当今的时代是网络化的时代,一切可被电子化的数据穿梭于网络之间,我们的工作、生活与网络前所未有的贴近,从电子商务,电子政务,电子金融,企业信息、流程管理,现实生活中的应用都在网络上出现了电子化的版本,通过这些网络应用我们的生活变得更便捷,工作变得更高效。现实生活中我们谈隐私的保密性,谈财产的安全性,在网络中安全依然是个必须考虑的主题,否则网络就无法融入生活,无法达到实用的效果。 目前的网络服务已从C/S(Client/Server)模式的转向了B/S(Browser/Server)的模式,或者基于WebService的模式。我们称建立在B/S,WebService模式下的应用为WEB应用。解决WEB应用的安全性问题无论在理论上还是工程上都是热点问题。WEB应用的模式灵活多样,安全需求也层出不穷,这些特点使得在工程中开发人员对于如何满足应用的安全需求,怎样实现常常需要耗费许多的精力。并且常常每开发一个新的应用都需要再次从头开始考虑安全性问题,这在提倡软件重用,建立企业软件产品线的概念的趋势下显得格格不入。因此本文从需求出发结合较为前沿的AOP(Aspect Oriented Programming)的设计概念,基于RBAC(Role Based Access Control)的访问控制模型,探讨了一个通用型的具有轻量级、可伸缩、可扩展特性的WEB应用安全框架的总体设计。并提出了用以支撑设计概念的关键技术:面向方面的安全性切入;安全框架的灵活组装;RBAC模型的实现方案。本文的特点在于设计方案配合实际的应用逻辑来说明,体现了理论与实际的结合的理念。 本文还针对一些前沿的网络应用模式如WEB2.0模式,WebService架构模式,分析其在安全性方面的需求,并配合安全框架的设计展现了将框架应用于这些模式的方案,以及一些实施的成果。