伴随信息化发展，软件已经成为信息化载体的灵魂，软件产品承载着公司信息化建设的同时，存储公司内部的信息化数据。统一身份管理平台作为用户、认证的管理中心，为企业提供5A级管控，包含统一用户、统一认证、统一权限、统一审计及应用管控。作为核心用户数据的管理平台，平台安全防护尤为重要，为了避免信息泄露和恶意篡改，对公司造成不可挽回的损失，软件平台的安全防护措施，则变成了平台落地实现的重中之重。

IDM作为企业的安全守卫，其安全配备与监管情况，是每个客户都比较关心的内容之一。因此对于现有产品中有哪些安全防护功能和机制，就成为考查产品成熟度的一个重要指标。

总体说明

对于企业来说，安全是一个永远聊不完的话题，这不仅仅是对自己负责，也是对国家负责，信息泄露造成的“灾难”是不可估量的。因此，对于安全的重视，一直都是企业采购软件产品的一个标准。一个产品只有安全机制到位，安全功能足够强大，才能在获取到入场券的同时，脱颖而出。

本文主要针对现有IDM产品中预置的安全机制进行介绍说明，主要内容包括平台底层安全机制——数据传输交互、安全策略配置、三权分立、预警提醒、日志审计、统计分析等几个方面展开说明，让读者对IDM整体安全功能有所了解以及对IDM进行正确的认识和解读。

底层安全

IDM统一身份管理平台底层预置安全机制，涵盖全平台安全管控支持，包含对于XSS攻击机制的拦截；防止SQL注入攻击，避免在页面输入时注入SQL语句造成信息的篡改或泄露；以及在存储方面对于应用密码、数据库密码、人员认证密码进行密文存储，进一步加强平台安全等级。

1.防sql注入

SQL注入是通过把模糊查询的$条件查询符号改成#号站位符方式把条件直接变成入参方式拼写成对应的模糊查询sql。

IDM产品中封装了入参类DataParam，所以在执行sql入参时都会经过此步骤，在DataParam中封装的过滤方法如下：

如果入参的类型中含有_like就会把入参格式拼写成"%" + value + "%"样式这样生成的sql就会是模糊查询格式。

通过上述的代码只要在sqlmap里模糊查询条件中书写对应的格式就可以了，书写的格式如下：

1.property中要有“字段_like” 。

2.sql条件like后面要跟#字段_like#格式，如图所示：

2.xss攻击拦截

XSS攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页。当动态页面中插入的内容含有这些特殊字符（如<）时，用户浏览器会将其误认为是插入了HTML标签，当这些HTML标签引入了一段JavaScript脚本时，这些脚本程序就将会在用户浏览器中执行。所以，当这些特殊字符不能被动态页面检查或检查出现失误时，就将会产生XSS漏洞。

解决xss攻击是通过使用Filter拦截来解决，创建一个Filter类在web.xml配置拦截器，只要页面交互就走此XssRequestFilter类。

在web.xml配置如下：

1.配置Filter如下：

(1)filter-name里面添加拦截的Filter文件名。

(2)filter-class里面添加文件地址。

2.配置mapping如下：

(1)filter-name里面添加拦截的Filter文件名。

(2)url-pattern拦截的范围。

(3) 是 下的子标签，指定 Filter 对应的请求方式，其可选值如下：

①　REQUEST 客户端在地址栏直接请求时，则通过该过滤器。（默认值）

②　INCLUDE 通过 RequestDispatcher 的 include() 方法请求时。

③　FORWARD 通过 RequestDispatcher 的 forward() 方法请求时。

④　ERROR 当声明产生异常时。

后台拦截类如下：首先通过getParameterMap获取request请求的参数，在把参数放到过滤方法中过滤掉特殊符号。

如果在浏览器上URL攻击就会被下面代码拦截：使用getRequestURI获取URL地址信息，通过过滤方法解决攻击代码。

过滤方法：通过Pattern 类进行过滤替换不符合规则的信息。

3.加密存储

统一身份管理平台对于平台内部数据库连接密码、用户登录密码及应用认证密码均进行密码密文存储模式，保证即便是数据库被他人查看也不能获取关键信息相关的密码，进一步增强平台级安全保障。

• 应用认证密码

应用管理是用于管理人员对应用系统进行操作时实现对与IDM连接的系统的相关信息进行配置，包含应用编码、密码、认证返回参数、认证地址、系统访问地址等，应用进行OAuth认证所涉及的鉴权应用密码为密文存储，效果如下：

• 数据库连接密码

统一身份管理平台内部包含三大工程：认证工程CAS、应用管理工程IDM、流程审批工程BPM，其内部涉及数据库操作连接密码均为密文存储，效果如下：

★ 认证工程CAS：

★ 应用管理IDM：

★ 流程审批BPM：

• 用户密码密文存储

平台针对用户信息管理，对于账户登录密码一律使用密文存储，在数据库存储层面进一步增强安全保护措施，密码存储信息如下：

传输交互

统一身份管理平台安全管理除预置存储安全外对于各业务系统对接过程中信息保持密文传输，且面向用户认证登录过程中可设置指定用户强制二次登录，以增加安全校验系数，对于暴力破解登录情况具备安全认证及管理员监控提醒机制，保证信息数据安全。

1.密文传输

统一身份管理平台需要与管理的各业务系统进行交互及信息的共享，在信息数据传递过程中密码采用密文传输方式，样例示意如下：

2.暴力破解

防暴力破解为处理防止用户认证被暴力刷取登录情况，以脚本的形式进行用户认证操作访问模拟，获取用户登录信息。统一身份管理平台预置防暴力破解，当用户在短时间内以非人员速度进行认证登录操作时，平台将限定用户认证次数，并进行账户锁定，同时可以通知管理人员进行预警。

平台管理配置防暴力登录策略限定情况，对连续出错的账户进行锁定；主要防止恶意入侵；防暴力破解、账户锁定，如图所示：

用户连续多次登录错误是认证登录提示错误信息，如图所示：

3.二次认证

统一身份管理平台其中一个功能是统一认证，而有些特殊账户对于安全校验需要进一步加强管理，平台支持二次认证，如：管理员、分级管理员、公司领导账号等。

注意：用户二次认证目前为短信认证，需要开启二次认证的人员需要绑定手机号。

管理端针对用户行配置是否发送短信，平台通过用户是否发送短信来判断登录账户时候是否进行二次认证，当人员登录时候判断该用户是否配置二次认证，如果是就在用户点击登录后切换至输入短信验证登录界面，进行二次认证后才能进入到系统中。

管理端指定用户配置二次认证如图：

二次认证登录页如下图所示：

安全策略

统一身份管理平台除安全校验机制外，同时匹配一系列安全监控提醒，当出现疑似安全问题，平台可根据策略分别给管理员、分级管理发送信息，实现问题提前预知，摆脱问题处理事后追溯的被动状态。

1.操作管理

统一身份管理平台中对于操作同样需要监控提醒，平台预置监控内容包含：频繁修改密码、用户权限变动、特殊账户信息变动。

1.频繁修改密码，校验策略：

(1)在修改密码功能处通过缓存存储修改密码次数，当一段时间内频繁修改密码超过策略配置功能配置的阀值要提醒对应的管理员；

(2)根据任务插入到分发报警日志表中；

(3)定时发现失败超过阀值后要进行报警提醒，报警发送信息后，插入到提醒发送日志表中。

2.权限变动调整记录：

(1)在所有配置权限的地方，判断如果有权限变动就要调用监控提醒实现类；

(2)根据任务插入到分发报警日志表中；

(3)定时发现失败超过阀值后要进行报警提醒，报警发送信息后，插入到提醒发送日志表中。

3.修改特殊账户，比如领导的信息等：

(1)在修改人员基础信息功能中判断是否需要提醒特殊账户，如果需要就调用监控策略实现类；

(2)根据任务插入到分发报警日志表里；

(3)定时发现失败超过阀值后要进行报警提醒，报警发送信息后，插入到提醒发送日志表中。

2.异地登录

为了防止恶意攻击访问系统，要做到异地登录监控，如果不是本人登录或另一个地点进行攻击访问，通过记录用户常见 IP地址，针对登录IP进行排查是否异地登录，如果异地登录则进行报警提醒。

1.登录的时候，异步处理根据IP获取登录城市，如果与常见使用城市不一致，则异步发短信、邮件、给出信息；

2.在用户登录时候调用预警策略把IP和用户传过去，在认证预警实现中根据传过来的IP地址判断是否是内网，如果是就代表安全，如果不是就调用ESB查询IP服务获取城市。

3.根据认证日志查询是否是在通常访问的城市IP，如果不是就进行报警提醒，并把错误或安全信息插入到日志表中，通过策略任务上传报警信息插入到对应报警日志表里，报警提醒后插入发送日志表里或者处理日志表里，如图所示：

3.异时登录

平台为防止恶意攻击对用户登录进行全面监控，除记录用户异地登录外，异时登录也是安全防护措施中的一个环节，平台记录用户常见登录时间，利用算法分析常见的登录时间段，当用户出现异常时间登录时，记录异常登录日志，同时可按照平台配置的提醒策略对用户/管理员提醒，增加安全体系的健硕性。

策略配置效果如下：

记录日志效果如下：

4.数据集成

统一身份管理平台一大核心功能为统一用户管理，在统一用户管理过程中主要包含两大流程，分别为数据同步、数据分发。在数据同步、数据分发过程中如果出现异常情况需要进行平台监管，实现数据同步的全生命周期的监管。

• 数据同步异常

1.在数据源头（HR系统）进行数据同步时，同步临时表调用监控机制，校验基础信息字段一些信息，如：编码、父节等必要的字段，根据批次同步真实表的时候调用监控机制，判断数据是否满足对应校验信息，如：电话号码、邮箱，还有业务系统需要的扩展字段；

2.在HR同步临时表时，通过策略配置功能配置对应策略，校验传过来的数据，如有失败信息的就插入到对应的同步日志中，失败次数超过策略配置功能配置的阀值时候，则进行短信提醒，根据分级授权体系发送给对应的分级管理员和管理员；

3.在策略管理中配置对应阀值和需要校验的字段，在监控预警的实现类中获取到这些校验信息，在接口同步的时候传入对应数据信息和提醒类别，来进行校验，根据任务插入到同步报警日志表里，定时发现失败超过阀值后要进行报警提醒，报警发送信息后，插入到提醒发送日志表中。

• 数据分发异常

1.在由平台分发数据至业务系统时，平台可配置分发校验策略，在分发过程中判断是否满足校验策略，同时将分发异常信息记录到分发日志表中，根据分发日志中成功/失败判断当前任务的最终状态；

2.分发校验策略配置后要在三个地方使用；一个是功能界面提交时候；二是后台自动分发接口流转的时候；ESB调用分发的时候；定时发现失败超过阀值后要进行报警提醒，报警发送信息后，插入到提醒发送日志表中。

5.密码校验

平台预置密码策略，包含针对不同场景使用的通用密码配置策略以及扩展密码策略，实现对密码的管理，包括密码的创建规则、修改规则、校验规则以及相应的预警、报警策略的配置，保证密码的安全监控，以及弱密码的管理和剔除。

• 密码策略

配置相应的策略信息，并且可以针对使用场景，绑定不同的人员进行策略的选择，如图所示：

注意：密码通用配置策略不能进行组织和人员的绑定，并且密码策略中只能存在一个通用密码策略配置。

• 策略配置

可针对密码进行相应的规则设定，预置了基础设置规则，如果不能满足，可进行扩展规则配置，同时配置相应规则之后，会对密码的有效期以及密码行为进行监控，保证密码使用安全，如图所示：

• 弱密码配置

针对一些常用的弱密码进行管理，避免弱密码的使用，通过对IDM弱密码库的管理，实现对弱密码的监控，将弱密码进行剔除，如图所示：

三权分立

统一身份管理平台内部将权限管理实现授权（权限管控）、审计（监控日志）、操作（操作访问）的三权分立管理，实现权限与业务全面隔离，权限管理人员不能进行业务操作，业务操作人员无权管理权限。同时匹配管理员、分级管理员角色、分级管理员用户的监管体系。保证平台内部任何操作（包含业务及权限）均可被监管及审计。

1.授权管理

统一身份管理平台安全机制在平台内部权限进行隔离管理，实现授权、审计、操作的三权分立管理，同时管控过程中建立分级管控模式，面向大型集团企业管控过程中实现不同分级管理人员维护不同子公司信息。

平台预置三权分立监控，监控不同的管理内容，包含授权监控：监控权限变动，如果有变动就要提醒相应的人员；审计监控：审计监控是同步分发时候校验，失败时候日志信息监控，如果超过一定的阀值需要提醒相应的人员；操作监控：操作监控包含业务操作及权限操作，操作时候进行监控提醒，比如修改密码次数过多等。

1.根据三权分离，不同的提醒信息发送给不同的人员；

2.在策略配置中配置不同发送人员；

3.根据三权分离，不同的提醒信息发送给不同的人员；

4.在策略配置中配置不同发送人员。

2.审计管控

当出现疑似安全问题时，给管理员、分级管理发送信息，设置对应报警日志，按机构隔离、按分级管理员隔离；统计信息包含：报警个数统计、报警处理情况、不同时间分发数据报警情况、分发报警处理情况、不同时间认证报警情况、认证报警处理情况、不同时间操作报警情况、操作报警处理情况等。

3.操作管理

统一身份管理平台预置平台操作监控提醒，监控内容包含分发权限、功能权限、数据权限及应用系统菜单权限管控。

1.系统分发权限：用于管控隔离不同业务系统数据权限隔离，当前应用系统仅能获取在配置权限范围内的数据，实现在系统数据源头即实现权限隔离的管控。

2.功能权限：体现为统一身份管理平台内部管理端维护菜单访问权限，同时分级管理员可以在既有的权限范围内进行进一步的权限授予及划分。

3.数据权限：数据权限体现为三个层面：首先整体平台按照群组划分，实现管理级别的完全隔离；其次分级管理员依据权限管控范围的授予可维护自己权限范围内的数据信息，如：组织、岗位、人员等；最后同时对于与平台进行集成的应用系统也可按照不同人员进行数据隔离。

4.管理监控

统一身份管理平台中预置不同分级管理员，每个分级管理员可根据配置权限管理不同的组织下的信息，同时每个分级管理也可以再次给它的下级部门的人员分配分级管理员的权限。根据分级管理员管理数据信息，如果需要提醒的错误信息是在此分级管理员管理范围内就要提醒该分级管理员。

统一身份管理平台为对应的组织机构设置分级管理角色维护权限，效果如下：

统一身份管理平台为组织机构下的分级管理角色关联管理用户信息，实现分级维护管理，如图所示：

预警提醒

统一身份管理平台除预置安全机制管控外，同时预置平台提供预警功能，通过监控看板对异常阈值的情况结合策略配置要求，给予管理人员相应的预警提醒，避免问题发生后由用户方反馈才可发现问题，使管理人员一直处于被动状态，结合平台预警功能实现事前有监管，事中有提醒，事后可追溯。

1.认证监控

平台提供各报警日志的查询功能，可从认证相关报警统计图标双击跳转过来，跳转后页面显示认证相关报警日志查询列表，同时根据策略信息类型判断是否弹出查看提醒日志还是查看报警日志。

(1)查询列表字段有：任务批次、策略编码、策略名称、用户编码、用户名称、触发人的IP地址、触发时间。

(2)查询条件有：任务批次、策略编码 ，策略名称，策略IP地址。

列表页面显示效果如下：

查看日志界面：

2.同步监控

平台提供同步数据相关报警日志查询功能。可从同步数据相关报警统计图表双击跳转至同步预警查询功能。该功能主要对同步预想相关信息的查询。

(1)查询列表字段有：任务批次、策略编码、策略名称、用户编码、用户名称、触发人的IP地址、触发时间。

(2)查询条件有：任务批次、策略编码 、策略名称、策略IP地址。

列表页面显示效果如下：

查看日志界面：

3.分发监控

平台提供分发数据相关报警日志查询功能，可以通过分发数据相关报警统计图标双击跳转过来，分发预警查询功能主要对分发预警相关信息的查询。

(1)查询列表字段有：任务批次、策略编码、策略名称、用户编码、用户名称、触发人的IP地址、触发时间。

(2)查询条件有：任务批次、策略编码 、策略名称、策略IP地址。

列表页面显示效果如下：

查看日志界面：

4.操作监控

平台提供操作管理相关报警日志查询功能，该功能可从在操作管理相关报警统计图表跳转。操作管理预警查询功能是主要对操作管理相关信息的查询。

(1)查询列表字段有：任务批次、发送方式、发送状态、提醒人员、是否处理、提醒内容。

(2)查询条件有：任务批次、发送方式 、是否处理。

列表页面显示效果如下：

查看日志界面，如图所示：

日志审计

日志审计主要是审计管理员对统一管理及认证系统的安全审计管理行为，提供用户访问等情况的统一系统在线监控，对系统的运行信息进行监控管理，并支持系统运行状况、操作情况进行统计、分析，并以统计图的方式展现。平台内部审计内容涵盖认证、同步、分发、操作、修改密码五大业务场景。

1.认证日志

对于访问平台通过平台进行认证的账户信息，包含认证应用、认证用户编码、认证IP、认证时间、认证状态及认证的地址信息，显示效果如下：

2.同步日志

同步日志主要是用于明确数据源头将数据同步至统一身份管理平台中的数据的成功及失败情况.，对应基础信息同步的时间、状态及对应类型，如图所示：

3.分发日志

分发日志记录查看主要是用于明确任务发送到哪些应用系统成功还是失败。分发日志页面主要包含查询条件有：系统列表、分发状态、起止时间；分发日志主要用于记录任务流程名称以及分发到各应用系统的状态，，如图所示：

4.操作日志

操作日志划分为两种类型，一种为基础信息的操作，如：新增、修改、删除、迁移等；另一种为密码监管，包含对密码修改就管理员重置密码的情况。平台对于两种类型的操作均作为日志记录，便于后续追溯。

• 基础操作

基础操作日志包含从源头同步的信息及管理员在统一身份管理平台内部操作的变动信息，页面效果如下：

• 密码监管

密码监管为对用户主动修改密码及管理员重置密码的两种操作行为的记录及审计，便于用户认证问题或者密码丢失的情况下及时分析问题的原因及定位解决，如图所示：

统计分析

统一身份管理平台中数据分发、数据同步、认证登录、权限管控都有监控预警功能，实现问题的预知及快速响应处理，为满足客户清晰看到风险走向、提高数据准确度，因此统一身份管理平台提供统计分析功能，统计分析功能按照不同视角分析（组织人员视角及应用视角），满足客户从不同角度了解信息变化的需求，便于平台内部流转的监管及统计。

1.组织人员视角

以组织人员基础信息视角进行不同维度的统计分析，包含人员信息统计、应用情况统计、同步数据统计、任务信息统计、分发数据统计、认证信息统计，结合基础信息统计图表直观展现数据结果，同时点击后可直接链接至详情页面查看数据的明细信息。

• 人员统计

通过组织视角来统计人员在该组织下静态数据。统计分析内容包含：统计基础数据来源方式、真实表的数据状态、修改密码人员、特殊账户二次认证人员数量等，显示效果如下：

• 应用统计

统计应用系统下菜单、功能、操作相关数据，使用可以自动应用系统下人员数量、各个业务系统的人数，各个业务系统的认证情况等。如图所示：

• 同步统计

统计一段时间内，组织、人员、岗位的同步情况。统计分析包含：组织同步情况、人员同步情况、岗位同步情况。

• 任务统计

统计一段时间内，任务发送的情况。统计分析内容包含:操作发送情况、任务发送情况、任务执行情况、操作执行情况。

• 分发统计

统计一段时间内，组织、人员、岗位的分发情况。统计分析内容包含:各个应用系统分发组织情况、各个应用系统人员分发情况、各个应用系统岗位分发情况。

• 认证统计

统计系统一段时间内认证情况统计。统计内容包含：统计认证次数、统计各个系统下认证情况。

2.应用管理视角

以应用管理视角对平台内部流转数据统计，以图标形式直观展现，包含人员统计：各应用下人员信息分布情况；权限统计：各集成应用下权限中心分发情况；认证统计：各业务系统中用户认证情况；分发统计：各应用系统中分发账户情况统计。

• 人员统计

从应用系统视角分析，各个系统下的人员情况。统计分析包含：选中应用系统下人员来源方式、选中应用系统下人员真实表的数据状态、选中应用系统下修改密码人员、选中应用系统下特殊账户二次认证人员数。

• 权限统计

左侧是应用信息列表，右侧是各组织人员，关联到应用的权限资源，包含：组织/人员/岗位/标准角色/实际角色数字标签、权限资源统计（菜单、功能、页面、操作、数据、接口数据标签）及各权资源按标准角色的权限分布情况统计，如图所示：

• 认证统计

认证统计是从应用视角统计分析，统计效果为左侧是应用信息列表，右侧主要是登录认证日志统计分析，如图所示：

• 分发统计

从应用视角统计分析展现效果为：左侧是应用信息列表，右侧主要是数据分发日志统计，如图所示：

心得体会

通过本次对IDM整体整理，对于产品的认知有了进一步的提升，特别是对产品安全以及审计体系有了明确的认识，对于以往和客户沟通的一些不明确的内容，也渐渐有了明晰的认识，对于客户需求的应对，有了更为具体和直观的应答策略。

1.总结沉淀

产品随着市场的需求一直都是不断在完善和改进，对于一款成熟的产品来说，迭代是持续的，而对于我们来说，每隔一段时间，我们就要重新进行回炉改造，重新对产品进行学习，对于新的功能要学习了解，对于已有功能的认知要加深运用，只有通过不断地学习，才能掌握产品的发展方向，同时增强产品操控度。

2.积累丰富

在产品的不断使用过程中，不同功能对应不同的场景，适配不同的场景，都是需要不断积累的，因为不同的项目，业务情况不同，所以处理的方式也不同，针对产品功能可能是不变的，变化的只是业务的情况。通过梳理业务场景，进行功能对应适配，这需要我们在不同项目中要掌握基本的生存能力，因此，对于产品的理解和使用，要变成我们的本能，应对项目上千变万化的业务，需要我们通过积累的经验去应对、去解决。

3.深入思考

本次通过IDM的安全梳理，加深了对IDM现有认证体系的认知，虽然现有的安全体系还有许多功能需要完善，但是功能的底座已经打好了，所谓万丈高楼平地起，基础打得好打得牢，才能迎接后续安全体系的快速扩展，因此，对于产品，要有足够的信任，面对客户要有足够的信心。

对于我们的要求，我们不仅仅要了解产品具备的功能，而且要了解这些功能的原理，从哪里来，到哪里去，原理是什么，设计准则是什么、适配场景是什么，只有进行了深入地了解和学习之后，才能真正变成自己的东西，才能真正的应用起来游刃有余。

本文由@数通畅联原创，欢迎转发，仅供学习交流使用，引用请注明出处！谢谢~