Struts应用的安全问题研究.pdf
需积分: 0 115 浏览量
2007-08-24
12:39:29
上传
评论 1
收藏 119KB PDF 举报
第
１５
卷第
３
期
Ｖｏｌ．１５ Ｎｏ．３
Ｊｕｎ． ２００７
０
引言
Ｗｅｂ
应用的安全层次可分为：
（
１
） 使用
ｈｔｔｐｓ
实现的运输层安全；
（
２
） 授权和认证层次的安全；
（
３
） 基于角色访问控制的安全；
（
４
） 容器管理的安全；
（
５
） 应用程序管理的安全。
在开发一个系统时， 关键的任务是识别哪些安全
需求可以通过标准的安全机制得到满足， 哪些安全需
求需要有定制的解决方案。本文主要讨论
Ｓｔｒｕｔｓ
应用
管理的安全。
Ｓｔｒｕｔｓ
框架提供了一种基于
Ａｃｔｉｏｎ
的安全设置，
该方法通过
Ｓｔｒｕｓｔ－ ｃｏｎｆｉｇ．ｘｍｌ
中
Ａｃｔｉｏｎ
映射的
ｒｏｌｅｓ
参
数来设置有权访问某个
Ａｃｔｉｏｎ
的用户角色。在此基础
上，
Ｓｔｒｕｔｓ
通过调用
ＲｅｑｕｅｓｔＰｒｏｃｅｓｓｏｒ
类的
ｐｒｏｃｅｓｓＲｏｌｅｓ
（ ） 方法（ 可以覆盖该方法以实现自己的处理逻辑， 进行
定制的角色处理） 来判断登录的用户是否属于有权调
用该
Ａｃｔｉｏｎ
的用户角色。
Ｓｔｒｕｔｓ
框架本身以及
Ｓｔｒｕｔｓ
运行所依赖的
Ｗｅｂ
容
器
（ 如
Ｔｏｍｃａｔ
） 都只提供了一种粗糙的安全访问控制，
这不能满足
Ｗｅｂ
应用个性化的定制安全需求。
文献［
１
］ 讨论了通过安全附加码实现
Ｓｔｒｕｔｓ
应用
的安全设计
， 这是在表示层实现的安全。文献［
２
］ 从数
据传输的角度考虑了安全性， 基于
Ｓｔｒｕｔｓ
实现了浏览
器到服务器、服务器到浏览器之间的信息传送加解密
模块。实际上， 采用
ｈｔｔｐｓ
协议即可实现信息传送的安
全保护
， 后者的方法或
ｈｔｔｐｓ
对性能都有着巨大影响，
为了减少这种影响， 折中的办法是在登录和敏感数据
提交时使用
ｈｔｔｐｓ
， 数据输入后就转回到
ｈｔｔｐ
协议。容
器管理的安全不支持这种协议转换， 因为存在严重的
安全漏洞， 不过， 与
Ｓｔｒｕｔｓ
集成的某些机制可以支持这
种协议转换。
在
Ｊａｖａ ｓｅｒｖｌｅｔｓ
、
ＪＳＰ
， 、
ｃｕｓｔｏｍ ｔａｇｓ
等
Ｊ２ＥＥ
标准技
术基础之上构建的
Ｓｔｒｕｔｓ
框架， 其扩展性非常好，
Ｓｔｒｕｔｓ
自身的
Ｖａｌｉｄａｔｏｒ
和
Ｔｉｌｅｓ
框架就是利用了
Ｓｔｒｕｔｓ
所提
供的扩展机制生成的
［
３
，
４
］
。本文从扩展
Ｗｅｂ
容器所提供
的
ｓｅｒｖｌｅｔ
类以及
Ｓｔｒｕｔｓ
框架所提供的诸如
ｔａｇｓ
类、
Ａｃ－
ｔｉｏｎＭａｐｐｉｎｇ
类的相关部分入手， 提出了一种更为精细
的页面级和属性级的安全访问控制模型。
１
使用
Ｓｅｒｖｌｅｔ Ｆｉｌｔｅｒｓ
的安全扩展
Ｓｅｒｖｌｅｔ２．３
增 加 了
ｊａｖａｘ．ｓｅｒｖｌｅｔ．Ｆｉｌｔｅｒ
接 口 。 一 个
ｆｉｌｔｅｒ
就是一个对
Ｗｅｂ
资源请求或响应过程进行过滤
第
１５
卷第
３
期
２ ０ ０ ７
年
６
月
电 脑 与 信 息 技 术
Ｃｏｍｐｕｔｅｒ ａｎｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ
文章编号：
１００５－ １２２８
（
２００７
）
０３－ ００６１－ ０３
Ｓｔｒｕｔｓ 应用的安全问题研究
廖治凯， 周新梅
（郴州职业技术学院， 湖南 郴州
４２３０００
）
摘 要： 文章对
Ｓｔｒｕｔｓ
应用的安全问题进行了分析和研究， 通过实现
Ｆｉｌｔｅｒ
接口和扩展
ＴｅｘｔＴａｇ
类建立了一种不影响系统
性能、适应性广且能同时对
Ｗｅｂ
资源进行页面级和属性级安全控制的模型。在具体实现中， 运用了
ｗｅｂ．ｘｍｌ
配置文件和
自定义的
ＳｅｃｕｒｉｔｙＨｅｌｐｅｒ
接口。
关键词：
Ｓｔｒｕｔｓ
； 安全性； 页面级； 属性级； 扩展性
中图分类号
：
ＴＰ３１１
文献标识码：
Ａ
Ｓｔｕｄｙ ｏｎ Ｓｅｃｕｒｉｔｙ Ｉｓｓｕｅｓ ｏｆ Ｓｔｒｕｔｓ－ ｂａｓｅｄ Ａｐｐｌｉｃａｔｉｏｎｓ
ＬＩＡＯ Ｚｈｉ－ Ｋａｉ
，
ＺＨＯＵ Ｘｉｎ－ ｍｅｉ
（
Ｃｈｅｎｚｈｏｕ Ｖｏｃａｔｉｏｎａｌ Ｔｅｃｈｎｉｃａｌ Ｃｏｌｌｅｇｅ
，
Ｃｈｅｎｚｈｏｕ
，
Ｈｕｎａｎ ４２３０００
，
Ｃｈｉｎａ
）
Ａｂｓｔｒａｃｔ
：
Ｔｈｅ ｐａｐｅｒ ａｎａｌｙｓｅｓ ａｎｄ ｓｔｕｄｙ ｔｈｅ ｓｅｃｕｒｉｔｙ ｉｓｓｕｅｓ ｏｆ Ｓｔｒｕｔｓ－ ｂａｓｅｄ ａｐｐｌｉｃａｔｉｏｎｓ
，
ｂｕｉｌｔｓ ａ ｋｉｎｄ ｏｆ ｍｏｄｅｌ ｔｈｒｏｕｇｈ
ｉｍｐｌｅｍｅｎｔｉｎｇ Ｆｉｌｔｅｒ ｉｎｔｅｒｆａｃｅ ａｎｄ ｅｘｐａｎｄｉｎｇ ＴｅｘｔＴａｇ ｃｌａｓｓ．Ｔｈｉｓ ｍｏｄｅｌ ｈａｓ ｎｏ ｅｆｆｅｃｔ ｏｎ ａｐｐｌｉｃａｔｉｏｎ ｐｅｒｆｏｒｍａｎｃｅ
，
ｈａｓ ａ ｇｏｏｄ
ｅｘｐａｎｓｉｂｉｌｉｔｙ ａｎｄ ｃａｎ ｃａｒｒｙ ｏｕｔ ｐａｇｅ－ ｌｅｖｅｌ ＆ ｆｉｅｌｄ－ ｌｅｖｅｌ ｓｅｃｕｒｉｔｙ ｃｏｎｔｒｏｌ ｓｙｎｃｈｒｏｎｏｕｓｌｙ．Ｔｈｅ ｗｅｂ．ｘｍｌ ｆｉｌｅ ａｎｄ ｃｕｓｔｏｍｅｄ
ｉｎｔｅｒｆａｃｅ ＳｅｃｕｒｉｔｙＨｅｌｐｅｒ ａｒｅ ｕｓｅｄ ｉｎ ｔｈｉｓ ｐａｐｅｒ．
Ｋｅｙ ｗｏｒｄｓ
：
Ｓｔｒｕｔｓ
；
ｓｅｃｕｒｉｔｙ
；
ｐａｇｅ－ ｌｅｖｅｌ
；
ｆｉｅｌｄ－ ｌｅｖｅｌ
；
ｅｘｐａｎｓｉｂｉｌｉｔｙ
收稿日期：
２００７－ ０４－ ０９
作者简介： 廖治凯（
１９６８－
） ， 男， 湖南郴洲人， 讲师， 研究方向： 信息管理系统的开发与应用； 周新梅（
１９７３－
） ， 女， 湖南郴洲人， 讲师。
评论0
最新资源