宽带码分多址(wideband code division multiple access，wcdma)，时分码分多址(time-division code division multiple access，td-scdma)，长期演进(long term evolution，lte)，bt，gnss，wlan，nfc，fm，和/或ir技术等。所述gnss可以包括全球卫星定位系统(satellite based augmentation systems，sbas)，全球导航卫星系统(global navigation satellite system，glonass)，北斗卫星导航系统(beidou navigation satellite system，bds)，准天顶卫星系统(quasi-zenith satellite system，qzss)和/或星基增强系统(satellite based augmentation systems，sbas)。
89.电子设备100通过gpu，显示屏394，以及应用处理器等实现显示功能。gpu为图像处理的微处理器，连接显示屏394和应用处理器。gpu用于执行数学和几何计算，用于图形渲染。处理器310可包括一个或多个gpu，其执行程序指令以生成或改变显示信息。
90.显示屏394用于显示图像，视频等。例如，显示屏394可以显示来电提醒界面和语音通话界面。本技术实施例中，如果电子设备100接收到对端在第一应用中发起的应用内呼叫请求，电子设备100的显示屏394可以显示包括第一应用的业务信息的语音通话界面。显示屏394包括显示面板。显示面板可以采用液晶显示屏(liquid crystal display，lcd)，有机发光二极管(organic light-emitting diode，oled)，有源矩阵有机发光二极体或主动矩阵有机发光二极体(active-matrix organic light emitting diode，amoled)，柔性发光二极管(flex light-emitting diode，fled)，miniled，microled，micro-oled，量子点发光二极管(quantum dot light emitting diodes，qled)等。在一些实施例中，电子设备100可以包括1个或n个显示屏394，n为大于1的正整数。
91.电子设备100可以通过isp，摄像头393，视频编解码器，gpu，显示屏以及应用处理器等实现拍摄功能。
92.外部存储器接口320可以用于连接外部存储卡，例如micro sd卡，实现扩展电子设备100的存储能力。外部存储卡通过外部存储器接口320与处理器310通信，实现数据存储功能。例如将音乐，视频等文件保存在外部存储卡中。
93.内部存储器321可以用于存储计算机可执行程序代码，所述可执行程序代码包括指令。处理器310通过运行存储在内部存储器321的指令，从而执行电子设备100的各种功能应用以及数据处理。存储器121可以包括存储程序区和存储数据区。其中，存储程序区可存储操作系统，至少一个功能所需的应用程序(比如声音播放功能，图像播放功能等)等。存储数据区可存储电子设备100使用过程中所创建的数据(比如音频数据，电话本等)等。此外，存储器121可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件，闪存器件，其他易失性固态存储器件，通用闪存存储器(universal flash storage，ufs)等。
94.电子设备100可以通过音频模块370，扬声器370a，受话器370b，麦克风370c，耳机接口370d，以及应用处理器等实现音频功能。例如音乐播放，录音等。
95.电子设备100的软件系统可以采用分层架构，事件驱动架构，微核架构，微服务架构，或云架构。本发明实施例以分层架构的android系统为例，示例性说明电子设备100的软件结构。
96.图5是本发明实施例的电子设备100的软件结构框图。分层架构将软件分成若干个
层，每一层都有清晰的角色和分工。层与层之间通过软件接口通信。在一些实施例中，将android系统分为四层，从上至下分别为应用程序层，应用程序框架层，安卓运行时(android runtime)和系统库，以及内核层。
97.应用程序层可以包括一系列应用程序包。
98.如图5所示，应用程序包可以包括相机，图库，日历，电话(即本技术实施例中的“电话”应用)，地图，导航，wlan，蓝牙，音乐，视频，短信息等应用程序。
99.在本实施例中，应用程序包还可以包括管控应用和通用应用，例如，管控应用用于提供企业身份认证、内容/服务授权能力；管控应用可以为企业应用。通用应用为面向用户的内容或服务提供商的应用，比如，通用应用可以为微信
tm
、抖音
tm
、优酷
tm
、百度网盘
tm
等。
100.应用程序框架层为应用程序层的应用程序提供应用编程接口(application programming interface，api)和编程框架。应用程序框架层包括一些预先定义的函数。
101.如图5所示，应用程序框架层可以包括窗口管理器，内容提供器，视图系统，电话管理器，资源管理器、通知管理器和授权中心。
102.授权中心，用于获取关于通用应用的管控信息。在通用应用查看或使用内容(或服务)的情况下，授权中心在接收到通用应用发送的目标对象的查询请求，响应于该查询请求，根据管控信息确定与通用应用所安装的终端对应的目标管控应用。授权中心向该目标管控应用发送授权请求以指示目标管控应用查询通用应用所安装的终端是否有权限访问目标对象，从而得到授权结果。授权中心将该授权结果发送至通用应用。从而实现了对通用应用的内容或服务的授权范围的管理，细化了通用应用的权限管理粒度，优化了用户的使用体验。
103.窗口管理器用于管理窗口程序。窗口管理器可以获取显示屏大小，判断是否有状态栏，锁定屏幕，截取屏幕等。内容提供器用来存放和获取数据，并使这些数据可以被应用程序访问。所述数据可以包括视频，图像，音频，拨打和接听的电话，浏览历史和书签，电话簿等。视图系统包括可视控件，例如显示文字的控件，显示图片的控件等。视图系统可用于构建应用程序。显示界面可以由一个或多个视图组成的。
104.电话管理器用于提供电子设备100的通信功能。例如，通话状态的管理(包括接通，挂断等)。资源管理器为应用程序提供各种资源，比如本地化字符串，图标，图片，布局文件，视频文件等等。通知管理器使应用程序可以在状态栏中显示通知信息，可以用于传达告知类型的消息，可以短暂停留后自动消失，无需用户交互。比如通知管理器被用于告知下载完成，消息提醒等。通知管理器还可以是以图表或者滚动条文本形式出现在系统顶部状态栏的通知，例如后台运行的应用程序的通知，还可以是以对话窗口形式出现在屏幕上的通知。例如在状态栏提示文本信息，发出提示音，电子设备振动，指示灯闪烁等。
105.android runtime包括核心库和虚拟机。android runtime负责安卓系统的调度和管理。核心库包含两部分：一部分是java语言需要调用的功能函数，另一部分是安卓的核心库。
106.应用程序层和应用程序框架层运行在虚拟机中。虚拟机将应用程序层和应用程序框架层的java文件执行为二进制文件。虚拟机用于执行对象生命周期的管理，堆栈管理，线程管理，安全和异常的管理，以及垃圾回收等功能。
107.系统库可以包括多个功能模块。例如：表面管理器(surface manager)，媒体库
(media libraries)，三维图形处理库(例如：opengl es)，2d图形引擎(例如：sgl)等。
108.表面管理器用于对显示子系统进行管理，并且为多个应用程序提供了2d和3d图层的融合。媒体库支持多种常用的音频，视频格式回放和录制，以及静态图像文件等。媒体库可以支持多种音视频编码格式，例如:mpeg4，h.264，mp3，aac，amr，jpg，png等。三维图形处理库用于实现三维图形绘图，图像渲染，合成，和图层处理等。2d图形引擎是2d绘图的绘图引擎。
109.内核层是硬件和软件之间的层。内核层至少包含显示驱动，摄像头驱动，音频驱动，传感器驱动。
110.基于图2-图3提供的权限管理方法的系统场景，图4所示的电子设备的硬件结构与图5所示的电子设备的软件架构，来说明本技术提供的权限管理方法介绍。参见图6，本公开实施例提供的方法流程包括：
111.s201、授权中心获取第一管控信息。
112.其中，第一管控信息可以包括多个通用应用中每个通用应用的内容管控信息、服务管控信息、用户身份信息、通用应用所安装的设备以及应用环境信息等。
113.示例性地，内容管控信息可以包括对应通用应用允许访问的内容类别，内容类别可以为学习、娱乐、新闻等。可选地，内容管控信息还可以包括内容标识。其中，内容标识为内容的唯一标识符，可以为内容id。
114.示例性地，服务管控信息可以包括对应通用应用允许访问的服务类别，服务类别可以为查看、下载、上传、编辑等。可选地，服务管控信息还可以包括服务标识，服务标识为服务的唯一标识符，可以为服务id。
115.示例性地，用户身份信息包括管理标识、用户账号信息。比如，在企业权限管理场景下，用户身份信息可以包括企业管理标识，例如，企业管理id。用户账号信息可以为员工基于通用应用上传你的账号信息，比如，员工所属企业管理标识、员工账号等。应用环境信息可以包括用户所使用终端标识等信息，在家长权限管理的场景下，用户身份信息可以包括通用应用所安装的终端的设备标识，这里通用应用所安装的终端可以理解为孩子所使用的终端，比如，设备标识为终端序列号。第一管控信息的格式类型可以为meta信息。
116.在一些实施例中，授权中心可以通过第二预设接口从各个管控应用中获取对应的管控信息(第二管控信息)，第一管控信息中包括了多个第二管控信息。或者，管控应用可以通过第二预设接口向授权中心发送或注册相应地管控信息。比如，管控应用可通过第二预设接口向授权中心注册其可提供授权的标识信息，例如公司id、未成年管控id。可选地，授权中心可以通过第一预设接口从各个通用应用中获取对应的管控信息(第三管控信息)，第一管控信息中包括了多个第三管控信息。第二管控信息与第三管控信息的格式类型可以为meta信息。其中，第一预设接口与第二预设接口为不同的接口。
117.可选地，管控应用可安装在用于进行权限管理的终端，安装在用于进行权限管理的终端的管控应用可向授权中心发送第二管控信息。比如，在企业权限管理场景下，第二管控信息具体包括的内容可以为经过企业私钥签名过的内容授权范围说明。其中，内容包括授权的内容类别、内容id、使用环境、使用人id、使用期限(时间限制、次数限制)等信息。或者，管控应用还可以安装在用户使用的终端，在这种情况下，管控应用用于向授权中心发送当前使用该终端的用户身份信息。比如，用户身份信息可以包括通用应用所安装的终端的
设备标识。可选地，管控应用向授权中心发送的第二管控信息可存储中管控应用的缓存中，或者，存储在授权中心的缓存中，或者存储在通用应用的缓存中。可选地，缓存存在保存期限，在超过保存期限的情况下，第二管控信息失效，则需要管控应用重新向授权中心上传第二管控信息。
118.可选地，在一些实施例中，授权中心通过第二预设接口从各个管控应用中获取对应的第二管控信息。在授权中心接收各个管控应用的第二管控信息之前，还可以对各个管控应用进行可信验证。
119.示例性地，授权中心可以分别根据各个管控应用的应用签名指纹，来确定各个管控应用是否可信。若确定管控应用可信，授权中心接收该管控应用发送的管控信息。其中，管控应用向授权中心发送的第二管控信息，可以是管控应用从通用应用收集的。本实施例中，授权中心只接收来自可信的管控应用的第二管控信息。这样，可以保证第二管控信息的可靠性，进一步地也提高了第二管控信息的信息安全。
120.可选地，授权中心在接收到第一管控信息，或第二管控信息，或第三管控信息之后，可以将第一管控信息，或第二管控信息，或第三管控信存储至指定的存储空间。
121.s202、在通用应用处于第一状态的情况下，向授权中心发送目标对象的查询请求。
122.其中，目标对象包括通用应用的内容和通用应用的服务中至少一种。查询请求用于查询通用应用所安装的终端是否有权限访问目标对象。可选地，查询请求中携带目标对象管控信息，比如，目标对象为通用应用的内容，查询请求中携带内容管控信息；目标对象为通用应用的服务，查询请求中携带服务管控信息；目标对象为通用应用的内容和服务，查询请求中携带内容管控信息和服务管控信息。可选地，查询请求中还可以携带通用应用所安装的终端的终端标识。
123.在一些实施例中，通用应用处于第一状态可以为通用应用需要访问其内容或需要访问其服务的状态。比如，通用应用接收到用户查看内容的操作；或，通用应用接收到用户使用服务的操作；或者，通用应用需要在显示界面展示内容的状态；或者，通用应用需要提供服务的状态。在通用应用处于第一状态的情况下，通用应用通过第一预设接口向授权中心发送查询请求。
124.可选地，在一些实施例中，通用应用通过第一预设接口向授权中心发送查询请求之前，通用应用还可以对授权中心进行可信验证。
125.示例性地，通用应用根据授权中心的签名指纹，确定授权中心是否可信。若授权中心可信，通用应用通过第一预设接口向授权中心发送查询请求。由于查询请求中携带了目标对象管控信息，通用应用只向可信的授权中心发送目标对象的查询请求，一定程度上保证了管控信息的安全性，同时不会泄露当前第二终端所进行的操作，可以保证通用应用的操作安全性和访问安全性。
126.s203、授权中心响应于第一通用应用的查询请求，根据第一管控信息，从多个管控应用中确定与第一通用应用所安装的终端对应的目标管控应用。
127.授权中心可以接收多个通用应用发送的查询请求，针对每一个查询请求，授权中心根据查询请求中携带的信息，执行相应地查询通用应用所安装的终端是否有权限访问目标对象的操作。
128.授权中心基于第一通用应用的查询请求，获取查询请求中携带的信息。示例性地，
查询请求中携带的信息包括内容管控信息、服务管控信息、第一通用应用所安装的终端的终端标识等。第一管控信息中包括多个通用应用中每个通用应用的内容管控信息和服务管控信息，以及用户身份信息等。授权中心从第一管控信息中查询与第一通用应用所安装的终端的终端标识匹配的用户身份信息。基于该用户身份信息可以确定用于管控该终端的管控应用，也即，确定与用户身份信息对应的目标管控应用。
129.比如，在企业权限管理场景下，用户身份信息可以为所属企业标识，授权中心从第一授权信息中确定与该所属企业标识对应的终端，基于终端确定其对应的目标管控应用。比如，在家长权限管理场景下，用户身份信息可以为孩子所使用终端的设备标识，授权中心从第一授权信息中确定与该设备标识对应的目标管控应用。
130.s204、授权中心向目标管控应用发送目标对象的授权请求。
131.其中，授权请求中携带内容管控信息、服务管控信息、第一通用应用所安装的第二终端的终端标识等。该授权请求用于指示目标管控应用基于内容管控信息、服务管控信息、第一通用应用所安装的终端的终端标识，从目标管控应用的第一管控信息中查询第一通用应用所安装的终端是否有权限访问目标对象。可选地，授权中心可通过第三预设接口向目标管控应用发送目标对象的授权请求。也即，是当授权中心接收到关于内容或服务的查询请求时，授权中心可以通过第三预设接口请求目标管控应用以获取授权信息。其中，第三预设接口与第一预设接口、第二预设接口为授权中心的不同的接口。
132.s205、目标管控应用响应于授权请求，查询第一通用应用所安装的终端是否有权限访问目标对象，得到授权结果。
133.在本实施例中，目标管控应用响应于授权请求，基于授权请求中携带的内容管控信息、服务管控信息、第一通用应用所安装的终端的终端标识等信息，从目标管控应用的第一管控信息中查询第一通用应用所安装的终端是否有权限访问目标对象。示例性地，目标管控应用若查询第一通用应用所安装的终端有权限访问目标对象，则确定授权结果为有权；若目标管控应用若查询第一通用应用所安装的第二终端没有权限访问目标对象，则确定授权结果为没有权限。
134.在得到授权结果之后，目标管控应用授权中心接收目标管控应用返回的授权结果将授权结果返回至授权中心。示例性地，授权结果中还包括使用私钥签名或证书保护的授权内容描述。
135.目标管控应用中存储着与第一通用应用所安装的终端对应的管控信息，通过管控应用来查询第一通用应用所安装的终端是否有权限访问目标对象，查询效率更高。
136.s206、授权中心接收目标管控应用返回的授权结果。
137.在一些实施例中，授权中心通过第二预设接口接收目标管控应用返回的第一通用应用所安装的终端是否有权限访问目标对象的授权结果。
138.s207、授权中心将授权结果返回至第一通用应用。
139.在一些实施例中，授权中心在接收到授权结果之后，将该授权结果通过第一预设接口返回至第一通用应用。
140.在一些实施例中，授权中心在得到授权结果之后，将授权结果返回至第一通用应用。
141.在本实施例中，管控应用或通用应用可以向授权中心发送通用应用的管控信息，
在通用需要访问内容或服务的情况下，通用应用向授权中心发送目标对象的查询请求，授权中心响应于该查询请求，从管控信息中确定与通用应用所安装的终端对应的目标管控应用。授权中心向该目标管控应用发送授权请求。目标管控应用响应于该授权请求，查询通用应用所安装的终端是否有权限访问目标对象，得到授权结果。管控应用将授权结果返回至授权中心，实现目标对象的权限管理。授权中心将该授权结果发送至通用应用。通用应用基于授权结果，确定所安装的终端有权限访问目标对象，或者，无权限访问目标对象。其中，授权中心与通用应用、管控应用通过预设的接口进行通信。目标对象可以为通用应用中的内容或服务。由于授权中心可以获取终端本地各个通用应用的管控信息和各个管控应用的信息，在当前通用应用触发目标对象的访问时，可以及时向授权中心发送查询请求，授权中心可以基于终端本地各个通用应用的管控信息和各个管控应用的信息，确定与当前通用应用所安装的终端对应的目标管控应用，从而向目标管控应用发送目标对象的授权请求，以此得到管控应用查询到的通用应用所安装的终端访问目标对象的授权结果。从而实现了授权中心对通用应用的内容或服务的授权范围的管理，细化了通用应用的权限管理粒度，优化了用户的使用体验。
142.在一些实施例中，在一些具体的场景中，例如在企业对通用应用的内容或服务的权限管理场景下，提供一种权限管理方法，可应用于图7给出的应用环境中，包括：
143.s301、通用应用响应于用户的设置操作，获取用户上传的管控信息，并通过第一预设接口将管控信息发送至授权中心。
144.在一些实施例中，用户可基于通用应用进行管控信息的设置与上传，通用应用响应于用户的设置操作，获取管控信息。管控信息可以包括括企业管理标识、通用应用的内容管控信息和服务管控信息。其中，内容管控信息包括对应通用应用允许访问的内容类别、内容标识等。其中，内容类别可以为机密、高密等。服务管控信息包括对应通用应用允许访问的服务类别，服务类别可以为查看、下载、上传、编辑、审核、签发、审批等，服务类别还包括在不同的实际应用场景所对应的工作流程中，所涉及到与权限相关的服务。管控信息的的格式类型可以为meta信息。通用应用可以为图7所示的通用应用1和通用应用2。通用应用1的管控信息中包括被标记了的企业1内容a，企业2内容b以及个人内容c。也即，只有属于企业1的第二终端有权访问通用应用1的内容a，只有属于企业2的第二终端有权访问通用应用1的内容b，个人所在终端可访问通用应用1的内容c。
145.可选地，通用应用可以将于用户上传的管控信息上传至对应的服务端。比如，通用应用1将用户上传的管控信息上传至应用服务端1；通用应用2将用户上传的管控信息上传至应用服务端2。
146.在获取到用户上传的管控信息之后，通用应用可以将管控信息发送至授权中心。
147.s302、管控应用在安装完成之后，通用第二预设接口向授权中心发送注册信息。
148.在一些实施例中，注册信息包括企业管理标识、用户身份信息。其中，用户身份信息可以为管控应用所在终端的标识。可选地，管控应用在安装完成之后，管控应用响应于用户在管用应用所安装的终端的注册操作，获取注册信息，并通用第二预设接口向授权中心发送注册信息。管控应用可以为图7所示的企业应用1和企业应用2。相应地，企业应用1通过企业1管理接口1向授权中心发送注册信息。业应用2通过企业2管理接口2向授权中心发送注册信息。
149.s303、授权中心在接收到注册信息时，验证管控应用是否可信，如果确定管控应用可信，授权中心接收注册信息。
150.在一些实施例中，授权中心在接收到注册信息时，可以通过管控应用的应用签名指纹来验证管控应用是否可信。在确定管控应用可信的情况下，将该管控应用的注册信息保存至指定的存储空间。在本实施例中，授权中心只接收来自可信的管控应用的注册信息，这样，可以保证注册信息的有效性和可靠性，也提高了授权中心进行信息交互的安全性。
151.在本实施例中，通过应用签名指纹、公私钥或证书认证方式，企业管理端使用约定的私钥签名授权信息，通用应用所验证授权凭证的公钥或证书属于可信的。即使授权中心是伪造的，也不影响数据安全，授权仍然是由管控应用自己负责。
152.s304、通用应用获取用户的登录信息。
153.其中，用户的登录信息包括用户所属的企业管理标识、用户账号信息等信息。
154.s305、通用应用在处于第一状态的情况下，通过第一预设接口向授权中心发送目标对象的查询请求。
155.在一些实施例中，通用应用处于第一状态可以为通用应用需要访问其内容或需要访问其服务的状态。目标对象为通用应用的内容和服务。比如，通用应用1所发送的查询请求的目标对象可以为图7中的通用应用1中的企业1内容a，或企业2内容b，或个人应用c等。通用应用2所发送的查询请求的目标对象可以为图7中的通用应用2中的企业1内容d，或成人内容e，或年龄分级内容f等。
156.在一些实施例中，查询请求用于查询通用应用所安装的终端是否有权限访问目标对象，查询请求中可以携带内容管控信息和服务管控信息，可选地，可以携带通用应用所安装的终端的终端标识。示例性地，通用应用所安装的终端的终端标识可以为企业管理标识。
157.可选地，在通用应用向授权中心发送目标对象的查询请求之前，通用应用还可以对授权中心进行可信验证。比如，通用应用可以通过授权中心的签名指纹确定授权中心是否可信。在确定授权中心可信的情况下，向授权中心发送目标对象的查询请求。
158.在本实施例中，通用应用可以基于用户访问内容或服务的操作触发向授权中心发送查询请求，可以及时地获取用户当前访问内容或服务的授权结果，从而实现对当前访问内容或服务的相应地操作。
159.s305、授权中心响应于查询请求，从管控信息中确定与企业管理标识对应的管控应用，通过第二预设接口向管控应用发送授权请求。
160.示例性地，授权中心根据查询请求携带的企业管理标识、管控信息以及注册信息，确定与企业管理标识对应的管控应用为企业应用1。通过企业1管理接口1，向企业应用1发送授权请求。其中，授权请求用于指示企业应用1查询通用应用所安装的终端是否有权限访问目标对象。可选地，授权请求中可以携带内容管控信息、服务管控信息以及企业管理标识。
161.s306、管控应用响应于授权请求，查询通用应用所安装的终端是否有权限访问目标对象，确定授权结果。
162.在一些实施例中，管控应用基于授权请求中携带的内容管控信息、服务管控信息、以及企业管理标识等信息，从本地管控信息中查询通用应用所安装的终端是否有权限访问目标对象，得到授权结果。可选地，管控应用还可以根据本地存储的用户身份信息与授权请
求中携带的企业管理标识进行身份信息计算匹配，来确定授权结果。或者，管控应用还可以请求其所在的服务器，由服务器确定通用应用所安装的终端是否有权限访问目标对象，从而接收服务器返回的授权结果。或者，管控应用还可以通过其他设备授权，比如，通过管理员远程控制端授权，得到管理员远程控制端返回的授权结果。或者，管控应用还可以通过人脸识别/指纹授权进行身份验证，在身份验证通过的情况下得到授权结果。或者，管控应用还可以通过加密卡/nfc/蓝牙等外设进行身份验证，在身份验证通过的情况下得到授权结果。或者，管控应用还可以弹出对话框确认，在确认的情况下得到授权结果。例如，企业应用1可以请求企业1管理服务端确定通用应用所安装的终端是否有权限访问目标对象，并接收企业1管理服务端返回的授权结果。比如，在授权请求为查询通用应用1所安装的终端是否有权限访问企业1内容a，企业应用1确定的授权结果为有权访问。比如，在授权请求为查询通用应用1所安装的终端是否有权限访问企业2内容b，企业应用1确定的授权结果为无权限访问。
163.s307、管控应用通过第二预设接口向授权中心返回授权结果。
164.在一些实施例中，比如，企业应用1通过企业1管理接口1向授权中心返回授权结果。
165.s308、授权中心将授权结果返回至通用应用。
166.在一些实施例中，授权中心在得到授权结果之后，将授权结果返回至通用应用。在授权结果为有权的情况下，通用应用允许其所在的终端访问目标对象，比如访问内容或访问服务。在授权结果为没有权限的情况下，通用应用不允许其所在的终端访问目标对象，比如，禁止访问内容或禁止访问服务。
167.可选地，在一些场景中，通用应用还可以根据授权结果提前对所提供的服务或内容进行筛选。比如，提前筛选当前终端的用户可查看、使用的内容或服务。
168.可选地，本实施例所提供的方法还可应用于其他进行身份验证的场景。比如，通用应用所安装的终端在使用网站服务，需要进行实名认证的场景下，授权中心也可以接收网站提供的查询请求，基于对应的预设接口向管控应用获取授权结果，进行当前终端用户的身份验证。
169.在本实施例中，在企业对应用内容或服务的权限管理的场景下，企业可以通过管控应用向授权中心上传注册信息，通过通用应用向授权中心上传设置信息。从而在用户使用通用应用所在的终端时，在触发通用应用访问内容或服务的情况下，通用应用可通过第一预设接口向授权中心发送查询请求，授权中心通过第二预设接口向管控应用发送授权请求，从而授权中心得到通用应用访问内容或服务的授权结果。也即，授权中心得到员工所使用的终端对于通用应用访问内容或服务的授权结果，实现了企业针对应用的内容或服务的授权范围的管控，细化了通用应用的权限管理粒度，优化了用户的使用体验。
170.在一些实施例中，在一些具体的场景中，例如针对家长对通用应用的内容或服务的权限管理场景下，提供一种权限管理方法，参考图8，提供一种权限管理方法，包括：
171.s401、管控应用在安装完成之后，通过第二预设接口向授权中心发送注册信息。
172.在一些实施例中，注册信息包括管控应用所安装的终端的设备标识。在管控应用在安装完成之后或管控应用获取到用户的登录信息之后，管控应用通过第二预设接口向授权中心发送注册信息。
173.s402、管控应用响应于用户的设置操作，获取用户上传的管控信息。
174.其中，设置操作用于设置通用应用中内容或服务的用户年龄分级范围、通用应用被允许查看的内容类别、被允许使用的服务类别等。相应地，管控信息包括应用管控信息、服务管控信息、通用应用所安装终端的标识。内容管控信息包括对应通用应用允许访问的内容类别，其中，内容的用户年龄分级范围可以为允许12岁以上查看，内容类别为学习、娱乐、新闻等。服务管控信息包括对应通用应用允许访问的服务类别，服务类别可以为查看、下载、上传、编辑、审核、签发、审批等。服务类别还包括在不同的实际应用场景所对应的工作流程中，所涉及到与权限相关的服务。服务的用户年龄分级范围可以为允许13岁以上使用。管控信息的的格式类型可以为meta信息。示例性地，参考图8，家长可以通过家长管控应用3上传应用管控信息、服务管控信息、通用应用所安装终端的标识等管控信息，比如，管控信息包括儿童内容a、成人内容e、年龄分级内容f以及孩子所用终端的设备标识。
175.可选地，管控应用可以通过第二预设接口向授权中心发送的管控信息。管控信息的的格式类型可以为meta信息。
176.s403、在通用应用处于第一状态的情况下，通过第一预设接口向授权中心发送查询请求。
177.在一些实施例中，通用应用处于第一状态可以为通用应用需要访问其内容或需要访问其服务的状态。目标对象为通用应用的内容和服务。比如，通用应用2所发送的查询请求的目标对象可以为图8中的通用应用2中的儿童内容a，或成人内容e，或年龄分级内容f等。
178.在一些实施例中，查询请求用于查询通用应用所安装的终端是否有权限访问目标对象，查询请求中可以携带内容管控信息和服务管控信息，可选地，可以携带通用应用所安装的终端的终端标识。示例性地，通用应用所安装的终端的终端标识可以为孩子所用终端的设备标识。
179.在本实施例中，通用应用可以基于用户访问内容或服务的操作触发向授权中心发送查询请求，可以及时地获取用户当前访问内容或服务的授权结果，从而实现对当前访问内容或服务的相应地操作。
180.s405、授权中心响应于查询请求，从管控信息中确定与孩子所用终端的设备标识对应的管控应用，通过第二预设接口向管控应用发送授权请求。
181.示例性地，授权中心根据查询请求携带的孩子所用终端的设备标识和管控信息，确定与孩子所用终端的设备标识对应的管控应用为家长管控应用3。通过家长管控接口3，向管控应用3发送授权请求。其中，授权请求用于指示家长管控应用3查询孩子所用终端是否有权限访问目标对象。可选地，授权请求中可以携带内容管控信息、服务管控信息以及孩子所用终端的设备标识。
182.s406、管控应用响应于授权请求，查询通用应用所安装的终端是否有权限访问目标对象，确定授权结果。
183.在一些实施例中，管控应用基于授权请求中携带的内容管控信息、服务管控信息、以及孩子所用终端的设备标识等信息，从本地管控信息中查询通用应用所安装的终端是否有权限访问目标对象，得到授权结果。可选地，管控应用还可以根据本地存储的用户身份信息与授权请求中携带的孩子所用终端的设备标识进行身份信息计算匹配，来确定授权结
果。或者，管控应用还可以通过其他设备授权，比如，管控应用还可以触发“请求家长授权”的功能，在接收到授权请求之后，向家长所使用终端发授权请求，得到家长所使用终端返回的授权结果。
184.比如，在授权请求为查询孩子所用终端是否有权限访问儿童内容a时，管控应用确定的授权结果为有权访问。比如，在授权请求为查询孩子所用终端是否有权限访问成人内容e时，管控应用确定的授权结果为没有权限访问。
185.s307、管控应用通过第二预设接口向授权中心返回授权结果。
186.在一些实施例中，比如，家长管控应用3通过家长管控接口3向授权中心返回授权结果。
187.s407、授权中心将授权结果返回至通用应用。
188.在一些实施例中，授权中心在得到授权结果之后，将授权结果返回至通用应用。在授权结果为有权的情况下，通用应用允许其所在的终端访问目标对象，比如访问内容或访问服务。在授权结果为没有权限的情况下，通用应用不允许其所在的终端访问目标对象，比如，禁止访问内容或禁止访问服务。
189.在本实施例中，在家长对应用内容或服务进行权限管理的场景下，家长可以通过管控应用向授权中心上传注册信息，通过通用应用向授权中心上传管控信息。从而在用孩子使用通用应用所在的终端时，在触发通用应用访问内容或服务的情况下，通用应用可通过第一预设接口向授权中心发送查询请求，授权中心通过第二预设接口向管控应用发送授权请求，从而授权中心得到通用应用访问内容或服务的授权结果。也即，授权中心得到孩子所使用的终端对于通用应用的访问内容或服务的授权结果，实现了家长针对应用的内容或服务的授权范围的管控，细化了通用应用的权限管理粒度，优化了用户的使用体验。
190.本技术实施例还提供一种芯片系统(例如，片上系统(system on a chip，soc))，如图9所示，该芯片系统包括至少一个处理器701和至少一个接口电路702。处理器701和接口电路702可通过线路互联。例如，接口电路702可用于从其它装置(例如电子设备的存储器)接收信号。又例如，接口电路702可用于向其它装置(例如处理器701或者电子设备的的摄像头)发送信号。示例性的，接口电路702可读取存储器中存储的指令，并将该指令发送给处理器701。当所述指令被处理器701执行时，可使得电子设备执行上述实施例中的各个步骤。当然，该芯片系统还可以包含其他分立器件，本技术实施例对此不作具体限定。
191.本技术实施例还提供一种计算机可读存储介质，该计算机可读存储介质包括计算机指令，当所述计算机指令在上述电子设备上运行时，使得该电子设备执行上述方法实施例中电子设备100执行的各个功能或者步骤。
192.本技术实施例还提供一种计算机程序产品，当所述计算机程序产品在计算机上运行时，使得所述计算机执行上述方法实施例中电子设备100执行的各个功能或者步骤。例如，该计算机可以是上述电子设备100。
193.通过以上实施方式的描述，所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将装置的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。
194.在本技术所提供的几个实施例中，应该理解到，所揭露的装置和方法，可以通过其
它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述模块或单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个装置，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。
195.所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是一个物理单元或多个物理单元，即可以位于一个地方，或者也可以分布到多个不同地方。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。
196.另外，在本技术各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。
197.所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个可读取存储介质中。基于这样的理解，本技术实施例的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该软件产品存储在一个存储介质中，包括若干指令用以使得一个设备(可以是单片机，芯片等)或处理器(processor)执行本技术各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：u盘、移动硬盘、只读存储器(read only memory，rom)、随机存取存储器(random access memory，ram)、磁碟或者光盘等各种可以存储程序代码的介质。
198.以上内容，仅为本技术的具体实施方式，但本技术的保护范围并不局限于此，任何在本技术揭露的技术范围内的变化或替换，都应涵盖在本技术的保护范围之内。因此，本技术的保护范围应以所述权利要求的保护范围为准。