16、Web应用授权与会话状态管理的安全解析

Web应用授权与会话状态管理的安全解析

1. 授权机制

1.1 基于角色的访问控制

可以采用定义明确的基于角色的访问方式。例如，设计用户数据库，使其包含应用程序功能的角色，常见角色有读取、创建、修改、删除和访问等。用户的会话信息应明确规定可使用的角色。角色表类似矩阵，每行定义用户，每列定义其可能的角色。

1.2 文件系统级别的访问控制列表

在文件系统层面可应用访问控制列表。Apache和IIS提供配置选项，确保用户无法对禁止的文件进行读取、写入或执行操作。运行Web服务器、Servlet引擎、数据库或应用程序其他组件的用户账户应具有尽可能少的权限。

1.3 Apache授权

Apache Web服务器使用两种不同的指令来控制用户对特定URL的访问：
- “Directory”指令 ：当访问控制基于文件路径时使用。例如，以下指令集限制对 /admin URI的访问，只有属于 admin 组的有效用户才能访问该目录，且密码和组文件不存储在Web文档根目录中。

<Directory /var/www/htdocs/admin>
    AuthType Digest
    AuthName “Admin Interface”
    AuthUserFile /etc/apache/passwd/users
    AuthGroupFile /etc/apache/passwd/groups
    Require g