基于Web應用的用戶驗證與授權在ERP中的研究與實現(xiàn).pdf

1、目前基于Web應用的ERP系統(tǒng)已經(jīng)成為主流，在構建系統(tǒng)時，安全問題是每個架構師必須考慮的問題。Web應用的安全性主要有兩個組成部分：驗證和授權。不同的用戶對不同的資源擁有不同的訪問權限，如何對眾多的用戶進行驗證和授權是成功構建系統(tǒng)的一個關鍵。 基于Web應用的ERP系統(tǒng)中，由于系統(tǒng)的開放性，為了防止用戶的誤操作或惡意越權行為，必須對登錄系統(tǒng)的用戶進行驗證和授權。因為在Web應用中，所有的資源都是在瀏覽器中以URL的形式呈現(xiàn)給用戶

2、。用戶在登錄系統(tǒng)時有可能饒過登錄頁面而直接進入一個他沒有權限訪問的頁面；或者在登錄系統(tǒng)后無意或有意的在瀏覽器地址欄中輸入他沒權訪問的地址；另外隨著企業(yè)的發(fā)展和業(yè)務的需要或者由于用戶需求的變化，必將引進新的驗證授權機制，系統(tǒng)管理員必須保證在不影響已有安全機制的前提下，加入新的安全機制，最大程度地利用現(xiàn)有資源和遺留系統(tǒng)。 本文正是針對上述問題，研究了在J2EE平臺下利用Web容器內在的安全機制和JAAS框架如何對用戶進行驗證和授權。

3、具體研究了J2EE Web容器提供的三種驗證機制：基本的、基于表單的、交互式身份驗證，并分析了他們的優(yōu)缺點；詳細介紹了如何通過部署描述符對Web資源進行保護和限制；通過深入研究JAAS框架提供的驗證和授權機制，描述了JAAS驗證和授權的詳細流程。 在某油田公司的ERP系統(tǒng)中，公司要求登錄系統(tǒng)的用戶為數(shù)據(jù)庫中的真實用戶，以便記錄用戶的操作日志。實際開發(fā)時，選用了BES作為應用服務器，利用它提供的Login Module與J2EE

4、Web容器內在的安全機制，采用基于表單的驗證方式并協(xié)同Oracle的數(shù)據(jù)庫驗證，實現(xiàn)了對ERP系統(tǒng)內部用戶的驗證和授權。把用戶能訪問到的資源控制到了頁面級，避免了用戶通過瀏覽器的地址欄進行越權訪問。將開發(fā)階段需要考慮的安全問題轉移到部署階段，實現(xiàn)了應用邏輯與安全邏輯的徹底分離。結果表明，使用JAAS框架提供的Login Module可以提高整個系統(tǒng)的開發(fā)效率，降低開發(fā)成本。而Web容器提供的驗證與授權可以很好的和數(shù)據(jù)庫安全域相結合。對大