随着Web服务的日益广泛应用，它的安全性问题显得越来越重要，并已成为制约其发展的关键性因素。如何向开发者提供一个比较合理的安全代理模型，以满足Web服务特定的安全性需求，从而成为了Web服务安全领域的一个重要研究课题。在详细分析Web服务的一些安全缺陷的基础上，总结出针对Web服务动态、灵活和可扩展等特点的特殊安全性需求，集中体现在机密性、完整性、授权、原始性证明和不可否认性五个方面，结合这些特殊的安全性需求，分析了满足这些安全性需求的安全技术，如数据加密、授权验证等。在这些安全技术的基础上，讨论了具有代表性的安全模型的优缺点，然后根据安全模型构件的特点，提出了类似Web服务通用安全模型的轻量级安全模型—Web服务安全代理模型，该组件旨在对Web服务进行加壳保护，对任何访问的用户进行访问控制，对任何请求的信息进行加密签名处理，从而能够达到Web服务信息的安全传输，授权访问的目标。本文给出了基于RBAC的Web服务安全代理模型RWSAM(Web Services Secure Agent Model based on RBAC)，该安全代理模型继承了现有安全模型的优点，如安全消息机制等；同时又克服了现有安全模型开发困难、可扩展性差和安全性考虑不够全面的缺点。此外利用RBAC(Role-based Access Model)的优势可以轻松的设计并实现一个高效的基于访问控制的Web服务安全平台。本文主要针对RWSAM的两个安全组件：访问控制器，安全消息通道的设计实现方面进行了如下工作：1．设计并实现了RWSAM的访问控制器组件，该安全组件具有系统账户管理、角色管理和基本用户管理功能，其中角色管理是本文中的一大特色，主要采纳了RBAC的思想，通过编程对其作了良好的实现，通过验证性测试，该组件对资源起到了颗粒级访问控制的目标。2．设计并实现了RWSAM的安全消息通道组件，该安全组件实现了消息的加密解密功能，从而对请求／响应消息起到了安全传输的作用。3．本文最后给出了一个完整的Web服务实现，主要实现了两种类型的服务：其一是RPC调用服务；其二是基于消息交换的服务。同时把已构建好的Web服务与RWSAM进行了无缝集成。最后，通过测试，本文所构建的RWSAM能够对Web服务达到访问控制、消息安全传输的目标。