随着互联网技术的不断发展,绝大多数企事业单位为了更方便地管理和发布信息,已经开始构建或升级基于B/S模式的Web信息系统。由于B/S模式自身的特点,其对安全的访问控制能力较弱,所以,如何构建安全的Web信息系统已经成为当前的一个研究热点。而采用细粒度的访问控制能够在一定程度上提高Web信息系统的安全性以及访问控制的灵活性。文中首先分析了Web信息系统及其客体的一般结构,对NIST的RBAC模型在客体方面进行了相应扩展,给出了OHRBAC模型及其形式化描述;其次,设计并开发了细粒度访问控制中间件—OHRBAC4J,从MVC编程模式的角度详细阐述了其在视图层和控制器层的模块化实现;最后,通过某高校人事信息管理系统分析了OHRBAC4J中间件的具体应用,以及如何基于该中间件构建多Web信息系统的统一访问控制。细粒度访问控制中间件OHRBAC4J实现了Java Web信息系统中页面元素级和控制器层响应方法级的访问控制,与已有的方案相比具有更细的控制粒度和更高的执行效率,可以大大提高系统的安全性和访问控制的灵活性。而且,模块化的方法不但方便了系统的开发、测试、升级和维护,还提高了系统的整体性能和可移植性,具有较强的适用能力。同时,本文对RBAC模型在客体方面的扩展,对促进同类问题的研究具有一定的理论价值和借鉴意义。