CN105827574A - 一种文件访问系统、方法及装置 - Google Patents

Abstract

本发明公开了一种文件访问系统、方法及装置，有效防止了被访问文件的字节到达终端，提高被访问文件的安全性。该文件访问系统包括终端、系统客户端和系统服务端；终端，用于向系统客户端发送携带有文件标识ID的访问请求，以及显示所述系统服务端打开的文件；系统客户端，用于转发终端发送的携带有文件ID的访问请求给系统服务端，以及通过与系统服务端之间建立的虚拟通道访问系统服务端打开的文件，供所述终端显示；系统服务端，用于接收所述访问请求，从存储的文件ID与文件路径的对应关系中，获取所述访问请求中携带的文件ID对应的文件路径；确定获取的所述文件路径指向的文件，使用本地的应用程序打开确定的文件。

Description

一种文件访问系统、方法及装置

技术领域

本发明涉及网络安全技术领域，尤其涉及一种文件访问系统、方法及装置。

背景技术

在企业内部网中，用户信息数据、经销数据等通常以电子文件的形式进行分发和存储，比如，通信行业为了实现精准营销、处理用户投诉、进行经营分析，业务部门可能需要获取客户资料。如果不采取措施对这些资料进行保护，以电子文件形式批量导出客户资料就会泄漏。因此，需要相应的技术来阻止对电子文件未经授权的访问和使用。

通常，针对电子文件泄露采取的解决方法一般是在公司内部网和外部网之间设立防火墙或入侵检测系统。但当敏感文件被访问，或被授权用户接触到后，这些方法则不再具有保护作用，因为很多情况下攻击者可能是授权用户。其它方法，如限制使用者计算机的媒体移动，可能会给使用者的工作带来不便，也增加系统和维护的工作量；或通过检测邮件信息进行内容过滤，但如果敏感文件被攻击者加密或混淆，则不能有效的检测出；现存的DRM(DigitalRightsManagement，数字版权保护系统)在保护企业敏感文件方面也具有较强的作用，但是被授权用户接触到的是文件的真实内容，一旦攻击者通过权限检测验证，则该文档的信息仍可能会被泄密。因此，现有的文件访问方法仍然存在安全性较差的问题。

发明内容

本发明实施例提供一种文件访问系统、方法及装置，用以解决现有的文件访问方式存在的安全性较差的问题。

一种文件访问系统，所述文件访问系统包括终端、系统客户端和系统服务端；

所述终端，用于向所述系统客户端发送携带有文件标识ID的访问请求，以及显示所述系统服务端打开的文件；

所述系统客户端，用于转发所述终端发送的携带有文件ID的访问请求给所述系统服务端，以及通过与系统服务端之间建立的虚拟通道访问系统服务端打开的文件，供所述终端显示；

所述系统服务端，用于接收所述访问请求，从存储的文件ID与文件路径的对应关系中，获取所述访问请求中携带的文件ID对应的文件路径；确定获取的所述文件路径指向的文件，使用本地的应用程序打开确定的文件。

一种文件访问方法，所述方法包括：

接收系统客户端转发的来自终端的携带有文件标识ID的访问请求；

从存储的文件ID与文件路径的对应关系中，获取所述访问请求中携带的文件ID对应的文件路径；

确定获取的所述文件路径指向的文件，使用本地的应用程序打开确定的文件，以使所述系统客户端通过与系统服务端之间建立的虚拟通道访问系统服务端打开的文件，供所述终端显示。

一种文件访问方法，所述文件访问方法包括：

转发终端发送的携带有文件ID的访问请求给所述系统服务端，以使所述系统服务端根据所述文件ID，使用本地的应用程序打开确定的文件；

通过与系统服务端之间建立的虚拟通道访问系统服务端打开的文件，供所述终端显示。

一种文件访问设备，所述文件访问设备包括：

接收模块，用于接收系统客户端转发的来自终端的携带有文件标识ID的访问请求；

文件路径获取模块，用于从存储的文件ID与文件路径的对应关系中，获取所述访问请求中携带的文件ID对应的文件路径；

文件打开模块，用于确定获取的所述文件路径指向的文件，使用本地的应用程序打开确定的文件，以使所述系统客户端通过与系统服务端之间建立的虚拟通道访问系统服务端打开的文件，供所述终端显示。

一种文件访问设备，所述文件访问设备包括：

转发模块，用于转发终端发送的携带有文件ID的访问请求给所述系统服务端，以使所述系统服务端根据所述文件ID，使用本地的应用程序打开确定的文件；

访问模块，用于通过与系统服务端之间建立的虚拟通道访问系统服务端打开的文件，供所述终端显示。

在本发明实施例的方案中，文件访问系统由终端、系统客户端和系统服务端构成，通过系统客户端对终端的访问请求进行转发，并且在系统服务端上利用系统服务端的应用程序打开访问请求中携带的文件ID所表示的文件，最终通过系统客户端通过系统服务端和系统客户端之间的虚拟通道访问打开的所述文件，供终端显示用，该通过虚拟通道访问打开的所述文件以及供终端显示，有效防止了被访问文件的字节到达终端。无论终端对该电子文件进行何种操作，打开该文件的应用程序都运行在系统服务端上，但是使用终端的用户感觉不到这其中的差别，仍能正常操作，类似于运行在终端上。

附图说明

图1为本发明实施例中文件访问系统的结构示意图；

图2为本发明实施例中的系统服务端的结构示意图之一；

图3为本发明实施例中的系统客户端的结构示意图之一；

图4为本发明实施中的系统服务端和系统客户端协同完成文件访问的结构示意图；

图5为本发明实施例中系统服务端侧的文件访问方法流程图；

图6为本发明实施例中系统客户端侧的文件访问方法流程图；

图7为本发明实施例中系统服务端侧的文件访问设备的结构示意图；

图8为本发明实施例中系统客户端侧的文件访问设备的结构示意图。

具体实施方式

在本发明实施例的方案中，文件访问系统由终端、系统客户端和系统服务端构成，通过系统客户端对终端的访问请求进行转发，并且在系统服务端上利用系统服务端的应用程序打开访问请求中携带的文件ID所表示的文件，最终通过系统客户端通过系统服务端和系统客户端之间的虚拟通道访问打开的所述文件，供终端显示用，该通过虚拟通道访问打开的所述文件以及供终端显示，有效防止了被访问文件的字节到达终端。无论终端对该电子文件进行何种操作，打开该文件的应用程序都运行在系统服务端上，但是使用终端的用户感觉不到这其中的差别，仍能正常操作，类似于运行在终端上。

下面结合附图对本发明的方案进行详细地说明。

参见图1，为本发明实施例中的文件访问系统，所述文件访问系统包括终端11、系统客户端12和系统服务端13；

所述终端11，用于向所述系统客户端发送携带有文件标识ID的访问请求，以及显示所述系统服务端打开的文件；

具体的，所述终端可以通过浏览器、shell命令向系统客户端发送上述访问请求。

所述系统客户端12，用于转发所述终端发送的携带有文件ID的访问请求给所述系统服务端，以及通过与系统服务端之间建立的虚拟通道访问系统服务端打开的文件，供所述终端显示；

所述系统服务端13，用于接收所述访问请求，从存储的文件ID与文件路径的对应关系中，获取所述访问请求中携带的文件ID对应的文件路径；确定获取的所述文件路径指向的文件，使用本地的应用程序打开确定的文件。

在上述方案中，一个系统客户端可以为多个终端服务，也即接受多个终端发送的访问请求，一个系统服务端也可以与多个系统客户端服务；

为了进一步保证文件的安全性，较佳的，所述访问请求中还携带有用户的身份信息；

所述系统客户端12，还用于对所述用户身份信息进行鉴权，在鉴权通过时，从存储的文件ID与密级的对应关系中，获取所述访问请求中携带的文件ID对应的密级，在确定所述用户身份信息所表示的用户的访问权限包含获取的所述密级时，转发所述终端发送的携带有文件ID的访问请求给所述系统服务端。所述密级是指文件保密程度的等级，可以分为绝密、机密和秘密；可以事先为每一用户设置一定的访问权限，并保存在系统客户端，进而在用户通过鉴权时，可以利用保存的用户的访问权限信息和文件的密级来确定用户能否访问该文件；

在文件较多，存放在多个与系统服务端相连的服务器中时，所述系统服务端需要存储文件ID与服务器IP和文件路径的对应关系，使得在获知文件ID时，可确定该文件ID所表示的文件所在的服务器的IP地址和在该IP地址指向的服务器中的文件路径，进而可以找到该文件。

通过上述方式，文件不仅不能离开文件服务端，而且在身份信息鉴权通过且具有对该文件的访问权限时，才能顺利地被访问，多个层级上为文件的安全提供了保证。

较佳的，所述系统服务端13，还用于在使用本地的应用程序打开确定的文件之前，将所述身份信息利用数字水印技术嵌入在确定的文件中。

通过这种方式，由于文件中被嵌入了用户身份信息，进而在文件泄密时能较快地确定泄密者的身份，有效地防止已经访问到文件的用户将文件泄漏出去，进一步保证了文件的安全性。

较佳的，所述系统服务端13，还用于在获取所述访问请求中携带的文件ID对应的文件路径后，加密文件ID以及对应的文件路径并发送给所述系统客户端；

所述系统客户端12，还用于接收加密后的文件ID以及对应的文件路径，解密文件ID，建立解密后的文件ID与加密后的文件路径的对应关系，在接收到终端针对该文件ID所表示的文件的获取文件副本的操作请求时，从所述对应关系中获得该文件ID对应的加密后的文件路径，将加密后的文件路径在终端上显示。

这里从所述对应关系中获得该文件ID对应的加密后的文件路径之前，所述系统客户端12还可以根据用户的身份信息来确定该用户信息所表示的用户是否有对该文件的获取文件副本的操作权限，在针对该文件具有获取文件副本的操作权限时，才执行从所述对应关系中获得该文件ID对应的加密后的文件路径，进一步来保证文件的安全性；

上述获取文件副本的操作请求可以为下载、复制、剪切或把文件作为邮件附件等等的操作请求；

通过这种方式，在系统客户端和系统服务端经过网络进行通信时，可以有效防止文件路径以及文件ID的泄漏，并且系统客户端可利用该加密的文件路径来回复终端的获取文件副本的请求，也就是说用户在进行复制、剪切或把文件作为邮件附件等类似获得文件的副本请求时，将加密后的文件路径在终端上显示，终端本地不能获得关于文件内容的字节，进一步确保了文件的安全性。

此外，在文件存放在多个与系统服务端相连的服务器上时，系统服务端系统客户端需要存储文件ID与文件所在服务器IP和文件路径的对应关系，进而在收到终端针对该文件ID所表示的文件的获取文件副本的操作请求时，将文件所在服务器的IP地址和加密后的文件路径一起返回给终端。

在终端获得加密后的文件路径后，终端可以利用该加密的文件路径来访问该文件，具体访问过程是：终端向系统客户端发送携带有文件路径的访问请求，系统客户端接收终端的携带有文件路径的访问请求，将携带有文件路径的该访问请求发送给系统服务端，系统服务端确定该访问请求中携带的文件路径所指向的文件，系统服务端使用本地的应用程序打开确定的文件，系统客户端通过与系统服务端之间建立的虚拟通道访问系统服务端打开的文件，供所述终端显示；

也即，所述系统客户端12，还用于接收终端的携带有文件路径的访问请求，将携带有文件路径的该访问请求发送给系统服务端；

所述系统服务端13，还用于在接收到携带有文件路径的访问请求时，确定该访问请求中携带的文件路径所指向的文件，使用本地的应用程序打开确定的文件。

此外，为了进一步保护通过文件路径访问时文件的安全性，还可以将用户身份信息也携带在访问请求中，系统客户端对该身份信息进行鉴权，系统服务端利用该用户身份信息对文件ID的密级进行比较，以及向文件中嵌入用户身份信息，此时的过程为：终端向系统客户端发送携带有文件路径和用户身份信息的访问请求，系统客户端对该身份信息进行鉴权，鉴权通过后，对该访问请求中的身份信息的访问权限与找到的文件的ID对应的密级进行比较，在确定该身份信息的访问权限包括该文件的ID对应的密级时，将该携带有文件路径和用户身份信息的访问请求发送给系统服务端，系统服务端利用该文件路径找到文件，然后使用本地的应用程序打开确定的文件，系统客户端通过与系统服务端之间建立的虚拟通道访问系统服务端打开的文件，供所述终端显示。

本发明实施例中的系统客户端可以通过如图2所示的模块来实现，系统服务端可以通过如图3所示的模块划分来实现；

图2中，系统客户端包括：I/O管理器、系统文档处理器和客户端访问控制组件；其中系统文档处理器中包括共享内存、文件过滤控制接口和系统时间管理模块；

下面利用图2中和图3中所示的各模块对本发明实施例中的访问过程进行说明：

第一步：终端的浏览器通过系统客户端的I/O管理器向系统客户端的客户端访问控制组件发送账号信息(这里的账号信息即为用户身份信息)；

第二步：客户端访问控制组件接收所述账号信息，对所述账号信息进行鉴权，如果鉴权不通过，则给出提示信息，终止会话操作；如果鉴权通过，则执行第三步；

第三步：客户端访问控制组件接收终端的携带有文件ID和用户身份信息的访问请求，客户端访问控制组件系统从文档处理器的共享内存中存储的文件ID与密级的对应关系中，获取所述访问请求中携带的文件ID对应的密级，在确定所述用户身份信息所表示的用户的访问权限包含获取的所述密级时，执行第四步；否则，给出提示信息，终止会话操作；

第四步：客户端访问控制组件将上述访问请求发送给系统文档处理器，并执行第五步；

第五步：系统文档处理器中的文件过滤器接口通过CIFS(CommonInternetFileSystem，通用网络文件系统)协议将上述访问请求发送给系统服务端的文件过滤器接口，并执行第六步：

第六步：系统服务端的文件过滤器接收上述访问请求，在存储缓冲区中存储的文件ID与文件所在服务器的IP地址和文件路径信息的对应关系中查找访问请求中携带的文件ID对应的文件所在服务器的IP地址和文件路径信息，将文件ID和查找到文件所在服务器的IP地址和文件路径信息加密后发送给系统客户端的文件过滤器接口；此时系统客户端执行第七步，与此同时或之后系统服务端执行第八步；

上述第五步和第六步的过程如图4所示，图4中，系统客户端和系统服务端通过网络进行通信的示意图；服务端的文件过滤器接口监听和接收网络连接命令，并加载文件过滤器，文件过滤器可以过滤来自服务端文件过滤接口的文件操作请求，将符合设定条件的操作请求进行传输给底层；

它过滤所有来自服务端的文件操作请求，如阅读、创建文件等。从服务器的本地系统传递这些操作请求到更低层，不需做任何修改，因此，文件过滤器不影响系统服务端应用程序的正常运行。

此外，为防止文件内容在服务端泄露，文件过滤器有一个存储缓冲区，用于存储每个文件唯一的密级、文件所在服务器IP及文件路径名。存储缓冲区的数据通过密码算法(比如，MD5，RC4)加密后，被复制到输出缓冲区中。

第七步：系统客户端的系统文档处理器接收到解密接收到的文件ID和查找到文件所在服务器的IP地址，保存解密后的文件ID、解密后的服务器IP地址和加密的文件路径信息；启动系统时间管理模块，后续当打开的文件在设定时长内不被用户操作时，结束当前会话(用户再次操作文档则需要重新进行鉴权)；

第八步：系统服务端的执行模块确定访问请求中携带的文件ID对应的文件所在服务器的IP地址和文件路径信息指向的文件，并将确定的所述文件发送给系统服务端的文档安全保护模块；

第九步：系统服务端的文档安全保护模块将所述身份信息利用数字水印技术嵌入在确定的文件中；

第十步：系统执行模块使用本地的应用程序打开嵌入数字水印的文件；

第十一步：系统客户端的系统文档处理器通过与系统服务端之间建立的虚拟通道访问系统服务端打开的文件，供所述终端显示。

至此，通过上述访问过程使用终端的用户可以看到终端上显示的文件内容；

在上述过程中，系统控制模块是运行在系统服务端帐户上的NT服务，包括系统监控器和访问控制管理器。系统监控器的主要功能是监控文件的整个访问操作过程；并对文件的所有操作(包含打开、修改、打印等操作)进行日志记录，为企业进行信息安全审计提供依据；加载系统服务端上的文件过滤器。访问控制管理器检测激活终端的数目，防止同时激活过多的终端。

此外，在本系统中，终端用户访问的不是敏感文件的真实物理内容，当一个终端用户从本系统服务器上通过浏览器新建一个文件A，由于系统控制模块从(敏感)文件的创建就监控文件，当在文件目录中新增一个(敏感)文件时，系统监控器就分出一个线程，检查文档服务器中是否有文件ID与该新增的文件的文件ID相同的文件，若有文件标识，系统文件过滤器在该新增的文件ID加上一个用于表示该文件ID为重复的符号，例如，在文件名中添加“.docf”，并且用户指定文件的安全级别，若没有与该新增的文件ID相同的文件，则系统监控器批准文件内容被载入。

当用户复制文件A，并以文件B的名称保存时，其存储类型为特殊类型，该类型仅保存原文件A的文件路径，当系统读取该文件时，会利用保存的原文件A的文件路径去查找被保护的文件内容。

执行模块从终端会话开始，基于虚拟通道与系统客户端进行信息交互。此虚拟通道是面向会话传输协议，在系统服务器的终端侧，系统执行者能够初始化其它应用程序。在执行模块及其它的处理完成后，这个终端会话自动终止。在终端会话中，应用程序的处理过程是不能够与其它计算机上的远程网络共享的，以防黑客攻击。

系统执行模块从终端会话开始，基于虚拟通道与系统客户端进行信息交互，此虚拟通道是面向会话传输协议的，文档通过虚拟通道被打开。页面中显示在执行模块及其它的子处理程序完成后，这个终端会话自动终止。在终端会话的应用程序处理过程中，不允许访问其它计算机上的远程网络共享。

一旦接到访问请求，执行模块解密，读取文件ID和文件路径，传给访问控制模块。由访问控制模块启动相应的文件应用程序，监控该会话直到不运行子程序或窗口封闭为止。执行模块负责接收系统客户端键盘数据的更新，同时用一个隐藏窗口加载相同的数据到系统服务端键盘。

基于与上述文件访问系统的同一发明构思，本发明实施例还提供了一种系统服务端侧的文件访问方法及设备，以及一种系统客户端侧的文件访问方法及设备，由于系统客户端侧和系统服务端侧的方法及设备所解决问题的原理与前述文件访问系统相似，因此该系统客户端侧和系统服务端侧的方法及设备的实施可以参见前述文件访问系统的实施，重复之处不再赘述。

参见图5，为系统服务端侧的文件访问方法示意图，包括以下步骤：

步骤501：接收系统客户端转发的来自终端的携带有文件标识ID的访问请求；

步骤502：从存储的文件ID与文件路径的对应关系中，获取所述访问请求中携带的文件ID对应的文件路径；

步骤503：确定获取的所述文件路径指向的文件，使用本地的应用程序打开确定的文件，以使所述系统客户端通过与系统服务端之间建立的虚拟通道访问系统服务端打开的文件，供所述终端显示。

较佳的，在使用本地的应用程序打开确定的文件之前，所述方法还包括：

将所述身份信息利用数字水印技术嵌入在确定的文件中。

较佳的，在获取所述访问请求中携带的文件ID对应的文件路径后，所述方法还包括：

加密文件ID以及对应的文件路径并发送给所述系统客户端，以使所述系统客户端在接收到终端发送的针对该文件ID所表示的文件的获取文件副本的操作请求时，将加密后的文件路径在终端上显示。

较佳的，所述方法还包括：

接收系统客户端转发的来自终端的携带有文件路径的访问请求；

确定该携带有文件路径的访问请求中携带的文件路径所指向的文件，使用本地的应用程序打开确定的文件，以使所述系统客户端通过与系统服务端之间建立的虚拟通道访问系统服务端打开的文件，供所述终端显示。

参见图6，为系统客户端侧的文件访问方法示意图，包括以下步骤：

步骤601：转发终端发送的携带有文件ID的访问请求给所述系统服务端，以使所述系统服务端根据所述文件ID，使用本地的应用程序打开确定的文件；

步骤602：通过与系统服务端之间建立的虚拟通道访问系统服务端打开的文件，供所述终端显示。

较佳的，所述访问请求中还携带有用户的身份信息；

在转发终端发送的携带有文件ID的访问请求给所述系统服务端之前，所述方法还包括：

对所述用户身份信息进行鉴权；

在鉴权通过时，从存储的文件ID与密级的对应关系中，获取所述访问请求中携带的文件ID对应的密级；

确定所述用户身份信息所表示的用户的访问权限是否包含获取的所述密级；

所述转发终端发送的携带有文件ID的访问请求给所述系统服务端，具体包括：

在确定所述用户身份信息所表示的用户的访问权限包含获取的所述密级时，转发终端发送的携带有文件ID的访问请求给所述系统服务端。

较佳的，所述方法还包括：

接收系统服务端发送的加密后的文件ID以及对应的文件路径，解密文件ID，建立解密后的文件ID与加密后的文件路径的对应关系；

在接收到终端针对该文件ID所表示的文件的获取文件副本的操作请求时，从所述对应关系中获得该文件ID对应的加密后的文件路径，并将加密后的文件路径在终端上显示。

较佳的，所述方法还包括：

转发来自终端的携带有文件路径的访问请求给系统服务端，以使所述系统服务端根据所述访问请求中的文件路径打开确定的文件。

参见图7，为系统服务端侧的文件访问设备示意图，该系统服务端侧的文件访问设备包括：接收模块71、文件路径获取模块72和文件打开模块73；其中：

接收模块71，用于接收系统客户端转发的来自终端的携带有文件标识ID的访问请求；

文件路径获取模块72，用于从存储的文件ID与文件路径的对应关系中，获取所述访问请求中携带的文件ID对应的文件路径；

文件打开模块73，用于确定获取的所述文件路径指向的文件，使用本地的应用程序打开确定的文件，以使所述系统客户端通过与系统服务端之间建立的虚拟通道访问系统服务端打开的文件，供所述终端显示。

较佳的，所述文件访问设备还包括：

嵌入模块74，用于在文件打开模块使用本地的应用程序打开确定的文件之前，将所述身份信息利用数字水印技术嵌入在确定的文件中。

较佳的，所述文件访问设备还包括：

加密模块75，用于在文件路径获取模块获取所述访问请求中携带的文件ID对应的文件路径后，加密文件ID以及对应的文件路径；

发送模块76，用于发送密文件ID以及对应的文件路径给所述系统客户端，以使所述系统客户端在接收到终端发送的针对该文件ID所表示的文件的获取文件副本的操作请求时，将加密后的文件路径在终端上显示。

较佳的，所述接收模块71，还用于接收系统客户端转发的来自终端的携带有文件路径的访问请求；

所述文件打开模块73，还用于确定该携带有文件路径的访问请求中携带的文件路径所指向的文件，使用本地的应用程序打开确定的文件，以使所述系统客户端通过与系统服务端之间建立的虚拟通道访问系统服务端打开的文件，供所述终端显示。

参见图8，为系统客户端侧的文件访问设备示意图，该系统客户端侧的文件访问设备包括：转发模块81和访问模块82；其中：

转发模块81，用于转发终端发送的携带有文件ID的访问请求给所述系统服务端，以使所述系统服务端根据所述文件ID，使用本地的应用程序打开确定的文件；

访问模块82，用于通过与系统服务端之间建立的虚拟通道访问系统服务端打开的文件，供所述终端显示。

较佳的，所述访问请求中还携带有用户的身份信息；所述文件访问设备还包括：

鉴权模块83，用于在转发终端发送的携带有文件ID的访问请求给所述系统服务端之前对所述用户身份信息进行鉴权；

密级获取模块84，用于从存储的文件ID与密级的对应关系中，获取所述访问请求中携带的文件ID对应的密级；

确定模块85，用于确定所述用户身份信息所表示的用户的访问权限是否包含获取的所述密级；

所述转发模块81，具体用于在确定所述用户身份信息所表示的用户的访问权限包含获取的所述密级时，转发终端发送的携带有文件ID的访问请求给所述系统服务端。

较佳的，所述文件访问设备还包括：

接收模块86，用于接收系统服务端发送的加密后的文件ID以及对应的文件路径，以及接收终端针对该文件ID所表示的文件的获取文件副本的操作请求；

对应关系建立模块87，用于解密文件ID，建立解密后的文件ID与加密后的文件路径的对应关系；

获取模块88，用于在接收模块86接收到终端针对该文件ID所表示的文件的获取文件副本的操作请求时，从所述对应关系中获得该文件ID对应的加密后的文件路径，并将加密后的文件路径在终端上显示。

较佳的，所述转发模块81，还用于转发终端的携带有文件路径的访问请求给系统服务端，以使所述系统服务端根据所述访问请求中的文件路径打开确定的文件。

在本发明实施例的方案中，系统客户端利用其与系统服务端之间的虚拟通道来访问系统服务端打开的文件，并供终端显示，防止了授权或者非授权用户访问文件的物理字节。并且在用户访问不到文档物理字节的情况下，仍不改变用户的正常的工作使用习惯，具有较高的安全性和透明性。此外，由于发明的文件访问系统中文件始终没有离开文件服务端，不需要对文件进行加密和解密，因此，系统架构与现有的其它文档保护IT架构相比，能大大减少加解密文件和系统升级的成本，具有较高的使用效率和实用价值。进一步地，本发明实施例中的文件访问系统中还运用了文档安全保护技术，结合访问权限和操作权限的使用，可以有效防止包含重要资料的文件泄密。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、装置(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理装置的处理器以产生一个机器，使得通过计算机或其他可编程数据处理装置的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理装置以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理装置上，使得在计算机或其他可编程装置上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程装置上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本申请的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本申请范围的所有变更和修改。

显然，本领域的技术人员可以对本申请进行各种改动和变型而不脱离本申请的精神和范围。这样，倘若本申请的这些修改和变型属于本申请权利要求及其等同技术的范围之内，则本申请也意图包含这些改动和变型在内。

Claims (21)

1.一种文件访问系统，其特征在于，所述文件访问系统包括终端、系统客户端和系统服务端；

所述终端，用于向所述系统客户端发送携带有文件标识ID的访问请求，以及显示所述系统服务端打开的文件；

所述系统客户端，用于转发所述终端发送的携带有文件ID的访问请求给所述系统服务端，以及通过与系统服务端之间建立的虚拟通道访问系统服务端打开的文件，供所述终端显示；

所述系统服务端，用于接收所述访问请求，从存储的文件ID与文件路径的对应关系中，获取所述访问请求中携带的文件ID对应的文件路径；确定获取的所述文件路径指向的文件，使用本地的应用程序打开确定的文件。

2.如权利要求1所述的文件访问系统，其特征在于，所述访问请求中还携带有用户的身份信息；

所述系统客户端，还用于对所述用户身份信息进行鉴权，在鉴权通过时，从存储的文件ID与密级的对应关系中，获取所述访问请求中携带的文件ID对应的密级，在确定所述用户身份信息所表示的用户的访问权限包含获取的所述密级时，转发所述终端发送的携带有文件ID的访问请求给所述系统服务端。

3.如权利要求2述的文件访问系统，其特征在于，所述系统服务端，还用于在使用本地的应用程序打开确定的文件之前，将所述身份信息利用数字水印技术嵌入在确定的文件中。

4.如权利要求1所述的文件访问系统，其特征在于，所述系统服务端，还用于在获取所述访问请求中携带的文件ID对应的文件路径后，加密文件ID以及对应的文件路径并发送给所述系统客户端；

所述系统客户端，还用于接收加密后的文件ID以及对应的文件路径，解密文件ID，建立解密后的文件ID与加密后的文件路径的对应关系，在接收到终端针对该文件ID所表示的文件的获取文件副本的操作请求时，从所述对应关系中获得该文件ID对应的加密后的文件路径，将加密后的文件路径在终端上显示。

5.如权利要求4所述的文件访问系统，其特征在于，所述系统客户端，还用于转发来自终端的携带有文件路径的访问请求给系统服务端；

所述系统服务端，还用于在接收到携带有文件路径的访问请求时，确定该访问请求中携带的文件路径所指向的文件，使用本地的应用程序打开确定的文件。

6.一种文件访问方法，其特征在于，所述方法包括：

接收系统客户端转发的来自终端的携带有文件标识ID的访问请求；

从存储的文件ID与文件路径的对应关系中，获取所述访问请求中携带的文件ID对应的文件路径；

确定获取的所述文件路径指向的文件，使用本地的应用程序打开确定的文件，以使所述系统客户端通过与系统服务端之间建立的虚拟通道访问系统服务端打开的文件，供所述终端显示。

7.如权利要求6所述的文件访问方法，其特征在于，在使用本地的应用程序打开确定的文件之前，所述方法还包括：

将所述身份信息利用数字水印技术嵌入在确定的文件中。

8.如权利要求6所述的文件访问方法，其特征在于，在获取所述访问请求中携带的文件ID对应的文件路径后，所述方法还包括：

加密文件ID以及对应的文件路径并发送给所述系统客户端，以使所述系统客户端在接收到终端发送的针对该文件ID所表示的文件的获取文件副本的操作请求时，将加密后的文件路径在终端上显示。

9.如权利要求8所述的文件访问方法，其特征在于，所述方法还包括：

接收系统客户端转发的来自终端的携带有文件路径的访问请求；

确定该携带有文件路径的访问请求中携带的文件路径所指向的文件，使用本地的应用程序打开确定的文件，以使所述系统客户端通过与系统服务端之间建立的虚拟通道访问系统服务端打开的文件，供所述终端显示。

10.一种文件访问方法，其特征在于，所述文件访问方法包括：

转发终端发送的携带有文件ID的访问请求给所述系统服务端，以使所述系统服务端根据所述文件ID，使用本地的应用程序打开确定的文件；

通过与系统服务端之间建立的虚拟通道访问系统服务端打开的文件，供所述终端显示。

11.如权利要求10所述的文件访问方法，其特征在于，所述访问请求中还携带有用户的身份信息；

在转发终端发送的携带有文件ID的访问请求给所述系统服务端之前，所述方法还包括：

对所述用户身份信息进行鉴权；

在鉴权通过时，从存储的文件ID与密级的对应关系中，获取所述访问请求中携带的文件ID对应的密级；

确定所述用户身份信息所表示的用户的访问权限是否包含获取的所述密级；

所述转发终端发送的携带有文件ID的访问请求给所述系统服务端，具体包括：

在确定所述用户身份信息所表示的用户的访问权限包含获取的所述密级时，转发终端发送的携带有文件ID的访问请求给所述系统服务端。

12.如权利要求10所述的文件访问方法，其特征在于，所述方法还包括：

接收系统服务端发送的加密后的文件ID以及对应的文件路径，解密文件ID，建立解密后的文件ID与加密后的文件路径的对应关系；

在接收到终端针对该文件ID所表示的文件的获取文件副本的操作请求时，从所述对应关系中获得该文件ID对应的加密后的文件路径，并将加密后的文件路径在终端上显示。

13.如权利要求12所述的文件访问方法，其特征在于，所述方法还包括：

转发来自终端的携带有文件路径的访问请求给系统服务端，以使所述系统服务端根据所述访问请求中的文件路径打开确定的文件。

14.一种文件访问设备，其特征在于，所述文件访问设备包括：

接收模块，用于接收系统客户端转发的来自终端的携带有文件标识ID的访问请求；

文件路径获取模块，用于从存储的文件ID与文件路径的对应关系中，获取所述访问请求中携带的文件ID对应的文件路径；

文件打开模块，用于确定获取的所述文件路径指向的文件，使用本地的应用程序打开确定的文件，以使所述系统客户端通过与系统服务端之间建立的虚拟通道访问系统服务端打开的文件，供所述终端显示。

15.如权利要求14所述的文件访问设备，其特征在于，所述文件访问设备还包括：

嵌入模块，用于在文件打开模块使用本地的应用程序打开确定的文件之前，将所述身份信息利用数字水印技术嵌入在确定的文件中。

16.如权利要求14所述的文件访问设备，其特征在于，所述文件访问设备还包括：

加密模块，用于在文件路径获取模块获取所述访问请求中携带的文件ID对应的文件路径后，加密文件ID以及对应的文件路径；

发送模块，用于发送密文件ID以及对应的文件路径给所述系统客户端，以使所述系统客户端在接收到终端发送的针对该文件ID所表示的文件的获取文件副本的操作请求时，将加密后的文件路径在终端上显示。

17.如权利要求16所述的文件访问设备，其特征在于，所述接收模块，还用于接收系统客户端转发的来自终端的携带有文件路径的访问请求；

所述文件打开模块，还用于确定该携带有文件路径的访问请求中携带的文件路径所指向的文件，使用本地的应用程序打开确定的文件，以使所述系统客户端通过与系统服务端之间建立的虚拟通道访问系统服务端打开的文件，供所述终端显示。

18.一种文件访问设备，其特征在于，所述文件访问设备包括：

转发模块，用于转发终端发送的携带有文件ID的访问请求给所述系统服务端，以使所述系统服务端根据所述文件ID，使用本地的应用程序打开确定的文件；

访问模块，用于通过与系统服务端之间建立的虚拟通道访问系统服务端打开的文件，供所述终端显示。

19.如权利要求18所述的文件访问设备，其特征在于，所述访问请求中还携带有用户的身份信息；所述文件访问设备还包括：

鉴权模块，用于在转发终端发送的携带有文件ID的访问请求给所述系统服务端之前对所述用户身份信息进行鉴权；

密级获取模块，用于从存储的文件ID与密级的对应关系中，获取所述访问请求中携带的文件ID对应的密级；

确定模块，用于确定所述用户身份信息所表示的用户的访问权限是否包含获取的所述密级；

所述转发模块，具体用于在确定所述用户身份信息所表示的用户的访问权限包含获取的所述密级时，转发终端发送的携带有文件ID的访问请求给所述系统服务端。

20.如权利要求18所述的文件访问设备，其特征在于，所述文件访问设备还包括：

接收模块，用于接收系统服务端发送的加密后的文件ID以及对应的文件路径，以及接收终端针对该文件ID所表示的文件的获取文件副本的操作请求；

对应关系建立模块，用于解密文件ID，建立解密后的文件ID与加密后的文件路径的对应关系；

获取模块，用于在接收模块接收到终端针对该文件ID所表示的文件的获取文件副本的操作请求时，从所述对应关系中获得该文件ID对应的加密后的文件路径，并将加密后的文件路径在终端上显示。

21.如权利要求20所述的文件访问设备，其特征在于，所述转发模块，还用于转发来自终端的携带有文件路径的访问请求给系统服务端，以使所述系统服务端根据所述访问请求中的文件路径打开确定的文件。