刘景林

(泉州经贸职业技术学院信息技术系， 福建 泉州 362000)

0 引 言

随着Java技术应用的不断普及，J2EE已日渐成为企业级软件开发的首选平台，基于J2EE架构的Web系统广泛应用于电子政务、电子商务及网上银行等其他安全性要求较高的领域，但由于Internet中存在诸多不安全因素，对于在实现网上业务的同时，如何提高系统用户认证和数据传输等方面的安全问题，已成为系统开发人员关注的重点，关于J2EE架构安全方面的研究也在不断地深入.JAAS技术作为Java2安全体系结构的一个重要组成部分，其主要功能是实现用户认证与访问控制.JAAS认证是建立在可插入的认证模块PAM(Pluggable Authentication Module)的安全体系结构之上的[1]，PAM是模块化的，可以集成多种认证技术,这可使J2EE应用系统独立于底层的认证技术，方便其灵活地选择与修改所使用的认证技术，也可以实现多种认证机制的堆叠认证，该认证技术提供了一种实现J2EE Web系统安全认证的解决方案.

1 JAAS安全认证机制

1.1 JAAS概述

JAAS(Java Authentication and Authorization Service)是J2EE架构的验证与授权框架，它提供了灵活、可伸缩的实体认证与访问控制的安全机制，解决了安全管理系统中的认证与授权问题.JAAS侧重于通过验证运行代码的用户及其权限来保护系统免受攻击，通过在应用程序和底层的验证与授权机制之间加入一个抽象层，该抽象层具有独立于平台的特性，使得各种不同的安全机制和应用程序级代码隔离，从而支持多种不同的安全认证方式[2].JAAS技术可以实现应用程序独立于底层……