数据保护方法、生成方法、传输方法、设备及存储介质与流程

本申请涉及数据安全技术领域，尤其涉及一种数据保护方法、生成方法、传输方法、设备及存储介质。

背景技术：

随着计算机与网络的普及，数字技术正在改变人们所赖以生存的社会环境，人们的生活和工作方式随之发生着巨大变化。数字技术使人们的生活和工作环境具备了更多的数字化特征，众多的信息以数据的形式存在于计算机与网络中。

目前，数据保护主要采用被动防护的方式，比如，可在数据使用过程中进行流量监控，并根据流量的流向等信息判断数据是否被异常访问。但是，被动防护的方式只能在数据已经被异常访问之后才能做出响应，依然会造成一部分数据的损失，数据保护的效果并不佳。

技术实现要素：

本申请的多个方面提供一种数据保护方法、生成方法、传输方法、设备及存储介质，以提高数据安全性。

本申请实施例提供一种数据保护方法，包括：

根据当前应用程序对目标数据的访问请求，获取所述目标数据对应的安全附加信息；

根据所述目标数据对应的安全附加信息，确定所述当前应用程序对所述目标数据的访问权限；

若所述当前应用程序对所述目标数据的访问请求不符合所述访问权限，则拒绝所述访问请求。

本申请实施例还提供一种数据保护设备，包括存储器和处理器；

所述存储器，用于存储一条或多条计算机指令；

所述处理器，与所述存储器耦合，用于执行所述一条或多条计算机指令，以用于：

根据当前应用程序对目标数据的访问请求，获取所述目标数据对应的安全附加信息；

根据所述目标数据对应的安全附加信息，确定所述当前应用程序对所述目标数据的访问权限；

若所述当前应用程序对所述目标数据的访问请求不符合所述访问权限，则拒绝所述访问请求。

本申请实施例还提供一种数据生成方法，包括：

获取原始数据及其对应的唯一标识；

根据所述原始数据的安全级别，生成第一安全附加信息；

根据所述原始数据对应的访问对象，生成第二安全附加信息，其中，所述第二安全附加信息包括访问对象黑名单或白名单；

根据所述原始数据对应的访问协议，生成第三安全附加信息，其中，所述第三安全附加信息包括访问对象通信协议类型；

将所述第一、第二、第三安全附加信息进行组合并加密，得到加密后的安全附加信息；

关联所述唯一标识及加密后的安全附加信息；

存储关联后的加密后的安全附加信息。

本申请实施例还提供一种数据生成方法，包括：

获取原始数据及其对应的唯一标识；

根据所述原始数据的安全级别，生成第一安全附加信息；

根据所述原始数据对应的访问协议，生成第三安全附加信息，其中，所述第三安全附加信息包括访问对象通信协议类型；

将所述第一、第三安全附加信息进行组合并加密，得到加密后的安全附加信息；

关联所述唯一标识及加密后的安全附加信息；

存储关联后的加密后的安全附加信息。

本申请实施例还提供一种数据传输方法，包括：

获取待传输数据对应的唯一标识；

根据所述唯一标识，获取与其关联的安全附加信息；

解密所述安全附加信息，获取安全级别及通信协议类型；

基于所述安全级别，确定所述待传输数据的传输目标地址符合预设条件；

基于所述通信协议类型，发送所述待传输数据到所述传输目标地址。

本申请实施例还提供一种计算设备，包括存储器和处理器；

所述存储器，用于存储一条或多条计算机指令；

所述处理器，与所述存储器耦合，用于执行所述一条或多条计算机指令，以用于：

获取原始数据及其对应的唯一标识；

根据所述原始数据的安全级别，生成第一安全附加信息；

根据所述原始数据对应的访问对象，生成第二安全附加信息，其中，所述第二安全附加信息包括访问对象黑名单或白名单；

根据所述原始数据对应的访问协议，生成第三安全附加信息，其中，所述第三安全附加信息包括访问对象通信协议类型；

将所述第一、第二、第三安全附加信息进行组合并加密，得到加密后的安全附加信息；

关联所述唯一标识及加密后的安全附加信息；

存储关联后的加密后的安全附加信息。

本申请实施例还提供一种计算设备，包括存储器和处理器；

所述存储器，用于存储一条或多条计算机指令；

所述处理器，与所述存储器耦合，用于执行所述一条或多条计算机指令，以用于：

获取原始数据及其对应的唯一标识；

根据所述原始数据的安全级别，生成第一安全附加信息；

根据所述原始数据对应的访问协议，生成第三安全附加信息，其中，所述第三安全附加信息包括访问对象通信协议类型；

将所述第一、第三安全附加信息进行组合并加密，得到加密后的安全附加信息；

关联所述唯一标识及加密后的安全附加信息；

存储关联后的加密后的安全附加信息。

本申请实施例还提供一种计算设备，包括存储器和处理器；

所述存储器，用于存储一条或多条计算机指令；

所述处理器，与所述存储器耦合，用于执行所述一条或多条计算机指令，以用于：

获取待传输数据对应的唯一标识；

根据所述唯一标识，获取与其关联的安全附加信息；

解密所述安全附加信息，获取安全级别及通信协议类型；

基于所述安全级别，确定所述待传输数据的传输目标地址符合预设条件；

基于所述通信协议类型，发送所述待传输数据到所述传输目标地址。

本申请实施例还提供一种存储计算机指令的计算机可读存储介质，当所述计算机指令被一个或多个处理器执行时，致使所述一个或多个处理器执行前述的数据保护方法。

本申请实施例还提供一种存储计算机指令的计算机可读存储介质，其特征在于，当所述计算机指令被一个或多个处理器执行时，致使所述一个或多个处理器执行前述的数据生成方法。

本申请实施例还提供一种存储计算机指令的计算机可读存储介质，其特征在于，当所述计算机指令被一个或多个处理器执行时，致使所述一个或多个处理器执行前述的数据传输方法。

在本申请实施例中，基于目标数据对应的安全附加信息，可确定出各应用程序对目标数据的访问权限，据此，在当前应用程序请求访问目标数据时，可判断当前应用程序的访问请求是否在其对目标数据的访问权限范围内，当其访问请求超出其对应的访问权限范围时，可拒绝其访问请求。因此，在本申请实施例中，可基于数据对应的安全附加信息，实现对数据的主动保护，从源头上阻断针对数据的异常访问行为，从而可有效提高数据安全性。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1为本申请一实施例提供的一种数据保护方法的流程示意图；

图2为本申请一实施例提供的另一种数据保护方法的流程示意图；

图3为本申请另一实施例提供的一种数据生成方法的流程示意图；

图4为本申请又一实施例提供的一种数据生成方法的流程示意图；

图5为本申请又一实施例提供的一种数据传输方法的流程示意图；

图6为本申请又一实施例提供的一种数据保护设备的结构示意图；

图7为本申请又一实施例提供的一种计算设备的结构示意图；

图8为本申请又一实施例提供的一种计算设备的结构示意图；

图9为本申请又一实施例提供的一种计算设备的结构示意图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合本申请具体实施例及相应的附图对本申请技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

目前，在数据安全领域中，通常采取被动保护的方式进行数据保护，但这种方式仍会造成部分数据的损失，数据保护效果并不佳。在本申请的一些实施例中：基于目标数据对应的安全附加信息，可确定出各应用程序对目标数据的访问权限，据此，在当前应用程序请求访问目标数据时，可判断当前应用程序的访问请求是否在其对目标数据的访问权限范围内，当其访问请求超出其对应的访问权限范围时，可拒绝其访问请求。因此，可基于数据对应的安全附加信息，实现对数据的主动保护，从源头上阻断针对数据的异常访问行为，从而可有效提高数据安全性。

以下结合附图，详细说明本申请各实施例提供的技术方案。

图1为本申请一实施例提供的数据保护方法的流程示意图。如图1所示，该方法包括：

100、根据当前应用程序对目标数据的访问请求，获取目标数据对应的安全附加信息；

101、根据目标数据对应的安全附加信息，确定当前应用程序对目标数据的访问权限；

102、若当前应用程序对目标数据的访问请求不符合访问权限，则拒绝访问请求。

本实施例提供的数据保护方法可适用于各种需要进行数据保护的场景中，例如，云存储场景中的数据保护、企业内部存储场景中的数据保护等等，当然，这仅是示例性，本实施例提供的数据保护方法还可应用于其它场景。

根据应用场景的不同，本实施例中的目标数据可能存储在不同的存储设备中，例如，在上述的云存储场景中，目标数据可以存储在云架构中的存储设备中，在上述的企业内部存储场景中，目标数据可以存储在企业内部的存储设备中，等等。

本实施例中，目标数据与其对应的安全附加信息关联保存。在一些实际应用中，目标数据对应的安全附加信息可携带在目标数据的文件头中。在另一些实际应用中，可在建立目标数据与其对应的安全附加信息之间的关联关系后，将目标数据及其对应的安全附加信息分离存储。

为了更加全面地对针对目标数据的访问请求进行鉴权，在一些实际应用中，可在目标数据所在的存储设备中设定鉴权机制，以控制目标数据所在的存储设备在接收到对目标数据的访问请求时发起鉴权请求。在步骤100中，可在接收到的鉴权请求时，获取目标数据对应的安全附加信息。在另一些实际应用中，可监听目标数据所在的存储设备所接收到的访问请求，并在监听到对目标数据的访问请求时，获取目标数据对应的安全附加信息。当然，本实施例中，还可基于其它的触发条件来触发获取目标数据对应的安全附加信息的操作，本实施例对此不作限定。

本实施例中，还可根据应用程序对目标数据的访问请求，获取应用程序的相关属性、目标数据的相关属性及访问请求的相关属性等信息。例如，应用程序的身份标识、类型、安全级别等，目标数据的身份标识、存储位置、对应的安全附加信息的存储位置等，访问请求的访问类型等。当然，还可以是其它信息，在此不再穷举。

基于目标数据对应的安全附加信息的存储形式的不同，本实施例中，获取目标数据对应的安全附加信息的途径也可适应性调整。例如，当目标数据对应的安全附加信息携带在目标数据的文件头中时，可从目标数据的文件头中读取其对应的安全附加信息。又例如，当目标数据及其对应的安全附加信息分离存储时，可在根据目标数据与安全附加信息之间的关联关系确定出目标数据对应的安全附加信息后，从安全附加信息的存储位置中读取相应的安全附加信息。

本实施例中，安全附加信息可用于反应数据的自身属性及生命周期中发生的数据变化细节等信息。安全附加信息中可携带反应数据的自身属性及生命周期中发生的数据变化细节等信息的相关内容，例如，数据类型、安全级别、基础访问权限配置规则、访问行为信息等等。其中，基础访问权限配置规则中可配置权限影响参数与基础访问权限之间的对应关系，访问行为信息中可记录数据生命周期中发生的一个或多个访问行为相关的数据。

为了提高数据保护的效果，可从多个内容层面丰富安全附加信息中携带的内容，以下将从几个示例性的内容层面解释安全附加信息的生成过程。

首先，可从数据自身层面丰富安全附加信息的内容。在一些实际应用中，可对数据进行扫描，基于数据内容，通过聚类等手段确定数据类型，根据数据类型及数据所属的行业领域，确定数据的安全级别，从而实现数据的分类分级，并可将数据的数据分类、安全级别等信息携带在安全附加信息中。在此基础上，可在基础访问权限配置规则中设定数据类型、安全级别等权限影响参数与基础访问权限之间的对应关系。

其次，可从应用程序层面丰富安全附加信息的内容。在一些实际应用中，可在基础访问权限配置规则中设定应用程序的身份标识、类型、安全级别等权限影响参数与基础访问权限之间的对应关系。在另一些实际应用中，还可基于应用程序对目标数据的访问行为，更新安全附加信息中的数据类型、安全级别等可能被应用程序的访问行为影响的内容，从而保持这些内容的新鲜度。

再次，还可从访问角色层面丰富安全附加信息的内容。在一些实际应用中，可在基础访问权限配置规则中设定访问角色的身份标识、安全级别等权限影响参数与基础访问权限之间的对应关系。访问请求通常是由访问角色调用应用程序发起对数据的访问而产生的，因此，可从访问角色层面提高安全附加信息的全面性。

值得说明的是，上述几个内容层面仅是示例性的，不应造成对本申请保护范围的限定。本实施例中，还可从其它内容层面来丰富安全附加信息的内容，而且，上述几个内容层面中还可增加更多的内容细节，在此不再穷举。

基于目标数据的安全附加信息，可综合考虑安全附加信息中包含的各个层面的内容，从而更加准确地确定出当前应用程序对目标数据的访问权限。以上文中提及的安全附加信息包含的几个内容层面为例，本实施例中，可基于目标数据的基础访问权限配置规则，根据目标数据的数据类型和安全级别、当前应用程序的类型和安全级别、当前应用程序的调用者对应的访问角色、在前应用程序的访问行为对目标数据的数据类型和安全级别的影响等等各方面的权限影响参数，确定出当前应用程序对目标数据的访问权限。

根据确定出的当前应用对目标数据的访问权限，可判断当前应用程序对目标数据的访问请求是否在确定出的访问权限的范围内。在当前应用程序对目标数据的访问请求超出其对应的访问权限的范围时，可拒绝该访问请求。在当前应用程序对目标数据的访问请求未超出其对应的访问权限的范围时，可允许当前应用程序按照其发起的访问请求访问目标数据，当然，为节省处理效率，也可允许当前应用程序对目标数据发起其它未超出其对目标数据的访问权限的范围的访问行为。

本实施例中，可基于目标数据对应的安全附加信息，确定出各应用程序对目标数据的访问权限，据此，在当前应用程序请求访问目标数据时，可判断当前应用程序的访问请求是否在其对目标数据的访问权限范围内，当其访问请求超出其对应的访问权限范围时，可拒绝其访问请求。因此，可基于本实施例提供的数据保护方法对当前应用程序对目标数据的访问请求进行鉴权，以实现对数据的主动保护，从源头上阻断针对数据的异常访问行为，从而可有效提高数据安全性。

在上述或下述实施例中，可对目标数据对应的安全附加信息进行加密处理。

为避免异常应用程序通过篡改目标数据的安全附加信息来达到异常访问目标数据的目的，可将目标数据对应的安全附加信息加密存储。另外，目标数据也可加密存储，以进一步提高目标数据的安全性。

相应地，本实施例中，在获取目标数据对应的安全附加信息时，可根据预置的加密解密规则对目标数据对应的安全附加信息进行解密，以获得目标数据对应的安全附加信息。而且，当需要执行上文提及的安全附加信息的更新操作时，也可基于预置的加密解密规则对安全附加信息的内容进行更新，从而确保目标数据对应的安全附加信息的安全性。其中，预置的加密解密规则可以是公钥私钥类的加密解密规则，或者也可采用其他加密解密规则，本实施例对此不作限定。

在上述或下述实时中，若当前应用程序对目标数据的访问请求符合其对应的访问权限时，可判断目标数据对应的安全附加信息中是否携带有敏感数据标签，若存在，则可获取目标数据的敏感级别及当前应用程序的安全级别；根据目标数据的敏感级别，确定敏感级别对应的应用程序的安全级别要求；若当前应用程序的安全级别不满足安全级别要求，则对目标数据执行脱敏处理，并基于脱敏处理后的目标数据响应当前应用程序的访问请求。

本实施例中，可在上文提及的数据扫描过程中，确定目标数据中是否包含敏感信息，如果目标数据中包含敏感信息，可将敏感数据标签携带在目标数据的安全附加信息中，其中，敏感信息可以是身份证、手机号、银行卡号等等。同时，还可在目标数据的安全附加信息中携带脱敏规则，脱敏规则中预先配置敏感级别与应用程序的安全级别之间的对应关系，其中，应用程序的安全级别可基于应用程序的自身安全级别及其调用者的访问角色的安全级别综合确定，应用程序的自身安全级别及其调用者的访问角色的安全级别，可基于应用程序的类型、访问角色的类型等属性信息而确定。

若目标数据的安全附加信息中携带有敏感数据标签，则可基于预先设定的敏感数据标签与敏感级别之间的对应关系确定目标数据的敏感级别，其中，敏感数据标签与敏感级别之间的对应关系可携带在安全附加信息中，当然，也可存储在其它位置供查询。

根据目标数据的敏感级别，可确定目标数据对应的应用程序的安全级别要求，在响应当前应用程序的访问请求之前，可判断当前应用程序的安全级别是否符合该安全级别要求，若不符合，则可在响应当前应用程序的访问请求之前对目标数据执行脱敏处理，并基于脱敏处理后的目标数据响应当前应用程序的访问请求。从而，可进一步提高数据安全性。

在上述或下述实施例中，若当前应用程序对目标数据的访问请求为外传请求时，还可从目标数据对应的安全附加信息中，获取目标数据对应的外传权限；若外传权限为不允许外传，则拒绝外传请求。

本实施例中，可在目标数据对应的安全附加信息中预先配置外传权限，也可根据目标数据对应的安全附加信息中包含的数据类型、安全级别、访问行为信息、防泄漏规则等等内容，确定目标数据对应的外传权限，当然，还可基于其它策略，根据目标数据对应的安全附加信息来确定目标数据的外传权限。

其中，本实施例中，可采用轻量级数据防泄漏的方式对目标数据进行防泄漏保护，当然，也可采用其它防泄漏方式，本实施例对此不作限定。

本实施例中，可基于目标数据的安全附加信息，实现对目标数据的防泄漏保护。这使得防泄漏保护过程中，可通过调用安全附加信息判断是否需要执行防泄漏处理，无需再对数据进行扫描等处理，简化了防泄漏保护的复杂程度。

在上述或下述实施例中，还可从目标数据对应的安全附加信息中获取访问行为信息，其中，访问行为信息中包含至少一个应用程序对目标数据的实际访问行为数据；根据至少一个应用程序对目标数据的实际访问行为数据，确定至少一个应用程序对目标数据的实际访问行为，并将实际访问行为与对目标数据的访问权限不相符的应用程序确定为异常应用程序；根据异常应用程序的实际访问行为以及预设的风险响应策略，调整异常应用程序对目标数据的访问权限。

在一些应用场景中，当用户的数据量比较小或对数据保护需求不高时，可采用较低的数据保护策略，例如，可仅维护数据对应的安全附加信息，而不对访问请求进行鉴权。这种情况下，可能造成应用程序的访问行为超出其对应的访问权限的情形。当然，还可能基于其它原因造成这种情形，在此不再穷举。

对于这种情形，本实施例中，可从目标数据对应的安全附加信息中获取访问行为信息。根据访问行为信息中包含的至少一个应用程序对目标数据的实际访问行为数据，确定至少一个应用程序对目标数据的实际访问行为，其中，实际访问行为数据中可包含访问行为类型等信息。例如，当其中一个应用程序的实际访问行为类型为写入数据类时，可确定该应用程序的实际访问行为为写操作。

若应用程序的实际访问行为超出其对目标数据的访问权限时，可将这类应用程序确定为异常应用程序。而且，可基于预设的风险响应策略，根据异常应用程序对目标数据的访问行为，调整异常应用程序对目标数据的访问权限。其中，可在预设的风险响应策略中配置各种异常访问行为对应的访问权限调整方式等等规则，风险响应策略可根据实际需要进行灵活设定。

另外，本实施例中，可采用多种实现方式来调整异常应用程序对目标数据的访问权限。

在一些实现方式中，可通过调整目标数据对应的安全附加信息中的基础访问权限配置规则来实现对异常应用程序的访问权限调整。例如，可将基础权限配置规则中与异常应用程序的类型等信息对应的访问权限降低。

在另一些实现方式中，还可通过调整目标数据对应的安全附加信息中目标数据的属性信息来实现对异常应用程序的访问权限调整。例如，可提高目标数据对应的安全附加信息中的安全级别或更改目标数据对应的安全附加信息中的数据类型等等。

值得说明的是，本实施例还可采用其他实现方式来调整异常应用程序对目标数据的访问权限。

本实施例中，通过分析目标数据的生命周期中发生的访问行为，可发现异常访问行为，并可基于异常访问行为，优化目标数据对应的安全附加信息，进而保证根据目标数据对应的安全附加信息确定的访问权限的合理性和准确性，有效提高数据的安全性。

图2为本申请一实施例提供的另一种数据保护方法的流程示意图。图2中，示出了目标数据的数据保护过程中的多个保护角度。首先，对目标数据进行数据扫描，根据目标数据的内容，对目标数据进行分类分级，并将分类分级结果、基础访问权限配置规则等内容携带在目标数据对应的安全附加信息中。虽然图2中仅示出了目标数据产生时在其对应的安全附加信息中添加内容的过程，但应当理解的是，目标数据的生命周期中，各种数据变化细节可随时更新至其安全附加信息中，且安全附加信息可随目标数据一同流转。之后，可对目标数据及其对应的安全附加信息进行加密处理，并对加密后的目标数据及其对应的安全附加信息进行存储。在接收到应用程序对目标数据的访问请求时，可执行解密操作以获得目标数据对应的安全附加信息。根据脱敏需求，还可对目标数据执行脱敏处理。随后，可根据目标数据对应的安全附加信息确定应用程序的访问请求是否超出其对应的访问权限，以对应用程序的访问请求进行鉴权。还可根据目标数据对应的安全附加信息，对目标数据执行防泄漏保护。另外，还可基于目标数据对应的安全附加信息监控目标数据的生命周期中是否发生异常访问行为，并据此调整目标数据的安全附加信息，以提高对目标数据的数据保护效果。

另外，为了便于构图，图2中示出了各个保护角度之间的一种执行顺序，但这不应造成对本申请保护范围的限定，应当理解的是，本申请提供的数据保护方法中涉及的各保护角度之间还可采用其他执行顺序。

图3为本申请又一实施例提供的一种数据生成方法的流程示意图。如图3所示，该方法包括：

300、获取原始数据及其对应的唯一标识；

301、根据原始数据的安全级别，生成第一安全附加信息；

302、根据原始数据对应的访问协议，生成第三安全附加信息，其中，第三安全附加信息包括访问对象通信协议类型；

303、将第一、第三安全附加信息进行组合并加密，得到加密后的安全附加信息；

304、关联唯一标识及加密后的安全附加信息；

305、存储关联后的加密后的安全附加信息。

本实施例中，可应用于各种数据安全管理场景，例如，公共云、私有云中的数据安全管理场景，又例如，企业内部服务器中的数据安全管理场景，等等。对于不同的应用场景，原始数据的格式、内容、行业领域等可以各不相同，本实施例对此不作限定。

在原始数据的基础上，本实施例中，可根据原始数据的安全级别，生成第一安全附加信息。其中，原始数据的安全级别可基于前文提供的实施例中的数据分类分级的方式而确定，当然，也可采用其它方式确定，本实施例对此不作限定。原始数据的安全级别用于表征原始数据所需的保护程度，安全级别越高的原始数据，对应的保护程度越高。

在原始数据的基础上，本实施例中，还可根据原始数据对应的访问协议，生成第三安全附加信息。第三安全附加信息中可设定不同访问对象各自对应的通信协议类型，当原始数据进行传输时，需遵守访问对象对应的通信协议类型，以保证原始数据的安全性。其中，第三安全附加信息中一个访问对象可对应一个或多个通信协议类型，访问对象所对应的通信协议类型可根据原始数据的安全级别，访问对象的类型、安全级别等方面的信息而确定。例如，当原始数据的安全级别较高时，可将所有访问对象的类型都限定为http。

本实施例中，可将上述的第一和第三安全附加信息进行组合而生成原始数据的安全附加信息。安全附加信息将与原始数据关联存储，其中，关联存储的形式可参考前文中各实施例中提供的存储方式，在此不再赘述。

进一步，为了保证安全附加信息的安全，可将安全附加信息进行加密，并将加密后的安全附加信息与原始数据进行关联保存。从而可避免针对安全附加信息发生的被篡改或被恶意访问等不安全行为。

其中，本实施例中，安全附加信息中的安全级别以及访问对象通信协议类型均可根据原始数据在其生命周期中的数据变化而动态调整。

本实施例中，安全附加信息可与原始数据一起流转，通过将原始数据的安全级别以及访问对象通信协议类型等信息携带在安全附加信息中，可在原始数据流转过程中，直接从其关联的安全附加信息中获取上述各类信息。从而可方便地确定出原始数据对应的访问权限的范围，进而实现对原始数据的访问控制，不再需要对原始数据本身进行扫描、分析等繁杂的处理，不仅可提高访问控制的效率，还可保证访问控制的精度。

图4为本申请另一实施例提供的一种数据生成方法的流程示意图。如图4所示，该方法包括：

400、获取原始数据及其对应的唯一标识；

401、根据原始数据的安全级别，生成第一安全附加信息；

402、根据原始数据对应的访问对象，生成第二安全附加信息，其中，第二安全附加信息包括访问对象黑名单或白名单；

403、根据原始数据对应的访问协议，生成第三安全附加信息，其中，第三安全附加信息包括访问对象通信协议类型；

404、将第一、第二、第三安全附加信息进行组合并加密，得到加密后的安全附加信息；

405、关联唯一标识及加密后的安全附加信息；

406、存储关联后的加密后的安全附加信息。

其中，步骤400、401、403～406可参考前述实施例中的描述，在此不再赘述。

本实施例在前述实施例的基础上，还可根据原始数据对应的访问对象，生成第二安全附加信息。原始数据对应的访问对象可以是从原始数据的历史访问记录中获取到访问对象，也可以是根据原始数据的行业领域等等相关信息预测出的可能会访问该原始数据的访问对象，当然，还可以是根据其它参数层面确定出的访问对象，本实施例对此不作限定。其中，第二安全附加信息中可以黑名单或者白名单的方式限定访问对象是否可访问原始数据。如果访问对象属于第二安全附加信息中的访问对象黑名单，或者访问对象不属于第二安全附加信息中的访问对象白名单，则该访问对象将无权访问原始数据。

另外，在确定访问对象黑名单或白名单时，可基于原始数据对应的访问对象的历史访问行为。例如，可将发生过越权操作、大流量下载等异常访问行为的访问对象加入访问对象黑名单等等。也可基于原始数据的安全级别。例如，当原始数据为合同类数据，安全级别为最高级别时，可将管理员账号等允许访问该原始数据的访问对象加入访问对象白名单等等。当然，还可采用其它策略确定访问对象黑名单或白名单，本实施例对此不作限定。另外，可从不同维度来定义访问对象，例如，可从发起数据传输请求的访问角色、应用程序或者原始数据的传输目标地址等维度来定义访问对象。据此，可基于多种维度，利用上述确定访问对象黑名单或白名单的方式来确定安全附加信息中的访问对象黑名单或白名单。

本实施例中，可将访问对象黑名单或白名单携带在安全附加信息中，从而可进一步提高基于安全附加信息确定出的原始数据的访问权限的范围的合理性和精准性，进而更好的保障原始数据的安全。

图5为本申请又一实施例提供的一种数据传输方法的流程示意图，如图5所示，该方法包括：

500、获取待传输数据对应的唯一标识；

501、根据唯一标识，获取与其关联的安全附加信息；

502、解密安全附加信息，获取安全级别及通信协议类型；

503、基于安全级别，确定待传输数据的传输目标地址符合预设条件；

504、基于通信协议类型，发送待传输数据到传输目标地址。

本实施例中，待传输数据关联有安全附加信息。当安全附加信息已加密时，可对安全附加信息进行解密，以获取安全附加信息中的安全级别及通信协议类型。

其中，安全级别用于表征待传输数据所需的保护程度。本实施例中，可基于待传输数据的安全级别，判断待传输数据的传输目标地址是否符合预设条件。例如，当待传输数据的安全级别为三级时，若其传输目标地址的安全级别低于三级，则可认为其传输目标地址不符合预设条件。其中，传输目标地址的安全级别可根据传输目标地址的访问记录、地址类型等等方面的信息进行确定。待传输数据的安全级别与传输目标地址的安全级别之间的对应关系也可根据不同的应用场景进行调整，本实施例对此均不作限定。

其中，安全附加信息中包含的待传输数据支持的通信协议类型。在一些实际应用中，安全附加信息中可包含不同传输目标地址各自对应的通信协议类型，据此，本实施例中，针对不同的传输目标地址，可基于其对应的通信协议类型传输待传输数据，以保证待传输数据的安全性。

本实施例中，通过读取待传输数据的安全附加信息中的安全级别及通信协议类型等信息，可确定出待传输数据的传输目标地址是否符合传输条件，并可在待传输目标地址符合传输条件的基础上，进一步通过采用为待传输目标地址个性化匹配的通信协议类型来传输待传输数据，从而可保证数据传输的安全性。

进一步，本实施例中，安全附加信息中还可包含访问对象黑名单或白名单。安全附加信息中以访问对象黑名单或白名单的形式限定访问对象是否可访问原始数据。其中，待传输数据对应的安全附加信息中的访问对象黑名单或白名单，可根据前述实施例中介绍的确定访问对象黑名单或白名单的方式进行配置，当然也可以采用其它方式进行配置，本实施例对此不作限定。另外，可从不同维度来定义访问对象，例如，可从发起数据传输请求的访问角色、应用程序或者本实施例中提及的传输目标地址等维度来定义访问对象。据此，可基于多种维度，利用上述确定访问对象黑名单或白名单的方式来确定安全附加信息中的访问对象黑名单或白名单。

当安全附加信息包含的是访问对象黑名单时，本实施例中，可基于访问对象黑名单，确定待传输数据的访问对象不属于访问对象黑名单。

当安全附加信息包含的是访问对象白名单时，本实施例中，可基于访问对象白名单，确定待传输数据的访问对象属于访问对象白名单。

本实施例中，在确定待传输数据的传输目标地址符合预设条件的基础上，当确定待传输数据的访问对象属于白名单或者不属于黑名单时，可允许基于根据安全附加信息确定出的通信协议类型，发送待传输数据至传输目标地址。从而，可进一步提高数据传输过程的安全性。

图6为本申请另一实施例提供的一种数据保护设备的结构示意图。如图6所示，该数据保护设备包括：存储器60和处理器61。

存储器60，用于存储计算机程序，并可被配置为存储其它各种数据以支持在蓝牙设备上的操作。这些数据的示例包括用于在蓝牙设备上操作的任何应用程序或方法的指令，联系人数据，电话簿数据，信息，图片，视频等。

存储器60可以由任何类型的易失性或非易失性存储设备或者它们的组合实现，如静态随机存取存储器(sram)，电可擦除可编程只读存储器(eeprom)，可擦除可编程只读存储器(eprom)，可编程只读存储器(prom)，只读存储器(rom)，磁存储器，快闪存储器，磁盘或光盘。

处理器61，与存储器60耦合，用于执行存储器60中的计算机程序，以用于：

根据当前应用程序对目标数据的访问请求，获取目标数据对应的安全附加信息；

根据目标数据对应的安全附加信息，确定当前应用程序对目标数据的访问权限；

若当前应用程序对目标数据的访问请求不符合访问权限，则拒绝访问请求。

在一可选实施例中，处理器61还用于：

对目标数据对应的安全附加信息进行加密处理；

处理器在获取目标数据对应的安全附加信息时，用于：

对目标数据对应的安全附加信息进行解密，以获取目标数据对应的安全附加信息。

在一可选实施例中，处理器61还用于：

若当前应用程序对目标数据的访问请求符合访问权限，则允许当前应用程序按照访问请求对目标数据进行访问。

在一可选实施例中，处理器61还用于：

若目标数据对应的安全附加信息中携带有敏感数据标签，则获取目标数据的敏感级别及当前应用程序的安全级别；

根据目标数据的敏感级别，确定敏感级别对应的应用程序的安全级别要求；

若当前应用程序的安全级别不满足安全级别要求，则对目标数据执行脱敏处理，并基于脱敏处理后的目标数据响应当前应用程序的访问请求。

在一可选实施例中，当访问请求为外传请求时，处理器61还用于：

根据目标数据对应的安全附加信息，确定目标数据对应的外传权限；

若外传权限为不允许外传，则拒绝外传请求。

在一可选实施例中，安全附加信息包括数据类型、安全级别、基础访问权限配置规则、访问行为信息、脱敏规则或防泄漏规则中的一种或多种。

在一可选实施例中，当安全附加信息中包含访问行为信息时，处理器61用于：

从目标数据对应的安全附加信息中获取访问行为信息，其中，访问行为信息中包含至少一个应用程序对目标数据的实际访问行为数据；

根据至少一个应用程序对目标数据的实际访问行为数据，确定至少一个应用程序对目标数据的实际访问行为，并将实际访问行为与对目标数据的访问权限不相符的应用程序确定为异常应用程序；

根据异常应用程序的实际访问行为以及预设的风险响应策略，调整异常应用程序对目标数据的访问权限。进一步，如图6所示，该数据保护设备还包括：通信组件62、电源组件63等其它组件。图6中仅示意性给出部分组件，并不意味着数据保护设备只包括图6所示组件。

相应地，本申请实施例还提供一种存储有计算机程序的计算机可读存储介质，计算机程序被执行时能够实现上述方法实施例中可由数据保护设备执行的各步骤。

图7为本申请另一实施例提供的一种计算设备的结构示意图。如图7所示，该计算设备包括：存储器70和处理器71。

存储器70，用于存储计算机程序，并可被配置为存储其它各种数据以支持在蓝牙设备上的操作。这些数据的示例包括用于在蓝牙设备上操作的任何应用程序或方法的指令，联系人数据，电话簿数据，信息，图片，视频等。

存储器70可以由任何类型的易失性或非易失性存储设备或者它们的组合实现，如静态随机存取存储器(sram)，电可擦除可编程只读存储器(eeprom)，可擦除可编程只读存储器(eprom)，可编程只读存储器(prom)，只读存储器(rom)，磁存储器，快闪存储器，磁盘或光盘。

处理器71，与存储器70耦合，用于执行存储器70中的计算机程序，以用于：

获取原始数据及其对应的唯一标识；

根据原始数据的安全级别，生成第一安全附加信息；

根据原始数据对应的访问对象，生成第二安全附加信息，其中，第二安全附加信息包括访问对象黑名单或白名单；

根据原始数据对应的访问协议，生成第三安全附加信息，其中，第三安全附加信息包括访问对象通信协议类型；

将第一、第二、第三安全附加信息进行组合并加密，得到加密后的安全附加信息；

关联唯一标识及加密后的安全附加信息；

存储关联后的加密后的安全附加信息。进一步，如图7所示，该计算设备还包括：通信组件72、电源组件73等其它组件。图7中仅示意性给出部分组件，并不意味着计算设备只包括图7所示组件。

相应地，本申请实施例还提供一种存储有计算机程序的计算机可读存储介质，计算机程序被执行时能够实现上述方法实施例中可由计算设备执行的各步骤。

图8为本申请另一实施例提供的一种计算设备的结构示意图。如图8所示，该计算设备包括：存储器80和处理器81。

存储器80，用于存储计算机程序，并可被配置为存储其它各种数据以支持在蓝牙设备上的操作。这些数据的示例包括用于在蓝牙设备上操作的任何应用程序或方法的指令，联系人数据，电话簿数据，信息，图片，视频等。

存储器80可以由任何类型的易失性或非易失性存储设备或者它们的组合实现，如静态随机存取存储器(sram)，电可擦除可编程只读存储器(eeprom)，可擦除可编程只读存储器(eprom)，可编程只读存储器(prom)，只读存储器(rom)，磁存储器，快闪存储器，磁盘或光盘。

处理器81，与存储器80耦合，用于执行存储器80中的计算机程序，以用于：

获取原始数据及其对应的唯一标识；

根据原始数据的安全级别，生成第一安全附加信息；

根据原始数据对应的访问协议，生成第三安全附加信息，其中，第三安全附加信息包括访问对象通信协议类型；

将第一、第三安全附加信息进行组合并加密，得到加密后的安全附加信息；

关联唯一标识及加密后的安全附加信息；

存储关联后的加密后的安全附加信息。进一步，如图8所示，该计算设备还包括：通信组件82、电源组件83等其它组件。图8中仅示意性给出部分组件，并不意味着计算设备只包括图8所示组件。

相应地，本申请实施例还提供一种存储有计算机程序的计算机可读存储介质，计算机程序被执行时能够实现上述方法实施例中可由计算设备执行的各步骤。

图9为本申请另一实施例提供的一种计算设备的结构示意图。如图9所示，该计算设备包括：存储器90和处理器91。

存储器90，用于存储计算机程序，并可被配置为存储其它各种数据以支持在蓝牙设备上的操作。这些数据的示例包括用于在蓝牙设备上操作的任何应用程序或方法的指令，联系人数据，电话簿数据，信息，图片，视频等。

存储器90可以由任何类型的易失性或非易失性存储设备或者它们的组合实现，如静态随机存取存储器(sram)，电可擦除可编程只读存储器(eeprom)，可擦除可编程只读存储器(eprom)，可编程只读存储器(prom)，只读存储器(rom)，磁存储器，快闪存储器，磁盘或光盘。

处理器91，与存储器90耦合，用于执行存储器90中的计算机程序，以用于：

获取待传输数据对应的唯一标识；

根据唯一标识，获取与其关联的安全附加信息；

解密安全附加信息，获取安全级别及通信协议类型；

基于安全级别，确定待传输数据的传输目标地址符合预设条件；

基于通信协议类型，发送待传输数据到传输目标地址。

在一可选实施例中，安全附加信息还包括访问对象黑名单，处理器91在基于通信协议类型，发送待传输数据到传输目标地址之前，还用于：基于访问对象黑名单，确定待传输数据的访问对象不属于访问对象黑名单；或者

安全附加信息还包括访问对象白名单，处理器91在基于通信协议类型，发送待传输数据到传输目标地址之前，还用于：基于访问对象白名单，确定待传输数据的访问对象属于访问对象白名单。进一步，如图9所示，该计算设备还包括：通信组件92、电源组件93等其它组件。图9中仅示意性给出部分组件，并不意味着计算设备只包括图9所示组件。

相应地，本申请实施例还提供一种存储有计算机程序的计算机可读存储介质，计算机程序被执行时能够实现上述方法实施例中可由计算设备执行的各步骤。

其中，图6、7、8和9中的通信组件，被配置为便于通信组件所在设备和其他设备之间有线或无线方式的通信。通信组件所在设备可以接入基于通信标准的无线网络，如wifi，2g或3g，或它们的组合。在一个示例性实施例中，通信组件经由广播信道接收来自外部广播管理系统的广播信号或广播相关信息。在一个示例性实施例中，通信组件还包括可基于射频识别(rfid)技术，红外数据协会(irda)技术，超宽带(uwb)技术，蓝牙(bt)技术和其他技术来实现的近场通信(nfc)模块，以促进短程通信。

其中，图6、7、8和9中的电源组件，为电源组件所在设备的各种组件提供电力。电源组件可以包括电源管理系统，一个或多个电源，及其他与为电源组件所在设备生成、管理和分配电力相关联的组件。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、cd-rom、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式访问机或其他可编程数据访问设备的访问器以产生一个机器，使得通过计算机或其他可编程数据访问设备的访问器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据访问设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据访问设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的访问，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个访问器(cpu)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(ram)和/或非易失性内存等形式，如只读存储器(rom)或闪存(flashram)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(pram)、静态随机存取存储器(sram)、动态随机存取存储器(dram)、其他类型的随机存取存储器(ram)、只读存储器(rom)、电可擦除可编程只读存储器(eeprom)、快闪记忆体或其他内存技术、只读光盘只读存储器(cd-rom)、数字多功能光盘(dvd)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitorymedia)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

以上所述仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。