唐紹華

(湖南工程職業(yè)技術(shù)學(xué)院，湖南 長沙 410151)

0 引言

隨著教育信息化的不斷深入，數(shù)字化校園中出現(xiàn)了許多異源異構(gòu)的應(yīng)用系統(tǒng)，通過實(shí)施單點(diǎn)登錄技術(shù)，有效解決了用戶在各應(yīng)用系統(tǒng)間切換時(shí)的身份認(rèn)證問題。由于各應(yīng)用系統(tǒng)都有自己的一套用戶權(quán)限管理體系，權(quán)限管理員進(jìn)行權(quán)限維護(hù)時(shí)需進(jìn)入多個(gè)系統(tǒng)，增加了權(quán)限管理員的負(fù)擔(dān)，而且不利于統(tǒng)籌規(guī)劃，因此，尋求一種合適的訪問控制方法對(duì)數(shù)字化校園用戶權(quán)限進(jìn)行統(tǒng)一管理及維護(hù)尤為重要。

本文提出了一種基于XMLBeans文檔的權(quán)限管理模型，通過引入XML文件存儲(chǔ)用戶在系統(tǒng)中的權(quán)限集，能改進(jìn)RBAC模型的用戶權(quán)限獲取流程，提高用戶權(quán)限訪問效率及權(quán)限管理員工作效率，實(shí)現(xiàn)異源異構(gòu)系統(tǒng)的統(tǒng)一權(quán)限管理。

1 RBAC模型

數(shù)字化校園網(wǎng)絡(luò)系統(tǒng)中，大部分使用了RBAC模型(基于角色的權(quán)限訪問控制模型)，基于角色的訪問控制技術(shù)，通過引入角色中介，實(shí)現(xiàn)了用戶與訪問許可的邏輯分離，增強(qiáng)了系統(tǒng)安全性，極大地方便了權(quán)限管理，在越來越多的系統(tǒng)中得到應(yīng)用。在基于RBAC的訪問控制系統(tǒng)中，用戶通過身份有效性驗(yàn)證后，在會(huì)話中激活所委派的角色，通過合并角色的權(quán)限集來獲取用戶在系統(tǒng)的權(quán)限集，RBAC模型如圖1所示。

基于RBAC模型的數(shù)字化校園中對(duì)用戶、角色、應(yīng)用系統(tǒng)、用戶權(quán)限用形式化語言描述如下:

圖1 RBAC模型

定義1［Users］。是用戶的集合，用戶是對(duì)數(shù)字化校園網(wǎng)絡(luò)應(yīng)用系統(tǒng)訪問的獨(dú)立主體。包括教師、學(xué)生、校外用戶。

定義2［Roles］。是角色的集合，角色是數(shù)字化校園網(wǎng)組織中的工作職能的語義表達(dá)，表示被授予角色的用戶的職權(quán)和責(zé)任。

定義3［Apps］。是客體的集合，客體指數(shù)字化校園網(wǎng)中的應(yīng)用系統(tǒng)資源。

定義4［Permissions］。是權(quán)限的集合，權(quán)限是用戶對(duì)應(yīng)用系統(tǒng)進(jìn)行訪問的許可。

2 改進(jìn)后的RBAC模型

2.1 模型設(shè)計(jì)

在RBAC模型的基礎(chǔ)上，增加以用戶ID命名的XMLBeans文檔，對(duì)會(huì)話期間用戶與角色之間的激活關(guān)系做了改進(jìn)，提出了改進(jìn)的基于角色的訪問控制模型XMLBeans-RBAC，如圖2所示。

圖2 XMLBeans－RBAC模型

XMLBeans-RBAC模型在權(quán)限分配上與RBAC模型一致，即權(quán)限分配給角色，角色委派給用戶。在用戶權(quán)限的獲取方式上，改變了RBAC模型在會(huì)話中直接使用多表鏈接查詢合并用戶角色權(quán)限集的獲取方式，采用從用戶 ID命名的XML文件中讀取的方式，用以保存用戶在系統(tǒng)中的靜態(tài)權(quán)限集，其值通過合并用戶所委派角色的權(quán)限集得到。

2.2 XMLBeans文檔結(jié)構(gòu)

權(quán)限管理員進(jìn)行權(quán)限管理時(shí)，如果改變了用戶權(quán)限，則在系統(tǒng)訪問閑時(shí)重新生成受影響用戶的XMLBeans文檔，用戶權(quán)限集的XMLBeans文檔格式示例如圖3所示。

圖3 XMLBeans文檔結(jié)構(gòu)

XMLBeans文檔結(jié)構(gòu)中，節(jié)點(diǎn) user中屬性“userid”的屬性值為用戶賬號(hào)，節(jié)點(diǎn)permission中屬性“appid”屬性值為應(yīng)用系統(tǒng)編號(hào)，“pid”屬性值為用戶權(quán)限編號(hào)。

2.3 權(quán)限驗(yàn)證接口

設(shè)計(jì)了統(tǒng)一的權(quán)限驗(yàn)證方法接口，方法描述如下:

public int verifyPrivilege(String xmlPath，String userId，String funtionId，String appId)。

該方法有4個(gè)參數(shù)，第1個(gè)參數(shù)是XML文件存放的路徑;第2個(gè)參數(shù)是用戶賬號(hào)，一是作為XML文件名進(jìn)行文檔的讀取，二是參數(shù)起到驗(yàn)證XMLBeans文檔結(jié)構(gòu)節(jié)點(diǎn)user中“userid”屬性值的作用;第3個(gè)參數(shù)是系統(tǒng)功能對(duì)象編號(hào);第4個(gè)參數(shù)是系統(tǒng)編號(hào);方法返回值為整型，如果有權(quán)訪問則返回0，無權(quán)限訪問則返回1。

3 核心業(yè)務(wù)邏輯控制類設(shè)計(jì)

針對(duì)本系統(tǒng)的基本情況，通過分析數(shù)據(jù)對(duì)象，抽象設(shè)計(jì)主要類如下:

1)User Class。用戶管理類，統(tǒng)一用戶管理接口，提供用戶信息管理和密碼管理等服務(wù);

2)Role Class。系統(tǒng)用戶角色管理，角色是具有相同權(quán)限用戶的組，是權(quán)限分配的單位與載體。權(quán)限不會(huì)直接分配給特定的用戶，用戶要擁有對(duì)某種資源的權(quán)限，必須通過角色去關(guān)聯(lián)。一個(gè)用戶可以屬于多個(gè)角色，一個(gè)角色可以包括多個(gè)用戶;

3)Log Class。用戶登錄日志類，記錄用戶登錄訪問應(yīng)用系統(tǒng)信息;

4)App System Class。管理應(yīng)用系統(tǒng)記錄信息。該類登記了現(xiàn)有的軟件服務(wù)系統(tǒng)信息，用于對(duì)軟件服務(wù)系統(tǒng)的管理;

5)Permission Class。對(duì)用戶授權(quán)管理。權(quán)限是綁定在特定的模塊功能實(shí)例上的，即權(quán)限是角色與軟件服務(wù)系統(tǒng)功能的關(guān)聯(lián);

6)Account Class。管理應(yīng)用系統(tǒng)賬號(hào)信息。對(duì)于已開發(fā)的有獨(dú)立用戶管理體系的遺留系統(tǒng)，使用此類來管理統(tǒng)一身份認(rèn)證系統(tǒng)中用戶電子身份與遺留系統(tǒng)的賬號(hào)關(guān)聯(lián)信息。

7)IRBACImp Class。實(shí)現(xiàn)用戶權(quán)限管理服務(wù)接口，完成對(duì)用戶、角色、用戶委派角色、角色授權(quán)管理等功能;

8)ISSOImp Class。實(shí)現(xiàn)跨域SSO服務(wù)接口，完成對(duì)用戶身份、權(quán)限的驗(yàn)證及日志記錄等功能。系統(tǒng)使用了UML進(jìn)行建模，系統(tǒng)中部分?jǐn)?shù)據(jù)訪問控制、業(yè)務(wù)邏輯控制類之間的關(guān)系如圖4所示。

圖4 業(yè)務(wù)邏輯控制類圖及其關(guān)系

圖4中，ISSO為實(shí)現(xiàn)跨域單點(diǎn)登錄服務(wù)接口，SSOImpl單點(diǎn)服務(wù)接口實(shí)現(xiàn)類;IRBAC為用戶授權(quán)管理服務(wù)接口，RBACImpl為授權(quán)管理服務(wù)接口實(shí)現(xiàn)類;User、Role、Permission分別為用戶類、角色類、權(quán)限類;使用Account來管理用戶電子身份與遺留系統(tǒng)的賬號(hào)關(guān)聯(lián)信息，使用User-Role類來管理用戶所委派的角色信息，使用User-Permission類來管理用戶角色所分配的權(quán)限信息;各應(yīng)用系統(tǒng)通過調(diào)用服務(wù)接口實(shí)現(xiàn)用戶身份驗(yàn)證及用戶權(quán)限管理。

4 核心算法設(shè)計(jì)

用戶權(quán)限管理服務(wù)中更新XMLBeans文檔的算法描述如圖5所示，權(quán)限管理服務(wù)程序先讀取用戶權(quán)限發(fā)生變更表中標(biāo)記為未處理狀態(tài)對(duì)應(yīng)的用戶賬號(hào)，并添加到集合中，然后逐一對(duì)集合中用戶進(jìn)行處理，根據(jù)用戶所委派角色合并權(quán)限集并重寫相應(yīng)的XMLBeans文檔，同時(shí)更新用戶變更表中標(biāo)識(shí)狀態(tài)為已處理。

針對(duì)統(tǒng)一認(rèn)證統(tǒng)一授權(quán)的應(yīng)用系統(tǒng)，用戶訪問應(yīng)用系統(tǒng)功能授權(quán)控制算法描述如圖6所示。應(yīng)用系統(tǒng)通過調(diào)用統(tǒng)一接口，解析用戶對(duì)應(yīng)的XMLBeans文檔并逐一進(jìn)行權(quán)限功能比較，如果用戶有此權(quán)限則允許此用戶訪問，否則返回用戶無權(quán)訪問此功能的提示信息。

算法中，生成用戶XMLBeans文檔的時(shí)間和空間復(fù)雜度都占比較大數(shù)量級(jí)，系統(tǒng)管理員一般選擇并發(fā)數(shù)量較小的時(shí)間段來執(zhí)行此程序，以減輕服務(wù)器負(fù)擔(dān)，訪問應(yīng)用系統(tǒng)只需解析XMLBeans文檔來獲取用戶訪問權(quán)限，相對(duì)于RBAC模型減少了合并用戶靜態(tài)權(quán)限集所花費(fèi)的時(shí)間，同時(shí)減輕了身份認(rèn)證服務(wù)器及數(shù)據(jù)庫服務(wù)器負(fù)擔(dān)，提高了權(quán)限獲取效率。

5 系統(tǒng)實(shí)現(xiàn)及關(guān)鍵代碼解析

系統(tǒng)實(shí)現(xiàn)環(huán)境:Pentium(R)4 2.4 GB，2 GB DDR內(nèi)存，320 GB硬盤，教育網(wǎng)絡(luò)。軟件開發(fā)環(huán)境:Microsoft Windows XP Professional、J2EE 平臺(tái)、Tomcat服務(wù)器、面向?qū)ο蟮慕ＵZ言 UML等。開發(fā)工具使用了MyEclipse 6.0.1，選擇了Java語言進(jìn)行開發(fā)。為實(shí)現(xiàn)應(yīng)用系統(tǒng)管理員登錄系統(tǒng)后實(shí)現(xiàn)對(duì)系統(tǒng)用戶、角色、權(quán)限信息的管理與維護(hù)，結(jié)合SOA架構(gòu)，設(shè)計(jì)了權(quán)限管理Web Services供應(yīng)用系統(tǒng)調(diào)用，下面對(duì)實(shí)現(xiàn)該服務(wù)的關(guān)鍵代碼進(jìn)行解析。

圖5 更新用戶靜態(tài)權(quán)限集XMLBeans文檔算法

5.1 CreateXmlServlet類解析

CreateXmlServlet類用來實(shí)現(xiàn)角色或權(quán)限發(fā)生變更的用戶重新產(chǎn)生靜態(tài)權(quán)限集XMLBeans文檔，實(shí)現(xiàn)用戶權(quán)限集的同步更新。在 Create-XmlServlet類中，首先調(diào)用AlertDao類中方法查詢數(shù)據(jù)庫中用戶角色或權(quán)限發(fā)生變更表中標(biāo)識(shí)為未處理的用戶賬號(hào)，然后依次遍歷用戶賬號(hào)，并調(diào)用UserPermission對(duì)象依次合并用戶靜態(tài)權(quán)限集重新生成XMLBeans文檔，同時(shí)將處理完后的用戶標(biāo)識(shí)更新為已處理，實(shí)現(xiàn)此流程的關(guān)鍵代碼如圖7所示。

圖6 用戶訪問應(yīng)用系統(tǒng)功能控制算法

其中Alert為封裝alertuser信息的實(shí)體類，AlertDao為實(shí)現(xiàn)對(duì)alertuser表的操作類，UserPermission為實(shí)現(xiàn)用戶權(quán)限的管理維護(hù)類。程序中使用ArrayList對(duì)象來暫存數(shù)據(jù)，doc2XmlFile為創(chuàng)建XML文檔的方法。

5.2 XMLBeans文檔解析

統(tǒng)一身份認(rèn)證系統(tǒng)管理員選擇適當(dāng)時(shí)間(用戶并發(fā)數(shù)小)調(diào)用執(zhí)行CreateXmlServlet類中程序，來完成合并用戶靜態(tài)權(quán)限集，為用戶權(quán)限或角色發(fā)生變更的用戶重新生成XMLBeans的文檔，如:賬號(hào)為“200601001”的用戶角色發(fā)生變更，會(huì)重新生成一個(gè)文檔名為“200601001.XML”的文檔，文檔訪問地址為:http://192.168.1.238:8080/hnyPortalprj/userxml/200601001.xml，文檔內(nèi)容如圖8所示。

圖7 解析XMLBeans代碼

圖8 合并用戶權(quán)限集重新生成的XMLBeans文檔結(jié)構(gòu)

其中，userId為用戶賬號(hào)，appid為應(yīng)用系統(tǒng)編號(hào)，pid為應(yīng)用系統(tǒng)功能編號(hào)。數(shù)字化校園中各應(yīng)用系統(tǒng)可調(diào)用通用接口對(duì)XMLBeans文檔進(jìn)行解析，實(shí)現(xiàn)對(duì)應(yīng)用系統(tǒng)資源的訪問控制和用戶權(quán)限的驗(yàn)證。

6 系統(tǒng)運(yùn)行及測試

測試環(huán)境在數(shù)字化校園中進(jìn)行，由多個(gè)應(yīng)用系統(tǒng)組成，這些系統(tǒng)分別部署在不同的應(yīng)用服務(wù)器上，網(wǎng)站門戶集中了所有應(yīng)用系統(tǒng)鏈接。功能測試結(jié)果，本系統(tǒng)能夠正確解析XMLBeans文檔，并獲取用戶權(quán)限，管理員能進(jìn)入系統(tǒng)給用戶分配角色，授予相關(guān)權(quán)限。

性能測試是通過LoadRunner測試工具模擬20個(gè)并發(fā)用戶同時(shí)登錄訪問“報(bào)到收費(fèi)系統(tǒng)”，通過解析XMLBeans文檔，獲取用戶權(quán)限，實(shí)現(xiàn)多個(gè)功能操作，最后執(zhí)行結(jié)果，通過交易總數(shù)為400，總吞吐量為54 368 610 B，平均吞吐量為22 844 B/s總hits數(shù)為920，每秒平均hits數(shù)為3.866。

從測試結(jié)果可以看出，隨著user負(fù)載減少，平均事務(wù)響應(yīng)時(shí)間圖顯示性能時(shí)間逐漸得到改善，服務(wù)器性能(平均響應(yīng)時(shí)間0.485 s)在可以接受的范圍內(nèi)，滿足權(quán)限獲取性能需求。應(yīng)用系統(tǒng)運(yùn)行狀況良好，能夠較好地解析XMLBeans文檔進(jìn)行權(quán)限驗(yàn)證，提高了資源訪問效率。

7 結(jié)語

改進(jìn)的RBAC模型仍具有傳統(tǒng)RBAC模型的權(quán)限分配管理的體系結(jié)構(gòu)、靈活性和優(yōu)勢。由于采用XMLBeans文檔存儲(chǔ)用戶權(quán)限，可以實(shí)現(xiàn)用戶權(quán)限的系統(tǒng)無關(guān)性，降低了模型對(duì)應(yīng)用系統(tǒng)的依賴，增強(qiáng)了權(quán)限管理系統(tǒng)的通用性。對(duì)于用戶權(quán)限相對(duì)穩(wěn)定的系統(tǒng)，因其用戶權(quán)限直接從XMLBeans文檔中讀取，而不必進(jìn)行角色權(quán)限集的合并運(yùn)算，在用戶權(quán)限獲取效率上有所改善和提高，適合于實(shí)現(xiàn)用戶眾多、信息客體數(shù)量龐大、用戶所委派角色繁多、用戶權(quán)限相對(duì)穩(wěn)定的數(shù)字化校園環(huán)境下的訪問控制。

［1］鐘麗麗.基于角色的跨域訪問控制模型研究［D］.金華:浙江師范大學(xué)，2011.

［2］寧運(yùn)飛.信息系統(tǒng)訪問控制模型研究與應(yīng)用［D］.長沙:中南大學(xué)，2010.

［3］封孝生，王楨文，黎湘運(yùn).P2P中基于信任和屬性的訪問控制［J］.計(jì)算機(jī)科學(xué)，2011，38(2):28-31，41.

［4］池亞平，楊磊，李兆斌.基于平臺(tái)可信等級(jí)的RBAC模型研究與改進(jìn)［J］.計(jì)算機(jī)工程與設(shè)計(jì)，2011，32(12):3989-3992.

［5］江南，王士同，賀楊成.關(guān)于改進(jìn)的RBAC模型研究及應(yīng)用實(shí)現(xiàn)［J］.微計(jì)算機(jī)信息，2011(3):169-177.

［6］鄧勇，張琳，王汝傳，等.網(wǎng)格計(jì)算中基于信任度的動(dòng)態(tài)角色訪問控制的研究［J］.計(jì)算機(jī)科學(xué)，2010，37(1):51-54.

［7］馮俊，王箭.一種基于T-RBAC的訪問控制改進(jìn)模型［J］.計(jì)算機(jī)工程，2012，38(16):138-141.

［8］李寒，郭禾，王宇新，等.用基于RBAC的方法集成遺產(chǎn)系統(tǒng)的訪問控制策略［J］.計(jì)算機(jī)科學(xué)，2011，38(7):126-129，138.

［9］劉強(qiáng)，王磊，何琳.RBAC模型研究歷程中的系列問題分析［J］.計(jì)算機(jī)科學(xué)，2012，39(11):13-18.

［10］周彥萍，崔彥軍.PMI授權(quán)管理系統(tǒng)設(shè)計(jì)與實(shí)現(xiàn)［J］.微機(jī)發(fā)展，2012(1):228-232.