CN101547117B

CN101547117B - 充分体现“分级分权”的安全框架

Info

Publication number: CN101547117B
Application number: CN2009100151049A
Authority: CN
Inventors: 刘鹏; 黄三伟; 刘宗福; 刘春�
Original assignee: CVIC Software Engineering Co Ltd
Current assignee: CVIC Software Engineering Co Ltd
Priority date: 2009-05-07
Filing date: 2009-05-07
Publication date: 2011-04-20
Anticipated expiration: 2029-05-07
Also published as: CN101547117A

Abstract

本发明是一种充分体现“分级分权”的安全框架，包括如下部分：数据授权：在配置文件中定义不同的角色，给角色赋予查看数据时不同的权限；数据验证：在获取数据之前，首先获取数据授权，然后获取数据，再根据数据授权过滤掉不允许查看的数据；功能授权：在配置文件中定义不同的角色，给角色赋予功能调用的不同权限；功能验证：在调用方法之前，首先获取功能授权，然后调用方法，在根据授权过滤掉不允许访问的方法。该发明的整体优点是：充分体现“分级分权”的安全框架，使用简单，不需要应用代码中季节编写任何与安全有关的代码而达到保护应用系统的目的。分级分权的安全框架实现了应用系统与安全性之间的低耦合。

Description

充分体现“分级分权”的安全框架

技术领域

本发明涉及一种充分体现“分级分权”的安全框架，即InforGuard监管平台充分体现“分级分权”的安全框架。

背景技术

在现实生活中，企业往往采用了具有层次结构的组织结构，而“角色”这一概念较好的抽象出这一模型，角色同组织架构很好的融入到一起，不同组织拥有的权限也不一样。

对于管理员采用分级分权的管理，不同级别的管理者分配给不同的管理对象和管理权限，让网络管理层次和企业的管理层次相一致，譬如机房管理员可以只管理本机房的所有主机和网站。

现在的论坛中，使用登录名称和密码的验证方式。论坛的版主、管理员和会员拥有不同的权限。他们看到的信息也不一样。管理员拥有最大权限，而会员的权限最小。根据会员积分的不同能够访问的板块也不一样。这就是一个分级分权的应用。

发明内容

本发明的目的就是针对上述的不足，提供了一种充分体现“分级分权”的安全框架，能够通过保护方法调用在更底层的级别上强制安全性，通过使用安全框架，以确保用户只有在拥有恰当授权时才能调用受保护的数据和方法；可以授权只有指定的人员才可以查看日志、告警等内容敏感信息，其他人员只能查看统计、分析、报表等统计信息。

充分体现“分级分权”的安全框架，根据不同的角色授予不同的权限。

使用Spring AOP将“切面”应用于对象，以确保只有用户在拥有恰当授权时才能调用受保护的方法。

使用分级分权的安全框架扩展性好，不需要修改现有代码，只需要修改配置文件就可以验证新增业务逻辑的授权。

本发明提供的充分体现“分级分权”的安全框架的实现方法，包括如下部分：

数据授权：在配置文件中定义不同的角色，给角色赋予查看数据时不同的权限；

数据验证：在获取数据之前，首先获取数据授权，然后获取数据，再根据数据授权过滤掉不允许查看的数据；

功能授权：在配置文件中定义不同的角色，给角色赋予功能调用的不同权限；

功能验证：在调用方法之前，首先获取功能授权，然后调用方法，在根据授权过滤掉不允许访问的方法。

数据验证和功能验证的过程是一样的，具体为：当已认证的用户通过手中持有的角色集合操控目标资源时，分级分权安全框架内置的拦截器会采用公平投票机制评估这一举动；调用到目标资源前，目标用户需要经过拦截器的预处理，即检查他的身份是否符合目标资源设定的权限要求；调用后，拦截器会审核操作结果删除没有权限查看的数据和功能。

该发明的整体优点是：充分体现“分级分权”的安全框架，使用简单，不需要在应用代码中编写任何与安全有关的代码而达到保护应用系统的目的。分级分权的安全框架实现了应用系统与安全性之间的低耦合。

附图说明

图1为本发明实施例的流程图。

具体实施方式

下面将对本发明的实施方式进行详细说明。

一种充分体现“分级分权”的安全框架，包括如下部分：

拦截器参与了验证。拦截器的作用：如附图1所示，用户向该系统发出请求，拦截器分析这个请求是调用功能的请求还是数据请求。如果是功能请求，调用功能前，在功能权限XML文件中，过滤器先获取调用功能的权限，过滤掉不能够调用的功能。如果是数据请求，先获取数据，再根据数据权限的XML描述过滤掉哪些不允许被查看的数据。

例如：

public void doFilter(ServletRequest request，ServletResponse

response，

FilterChain chain)throws IOException，ServletException

{

FilterInvocation fi＝new

FilterInvocation(request，response，chain)；

invoke(null)；

}

public void invoke(FilterInvocation fi)throws IOException，

ServletException{

if((fi.getRequest()！＝null)

&&

(fi.getHttpRequest().getAttribute(FILTER_APPLIED)！＝null &&

observeOncePerRequest)){

fi.getChain().doFilter(fi.getQequest()，

fi.getResponse())；

}else{

if(fi.getRequest()！＝null){

fi.getRequest().setAttribute(FILTER_APPLIED，

Boolean.TRUE)；

}

//事前评估

InterceptorStatusToken token＝super.beforeInvocation(fi)；

try{//调用目标Web资源

fi.getChain().doFilter(fi.get Request()，fi.getRespose())；

}finally{//事后审查

super.aftervocation(token，null)；

}

事前评估：

下面的配置信息，其中accessDecisionManager属性正是完成事前评估的

<bean id＝″filterBeforeFunction″

class＝″org.cvicse.intercept.FilterFunction″>

<value>SECURED/secured.zul＝ADMIN</value>

</property>

</bean>

上述httpRequestAccessDecisionManager accessManager的定义如下，开发者需要为AffirmativeBased配置若干投票器

<bean id＝″accessManager″

class＝″org.cvicse.vote.Affirmative″>

<list>

</list>

</property>

</bean>

事后审查：

用户操控到目标资源后，调用结果可能会返回一个领域对象集合，但是并不是任意用户都能够操作到任意领域对象的，我们需要保护他们！

在实施领域对象级的访问控制时(事后审查)，分级分权的安全框架的AfterInvocationManager充当了非常主要的角色，他会对业务对象操作的结果进行审查。

<bean id＝″contactManager″

class＝″org.civcse.intercept.method.MethodInterceptor″>

</property>

</property>

</property>

<value>

com.civcse.messageManager.searchById＝USER，ADMIN

com.civcse.messageManager.update＝USER，ADMIN

com.civcse.messageManager.add＝ADMIN

com.civcse.messageManager.update＝ADMIN

com.civcse.messageManager.delete＝ADMIN

</value>

</property>

</bean>

Claims

1.一种充分体现“分级分权”的安全框架的实现方法，其特征在于包括如下部分：

功能验证：在调用方法之前，首先获取功能授权，然后调用方法，再根据授权过滤掉不允许访问的方法；

其中，数据验证和功能验证的过程是一样的，具体为：当已认证的用户通过手中持有的角色集合操控目标资源时，分级分权安全框架内置的拦截器会采用公平投票机制评估这一举动；调用到目标资源前，目标用户需要经过拦截器的预处理，即检查他的身份是否符合目标资源设定的权限要求；调用后，拦截器会审核操作结果删除没有权限查看的数据和功能。