1 2 3 下一页

　　从早期所谓的 Java 沙箱到 JDK 1.4 引入的健壮的、全功能的安全体系结构，安全性一直是 Java 平台的基本组件。从那时到现在，Java 语言的设计者收到了来自团体的大量关于安全的 Java 应用程序（或者企业环境）可以做什么和不做什么的意见，他们自己也添加了若干技巧。

　　可以说随着 J2EE Web 应用程序安全体系结构的引入，我们不断从近 10 年的反复试验有所收获，事实也表明了这一点。J2EE 安全框架由三个 API 组成：Java 认证和授权服务（JAAS）、Java 安全套接字扩展（JSSE）和 Java 加密扩展（Java Cryptography Extension，JCE）。虽然 JCE 是一个有意思和重要的 API，但是它与我们所关注的安全 Web 应用程序开发的“三大项”――认证、授权和传输――并不特别相关。所以在本月的专栏中我们将集中讲述 JAAS 和 JSSE。

　　JAAS 和 JSSE 概述

　　JAAS 提供了一种灵活的、说明性的机制，用于对用户进行认证并验证他们访问安全资源的能力。JSSE 定义了通过安全套接字层（SSL）进行安全 Web 通信的一种全 Java 的机制。通过结合这两种技术，可以使我们的应用程序：

　　验证用户就是他或者她所宣称的那个人（认证）。

　　保证允许他或者她访问所要求的资源（授权）。

　　通过安全网络连接进行完整的信息交换（传输）。

　　现在，我们来看每一个基础的功能组件。

　　用 JAAS 进行认证

　　JAAS 建立在一种称为可插入的认证模块（Pluggable Authentication Module，PAM）的安全体系结构之上。PAM 的体系结构是 模块化的，这意味着它设计为可以通过交换模块，支持从一个安全协议组件无缝地转换到另一个协议组件。这个框架中定义良好的接口使得无需改变或者干扰任何现有的登录服务就可以加入多种认证技术和授权机制。PAM 体系结构可以集成范围广泛的认证技术，包括 RSA、DCE、Kerberos 以及 S/Key，因而 JAAS 也可以集成这些技术。此外，这个框架与基于智能卡的认证系统和 LDAP 认证兼容。

(责任编辑：admin)