在互联网高速发展的今天,大量企业开始发展其信息化建设,企业级Web系统的应用日趋广泛,而J2EE作为企业Web系统中使用最频繁的技术之一,其安全问题自然受到高度关注。在Web系统的安全体系中,访问控制起着举足轻重的作用,故本文针对基于J2EE平台的Web系统的访问控制安全问题进行研究与实现。本文首先分析了企业Web系统面临的安全问题,指出对于内网中的Web系统,各类恶意攻击可以忽略,故系统的权限管理成为安全研究的重点问题。然后结合作者研究生期间的J2EE Web开发经验,分析了J2EE的各主要组件及其安全机制,并重点研究了访问控制模型,在大量研究国内外的访问控制模型的设计与实现方式的基础上,分析了几种模型间的联系与区别,确定了以基于角色的访问控制为主要研究方向进行本文的研究。接下来结合Spring框架,使用IOC技术为系统解耦,通过Spring Security内置的访问控制模块,扩展J2EE的访问控制功能,设计模型进行Web系统中用户的访问控制管理,使得Web系统具有针对多角色多用户的访问控制能力。本文对作者在北京邮电大学ANM研究中心参与开发的前台访客智能服务管理系统的进行了基本介绍,并分析了其应用访问控制模型的场景,对已有系统框架及数据库进行改进,在系统上设计实现了基于角色的访问控制功能,完成了对系统的扩展升级,为J2EE Web系统访问控制功能的二次开发提供了很好的经验借鉴。