可扩展标记语言(Extensible Markup Language)在基于Web的分布式应用系统中日益获得青睐,同时也对访问控制提出了新的挑战。在大型的企业级应用中,访问企业XML关键资源的用户数成千上万,而他们的身份以及资历往往是未知的,这就造成了访问管理上的困难。另一方面,在某些企业的访问控制策略中,时间是一个关键性因素,用户的授权被限制在预先定义的时间范围内。此外,应该对概念上相关的XML文档提供更高层次的访问控制。在对XML规范的基本内容和基于角色的访问控制(Role Based Access Control)技术充分分析的基础之上,提出了一种面向XML文档的扩展RBAC模型。该模型从用户证书、时间约束、XML文档分类等方面对传统的RBAC模型进行了扩展,以实现基于内容的时间上下文敏感的多粒度访问控制。该模型采用一种统一的符合XML规范的策略描述语言描述访问控制策略信息。用户证书记录了用户的行为特性,包含一系列的用户属性。通过对用户证书中的属性取值进行评估,把符合条件的用户分配给特定角色,从而达到了根据用户的特征及资历实施访问授权的目的。在用户分配和权限分配中引入时间约束,表示和实现了更为丰富的访问控制语义。根据内容的相关性将XML文档进行分类,可以有效的支持概念层次上的访问控制。设计了一个基于该扩展模型的XML访问控制系统。该系统具备访问控制策略管理和访问控制策略实施的功能,为企业Web应用中的XML关键资源提供了安全有效的访问控制。