随着网络门户技术的飞速发展,用户在门户中使用的应用系统越来越多,而每个应用系统往往都有自己的一套用户认证和授权方法,为了对用户进行统一的认证管理和授权,所以有必要将不同系统的各种认证方法集中到一个框架中,也就是需要有一个独立的、高安全性和可靠性的身份认证及权限管理系统,来完成对整个门户用户的身份认证和权限管理。因此建立一个统一的身份认证和用户管理系统,对各个应用系统的用户实现统一的认证、统一的管理和统一的授权也成为门户信息安全系统建设中的重要环节。JAAS是能够实现这种框架的Java版本。Java2安全框架提供的是基于代码源的存取控制方式,JAAS在此基础上还提供了基于代码运行者的存取控制能力。本文深入分析了JAAS技术,提出了一个基于JAAS的身份认证和授权框架,采用本文提出的框架可以较好的解决对身份认证和访问控制的统一管理问题。 作者在论文中的主要工作如下:首先简要介绍了身份认证的相关技术,包括各种身份认证机制、访问控制策略。其次分析了JAAS的体系结构,深入剖析了JAAS主题、JAAS认证机制和JAAS授权机制并对保存用户信息的LDAP进行了深入介绍。然后提出了基于JAAS的身份认证和授权的架构并依照这个思路给出了其关键部分的实现。最后,作者还给出了JAAS的认证授权在Web中的一种具体应用的设计和简单实现。