高校统一门户的设计与实现(2)

Portlet由于需要通过Portal来接收请求和返回结果、存取用户信息、与其他Portlet交互，也会通过Portal来控制用户访问Portlet以及Portlet访问远程服务的权限，因此，Portlet API也规范了这些操作的接口。

2．5 Portal的内容服务

一般而言，对于每个需要连入Portal服务器的系统来说都要提供一个标准的Portlet程序，以便方便的融入Portal系统。然而有些系统并不愿意为单独的Portal服务器编写Portlet，因为这将花费他们的工作量，而且应用范围比较狭窄，或者有些系统可能提供的接口会经常调整改变，因此提供的Portlet将会不断的需要修改，并且Portal需要能够整合互联网上的大量已有信息，这些问题都导致了Portal需要能有更加强大的内容集成功。

在Simple Object Access Protocol（SOAP）、Web Service Description Language（WSDL）、Universal Description and Discovery Interface（UDDI）三个基本技术标准的支持下，Web Service能够极大的促进程序间的交互性和可移植性。即使服务程序位于不同的平台，用不同的语言编写，都可以通过SOAP来进行交互，穿越不同平台和防火墙，发送程序间所需要的信息，甚至是调用别人的Web Service服务，或者把别人提供的Web Service集成到自己的服务中来，有了这种跨语言，跨平台的特性，Web Service可以说是一种基于web的更通用的可复用组件[ 3 ]。

现在，越来越多的网站都向外提供Web Service，Portal通过Portlet也能与Web Service进行交互，从而利用网上的信息资源。由于每个Web Service都向外提供了WSDL文件，描述该服务提供的功能和操作接口[ 4 ]。因此，Portal需要编写一个特定的Portlet，来展现Web Service提供的功能。例如为了利用一个火车查询系统的Web Service，这个Portlet需要编写一个交互的界面，接收用户的输入请求，通过SOAP向远程Web Service发送查询请求，然后接收返回请求再呈现给客户。象这样的Web Service注重的是提供数据和操作接口，不包括任何用户交互和表示功能，因此，对于每一个Web Service就得提供一个专门的Portlet来与该服务提供的接口进行交互。

2．6 Portal的安全措施

我们设计的Portal服务器是一个基于Java的系统，因此可以利用标准的Java Security API提供的大量安全性应用功能，也可以执行Java认证与授权服务（JAAS）架构，以使应用程序独立于安全性机制之外。在Portal的安全措施研究中涉及到认证、授权和日志记录等，其中认证和授权在我们前面的关于CA的论文中已经有所涉及。

目前通常采用的用户认证方法包括用户名和密码认证、双要素认证、一次性密码（One Time Password，OTP）认证和单一登录（Single Sign On，SSO）认证。有些时候，因为会面对不同级别的数据，需要不同级别的保护，可能会联合使用其中的多种认证方法。

在我们的Portal中，一般采用了用户名/密码认证和数字证书方式认证两种认证方法，用户可以根据自己使用需要的安全程度来选择这两种方法的一种。而ePass认证令牌则能够在通过USB口插入计算机后，浏览器能自动识别令牌中的证书，并且在同Portal服务器建立连接时使用该证书，当然在这个过程中需要用户输入认证令牌的密码。在认证令牌拔出计算机后，该证书也将不再存在于该台机器。

在用户通过认证进入Portal系统之后，系统必须确保用户拥有足够的权限来执行所需的操作，这就是授权。用户在访问系统数据或功能时可以具有几个级别的权限，这些权限是管理员据个人所获许可而授予用户访问系统内信息的。授权通常是通过系统中的访问控制列表（ACL）来实现，ACL包括权限列表，系统可以根据这些权限判断用户对目标是否能进行读写以及执行等不同操作。访问控制措施可以根据多种标准来实现，例如基于用户身份、基于角色、基于时间或者基于事务。

Portal在确定用户身份之后，会向CertServer服务器请求该人的角色和访问控制表，由于一个访问后台服务的Portlet会对应于后台系统的一个服务，因此根据CertServer服务器返回的信息就可以决定该授权用户可以操作哪些Portlet。Portal的集成模块和页面管理模块也根据这些信息决定用户可以看见的Portlet列表。

5