web应用系统安全方案设计与实现

《web应用系统安全方案设计与实现》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、石纪涛（中国人民解放军94362部队，山东青岛266111）摘要：基于WEB的应用系统开发是目前应用开发的主流方向，特别是在电子商务领域，这类应用系统更是如雨后春笋般不断涌现，但这些系统的安全问题并没统一的安全解决方案。文章为解决WEB应用系统的安全问题设计了一套解决方案，并结合目前主流应用技术给出了具体的实现方案。实践证明该方案具有很好的可行性和安全性能，能够很好的解决目前普遍存在的安全问题。关键词:网络应用系统；认证；基于角色的访问控制；可插拔认证与授权中图分类号：TP393文献标识码：A文章编号：1009-3044(20

2、11)05-1009-03SecuritySolutionDesignandRealizationforWeb-basedApplicationSHIJi-tao(94362PLATroops,Qingdao266111,China)Abstract:WEB-basedapplicationdevelopmentisthemainstreamdirectionofapplicationdevelopment,especiallyinthefieldofe-com-merce,thistypeofapplicationsisco

3、ntinuingmushrooming,butthesafetyofthesesystemshasnotaunifiedsecuritysolution.Thisarticledesignedasetofsecuritysolutionstoaddressthesafetyofthesesystems,andcombinedwithcurrentmainstreamtechnologyitgaveacon-creterealizationofthesolution.Practiceprovesthatthesolutionha

4、sgoodfeasibilityandsafetyperformance,canbeagoodsolutionformostofsecurityissuesatpresent.Keywords:WEB-basedsystem;authentication;Role-basedaccesscontrol;pluggableauthenticationandauthorization过去的几年中，因特网在中国蓬勃发展起来，因特网不但提供了强大的信息共享功能，而且现在这个网络已从一个文档发布平台向一个网络应用程序平台过渡，其中包含对

5、用户提交请求的业务逻辑处理。利用这些技术，一个用户可以将一个HTTP请求发送到一个可以执行的应用程序而不是一个静态的HTML页面文件。服务器根据收到的请求数据运行相应的程序，将处理后的数据或者从数据库中的数据提取或者更新，将结果返回给客户端。我国的网络硬件设施已形成了庞大的规模，企业在关键业务和行业部门开发了大量WEB应用系统，这给企业的信息化发展提供了很好的支撑，但同时也带来了新的威胁和风险，如服务中断、未授权的访问、信息窃取和篡改、病毒传播等。这样，安全性逐渐成为企业选择WEB应用系统解决方案的一个关键因素。要保证WEB应

6、用系统的安全性，需要一个设计完好的安全解决方案，本文就如何保障WEB应用系统的安全做了相关探讨，设计并实现了一套安全性高、可行性强的安全解决方案。1安全需求分析通过基于WEB的应用系统广大用户可以分布式地和服务器上的系统进行交互，用户和服务器之间涉及大批量的数据传递；用户能够通过不同的资源定位符访问服务器上的相关资源；服务器应用根据用户提交的数据不同将执行不同的处理过程最终返回请求响应。在这样的开放式交互环境中涉及的安全需求和以往的封闭环境中的安全需求大不相同，具体分析如下：1.1数据传输安全当用户填写并提交相关业务数据后，数

7、据将在不可信网络中传递，这时可能会有一些恶意用户在网络上窃听或者篡改敏感数据并将窃听到或篡改过的敏感数据用于不良目的。因此，确保数据在网络中传递的机密性和完整性将是基于WEB的应用系统必须解决的安全问题。1.2用户认证通过WEB应用系统，服务器方可以向英特网上的用户提供资源，但是资源提供方只想把资源提供给指定的一部分用户，这就必须解决WEB应用系统对访问用户的身份鉴别问题。1.3用户授权如果用户通过了认证系统的认证，那么用户将具有一定的权限。如果不对不同的用户加以区别，那么所有的用户都将具有管理员权限；然而通常的WEB应用系统

8、都具有不同的用户组，这就需要设计专门的权限控制系统来严格控制各类用户的权限，在保证用户能够访问授权页面的同时不能进行未授权页面访问，使系统的安全性得到保障。因此，必须解决用户授权问题。1.4前端数据验证由于WEB应用系统需要和广大用户进行交互，那么必然涉及用户输入并提交数据给