基于RBAC模型的安全架构在web应用中的研究与实现

论文摘要

随着全球网络化和信息化的发展,web应用系统也不断发展,人们对信息系统安全的需求日益增加。访问控制是防止非授权访问的一种重要的信息安全手段,通过访问控制,既可以限制对关键资源的访问,也能够防止非法用户的入侵或合法用户的不慎操作所造成的破坏。由于现代的web应用系统,用户数量多,数据资源大,导致系统控制权管理分散,资源保护与管理脱节等等问题。传统的访问控制技术已经无法满足现代web应用系统的安全需求。本项目是美国硅谷长期金融投资策略组合项目中的一部分。长期投资策略组合系统集合了多种投资策略,投资者可以使用不同的投资策略创建多种投资组合并在系统中模拟执行,系统通过对历史数据的分析得出该投资组合策略的模拟回报,为投资者提供重要的参考依据。本文首先比较分析了三种访问控制技术,传统的自主访问控制和强制访问控制,以及现在流行的基于角色的访问控制(RBAC),其次,着重研究了RBAC的几种主要模型。然后,据此给出了一种扩展的RBAC访问控制模型,增加了用户分组,授权时间约束以及参数动态约束。用户分组可以简化授权,并对系统资源进行层次化、细粒度的权限管理,增加约束处理可以使系统更加安全有效。最后全面分析了长期金融投资组合策略系统的安全需求,给出了具体的概要设计和详细设计,将扩展的模型应用到此项目中,并按模块具体实现。另外还结合了单点登录CAS技术实现了多个应用系统的身份认证。通过应用改进的访问控制模型,实现了统一的认证和授权,降低了系统管理成本,简化了授权过程,提高了系统资源访问效率,使其更加安全有效。

论文目录

• 摘要
• ABSTRACT
• 第一章 绪论
• 1.1 研究背景
• 1.2 项目来源和意义
• 1.3 本文的主要工作
• 1.4 论文的组织结构
• 第二章 访问控制技术
• 2.1 访问控制的定义
• 2.2 访问控制的内容
• 2.3 传统的访问控制
• 第三章 基于角色的访问控制
• 3.1 RBAC 的基本概念
• 3.2 常见的RBAC 模型
• 3.3 访问控制小结
• 第四章 访问控制模型的改进
• 4.1 RBAC 面临的问题
• 4.2 模型的扩展
• 4.3 分层和继承
• 4.4 参数约束处理
• 第五章 投资组合策略系统安全体系
• 5.1 投资组合策略系统介绍
• 5.2 安全需求分析
• 5.3 安全解决方案
• 第六章 子系统的设计与实现
• 6.1 系统概要设计
• 6.2 系统详细设计
• 6.3 授权管理模块实现
• 6.4 系统中的身份认证
• 第七章 子系统的优化及测试
• 7.1 访问控制优化处理
• 7.2 系统运行测试
• 第八章 总结与展望
• 8.1 总结
• 8.2 展望
• 参考文献
• 致谢