1. 引言（Introduction）
1.1. 關(guān)鍵詞定義（Definitions）
有關(guān)定義說(shuō)明如下：
安全管理：計算機技術(shù)安全管理的范圍很廣，可以包括網(wǎng)絡(luò )安全性、數據安全性、操作系統安全性以及應用程序安全性等。很多方面的安全性管理大都已經(jīng)有成熟的產(chǎn)品了，我們只需根據自己需要有選擇性的使用就可達到自己的目的了。本文中有關(guān)關(guān)涉及"安全管理"一詞均只針對本公司推出的應用中有關(guān)對象與數據而言范圍有限。
主體：即可以象應用系統發(fā)出應用請求任何實(shí)體，包括各種用戶(hù)、其它與本系統有接口的應用程序、非法入侵者。系統必須具有識別主體的能力，接口實(shí)際上也是由用戶(hù)登記的，故主要問(wèn)題是校驗用戶(hù)身份的合法性，系統應建立用戶(hù)鑒別機構以驗證用戶(hù)身份。
用戶(hù)：用戶(hù)就是一個(gè)可以獨立訪(fǎng)問(wèn)計算機系統中的數據或者用數據表示的其它資源的主體，我們用USERS表示一個(gè)用戶(hù)集合。用戶(hù)在一般情況下是指人。
權限：權限是對計算機系統中的數據或者用數據表示的其它資源進(jìn)行訪(fǎng)問(wèn)的許可。我們用PERMISSION表示一個(gè)權限集合?？煞譃閷ο笤L(fǎng)問(wèn)控制和數據訪(fǎng)問(wèn)控制兩種。
對象訪(fǎng)問(wèn)控制：用一個(gè)二元組來(lái)表示：（控制對象，訪(fǎng)問(wèn)類(lèi)型）。其中的控制對象表示系統中一切需要進(jìn)行訪(fǎng)問(wèn)控制的資源。我們將引入一套完整的資源表示方法來(lái)對系統中出現的各類(lèi)資源進(jìn)行定義和引用（詳見(jiàn)后述）。訪(fǎng)問(wèn)類(lèi)型是指對于相應的受控對象的訪(fǎng)問(wèn)控制，如：讀取、修改、刪除等等。
數據訪(fǎng)問(wèn)控制：如果不對數據訪(fǎng)問(wèn)加以控制，系統的安全性是得不到保證的，容易發(fā)生數據泄密事件。所以在權限中必須對對象可訪(fǎng)問(wèn)的數據進(jìn)行按不同的等級給予加密保護。我們同樣用一個(gè)二元組來(lái)表示：（控制對象，謂詞）。
權限最終可以組合成如下形式：（控制對象，訪(fǎng)問(wèn)類(lèi)型，謂詞）。
角色：角色是指一個(gè)組織或任務(wù)中的工作或位置，它代表了一種資格、權利和責任。我們用ROLES表示一個(gè)角色集合。
用戶(hù)委派：用戶(hù)委派是USERS與ROLES之間的一個(gè)二元關(guān)系，我們用（u,r）來(lái)表示用戶(hù)u被委派了一個(gè)角色r。
權限配置：權限配置是ROLES與PERMISSION之間的一個(gè)二元關(guān)系，我們用（r,p）來(lái)表示角色r擁有一個(gè)權限p。
2. 需求分析
根據我們在本行業(yè)多年積累下來(lái)的經(jīng)驗，參考了其它同行的成功經(jīng)驗整合了先進(jìn)的思想，我們有能力為我們自己的應用系統開(kāi)發(fā)一套功能完善而且又靈活方便的安全管理系統。使開(kāi)發(fā)人員從權限管理重復勞動(dòng)的負擔中解放出來(lái),專(zhuān)心致力于應用程序的功能上的開(kāi)發(fā)。通過(guò)收集公司從事MIS項目開(kāi)發(fā)經(jīng)驗豐富的軟件工程師對在各種情況下的對應系統的安性提出的需求做出了如下的總結。
本系統在安全管理方面要考慮如下幾個(gè)方面問(wèn)題。
2.1. 角色與用戶(hù)
需求：角色由用戶(hù)(這個(gè)用戶(hù)與下一行的"用戶(hù)"應該不是同一個(gè)定義,"客戶(hù)"好像合適一些?不錯，此處的用戶(hù)確是有些偏于指向我們合同意義的客戶(hù),但是我認為與下面定義的"用戶(hù)"不存在什么本質(zhì)上的區別,因為客戶(hù)最終也是以在系統中登記的用戶(hù)身份來(lái)使用本系統，用戶(hù)所能完成的功能也就是客戶(hù)的需求。兩者之間的細微區別讀者可自己通過(guò)上下文加區分)自行定義，根據業(yè)務(wù)崗位不同可以定義多個(gè)角色。
登錄系統，首先需要向系統申請注冊，同一個(gè)用戶(hù)只能在系統中登記一次。
用戶(hù)是登錄系統的楔子，角色是用戶(hù)權限的基礎。用戶(hù)可以扮演多個(gè)角色。
將某一角色授予某一用戶(hù)時(shí)，權限不能超越該角色權限，但可以小于該角色權限。
用戶(hù)口令與數據庫訪(fǎng)問(wèn)口令加密
分析說(shuō)明
每個(gè)用戶(hù)在系統中由一個(gè)唯的USERID標識。
用戶(hù)通過(guò)系統登錄界面登錄系統,系統通過(guò)加密算法驗證用戶(hù)身份和判斷用戶(hù)是否已經(jīng)登錄系統。如果登錄成功通知Application preference service和安全管理系統保存用戶(hù)登錄信息。
角色由用戶(hù)根據自己的設想的組織機構進(jìn)行添加設置，提供一個(gè)專(zhuān)門(mén)的模塊用來(lái)設置組織機構，用戶(hù)通過(guò)組織機構(定義?部門(mén)機構還是后面提到的"機構是實(shí)現和執行各種策略的功能的集合")方便地進(jìn)行角色管理。例如：用戶(hù)可以通過(guò)部門(mén)機構來(lái)進(jìn)行角色的管理，部門(mén)采用編號分層的方式,編號的每?jì)晌粸橐粋€(gè)層次。例如一級部門(mén)編號為兩位，二級部門(mén)編號為四位依此類(lèi)推下去直到將全廠(chǎng)部門(mén)機構建立樹(shù)狀結構圖。這類(lèi)數據僅為方便用戶(hù)管理角色而存在，在系統的其他方面不存在任何意義。
每個(gè)角色在系統中也是由一個(gè)唯一角色編號來(lái)標識，同時(shí)必須保存用戶(hù)所設置的機構信息，一般來(lái)說(shuō)每個(gè)角色只需要保存自己所在機構的代碼即可。 2.2. 菜單控制需求此菜單乃系統業(yè)務(wù)功能菜單。由業(yè)務(wù)功能模塊列表和用戶(hù)菜單定制共同組成。每個(gè)用戶(hù)可以擁有自己的菜單，也可以直接采用角色缺省菜單（當用戶(hù)同時(shí)充當多個(gè)角色并且權限重復時(shí)，重復的權限僅一次有效）
分析說(shuō)明
為了方便用戶(hù)進(jìn)行權限組織管理，需要在系統中建立一張業(yè)務(wù)功能模塊列表，在用戶(hù)界面上表示為樹(shù)狀分層結構。
業(yè)務(wù)功能模塊以用戶(hù)定制菜單來(lái)體現，仍然采用編號分層方式，編號的每?jì)晌粸橐粋€(gè)層次。并標明一個(gè)層次是子菜單還是業(yè)務(wù)模塊，子菜單只有一種可否被訪(fǎng)問(wèn)的權限設置，業(yè)務(wù)模塊權限由系統管理員或授權用戶(hù)進(jìn)行設置。對每個(gè)業(yè)務(wù)模塊設置它的對象控制、記錄增刪改控制和記錄集控制。當用戶(hù)擁有對業(yè)務(wù)模塊的某一權限時(shí)，必需對處于它上級的子菜單有可被訪(fǎng)問(wèn)的權限。刪除某一個(gè)級子菜單時(shí)將提示用戶(hù)他的下級菜單與功能模塊都將被刪除掉。
當用戶(hù)同時(shí)充當多個(gè)角色并且權限重復時(shí)，重復的權限僅一次有效，用戶(hù)擁有他充當的所有角色的權限的并集。
用戶(hù)與角色擁有的系統權限查詢(xún)時(shí)以業(yè)務(wù)功能模塊列表的樹(shù)狀結構顯示出來(lái)。
2.3. 對象控制
需求對象是指應用系統窗口中的可視對象，如菜單項、按鈕、下拉列表框、數據編輯控件及數據編輯控件的字段等。對象控制通過(guò)角色與用戶(hù)授權來(lái)實(shí)現。
對象控制包括對對象屬性的控制可對數據編輯控件中的數據記錄的維護權限：
對象屬性：使能/禁止、可視/屏蔽
記錄維護：增加、刪除、修改的組合 分析說(shuō)明
將每個(gè)業(yè)務(wù)模塊可進(jìn)行屬性設置的對象由程序員事先設定或由售后技術(shù)支持工程師指導用戶(hù)加入。
在系統管理員或授權用戶(hù)進(jìn)行設置業(yè)務(wù)模塊的每種權限時(shí)，設置用戶(hù)在擁有該業(yè)務(wù)模塊這種權限時(shí)的對象屬性。沒(méi)有設置屬性的對象在保存對象信息的時(shí)候，用戶(hù)權限信息中不被保存。 2.4. 記錄集控制
需求記錄集的控制是通過(guò)條件設置來(lái)實(shí)現，因此，需要控制記錄集的數據庫表需要設置專(zhuān)門(mén)的記錄集篩選字段，而篩選條件由用戶(hù)根據崗位自進(jìn)定義，建立過(guò)濾表，統一管理。
分析說(shuō)明
在對用戶(hù)設置業(yè)務(wù)模塊權限時(shí)，同時(shí)在過(guò)濾表中設置本模塊的數據編輯控件的數據篩選條件，篩選條件是組成SQL語(yǔ)句的WHERE條件子句迫使當前訪(fǎng)問(wèn)的模塊根據篩選條件對數據編輯控件的SQL語(yǔ)句進(jìn)行重組，并檢索數據。
當存在需要從數據庫中多個(gè)表取數據的情況時(shí)，過(guò)濾表中存在多條記錄，每一條記錄記錄一個(gè)數據編輯控件取數的篩選條件。
SQL語(yǔ)句的WHERE子句的生成與校驗可以通過(guò)的SQL語(yǔ)法分析服務(wù)，利用對象所提供的函數分析SQL語(yǔ)句，截取WHERE條件子句，校驗新組合的SQL語(yǔ)句的合法性。
2.5. 權限分布管理
需求上述提到的權限管理內容應該滿(mǎn)足既可集中管理，也可分散管理的目標。
分析說(shuō)明
權限管理由系統管理員集中管理，系統管理員工作負擔過(guò)大，難對所有崗位的分工有全面和具體的了解，對權限作出標準細致的劃分，對于大型的管理系統適合于把一部分設置權限的交由一些比較高級的用戶(hù)來(lái)進(jìn)行，有利于各崗位細致協(xié)調的工作。這就是權限的分散管理。
要實(shí)現權限的分散管理，就須對授權模塊進(jìn)行一些授權管理，這要求整個(gè)系統的授權安全管理工作要做到細致，不要出現權限的漏洞使一些高級用戶(hù)擁有過(guò)大的權限。
3. 方案設計
3.1. 安全保護策略
從上面各方面的需求分析來(lái)看，我們需要一套既行之有效，又方便靈活的安全管理方案。要采用各種控制機構和密碼保護技術(shù)。安全保護策略是設計安全可靠系統的準則，通常涉及下列幾個(gè)方面：
區分安全策略與安全機構。
策略是信息安全性的高級指導，策略出自對用戶(hù)要求，設備環(huán)境、機構規則、法律約束等方面的詳細研究。策略重要性在于指導作用。而機構是實(shí)現和執行各種策略的功能的集合。完善的機構是實(shí)施正確安全策略的物質(zhì)基礎。故一般要求機構能實(shí)現不同的策略，以便策略變動(dòng)時(shí)無(wú)需要更換安全機構。
安全策略：企業(yè)信息管理系統是一個(gè)大型的分布式數據資源管理系統，它包括信息量巨大以及不同程度的信息敏感度，各種有訪(fǎng)問(wèn)需求的用戶(hù)，使得其安全管理非常復雜?；诮巧南到y安全控制模型是目前國際上流行的先進(jìn)的安全管理控制方法。我們的安全管理系統也根據自身的需要有選擇性的吸收其部分思想。其特點(diǎn)是通過(guò)分配和取消角色來(lái)完成用戶(hù)權限的授予和取消，并且提供了角色分配規則和操作檢查規則。安全管理人員根據需要定義各種角色，并設置合適的訪(fǎng)問(wèn)權限，而用戶(hù)根據其責任和資歷再被指派為不同的角色。這樣，整個(gè)訪(fǎng)問(wèn)控制過(guò)程就分成兩個(gè)部分，即訪(fǎng)問(wèn)權限與角色相關(guān)聯(lián)，角色再與用戶(hù)關(guān)聯(lián)，從而實(shí)現了用戶(hù)與訪(fǎng)問(wèn)權限的邏輯分離，如下圖所示，角色可以看成是一個(gè)表達訪(fǎng)問(wèn)控控制策略的語(yǔ)義結構，它可以表示承擔特定工作的資格。
由于實(shí)現了用戶(hù)與訪(fǎng)問(wèn)權限的邏輯分離，基于角色的策略極大的方便了權限管理。例如，如果一個(gè)用戶(hù)的職位發(fā)生變化，只要將用戶(hù)當前的角色去掉，加入代表新職務(wù)或新任務(wù)的角色即可。研究表明，角色/權限之間的變化比角色/用戶(hù)關(guān)系之間的變化相對要慢得多，并且委派用戶(hù)到角色不需要很多技術(shù)，可以由行政管理人員來(lái)執行，而配置權限到角色的工作比較復雜，需要一定的技術(shù)，可以由專(zhuān)門(mén)的技術(shù)人員來(lái)承擔，但是不給他們委派用戶(hù)的權限，這與現實(shí)中情況正好一致。除了方便權限管理之外，基于角色的訪(fǎng)問(wèn)控制方法還可以很好的地描述角色層次關(guān)系，實(shí)現最少權限原則和職責分離的原則。 安全保護機構：本系統的安全保護機構基本上是于上面的安全策略相互適應的，系統保護的總體結構示意如下：
保護機構應負責阻止一切物理破壞和用戶(hù)可能的操作破壞，后者歸結為主體可用何種方式訪(fǎng)問(wèn)哪些對象。主體、訪(fǎng)問(wèn)類(lèi)型、對象是我們要討論的保護機構主要成分
安全管理的職責：安全管理有集中管理與分散管理兩種。前者意指一切權利都由負責系統安全工作的專(zhuān)職人員或小組組掌握，他(們)決定用戶(hù)的訪(fǎng)問(wèn)權利，控制系統安全一切方面。后者是指不同的管理員控制著(zhù)系統安全的不同方面，管理系統的不同部分，決定不同用戶(hù)的訪(fǎng)問(wèn)權利，甚至允許對象所有者轉讓訪(fǎng)問(wèn)對象的權利，集中管理，安全可靠但不靈活；分散管理則應考慮避免漏洞和協(xié)調一致的問(wèn)題。本系統因是針對大的集團企業(yè)管理的產(chǎn)品權限分配比較復雜，故采用了集中管理與分散管理相結合的形式。
訪(fǎng)問(wèn)控制策略。它提供決定用戶(hù)訪(fǎng)問(wèn)權利的依據。其中最重要的一個(gè)普遍的原則是"需者方知策略"(the need-to-know)。也就是說(shuō)，只有一個(gè)工作需要的，才是他應該知道的。它從原則上限制了用戶(hù)不必要的訪(fǎng)問(wèn)權利，從而堵截了許多破壞與泄露數據信息的途經(jīng)。按照這一原則授予用戶(hù)的權利，是用戶(hù)能完成工作的最小權利集合，故也稱(chēng)之為"最少特權策略"。
信息流動(dòng)控制。只限制用戶(hù)的訪(fǎng)問(wèn)權利而不考慮數據流動(dòng)是極其危險的。例如，在考勤時(shí)各部門(mén)的主管只能為自己部門(mén)的職員考勤，人事部可以提取全部數據，因此在提取數據時(shí)一定要加以限制?？刂茢祿鲃?dòng)以防止無(wú)權用戶(hù)在數據流動(dòng)后獲得訪(fǎng)問(wèn)權利。
密碼變換。對于非常機密數據可變換為密碼存貯，使得不知道密碼的入侵者無(wú)法破譯所得到的數據密碼。密碼變換能防止泄密，但不能保護數據信息不被破壞。
軟硬結合保護。這是安全保護的基本策略，許多硬保護功能是軟件難以實(shí)現的，有些即使能實(shí)現，效率也不高。
對安全遭到破壞的響應。各種保護機構都有可能遭到破壞，因此系統必須制訂檢測破壞手段與處置措施。
3.2. 安全管理機構分析
3.2.1. 功能框架示意圖
內部總體功能框架圖
外調用的功能框架示意圖
3.2.2. 主要功能組件的職責3.2.2.1. 對象定義工具與權限定義工具
對象定義工具。對象是指系統中各種功能模塊、數據、界面元素（包括菜單、按鈕等各種界面上能控制的控件）等，它們是主體能訪(fǎng)問(wèn)的各種對象。由于對象的機密程度不等，受到的保護程度亦有差別。系統中的對象均由程序員通過(guò)系統提供的對象定義工具事先定義好系統要控制的對象。系統也只能控制這些事先已定義好的對象，因此，對象定義是整個(gè)系統的核心步驟直接影響后面的各個(gè)安全控制環(huán)節。建議由開(kāi)發(fā)程序員進(jìn)行初始化配置。對象定義的包括如下幾步：
功能模塊定義：系統中除部分公用的界面、公用功能模塊外，其它均為業(yè)務(wù)功能模塊是用戶(hù)完成各自不同的業(yè)務(wù)功能的主要算途徑，也是我們安全管理要保護的重點(diǎn)對象，所以我們必須對業(yè)務(wù)功能模塊定義。有定義的功能模塊對象我們就有可能組織權限根據用戶(hù)需要完成的工作配置用戶(hù)業(yè)務(wù)功能菜單，這也符合"最少特權策略"。
界面元素控制：除了功能菜單要受到控制外，如要控制功能模塊的界面元素其功能模塊界面元素也需定義，大部分界面元素均包含有相關(guān)的業(yè)務(wù)功能操作，所以對相應操作的界面元素是進(jìn)行定義是有必要的。
數據信息控制：業(yè)務(wù)功能模塊的大部分界面元素是顯示和操作數據內容的基礎，也是用戶(hù)對讀取數據和操作數據的主要途徑，為了數據信息的安全有必要對這界面元素的操作數據予以采取安全保密措施。這就需要對這些界面元素定義相關(guān)的數據約束條件。
對象定義(流程) 流程圖如下
權限定義工具。在定義好系統對象的前提下，定義對象的在不同情況的的訪(fǎng)問(wèn)類(lèi)型，希望對象在不同情況下具有不同的訪(fǎng)問(wèn)類(lèi)型，這就需要定義對象的權限。定義權限就是是定義對象訪(fǎng)問(wèn)控制和數據訪(fǎng)問(wèn)控制。為了表述方便我們對權限用一個(gè)三元組符號來(lái)表示P（o,t,p）,其中o 表示訪(fǎng)問(wèn)對象；t 表示訪(fǎng)問(wèn)類(lèi)型；p 表示謂詞。表示在謂詞p為真時(shí)對于對象o可進(jìn)行t類(lèi)型的訪(fǎng)問(wèn)。權限定義系統安全管理基礎步驟之一，只有給各種對象定義好訪(fǎng)問(wèn)的權限，才能給角色配置權限，基于角色管理才能成為可能。系統提供定義權限工具，請程序員根據實(shí)際需求定義對象的權限。定義權限的流程圖如下：
3.2.2.2. 角色定義與權限配置
角色定義。基于角色的訪(fǎng)問(wèn)控制方法的思想就是把對用戶(hù)的授權分成兩部份，用角色來(lái)充當用戶(hù)行駛權限的中介。這樣，用戶(hù)與角色之間以及角色與權限之間就形成了兩個(gè)多對多的關(guān)系。系統提供角色定義工具允許用戶(hù)根據自己的需要（職權、職位以及分擔的權利和責任）定義相應的角色。角色之間有相應繼承的關(guān)系，當一個(gè)角色r1繼承另一個(gè)角色r2時(shí)，r1就自動(dòng)擁有了r2的訪(fǎng)問(wèn)權限(表示r1->r2)。角色繼承關(guān)系自然的反映了一個(gè)組織內部權利和責任的關(guān)系，為方便權限管理提供了幫助。角色繼承關(guān)系提供了對已有角色的擴充和分類(lèi)的手段，使定義新的角色可以在已有角色的基礎上進(jìn)行，擴充就是通過(guò)增加父角色的權限去定義子角色，分類(lèi)通過(guò)不同子角色繼承同一父角色來(lái)體現。另外還允許多繼承，即一個(gè)角色繼承多個(gè)父角色，多繼承體現對角色的綜合能力。角色定義示流程圖如下：
權限配置。角色是一組訪(fǎng)問(wèn)權限的集合，一個(gè)用戶(hù)可以是很多角色的成員，一個(gè)角色也可以有很多個(gè)權限，而一個(gè)權限也可以重復配置于多個(gè)角色。權限配置工作是組織角色的權限的工作步驟之一，只有角色具有相應的權限后用戶(hù)委派才能具有實(shí)際意義。權限配置流程圖如下：
3.2.2.3. 用戶(hù)、用戶(hù)組定義
用戶(hù)定義。系統的最終使用者是用戶(hù)，因此必須建立用戶(hù)的鑒別機構，登記用戶(hù)的身份信息。在系統中定義可登錄的用戶(hù)操作系統是系統安全管理所必須步驟，也是人與系統的接口。
用戶(hù)組定義。為了本系統適用于分散式權限管理，加入了用戶(hù)組的概念，是指一群用戶(hù)的集合。方便權限管理用戶(hù)組也可以委派角色，當用戶(hù)被加入用戶(hù)組時(shí)自動(dòng)對用戶(hù)的所在用戶(hù)組擁有的角色進(jìn)行了委派。為了便于分散式權限管理系統同時(shí)還支持對部分組的權限進(jìn)行下發(fā)方式處理，授權特定的用戶(hù)對用戶(hù)組的用戶(hù)權限進(jìn)行管理。
3.2.2.4. 權限審查在授權完成后可檢查登錄用戶(hù)所的擁有的能力表信息，審查給用戶(hù)的權限是合適，如不合適可重新進(jìn)行用戶(hù)委派和收回部分權限的處理。目前系統只能以對用戶(hù)組管理的模式對一個(gè)用戶(hù)組內的用戶(hù)可進(jìn)行部分權限收回處理。
3.2.2.5. 用戶(hù)鑒別機構安全保護的首要問(wèn)題是鑒別用戶(hù)身份。目前有三種方法可用：第一、利用用戶(hù)的物理特征（聲波、指紋、相貌、簽名）。這在理論是最可靠的，但由于物理特征可能隨時(shí)間變化且記錄尚欠成熟等原因，使該方法未能廣泛應用。第二、利用用戶(hù)特有的證件，如身份證、機器可讀卡先考片，其缺點(diǎn)是證件可能被別人復制或冒用。第三、利用用戶(hù)知道的某件能證明其身份的約定（如口令）。這是當前較為常用的方法。本系統采用第三種方法。
| 用戶(hù)名稱(chēng) | 標識 | 其它情況 |
| CHENDA | GOOD | … … |
| … … | … … | … … |
如上表所示是用戶(hù)鑒別機構保存的一張登記有每個(gè)用戶(hù)名稱(chēng)、標識和有關(guān)情況的表，表中的用戶(hù)名通常是公開(kāi)的，標識則是保密的，當用戶(hù)要訪(fǎng)問(wèn)系統時(shí)，須首先把自已的名稱(chēng)和標識登記到系統中（即出示證件）。這時(shí)用戶(hù)鑒別系統機構檢查用戶(hù)的標識是否與用表中的標識一致，是則認為用戶(hù)身份己得到證實(shí)，否則認為是假冒，系統將拒絕用戶(hù)要求執行的操作?？诹钍亲畛Ｓ玫囊环N標識，通常由若干字母、數字組合而成。系統只允許用戶(hù)連續兩次或三次登記口令，如果都不對則要等待一段較長(cháng)的時(shí)間才成重新登記，這種延長(cháng)時(shí)間的方法能夠有效的防止冒名者猜測口令的可能。
3.2.2.6. 訪(fǎng)問(wèn)控制機構杜絕對系統非法訪(fǎng)問(wèn)主要方法是訪(fǎng)問(wèn)控制。用戶(hù)系統的訪(fǎng)問(wèn)規則可以用訪(fǎng)問(wèn)規則表示，根據安全策略用訪(fǎng)問(wèn)規則給0用戶(hù)授權。訪(fǎng)問(wèn)控制就是要處理怎樣表達和核對訪(fǎng)問(wèn)規則的問(wèn)題。從形式上來(lái)說(shuō)，一條訪(fǎng)問(wèn)規則可以寫(xiě)成四元組的形式(u,o,t,p)可前已有權限表示形式重新表示為（u,P）。系統的訪(fǎng)問(wèn)控制分為模塊級控制和界面元素級控制。
存貯和檢查訪(fǎng)問(wèn)規則是訪(fǎng)問(wèn)控制機構須解決的部問(wèn)題。本系統為考慮運行速度根據系統中角色、權限配置、用戶(hù)委派等關(guān)系動(dòng)態(tài)地的組成一張用戶(hù)能力表保存在系統中根據上述配置信息改變由系統動(dòng)態(tài)生成和保存。能力表（也稱(chēng)C-表）是存貯和核對訪(fǎng)問(wèn)規則的一種有效形式。能力表是面向主體的，用以說(shuō)明主體能對那個(gè)訪(fǎng)問(wèn)對象執行何種操作。能力表的基本形式如下： | Si | J | (oi1,ti1,pi1) | ……….. | (oij,tij,pij) |
其中Si表示第I個(gè)主體；j為Si可訪(fǎng)問(wèn)的數據對象的個(gè)數；(oi1,ti1,pi1)為訪(fǎng)問(wèn)權限。全部主體的能力表的集合即為系統的全部訪(fǎng)問(wèn)規則。當某個(gè)訪(fǎng)問(wèn)請求需進(jìn)行生效檢查時(shí)，則按訪(fǎng)問(wèn)請求的主體找到能力表逐項核對以決定其是否有效。
安全管理控制核心
安全管理控制核心是系統安全管理的核心控制部分，它在系統中控制整個(gè)系統的安全控制工作，由它決定系統是否啟動(dòng)安全管理，在什么情況下調用訪(fǎng)問(wèn)控制機構，根據情況編寫(xiě)訪(fǎng)問(wèn)規則，如何將已有的訪(fǎng)問(wèn)規則應用于控制，存貯訪(fǎng)問(wèn)規則。
4. 系統評價(jià)
4.1. 系統特點(diǎn)（自評）
安全管理系統核心思想是在基于角色控制思想的基礎上提取改進(jìn)而來(lái)的，上述功能模型能較好満足產(chǎn)品開(kāi)發(fā)人員提出的系統訪(fǎng)問(wèn)控制需求。分析如下：
實(shí)現了系統開(kāi)發(fā)過(guò)程中的職責分離，系統的安全管理部分被作為整個(gè)系統的核心控制部分，單獨的被分離出來(lái)制定一些整個(gè)系統通用的安全準則。程序員在開(kāi)發(fā)時(shí)不要過(guò)多的考慮程序安全性的問(wèn)題只需要遵系統的安全準則即可，而是把主要精力花費在系統的業(yè)務(wù)功能上。
有效的利用系統已有的資源減少系統的冗余，使系統的條理更加清楚。對已有功能模塊只需設置不同的特征參數和對各種界面元素實(shí)施不同的訪(fǎng)問(wèn)類(lèi)型控制，就能產(chǎn)生不同控制效果不需程序員再進(jìn)行編寫(xiě)程序的工作。
基于角色對用戶(hù)組進(jìn)行訪(fǎng)問(wèn)控制：對一組用戶(hù)比對單個(gè)用戶(hù)進(jìn)行訪(fǎng)問(wèn)控制更加合理，用戶(hù)組代表了具有相近工作性質(zhì)的一組用戶(hù)的集合，可以委派完成用戶(hù)組工作的角色以控制用戶(hù)組的權限范圍（當然我們也可以把角色看成是我們系統中一個(gè)特定用戶(hù)組）。同時(shí)支持角色的繼承和多繼承。通過(guò)改變用戶(hù)的當前角色集就可以改變用戶(hù)的權限，而改變某種角色所含的權限時(shí)又可以改變一組用戶(hù)的權限，基于這種訪(fǎng)問(wèn)控制方式有3個(gè)方面的作用：（1）簡(jiǎn)化了權限管理，避免直接在用戶(hù)和數據之間進(jìn)行授權和取消。研究表明，用戶(hù)所具有的權限易于發(fā)生改變，而某種角色所對應的權限更加穩定；（2）有利于合理劃分職責，用戶(hù)只有其所應具有權限，這樣可以避免越權行為，有關(guān)用戶(hù)組的關(guān)系描述正是對此的支持；（c）防止權力濫用，敏感的工作分配給若干個(gè)不同的用戶(hù)完成，需要合作的操作序列不能由單個(gè)用戶(hù)完成。
支持動(dòng)態(tài)地改變用戶(hù)的權限：安全管理考慮了訪(fǎng)問(wèn)權限不是靜態(tài)，而是動(dòng)態(tài)的情況。所有對象的權限均用三元組來(lái)表示P（o,t,p）主體在系統中的訪(fǎng)問(wèn)規則用四元組來(lái)表示（s,o,t,p）。當產(chǎn)品系統使用工作流時(shí)，可通過(guò)產(chǎn)品平臺與安全管理控制核心的接口，重新為編寫(xiě)訪(fǎng)問(wèn)規則，動(dòng)態(tài)修改主體能力表。動(dòng)態(tài)分配用戶(hù)完成當前工作流環(huán)節所需的權限。
權限的相互關(guān)聯(lián)：各種權限不是互相獨立而是相互關(guān)聯(lián)的，而且權限可以有感知其它用用戶(hù)操作，這可以描述有關(guān)協(xié)同權限。功能例如在給數據編輯控件授權只讀權限時(shí)，收回用戶(hù)對數據插入和刪除權限，該權限允許感知其它用戶(hù)的操作，諸如某用戶(hù)改變了數據等等。
提供方便的授權/取消機制和檢查機制：只要進(jìn)行簡(jiǎn)單的賦值操作即可完成授權，同時(shí)由角色分配規則和主體訪(fǎng)問(wèn)規則控制則指導模型式的應用。
用戶(hù)之間的授權關(guān)系：依據角色指派關(guān)系，運行系統中的用戶(hù)自身可以對角色進(jìn)行管理，這提供了又一種動(dòng)態(tài)改變用戶(hù)權限的手段。通常，角色指派的權力都在系統中具有管理責任的用戶(hù)手中。 1. 引言（Introduction）
1.1. 關(guān)鍵詞定義（Definitions）
有關(guān)定義說(shuō)明如下：安全管理：計算機技術(shù)安全管理的范圍很廣，可以包括網(wǎng)絡(luò )安全性、數據安全性、操作系統安全性以及應用程序安全性等。很多方面的安全性管理大都已經(jīng)有成熟的產(chǎn)品了，我們只需根據自己需要有選擇性的使用就可達到自己的目的了。本文中有關(guān)關(guān)涉及"安全管理"一詞均只針對本公司推出的應用中有關(guān)對象與數據而言范圍有限。
主體：即可以象應用系統發(fā)出應用請求任何實(shí)體，包括各種用戶(hù)、其它與本系統有接口的應用程序、非法入侵者。系統必須具有識別主體的能力，接口實(shí)際上也是由用戶(hù)登記的，故主要問(wèn)題是校驗用戶(hù)身份的合法性，系統應建立用戶(hù)鑒別機構以驗證用戶(hù)身份。
用戶(hù)：用戶(hù)就是一個(gè)可以獨立訪(fǎng)問(wèn)計算機系統中的數據或者用數據表示的其它資源的主體，我們用USERS表示一個(gè)用戶(hù)集合。用戶(hù)在一般情況下是指人。
權限：權限是對計算機系統中的數據或者用數據表示的其它資源進(jìn)行訪(fǎng)問(wèn)的許可。我們用PERMISSION表示一個(gè)權限集合?？煞譃閷ο笤L(fǎng)問(wèn)控制和數據訪(fǎng)問(wèn)控制兩種。
對象訪(fǎng)問(wèn)控制：用一個(gè)二元組來(lái)表示：（控制對象，訪(fǎng)問(wèn)類(lèi)型）。其中的控制對象表示系統中一切需要進(jìn)行訪(fǎng)問(wèn)控制的資源。我們將引入一套完整的資源表示方法來(lái)對系統中出現的各類(lèi)資源進(jìn)行定義和引用（詳見(jiàn)后述）。訪(fǎng)問(wèn)類(lèi)型是指對于相應的受控對象的訪(fǎng)問(wèn)控制，如：讀取、修改、刪除等等。
數據訪(fǎng)問(wèn)控制：如果不對數據訪(fǎng)問(wèn)加以控制，系統的安全性是得不到保證的，容易發(fā)生數據泄密事件。所以在權限中必須對對象可訪(fǎng)問(wèn)的數據進(jìn)行按不同的等級給予加密保護。我們同樣用一個(gè)二元組來(lái)表示：（控制對象，謂詞）。
權限最終可以組合成如下形式：（控制對象，訪(fǎng)問(wèn)類(lèi)型，謂詞）。
角色：角色是指一個(gè)組織或任務(wù)中的工作或位置，它代表了一種資格、權利和責任。我們用ROLES表示一個(gè)角色集合。
用戶(hù)委派：用戶(hù)委派是USERS與ROLES之間的一個(gè)二元關(guān)系，我們用（u,r）來(lái)表示用戶(hù)u被委派了一個(gè)角色r。
權限配置：權限配置是ROLES與PERMISSION之間的一個(gè)二元關(guān)系，我們用（r,p）來(lái)表示角色r擁有一個(gè)權限p。
2. 需求分析
根據我們在本行業(yè)多年積累下來(lái)的經(jīng)驗，參考了其它同行的成功經(jīng)驗整合了先進(jìn)的思想，我們有能力為我們自己的應用系統開(kāi)發(fā)一套功能完善而且又靈活方便的安全管理系統。使開(kāi)發(fā)人員從權限管理重復勞動(dòng)的負擔中解放出來(lái),專(zhuān)心致力于應用程序的功能上的開(kāi)發(fā)。通過(guò)收集公司從事MIS項目開(kāi)發(fā)經(jīng)驗豐富的軟件工程師對在各種情況下的對應系統的安性提出的需求做出了如下的總結。
本系統在安全管理方面要考慮如下幾個(gè)方面問(wèn)題。
2.1. 角色與用戶(hù)
需求：角色由用戶(hù)(這個(gè)用戶(hù)與下一行的"用戶(hù)"應該不是同一個(gè)定義,"客戶(hù)"好像合適一些?不錯，此處的用戶(hù)確是有些偏于指向我們合同意義的客戶(hù),但是我認為與下面定義的"用戶(hù)"不存在什么本質(zhì)上的區別,因為客戶(hù)最終也是以在系統中登記的用戶(hù)身份來(lái)使用本系統，用戶(hù)所能完成的功能也就是客戶(hù)的需求。兩者之間的細微區別讀者可自己通過(guò)上下文加區分)自行定義，根據業(yè)務(wù)崗位不同可以定義多個(gè)角色。
登錄系統，首先需要向系統申請注冊，同一個(gè)用戶(hù)只能在系統中登記一次。
用戶(hù)是登錄系統的楔子，角色是用戶(hù)權限的基礎。用戶(hù)可以扮演多個(gè)角色。
將某一角色授予某一用戶(hù)時(shí)，權限不能超越該角色權限，但可以小于該角色權限。
用戶(hù)口令與數據庫訪(fǎng)問(wèn)口令加密
分析說(shuō)明
每個(gè)用戶(hù)在系統中由一個(gè)唯的USERID標識。
用戶(hù)通過(guò)系統登錄界面登錄系統,系統通過(guò)加密算法驗證用戶(hù)身份和判斷用戶(hù)是否已經(jīng)登錄系統。如果登錄成功通知Application preference service和安全管理系統保存用戶(hù)登錄信息。
角色由用戶(hù)根據自己的設想的組織機構進(jìn)行添加設置，提供一個(gè)專(zhuān)門(mén)的模塊用來(lái)設置組織機構，用戶(hù)通過(guò)組織機構(定義?部門(mén)機構還是后面提到的"機構是實(shí)現和執行各種策略的功能的集合")方便地進(jìn)行角色管理。例如：用戶(hù)可以通過(guò)部門(mén)機構來(lái)進(jìn)行角色的管理，部門(mén)采用編號分層的方式,編號的每?jì)晌粸橐粋€(gè)層次。例如一級部門(mén)編號為兩位，二級部門(mén)編號為四位依此類(lèi)推下去直到將全廠(chǎng)部門(mén)機構建立樹(shù)狀結構圖。這類(lèi)數據僅為方便用戶(hù)管理角色而存在，在系統的其他方面不存在任何意義。
每個(gè)角色在系統中也是由一個(gè)唯一角色編號來(lái)標識，同時(shí)必須保存用戶(hù)所設置的機構信息，一般來(lái)說(shuō)每個(gè)角色只需要保存自己所在機構的代碼即可。 2.2. 菜單控制需求此菜單乃系統業(yè)務(wù)功能菜單。由業(yè)務(wù)功能模塊列表和用戶(hù)菜單定制共同組成。每個(gè)用戶(hù)可以擁有自己的菜單，也可以直接采用角色缺省菜單（當用戶(hù)同時(shí)充當多個(gè)角色并且權限重復時(shí)，重復的權限僅一次有效）
分析說(shuō)明
為了方便用戶(hù)進(jìn)行權限組織管理，需要在系統中建立一張業(yè)務(wù)功能模塊列表，在用戶(hù)界面上表示為樹(shù)狀分層結構。
業(yè)務(wù)功能模塊以用戶(hù)定制菜單來(lái)體現，仍然采用編號分層方式，編號的每?jì)晌粸橐粋€(gè)層次。并標明一個(gè)層次是子菜單還是業(yè)務(wù)模塊，子菜單只有一種可否被訪(fǎng)問(wèn)的權限設置，業(yè)務(wù)模塊權限由系統管理員或授權用戶(hù)進(jìn)行設置。對每個(gè)業(yè)務(wù)模塊設置它的對象控制、記錄增刪改控制和記錄集控制。當用戶(hù)擁有對業(yè)務(wù)模塊的某一權限時(shí)，必需對處于它上級的子菜單有可被訪(fǎng)問(wèn)的權限。刪除某一個(gè)級子菜單時(shí)將提示用戶(hù)他的下級菜單與功能模塊都將被刪除掉。
當用戶(hù)同時(shí)充當多個(gè)角色并且權限重復時(shí)，重復的權限僅一次有效，用戶(hù)擁有他充當的所有角色的權限的并集。
用戶(hù)與角色擁有的系統權限查詢(xún)時(shí)以業(yè)務(wù)功能模塊列表的樹(shù)狀結構顯示出來(lái)。
2.3. 對象控制
需求對象是指應用系統窗口中的可視對象，如菜單項、按鈕、下拉列表框、數據編輯控件及數據編輯控件的字段等。對象控制通過(guò)角色與用戶(hù)授權來(lái)實(shí)現。
對象控制包括對對象屬性的控制可對數據編輯控件中的數據記錄的維護權限：
對象屬性：使能/禁止、可視/屏蔽
記錄維護：增加、刪除、修改的組合 分析說(shuō)明
將每個(gè)業(yè)務(wù)模塊可進(jìn)行屬性設置的對象由程序員事先設定或由售后技術(shù)支持工程師指導用戶(hù)加入。
在系統管理員或授權用戶(hù)進(jìn)行設置業(yè)務(wù)模塊的每種權限時(shí)，設置用戶(hù)在擁有該業(yè)務(wù)模塊這種權限時(shí)的對象屬性。沒(méi)有設置屬性的對象在保存對象信息的時(shí)候，用戶(hù)權限信息中不被保存。 2.4. 記錄集控制
需求記錄集的控制是通過(guò)條件設置來(lái)實(shí)現，因此，需要控制記錄集的數據庫表需要設置專(zhuān)門(mén)的記錄集篩選字段，而篩選條件由用戶(hù)根據崗位自進(jìn)定義，建立過(guò)濾表，統一管理。
分析說(shuō)明
在對用戶(hù)設置業(yè)務(wù)模塊權限時(shí)，同時(shí)在過(guò)濾表中設置本模塊的數據編輯控件的數據篩選條件，篩選條件是組成SQL語(yǔ)句的WHERE條件子句迫使當前訪(fǎng)問(wèn)的模塊根據篩選條件對數據編輯控件的SQL語(yǔ)句進(jìn)行重組，并檢索數據。
當存在需要從數據庫中多個(gè)表取數據的情況時(shí)，過(guò)濾表中存在多條記錄，每一條記錄記錄一個(gè)數據編輯控件取數的篩選條件。
SQL語(yǔ)句的WHERE子句的生成與校驗可以通過(guò)的SQL語(yǔ)法分析服務(wù)，利用對象所提供的函數分析SQL語(yǔ)句，截取WHERE條件子句，校驗新組合的SQL語(yǔ)句的合法性。
2.5. 權限分布管理
需求上述提到的權限管理內容應該滿(mǎn)足既可集中管理，也可分散管理的目標。
分析說(shuō)明
權限管理由系統管理員集中管理，系統管理員工作負擔過(guò)大，難對所有崗位的分工有全面和具體的了解，對權限作出標準細致的劃分，對于大型的管理系統適合于把一部分設置權限的交由一些比較高級的用戶(hù)來(lái)進(jìn)行，有利于各崗位細致協(xié)調的工作。這就是權限的分散管理。
要實(shí)現權限的分散管理，就須對授權模塊進(jìn)行一些授權管理，這要求整個(gè)系統的授權安全管理工作要做到細致，不要出現權限的漏洞使一些高級用戶(hù)擁有過(guò)大的權限。
3. 方案設計
3.1. 安全保護策略
從上面各方面的需求分析來(lái)看，我們需要一套既行之有效，又方便靈活的安全管理方案。要采用各種控制機構和密碼保護技術(shù)。安全保護策略是設計安全可靠系統的準則，通常涉及下列幾個(gè)方面：
區分安全策略與安全機構。
策略是信息安全性的高級指導，策略出自對用戶(hù)要求，設備環(huán)境、機構規則、法律約束等方面的詳細研究。策略重要性在于指導作用。而機構是實(shí)現和執行各種策略的功能的集合。完善的機構是實(shí)施正確安全策略的物質(zhì)基礎。故一般要求機構能實(shí)現不同的策略，以便策略變動(dòng)時(shí)無(wú)需要更換安全機構。
安全策略：企業(yè)信息管理系統是一個(gè)大型的分布式數據資源管理系統，它包括信息量巨大以及不同程度的信息敏感度，各種有訪(fǎng)問(wèn)需求的用戶(hù)，使得其安全管理非常復雜?；诮巧南到y安全控制模型是目前國際上流行的先進(jìn)的安全管理控制方法。我們的安全管理系統也根據自身的需要有選擇性的吸收其部分思想。其特點(diǎn)是通過(guò)分配和取消角色來(lái)完成用戶(hù)權限的授予和取消，并且提供了角色分配規則和操作檢查規則。安全管理人員根據需要定義各種角色，并設置合適的訪(fǎng)問(wèn)權限，而用戶(hù)根據其責任和資歷再被指派為不同的角色。這樣，整個(gè)訪(fǎng)問(wèn)控制過(guò)程就分成兩個(gè)部分，即訪(fǎng)問(wèn)權限與角色相關(guān)聯(lián)，角色再與用戶(hù)關(guān)聯(lián)，從而實(shí)現了用戶(hù)與訪(fǎng)問(wèn)權限的邏輯分離，如下圖所示，角色可以看成是一個(gè)表達訪(fǎng)問(wèn)控控制策略的語(yǔ)義結構，它可以表示承擔特定工作的資格。
由于實(shí)現了用戶(hù)與訪(fǎng)問(wèn)權限的邏輯分離，基于角色的策略極大的方便了權限管理。例如，如果一個(gè)用戶(hù)的職位發(fā)生變化，只要將用戶(hù)當前的角色去掉，加入代表新職務(wù)或新任務(wù)的角色即可。研究表明，角色/權限之間的變化比角色/用戶(hù)關(guān)系之間的變化相對要慢得多，并且委派用戶(hù)到角色不需要很多技術(shù)，可以由行政管理人員來(lái)執行，而配置權限到角色的工作比較復雜，需要一定的技術(shù)，可以由專(zhuān)門(mén)的技術(shù)人員來(lái)承擔，但是不給他們委派用戶(hù)的權限，這與現實(shí)中情況正好一致。除了方便權限管理之外，基于角色的訪(fǎng)問(wèn)控制方法還可以很好的地描述角色層次關(guān)系，實(shí)現最少權限原則和職責分離的原則。 安全保護機構：本系統的安全保護機構基本上是于上面的安全策略相互適應的，系統保護的總體結構示意如下：
保護機構應負責阻止一切物理破壞和用戶(hù)可能的操作破壞，后者歸結為主體可用何種方式訪(fǎng)問(wèn)哪些對象。主體、訪(fǎng)問(wèn)類(lèi)型、對象是我們要討論的保護機構主要成分
安全管理的職責：安全管理有集中管理與分散管理兩種。前者意指一切權利都由負責系統安全工作的專(zhuān)職人員或小組組掌握，他(們)決定用戶(hù)的訪(fǎng)問(wèn)權利，控制系統安全一切方面。后者是指不同的管理員控制著(zhù)系統安全的不同方面，管理系統的不同部分，決定不同用戶(hù)的訪(fǎng)問(wèn)權利，甚至允許對象所有者轉讓訪(fǎng)問(wèn)對象的權利，集中管理，安全可靠但不靈活；分散管理則應考慮避免漏洞和協(xié)調一致的問(wèn)題。本系統因是針對大的集團企業(yè)管理的產(chǎn)品權限分配比較復雜，故采用了集中管理與分散管理相結合的形式。
訪(fǎng)問(wèn)控制策略。它提供決定用戶(hù)訪(fǎng)問(wèn)權利的依據。其中最重要的一個(gè)普遍的原則是"需者方知策略"(the need-to-know)。也就是說(shuō)，只有一個(gè)工作需要的，才是他應該知道的。它從原則上限制了用戶(hù)不必要的訪(fǎng)問(wèn)權利，從而堵截了許多破壞與泄露數據信息的途經(jīng)。按照這一原則授予用戶(hù)的權利，是用戶(hù)能完成工作的最小權利集合，故也稱(chēng)之為"最少特權策略"。
信息流動(dòng)控制。只限制用戶(hù)的訪(fǎng)問(wèn)權利而不考慮
