第２１卷第４期 ２００８年ｌ２月 青岛私甚技术净 学报 Ｊ ｏｕｒｎａｌ ｏｆ Ｑｉｎｇｄａｏ Ｔｅｃｈｎｉｃａｌ Ｃｏｌｌｅｇｅ Ｖｏ１．２１ ＮＯ．４ Ｄｅｃ．２００８ Ｊ ａｖａ Ｗｅｂ应用安全框架ＡＣＥＧＩ浅释 孟宪宁 （青岛职业技术学院信息学院，山东青岛２６６５５５） 摘要：对于任何一个完整的应用系统来讲，完善的认证和授权机制是必不可少的。开源的ＡＣＥＧＩ为企业 级应用中通常会遇到的安全问题提供了很好的解决方案，为使用Ｓｐｒｉｎｇ框架的应用程序提供了丰富的安全服 务。在Ｓｐｒｉｎｇ框架下采用ＡＣＥＧＩ，可以充分利用Ｓｐｒｉｎｇ框架提供的依赖注入（Ｄｅｐｅｎｄｅｎｃｅ Ｉｎｊｅｃｔｉｏｎ）技术，在 Ｗｅｂ配置文件中完成应用程序的安全配置和管理，具有很高的灵活性 本文在分析了ＡＣＥＧＩ架构模型、 ＡＣＥＧＩ提供的安全过滤器机制，介绍了把ＡＣＥＧＩ提供的不同过滤器组合到Ｓｐｒｉｎｇ框架Ｗｅｂ应用中的方法 和步骤的同时，提出了一种解决Ｊａｖａ ｗｅｂ应用程序安全问题的思路和方法。 关键词：ＡＣＥＧＩ；安全；Ｗｅｂ应用 中图分类号：ＴＰ３ｌ９文献标识码：Ａ 文章编号：１６７２—２６９８（２００８）０４—００４８—０４ 现在越来越多的基于Ｗｅｂ的企业应用构建在 Ｊ２ＥＥ平台上，对于一个企业级的应用来说，安全认证 和授权机制是必不可少的，Ｊ２ＥＥ提供的基于角色的 授权机制通过使用声明和编程技术，给编程人员提供 了比较大的便利．但如果在开发过程中，用户自己写 代码来解决这些相关的问题，不仅代码量巨大，而且 实际的应用效果并不理想。ＡＣＥＧＩ是一个开源的安 全框架．它为基于Ｓｐｒｉｎｇ的应用提供了很好的安全 Ｗｅｂ应用的安全问题主要是验证用户身份（Ａｕ— ｔｈｅｎｔｉｃａｔｉｏｎ）、授权合法用户访问不同的应用程序功 能及相关数据（Ａｕｔｈｏｒｉｚａｔｉｏｎ）。验证用户解决的是 “用户是谁（Ｗｈｏ ａｒｅ ｙｏｕ？）”的问题，对于Ｗｅｂ应用 来说，这一步可以使用用户名和密码机制来解决。授 权问题解决的是“可以做什么（Ｗｈａｔ ｍａｙ ｙｏｕ ｄｏ？）” 的问题，Ｗｅｂ应用一般是通过把用户要请求（Ｒｅ— ｑｕｅｓｔ）的资源授权给某个角色（Ｒｏｌｅ）来解决该问题 的。对于某个已经通过验证的用户来说，如果他属于 某个角色，则他就能访问该角色所被授权访问的资 源。安全模式下的ｗｅｂ应用访问流程如下图所示： 解决方案 。通过使用Ｓｐｒｉｎｇ的依赖注入机制，在 Ｓｐｒｉｎｇ应用上下文环境中，配置ＡＣＥＧＩ有关的Ｂｅａｎ 来实现一个安全的Ｗｅｂ应用。 Ｗｅｂ应用程序的安全机制有两种组件：认证和 授权． 于Ｊ２ＥＥ的Ｗｅｂ容器提供了基于表单的认 证机制．在实际的开发过程中，应用程序的设计人员 和开发人员需要解决基于表单的认证如何与数据库 或者ＩＡ）ＡＩ 等其他领域的安全机制协同工作，以及 如何在ｗｅｂ应用程序的部署描述文件（ｗｅｂ．ｘｍ１）中 ｔ Ｉ是 增加或删除授权角色等问题。ＡＣＥＧＩ使用的是 Ｓｅｒｖｌｅｔ过滤机制来完成相关的认证和授权工作。在 采用轻量级框架Ｓｐｒｉｎｇ进行Ｗｅｂ应用的开发过程 中．可以灵活地对ＡＣＥＧＩ进行配置，使用关系数据 库或者Ｉ ＤＡＰ来完成安全认证，使用ＡＣＥＧＩ来解决 有关的安全问题是一个不错的选择。 ＜ ＞三 显示错误页 Ｈｔｔｐ４０３错误 （登录失败） 访问资 限吗？ 显示错误页 Ｈｔｔｐ５０３１￣误 （未被授权） 图１安全的Ｗｅｂ应用访问流程图 收稿日期：２００８—０７—０９ 作者简介：孟宪宁（１９７１－），男，山东莱阳人，工程师，硕士。 眚鸟职甚技术净阮学报 ２００８年第４期 图１所展示的安全访问流程包括三个方面的检 查。其一，性的访问检查（Ｒｅｓｔｒｉｃｔｅｄ Ａｃｃｅｓｓ Ｃｈｅｃｋ）：检查所访问的资源是否是被保护的；其二， 检查是否已经通过验证（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｈｅｃｋ）：检 查执行请求的用户是否已经通过了验证；其三，检查 用户是否具备授权（Ａｕｔｈｏｒｉｚａｔｉｏｎ Ｃｈｅｃｋ）：检查执行 请求的用户是否属于具备资源访问权的角色。 一般的Ｗｅｂ应用安全性检查是通过在资企业资 源定位符（Ｌｏｃａｔｏｒ）或者网络地址（Ｎｅｔｗｏｒｋ Ａｄ— ｄｒｅｓｓ）来实现安全控制，这种模式称为ＵＲＬ安全性 （Ｕｎｉｖｅｒｓａｌ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ Ｓｅｃｕｒｉｔｙ）。本文介绍 的就是ＡＣＥＧＩ为实现ＵＲＬ安全性所提供的全面特 性的实现方法。 二、ＡＣＥＧＩ安全系统的组件和过滤器 （一）ＡＣＥＧＩ的组件构成 ＡＣＥＧＩ主要有四种类型的组件组成：过滤器 （ｆｉｌｔｅｒ）、管理器（Ｍａｎａｇｅｒ）、提供者（Ｐｒｏｖｉｄｅｒ）和处理 程序（ｈａｎｄｌｅｒ）。Ｌ２］ １．过滤器：ＡＣＥＧＩ提供了多种不同类型的过滤 器，这些过滤器提供了常见的安全服务，如身份验证、 注销等安全服务都可通过配置这些过滤器来实现 ２．管理器：具体的身份验证及登陆和注销处理是 由管理器来实现的，管理器通过调用不同的提供者来 完成具体的安全服务。 ３．提供者：提供者主要是和不同类型的数据存储 服务通信，如目录服务、关系数据库或者简单的内存 对象等，借助不同的数据存储服务来实现用户库和访 问控制的存储 ４．处理程序：安全控制中的不同任务是由处理程 序具体来完成的，ＡＣＥＧＩ提供的不同处理程序可以 灵活搭配，以满足不同的处理要求。 这些组件当中的基础对象是安全上下文占位符 （Ｓｅｃｕｒｉｔｙ Ｃｏｎｔｅｘｔ Ｈｏｌｄｅｒ），这个对象存储了当前应 用的安全上下文环境（Ｓｅｃｕｒｉｔｙ Ｃｏｎｔｅｘｔ）的信息，如 用户名、登录密码和角色等，Ｓｅｃｕｒｉｔｙ Ｃｏｎｔｅｘｔ Ｈｏｌｄｅｒ 隐含实现了Ｔｈｒｅａｄ Ｌｏｃａｌ来存储这些细节信息。在 具体的应用中可以通过如下代码来访问Ａｕｔｈｅｎｔｉｃａ— ｔｉｏｎ对象获取有关的信息： Ｏｂｊｅｃｔ ｏｂｊ—Ｓｅｃｕｒｉｔｙ Ｃｏｎｔｅｘｔ Ｈｏｌｄｅｒ．ｇｅｔ Ｃｏｎ— ｔｅｘｔ（）．ｇｅｔ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ（）．ｇｅｔ Ｐｒｉｎｃｉｐａｌ（）； ｉｆ（ｏｂｊ ｉｎｓｔａｎｃｅｏｆ ＵｓｅｒＤｅｔａｉｌｓ）｛ Ｓｔｒｉｎｇ ｕｓｅｒｎａｍｅ一（（ＵｓｅｒＤｅｔａｉｌｓ）ｏｂｊ）． ｇｅｔＵｓｅｒｎａｍｅ（）； ｝ｅｌｓｅ｛ Ｓｔｒｉｎｇ ｕｓｅｒｎａｍｅ＝＝＝ｏｂｊ．ｔｏＳｔｒｉｎｇ（）； ＞ （二）ＡＣＥＧＩ所用的安全过滤器 ＡＣＥＧＩ通过使用安全过滤器（ｆｉｌｔｅｒ）来提供确保 企业应用程序安全所需要的身份验证和授权服务，在 实际的安全应用中，常用的安全过滤器主要有以下几 种： １．会话结合过滤器（Ｓｅｓｓｉｏｎ Ｉｎｔｅｇｅｒａｔｉｏｎ Ｆｉｌｔｅｒ ＳＩＦ）：ＳＩＦ通常是需要配置的第一个过滤器，ＳＩＦ主 要是创建一个安全上下文对象（Ｓｅｃｕｒｉｔｙ Ｃｏｎｔｅｘｔ Ｏｂｊｅｃｔ），该对象存储有关的安全信息。由ＳＩＦ调用 过滤器链（Ｆｉｌｔｅｒ Ｃｈａｉｎ）上的其他的过滤器完成安全 认证和授权检查工作。安全上下文占位符在过滤器 链的传递过程如图２所示： 图２ Ｓｅｃｕｒｉｔｙ Ｃｏｎｔｅｘｔ Ｈｏｌｄｅｒ传递过程图 ２．认证处理过滤器（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｃｅｓｓｉｎｇ Ｆｉｌｔｅｒ ＡＰＦ）：ＡＰＦ通过使用一个身份验证（如用户登 陆表单）进行用户身份验证，具体的后端身份验证过 程由ＡＰＦ来实现，如从客户端读取用户名和密码、从 后端数据库中读取用户参数等。配置ＡＰＦ时需要提 供如下参数： （１）认证管理器（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｍａｎａｇｅｒ）：指定 管理身份验证提供者的管理器。 （２）过滤处理ＵＲＬ（Ｆｉｌｔｅｒ Ｐｒｏｃｅｓｓｅｓ ＵＲＬ）：指 定用户按下登陆按钮时要访问的ＵＲＬ，该ＵＲＬ通常 是过滤器链代理所指定的Ｂｅａｎ。 （３）默认的目标ＵＲＬ（Ｄｅｆａｕｌｔ ｔａｒｇｅｔ ＵＲＬ）：用 户通过验证和授权后所显示的ＵＲＬ地址。 （４）认证失败的ＵＲＬ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｆａｉｌｕｒｅ ＵＲＬ）：身份验证失败时显示的页面。 ３．注销处理过滤器（Ｌｏｇｏｕｔ Ｐｒｏｃｅｓｓｉｎｇ Ｆｉｌｔｅｒ ＬＰＦ）：该过滤器主要完成注销处理，例如删除所保存 的安全上下文环境的服务器端对象。该过滤器的配 置比较简单，只需指定一个注销后显示的页面和完成 具体注销过程的Ｂｅａｎ即可。 ４．例外平移过滤器（Ｅｘｃｅｐｔｉｏｎ Ｔｒａｎｓｌａｔｉｏｎ Ｆｉｌ～ ｔｅｒ）：该过滤器通常用于处理用户身份验证和授权过 ４９ ２００８年第４期 眚鸟职甚技术净 学报 完成用户的认证过程，例如完成用户名和密码的校验 等。 （三）配置会话结合过滤器（ＨｔｔｐＳｅｓｓｉｏｎＣｏｎｔｅｘ— ｔＩｎｔｅｇｒａｔｉｏｎＦｉｌｔｅｒ） 程中的异常，通常情况下，用户身份验证失败异常处 理，把用户登陆页面显示出来就可，而授权验证失败， 则显示一个用户无权访问的页面。 ５．拦截过滤器（Ｉｎｔｅｒｃｅｐｔｏｒ Ｆｉｌｔｅｒｓ）：拦截过滤器 通常是在用户身份验证通过后，来完成用户授权检 查。该用于实现根据用户程序的访问策略作 出不同的授权决定。比较简单的访问策略控制包含 一这个过滤器的配置非常简单，其结果就是生成一 个认证对象（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｏｂｊｅｃｔ），然后把该对象 传递给过滤器链的下一个过滤器。 （四）配置例外平移过滤器（ＥｘｅｅｐｔｉｏｎＴｒａｎｓｌａ— ｔｉｏｎＦｉｌｔｅｒ） 下两个步骤： （１）编写访问控制策略：即设定不同角色对不同 资源的访问控制。 （２）根据设定的访问控制策略配置ＡＣＥＧＩ的拦 截过滤器。 ＡＣＥＧＩ提供了非常丰富的组件和过滤器，在具 体的使用过程中，可以借助Ｓｐｒｉｎｇ框架提供的ＩｏＣ （反转控制）机制对ＡＣＥＧＩ进行灵活的配置，满足应 用的不同安全需要。ｗｅｂ应用中常用的过滤器链组 成如图３所示： 图３过滤器链 三、基于ＵＲＩ 的ＡＣＥＧＩ安全配置 利用Ｓｐｒｉｎｇ框架提供的依赖注入机制，可以很 方便地把ＡＣＥＧＩ提供的组件和过滤器结合在一起， 灵活地构建一个满足实际需要的安全Ｗｅｂ应用。在 实际的配置过程中，要注意不同组件和过滤器的配置 顺序。下面给出一个使用ＡＣＥＧＩ构建一个基于 ＵＲＩ （表单）的内存模式安全应用的具体配置过程。 （一）配置过滤器链（Ｆｉｌｔｅｒ Ｃｈａｉｎ） 过滤器链的配置主要是解决当前应用程序中所 使用的安全组件和有关的过滤器。 （二）配置认证过滤器（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｃｅｓｓ— ｉｎｇ Ｆｉｌｔｅｒ） ＨＴＴＰ请求首先要传给认证过滤器，该过滤器 ５Ｏ ＥｘｃｅｐｔｉｏｎＴｒａｎｓｌａｔｉｏｎＦｉ１ｔｅｒ主要是捕获认证和 授权验证过程中的异常，通常是处理如下两种类型的 异常： １．认证异常（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｏｂｊｅｃｔ）：例如用户 未登陆。这种情况下，该过滤器会生成一个Ａｕｔｈｅｎ— ｔｉｃａｔｉｏｎＥｎｔｒｙＰｏｉｎｔ对象。可以通过配置Ａｕｔｈｅｎｔｉｃａ— ｔｉｏｎＥｎｔｒｙＰｏｉｎｔ对象，将用户请求转向登陆页面。 ２．授权异常：用户已登录，但是没有所请求对象 的授权。可以配置例外处理过滤器将用户请求转向 访问异常页面。 （五）配置拦截过滤器ＦｉｌｔｅｒＳｅｃｕｒｉｔｙＩｎｔｅｒｃｅｐｔｏｒ 拦截过滤器配置主要是定义所使用的认证管理 器（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｍａｎａｇｅｒ）和授权管理器（Ａｕｔｈｏｒ— ｉｚａｔｉｏｎ Ｍａｎａｇｅｒ），该对象的Ｏｂｊ ｅｃｔＤｅｆｉｎｉｔｉｏｎＳｏｕｒｃｅ 属性用来定义那个角色可以访问什么类型的受保护 资源。 （六）认证管理器配置（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｍａｎａｇｅｒ） 认证管理器设置用户身份验证的方式，是采用 ＬＤＡＰ、内存方式的用户对象管理，还是采用关系数 据库来存储用户对象和角色信息都是在该对象的相 关属性配置中实现的。 四、通过ＪＤＢＣ使用认证数据库 实际的应用当中，很少有采用内存模式的用户角 色管理的，可以采用的策略是把用户身份及角色管理 放在单独的数据表中，要采用基于ＪＤＢＣ访问数据表 的方式来实现ＡＣＥＧＩ的用户认证并不复杂，只需要 把ＤａｏＡｕｔｈｅｎｔｉｃａｔｉｏｎＰｒｏｖｉｄｅｒ 对象的 ＵｓｅｒＤｅ— ｔａｉｌｓＳｅｒｖｉｃｅ属性配置为使用ＪｄｂｃＤａｏｌｍｐｌｅ方式来实 现即可。配置的基本步骤如下： （一）配置ＪＤＢＣ的数据库连接参数 设定用户登录信息、角色信息所在数据库的驱动 程序、访问ＵＲＬ地址、登陆数据库的用户名和密码 等，该配置和一般的Ｓｐｒｉｎｇ中ｄａｔａＳｏｕｒｃｅ的配置别 无二致。 （二）创建用户信息表（ＵＳＥＲＳ）和授权表（ＡＵ— ＴＨ（）ＲＩＴＩＥＳ） 青磊取甚技术净 学报 这两个表的结构既 可以自己定义，也可以采用 ＡＣＥＧＩ规定的表结构， 比较简单的方式就是采用 ＡＣＥＧＩ规定的表结构： ＵＳＥＲＳ ＡＵＴＨｏＲＩＴＩＥＳ ２００８年第４期 参考文献： ［１］Ｂｉｌａｌ Ｓｉｄｉｇｕｉ．Ｓｅｃｕｒｉｎｇ Ｊａｖａ ａｐｐｌｉｃａｔｉｏｎｓ ｗｉｔｈ ＡＣＥＧＩ。Ｐａｒｔ １ Ｅ ＥＢ／ＯＬ］．Ａｒｃｈｉｔｅｃｔｕｒａｌ ｏｖｅｒ— ｖｉｅｗ ａｎｄ ｓｅｃｕｒｉｔｙ ｆｉｌｔｅｒｓ，２００７．ｈｔｔｐ： ｆ ｇｉｌ／ｉｎｄｅｘ．ｈｔｍ１． ＵＳＥＲＮＡＭＥ（ｐｋ）（ＶＡＲＣＨＡＲ） ＰＡＳＳＷＯＲＤ ｆＶＡＲＣＨＡＲ、 ＥＮＡＢＬＥＤ（ＢＯＯＬＥＡＮ ＵＳＥＲＮＡＭＥ（ｐｋ，ｌｋ）（ＶＡＲＣＨＡＲ） ＡＵＴＨＯＲｌＴＹ（ＶＡＲＣＨＡＲ） ． ｉｂｍ．ｅｏｍ／ｄｅｖｅｌｏｐｅｒｗｏｒｋｓ／ｊａｖａ／ｌｉｂｒａｒｙ／ｊ—ａｃｅ— 图４ ＪＤＢＣ方式数据表结构 ＵＳＥＲＳ表中的ＥＮＡＢＬＥＤ字段可以设置为 Ｅ２］Ｂａｒｔｏｎ ｖａｎ Ｒｉｅｌ，Ｓｐｒｉｎｇ ＡＣＥＧＩ Ｔｕｔｏｒｉａｌ ＥＥＢ／ ＯＬ］ ｈｔｔｐ ｆ 。ｔｆｏ—ｅｓｅｒｖｉｃｅｓ．ｅｕ／ｗｂ—ｔｕｔｏ— ｒｉａｌｓ／ｐａｇｅｓ／ｓｐｒｉｎｇ—ａｃｅｇｉ—ｔｕｔｏｒｉａ１．ｐｈｐ． ’ｖａｒｃｈａｒ类型，但是其取值只能为ｔｒｕｅ和ｆａｌｓｅ两种。 ＡＵＴＨＯＲＩＴＩＥＳ表中的ＡＵＴＨＯＲＩＴＹ字段的取值 为ＵＳＥＲＮＡＭＥ用户的角色名。 Ｔｈｅ Ａｎａｌｙｓｉｓ ｏｆ Ｊａｖａ Ｗｅｂ Ａｐｐｌｉｃａｔｉｏｎ Ｓｅｃｕｒｉｔｙ Ｆｒａｍｅｗｏｒｋ ＡＣＥＧＩ ＭＥＮＧ Ｘｉａｎ－ｎｉｎｇ （Ｉｎｆｏｒｍａｔｉｏｎ Ｓｃｈｏｏｌ，Ｑｉｎｇｄａｏ Ｔｅｃｈｎｉｃａｌ Ｃｏｌｌｅｇｅ，Ｑｉｎｇｄａｏ，Ｓｈａｎｄｏｎｇ ２６６５５５） Ａｂｓｔｒａｃｔ：Ｔｈｅ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ ａｕｔｈｏｒｉｚａｔｉｏｎ ｉｓ ｎｅｃｅｓｓａｒｙ ｆｏｒ ａｎ ａｐｐｌｉｃａｔｉｏｎ ｓｙｓｔｅｍ．Ｔｈｅ ＡＣＥＧＩ ｐｒｏ— ｊ ｅｃｔ ｏｆ Ｏｐｅｎ Ｓｏｕｒｃｅ ｐｒｏｖｉｄｅｓ ａ ｐｅｒｆｅｃｔ ｓｏｌｕｔｉｏｎ ｔｏ ｔｈｅ ｓｅｃｕｒｉｔｙ ｐｒｏｂｌｅｍ ｉｎ ｔｈｅ ｅｎｔｅｒｐｒｉｓｅ ａｐｐｌｉｃａｔｉｏｎ，ａｎｄ ｉｔ ａｌ— ｓｏ ｐｒｏｖｉｄｅｓ ｒｉｃｈ ｓｅｃｕｒｉｔｙ ｓｅｒｖｉｃｅ ｆｏｒ ｔｈｅ ａｐｐｌｉｃａｔｉｏｎ ｄｅｖｅｌｏｐｅｄ ｏｎ ｔｈｅ Ｓｐｒｉｎｇ ｆｒａｍｅｗｏｒｋ．Ｕｎｄｅｒ ｔｈｅ Ｓｐｒｉｎｇ ｆｒａｍｅｗｏｒｋ，ｔｈｅ ｃｏｎｆｉｇｕｒａｔｉｏｎ ａｎｄ ｍａｎａｇｅｍｅｎｔ ｏｆ ｔｈｅ ａｐｐｌｉｃａｔｉｏｎ ｍａｙ ｂｅ ａｃｈｉｅｖｅｄ ｂｙ ｕｓｉｎｇ ｔｈｅ ｄｅｐｅｎｄｅｎｃｅ ｉｎｊｅｃｔｉｏｎ ｐｒｏｖｉｄｅｄ ｂｙ Ｓｐｒｉｎｇ ｆｒａｍｅｗｏｒｋ．Ｔｈｉｓ ａｒｔｉｃｌｅ ｉｎｔｒｏｄｕｃｅｓ ｔｈｅ ｃｏｍｐｏｎｅｎｔｓ ａｎｄ ｆｉｌｔｅｒ ｍｅｃｈａｎｉｓｍ ｏｆ ｔｈｅ ＡＣＥＧＩ。ａｎｄ ａｌｓｏ ｐｕｔｓ ｆｏｒｗａｒｄ ｔｈｅ ｍｅｔｈｏｄｓ ａｎｄ ｓｔｅｐｓ ａｂｏｕｔ ｈｏｗ ｔｏ ｃｏｍｂｉｎｅ ｔｈｅ ｄｉｆｆｅｒｅｎｔ ｆｉｌｔｅｒ ａｎｄ ｃｏｍｐｏ— ｎｅｎｔｓ ｏｆ ｔｈｅ ＡＣＥＧＩ．Ｔｈｉｓ ａｒｔｉｃｌｅ ｉｓ ｕｓｅｆｕｌ ｔｏ ｓｏｌｖｅ ｔｈｅ ｓｅｃｕｒｉｔｙ ｐｒｏｂｌｅｍ ｏｎ ｔｈｅ ｗｅｂ ａｐｐｌｉｃａｔｉｏｎ ｄｅｖｅｌｏｐｍｅｎｔ ｂａｓｅｄ ｏｎ Ｊａｖａ． Ｋｅｙ ｗｏｒｄｓ：ＡＣＥＧＩ；ｓｅｃｕｒｉｔｙ；Ｗｅｂ ａｐｐｌｉｃａｔｉｏｎ （责任编辑（上接第４Ｏ页） 李金梅） Ｃｕｒｒｉｃｕｌｕｍ Ｄｅｓｉｇｎ ｏｎ Ｗｏｒｋｉｎｇ Ｐｒｏｃｅｓｓ Ｓｙｓｔｅｍａｔｉｚａｔｉｏｎ ａｎｄ Ｉｔｓ Ｔｅａｃｈｉｎｇ Ｐｒａｃｔｉｃｅ ＪＩＮ Ｌｏｎｇ—ｇｕｏ （Ｈａｉｅｒ Ｓｃｈｏｏｌ，Ｑｉｎｇｄａｏ Ｔｅｃｈｎｉｃａｌ Ｃｏｌｌｅｇｅ，Ｑｉｎｇｄａｏ，Ｓｈａｎｄｏｎｇ ２６６５５５） Ａｂｓｔｒａｃｔ：Ｇｅｒｍａｎ ｖｏｃａｔｉｏｎｃａｌ ｅｄｕｃａｔｉｏｎ ｒｅｑｕｉｒｅｓ ｃｌｅａｒｌｙ ｉｎ ｔｈｅ ｃｕｒｒｉｃｕｌｕｍ ｇｕｉｄｅ ｏｆ ｎｅｗ”Ｌｅａｒｎｉｎｇ ｆｉｅｌｄ” ｔｈａｔ ｔｈｅ ｃｕｒｒｉｃｕｌｕｍ ｏｆ”ｌｅａｒｎｉｎｇ ｆｉｅｌｄ”ｉｓ ｔｈｅ ｃｕｒｒｉｃｕｌｕｍ ｏｆ ｗｏｒｋｉｎｇ ｐｒｏｃｅｓｓ ｓｙｓｔｅｍａｔｉｚａｔｉｏｎ。ｗｈｉｌｅ ｔｈｅ ｗｏｒｋ ｐｒｏｃｅｓｓ ｇｕｉｄｅ ｉｓ ｔｈｅ ｂａｓｅ ｏｆ ｔｈｅ ｃｕｒｒｉｃｕｌｕｍ ｐｌａｎ ｏｆ”ｌｅａｒｎｉｎｇ ｆｉｅｌｄ”．Ｓｏ ｔｈｅ ａｃｔｉｏｎ—ｇｕｉｄｅｄ ｔｅａｃｈｉｎｇ ｐｒｏｃｅｓｓ ｄｅ— ｓｉｇｎ ｂａｓｅｄ ｏｎ ｔｈｅ ｗｏｒｋ ｐｒｏｃｅｓｓ ｍｕｓｔ ｌａｙ ｇｒｅａｔ ｅｍｐｈａｓｉｓ ｏｎ ｓｅｔｔｉｎｇ ｗｏｒｋ ｓｉｔｕａｔｉｏｎ ｉｎ ｖｏｃａｔｉｏｎａｌ ｅｄｕｃａｔｉｏｎ ａｎｄ ｖｏｃａｔｉｏｎａｌ ｔｒａｉｎｉｎｇ ｔｏ ｍａｋｅ ｃｌｅａｒ ｔｈａｔ ｔｈｅ ｏｂｊｅｃｔ ｏｆ ｖｏｃａｔｉｏｎａｌ ｅｄｕｃａｔｉｏｎ ｉｓ ｗｏｒｋ ｐｒｏｃｅｓｓ ｇｕｉｄｅ ａｎｄ ｔｈｅ ｐｕｒｐｏｓｅ ｉｓ ｔｏ ｍａｋｅ ｖｏｃａｔｉｏｎａｌ ｅｄｕｃａｔｉｏｎ ａｄａｐｔ ｔｏ ｔｈｅ ｎｅｅｄｓ ｏｆ ｔｅｃｈｎｏｌｏｇｙ ｐｒｏｃｅｓｓ ｉｎ ｉｎｄｕｓｔｒｉａｌ ｄｅｖｅｌｏｐｍｅｎｔ ａｎｄ ａｌｓｏ ｔｈｅ ｎｅｅｄｓ ｏｆ ｔｅｃｈｎｏｌｏｇｙ ｉｎｎｏｖａｃａｔｉｏｎ ａｎｄ ｍｅｃｈａｎｉｓｍ ｒｅｆｏｒｍ．Ｔｈｉｓ ｔｈｅｓｉｓ ｉｓ ｔｈｅ ｂｒｉｅｆ ｉｎｔｒｏｄｕｃｔｉｏｎ ａｎｄ ａｎａｌｙｓｉｓ ｏｆ ｔｈｅ ｔｅａｃｈｉｎｇ ｐｒｏｃｅｓｓ ｄｅｓｉｇｎ ｂａｓｅｄ ｏｎ ｗｏｒｋ ｐｒｏｃｅｓｓ ａｎｄ ｉｔ ｐｕｔｓ ｆｏｒｗａｒｄ ａ ｃｏｎｃｒｅｔｅ ｃｕｒｒｉｃｕｌｕｍ ｄｅｓｉｇｎ ｉｎ ｔｈｅ ｌｅａｒｎｉｎｇ ｆｉｅｌｄ． Ｋｅｙ ｗｏｒｄｓ：ｗｏｒｋ ｐｒｏｃｅｓｓ；ａｃｔｉｏｎ ｇｕｉｄｅｄ；ｌｅａｒｎｉｎｇ ｆｉｅｌｄ；ｌｅａｒｎｉｎｇ ｓｉｔｕａｔｉｏｎ；ｖｏｃａｔｉｏｎａｌ ｅｄｕｃａｔｉｏｎ （责任编辑李金梅） ５】
