Web信息系统中统一细粒度访问控制的研究.pdf

2009年 5月 　　 ComputerApp licati ons and Soft ware May 2009 Web信息系统中统一细粒度访问控制的研究 朱佃波 　 陆剑江 　杨季文 (苏州大学计算机科学与技术学院　江苏 苏州 215006) 收稿日期: 2007 - 12 - 11。朱佃波,硕士生,主研领域:信息系统安 全,数据库技术。 摘 　 要 　　 为了实现 Web信息系统的细粒度访问控制 ,研究了 MVC (Model2 View2 Contr oller)构建模式 ,然后分别从视图层和控制层 上考虑客体的结构和形式 ,在 N IST RBAC的基础上提出了 OHRBAC (Object Hierarchy RBAC)模型 ,并基于该模型分别利用 JSP标签 技术和 AOP技术实现了视图层和控制层的细粒度访问控制 ,并抽象出 JavaWeb信息系统中细粒度访问控制的一般解决方案 ,该方 案安全性高、 操作方便、 可以快速部署、 可扩展、 可伸缩。 关键词 　　 访问控制 　 细粒度 　MVC　Web信息系统 　JSP ON UNIFIED FINE2GRA INED ACCESS CONTROL INWEB INFORMATI ON SYSTEM Zhu Dianbo　Lu J ianjiang　Yang J i wen ( College of Com puter Science and Technology, Soochow Univer sity, Suzhou 215006, J iangsu, China) Abstract　　In order t o realize the fine2 grained access contr ol inWeb informati on system, in this paper it studied theModel2 View2 Controller (MVC) architectural pattern, analyzed the structure and the modality of the objects on View and Contr ol levels, then p roposed an extended model named OHBAC which is based on the N IST RBAC, and realized the fine2 grained access control on View and Control levels based on this model by using JSP tag and AOP technol ogy on the J2EE p latform. At the end of this paper, a general s oluti on for fine2 grained access contr ol in JavaWeb infor mati on system is abstracted, it is a safe, dep l oy effective, extensible and flexible scheme . Keywords　　Access control　Fine2 grained　MVC　Web informati on system　JSP 0　 引 　 言 计算机性能的提高以及计算机网络技术的不断完善和创 新 ,促进了互联网的巨大发展 , Internet已经成为全球信息发布 和共享的平台 ,基于 B /S的 Web信息系统已经成为主要的应用 构建方式。Web应用与基于 C/S模式的应用相比 ,优势是前者 只需要用户安装浏览器而不需要安装特定的客户端 ,这样就不 存在客户端维护升级的问题 ,有更强的普及性。Web信息系统 基于 HTTP协议和浏览器 ,信息的管理、 私密性、 安全性等问题 都已成为研究热点。比如:如何控制用户查看结果的范围、 如何 控制用户执行删除操作的能力等等。本文主要研究的是如何实 现 Web信息系统中的细粒度访问控制。 文献 [ 1 ]在模型上对 RBAC模型进行了扩充 ,与核心 RBAC 模型相比 ,该改进模型在权限设置上更加细致 ,但是没有详细讨 论客体的结构 ,不适合对多样化、 层次化客体进行处理。文献 [ 2 ]基于 GAA2 AP I实现了 Web网页的细粒度访问控制 ,但该方 案只实现了对视图层网页的访问控制 ,而且对动态资源的访问