随着计算机网络与分布式计算技术的日趋成熟,基于MVC模式的J2EE多层Web框架逐渐成为一种开发分布式企业级应用的主流架构。目前的J2EE的主流架构已从C/S(Client/Server)模式的转向了B/S(Browser/Server)的模式,或者基于Web Service的模式。我们称建立在B/S,Web Service模式下的应用为Web应用。当今网络化的时代,出现了各种各样的Web应用,包括电子商务、电子政务、电子金融、企业信息、流程管理等等与我们的生活密切相关的应用,都在网络中出现了电子化的版本。与现实生活中一样,网络也需要解决个人隐私信息的安全性问题。Web应用的安全性问题无论在理论上还是工程上都是热点问题。Web应用的模式灵活多样,安全需求也层出不穷,这些特点使得在工程中开发人员对于如何满足应用的安全需求,怎样实现常常需要耗费许多的精力。并且常常每开发一个新的应用都需要再次从头开始考虑安全性问题,这在提倡软件重用,建立企业软件产品线的概念的趋势下显得格格不入。在这种情况下,各种通用性的安全框架不断出现,但其中大多数都没有考虑到可伸缩,可扩展,可重用性等开发人员迫切的需求。而层次化、模块化开发思想的流行,更需要有一种能够以较小的代价整合进Web应用的安全框架的出现。本文深入研究了基于RBAC(Role Based Access control)的访问控制模型,提出了一个通用型的WEB应用安全框架的总体设计,并提供了用以支撑设计概念的关键技术:安全框架的灵活组装与RBAC模型的实现方案。该实现方案具有轻量级、可伸缩、可扩展的特点。各类资源应以客体的形式分配给角色,用户通过其对应的角色和访问控制策略来确定拥有哪些权限以访问特定的资源。本文的特点在于设计方案配合实际的应用逻辑来说明,体现了理论与实际的结合的理念。