2 J2EE和JAAS
2.1? J2EE框架
?? ?J2EE是一種利用JAVA2平臺來簡化諸多與多級企業(yè)解決方案的開發(fā)、部署和管理相關的復雜問題的體系結構。J2EE不但鞏固了J2SE中許多優(yōu)點，如“編寫一次，到處運行”的特性、方便存取數(shù)據庫的JDBC API、CORBA技術以及能夠在Internet應用中保護數(shù)據的安全模式等，還提供了對EJB，SERVLET，JSP和XML的支持。J2EE使用EJB SERVER作為商業(yè)組件的部署環(huán)境，并且還提供了支持高可用性和高性能的集群技術、失敗的自動轉移和恢復、應用負載均衡等。J2EE技術提供了一種基于組件的方法來設計、開發(fā)、裝配和部署應用程序。J2EE服務器以容器的形式為每一個組件類型提供底層服務。容器設置定制了由J2EE服務器提供的底層支持，這包括諸如安全性、事務管理、Java命名目錄接口(JNDI)等。JAAS是JAVA 認證和授權服務，是J2EE內嵌的功能。JAAS API 是為用戶認證和授權而設計的一套JAVA包。它實現(xiàn)了標準可插入認證模塊PAM的JAVA版本，還相應的擴展了Java2平臺的訪問控制結構來支持授權。
2.2? JAAS技術
JAVA認證和授權服務(JAAS)是J2EE開發(fā)包1.3版本的擴展，和1.4版本的一部分。Java 2 平臺為訪問各種可用的身份識別的方法提供了最為全面一套接口。 Java 平臺更為和各種身份認證" title="身份認證">身份認證系統(tǒng)的交互提供了一個服務接口，即 Java 身份認證和授權服務 (JAAS) API。用這個接口，作為服務供應商能夠執(zhí)行高安全性的身份認證，并允許 JAAS 為希望使用哪種身份認證方法的應用程序提供通用接口。可以直接利用J2EE本身提供的JAAS安全服務來保證服務器的安全。Java認證和授權服務JAAS為J2EE應用程序提供了一個方法以為一個特定的用戶或一組用戶進行認證和授權。JAAS是標準的可插入認證模塊PAM結構的Java版本，它對Java 2平臺的安全認證框架進行了擴展以支持基于用戶的安全認證。JAAS是Java 認證和授權服務。簡單的說，認證實際上就是確認用戶的身份，而授權是給特定的用戶合適的訪問權限，使其不越權訪問。JAAS API 是為用戶認證和授權而設計的一套JAVA包。它實現(xiàn)了標準可插入認證模塊PAM的JAVA版本，還相應的擴展了JAVA2平臺的訪問控制結構來支持授權。
3? 基于JASS設計實現(xiàn)用戶認證和授權服務
??? 當某個用戶要訪問后臺的分布式企業(yè)應用時，應用程序首先驗證用戶的身份，通過了用戶身份認證之后，然后查看用戶是否有對于應用程序的具體模塊具有訪問權限。
3.1? 身份驗證
??? Login.config作為配置文件，仿真系統(tǒng)使用Login.config文件來指定每個登錄模塊的認證項。Login.config 文件包含 LoginContext 構造器中引用的文本字符串和登錄過程列表。幾個參數(shù)用于指定一個給定的登錄過程的成功或失敗對總體認證過程的影響。有如下參數(shù)：
·?required 表示登錄模塊必須成功。即使它不成功，還將調用其它登錄模塊。
·?optional 表示登錄模塊可以失敗，但如果另一個登錄模塊成功，總體登錄仍可以成功。如果所有登錄模塊都是可選的，那么要使整個認證成功至少必須有一個模塊是成功的。
·?requisite 表示登錄模塊必須成功，而且如果它失敗，將不調用其它登錄模塊。
·?sufficient 表示如果登錄模塊成功，則總體登錄將成功，同時假設沒有其它必需或必不可少的登錄模塊失敗。
應用程序調入登錄環(huán)境LoginContext, LoginContext 是一種用于設置登錄過程的 Java 類，它進行實際的登錄，如果登錄成功，獲取 Subject。LoginContext將參考Login.config的配置來進行實際的登錄認證。它有如下四種主要方法：
·?構造器loginContext()。它把 login.config 文件中使用的字符串作為其第一個參數(shù)，把執(zhí)行實際任務的回調" title="回調">回調處理程序作為其第二個參數(shù)。
·?login()，它根據 login.config文件中指定的規(guī)范實際登錄。
·?getSubject()，如果登錄總體成功，它返回經認證的 Subject。
·?logout()，它向 LoginContext注銷 Subject。
每個登錄模塊以不同的方式認證用戶，傳統(tǒng)的基于口令的登錄模塊要求輸入用戶名和密碼；智能卡登錄模塊要求用戶插卡并驗證PIN;生物型的登錄模塊要求輸入用戶名并且驗證用戶的指紋。針對應用程序的安全需求，系統(tǒng)管理員可以在一個應用程序中插入多個登錄模塊,實現(xiàn)多層的認證。登錄模塊主要有以下方法提供登錄管理:
·?initialize( subject,callbackHandler, ,) 初始化登錄模塊。
·?login() 設置任何必需的回調，調用 CallbackHandler 來處理它們，并將返回的信息（即用戶名和密碼）與允許值進行比較。如果匹配，則登錄模塊成功，盡管仍可能因為另一個登錄模塊不成功而異常終止它，這取決于 login.config 文件中的設置。
·?commit() 作為兩階段提交過程的一部分被調用以確定是否成功。如果根據 login.config 文件中指定的約束，所有登錄模塊都是成功的，那么新的 Principal 隨同用戶名一起創(chuàng)建，并被添加到 Subject 的主體集。
·?abort()，如果總體登錄未成功，則調用它；如果發(fā)生異常終止，必須清除內部的登錄模塊狀態(tài)。
·?logout() 被調用以除去 Subject 的主體集中的 Principal 并執(zhí)行其它內部狀態(tài)清除。
用戶按照Login.config配置中規(guī)定的順序被登錄模塊認證。一般的，不管前一個登錄模塊是否登陸成功，用戶繼續(xù)被堆棧里的登錄模塊認證。只有當所有必需的登錄模塊成功后，LoginContext才會返回一個認證成功標識給應用程序。LoginContext用兩個階段來執(zhí)行這個步驟。兩個階段都必須成功完成，LoginContext才能返回標識總體認證成功的狀態(tài)。
這兩個階段包括：
（1）LoginContext調用每個配置過的登錄模塊，并且指引它驗證主題的身份，如果所有的登錄模塊成功通過這個階段，LoginContex就進入第二個階段。
（2）LoginContext再次調用每個配置過的登錄模塊，指引它正式的執(zhí)行認證。在此階段，每個登錄模塊都會將主題與相關的含有用戶名和主題的證件的主體聯(lián)系起來。
JAAS登錄使用回調處理程序來獲取用戶的認證信息。CallbackHandler 是在 LoginContext 對象的構造函數(shù)中指定的?；卣{處理程序使用幾個提示來獲取用戶的用戶名和密碼信息。從登錄模塊調用的處理程序的handle()方法將Callback數(shù)組對象作為其參數(shù)。在登錄期間，處理程序遍歷Callback數(shù)組。handle()方法檢查Callback對象的類型并執(zhí)行適當?shù)挠脩舨僮鳌oginContext通過允許應用程序規(guī)定Callback來解決這個問題，它底層的登錄模塊可以與用戶相互作用。應用程序提供一個CallbackHander給Login Context，這樣LoginContext可以直接把它傳遞給每個登錄模塊。所以每個登錄模塊可以調用Callback來收集或顯示相關信息。
現(xiàn)在假設登陸模塊LoginM1和LonginM2,且這兩個登陸模塊都要求必須成功，則登陸流程如下：