具体实施方式

为使本领域技术人员更好地理解本发明的技术方案，下面结合附图和具体实施方式对本发明作进一步详细描述。

可以理解的是，此处描述的具体实施例和附图仅仅用于解释本发明，而非对本发明的限定。

可以理解的是，在不冲突的情况下，本发明中的各实施例及实施例中的各特征可相互组合。

可以理解的是，为便于描述，本发明的附图中仅示出了与本发明相关的部分，而与本发明无关的部分未在附图中示出。

可以理解的是，本发明的实施例中所涉及的每个单元、模块可仅对应一个实体结构，也可由多个实体结构组成，或者，多个单元、模块也可集成为一个实体结构。

可以理解的是，在不冲突的情况下，本发明的流程图和框图中所标注的功能、步骤可按照不同于附图中所标注的顺序发生。

可以理解的是，本发明的流程图和框图中，示出了按照本发明各实施例的系统、装置、设备、方法的可能实现的体系架构、功能和操作。其中，流程图或框图中的每个方框可代表一个单元、模块、程序段、代码，其包含用于实现规定的功能的可执行指令。而且，框图和流程图中的每个方框或方框的组合，可用实现规定的功能的基于硬件的系统实现，也可用硬件与计算机指令的组合来实现。

可以理解的是，本发明实施例中所涉及的单元、模块可通过软件的方式实现，也可通过硬件的方式来实现，例如单元、模块可位于处理器中。

本发明实施例提供的访问控制方法，可以用于访问控制装置，该访问控制装置可以是计算机程序产品，如终端应用等。

如图1所示，本发明实施例提供一种访问控制方法，所述方法可以包括如下步骤：

S11，响应于接收到第一应用发送的访问UICC请求，读取UICC中的访问控制条件文件和访问控制扩展文件。

其中，访问控制扩展文件至少用于指示是否允许已授权访问UICC的应用提供访问控制条件。

“第一应用”为未授权访问UICC的终端应用，本访问控制装置可以为已授权访问UICC的终端应用之一，第一应用、本访问控制装置和UICC均属于同一终端设备。

UICC的文件系统中包括访问控制专用文件，在本发明实施例中，访问控制专用文件除包括现有的访问控制主文件、访问控制规则文件和访问控制条件文件(包括基准摘要)之外，还可以包括访问控制扩展文件。

在本发明实施例中，当第一应用有访问UICC的需求时，可以向访问控制装置发起访问UICC请求，响应于接收到第一应用发送的访问UICC请求，访问控制装置读取UICC访问控制专用文件中的访问控制条件文件和访问控制扩展文件，访问控制条件文件和访问控制扩展文件响应于访问控制装置的读取命令，提供文件内容。

S12，根据访问控制条件文件和访问控制扩展文件，确定第一访问控制条件。

由于UICC中的访问控制条件文件用于存储UICC提供的第二访问控制条件，而UICC中的访问控制扩展文件至少用于指示是否允许已授权访问UICC的应用(包括访问控制装置)提供访问控制条件，则访问控制装置可以根据访问控制条件文件和访问控制扩展文件，确定出第一访问控制条件。

S13，根据第一访问控制条件处理第一应用的访问UICC请求。

确定出第一访问控制条件之后，访问控制装置就可以根据确定出的第一访问控制条件来处理第一应用的访问UICC请求。

通过上述步骤S11-S13可以看出，本发明实施例提供的访问控制方法，当第一应用有访问UICC的需求时，可以向访问控制装置发起访问UICC请求，响应于接收到第一应用发送的访问UICC请求，访问控制装置读取UICC访问控制专用文件中的访问控制条件文件和访问控制扩展文件，由于访问控制条件文件用于存储UICC提供的第二访问控制条件，而访问控制扩展文件至少用于指示是否允许已授权访问UICC的应用(包括访问控制装置)提供访问控制条件，因此访问控制装置根据访问控制条件文件和访问控制扩展文件，确定第一访问控制条件，不仅能够实现基于UICC的访问控制，还能够实现基于已授权访问UICC的应用的访问控制，提供了更高效更灵活的访问控制机制。

在一些实施例中，所述访问控制扩展文件还用于指示是否唯一使用UICC提供的第二访问控制条件。

在一些实施例中，所述访问控制扩展文件包括访问控制主体扩展指示和访问控制主体优先级指示，所述访问控制主体扩展指示至少包括第一预设字段，所述第一预设字段用于指示是否允许已授权访问UICC的应用提供访问控制条件，所述访问控制主体优先级指示至少包括第二预设字段，所述第二预设字段用于指示是否唯一使用所述UICC提供的第二访问控制条件。

访问控制扩展文件可以包括访问控制主体扩展指示，还可以包括访问控制主体优先级指示，其中，访问控制主体扩展指示可以用于指示是否允许已授权访问UICC的应用提供访问控制条件，在访问控制主体扩展指示允许已授权访问UICC的应用提供访问控制条件的情况下，访问控制主体优先级指示可以用于指示是否唯一使用UICC提供的第二访问控制条件，若不唯一使用UICC提供的第二访问控制条件，则需同时使用UICC提供的第二访问控制条件和已授权访问UICC的应用提供的访问控制条件。

例如，可以将访问控制主体扩展指示中的某个特定字段(即第一预设字段)编码为1，用于指示允许已授权访问UICC的应用提供访问控制条件，即扩展已授权访问UICC的应用为访问控制主体，而当该特定字段(即第一预设字段)被编码为0时，则用于指示不允许已授权访问UICC的应用提供访问控制条件，即未扩展已授权访问UICC的应用为访问控制主体。可以将访问控制主体优先级指示中的某个特定字段(即第二预设字段)编码为1，用于指示不唯一使用UICC提供的第二访问控制条件，即需同时使用UICC提供的第二访问控制条件和已授权访问UICC的应用提供的访问控制条件，UICC提供的第二访问控制条件和已授权访问UICC的应用提供的访问控制条件并列，而当该特定字段(即第二预设字段)被编码为0时，则用于指示唯一使用UICC提供的第二访问控制条件，即UICC提供的第二访问控制条件和已授权访问UICC的应用提供的访问控制条件非并列。需要说明的是，在访问控制主体扩展指示不允许已授权访问UICC的应用提供访问控制条件的情况下，访问控制主体优先级指示中的该特定字段(即第二预设字段)可以被编码为空，也可以被编码为除0和1之外的任何值，既不用于指示唯一使用UICC提供的第二访问控制条件，也不用于指示不唯一使用UICC提供的第二访问控制条件。

在一些实施例中，所述根据访问控制条件文件和访问控制扩展文件，确定第一访问控制条件(即S12)，可以包括如下步骤：在访问控制条件文件中包括第二访问控制条件，且访问控制扩展文件指示不唯一使用UICC提供的第二访问控制条件的情况下，根据第二访问控制条件以及本地存储的第三访问控制条件，确定第一访问控制条件。

当访问控制扩展文件指示不唯一使用UICC提供的第二访问控制条件时，则访问控制扩展文件必然指示允许已授权访问UICC的应用提供访问控制条件。

在访问控制装置读取的访问控制条件文件中包括第二访问控制条件，以及访问控制扩展文件指示允许已授权访问UICC的应用提供访问控制条件且指示不唯一使用UICC提供的第二访问控制条件的情况下，访问控制装置需要同时使用UICC提供的第二访问控制条件和已授权访问UICC的应用提供的访问控制条件进行访问控制，那么访问控制装置可以根据第二访问控制条件(即UICC提供的第二访问控制条件)和本地存储的第三访问控制条件(即已授权访问UICC的应用提供的访问控制条件，包括证书摘要等)，确定出第一访问控制条件。

在一些实施例中，所述根据第二访问控制条件以及本地存储的第三访问控制条件，确定第一访问控制条件，可以包括如下步骤：将第二访问控制条件以及第三访问控制条件合并，确定合并的访问控制条件为第一访问控制条件。

具体的，访问控制装置可以将第二访问控制条件以及第三访问控制条件合并，合并后的访问控制条件即为确定出的第一访问控制条件。

在一些实施例中，所述根据访问控制条件文件和访问控制扩展文件，确定第一访问控制条件(即S12)，可以包括如下步骤：在访问控制条件文件中包括第二访问控制条件，且访问控制扩展文件指示唯一使用UICC提供的第二访问控制条件的情况下，确定第二访问控制条件为第一访问控制条件。

在访问控制条件文件中包括第二访问控制条件，且访问控制扩展文件指示唯一使用UICC提供的第二访问控制条件的情况下，说明虽然访问控制扩展文件指示了允许已授权访问UICC的应用提供访问控制条件，但是由于UICC已经提供了第二访问控制条件且访问控制扩展文件还指示了唯一使用UICC提供的第二访问控制条件，访问控制装置只能使用UICC提供的第二访问控制条件进行访问控制，此时可以直接将第二访问控制条件(即UICC提供的第二访问控制条件)确定为第一访问控制条件。

在一些实施例中，所述根据访问控制条件文件和访问控制扩展文件，确定第一访问控制条件(即S12)，可以包括如下步骤：在访问控制条件文件中不包括第二访问控制条件，且访问控制扩展文件指示允许已授权访问UICC的应用提供访问控制条件的情况下，确定本地存储的第三访问控制条件为第一访问控制条件。

当访问控制装置读取的访问控制条件文件中不包括第二访问控制条件时，由于访问控制扩展文件指示了允许已授权访问UICC的应用提供访问控制条件，访问控制装置可以直接使用已授权访问UICC的应用提供的访问控制条件进行访问控制，即可以直接将本地存储的第三访问控制条件确定为第一访问控制条件。

在一些实施例中，所述根据访问控制条件文件和访问控制扩展文件，确定第一访问控制条件(即S12)，可以包括如下步骤：在访问控制扩展文件指示不允许已授权访问UICC的应用提供访问控制条件的情况下，确定访问控制条件文件中的第二访问控制条件为第一访问控制条件。

当访问控制扩展文件指示了不允许已授权访问UICC的应用提供访问控制条件时，UICC的访问控制条件文件中必然包括第二访问控制条件，否则无法进行访问控制，此时访问控制装置可以直接将第二访问控制条件确定为第一访问控制条件。

如图2所示，在本发明的实施例中，访问控制扩展文件可采用如图2所示的结构，其中可以包括长度为1个字节的访问控制主体扩展指示，还可以包括长度为1个字节的访问控制主体优先级指示。如前所述，访问控制主体扩展指示的内容可以包括指示是否允许已授权访问UICC的应用提供访问控制条件，也即是否将已授权访问UICC的应用扩展为访问控制主体，访问控制主体扩展指示可以做如图3所示的编码，可见，当第一预设字段b1＝0时，可以指示不允许已授权访问UICC的应用提供访问控制条件，即未扩展已授权访问UICC的应用为访问控制主体，当第一预设字段b1＝1时，可以指示允许已授权访问UICC的应用提供访问控制条件，即扩展已授权访问UICC的应用为访问控制主体。此外，b2、b3……b8皆为保留字段。

而访问控制主体优先级指示的内容可以包括指示是否唯一使用UICC提供的第二访问控制条件，也即(已授权访问UICC的)终端应用的访问控制是否可以(与UICC访问控制)并列，访问控制主体优先级可以做如图4所示的编码，可见，当第二预设字段b1＝0时，可以指示唯一使用UICC提供的第二访问控制条件，即终端应用访问控制非并列，当第二预设字段b1＝1时，可以指示不唯一使用UICC提供的第二访问控制条件，即终端应用访问控制并列。此外，b2、b3……b8皆为保留字段。

如图5所示，本发明实施例还提供一种访问控制方法，可以应用于UICC，所述方法可以包括如下步骤：

S21，响应于接收到访问控制装置发送的用于读取访问控制条件文件和访问控制扩展文件的读取指令，向访问控制装置返回本UICC中的访问控制条件文件和访问控制扩展文件。

其中，访问控制扩展文件至少用于指示是否允许已授权访问本UICC的应用提供访问控制条件。

本UICC的文件系统中包括访问控制专用文件，在本发明实施例中，访问控制专用文件除包括现有的访问控制主文件、访问控制规则文件和访问控制条件文件(包括基准摘要)之外，还可以包括访问控制扩展文件。当第一应用有访问UICC的需求时，可以向访问控制装置发起访问UICC请求，响应于接收到第一应用发送的访问UICC请求，访问控制装置向本UICC发送用于读取本UICC访问控制专用文件中的访问控制条件文件和访问控制扩展文件的读取指令，本UICC响应于接收到该读取命令，提供文件内容。

如图6所示，以下结合一个具体的实施例来对本发明提供的访问控制方法进行详细说明。

S21，终端应用A根据应用功能产生访问UICC的需求，向已授权访问UICC的另一终端应用B发送访问UICC请求。

其中，终端应用A即为第一应用，终端应用B即为访问控制装置。

S22，终端应用B响应于接收到终端应用A发送的访问UICC请求，读取UICC中的访问控制条件文件和访问控制扩展文件。

其中，访问控制扩展文件用于指示是否允许已授权访问UICC的应用提供访问控制条件，以及用于指示是否唯一使用UICC提供的第二访问控制条件。

S23，终端应用B判断是否将已授权访问UICC的应用扩展为访问控制主体，若是，则执行S24，否则执行S27。

具体的，若访问控制扩展文件指示了允许已授权访问UICC的应用提供访问控制条件，即将已授权访问UICC的应用扩展为访问控制主体，则执行S24，否则执行S27。

S24，终端应用B判断访问控制条件文件中是否包括第二访问控制条件(即UICC是否提供了访问控制条件)，若是，则执行S25，否则执行S26。

S25，终端应用B判断UICC提供的第二访问控制条件和已授权访问UICC的应用提供的访问控制条件是否可以并列，若是，则执行S28，否则执行S27。

若访问控制扩展文件指示了不唯一使用UICC提供的第二访问控制条件，说明UICC提供的第二访问控制条件和已授权访问UICC的应用提供的访问控制条件可以并列，则执行S28；否则执行S27。

S26，将本地存储的第三访问控制条件确定为第一访问控制条件。执行S29。

S27，将访问控制条件文件中的第二访问控制条件确定为第一访问控制条件。执行S29。

S28，将第二访问控制条件以及本地存储的第三访问控制条件合并，确定合并的访问控制条件为第一访问控制条件。执行S29。

S29，终端应用B根据确定出的第一访问控制条件处理终端应用A的访问UICC请求。

如图7所示，基于相同的技术构思，本发明实施例还提供一种访问控制装置，用以执行上述访问控制方法，所述访问控制装置包括：

接收模块101，用于接收第一应用发送的访问UICC请求。

读取模块102，用于响应于所述接收模块接收到第一应用发送的访问UICC请求，读取UICC中的访问控制条件文件和访问控制扩展文件；其中，所述访问控制扩展文件至少用于指示是否允许已授权访问UICC的应用提供访问控制条件。

第一处理模块103，用于根据所述访问控制条件文件和访问控制扩展文件，确定第一访问控制条件。

第二处理模块104，用于根据所述第一访问控制条件处理所述第一应用的访问UICC请求。

在一些实施例中，所述访问控制扩展文件还用于指示是否唯一使用所述UICC提供的第二访问控制条件。

在一些实施例中，所述访问控制扩展文件包括访问控制主体扩展指示和访问控制主体优先级指示，所述访问控制主体扩展指示至少包括第一预设字段，所述第一预设字段用于指示是否允许已授权访问UICC的应用提供访问控制条件，所述访问控制主体优先级指示至少包括第二预设字段，所述第二预设字段用于指示是否唯一使用所述UICC提供的第二访问控制条件。

在一些实施例中，所述第一处理模块103，用于：

在所述访问控制条件文件中包括第二访问控制条件，且所述访问控制扩展文件指示不唯一使用所述UICC提供的第二访问控制条件的情况下，根据所述第二访问控制条件以及本地存储的第三访问控制条件，确定第一访问控制条件。

在一些实施例中，所述第一处理模块103，用于：

将所述第二访问控制条件以及所述第三访问控制条件合并，确定合并的访问控制条件为第一访问控制条件。

在一些实施例中，所述第一处理模块103，用于：

在所述访问控制条件文件中包括第二访问控制条件，且所述访问控制扩展文件指示唯一使用所述UICC提供的第二访问控制条件的情况下，确定所述第二访问控制条件为第一访问控制条件。

在一些实施例中，所述第一处理模块103，用于：

在所述访问控制条件文件中不包括第二访问控制条件，且所述访问控制扩展文件指示允许已授权访问UICC的应用提供访问控制条件的情况下，确定本地存储的第三访问控制条件为第一访问控制条件。

如图8所示，基于相同的技术构思，本发明实施例还提供一种UICC，用以执行上述访问控制方法，所述UICC包括：

接收模块201，用于接收访问控制装置发送的用于读取访问控制条件文件和访问控制扩展文件的读取指令。

发送模块202，用于响应于所述接收模块接收到访问控制装置发送的用于读取访问控制条件文件和访问控制扩展文件的读取指令，向所述访问控制装置返回本UICC中的访问控制条件文件和访问控制扩展文件，其中，所述访问控制扩展文件至少用于指示是否允许已授权访问本UICC的应用提供访问控制条件。

可以理解的是，以上实施方式仅仅是为了说明本发明的原理而采用的示例性实施方式，然而本发明并不局限于此。对于本领域内的普通技术人员而言，在不脱离本发明的精神和实质的情况下，可以做出各种变型和改进，这些变型和改进也视为本发明的保护范围。