深入理解《白帽子讲 Web 安全》之访问控制

引言

在当下数字化浪潮席卷的时代，网络已经深度融入到我们生活、工作的每一处角落。无论是日常购物、社交娱乐，还是企业开展核心业务、管理关键数据，都高度依赖于 Web 应用。然而，繁华背后，暗流涌动，网络安全威胁如影随形。黑客攻击手段层出不穷，数据泄露事件频频见诸报端，给个人隐私、企业运营乃至社会稳定都带来了巨大冲击。

在错综复杂的 Web 安全体系里，访问控制占据着举足轻重的地位，堪称守护系统资源的核心防线。想象一下，Web 系统如同一个庞大的数字城堡，里面珍藏着海量的宝贵资源，从用户的个人信息、企业的商业机密，到各类关键业务数据等。而访问控制就像是城堡的门禁系统，精准把控着谁能进入城堡的哪个区域，以及进入后能进行何种操作。没有它，城堡将门户大开，恶意攻击者可肆意穿梭，随意窃取、篡改或破坏资源，后果不堪设想。吴翰清在《白帽子讲 Web 安全》中，凭借深厚的专业知识与丰富的实战经验，对访问控制进行了鞭辟入里的剖析。接下来，就让我们沿着他的思路，一同深入探索这一关键领域，揭开访问控制的神秘面纱，探寻保障 Web 系统安全的有效之道。

概述

在 Web 安全领域，“认证” 与 “授权” 是两个紧密相关但又截然不同的概念。

认证，简单来说，就是确认用户的身份，就像你进入大楼时，保安通过查看你的证件来确认你是否有权进入。常见的认证方式有用户名密码登录、指纹识别、短信验证码等。

而授权，则是在确认用户身份后，决定该用户能够执行哪些操作、访问哪些资源。例如，在一个公司内部系统中，通过用户名和密码认证成功后，普通员工只能查看自己的工资条，而人力资源部门的员工则可以查看所有员工的工资信息，这就是授权在起作用。

访问控制正是围绕授权展开的，它是在用户身份确认无误后，对其操作权限进行精细管理的过程。这种管理广泛应用于各类系统之中。以 Linux 系统为例，它通过访问控制列表（ACL）来决定主体（可以是用户、用户组等）对客体（如文件、目录等）的操作权限。在 Linux 中，可以使用setfacl命令来设置文件的 ACL。比如，要给用户userB对文件example.txt赋予读取权限，可以这样操作：

setfacl -m u:userB:r example.txt

这里，u表示用户，userB是用户名，r代表读取权限。而文件所有者可以通过类似方式，规定某个用户组对该文件只有读取权限，而另一个用户则有读写权限，从而实现对文件访问的精准控制。

访问控制模型

自主访问控制

自主访问控制赋予了用户基于自身权限对客体进行访问控制的权力。在这种模型下，文件所有者拥有极大的权限，他们可以自行决定其他主体对自己文件的访问权限。例如，在一个共享文件夹中，用户 A 创建了一个文档，A 可以根据自己的意愿，允许用户 B 对该文档进行读取和修改操作，而只允许用户 C 进行读取操作。

在一些编程语言中，也可以模拟自主访问控制的逻辑。以 Python 为例，假设我们有一个文件类File，用户类User，可以通过如下代码实现简单的自主访问控制：

class User:

def __init__(self, name):

self.name = name

class File:

def __init__(self, owner):

self.owner = owner

self.permissions = {}

def grant_permission(self, user, permission):

self.permissions[user]