随着Internet的发展,使得基于B/S结构的Web应用模式日益流行。 伴随着在线信息和服务可用性的提升，以及基于Web的攻击和破坏的增长，安全风险达到了前所未有的高度。由于Web应用程序可在不同的支持HTTP的客户端机器上运行，而且，因为它们一般可以让所有的人使用，所以这些应用程序成了众多攻击活动的目标。访问控制技术作为实现WEB应用系统安全目标的一个重要技术措施，在确保用户职责权限、保证Web应用中资源的保密性及安全访问方面起着重要的作用。本文主要论述Web应用系统的安全访问控制。对访问控制技术、访问控制策略尤其是基于角色的访问控制策略及轻量级目录存取协议和多个应用系统的统一认证进行了深入的研究，并结合科技部十五攻关项目“国产基础软件平台体系开发及应用示范”中的课题七——“基于国产基础软件的政务信息化领域平台的研发及应用示范”项目，给出了应用轻量级目录存取协议实现用户身份统一认证及采用基于角色的访问控制策略实现用户权限管理的逻辑模型、关键技术及系统的具体实现。系统中统一认证部分从性能方面考虑，实现了对目录服务的支持；权限管理部分从功能层的访问控制和数据层的操作管理两方面着手，实现了web应用中对资源的安全访问控制。本文最后，提出了基于角色的访问控制模型的中间件的设计方案，指出了下一步要做的工作和研究方向。