基于JAAS和J2EE Web容器的验证与授权

在Borland应用服务器的基础上，使用JAAS与J2EE Web容器内在的安全机制，并借助Oracle数据库的用户验证，实现了Web应用中对用户的验证和授权。把用户能访问到的资源控制到页面级，将开发阶段需要考虑的安全问题转移到部署阶段，实现了应用逻辑与安全逻辑的彻底分离。实践表明，使用JAAS可以提高整个系统的开发效率，而Web容器提供的验证与授权可以很好地和数据库安全域相结合。
关 键 词 验证; 授权; JAAS; J2EE Web容器; 安全

在大中型Web应用中，实现系统的安全性是系统架构师必须考虑的事。系统的安全性主要体现在两部分：验证和授权。验证(Authentication)表示确定一个用户就是他所声称的那个人；授权(Authorization)或访问控制，表示已通过验证的用户只能访问那些允许他访问的资源。不同的用户对不同的资源拥有不同的访问权限，如何对众多的用户进行验证和授权是构建系统的关键。在早期的Web应用中，程序员在每个页面编写检查权限的代码来实现对页面的保护。如果权限发生变化，则需对应用程序级的代码进行修改，整个系统的可维护性和代码可重用性不高，开发效率较低。而利用JAVA验证与授权服务(Java Authentication and Authorization Service，JAAS)提供的验证授权机制和Web容器内在的安全机制，可以在部署阶段来实现对用户的授权，并能借助其他安全域(如数据库)来实现对用户的验证。
1 JAAS提供的验证和授权
JAAS是J2EE规范中定义的一种验证授权框架。它提供的验证机制是一种可插入式的，即当前应用能在保持已有验证机制不变的情况下加入新的验证方式，而不用更改应用程序级的代码；系统管理员在配置文件中决定采用哪些验证技术以及它们的验证顺序。因而非常适合企业在已经拥有一套验证机制的情况下使用。
在JAAS框架之下，开发人员只需在应用程序层和登录上下文(LoginContext)交互。LoginContext之下是一组动态配置的登录模块(LoginModule)对象，LoginModule是调用特定验证机制的接口，对一个具体实现了LoginModuel接口的类，就是一种验证方式。开发系统时可以根据需要使用J2EE1.4中包含的几种LoginModule实现类(如JndiLoginModule、Krb5LoginModule、NTLoginModule、UnixLogin Module)，或编写自己的LoginModule，或使用应用服务器提供的相关实现。
JAAS框架通过一个配置文件来指定要使用的验证机制，并对验证模块进行封装。开发人员无需为如何调用验证模块编写任何代码，系统会根据配置文件中定义的验证机制采取相应的验证方式。如果验证成功，就会返回一个包含验证信息的主体(Subject)，这个验证信息将会用于授权过程。