基于角色的訪問控制在J2EE中的研究及擴(kuò)展.pdf

1、訪問控制是信息安全的重要課題之一。在企業(yè)級(jí)開發(fā)中，最為普遍采用的訪問控制機(jī)制是基于角色的訪問控制（Role Based Access Control），簡(jiǎn)稱RBAC。標(biāo)準(zhǔn)的RBAC包括核心RBAC、繼承性關(guān)系和職責(zé)分離關(guān)系等。目前最為廣泛使用的企業(yè)開發(fā)平臺(tái)是J2EE，其訪問控制機(jī)制主要也是基于角色的。但J2EE的角色機(jī)制與標(biāo)準(zhǔn)RBAC有很大的不同，也存在一些缺陷。比如，J2EE的角色僅僅是一組權(quán)限聲明的集合，并且不具有繼承關(guān)系、約束關(guān)系

2、，也不能在運(yùn)行時(shí)對(duì)角色和權(quán)限進(jìn)行動(dòng)態(tài)管理。 本文在對(duì)RBAC和J2EE訪問控制機(jī)制研究的基礎(chǔ)上，詳細(xì)分析比較了J2EE角色機(jī)制與標(biāo)準(zhǔn)RBAC的差異，歸納出了J2EE訪問控制中角色等機(jī)制的不足。針對(duì)這些不足，本文設(shè)計(jì)了一套適用于J2EE環(huán)境的擴(kuò)展標(biāo)準(zhǔn)RBAC模型，并實(shí)現(xiàn)了一套完全基于J2EE標(biāo)準(zhǔn)技術(shù)的RBAC擴(kuò)展系統(tǒng)JERS（J2EE Extended RBAC System）。該系統(tǒng)采用了JACC（Java Authentica