ｆｉｎａｎｃｉａｌｂｕｒｄｅｎ．【关键词】ＬｉｇｈｔＷｅｉｇｈＪ２ＥＥ，ＳｅｃｕｒｉｔｙＡｕｔｈｏｒｉｚａｔｉｏｎ，ＲＢＡＣ，ＰＩｕｇａｎｄＰＩａｙ【论文类型】ＢａｓｉｃｆｏｒＡｐｐＩｉｃａｔｉｏｎ学位论文独创性声明本人所呈交的学位论文是我在导师的指导下进行的研究工作及取得的研究成果。
据我所知，除文中已经注明引用的内容外，本论文不包含其他个人已经发表或撰写过的研究成果。
对本文的研究做出重要贡献的个人和集体，均已在文中作了明确说明并表示谢意。
作者签名：ｉ量逊丝日期：丝２仝：！！：！皇学位论文使用授权声明本人完全了解华东师范大学有关保留、使用学位论文的规定，学校有权保留学位论文并向国家主管部门或其指定机构送交论文的电子Ｊ议和纸质版。
有权将学位论文用于非赢利目的的少量复制并允许论文进入学校图书馆被查阅。
有权将学位论文的内容编入有关数据库进行检索。
有权将学位论文的标题和摘要汇编出版。
保密的学位论文在解密后适用本规定。
学位论文作者签名：高琳红～Ｑ托¨乃√ｔ畚眵绝．●＿氰一签扎蜊懒锄日基于轻量级Ｊ２ＥＥ的可插拔安全授权系统第ｌ章绪论如今构建在Ｉｎｔｅｍｅｔ之上的应用程序，被发现的安全漏洞越来越多并被不法分子利用，应用安全问题越来越成为应用系统中首要解决的问题，如何达到应用安全的目标或者说是如何构建安全的应用程序，逐渐成为了应用程序开发者所关注的焦点问题。
现有的许多应用系统如企业的ＯＡ系统、电子政务系统采用了Ｊ２ＥＥ架构及相应的安全措施来保证应用的安全，虽然这是一种很好的解决方案，但是对于中小企业和贫困地区的政府而言，基于Ｊ２ＥＥ架构的系统开发和维护成本都太高。
目前国外轻量级的Ｊ２ＥＥ解决方案已经相当成熟，如Ｓｔｒｕｔｓ２、Ｓｐｒｉｎ９２和Ｈｉｂｅｒｎａｔｅ３。
Ｓｔｒｕｔｓ２、Ｓｐｒｉｎ９２７ｆ１〕Ｈｉｂｅｒｎａｔｅ３是当前比较流行的开源的轻量级Ｉ拘Ｊ２ＥＥ框架。
因此，本文使用基于Ｓｔｒｕｔｓ２、Ｓｐｒｉｎ９２和Ｈｉｂｅｒｎａｔｅ３相结合的轻量级Ｊ２ＥＥ框架，以及改进的ＲＢＡＣ机制等来构建一个企业级的可插拔的Ｗｅｂ安全授权系统，并给出一个参考的实现。
可插拔的意思是授权与具体业务逻辑无关，开发人员在开发业务模块的时候，完全不用考虑对其使用者的访问控制等安全问题，使得开发人员能够从繁琐的安全代码中解脱出来。
这种安全的授权系统不仅可以使新系统的开发者将更多的精力用于系统的功能性和用户体验方面，而且可以很方便地与现有的系统进行集成，增强原有系统的安全性。
１．１国内外发展现状目前轻量级Ｊ２ＥＥ技术已经相当成熟，而且是开源的，已经有很多基于这些技术的应用系统，可以深入地进行研究，技术风险小。
ＲＢＡＣ访问控制机制经过多年的发展也日臻完善，同时也有不少优秀的授权系统案例可供参考。
１．视图层框架视图层框架也称为表示层框架，主要解决系统与用户的交互。
视图层中被广泛使用和认可的设计模式是ＭＶＣ（ＭｏｄｅｌＶｉｅｗＣｏｎｔｒｏｌｌｅｒ）。
目前程序界使用的较多的视图层框架有Ｓｍｕｍｌ、Ｓｔｒｕｔｓ２、Ｗｅｂｗｏｒｋ、ＪＳＦ、ａｐｅｓｔｒｙ、ＭｙＦａｃｅｓ、Ｔｕｒｂｉｎｅ、ＳｉｔｅＭｅｓｈＡｐｐＦｕｓｅ等数十种框架Ⅲ。
本文采用的视图层框架是Ｓｔｒｕｔｓ２，它是Ｓｔｍｔｓｌ和ｗｅｂｗｏｒｋ的升级，吸取了Ｓｔｒｕｔｓｌ和ｗｅｂｗｏｒｋ的众多优点。
２．数据访问层框架当前数据库产品的市场仍然被关系型数据库所垄断，应用程序对关系型数据ｌ基于轻量级Ｊ２ＥＥ的可插拔安全授权系统库的操作必须通过嵌入式的ｓｑｌ语句。
对于大型的应用系统，数据库表非常之多，各个表之间的关联关系错综复杂。
通过程序开发人员写ｓｑｌ语句来操作数据库中的表，不仅费时费力、而且效率不高、开发过程中容易出错，纠正错误和维护系统的代价很高。
在面向对象的程序设计中，对象的操作非常方便，因此一种被称之为对象关系映射（ＯｂｊｅｃｔＲｅｌａｔｉｏｎＭａｐｐｉｎｇ，简称ＯＲＭ）的技术就发展起来了，它可以使程序开发人员像在面向对象的语言中操作对象一样操作数据库中的表，不需要编写复杂的ＳＱＬ语句。
目前主流的持久层框架有Ｈｉｂｅｒｎａｔｅ和ＩＢａｔｉｓ等。
本文采用Ｈｉｂｅｒｎａｔｅ框架，它对ＪＤＢＣ进行了对象化的封装，隐藏了不同类型的关系数据库中底层ＳＱＬ的差异，是Ｊａｖａ社区中最流行的ＯＲＭ框架之一，Ｅ旧３规范中也借鉴了它的相关思想。
。
３．数据库层目前市场上主流的关系数据库系统有Ｏｒａｃｌｅ、ＤＢ２、Ｓｙｂａｓｅ、ＳＱＬＳｅｒｖｅｒ、Ｉｎｆｏｒｍｉｘ等大型商业数据库系统，还有一些开源数据库系统如：ＭｙＳＱＬ、ＰｏｓｔｇｒｅＳＱＬ、Ｆｉｒｅｂｉｒｄ、ＢｅｒｋｅｌｅｙＤＢ、ｍＳＱＬｊｇｌＳＱＬｉｔｅ等让１。
在本文中我们使用ＭｙＳＱＬ数据库，它支持多线程、多处理器，可以工作在不同的平台上。
支持Ｃ、Ｃ＋＋、Ｊａｖａ、Ｐｅｒｌ、ＰＨＰ、Ｐｙｔｈｏｎ和ＴＣＬＡＰＩ。
４．服务层框架服务层框架为业务对象提供生命周期管理、事务管理等。
目前较为成熟的此类框架有Ｓｐｒｉｎｇ、ＨｉｖｅＭｉｎｄ、ＰｉｃｏＣｏｎｔａｉｎｅｒ以及〔〕内自主研发的ＪｄｏｎＦｒａｍｅｗｏｒｋｔ”。
Ｓｐｒｉｎｇ提供了强大的ＩＯＣ和ＡＯＰ功能，是本文所使用的服务层框架。
５．安全框架安全框架做为一个独立的可插拔组件给Ｗｅｂ应用系统提供安全认证、权限授予等安全服务，使开发者专注于业务功能需求和用户体验。
目前流行的安全框架有：ｓｐｒｉｎｇＳｅｃｕｒｉｔｙ、Ｓｅｒａｐｈ、ＹａｌｅＣＡＳ、Ｇａｂｒｉｅｌ、ＪＯＳＳＯ、ＳｏｕｒｃｅｌＤ、Ｋａｓａｊ、ｊＰＡＭ、ＯｐｅｎＳＡＭＬ等‘４１。
本文中使用ＳｐｒｉｎｇＳｅｃｕｒｉｔｙ安全框架，它通过Ｓｐ咖ｇ的１０Ｃ和ＡＯＰ功能给Ｗｅｂ应用提供企业级的安全服务，其插件式的架构能方便地与多种Ｗｅｂ容器进行无缝集成，并能整合业界各种著名的ＳＳＯ产品和解决方案‘５１。
１．２研究背景与意义如今应用程序的安全漏洞越来越多地被不法分子利用，安全问题越来越成为２基于轻量级Ｊ２ＥＥ的可插拔安全授权系统应用系统中首要解决的问题，如何达到应用安全的目标或者说如何构建安全的应用程序，逐渐成为了应用程序开发者所关注的焦点问题。
然而，安全问题是一个不断变化的目标，如何适应这种不断变化的目标，作为开发者应寻求一种全面的、系统化的解决方案。
采取“分层安全”的原则是一种不错的选择，每一层都尽可能确保自身的安全，并为其他层提供额外的安全保障。
在底层，通过处理传输安全和系统认证，可以减少“中间人攻击一。
通过使用防火墙，结合ＶＰＮ或ＩＰＳｅｃ等技术可以确保只有获得授权的系统才能尝试连接。
在企业环境中部署一个ＤＭＺ，可以将面向公众的服务器与后端数据库、应用服务器隔离开。
可以使用入侵检测系统防止拒绝服务攻击和暴力攻击。
在更高层上，可以通过配置Ｊａｖａ虚拟机，使不同Ｊａｖａ类型的权限最小化，然后在应用程序中添加针对特定问题域的安全配置。
然而应用程序本身的安全如何保证呢？本文的目标就是围绕这个主题构建一个基于轻量级Ｊ２ＥＥ的可插拔安全授权系统，使应用程序安全变得更容易。
现有的许多应用系统如企业的ＯＡ系统、电子政务系统采用了Ｊ２ＥＥ架构及相应的安全措施来保证应
上一篇：
中小型印刷企业ERP的设计、开发和应用
下一篇：
4种小菜缓解孕妈咪不适
2013-10-18
