面向Web应用系统的访问控制设计及应用.pdfVIP

维普资讯 第29卷 第5期 计算机工程与设计 2008年3月 VOL29 NO．5 ComputerEngineeringandDesign M ar．2008 面向Web应用系统的访问控制设计及应用 李艳翠 ， 孔 芳 ， 朱巧明1,2 (1．苏州大学 计算机科学与技术学院，江苏 苏州215006； 2．江苏省计算机信息处理技术重点实验室，江苏 苏州 215006) 摘 要：分析 了Web应用系统在访 问控制方面的需求和现有RBAC模型应用于Web应用系统 中的不足，提 出了一个基于 NIST发表的RBAC建议标准的访问控制模型WERBAC。该模型对RBAC建议标准中角色和权限的概念进行了定义和扩充， 在此基础上介绍了对页面的多维度和细粒度控制，并给 出了一个该模型的应用实例。 关键词：Web应用系统；访 问控制；基于角色的访 问控制；权限；页面 中图法分类号：TP391 文献标识码：A 文章编号：1000．7024(2008)05．1076．04 Designandimplementationofaccesscontrolforwebapplicationsystem LIYan—cui， KONGFang ， ZHUQiao—ming工 (1．CollegeofComputerScienceandTechnology,SoochowUniversity,Suzhou215006，China； 2．KeyLabofComputerInformationProcessingTechnoloygofJinagsuProvince，Suzhou215006，China) Abstract：Theaccesscontrolrequirementsofwebapplicationsystem andtheshortcomingsniwebapplicationsystemwihtRBACmodel alenaalysed．ThennaextendedmodelnamedWERBAC(Web—extendedRBAC)isproposed，basedonhteNIST’SRBACpropositional standards．WERBAC extendsna ddefmesrolesna dprivilegesofhteNISTRBAC，nadinrtoduceshtemultipledimensionsnadfine- grainedconrtolsforhtepages．Fnially,na nistanceisgivenusinghteW ERBAC． Keywords：webapplicationsystem；accessconrtol；RBAC；privilege；webpage 但此方法将页面功能和用户角色绑定起来，权限控制的粒度 O 引 言 取决于页面实现功能的划分，致使应用 的实旌具有相当的难 随着网络技术的发展和基于 Interact服务的普及，Web应 度。文献[1]在分析了Web应用系统访 问控制方面需求的基础 用系统应运而生，可以认为Web应用系统是一些Web网页和 上提 出了RBAC的扩展模型，该模型增加了节点、节点层次的 用来完成某些任务的其它资源的集合。一方面，系统以界面 概念来实现对页面的管理，也包含了2001年8月MST发表的 友好、方便用户操作、支持无限用户、系统扩展性强和易维护 RBAC建议标准 J(下称NISTRBAC)的其它所有构件，但其只 等优势成为现代信息系统的主流：另一方面，网络信息的高度