21、构建 Java Web 应用的安全访问控制系统

构建 Java Web 应用的安全访问控制系统

1. Java 安全架构概述

Java 安全的整体架构由不同的 API、库、服务和模型构成，主要包括 Java 密码学架构（JCA）、Java 安全套接字扩展（JSSE）、Java 认证和授权服务（JAAS）以及 Java 日志记录 API。
- JCA ：负责数据的加密和解密。
- JSSE ：处理网络连接的安全问题。
- JAAS ：处理 Web 应用的认证、授权和访问控制。
- Java 日志记录 API ：处理新 Java 平台的日志记录方面。

Java 安全的安全编码实践部分更多地涉及指南、最佳实践和编码文化。

2. Java 认证和授权服务（JAAS）

JAAS 的主要目标是管理权限并对这些权限进行安全检查。它是特定于认证和授权的类与接口，以及 Java 安全框架其他部分的类与接口的简单组合，但不处理 Java 安全的其他方面，如加密/解密、数字签名、日志记录或安全网络连接。

3. JAAS 核心

JAAS 的核心类和接口可分为以下三类：
- 公共类
- 认证类和接口
- 授权类和接口

3.1 公共类

公共类是认证和授权操作共享的类和接口，包括主体类（Subject）、主体身份类（Principal）和凭证类（Credentials）。
- 主体身份类（Princi