【文章內(nèi)容簡介】 訪問者是無法登錄（除非利用系統(tǒng)漏洞破解登錄），系統(tǒng)會(huì)提示相應(yīng)的錯(cuò)誤信息給訪問者。 當(dāng)正確登錄后，系統(tǒng)又會(huì)根據(jù)登錄者的用戶角色（包括一般公司員工，系統(tǒng)操作員，公司經(jīng)理級(jí)人員三種角色），賦予訪問者不同的操作權(quán)限。比如系統(tǒng)的個(gè)人信息修改，系統(tǒng)操作員可以進(jìn)行操作。 4 系統(tǒng)實(shí)現(xiàn)技術(shù)介紹 JSP的應(yīng)用 在網(wǎng)站構(gòu)建的技術(shù)上,純粹的HTML網(wǎng)頁只能用來顯示資料,而公司文檔信息管理系統(tǒng)要求實(shí)時(shí)登錄文件信息,實(shí)現(xiàn)上傳文檔和查詢數(shù)據(jù)資料等動(dòng)態(tài)的需求,因此在系統(tǒng)實(shí)施時(shí)采用了JSP(JAVA SERVER PAGES)技術(shù)。JSP 是Sun 公司推出的新一代站點(diǎn)開發(fā)語言，JSP 和ASP 在結(jié)構(gòu)上類似，都是以““作為標(biāo)識(shí)符，不同的是在標(biāo)識(shí)符之間的代碼，ASP 為Javascript 或VBScript 腳本，而JSP 為Java 代碼。JSP 將網(wǎng)頁的表現(xiàn)形式和服務(wù)器端的代碼邏輯分開。作為服務(wù)器進(jìn)程的JSP 頁面，首先被轉(zhuǎn)換成Serviet （一種服務(wù)器端運(yùn)行的Java 程序）, Servlet 支持H TTP 協(xié)議的請(qǐng)求和響應(yīng)。當(dāng)JSP 被轉(zhuǎn)換成純Java 代碼，多個(gè)用戶同時(shí)請(qǐng)求一個(gè)JSP 頁面時(shí)，應(yīng)用實(shí)例化線程來響應(yīng)請(qǐng)求，這些線程由WEB 服務(wù)器進(jìn)程來管理，和ASP 的線程管理器功能類似。同CGI工為每個(gè)請(qǐng)求創(chuàng)建一個(gè)進(jìn)程的模式比較，這種方式效率高的多，這就完全解決了目前ASP , PHP 的一個(gè)通病，腳本級(jí)執(zhí)行效率低的問題。JSP 環(huán)境下，HTML 代碼主要負(fù)責(zé)描述信息的顯示樣式，而程序代碼則用來描述處理邏輯。普通的HTML 頁面只依賴于Web 服務(wù)器而JSP 頁面需要附加的語言引擎分析和執(zhí)行程序代碼。程序代碼的執(zhí)行結(jié)果被重新嵌入到HTML 代碼中，然后一起發(fā)送給瀏覽器。JSP是面向Web 服務(wù)器的技術(shù)，客戶端瀏覽器不需要任何附加的軟件支持。JSP 將內(nèi)容的生成和顯示進(jìn)行分離使用JSP 技術(shù)，W eb 頁面開發(fā)人員可以使用H TML 或者XML 標(biāo)識(shí)來設(shè)計(jì)和格式化最終頁面。使用JSP 標(biāo)識(shí)或者小腳本來生成頁面上的動(dòng)態(tài)內(nèi)容。生成內(nèi)容的邏輯被封裝在標(biāo)識(shí)和JavaB ealls 組件中，并且捆綁在小腳本中，所有的腳本在服務(wù)器端運(yùn)行。如果核心邏輯被封裝在標(biāo)識(shí)和Bean 中，那么其他人，如Web 管理人員和頁面設(shè)計(jì)者，能夠編輯和使用JSP 頁面，而不影響內(nèi)容的生成。在服務(wù)器端，JSP 引擎解釋JSP 標(biāo)識(shí)和小腳本，生成所請(qǐng)求的內(nèi)容，并且將結(jié)果以HTML （或者XML ）頁面的形式發(fā)送回瀏覽器。這有助于作者保護(hù)自己的代碼，而又保證任何基于HTML 的Web 瀏覽器的完全可用性。JSP 強(qiáng)調(diào)可重用的組件 絕大多數(shù)JSP 頁面依賴于可重用的，跨平臺(tái)的組件來執(zhí)行應(yīng)用程序所要求的更為復(fù)雜的處理。開發(fā)人員能夠共享和交換執(zhí)行普通操作的組件，或者使得這些組件為更多的使用者或者客戶團(tuán)體所使用?；诮M件的方法加速了總體開發(fā)過程。JSP 采用標(biāo)識(shí)簡化頁面開發(fā) Web 頁面開發(fā)人員不會(huì)都是熟悉腳本語言的編程人員。Javaserver Page 技術(shù)封裝了許多功能，這些功能是在易用的、與JSP 相關(guān)的XML 標(biāo)識(shí)中進(jìn)行動(dòng)態(tài)內(nèi)容生成所需要的。標(biāo)準(zhǔn)的JSP 標(biāo)識(shí)能夠訪問和實(shí)例化JavaB eans 組件，設(shè)置或者檢索組件屬性，下載ApPlet 。通過開發(fā)定制化標(biāo)識(shí)庫，JSP 技術(shù)是可以擴(kuò)展的。今后，第三方開發(fā)人員和其他人員可以為常用功能創(chuàng)建自己的標(biāo)識(shí)庫。這使得W eb 頁面開發(fā)人員能夠使用熟悉的工具和如同標(biāo)識(shí)一樣的執(zhí)行特定功能的構(gòu)件來工作。JSP 技術(shù)很容易整合到多種應(yīng)用體系結(jié)構(gòu)中，以利用現(xiàn)存的工具和技巧，并且擴(kuò)展到能夠支持企業(yè)級(jí)的分布式應(yīng)用。JSP 技術(shù)能夠支持高度復(fù)雜的基于Web 的應(yīng)用。作為Java 平臺(tái)的一部分，JSP 擁有Java 編程語言“一次編寫，各處運(yùn)行”的特點(diǎn)。系統(tǒng)在實(shí)現(xiàn)時(shí)采用JSP+JAVA代碼封裝的模式,更能夠增加代碼的重用性、可移植性強(qiáng),便于維護(hù)、修改和升級(jí),也減少了編譯時(shí)間。 SQLServer2000和結(jié)構(gòu)化查詢語言的應(yīng)用本系統(tǒng)后臺(tái)數(shù)據(jù)庫采用的是現(xiàn)在普遍使用的SQLServer2000,它是一個(gè)功能強(qiáng)大的關(guān)系型數(shù)據(jù)庫管理系統(tǒng)。在運(yùn)行時(shí)動(dòng)態(tài)SQLServer2000地配置運(yùn)行環(huán)境優(yōu)化和簡化了許多服務(wù)器配置選項(xiàng),而且隨著工作量的增加能夠動(dòng)態(tài)地請(qǐng)求追加的資源,隨著工作量的減少還可以將多余的資源釋放,自動(dòng)地增加和減少數(shù)據(jù)庫的大小。SQLServer2000提供了豐富的管理數(shù)據(jù)庫系統(tǒng)的工具,操作可以高度自動(dòng)化,使用非常方便,在存儲(chǔ)大容量數(shù)據(jù)和保證數(shù)據(jù)庫的安全性、完整性以及分布式處理分布式處理方面都很高效。結(jié)構(gòu)化查詢語言(SQL)是操作數(shù)據(jù)庫的標(biāo)準(zhǔn)語言,通過它可以實(shí)現(xiàn)公司文檔信息化所有對(duì)數(shù)據(jù)庫的操作。本系統(tǒng)主要在JSP程序中通過嵌入方式使用結(jié)構(gòu)化查詢語言(SQL語言)來實(shí)現(xiàn)其強(qiáng)大的數(shù)據(jù)庫操作功能。本系統(tǒng)是供intranet網(wǎng)與internet網(wǎng)用戶使用,只有通過intranet網(wǎng)internet網(wǎng)才能進(jìn)入本系統(tǒng),網(wǎng)絡(luò)的一級(jí)安全機(jī)制為本系統(tǒng)的安全提供了保障。而且,本系統(tǒng)對(duì)操作者實(shí)行身份驗(yàn)證,只有通過身份驗(yàn)證的人才能使用,系統(tǒng)管理員根據(jù)操作人員的身份給予他們不同的操作權(quán)限。例如一般用戶只能查閱有關(guān)文檔而不能對(duì)文檔進(jìn)行相關(guān)的操作,避免了非法人員惡意破壞重要資料。最后,SQLServer2000的權(quán)限設(shè)置也增加了本系統(tǒng)的安全性。通過在SQLServer2000數(shù)據(jù)庫中設(shè)置訪問者數(shù)據(jù)表，來驗(yàn)證操作者實(shí)行身份，并且不同的訪問者擁有不同的訪問權(quán)限。這種訪問權(quán)限機(jī)制基于角色的訪問控制模型基于角色的訪問控制模型是權(quán)限控制中被廣泛使用的方法。在權(quán)限控制的過程中引入角色的概念，通過給用戶賦予角色，再建立角色和權(quán)限之間的關(guān)聯(lián)，從而實(shí)現(xiàn)了靈,活的權(quán)限控制。1). 基于角色的訪問控制模型可以用下圖表示 權(quán)限P角色Ｒ用戶U 基于角色的訪問控制模型模型主要通過用戶，角色，權(quán)限三者之間建立的一對(duì)多和多對(duì)多的關(guān)系來實(shí)現(xiàn)權(quán)限控制，用戶不能被直接授予權(quán)限，只能通過角色來授權(quán)。角色是安全控制的核心它可以極大地簡化權(quán)限管理，因此得到了廣泛的應(yīng)用。對(duì)于文檔管理系統(tǒng)而言 權(quán)限控制關(guān)系到整個(gè)系統(tǒng)的成敗。通過對(duì)用戶設(shè)置訪問權(quán)限來控制用戶對(duì)系統(tǒng)和文檔的訪問 從而保證了文檔訪問過程中的安全性和保密性等要求。2). 系統(tǒng)中的角色定義如表的角色表。權(quán)限判定的具體實(shí)現(xiàn)具體權(quán)限判定實(shí)現(xiàn)過程如圖所示 角色表 2). 系統(tǒng)中的安全層次訪問流程。 安全訪問層次圖3). 數(shù)據(jù)庫中用戶信息列名數(shù)據(jù)類型長度允許空BaseIDVarchar20NameVarchar20yesPassWordVarchar50yesOperTypeVarchar2YesDeptIDVarchar3YesSexVarchar2YesWorkTypeVarchar250YesTelePhoneVarchar30YesMobilePhoneVarchar30YesWorkAddrVarchar50YesEmailVarchar30Yes 數(shù)據(jù)庫中用戶信息表通過建立判定函數(shù)(if語句)進(jìn)行訪問者識(shí)別。用戶登錄系統(tǒng)后，其相關(guān)信息便可以從數(shù)據(jù)庫中得到。用戶對(duì)于功能模塊的訪問，根據(jù)用戶所具有的角色功能模塊值以及用戶的狀態(tài)值，由判定函數(shù)，得到其需要訪問的系統(tǒng)功能模塊的權(quán)限值。用戶在對(duì)文檔訪問時(shí)將用戶值文檔對(duì)象的值以及文檔的狀態(tài)值傳給判定函數(shù)得到其可以訪問文檔的權(quán)限值，然后得到相應(yīng)的用戶操作界面。 用戶安全級(jí)別文檔信息管理系統(tǒng)擁有雙重安全機(jī)制。第一重是基于身份驗(yàn)證:在登錄系統(tǒng)時(shí)，同時(shí)需要用戶名與密碼。只有合法的用戶才能登錄系統(tǒng)，否則無法登錄。同樣地，也是在數(shù)據(jù)庫中加入用戶名與密碼信息，當(dāng)進(jìn)行訪問時(shí)，根據(jù)輸入的信息與查詢數(shù)據(jù)庫的信息進(jìn)行對(duì)比，若信息保持一致，說明用戶是合法的,可以正常登錄系統(tǒng)。文檔信息管理系統(tǒng)一重安全機(jī)制的源代碼如下：%@page contentType=text/html。charset=gb2312%% //判斷是否登錄 if((UserLoginCheck)==null) { (script language=javascriptalert(39。對(duì)不起，你還沒有登錄或者登錄失效，請(qǐng)先登錄！39。)。 =39。../39。/script)。 return。 } else { String strUserLogin = (String)(UserLoginCheck)。 if((E10ADC3949BA59ABBE56E057F20F883E)!=0) { (script language=javascriptalert(39。對(duì)不起，你以非法方式進(jìn)入本系統(tǒng)，請(qǐng)正確登錄！39。)。=39。../39。/script)。 return 。 } }%第二重是基于角色安全機(jī)制當(dāng)正確登錄后，系統(tǒng)又會(huì)根據(jù)登錄者的用戶角色（包括一般公司員工，系統(tǒng)操作員，公司經(jīng)理級(jí)人員三種角色），賦予訪問者不同的操作權(quán)限。比如系統(tǒng)的個(gè)人信息修改，系統(tǒng)操作員可以進(jìn)行操作。文檔信息管理系統(tǒng)一重安全機(jī)制的源代碼如下：%@page contentType=text/html。charset=gb2312%% //判斷操作權(quán) 0:普通,1:公司一般人員,2:系統(tǒng)操作員,3:公司經(jīng)理以上人員 String strTmp=(FunctionURL)。 int iType=0。 if(strTmp != null) { ()。 if((1) == 0) iType=1。 else if((2) == 0) iType=2。 else if((3) == 0) iType=3。 } String strUserOperType=(String)(UserOperType)。 if(strUserOperType == null) strUserOperType=。 else strUserOperType=()。 //判斷是否為公司經(jīng)理以上人員 if(iType == 3) { if((3) == 0) { return。 } else { (script language=javascriptalert(39。對(duì)不起，你不是部門經(jīng)理以上人員，你沒有權(quán)限執(zhí)行本項(xiàng)操作！39。)。=39。../39。/script)。 return 。 } } //判斷是否為系統(tǒng)操作員 if(iType == 2) { if((3) == 0) return。 if((2) == 0) return。 else { (script language=javascriptalert(39。對(duì)不起，你不是系統(tǒng)操作員，你沒有權(quán)限執(zhí)行本項(xiàng)操作！39。)。=39。../39。/script)。