刘景林

（泉州经贸职业技术学院 信息技术系，福建 泉州 362000）

基于JAAS安全机制的J2EE Web系统用户身份认证设计

刘景林

（泉州经贸职业技术学院 信息技术系，福建 泉州 362000）

在J2EE Web系统中应用JAAS技术提供的动态、可插拔认证模型实现用户身份的安全认证.通过X.509数字证书和用户口令进行双重堆叠认证，在Tomcat服务器上配置实现服务器与客户端之间的SSL双向认证，并通过建立HTTPS连接以保护数据的安全传输，进一步提高系统用户认证的安全性.

JAAS安全机制；J2EE应用系统；身份认证；数字证书

随着Java技术应用的不断普及，J2EE(Java 2 Platform Enterprise Edition)已日渐成为企业级软件开发的首选平台，基于J2EE架构的Web系统广泛应用于电子政务、电子商务及网上银行等安全性要求较高的领域，但由于互联网中存在诸多不安全因素，如何在实现网上业务的同时提高系统用户认证和数据传输等方面的安全，已成为系统开发人员关注的重点.JAAS(Java Authentication and Authorization Service)技术作为Java2安全体系结构的一个重要组成部分，其主要功能是实现用户认证与访问控制.JAAS侧重于通过验证运行代码的用户及其权限来保护系统免受攻击，通过在应用程序和底层的验证与授权机制之间加入一个抽象层，该抽象层可以简化涉及到 Java.Security包的程序开发，由于抽象层具有独立于平台的特性，使得各种不同的安全机制和应用程序级代码隔离，从而支持多种不同的安全认证方式[1-4].JAAS认证建立在可插入的认证模块（Pluggable Authentication Module，PAM）的安全体系结构之上[5]，这可使J2EE应用系统独立于底层的……