【畢業(yè)學(xué)位論文】（Word原稿）寶鋼集團(tuán)統(tǒng)一認(rèn)證系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)-軟件工程

同濟(jì)大學(xué) 碩士學(xué)位論文 摘要 I 碩士學(xué)位論文 （專業(yè)學(xué)位） 寶鋼集團(tuán)統(tǒng)一認(rèn)證系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn) 姓 名： 學(xué) 號(hào)： 所在院系：軟件學(xué)院 職業(yè)類型：工程碩士 專業(yè)領(lǐng)域：軟件工程 指導(dǎo)教師： 副指導(dǎo)教師： 二 一三年三月 同濟(jì)大學(xué) 碩士學(xué)位論文 摘要 要 寶鋼集團(tuán)統(tǒng)一認(rèn)證系統(tǒng)，提供集中和便捷的身份管理、安全的認(rèn)證機(jī)制、以及權(quán)限管理和審計(jì)等功能，以滿足企業(yè)對(duì)信息系統(tǒng)使用的方便性和安全管理的需求。同時(shí)在異構(gòu)的系統(tǒng)之間實(shí)現(xiàn)應(yīng)用系統(tǒng)單點(diǎn)登錄，簡(jiǎn)化用戶的登錄過(guò)程，并提供統(tǒng)一認(rèn)證服務(wù)的適應(yīng)多中心的高可用性解決方案。 本系統(tǒng)以國(guó)內(nèi)成熟的 4A（認(rèn)證、賬號(hào)、授權(quán)、審計(jì)）管理理念為設(shè)計(jì)出發(fā)點(diǎn)，使用 術(shù)來(lái)解決高并發(fā)，大數(shù)據(jù)量快速讀取的問(wèn)題。采用 心部署結(jié)構(gòu)，將用戶業(yè)務(wù)數(shù)據(jù)操作和認(rèn)證服務(wù)剝離開(kāi)，形成 2 套獨(dú)立的運(yùn)行體系使其互不干擾。并在底層搭建基于術(shù)的數(shù)據(jù)推送平臺(tái)，保證系統(tǒng)間數(shù)據(jù)穩(wěn)定傳輸。統(tǒng)籌管理寶鋼整個(gè)集團(tuán)的人員組織數(shù)據(jù)和所有接入系統(tǒng)資源，建立獨(dú)立的授權(quán)體系，支持用戶分級(jí)授權(quán)的操作。最后提供完善的用戶行為日志審計(jì)服務(wù)功能。 本文分三部分詳細(xì)說(shuō)明了從需求分析到系統(tǒng)設(shè)計(jì)以及最終的系統(tǒng)詳細(xì)實(shí)現(xiàn)的過(guò)程。需求分析部分通過(guò)用例圖清楚地標(biāo)明本系統(tǒng)的用戶分類和其對(duì)應(yīng)的操作，并通過(guò)流程圖理清了資源管理的邏輯。在系統(tǒng)設(shè)計(jì)部分，本文先從整體架構(gòu)出發(fā)，說(shuō) 明了各模塊間的關(guān)系，再具體說(shuō)明每個(gè)功能模塊的子架構(gòu)，本部分既描述了系統(tǒng)的主要功能，又定義了模塊之間必要的接口，同時(shí)還構(gòu)建了關(guān)系數(shù)據(jù)庫(kù)。在詳細(xì)設(shè)計(jì)與實(shí)現(xiàn)部分，本文以認(rèn)證中心、用戶管理、授權(quán)管理為例展示了系統(tǒng)最終完成的界面和用戶使用感受。 本系統(tǒng)的特點(diǎn)在于使用了 術(shù)的 據(jù)庫(kù)完成核心認(rèn)證功能，高并發(fā)的處理能力比普通的關(guān)系型數(shù)據(jù)庫(kù)大大提高，分布式的環(huán)形部署又避免了系統(tǒng)宕機(jī)風(fēng)險(xiǎn)，比普通單節(jié)點(diǎn)認(rèn)證的可靠性也顯著提高了。使用異步的消息隊(duì)列搭建數(shù)據(jù)推送平臺(tái)，大大降低了系統(tǒng)耦合風(fēng)險(xiǎn)保證了各系統(tǒng)的穩(wěn) 定運(yùn)行。海量日志中心的建立，對(duì)于用戶行為審計(jì)有了集中監(jiān)控的平臺(tái)和基礎(chǔ)，使用戶的賬戶安全得到了提升。 關(guān)鍵詞： 統(tǒng)一認(rèn)證服務(wù)；單點(diǎn)登陸； n to of on to of on A to of of of of to of is to of to s is to of In by of by In of of In of as as In of to V is by to to a of by of of up of of of 濟(jì)大學(xué) 碩士學(xué)位論文 目錄 V 目錄 第 1 章 引言 . 1 題研究背景及意義 . 1 內(nèi)統(tǒng)一認(rèn)證系統(tǒng)發(fā)展的現(xiàn)狀 . 1 文主要研究?jī)?nèi)容 . 2 文結(jié)構(gòu) . 3 第 2 章 相關(guān)技術(shù) . 5 2術(shù) . 5 術(shù) . 5 術(shù) . 6 術(shù) . 6 構(gòu) . 7 準(zhǔn) . 7 據(jù)庫(kù) . 8 據(jù)庫(kù) . 8 2.6 術(shù) . 9 術(shù) . 9 第 3 章 系統(tǒng)需求分析 . 11 證中心需求分析 . 11 源管理需求分析 . 11 戶中心管理模需求分析 . 11 源管理需求分析 . 12 權(quán)管理需求分析 . 13 計(jì)管理需求分析 . 14 功能性需求 . 14 例分析 . 15 第 4 章 系統(tǒng)總體設(shè)計(jì) . 19 統(tǒng)架構(gòu)設(shè)計(jì) . 19 同濟(jì)大學(xué) 碩士學(xué)位論文 目錄 證中心設(shè)計(jì) . 20 源管理子系統(tǒng)設(shè)計(jì) . 23 戶管理設(shè)計(jì) . 23 源管理設(shè)計(jì) . 25 權(quán)管理設(shè)計(jì) . 26 志中心設(shè)計(jì) . 27 據(jù)交互中心設(shè)計(jì) . 28 據(jù)接收 . 28 時(shí)數(shù)據(jù)處理 . 28 據(jù)推送 . 33 據(jù)庫(kù)設(shè)計(jì) . 34 第 5 章 系統(tǒng)的詳細(xì)設(shè) 計(jì)與實(shí)現(xiàn) . 43 證中心功能設(shè)計(jì)與實(shí)現(xiàn) . 43 證服務(wù)端的設(shè)計(jì)與實(shí)現(xiàn) . 43 入系統(tǒng)端的設(shè)計(jì)與實(shí) 現(xiàn) . 45 戶管理模塊功能實(shí)現(xiàn) . 48 戶注冊(cè)功能的設(shè)計(jì)與實(shí)現(xiàn) . 48 戶密碼管理的設(shè)計(jì)與實(shí)現(xiàn) . 50 戶子賬號(hào)管理的設(shè)計(jì)與實(shí)現(xiàn) . 52 戶申請(qǐng)資源的設(shè)計(jì)與實(shí)現(xiàn) . 54 權(quán)管理模塊功能實(shí)現(xiàn) . 56 第 6 章 總結(jié)與展望 . 59 致謝 . 61 參考文獻(xiàn) . 62 個(gè)人簡(jiǎn)歷 在讀期間發(fā)表的學(xué)術(shù)論文與研究成果 . 63 第 1 章 引言 1 第 1 章 引言 題研究背景及意義 近幾年，寶鋼集團(tuán)層面通過(guò)集團(tuán)管控、共享系統(tǒng)的建設(shè)，在應(yīng)用廣度、深度方面均不斷深化，信息化水平得到了較大的提高。集團(tuán)總部、各子公司同時(shí)建立了覆蓋各主體業(yè)務(wù)的相關(guān)系統(tǒng)。上述各系統(tǒng)均建設(shè)用戶均可獨(dú)立完成身份認(rèn)證和授權(quán)。隨著系統(tǒng)數(shù)量的不斷增加，這種分散的用戶身份驗(yàn)證帶來(lái)的問(wèn)題也逐漸凸顯出來(lái)：由于缺少 統(tǒng)一集中式的身份認(rèn)證平臺(tái)，員工需要記憶多套用戶和密碼，這些信息很容易丟失或忘記；主要系統(tǒng)密碼普遍采用靜態(tài)口令的認(rèn)證方式，用戶密碼易被竊取或者窺視，從而導(dǎo)致用戶冒用；認(rèn)證過(guò)程與系統(tǒng)使用中通常都是采用明文傳輸，缺少傳輸加密的技術(shù)，用戶的密碼以及企業(yè)的商密信息極易被偵聽(tīng)；缺少系統(tǒng)性的認(rèn)證日志審計(jì)功能，無(wú)法有效的關(guān)聯(lián)和自動(dòng)分析用戶的登陸和訪問(wèn)行為，不能滿足安全管理和信息審計(jì)的要求。缺少對(duì)用戶信息統(tǒng)一集中式的管理平臺(tái)，對(duì)勞務(wù)協(xié)力、外包協(xié)力、訪客使用信息系統(tǒng)和授權(quán)情況不能全面掌握。 寶鋼集團(tuán)網(wǎng)絡(luò)接入非常廣泛，接入方式多 樣，如何建立一個(gè)統(tǒng)一的集團(tuán)專用網(wǎng)絡(luò)接入管理，提升訪問(wèn)控制能力，提高綜合防護(hù)能力成為一個(gè)新的課題。 在寶鋼集團(tuán)層面建立一套統(tǒng)一認(rèn)證管理平臺(tái)。提供集中和便捷的身份管理、安全的認(rèn)證機(jī)制、權(quán)限管理和審計(jì)，以滿足企業(yè)對(duì)信息系統(tǒng)使用的方便性和安全管理的需求。并同時(shí)在異構(gòu)的系統(tǒng)之間實(shí)現(xiàn)應(yīng)用系統(tǒng)單點(diǎn)登錄，簡(jiǎn)化用戶的登錄過(guò)程。提供統(tǒng)一的認(rèn)證服務(wù)的同時(shí)，還提供適應(yīng)多中心的高可靠性解決方案。 通過(guò)實(shí)施統(tǒng)一身份認(rèn)證系統(tǒng)，能夠較好解決應(yīng)用系統(tǒng)賬戶易被盜用、身份認(rèn)證標(biāo)識(shí)混亂、多人混用同一賬戶等引發(fā)的系統(tǒng)安全問(wèn)題；通過(guò)員工數(shù)字證書(shū)鑒別，以及 全加密能避免由于賬號(hào)失竊或網(wǎng)絡(luò)竊聽(tīng)導(dǎo)致的企業(yè)機(jī)密信息、業(yè)務(wù)數(shù)據(jù)外泄。對(duì)員工登錄登出、系統(tǒng)資源訪問(wèn)等信息進(jìn)行實(shí)時(shí)的監(jiān)控和審計(jì)，幫助企業(yè)分析業(yè)務(wù)系統(tǒng)使用現(xiàn)狀，動(dòng)態(tài)跟蹤員工使用情況，排查系統(tǒng)安全事故。 內(nèi)統(tǒng)一認(rèn)證系統(tǒng)發(fā)展的現(xiàn)狀 隨著企業(yè)信息化的不斷深入發(fā)展 ,越來(lái)越多的企業(yè)更加重視統(tǒng)一認(rèn)證服務(wù)。 國(guó)內(nèi)特大型國(guó)有通信企業(yè)中國(guó)移動(dòng)早在 2007 年就提出了自己的統(tǒng)一認(rèn)證服務(wù) 4A 理念。這包含了：統(tǒng)一用戶賬號(hào)（ 理、統(tǒng)一認(rèn)證（ 濟(jì)大學(xué) 碩士學(xué)位論文 寶鋼集團(tuán)統(tǒng)一認(rèn)證系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn) 2 管理、統(tǒng)一授權(quán)（ 理、統(tǒng)一安全審計(jì)（ 理 4 要素。通過(guò) 4A 管理平臺(tái)提供統(tǒng)一的基礎(chǔ)安全服務(wù)技術(shù)架構(gòu)，使新的應(yīng)用可以很容易的集成到安全管理平臺(tái)中。通過(guò)該平臺(tái)對(duì)業(yè)務(wù)支撐系統(tǒng)各種 源（包括應(yīng)用和系統(tǒng)）進(jìn)行集中管理，為各個(gè)業(yè)務(wù)系統(tǒng)提供集中 4A 安全服務(wù)，提升業(yè)務(wù)支撐系統(tǒng)安全性和可管理能力。 中國(guó)電信在 2009 年建立了自己的 部客戶統(tǒng)一認(rèn)證平臺(tái)。電信的統(tǒng)一認(rèn)證平臺(tái)是為各個(gè)渠道接觸系統(tǒng)提供統(tǒng)一的認(rèn)證入口，并在此基礎(chǔ)上提供渠道 接觸系統(tǒng)到業(yè)務(wù)平臺(tái)的單點(diǎn)登錄功能，主要目標(biāo)有： 1、提升客戶使用體驗(yàn)：客戶在同一渠道平臺(tái)內(nèi)登錄之后，在業(yè)務(wù)平臺(tái)之間實(shí)現(xiàn)一次認(rèn)證、全業(yè)務(wù)訪問(wèn)。2、促進(jìn)以客戶為中心的賬號(hào)經(jīng)營(yíng)：隨著電信增值業(yè)務(wù)的快速發(fā)展，以客戶為中心的賬號(hào)經(jīng)營(yíng)成為發(fā)展趨勢(shì)，需要整合多種賬號(hào)體系；同樣也需要提升面向客戶的網(wǎng)上營(yíng)業(yè)廳的門(mén)戶地位，帶動(dòng)業(yè)務(wù)資源的整合，實(shí)現(xiàn)跨系統(tǒng)和平臺(tái)的統(tǒng)一認(rèn)證和單點(diǎn)登錄，滿足服務(wù)界面的一體化和客戶體驗(yàn)的一致性要求。 3、優(yōu)化 構(gòu)：一方面減輕了核心支撐系統(tǒng)（如 費(fèi)賬務(wù)等）的認(rèn)證壓力；另一方面構(gòu)建統(tǒng)一認(rèn)證、集中管理 、數(shù)據(jù)共享、安全高效的認(rèn)證體系，為其它業(yè)務(wù)平臺(tái)的接入降低成本。 中國(guó)聯(lián)通在 2011 年也建設(shè)了自己的認(rèn)證平臺(tái)：電子渠道統(tǒng)一認(rèn)證平臺(tái)。中國(guó)聯(lián)通網(wǎng)站統(tǒng)一認(rèn)證平臺(tái)是電子渠道系統(tǒng)（ 要的子系統(tǒng)（公共支撐系統(tǒng)），是電子渠道中心建設(shè)用于為電子渠道系統(tǒng)（ 公司其他網(wǎng)站系統(tǒng)提供用戶認(rèn)證服務(wù)、鑒權(quán)服務(wù)和 務(wù)的基礎(chǔ)平臺(tái)。通過(guò)該平臺(tái)一方面為電子渠道系統(tǒng)各應(yīng)用提供用戶登錄認(rèn)證、鑒權(quán)功能，另一方面如果涉及跨站的整合應(yīng)用，如實(shí)現(xiàn)網(wǎng)廳和公司其它網(wǎng)站（如手機(jī)郵箱網(wǎng)站）的單點(diǎn)登錄，通過(guò)該平臺(tái)進(jìn)行用戶身份信息的管理和傳遞。 通過(guò)該平臺(tái)可以為各網(wǎng)站的資源、信息整合打下基礎(chǔ)，為用戶提供更便捷的服務(wù)。 文主要研究?jī)?nèi)容 借鑒中國(guó)移動(dòng)的 4A 系統(tǒng)架構(gòu)設(shè)計(jì)，根據(jù)寶鋼集團(tuán)自身特點(diǎn)實(shí)現(xiàn)統(tǒng)一認(rèn)證系統(tǒng)。主要研究?jī)?nèi)容包括 : (1)項(xiàng)目的需求分析，根據(jù)需求 將系統(tǒng)功能分為四大模塊：認(rèn)證、資源、授權(quán)和審計(jì)?；谟脩魧徲?jì)需求，抽象出日志中心模型。把人員和統(tǒng)一認(rèn)證接管的系統(tǒng)綜合納入資源范疇。 (2)系統(tǒng)的總體架構(gòu)設(shè)計(jì)，根據(jù)需求分析 ,設(shè)計(jì)出總體架構(gòu) ,理順各模塊間關(guān)系。第 1 章 引言 3 (3)系統(tǒng)的詳細(xì)設(shè)計(jì)，按照總體架構(gòu)設(shè)計(jì)、認(rèn)證中心、資源管理、授權(quán)管理、日志中心、數(shù)據(jù) 推送中心模塊的數(shù)據(jù)結(jié)構(gòu)和數(shù)據(jù)交互方式。系統(tǒng)的具體實(shí)現(xiàn)，詳細(xì)闡述認(rèn)證模塊、用戶管理模塊、授權(quán)模塊的代碼實(shí)現(xiàn)和頁(yè)面展現(xiàn)。 文結(jié)構(gòu) 本文的組織結(jié)構(gòu)如下：第 1 章引言，主要介紹了課題的背景，意義和目的，以及統(tǒng)一認(rèn)證系統(tǒng)的發(fā)展現(xiàn)狀和本課題的研究?jī)?nèi)容。第 2 章相關(guān)技術(shù)，主要介紹了系統(tǒng)在設(shè)計(jì)和開(kāi)發(fā)過(guò)程中所涉及到的方法和技術(shù)。第 3 章系統(tǒng)的需求分析，通過(guò)和寶鋼集團(tuán)用戶的交流，明確統(tǒng)一認(rèn)證系統(tǒng)的需求信息，并用用例圖將需求分析可視化。第 4 章系統(tǒng)總體設(shè)計(jì)，在本章中，對(duì)系統(tǒng)的總體架構(gòu)和各個(gè)模塊的架構(gòu)進(jìn)行了設(shè)計(jì)，并利用數(shù)據(jù)庫(kù)三范 式設(shè)計(jì)出了系統(tǒng)的數(shù)據(jù)庫(kù)。第 5 章系統(tǒng)的詳細(xì)設(shè)計(jì)與實(shí)現(xiàn)，重點(diǎn)講述了如何實(shí)現(xiàn)認(rèn)證中心功能、用戶管理功能和授權(quán)管理功能。第 6 章總結(jié)與展望，主要是對(duì)系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)進(jìn)行總結(jié) 。同濟(jì)大學(xué) 碩士學(xué)位論文 寶鋼集團(tuán)統(tǒng)一認(rèn)證系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn) 4 第 2 章 相關(guān)技術(shù) 5 第 2 章 相關(guān)技術(shù) 2術(shù) 術(shù)簡(jiǎn)述 首字母簡(jiǎn)寫(xiě) ,意思是臺(tái)企業(yè)版 ,適于創(chuàng)建服務(wù)器端的大型應(yīng)用軟件和服務(wù)系統(tǒng)。 設(shè)計(jì)目的是提供對(duì)服務(wù)端和客戶端的支持 ,從而推動(dòng)企業(yè)及企業(yè)中多層應(yīng)用程序的發(fā)展。 一套全然不同于傳統(tǒng)應(yīng)用開(kāi)發(fā)的技 術(shù)架構(gòu)，包含許多組件，主要可簡(jiǎn)化且規(guī)范應(yīng)用系統(tǒng)的開(kāi)發(fā)與部署，進(jìn)而提高可移植性、安全與再用價(jià)值。 心是一組技術(shù)規(guī)范與指南，其中所包含的各類組件、服務(wù)架構(gòu)及技術(shù)層次，均有共通的標(biāo)準(zhǔn)及規(guī)格，讓各種依循 構(gòu)的不同平臺(tái)之間，存在良好的兼容性，解決過(guò)去企業(yè)后端使用的信息產(chǎn)品彼此之間無(wú)法兼容，導(dǎo)致企業(yè)內(nèi)部或外部難以互通的窘境。 在 構(gòu)下，開(kāi)發(fā)人員可依循規(guī)范基礎(chǔ)，進(jìn)而開(kāi)發(fā)企業(yè)級(jí)應(yīng)用；而不同貨商，同會(huì)支持不同 本內(nèi)所擬定的標(biāo)準(zhǔn)，以確保不同 臺(tái)與產(chǎn)品之間的兼容性。換言 之，植基 構(gòu)的應(yīng)用系統(tǒng)，基本上可部署在不同的應(yīng)用服務(wù)器之上，無(wú)需或者只須要進(jìn)行少量的代碼修改，即能大幅提高應(yīng)用系統(tǒng)的可移植性。對(duì)于開(kāi)發(fā)人員而言，只需要專注于各種應(yīng)用系統(tǒng)的商業(yè)邏輯與架構(gòu)設(shè)計(jì)，至于底層繁瑣的程序撰寫(xiě)工作，可搭配不同的開(kāi)發(fā)平臺(tái)，以讓?xiě)?yīng)用系統(tǒng)的開(kāi)發(fā)與部署效率大幅提升。 術(shù) 一種 服務(wù)器 端的 用 程序 ，具有獨(dú)立于平臺(tái)和協(xié)議的特性，可以生成動(dòng)態(tài)的 面。 它擔(dān)當(dāng)客戶請(qǐng)求（ 覽器或其他 戶 程序 ）與 服務(wù)器 響應(yīng)（ 務(wù)器上的 數(shù)據(jù)庫(kù) 或應(yīng)用程序）的中間層。 務(wù)器 內(nèi)部的服務(wù)器端的 用 程序 ，與傳統(tǒng)的從命令行啟動(dòng)的用程序不同， 務(wù)器進(jìn)行加載，該 務(wù)器必須包含支持 擬機(jī) 。 供了大量的實(shí)用工具例程，例如自動(dòng)地解析和解碼 單數(shù)據(jù)、讀取和設(shè)置 、處理 蹤會(huì)話狀態(tài)等 。在 ，許多使用傳統(tǒng) 序很難完成的任務(wù)都可以輕松地完成。例如，夠直接和 務(wù)器交互，而普通的 序不能。 能夠在同濟(jì)大學(xué) 碩士學(xué)位論文 寶鋼集團(tuán)統(tǒng)一認(rèn)證系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn) 6 各個(gè)程序之間共享數(shù)據(jù)，使得數(shù)據(jù)庫(kù)連接池之類的功能很容易實(shí)現(xiàn)。 寫(xiě)， 有完善的標(biāo)準(zhǔn)。因此，為 的需任何實(shí)質(zhì)上的改動(dòng)即可移植到 者 乎所有的主流服務(wù)器都直接或通過(guò)插件支持 術(shù) 由 司倡導(dǎo)、許多公司參與一起建立的一種 動(dòng)態(tài)網(wǎng)頁(yè) 技術(shù)標(biāo)準(zhǔn)。 在傳統(tǒng)的網(wǎng)頁(yè) 件（ *加入 序片段（ 簽，就構(gòu)成了 頁(yè) 序片段可以操縱數(shù)據(jù)庫(kù)、重新定向網(wǎng)頁(yè)以及發(fā)送 ，實(shí)現(xiàn)建立動(dòng)態(tài)網(wǎng)站所需要的功能。所有程序操作都在服務(wù)器端執(zhí)行，網(wǎng)絡(luò)上傳送給客戶端的僅是得到的結(jié)果，這樣大大降低了對(duì)客戶瀏覽器的要求，即使客戶瀏覽器端不支 可以訪問(wèn)頁(yè)。 術(shù)使用 程語(yǔ)言編寫(xiě)類 封裝產(chǎn)生動(dòng)態(tài)網(wǎng)頁(yè)的處理邏輯。網(wǎng)頁(yè)還能通過(guò) 問(wèn)存在于服務(wù)端的資源的應(yīng)用邏輯。 網(wǎng)頁(yè)邏輯與網(wǎng)頁(yè)設(shè)計(jì)的 顯示分離，支持可重用的基于組件的設(shè)計(jì)，使基于 應(yīng)用程序的開(kāi)發(fā)變得迅速和容易。 一種動(dòng)態(tài)頁(yè)面技術(shù)，它的主要目的是將表示邏輯從 分離出來(lái)。 面由 碼和嵌入其中的 碼所組成。服務(wù)器在頁(yè)面被客戶端請(qǐng)求以后對(duì)這些 碼進(jìn)行處理，然后將生成的 面返回給客戶端的瀏覽器。 技術(shù)基礎(chǔ)，而且大 型的 用程序的開(kāi)發(fā)需要 合才能完成。 備了 術(shù)的簡(jiǎn)單易用，完全的面向?qū)ο螅哂衅脚_(tái)無(wú)關(guān)性且安全可靠，主要面向因特網(wǎng)的所有特點(diǎn)。 一種實(shí)現(xiàn)普通靜態(tài) 動(dòng)態(tài) 合編碼的技術(shù)， 沒(méi)有增加任何本質(zhì)上不能用 現(xiàn)的功能。但是，在 編寫(xiě)靜態(tài) 加方便，不必再用 句來(lái)輸出每一行 碼。更重要的是，借助內(nèi)容和外觀的分離，頁(yè)面制作中不同性質(zhì)的任務(wù)可以方便地分開(kāi)：比如，由 頁(yè)面設(shè)計(jì)者進(jìn)行 計(jì)，同時(shí)留出供 序員插入動(dòng)態(tài)內(nèi)容的空間。 術(shù) 據(jù)庫(kù) 連接）是一種用于執(zhí)行 以為多種關(guān)系數(shù)據(jù)庫(kù)提供統(tǒng)一訪問(wèn)，它由一組用 言 編第 2 張 相關(guān)技術(shù) 7 寫(xiě)的類和 接口組成。 工具 /數(shù)據(jù)庫(kù) 開(kāi)發(fā)人員提供了一個(gè)標(biāo)準(zhǔn)的 此可以構(gòu)建更高級(jí)的工具和接口，使數(shù)據(jù)庫(kù)開(kāi)發(fā)人員能夠用純 寫(xiě)數(shù)據(jù)庫(kù)應(yīng)用 程序 。 據(jù)庫(kù)連接體系結(jié)構(gòu)是用于 用程序連接數(shù)據(jù)庫(kù)的標(biāo)準(zhǔn)方法。 序員而言是 實(shí)現(xiàn)與數(shù)據(jù)庫(kù)連接的服務(wù)提供商而言是接 口模型。作為 程序開(kāi)發(fā)提供標(biāo)準(zhǔn)的接口，并為數(shù)據(jù)庫(kù)廠商及第三方中間件廠商實(shí)現(xiàn)與數(shù)據(jù)庫(kù)的連接提供了標(biāo)準(zhǔn)方法。 用已有的 間的橋接。 現(xiàn)了所有這些面向標(biāo)準(zhǔn)的目標(biāo)并且具有簡(jiǎn)單、嚴(yán)格類型定義且高性能實(shí)現(xiàn)的接口。 有堅(jiān)固、安全、易于使用、易于理解和可從網(wǎng)絡(luò)上自動(dòng)下載等特性，是編寫(xiě)數(shù)據(jù)庫(kù)應(yīng)用程序的杰出語(yǔ)言。所需要的只是 用程序與各種不同數(shù)據(jù)庫(kù)之間進(jìn)行對(duì)話的方法。而 是作為此種用途的機(jī)制。 構(gòu) 一個(gè)開(kāi)源框架，是為了解決企業(yè)應(yīng)用程序開(kāi)發(fā)復(fù)雜性而創(chuàng)建的?？蚣艿闹饕獌?yōu)勢(shì)之一就是其分層架構(gòu)，分層架構(gòu)允許您選擇使用哪一個(gè)組件，同時(shí)為 用程序開(kāi)發(fā)提供集成的框架。 組成 架的每個(gè)模塊（或組件）都可以單獨(dú)存在，或者與其他一個(gè)或多個(gè)模塊聯(lián)合實(shí)現(xiàn)。每個(gè)模塊的功能如下：核心容器 、 下 文、 塊 、 架 。 架的功能可以用在任何 務(wù)器 中，大多數(shù)功能也適用于不受管理的環(huán)境。 核心要點(diǎn)是：支持不綁定到特定 務(wù)的可重用業(yè)務(wù)和數(shù)據(jù)訪問(wèn)對(duì)象。 準(zhǔn) 述性狀態(tài)轉(zhuǎn)移 ) 。 的是一組架構(gòu)約束條件和原則。滿足這些約束條件和原則的應(yīng)用程序或設(shè)計(jì)就是 義了一組體系架構(gòu)原則，您可以根據(jù)這些原則設(shè)計(jì)以系統(tǒng) 資源為中心的 務(wù)，包括使用不同語(yǔ)言編寫(xiě)的客戶端如何通過(guò) 理和傳輸資源狀態(tài)。 如果考慮使用它的 務(wù)的數(shù)量， 年來(lái)已經(jīng)成為最主要的 務(wù)設(shè)計(jì)模型。 事實(shí)上， 影響非常大，由于其使用相當(dāng)方便，已經(jīng)普遍地取代了基于 接口設(shè)計(jì)。 ?；瑵?jì)大學(xué) 碩士學(xué)位論文 寶鋼集團(tuán)統(tǒng)一認(rèn)證 系統(tǒng)的設(shè)計(jì)與 實(shí)現(xiàn) 8 于使用 及 些現(xiàn)有的廣泛流行的協(xié)議和標(biāo)準(zhǔn)。資源是由 指定。對(duì)資源的操作包括獲取、創(chuàng)建、修改和刪除資源，這些操作正好對(duì)應(yīng) 議提供的 法。通過(guò)操作資源的表現(xiàn)形式來(lái)操作資源。 據(jù)庫(kù) 它最初由 于儲(chǔ)存特別大的數(shù)據(jù)。 主要特點(diǎn)就是它不是一個(gè)數(shù)據(jù)庫(kù)，而是由一堆數(shù)據(jù)庫(kù)節(jié)點(diǎn)共同構(gòu)成的一個(gè)分布式網(wǎng)絡(luò)服務(wù)，對(duì) 一個(gè)寫(xiě)操作，會(huì)被復(fù)制到其他節(jié)點(diǎn)上去，對(duì) 讀操作，也會(huì)被 路由 到某個(gè)節(jié)點(diǎn)上面去讀取。對(duì)于一個(gè) 集來(lái)說(shuō)，擴(kuò)展性能 是比較簡(jiǎn)單的事情，只管在群集里面添加 節(jié)點(diǎn) 就可以了。 一個(gè)混合型的非關(guān)系的數(shù)據(jù)庫(kù)，類似于 主要功能比 布式的 儲(chǔ)系 統(tǒng)）更豐富，但支持度卻不如文檔存儲(chǔ) 于關(guān)系數(shù)據(jù)庫(kù)和非關(guān)系數(shù)據(jù)庫(kù)之間的開(kāi)源產(chǎn)品，是非關(guān)系數(shù)據(jù)庫(kù)當(dāng)中功能最豐富，最像關(guān)系數(shù)據(jù)庫(kù) 的。支持的數(shù)據(jù)結(jié)構(gòu)非常松散，是類似 式，因此可以存儲(chǔ)比較復(fù)雜的數(shù)據(jù)類型。）使用 文檔存儲(chǔ)，你不必提前解決記錄中的字段。你可以在系統(tǒng)運(yùn)行時(shí)隨意的添加或移除字段。這是一個(gè)驚人的效率提升，特別是在大型部署上。 純粹意義上的水平擴(kuò)展。為給集群添加更多容量，可以指向另一臺(tái)電腦。你不必重啟任何進(jìn)程，改變應(yīng)用查詢，或手動(dòng)遷移任 何數(shù)據(jù)。你可以調(diào)整你的節(jié)點(diǎn)布局來(lái)避免某一個(gè)數(shù)據(jù)中心起火，一個(gè)備用的數(shù)據(jù)中心將至少有每條記錄的完全復(fù)制。 據(jù)庫(kù) 口的一系列關(guān)系型 數(shù)據(jù)庫(kù) 管理系統(tǒng) 。 要應(yīng)用于大型應(yīng)用系統(tǒng)，具有較好的可伸縮性，可支持從 大型機(jī) 到單用戶環(huán)境，應(yīng)用于 、平臺(tái)下。 供了高層次的數(shù)據(jù)利用性、完整性、安全性、可恢復(fù)性，以及小規(guī)模到大規(guī)模 應(yīng)用程序 的執(zhí)行能力，具有與平臺(tái)無(wú)關(guān)的基本功能和令。 用了數(shù)據(jù)分級(jí)技術(shù)，能夠使 大型機(jī) 數(shù)據(jù)很方便地下載到 務(wù)器，使得客戶機(jī) /服務(wù)器用戶和基于 應(yīng)用程序 可以訪問(wèn)大型機(jī)數(shù)據(jù)，并使數(shù)據(jù)庫(kù)本地化及 遠(yuǎn)程連接 透明化。 它以擁有一個(gè)非常完備的 查詢優(yōu)化器 而著稱，其外部連接改善了查詢性能，并支持多任務(wù)并行查詢。 有第 2 張 相關(guān)技術(shù) 9 很好的網(wǎng)絡(luò)支持能力，每個(gè)子系統(tǒng)可以連接十幾萬(wàn)個(gè)分布式用戶，可同時(shí)激活上千個(gè)活動(dòng)線程，對(duì)大型 分布式應(yīng)用 系統(tǒng)尤為適用。 2.6 術(shù) 一個(gè) 支持普通 詢， 存儲(chǔ)過(guò)程 和高級(jí)映射的優(yōu)秀 持久層 框架。 除了幾乎所有的 碼和參數(shù)的手工設(shè)置以及 結(jié)果集 的檢索。用簡(jiǎn)單的 注解用于配置和原始映射，將接口和 通的 象）映射成數(shù)據(jù)庫(kù)中的記錄。每個(gè) 要都是使用 例的，一個(gè) 例可以通過(guò) 得。 以從一個(gè) 文 件 或 者 一 個(gè) 預(yù) 定 義 的 配 置 類 的 實(shí) 例 獲 得 。 用 件構(gòu)建例是非常簡(jiǎn)單的事情 。 術(shù) 消息 隊(duì)列 （ 一種應(yīng)用程序?qū)?yīng)用程序的通信方法。應(yīng)用程序通過(guò)寫(xiě)和檢索出入列隊(duì)的針對(duì)應(yīng)用程序的數(shù)據(jù)（消息）來(lái)通信，而無(wú)需專用連接來(lái)鏈接它們。 品，最流行的，能力強(qiáng)勁的開(kāi)源消息總線。 一個(gè)完全支持 范的 現(xiàn)。支持 多種語(yǔ)言和協(xié)議編寫(xiě)客戶端。 還具備了集群、事務(wù)、存儲(chǔ)轉(zhuǎn)發(fā)、持久化等企業(yè)特性。 濟(jì)大學(xué) 碩士學(xué)位論文 寶鋼集團(tuán)統(tǒng)一認(rèn)證系統(tǒng)的設(shè)計(jì)與 10 第 3 章 系統(tǒng)需求分析 11 第 3 章 系統(tǒng)需求分析 證中心需求分析 統(tǒng)一認(rèn)證系統(tǒng)的認(rèn)證中心實(shí)現(xiàn)的是異構(gòu)的 系統(tǒng) 之間 應(yīng)用系統(tǒng) 的 單點(diǎn)登錄，簡(jiǎn)化用戶的登錄過(guò)程， 提供用戶認(rèn)證服務(wù)，統(tǒng)一認(rèn)證平臺(tái)要分為認(rèn)證服務(wù)端 ( 認(rèn)認(rèn)證客戶端 (認(rèn)證服務(wù)端采用分布式的方式分別部署在不同的服務(wù)器上；認(rèn)證客戶端則部署在需要統(tǒng)一認(rèn)證的接入系統(tǒng)中，與接入系統(tǒng)集成，實(shí)現(xiàn)認(rèn)證攔截和統(tǒng)一登陸的功能。統(tǒng)一認(rèn)證服務(wù)定位為寶鋼集團(tuán)信息化安全的基礎(chǔ)服務(wù)之一，必須能夠保證高并發(fā)訪問(wèn)情況下的快速響應(yīng)，并且必須具備7*24 級(jí)別的高可 用性。用戶通過(guò)統(tǒng)一認(rèn)證服務(wù)進(jìn)入接入系統(tǒng)的行為信息，必須嚴(yán)格記錄，以備審計(jì)和用戶登陸異常預(yù)警用。 源管理需求分析 戶 中心 管理模需求分析 用戶中心集中管理寶鋼信息系統(tǒng)用戶的創(chuàng)建和注銷(xiāo)，“寶鋼通行證”（ 用戶所使用的用來(lái)登陸各個(gè)系統(tǒng)的主賬號(hào) ）的發(fā)放，用戶實(shí)名身份信息維護(hù)、密碼口令維護(hù)，各系統(tǒng)從賬號(hào)管理啟動(dòng)及停用。為統(tǒng)一認(rèn)證服務(wù)提供完整的數(shù)據(jù)支撐。各接入系統(tǒng)必須從用戶中心獲取賬號(hào)的信息和狀態(tài)，用戶中心的數(shù)據(jù)維護(hù)將依托于用戶自助服務(wù)的流程的審批。用戶中心需要寶鋼完整組織機(jī)構(gòu)用于支撐用戶中心的基本 管理，組織機(jī)構(gòu)信息從寶鋼 統(tǒng)中獲取，并保持完全一致。對(duì)于寶鋼 統(tǒng)暫時(shí)未覆蓋的組織機(jī)構(gòu)，用戶中心可進(jìn)行手工維護(hù)。 系統(tǒng) 覆蓋 用戶 詳細(xì)分類如表 示。 表 戶分類表 用戶類別 息 首次使用 正式員工 有 需要激活 勞務(wù)協(xié)力 僅有 部分 信息 需要激活，補(bǔ)全信息 外包協(xié)力 無(wú) 注冊(cè) 訪客 無(wú) 注冊(cè) 客戶 /供應(yīng)商 無(wú) 注冊(cè) 用戶注冊(cè)流程 如圖 示 ： 同濟(jì)大學(xué) 碩士學(xué)位論文 寶鋼集團(tuán)統(tǒng)一認(rèn)證系統(tǒng)的設(shè)計(jì)與 實(shí)現(xiàn) 12 圖 戶注冊(cè)流程圖 用戶激活流程 如圖 示 ： 圖 戶 激活流程圖 用戶注冊(cè)申請(qǐng)寶鋼通行證時(shí)候，必須使用實(shí)名制申請(qǐng)方式，必須留下有效的身份信息和聯(lián)系方式。對(duì)于已經(jīng)存在的用戶，在這些用戶初次登陸系統(tǒng)的時(shí)候做一次賬戶激活認(rèn)證。補(bǔ)全用戶的身份信息和聯(lián)系方式，并重新設(shè)置密碼和賬戶安全問(wèn)題。寶鋼通行證規(guī)則定義：正是員工 6 位，非正式員工 8 位，所含字母全部大寫(xiě)，統(tǒng)一認(rèn)證系統(tǒng)用戶注冊(cè)自動(dòng)生成 8 位號(hào)碼以 頭后續(xù) 4 位流水號(hào)。 源管理需求分析 對(duì)所有納入統(tǒng)一認(rèn)證接入范圍的資源進(jìn)行管理，資源以系統(tǒng)資源為主，附帶郵箱資源、寶鋼云盤(pán)資源、 源。資源的管理員 負(fù)責(zé)在統(tǒng)一認(rèn)證系統(tǒng)中新增資源，并提交審核。資源所屬的資產(chǎn)組織管理員負(fù)責(zé)審核資源。資源管理員還負(fù)責(zé)維護(hù)資源的屬性。如果要對(duì)資源的屬性做出修改，必須先將資源設(shè)置為失效狀態(tài)，才能修改。修改完成后重新提交審核。審核通過(guò)的系統(tǒng)自動(dòng)生效可以對(duì)用戶開(kāi)放申請(qǐng)。具體操作流程圖如下圖 示：注冊(cè) 審核 審批 自動(dòng)生效 簽署協(xié)議 身份驗(yàn)證 信息補(bǔ)全 安全提升 激活完成 第 3 章 系統(tǒng)需求分析 13 圖 源管理 流程圖 權(quán)管理需求分析 總體原則：按資源、角色、分級(jí)授權(quán)管理體系 。 角色配置 ： 超級(jí)管理員、資源管理員、系統(tǒng)管理員、授權(quán)管理員、用戶管理員 。 超級(jí)管理員：負(fù)責(zé)統(tǒng)一認(rèn)證系統(tǒng)本系統(tǒng)的資源管理，生效、失效等 問(wèn)題 ,對(duì)系統(tǒng)管理員進(jìn)行初始化，本人不得直接授權(quán)，只有給系統(tǒng)管理授權(quán)的權(quán)限。配置角色、授權(quán)統(tǒng)一認(rèn)證資源管理員，負(fù)責(zé)增加法人公司的節(jié)點(diǎn)。 資源管理員：負(fù)責(zé)在統(tǒng)一認(rèn)證系統(tǒng)中登記并新增資源，負(fù)責(zé)增加系統(tǒng)資源（主機(jī)系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)、應(yīng)用系統(tǒng)等資源，按系統(tǒng)授權(quán)，明確資源授權(quán)管理范圍（按系統(tǒng)資源管理所在公司的授權(quán)），負(fù)責(zé)本公司及下屬公司的每個(gè)資源的系統(tǒng)管理員的分配。資源管理員必須確定授權(quán)管理公司的范圍。資源管理員負(fù)責(zé)分配本公司的系統(tǒng)管理員、用戶管理員、密碼管理員。資源上面有授權(quán)用戶數(shù)的管理，如果 0 則不限制性。每個(gè)資源管理員 可以將資源進(jìn)行分配：使用范圍，用戶數(shù)量、系統(tǒng)管理員同濟(jì)大學(xué) 碩士學(xué)位論文 寶鋼集團(tuán)統(tǒng)一認(rèn)證系統(tǒng)的設(shè)計(jì)與 實(shí)現(xiàn) 14 系統(tǒng)管理員 ： 每個(gè)資源配置一至二名系統(tǒng)管理員，如協(xié)同辦公系統(tǒng)的管理員，每一個(gè)新增資源均可設(shè)置二名系統(tǒng)管理員，指定授權(quán)管理員以及授權(quán)管理員管理的組織范圍及用戶數(shù)量、用戶管理員，系統(tǒng)管理員是默認(rèn)的用戶管理員 授權(quán)管理員：由每個(gè)系統(tǒng)的系統(tǒng)管理員分級(jí)授權(quán)管理，每一個(gè)系統(tǒng)均可以系統(tǒng)管理員進(jìn)行分級(jí)授權(quán)的管理員，被授權(quán)的管理員稱為授權(quán)管理員 用戶管理員 ： 負(fù)責(zé)為本公司批準(zhǔn)或直接增加用戶、減少用戶，注銷(xiāo)用戶、用戶管理員只能對(duì)本公司范圍進(jìn)行管理。增加本公司的用戶。 以及這些用戶的 密碼重置。 計(jì)管理 需求分析 審計(jì)管理分 2 類審計(jì)，一是用戶自己的行為審計(jì)，二是專業(yè)審計(jì)人員對(duì)系統(tǒng)進(jìn)行審計(jì)。 用戶自己的行為審計(jì)就是安全預(yù)警功能。每次登錄系統(tǒng)的時(shí)候自動(dòng)記錄用戶登陸的 址，如果登陸 域和之前的 址段有差別，則提醒用戶該用戶在非常用區(qū)域登陸。不僅僅記錄用戶通過(guò)認(rèn)證的時(shí)間和 址，還記錄訪問(wèn)子系統(tǒng)的時(shí)間和 址。對(duì)于涉及用戶安全的修改密碼操作，一并記錄 時(shí)間。并在個(gè)人安全信息里面展現(xiàn)所有異常登陸時(shí)間和修改密碼時(shí)間。 審計(jì)人員對(duì)系統(tǒng)進(jìn)行審計(jì)，可以按系統(tǒng)的審計(jì)該系統(tǒng)被哪些用 戶訪問(wèn)過(guò)，詳細(xì)到用戶訪問(wèn)時(shí)間和地址。對(duì)于設(shè)計(jì)用戶安全的修改密碼操作同樣提供變動(dòng)時(shí)間和修改 錄，支持固定格式的數(shù)據(jù)導(dǎo)出。審計(jì)人員還可以對(duì)人員操作進(jìn)行審計(jì)。人員分為：崗位變動(dòng)、組織變動(dòng)、退休、離職四大類。分別對(duì)這些類下屬人員進(jìn)行審計(jì)，主要審計(jì)這些人員的授權(quán)變動(dòng)情況。監(jiān)控管理員類角色的授權(quán)，是否及時(shí)根據(jù)人員崗位、組織的調(diào)整而隨之變化。 功能性需求 認(rèn)證功能作為接入系統(tǒng)的嵌入功能，要使用戶登陸的時(shí)候感覺(jué)不到系統(tǒng)接入統(tǒng)一認(rèn)證后登錄本質(zhì)發(fā)生了變化。保證用戶登錄操作的流暢性，延續(xù)用戶之前的使用習(xí)慣和使用感受 。針對(duì)登錄資源管理系統(tǒng)的各類管理員，系統(tǒng) 前臺(tái) 頁(yè)面作為與用戶直接交互的界面，在考慮功能點(diǎn)全覆蓋的同時(shí)，必須考慮用戶 操作的簡(jiǎn)潔性和方便性。由于接入系統(tǒng)繁多、賬號(hào)數(shù)量巨大，按角色劃分不同類型的管理員的工作頁(yè)面應(yīng)該簡(jiǎn)單明了 。 每個(gè)管理員角色進(jìn)入后，有自己獨(dú)立的工作臺(tái)或工作區(qū)。方便管理員維護(hù)數(shù)據(jù)的同時(shí)，也簡(jiǎn)化管理員操作。第 3 章 系統(tǒng)需求分析 15 系統(tǒng) 的非功能性需求十分重要，它不僅決定了 該系統(tǒng) 的質(zhì)量，還在很大程度上影響 著 功能性需求的實(shí)現(xiàn)和該 系統(tǒng) 的 用戶口碑 ，從而最終決定該 系統(tǒng) 的成敗 。非功能性需求是指 系統(tǒng) 為滿足用戶業(yè)務(wù)需要而必須具有且除功能需求以外 的特性。 統(tǒng)一認(rèn)證密碼 的安全性：本系統(tǒng)除了傳統(tǒng)的用戶名和密碼保護(hù)外，又利用式對(duì)密碼進(jìn)行了再次加密，由于這種加密是不可逆轉(zhuǎn)的加密方式，即使后臺(tái)數(shù)據(jù)庫(kù)被盜，盜取者也無(wú)法找到客戶的密碼，這大大提高了 用戶 帳號(hào)的安全性 。所有數(shù)據(jù)庫(kù)中，儲(chǔ)存用戶密碼必須統(tǒng)一使用 式。 對(duì)于多個(gè)系統(tǒng)和模塊的數(shù)據(jù)庫(kù)之間傳送用戶數(shù)據(jù)一律使用加密文本，嚴(yán)格禁止明文泄露用戶資料和用戶核心安全數(shù)據(jù)。如身份證、手機(jī)、郵箱、密碼等。 例分析 寶鋼集團(tuán)統(tǒng)一認(rèn)證 系統(tǒng)采用了 向?qū)ο蟮姆椒ㄟM(jìn)行分析。 按使用人員分為以下幾種角色：超級(jí)管 理員、資源管理員、系統(tǒng)管理員、授權(quán)管理員、用戶管理員、普通用戶、審計(jì)人員。 普通用戶用例圖如 圖 示 ： 普通用戶可以通過(guò)各接入系統(tǒng)登錄，或者從統(tǒng)一認(rèn)證系統(tǒng)的資源管理入口登錄。進(jìn)入資源管理模塊里面進(jìn)行：賬戶注冊(cè)，系統(tǒng)訪問(wèn)權(quán)限申請(qǐng)，自主找回密碼，修改密碼，修改用戶信息。其中修改密碼包含通過(guò)短信方式修改，通過(guò)郵件方式修改，通過(guò)回答密碼保護(hù)問(wèn)題方式修改。同濟(jì)大學(xué) 碩士學(xué)位論文 寶鋼集團(tuán)統(tǒng)一認(rèn)證系統(tǒng)的設(shè)計(jì)與 實(shí)現(xiàn) 16 圖 戶 用例 圖 超級(jí)管理員的用例如圖 示 ： 超級(jí)管理員登錄統(tǒng)一認(rèn)證系統(tǒng)，在授權(quán)管理模塊中可以指定資源的管理員， 在資源管理模塊中 維護(hù)組織機(jī)構(gòu)樹(shù)， 并且進(jìn)行資源的審核。 圖 級(jí)管理員