基于角色的访问控制在教务系统中的应用
基于角色访问的权限控制设计与实现
作 者 简介 ： 高玮 ，ຫໍສະໝຸດ 读 研 究 生 。 ３５ 。
维普资讯
中 砚戒树 装 国 备
色 ，一个 角色 也可 以被 赋 予多 个用 户 ；同样 ， 角色和 权 限之 间 也存 在着这 样 的多对 多 关系 。该 系统 中默 认 的系
名 称
２ ７第期 总 ５ ） ０ 年 ５ （第 １ ０ 期
用户 可 以继 承系 统 管理 员 的有关 角 色设 定权 限 。例 如某 个小 组 可 以根据 需 要为 小组 增加 新 的小 组角 色类 型 ，某 ・ 个小 组添 加 的新 角 色类 型信 息存 放 在小 组新 角色 类 型表 ＳＮ Ｔｐ ｓ （ Ｇ Ｒ ｙ ｅ 中 新角 色 类型 号 由该 小组 记录 号索 引 ）， 当 增 加 新 角 色 类 型 后 ， 系 统 自动 在 小 组 角 色 权 限 表 Ｇ Ｒ ｇ ｔ 中添 加 一 条有 关 新角 色类 型 的权 限记录 （ Ｒ ｉ ｈ ｓ 该 记录 由小组 记录 号 索 引 ）。该记 录 中的 各个 字段 的默 认
等 ：角色的概念源于实际工作 中的职务，在用户与权限
之 间起 连接 两 者 的桥 梁 作用 ， 概 念 是 指 一个 或一 群用 其 户 在 组 织 或 职 能部 门 内可 执行 的操 作 的集合 。
对系统而言 ，可 以定义多种角色， 每种角色被赋予
了一 定 的职 能 ，不 同的用 户 依据 其职 能和 责任 被赋 予 相 收稿 日期 ：２ ６ ０ — ０ — ９ ２ ０ ９ 应 的角 色 ，一 旦 用户 成 为某 角 色 的 成员 ， 可 以执行 该 就 角色 所具 有 的职 能 。系统 中 ，一 个用户 可 以拥 有 多个角
权限为０ 。从而扩展 了基于角色访 问控制模型，实现了
应用系统中权限管理的隐患
应用系统中权限管理的隐患作者：熊斌来源：《硅谷》2012年第04期摘要：权限管理在一个应用管理系统中是不可或缺的重要组成部分，权限控制可以实现不同身份登录验证后所拥有资源的不同，一旦用户权限分配或管理不适当，必将给系统带来潜在的威胁，甚至造成不可预计的损失。
关键词：权限分配；用户管理；系统安全中图分类号：TP311.10 文献标识码：A 文章编号：1671－7597（2012）0220195－010 前言权限管理在一个应用管理系统中起着非常重要的作用，但是在程序开发时，由于一些程序员的疏忽或为了赶工程进度，在设计权限管理模块时往往会对一些细节不关心，造成权限管理中的重大安全危机。
1 权限管理中的常见问题1.1 用户管理中密码以明文显示在一个应用系统中，普遍采用用户与密码相匹配进行身份认证，确认使用者的合法性，保证系统安全。
但是，在一些小型系统或单机版应用系统中，往往为了简化开发与管理，把用户信息特别是用户密码等敏感信息进行明文管理，使得系统处理危险状态下。
缺陷分析：这种缺陷常见于一些小型应用系统，导致原因可能是：①系统设计人员为了方便使用者管理用户信息；②系统设计人员认为小系统使用的人员有限，没有必要对这些敏感数据进行加密。
解决措施：用户密码属于个人隐私，不应该公开，用户在登录系统后可以自行更改。
但在使用过程中，有些用户会遗忘自己更改过的密码，这时就需要通知系统管理员进行处理。
通常密码在数据库或用户管理界面中均要求显示为密文，而且最好是不可逆加密（如MD5），系统管理员只能重置用户密码，即初始化用户密码，而不能修改用户密码，确保用户身份的真实性。
1.2 用户管理中角色下拉列表可编辑在基于角色访问控制的模型中，所用户权限按角色进行统一设置，极大减化了授权管理的复杂性，保证了系统安全的灵活性。
如果用户角色设置不当，也将具有极大的破坏性，会造成系统的越权使用。
缺陷分析：用户权限是通过角色授权进行分配的，用户与角色存在对应关系经，在细粒度权限分配中，角色的管理并不是单一的，可能存在不同的管理人员维护不同的角色及其资源。
基于角色的访问控制在教务管理系统中的应用
用户 的集合。 用户一般 情况 下指人 ， 也可 为 Ａ ｅ ｔ ｇ ｎ 等 智能程序。
角色 （ｏｅ ： 指一个 组 织或任 务 中的工作 或位 Ｒ ｌ） 是
的许可证 。对于任 意一 个对象 ， 只有具 有合 法许可 证 的用户才可 以存取 。强 制访 问控 制相对 比较 严格 ， 这 种方式常 用于 多层次安全级别的军事应 用。
在 ＲＡ Ｂ Ｃ模 型 的基 础 上 增 加 了部 门权 限 控 制 ， 弥补 了 Ｒ Ａ Ｂ Ｃ只 能 实现 功 能 级 别 访 问控 制 的 不足 。
关键词 ： 色 访 问控制 基 于角色的访 问控制模 型 教务 管理 角
１ 访 问控制方法概述
随着计算机技术、 通信 技术和 互联 网的飞速发展 ， 计算机安全性已经越来越引起 人们 的重视。访 问控 制
维普资讯
２０ 年 第 ８ 期 ０７
计 算 机 系 统 应 用
基 于 角 色 的访 问控 制 在 教 务 管 理 系 统 中的应 用
Ａｐｐｌ ａ ｉ ｆｒ ｅ — ｂａ ｅｄ ａ ｃ ｓ ｏｎ ｒ ｎ ｅ ｉ ｔｏｎ ｏ ｏｌ — ｓ ｃ ｅ ｓ ｃ ｔｏｌｉ ｄｕｃ ｔｏｎａ ｃ ａｉ ｌ ａ ｄｍ ｉ ｓ ｒ ｔｏｎ ｓ ｓ ｅｍ ｎｉｔａ ｉ ｙ ｔ
在转换为关系模式时我们并没有将roie与pe盯nssion单独转换为一个表而是把角色表的roidvalue字段类型定义为类似二进制数的o1代码并将权限表的permno的值与角色表的roievaiue字段值的位置相对应如果roievaiue字段某位置的值为o则表示该角色不具有该位置不难看出基于角色的访问控制模型比传统的自主访问控制和强制访问控制更优越同时也提供了更高的灵活性和扩展性
Ａ ｃｓ ｏ ｔ ｌ ｄ １ ， ｃｅｓＣ ｎｒ ｏ Ｍｏ ｅ）是根据 自主访 问控制策略建立 的一种模 型 ， 允许 合法 用户以用户 或用户组 的身份 访 问策略规定的客体 ， 同时阻止 非授权 用户访 问客体 ， 某
教务管理平台权限及公共模块设计与开发
教务管理平台-权限及公共模块设计与开发摘要随着教育改革的不断深化，高等院校的建设与发展对国民整体素质的提高起着越来越重要的作用，建立一套能够适应这些改变的行政管理方案也就显得尤为重要。
对于教务处来说，将信息技术用于校务管理中便是迫切的要求。
教务系统中的用户数量众多，需要具有不同的权限，以实现不同的应用。
本论文介绍了开发背景，开发平台，并基于需求分析实现了教务管理平台中基于角色控制的权限系统(RBAC)及公共模块的设计与开发。
RBAC实现了用户与访问权限的逻辑分离，更符合教务平台的用户、数据和应用特征；在公共模块中实现了系统通用的日志管理，异常处理，常用类库方法等。
通过设计和应用本系统，有效的解决了教务平台中关于用户管理与权限操作等方面的问题，为系统公共模块的实现打下坚实的基础。
通过较为详尽的功能测试，表明本文的设计内容具有一定的通用性，可用于需要动态分配权限与角色的管理系统中。
关键词：权限；公共模块；RBACEducation Management Platform-The Design and Implementation of Authority System andPublic ModuleAbstractWith the continuous deepening of educational reform, the construction and development of universities players an increasingly important role to raise the overall quality, establish an administration solution to adapt these changes is particularly important. For the educational administration department, information technology use in the school management is an urgent requirement.The education management platform has large number of users and needs different authority in order to achieve different applications.This paper introduces the development background, the development platforms, the module design and development of education management platform, role based authority control system module (RBAC) and public module by requirements analysis. RBAC more separate the data and program from users, the system of education management platform for realizing the logic separation of user and access rights. The public module implements a generic system log management, exception handling, common library methods. With the developing of the system, it supplies an effective solution to the questions of user management and authority control of the platform and the public platform module methods, which has laid a solid foundation for the implementation of the system’s public module.By the detailed functional testing, it shows the generality, so the system may be used for the management system of dynamic allocation of authority and role.Key words:authority；public module；RBAC；目录论文总页数：22页1 引言 (1)1.1课题背景 (1)1.2课题目的 (1)1.3课题意义 (1)2 系统平台与相关技术 (2)2.1系统架构 (2)2.2 开发平台介绍 (2)2.2.1 Visual Studio 2005介绍 (2)2.2.2 SQL Server 2005介绍 (2)2.3 开发技术介绍 (2)2.3.1 (2)2.3.2 RBAC (3)2.3.3 Identity和IPrincipal (3)3 需求分析和数据库设计 (3)3.1 应解决的问题 (3)3.1.1 基于RBAC的权限系统. (3)3.1.2 平台需要的公共模块 (4)3.2功能需求 (4)3.2.1用户信息管理 (5)3.2.2 角色信息管理 (5)3.2.3 资源管理 (5)3.2.4 用户角色分配 (5)3.2.5 角色权限分配 (5)3.2.6 权限操作 (5)3.2.7 日志管理 (5)3.2.8 异常处理 (6)3.2.9 基础公共类库 (6)3.3非功能需求 (6)3.3.1包容性和可扩展性 (6)3.3.2系统简洁,易使用、易维护、适用非计算机专业人员使用 (6)3.3.3充分保护数据的一致性 (6)3.3.4采用先进成熟的技术，建立实用可靠的系统 (6)3.4 数据库设计 (6)4 系统设计设计与实现 (9)4.1公共模块设计 (9)4.1.1数据库通用类设计 (9)4.1.2系统工具通用类设计 (9)4.1.3系统日志和树目录设计 (10)4.1.4系统异常处理 (12)4.1.5系统通用页面设计 (12)4.2 权限系统模块的实现 (13)4.2.1 用户信息管理和角色绑定 (13)4.2.2 角色管理和权限绑定 (15)4.2.3 权限管理 (16)4.2.4 系统资源管理和权限绑定及菜单操作 (17)4.2.4 url过滤 (18)5 测试 (20)结论 (20)参考文献 (20)致谢 (21)声明 (22)1引言教务管理平台对安全问题有较高的要求，传统的访问控制方法DAC （Discretionary Access Control，自主访问控制模型）、MAC（Mandatory Access Control，强制访问控制模型）难以满足复杂的教务管理平台需求。
RBAC权限管理在教务管理系统中的应用与实现
RBAC权限管理在教务管理系统中的应用与实现鞠宏军;杜丽娟【摘要】Combined with practical application , RBAC-based rights management and its application in edu-cational management system are introduced in this paper.RBAC model realizes batch management of user rights by role er can get a list of resources function in accordance with the role he logins and system generates corresponding dynamic pared with traditional management system , RBAC model is easier and more intuitive in user rights and menu function.The system has good advancement and practicality.%结合实际应用，阐述了一种基于RBAC模式的权限管理在教务管理系统中的应用及实现。
该模式能够通过角色授权，实现对用户权限的批量管理，用户登录后可以根据角色获取具有的资源功能列表，并生成相应的动态菜单。
解决了传统管理系统用户权限管理、功能菜单管理不方便、不直观的问题，具有一定的先进性、实用性。
【期刊名称】《华北科技学院学报》【年(卷),期】2014(000)005【总页数】4页(P70-73)【关键词】RBAC模式;权限管理;管理信息系统;菜单动态生成【作者】鞠宏军;杜丽娟【作者单位】华北科技学院计算机学院，北京东燕郊 101601;华北科技学院计算机学院，北京东燕郊 101601【正文语种】中文【中图分类】TP311.520 引言高校教务管理系统涉及的人员多、信息量大，管理过程及操作复杂;并且必须严格区分和控制各类用户对系统访问的权限和功能，以保证系统数据及运行的安全。
基于角色的访问控制在教务系统中的应用
基于角色的访问控制在教务系统中的应用摘要本文通过对rbac96的分析提出扩展的rbac模型（erbac），并且在高校教务系统中加以应用，验证了其有效性和实用性。
关键词 rbac；角色；访问控制中图分类号tp39 文献标识码a 文章编号 1674-6708（2011）54-0183-02传统的高校教务系统的访问控制模块通常将用户和权限直接关联，这样的授权模型不方便系统的扩展，也不够灵活，当组织规模不断扩大、结构变换频繁时，就出现了大量繁琐的授权变化，权限管理的复杂度呈现指数增长的态势，而基于角色的访问控制（role-based access control，以下简称rbac）模型能够较好的解决这个问题。
1 rbac概述rbac模型引入了“角色”的概念，使得操作权限不直接授予用户，而是通过建立“用户→角色→权限”的映射关系，来灵活的表征组织内部以及用户与权限间的关系。
现阶段rbac的研究均以rbac96为基础，rbac96[1]由ravi s.sandhu教授及其领导的乔治梅森大学信息安全技术实验室（list）提出，主要由rbac0、rbac1、rbac2和rbac3组成，如图1所示。
图 1 rbac96（包括rbac0、rbac1、rbac2和rbac3）rbac0是rbac96模型的核心，主要包括u（用户集）、r（角色集）、p（权限集）和s（会话集），p由ops（操作集）和obs（客体集）组成。
rbac1在rbac0的基础上增加了rh（角色分层）概念，使用偏序来描述这种角色继承的关系。
rbac2在rbac0的基础上引入c（约束集）来决定对rbac0各组件的操作是否被接受，只有被接受的操作才被允许。
rbac3综合了rbac1和rbac2，自然也包括了rbac0。
rbac96是一个基本模型，属于中性策略，这就决定了在应用中，可以根据实际情况对rbac96进行扩展。
2 扩展的rbac模型本文根据我院教务系统的访问控制的实际需求，对rbac96进行扩展，增加了“属性”的概念，形成了一个扩展的rbac模型，简称erbac模型。
rbac具体案例
rbac具体案例RBAC（Role-Based Access Control）是一种广泛应用于信息系统安全领域的访问控制模型，它基于角色的概念，并通过将用户分配给角色来管理和控制访问权限。
下面将列举10个具体的RBAC案例，以展示其在不同领域中的应用。
1. 公司员工权限管理：在一个大型企业中，RBAC可以用于管理员工在内部系统中的访问权限。
不同的角色可以包括普通员工、部门经理、高级管理人员等，每个角色具有不同的权限，以保证只有具备相应权限的人员可以访问特定的信息和功能。
2. 医院信息系统权限控制：在医院的信息系统中，RBAC可以用于管理医生、护士、行政人员等角色的访问权限。
通过RBAC模型，可以确保只有经过授权的人员可以访问患者的医疗记录和其他敏感信息。
3. 银行系统权限管理：在银行系统中，RBAC可以用于管理不同角色的员工对客户账户的访问权限。
例如，柜台职员可能只能查询账户余额和交易记录，而风险控制人员可能具有更高级别的权限，可以进行账户冻结或调整额度等操作。
4. 学校教务系统权限控制：在学校的教务系统中，RBAC可以用于管理教师、学生、管理员等角色的访问权限。
教师可以查看和编辑学生成绩，学生可以查询自己的课程和成绩，管理员则具有更高级别的权限，可以管理教师和学生账号。
5. 航空公司乘客信息管理：在航空公司的系统中，RBAC可以用于管理不同角色的员工对乘客信息的访问权限。
例如，客服人员可能只能查看乘客的基本信息和航班预订记录，而安检人员可能具有更高级别的权限，可以访问乘客的身份证或护照信息。
6. 政府部门数据权限控制：在政府部门的数据管理系统中，RBAC 可以用于管理不同角色的员工对敏感数据的访问权限。
例如，税务局的工作人员可能只能查看纳税人的纳税记录，而审计人员可能具有更高级别的权限，可以查看纳税人的详细财务信息。
7. 社交媒体平台权限管理：在社交媒体平台中，RBAC可以用于管理不同类型用户的访问权限。
B／S中基于角色的用户权限管理的设计与实现
１２ ５
福
建 电
脑
２ ０ 第 １ 期 ０ ７年 １
ＢＳ中基 于角色的用户权 限管理 的设计与实现 ／
李延伟 ．李 筱宁
（河 南 财 经 学 院 成 功 学 院信 息 工 程 系 河 南 郑 州 ４ １０ ） ５２ ０ 【 摘 要 】 本 文根 据 Ｒ Ａ 的 原 理 ， 用 Ａ ＰＮ Ｔ技 术 ， ： ＢＣ 采 Ｓ ．Ｅ 实现 了教 务 管 理 系统 中 的 用 户权 限 管 理 。 文 中 阐述 了基 于 角 色的 权 限 管 ￣ （ Ｂ Ｃ） 原 理 、 限 管理 的数 据 库 设 计 、 户授 权 和 用 户 权 限控 制 的 实现 。使 用 Ｃ ＲＡ 的 权 用 ＃语 言 ， 发 了权 限 管理 控 开
件 ， 高 了开 发 效 率 ， 化 了权 限 管 理 ， 户使 用灵 活 方便 。 提 简 用
【 关键词 】 ：权限管理 ；／ ＢＳ模式 ； Ｂ Ｃ Ｒ Ａ ；角色
ｌ 引 言 、
教 务 网络 管理 系 统 （ 下简 称 系统 ） 以 。必 须很 好地 解 决 系 统 用 户 的权 限管 理 问题 。传 统 的访 问 控 制 方 法 Ｄ Ｃ Ｄ ｓｒｔ ｎｒ Ａ （ Ｉ ｅ ｏａｙ ｃ ｉ Ａ ｃｓ ｏｔ ｌ 自主 访 问 控 制 模 型 ）ＭＡ （ ｎ ａ ｒ ｃｅｓ ｃｅｓＣ ｎｒ 。 ｏ 、 Ｃ Ｍａｄ ｔ ｙＡ ｃｓ ｏ Ｃ ｎｒ ， 制访 问控 制模 型 ） 以满 足 复 杂 的环 境 需 求 。现 行 的 ｏ ｔｌ强 ｏ 难 系 统权 限管 理 普 遍存 在 着 开 发 工 作 量 大 、 户 功 能 单 一 、 权 不 用 授 灵 活 、 方便 的问 题 。为 了解 决 这 些 问题 ． 文采 用 Ａ ＰＮ Ｔ技 不 本 Ｓ ．Ｅ 术 ， 据 Ｒ Ａ 的原 理 。 发 出 了 一 套 非 常 灵 活 、 用 的 权 限 控 根 ＢＣ 开 实 制 控件 。 本 文 苜 先 介 绍 Ｒ Ａ （ ｏ ａｅ ｃｅｓＣ ｎｒ１的 基 本 原 Ｂ Ｃ Ｒ ｌ ＢｓｄＡ ｃ ｓ ｏ ｔ ） ｅ ｏ 理 。在 此 基 础上 ．给 出系 统 中 实 现 用 户 权 限 控 制 的 一 种 具 体 方
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
基于角色的访问控制在教务系统中的应用
摘要本文通过对RBAC96的分析提出扩展的RBAC模型（ERBAC），并且在高校教务系统中加以应用，验证了其有效性和实用性。
关键词 RBAC；角色；访问控制
传统的高校教务系统的访问控制模块通常将用户和权限直接关联，这样的授权模型不方便系统的扩展，也不够灵活，当组织规模不断扩大、结构变换频繁时，就出现了大量繁琐的授权变化，权限管理的复杂度呈现指数增长的态势，而基于角色的访问控制（Role-Based Access Control，以下简称RBAC）模型能够较好的解决这个问题。
1 RBAC概述
RBAC模型引入了“角色”的概念，使得操作权限不直接授予用户，而是通过建立“用户→角色→权限”的映射关系，来灵活的表征组织内部以及用户与权限间的关系。
现阶段RBAC的研究均以RBAC96为基础，RBAC96[1]由Ravi S.Sandhu教授及其领导的乔治梅森大学信息安全技术实验室（LIST）提出，主要由RBAC0、RBAC1、RBAC2和RBAC3组成，如图1所示。
图 1 RBAC96（包括RBAC0、RBAC1、RBAC2和RBAC3）
RBAC0是RBAC96模型的核心，主要包括U（用户集）、R（角色集）、P（权限集）和S（会话集），P由OPS（操作集）和OBS（客体集）组成。
RBAC1在RBAC0的基础上增加了RH（角色分层）概念，使用偏序来描述这种角色继承的关系。
RBAC2在RBAC0的基础上引入C（约束集）来决定对RBAC0各组件的操作是否被接受，只有被接受的操作才被允许。
RBAC3综合了RBAC1和RBAC2，自然也包括了RBAC0。
RBAC96是一个基本模型，属于中性策略，这就决定了在应用中，可以根据实际情况对RBAC96进行扩展。
2 扩展的RBAC模型
本文根据我院教务系统的访问控制的实际需求，对RBAC96进行扩展，增加了“属性”的概念，形成了一个扩展的RBAC模型，简称ERBAC模型。
ERBAC模型在角色中形成了三元组（r, a, p），减少虚拟“中介”角色的出现，这样有利于简化权限指派，避免繁琐复杂。
在用户中也形成了三元组（u, a, p），灵活动态的控制了用户所需的临时特权。
同时，在用户中还形成了三元组（u, a,。