引言
　　
　　電力市場(chǎng)運(yùn)營系統(tǒng)的安全訪問控制目標(biāo)就是保障合法用戶能夠訪問*范圍內(nèi)的業(yè)務(wù)應(yīng)用和市場(chǎng)信息，同時(shí)拒絕非法用戶進(jìn)入系統(tǒng)，保障數(shù)據(jù)在傳輸過程中不被竊取和篡改。
　　
　　電力市場(chǎng)覆蓋范圍廣，市場(chǎng)成員分散，市場(chǎng)中用戶類型眾多，訪問權(quán)限各不相同。例如:各市場(chǎng)成員的交易人員能夠查詢市場(chǎng)信息，代表所屬市場(chǎng)成員申報(bào)*范圍內(nèi)的交易數(shù)據(jù);市場(chǎng)成員的管理人員則能夠?qū)ο聦俚慕灰兹藛T和競(jìng)價(jià)單元進(jìn)行管理;電力市場(chǎng)交易中心的交易人員能夠?qū)?范圍內(nèi)的某一類或者幾類交易進(jìn)行撮合和干預(yù);結(jié)算人員則根據(jù)各類交易結(jié)果和執(zhí)行結(jié)果進(jìn)行考核結(jié)算。市場(chǎng)成員與交易中心之間交互的數(shù)據(jù)可以分為公共信息和私有信息2類。公共信息對(duì)所有市場(chǎng)成員開放;而私有信息只對(duì)相應(yīng)的市場(chǎng)成員開放;例如市場(chǎng)成員的交易申報(bào)信息、中標(biāo)信息和結(jié)算信息等。市場(chǎng)私有信息屬于商業(yè)機(jī)密，必須確認(rèn)訪問者具有合法身份，并保證數(shù)據(jù)傳輸過程中不被竊取。
　　
　　此外，用戶訪問權(quán)限不僅與業(yè)務(wù)功能相關(guān)，還與數(shù)據(jù)相關(guān)，同樣是數(shù)據(jù)申報(bào)人員，但能夠申報(bào)的競(jìng)價(jià)單元不同。各類用戶的權(quán)限設(shè)置與市場(chǎng)規(guī)則有關(guān)，規(guī)則變化也會(huì)導(dǎo)致用戶權(quán)限的調(diào)整。電力市場(chǎng)中用戶的多樣性和市場(chǎng)信息的保密性，要求電力市場(chǎng)運(yùn)營系統(tǒng)具有靈活而嚴(yán)格的安全訪問控制機(jī)制。本文以實(shí)際運(yùn)行的基于Java2平臺(tái)企業(yè)版（J2EE）架構(gòu)的區(qū)域電力市場(chǎng)運(yùn)營系統(tǒng)為例，探討安全訪問控制的設(shè)計(jì)和實(shí)施。
　　
　　一、安全訪問控制的整體結(jié)構(gòu)
　　
　　電力市場(chǎng)運(yùn)營系統(tǒng)的安全性可以分為硬件設(shè)備安全性、系統(tǒng)軟件安全性和應(yīng)用軟件安全性3個(gè)方面。安全防護(hù)猶如木桶，任一方面的安全漏洞都會(huì)導(dǎo)致系統(tǒng)安全訪司控制的失敗。硬件設(shè)備安全性主要是指采用的通信網(wǎng)絡(luò)、交換機(jī)、路由器、防火墻、IP認(rèn)證加密裝置、安全隔離裝置、數(shù)據(jù)庫服務(wù)器、應(yīng)用服務(wù)器和各類工作站符合相應(yīng)安全標(biāo)準(zhǔn);系統(tǒng)軟件安全性是指采用的操作系統(tǒng)軟件、數(shù)據(jù)庫管理軟件、中間件支撐軟件符合相應(yīng)安全標(biāo)準(zhǔn);應(yīng)用軟件安全性是指應(yīng)用軟件具有嚴(yán)格的用戶*和身份驗(yàn)證機(jī)制，能夠?qū)粨Q的重要數(shù)據(jù)進(jìn)行加密傳輸。電力市場(chǎng)運(yùn)營系統(tǒng)安全訪問控制的整體結(jié)構(gòu)如圖1所示。
　　
　　采用安全的通信網(wǎng)絡(luò)設(shè)備和主機(jī)設(shè)備是系統(tǒng)安全控制的重要基礎(chǔ)，高安全性的通信網(wǎng)絡(luò)設(shè)備能夠消除大量的安全隱患。通過專網(wǎng)和虛擬專網(wǎng)技術(shù)使電力市場(chǎng)運(yùn)營系統(tǒng)與其他業(yè)務(wù)系統(tǒng)物理隔離或邏輯隔離，通過防火墻、IP認(rèn)證加密、物理隔離設(shè)備限制系統(tǒng)的接人設(shè)備和通信端口。在系統(tǒng)內(nèi)部和接人網(wǎng)關(guān)部署入侵檢測(cè)探頭，檢測(cè)系統(tǒng)存在的安全隱患，有助于不斷提高系統(tǒng)的安全防護(hù)性能[3"5]。
　　
　　操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)和中間件等應(yīng)用支撐系統(tǒng)的安全漏洞是電力市場(chǎng)運(yùn)營系統(tǒng)的另一個(gè)安全隱患。由于系統(tǒng)軟件集成了大量的服務(wù)，對(duì)外開放的通信端口和缺省用戶等信息相對(duì)公開，易受攻擊。系統(tǒng)重要應(yīng)用盡可能采用安全性能較高的操作系統(tǒng)，更改數(shù)據(jù)庫系統(tǒng)和中間件系統(tǒng)的缺省用戶設(shè)置，關(guān)閉不需要的底層服務(wù)和偵聽端口。定時(shí)升級(jí)系統(tǒng)軟件的安全補(bǔ)丁，修補(bǔ)安全漏洞，并部署防病毒軟件。
　　
　　硬件層和系統(tǒng)軟件層的安全防護(hù)可以通過采用符合安全標(biāo)準(zhǔn)的第三方產(chǎn)品及合理部署來實(shí)現(xiàn)，其安全防護(hù)一旦被攻破，應(yīng)用層的權(quán)限管理和加密傳輸則成為zui后一道安全屏障。即使硬件層和系統(tǒng)軟件層是安全的，也需要應(yīng)用層的權(quán)限管理來控制各用戶進(jìn)行*范圍內(nèi)的業(yè)務(wù)操作和管理，訪問*范圍內(nèi)的各類市場(chǎng)保密信息。應(yīng)用層的安全防護(hù)是電力市場(chǎng)運(yùn)營系統(tǒng)的重要組成部分，本文將重點(diǎn)探討J2EE架構(gòu)的應(yīng)用層安全訪問控制方案及實(shí)施。
　　
　　二、應(yīng)用層安全訪問控制方案
　　
　　電力市場(chǎng)運(yùn)營系統(tǒng)采用RSA（Rivest-shamir-adleman）加密算法和數(shù)據(jù)加密標(biāo)準(zhǔn)（DES）算法對(duì)系統(tǒng)中的私有市場(chǎng)信息進(jìn)行加密傳輸，通過通信服務(wù)、與應(yīng)用服務(wù)和客戶端集成的通信終端，屏蔽傳輸數(shù)據(jù)的加密、解密過程，加密算法的變更與應(yīng)用無關(guān)。
　　
　　電力市場(chǎng)中權(quán)限劃分多樣，并受市場(chǎng)規(guī)則影響，因此，要求系統(tǒng)的權(quán)限管理模塊充分靈活，能夠適應(yīng)系統(tǒng)權(quán)限和角色的變更需求。傳統(tǒng)的權(quán)限管理模塊大多以客戶端控制用戶登錄、身份校驗(yàn)和*訪問，權(quán)限管理和業(yè)務(wù)邏輯捆綁在一起。系統(tǒng)應(yīng)用功能的增加、用戶類型和訪問權(quán)限的變更都會(huì)導(dǎo)致客戶端應(yīng)用程序的改動(dòng)，應(yīng)用開發(fā)人員必須熟悉系統(tǒng)權(quán)限管理邏輯。為了滿足權(quán)限靈活配置，適應(yīng)電力市場(chǎng)業(yè)務(wù)頻繁變更，減少權(quán)限配置變化帶來的工作量，要求業(yè)務(wù)邏揖與權(quán)限管理分離，這樣，應(yīng)用服務(wù)開發(fā)人員只需要關(guān)心應(yīng)用服務(wù)的業(yè)務(wù)邏輯實(shí)現(xiàn)。針對(duì)上述需求，本文提出了J2EE內(nèi)嵌權(quán)限管理、動(dòng)態(tài)代理和控制中心3種應(yīng)用層安全訪問控制方案。
　　
　　2.1基于J2EE內(nèi)嵌的權(quán)限管理
　　
　　在J2EE架構(gòu)中，每個(gè)應(yīng)用模塊都以組件的形式存在，運(yùn)行在相應(yīng)的容器之中。容器作為組件的運(yùn)行環(huán)境，能夠管理組件的生命周期，截獲外部應(yīng)用對(duì)組件的訪問請(qǐng)求，識(shí)別訪問者的身份信息。
　　
　　J2EE支持聲明式的權(quán)限管理模式，組件開發(fā)人員并不需要了解組件的安全訪問要求，而是在組件組裝發(fā)布時(shí)由發(fā)布人員確定組件各業(yè)務(wù)方法的訪問權(quán)限，設(shè)定用戶與系統(tǒng)實(shí)際操作人員的對(duì)應(yīng)關(guān)系。安全信息保存在組件附帶的可擴(kuò)展置標(biāo)語言（XML）配置文件中，與組件代碼分離，發(fā)布人員可以根據(jù)需要隨時(shí)更改組件的安全配置，只需重新發(fā)布即可。當(dāng)被訪問的組件需要訪問該容器中其他組件或者其他容器中的組件時(shí)，組件能夠傳遞用戶的身份信息。J2EE規(guī)范要求所有應(yīng)用服務(wù)器具有一系列系統(tǒng)安全防護(hù)措施，而不需要做任何編程工作。通信雙方可以采用基于數(shù)字證書的安全套接層（SSL）協(xié)議進(jìn)行信息交互，并具有身份認(rèn)證、資源訪問控制、數(shù)據(jù)完整性、機(jī)密性、基于數(shù)字簽名的防抵賴和審計(jì)等安全措施。
　　
　　J2EE應(yīng)用服務(wù)器提供的可配置的權(quán)限管理和安全管理給電力市場(chǎng)運(yùn)營系統(tǒng)帶來了靈活的系統(tǒng)訪問控制，管理人員可以靈活調(diào)整訪問策略。
　　
　　J2EE規(guī)范允許定義每一個(gè)業(yè)務(wù)方法的*訪問角色，由角色與實(shí)際環(huán)境中的用戶相對(duì)應(yīng)。這種安全訪問機(jī)制的缺點(diǎn)是，當(dāng)調(diào)整業(yè)務(wù)函數(shù)的權(quán)限定義時(shí)需要中斷應(yīng)用運(yùn)行，重新發(fā)布變動(dòng)后的應(yīng)用。這種訪問方式*由容器實(shí)施和控制，應(yīng)用本身并不能截獲訪問信息，因此難以對(duì)系統(tǒng)的訪問信息進(jìn)行記錄和統(tǒng)計(jì)分析。
　　
　　2.2動(dòng)態(tài)代理
　　
　　動(dòng)態(tài)代理安全訪問控制利用Java提供的反射機(jī)制，通過動(dòng)態(tài)代理實(shí)現(xiàn)應(yīng)用邏輯與權(quán)限管理的分離?？蛻舳藢?duì)應(yīng)用服務(wù)的訪問并不是直接調(diào)用應(yīng)用服務(wù)，它對(duì)應(yīng)用服務(wù)的每一個(gè)訪問請(qǐng)求都由動(dòng)態(tài)代理截獲。動(dòng)態(tài)代理在訪問應(yīng)用服務(wù)前，首先將客戶端的用戶身份信息和待訪問的應(yīng)用服務(wù)及業(yè)務(wù)方法發(fā)送到權(quán)限管理服務(wù)，由權(quán)限管理服務(wù)對(duì)用戶身份進(jìn)行校驗(yàn)。如果用戶具有訪問權(quán)限，動(dòng)態(tài)代理將訪問請(qǐng)求發(fā)送到相應(yīng)的應(yīng)用服務(wù)，并將執(zhí)行結(jié)果返回客戶端。否則，則向客戶端返回權(quán)限校驗(yàn)失敗信息，阻斷對(duì)應(yīng)用服務(wù)的調(diào)用。動(dòng)態(tài)代理安全訪問控制的邏輯結(jié)構(gòu)如圖3所示。
　　
　　動(dòng)態(tài)代理安全訪問控制方式不改變客戶端的調(diào)用方式，應(yīng)用開發(fā)人員不需要了解系統(tǒng)的權(quán)限配置，權(quán)限的校驗(yàn)控制過程對(duì)用戶透明。應(yīng)用服務(wù)模塊增加和變更后，只需根據(jù)訪問權(quán)限配置的要求在權(quán)限管理模塊進(jìn)行角色和用戶配置，對(duì)應(yīng)用服務(wù)和客戶端軟件的開發(fā)沒有任何影響。
　　
　　從圖3可以看出，動(dòng)態(tài)代理的安全訪問控制是在客戶端實(shí)現(xiàn)的?？蛻舳塑浖坏┍环淳幾g等方式破譯，就可以繞過動(dòng)態(tài)代理，直接訪問應(yīng)用服務(wù)。在電力市場(chǎng)中，有的客戶端應(yīng)用可能由市場(chǎng)成員自主開發(fā)，由客戶端控制訪問權(quán)限則不再可信。此外，動(dòng)態(tài)代理模式中，動(dòng)態(tài)代理會(huì)頻繁地遠(yuǎn)程訪問權(quán)限管理服務(wù)，造成執(zhí)行效率低下。如果對(duì)系統(tǒng)的訪問日志進(jìn)行記錄和統(tǒng)計(jì)，需要頻繁地遠(yuǎn)程訪問日志服務(wù)。
　　
　　2.3控制中心控制中心方式由動(dòng)態(tài)代理方式發(fā)展而來，也是利用Java提供的反射機(jī)制。與動(dòng)態(tài)代理方式不同之處在于動(dòng)態(tài)代理和應(yīng)用服務(wù)之間增加了一個(gè)控制中心，通過控制中心截獲客戶端對(duì)應(yīng)用服務(wù)的調(diào)用請(qǐng)求，實(shí)現(xiàn)應(yīng)用邏輯與權(quán)限管理的分離?？蛻舳藢?duì)應(yīng)用服務(wù)的訪問請(qǐng)求首先被動(dòng)態(tài)代理截獲，由動(dòng)態(tài)代理將訪問發(fā)送到控制中心，控制中心將客戶端的用戶身份信息、待訪問的應(yīng)用服務(wù)及業(yè)務(wù)方法發(fā)送到權(quán)限管理服務(wù)，由權(quán)限管理服務(wù)對(duì)用戶身份進(jìn)行校驗(yàn)。如果用戶具有訪問權(quán)限，控制中心則將訪問請(qǐng)求發(fā)送到相應(yīng)的應(yīng)用服務(wù)，并將執(zhí)行結(jié)果返回動(dòng)態(tài)代理，由動(dòng)態(tài)代理將結(jié)果送回客戶端。否則，控制中心則向動(dòng)態(tài)代理發(fā)送權(quán)限校驗(yàn)失敗信息，阻斷對(duì)應(yīng)用服務(wù)的調(diào)用，并由動(dòng)態(tài)代理將異常信息傳送到客戶端?？刂浦行陌踩L問控制的邏輯結(jié)構(gòu)如圖4所示。
　　
　　與動(dòng)態(tài)代理安全訪問控制方式一樣，控制中心安全訪問方式不改變客戶端的調(diào)用邏輯，應(yīng)用開發(fā)人員也不需要了解系統(tǒng)的權(quán)限配置方式，權(quán)限的校驗(yàn)控制過程對(duì)用戶透明。用戶、角色和訪問權(quán)限的變化只需在權(quán)限管理模塊配置，對(duì)應(yīng)用服務(wù)和客戶端軟件的開發(fā)沒有任何影響。對(duì)訪問的控制由客戶端的動(dòng)態(tài)代理轉(zhuǎn)移到服務(wù)端的控制中心，客戶端代碼的泄漏不會(huì)對(duì)系統(tǒng)的安全性帶來任何影響，也允許由第三方開發(fā)客戶端應(yīng)用?？刂浦行脑诮邮芸蛻舳苏{(diào)用請(qǐng)求的同時(shí)，通過調(diào)用位于同一容器中的日志服務(wù)，提高了訪問記錄和統(tǒng)計(jì)的效率?？刂浦行姆绞侥軌蜻m應(yīng)面向服務(wù)架構(gòu)（SOA）的電力市場(chǎng)運(yùn)營系統(tǒng)建設(shè)，并向市場(chǎng)成員和監(jiān)管機(jī)構(gòu)提供基于WebServices方式的遠(yuǎn)方訪問服務(wù)。
　　
　　鑒于控制中心方式的上述優(yōu)點(diǎn)，在實(shí)際投運(yùn)的電力市場(chǎng)運(yùn)營系統(tǒng)中采用了控制中心方式的安全訪問控制。
　　
　　三、技術(shù)實(shí)現(xiàn)和應(yīng)用案例分析
　　
　　3.1控制中心的技術(shù)實(shí)現(xiàn)
　　
　　考慮跨平臺(tái)等多種原因，系統(tǒng)采用了J2EE軟件架構(gòu)。各應(yīng)用服務(wù)封裝為一系列企業(yè)Java組件（EJB）模塊，部署在各個(gè)J2EE應(yīng)用服務(wù)器中，對(duì)外提供本地調(diào)用接口，應(yīng)用服務(wù)與客戶端之間的通信服務(wù)部署在Web容器。
　　
　　如圖5所示，控制中心采用無狀態(tài)會(huì)話EJB技術(shù)實(shí)現(xiàn)，提供遠(yuǎn)程調(diào)用接口，支持并發(fā)訪問。權(quán)限管理模塊也采用無狀態(tài)會(huì)話EJB技術(shù)實(shí)現(xiàn)，提供本地調(diào)用接口，接受控制中心的權(quán)限校驗(yàn)調(diào)用請(qǐng)求。日志服務(wù)和訪問統(tǒng)計(jì)等其他服務(wù)也都采用會(huì)話EJB技術(shù)實(shí)現(xiàn)，只提供本地調(diào)用接口，接收控制中心和同一容器中各應(yīng)用服務(wù)模塊的調(diào)用。
　　
　　由于控制中心是客戶端和服務(wù)器端應(yīng)用之間的必經(jīng)通道，為了提高系統(tǒng)響應(yīng)速度和訪問效率，控制中心緩存了對(duì)各應(yīng)用服務(wù)和權(quán)限管理服務(wù)的連接，減少了訪問環(huán)節(jié)。
　　
　　基于控制中心安全訪問控制方式的區(qū)域電力市場(chǎng)運(yùn)營系統(tǒng)在WebLogic，WebSphere和Jboss等主流J2EE應(yīng)用服務(wù)器上運(yùn)行測(cè)試正常，并己投入現(xiàn)場(chǎng)運(yùn)行。由于將應(yīng)用服務(wù)與權(quán)限管理*分離，支持應(yīng)用的分布并行開發(fā)，極大地提高了系統(tǒng)開發(fā)進(jìn)度和需求響應(yīng)速度。
　　
　　3.2應(yīng)用案例分析
　　
　　以數(shù)據(jù)申報(bào)和交易計(jì)劃編制為例進(jìn)行分析。數(shù)據(jù)申報(bào)應(yīng)用的用戶主要為市場(chǎng)成員，分布在整個(gè)市場(chǎng)范圍內(nèi);交易計(jì)劃管理的用戶則為交易中心內(nèi)的各交易管理人員。應(yīng)用開發(fā)人員并不關(guān)心數(shù)據(jù)申報(bào)服務(wù)和計(jì)劃管理服務(wù)由誰使用，只負(fù)責(zé)應(yīng)用算法的實(shí)現(xiàn)，并將應(yīng)用模塊提供的各項(xiàng)服務(wù)和調(diào)用接口提交給系統(tǒng)管理人員，由系統(tǒng)管理人員將各應(yīng)用模塊提供的服務(wù)注冊(cè)到權(quán)限管理，并對(duì)各類用戶*。
　　
　　用戶訪問各應(yīng)用和市場(chǎng)信息時(shí)，客戶端應(yīng)用調(diào)用受訪服務(wù)前，首先接收用戶的身份信息，獲取應(yīng)用服務(wù)的本地動(dòng)態(tài)代理。如果用戶具有相應(yīng)服務(wù)的訪問權(quán)限，客戶端能夠像本地方式一樣調(diào)用受訪服務(wù);否則，動(dòng)態(tài)代理則向客戶應(yīng)用拋出無訪問權(quán)限的應(yīng)用異常。
　　
　　在系統(tǒng)實(shí)際運(yùn)行時(shí)，由于各市場(chǎng)成員的交易人員具有數(shù)據(jù)申報(bào)權(quán)限，能夠申報(bào)各類交易數(shù)據(jù)，而計(jì)劃編制人員雖然能夠撮合交易，但不能進(jìn)行報(bào)價(jià)。在系統(tǒng)調(diào)試階段，通過將申報(bào)權(quán)限授予計(jì)劃編制人員，計(jì)劃編制人員可以同時(shí)進(jìn)行數(shù)據(jù)申報(bào)和交易撮合，對(duì)系統(tǒng)的正確性進(jìn)行驗(yàn)證，而不需要任何應(yīng)用變更。
　　
　　四、結(jié)語
　　
　　電力市場(chǎng)的信息保密性、用戶多樣性和訪問權(quán)限多變性，要求支持市場(chǎng)運(yùn)營的電力市場(chǎng)運(yùn)營系統(tǒng)必須具備嚴(yán)格而且靈活的安全訪問控制機(jī)制。本文描述了硬件層、系統(tǒng)軟件層和應(yīng)用軟件層相協(xié)調(diào)的安全訪問控制的整體結(jié)構(gòu)，設(shè)計(jì)了J2EE內(nèi)嵌權(quán)限管理、動(dòng)態(tài)代理和控制中心3種應(yīng)用層用戶訪問控制方案。其中，控制中心管理方式能夠?qū)崿F(xiàn)服務(wù)端的安全訪問控制，支持客戶端的第三方開發(fā)和面向服務(wù)的電力市場(chǎng)運(yùn)營系統(tǒng)架構(gòu)。采用控制中心安全訪問控制方式的電力市場(chǎng)運(yùn)營系統(tǒng)己經(jīng)投人現(xiàn)場(chǎng)運(yùn)行，結(jié)果表明，該安全訪問控制方式能夠?qū)?quán)限管理與應(yīng)用開發(fā)*分離，使應(yīng)用開發(fā)人員專注于市場(chǎng)業(yè)務(wù)邏輯實(shí)現(xiàn)，快速響應(yīng)市場(chǎng)交易模式和訪問邏輯變化。