同济大学软件学院 张 毅

Web应用系统访问控制研究与实现

同济大学软件学院 张 毅

本文首先分析了几种主流的访问控制模型，并重点研究了基于角色的模型，然后研究了Spring Security安全框架，并应用于智慧城市kpi系统，结果表明该模型与实现方法使访问控制模块与系统业务模块的耦合度低，提高了系统开发效率和安全性。

Web安全；访问控制；RBAC；Spring Security

1 概述

随着互联网的广泛普及，政府、企业、医疗机构等纷纷开始使用信息化系统来解决繁琐但重要的业务工作。在这些Web应用系统日趋广泛的同时，面临的安全问题也日益增多。而其中，访问控制是安全问题的核心。

本文将对在企业级Web应用系统中使用最普遍的访问控制模型，即基于角色的访问控制模型，进行重点研究，并使用Spring Security设计实现，将其与业务逻辑解耦，以提高系统的开发效率和安全性。

2 访问控制技术

访问控制是一种安全机制，它通过某种指定的方式，限制主体对客体的访问权限[1]，是web应用系统信息安全的核心技术之一。它的功能主要有以下三点：①防止非法的主体进入受保护的网络资源；②允许合法用户访问受保护的网络资源；③防止合法的用户对受保护的网络资源进行非授权的访问。

一般来说，Web系统若应用了访问控制技术，它将包括3个核心对象集[2]：①主体（Subject）：请求访问系统资源的活动执行者（如Web用户）；②客体（Object）：被访问的资源或服务（如数据库信息）；③访问控制策略（Policy）：用来判定主体是否对客体拥有读、写、执行等某些操作权的规则。……