华东理工大学学报（自然科学版）一种基于NFA查询重写的XML过滤技术刘国海，虞慧群，杜丽萍（华东理工大学计算机科学与工程系，上海200237）制策略的NFA以及基于NFA的查询语句重写技术，有效地实现了独立于视图的、的XML精细粒度的存取控制。
可扩展的标志性语言（XML）为网络环境下的结构化数据表示和传输提供了技术标准，是近年来广泛用于Web服务的语言，加速了Web信息的共享。随着分布式和信息共享的快速发展，对XML信息实施、安全的存取控制的要求越来越高。现在，已经出现许多的支持细粒度存取控制的XML存取算法和支持过滤的过滤器但是大部分系统都是使用View-based的方法，或者直接从XML数据库中获得安全支持使用View-based的方法有一个非常明显的缺点就是创建和维护费用太高，锅炉软水，不能得到用户的支持；基金项目：国家自然科学基金项目（60473055，60373075）；上海市浦江人才计划项目（05PJ14030）档的存取控制。
通讯联直接依赖XML数据库，从数据库中获得安全支持，这种方法也不能安全地应甩因此目前出现了能实现独立于视图（View-independent）且不依赖XML数据库的、细粒度的存取控制策略的过滤器，例如：Yfiltei过滤器就是一个的范围可调的XML数据过滤算法，但是系统要随时为新增加的查询语句创建不确定的自动机（NondeterministicFinite Automation，NFA），这样会大大增加系统的开销，降低系统效率，同时也没有很好地支持安全存取控制策略和考虑情景感知因素。Qfilter策略建立一个NFA来实现存取控制，通过NFA执行算法对用户提交的查询语句Q进行重写，以得到满足安全控制和情景因素的新查询语句Q，从而实现率的、实现情景感知的XML存取控制策略1RBAC模型中策略描述RBAC模型中的策略显著的特点是简化授权官理，即通过角色（roles）分配许可（permission）给不同的用户（users），即在许可与用户之间增加了一个中间层roles本文中使用策略取代permission直策略是一个五兀组，其中object是策略所作用的对象，一般用Xpath语言描述；rolename是策略所起作用的角色；operation是策略所要做的操作类型，一*般有4种：read，write，update，delete；sign区分策略是允许访问+，还是拒绝访问-；Conditions是操作类型，指这些操作是逻辑运算或集合运算，如、=、乒、*等；S是传输函数集合；q是初始状态，本文的初始状态为SF是可接受状态的集合，供水，本文中为A（Ai关联一个元组合）在NFA中，所有的策略语句都可以在一个NFA中描述清楚，在NFA中从一个状态到另一个状态的转换标识都依赖object路径中的每个定位步每条XPath语句都由4种基础定位路径组/，其中“x”是特定用来表示DTD中所定义的所有元素，而“*”是一个通配符，用来匹配表达的符号。为XPath语句的4个基础路径所对应的NFA碎片（NFAfragments），图中一个圆圈表示一个状态，两个同心圆圈表示一个可接受状态，每个箭头的连线表示一次转换，与连线一起的符号为转换的标识，表示只有输入匹配的元素才能通过这条连线的转换到下一状态。符号2.2由策略构建NFA信息关联到接受状态中表达，构建算法如下：建立初始状态S，将S加入M=（Q，S，q），F）中的状态集合Q，并将S作为初始状态q得到第一个基础定位路径，查看是否存在与该定位路径匹配的、从当前状态S输出的转换，如有，则将当前状态转到下一匹配状态，并转到步骤没有，则建立新的转换，如果是/x*路径，就建立新状态i，并建立从状态S到状态i的传输，以元素x或*为该转换命名；如果是//x/*路径，就建立新的两个状态ij，并如中所示的XPath语句的基础定位路径构建NFA碎片的方法，建立新的转换；后将新建的状态加入到状态集合Q中，将输入的元素加入到集合，中，将新的转换建立新的传输函数，并加入S中。
骤，所以4一舰的路只被表―次ecicpu始查看XPath语句是否结束，如果结束转到步骤4；否则继续继续取得object中的XPath语句的基础定位路径，如步骤2―样查看是否有匹配的转换，有则当前状态转到匹配的下一状态，并重新开到自动机M中，重新转到步骤3是否已经为可接受状态，如果是则转到步骤5，否则将其改名为Ai，并加入到可接受状态集合F中。
态A关联的集合中（对于每个可接受状态Ai，关联查看是否还有新的策略，如有则转到步骤2，没有则NFA建立完成2.3构建医疗系统策略NFA在医疗系统中，病人的医疗记录信息及其疾病信息对不同的角色有不同的访问权限，比如医生可以看到自己部门病人的个人信息和所有的医疗记录与分析；护士可以看到她负责的部门的病人记录中的名字、诊断、测试信息，但是不能查看病人的调查结果值和疾病信息；病人的家属也只能看到病人记录中的名字、诊断、测试信息，但是不能查看病人的调查结果值和疾病信息；病人也只能看到病人记录中的名字、诊断、测试信息，但是不能查看调查结果值、疾病信息和X光的检查结果。医疗机构的系统存取控制策略如下：系统首先建立初始状态s，取得策略P，并由object取得基础定位路径files，建立新状态i，并建立从状态S到状态1的转换files，软化水，再取得路径/record，同样建立新的状态2，建立从状态i到状态2的转换record，后使用同样的方法建立路径/产，为所选策略建立的NFA图，后object的XPath语句结束，状态4为可接受状态，改名为Ai并关联一个元组的集合
西安迪奥环保科技有限公司