基于角色的訪問控制在J2EE中的研究及擴展.pdf

1、訪問控制是信息安全的重要課題之一。在企業(yè)級開發(fā)中，最為普遍采用的訪問控制機制是基于角色的訪問控制（Role Based Access Control），簡稱RBAC。標準的RBAC包括核心RBAC、繼承性關系和職責分離關系等。目前最為廣泛使用的企業(yè)開發(fā)平臺是J2EE，其訪問控制機制主要也是基于角色的。但J2EE的角色機制與標準RBAC有很大的不同，也存在一些缺陷。比如，J2EE的角色僅僅是一組權限聲明的集合，并且不具有繼承關系、約束關系

2、，也不能在運行時對角色和權限進行動態(tài)管理。 本文在對RBAC和J2EE訪問控制機制研究的基礎上，詳細分析比較了J2EE角色機制與標準RBAC的差異，歸納出了J2EE訪問控制中角色等機制的不足。針對這些不足，本文設計了一套適用于J2EE環(huán)境的擴展標準RBAC模型，并實現(xiàn)了一套完全基于J2EE標準技術的RBAC擴展系統(tǒng)JERS（J2EE Extended RBAC System）。該系統(tǒng)采用了JACC（Java Authentica