基于J2EE轻量级框架的安全Web架构研究与应用

论文摘要

随着国内高校信息化建设的逐步推进,校园用户对信息安全的需求越来越重视。由于多年来,使用J2EE体系结构实施高校信息系统建设成为高校信息化建设的重要手段之一,因此J2EE本身提供的安全访问控制技术越来越多地被广大研究人员所重视。其中基于角色访问控制（Role-Based Access Control,RBAC）技术为企业级应用的安全控制做出了不可替代的作用。但是,传统J2EE架构的安全访问控制技术并不完美,在特定条件下,其存在的某些缺陷并不能完美的体现出J2EE与RBAC技术结合的优势。因此,本文将研究工作的目标锁定在为传统J2EE减负,同时完善其安全访问控制技术,建立一种轻量级的J2EE安全Web架构。本文首先研究了传统J2EE的体系结构优缺点,指出其体系结构的优势主要体现在EJB的出现使得组件程序的开发更加完善;其高可重用性、可移植性大大简化了应用的开发。缺点则体现在:EJB（Enterprise Java Bean）的重量级使得对Web服务器的要求较高;复杂的EJB API如果使用不当,可能导致应用系统的总体性能下降。其次,研究了J2EE的安全机制,尤其是J2EE认证与授权的概念及JAAS（Java Authentication and Authorization Service）的工作机制及其优缺点。指出良好的J2EE安全基础设施在概念上为应用系统的安全访问控制技术的实施提供了强有力的保证。而实际操作上,开发人员必须对J2EE安全访问控制机制进行优化。尤其是在J2EE架构下优化传统RBAC模型来部署实施可插拔、易扩展且属于轻量级的安全Web架构。接着,本文在前面研究的基础上提出重组Struts、Spring、Hibernate三种开源框架,以Sping的反转控制与面向方面编程技术管理Struts的动作及Hibernate的数据库操作,构建一款满足传统J2EE框架理论、轻量级、易部署、可插拔、代码利用率较高的J2EE框架。同时,为保证该轻量级框架对安全访问控制技术的良好支持,提出以Spring Acegi+JA-SIG CAS3.0构建单点登陆统一身份认证及授权子系统。其中CAS3.0负责搭建以数据库为数据源的单点登录统一身份认证模块;Spring Acegi用来实现可插拔的动态细粒度授权模块;二者相互合作,使应用系统在入口级别便对用户身份进行认证,使其以最小权限的原则获取相应的资源访问,保护系统的安全性。最后,本文以开发高校政务公开评价系统为背景,对本文提出的研究成果即基于J2EE轻量级框架的安全Web架构进行了具体实现及应用。重点介绍后台管理子系统中的数据库及静态业务对象的设计、安全控制模块（RBAC模块）及系统管理模块的实现。提出将资源概念引入传统RBAC模型中,实现一种基于数据库的动态细粒度RBAC控制。并在文章后面对实现效果进行了详细展示。

论文目录

• 摘要
• ABSTRACT
• 第一章 引言
• 1.1 研究背景
• 1.2 国内外技术现状
• 1.3 研究目标与意义
• 1.4 主要研究工作
• 1.5 论文的组织结构
• 第二章 Web 安全及传统 J2EE 体系结构分析
• 2.1 Web 安全威胁及对策
• 2.1.1 Web 安全威胁
• 2.1.2 Web 安全对策
• 2.2 访问控制安全策略
• 2.2.1 访问控制技术概念
• 2.2.2 访问控制粒度
• 2.2.3 基于角色访问控制模型
• 2.3 J2EE 体系结构
• 2.3.1 J2EE 体系结构的优势
• 2.3.2 J2EE 体系结构的缺陷
• 2.4 J2EE 安全访问控制机制
• 2.4.1 J2EE 安全角色
• 2.4.2 J2EE 安全基础设施
• 2.4.3 J2EE 认证
• 2.4.4 J2EE 授权
• 2.4.5 数据完整性与机密性的保证
• 2.4.6 Java 认证授权服务
• 2.4.7 J2EE 安全机制的缺陷
• 2.5 J2EE 发展趋势
• 2.6 小结
• 第三章 基于 J2EE 轻量级框架的安全 Web 架构设计
• 3.1 轻量级框架的概念
• 3.1.1 轻量级框架概念
• 3.1.2 轻量级框架关键因素
• 3.2 轻量级安全 Web 框架的设计目标
• 3.2.1 优化传统J2EE 框架
• 3.2.2 满足信息安全需求
• 3.2.3 支持动态细粒度RBAC 技术
• 3.2.4 支持单点登录统一身份认证
• 3.3 轻量级J2EE 安全架构设计
• 3.3.1 设计模式的确定
• 3.3.2 设计模式的实现
• 3.3.3 IoC 与AOP 的开源实现
• 3.3.4 数据持久化设计
• 3.3.5 Acegi 实现动态细粒度访问控制
• 3.3.6 单点登录统一身份认证的设计
• 3.4 扩展的RBAC 模型设计
• 3.5 轻量级安全 Web 框架的实现
• 3.5.1 整合Spring 与Struts
• 3.5.2 整合Spring 与Hibernate
• 3.5.3 集成CAS3.0 与Acegi
• 3.6 小结
• 第四章 安全 Web 架构的应用
• 4.1 系统描述
• 4.2 系统需求
• 4.2.1 安全需求分析及目标
• 4.2.2 开发环境需求
• 4.3 总体结构设计
• 4.4 总体功能设计
• 4.4.1 后台系统总体功能
• 4.4.2 系统管理用例
• 4.5 数据库结构设计
• 4.6 静态业务对象设计
• 4.7 系统管理模块实现
• 4.7.1 用户管理
• 4.7.2 日志管理
• 4.7.3 其他管理
• 4.8 安全控制实现
• 4.8.1 数据模型
• 4.8.2 统一身份认证的实现
• 4.8.3 授权的实现
• 4.8.4 权限控制的实现
• 4.9 其他关键技术的实现
• 4.9.1 Session 管理
• 4.9.2 缓存管理
• 4.9.3 通信安全的解决
• 4.10 运行效果及测试
• 4.11 小结
• 第五章 结论
• 5.1 工作内容总结
• 5.2 研究成果及意义
• 5.3 下一步工作
• 致谢
• 参考文献
• 附录
• 攻读硕士期间的成果