Web开放平台是Web2.0时代的发展产物,它提供了更多可能性,会涌现出更多的更丰富的应用,有更强的渗透能力。它不仅有效防止了互联网的碎片化,而且即将成为个人Web操作系统的有效载体。但是目前的开放平台存在研究与设计上的诸多不足,不仅影响了平台功能而且造成了安全问题的不断涌现,严重制约了平台的发展,尤其严重阻碍了国内开放平台实现真正开放的步伐。为了成功支持平台多项业务的有效开展,必须有一个安全可靠的体系架构进行支撑。Web开放平台本身是一个综合性系统,系统涉及多种技术包括加解密技术、数字签名技术、访问控制技术、内容过滤等,此外还涉及到用户管理、应用管理等信息管理技术。本课题重点对Web开放平台安全机制的进行了研究与设计。首先介绍了开放平台的背景和发展趋势,依照开放平台的安全体系结构进行了总体规划,并且根据了开放平台的主要安全问题,从应用安全性角度着重阐述了开放平台的安全需求。然后根据开放平台原理完成思路设计;通过对主要安全机制的研究分析,提出一个合理的保证用户、第三方应用和平台框架安全运行的开放平台框架,保证了系统网络间的相互连接关系的清晰合理;同时依据主要安全问题,从平台系统规划、开发和运行三个阶段,规划了基础的安全策略。本文研究了开放平台开放的突出特点,给出了与应用安全性相关的详细安全解决方案。其中根据安全通信和基于角色的访问控制思想,结合数字签名等多种安全机制,提出了应用认证、用户认证与特殊访问控制相结合的平台权限认证系统,实现用户多角色多权限的自由访问,满足了第三方应用的安全接入等需求;完成合理高效的应用管理模块研究和设计,保证应用的安全审核及平台融合;运用密码技术完成应用管理中跨域认证的安全有效实现;完成显示过滤模块的定义和设计,实现开放平台应用客户端代码的安全过滤,有效减少安全漏洞和攻击,保证了平台框架的安全可扩展需求。随着互联网的发展,开放平台的安全问题会随着开放需求的增多呈爆炸型增长。Web开放平台安全机制的研究和设计会为互联网安全、以及开发人员提供有力的帮助。最后,在中国雅虎公司开放平台产品——雅虎关系系统中完成了安全开放平台的完整编码实现,目前系统已经在线上正常运行。文中详细说明了雅虎关系开放平台中认证鉴定、显示过滤等部分功能的实现方案。