访问控制是应用系统实现安全访问的关键技术,基于角色的访问控制(RBAC)模型因其突出的安全性和可操作性,得到了广泛的应用。但是,由于该理论中的权限概念非常抽象,RBAC 到目前为止还只是一个理论上的抽象模型,如何把该模型应用到应用系统中仍然是一个相当复杂的问题。本文首先分析了Web 应用系统在访问控制方面的需求,提出了一个基于NIST(RBAC)建议标准的扩展模型RBAC4WA(RBAC for Web Applications)。该模型扩展和定义了RBAC 模型中的客体和权限的概念,增加了节点、节点层次概念,除此之外RBAC4WA 包含了建议标准的其他所有构件,例如会话、用户角色指派、权限角色指派、角色层次、静态职责分离和动态职责分离等内容。然后,我们将RBAC4WA 应用到Web 应用集成领域,设计和实现了一个统一授权平台。该平台共包括5 个部分:平台数据库、管理工具、用户信息自管理模块、Web 服务接口和运行时访问控制模块。平台数据库基于RBAC4WA 模型设计,用于存储访问控制信息;C/S 结构的管理工具和B/S 结构的用户信息自管理模块则实现对数据信息的管理;基于Web 服务技术的Web 服务接口可以提供给各个Web 应用系统实现数据访问;运行时访问控制模块嵌入到各个Web 应用系统的页面中,使用户对页面的访问可以按照配置的访问控制权限进行。最后,本文介绍了该平台在某高校学生处Web 应用系统集成中的应用,将学生处的宿舍管理系统和学生工作管理网站集成到到该平台,并在此基础上开发了学生处门户网站原型系统。本课题对于Web 应用集成中的统一授权管理的设计具有一定的借鉴和参考意义。