國家圖書館統(tǒng)一用戶管理系統(tǒng)設計與實現(xiàn)

王嬋嬋?高宏

摘 要 論文針對國內(nèi)數(shù)字圖書館存在的數(shù)字資源利用率低、安全程度不高、網(wǎng)絡用戶缺乏統(tǒng)一管理等問題，指出了建設國家圖書館統(tǒng)一用戶管理系統(tǒng)的必要性，分析了系統(tǒng)的建設思路和功能需求，并著重介紹了系統(tǒng)的三個核心功能模塊的實現(xiàn)方法，最后對系統(tǒng)的應用情況和發(fā)展方向進行了展望。

關鍵詞 SAML 統(tǒng)一用戶管理系統(tǒng) 數(shù)字圖書館

分類號 G250.72

DOI 10.16810/j.cnki.1672-514X.2018.04.015

Abstract Since the digital resources utilization rate is low， the security level is not high， and the network users are lacking of unified management in domestic digital libraries， this paper points out that it is necessary to build unified user management system of national digital library of china. It analyzes the construction ideas and functional needs of this system， and particularly introduces how to implement the three core functions， and then discusses its application and the development in the future.

Keywords SAML. Unified user management system. Digital library.

0 引言

近年來，我國數(shù)字圖書館領域的研究與實踐一直在向前穩(wěn)步推進發(fā)展[1]，在國家數(shù)字圖書館工程[2]、推廣工程[3]等重要國家級項目的有力推動，各地數(shù)字圖書館陸續(xù)啟動建設，但還處在由簡單應用系統(tǒng)堆積向數(shù)字化、智能化信息系統(tǒng)集群轉(zhuǎn)型階段。系統(tǒng)建設缺乏統(tǒng)一規(guī)劃，導致管理分散、信息無法共享、系統(tǒng)功能重疊、安全機制缺失等弊端逐漸顯現(xiàn)，這些問題的出現(xiàn)不僅使讀者的使用體驗滿意度大打折扣，同時也增加了系統(tǒng)管理員的工作量和工作復雜程度。上述系統(tǒng)管理模式，已經(jīng)不能滿足當下數(shù)字圖書館的實際需求，需要從全局的高度對數(shù)字圖書館應用系統(tǒng)進行統(tǒng)一規(guī)劃和建設。

打破應用系統(tǒng)間管理壁壘的基礎是實現(xiàn)用戶數(shù)據(jù)的集中管理和統(tǒng)一認證，將現(xiàn)有復雜、無序、混亂的認證機制改為高效、科學、安全的網(wǎng)絡認證機制，將對用戶身份的認證功能與分散的應用系統(tǒng)進行剝離，從而達到集中管理、統(tǒng)一認證的目的。單點登錄（Single Sign-On） 技術作為一種有效的身份認證和授權(quán)機制[4-5]便可以實現(xiàn)上述需求，解決圖書館面臨的困境。所謂單點登錄是指不同應用系統(tǒng)可通過同一個認證中心實現(xiàn)對用戶身份的認證和授權(quán)，而不再需要分別儲存用戶信息和實現(xiàn)認證授權(quán)功能。從用戶角度看則只需擁有一套用戶名密碼，就可以登錄體系內(nèi)任何一個系統(tǒng)，無需二次登陸。

1 國內(nèi)外單點登錄技術應用情況

國外在單點登錄方面的研究起步較早，已經(jīng)發(fā)展較為成熟。如微軟公司的Microsoft.Net Passport[6]，它向用戶提供全互聯(lián)網(wǎng)范圍內(nèi)的身份認證服務。已完成單點登錄集成的網(wǎng)站可利用Microsoft提供的信息庫，由Passport服務進行用戶身份的核驗，再將驗證結(jié)果通過URL重定向返回至用戶。在被Passport認證該請求合法后，用戶就可訪問其他使用Passport作為單點登錄服務且共享同個信息庫的Web網(wǎng)站。但不足之處是Passport的解決方案具有一定局限性，只支持windows版的操作系統(tǒng)，且只適用于.Net環(huán)境下的服務器。Kerberos協(xié)議是由麻省理工大學研究建立的一種身份認證機制[7]，其機制核心是通過集中式安全信息存儲和分布式票據(jù)存儲來實現(xiàn)對來自不同應用的用戶進行合法性認證，它既不依賴用戶，也不依賴應用服務。安全性斷言標記語言（SAML）[8]是目前國際上單點登錄的相關Web服務安全規(guī)范，它在面向Web的應用系統(tǒng)間建立了一種統(tǒng)一的、標準的、安全的信息交換渠道，其最重要的優(yōu)點就是可以讓用戶的認證信息在互聯(lián)網(wǎng)中安全移動。它的建立簡化了面向Web的應用系統(tǒng)間的單點登錄流程，降低了系統(tǒng)架構(gòu)設計時的復雜程度。

與國外較為成熟的研究和應用相比，國內(nèi)在單點登錄和用戶統(tǒng)一身份認證等領域的研究和應用仍較為滯后，在公共圖書館領域的應用也并不普遍。多數(shù)公共圖書館采用限制IP或安裝C/S架構(gòu)的客戶端實現(xiàn)身份認證，僅有少數(shù)圖書館建立了單點登錄系統(tǒng)，且沒能形成一個整體、統(tǒng)一、規(guī)范、完善的解決方案。如廈門市圖書館采用由廣州圖創(chuàng)公司設計開發(fā)的Interlib SSO統(tǒng)一身份認證系統(tǒng)[9]，以廈門市公共圖書館服務聯(lián)合體為基礎平臺，將全市市民信息以及自建和外購數(shù)字資源統(tǒng)一納入平臺中，實現(xiàn)廈門市范圍內(nèi)的用戶統(tǒng)一認證和資源單點登錄，用戶登錄后可在線瀏覽、下載全文。

國家圖書館早在2008年便開始將單點登錄技術應用于數(shù)字圖書館用戶的管理與資源服務。同年上線運行的第一代讀者管理系統(tǒng)，采用相對簡單的認證模式，初步實現(xiàn)了資源的遠程訪問服務和用戶管理；2012年開始對系統(tǒng)整體功能進行升級與改造，采用基于SAML的單點登錄模型，設計開發(fā)了國家圖書館統(tǒng)一用戶管理系統(tǒng)，并正式投入運行。同時在全國范圍內(nèi)開展系統(tǒng)試點，部署推廣工作。

2 國家圖書館統(tǒng)一用戶管理系統(tǒng)設計方案

2.1 設計思路

國家圖書館統(tǒng)一用戶管理系統(tǒng)作為國家數(shù)字圖書館的配套系統(tǒng)之一，具備互聯(lián)網(wǎng)注冊、實名信息在線驗證、用戶身份認證、權(quán)限控制等多種功能[10]。同時，該系統(tǒng)為推廣工程體系內(nèi)的公共圖書館讀者提供跨域認證，以實現(xiàn)館際間的互聯(lián)互通。本系統(tǒng)采用B/S結(jié)構(gòu)，以Java語言作為主要開發(fā)語言，以Oracle數(shù)據(jù)庫為底層數(shù)據(jù)庫，在系統(tǒng)建設時首要考慮系統(tǒng)及數(shù)據(jù)的安全性與穩(wěn)定性，并采用標準化的開發(fā)語言和調(diào)用接口；通過模塊化開發(fā)提高系統(tǒng)的靈活性和可伸縮性。

2.2 系統(tǒng)功能需求

建設國家圖書館統(tǒng)一用戶管理系統(tǒng)旨在實現(xiàn)對國家圖書館讀者信息的統(tǒng)一管理、統(tǒng)一認證、統(tǒng)一控制，形成一套標準化、可復制的圖書館用戶統(tǒng)一管理模式。其主要功能應包括：

（1） 提供標準化用戶注冊服務。該系統(tǒng)能夠匯聚各類型用戶信息，實現(xiàn)信息變更、密碼修改、賬號注銷等的全流程化管理。

（2） 提供基于標準化協(xié)議的單點登錄服務。用戶只需進行一次身份認證，即可在有效時間內(nèi)自由訪問不同的外部應用，而無需反復認證。當用戶退出或停留在某個外部應用而長時間未操作時，其他外部應用也隨之自動退出或給出超時提示。同時，提供相應的接口調(diào)用程序，便于外部應用集成。

（3） 對用戶權(quán)限進行集中管理與控制。系統(tǒng)依據(jù)用戶屬性不同賦予其不同角色，同時，系統(tǒng)將外部應用的訪問權(quán)限也賦予不同的角色。當用戶發(fā)起訪問請求時，系統(tǒng)會根據(jù)所保存的“用戶—角色”“角色—應用”的對應關系，給出判斷結(jié)果，從而起到控制用戶訪問的作用。

2.3 系統(tǒng)框架及功能描述

綜合以上系統(tǒng)的建設思路和功能需求，確立國家圖書館統(tǒng)一用戶管理系統(tǒng)的總體設計架構(gòu)（如圖1）。

自助服務模塊主要提供面向用戶的注冊、信息查看與修改、密碼修改等自助服務。管理中心模塊提供面向管理人員的后臺管理和數(shù)據(jù)同步、審計、統(tǒng)計、監(jiān)控、數(shù)據(jù)備份、用戶狀態(tài)維護等功能。認證單點服務模塊提供完善的統(tǒng)一認證與單點登錄機制，支持用戶在訪問多個接入的應用系統(tǒng)時，只需執(zhí)行一次界面登錄動作。查詢服務模塊提供包括查詢服務、批量用戶導入工具、數(shù)據(jù)采集工具、數(shù)據(jù)同步服務。

3 系統(tǒng)核心功能模塊實現(xiàn)

用戶信息的匯集與管理、統(tǒng)一身份認證與單點登錄、用戶訪問權(quán)限的控制是本系統(tǒng)最為重要和核心的三個功能。

3.1 用戶信息的匯集與管理

國家圖書館統(tǒng)一用戶管理系統(tǒng)的用戶信息來源分為兩類：一是來自于外部應用的推送用戶；二是通過系統(tǒng)注冊功能的原生用戶。

外部推送用戶指那些通過國家圖書館業(yè)務集成系統(tǒng)（即Aleph系統(tǒng)）辦理讀者卡的用戶。當Aleph系統(tǒng)中新增用戶信息時，會自動將該用戶的基本信息，包括讀者卡號、身份證號、聯(lián)系方式、姓名等信息推送至本系統(tǒng)。而當讀者卡用戶的信息發(fā)生變化時，無論讀者是在Aleph系統(tǒng)或者本系統(tǒng)修改，均可以進行雙向?qū)崟r同步，進而保證用戶信息的唯一性、準確性。原生用戶主要是利用本系統(tǒng)提供的統(tǒng)一的用戶注冊服務進行注冊而生成的用戶。本系統(tǒng)包括接口調(diào)用和頁面調(diào)用兩種注冊功能調(diào)用模式，外部應用可根據(jù)實際需要自由選擇。利用此功能，將用戶注冊的功能從外部應用獨立出來，外部應用只需與本系統(tǒng)進行標準化集成，即可實現(xiàn)用戶注冊，進而一定程度上減少了開發(fā)和用戶管理成本。而無論用戶通過哪個外部應用注冊，實際上都是在統(tǒng)一用戶管理系統(tǒng)中進行注冊，因而僅需注冊一次即可，無需在訪問每個新的外部應用時再次注冊。

3.2 單點登錄與統(tǒng)一身份認證

該模塊承擔著在用戶、外部應用系統(tǒng)之間建立信任關系、提供安全可靠的身份認證的重要作用。其主要實現(xiàn)的目標是：（1） 提供用戶登錄時的身份驗證，并返回驗證信息和驗證結(jié)果；（2） 提供用戶發(fā)起應用訪問請求時的權(quán)限驗證，并返回相應的驗證結(jié)果；（3） 提供用戶登出時的登錄權(quán)限注銷。

3.2.1 模塊設計

該模塊由單點登錄功能和統(tǒng)一認證功能兩部分組成（如圖2所示）。

單點登錄功能由斷言管理、用戶狀態(tài)管理和身份票據(jù)管理三部分組成。斷言管理負責對底層SAML功能的封裝，向單點登錄業(yè)務邏輯層提供SAML斷言請求、斷言的生成、發(fā)送、解析、附加簽名、驗證簽名等功能。用戶狀態(tài)管理負責維護用戶的登錄狀態(tài)，管理用戶在登錄、訪問、登出的生命周期過程中的賬戶信息、賬戶管理限制、權(quán)限信息、預生成斷言、臨時管理及有效期。票據(jù)管理負責對用戶信息進行記錄與保存。

統(tǒng)一認證功能則由實名身份查詢、用戶身份驗證、身份認證三部分組成。其中，實名身份查詢是通過與公安部公民身份認證中心的查詢系統(tǒng)進行接口開發(fā)，雙方通過Web Service交互，完成對網(wǎng)絡注冊用戶身份的實名認證工作。用戶身份驗證是提供外部應用依據(jù)讀者提交的某個用戶屬性查詢驗證其正確性的服務；身份認證接口是外部應用在認證用戶身份合法性、是否允許其訪問時調(diào)用的接口服務。

該模塊通過調(diào)用底層的SAML應用、安全服務、客戶端功能等組件獲得基礎功能，其本身具有用戶會話管理、斷言管理、身份權(quán)限查詢、單點登錄模式配置等內(nèi)部功能子模塊；認證服務器通過身份查詢組件獲取用戶的身份信息及權(quán)限對應關系，利用Web Service引擎與中心節(jié)點服務器和異地單點登錄服務器進行交互；模塊還提供應用集成接口，供外部應用進行集成，從而使外部應用可以在需要調(diào)用本系統(tǒng)提供的認證服務。

3.2.2 業(yè)務流程

該模塊具體業(yè)務流程實現(xiàn)如圖3所示。

（1） 用戶通過瀏覽器訪問某個外部應用系統(tǒng)。

（2） 外部應用系統(tǒng)將獲取到的用戶信息（即用戶票據(jù)） 封裝到一個斷言中，并將此斷言發(fā)送至認證與單點登錄服務器。

（3） 認證與單點登錄服務器獲取到該斷言請求后，解析斷言請求，獲取用戶票據(jù)。同時，根據(jù)解析獲取到的用戶信息進行驗證，將驗證結(jié)果回寫至斷言中返回外部應用系統(tǒng)。

（4） 外部應用系統(tǒng)根據(jù)返回的結(jié)果判斷用戶請求的合法性。如果合法，那么外部應用系統(tǒng)會自動在用戶的瀏覽器端為其打開其所要訪問資源；反之，則會根據(jù)失敗原因，在瀏覽器端提示用戶從新開啟訪問流程。

3.3 用戶訪問權(quán)限的控制

用戶權(quán)限控制是對本系統(tǒng)中所有用戶提供外部應用訪問權(quán)限的初級控制，即用戶是否有訪問該應用的權(quán)限，但對于外部應用內(nèi)部的細顆粒權(quán)限則不屬于本系統(tǒng)的權(quán)限控制范圍內(nèi)。根據(jù)國家圖書館用戶多、資源數(shù)量多、資源類型多、權(quán)限分配方式多樣的實際特點，本系統(tǒng)采用RBAC訪問控制模型[11]，即將角色、用戶、資源三者建立對應關系。具體授權(quán)方式如圖4所示。其中，用戶1可以訪問數(shù)據(jù)庫1和數(shù)據(jù)庫n；用戶2可以訪問數(shù)據(jù)庫1、數(shù)據(jù)庫2以及數(shù)據(jù)庫n。

在本系統(tǒng)中，每個用戶都被賦予一個相應的角色，管理員通過后臺配置將不同的外部應用訪問權(quán)限賦予對應的角色，繼而使該角色下的用戶也獲得訪問該應用的權(quán)限。此外，不僅可以為角色賦予權(quán)限，系統(tǒng)還可以直接為某個確定用戶分配權(quán)限，提高管理的實用性。當外部應用向本系統(tǒng)提出認證請求時，系統(tǒng)會根據(jù)數(shù)據(jù)庫中保存的角色與資源數(shù)據(jù)庫的對應關系，實時給出判斷結(jié)果，從而起到控制用戶訪問權(quán)限的效果。

4 結(jié)語

目前，國家圖書館統(tǒng)一用戶管理系統(tǒng)已正式投入運行，并取得了良好的效果，系統(tǒng)用戶數(shù)突破400萬，月增長量保持在萬級水平。同時，借助推廣工程的有利平臺，逐步加大系統(tǒng)的推廣部署范圍，截至“十二五”末，統(tǒng)一用戶管理系統(tǒng)已在全國57家省、市圖書館完成軟件部署應用[12]，為一些技術、資金相對匱乏的地區(qū)，建立了較為實用、安全性較高的用戶管理系統(tǒng)。

國家圖書館統(tǒng)一用戶管理系統(tǒng)的建設一方面提升國家圖書館用戶的數(shù)量和管理效率，另一方面也為推廣工程其他相關配套系統(tǒng)的實施與應用奠定了良好的用戶基礎，打通了館際間的用戶壁壘。下一步，將結(jié)合“云”技術、大數(shù)據(jù)分析、移動互聯(lián)網(wǎng)等前沿技術手段，進一步完善系統(tǒng)功能，全面支持移動多媒體需求，加強推廣宣傳力度，逐步形成一個中心、多個分點的覆蓋全國的用戶管理體系。

參考文獻：

趙蓉英，魏緒秋.近十年我國數(shù)字圖書館發(fā)展態(tài)勢研究[J].圖書館學研究，2016（14）：22-28，73.

魏大威，孫一鋼.中國國家數(shù)字圖書館工程總體設計[J].數(shù)字圖書館論壇，2008 （8）：23-31.

童忠勇，劉術華，李東杰，等.云計算環(huán)境下數(shù)字圖書館推廣工程服務模式研究[J].新世紀圖書館，2016（3）：67-60.

The Open Group Introduction to Single Sign-On[EB/OL]. [2016-11-13].http：//www.opengroup.org/security/sso/sso_intro.htm.

曹世華，趙方.校園網(wǎng)絡單點登錄系統(tǒng)應用研究[J].計算機系統(tǒng)應用，2008（4）：69-72.

OPPLIGER R.Microsoft.NET passport：A Security Analysis[J]Computer，2003，36（7）：23-30.

戚文靜，姚青.基于Kerberos的企業(yè)網(wǎng)安全模型[J].計算機工程與應用，2002，21（13）：169-172.

Open SAML[EB/OL].[2016-11-13].http：//www.opensaml.org.

黃志平.InterlibSSO統(tǒng)一身份認證平臺應用[J].福建圖書館理論與實踐，2011（3）：62-64.

王樂春，鐘晶晶.數(shù)字圖書館推廣工程軟件平臺體系設計與實踐研究[J].圖書館理論與實踐，2015（1）：1-6.

國家圖書館.國家數(shù)字圖書館統(tǒng)一用戶管理系統(tǒng)項目需求書[R].2011.

魏大威，邵燕.“十二五”時期國家數(shù)字圖書館的建設與發(fā)展[J].國家圖書館學刊，2016（5）：3-10.