輕量級安全Web架構(gòu)的研究與應(yīng)用.pdf

1、隨著Web信息技術(shù)的迅速發(fā)展及廣泛應(yīng)用，高校信息化建設(shè)有了很大的發(fā)展，J2EE平臺支持簡化的、基于組件開發(fā)模型，開發(fā)效率高、重用性好，并且具有良好的跨平臺性和可移植性，成為實施高校信息化建設(shè)的重要方式之一。傳統(tǒng)的J2EE架構(gòu)的業(yè)務(wù)邏輯層解決方案EJB是一個重量級組件，EJB對Web服務(wù)器和服務(wù)器硬件要求都比較高，同時有一套嚴(yán)格而復(fù)雜的規(guī)范，業(yè)務(wù)移植困難，學(xué)習(xí)成本高，對于注重開發(fā)速率的中小型企業(yè)不適合。故而需要一種可快速開發(fā)、移植性好的輕

2、量級架構(gòu)。本文通過整合Struts、Spring和iBATIS框架，構(gòu)建一個輕量級架構(gòu)。
　　另外，Web信息系統(tǒng)的安全問題也引起人們越來越多的關(guān)注，在信息系統(tǒng)的安全訪問控制中，身份認(rèn)證和訪問控制起著核心作用。目前大多Web系統(tǒng)采用MD5算法加密用戶口令的方式，MD5算法的單向性及不可逆性大大增強(qiáng)了認(rèn)證層次的安全性，但是針對MD5算法的破解方法層出不窮，尤其是現(xiàn)在普遍應(yīng)用的字典查詢法，具有很高的命中率。本文通過對MD5算法加密用戶

3、口令的方法變換改進(jìn)，防止被窮舉攻破，進(jìn)一步增強(qiáng)認(rèn)證的安全性。
　　訪問控制方面，現(xiàn)在普遍采用基于角色訪問控制技術(shù)(RBAC)，RBAC通過在用戶和權(quán)限之間引入角色的概念，使得授權(quán)管理簡單、有效，但對于一些高安全性的應(yīng)用，或者有時間性要求的業(yè)務(wù)需求，則不能滿足。本文通過將RBAC模型和BLP模型相結(jié)合，引入可信主體和安全級別的概念，由可信主體為主客體定義安全級別，訪問控制管理除了滿足用戶的角色權(quán)限要求，還需要滿足安全級別限制，使得對