[发明专利]脚本引擎中网络文件的隔离与访问控制方法

摘要

本发明提供一种脚本引擎中网络文件的隔离与访问控制方法，其包括两个部分：第一部分是将安全标签嵌入到网络文件中；第二部分是脚本引擎将根据安全标签对其读取的文件进行强制访问控制。本发明可以将脚本引擎对文件读写的访问控制从操作系统固有的自主访问控制体系中分离出来，从而实现本地文件系统中网络文件的精确隔离和独立访问控制，最终可以在最小化人力成本的前提下有效防止攻击者透过网络脚本非法下载网络服务器上的机密文件。

主权项

1.一种脚本引擎中网络文件的隔离与访问控制方法，其特征在于，包括两个部分：第一部分是将安全标签嵌入到网络文件中；第二部分是脚本引擎将根据安全标签对其读取的文件进行强制访问控制；第一部分分第一情况和第二情况；第一情况包括以下步骤：步骤102，网络脚本将通过脚本引擎调用文件写函数；步骤103，脚本引擎在所有写文件函数实体中通过系统调用将安全标签嵌入到上传的网络文件中，安全标签的生成可以是脚本引擎安装过程中将随机的生成的默认值，也可以在网络脚本中通过文件写函数直接指定，其目的是用于隔离网络文件与本地文件，并对网络文件进行访问控制；第二情况包括以下步骤：步骤106，网络管理员调用辅助工具将安全标签嵌入到网络服务器本地文件系统上存储的指定文件中；步骤107，网络管理员指定要写入的安全标签的数值或者直接使用默认值，值同步骤103，其目的是用于隔离网络文件与本地文件，并对网络文件进行访问控制；第二部分包括以下步骤：步骤111，脚本引擎在所有读文件函数实体中通过系统调用读取文件的扩展文件属性以读取安全标签数值；步骤112，脚本引擎根据安全标签的数值进行访问控制，即决定文件是否有权被读取，将文件嵌有的安全标签与读文件函数指定的安全标签进行对比判断，需要保证同一网络应用中读文件函数使用的安全标签值与文件嵌有的安全标签值一致，如果有权则读取文件；如果无权则直接返回，具体为：步骤a，脚本引擎根据安全标签的数值决定文件是否有权被传送给网络用户将文件安全标签与参考安全标签进行对比判断，需要保证同一网络应用中参考安全标签值与步骤103嵌入的文件安全标签值一致，如果有权则执行步骤c；如果无权则执行步骤b；步骤b，由于无权读取相应的文件，脚本引擎将删除其内存空间中文件的拷贝并直接返回；步骤c，脚本引擎有权读取相应的文件；如果无权则直接返回。