访问控制课程设计讲述.doc

第 1 章 简介 1.1 研究背景与意义 近年来，随着企业信息系统的广泛使用，信息技术成为知识经济的基础，企业的发展中起着不可替代的作用。信息技术在企业中的运用，高了企业效率，改变了传统的商业模式，使得信息和服务得到了极大的共享。但与此同时，系统安全问题也逐渐受到越来越多的关注。对信息资源的访问控制和用户权限的管理成为了企业确保系统安全的重要工作。 在信息安全体系结构中，访问控制技术(Access control technology)是解决安全问题的一个关键。目前我国的大部分企业均采用传统的访问控制技术，包括自主访问控制(DAC)和强制访问控制(MAC)，但它们都存在着一些弊端。 本文以基于角色的访问控制技术(RBAC)为理论基础，针对企业展开了实践探讨，并通过分析系统功能需求，设计并实现了一个访问控制系统。基于角色的访问控制的核心思想是：将访问权限与角色相联系，而用户的授权则通过赋予相应的角色来完成，用户所能访问的权限就由该用户所拥有的所有角色的权限集合的并集决定。 本文以大量的用例图和逻辑等视图分析了系统的设计框架，设计并实现用户登录模块、数据库模块、流程权限配置模块等。该系统可以应用于大型企业的信息系统，具有很好的通用性、可扩展性和可移植性。 1.2 开发和运行环境介绍 本次课设利用 JSP 去呈现一个访问控制系统。管理员在网页中登录，用到的主要技术如下： 1.2.1 MyEclipse MyEclipse 是一个十分优秀的用于开发 Java, J2EE 的 Eclipse 插件集合，MyEclipse 的功能非常强大，支持也十分广泛，尤其是对各种开源产品的支持十分不错。MyEclipse 目前支持JavaServlet，AJAX，JSP，JSF，Struts，Spring， Hibernate，EJB3，JDBC 数据库链接工具等多项功能。可以说 MyEclipse 是几乎 囊括了目前所有主流开源产品的专属eclipse 开发工具。 1.2.2 Tomcat 6.0 Tomcat 服务器是一个免费的开放源代码的 Web 应用服务器，属于轻量级应用服 务器，在中小型系统和并发访问用户不是很多的场合下被普遍使用，是开发和调试 JSP 程序的首选。 1.2.3 jdk jdk 是 Java 语言的软件开发工具包，主要用于移动设备、嵌入式设备上的 java 应用程序。 1.2.4 Mysql MySQL 是一个关系型数据库管理系统，由瑞典MySQL AB 公司开发，目前属于Oracle 公司。MySQL是最流行的关系型数据库管理系统，在WEB应用方面MySQL是最好的 RDBMS(Relational Database Management System：关系数据库管理系统)应用软件之一。MySQL 是一种关联数据库管理系统，关联数据库将数据保存在不同的表中，而不是将所有数据放在一个大仓库内，这样就增加了速度并高了灵活性。MySQL 所使用的 SQL 语言是用于访问数据库的最常用标准化语言。MySQL 软件采用了双授权政策（本词条 “授权政策”），它分为社区版和商业版，由于其体积小、速度快、总体拥有成本低，尤其是开放源码这一特点，一般中小型网站的开发都选择 MySQL 作为网站数据库。由于其社区版的性能卓越，搭配PHP 和 Apache 可组成良好的开发环境。  第 2 章 基于角色的访问控制 2.1 访问控制基础 访问控制的定义是：“为电脑系统所属资源在遭受未经授权的操作威胁时，供适当的控制以及防护措施，以保护信息的机密性和完整性。”其中，未经授权的操作包括：未经授权的使用、信息的泄露、未经允许的修改、恶意的破坏以及拒绝服务五部分。“访问”的本质是主体对客体实行某种操作。同时通过引用监视器来控制访问。访问控制系统一般包括：主体、客体、安全访问策略。这是访问控制的三要素。在信息系统中，主体是发出访问操作、存取要求的发起者；客体是系统中被处理、被控制或被访问的对象；安全访问策略是一套规则，用以确定一个主体是否对客体拥有访问权限。三要素的具体内容见表1。 2.2 RBAC 模型的基本概念 随着计算机信息系统在非军用领域得到更为广泛的应用，传统的自主访问控制技术和强制访问控制技术已经不能满足现代信息系统安全的需求。在这种情况下，出现了基于角色的访问控制模型。 基于角色的访问控制策略在用户(user)和访问权限(permission)之间引入了角色(role) 的概念，用户与特定的一个或多个角色相联系，角色与一个或多个访问权限相联系，角色在用户与权限之间起了一个桥梁的作用。在实际的工作中，角色可以生成或取消，它的权限也可以根据实际工作需要进行修改。基于角色的权限管理模式适用于用户较多且有着不同权限层次的系