【正文】 、查看操作。本系統(tǒng)界面的主要功能有基本操作、信息管理和系統(tǒng)管理三大主要功能。密碼修改控制器收到網(wǎng)頁表單里德數(shù)據(jù)后，會(huì)把數(shù)據(jù)存儲(chǔ)在 PasswordForm 類中，然后通過 Session 類把數(shù)據(jù)傳送給業(yè)務(wù)邏輯類進(jìn)行相關(guān)的業(yè)務(wù)處理，并接收業(yè)務(wù)邏輯類處理后的結(jié)果，根據(jù)結(jié)果進(jìn)行頁面跳轉(zhuǎn)操作。 UserForm 是 ActionForm 子類，同時(shí)把 String 類作為自己的私有屬性，主要是用于存儲(chǔ)各種信息。此時(shí)，管理員可以對(duì)其進(jìn)行權(quán)限的修改。 穩(wěn)定性需求分析 軟件系統(tǒng)的穩(wěn)定性是決定軟件系統(tǒng)好壞的一個(gè)重要因素。權(quán)限系統(tǒng)管理員具體的操作權(quán)限有：增加用戶、查詢用戶、刪除用戶、為用戶授予角色、刪除用戶角色、查看用戶角色、查看用戶權(quán)限、增加角色、刪除角色、查看角色、給角色授予權(quán)限和查看角色權(quán)限等功能。權(quán)限管理系統(tǒng)的設(shè)計(jì)目的在于利用計(jì)算機(jī)編程技術(shù)，構(gòu)建一個(gè)依附于信息系統(tǒng)的安全可靠的權(quán)限管理平臺(tái)，保證單位敏感信息的不被不適宜的人獲取、篡改以及刪除，保護(hù)數(shù)據(jù)的保密性、一致性、完整性。相對(duì)于 C/S結(jié)構(gòu)， B/S有很明顯優(yōu)點(diǎn)和長處。 這種訪問控制 通過引入 “ 角色 ”這一中介量 ， 從而 實(shí)現(xiàn)了用戶 和 訪問許可的邏輯分離，極大地方便了權(quán)限管理。這里我們從系統(tǒng)設(shè)計(jì)實(shí)現(xiàn)的角度進(jìn)行處理，在用戶對(duì)系統(tǒng)數(shù)據(jù)進(jìn)行訪問前，先通過基于 RBAC的權(quán)限管理系統(tǒng)的驗(yàn)證，確定用戶擁有的角色，根據(jù)用戶角色的權(quán)限再向用戶展示數(shù)據(jù)信息，從而實(shí)現(xiàn)保護(hù)系統(tǒng)信息的目的。 JSP 技術(shù)的基礎(chǔ)是 Java Servlet，應(yīng)用程序的開發(fā)需要同時(shí)擁有 Java Servlet 和 JSP。但是 C/S結(jié)構(gòu)實(shí)行的是 2層數(shù)據(jù)處理，數(shù)據(jù)還需要到用戶客戶端進(jìn)行計(jì)算處理，這增加了客戶端的軟硬件負(fù)擔(dān)。 系統(tǒng)功能需求分析 基于一般信息系統(tǒng)對(duì)權(quán)限管理的要求，我們采用了基于角色的訪問控制模型進(jìn)行設(shè)計(jì)。 濟(jì)南大學(xué)畢業(yè)設(shè)計(jì) 6 圖 一般用戶的用例關(guān)系圖 系統(tǒng)性能分析 安全性需求分析 構(gòu)建一個(gè)成功的權(quán)限管理系統(tǒng)首先應(yīng)該了解需要控制的系統(tǒng)的所有功能菜單信息，只有完整并且準(zhǔn)確的獲取到菜單功能信息，才能對(duì)角色賦予相應(yīng)的權(quán)限，才能使權(quán)限系統(tǒng)與信息系統(tǒng)科學(xué)合理的進(jìn)行匹配。導(dǎo)致系統(tǒng)穩(wěn)定性差的原因主要是系統(tǒng)的并發(fā)數(shù)太多或者系統(tǒng)容錯(cuò)能力差。 圖 賬戶管理時(shí)序圖 2) 權(quán)限管理 權(quán)限管理存在于角色管理模塊下，根據(jù)用戶關(guān)聯(lián)角色，角色關(guān)聯(lián)具體權(quán)限的設(shè)計(jì)思路，因此用戶點(diǎn)擊角色管理進(jìn)入角色管理模塊進(jìn)行操作。其依賴的類包括 UserForm(進(jìn)行數(shù)據(jù)的存儲(chǔ)和傳遞 )， JvUser（權(quán)限操作對(duì)象）， ActionMapping（主要用于頁面的跳轉(zhuǎn)）。 圖 用戶賬戶管理 Form 類圖 3) 用戶賬戶管理業(yè)務(wù)邏輯類設(shè)計(jì) 用戶賬戶管理模塊，包括用戶賬戶的增加，修改，刪除，和現(xiàn)實(shí)模塊，這里僅以用戶賬戶刪除模塊進(jìn)行介紹。角色管理主要定義的是用戶關(guān)聯(lián)到的角色信息，以及具體角色關(guān)聯(lián)的功能路徑（即角色關(guān)聯(lián)的具體權(quán)限信息）。 點(diǎn)擊功能管理能否正常跳轉(zhuǎn)到功能管理界面。 測(cè)試結(jié)果分析 通過對(duì)權(quán)限系統(tǒng)測(cè)試，發(fā)現(xiàn)了許多的錯(cuò)誤，對(duì)照自己的需求分析和源代碼，及時(shí)地更正了錯(cuò)誤，并實(shí)現(xiàn)了一些功能。mentation Within a Corporate Intra J J l_ACM Transactionson Information and System Security， 1999， 2(1)： 3431 [12]D． Ferraiolo， R． Sandhu， S． Gavrila， D． Kuhn， and R． Chandramouli． Proposed NIST standard for role based access control『 J]． ACM Transactions on Information and Systems Security， 2020， 4(3)：224274 [13]夏榆濱，宣明付．基于 RBAC的統(tǒng)一權(quán)限管理系統(tǒng)研究 [J]．微計(jì)算機(jī)信息， 2020， 22(9—3)：144147 [14]邢小永，陳性元等．一種基于角色的訪問控制擴(kuò)展模型 [J]．微計(jì)算機(jī)信息， 2020， 22(11—3)：247249 [15]丁霞，徐開勇等．基于 WEB和 RBAC的授權(quán)管理子系統(tǒng)設(shè)計(jì)與實(shí)現(xiàn) [J]．微計(jì)算機(jī)信息， 2020，22(12—3)： 144147 [16] Sandhu, R., Coyne, E., Feinstein, H., and Youman, C. Rolebased access control models [J]. IEEE Computer 29, 2 (1996), 38–47. [17] Sandhu, R., Feraiolo, D., and Kuhn, R. 2020. The NIST model for rolebased access control:Towards a unified standard [C]. In Proceedings of 5th ACM Workshop on RoleBased Access Control (RBAC ’00, Berlin, Germany, July 26 27). ACM, New York, NY, 47–63. [18] Michael P. Gallaher, Brian Kropp, Alan C. O’Connor, The Economic Impact of RoleBased Access Control [R]. NIST Planning Report 021 [19] Simon, R. and Zurko, M. E. 1997. Separation of duty in role based access control environments [C]. In Proceedings of the 10th IEEE Workshop on Computer Security Foundations (Rockport, MA, June 1012). IEEE Computer Society Press, Los Alamitos, CA,183–194. 濟(jì)南大學(xué)畢業(yè)設(shè)計(jì) 28 [20] Virgil D. Gligor, Serban I. Gavrila, and David Ferraiolo. On the formal definition of separationofduty policies and their position [C]. In Proceedings of IEEE Symposium on Research in Security and Privacy, pages 172183, Oakland, CA, May 1998. [21] Ahn, G. J. AND Sandhu, R. 1999. The RSL99 language for rolebased separation of duty constraints [C]. In Proceedings of 4th ACM Workshop on RoleBased Access Control (RBAC ’99, Fairfax, VA, Oct. 2829). ACM, New York, NY, 43–54 濟(jì)南大學(xué)畢業(yè)設(shè)計(jì) 29 致 謝 在這一學(xué)期中，馬老師本著對(duì)學(xué)生負(fù)責(zé)的態(tài)度從一開始就對(duì)我們嚴(yán)格要求，時(shí)刻督促教育我們要認(rèn)真對(duì)待這一學(xué)期最重要的事情，完成畢業(yè)設(shè)計(jì)。 濟(jì)南大學(xué)畢業(yè)設(shè)計(jì) 26 結(jié) 論 本系統(tǒng)是基于 RBAC 編寫的很簡單的權(quán)限管理系統(tǒng)，實(shí)現(xiàn)了基本的用戶功能權(quán)限的處理，這套系統(tǒng)能很好的對(duì)一般用戶對(duì)系統(tǒng)的訪問進(jìn)行控制，可以保證系統(tǒng) 安全穩(wěn)定的進(jìn)行運(yùn)行。 濟(jì)南大學(xué)畢業(yè)設(shè)計(jì) 24 （ 4） 測(cè)試用戶管理。 （ 4） 用戶管理。 B/S 系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)圖 圖 系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)圖 系統(tǒng)架構(gòu) 想進(jìn)入本權(quán)限管理系統(tǒng)，首先需要在系統(tǒng)首頁界面中輸入正確的管理員用戶和密碼，經(jīng)過與后臺(tái)數(shù)據(jù)庫中的數(shù)據(jù)進(jìn)行對(duì)比，如果驗(yàn)證通過，則進(jìn)入到系統(tǒng)操作界面。所以不同的結(jié)果會(huì)跳轉(zhuǎn)的同一個(gè)頁面或者不同的頁面，這個(gè)完全取決于系統(tǒng)的設(shè)定。他們之間通過 Session 傳遞消息，消息的內(nèi)容存放在 Form 里，通過 UserForm 類接收和存儲(chǔ)消息。用戶信息的增 加，刪除，修改，以及具體用戶角色的分配，具體權(quán)限的查看都可以在此進(jìn)行操作和查看。根據(jù)具體任務(wù)涉及到的系統(tǒng)菜單等信息，需要對(duì)用戶角色進(jìn)行及時(shí)的賦權(quán)更新操作。 管理員用戶的用例 關(guān)系圖 權(quán)限系統(tǒng)管理員用戶是權(quán)限系統(tǒng)中擁有最高權(quán)限的用戶，它的主要的操作就是對(duì)系統(tǒng)中的用戶信息、角色信息及功能信息進(jìn)行管理，管理員用戶一般不會(huì)參與到信息系統(tǒng)的具體業(yè)務(wù)中，它是一個(gè)只對(duì)應(yīng)權(quán)限系統(tǒng)的特殊用戶。在單位進(jìn)行信息化建設(shè)過程中，單位的敏感信息安全成為了其中的一個(gè)重要問題，因此，信息系統(tǒng)的安全成為單位信息化過程中所要處理解決的首要問題之一。 B/S 開發(fā)模式的優(yōu)點(diǎn) B/S結(jié)構(gòu)就是只安裝維護(hù)服務(wù)器，將系統(tǒng)布置到服務(wù)器中，客戶端采用瀏覽器來運(yùn)行軟件，即瀏覽器 /服務(wù)器結(jié)構(gòu)。 項(xiàng)目背景 在 20世紀(jì) 90年代發(fā)展并日臻完善的 基于角色的訪問控制（ RBAC， RoleBased Access Control） 是 一種管理和增強(qiáng)系統(tǒng)安全性的技術(shù)。 該系統(tǒng)依托現(xiàn)在流行的 JSP語言，通過 MySQL數(shù) 據(jù)庫的數(shù)據(jù)處理，開發(fā)出通用權(quán)限管理系統(tǒng)來對(duì)用戶身份權(quán)限信息進(jìn)行驗(yàn)證。 JSP 繼承了 Java 技術(shù)的簡單易用，完全的面向?qū)ο?，具有平臺(tái)無關(guān)性且安全可靠的所有特點(diǎn)。 （ 3） B/S結(jié)構(gòu)開發(fā)的系統(tǒng)數(shù)據(jù)一致性好。系統(tǒng)按照 RBAC模型可為功能管理、角色管理、用戶管理等三大模塊。 （ 1）權(quán)限系統(tǒng)控制要點(diǎn) 權(quán)限系統(tǒng)控制要點(diǎn)有：信息資源、用戶、單位的機(jī)構(gòu)設(shè)置、具體崗位、業(yè)務(wù)角色、具體任務(wù)、業(yè)務(wù)流程以及業(yè)務(wù)規(guī)則等。本權(quán)限管理系統(tǒng)由于使用者大多只是管理員，并發(fā)數(shù)應(yīng)該不會(huì)太多，主要精力還是放在提高系統(tǒng)的容錯(cuò)能力上。權(quán)限管理過程簡述為：根據(jù)獲取的用戶信息，首先檢索用戶的角色信息，在根據(jù)檢索出的角 色信息，控制器通濟(jì)南大