【正文】 s a unified standard [C]. In Proceedings of 5th ACM Workshop on RoleBased Access Control (RBAC ’00, Berlin, Germany, July 26 27). ACM, New York, NY, 47–63. [18] Michael P. Gallaher, Brian Kropp, Alan C. O’Connor, The Economic Impact of RoleBased Access Control [R]. NIST Planning Report 021 [19] Simon, R. and Zurko, M. E. 1997. Separation of duty in role based access control environments [C]. In Proceedings of the 10th IEEE Workshop on Computer Security Foundations (Rockport, MA, June 1012). IEEE Computer Society Press, Los Alamitos, CA,183–194. 濟南大學(xué)畢業(yè)設(shè)計 28 [20] Virgil D. Gligor, Serban I. Gavrila, and David Ferraiolo. On the formal definition of separationofduty policies and their position [C]. In Proceedings of IEEE Symposium on Research in Security and Privacy, pages 172183, Oakland, CA, May 1998. [21] Ahn, G. J. AND Sandhu, R. 1999. The RSL99 language for rolebased separation of duty constraints [C]. In Proceedings of 4th ACM Workshop on RoleBased Access Control (RBAC ’99, Fairfax, VA, Oct. 2829). ACM, New York, NY, 43–54 濟南大學(xué)畢業(yè)設(shè)計 29 致 謝 在這一學(xué)期中，馬老師本著對學(xué)生負(fù)責(zé)的態(tài)度從一開始就對我們嚴(yán)格要求，時刻督促教育我們要認(rèn)真對待這一學(xué)期最重要的事情，完成畢業(yè)設(shè)計。畢業(yè)將至，這次畢業(yè)設(shè)計過程就是我人生中最重要的一次經(jīng)歷，將指引我我不斷的學(xué)習(xí)和進步。 本設(shè)計是在 老師和同學(xué)的 精心指導(dǎo)下完成的，從設(shè)計的步驟到具體的 實現(xiàn) 都得到了老 師 和孔繁良同學(xué)的細(xì)心 的指點，設(shè)計每一部分都 有我及幫助我的人的認(rèn)真和努力 。 濟南大學(xué)畢業(yè)設(shè)計 27 參 考 文 獻 [1] Jeffrey , Jennifer Widom. 數(shù)據(jù)庫系統(tǒng)基礎(chǔ)教程 (A FIRST COURSE IN DATABASE SYSTEMS). 北京 : 機械工業(yè) 出版社 2020 [2] Rick . 高級編程 . 北京 : 清華大學(xué)出版社 2020 [3] 陳禹 .軟件開發(fā)工具 . 北京 : 經(jīng)濟科學(xué)出版社 1999 [4] 唐友國 , 湛洪波 . JSP網(wǎng)站開發(fā)詳解 . 北京 : 電子工業(yè)出版社 2020 [5] (美 )Bruce Eckel著 陳昊鵬譯 . Java編程思想（第 4版） . 北京：機械工業(yè)出版社 2020/6 [6] 陳天河 . Java數(shù)據(jù)庫高級編程寶典 . 北京 :電子工業(yè)出版社 2020 [7] June. Developing Java Beans. 美國 : O’Reilly amp。 濟南大學(xué)畢業(yè)設(shè)計 26 結(jié) 論 本系統(tǒng)是基于 RBAC 編寫的很簡單的權(quán)限管理系統(tǒng)，實現(xiàn)了基本的用戶功能權(quán)限的處理，這套系統(tǒng)能很好的對一般用戶對系統(tǒng)的訪問進行控制，可以保證系統(tǒng) 安全穩(wěn)定的進行運行。 濟南大學(xué)畢業(yè)設(shè)計 25 6 總結(jié)與展望 B/S系統(tǒng)中的權(quán)限比 C/S中的更顯的重要， C/S系統(tǒng)因為具有特殊的客戶端，所以訪問用戶的權(quán)限檢測可以通過客戶端實現(xiàn)或通過客戶端 +服務(wù)器檢測實現(xiàn)，而 B/S中，瀏覽器是每一臺計算機都已具備的，如果不建立一個完整的權(quán)限檢測，那么一個 ―非法用戶 ‖很可能就能通過瀏覽器輕易訪問到 B/S系統(tǒng)中的所有功能。當(dāng)然，還將會發(fā)現(xiàn)未測試到的隱含的錯誤的存在，還需要不斷的更正與完善系統(tǒng)。記錄系統(tǒng)響應(yīng)時間及點擊過程中發(fā)生錯誤的次數(shù)。 濟南大學(xué)畢業(yè)設(shè)計 24 （ 4） 測試用戶管理。 表 角色測試案例 1 用例編號 Test08 測試目的 測試角色管理界面的查看功能是否正常跳轉(zhuǎn) 測試步驟 選中角色管理界面中的一個角色的查看按鈕 期望結(jié)果 正常跳轉(zhuǎn)到用戶查看界面，點擊返回按鈕后正常返回到角色管理界面 實際結(jié)果 正常跳轉(zhuǎn)到用戶查看界面，點擊返回按鈕后正常返回到角色管理界面 濟南大學(xué)畢業(yè)設(shè)計 23 表 角色測試案例 2 用例編號 Test09 測試目的 測試角色管理界面的修改功能是否正常跳轉(zhuǎn)及進行修改提交操作 測試步驟 1. 選中角色管理界面中的一個角色的修改按鈕 2. 修改角色名稱 3. 修改角色描述 4. 點擊提交 期望結(jié)果 正常跳轉(zhuǎn)到用戶修改界面，修改信息后點擊提交按鈕后正常跳轉(zhuǎn)到數(shù)據(jù)操作成功界面然后返回到角色管理界面。點擊修改是否能跳轉(zhuǎn)到修改界面中。測試多個用戶同時對系統(tǒng)并發(fā)操作時系統(tǒng)的性能。 （ 4） 用戶管理。 （ 2） 功能管理。 圖 系統(tǒng)構(gòu)架圖 訪問控制設(shè)計 訪問控制是通過 Servlet 和 JSP 語言，將數(shù)據(jù)庫中的 user 信息表關(guān)聯(lián)到 role 角色信息表，而在角色信息表又與功能表關(guān)聯(lián)，形成 RABC 的訪問控 制模式，從而實現(xiàn)用戶權(quán)限的管理功能。系統(tǒng)管理是本系統(tǒng)的核心功能區(qū)，里面分為功能管理、角色管理和用戶管理濟南大學(xué)畢業(yè)設(shè)計 19 三部分。 B/S 系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)圖 圖 系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)圖 系統(tǒng)架構(gòu) 想進入本權(quán)限管理系統(tǒng)，首先需要在系統(tǒng)首頁界面中輸入正確的管理員用戶和密碼，經(jīng)過與后臺數(shù)據(jù)庫中的數(shù)據(jù)進行對比，如果驗證通過，則進入到系統(tǒng)操作界面。實現(xiàn) JSP 后臺的復(fù)雜業(yè)務(wù)邏輯。用戶刪除業(yè)務(wù)邏輯類把日志類 Logger 加入到了自己的私有屬性之中，主要是用于記錄管理員在對用戶賬戶進行的一系列操作?？梢园?Form 理解為 JavaBean 的一種形式， Form 主要是當(dāng)用戶把網(wǎng)頁里德表單填好后，點擊提交按鈕，然后網(wǎng)頁會把表單里的數(shù)據(jù)通過 Session 或 Url 傳送給后臺，此時后臺會利用 ActionForm 類進行數(shù)據(jù)的接收操作。所以不同的結(jié)果會跳轉(zhuǎn)的同一個頁面或者不同的頁面，這個完全取決于系統(tǒng)的設(shè)定。當(dāng)密碼修改業(yè)務(wù)邏輯收到控制器類的消息時，當(dāng)然傳遞消息的渠道還是 Session，載體依然是 ActionForm。 用戶密碼修改模塊 1) 用戶密碼修改業(yè)務(wù)邏輯類設(shè)計 密碼操作管理模塊涉及密碼的修改，重置。這樣可以實現(xiàn)復(fù)雜的業(yè)務(wù)邏輯。他們之間通過 Session 傳遞消息，消息的內(nèi)容存放在 Form 里，通過 UserForm 類接收和存儲消息。本系統(tǒng)中沒有涉及到權(quán)限組的設(shè)計。這時管理員就可以查看的用戶權(quán)限信息，同時也可以對該用戶的權(quán)限信息進行重新設(shè)置。在權(quán)限管理主界 面如果管理員用戶需要對某個用戶進行操作，需要首先對數(shù)據(jù)庫中的用戶信息進行搜索，然后再對檢索出的用戶數(shù)據(jù)進行修改或者刪除。用戶信息的增 加，刪除，修改，以及具體用戶角色的分配，具體權(quán)限的查看都可以在此進行操作和查看。系統(tǒng)屬性主要用于顯示當(dāng)前系統(tǒng)的一些信息。 濟南大學(xué)畢業(yè)設(shè)計 8 3 概要設(shè)計 總體設(shè)計 通過超級管理員用戶登錄系統(tǒng)后，會進入系統(tǒng)主頁面， 頁面上主要的功能有：功能管理，角色管理，用戶管理，系統(tǒng)屬性，信息管理模塊。如果一個系統(tǒng)報錯的概率比較大 (一天內(nèi)出錯兩次或更多次 )，或者需要重啟 (一天內(nèi)出錯兩次或更多次 )才能正常運行，這就表明系統(tǒng)的穩(wěn)定比較差。根據(jù)具體任務(wù)涉及到的系統(tǒng)菜單等信息，需要對用戶角色進行及時的賦權(quán)更新操作。用戶的不確定性是單位規(guī)模增大和業(yè)務(wù)增加的必然結(jié)果。 （ 2）訪問控制的特點 在信息系統(tǒng)中，訪問控制系統(tǒng)要具有很好的適應(yīng)性以滿足動態(tài)的或者特定用戶的安全需求。在本系統(tǒng)中設(shè)定只有超級管理員用戶可以登錄權(quán)限系統(tǒng)，一般用戶會提示沒有權(quán)限。 管理員用戶的用例 關(guān)系圖 權(quán)限系統(tǒng)管理員用戶是權(quán)限系統(tǒng)中擁有最高權(quán)限的用戶，它的主要的操作就是對系統(tǒng)中的用戶信息、角色信息及功能信息進行管理，管理員用戶一般不會參與到信息系統(tǒng)的具體業(yè)務(wù)中，它是一個只對應(yīng)權(quán)限系統(tǒng)的特殊用戶。用戶角色管理的需求描述如下： （ 1）可以查看系統(tǒng)中擁有的所有角色信息； （ 2）可查看具體某一角色的名稱、描述以及角色權(quán)限； （ 3）可修改、刪除角色信息； （ 4）可修改角色的權(quán)限分配。 用戶管理 用戶信息是權(quán)限系統(tǒng)的基礎(chǔ)信息，是系統(tǒng)控制的主體資源，用戶直接關(guān)聯(lián)角色信息，如果沒有用戶或者角色信息，系統(tǒng)就會拒絕用戶的登錄及其對系統(tǒng)信息 的訪問操作，用戶的信息管理是權(quán)限系統(tǒng)首先要處理的問題?，F(xiàn)在多數(shù)單位的信息管理系統(tǒng)的安全授權(quán)比較復(fù)雜，包含眾多的業(yè)務(wù)實體和事物處理應(yīng)用，每個部門中同一職位的員工因職能范圍或地域的不同而具有的權(quán)限也不盡相同，有時甚至對同一個用戶，或許由于在不同的業(yè)務(wù)中，也會有不同的權(quán)限，這種現(xiàn)象反映在信息系統(tǒng)中就是個體的權(quán)限和具體資源的對應(yīng)關(guān)系，為了使得權(quán)限系統(tǒng)更加靈活、便捷，本設(shè)計采 用 RBAC 授權(quán)模型，可以用來有效減輕系統(tǒng)權(quán)限的管理難度和操作的復(fù)雜度。在單位進行信息化建設(shè)過程中，單位的敏感信息安全成為了其中的一個重要問題，因此，信息系統(tǒng)的安全成為單位信息化過程中所要處理解決的首要問題之一。 （ 5） B/S結(jié)構(gòu)系統(tǒng)具有很好的數(shù)據(jù)安全性。 B/S結(jié)構(gòu)系統(tǒng)數(shù)據(jù)實行集中存在，不同用戶查看統(tǒng)一信息是完全一致的。 （ 2） B/S結(jié)構(gòu)開發(fā)的程序具有很強的適應(yīng)性。 B/S 開發(fā)