CN113938880B - 一种应用的验证方法及装置 - Google Patents

Abstract

本申请涉及一种应用的验证方法及装置。通信装置接收包含第一信息和第二信息的URSP，第一信息用于确定通信装置到第二核心网设备的第一路径，第二信息用于确定通信装置到第二核心网设备的第二路径，第一信息还包括第一网络设备的信息。运行第一应用，通过第一路径向第一网络设备发送加密信息，以验证第一应用是否可信，接收用于指示第一应用可信或不可信的验证信息。验证信息指示第一应用可信时，按照第二路径，通过第二网络设备承载第一应用的业务。本申请实施例增加了网络对应用进行验证的机制，提高了网络的安全性，本实施例提供的方法提升了电动汽车的自动驾驶和或ADAS能力，可以应用于车联网，例如V2X、LTE‑V、V2V等。

Description

一种应用的验证方法及装置

相关申请的交叉引用

本申请要求在2020年06月29日提交中国国家知识产权局、申请号为202010602690.3、申请名称为“一种APP ID的安全验证方法的方法”的中国专利申请的优先权，其全部内容通过引用结合在本申请中。

技术领域

本申请涉及通信技术领域，尤其涉及一种应用的验证方法及装置。

背景技术

目前，在第五代移动通信技术(the 5th generation，5G)通信中引入了网络切片的概念，也简称为切片。切片可以认为是为了满足某一个业务需求而创建的由多个网元组成的通信网络。对于用户来说，可以签约到相应的切片，由所签约的切片为该用户提供服务。

在支持切片的网络中，网络可以下发用户设备路由选择策略(UE routeselection policy，URSP)，URSP包括应用(APP)的身份号(ID)，一个APP的ID就对应一个应用，以及，URSP还包括APP的ID所对应的路由信息。终端设备接收URSP后，如果有APP运行，且该APP的ID包括在URSP中，则终端设备可以通过URSP中该APP的ID所对应的路由承载该APP的业务。

然而，终端设备中所安装的APP，并不都是可信的APP。例如终端设备中安装的APP1是伪造的APP，APP1使用了APP2的ID，APP2才是可信的APP。如果终端设备运行APP1，则APP1的ID与APP2的ID相同，而APP2的ID包括在URSP中，那么终端设备依然能够按照URSP中APP2的ID所对应的路由信息运行APP1，可能导致网络受到攻击。可见，目前的这种方式可能会导致网络的安全性降低。

发明内容

本申请实施例提供一种应用的验证方法及装置，用于提高网络的安全性。

第一方面，提供第一种应用的验证方法，该方法包括：接收来自第一核心网设备的URSP，所述URSP包含第一信息和第二信息，所述第一信息用于确定第一通信装置到第二核心网设备的第一路径，所述第一路径用于承载第一应用在所述第一通信装置与第一网络设备之间传输的数据，所述第二信息用于确定所述第一通信装置到所述第二核心网设备的第二路径，所述第二路径用于承载所述第一应用在所述第一通信装置与第二网络设备之间传输的数据，所述第一信息还包括第一网络设备的信息，所述第二网络设备是为所述第一应用对应的业务提供服务的网络设备；运行所述第一应用，或在运行所述第一应用前，根据所述第一网络设备的信息，通过所述第一路径向所述第一网络设备发送加密信息，所述加密信息用于所述第一网络设备验证所述第一应用是否可信；接收验证信息，所述验证信息用于指示所述第一应用可信或不可信；当所述验证信息指示所述第一应用可信时，按照所述第二路径，通过所述第二网络设备承载所述第一应用的业务。

该方法可由第一通信装置执行，第一通信装置可以是通信设备或能够支持通信设备实现该方法所需的功能的通信装置，例如芯片。示例性地，所述第一通信装置为终端设备，或者为设置在终端设备中的芯片，或者为用于实现终端设备的功能的其他部件。在下文的介绍过程中，以第一通信装置是终端设备为例。

在本申请实施例中，可由第一网络设备来验证第一应用是否可信，例如，如果第一应用不可信，则终端设备可停止运行第一应用，以减少不可信的应用对网络进行攻击的可能性。可见，本申请实施例由于增加了网络对应用进行验证的机制，由此提高了网络的安全性。而且本申请实施例改进了URSP的实现方式，可以通过URSP来包含用于验证应用的第一网络设备的信息，从而终端设备根据URSP就能获得第一网络设备的信息，既可以使得所获得的第一网络设备的信息较为可信，又可以无需核心网设备再通过其他信息下发第一网络设备的信息，有助于节省信令开销。

结合第一方面，在第一方面的第一种可选的实施方式中，根据所述第一网络设备的信息，通过所述第一路径向所述第一网络设备发送加密信息，包括：

根据所述第一网络设备的信息，通过所述第一通信装置与所述第二核心网设备之间的第一PDU会话，向所述第一网络设备发送用于请求建立通信连接的请求消息，所述请求消息包括所述加密信息；或，

根据所述第一网络设备的信息，通过所述第一通信装置与所述第二核心网设备之间的第一PDU会话，以及通过所述第一通信装置与所述第一网络设备之间的通信连接，向所述第一网络设备发送所述加密信息。

终端设备通过用于建立通信连接的请求消息来发送加密信息，可以减小加密信息的发送时延。而且由于此时并不知道第一应用是否可信，因此在与第一网络设备建立通信连接之前将加密信息发送给第一网络设备，也可以减少第一网络设备由于第一应用不可信而受到攻击的可能性。或者，终端设备在与第一网络设备建立通信连接后再将加密信息发送给第一网络设备，使得加密信息的发送更为可靠。

结合第一方面的第一种可选的实施方式，在第一方面的第二种可选的实施方式中，

所述第一PDU会话是已建立的；或，

所述方法还包括：根据所述第一信息，与所述第二核心网设备建立所述第一PDU会话。

如果终端设备已与第二核心网设备(例如，UPF)之间建立了符合第一信息要求的第一PDU会话，则终端设备无需再与第二核心网设备建立PDU会话，而是利用已有的第一PDU会话即可，减少了再次建立PDU会话的过程，节省信令开销。而如果终端设备还未与第二核心网设备建立符合第一信息要求的第一PDU会话，则终端设备可以与第二核心网设备建立符合第一信息要求的第一PDU会话，以通过第二核心网设备与第一网络设备通信。

结合第一方面或第一方面的第一种可选的实施方式或第一方面的第二种可选的实施方式，在第一方面的第三种可选的实施方式中，所述加密信息与所述第一应用的数字签名相关。

例如，该加密信息与第一应用的数字签名相关，例如该加密信息就是第一应用的数字签名，或者该加密信息是根据第一应用的数字签名得到的信息。以该加密信息是第一应用的数字签名为例，例如第一应用的数字签名可以是第一应用的开发商提供的，携带在第一应用中，只要终端设备安装了第一应用，或者下载了第一应用的安装包，就能获得第一应用的数字签名，无需终端设备再生成第一应用的数字签名。或者，第一应用的数字签名也可以由终端设备生成。例如，终端设备可以对第一应用的信息(例如第一应用的ID，或者第一应用的其他信息)进行数字签名。或者，该加密信息也可以不与第一应用的数字签名有关，例如终端设备也可以通过相应的密钥对第一应用的信息进行加密，得到该加密信息。

结合第一方面或第一方面的第一种可选的实施方式至第一方面的第三种可选的实施方式中的任一种可选的实施方式，在第一方面的第四种可选的实施方式中，在通过所述第一路径向所述第一网络设备发送加密信息之前，所述方法还包括：确定所述第一应用的安装包来自第一安装源，且所述第一应用为首次运行。

一个应用的安装包可能来自不同的安装源，例如可能来自应用市场，或者来自浏览器等，不同的安装源的可靠程度是不同的。对于同一个应用来说，如果该应用的安装包可能来自多个安装源，那么其中的一个安装源可靠，不代表其他的安装源也可靠。因此，如果一个应用是对应于某个安装源的首次运行，则都可以通过第一网络设备对该应用的可信性进行验证，以减少网络受到攻击的概率。

结合第一方面或第一方面的第一种可选的实施方式至第一方面的第四种可选的实施方式中的任一种可选的实施方式，在第一方面的第五种可选的实施方式中，

所述URSP包括第一子URSP和第二子URSP，所述第一子URSP对应的路由信息指向所述第二核心网设备，所述第一子URSP对应的路由信息还包括所述第一网络设备的地址，所述第二子URSP对应的路由信息指向所述第二核心网设备，且所述第一子URSP和第二子URSP具有关联关系；或，

所述URSP包括第一业务描述信息和第二业务描述信息，所述第一业务描述信息和所述第二业务描述信息均用于描述所述第一应用，所述第一业务描述信息对应的路由信息指向所述第二核心网设备，所述第一子URSP对应的路由信息还包括所述第一网络设备的地址，所述第二业务描述信息对应的路由信息指向所述第二核心网设备；或，

所述URSP包括第一路由信息和第二路由信息，所述第一路由信息指向所述第二核心网设备，所述第一子URSP对应的路由信息还包括所述第一网络设备的地址，所述第二路由信息指向所述第二核心网设备。

所述URSP可以有不同的实现方式。例如，第一核心网设备(例如，PCF)可以提供两个URSP(第一子URSP和第二子URSP)，从而使得指示更为明确。或者，第一核心网设备只需提供一个URSP，通过业务描述信息区分即可，无需下发过多的URSP，能够节省信令开销。或者，第一核心网设备只需提供一个URSP，无需下发过多的URSP，而且在该URSP中也只需包括一个业务描述信息，无需包括多个，通过不同的路由信息加以区分即可，能够在更大程度上节省信令开销。

结合第一方面或第一方面的第一种可选的实施方式至第一方面的第五种可选的实施方式中的任一种可选的实施方式，在第一方面的第六种可选的实施方式中，在接收所述验证信息后，所述方法还包括：释放所述第一PDU会话。

终端设备在接收来自第一网络设备的验证信息后，如果第一PDU会话和第二PDU会话(用于终端设备与第二网络设备通信的PDU会话)是不同的PDU会话，且第一PDU会话仅用于终端设备与第一网络设备之间的通信，那么第一PDU会话已不再需要使用。因此终端设备可以触发释放与第一网络设备之间的第一PDU会话。或者，第一网络设备在向终端设备发送验证信息后，也可以触发释放第一PDU会话。

或者，如果第一PDU会话和第二PDU会话是不同的PDU会话，但第一PDU会话除了用于终端设备与第一网络设备之间的通信外，还用于终端设备与其他网络设备之间的通信，例如第一PDU会话是终端设备事先为了其他目的建立的，那么终端设备或第一网络设备可以无需释放第一PDU会话。

或者，如果第一PDU会话与第二PDU会话是同一个PDU会话，且验证信息指示第一应用可信，则终端设备和第二网络设备还需要通过第一PDU会话承载第一应用的业务，因此终端设备或第一网络设备可以无需释放第一PDU会话。

结合第一方面或第一方面的第一种可选的实施方式至第一方面的第六种可选的实施方式中的任一种可选的实施方式，在第一方面的第七种可选的实施方式中，接收验证信息，包括：

接收来自所述第一网络设备的所述验证信息；或，

接收来自第三核心网设备的第一消息，所述第一消息包括所述验证信息。

第一网络设备可以将验证信息直接发送给终端设备，由此可以减少信令开销。或者，第一网络设备可以通过第三核心网设备将验证信息发送给终端设备，从而使得核心网设备也能获知验证结果。第三核心网设备例如为PCF，或者也可以是AMF等。

结合第一方面的第七种可选的实施方式，在第一方面的第八种可选的实施方式中，

所述第一消息为释放消息，所述释放消息用于指示释放所述第一通信装置与所述第二核心网设备之间的第一PDU会话；或，

所述第一消息为配置更新消息。

这里只是对于第一消息的举例，本申请实施例不限制第一消息的实现方式。

结合第一方面或第一方面的第一种可选的实施方式至第一方面的第八种可选的实施方式中的任一种可选的实施方式，在第一方面的第九种可选的实施方式中，所述验证信息指示所述第一应用不可信时，所述方法还包括：不通过所述第二网络设备承载所述第一应用的业务。

结合第一方面的第九种可选的实施方式，在第一方面的第十种可选的实施方式中，所述方法还包括：将所述第一应用的信息添加到黑名单，以不再调用所述第一应用。

如果第一应用不可信，则终端设备可以不通过第二网络设备承载第一应用的业务，以减少网络受到攻击的可能性。另外，终端设备还可以针对第一安装源将第一应用的信息添加到黑名单，或者说针对第一安装源拉黑第一应用，以不再调用第一应用。且终端设备还可以对用户进行提示，例如终端设备可以输出提示信息，该提示信息可以指示第一应用具有安全风险，或者指示第一应用无法使用URSP包括的路由信息，使得用户能够知道第一应用不能运行的原因。

第二方面，提供第二种应用的验证方法，该方法包括：接收来自终端设备的加密信息；根据所述加密信息验证所述第一应用是否可信；发送验证信息，所述验证信息用于指示所述第一应用可信或不可信。

该方法可由第二通信装置执行，第二通信装置可以是通信设备或能够支持通信设备实现该方法所需的功能的通信装置，例如芯片。示例性地，所述第二通信装置为第一网络设备，或者为设置在第一网络设备中的芯片，或者为用于实现第一网络设备的功能的其他部件。示例性地，所述第一网络设备为服务器。例如，第一网络设备可以是应用的开发商所提供的用于对应用进行验证的服务器，例如，第一应用的开发商除了提供第二网络设备作为第一应用的应用服务器外，还可以提供第一网络设备，用于验证第一应用，或者第一网络设备也可以用于验证该开发商所提供的全部应用。在下文的介绍过程中，以第二通信装置是第一网络设备为例。

结合第二方面，在第二方面的第一种可选的实施方式中，接收来自终端设备的加密信息，包括：

接收来自所述终端设备的用于建立通信连接的请求消息，所述请求消息包括所述加密信息；或，

与所述终端设备建立通信连接；

通过所述通信连接接收来自所述终端设备的所述加密信息。

结合第二方面或第二方面的第一种可选的实施方式，在第二方面的第二种可选的实施方式中，所述加密信息与所述第一应用的数字签名相关。

结合第二方面的第二种可选的实施方式，在第二方面的第三种可选的实施方式中，根据所述加密信息验证所述第一应用是否可信，包括：

验证所述加密信息包括的第一部分比特和第二部分比特是否存在对应关系；

若所述第一部分比特和所述第二部分比特存在所述对应关系，确定所述第一应用可信，否则，确定所述第一应用不可信。

例如，第一网络设备可以对加密信息进行解密，得到解密信息，解密信息例如为第一应用的信息(例如第一应用的ID，或者第一应用的其他信息)。第一网络设备可以确定该解密信息与第一网络设备预先存储的第一应用的信息是否一致，如果二者一致，则第一网络设备确定第一应用可信，如果二者不一致，则第一网络设备确定第一应用不可信。

结合第二方面或第二方面的第一种可选的实施方式至第二方面的第三种可选的实施方式中的任一种可选的实施方式，在第二方面的第四种可选的实施方式中，发送验证信息，包括：

向所述终端设备发送所述验证信息；或，

向第一核心网设备发送所述验证信息。

结合第二方面或第二方面的第一种可选的实施方式至第二方面的第四种可选的实施方式中的任一种可选的实施方式，在第二方面的第五种可选的实施方式中，

第一网络设备和第二网络设备是同一个网络设备；或，

第一网络设备和第二网络设备是不同的网络设备；

其中，所述第二网络设备是为所述第一应用对应的业务提供服务的网络设备。

第一网络设备和第二网络设备可以是同一个网络设备，该网络设备既用于为第一应用提供服务，又可以对第一应用进行验证，从而无需其他设备验证第一应用，减少设备开销，简化网络结构。或者，第一网络设备和第二网络设备也可以是不同的网络设备，例如第一网络设备可以是第一应用的开发商提供的专用于对应用进行验证的设备，从而将验证和应用服务区分开，不同的设备完成不同的功能，简化设备结构。

结合第二方面的第五种可选的实施方式，在第二方面的第六种可选的实施方式中，所述第一网络设备和所述第二网络设备是不同的网络设备，或，所述第一网络设备和所述第二网络设备是同一个网络设备且所述验证信息指示所述第一应用不可信，所述方法还包括：

释放所述第一PDU会话。

关于第二方面或第二方面的部分可选的实施方式所带来的技术效果，可参考对于第一方面或第一方面的相应实施方式的技术效果的介绍。

第三方面，提供第三种应用的验证方法，该方法包括：第一核心网设备向终端设备发送URSP，所述URSP包含第一信息和第二信息，所述第一信息用于确定所述终端设备到第二核心网设备的第一路径，所述第一路径用于承载第一应用在所述终端设备与第一网络设备之间传输的数据，所述第二信息用于确定所述终端设备到所述第二核心网设备的第二路径，所述第二路径用于承载所述第一应用在所述终端设备与第二网络设备之间传输的数据，所述第一信息还包括第一网络设备的信息，所述第二网络设备是为所述第一应用对应的业务提供服务的网络设备，所述第一网络设备用于对所述第一应用进行验证；所述第二核心网设备通过所述第一路径接收来自所述终端设备的加密信息，并将所述加密信息发送给所述第一网络设备，所述加密信息用于所述第一网络设备验证所述第一应用是否可信；所述第一核心网设备接收来自所述第一网络设备的验证信息，所述验证信息用于指示所述第一应用可信或不可信；所述第一核心网设备向所述终端设备发送所述验证信息。

该方法可由第三通信装置和第四通信装置执行，第三通信装置可以是通信设备或能够支持通信设备实现该方法所需的功能的通信装置，例如芯片，第四通信装置可以是通信设备或能够支持通信设备实现该方法所需的功能的通信装置，例如芯片。示例性地，所述第三通信装置为第一核心网设备，或者为设置在第一核心网设备中的芯片，或者为用于实现第一核心网设备的功能的其他部件。示例性地，所述第一核心网设备为PCF。在下文的介绍过程中，以第三通信装置是第一核心网设备为例。示例性地，所述第四通信装置为第二核心网设备，或者为设置在第二核心网设备中的芯片，或者为用于实现第二核心网设备的功能的其他部件。示例性地，所述第二核心网设备为UPF。在下文的介绍过程中，以第四通信装置是第二核心网设备为例。

结合第三方面，在第三方面的第一种可选的实施方式中，

所述URSP包括第一子URSP和第二子URSP，所述第一子URSP对应的路由信息指向所述第二核心网设备，所述第一子URSP对应的路由信息还包括所述第一网络设备的地址，所述第二子URSP对应的路由信息指向所述第二核心网设备，且所述第一子URSP和第二子URSP具有关联关系；或，

所述URSP包括第一业务描述信息和第二业务描述信息，所述第一业务描述信息和所述第二业务描述信息均用于描述所述第一应用，所述第一业务描述信息对应的路由信息指向所述第二核心网设备，所述第一子URSP对应的路由信息还包括所述第一网络设备的地址，所述第二业务描述信息对应的路由信息指向所述第二核心网设备；或，

所述URSP包括第一路由信息和第二路由信息，所述第一路由信息指向所述第二核心网设备，所述第一子URSP对应的路由信息还包括所述第一网络设备的地址，所述第二路由信息指向所述第二核心网设备。

结合第三方面或第三方面的第一种可选的实施方式，在第三方面的第二种可选的实施方式中，所述第一核心网设备向所述终端设备发送所述验证信息，包括：所述第一核心网设备向所述终端设备发送第一消息，所述第一消息包括所述验证信息。

结合第三方面的第二种可选的实施方式，在第三方面的第三种可选的实施方式中，

所述第一消息为释放消息，所述释放消息用于指示释放所述终端设备与所述第二核心网设备之间的第一PDU会话；或，

所述第一消息为配置更新消息。

关于第三方面或第三方面的各种可选的实施方式所带来的技术效果，可参考对于第一方面或第一方面的相应实施方式的技术效果的介绍，或参考对于第二方面或第二方面的相应实施方式的技术效果的介绍。

第四方面，提供第四种应用的验证方法，该方法包括：接收来自第一核心网设备的URSP，所述URSP包含第一信息，所述第一信息用于确定第五通信装置到第二核心网设备的第一路径，所述第一路径用于承载第一应用在所述第五通信装置与第一网络设备之间传输的数据，所述第一网络设备是为第一应用对应的业务提供服务的网络设备；运行所述第一应用，或在运行所述第一应用前，根据所述第一网络设备的信息，通过所述第一路径向所述第一网络设备发送加密信息，所述加密信息用于所述第一网络设备验证所述第一应用是否可信；接收验证信息，所述验证信息用于指示所述第一应用可信或不可信；当所述验证信息指示所述第一应用可信时，按照所述第一路径，通过所述第一网络设备承载所述第一应用的业务。

该方法可由第五通信装置执行，第五通信装置可以是通信设备或能够支持通信设备实现该方法所需的功能的通信装置，例如芯片。示例性地，所述第五通信装置为终端设备，或者为设置在终端设备中的用于实现终端设备的功能的芯片，或者为用于实现终端设备的功能的其他部件。在下文的介绍过程中，以第五通信装置是终端设备为例。

在本申请实施例中，可由第一网络设备来验证第一应用是否可信，例如，如果第一应用不可信，则终端设备可停止运行第一应用，以减少不可信的应用对网络进行攻击的可能性。可见，本申请实施例由于增加了网络对应用进行验证的机制，由此提高了网络的安全性。而且本申请实施例无需改变URSP的结构，有助于与已有技术兼容。

结合第四方面，在第四方面的第一种可选的实施方式中，根据所述第一网络设备的信息，通过所述第一路径向所述第一网络设备发送加密信息，包括：

根据所述第一网络设备的信息，通过所述第五通信装置与所述第二核心网设备之间的第一PDU会话，向所述第一网络设备发送用于建立通信连接的请求消息，所述请求消息包括所述加密信息；或，

根据所述第一网络设备的信息，通过所述第五通信装置与所述第二核心网设备之间的第一PDU会话，以及通过所述第五通信装置与所述第一网络设备之间的通信连接，向所述第一网络设备发送所述加密信息。

结合第四方面的第一种可选的实施方式，在第四方面的第二种可选的实施方式中，

所述第一PDU会话是已建立的；或，

所述方法还包括：根据所述第一信息，与所述第二核心网设备建立所述第一PDU会话。

结合第四方面或第四方面的第一种可选的实施方式或第四方面的第二种可选的实施方式，在第四方面的第三种可选的实施方式中，所述加密信息与所述第一应用的数字签名相关。

结合第四方面或第四方面的第一种可选的实施方式至第四方面的第三种可选的实施方式中的任一种可选的实施方式，在第四方面的第四种可选的实施方式中，在通过所述第一路径向所述第一网络设备发送加密信息之前，所述方法还包括：确定所述第一应用的安装包来自第一安装源，且所述第一应用为首次运行。

结合第四方面或第四方面的第一种可选的实施方式至第四方面的第四种可选的实施方式中的任一种可选的实施方式，在第四方面的第五种可选的实施方式中，接收验证信息，包括：

接收来自第三核心网设备的第一消息，所述第一消息包括所述验证信息。

结合第四方面的第五种可选的实施方式，在第四方面的第六种可选的实施方式中，

所述第一消息为释放消息，所述释放消息用于指示释放第五通信装置与所述第二核心网设备之间的第一PDU会话；或，

所述第一消息为配置更新消息。

结合第四方面或第四方面的第一种可选的实施方式至第四方面的第六种可选的实施方式中的任一种可选的实施方式，在第四方面的第七种可选的实施方式中，所述方法还包括：所述验证信息指示所述第一应用不可信时，释放所述第五通信装置与所述第二核心网设备之间的第一PDU会话。

结合第四方面的第七种可选的实施方式，在第四方面的第八种可选的实施方式中，所述方法还包括：将所述第一应用的信息添加到黑名单，以不再调用所述第一应用。

关于第四方面或第四方面的各种可选的实施方式所带来的技术效果，可参考对于第一方面或第一方面的相应实施方式的技术效果的介绍。

第五方面，提供第五种应用的验证方法，该方法包括：第一核心网设备向终端设备发送URSP，所述URSP包含第一信息，所述第一信息用于确定所述终端设备到第二核心网设备的第一路径，所述第一路径用于承载第一应用在所述终端设备与第一网络设备之间传输的数据，所述第一网络设备是为第一应用对应的业务提供服务的网络设备，且所述第一网络设备用于对所述第一应用进行验证；所述第二核心网设备通过所述第一路径接收来自所述终端设备的加密信息，并将所述加密信息发送给所述第一网络设备，所述加密信息用于所述第一网络设备验证所述第一应用是否可信；所述第一核心网设备接收来自所述第一网络设备的验证信息，所述验证信息用于指示所述第一应用可信或不可信；所述第一核心网设备向所述终端设备发送所述验证信息。

该方法可由第六通信装置和第七通信装置执行，第六通信装置可以是通信设备或能够支持通信设备实现该方法所需的功能的通信装置，例如芯片，第七通信装置可以是通信设备或能够支持通信设备实现该方法所需的功能的通信装置，例如芯片。示例性地，所述第六通信装置为第一核心网设备，或者为设置在第一核心网设备中的用于实现第一核心网设备的功能的芯片，或者为用于实现第一核心网设备的功能的其他部件。示例性地，所述第一核心网设备为PCF。在下文的介绍过程中，以第六通信装置是第一核心网设备为例。示例性地，所述第七通信装置为第二核心网设备，或者为设置在第二核心网设备中的用于实现第二核心网设备的功能的芯片，或者为用于实现第二核心网设备的功能的其他部件。示例性地，所述第二核心网设备为UPF。在下文的介绍过程中，以第七通信装置是第二核心网设备为例。

结合第五方面，在第五方面的第一种可选的实施方式中，所述第一核心网设备向所述终端设备发送所述验证信息，包括：所述第一核心网设备向所述终端设备发送第一消息，所述第一消息包括所述验证信息。

结合第五方面的第一种可选的实施方式，在第五方面的第二种可选的实施方式中，

所述第一消息为释放消息，所述释放消息用于指示释放所述终端设备与所述第二核心网设备之间的第一PDU会话；或，

所述第一消息为配置更新消息。

关于第五方面或第五方面的各种可选的实施方式所带来的技术效果，可参考对于第三方面或第三方面的相应实施方式的技术效果的介绍。

第六方面，提供一种通信装置。所述通信装置可以包括用于执行第一方面或第一方面的任一可选的实施方式中的方法的模块，例如包括发送模块、接收模块和处理模块，例如所述通信装置为前文所述的第一通信装置；或者，所述通信装置可以包括用于执行第四方面或第四方面的任一可选的实施方式中的方法的模块，例如包括发送模块、接收模块和处理模块，例如所述通信装置为前文所述的第五通信装置。

第七方面，提供一种通信装置。所述通信装置可以包括用于执行第二方面或第二方面的任一可能的实施方式中的方法的模块，例如包括发送模块和接收模块和处理模块，例如所述通信装置为前文所述的第二通信装置。

第八方面，提供第一通信系统。所述第一通信系统包括第三通信装置和第四通信装置，所述第三通信装置和所述第四通信装置用于执行上述第三方面或第三方面的任一可选的实施方式中的方法。具体地，所述第三通信装置可以包括用于执行第三方面或第三方面的任一可能的实施方式中的方法的模块，所述第四通信装置可以包括用于执行第三方面或第三方面的任一可能的实施方式中的方法的模块。

第九方面，提供第二通信系统。所述第二通信系统包括第六通信装置和第七通信装置，所述第六通信装置和所述第七通信装置用于执行上述第五方面或第五方面的任一可选的实施方式中的方法。具体地，所述第六通信装置可以包括用于执行第五方面或第五方面的任一可能的实施方式中的方法的模块，所述第七通信装置可以包括用于执行第五方面或第五方面的任一可能的实施方式中的方法的模块。

第十方面，提供一种芯片系统，所述芯片系统包括一个或多个处理器，以及包括通信接口，所述处理器与所述通信接口耦合，用于实现上述第一方面或第一方面的任一种可选的实施方式所提供的方法，或用于实现上述第四方面或第四方面的任一种可选的实施方式所提供的方法。可选的，所述芯片系统还可以包括存储器，例如，所述处理器可以读取并执行所述存储器所存储的软件程序，以实现上述第一方面或第一方面的任一种可选的实施方式所提供的方法，或实现上述第四方面或第四方面的任一种可选的实施方式所提供的方法。

第十一方面，提供一种芯片系统，所述芯片系统包括一个或多个处理器，以及包括通信接口，所述处理器与所述通信接口耦合，用于实现上述第二方面或第二方面的任一种可选的实施方式所提供的方法。可选的，所述芯片系统还可以包括存储器，例如，所述处理器可以读取并执行所述存储器所存储的软件程序，以实现上述第二方面或第二方面的任一种可选的实施方式所提供的方法。

第十二方面，提供一种计算机可读存储介质，所述计算机可读存储介质用于存储计算机程序，当所述计算机程序在计算机上运行时，使得所述计算机执行上述第一方面或第一方面的任意一种可选的实施方式所提供的方法，或使得所述计算机执行上述第四方面或第四方面的任意一种可选的实施方式所提供的方法。

第十三方面，提供一种计算机可读存储介质，所述计算机可读存储介质用于存储计算机程序，当所述计算机程序在计算机上运行时，使得所述计算机执行上述第二方面或第二方面的任意一种可选的实施方式所提供的方法。

第十四方面，提供一种计算机可读存储介质，所述计算机可读存储介质用于存储计算机程序，当所述计算机程序在计算机上运行时，使得所述计算机执行上述第三方面或第三方面的任意一种可选的实施方式所提供的方法，或使得所述计算机执行上述第五方面或第五方面的任意一种可选的实施方式所提供的方法。

第十五方面，提供一种包含指令的计算机程序产品，所述计算机程序产品用于存储计算机程序，当所述计算机程序在计算机上运行时，使得所述计算机执行上述第一方面或第一方面的任意一种可选的实施方式中由终端设备所执行的方法，或使得所述计算机执行上述第四方面或第四方面的任意一种可选的实施方式所提供的方法。

第十六方面，提供一种包含指令的计算机程序产品，所述计算机程序产品用于存储计算机程序，当所述计算机程序在计算机上运行时，使得所述计算机执行上述第二方面或第二方面的任意一种可选的实施方式所提供的方法。

第十七方面，提供一种包含指令的计算机程序产品，所述计算机程序产品用于存储计算机程序，当所述计算机程序在计算机上运行时，使得所述计算机执行上述第三方面或第三方面的任意一种可选的实施方式中由终端设备所执行的方法，或使得所述计算机执行上述第五方面或第五方面的任意一种可选的实施方式所提供的方法。

本申请实施例增加了网络对应用进行验证的机制，提高了网络的安全性。

附图说明

图1为URSP的结构示意图；

图2为URSP所包括的路由信息的示意图；

图3为网络向终端设备下发URSP的流程图；

图4为本申请实施例的一种应用场景示意图；

图5为本申请实施例提供的第一种应用的验证方法的流程图；

图6为本申请实施例提供的URSP的第一种实现方式的示意图；

图7为本申请实施例提供的URSP的第二种实现方式的示意图；

图8为本申请实施例提供的URSP的第三种实现方式的示意图；

图9为本申请实施例提供的第二种应用的验证方法的流程图；

图10为本申请实施例提供的第三种应用的验证方法的流程图；

图11为本申请实施例提供的终端设备的一种示意性框图；

图12为本申请实施例提供的第一网络设备的一种示意性框图；

图13为本申请实施例提供的第一核心网设备的一种示意性框图；

图14为本申请实施例提供的终端设备的另一种示意性框图；

图15为本申请实施例提供的第一核心网设备的另一种示意性框图；

图16为本申请实施例提供的一种通信装置的一种示意性框图；

图17为本申请实施例提供的一种通信装置的另一示意性框图。

具体实施方式

为了使本申请实施例的目的、技术方案和优点更加清楚，下面将结合附图对本申请实施例作进一步地详细描述。

以下，对本申请实施例中的部分用语进行解释说明，以便于本领域技术人员理解。

1)终端设备，是一种具有无线收发功能的设备，可以是固定设备，移动设备、手持设备、穿戴设备、车载设备，或内置于上述设备中的无线装置(例如，通信模块或芯片系统等)。所述终端设备用于连接人，物，机器等，可广泛用于各种场景，例如包括但不限于以下场景：蜂窝通信、设备到设备通信(device-to-device，D2D)、车到一切(vehicle toeverything，V2X)、机器到机器/机器类通信(machine-to-machine/machine-typecommunications，M2M/MTC)、物联网(internet of things，IoT)、虚拟现实(virtualreality，VR)、增强现实(augmented reality，AR)、工业控制(industrial control)、无人驾驶(self driving)、远程医疗(remote medical)、智能电网(smart grid)、智能家具、智能办公、智能穿戴、智能交通，智慧城市(smart city)、无人机、机器人等场景的终端设备。所述终端设备有时可称为用户设备(user equipment，UE)、终端、接入站、UE站、远方站、无线通信设备、或用户装置等等。

本申请实施例中，用于实现终端设备的功能的装置可以是终端设备，也可以是能够支持终端设备实现该功能的装置，例如芯片系统，该装置可以被安装在终端设备中。本申请实施例中，芯片系统可以由芯片构成，也可以包括芯片和其他分立器件。本申请实施例提供的技术方案中，以用于实现终端的功能的装置是终端设备为例，描述本申请实施例提供的技术方案。

2)网络设备，例如包括接入网(access network，AN)设备，例如基站(例如，接入点)，可以是指接入网中在空口通过一个或多个小区与无线终端设备通信的设备，或者例如，一种车到一切(vehicle-to-everything，V2X)技术中的网络设备为路侧单元(roadside unit，RSU)。基站可用于将收到的空中帧与IP分组进行相互转换，作为终端设备与接入网的其余部分之间的路由器，其中接入网的其余部分可包括IP网络。RSU可以是支持V2X应用的固定基础设施实体，可以与支持V2X应用的其他实体交换消息。网络设备还可协调对空口的属性管理。例如，网络设备可以包括LTE系统或高级长期演进(long termevolution-advanced，LTE-A)中的演进型基站(NodeB或eNB或e-NodeB，evolutional NodeB)，或者也可以包括第五代移动通信技术(the 5th generation，5G)新空口(new radio，NR)系统(也简称为NR系统)中的下一代节点B(next generation node B，gNB)或者也可以包括云接入网(cloud radio access network，Cloud RAN)系统中的集中式单元(centralized unit，CU)和分布式单元(distributed unit，DU)，本申请实施例并不限定。

网络设备还可以包括核心网设备，核心网设备例如包括5G系统中的访问和移动管理功能(access and mobility management function，AMF)、会话管理功能(sessionmanagement function，SMF)、策略控制功能(policy control function，PCF)或用户面功能(user plane function，UPF)等，或者包括4G系统中的移动管理实体(mobilitymanagement entity，MME)等。

本申请实施例中，用于实现网络设备的功能的装置可以是网络设备，也可以是能够支持网络设备实现该功能的装置，例如芯片系统，该装置可以被安装在网络设备中。在本申请实施例提供的技术方案中，以用于实现网络设备的功能的装置是网络设备为例，描述本申请实施例提供的技术方案。

3)本申请实施例中，“至少一个”是指一个或者多个，“多个”是指两个或两个以上。“和/或”，描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B的情况，其中A,B可以是单数或者复数。字符“/”一般表示前后关联对象是一种“或”的关系。例如，A/B，表示：A或B。“以下至少一项(个)”或其类似表达，是指的这些项中的任意组合，包括单项(个)或复数项(个)的任意组合。例如，a,b,或c中的至少一项(个)，可以表示：a，b，c，a和b，a和c，b和c，或a和b和c，其中，a,b,c可以是单个，也可以是多个。

以及，除非有相反的说明，本申请实施例提及“第一”、“第二”等序数词是用于对多个对象进行区分，不用于限定多个对象的位置、大小、内容、顺序、时序、优先级或者重要程度等。例如，第一网络设备和第二网络设备，可以是同一个网络设备，也可以是不同的网络设备，且，这种名称也并不是表示这两个网络设备的位置、优先级或者重要程度等的不同。

前文介绍了本申请实施例所涉及到的一些名词概念，下面介绍本申请实施例涉及的技术特征。

目前，网络能够支持切片相关技术，希望针对某些业务，可以触发终端设备为该业务建立特定的路由路径。具体方式是，网络下发URSP，URSP包括应用的ID，一个APP的ID就对应一个应用，以及，URSP还包括APP的ID所对应的路由信息。终端设备在运行相应的应用时，如果该应用的ID包括在URSP中，终端设备就可以选择通过URSP所包括的与该应用的ID对应的路由来承载该应用的业务。

从而，通过URSP，网络可以控制终端设备将某个或某类应用接入到特定的网络切片。有了URSP后，网络就可以让视频、游戏、或虚拟现实(virtual reality，VR)等应用各行其道，各自运行在各自的专用切片上。

URSP可以大体上包括两个部分，一部分为业务描述信息，用于描述业务，另一部分为路由信息，用于描述相应的业务应该选择何种路径。业务描述信息和路由信息可以是对应的，例如一个业务描述信息就可以对应一个路由信息。业务描述信息可以包括如下的一种或多种：应用描述(application descriptor)信息，IP描述(IP descriptor)信息，或，域名描述(domain descriptor)信息。其中，应用描述信息为APP粒度的描述信息，IP描述信息例如为IP三元组等，可以包括服务器的IP地址，该服务器是能够提供相应业务的服务器，域名描述信息可以指示服务器的域名，该服务器是能够提供相应业务的服务器。路由信息可以包括如下的一种或多种：业务和会话连续性(service and session continuity，SSC)模式(mode)，切片选择信息，数据网络名称(data network name，DNN)选择信息，协议数据单元(protocol data unit，PDU)类型(type)信息，或，生效条件信息。其中，PDU类型信息可以指示该路由信息所对应的PDU会话(session)的类型，其中，URSP所指示的PDU会话，是指终端设备与UPF之间建立的PDU会话，生效条件信息可指示该路由信息的生效条件。生效条件信息例如可包括时间信息和/或位置信息，如果生效条件信息包括时间信息，那么可以指示该路由信息是在该时间信息所指示的时间内有效或无效；如果生效条件信息包括位置信息，那么可以指示该路由信息是在该位置信息所指示的位置处有效或无效。

具体的，URSP可以包括三个部分，分别为规则优先级(rule precedence)、交通描述(traffic descriptor)以及路由选择描述列表(list of route selectiondescriptors)，对此可参考图1。其中，规则优先级部分实际上包括的是序列号，即，URSP可以包括多个业务的信息，那么可以通过规则优先级这一部分对于多个业务进行编号。交通描述部分可包括前述的业务描述信息。路由选择描述列表包括的是路由信息，认为一个业务描述信息对应一个路由信息，如果URSP包括多个业务描述信息(对应于多个业务)，则多个业务描述信息也可能对应一个或多个路由信息，因此路由信息可以是列表的形式，路由选择描述列表可包括一个或多个路由信息。

一个路由信息可包括两部分，分别为路由选择描述优先级(route selectiondescriptor precedence)和路由选择组成部分(route selection components)，对此可参考图2。其中，路由选择描述优先级实际上包括的是序列号，即，一个路由信息可能指示一条或多条路径，那么可以在路由选择描述优先级这一部分对这些路径进行编号。路由选择组成部分就包括路由信息，可以指示路径。

为了更便于理解，可参考表1，为对URSP的一种示例。

表1

表1的第一列中的rule precedence，就是URSP所包括的规则优先级。可以看到，表1以该URSP包括两个应用描述信息为例，分别编号为1和2。表1的第一列中的trafficdescriptor，就是交通描述，包括的是业务描述信息，表1以包括两个业务描述信息为例，分别为App1和App2。

表1的第二列，就是URSP包括的路由信息。表1的第二列中的route selectiondescriptor precedence，就是路由信息包括的路由选择描述优先级，包括的是路径的序列号，例如表1中，以App1对应一条路径，App2对应两条路径为例，那么对于App1来说，对应的路由信息包括一条路径，该路径的序列号为1，对于App2来说，对应的路由信息包括两条路径，这两条路径的序列号分别为1和2。表1的第二列中的网络切片选择(network sliceselection)信息，属于路由信息包括的路由选择组成部分，可以指示相应的路径所对应的网络切片，例如对于App1对应的路径1，选择的网络切片为S-NSSAI-a。表1的第二列中的接入类型首选项(access type preference)，属于路由信息包括的路由选择组成部分，用于指示相应的路径所对应的接入类型，例如对于App1对应的路径1，选择的接入类型为3GPP接入。表1的第二列中的non-seamless offload indication，属于路由信息包括的路由选择组成部分，也可指示相应的路径所对应的接入类型。

表1的第三列是一些解释性信息。

目前，网络可以将URSP下发给终端设备，可参考图3，为网络下发URSP的流程。

S301、终端设备将操作系统(operating system，OS)的标识发送给PCF，PCF接收来自终端设备的OS的标识。

其中，S301是可选项，不是必须执行的，在图3中用虚线表示。

S302、PCF将URSP发送给终端设备，终端设备接收来自PCF的URSP。

该URSP可以包括APP的ID，以及包括APP的ID对应的路由信息。

S303、终端设备通过该URSP指示的网络设备承载相应的应用的业务。

当终端设备运行相应的APP时，如果该APP的ID包括在该URSP中，则终端设备可以按照URSP所指示的路由信息来承载该APP的业务，例如，终端设备可以按照URSP所指示的路由信息来选择网络切片，以及与UPF建立相应的PDU会话等。

然而，终端设备中所安装的APP，并不都是可信的APP。例如终端设备中安装的APP1是伪造的APP，APP1使用了APP2的ID，APP2才是可信的APP。如果终端设备运行APP1，则APP1的ID与APP2的ID相同，而APP2的ID包括在URSP中，那么终端设备依然能够按照URSP中APP2的ID所对应的路由信息运行APP1。可见，目前的这种方式可能会导致网络的安全性降低。

鉴于此，提供本申请实施例的技术方案。在本申请实施例中，可由第一网络设备来验证第一应用是否可信，例如，如果第一应用不可信，则终端设备可停止运行第一应用，以减少不可信的应用对网络进行攻击的可能性。可见，本申请实施例由于增加了网络对应用进行验证的机制，由此提高了网络的安全性。而且本申请实施例改进了URSP的实现方式，可以通过URSP来包含用于验证应用的第一网络设备的信息，从而终端设备根据URSP就能获得第一网络设备的信息，既可以使得所获得的第一网络设备的信息较为可信，又可以无需核心网设备再通过其他信息下发第一网络设备的信息，有助于节省信令开销。

本申请实施例提供的技术方案可以应用于5G系统中，例如NR系统，或者还可以应用于下一代移动通信系统或其他类似的通信系统，具体的不做限制。

请参考图4，为非漫游场景的网络架构示意图，这也是本申请实施例的一种应用场景。在该网络架构中，网络切片选择功能(network slice selection function，NSSF)、网络开放功能(network exposure function，NEF)、网络功能存储库功能(network functionrepository function，NRF)、PCF、统一数据管理(unified data management，UDM)、应用功能(application function，AF)、鉴权服务功能(authentication server function，AUSF)、AMF和SMF，这些网元两两之间，都可以基于服务的方法进行通信，当然，其中的两个网元要进行通信，需要一个网元向另一个网元开放了相应的服务方法。图4中，Nnssf可视为NSSF的服务接口，同理，Nnef为NEF的服务接口，Npcf为PCF的服务接口，Nudm为UDM的服务接口，Naf为AF的服务接口，Nausf为AUSF的服务接口，Namf为AMF的服务接口，Nsmf为SMF的服务接口。另外，AMF与终端设备可通过N1接口通信，AMF与无线(radio，R)接入网(accessnetwork，AN)可通过N2接口通信，SMF与UPF可通过N4接口通信，终端设备与(R)AN之间进行空口通信，(R)AN和UPF可通过N3接口通信，UPF与数据网络(data network，DN)可通过N6接口通信。

图4中的(R)AN例如包括接入网设备，一种接入网设备例如为基站。其中，接入网设备在不同的系统对应不同的设备，例如在5G系统中对应5G中的接入网设备，例如gNB。当然本申请实施例所提供的技术方案也可以应用于未来的移动通信系统中，因此图4中的接入网设备也可以对应未来的移动通信系统中的网络设备。图4以接入网设备是基站为例，实际上参考前文的介绍，接入网设备还可以是RSU等设备。

下面结合附图介绍本申请实施例所提供的方法。需注意的是，在本申请的各个实施例中，URSP可以将相应的应用数据流映射到不同PDU会话，或者说，可以为相应的业务提供路由策略，其名称在5G系统中称为URSP，而在未来的通信系统中可能会有其他名称，只要能够实现该功能即可，本申请实施例对于名称不做限制。

本申请实施例提供第一种应用的验证方法，请参见图5，为该方法的流程图。在下文的介绍过程中，以该方法应用于图4所示的网络架构为例。

为了便于介绍，在下文中，以该方法由网络设备和终端设备执行为例。因为是以将本申请实施例应用在图4所示的网络架构为例，则下文所述的终端设备可以是图4所示的网络架构中的UE。下文所述的第一核心网设备例如为图4所示的网络架构中的PCF。下文所述的第二核心网设备例如为图4所示的网络架构中的UPF。下文所述的第一网络设备可以位于图4所示的网络架构中的核心网设备侧，即，第一网络设备可以是核心网设备；或者，下文所述的第一网络设备可以位于图4所示的网络架构中的接入网设备侧，即，第一网络设备可以是接入网设备，第一网络设备可以用于验证第一应用是否可信；或者，下文所述的第一网络设备可以是应用的开发商所提供的用于对应用进行验证的服务器，例如，第一应用的开发商除了提供第二网络设备作为第一应用的应用服务器外，还可以提供第一网络设备，用于验证第一应用，或者第一网络设备也可以用于验证该开发商所提供的全部应用。下文所述的第二网络设备未包括在图4中，第二网络设备用于为第一应用对应的业务提供服务，例如第二网络设备为第一应用的开发商所提供的应用服务器。在本申请实施例中，第一网络设备和第二网络设备是不同的网络设备，或者，第一网络设备和第二网络设备也可以是同一个网络设备的不同的功能模块，例如，第一网络设备和第二网络设备也可以是同一个网络设备的不同的切片。

S501、PCF向终端设备发送URSP，相应的，终端设备接收来自PCF的URSP。

对于一些应用，可能通过运营商与应用提供商的协商，能够为这些应用提供专用的网络切片等路径，从而使得用户在使用这些应用时的体验更好。那么对于这些具有专用路径的应用，PCF可以向终端设备发送URSP，以将这些应用对应的路由信息告知终端设备，从而终端设备就能按照URSP包括的路由信息来与相应的应用服务器建立PDU会话。终端设备可能安装了多个应用，这些应用的信息可能均包括在URSP中，那么这些应用的路由信息都可以通过URSP确定；或者，终端设备安装的部分应用的信息可能不包括在URSP中，则对于这部分应用，终端设备可按照默认(default)路由信息所指示的路由来运行，例如这部分应用对应的业务可以承载在普通的网络切片上。

以终端设备的操作系统是安卓(Android)系统为例，则终端设备可以包括应用层、结构(framework)层和调制解调器(modem)层，图5也以此为例。当然，如果终端设备的操作系统不同，则终端设备的结构也可能有所不同，本申请实施例以终端设备的操作系统是安卓系统为例。其中，modem层可理解为硬件层，而应用层和framework层均为软件层。PCF可以将URSP发送给终端设备的modem层，modem层接收来自PCF的该URSP。

例如，PCF可以通过UE配置更新(UE configuration update)流程向终端设备发送URSP，该过程可以发生在终端设备向核心网注册完毕之后。例如，在终端设备注册完毕后，PCF可以触发UE configuration update流程向终端设备发送URSP，而如果后续URSP发生变化，PCF可以再次触发UE configuration update流程向终端设备发送变化后的URSP。其中，PCF可以将URSP发送给AMF，AMF再通过RAN将URSP转发给终端设备。

该URSP可以包括第二信息，第二信息用于确定终端设备到第二核心网设备的路径(例如，称为第二路径)，第二路径用于承载第一应用在终端设备与第二网络设备之间传输的数据。第二核心网设备例如为UPF，终端设备根据第二信息可以与UPF建立PDU会话，该PDU会话就对应第二路径。可以理解为，第二信息包括用于建立终端设备和UPF之间的PDU会话的信息。终端设备在根据第二信息与UPF建立该PDU会话后，可以通过该PDU会话与第二网络设备建立通信连接，从而通过第二网络设备承载第一应用的业务。可以理解为，在根据第二信息与UPF建立该PDU会话后，终端设备与第二网络设备之间对应于第一业务的通信，可以通过UPF转发，则终端设备与第二网络设备之间的路径中包括终端设备与UPF之间的路径，终端设备与UPF之间的路径就是该PDU会话。

第二网络设备是为第一应用对应的业务提供服务的网络设备，可理解为，第二网络设备是第一应用的应用服务器。例如第一应用为视频应用，第二网络设备就是该视频应用的开发商所提供的服务于该视频应用的应用服务器。第二信息可以不包括第二网络设备的地址等信息，只需包括用于终端设备与UPF建立PDU会话的信息即可，例如第二网络设备的地址等信息可以预配置在第一应用中，终端设备安装第一应用后就能确定第二网络设备的地址等信息。

除此之外，本申请实施例改进了该URSP的结构，使得该URSP除了包括第二信息外，还可以包括第一信息。第一信息用于确定终端设备到UPF的路径(例如，称为第一路径)，第一路径用于承载第一应用在终端设备与第一网络设备之间传输的数据。终端设备根据第一信息也可以与UPF建立PDU会话，该PDU会话就对应第一路径。可以理解为，第二信息包括用于建立终端设备和UPF之间的PDU会话的信息。终端设备在根据第一信息与UPF建立该PDU会话后，可以通过该PDU会话与第一网络设备建立通信连接，从而通过第一网络设备承载第一应用的业务。可以理解为，在根据第一信息与UPF建立该PDU会话后，终端设备与第一网络设备之间对应于第一业务的通信，可以通过UPF转发，则终端设备与第一网络设备之间的路径中包括终端设备与UPF之间的路径，终端设备与UPF之间的路径就是该PDU会话。第一信息对应的PDU会话和第二信息对应的PDU会话，可以是同一个PDU会话，或者也可以是不同的PDU会话。另外，第一信息还可以包括第一网络设备的信息，第一网络设备的信息例如为第一网络设备的ID，或者为第一网络设备的地址等，总之，终端设备根据第一网络设备的信息能够请求与第一网络设备建立通信连接。第一网络设备可对终端设备的应用进行验证，以确定相应的应用是否可信。

在本申请实施例中，该URSP包括第一信息，可以有不同的实现方式，下面举例介绍。

1、第一种方式。

该URSP包括第一子URSP和第二子URSP，其中，第一子URSP和第二子URSP是两个独立的URSP，所谓的“子URSP”只是名称，并不表示第一子URSP或第二子URSP是某个URSP的子集。可以理解为，在这种情况下，PCF可以向终端设备发送两个URSP，分别称为第一子URSP和第二子URSP，例如PCF可以通过一条消息向终端设备发送这两个URSP，或者PCF也可以通过两条消息分别向终端设备发送这两个URSP。

第一子URSP可以包括第一业务描述信息，第一业务描述信息例如包括第一应用的ID，以及第一子URSP还包括第一应用的ID对应的路由信息，例如将该路由信息称为第一路由信息。第一路由信息指向UPF，第一路由信息还包括第一网络设备的信息，第一网络设备的信息例如为第一网络设备的IP地址，或者也可以是第一网络设备的域名信息等，总之，终端设备根据第一网络设备的信息能够与第一网络设备建立通信连接。第一路由信息可以理解为第一信息。终端设备如果按照第一路由信息，则会通过第一路由信息所对应的PDU会话(终端设备与UPF之间的PDU会话)，与第一网络设备建立通信连接，从而通过第一网络设备承载第一应用的业务。

相应的，第二子URSP可以包括第二业务描述信息，第二业务描述信息例如包括第一应用的ID，以及第二子URSP还包括第一应用的ID对应的路由信息，例如将该路由信息称为第二路由信息。第二路由信息也指向所述UPF，第二路由信息可理解为第二信息。终端设备如果按照第二路由信息，则会通过第二路由信息所对应的PDU会话(终端设备与UPF之间的PDU会话)，与第二网络设备建立通信连接，从而通过第二网络设备承载第一应用的业务。

第一子URSP和第二子URSP可以具有关联关系，则终端设备在接收第一子URSP和第二子URSP后，能够确定这两个URSP有关联，从而确定第一子URSP是用于验证第二子URSP对应的第一应用。例如终端设备可以首先按照第一路由信息的指示，通过第一网络设备对第一应用进行验证，如果验证确定第一应用可信，则终端设备可以按照第二子URSP，通过第二网络设备承载第一应用的业务，而如果验证确定第一应用不可信，则终端设备也可以不通过第二网络设备承载第一应用的业务，以提高网络安全性。

例如，该URSP的一种实现形式可参考表2。

表2

表2的第一列中的rule precedence＝X，及其对应的内容，例如为第一子URSP，例如IP三元组就是第一网络设备的信息；rule precedence＝Y，及其对应的内容，例如为第二子URSP。关于表2各列的内容的介绍，可参考前文对于表1的介绍。

第一子URSP和第二子URSP的关联关系，例如可以通过规则优先级来实现。第一子URSP包括规则优先级，该规则优先级可以包括第一应用的序列号，第二子URSP也包括规则优先级，该规则优先级可以包括第一应用的序列号，例如令第一子URSP包括的规则优先级所包括的第一应用的序列号与第二子URSP包括的规则优先级所包括的第一应用的序列号相同，即上表中X＝Y，这样就相当于为第一子URSP和第二子URSP建立了关联关系。例如可参考图6，为第一子URSP和第二子URSP的一种示意图。图6中的第二列表示规则优先级，例如令第一子URSP的规则优先级和第二子URSP的规则优先级均为1，从而就为第一子URSP和第二子URSP建立了关联关系。另外在图6中可以看到，第一子URSP还包括第一业务描述信息(可对应于前文所述的交通描述)，第一业务描述信息例如包括第一应用的ID，以及第一子URSP还包括第一路由信息，第一路由信息就是第一子URSP对应的路由信息。同样的，第二子URSP还包括第二业务描述信息(可对应于前文所述的交通描述)，第二业务描述信息例如包括第一应用的ID，以及第二子URSP还包括第二路由信息，第二路由信息就是第二子URSP对应的路由信息。

或者，第一子URSP和第二子URSP的关联关系，也可以通过相应的信息来指示。例如可以在第一子URSP和/或第二子URSP中增加第一信元，第一信元包括第三信息，第三信息可以指示第一子URSP与第二子URSP具有关联关系，增加信元指示X与Y的关联关系。

在第一种方式下，PCF可以提供两个URSP，从而使得指示更为明确。

2、第二种方式。

PCF只需发送一个URSP，该URSP包括规则优先级，规则优先级例如包括第一应用的序列号。在该URSP中，第一应用的序列号可以对应第一业务描述信息和第二业务描述信息，第一业务描述信息和第二业务描述信息均用于描述第一应用，例如，第一业务描述信息包括第一应用的ID，第二业务描述信息也包括第一应用的ID。第一业务描述信息可以对应一个路由信息，例如称为第一路由信息，第二业务描述信息也可以对应一个路由信息，例如称为第二路由信息。第一路由信息指向UPF，第一路由信息还包括第一网络设备的信息，第一网络设备的信息例如为第一网络设备的IP地址，或者也可以是第一网络设备的域名信息等，总之，终端设备根据第一网络设备的信息能够与第一网络设备建立通信连接。第一路由信息可以理解为第一信息。终端设备如果按照第一路由信息，则会通过第一路由信息所对应的PDU会话(终端设备与UPF之间的PDU会话)，与第一网络设备建立通信连接，从而通过第一网络设备承载第一应用的业务。

第二路由信息也指向所述UPF，第二路由信息可理解为第二信息。终端设备如果按照第二路由信息，则会通过第二路由信息所对应的PDU会话(终端设备与UPF之间的PDU会话)，与第二网络设备建立通信连接，从而通过第二网络设备承载第一应用的业务。

由于第一业务描述信息和第二业务描述信息对应于同一个规则优先级，因此第一业务描述信息(以及第一路由信息)与第二业务描述信息(以及第二路由信息)之间可以认为是具有关联关系。例如可参考图7，为该URSP的一种示意图。图7中的第三列表示业务描述信息，可以看到，该URSP包括第一业务描述信息和第二业务描述信息。

例如，该URSP的一种实现形式可参考表3。

表3

表3的第一列中的traffic descriptor，就是交通描述，包括的是业务描述信息，可以看到表3包括两个业务描述信息，但这两个业务描述信息均为App1。表3中的第一个业务描述信息例如对应第一路由信息，例如IP三元组就是第一网络设备的信息，第二个业务描述信息例如对应第二路由信息。关于表3各列的内容的介绍，可参考前文对于表1的介绍。

终端设备在接收该URSP后，能够确定第一业务描述信息对应的第一路由信息是用于验证第一应用。例如终端设备可以首先按照第一路由信息的指示，通过第一网络设备对第一应用进行验证，如果验证确定第一应用可信，则终端设备可以按照第二路由信息，通过第二网络设备承载第一应用的业务，而如果验证确定第一应用不可信，则终端设备也可以不通过第二网络设备承载第一应用的业务，以提高网络安全性。

在第一种方式下，PCF只需提供一个URSP，无需下发过多的URSP，能够节省信令开销。

3、第三种方式。

PCF只需发送一个URSP，该URSP包括规则优先级，规则优先级例如包括第一应用的序列号，在该URSP中，第一应用的序列号可以对应一个业务描述信息，该业务描述信息例如包括第一应用的ID，第一应用的ID对应两个路由信息，分别为第一路由信息和第二路由信息。第一路由信息指向UPF，第一路由信息还包括第一网络设备的信息，第一网络设备的信息例如为第一网络设备的IP地址，或者也可以是第一网络设备的域名信息等，总之，终端设备根据第一网络设备的信息能够与第一网络设备建立通信连接。第一路由信息可以理解为第一信息。终端设备如果按照第一路由信息，则会通过第一路由信息所对应的PDU会话(终端设备与UPF之间的PDU会话)，与第一网络设备建立通信连接，从而通过第一网络设备承载第一应用的业务。

第二路由信息也指向所述UPF，第二路由信息可理解为第二信息。终端设备如果按照第二路由信息，则会通过第二路由信息所对应的PDU会话(终端设备与UPF之间的PDU会话)，与第二网络设备建立通信连接，从而通过第二网络设备承载第一应用的业务。

由于第一业务描述信息和第二业务描述信息对应于同一个业务描述信息，例如对应于同一个应用的ID，两个路由信息的规则优先级相同，因此第一路由信息与第二路由信息之间可以认为是具有关联关系。例如可参考图8，为该URSP的一种示意图。图8中的第四列表示路由信息，可以看到，该URSP包括第一路由信息和第二路由信息。如第一路由信息中仅包括第一网络设备信息，则路由信息复用第二路由信息。

例如，该URSP的一种实现形式可参考表4。

表4

表4的第二列就是URSP包括的路由信息。其中，route selection descriptorprecedence＝1例如对应第一路由信息，例如IP三元组就是第一网络设备的信息，routeselection descriptor precedence＝2例如对应第二路由信息。关于表3各列的内容的介绍，可参考前文对于表1的介绍。

终端设备在接收该URSP后，能够确定第一路由信息是用于验证第一应用。例如终端设备可以首先按照第一路由信息的指示，通过第一网络设备对第一应用进行验证，如果验证确定第一应用可信，则终端设备可以按照第二路由信息，通过第二网络设备承载第一业务对应的应用，而如果验证确定第一应用不可信，则终端设备也可以不通过第二网络设备承载第一应用的业务。

在第一种方式下，PCF只需提供一个URSP，无需下发过多的URSP，而且业务描述信息也只需包括一个，无需包括多个，能够在更大程度上节省信令开销。

当然，如上的三种方式只是举例，URSP还可以通过其他方式来包括第一信息。至于URSP究竟通过哪种方式来包括第一信息，可由PCF设置，或者也可以通过协议规定。

对于版本较高的终端设备，可以识别本申请实施例所提供的新的URSP(即，包括了第一信息的URSP)，但是对于版本较低的终端设备来说，很可能无法识别这种新的URSP，这可能导致这些终端设备无法使用URSP。为此，本申请实施例提出，PCF可以向终端设备发送两种URSP。例如将S501中前述的URSP称为第一URSP，作为一种可选的实施方式，PCF还可以向终端设备发送第二URSP。例如第二URSP包括第二信息且不包括第一信息。具体的，第二URSP可以包括业务描述信息，该业务描述信息例如包括第一应用的ID，以及第二URSP还包括第一应用的ID对应的路由信息，该路由信息指向UPF，终端设备如果按照该路由信息，则会通过该路由信息所对应的PDU会话(终端设备与UPF之间的PDU会话)，与第二网络设备建立通信连接，从而通过第二网络设备承载第一应用的业务。也就是说，PCF可以向终端设备发送本申请实施例所提供的新的URSP，还可以向终端设备发送传统的URSP，从而对于版本较低的终端设备，如果无法识别本申请实施例所提供的新的URSP，则还可以识别第二URSP，从而依然可以使用第二URSP来承载相应的业务，提高业务的可靠性及使用性能。通过这种方式，使得本申请实施例提供的方案能够兼容不同版本的终端设备。在后文中，主要还是继续介绍与第一URSP有关的方案，因为后文不再涉及第二URSP，因此在后文中继续将第一URSP称为URSP。

S502、modem层将URSP发送给framework层，framework层接收来自modem层的URSP。

或者理解为，modem层可以将该URSP所包括的内容，例如有哪些业务描述信息，以及业务描述信息分别对应的路由信息等内容，发送给framework层。需要注意的是，本申请的各个实施例所描述的，modem层、framework层与app间的交互，均为终端设备的内部交互过程，如果终端设备的架构不同，例如终端设备安装的不是安卓系统而是其他操作系统，则终端设备的内部交互方式可能会有所不同。

S503、modem层将第一网络设备的信息发送给framework层，framework层接收来自modem层的第一网络设备的信息。

例如，S502和S503可以同时执行，即，modem层可以一并将该URSP和第一网络设备的信息发送给framework层。或者，S502也可以在S503之前执行，或者，S502也可以在S503之后执行。

S504、framework层向modem层发送第四信息，modem层接收来自framework层的第四信息。第四信息可以指示配置完成，或者理解为，第四信息可以指示framework层已接收了URSP和第一网络设备的信息。

S505、终端设备的应用层运行第一应用。

其中，在执行完S504之后可能立刻会执行S505，或者，可能在执行完S504一段时间之后才执行S505。

S506、应用层向framework层发送第五信息，framework层接收来自应用层的第五信息。第五信息可以指示第一应用开始运行，或者说，第五信息可以指示第一应用已启动到前台。

如果framework层确定第一应用的信息(例如第一应用的ID)包括在该URSP中，则可以执行S507～S513，否则，如果framework确定第一应用的信息不包括在该URSP中，则可以不必执行后续步骤，例如framework可以按照默认(default)路由信息所指示的路由来运行第一应用。

S507、frame层确定第一应用为对应于第一安装源的首次运行。或者，也可以不执行S505和S506，而执行S507，例如，终端设备的应用层在运行第一应用前，向framework层发送第六信息，framework层接收来自应用层的第六信息。第五信息可以指示第一应用即将开始运行。Framework层接收第六信息后，可执行S507。

对于一个应用来说，是通过安装包来安装(如果在安装后有升级，则是通过升级包来进行升级，在此将升级包也视为安装包的一种，因此本申请实施例所述的安装包也包括升级包)，而安装包的来源(或者，称为安装源)可能不同。例如在安卓系统中可能有多种应用市场，有安卓系统通用的应用市场，或者一些手机厂商也会在手机中预置手机厂商所提供的应用市场，不同的应用市场可以视为不同的安装源。或者，有些安装包可能来自浏览器，则浏览器也可以视为一种安装源。或者，除此之外安装包还可能有其他来源。虽然是同一个应用，但安装源可能不同。例如对于第一应用，终端设备先通过安装源1下载了安装包，并安装在终端设备中，此时第一应用对应的安装源为安装源1；之后终端设备卸载了第一应用，之后终端设备可能又通过安装源2下载了第一应用的安装包，又安装在终端设备中，此时第一应用对应的安装源为安装源2。或者，对于第一应用，终端设备先通过安装源1下载了安装包，并安装在终端设备中，此时第一应用对应的安装源为安装源1；之后终端设备又通过安装源2下载了第一应用的升级包，并对第一应用进行了升级，此时第一应用对应的安装源为安装源2。那么在本申请实施例中，只要一个应用是在对应于某个安装源的情况下首次运行，第一网络设备都可以对该应用进行验证，以此减小安装源所带来的安全隐患。

例如，第一应用在安装后首次运行，第一应用的安装包来自第一安装源，则第一应用可以视为是对应于第一安装源的首次运行；或者，终端设备安装了第一应用，第一应用的安装包来自第二安装源，第一应用在安装后又进行了升级，在升级后首次运行，升级包来自第一安装源，则第一应用也可以视为是对应于第一安装源的首次运行；或者，第一应用在安装后首次运行，第一应用的安装包来自第一安装源，则第一应用可以视为是对应于第一安装源的首次运行，之后第一应用又进行了升级，在升级后首次运行，升级包依然来自第一安装源，则此时第一应用视为是对应于第一安装源的后续运行，即，不是对应于第一安装源的首次运行；或者，第一应用在安装后首次运行，第一应用的安装包来自第一安装源，则第一应用可以视为是对应于第一安装源的首次运行，之后终端设备卸载了第一应用，再之后终端设备又在第一安装源下载了第一应用的安装包，并安装了第一应用，第一应用在本次安装后首次运行，则此时第一应用视为是对应于第一安装源的后续运行，即，不是对应于第一安装源的首次运行。第一安装源可以对应一个应用市场，或者对应浏览器等。

如果第一应用为对应于第一安装源的首次运行，则可以继续执行S508及后续步骤，而如果第一应用为对应于第一安装源的后续运行，则可以执行S511。

S508、framework层向第一网络设备发送加密信息，第一网络设备接收来自framework层的加密信息。该加密信息可用于验证第一应用是否可信。

由于第一网络设备用于验证第一应用是否可信，因此终端设备在通过第二网络设备承载第一应用对应的业务之前，可以首先通过第一网络设备来对第一应用进行验证。要通过第一网络设备来验证第一应用，终端设备就可以将相应的信息(例如，加密信息)发送给第一网络设备，从而第一网络设备能够进行验证。

例如，该加密信息与第一应用的数字签名相关，例如该加密信息就是第一应用的数字签名，或者该加密信息是根据第一应用的数字签名得到的信息。以该加密信息是第一应用的数字签名为例，例如第一应用的数字签名可以是第一应用的开发商提供的，携带在第一应用中，只要终端设备安装了第一应用，或者下载了第一应用的安装包，就能获得第一应用的数字签名，无需终端设备再生成第一应用的数字签名。或者，第一应用的数字签名也可以由终端设备生成。例如，framework层可以对第一应用的信息(例如第一应用的ID，或者第一应用的其他信息)进行数字签名。或者，该加密信息也可以不与第一应用的数字签名有关，例如framework层也可以通过相应的密钥对第一应用的信息进行加密，得到该加密信息。framework层可将加密信息发送给modem层，再通过modem层将加密信息发送给第一网络设备。

framework层向第一网络设备发送加密信息，可以有不同的发送方式。

例如，一种发送方式为，framework层确定终端设备是否已与UPF之间建立了符合第一信息要求的PDU会话，如果终端设备和UPF之间已建立了符合第一信息要求的第一PDU会话(符合第一信息要求的第一PDU会话可以理解为第一路径)，则framework层根据第一信息包括的第一网络设备的信息，通过第一PDU会话向UPF发送用于请求建立通信连接的请求消息，以通过UPF将该请求消息转发给第一网络设备，该请求消息用于请求与第一网络设备建立通信连接，且该请求消息包括加密信息。对于第一网络设备来说，就是通过接收的用于请求建立通信连接的请求消息获得加密信息。

或者，如果终端设备和UPF之间未建立符合第一信息要求的PDU会话，则framework层根据第一信息，触发与UPF建立第一PDU会话。在建立第一PDU会话后，framework层根据第一信息包括的第一网络设备的信息，通过第一PDU会话向UPF发送用于请求建立通信连接的请求消息，以通过UPF将该请求消息转发给第一网络设备，该请求消息用于请求与第一网络设备建立通信连接，且该请求消息包括加密信息。对于第一网络设备来说，就是通过接收的用于请求建立通信连接的请求消息获得加密信息。

通过用于建立通信连接的请求消息来发送加密信息，可以减小加密信息的发送时延。而且由于此时并不知道第一应用是否可信，因此在与第一网络设备建立通信连接之前将加密信息发送给第一网络设备，也可以减少第一网络设备由于第一应用不可信而受到攻击的可能性。

又例如，另一种发送方式为，framework层确定终端设备是否已与UPF之间建立了符合第一信息要求的PDU会话，如果终端设备和UPF之间已建立了符合第一信息要求的第一PDU会话，则framework层根据第一信息包括的第一网络设备的信息，通过第一PDU会话向UPF发送用于建立通信连接的请求消息，以通过UPF将该请求消息转发给第一网络设备，该请求消息用于请求与第一网络设备建立通信连接。在终端设备与第一网络设备建立通信连接后，终端设备通过该通信连接将加密信息发送给第一网络设备，其中，终端设备依然是通过第一PDU会话将加密信息发送给UPF，UPF再通过终端设备与第一网络设备之间的通信连接将加密信息转发给第一网络设备。对于第一网络设备来说，就是通过与终端设备之间的通信连接接收加密信息。

或者，如果终端设备和UPF之间未建立符合第一信息要求的PDU会话，则framework层根据第一信息，触发与UPF建立第一PDU会话。在建立第一PDU会话后，framework层根据第一信息包括的第一网络设备的信息，通过第一PDU会话向UPF发送用于建立通信连接的请求消息，以通过UPF将该请求消息转发给第一网络设备，该请求消息用于请求与第一网络设备建立通信连接。在终端设备与第一网络设备建立通信连接后，终端设备通过该通信连接将加密信息发送给第一网络设备，其中，终端设备依然是通过第一PDU会话将加密信息发送给UPF，UPF再通过终端设备与第一网络设备之间的通信连接将加密信息转发给第一网络设备。对于第一网络设备来说，就是通过与终端设备之间的通信连接接收加密信息。

终端设备在与第一网络设备建立通信连接后再将加密信息发送给第一网络设备，使得加密信息的发送更为可靠。

在如上各种情况中，第一PDU会话可用于承载第一应用的数据，例如，第一PDU会话可承载加密信息。

S509、第一网络设备根据加密信息验证第一应用是否可信。

例如，第一网络设备可以对加密信息进行解密，得到解密信息，解密信息例如为第一应用的信息(例如第一应用的ID，或者第一应用的其他信息)。第一网络设备可以确定该解密信息与第一网络设备预先存储的第一应用的信息是否一致，如果二者一致，则第一网络设备确定第一应用可信，如果二者不一致，则第一网络设备确定第一应用不可信。

又例如，加密信息为第一应用的数字签名，则第一网络设备可以验证该数字签名是否满足第一规则，第一规则例如为，该数字签名包括的第一部分比特和第二部分比特存在对应关系，该对应关系例如可通过相应的公式体现。如果第一部分比特和第二部分比特存在该对应关系，则第一网络设备确定第一应用可信，如果第一部分比特和第二部分比特不存在该对应关系，则第一网络设备确定第一应用不可信。例如，该数字签名包括32个字节(byte)，高位的24个字节可认为是第一部分比特，低位的8个字节可认为是第二部分比特。如果高位的24个字节与低位的8个字节存在该对应关系，第一网络设备确定第一应用可信，如果高位的24个字节与低位的8个字节不存在该对应关系，第一网络设备确定第一应用不可信。该对应关系可以通过协议规定，或者也可以由第一网络设备配置，或者也可以通过其他方式设置。例如一种对应关系为，根据高位的24个字节中每8个字节取模后的取值，能够得到低8个字节取值。

或者，第一网络设备还可以通过其他方式来验证第一应用是否可信，具体的验证方式不做限制。

S510、第一网络设备向终端设备发送验证信息，终端设备接收来自第一网络设备的验证信息。该验证信息可以指示第一应用可信。

例如，第一网络设备可将验证信息发送给终端设备的modem层，modem层接收来自该终端设备的验证信息后，再将验证信息发送给framework层，framework层接收来自modem层的验证信息。

其中，如果framework层是通过用于请求建立通信连接的请求消息向第一网络设备发送了加密信息，那么第一网络设备可以将该验证信息包括在用于拒绝建立通信连接的响应消息中发送给终端设备，则终端设备和第一网络设备之间不会建立通信连接。可见，终端设备与第一网络设备无需建立通信连接，第一网络设备就能够完成对第一应用的验证，减少了建立通信连接的流程，节省了传输开销，也使得第一网络设备更为安全。

或者，如果framework层是在与第一网络设备建立通信连接后再向第一网络设备发送的加密信息，那么第一网络设备可以通过该通信连接向终端设备发送验证信息，这样可以使得验证信息的发送更为可靠。

S511、framework层执行URSP匹配。流程结束。

例如，framework层确定终端设备是否已与UPF之间建立了符合第二信息要求的PDU会话(符合第二信息要求的PDU会话可以理解为第二路径)，如果终端设备和UPF之间已建立了符合第二信息要求的第二PDU会话，则framework层通过第二PDU会话向UPF发送用于请求建立通信连接的第二消息，以通过UPF将第二消息转发给第一网络设备，第二消息用于请求与第二网络设备建立通信连接。在与第二网络设备建立通信连接后，终端设备可以通过第二网络设备承载第一应用的业务。例如，终端设备通过该通信连接与第二网络设备进行数据交互，其中，终端设备依然是通过第二PDU会话将上行信息发送给UPF，UPF再通过终端设备与第一网络设备之间的通信连接将该上行信息转发给第一网络设备，而第一网络设备是通过终端设备与第一网络设备之间的通信连接将下行信息发送给UPF，UPF再通过第二PDU会话将该下行信息发送给终端设备。

或者，如果终端设备和UPF之间未建立符合第二信息要求的PDU会话，则framework层根据第二信息，触发与UPF建立第二PDU会话。在建立第二PDU会话后，framework层通过第二PDU会话向UPF发送用于请求建立通信连接的第二消息，以通过UPF将第二消息转发给第一网络设备，第二消息用于请求与第二网络设备建立通信连接。在与第二网络设备建立通信连接后，终端设备可以通过第二网络设备承载第一应用的业务。例如，终端设备通过该通信连接与第二网络设备进行数据交互，其中，终端设备依然是通过第二PDU会话将上行信息发送给UPF，UPF再通过终端设备与第一网络设备之间的通信连接将该上行信息转发给第一网络设备，而第一网络设备是通过终端设备与第一网络设备之间的通信连接将下行信息发送给UPF，UPF再通过第二PDU会话将该下行信息发送给终端设备。

其中，第一PDU会话和第二PDU会话可以是同一个PDU会话。例如终端设备事先已与UPF建立了第一PDU会话，第一PDU会话既符合第一信息的要求也符合第二信息的要求；或者，终端设备根据第一信息与UPF建立了第一PDU会话，而第一PDU会话也符合第二信息的要求，则终端设备无需再根据第二信息与UPF建立PDU会话。

或者，第一PDU会话和第二PDU会话也可以是不同的PDU会话。例如终端设备事先已与UPF建立了符合第一信息要求的第一PDU会话，以及事先已与UPF建立了符合第二信息要求的第二PDU会话；或者，终端设备根据第一信息与UPF建立了第一PDU会话，而第一PDU会话不符合第二信息的要求，则终端设备需要再根据第二信息与UPF建立第二PDU会话；或者，终端设备事先已与UPF建立了符合第一信息要求的第一PDU会话，但未建立符合第二信息要求的第二PDU会话，则终端设备需要再根据第二信息与UPF建立第二PDU会话；或者，终端设备事先已与UPF建立了符合第二信息要求的第二PDU会话，但未建立符合第一信息要求的第一PDU会话，则终端设备需要再根据第一信息与UPF建立第一PDU会话。

另外，终端设备在接收来自第一网络设备的验证信息后，如果第一PDU会话和第二PDU会话是不同的PDU会话，且第一PDU会话仅用于终端设备与第一网络设备之间的通信，那么第一PDU会话已不再需要使用。因此终端设备可以触发释放与第一网络设备之间的第一PDU会话。或者，第一网络设备在向终端设备发送验证信息后，也可以触发释放第一PDU会话。

或者，如果第一PDU会话和第二PDU会话是不同的PDU会话，但第一PDU会话除了用于终端设备与第一网络设备之间的通信外，还用于终端设备与其他网络设备之间的通信，例如第一PDU会话是终端设备事先为了其他目的建立的，那么终端设备或第一网络设备可以无需释放第一PDU会话。

或者，如果第一PDU会话与第二PDU会话是同一个PDU会话，则终端设备和第二网络设备还需要通过第一PDU会话承载第一应用的业务，因此终端设备或第一网络设备可以无需释放第一PDU会话。

S512、第一网络设备向终端设备发送验证信息，终端设备接收来自第一网络设备的验证信息。该验证信息可以指示第一应用不可信。

例如，第一网络设备可将验证信息发送给终端设备的modem层，modem层接收来自该终端设备的验证信息后，再将验证信息发送给framework层，framework层接收来自modem层的验证信息。

其中，如果framework层是通过用于请求建立通信连接的请求消息向第一网络设备发送了加密信息，那么第一网络设备可以将该验证信息包括在用于拒绝建立通信连接的响应消息中发送给终端设备，则终端设备和第一网络设备之间不会建立通信连接。可见，终端设备与第一网络设备无需建立通信连接，第一网络设备就能够完成对第一应用的验证，减少了建立通信连接的流程，节省了传输开销，也使得第一网络设备更为安全。

或者，如果framework层是在与第一网络设备建立通信连接后再向第一网络设备发送的加密信息，那么第一网络设备可以通过该通信连接向终端设备发送验证信息，这样可以使得验证信息的发送更为可靠。

S513、framework层拒绝执行URSP匹配，或者说，framework层不执行URSP匹配。流程结束。

例如，如果终端设备和UPF之间已建立了符合第二信息要求的第二PDU会话，则framework层不通过第二PDU会话与第二网络设备通信，以不通过第二网络设备承载第一应用的业务。或者，如果终端设备和UPF之间未建立符合第二信息要求的PDU会话，则framework层不触发与UPF建立符合第二信息要求的PDU会话。

另外，终端设备在接收来自第一网络设备的验证信息后，如果第一PDU会话和第二PDU会话是不同的PDU会话，且第一PDU会话仅用于终端设备与第一网络设备之间的通信，那么第一PDU会话已不再需要使用。因此终端设备可以触发释放与第一网络设备之间的第一PDU会话。或者，第一网络设备在向终端设备发送验证信息后，也可以触发释放第一PDU会话。

或者，如果第一PDU会话和第二PDU会话是不同的PDU会话，但第一PDU会话除了用于终端设备与第一网络设备之间的通信外，还用于终端设备与其他网络设备之间的通信，例如第一PDU会话是终端设备事先为了其他目的建立的，那么终端设备或第一网络设备可以无需释放第一PDU会话。

可选的，终端设备还可以针对第一安装源将第一应用的信息添加到黑名单，或者说针对第一安装源拉黑第一应用，以不再调用第一应用。且终端设备还可以对用户进行提示，例如终端设备可以输出提示信息，该提示信息可以指示第一应用具有安全风险，或者指示第一应用无法使用URSP包括的路由信息，使得用户能够知道第一应用不能运行的原因。

终端设备如果确定第一应用不可信，则可以不再调用第一应用。或者，终端设备还可以继续调用第一应用，但第一应用只能使用默认路由信息，而不能使用URSP所包括的与第一应用的ID对应的路由信息。

其中，S510～S511和S512～S513是两种方案，这两种方案只会执行其中一种。

在本申请实施例中，终端设备在通过第一应用与网络通信之前，可由第一网络设备来验证第一应用是否可信，例如，如果第一应用不可信，则终端设备可不运行第一应用，或者终端设备可不按照URSP指示的路由来运行第一应用，以减少不可信的应用对网络进行攻击的可能性。可见，本申请实施例由于增加了网络对应用进行验证的机制，由此提高了网络的安全性。而且本申请实施例改进了URSP的实现方式，可以通过URSP来包含用于验证应用的第一网络设备的信息，从而终端设备根据URSP就能获得第一网络设备的信息，既可以使得所获得的第一网络设备的信息较为可信，又可以无需核心网设备再通过其他信息下发第一网络设备的信息，有助于节省信令开销。另外在本申请实施例中，第一网络设备可以直接将验证信息发送给终端设备，使得终端设备能够更快地获知第一应用的验证结果，如果第一应用不可信，终端设备也可以尽快采取相应措施，减小了不可信的应用攻击网络的概率。

为了解决相同的技术问题，本申请实施例提供第二种应用的验证方法，请参见图9，为该方法的流程图。在下文的介绍过程中，以该方法应用于图4所示的网络架构为例。

为了便于介绍，在下文中，以该方法由网络设备和终端设备执行为例。因为是以将本申请实施例应用在图4所示的网络架构为例，则下文所述的终端设备可以是图4所示的网络架构中的UE。下文所述的第一核心网设备例如为图4所示的网络架构中的PCF。下文所述的第二核心网设备例如为图4所示的网络架构中的UPF。下文所述的第一网络设备可以位于图4所示的网络架构中的核心网设备侧，即，第一网络设备可以是核心网设备；或者，下文所述的第一网络设备可以位于图4所示的网络架构中的接入网设备侧，即，第一网络设备可以是接入网设备，第一网络设备可以用于验证第一应用是否可信；或者，下文所述的第一网络设备可以是应用的开发商所提供的用于对应用进行验证的服务器，例如，第一应用的开发商除了提供第二网络设备作为第一应用的应用服务器外，还可以提供第一网络设备，用于验证第一应用，或者第一网络设备也可以用于验证该开发商所提供的全部应用。下文所述的第二网络设备未包括在图4中，第二网络设备用于为第一应用对应的业务提供服务，例如第二网络设备为第一应用的开发商所提供的应用服务器。在本申请实施例中，第一网络设备和第二网络设备是不同的网络设备，或者，第一网络设备和第二网络设备也可以是同一个网络设备的不同的功能模块，例如，第一网络设备和第二网络设备也可以是同一个网络设备的不同的切片。

S901、PCF向终端设备发送URSP，相应的，终端设备接收来自PCF的URSP。

关于S901的更多内容，可参考图5所示的实施例中对于S501的介绍。

S902、modem层将URSP发送给framework层，framework层接收来自modem层的URSP。

关于S902的更多内容，可参考图5所示的实施例中对于S502的介绍。

S903、modem层将第一网络设备的信息发送给framework层，framework层接收来自modem层的第一网络设备的信息。

关于S903的更多内容，可参考图5所示的实施例中对于S503的介绍。

S904、framework层向modem层发送第四信息，modem层接收来自framework层的第四信息。

关于S904的更多内容，可参考图5所示的实施例中对于S504的介绍。

S905、终端设备的应用层运行第一应用。

关于S905的更多内容，可参考图5所示的实施例中对于S505的介绍。

S906、应用层向framework层发送第五信息，framework层接收来自应用层的第五信息。

关于S906的更多内容，可参考图5所示的实施例中对于S506的介绍。

S907、frame层确定第一应用为对应于第一安装源的首次运行。

关于S907的更多内容，可参考图5所示的实施例中对于S507的介绍。

S908、framework层向第一网络设备发送加密信息，第一网络设备接收来自framework层的加密信息。该加密信息可用于验证第一应用是否可信。

关于S908的更多内容，可参考图5所示的实施例中对于S508的介绍。

S909、第一网络设备根据加密信息验证第一应用是否可信。

关于S909的更多内容，可参考图5所示的实施例中对于S509的介绍。

S910、第一网络设备向PCF发送验证信息，PCF接收来自第一网络设备的验证信息。该验证信息可以指示第一应用可信。

S911、PCF向终端设备发送第一消息，终端设备接收来自PCF的第一消息。例如，PCF可以向终端设备的modem层发送第一消息，则modem层接收来自PCF的第一消息。第一消息可以指示第一应用可信。

例如第一消息可以是释放消息，该释放消息可指示释放终端设备与UPF之间的PDU会话(即，第一PDU会话)。例如，该释放消息除了指示释放终端设备与UPF之间的PDU会话外，还可以包括原因值，该原因值可以指示释放终端设备与UPF之间的PDU会话的原因，例如该原因值所指示的原因为第一应用可信。或者，该释放消息除了指示释放终端设备与UPF之间的PDU会话外，还可以包括该验证信息，以通过该验证信息指示第一应用可信。另外，如果第一消息是释放消息，那么PCF可以通过第三核心网设备将该释放消息发送给终端设备，则终端设备是接收来自第三核心网设备的该释放消息。例如，PCF可以将释放消息发送给SMF，SMF接收该释放消息后将该释放消息发送给AMF，AMF接收该释放消息后再将该释放消息发送给终端设备，则AMF可以作为第三核心网设备。

又例如，第一消息也可以是UE配置更新(UE configuration update)消息。那么该UE配置更新消息可以包括该验证信息，以通过该验证信息指示第一应用可信。另外，如果第一消息是UE配置更新消息，那么PCF可以通过第三核心网设备将该释放消息发送给终端设备，则终端设备是接收来自第三核心网设备的该释放消息。例如，PCF可以将UE配置更新消息发送给SMF，SMF接收该UE配置更新消息后将该UE配置更新消息发送给AMF，AMF接收该UE配置更新消息后再将该UE配置更新消息发送给终端设备，则AMF可以作为第三核心网设备。或者，PCF可以将UE配置更新消息发送给AMF，AMF接收该UE配置更新消息后将该UE配置更新消息发送给终端设备，则AMF可以作为第三核心网设备。

S912、framework层执行URSP匹配。流程结束。

另外，如果第一消息是释放消息，那么终端设备还可以根据该释放消息释放终端设备与UPF之间的第一PDU会话。或者，如果第一消息是UE配置更新消息，那么因为UE接收该UE配置更新消息后，已经知道了第一应用的验证结果，那么，如果第一PDU会话和第二PDU会话是不同的PDU会话，且第一PDU会话仅用于终端设备与第一网络设备之间的通信，那么第一PDU会话已不再需要使用。因此终端设备可以触发释放与第一网络设备之间的第一PDU会话。或者，第一网络设备在向终端设备发送验证信息后，也可以触发释放第一PDU会话。

或者，如果第一PDU会话和第二PDU会话是不同的PDU会话，但第一PDU会话除了用于终端设备与第一网络设备之间的通信外，还用于终端设备与其他网络设备之间的通信，例如第一PDU会话是终端设备事先为了其他目的建立的，那么终端设备或第一网络设备可以无需释放第一PDU会话。

或者，如果第一PDU会话与第二PDU会话是同一个PDU会话，则终端设备和第二网络设备还需要通过第一PDU会话承载第一应用的业务，因此终端设备或第一网络设备可以无需释放第一PDU会话。

关于S912的更多内容，可参考图5所示的实施例中对于S511的介绍。

S913、第一网络设备向PCF发送验证信息，PCF接收来自第一网络设备的验证信息。该验证信息可以指示第一应用不可信。

S914、PCF向终端设备发送第一消息，终端设备接收来自PCF的第一消息。例如，PCF可以向终端设备的modem层发送第一消息，则modem层接收来自PCF的第一消息。第一消息可以指示第一应用不可信。

例如第一消息可以是释放消息，该释放消息可指示释放终端设备与UPF之间的PDU会话(即，第一PDU会话)。例如，该释放消息除了指示释放终端设备与UPF之间的PDU会话外，还可以包括原因值，该原因值可以指示释放终端设备与UPF之间的PDU会话的原因，例如该原因值所指示的原因为第一应用不可信。或者，该释放消息除了指示释放终端设备与UPF之间的PDU会话外，还可以包括该验证信息，以通过该验证信息指示第一应用不可信。另外，如果第一消息是释放消息，那么PCF可以将释放消息发送给SMF，SMF接收该释放消息后将该释放消息发送给AMF，AMF接收该释放消息后再将该释放消息发送给终端设备。

又例如，第一消息也可以是UE配置更新消息。那么该UE配置更新消息可以包括该验证信息，以通过该验证信息指示第一应用不可信。另外，如果第一消息是UE配置更新消息，那么PCF可以将UE配置更新消息发送给SMF，SMF接收该UE配置更新消息后将该UE配置更新消息发送给AMF，AMF接收该UE配置更新消息后再将该UE配置更新消息发送给终端设备。或者，PCF可以将UE配置更新消息发送给AMF，AMF接收该UE配置更新消息后将该UE配置更新消息发送给终端设备。

S915、framework层拒绝执行URSP匹配，或者说，framework层不执行URSP匹配。流程结束。

另外，如果第一消息是释放消息，则终端设备还可以根据该释放消息释放终端设备与UPF之间的第一PDU会话。或者，如果第一消息是UE配置更新消息，那么因为UE接收该UE配置更新消息后，已经知道了第一应用的验证结果，那么，如果第一PDU会话和第二PDU会话是不同的PDU会话，且第一PDU会话仅用于终端设备与第一网络设备之间的通信，那么第一PDU会话已不再需要使用。因此终端设备可以触发释放与第一网络设备之间的第一PDU会话。或者，第一网络设备在向终端设备发送验证信息后，也可以触发释放第一PDU会话。

或者，如果第一PDU会话和第二PDU会话是不同的PDU会话，但第一PDU会话除了用于终端设备与第一网络设备之间的通信外，还用于终端设备与其他网络设备之间的通信，例如第一PDU会话是终端设备事先为了其他目的建立的，那么终端设备或第一网络设备可以无需释放第一PDU会话。

关于S915的更多内容，可参考图5所示的实施例中对于S513的介绍。

其中，S910～S912和S913～S915是两种方案，这两种方案只会执行其中一种。

在本申请实施例中，终端设备在通过第一应用与网络通信之前，可由第一网络设备来验证第一应用是否可信，例如，如果第一应用不可信，则终端设备可不运行第一应用，或者终端设备可不按照URSP指示的路由来运行第一应用，以减少不可信的应用对网络进行攻击的可能性。可见，本申请实施例由于增加了网络对应用进行验证的机制，由此提高了网络的安全性。而且本申请实施例改进了URSP的实现方式，可以通过URSP来包含用于验证应用的第一网络设备的信息，从而终端设备根据URSP就能获得第一网络设备的信息，既可以使得所获得的第一网络设备的信息较为可信，又可以无需核心网设备再通过其他信息下发第一网络设备的信息，有助于节省信令开销。另外在本申请实施例中，第一网络设备可以将验证信息发送给PCF，使得网络能够更快地获知第一应用的验证结果，以能够更早地预防来自不可信的应用的攻击，提高网络的安全性。

为了解决相同的技术问题，本申请实施例提供第三种应用的验证方法，请参见图10，为该方法的流程图。在下文的介绍过程中，以该方法应用于图4所示的网络架构为例。

为了便于介绍，在下文中，以该方法由网络设备和终端设备执行为例。因为是以将本申请实施例应用在图4所示的网络架构为例，则下文所述的终端设备可以是图4所示的网络架构中的UE。下文所述的第一核心网设备例如为图4所示的网络架构中的PCF。下文所述的第二核心网设备例如为图4所示的网络架构中的UPF。下文所述的第一网络设备可以位于图4所示的网络架构中的核心网设备侧，即，第一网络设备可以是核心网设备；或者，下文所述的第一网络设备可以位于图4所示的网络架构中的接入网设备侧，即，第一网络设备可以是接入网设备，第一网络设备可以用于验证第一应用是否可信；或者，下文所述的第一网络设备可以是应用的开发商所提供的用于对应用进行验证的服务器，例如，第一应用的开发商除了提供第二网络设备作为第一应用的应用服务器外，还可以提供第一网络设备，用于验证第一应用，或者第一网络设备也可以用于验证该开发商所提供的全部应用。下文所述的第一网络设备未包括在图4中，第一网络设备用于为第一应用对应的业务提供服务，例如第一网络设备为第一应用的开发商所提供的应用服务器。另外，第一网络设备还可以用于对第一应用进行验证，或者，第一网络设备也可以用于验证第一应用的开发商所提供的全部应用。在图5所示的实施例或图9所示的实施例中，用于对应用进行验证的网络设备(第一网络设备)和第一应用的应用服务器(第二网络设备)是不同的网络设备，而在本申请实施例中，用于对应用进行验证的网络设备和第一应用的应用服务器是同一个网络设备，将其称为第一网络设备。

S1001、PCF向终端设备发送URSP，相应的，终端设备接收来自PCF的URSP。

对于一些应用，可能通过运营商与应用提供商的协商，能够为这些应用提供专用的网络切片等路径，从而使得用户在使用这些应用时的体验更好。那么对于这些具有专用路径的应用，PCF可以向终端设备发送URSP，以将这些应用对应的路由信息告知终端设备，从而终端设备就能按照URSP包括的路由信息来与相应的应用服务器建立PDU会话。终端设备可能安装了多个应用，这些应用的信息可能均包括在URSP中，那么这些应用的路由信息都可以通过URSP确定；或者，终端设备安装的部分应用的信息可能不包括在URSP中，则对于这部分应用，终端设备可按照默认路由信息所指示的路由来运行，例如这部分应用对应的业务可以承载在普通的网络切片上。

本申请实施例继续以终端设备的操作系统是安卓系统为例。例如，PCF可以将URSP发送给终端设备的modem层，modem层接收来自PCF的该URSP。

该URSP可以包括第二信息。例如，该URSP可以包括业务描述信息，该业务描述信息例如包括第一应用的ID，以及该URSP还包括第一应用的ID对应的路由信息，该路由信息指向UPF，该路由信息可以理解为第二信息。图5所示的实施例或图9所示的实施例中，都改进了URSP的结构，但本申请实施例并未改变URSP的结构，可以认为本申请实施例的URSP就是传统的URSP。本申请实施例由于无需改变URSP的结构，因此能够更好地与已有技术兼容。

S1002、modem层将URSP发送给framework层，framework层接收来自modem层的URSP。

关于S1002的更多内容，可参考图5所示的实施例中对于S502的介绍。

S1003、modem层将第一网络设备的信息发送给framework层，framework层接收来自modem层的第一网络设备的信息。

关于S1003的更多内容，可参考图5所示的实施例中对于S503的介绍。

S1004、framework层向modem层发送第四信息，modem层接收来自framework层的第四信息。

关于S1004的更多内容，可参考图5所示的实施例中对于S504的介绍。

S1005、终端设备的应用层运行第一应用。

关于S1005的更多内容，可参考图5所示的实施例中对于S505的介绍。

S1006、应用层向framework层发送第五信息，framework层接收来自应用层的第五信息。

关于S1006的更多内容，可参考图5所示的实施例中对于S506的介绍。

S1007、frame层确定第一应用为对应于第一安装源的首次运行。

关于S1007的更多内容，可参考图5所示的实施例中对于S507的介绍。

S1008、framework层向第一网络设备发送加密信息，第一网络设备接收来自framework层的加密信息。该加密信息可用于验证第一应用是否可信。

关于S1008的更多内容，可参考图5所示的实施例中对于S508的介绍。

S1009、第一网络设备根据加密信息验证第一应用是否可信。

关于S1009的更多内容，可参考图5所示的实施例中对于S509的介绍。

S1010、第一网络设备向PCF发送验证信息，PCF接收来自第一网络设备的验证信息。该验证信息可以指示第一应用可信。

S1011、PCF向终端设备发送第一消息，终端设备接收来自PCF的第一消息。例如，PCF可以向终端设备的modem层发送第一消息，则modem层接收来自PCF的第一消息。第一消息可以指示第一应用可信。

例如，第一消息可以是UE配置更新消息。那么该UE配置更新消息可以包括该验证信息，以通过该验证信息指示第一应用可信。另外，如果第一消息是UE配置更新消息，那么PCF可以通过第三核心网设备将该释放消息发送给终端设备，则终端设备是接收来自第三核心网设备的该释放消息。例如，PCF可以将UE配置更新消息发送给SMF，SMF接收该UE配置更新消息后将该UE配置更新消息发送给AMF，AMF接收该UE配置更新消息后再将该UE配置更新消息发送给终端设备，则AMF可以作为第三核心网设备。或者，PCF可以将UE配置更新消息发送给AMF，AMF接收该UE配置更新消息后将该UE配置更新消息发送给终端设备，则AMF可以作为第三核心网设备。

S1012、framework层执行URSP匹配。流程结束。

如果第一消息是UE配置更新消息，那么因为UE接收该UE配置更新消息后，已经知道了第一应用的验证结果，那么，如果第一PDU会话和第二PDU会话是不同的PDU会话，且第一PDU会话仅用于终端设备与第一网络设备之间的通信，那么第一PDU会话已不再需要使用。因此终端设备可以触发释放与第一网络设备之间的第一PDU会话。或者，第一网络设备在向终端设备发送验证信息后，也可以触发释放第一PDU会话。

或者，如果第一PDU会话和第二PDU会话是不同的PDU会话，但第一PDU会话除了用于终端设备与第一网络设备之间的通信外，还用于终端设备与其他网络设备之间的通信，例如第一PDU会话是终端设备事先为了其他目的建立的，那么终端设备或第一网络设备可以无需释放第一PDU会话。

或者，如果第一PDU会话与第二PDU会话是同一个PDU会话，则终端设备和第二网络设备还需要通过第一PDU会话承载第一应用的业务，因此终端设备或第一网络设备可以无需释放第一PDU会话。

S1013、第一网络设备向PCF发送验证信息，PCF接收来自第一网络设备的验证信息。该验证信息可以指示第一应用不可信。

S1014、PCF向终端设备发送第一消息，终端设备接收来自PCF的第一消息。例如，PCF可以向终端设备的modem层发送第一消息，则modem层接收来自PCF的第一消息。第一消息可以指示第一应用不可信。

例如，第一消息可以是UE配置更新消息。那么该UE配置更新消息可以包括该验证信息，以通过该验证信息指示第一应用不可信。另外，如果第一消息是UE配置更新消息，那么PCF可以将UE配置更新消息发送给SMF，SMF接收该UE配置更新消息后将该UE配置更新消息发送给AMF，AMF接收该UE配置更新消息后再将该UE配置更新消息发送给终端设备。或者，PCF可以将UE配置更新消息发送给AMF，AMF接收该UE配置更新消息后将该UE配置更新消息发送给终端设备。

S1015、framework层拒绝执行URSP匹配，或者说，framework层不执行URSP匹配。流程结束。

如果第一消息是UE配置更新消息，那么因为UE接收该UE配置更新消息后，已经知道了第一应用的验证结果，那么，如果第一PDU会话和第二PDU会话是不同的PDU会话，且第一PDU会话仅用于终端设备与第一网络设备之间的通信，那么第一PDU会话已不再需要使用。因此终端设备可以触发释放与第一网络设备之间的第一PDU会话。或者，第一网络设备在向终端设备发送验证信息后，也可以触发释放第一PDU会话。

或者，如果第一PDU会话和第二PDU会话是不同的PDU会话，但第一PDU会话除了用于终端设备与第一网络设备之间的通信外，还用于终端设备与其他网络设备之间的通信，例如第一PDU会话是终端设备事先为了其他目的建立的，那么终端设备或第一网络设备可以无需释放第一PDU会话。

可选的，终端设备可以针对第一安装源将第一应用的信息添加到黑名单，或者说针对第一安装源拉黑第一应用，以不再调用第一应用。且终端设备还可以对用户进行提示，例如终端设备可以输出提示信息，该提示信息可以指示第一应用具有安全风险，或者指示第一应用无法使用URSP包括的路由信息，使得用户能够知道第一应用不能运行的原因。

终端设备如果确定第一应用不可信，则可以不再调用第一应用。或者，终端设备还可以继续调用第一应用，但第一应用只能使用默认路由信息，而不能使用URSP所包括的与第一应用的ID对应的路由信息。

在本申请实施例中，终端设备在通过第一应用与网络通信之前，可由第一网络设备来验证第一应用是否可信，例如，如果第一应用不可信，则终端设备可不运行第一应用，或者终端设备可不按照URSP指示的路由来运行第一应用，以减少不可信的应用对网络进行攻击的可能性。可见，本申请实施例由于增加了网络对应用进行验证的机制，由此提高了网络的安全性。而且在本申请实施例中，第一网络设备既可以作为第一应用的应用服务器，又可以对第一应用进行验证，即，无需再提供额外的设备来验证第一应用，能够节省设备资源，且简化网络结构。

下面结合附图介绍本申请实施例中用来实现上述方法的装置。因此，上文中的内容均可以用于后续实施例中，重复的内容不再赘述。

图11为本申请实施例提供的通信装置1100的示意性框图。示例性地，通信装置1100例如为终端设备1100。示例性地，终端设备1100能够实现图5所示的实施例或图9所示的实施例所述的终端设备的功能。

终端设备1100包括发送模块1120、接收模块1130和处理模块1110。示例性地，终端设备1100可以是终端设备，也可以是应用于终端设备中的芯片或者其他具有上述终端设备功能的组合器件、部件等。当终端设备1100是终端设备时，发送模块1120可以是发射器，接收模块1130可以是接收器，发射器可以包括天线和射频电路等，接收器也可以包括天线和射频电路等。其中，发射器和接收器可以统一构成收发器，收发器可实现发射器和接收器的功能，或者，发射器和接收器也可以是单独部署的两个功能模块。处理模块1110可以包括处理器，例如基带处理器，基带处理器中可以包括一个或多个中央处理单元(centralprocessing unit，CPU)。当终端设备1100是具有上述终端设备功能的部件时，发送模块1120可以是射频单元，接收模块1130可以是射频单元，处理模块1110可以是处理器，例如基带处理器。当终端设备1100是芯片系统时，发送模块1120和接收模块1130可以是芯片(例如基带芯片)的输入输出接口、处理模块1110可以是芯片系统的处理器，可以包括一个或多个中央处理单元。应理解，本申请实施例中的处理模块1110可以由处理器或处理器相关电路组件实现，发送模块1120可以由发射器或发射器相关电路组件实现，接收模块1130可以由接收器或接收器相关电路组件实现。

例如，处理模块1110可以用于执行图5所示的实施例中由终端设备所执行的除了收发操作之外的全部操作，例如S505、S507、S511和S513，和/或用于支持本文所描述的技术的其它过程。发送模块1120可以用于执行图5所示的实施例中由终端设备所执行的全部发送操作，例如S508，和/或用于支持本文所描述的技术的其它过程。接收模块1130可以用于执行图5所示的实施例中由终端设备所执行的全部接收操作，例如S501、S510和S512，和/或用于支持本文所描述的技术的其它过程。

又例如，处理模块1110可以用于执行图9所示的实施例中由终端设备所执行的除了收发操作之外的全部操作，例如S905、S907、S912和S915，和/或用于支持本文所描述的技术的其它过程。发送模块1120可以用于执行图9所示的实施例中由终端设备所执行的全部发送操作，例如S908，和/或用于支持本文所描述的技术的其它过程。接收模块1130可以用于执行图9所示的实施例中由终端设备所执行的全部接收操作，例如S901、S911和S914，和/或用于支持本文所描述的技术的其它过程。

另外，发送模块1120和接收模块1130可以是一个功能模块，该功能模块称为收发模块，收发模块既能完成发送操作也能完成接收操作，例如收发模块可以用于执行图5所示的实施例或图9所示的实施例中由终端设备所执行的全部发送操作和接收操作，例如，在执行发送操作时，可以认为收发模块是发送模块1120，而在执行接收操作时，可以认为收发模块是接收模块1130；或者，发送模块1120和接收模块1130也可以是两个功能模块，收发模块可以视为这两个功能模块的统称，发送模块1120用于完成发送操作，例如发送模块1120可以用于执行图5所示的实施例或图9所示的实施例中由终端设备所执行的全部发送操作，接收模块1130用于完成接收操作，例如接收模块1130可以用于执行图5所示的实施例或图9所示的实施例中由终端设备所执行的全部接收操作。

关于处理模块1110、发送模块1120和接收模块1130所具体能够实现的功能，可参考图5所示的实施例或图9所示的实施例中对于终端设备所执行的操作的介绍，不多赘述。

图12为本申请实施例提供的通信装置1200的示意性框图。示例性地，通信装置1200例如为第一网络设备1200。示例性地，第一网络设备1200能够实现图5所示的实施例或图9所示的实施例或图10所示的实施例所述的第一网络设备的功能。

第一网络设备1200包括发送模块1220、接收模块1230和处理模块1210。关于第一网络设备1200的实现方式，可参考对于终端设备1100的实现方式的介绍。

例如，处理模块1210可以用于执行图5所示的实施例中由第一网络设备所执行的除了收发操作之外的全部操作，例如S509，和/或用于支持本文所描述的技术的其它过程。发送模块1220可以用于执行图5所示的实施例中由第一网络设备所执行的全部发送操作，例如S510和S512，和/或用于支持本文所描述的技术的其它过程。接收模块1230可以用于执行图5所示的实施例中由第一网络设备所执行的全部接收操作，例如S508，和/或用于支持本文所描述的技术的其它过程。

又例如，处理模块1210可以用于执行图9所示的实施例中由第一网络设备所执行的除了收发操作之外的全部操作，例如S909，和/或用于支持本文所描述的技术的其它过程。发送模块1220可以用于执行图9所示的实施例中由第一网络设备所执行的全部发送操作，例如S910和S513，和/或用于支持本文所描述的技术的其它过程。接收模块1230可以用于执行图9所示的实施例中由第一网络设备所执行的全部接收操作，例如S908，和/或用于支持本文所描述的技术的其它过程。

再例如，处理模块1210可以用于执行图10所示的实施例中由第一网络设备所执行的除了收发操作之外的全部操作，例如S1009，和/或用于支持本文所描述的技术的其它过程。发送模块1220可以用于执行图10所示的实施例中由第一网络设备所执行的全部发送操作，例如S1010和S1013，和/或用于支持本文所描述的技术的其它过程。接收模块1230可以用于执行图10所示的实施例中由第一网络设备所执行的全部接收操作，例如S1008，和/或用于支持本文所描述的技术的其它过程。

另外，关于发送模块1220和接收模块1230的实现方式，可参考对于发送模块1120和接收模块1130的实现方式的介绍。

关于处理模块1210、发送模块1220和接收模块1230所具体能够实现的功能，可参考图5所示的实施例或图9所示的实施例或图10所示的实施例中对于第一网络设备所执行的操作的介绍，不多赘述。

图13为本申请实施例提供的通信系统1300的示意性框图。示例性地，通信系统1300包括第一核心网设备1310和第二核心网设备1320。示例性地，第一核心网设备1310能够实现图8所示的实施例或图10所示的实施例所述的第一核心网设备的功能，第二核心网设备1320能够实现图8所示的实施例或图10所示的实施例所述的第二核心网设备的功能。

图14为本申请实施例提供的通信装置1400的示意性框图。示例性地，通信装置1400例如为终端设备1400。示例性地，终端设备1400能够实现图10所示的实施例所述的终端设备的功能。

终端设备1400包括发送模块1420、接收模块1430和处理模块1410。关于终端设备1400的实现方式，可参考对于终端设备1100的实现方式的介绍。

例如，处理模块1410可以用于执行图10所示的实施例中由终端设备所执行的除了收发操作之外的全部操作，例如S1005、S1007、S1012和S1015，和/或用于支持本文所描述的技术的其它过程。发送模块1420可以用于执行图10所示的实施例中由终端设备所执行的全部发送操作，例如S1008，和/或用于支持本文所描述的技术的其它过程。接收模块1430可以用于执行图10所示的实施例中由终端设备所执行的全部接收操作，例如S1011和S1014，和/或用于支持本文所描述的技术的其它过程。

另外，关于发送模块1420和接收模块1430的实现方式，可参考对于发送模块1120和接收模块1130的实现方式的介绍。

关于处理模块1410、发送模块1420和接收模块1430所具体能够实现的功能，可参考图10所示的实施例中对于终端设备所执行的操作的介绍，不多赘述。

图15为本申请实施例提供的通信系统1500的示意性框图。示例性地，通信系统1500包括第一核心网设备1510和第二核心网设备1520。示例性地，第一核心网设备1510能够实现图8所示的实施例或图10所示的实施例或图11所示的实施例所述的第一核心网设备的功能。第二核心网设备1520能够实现图8所示的实施例或图10所示的实施例或图11所示的实施例所述的第二核心网设备的功能。

本申请实施例还提供一种通信装置，该通信装置可以是终端设备也可以是电路。该通信装置可以用于执行上述各个方法实施例中由终端设备所执行的动作。

当该通信装置为终端设备时，图16示出了一种简化的终端设备的结构示意图。便于理解和图示方便，图16中，终端设备以手机作为例子。如图16所示，终端设备包括处理器、存储器、射频电路、天线以及输入输出装置。处理器主要用于对通信协议以及通信数据进行处理，以及对终端设备进行控制，执行软件程序，处理软件程序的数据等。存储器主要用于存储软件程序和数据。射频电路主要用于基带信号与射频信号的转换以及对射频信号的处理。天线主要用于收发电磁波形式的射频信号。输入输出装置，例如触摸屏、显示屏，键盘等主要用于接收用户输入的数据以及对用户输出数据。需要说明的是，有些种类的终端设备可以不具有输入输出装置。

当需要发送数据时，处理器对待发送的数据进行基带处理后，输出基带信号至射频电路，射频电路将基带信号进行射频处理后将射频信号通过天线以电磁波的形式向外发送。当有数据发送到终端设备时，射频电路通过天线接收到射频信号，将射频信号转换为基带信号，并将基带信号输出至处理器，处理器将基带信号转换为数据并对该数据进行处理。为便于说明，图16中仅示出了一个存储器和处理器。在实际的终端设备产品中，可以存在一个或多个处理器和一个或多个存储器。存储器也可以称为存储介质或者存储设备等。存储器可以是独立于处理器设置，也可以是与处理器集成在一起，本申请实施例对此不做限制。

在本申请实施例中，可以将具有收发功能的天线和射频电路视为终端设备的收发单元(收发单元可以是一个功能单元，该功能单元能够实现发送功能和接收功能；或者，收发单元也可以包括两个功能单元，分别为能够实现接收功能的接收单元和能够实现发送功能的发送单元)，将具有处理功能的处理器视为终端设备的处理单元。如图16所示，终端设备包括收发单元1610和处理单元1620。收发单元也可以称为收发器、收发机、收发装置等。处理单元也可以称为处理器，处理单板，处理模块、处理装置等。可选的，可以将收发单元1610中用于实现接收功能的器件视为接收单元，将收发单元1610中用于实现发送功能的器件视为发送单元，即收发单元1610包括接收单元和发送单元。收发单元有时也可以称为收发机、收发器、或收发电路等。接收单元有时也可以称为接收机、接收器、或接收电路等。发送单元有时也可以称为发射机、发射器或者发射电路等。

应理解，收发单元1610用于执行上述图5所示的实施例或图9所示的实施例或图10所示的实施例中终端设备侧的发送操作和接收操作，处理单元1620用于执行上述图5所示的实施例或图9所示的实施例或图10所示的实施例中终端设备侧除了收发操作之外的其他操作。

当该通信装置为芯片类的装置或者电路时，该装置可以包括收发单元和处理单元。其中，所述收发单元可以是输入输出电路和/或通信接口；处理单元为集成的处理器或者微处理器或者集成电路。

图17示出本实施例的另一种形式。处理装置1700中包括调制子系统、中央处理子系统、周边子系统等模块。本实施例中的通信装置可以作为其中的调制子系统。具体的，该调制子系统可以包括处理器1703，接口1704。其中，处理器1703完成上述处理模块1110的功能，接口1704完成上述发送模块1120和接收模块1130的功能。或者，处理器1703完成上述处理模块1410的功能，接口1704完成上述发送模块1420和接收模块1430的功能。作为另一种变形，该调制子系统包括存储器1706、处理器1703及存储在存储器1706上并可在处理器上运行的程序，该处理器1703执行该程序时实现上述方法实施例中终端设备侧的方法。需要注意的是，所述存储器1706可以是非易失性的，也可以是易失性的，其位置可以位于调制子系统内部，也可以位于处理装置1700中，只要该存储器1706可以连接到所述处理器1703即可。

本申请实施例提供第三通信系统。第三通信系统可以包括上述的图5所示的实施例所涉及的终端设备，包括上述的图5所示的实施例所涉及的第一网络设备，以及包括上述的图5所示的实施例所涉及的第一核心网设备。或者，第三通信系统可以包括上述的图9所示的实施例所涉及的终端设备，包括上述的图9所示的实施例所涉及的第一网络设备，以及包括上述的图9所示的实施例所涉及的第一核心网设备。终端设备例如为图11中的终端设备1100，第一网络设备例如为图12中的第一网络设备1200，第一核心网设备例如为图13中的第一核心网设备1310。

本申请实施例提供第四通信系统。第四通信系统可以包括上述的图10所示的实施例所涉及的终端设备，包括上述的图10所示的实施例所涉及的第一网络设备，以及包括上述的图10所示的实施例所涉及的第一核心网设备。终端设备例如为图14中的终端设备1400，第一网络设备例如为图12中的第一网络设备1200，第一核心网设备例如为图15中的第一核心网设备1510。

应理解，本申请实施例中提及的处理器可以是CPU，还可以是其他通用处理器、数字信号处理器(digital signal processor，DSP)、专用集成电路(application specificintegrated circuit，ASIC)、现成可编程门阵列(field programmable gate array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。

还应理解，本申请实施例中提及的存储器可以是易失性存储器或非易失性存储器，或可包括易失性和非易失性存储器两者。其中，非易失性存储器可以是只读存储器(read-only memory，ROM)、可编程只读存储器(programmable ROM，PROM)、可擦除可编程只读存储器(erasable PROM，EPROM)、电可擦除可编程只读存储器(electrically EPROM，EEPROM)或闪存。易失性存储器可以是随机存取存储器(random access memory，RAM)，其用作外部高速缓存。通过示例性但不是限制性说明，许多形式的RAM可用，例如静态随机存取存储器(static RAM，SRAM)、动态随机存取存储器(dynamic RAM，DRAM)、同步动态随机存取存储器(synchronous DRAM，SDRAM)、双倍数据速率同步动态随机存取存储器(double datarate SDRAM，DDR SDRAM)、增强型同步动态随机存取存储器(enhanced SDRAM，ESDRAM)、同步连接动态随机存取存储器(synchlink DRAM，SLDRAM)和直接内存总线随机存取存储器(direct rambus RAM，DR RAM)。

需要说明的是，当处理器为通用处理器、DSP、ASIC、FPGA或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件时，存储器(存储模块)集成在处理器中。

应注意，本文描述的存储器旨在包括但不限于这些和任意其它适合类型的存储器。

应理解，在本申请的各种实施例中，上述各过程的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本申请实施例的实施过程构成任何限定。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统、装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的计算机可读存储介质，可以是计算机能够存取的任何可用介质。以此为例但不限于：计算机可读介质可以包括随机存取存储器(random access memory，RAM)、只读存储器(read-only memory，ROM)、电可擦可编程只读存储器(electrically erasableprogrammable read only memory，EEPROM)、紧凑型光盘只读存储器(compact disc read-only memory，CD-ROM)、通用串行总线闪存盘(universal serial bus flash disk)、移动硬盘、或其他光盘存储、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质。

Claims (18)

1.一种应用的验证方法，其特征在于，包括：

接收来自第一核心网设备的用户设备路由选择策略URSP，所述URSP包含第一信息和第二信息，所述第一信息用于确定通信装置到第二核心网设备的第一路径，所述第一路径用于承载第一应用在所述通信装置与第一网络设备之间传输的数据，所述第二信息用于确定所述通信装置到所述第二核心网设备的第二路径，所述第二路径用于承载所述第一应用在所述通信装置与第二网络设备之间传输的数据，所述第一信息还包括第一网络设备的信息，所述第二网络设备是为所述第一应用对应的业务提供服务的网络设备；

运行所述第一应用，或在运行所述第一应用前，根据所述第一网络设备的信息，通过所述第一路径向所述第一网络设备发送加密信息，所述加密信息用于所述第一网络设备验证所述第一应用是否可信；

接收验证信息，所述验证信息用于指示所述第一应用可信或不可信；

当所述验证信息指示所述第一应用可信时，按照所述第二路径，通过所述第二网络设备承载所述第一应用的业务。

2.根据权利要求1所述的方法，其特征在于，所述根据所述第一网络设备的信息，通过所述第一路径向所述第一网络设备发送加密信息，包括：

根据所述第一网络设备的信息，通过所述通信装置与所述第二核心网设备之间的第一PDU会话，向所述第一网络设备发送用于请求建立通信连接的请求消息，所述请求消息包括所述加密信息；或，

根据所述第一网络设备的信息，通过所述通信装置与所述第二核心网设备之间的第一PDU会话，以及通过所述通信装置与所述第一网络设备之间的通信连接，向所述第一网络设备发送所述加密信息。

3.根据权利要求2所述的方法，其特征在于，

所述第一PDU会话是已建立的；或，

所述方法还包括：根据所述第一信息，与所述第二核心网设备建立所述第一PDU会话。

4.根据权利要求1～3任一项所述的方法，其特征在于，所述加密信息与所述第一应用的数字签名相关。

5.根据权利要求1～3任一项所述的方法，其特征在于，在通过所述第一路径向所述第一网络设备发送加密信息之前，所述方法还包括：

确定所述第一应用的安装包来自第一安装源，且所述第一应用为首次运行。

6.根据权利要求1～3任一项所述的方法，其特征在于，

所述URSP包括第一子URSP和第二子URSP，所述第一子URSP对应的路由信息指向所述第二核心网设备，所述第一子URSP对应的路由信息还包括所述第一网络设备的地址，所述第二子URSP对应的路由信息指向所述第二核心网设备，且所述第一子URSP和第二子URSP具有关联关系；或，

所述URSP包括第一业务描述信息和第二业务描述信息，所述第一业务描述信息和所述第二业务描述信息均用于描述所述第一应用，所述第一业务描述信息对应的路由信息指向所述第二核心网设备，所述第一子URSP对应的路由信息还包括所述第一网络设备的地址，所述第二业务描述信息对应的路由信息指向所述第二核心网设备；或，

所述URSP包括第一路由信息和第二路由信息，所述第一路由信息指向所述第二核心网设备，所述第一子URSP对应的路由信息还包括所述第一网络设备的地址，所述第二路由信息指向所述第二核心网设备。

7.根据权利要求1～3任一项所述的方法，其特征在于，在接收所述验证信息后，所述方法还包括：

释放所述通信装置与所述第二核心网设备之间的第一PDU会话。

8.根据权利要求1～3任一项所述的方法，其特征在于，所述接收验证信息，包括：

接收来自所述第一网络设备的所述验证信息；或，

接收来自第三核心网设备的第一消息，所述第一消息包括所述验证信息。

9.根据权利要求8所述的方法，其特征在于，

所述第一消息为释放消息，所述释放消息用于指示释放所述通信装置与所述第二核心网设备之间的第一PDU会话；或，

所述第一消息为配置更新消息。

10.根据权利要求1～3、9任一项所述的方法，其特征在于，所述验证信息指示所述第一应用不可信时，所述方法还包括：

不通过所述第二网络设备承载所述第一应用的业务。

11.根据权利要求10所述的方法，其特征在于，所述方法还包括：

将所述第一应用的信息添加到黑名单，以不再调用所述第一应用。

12.根据权利要求1～3、9、11任一项所述的方法，其特征在于，所述方法应用于终端设备，或应用于可设置在终端设备内的芯片。

13.一种应用的验证方法，其特征在于，包括：

第一核心网设备向终端设备发送URSP，所述URSP包含第一信息和第二信息，所述第一信息用于确定所述终端设备到第二核心网设备的第一路径，所述第一路径用于承载第一应用在所述终端设备与第一网络设备之间传输的数据，所述第二信息用于确定所述终端设备到所述第二核心网设备的第二路径，所述第二路径用于承载所述第一应用在所述终端设备与第二网络设备之间传输的数据，所述第一信息还包括第一网络设备的信息，所述第二网络设备是为所述第一应用对应的业务提供服务的网络设备，所述第一网络设备用于对所述第一应用进行验证；

所述第二核心网设备通过所述第一路径接收来自所述终端设备的加密信息，并将所述加密信息发送给所述第一网络设备，所述加密信息用于所述第一网络设备验证所述第一应用是否可信；

所述第一核心网设备接收来自所述第一网络设备的验证信息，所述验证信息用于指示所述第一应用可信或不可信；

所述第一核心网设备向所述终端设备发送所述验证信息。

14.根据权利要求13所述的方法，其特征在于，

所述URSP包括第一子URSP和第二子URSP，所述第一子URSP对应的路由信息指向所述第二核心网设备，所述第一子URSP对应的路由信息还包括所述第一网络设备的地址，所述第二子URSP对应的路由信息指向所述第二核心网设备，且所述第一子URSP和第二子URSP具有关联关系；或，

所述URSP包括第一业务描述信息和第二业务描述信息，所述第一业务描述信息和所述第二业务描述信息均用于描述所述第一应用，所述第一业务描述信息对应的路由信息指向所述第二核心网设备，所述第一子URSP对应的路由信息还包括所述第一网络设备的地址，所述第二业务描述信息对应的路由信息指向所述第二核心网设备；或，

所述URSP包括第一路由信息和第二路由信息，所述第一路由信息指向所述第二核心网设备，所述第一子URSP对应的路由信息还包括所述第一网络设备的地址，所述第二路由信息指向所述第二核心网设备。

15.根据权利要求13或14所述的方法，其特征在于，所述第一核心网设备向所述终端设备发送所述验证信息，包括：

所述第一核心网设备向所述终端设备发送第一消息，所述第一消息包括所述验证信息。

16.根据权利要求15所述的方法，其特征在于，

所述第一消息为释放消息，所述释放消息用于指示释放所述终端设备与所述第二核心网设备之间的第一PDU会话；或，

所述第一消息为配置更新消息。

17.一种通信装置，其特征在于，包括处理器和存储器，所述存储器存储计算机程序，所述处理器执行所述计算机程序，以执行如权利要求1～12任一项所述的方法，或执行如权利要求13～16任一项所述的方法。

18.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质用于存储计算机程序，当所述计算机程序在通信装置上运行时，使得所述通信装置执行如权利要求1～12中任意一项所述的方法，或者使得所述计算机执行如权利要求13～16中任意一项所述的方法。