基于ldap的web统一身份认证的研究与实现

《基于ldap的web统一身份认证的研究与实现》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、基于LDAP的Web统一身份认证的研究与实现：结合实例介绍了基于LDAP的统一身份认证系统的完整实现过程。系统采用LDAP储用户认证信息，可以构建复杂的分布式目录结构。在LDAP存储模型的基础上，系统实现了统一的用户认证信息管理系统，可以通过统一的界面和逻辑对用户认证信息进行集中管理。关键词：LDAP；JNDI；统一身份认证服务1概述随着高校、政府、企业信息化建设的不断发展，基础设施的不断投入与升级，基于ARGIN:0cm0cm0pt"class=MsoNormal>目前最常见的解决方案是对于每个应用系统建立独立的身

2、份认证模块，使用独立的身份认证机制对用户进行认证授权。这种机制最明显的缺点是众多用户必须面对系统重复输入账号，口令等信息，不仅繁琐并且容易出现口令丢失；此外，X上诸如口令等敏感信息的分布式存储，给黑客造就了许多机会，大大降低了数据安全性。基于LDAP的统一身份认证管理系统采用统一的信息数据库存储用户信息，有效的解决了上述问题，同时也避免了由于各个应用系统独立进行用户认证所造成重复开发[2]。2基于LDAP的用户认证信息管理系统的结构目录服务是一个特殊的逻辑信息数据库。它对读、浏览和搜索进行了优化，具备了完善的安全控制

3、机制，可以用来保存描述性的、基于属性的信息，并且具有支持复杂过滤搜索能力[3]。在建立了LDAP目录服务来存储用户认证信息后，接下来还必须开发统一的用户认证信息管理系统，以便于用户注册以及修改、查询认证信息。在开发用户认证信息管理系统时可以通过JNDI(JavaNamingandDirectoryInterface，Java命名和目录服务接口)来访问LDAP目录服务。JNDI体系结构如图1所示。JNDI的优点是对客户提供了一个一致的编程接口。由图1可以看到，JNDI结构包括两组API：JNDIAPI和JNDISPI(

4、ServiceProviderInterface)。Java应用程序通过JNDIAPI访问各种命名及目录服务；JNDISPI使得各种命名及目录服务能够透明地加入到JNDI结构中，如图2中的LDAP、AD(ActiveDirectory)等不同的目录服务就是通过JNDISPI以及ADSPI加入到JNDI结构中的，这样就屏蔽了各种目录服务实现方式的区别，用户能够通过统一的JNDI接口调用各种类型的目录服务。由此可见，在应用程序中通过JNDI可以很方便地访问各种目录服务[4]。CLIENTJNDIAPILDAPSPIADS

5、PILDAPAPIADAPIADSERVERLDAPSERVER图1JNDI体系结构图3统一身份认证服务的实现在建立了用户认证信息的LDAP存储模型以及基于LDAP的用户认证信息管理系统后，接下来要开发“统一身份认证服务系统”，该系统的功能是建立一个能够服务于所有应用系统的统一的身份认证系统，每个应用系统都通过该认证系统来进行用户的身份认证，而不再需要开发各自独立的用户认证模块。同时，由“统一身份认证服务”来实现统一的用户认证机制，即统一从已建立的LDAP目录服务器中查询用户认证信息，然后按照统一的认证规则进行校验，

6、从而提高了系统的整体安全性。我们学院的“统一身份认证服务”是采用JavaServlet、JSP等技术编写的基于MVC设计模式的ARGIN:0cm0cm0pt"class=MsoNormalalign=center>ARGIN:0cm0cm0pt"class=MsoNormal>统一身份认证服务LDAP目录服务图2统一身份认证服务第一步：当用户首次登录一个应用系统时，该应用系统应自动将用户浏览器重定向到“统一身份认证服务”的登录页面。接着，“统一身份认证服务”根据用户填写的登录信息从LDAP目录服务器中检索该用户的相关

7、认证信息并进行校验。若校验失败，该用户将被拒绝进入应用系统；若校验成功，用户浏览器会自动返回到最初登录的应用系统。为了使“统一身份认证服务”能够自动返回到应用系统，在重定向到“统一身份认证服务”的登录页面时，还需要传递service参数，service参数值就是用户最初登录的应用系统的链接地址，这样，“统一身份认证服务”0在校验成功后就可以按照service参数值返回到应用系统。第二步：若认证成功，“统一身份认证服务”会自动返回到用户最初登录的应用系统，同时会传递ticket参数。ticket参数值是由“统一身份认证

8、服务”自动创建的随机字符串。ticket值是与当前已成功认证的用户名绑定的。例如：用户zhangsh要登录应用系统S，若认证成功，则“统一身份认证服务”会创建一个ticket参数T，T表示只允许用户zhangsh访问应用程序S，而且这个ticket参数使用一次后即作废。第三步：应用系统在收到ticket参数值后还需要校验收到的ticket参数值