- 相關(guān)推薦
基于J2EE的電子商務(wù)安全架構的設計與實(shí)現論文
[摘 要] j2ee作為多層企業(yè)應用開(kāi)發(fā)模型，成為當前電子商務(wù)應用開(kāi)發(fā)的主流。隨著(zhù)電子商務(wù)得到越來(lái)越廣泛的應用，其安全性成為人們關(guān)注的焦點(diǎn)問(wèn)題之一。本文主要介紹了基于j2ee的電子商務(wù)的安全概念、安全架構的設計技術(shù)及其實(shí)現方法。
[關(guān)鍵詞] j2ee 電子商務(wù) 安全架構
一、背景介紹
隨著(zhù)網(wǎng)絡(luò )應用的發(fā)展，電子商務(wù)作為一種新的商務(wù)系統得到了廣泛的應用。目前電子商務(wù)的使用越來(lái)越廣，電子商務(wù)的安全性成為人們關(guān)注的焦點(diǎn)。事實(shí)上，電子商務(wù)由于不法分子的入侵，系統存在的安全漏洞而造成各方面的損失的報道也屢見(jiàn)不鮮。因此，電子商務(wù)的開(kāi)發(fā)設計必須要把安全作為應用系統的一個(gè)重要的方面加入到電子商務(wù)系統的開(kāi)發(fā)的整體設計中來(lái)。
當前電子商務(wù)應用的主流開(kāi)發(fā)技術(shù)則是以j2ee為主,j2ee(java 2 platform enterprise edition)是美國sun公司推出的多層企業(yè)應用開(kāi)發(fā)模型。j2ee簡(jiǎn)化了基于工業(yè)標準的、組件化的企業(yè)應用開(kāi)發(fā)，提供了一套完整的企業(yè)應用的開(kāi)發(fā)框架和服務(wù)的支持。由于j2ee完善和靈活的框架設計、強大服務(wù)支持等優(yōu)點(diǎn)，使其迅速成為電子商務(wù)應用系統開(kāi)發(fā)的主流技術(shù)。本文則主要介紹了如何在基于j2ee的電子商務(wù)系統設計中加入安全架構的設計，并介紹了安全架構設計中的一些概念和實(shí)現技術(shù)。
二、電子商務(wù)的安全架構及其概念
電子商務(wù)的安全架構的根本目標是為了實(shí)現對用戶(hù)訪(fǎng)問(wèn)系統和使用系統資源進(jìn)行控制，達到合法用戶(hù)合法使用系統的目的，因此在電子商務(wù)中采用的安全架構一般涉及到以下幾個(gè)概念:
1.合法用戶(hù):合法用戶(hù)是指通過(guò)驗證的，擁有一定系統使用權限的用戶(hù)。當一個(gè)用戶(hù)進(jìn)入系統時(shí)，只要通過(guò)驗證后才可以獲得進(jìn)入系統的資格和使用系統的權限。
2.角色:由于一個(gè)電子商務(wù)系統可能對不同的用戶(hù)給予不同的權限。如果對每個(gè)用戶(hù)都要進(jìn)行權限的設置，這樣的做法顯然是不合理的，因此在電子商務(wù)系統中一般將相同使用權限的用戶(hù)歸并成一類(lèi)，稱(chēng)之為角色，相同的角色擁有相同的系統使用權限。
3.安全域:是一個(gè)邏輯范圍或區域，在這一范圍或區域中安全服務(wù)的管理員定義和實(shí)施通用的安全策略。它是比角色更高的層的抽象。一個(gè)組織可以劃分成眾多的安全域，而一個(gè)安全域中可以包含眾多的角色。
4.資源:泛指電子商務(wù)系統中可以被用戶(hù)使用，訪(fǎng)問(wèn)的有價(jià)值信息。比如說(shuō)報價(jià)系統，訂單系統等都屬于電子商務(wù)系統的資源。
5.映射:映射是電子商務(wù)將一個(gè)合法用戶(hù)與系統內的某個(gè)角色相關(guān)聯(lián)的動(dòng)作，從而該合法用戶(hù)即擁有對應角色的系統使用權限。一個(gè)用戶(hù)可以在不同的策略配置下對應不同的角色，達到實(shí)現系統用戶(hù)權限管理的靈活性。
以上述的概念可知，一個(gè)組織的電子商務(wù)系統的安全架構可以首先看成是由安全域組成的，每個(gè)安全域內包含了眾多的角色和資源。用戶(hù)通過(guò)驗證后進(jìn)入系統，即根據其所屬安全域的安全配置策略被映射到其對應的角色上，從而擁有該角色使用系統的權限。
三、電子商務(wù)的安全架構設計
1.用戶(hù)身份驗證:用戶(hù)身份認證是用戶(hù)進(jìn)入系統的第一步，也是系統安全性保障的基本前提，用戶(hù)身份驗證有很多種方式和實(shí)現技術(shù)，就j2ee而言，主要有通過(guò)web客戶(hù)端來(lái)實(shí)現對用戶(hù)的身份驗證和基于應用程序客戶(hù)端驗證兩種方式， j2ee中提供了三種基于web客戶(hù)端的用戶(hù)身份驗證技術(shù)，主要有http基本驗證，基于表單的驗證，基于客戶(hù)端證書(shū)的驗證。而利用基于應用程序客戶(hù)端驗證的方式，這種方式主要是通過(guò)應用程序客戶(hù)端在運行前由其應用程序客戶(hù)端容器來(lái)完成驗證過(guò)程。
2.安全域的劃分:安全域涉及到更高抽象層的安全策略的配置，因此安全域的劃分一般是依據電子商務(wù)系統用戶(hù)所屬組織的結構來(lái)劃分。
3.用戶(hù)角色設置主要是根據用戶(hù)使用系統的需求來(lái)進(jìn)行設置，將相同使用權限需求的用戶(hù)歸并為一類(lèi)，設置成相同的角色。并針對該角色依據最小有限使用權限的原則配置該角色在系統中的使用權限。最后根據角色和權限配置，再結合實(shí)際的使用情況設置詳細的安全管理策略。
4.以上第二、第三步驟主要集中在電子商務(wù)的安全管理邏輯設計，當邏輯設計完成后，就需要將邏輯的安全管理規則在電子商務(wù)系統中予以實(shí)現，在電子商務(wù)系統中加入安全管理功能模塊。具有的實(shí)現方式有多種，以下本文將簡(jiǎn)要說(shuō)明在電子商務(wù)應用系統中加入用戶(hù)權限控制的過(guò)程和方法。
四、應用舉例
在j2ee的架構中實(shí)現對用戶(hù)訪(fǎng)問(wèn)權限的控制主要有二種實(shí)現方式:一種是通過(guò)session對象來(lái)實(shí)現，即當用戶(hù)通過(guò)身份驗證后，為用戶(hù)建立一個(gè)session對象用以記錄用戶(hù)的角色,以及權限，當用戶(hù)訪(fǎng)問(wèn)系統中的資源時(shí)，首先對用戶(hù)的session對象中的用戶(hù)角色權限進(jìn)行審計。如果用戶(hù)的角色擁有訪(fǎng)問(wèn)該資源的權限，則允許其訪(fǎng)問(wèn)資源，否則拒絕;另一種方式則是通過(guò)對web應用容器進(jìn)行設置來(lái)實(shí)現的。以tomcat為例,它可以用其web.xml配置文件進(jìn)行配置，該配置文件實(shí)質(zhì)上是定義<資源,角色,訪(fǎng)問(wèn)方式>的三元組，在該配置文件將系統的資源定義成用戶(hù)角色將要訪(fǎng)問(wèn)的頁(yè)面集合，并將相關(guān)的頁(yè)面資源進(jìn)行合并，也可以通過(guò)通用匹配符來(lái)表示成web資源集合,然后根據安全策略的設置,定義針對該集合允許訪(fǎng)問(wèn)的角色集合,在集合中定義允許訪(fǎng)問(wèn)的用戶(hù)角色，最后是說(shuō)明角色的驗證方式，指出用戶(hù)的角色名和其所屬的安全域。對tomcat配置完成后,則可以由tomcat容器來(lái)實(shí)現對用戶(hù)訪(fǎng)問(wèn)資源的控制。
從兩種方式對比來(lái)看，第一種方式應該說(shuō)安全策略的配置粒度更細，而且訪(fǎng)問(wèn)權限的控制能力也更強些，但是模塊的功能設計復雜而靈活性也會(huì )受一定的影響，后一種方式直接在web容器中配置安全策略，實(shí)現方便，靈活性也高，但是功能則會(huì )受限制。因而其更適合一些小型的應用。
參考文獻:
[1]譚 琳:剖析j2ee的安全機制.現代電子技術(shù),2004
[2]張洪偉:tomcat web開(kāi)發(fā)及整合應用.清華大學(xué)出版社.2006
【基于J2EE的電子商務(wù)安全架構的設計與實(shí)現論文】相關(guān)文章：
基于J2EE架構的綜合營(yíng)銷(xiāo)系統的研究和開(kāi)發(fā)10-03
基于PowerPC+DSP總線(xiàn)通信軟件的設計與實(shí)現論文07-10
基于uCLinux的USB Host的設計與實(shí)現10-20
基于電子商務(wù)的網(wǎng)絡(luò )營(yíng)銷(xiāo)的實(shí)現06-03
基于Delphi的VCL控件開(kāi)發(fā)與實(shí)現論文10-01