【毕业论文】基于角色的访问控制模型在Struts框架下的应用研究.docxVIP

【标题】?基于角色的访问控制模型在Struts框架下的应用研究 【作者】陈艳琳 【关键词】 RBAC　　Struts框架　　MVC　　授权访问 【指导老师】范会联 【专业】计算机科学与技术 【正文】1.引言全球信息网的发展，带动了信息系统的变革和发展。越来越多的传统的MIS向Web平台移植。这些与企业MIS系统密切相关的信息系统，多数都需要有数据库的支持，如何确保Web与数据库系统有机的结合，规范合法用户的使用权限与范围，防止故意的非法使用以及无意的误用，已成为在Web上建立信息系统所需要的关键技术和必须重视的问题。在当今社会中，信息管理系统的使用已起着越来越重要的作用，对于任何一个信息系统，健壮有效的安全管理机制是合法地使用信息，防止非法获得或破坏信息的基本保障。一个信息系统的安全管理可分为两个方面，一个是系统级(system)的数据库安全管理，这种安全管理是由数据库系统保障的，另一个是应用级(application)的安全管理，其主要决定于应用系统的构成。一个大型的信息系统均会具有许多功能和许多用户，这些用户处于不同的岗位、具有不同的级别，他们从信息系统中获取信息与处理信息的职权亦不同，这就要求应用系统提供一种权限管理机制，控制各种用户使用系统的权限访问。为了保护和共享信息以及物理资源，采用访问控制机制是保障计算机网络完全的重要组成部分。过去访问控制的常用方法是自主访问控制(DAC)和强制访问控制(MAC).而且均采用主体和访问权限直接发生联系，根据主体与客体的所属关系或是主体与客体的安全级别，来决定主体对客体的访问权。DAC将授予或取消访问的部分权力留给用户个体，不利于实现统一的全局访问控制，而MAC过于偏重保密性，对其他方面考虑不足。基于角色的访问控制(RBAC)的主要思想是将访问控制简化为两部分:根据需求为角色授予特权(访问授权)，然后基于特定职位的责任与资历为用户分配一定的角色。它大大减少了授权管理的任务量，具有灵活、高效性能，能够根据企业的具体需求执行安全策略，同时减少管理开支。随着网络技术的发展和Internet的普及，Web架构友好的用户界面和方便的用户操作，使得越来越多的信息系统构架于互联网平台上，基于Web模式结构的信息系统逐渐代替了基于C／S模式结构的信息系统。Struts是MVC设计模式的一种实现框架，包含了丰富的标记库和独立于该框架工作的实用程序类。近年来被越来越多地运用于很多大型系统的实现，成为Web应用开发中最为流行的框架之一。但由于网络信息的共享特性，使得Web的信息系统的安全性一直是人们讨论的重要问题，为了解决这一问题，很多人提出了利用RBAC来实现基于Web的信息系统的安全访问控制。基于角色的权限控制(RBAC)定义了主体对客体的访问权限，是应用系统对经过身份认证进入系统的用户访问数据资源的控制，是数据信息得到安全保护的核心技术和最有效的手段。RBAC是一种非自主访问控制策略，支持特定安全需求的集中式权限管理，它通过引入角色来描述用户和权限之间的关系，从系统自身结构和运作方式的角度对系统的权限管理数据进行了抽象，是一种特别适合于安全管理的访问控制方式，是保护系统信息安全的一条有效途径。本文结合Struts框架良好的MVC设计模式和RBAC灵活的权限管理的特点，提出一个在基于Struts构架的Web信息系统中RBAC的实现方案。它灵活地解决了权限管理、资源管理及权限审查的问题，并将RBAC作为一个独立模块存在，最大程度降低了RBAC与应用信息系统的耦合性，非常适合基于Web的大型信息系统。2.RBAC基本原理?2.1 RBAC基本模型??在RBAC中，在用户与权限之间引入了角色概念（如图１）。????????????????????????????????? RH????????????????????? UA???????????????????? PA（图１ RBAC基本模型）?U:?表示用户的集合，是权限的拥用者。R:?表示角色集，拥有一定数量的权限。P:?表示权限的集合，UA： U×R是一个多对多的从用户到角色的授权关系集PA： P×R是一个多对多的从角色到权限的授权关系集。RH： R×R是一个偏序的角色继承关系集(用“≥”表示继承关系)。2.2 RBAC模型中的术语定义????用户(User):是一个访问计算机系统中的数据或者用数据表示的其它资源的主体。我们用U表示全体用户的集合。用户一般情况下指人，也可为Agent等智能程序。权限(Permission):是对计算机系统中的数据或者用数据表示的其它资源进行访问的许可。我们用P表示全体权限的集合。权限一般是一种抽象概念，表示对于某种客体资源的某种操作许可。因此有的模型中将权限细化为二元组(操作，对象)，其中对象是访问控制系统中的真正