叶志鹏，何成万，张峥峰

武汉工程大学计算机科学与工程学院，湖北 武汉 430205

伴随“互联网+”时代的到来，互联网、网站与网络应用程序受欢迎程度日渐增高，在人们的日常生活中扮演了越来越重要的角色。Web应用程序［1］涉猎领域广泛，如商业合同、财务通知、医疗信息、教育或个人目的。身份验证是任何应用程序中关键及重要组成部分，但即使是可靠的身份验证机制也会被错误的管理功能所破坏，包括密码重置、忘记密码、记住密码、帐户更新和其他相关功能。Web应用程序中失效的身份验证和会话管理包括处理用户认证和管理活动会话的所有特性。

模块化编程［2］和面向方面编程是软件工程中用于帮助应用程序设计的两种方法［3］，其中面向方面编程（Aspect Oriented Programming，AOP）［4］作为一种改进软件系统中关注点分离问题的方法在1997年首次提出，AOP提供了特定语言机制，能够在不改变业务逻辑的情况下，通过在编译或运行期间向复杂软件系统增加横切关注点（crosscut⁃ting）功能，使得以模块化方式解决诸如代码分散与缠绕之类的问题成为可能。安全性问题通常分散于各业务逻辑模块，是Web应用程序中重要的横切关注点。面向方面编程语言如AspectJ，提供了新的机制和可能性，将系统分解为模块并将模块重新组合至系统，从而充分利用了新型软件开发方法的优势，使得软件系统中安全问题得以解决。文献［5］通过实验验证了运行时改变安全策略的优点。本文基于AOP实现了Web应用程序安全会话机制的应用程序接口（API），并采用AspectJ作为安全方面的实现语言用于开发原型系统以验证实验结果。……