（通信与信息系统专业论文）电子政务统一权限管理系统的研究与开发.pdf

武汉理工大学硕士学位论文 摘要 随着信息技术和网络技术的迅速发展，企业内部的应用系统越来越多。比 如在媒体行业，常见的应用系统就有采编系统、排版系统、印刷系统、广告管 理系统、财务系统、办公自动化系统、决策支持系统、客户关系管理系统和网 站发布系统等。由于这些系统互相独立，用户在使用每个应用系统之前都必须 按照相应的系统身份进行登录，为此用户必须记住每一个系统的用户名和密码， 这给用户带来了不少麻烦。特别是随着系统的增多，出错的可能性就会增加， 受到非法截获和破坏的可能性也会增大，安全性就会相应降低。针对于这种情 况，统一身份认证、单点登录等概念应运而生，同时不断地被应用到企业应用 系统中。 针对电子政务网络中应用系统繁多，应用系统中的用户和权限管理混乱、 管理维护复杂等情况，需要建立一个将多个应用系统整合在一起的统一权限管 理平台，以实现电子政务网络应用系统中用户和权限的统一管理。为了保证授 权服务平台的安全和数据的权威可靠，需要严格限制每个用户的权限作用域， 防止用户越权访问，这就对授权服务平台的访问控制机制提出了很高的要求。 本文根据电子政务网络的实际情况以及授权服务平台对访问控制的实际需 求，研究开发了统一权限管理系统，并实现了该系统的单点登录。具体的，本 文进行了如下工作： 1 ) 分析研究了现有的权限管理方案，并对各种方案进行了相关的比较和总结。 2 ) 介绍了本文的两个重要的理论背景：身份认证和统一权限管理。并介绍 了研发统一权限管理系统中要使用的几种技术：j 2 e e 技术、w e bs e r v i c e 、x m l 存储和a j a x 技术。 3 ) 从需求分析和应用场景分析两方面阐述研发统一权限管理系统的重要性 和必要性。 4 ) 详细设计开发统一权限管理系统，具体包括：系统整体设计、系统功能 描述、门户设计、接口设计和数据库设计。 关键词：电子政务；统一身份认证；权限管理 a b s t r a c t a l o n gw i t ht h ei n f o r m a t i o nt e c h n o l o g ya n dn e t w o r k sr a p i dd e v e l o p m e n t t h e e n t e r p r i s ei n t e r n a la p p l i c a t i o ns y s t e mi sg e t t i n gm o r ea n dm o r e f o ri i l s t a i l c ei nt 1 1 e m e d i ap r o f e s s i o n ，t h ec o r n i l o n a p p l i c a t i o ns y s t e mh a st h ee d i t i n gs y s t e m ，t h e t y p e s e t t i n gs y s t e m ，t h ep r i n t i n gs y s t e m ，t h ea d v e r t i s e m e n tm a n a g e m e n ts y s t e m m a n a g e m e n ts y s t e m ，t h ef i n a n c i a ls y s t e m ，t h eo f f i c ea u t o m a t i o ns y s t e m ，t h ed e c i s i o n s u p p o r ts y s t e m ，t h ec u s t o m e rr e l a t i o n sm a n a g e m e n ts y s t e mm a n a g e m e n ts y s t e ma n d t h ew e b s i t ei s s u es y s t e ma n ds oo n b e c a u s et h e s es y s t e m sa r e m u t u a l l yi n d e p e n d e n t ， t h eu s e rb e f o r eu s i n ge a c ha p p l i c a t i o ns y s t e m s t a t u st oc a r r yo nr e g i s t e r s ，f o rt h i sr e a s o nt h e m u s td e f e rt ot h ec o r r e s p o n d i n gs y s t e m u s e rm u s tr e m e m b e re a c hs y s t e m su s e r n a m ea n dt h ep a s s w o r d ，t h i sh a sb r o u g h tm a n yt r o u b l e st ot h eu s e r s p e c i a l l ya l o n g w i t hs y s t e m si n c r e a s e ，t h ep o s s i b i l i t yw h i c hw i l lm a k ea m i s t a k ew i l li n c r e a s e r e c e i v e st h ei l l e g a li n t e r c e p t i o na n dt h ed e s t r u c t i o np o s s i b i l i t yw i l la l s oi n c r e a s e t h e s e c u r i t yc o r r e s p o n d i n g l yw i l lr e d u c e i nv i e wi nt h i sk i n do fs i t u a t i o n 廿1 eu 1 1 j 6 e d s t a t u sa u t h e n t i c a t i o n ，t h es i m p l ep o i n tr e g i s t e r sa n ds o o nc o n c e p t st oa r i s ea tt h e h i s t o r i cm o m e n t ，s i m u l t a n e o u s l yi sa p p l i e du n c e a s i n g l yi nt h ee n t e r p r i s ea p p l i c a t i o n s y s t e m n e t w o r kf o re - g o v e r n m e n ta p p l i c a t i o ns y s t e m sm a n ya p p l i c a t i o n su s e r sa n d r i g h t sm a n a g e m e n tc o n f u s i o na n dc o m p l e x i t yo fm a n a g e m e n ta n dm a j n t e n a n c e ，e t c r e q u i r e dt h ee s t a b l i s h m e n to fam u l t i p l eq u o t es y s t e mi n t e g r a t e dw i t ht h eu n i f i e d r i g h t sm a n a g e m e n tp l a t f o r mt or e a l i z ee g o v e r n m e n tn e t w o r ka p p l i c a t i o n su s e r sa n d p e 肌l s s l o n sm a n a g e m e n t a u t h o r i z e ds e r v i c ep l a t f o r mi no r d e rt o g u a r a n t e et h e s a f e t ya n dt h ea u t h o r i t yo fr e l i a b l ed a t a , t h en e e df o rs t r i c tr e s t r i c t i o n so nt h es c 0 1 9 eo f e a c nu s e r sp e r m i s s i o n st op r e v e n tu n a u t h o r i z e du s e ra c c e s s ，w h i c ha u t h o r i z e dm e s e r v i c ep l a t f o r mf o ra c c e s sc o n t r o lm e c h a n i s mf o rh i g hd e m a n d s i nt h i sp a p e r , e g o v e r n m e n tn e t w o r ki na c c o r d a n c ew i t ht h ea c t u a ls i t u a t i o n a s w e l la sa u t h o r i z e ds e r v i c ep l a t f o r mf o ra c c e s sc o n t r o lt h ea c t u a ln e e d so f t h er e s e 锄c h a n dd e v e l o p m e n to fau n i f i e dr i g h t sm a n a g e m e n ts y s t e ma n d i m p l e m e n t a t i o no ft h e h 武汉理工大学硕士学位论文 s y s t e ms i n g l e p o i n ts i g n s p e c i f i cj o bi nt h i sa r t i c l ea sf o l l o w s ： 1 ) a n a l y s i so ft h ee x i s t i n gr i g h t sm a n a g e m e n tp r o g r a m s ，a n dv a r i o u sp r o g r a m a n ds u m m a r i z et h er e l e v a n tc o m p a r i s o n s 2 ) t h i sa r t i c l ed e s c r i b e st w oi m p o r t a n tt h e o r e t i c a lb a c k g r o u n d ：au n i f i e di d e n t i t y a u t h e n t i c a t i o na n dr i g h t sm a n a g e m e n t a n di n t r o d u c e dt h er&du n i f i e dr i g h t s m a n a g e m e n ts y s t e mt ob eu s e di ns e v e r a lt e c h n o l o g i e s ：n e tt e c h n o l o g y ，m e s s a g i n g a n dw e bs e r v i c e ，x m ls t o r a g ea n da j a xt e c h n o l o g y 3 ) f r o mt h en e e d sa n a l y s i sa n da p p l i c a t i o no fs c e n ea n a l y s i st h a tb o t hr & d u n i f i e dr i g h t sm a n a g e m e n ts y s t e mo ft h ei m p o r t a n c ea n d n e c e s s i t y 4 ) d e t a i l e dd e s i g nd e v e l o p m e n to fau n i f i e dr i g h t sm a n a g e m e n ts y s t e m ， i n c l u d i n g ：o v e r a l ls y s t e md e s i g n ，s y s t e mf u n c t i o nd e s c r i p t i o n ，t h ep o r t a ld e s i g n ， i n t e r f a c ed e s i g na n dd a t a b a s ed e s i g n k e y w o r d s ：e - g o v e r n m e n t ；u n i f o r mi d e n t i t ya u t h e n t i c a t i o n ；r i g h t sm a n a g e m e n t i i i 独创性声明 本人声明，所呈交的论文是本人在导师指导下进行的研究工作及 取得的研究成果。尽我所知，除了文中特别加以标注和致谢的地方外， 论文中不包含其他人已经发表或撰写过的研究成果，也不包含为获得 武汉理工大学或其它教育机构的学位或证书而使用过的材料。与我一 同工作的同志对本研究所做的任何贡献均已在论文中作了明确的说 明并表示了谢意。 签名： 自聋 日期： 翌翌：! 星 学位论文使用授权书 本人完全了解武汉理工大学有关保留、使用学位论文的规定，即： 学校有权保留并向国家有关部门或机构送交论文的复印件和电子版， 允许论文被查阅和借阅。本人授权武汉理工大学可以将本学位论文的 全部内容编入有关数据库进行检索，可以采用影印、缩印或其他复制 手段保存或汇编本学位论文。同时授权经武汉理工大学认可的国家有 关机构或论文数据库使用或收录本学位论文，并向社会公众提供信息 服务。 ( 保密的论文在解密后应遵守此规定) 研究生( 签名) ：同币 导 孙j 1 j 1 ) 武汉理工大学硕士学位论文 1 1 论文背景 第1 章绪论 随着技术进步的加快，尤其是国际互联网的出现和迅速发展，一个全球性 的信息社会正在逐步形成，推进政府部门政务工作的自动化、网络化以及电子 化已是大势所趋。在世界各国积极倡导的“信息高速公路 的五个应用领域中， “电子政务 被列为第一位，伴随着政府电子政务建设的热潮，逐渐被提到了政 府改革的日程上来，它是政府部门进入现代化行政管理、提高决策的科学性、 客观性，增强民主意识，加大行政管理透明度的重要环节【l 】。系统开发背景电子 政务是政府机构运用现代网络通讯与计算机技术，将其内部和外部的管理和服 务职能通过精简、优化、整合、重组到网上实现，打破时间、空间以及部门分隔 的制约，为社会公众以及自身提供一体化的高效、优质、廉洁的管理和服务【2 】。 我国电子政务可以分为初期的缓慢发展和近期的快速发展两个阶段。初期发展 主要表现在两个方面。一、是2 0 世纪9 0 年代末期，建立了各种内部信息办公 网络，为利用计算机和通信网络技术创造了基础条件。二、是1 9 9 3 年启动的“三 金工程”，即金桥、金关和金卡工程。这是中央主导的以政府信息化为特征的系 统工程，重点是建设信息化的基础设施，为重点行业和部门传输数据和信息【3 】。 电子政务是基于网络的，符合i n t e m e t 技术标准的，面向政府机关内部、其 他政府机构、企业以及社会公众的信息服务和信息处理系统【4 1 。通过电子政务， 政府部门内部实现办公自动化；为公众提供信息服务；政府部门内部以及部门 之间实现信息资源共享1 5 j 。 电子政务系统主要包括三个组成部分：一是政府部门内部的电子化和网络 化办公；二是政府部门之间通过计算机网络而进行的信息共享和实时通信；三 是政府部门通过网络与民众之间进行的双向信息交流【6 】。整个系统运行在公网、 专网、内网三种网络上，政府部门内部办公系统运行在内部局域网上；部门间 办公系统一般运行在政府专网上，在特殊情况下也可能运行在局域网或公网上； 对外服务系统一般运行在公网上【7 j 。 武汉理工大学硕士学位论文 1 1 1 本课题的研究目的 本文研究的目的就在于通过学习以及对相关技术的研究，针对目前电子政 务体系中在拥有多个应用系统的用户环境中，用户人员众多，所以信息中心的 操作人员需要在各个系统中维护各个用户的帐号，或增加( 新进职工) 或修改 ( 职务变动) 或删除( 离职) 1 8 】。一个员工可能使用几个应用系统，那么操作人 员就需要维护多次。随着复杂度的提升，错误在所难免。所以需要简化用户管 理的强度，实现用户的统一管理。 1 1 2 与本课题相关的现状分析 随着互联网的普及，大量各类不同的用户可访问的信息资源的结构日趋复 杂，规模日益增大，如何确保信息系统的安全性越来越成为更加突出的问题， 任何非法用户进入或者越权操作而造成的系统内容的窜改或破坏，都将给整个 信息系统带来十分严重的后果。目前国内外主要的权限管理方案如下t 信息系统的设计实现过程中，对软件系统的用户操作权限控制方法主要有 以下几种： 1 ) 利用数据库系统的角色访问权限，不同的用户以不同的角色访问数据库 资源，该方案权限控制对象仅针对数据，不仅造成数据库服务器负担沉重，而 且很难适应应用的不断变化。 2 ) 通过w e b 服务器或应用程序服务器提供的集成安全机制实现权限管理， 其优点是开发工作量小，但仅适合于用户群较为稳定的场合。 3 ) 专用的权限认证服务器权限管理模式，其优点是集中管理，统一安排， 但很难精细到具体应用的某个功能级控制。 1 2 论文的选题及研究意义 随着今后电子政务的进一步发展，政府内部的应用系统越来越多。比如某 部门现有正在运行中的系统有电子公文交换系统、政府督办及回告系统、电子 台帐系统、绩效考核平台等。由于这些系统互相独立，用户在使用每个应用系 统之前都必须按照相应的系统身份进行登录，为此用户必须记住每一个系统的 用户名和密码，这给用户带来了不少麻烦。特别是随着系统的增多，出错的可 2 武汉理工大学硕士学位论文 能性就会增加，受到非法截获和破坏的可能性也会增大，安全性就会相应降低。 一般来说，这些应用系统都拥有独立的用户信息管理功能，用户信息的格 式、命名与存储方式也多种多样。当用户需要使用多个应用系统时就会带来用 户信息同步问题。用户信息同步会增加系统的复杂性，增加管理的成本。因此 将这些系统集成在一起，然后根据不同的用户设置相应的权限，实行统一管理 是很有意义的【9 j 。 1 3 论文的组织结构 本文共分五章，内容安排如下： 第一章，首先简要概述了本文所研究的电子政务领域的背景，介绍了目前 国内外权限管理方案的现状，然后论述了本文的选题及研究意义，并对本文的 组织结构进行综述。 第二章，身份认证是设置权限的核心，介绍了身份认证主要包括的三点。 接着详细介绍了什么是统一权限管理。 第三章，对第二章中提出的统一权限管理系统的整体设计进行论述，从需 求分析，应用场景分析等几个方面进行说明。 第四章，详细设计与开发统一权限管理系统，主要从系统整体设计，系统 功能描述，门户设计，接口设计和实现代码五方面进行说明。 第五章，总结本论文主要成果，并指出了需要进一步解决的问题，和对下 一步可开展的工作进行展望。 武汉理工大学硕士学位论文 第2 章统一权限管理平台相关理论背景 2 1 身份认证 在身份认证方面，需要包括以下几点： ( 1 ) 用户登录授权服务平台时的身份认证； ( 2 ) 数据交换时的身份认证； ( 3 ) 分布式数据库之间交互数据时的身份认证。 2 1 1 用户身份认证 身份认证通常是保护系统资源免受未经授权访问的第一道防护措施。控制 计算机资源如何被访问以及由谁来访问的任何访问控制都是以可靠运行的身份 认证机制为基础的【l 训。可见身份认证在安全系统中的地位极其重要，是最基本 的安全服务，其它的安全服务都要依赖于它。一旦身份认证系统被攻破，那么 系统的所有安全措施将形同虚设。网络中的应用系统或者对所用用户都是开放 的，或者仅限于授权用户的访问。当仅限于授权用户的访问时，系统将根据用 户的身份决定该用户是否可访问特定的资源。为使基于用户身份识别的系统能 够有效地实施访问控制，必须对用户进行可靠的识别。认证是以一个用户难以 伪造另一用户的方式，对用户的身份进行识别的过程。在实际情况中，人们首 先想到的就是基于用户名一口令的简单认证方式。但是当用户选择口令时，都 倾向于选择弱口令，这将使口令非常容易被破译。不仅如此，用户名、口令在 网络上明文传送，很容易被s n i f f e r 等网络监听软件获取。 按键记录软件和类似的间谍软件对于基于口令的安全来说也是严重的威 胁。口令的重复使用以及没有改变默认口令也是攻击的主要来源。这些都对系 统的安全性造成了很大的威胁。 除此之外，电子政务网络中的用户很多，必须区分哪些是授权服务平台的 用户，哪些不是授权服务平台的用户。同时还要防止一些非法用户为了获取授 权服务平台的组织成员数据，而向授权服务平台数据库提供自身信息，以成为 数据库中的合法成员，拥有合法成员的权限。因此，还需要一个安全可靠的组 4 武汉理工大学硕士学位论文 织成员信息列表。 2 1 2 数据的交互认证 授权服务平台通常是建立在某一个局域网或专网内，所以更多时候在传送 敏感数据时未加处理就直接传送，这也是一个极大的安全隐患。这些明文传送的 机密信息很容易被电子政务网络中的某些人员恶意截获、篡改，这将对电子政务 网络的敏感数据造成不可弥补的损失。因此在用户与授权服务平台之间发生数据 交互时，需要对数据进行加密和摘要处理，以保证数据在传输的过程中不被恶意 窃取、复制以及修改，即使能够窃取到也不能解析出真正的数据信息【1 1 1 。 另外，当数据在网络上被共享时，就可能引发对网络是否可以信赖问题的 讨论，并且因为网络共享的存在，将有可能导致在整个会话过程中发生事先所 没有预料到的干扰事件，使得对这些数据的可靠使用变的困难。对于在网络通 信过程中可能会出现的一些网络攻击事件，有可能使整个通信过程中的安全性 受到很大程度的破坏。 2 1 3 数据库间的交互认证 为了提高授权服务平台的高负载性、可扩展性以及避免和克服可能突发的 系统故障，授权服务平台存在着分布式存储的需求。同时为了保证授权服务平 台拥有可信的组织成员列表，授权服务平台的数据库要与认证中心的数据库进 行数据交互【l 引。基于上述两点需求，要求数据库之间在进行数据交互之前，首 先进行数据库之间的相互认证。为了适应网络通讯中的身份不确定性，防止因 信息传输途中遭受拦截而发生泄密和欺骗事件，防止有人对服务器进行欺骗， 通过重放攻击等手段，冒充数据库与其进行数据交换，从而达到获取未授权访 问的信息或是修改数据库信息的目的。因此在数据库间进行数据交互的时候， 不仅需要双方进行身份认证，还需要对数据库间传送的数据加密。 2 2 统一权限管理 在多个电子政务应用系统中，用户( 管理员) 的数量不断增加，同时一个管理 员管理的系统也可能不断增加。这样就带来了安全和效率方面的问题，用户不 得不记忆各个系统的帐号和密码，在每进入一个系统前须进行一次认证。为了 5 武汉理工大学硕士学位论文 解决这个问题，我们将用户与权限集中， 各系统间基于角色的多级访问控制权限， 统一权限管理。 建立统一的认证系统综合管理用户在 实现各系统间的一次登录、统一认证、 统一权限管理主要包括角色管理，用户角色指派，角色权限指派以及权限 管理这四大功能模块以及授权管理客户端【1 3 1 。角色管理实现基本的角色创建、 修改和删除功能，并且提供角色授权子模块，为角色权限的授予和回收提供接 口。为简化原型系统的实现，权限的回收仅对当前所显示授予的角色进行，不 考虑强弱回收的实现【1 4 1 。同时，当管理员点击用户列表中某一个角色的“概览” 按扭时，为管理员显示用户所有其直接或间接被指派给的用户及角色拥有的所 有权限，包括角色直接授予，直接继承，关联获得以及关联传递继承的所有权 限和用户信息【l5 1 。从而了解到某个角色在其他域中的指派信息和授权信息。 在基于角色的访问控制机制中，角色是核心部分。“用户分配 指根据用户 在组织中的职责和能力被赋予对应各个角色的成员 1 6 j 。“权限分配”指角色按 其职责范围与一组操作权限相关联【1 7 】。进行权限分配时，应遵循最小特权原则， 即分配的权限集既能保证角色充分行使其职能，又不能超越职能职权范围。基 于角色的权限管理【l8 】使得系统安全机制具有很大的灵活性。如果为机构的每一 职务分配了操作权限，然后根据需要把这些角色授予具有该职责的各用户，即 使职务相对应的权限发生了变化，也只需要简单地修改角色的权限，而不必修 改该职务的每一用户的权限；或者某用户的职务改变了，也只需要取消该用户 原来的角色，重新授予新职务对应的角色。 2 3 本章小结 本章重点介绍了统一权限管理系统中的两个重要概念：身份认证和统一权 限管理。通过研究这些理论背景为后续的权限管理系统的实现提供了可靠的技 术保障。 6 武汉理工大学硕士学位论文 第3 章统一权限管理系统的需求分析 3 1 需求分析 某市区目前在运行的主要系统有：电子公文交换系统、政府督办及回告系 统、电子台帐系统、绩效考核平台等，这些系统在提高政府办事效率，促进廉 政建设方面发挥了重大作用。这些系统互相独立，用户在使用每个应用系统之 前都必须按照相应的系统身份进行登录，为此用户必须记住每一个系统的用户 名和密码，这给用户带来了不少麻烦。而且随着应用的增加，尤其是以后统一 消息平台，即邮件到达提醒，即时消息平台等部署之后，出错的可能性就会增 加，受到非法截获和破坏的可能性也会增大，安全性就会相应降低。针对于这 种情况，统一用户认证、单点登录等概念应运而生，同时不断地被应用到企业 应用系统中。 在原有的操作环境中，主要存在如下对单点登录的需求： 3 1 1 系统管理的需求 在拥有多个应用系统的用户环境中，用户人员众多。所以信息中心的操作 人员需要在各个系统中维护各个用户的帐号，或增加( 新进职工) 或修改( 职 务变动) 或删除( 离职) 。一个员工可能使用几个应用系统，那么操作人员就需 要维护多次。随着复杂度的提升，错误在所难免。所以需要简化用户管理的强 度，实现用户的统一管理。 3 1 2 简化应用开发的需求 在应用系统的开发过程中，如果应用环境中不能提供一个统一的认证服务， 那么各个应用系统都要提供一套用户管理、认证、授权的功能作为应用系统的 一个模块，那么这样的独立的应用系统会越来越多，为以后的信息化发展设置 了障碍，同时每个应用开发商对安全理念、安全策略、认证策略等理解不一致， 势必造成安全与应用成为“两张皮”。所以需要提供一个统一的认证服务，简化应 用的开发。 7 武汉理工大学硕士学位论文 3 1 3 统一消息平台的需求 政府部门的工作者每天要查看很多个业务系统中的提醒信息，需要及时了 解各方面的突发事件，而即时通讯工具有这样强大的功能。在这个平台上，支 持手机、邮件、m s n 及q q 等多种即时通讯工具，所有信息可以在统一消息平 台选择由何种方式发送到目的用户。 统一消息平台将其基于政府内部进行部署，可以实现政府内部的即时沟通 需要；将其面向i n t e m e t 进行发布，由政府自己管理使用者，可以将帐号分配给 需要沟通的内外部以及各级政府部门的人员使用系统进行业务交流保证系统的 高效性。 由于统一消息平台上集成了多种即时通讯工具，如果说每种消息发送的方 式对于同一用户来说，都对应有不同用户名，则非常不利于统一消息平台的使 用。所以用户在客观上希望能够在统一消息平台上采用唯一的帐号使用这些通 讯工具，以实现政府内部的即时沟通需要。 3 1 4 统一组织帐号的需求 该市区目前已经开始着手建立统一的组织机构树，对所有区属单位组织机 构进行统一编码，并对每一级机构中的人员代号同样进行统一编号。组织机构 代码及人员代号统一后，用户在使用多个应用系统时，使用统一帐号进行登录 的需求越来越强烈，而且客观上的条件也已经成熟。每位被授权的公务员都具 有对应的身份i d ，在所有的应用上只需使用该i d 登录一次，就可以使用其有权 限访问的任意应用系统，实现“一站式”服务目标。 今后在电子政务这些应用需求中，需要面对已有的多个应用系统，在今后 的建设过程中，需要将这些应用集中起来显示，使得系统的使用者能方便地在 统一门户中只利用一个帐户登录其可以访问的若干个系统。“整合，共享，协同 将是近期内电子政务平台建设的目标。所以需要建立个统一的门户，它收集 各种不同来源或不同应用中取得的各式各样的信息，并且将这些信息按照用户 定制的版式、风格组合起来放在网页之中呈现出来。它也会提供精巧安全方便 的权限系统，当不同等级的使用者来浏览该页面时，将获取不同的内容。同时， 针对集成多应用系统时需多次登陆的不方便性，提供可选的单点登陆s s o 组件 供用户选择使用。 8 武汉理工大学硕士学位论文 3 2 应用场景分析 一般来说，这些应用系统都拥有独立的用户信息管理功能，用户信息的格 式、命名与存储方式也多种多样。当用户需要使用多个应用系统时就会带来用 户信息同步问题。用户信息同步会增加系统的复杂性，增加管理的成本。 例如：普通公务员小王在电子公文交换系统中有一个用户名u s e r l ，该用户 具有发文员和收文员的角色。同时在政府督办及回告系统中有一个用户名u s e r 2 ， 可以查看上级转发给自己需要办理的督办件，并将办理的结果提交给系统。 小王在日常工作中，在督办系统中收到一个上级的督办件，他会立即对这 个督办件进行办理，并争取在规定的时间内给上级一个满意的答复。在这个事 件的办理过程中，如果需要产生公文，并转交其他部门进行批复的，还要使用 电子公文交换系统。也就是说，小王要同时使用政府督办及回告系统及电子公 文交换系统。如果小王不希望自己总是要记住多个用户名和密码，而是希望自己 能在这些系统内使用同一个用户名登录，那么就必须在督办系统与公文交换系统 中都创建用户小王，这样在这两个系统中，任一系统中用户小王的信息更改后就 必须同步至另一系统。如果用户小王需要同时使用1 0 个应用系统，用户信息在任 何一个系统中做出更改后就必须同步至其他9 个系统。用户同步时如果系统出现 意外，还要保证数据的完整性，因而同步用户的程序可能会非常复杂。 解决用户同步问题的根本办法是建立统一用户管理系统( ( 促， 稻) 。u u m s 统一存储所有应用系统的用户信息，应用系统对用户的相关操作全部通过u u m s 完成，而授权等操作则由各应用系统完成，即统一存储、分布授权。u u m s 应 具备以下基本功能： 1 ) 用户信息规范命名、统一存储，用户i d 全局惟一。用户i d 犹如身份证， 区分和标识了不同的个体。 2 ) u u m s 向各应用系统提供用户属性列表，如姓名、电话、地址、邮件等 属性，各应用系统可以选择本系统所需要的部分或全部属性。 3 ) 应用系统对用户基本信息的增加、修改、删除和查询等请求由u u m s 处 理。 4 ) 应用系统保留用户管理功能，如用户分组、用户授权等功能。 5 ) u u m s 应具有完善的日志功能，详细记录各应用系统对u u m s 的操作。 现有的这些系统都是单独存放和管理系统的用户，彼此之间形成“独立王 9 武汉理工大学硕士学位论文 国 ，这非常不方便用户的管理，尤其是在人员的工作变动上。比如说新来的人 员小王，需要每一个应用系统管理员都在自己的系统内为他添加新的用户，并 为其添加新的帐号和密码等等。如果有小王调离本单位，也同样需要每一个应 用系统管理员在本系统内删除该用户的帐户。如果能建立一个统一的组织机构 树，统一管理用户，对方便用户的维护，实现用户的单点登录和统一权限管理， 都是非常有必要的。 不仅如此，在刚才的场景中，当小王在使用政府督办及回告系统处理自己 相关的督办件的时候要产生公文，他不仅希望能够用统一的用户名和密码登录 公文交换系统，而且希望在进入公文交换系统时不需要再次登录而是直接能进 入到他有权限能够访问的模块中，这就需要单点登录( s s o ，s i n g l es i g n o n ) 技术。 3 3 本章小结 本章对本课题研究和开发的统一权限管理系统进行了需求分析和应用场景 分析，描述了开发权限管理系统的必要性。 1 0 武汉理工大学硕士学位论文 第4 章统一权限管理系统的设计与实现 4 1 系统整体设计 4 1 1 系统总体框架设计 门户( p o r t a l ) p o r t l e t p o r t l e tp o r t l e tp o r t l e t p o r t l e tp o r t l e tp o r t l e tp o r t l e t i c a s 统一权限认证 l 眦i c e 月瞎 t 应用a应用b 1 | - 应用n l ii i 煳lii i o r a c l e s q ls e r v e r 矗l e ll l i 图4 1 系统整体结构图 现在的政府面对的信息资源及应用多种多样，来自有不同的操作系统，不 同的开发平台和不同的应用数据库。基于p o r t a l 平台的政府信息集成框架，试图 武汉理工大学硕士学位论文 以最小的代价在企业应用系统的构架层次上，为政府提供了一个跨越多种分散 的、内部和外部的信息处理过程的集成纽带，把这些信息整合到一起。它是基 于j 2 e e 的三层b s 结构，包括门户、信息集成接入层、应用层、数据存储层。 框架图如图4 1 所示。 最上面的是展示层，也就是门户层和信息集成接入层。门户层是信息集成 平台中把经过整合的信息资源展现给用户的最外层，它只关注如何展现信息， 统一的视图管理使用户可以设定各自的个性化输出，用户只需单点登陆到政府 门户就可以得到所关注的信息。信息集成接入层为政府信息集成平台实现资源 整合提供底层构件库，包括本地和远程应用集成构件，为实现不同类型的信息 集成提供底层支持。同时提供对所有信息资源的统一管理、统一授权，实现对 信息的统一访问。 其次是应用层，应用层是指政府已经存在的所有信息资源，包括政府内部 或外部的各种应用系统，还包括来自不同系统的结构化或非结构化数据，它们 都是政府信息集成平台需要整合的对象。 数据存储层是三层模式中最底层，它用来定义、维护、访问和更新数据并 管理和满足应用服务对数据的请求。 在这个框架中，政府所有的信息应用都作为后端应用层，信息集成接入层 中的集成构件根据后端应用层传入的信息资源类型，通过资源定义和分配、建 立不同系统间的用户口令转换的对应关系，采用不同的集成构件分别进行处理， 传递给前端的展示层，由政府门户统一展示给用户。在图4 1 中，w e bs e r v i c e 将下面的应用层屏蔽，向上提供一个w e bs e r v i c e 服务接口。 本系统采用的是j 2 e e 的三层b s 结构，j 2 e e 作为一套全然不同于传统应用 开发的体系结构，为应用j a v a 技术开发服务器端应用提供了一个平台独立的、 可移植的、多用户的、可扩展的和基于标准的企业级平台，利用这种体系结构， 开发者可以集中精力重视系统逻辑的设计和应用的表示，从而简化企业应用的 开发、管理和部署【l 引。 j 2 e e 是多层的分布式应用模型，应用逻辑按功能划分为组件，各个应用组 件根据他们所在的层分布在不同的机器上( 也可以放在同一台机器上) 。解决两 层模式( c l i e n t s e r v e o 的弊端，在传统模式中，客户端担当了过多的角色而显得 臃肿，在这种模式中，第一次部署的时候比较容易，但难于升级或改进，可伸 展性也不理想，而且经常基于某种专有的协议( 通常是某种数据库协议) 【2 0 1 。 它使得重用业务逻辑和界面逻辑非常困难。现在j 2 e e 的多层企业级应用模型将 1 2 武汉理工大学硕士学位论文 两层化模型中的不同层面切分成许多层。 体系结构是指程序的宏观的物理的或者逻辑的程序的结构，包括代码程序 包的组织，在网络的各个节点之间的程序包的分布，程序的各个组成部分之间 的通讯和协同工作机制【2 。从二层体系结构到j 2 e e 体系结构企业应用体系结构 己经经历了巨大的发展。第一代企业应用是集中式的大型机应用。在2 0 世纪8 0 年代后期和9 0 年代早期，几乎所有新的企业应用都采纳二层体系结构( 也称为客 户n 务器体系结构) 。后来企业应用体系结构发展到三层结构，然后是基于w e b 的体系结构。目前，发展到j 2 e e 应用体系结构【2 2 1 。 二层体系结构具有交互性强、安全的存取模式、较低的网络通信量和易于 开发等特点。但是，二层体系结构的缺点也显而易见【2 3 】，例如： 由于用户界面层、业务逻辑层和数据存储层都在客户端，使得客户端变得很 庞大，从而使能够运行这些客户端的机器也变得更加昂贵； 由于数据存储层在客户端，这就使得每一个客户端都要有一个对数据库服务 端的数据库连接。而对于服务端而言，数据库连接是一种代价较高的资源。 这就使客户端的个数受到相当大的限制； 每一个客户端都要进行比较复杂的配置，这种配置对于非计算机专业人员有 可能要求较高，因而企业就需要为这些操作人员提供培训，增加企业的培训 成本； 在通常情况下，数据存储层与数据库服务器是紧密耦合的，也就是说，数据 存储层对数据库的访问模式与特定的数据库相关的。在c s 模式下，用户界 面层、业务逻辑层和数据存储层在实现上是不严格区分的，所以用户界面层、 业务逻辑层都是与数据存储层都是紧密耦合的。这样，任何数据库的改变， 比如数据库的结构的改变，数据库的厂家的改变，都会影响到用户界面的表 示以及业务逻辑的处理，这就是通常所说的数据相关性。这样就使得系统维 护、升级困难以及成本高昂。 三层体系结构克服了二层体系结构的一些限制，将用户界面层放置于客户 端，而将业务逻辑层和数据存储层放置在中间层服务器，也就是应用服务器上。 通过重用那些跨越多个客户的昂贵资源来改进可伸缩性，同时这个体系结构也 改进了安全与应用管理。虽然三层体系结构消除了二层体系结构中的一些缺陷， 但是它也有不足之处【2 4 】：复杂性、应用缺乏可移植性、提供商的不兼容性、采 用的有限性、与w r e b 的不兼容性。 武汉理工大学硕士学位论文 j 2 e e 平台使用一个多层分布式应用程序模型1 2 5 1 。应用程序的逻辑根据其实 现的不同功能被封装到组件中，组成j 2 e e 应用程序的大量组件根据其所处的不 同层被安装到不同的机器中，这样就形成了j 2 e e 体系结构。其结构图如图4 2 所示。 客户层c l i e n tw e b 表示层业务逻辑层 企业信息系统层 e i s 厂浏览器、 厂、 厂 、厂、 7 浏览器 h t t p lj w e b 容器 e j b 容器 h t m l 厂 j s p以 数据库 x m l s e r v l e t形 a p p l e t x m l e j b 、 j m s j a v a m a i l ，、n k 7 应用客户端、 1 卜皿b c ( a p p l i c a t i o n几心d i c i i e n 0 j a c c厂、 应用客户端 l八j a a x 容器 厂 s e r v l e t 以j 数据库 ( a p p l i c a t i o n j 2 e e j 2 e e v c i i e n t p l a t f o r mp l a t f 0 i r m 心叫协蛔e 吵 图4 - 2j 2 e e 体系结构 ( 1 ) 客户层( c l i e n tt i e r ) ：j 2 e e 应用可以是基于w e b 的，也可以是不基于 w e b 的。在基于w e b 的j 2 e e 中，用户的浏览器在客户层中运行，从w e b 服务 器上下载w e b 层中静态h t m l 页面或由j s p s e r v e l t 生成动态h t m l 页面；在 非w e b 的j 2 e e 应用中，为独立的客户程序或其它在网络系统中运行的程序，不 经过w e b 层直接访问业务层。 ( 2 ) w - e b 层( w e bt i e r ) ：j 2 e ew e b 组件可以由j s p 页面、基于w e b 的a p p l e t 以及显示h t m l 的s e r v l e t 组成。w e b 层具有几种功能，这几种功能都是通过 h t t p 协议提供给客户端访问。这些功能为运行在w e b 层上的组件与其他各层 以及客户端提供中介作用。 ( 3 ) 业务层( b u s i n e s s t i e r ) ：业务领域内需要的业务逻辑代码由运行在业务 层的e j b 来执行，e j b 从客户端接收数据，对数据进行处理，再将数据发送到 企业信息层，并将执行结果返回给客户程序。运行在业务层的e j b 依赖于容器 提供如事务、生命期、状态管理等复杂的系统级功能。 1 4 武汉理工大学硕士学位论文 ( 4 ) 企业信息系统层( e i st i e r ) ：该层是j 2 e e 体系架构与j 2 e e 外部资源的 连接。给j 2 e e 应用程序的开发者提供了灵活性。因为开发者可以利用企业现有 系统和资源，而不必在j 2 e e 中重复实现它们。 j 2 e e 还是企业分布式应用开发标准，具体体现在： j 2 e e 规范了分布式组件开发的标准。j 2 e e 包含的分布式组件有j s p 、 s e r v l e t 、e j b 等1 2 6 1 。j 2 e e 标准规范了这些分布式组件应该实现那些接口，以及 应提供哪些方法。 j 2 e e 规范了分布式组件运行环境容器提供的服务的标准。分布式组件 的运行环境称为容器，容器通过提供标准的服务来支持分布式组件的运行【2 7 】。 不同的分布式组件由不同的容器来支撑运行。如j s p 和s e r v l e t