随着Internet技术日新月异地发展,网上数据交换量日益增大,大多数信息已不再局限于传统的结构化形式,而是以诸如多格式的文档、电子邮件、网页、视频/声频对象、图像等非结构化形式存在。本文以一个非结构化信息处理平台的实际项目需求为背景,该平台针对非结构化信息的分析与管理提供一个开放的、可伸缩和可扩展的非结构化信息管理方案。该平台对访问控制有许多具体要求,包括:对所有分布的、异构的非结构化数据进行统一的访问控制;用户权限可在不同的协同阶段动态地改变并可动态授权;对用户的授权有更好的灵活性,如属于某个角色的用户可以临时改变权限;对客体进行细粒度的访问控制(如对知识管理器中的本体进行访问控制时,粒度不局限于本体级别,还要细化到本体中类、属性等更细粒度)。传统的基于角色的访问控制难以满足上述要求。针对上述实际问题,本文提出了一种改进的基于角色的访问控制模型-LR2BAC。该模型在通用访问控制框架(Generalized Framework for Access Control , GFAC )与ARBAC97模型的基础上,将访问控制的执行部分和访问控制的决策部分分离,采用规则推理实现对用户权限动态地、灵活地、细粒度地分配,采用LDAP技术实现对非结构化数据进行统一的访问控制。本文在LR2BAC模型基础上设计和实现了一个访问控制框架。该框架包括六个功能模块,分别是:身份认证模块、用户管理模块、角色管理模块、权限分配模块、访问控制模块和规则管理模块。框架在表示层采用了GWT技术,增强了用户体验。目前,基于LR2BAC模型的访问控制框架已成功应用于非结构化信息处理平台的实际项目,运行情况表明该框架是有效及可行的。