维普资讯 http://www.cqvip.com ２００７弃第２期 中图分类号：ＴＰ３１５ 文献标识码：Ａ 文章编号：１００９—２５５２（２００７）０＂２—０１０２—０４ Ｗｅｂ系统功能权限管理研究 吴 愚，李炳法 （四川大学计算机学院，成都６１００６５） 摘要：提出Ｗｅｂ系统权限管理基本思想，提出一种权限分类方法。根据该分类方法对每种类 型的权限提出管理方案，阐述了ＲＢＡＣ，ＴＢＡＣ的基本思想，给出一种基于ＲＢＡＣ，ＴＢＡＣ的权限 管理架构模型。该模型灵活有效地解决了Ｗｅｂ系统中的动态权限管理问题。 关键词：权限管理；角色；ＲＢＡＣ；ＴＢＡＣ Ｒｅｓｅａｒｃｈ ｏｎ ａｕｔｈｏｒｉｚａｔｉｏｎ ｍａｎａｇｅｍｅｎｔ ｏｎ Ｗｅｂ ｓｙｓｔｅｍ ＷＵ Ｙｕ．ＬＩ Ｂｉｎｇ—ｆａ （Ｓｃｈｏｏｌ ｏｆ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ，Ｓｉｃｈｕａｎ Ｕｎｉｖｅｒｓｉｔｙ，Ｃｈｅｎｇａｕ ６１００６５，Ｃｔ￣ａ） Ａｂｓｔｒａｃｔ：Ｔｈｉｓ ｐａｐｅｒ ｐｒｏｐｏｓｅｓ ｔｈｅ ｂａｓｉｃ ｉｄｅａ ａｂｏｕｔ ａｕｔｈｏｒｉｚａｔｉｏｎ ａｎｄ ａ ｋｉｎｄ ｏｆ ｃｌｓｓｉｆａｉｃａｔｉｏｎ．Ｂａｓｅｄ ｏｎ ｔｈｅ ｃｌａｓｓｉｆｉｃａｔｉｏｎ，ｉｔ ｐｒｏｐｏｓｅｓ ａ ｐｒｏｐｏｓａｌ ｔｏ ｓｏｌｖｅ ｔｈｅ ｐｍｂｌｅｍ，ｅｘｐｏｕｎｄｓ ｔｈｅ ｂａｓｉｃ ｉｄｅａ ｏｆ ＲＢＡＣ ａｎｄ ＴＢＡＣ，ｐｒｅ— ｅｎｔｓｓ ａ ｓｏｌｕｔｉｏｎ ｂａｓｅｄ ｏｎ ＲＢＡＣ ａｎｄ ＴＢＡＣ．Ｉｔ ｓｏｌｖｅｓ ａｕｔｈｏｒｉｚａｔｉｏｎ ｍａｎａｇｅｍｅｎｔ ｐｒｏｂｌｅｍ ｈｉｇｈｌｙ ａｃｔｉｖｅ． Ｋｅｙ ｗｏｒｄｓ：ａｕｔｈｏｒｉｚａｔｉｏｎ ｍａｎａｇｅｍｅｎｔ；ｒｏｌｅ；ＲＢＡＣ；ＴＢＡＣ 随着Ｉｎｔｅｒｎｅｔ网络的迅猛发展，Ｂ／Ｓ信息管理系 统已经广泛应用于社会生活中的各个方面，随之而 应用层，由Ｗｅｂ应用服务器管理。第三层是客户端 表示层，提供ｕＩ接口，直接与用户交互信息。表示 层根据Ｂ／Ｓ系统的技术选型表现为不同的ｗｅｂ页 来的信息管理安全性问题也越来越受到关注。为了 更好地解决此问题，权限管理技术应运而生。目前 的权限管理技术大致可以分为两大类：系统级权限 管理，比如操作系统级、数据库系统级的权限管理； 应用级权限管理，具体实现形式多样，主要取决于具 体应用。现在，系统级权限管理模式相对稳定成熟， 而应用级权限管理特别是运行时动态权限还没有一 种统一稳定的模式，故而其研究备受关注。相对比 较成熟的应用级权限管理使用ＲＢＡＣ授权模型。本 文提出一种功能权限分类方法，并结合ＲＢＡＣ， ＦＢＡＣ 授权模型，提出一种Ｗｅｂ系统功能权限管理架佝 模型。 面文件，比如ａｓｐｘ，ｊｓｐ文件等。用户可以通过在这 些页面文件中嵌入的不同控件完成对数据的增、删、 改、查以及页面跳转等操作。故而一个Ｂ／Ｓ系统的 功能权限控制就是对被访问页面和被访问页面上面 的控件的显示及访问权限控制 。 ２ 功能权限的分类 ２．１静态功能权限 静态权限是指根据访问者角色在Ｗｅｂ应用程 序运行之前先期决定的功能权限。比如在ＢＢＳ论 坛系统中，系统管理员能够执行删帖、封帐号等操作 的权限就属于在Ｗｅｂ应用程序运行前，根据用户角 色先瑚决定的功能管理权限。 ２．２动态功能权限 动态权限是指在静态权限许可的访问范围内， １ 功能权限管理基本思想 角色访问控制模型是指根据安今＝策略划分 同角色，对每个角色分配不同的权限，并为用户指派 不同的角色，用户通过角色间接地对信息资源进仃 许可的相应操作。Ｂ／Ｓ信息管理系统架佝总体 一 般的实现模型分为三层。第一层是后台数据持久 层，由成熟的数据库操作系统进行管理一在 ｅｂ应用程序运行过程巾才能决定的操作权限。 收稿日期：２００６—０９—０４ 作者简介：父愚（１９８１一），ｐ 『大 汁 机 ’ 院２００４级汁钟．机心川 、第＿－层足 Ｉ 谈研究 ，主要研究方向为分布 ， 汁３｛． ｌ０２一 维普资讯 http://www.cqvip.com 比如在有的ＯＡ办公自动化系统中，员工上班时间 打卡子系统必须在一天中一定时问段范围内才能使 用。又如在项目管理系统中，某项目子任务数目已 经达到预先设定的最大值，这时即使是项目管理者 角色（具有安排子任务的静态权限）也不能再安排新 子任务。也就是说根据应用程序运行时动态产生的 某些特殊条件来判断功能使用权限。 ３ 利用ＲＢＡＣ模型实现静态功能权限 管理 ３．１ ＲＢＡＣ模型概述 １９９６年Ｒａｖｉ Ｓ．ＳａｌｑｄｈＨ等人提出了通用的 ＲＢＡＣ模型 。此模型有３个实体：用户、角色和访 问权限，如图１所示。 １ ＲＢ ４Ｃ段型３个实傩 ＲＢＡＣ在旧式用户权限模型中引入了角色这个 中间层。所谓角色就是指一组系统操作权限集合。 角色和用户，角色和权限都是多对多的关系。ＲＢＡＣ 根据用户所在系统内所处的角色进行访问授权与控 制。在Ｂ／Ｓ系统中，由于系统的组织结构变化，那么 用户对资源访问的权限也将发生变化。如果没有引 入角色概念，当变化发生时，就必须去修改每一 用 户的相关权限设定。假定某Ｂ／Ｓ系统总用户数为 ２０００，总权限数为１００，那么对所有用户做一次权限 修改设定的维护工作总花费为２０００×１００。如果引 入角色概念，根据用户分类设定３０种角色，那么做 一次权限修改设定的维护工作总花费为１００×３０。 正好认证了一句名言：计算机科学中引入一个中间 层可以解决所有问题。由此可见引入角色概念，权 限管理维护工作更加系统化、成本更低，权限管理的 可操作性和可管理性都要强很多。 ３．２实现静态权限管理 （１）根据前面提到的ＲＢＡＣ模型，设计权限管理 控制策略。设计的数据库表，如图２所示。 ①用户表（Ｕｓｅｒ）：保存用户ＩＩ），用户名、密码。 ②角色表（Ｒｏｌｅ）：保存角包ＩＤ，角色名＝ ③权限表（Ｐ ｌｉｅｇｅ）：保 权限ＩＤ，权限 、权限 类型等信息。 ①用户角色关联表（ＲｏｌｅｓＯｌＵｓｅｒｓ）：保存具体用 户和某角色的关联信息： ⑤角色权限关联表（Ｐ ｔｉｌｅｇｅｓ０ｆＲｏＩｅｓ）：保仔某角 色和相应权限的关联信息 （２）程序中静态杈 榆测算法： ①用户登陆时，根据¨ ・ＩＤ奄询Ｒｏｌｔ￣ｓＯｆＵｓｅｒｓ Ｉ矧２设ｉｆ‘的数拂 衷 表获取用户角色集Ｒ＝｛ ｒ２，…， ｝。 ＠对Ｒ集合中每一个具体角色 ，１ ≤ｎ查询 ［ｈ＠ｉｌｅｇｅｓＯｆＲｏｌｅｓ表获取 的权限集Ｐｋ＝｛Ｐ Ｐ …， ｆＰ ｔ Ｐ ｍ １ Ｐ ，得到用户权限矩阵 ＝ｌ Ｍ Ｏ Ｍ『，这样 ｌＰ Ｌ Ｐ ｊ 就得到一个用户权限集ＵＰＳ＝｛Ｐ Ｐ ：，…，Ｐ ，ｐ２。， …，，ｐ２ ，…，Ｐ １，Ｐ ２，…，Ｐ ， 保存于ｓｅｓｓｉｏｎ变 量中。 ④当用户访问某受某静态权限Ｐ 保护的资源 时，系统将首先从ｓｅｓｓｉｏｎ中取得用户权限集ＵＰＳ。 如果Ｐ ∈ＵＰＳ，则允许用户访问资源，否则提示用户 不具有此权限。 ．４ 动态功能权限管理 ４．１ ＴＢＡＣ模型概述 在ＴＢＡＣ 中，对象的访问权限控制并不是静止 不变的，而是随着执行任务的上下文环境发生变化。 ＴＢＡＣ首先要考虑的是在工作流的环境中对信息的 保护问题：在工作流环境中，数据的处理与上一次的 处理相关联，相应的访问控制也如此，因而ＴＢＡＣ是 一种一ｊ 下文相关的访问控制模型。其次，ＴＢＡＣ不 仪能对不同 ［作流实行不同的访问控制策略，而且 还能对同一ｉ１：作流的不同任务实例实行不同的访问 控圳策略。从这个意义上说，ＴＢ Ｃ足基于任务的， 这也表明，Ｔ｜；ＡＣ是一种基于实例（ｉｎｓｔａｎ；・ｅ—ｂａｓｅｄ） 的ｉ￣ｌ；Ｊ控制摸型 ｒＩ｛ 模型山工作流、授权结构体、受托人集、 许可集Ｉ ＪＵ部分组成？ （Ｉ）ｆｌｔ务（ｔａｓｋ）是工作流程ｔ 的一个逻辑单元， 址一１、『Ｉ『 分的动作，与多个用广Ｊ村１是，也可能包括 几个 任务：授权结构体是任务 计算机中进行控 制的 实例。任务中的于任务，对懂于授权结构 一ｌ０ — 维普资讯 http://www.cqvip.com 体中的授权步。 步ＡＳ被触发时，它的委托执行者开始拥有执行者 许可集中的权限，同时它的生命期开始倒记时。在 （２）授权结构体（ａｕｔｈｏｒｉｚａｔｉｏｎ ｕｎｉｔ）：是由一个或 多个授权步组成的结构体，它们在逻辑上是联系在 一生命期期间，五元组（Ｓ，Ｏ，Ｐ，Ｌ，ＡＳ）有效。生命期终 止时，五元组（Ｓ，Ｏ，Ｐ，Ｌ，ＡＳ）无效，委托执行者所拥 有的权限被回收。 起的。授权结构体分为一般授权结构体和原子授 权结构体。一般授权结构体内的授权步依次执行， 原子授权结构体内部的每个授权步紧密联系，其中 任何一个授权步失败都会导致整个结构体的失败。 （３）授权步（ａｕｔｈｏｒｉａｔｚｉｏｎ ｓｔｅｐ）表示一个原始授 ＴＢＡＣ的访问政策及其内部组件关系一般由系 统管理员直接配置。通过授权步的动态权限管理， ＴＢＡＣ支持最小特权原则和最小泄漏原则，在执行 任务时只给用户分配所需的权限，未执行任务或任 务终止后用户不再拥有所分配的权限；而且在执行 权处理步，是指在一个工作流程中对处理对象的一 次处理过程。授权步是访问控制所能控制的最小单 元，由受托人集（ｔｒｕｓｔｅｅ—ｓｅｔ）和多个许可集（ｐｅｒｍｉｓ— ｓｉｏｎｓ ｓｅｔ）组成。一个授权步内部状态转换如图３ 所示。 图３授权步内部状态转换图 （４）受托人集是可被授予执行授权步的用户的 集合，许可集则是受托集的成员被授予授权步时拥 有的访问许可。当授权步初始化以后，一个来自受 托人集中的成员将被授予授权步，我们称这个受托 人为授权步的执行委托者，该受托人执行授权步过 程中所需许可的集合称为执行者许可集。授权步之 间或授权结构体之间的相互关系称为依赖（ｄｅｐｅｎ— ｄｅｎｃｙ），依赖反映了基于任务的访问控制的原则。 授权步的状态变化一般自我管理，依据执行的条件 而自动变迁状态，但有时也可以由管理员进行调配。 一个工作流的业务流程由多个任务构成。而一 个任务对应于一个授权结构体，每个授权结构体由 特定的授权步组成。授权结构体之间以及授权步之 间通过依赖关系联系在一起。在ＴＢＡＣ中，一个授 权步的处理可以决定后续授权步对处理对象的操作 许可，上述许可集合称为激活许可集。执行者许可 集和激活许可集一起称为授权步的保护态。 ＴＢＡＣ模型一般用五元组（Ｓ，Ｏ，Ｐ，Ｌ，ＡＳ）来表 示，其中Ｓ表示主体，Ｏ表示客体，Ｐ表示许可，Ｉ 表 示生命期（１ｉｆｅｃ），ｃｌｅ），ＡＳ表示授权步。由于任务都是 有时效性的，所以在基于任务的访问控制中，用户对 于授予他的权限的使用也是有时效性的。因此，若 Ｐ是授权步Ａｓ所激活的权限，那么Ｌ则是授权步 ＡＳ的存活期限。在授权步ＡＳ被激活之前，它的保 护态是无效的，其中包含的许可不可使用。当授权 一１０４一 任务过程中，当某一权限不再使用时，授权步自动将 该权限回收；另外，对于敏感的任务需要不同的用户 执行，这可通过授权步之间的分权依赖实现。 ４．２动态权限管理架构模型 （１）为实现动态权限管理设计ＤＰＭ的数据结 构形式化定义： ①ＤＰＭ＝Ｆ（ＷＦ，Ｔ，Ｐ） ＷＦ表示工作流、Ｔ表示受托人集、Ｐ表示许可集。 ②ＷＦ：｛Ａ ，，Ａ ，…， ｝ Ａｕ表示授权结构体，ＷＦ是一系列授权结构体 的集合，并且该集合满足如下关系 ’ Ａｕ×ＡｕＣ２。，Ｄ＝｛顺序依赖，失败依赖，分权依 赖，代理依赖｝； ③Ａｕ与Ｔ是１：ｎ的关系，Ａｕ—Ｐ，是一个从Ｔ： ｛Ｒ。，Ｒ２，…， ｝选择一个执行委托者的函数。 ④Ａｕ与Ｐ是１：ｎ的关系，Ｆ（Ａｕ，Ｒ）一Ｐ，ＲＴ，Ｐ＝ ｛ｐｌ，ｐ２，…， ｝为许可集，Ｆ为执行者许可集函数；Ｇ （Ａｕ，Ｐ。）一Ｐ２，ＰＩ ｃＰ，Ｐ２：Ｐ—ＰＩ，Ｇ为权限回收函数。 （２）动态权限的控制流程： 根据上述形式化定义设计，结合任务管理系统 实际应用设计动态权限控制流程如图４所示。 考虑一个任务管理应用场景。项目总负责人 ＵｓｅｒＡ将项目划分为第一级子任务ＳｕｂＴａｓｋ交给项 目小组负责人ＵｓｅｒＢ。ＵｓｅｒＢ接受并执行ＳｕｂＴａｓｋ后 向ＵｓｅｒＡ按时汇报任务情况，当ＳｕｂＴａｓｋ完成，ＵｓｅｒＢ 提交任务，当ｕＳｅｎ确认任务提交后收回ＵｓｅｒＢ的汇 报任务权限和提交任务权限。 ５ 结束语 功能权限管理是Ｂ／Ｓ系统的重要组成部分。权 限管理策略和技术决定了系统的安全性能。本文提 出的权限管理模型是在多个实际工程经验的基础上 提炼出来的，在实际Ｗｅｂ系统的功能权限管理中运 行良好。特别是在动态功能权限的管理方面设计了 一种有效合理的管理模式，对同类ＢＩＳ系统的功能 权限管理具有很好的参考价值。 维普资讯 http://www.cqvip.com 图４动态议限控制流程图 参考文献： ［１］暴志刚，胡艳军，故新建．基于ｗｅｂ的系统权限管卵实现方法 计算机工程［Ｊ］．２００６，３２（１）：１６９—１７０． １２ Ｊ Ｓａｎｄｈｕ Ｒ ＂Ｓ，Ｃｏｙｎｅ Ｅ Ｊ，Ｆｅｉｎｓｔｅｉｎ Ｈ Ｌ，ｅｔ ａ１．Ｒｏｌｅ—Ｂａｓｅｄ ａｃｃｅｓ．￣ １９９７． ［４］ Ｆｅｎａｉ。Ｉｔ，Ｄ，Ｋｕｈｎ Ｒ．Ａ几ｌｎｔｒＭｕｃｔ，ｉｏｎ ｔｔ，Ｒｏｌｅ Ｂａｓｅｄ Ａｃｃｅｓｓ Ｃｏｎｌｘｏｌ ［ｚ］． ５］徐松，赵曦滨，顾明．网格环境下的分 式ＲＢＡＣ模型框架［Ｊ］． 计算机工程，２００６，３２（６）：１６３—１６６． ６ ３ｈ￣－ｍ ＲＫ，＇Ｓａ￣ｔｈｕ ＲＳ．Ｔａｓｋ—Ｂａｓｅｄ ａｌＩｔ｝ｌ∞ｄ ｍ ｎｎｔｏｒｄｓ（ｒｒＨＡＣ）：ａ ｆａｍｉｌｙ ｏｆ￣Ｍｅｌｓｆｏｒ ａｃｔｉｖｅａｎｄ ｅｎｔｅｑＪｒｉｓｅ—－（￣ｅｎｔｅｄ ａｕｔｈｅｎｔｉｃａｔｉｏｎｍａｎａｇｅ・・ ｍｏｄｅｌｓ［Ｊｊ．１ＥＥＥ Ｃｏｍｐｕｔｅｒ，１９９６，２９（２）：３８—４７． １３ Ｊ Ｂａｒｋｌｅｙ Ｊ Ｆ，Ｃｉｎｃｏｔｔａ Ａ Ｖ，Ｆｅｒｒａｉｏｌｏ Ｄ Ｆ，ｅｔ ａ１．Ｒｏｌｅ Ｂａ￣ｅｄ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ ｆｏｒ ｔｈｅ ：ｏｒｌｄ Ｗｉｄｅ Ｗｅｂ Ｃ．Ｐｒｅｙ．：ｏｆ ２Ｏｔｈ １ＳＴ—ＮＣＳＣ Ｎａ． ｔｉｏｎａｌ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｙｓｔｅｍｓ Ｓｅｃｕｒｉｔｙ Ｃｏｎｆｅｒｅｎｃｅ．Ｎａｔｉｏｎａｌ １ｎｓｔｉｔｕｔｅ ｏｆ ｒｒｔ￣ｔ［Ｍ］．１９９７：１１—１３． 责任编辑：肖滨 Ｓ＇ｔａｎｄａｒｄｓ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ．Ｂａｌｔｉｍｏｒｅ，ｂｌａｒｙｌａｎｄ，Ｕ．Ｓ．Ａ：［ｓ．ｎ．］， ÷｝ ・｝ ・｝ ・｝ ・｝ －｝ ・｝ ・｝ ・｝ ・｝ ・｝ ・｝ ・｝ ・｝ －｝ ・｝ ・｝ ・｝ ・｝ ・｝ ・｝ ・｝÷｝ －｝一｛－｝－｛－｝ ・｝ ・｝ ・｝ －｝十｝ －｝ －｝ －｝ ・｝ －｝ ・｝ ・｝ －｝ －｝ －｝ ・｝ ・｝ ・｝ ・｝ ・｝ （上接第１Ｏ１页） ｎｅｘｔ： ｅｎｄ；／／ｗｈｉｌｅ ｎｏｔ ｅｏｆ ｄｏ ｅｎｄ；／／ｗｉｔｈ ａｄｏｑｕｅｒｙｌ ｄｏ ｅｎｄ； ＳＱＬ．Ｔｅｘｔ：＝‘ｓｅｌｅｃｔ ＊ｆｒｏｍ ｕｅａｃｈ’；／／从中 司表中查询出所有记录 Ｏｐｅｎ； ｉｆｒｓｔ；／／定位于第一条记录 ｗｈｉｌｅ ｎｏｔ ｅｏｆ ｄｏ 步骤四：至此，目的表ｔｅａｃｈｅｒ．ｍｄｆ中的数据和 数据类型在中间表中都含有，这时可利用目的数据 ｂｅｇｉｎ 环境ｓｏＬ Ｓｅｒｖｅｒ２０００中自带的数据迁移工具ＤＴＳ，把 中间表ｔｅａｃｈ．ｍｄｆ中的数据导入目的表ｔｅａｃｈｅｒ．ｍｄｆ 中（在此过程中是把中问表的字段“ｄｅｐａｍｎｅｎｔ”的数 据和字段“ｂｉａｈｌ”的数据分别导入目的表中的字段 “ｄｅｐａｒｔｍｅｎｔ”和“ｂｉｔｒｈ”中）。 ｉｄ：＝ｆｉｅｌｄｂｙｎａｍｅ（‘ｉｄ’）．ａｓｓｔｒｉｎｇ；／／从工号 （对应字段ｉｄ）中提取出教师所在系的信息， ｄｅｐ：＝ｃｏｗ（ｔｒｉｍ（ｉｄ），３，２）；／／并赋给参数ｄｅｐ ｂｉｒｔｈ：＝ｓｔｔｒｏｄａｔｅｔｉｍｅ（ｔｒｉｍ（ｆｉｅｌｄｂｙｎａｍｅ（‘ｂｉｔｒｈ’）． ａｓｓｔｒｉｎｇ））；／／把出生日期从文本型转换为日期型 ｗｉｔｈ ａｄｏｑｕｅ０—２ ｄｏ／／往中间表对应记录中字 段“ｄｅｐａｍｎｃｎｔ”和“ｂｉｒｔｈｌ”里插入信息 ｂｅｇｉｎ ３ 结束语 以上程序在Ｄｅｌｐｈｉ７下调试通过。实际运行表 Ｈ』】该方法可行、有效，在信息系统开发中能较好的完 成数据迁移。在实际应用中有多种迁移方法，采取 ＳＯＩ ．Ｃｌｅａｒ； ｓＱＬ．Ｔｅｘｔ：＝‘ｕｐｄａｔｅ ｔｅａｃｈ ｓｅｔ ｄｅ１）ａｍ￣：ｎｔ ’＝＋ｄｅｐ＋‘。ｂｉｒｆｌｌ＝… ｆ什么方法，要根据实际情况而定。但不管采用什么 方法，都要以保证数据完整性和正确性为前提。 参考文献： １ｊ ｛ 珍，黄东．，｛．‘ ：理佑息系统＂发【｛Ｉ耍¨¨进 ｔ数据迁移［Ｊ ． Ｉ．、 ｌ２００５． ＋ｆｏｎｍｔｄａｔｃｔｉｍｅ（‘、、／ｍｍ／ｄｄ’，ｂｉｒｔｈ）＋”’ ｗｈｅｒｅ ｉｄ＝ ’＋ｉｄ＋…ｅｘｅｃｓｑｌ； ’： 制 鲐饥，２００３（４）：３１—３２． ２ｊ， 彬，柴晓娟 ＪｌＪ仿息符 技术ｆ Ｍｊ北京邮电大学ｒｅ，版社， 责任编辑：么丽苹 ｅｎｄ：／／ｗｉｔｈ ａｔ．１｛ｘｌｕｅｒ） ２ ｄ０