基于RBAC訪問控制策略通用基礎(chǔ)架構(gòu)的設(shè)計與實現(xiàn)

張曉寧

摘要

設(shè)計并實現(xiàn)了一種基于RBAC訪問控制策略的通用基礎(chǔ)架構(gòu)和三層安全認證體系。闡述了基于角色的訪問控制RBAC模型的設(shè)計思想和Strutsl的基本架構(gòu)體系，通過幾個重要的概念、系統(tǒng)訪問控制架構(gòu)以及訪問控制的核心數(shù)據(jù)庫模型完整的展現(xiàn)了系統(tǒng)的設(shè)計理念，給出了系統(tǒng)實現(xiàn)的核心實現(xiàn)代碼和功能圖。

【關(guān)鍵詞】Strtusl 角色 三層訪問控 制RBAC模型 UI

訪問控制是管理信息系統(tǒng)中代碼重用性最高的模塊之一，任何多用戶的系統(tǒng)都離不開對系統(tǒng)訪問控制的需求，都需要解決實體鑒別、數(shù)據(jù)保密性、數(shù)據(jù)完整性等訪問控制安全服務(wù)。目前，大部分管理信息系統(tǒng)都是使用基于角色的訪問控制RBAC（Role-Based policies AccessControl），這種策略在一定程度上實現(xiàn)了對系統(tǒng)資源的訪問控制，但存在兩點不足：

（1）控制粒度較大，不能控制用戶在權(quán)限范圍內(nèi)的原子操作，

（2）沒有將與資源控制密切相關(guān)的組織架構(gòu)、角色等融入到策略中。

將組織架構(gòu)、角色等基本元素插接的到業(yè)務(wù)邏輯中不但能夠有效減少控制代碼，在業(yè)務(wù)邏輯訪問控制發(fā)生變化時，用戶只需修改配置，具有很高靈活性。本文設(shè)計并實現(xiàn)了一種基于RBAC通用訪問控制策略架構(gòu)，同時實現(xiàn)了對訪問控制的三層認證體系，極大地增強了安全性。

1 系統(tǒng)應(yīng)用技術(shù)相關(guān)

1.1 RBAC模型

標準RBAC模型分為四部分，分別是基本模型RBACO（Core RBAC）、角色分級模型RBACI（Hierarchal RBAC）、角色限制模型RBAC2（Constraint RBAC）和統(tǒng)一模型RBAC3（Combines RBAC）。

（1）RBACO定義了能構(gòu)成一個RBAC控制系統(tǒng)的最小的元素集合。在RBAC之中包含角色（ROLES）、用戶（USERS）、資源（RESOURCES）、操作（OPERATIONS）、許可（PERMISSION）等五個基本的元素。角色是對一組用戶的抽象，這組用戶具有對系統(tǒng)相同的操作，權(quán)限被賦予角色而不是用戶。一個用戶被賦予某一角色后，他便擁有了該角色對應(yīng)的所有權(quán)限。

（2）RBAC1在RBAC0的基礎(chǔ)上引入了角色之間的繼承關(guān)系。繼承關(guān)系又分為一般繼承和限制繼承。一般繼承是一種圖，而限制繼承是一種反向樹。

（3）RBAC2模型中添加了責(zé)任分離關(guān)系。RBAC2的這個約束是為了避免兩個或多個角色之間的沖突。責(zé)任分離包括靜態(tài)責(zé)任分離和動態(tài)責(zé)任分離。約束與用戶一角色一權(quán)限關(guān)系一起決定了RBAC2模型中用戶的訪問許可。

（4）RBAC3包含了RBAC1和RBAC2，既提供了角色間的繼承關(guān)系，又提供了責(zé)任分離關(guān)系。

1.2 Struts MVC

MVC即Model View Controlle，是模型（model）-視圖（view）-控制器（controller）的縮寫，它是一種軟件設(shè)計典范，用一種業(yè)務(wù)邏輯、數(shù)據(jù)、界面顯示分離的方法組織代碼，將業(yè)務(wù)邏輯聚集到一個部件里面，在改進和個性化定制界面及用戶交互的同時，不需要重新編寫業(yè)務(wù)邏輯。MVC被獨特的發(fā)展起來用于映射傳統(tǒng)的輸入、處理和輸出功能在一個邏輯的圖形化用戶界面的結(jié)構(gòu)中。

Struts是MVC模式中應(yīng)用最為廣泛并且最為穩(wěn)定的設(shè)計框架模式，主要分為Struts1以及Struts2兩個版本，Struts1與Struts2有著本質(zhì)的區(qū)別。Struts2是以Web Work為核心，采用攔截器的機制來處理用戶的請求。Struts1有一組相互協(xié)作的類（組件）、Servlet以及jsp tag lib組成，在這種模式框架中M指的是業(yè)務(wù)邏輯以及數(shù)據(jù)持久層模型;V指的是前臺頁面展示部分，主要是Struts的自定義標簽;C指的是框架中的ActionServelt。工作流程描述如下。

（1）Web服務(wù)器啟動時，會將Struts的配置文件加載為運行時類。

（2）瀏覽器向服務(wù)器發(fā)送請求被Struts的ActionServlet捕獲。

（3）ActionServlet根據(jù)配置文件信息對數(shù)據(jù)做一系列處理后，派發(fā)該請求至相應(yīng)Action。

（4）在Action中執(zhí)行業(yè)務(wù)邏輯處理。

（5）根據(jù)配置文件信息查找返回頁面，響應(yīng)用戶瀏覽器。

2 系統(tǒng)設(shè)計與實現(xiàn)

2.1 總體設(shè)計

系統(tǒng)基于Strutsl MVC架構(gòu)進行設(shè)計，使用JQuery構(gòu)建UI并實施統(tǒng)一權(quán)限訪問控制。完整的訪問控制架構(gòu)包括以下三方面的內(nèi)容。

2.1.1 UI端用戶功能操作區(qū)

操作區(qū)是用戶與服務(wù)器交互的橋梁，所有的交互都要通過操作區(qū)來實現(xiàn)。操作區(qū)分為基本區(qū)和擴展區(qū)，對基本區(qū)和擴展區(qū)的每一個操作都會觸發(fā)相應(yīng)的事件?；緟^(qū)包括的原子操作：增加、編輯、修改、保存、查詢、打印、導(dǎo)入、導(dǎo)出、刷新等;擴展區(qū)是為滿足特殊業(yè)務(wù)需求所定義的固定操作組，開發(fā)者在使用擴展操作時必須要將自定義的具體操作與擴展操作——對應(yīng)。

2.1.2 組織架構(gòu)

組織架構(gòu)分為實體組織架構(gòu)和虛擬組織架構(gòu)，實體組織架構(gòu)是實際存在的組織架構(gòu)。虛擬組織架構(gòu)是專為系統(tǒng)訪問控制所定義而對用戶不可見的，主要包括本組織架構(gòu)、本組織及其所有子孫組織架構(gòu)、本組織及其所有兄弟組織架構(gòu)、本組織及其所有兄弟及其它們的子孫組織架構(gòu)、本組織及其所有的父輩組織架構(gòu)、所有組織架構(gòu)等等。當(dāng)業(yè)務(wù)功能的訪問控制必須與組織架構(gòu)建立聯(lián)系時，系統(tǒng)會根據(jù)其具體含義與實體組織架構(gòu)建立關(guān)聯(lián)。

2.1.3 三層訪問控制體系

訪問控制是整個架構(gòu)的核心，它負責(zé)收集用戶權(quán)限、接收用戶請求、驗證用戶操作。權(quán)限分配時，對每一種角色設(shè)置其相應(yīng)資源的原子操作。

三層訪問控制體系的第一層為賬號控制，系統(tǒng)認證用戶身份后，收集與該用戶相關(guān)的權(quán)限操作集合和資源信息，同時回寫UI和后臺生成權(quán)限控制集合;第二層為UI操作區(qū)控制，用戶對某一個資源進行原子操作時，UI認證中心對其操作權(quán)限進行檢測，檢測通過后將用戶請求發(fā)送至后臺。第三層為后臺權(quán)限匹配控制，通過UI認證中心發(fā)送過來的請求會再次經(jīng)過后臺認證中心的權(quán)限校驗，焦山通過后后臺調(diào)取對應(yīng)的業(yè)務(wù)邏輯代碼進行處理。圖1是系統(tǒng)三層訪問控制基本架構(gòu)圖。

2.2 詳細設(shè)計及實現(xiàn)

2.2.1 訪問控制基礎(chǔ)設(shè)計與實現(xiàn)

訪問控制的基礎(chǔ)是設(shè)計用戶與資源之間的關(guān)聯(lián)關(guān)系，根據(jù)RBAC3模型，后臺數(shù)據(jù)庫設(shè)計用戶、角色、資源、用戶角色、組織架構(gòu)以及權(quán)限共六個數(shù)據(jù)表，模型如圖2所示。

權(quán)限表是整個訪問控制的基礎(chǔ)數(shù)據(jù)來源，它記錄了某種角色的人員對資源可進行的操作以及業(yè)務(wù)涉及組織架構(gòu)時對組織架構(gòu)的操作權(quán)限。與之相對應(yīng)的前臺控制頁面如圖3所示。

在某些根具角色不同獲取不同內(nèi)容的業(yè)務(wù)中，在權(quán)限管理頁面中設(shè)置相應(yīng)的組織架構(gòu)，在后臺可以直接調(diào)用系統(tǒng)方法getDepartIdsById獲取其操作的部門權(quán)限，而不用在業(yè)務(wù)中判斷當(dāng)前登錄者的角色將組織架構(gòu)寫死在業(yè)務(wù)邏輯中。

2.2.2 三層控制體系架構(gòu)實現(xiàn)

Struts本身架構(gòu)體系并不能完成對系統(tǒng)的訪問控制，需要對其進行二次開發(fā)，在原有模型中添加rule、op、depends三個原子操作，rule定義了業(yè)務(wù)處理類，與path一同替代原有模型中的type操作;op定義了請求所對應(yīng)的操作，即為操作區(qū)交互按鈕所對應(yīng)的操作;depends定義了請求所依賴的主操作。一個典型的配置代碼如下所示。

用戶登錄并認證通過后完成在服務(wù)器端的第一層認證，系統(tǒng)會將其權(quán)限分別以兩種不同的形式存放于Session會話中。其中一種為長字符串形式回寫前臺控制頁面，控制頁面再經(jīng)過處理形成前臺HashMap格式的控制數(shù)據(jù)，這樣用戶每操作一次工具欄上的按鈕都會觸發(fā)權(quán)限控制策略，完成在用戶端的第二層認證。如下為點擊“查詢”按鈕時控制頁面所做的判斷。

if（null！=authJS&&'√'==authJS.get（method）.charAt（4））{

iframe.doQuery（）;

}

另一種形式為HashMap格式的控制數(shù)據(jù)，在第二層認證通過后，請求被服務(wù)器接收，服務(wù)器會對每一個請求加以權(quán)限認證。認證分為主認證和子操作認證，主認證與權(quán)限控制頁面內(nèi)的功能菜單對應(yīng)，子認證是打開功能菜單后在頁面內(nèi)所有操作的認證。

3 總結(jié)

基于RBAC訪問控制策略的通用基礎(chǔ)架構(gòu)很好的解決了現(xiàn)有管理信息系統(tǒng)開發(fā)中訪問控制所存在的問題。將訪問控制與底層架構(gòu)完美的融合在一起，減少了重復(fù)開發(fā)，提高了開發(fā)效率，在尤其注重安全的空管體系中其獨創(chuàng)的三層控制架構(gòu)很大的增強了系統(tǒng)的安全性。此架構(gòu)已經(jīng)大量應(yīng)用于山東空管分局自主研發(fā)的多個管理信息系統(tǒng)中。系統(tǒng)需要改進的是訪問控制的進一步細化，實現(xiàn)對頁面字段屬性的

參考文獻

[1]李蘭崇.基于角色的權(quán)限管理訪問控制系統(tǒng)平臺研究與實踐[D].蘭州：蘭州大學(xué)，2009.

[2]基于RBAC的權(quán)限設(shè)計模型.ht印s：//www.cnblogs.com/lhyqzx/p/5962826.html.