1、 前言
2、 方案的整体设计
1、 用户访问安全：
用户访问安全不仅仅是web访问，还包括其他类型的访问，例如电子数据交互（edi，electronic data interchange），在电子平台系统中我们主要用到的是webservice。为了保证用户访问的安全性，我们主要从以下几个方面来考虑
ø 定义验证方法：这部分包括cas的验证、系统的基本验证
ø 定义安全角色：为不同的用户建立不同角色，避免了不同角色之间在权限上的混乱。
ø 为单个的servlet/jsp定义安全角色引用：为一些比较特殊的或则安全级别比较高的servlet/jsp定义安全角色引用。
1) web访问：
将电子平台系统所使用的web系统配置成安全的web系统，采用要求用户访问时提供数字证书的工作方式，使用https协议保证信息传输的安全性及完整性；将从用户提交的数字证书中获取的用户信息(如姓名)作为在系统中注册、登录的依据，从而保证了在处理业务的时候具有法律性和不可抵赖性。另一方面，https协议将web应用与非授权的访问隔离开来。
1) web service
这一部分内容暂定
2、 网络安全
集中认证网络示意图
3、 系统安全
系统的安全主要是在用户登录系统的时候对用户的身份验证。
4、 应用程序安全
为j2ee应用程序提供j2ee安全，由于电子平台系统与集中认证的系统相独立，故只需要在电子平台系统中提供j2ee相关安全就可以保证整个系统的安全性。j2ee应用程序安全使用基于角色的安全机制，在开发期间，我们应当通过为特定的安全角色分配安全资源和方法来确定应用程序的安全策略。在应用程序装配期间，安全角色被影射为真实的用户和组。这种两段式安全管理方法给予应用程序很大的灵活性和可移植性，在运行时，j2ee容器负责强迫执行访问控制安全的资源和方法。j2ee容器支持两类安全：
·说明性的安全性
·可编程的安全性
我们在本系统中采用说明性的安全性，说明性的安全性意味着安全策略在部署描述文件中定义，而不是在应用程序代码中。这样做，一是减轻编码的工作量；二是可以根据客户的要求更改角色，而不需要更改代码。下面我们分为web模块和ejb模块来讨论
1）web模块的说明性安全
我们在前面的“用户访问安全”讨论的，为了保证用户访问安全，我们从定义验证方法、定义安全角色、为单个的servlet/jsp定义安全角色引用三个方面进行设计的，web模块的说明性安全就是为了实现“定义安全角色”、“为单个的servlet/jsp定义安全角色引用”这两个要求，为了方便讨论我们将这连个要求分开讨论。
定义的几种角色：
大众用户 everyone
企业用户 enterprise
质检用户 organ
市监督局 city_ surveillance
省监督局 province_ surveillance
国家监督局 country_ surveillance
平台管理员 plat _manager
（a）定义验证方法：
（b）定义安全角色：
（c）定义安全约束：
（d）为单个的servlet/jsp定义安全角色引用（可选）：
2）ejb模块的说明性的安全性
ejb是执行应用程序的业务逻辑的j2ee组件。它是一般用于访问敏感的数据。这样，为ejb指派恰当的策略是非常重要的。
访问控制应用于单独的会话和实体bean方法，所以只有属于特定安全角色的调用这些方法。会话、实体和消息驱动bean方法在调用者（ejb服务器）的身份下或者一个特定的安全角色下被委托执行。这称为委托策略（delegation policy）或者成为以他人身份运行模式映射（run-as mode mapping）。下面主要就我们电子平台的ejb模块在wsad上设置安全性的过程。
（a）定义安全角色
（b）指派方法许可
（c）管理委托策略
（d）bean级委托
（e）方法级委托
（f）定义安全角色引用（可选）
5、 数据库和事务管理器的安全
未完成，
3、 系统的安全登录的流程
1、 集中认证登录的一个流程
2、 集中认证较普通认证的优势
4、 系统开发过程中注意的事项
前台：将不同的用户分成各自的模块：eterprise（企业）、organ（机构）等等，若有需要可以自己定义，然后做好文档说明，以便部署的时候进行web模块的说明性安全部署，具体编码规范请参考相关文档。
后台：将不同的用户的一些操作分成各自的模块：eterprise（企业）、organ（机构）等等，每个模块最好由独立的实体bean，若有需要可以自己定义，然后做好文档说明，以便部署的时候进行ejb模块的说明性安全部署。（关于ejb开发规范、jndi命名规范请参考《ejb开发规范》、《jndi命名规范》两个文档）。
5、 总结
数据库和事务管理器的安全这一块内容有待补充。
文章整理：西部数码--专业提供域名注册、虚拟主机服务
http://www.west263.com
以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!
