王龙军

(成都工业学院，四川 成都 611730)

1.引言

访问控制是通过某种途径显示的准许或限制访问能力及范围，从而限制对目标资源的访问，防止非法用户的侵入或合法用户的不慎操作所造成的破坏。目前流行的访问控制模型有自主访问控制模型 (Discretionary Access Control，DAC)、强制访问控制模型(Mandatory Access Control，MAC)和基于角色的访问控制模型 (Role-Based Access Control，RBAC)。

其中基于角色的访问控制方法是目前公认的解决大型企业的统一资源访问控制的有效方法。其显著的两大特征是：（1）减小授权管理的复杂性，降低管理开销；（2）灵活地支持企业的安全策略，并对企业的变化有很大的伸缩性。

本文结合高校图书馆门户系统的现状，采用当前流行的基于角色的访问管理模型，设计和实现了满足图书馆门户系统中管理后台资源的权限管理系统，达到减轻系统管理员工作强度、降低授权管理的出错几率、提高系统安全性的目的。

2.基于角色的访问控制模型的基本思想

系统管理员可以根据职能或机构的需求策略来创建角色、给角色分配权限，并给用户分配角色，用户能够访问的权限由该用户拥有的角色权限集合决定，即把整个访问控制过程分成2步：访问权限与角色相关联，角色再与用户关联，从而实现用户与访问权限的逻辑分离。

3.基于角色的权限管理系统的实现

本系统采用B/S模型结构设计，以ASP.NET作为开发Web的语言，数据库采用SQL Server 2000，其中数据库为libdb，用户数据表为users，开发平台采用VS2005。本系统采用URL授权来授予角色对目录的访问权限，将同一角色所访问资源的权限存放在同一个文件夹下，然后将文件夹的访问权限分配给相应的角色，只有具有授权角色的用户才能访问该文件夹，从而防止非授权角色的用户访问指定的目录。……