字段名称
字段描述
主键
Ｔａｓｋ＿ＩＤ
任务序号
ＰＫ
Ｔａｓｋ＿Ｎａｍｅ
任务名称
ＳｕｂＦｕｎｃｔｉｏｎＮｏ 所属功能模块子类
ＦｕｎｃｔｉｏｎＮｏ
所属功能模块类
ＵＲＬ
页面 ＵＲＬ 地址
类型 Ｃｈａｒ Ｃｈａｒ Ｃｈａｒ Ｃｈａｒ ｃｈａｒ
长度 说明 ２ ３０
１００ ２５５ ２５５
３．２ 任 务 分 派 功 能 实 现 如 下 图 １ 显 示 了 在 ＡＳＰ．ＮＥＴ 页 中 任 务 分 派 功 能 的 实 现 。通 过 对 各 任 务 功 能 的 选 择 进 行 分 派 任 务 。系 统 根 据 选择的结果转换成字符串存放于角色表的 Ｒｏｌｅ＿Ｔａｓｋ 字段中。
然而， 在 ＡＳＰ．ＮＥＴ 中实现方案并不详尽， 而且不 能 满 足 对 不 同 的 用户分派不同的任务需求。
２．角色访问控制 传 统 的 访 问 控 制 方 法 ＤＡＣ（ Ｄｉｓｃｒｅｔｉｏｎａｒｙ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ， 自 主 访 问 控 制 模 型 ） 、ＭＡＣ（ Ｍａｎｄａｔｏｒｙ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ， 强 制 访 问 控 制 模 型 ） 难 以 满 足 复 杂 的 企 业 环 境 需 求 。 因 此 ， ＮＩＳＴ （ Ｎａｔｉｏｎａｌ Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｓｔａｎｄａｒｄｓ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ， 美 国 国 家 标 准 化 和 技 术 委 员 会 ） 于 ９０ 年 代
单独的资源使用 Ｗｉｎｄｏｗｓ ＡＣＬ 来提 供 安 全 保 护 。 应 用 程 序 在 访 问资源之前模拟（ ｉｍｐｅｒｓｏｎａｔｅ） 调用者， 这样可以 使 操 作 系 统 执 行 标 准 的访问检查。所有对资源的访问都是使用原始调用者的安全上下文。 这种模拟方式在应用程序的中间层连接池不能被有效使用， 因而影响 了应用程序的可伸缩性。
３．３ 页面动态调用的实现 每一个用户登录到系统后， 系统根据 用户的角色集查看所拥有的角色， 并根据相应角色的任务集进行对用 户的任务分配， 分配完任务后， 对相应的功能进行允许访问或禁止访 问 来 决 定 对 功 能 模 块 的 调 用 与 否 。如 果 是 允 许 调 用 则 用 户 可 以 访 问 此
３．１ 数据库中表的设计 （ １） 用户权限表（ ｕｓｅｒ＿ａｕｔｈ） ：
表 １ 用户权限表
字段名称
字段描述
主键
类型
长度
说明
Ｕｓｅｒ＿ＺＧＨ 用户职工号
ＰＫ
Ｃｈａｒ
８
Ｕｓｅｒ＿Ｎａｍｅ 用户名称
Ｃｈａｒ
２０
Ｐａｓｓｗｏｒｄ
口令
Ｃｈａｒ
２５５
Ｓｔａｔｕｓ
用户状态
Ｃｈａｒ
１
Ｒｏｌｅ＿Ｃｏｄｅ 用户角色代码
表 ２ 角色表
字段名称
字段描述
主键
类型
长度 说明
Ｒｏｌｅ＿Ｃｏｄｅ
角色代码
ＰＫ
Ｃｈａｒ
２
Ｒｏｌｅ＿Ｎａｍｅ
角色名称
Ｃｈａｒ
３０
Ｒｏｌｅ＿Ｔａｓｋ
角色分派任务
Ｃｈａｒ
１００
Ｒｏｌｅ＿Ｄｉｓｃｒｉｐｔｉｏｎ
描述
Ｃｈａｒ
２５５
Ｒｅｍａｒｋ
备注
ｃｈａｒ
２５５
（ ３） 任务表（ Ｔａｓｋ＿Ｔａｂｌｅ） ： 表 ３ 任务表
ＮＥＴ 平 台 上 没 有 完 整 的 基 于 角 色 的 访 问 控 制 机 制 ， ．ＮＥＴ 中 的 安 全 模 型 （ 代 码 访 问 安 全 性 ： ＣＡＳ） 只 是 实 现 到 角 色 层 次 ， 没 有 细 化 到 任 务层次， ＡＳＰ．ＮＥＴ ２．０ 中的诸多安全机制 ， 如 Ｍｅｍｂｅｒｓｈｉｐ、Ｗｅｂ．Ｃｏｎｆｉｇ 的安全配置， 都只能针对角色进行设置， 大家在利用这些安全机制， 往 往 需 要 在 程 序／代 码 硬 编 码 （ ＨａｒｄＣｏｄｅ） 角 色 ， 这 样 就 无 法 实 现 在 运 行 期自定义角色的功能。本文将首先介绍 ＡＳＰ．ＮＥＴ 的基 本 情 况 和 基 于 角色和访问控制（ Ｒｏｌｅ Ｂａｓｅｄ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ， ＲＢＡＣ） 的 ［１］［２］ 基 本 思 想 ， 在 此基础上， 给出科研管理系统中实现用户权限控制的一种具体方法。
就基于角色访问控制而言， 访问决策是基于角色的， 个体用户是 某个组织的一部分。 用 户 具 有 指 派 的 角 色 （ 比 如 医 生 、护 士 、出 纳 、经 理） 。定义角色的过程应该基于对组织运转的彻底分析， 应该包括来自 一个组织中更广范围用户的输入。访问权按角色名分组， 资源的使用 受限于授权给假定关联角色的个体。例如， 在一个医院系统中， 医生角 色可能包括进行诊断、开据处方、指示实验室化验等； 而研究员的角色 则 被 限 制 在 收 集 用 于 研 究 的 匿 名 临 床 信 息 工 作 上 。控 制 访 问 角 色 的 运 用可能是一种开发和加强企业特殊安全策略， 进行安全管理过程流程 化的有效手段。
８４
科技信息
○ＩＴ 技术论坛○
ＳＣＩＥＮＣＥ ＆ ＴＥＣＨＮＯＬＯＧＹ ＩＮＦＯＲＭＡＴＩＯＮ
２００８ 年 第 ２５ 期
一个由 ０ 和 １ 组成的类似二进制数的字符串。而任务表中的 Ｔａｓｋ＿ＩＤ （任务序号）字段表示该任务在角色表的 Ｒｏｌｅ＿ｔａｓｋ （角色任务分派值）字 段中的位置， 如果该位置对应的数值是 ０， 表示该角色无此权限， 如果 值为 １， 则表示该角色拥有此权限。
１．ＡＳ Ｐ ．ＮＥＴ 技术 ＡＳＰ．ＮＥＴ 是微软推出的用于建立动态的数据库驱动网站的技术， 是一个已编译的、基于．ＮＥＴ 的环境 ［３］， 为开发人员提供生成 企 业 级 ＷＥＢ 应用程序所需的服务， 可以 和 任 何 与．ＮＥＴ 兼 容 的 语 言 创 建 应 用 程序， 生成更安全的、可伸 缩 的 和 稳 定 的 ＷＥＢ 应 用 程 序 ， ＡＳＰ．ＮＥＴ 提 供 了 一 种 将 显 示 逻 辑 和 编 程 逻 辑 分 离 的 Ｗｅｂ 应 用 程 序 设 计 技 术 ， 可
初提出了基于角色的访问控制方法， 实现了用户与访问权限的逻辑分
离， 更符合企业的用户、组织、数据和应用特征。 角 色 访 问 控 制 （ Ｒｏｌｅ－ Ｂａｓｅｄ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ， ＲＢＡＣ） 引 入 了 角 色 的
概念，目的是为了隔离用户（ 即动作主体） 与权限（ 表示对资源的一个 操作） 。角色作为一个用户与权限的代理层， 解耦了权限和用户的关 系， 所有的授权应该给予角色而不是直接给用户或组。权限颗粒由操 作和资源组成， 表示对资源的一个操作。基于角色的访问控制方法 （ ＲＢＡＣ） 的显著的两大特征是： １） 由于角色／权限之间的变化比角色／用 户关系之间的变化相对要慢得多， 减小了授权管理的复杂性， 降低管 理开销。２） 灵活地支持企业的安全策略， 并对企业的变化有很大的伸 缩性。
３．权限分配的设计与实现 权限控制的基本思想是： 根据角色访问控制（ ＲＢＡＣ） 的基本原理， 给用户分配一个角色， 每个角色对应一些权限， 然 后 利 用 ＡＳＰ．ＮＥＴ 中
的服务器端编程技术来判断该用户对应的角色及该角色所拥有的页 面访问权力， 然后根据这些权力动态调用相应 Ｗｅｂ 页面。
下面以学校科研管理系统为例进行在 ＡＳＰ．ＮＥＴ 中 基 于 角 色 的 用 户权限分配的设计与实现。
在 ＡＳＰ．ＮＥＴ 中提供了成员资格、角色管理授权等功能。通过成员 资格提供了通用的用 户 管 理 功 能 ， 诸 如 注 册 、登 录 、找 回 密 码 等 ， 加 上 与之配套的可视化控件， 我们“几乎”不用在编写额外的代码就可以工 作。但注册和登录控件有缺乏验证码， 缺乏安全性。ＡＳＰ．ＮＥＴ ２．０ 的角 色管 理 授 权 ， 由 ＲｏｌｅＭａｎａｇｅｒＭｏｄｕｌｅ、Ｒｏｌｅｓ、ＲｏｌｅＰｒｏｖｉｄｅｒ、ＲｏｌｅＰｒｉｎｃｉｐａ 共 同 组 成 。 系 统 会 自 动 载 入 ＲｏｌｅＭａｎａｇｅｒＭｏｄｕｌｅ 这 个 ＨｔｔｐＭｏｄｕｌｅ， Ｒｏｌｅｓ 为用户提供角色相关的操作方法， 而 ＲｏｌｅＰｒｏｖｉｄｅｒ 提 供 程 序 的ｅｍａｒｋ
备注
ｃｈａｒ
２５５
在 用 户 权 限 表 的 Ｒｏｌｅ＿Ｃｏｄｅ 字 段 用 于 记 录 对 该 用 户 所 分 配 的 角 色集， 一个用户有可能身兼多个角色。
（ ２） 角色表（ Ｒｏｌｅ＿Ｔａｂｌｅ） ： 角色表中 Ｒｏｌｅ＿Ｔａｓｋ 字段用于记录该角色所拥有的任务集。它是
以将编程逻辑进行编译， 提供了强类型、性能优化和早期绑定。 ＡＳＰ．ＮＥＴ 应用程序有两种基本的权限策略： 基于角色的授权和基
于资源的授权。 对操作的访问通过调用者的角色成员关系， 提供安全保护。角色
可 以 将 应 用 程 序 的 用 户 群 划 分 为 具 有 相 同 安 全 权 限 的 用 户 组 。用 户 被 映射到角色， 而且如果某个用户被授权执行所请求的操作， 则应用程 序可以用固定的标识来访问资源。这些标识被各自的资源管理器（ 如 数据库和文件系统） 所信任。
科技信息
○ＩＴ 技术论坛○
ＳＣＩＥＮＣＥ ＆ ＴＥＣＨＮＯＬＯＧＹ ＩＮＦＯＲＭＡＴＩＯＮ
２００８ 年 第 ２５ 期
在 ＡＳＰ．ＮＥＴ 中基于角色的权限控制设计与实现
昝风彪 （ 青海民族学院计算机科学与技术系 青海 西宁 ８１０００７）
【摘 要】ＡＳＰ．ＮＥＴ 虽然提供基于角色的授权和基于资源的授权两种权限策略， 但不能满足对不同的用户分派不同的任务需求。基于角色 的访问控制实现了用户与访问权限的逻辑分离， 更符合企业的用户、组织、数据和应用特征。在 ＡＳＰ．ＮＥＴ 中运用基于角色的访问控制使应用程 序在用户管理方面具有更好的灵活性和安全性， 实现多粒度控制。
【关键词】ＡＰＳ．ＮＥＴ ； 角色； 权限； 访问控制 Ｄｅｓｉｇｎ ａｎｄ Ｉｍｐｌｅｍｅｎｔａｔｉｏｎ ｏｆ Ｒｏｌｅ－ Ｂａｓｅｄ Ｐｒ ｉｖｉｌｅｇｅ Ｃｏｎｔｒ ｏｌｓ ｉｎ ＡＳＰ．ＮＥＴ ＺＡＮ Ｆｅｎｇ－ ｂｉａｏ