在软件工程的应用实践中,企业应用系统的开发占有相当大的比重。只要有用户参与的系统一般都要有访问控制,它要求应用程序按照安全策略控制用户只能访问自己被授权的资源。随着企业应用的发展,各类企业应用中的用户量大、组织层级关系复杂、业务资源繁多,对系统的安全性提出了更高的要求。为了解决这类应用开发过程中安全模块开发的复杂性,分析了基于角色的访问控制模型和基于资源的访问控制模型的特点,结合企业应用系统访问控制的需求,提出了基于角色和资源的双因子共同驱动的访问控制模型（2FAC-2R模型,Two-factor Co-driven Access Control Model Based on Roles and Resources）。依据标准软件开发流程,采用Spring、My Batis、Apache Shiro等框架技术,完成了包括用户、角色、权限、部门等安全元数据的管理功能以及页面资源和数据资源访问控制功能的设计和实现;其中,实现了基于Apache Shiro的注解授权和标签授权的页面资源访问控制功能和基于Spring AOP的面向切面的数据资源访问控制功能,最终实现了一个灵活、高效、细粒度、低耦合的基于2FAC-2R模型的可复用的访问控制系统。采用SSM、Apache Shiro、Thymeleaf等技术,提高了访问控制系统的开发和维护效率。通过基于2FAC-2R模型的理念,完美解决了企业应用访问控制功能的细粒度问题,也极大程度的解决了企业应用访问控制功能与业务代码的解耦问题。为开发和系统管理人员提供了极大的便利和灵活性,为企业节省了大量开发成本。