Web应用系统中身份认证与权限管理模块的分析与改进
摘要
随着网络的快速发展,部署在Web上的应用系统应用越来越广。Web应用系统大都采用B/S结构。认证和授权是实现系统安全的重要过程。为了保证用户安全放心的使用系统,为Web应用系统提供安全可靠的身份认证与授权管理服务显得尤为重要。
本文的项目背景是运营商增值业务管理平台,项目的目标是实现对管理平台的操作员管理、角色资源管理以及身份认证和权限判断。本文完成的工作如下:
1、介绍了Web应用系统的发展,B/S体系结构的特点,以及Web本身的特点给认证授权带来的要求和局限。本文还分析了加密算法、经典的认证技术和授权模型,为项目提供理论基础。项目的开发环境是.Net,所以本文也对.Net框架做了一些介绍。
2、分析了系统的需求,包括功能需求和性能需求;分析了认证授权模块的工作流程和模块结构,确定需要修改的点以及需要由其他门户提供的交互接口;对系统重构,修改完善模块、实现门户间的交互接口,给出了系统最终的实现效果。
3、针对模块的不足和缺点,结合各种技术和软件工程的特点,设计了新的认证方式和授权模型。认证方面,设计了基于.Net Forms身份验证方式的认证模型,并使其与现有系统很好的融合在一起;授权方面,设计了更细化的角色模型,修改了授权和判断权限的方式。
本文最终完成了对认证授权模块的分析和改进,使之能够与平台融合,实现认证授权等功能。
With the rapid development of network, systems based on web are also getting more and more popular. Most of the systems which establish on web use B/S architecture. Authentication and Authorization are two important way leading to accomplish a security system.
The project motioned in this paper is a value-add management system. There already had an AA model, but not fitful for this project. So the aim of developer is to analyze and modify the existing model, make it can be used in the project. Works completed are blow:
1、Introduces the development of web application system, the features of B/S architecture, and limits in authenticate and authorization procedure which appear because of the web. The paper also analyze many kind of encrypt algorithm, typical authenticate technology and authorization models. The project's development environment is .net, so the overview of .net framework is also included in this paper.
2、Introduce the requirement of the system which contains two parts: function and performance; analyze the AA model's architecture and the flows of authenticate, make sure what will be modify and what will be added; Describes the design and realization process.
3、Give a new model of authenticate which bases on .net architecture, also a more hierarchy RABC model designed by the author.
Finally, the page accomplish the analyze of AA model and also modify of it, make it can provide authenticate and authorization service.
本文的项目背景是运营商增值业务管理平台,项目的目标是实现对管理平台的操作员管理、角色资源管理以及身份认证和权限判断。本文完成的工作如下:
1、介绍了Web应用系统的发展,B/S体系结构的特点,以及Web本身的特点给认证授权带来的要求和局限。本文还分析了加密算法、经典的认证技术和授权模型,为项目提供理论基础。项目的开发环境是.Net,所以本文也对.Net框架做了一些介绍。
2、分析了系统的需求,包括功能需求和性能需求;分析了认证授权模块的工作流程和模块结构,确定需要修改的点以及需要由其他门户提供的交互接口;对系统重构,修改完善模块、实现门户间的交互接口,给出了系统最终的实现效果。
3、针对模块的不足和缺点,结合各种技术和软件工程的特点,设计了新的认证方式和授权模型。认证方面,设计了基于.Net Forms身份验证方式的认证模型,并使其与现有系统很好的融合在一起;授权方面,设计了更细化的角色模型,修改了授权和判断权限的方式。
本文最终完成了对认证授权模块的分析和改进,使之能够与平台融合,实现认证授权等功能。
With the rapid development of network, systems based on web are also getting more and more popular. Most of the systems which establish on web use B/S architecture. Authentication and Authorization are two important way leading to accomplish a security system.
The project motioned in this paper is a value-add management system. There already had an AA model, but not fitful for this project. So the aim of developer is to analyze and modify the existing model, make it can be used in the project. Works completed are blow:
1、Introduces the development of web application system, the features of B/S architecture, and limits in authenticate and authorization procedure which appear because of the web. The paper also analyze many kind of encrypt algorithm, typical authenticate technology and authorization models. The project's development environment is .net, so the overview of .net framework is also included in this paper.
2、Introduce the requirement of the system which contains two parts: function and performance; analyze the AA model's architecture and the flows of authenticate, make sure what will be modify and what will be added; Describes the design and realization process.
3、Give a new model of authenticate which bases on .net architecture, also a more hierarchy RABC model designed by the author.
Finally, the page accomplish the analyze of AA model and also modify of it, make it can provide authenticate and authorization service.
引文
[1]张丽,赵洋计算机与现代化141期2007
[2]李中献,詹榜华,杨义先认证理论与技术的发展1期1999
[3]胡志远 口令破解与加密技术 机械工业出版社2003
[4]Christopher Steel,Ramesh Nagappan安全模式-J2EE、Web服务与身份管理最佳实践与策略机械工业出版社2006
[5]李伟清,李海颖一种收*发双方不可否认的数字签名方案 邢台学院学报18期2003
[6]马亚娜WEB环境下的认证技术研究[博士学位论文]南京理工大学2003
[7]张玉清,陈建奇 公钥基础设施(PKI)实现和管理电子安全 清华大学出版社2002
[8]张卫丰,徐宝文,徐蕾Web页面安全性技术初探计算机工程与应用 61期2000
[9]张毅 基于SSL的身份认证和访问控制实现原理 商场现代化496期2007
[10]程宏斌,孙霞 单点登录技术研究 计算机时代5期2004
[11]马亚娜,钱焕延,孙亚民Cookie在web认证中的应用研究 小型微型计算机系统83期2004
[12]俞诗鹏 基于角色访问控制的理论与应用研究 北京大学出版社2003
[13]周小为,何斌.基于角色的授权与访问控制的研究.计算机科学与技术53期200408
[14][美]David Chappell.NET大局观 华中科技大学出版社2003
[15][美]Kevin Hoffman,Jfee Gabriel等.NET Framework高级编程 清华大学出版社2002
[16][美]Stephen Walther ASP.NET技术内幕 机械工业出版设2002
[17][美]Richard Anderson,Brian Francis ASP.NET高级编程 清华大学出版社2002
[18]Russ gasiura,Richard Conway等ASP.NET安全性高级编程2003
[19]肖亮 基于ASP.NET的网络用户身份认证研究[硕士学位论文]昆明理工大学2004
[2]李中献,詹榜华,杨义先认证理论与技术的发展1期1999
[3]胡志远 口令破解与加密技术 机械工业出版社2003
[4]Christopher Steel,Ramesh Nagappan安全模式-J2EE、Web服务与身份管理最佳实践与策略机械工业出版社2006
[5]李伟清,李海颖一种收*发双方不可否认的数字签名方案 邢台学院学报18期2003
[6]马亚娜WEB环境下的认证技术研究[博士学位论文]南京理工大学2003
[7]张玉清,陈建奇 公钥基础设施(PKI)实现和管理电子安全 清华大学出版社2002
[8]张卫丰,徐宝文,徐蕾Web页面安全性技术初探计算机工程与应用 61期2000
[9]张毅 基于SSL的身份认证和访问控制实现原理 商场现代化496期2007
[10]程宏斌,孙霞 单点登录技术研究 计算机时代5期2004
[11]马亚娜,钱焕延,孙亚民Cookie在web认证中的应用研究 小型微型计算机系统83期2004
[12]俞诗鹏 基于角色访问控制的理论与应用研究 北京大学出版社2003
[13]周小为,何斌.基于角色的授权与访问控制的研究.计算机科学与技术53期200408
[14][美]David Chappell.NET大局观 华中科技大学出版社2003
[15][美]Kevin Hoffman,Jfee Gabriel等.NET Framework高级编程 清华大学出版社2002
[16][美]Stephen Walther ASP.NET技术内幕 机械工业出版设2002
[17][美]Richard Anderson,Brian Francis ASP.NET高级编程 清华大学出版社2002
[18]Russ gasiura,Richard Conway等ASP.NET安全性高级编程2003
[19]肖亮 基于ASP.NET的网络用户身份认证研究[硕士学位论文]昆明理工大学2004