电子商务、电子政务及网络的普及使得信息安全变得越来越重要,同时,由于Web的广泛性和易用性等原因,基于Web的应用成为网络应用中最具有代表性的一个方面,为Web应用系统的提供安全服务至关重要。对于已有的Web应用,在系统开发之初未考虑访问控制功能,或正在开发中的应用中需要加入或完善访问控制功能。加入或完善所需的访问控制功能若通过修改应用系统来实现则存在诸多问题。本文针对上述问题研究插入式访问控制过滤器,利用过滤器的插入式特点,将访问控制功能与Web应用分离,使得访问控制过滤器作为一个独立的插件,为Web应用提供服务。本文首先探讨了Web应用在基于不同开发技术或部署在不同环境下可采用的不同的过滤器机制如ISAPI、NSAPI、Servlet Filter、AOP等,分析了将过滤器机制与访问控制结合的特点,提出了基于Servlet Filter的访问控制过滤器的方案,通过Servlet过滤器与访问控制服务的结合,在过滤器中增加用户Session信息内容,方便快捷的实施对每次用户访问请求的授权,为Web应用提供透明的、插入式的服务。本文研究开发了基于ISAPI的访问控制过滤器系统,着重对用户的持续访问过程中过滤器实施访问控制功能的技术进行研究,提出了通过用户Session维护与授权决策独立进程来创建、更新会话信息,利用过滤器实现Cookie和URL重写来传递会话标识,并结合已有的授权决策服务,组建一套完整的访问控制系统,该方案不仅满足了Web应用的需求,同时访问控制服务是独立的、可扩展的,其代码的可维护性和可复用性都得到了提高。此外,本文还研究了NSAPI访问控制过滤器,在借鉴ISAPI访问控制系统中通过独立进程实现用户会话信息维护的机制的基础上,结合NSAPI过滤器的特点,为部署在Netscape Server上的Web应用提供插入式访问控制服务。。本文针对Web应用,从其应用环境着手,结合过滤器机制在不同平台下的特点,将过滤器技术和访问控制结合在一起构建访问控制过滤器,为Web应用在无需修改已有应用的同时,提供独立的、插入式的、可扩展的访问控制服务。