王 濤，俞利健

（1.浙江省電力公司，杭州 310007；2.浙江省電力公司培訓(xùn)中心，杭州 310015）

近年來(lái)，隨著干部管理工作的不斷深入，業(yè)務(wù)管理的精細(xì)化要求越來(lái)越高，面對(duì)種類繁多的業(yè)務(wù)需求，傳統(tǒng)的人工管理和簡(jiǎn)單的電子記錄難以滿足新時(shí)期的干部管理工作要求?，F(xiàn)有的干部管理系統(tǒng)也大多限于單機(jī)應(yīng)用模式，實(shí)現(xiàn)簡(jiǎn)單的干部數(shù)據(jù)記錄、查詢等功能。為此，設(shè)計(jì)開發(fā)了基于Web的電力企業(yè)管理信息系統(tǒng)，以電力企業(yè)局域網(wǎng)為媒介，具有干部信息維護(hù)、調(diào)整流程管理、干部考核管理、干部審批管理、后備干部管理、綜合查詢統(tǒng)計(jì)等功能。該系統(tǒng)的應(yīng)用實(shí)現(xiàn)了干部管理工作的數(shù)字化、網(wǎng)絡(luò)化、流程化管理，明顯提高了管理水平和工作效率。

1 開發(fā)平臺(tái)和系統(tǒng)架構(gòu)選擇

根據(jù)實(shí)際情況和用戶需求，在保證數(shù)據(jù)共享和一致的基礎(chǔ)上，應(yīng)用ASP.NET 2.0技術(shù)Microsfot Visual studio 2008作為Browser/Server（瀏覽器/服務(wù)器，簡(jiǎn)稱B/S）結(jié)構(gòu)的開發(fā)工具。B/S結(jié)構(gòu)是一種以Web技術(shù)為基礎(chǔ)的新型網(wǎng)絡(luò)管理信息系統(tǒng)平臺(tái)模式，它把傳統(tǒng)2層C/S中的服務(wù)器分解為Web服務(wù)器和數(shù)據(jù)庫(kù)服務(wù)器，從而構(gòu)成3層結(jié)構(gòu)的客戶服務(wù)器體系。實(shí)質(zhì)上，客戶機(jī)與Web服務(wù)器類似于終端和主機(jī)的模式，而Web服務(wù)器與數(shù)據(jù)庫(kù)服務(wù)器之間類似于C/S模式，但是相對(duì)兩層C/S模式，B/S結(jié)構(gòu)具有以下優(yōu)點(diǎn)：

（1）簡(jiǎn)化了客戶端，只需在客戶端安裝瀏覽器軟件，不同的客戶端無(wú)需再安裝不同的客戶應(yīng)用程序。

（2）簡(jiǎn)化了系統(tǒng)的開發(fā)和維護(hù)，B/S結(jié)構(gòu)的所有功能都在Web服務(wù)器上實(shí)現(xiàn)，使開發(fā)和維護(hù)工作大大減輕。

（3）用戶的操作、使用更加簡(jiǎn)單，可以直接在網(wǎng)上發(fā)布信息。

系統(tǒng)服務(wù)器采用Windows Server 2003操作系統(tǒng)，并且采用Microsoft公司的IIS 6.0作為Web服務(wù)器，使用SQL Server 2005數(shù)據(jù)庫(kù)管理系統(tǒng)作為數(shù)據(jù)庫(kù)平臺(tái)，網(wǎng)絡(luò)協(xié)議采用標(biāo)準(zhǔn)TCP/IP以太網(wǎng)協(xié)議。系統(tǒng)結(jié)構(gòu)如圖1所示。

圖1 基于B/S的電力企業(yè)干部管理信息系統(tǒng)結(jié)構(gòu)

由于干部管理工作有嚴(yán)格的保密要求，系統(tǒng)采取分級(jí)部署方案，上下級(jí)之間的干部數(shù)據(jù)交互采取專用數(shù)據(jù)包傳遞來(lái)實(shí)現(xiàn)。

2 系統(tǒng)功能需求分析

系統(tǒng)的主要功能如下：

（1）干部信息維護(hù)是整個(gè)系統(tǒng)的數(shù)據(jù)基礎(chǔ)，主要實(shí)現(xiàn)干部基本信息的添加、修改和刪除等功能，包括干部基本信息、任職信息、簡(jiǎn)歷信息、教育信息、考核信息、獎(jiǎng)懲信息等。

（2）干部調(diào)整管理是系統(tǒng)的核心功能，主要完成干部調(diào)整的流程化管理。從領(lǐng)導(dǎo)干部的任免啟動(dòng)開始，根據(jù)不同提拔方式進(jìn)入相關(guān)流程節(jié)點(diǎn)，每個(gè)節(jié)點(diǎn)均進(jìn)行事件記錄，并根據(jù)節(jié)點(diǎn)的不同要求產(chǎn)生相關(guān)文檔，到達(dá)宣布節(jié)點(diǎn)時(shí)，自動(dòng)更新該干部新的任職信息。

（3）干部審批管理主要實(shí)現(xiàn)企業(yè)對(duì)基層單位三副總師及助理、縣局領(lǐng)導(dǎo)干部和基層主要部門負(fù)責(zé)人的任免審批功能，記錄了上述3類干部的基本信息，并按年度實(shí)現(xiàn)審批干部名冊(cè)的生成。

（4）綜合應(yīng)用是系統(tǒng)的重要功能，主要實(shí)現(xiàn)干部基本信息查詢、干部現(xiàn)狀查詢、干部信息歷史對(duì)比分析查詢、歷史干部信息查詢、干部調(diào)整匯總查詢、干部審批匯總、交流干部信息、任免審批表和簡(jiǎn)要情況表批量生成等功能，基本涵蓋了干部信息應(yīng)用的所有領(lǐng)域，為干部管理的領(lǐng)導(dǎo)決策提供全面的數(shù)據(jù)分析支持。

（5）后備干部管理主要實(shí)現(xiàn)后備干部的信息維護(hù)、跟蹤管理等功能，包括副處后備干部、正處后備干部的批次建立。一旦被列為后備干部，可以在干部現(xiàn)狀中查詢到相關(guān)信息；若后備干部被提拔，則在相應(yīng)批次列表中自動(dòng)區(qū)分。

（6）基層干部管理主要實(shí)現(xiàn)企業(yè)對(duì)基層單位中層干部信息的監(jiān)控功能，信息主要以基層單位上報(bào)數(shù)據(jù)導(dǎo)入為主，不進(jìn)行實(shí)時(shí)更新，但提供數(shù)據(jù)的基本維護(hù)功能，包括添加、修改、刪除等。

（7）數(shù)據(jù)管理主要實(shí)現(xiàn)數(shù)據(jù)導(dǎo)入和導(dǎo)出。數(shù)據(jù)導(dǎo)入主要實(shí)現(xiàn)基層單位中層干部數(shù)據(jù)導(dǎo)入，數(shù)據(jù)導(dǎo)出實(shí)現(xiàn)了上級(jí)要求的模板數(shù)據(jù)導(dǎo)出和基層單位中層干部信息導(dǎo)出，其中中層干部信息導(dǎo)出主要滿足基層單位中層干部數(shù)據(jù)維護(hù)要求。

（8）系統(tǒng)設(shè)置功能主要包括用戶管理和密碼修改。用戶管理中包括了用戶管理、權(quán)限設(shè)置、密碼重置等功能。密碼修改是對(duì)當(dāng)前登錄用戶的密碼修改功能。

系統(tǒng)主要功能模塊如圖2所示。

圖2 基于B/S的電力企業(yè)干部管理信息系統(tǒng)主要功能模塊

3 系統(tǒng)主要模塊的設(shè)計(jì)與實(shí)現(xiàn)

3.1 干部管理模塊

干部管理模塊主要實(shí)現(xiàn)了干部信息的維護(hù)和調(diào)整。為了保證干部信息維護(hù)快速簡(jiǎn)便，系統(tǒng)設(shè)計(jì)時(shí)將干部的信息分為基本信息、工作簡(jiǎn)歷、教育信息、家庭成員、獎(jiǎng)懲信息等部分，在同一界面分幾個(gè)TAB頁(yè)來(lái)添加和修改，并根據(jù)干部管理的需要，提供了快速查找干部基本信息的界面，在同一個(gè)界面顯示1個(gè)干部的所有信息。同時(shí)根據(jù)實(shí)際工作需要，在系統(tǒng)上一鍵生成在職干部名冊(cè)、二線干部名冊(cè)、返聘干部名冊(cè)、交流干部名冊(cè)、干部數(shù)據(jù)分析、三總師名冊(cè)及縣級(jí)負(fù)責(zé)人名冊(cè)等工作中常用的名冊(cè)，方便工作使用。

干部調(diào)整是干部管理工作中最常用的功能，也是本系統(tǒng)的核心功能。根據(jù)實(shí)際干部管理工作要求，設(shè)置了14個(gè)流程節(jié)點(diǎn)，每個(gè)節(jié)點(diǎn)根據(jù)工作需要進(jìn)行信息記錄。具體流程要求如圖3所示。在系統(tǒng)設(shè)計(jì)時(shí)，根據(jù)是否提拔走不同的流程，1個(gè)流程節(jié)點(diǎn)工作結(jié)束，只能進(jìn)行下一個(gè)流程節(jié)點(diǎn)，不允許跨流程節(jié)點(diǎn)操作，保證干部調(diào)整工作的有序進(jìn)行以及數(shù)據(jù)的唯一性和規(guī)范性。

圖3 電力企業(yè)干部調(diào)整核心流程

3.2 干部審批模塊

干部審批模塊主要實(shí)現(xiàn)了縣級(jí)重要崗位干部（科級(jí)干部）審批信息的維護(hù)及若干年度干部審批信息的生成。在功能設(shè)計(jì)時(shí)，根據(jù)實(shí)際干部管理情況，干部信息選自基層科級(jí)干部，基本信息不需要維護(hù)，只需要記錄當(dāng)前審批情況，包括任免種類、擬任職務(wù)、審批種類、審批時(shí)間等相關(guān)信息，同時(shí)更新基層干部信息，保證了基層干部信息的及時(shí)性、唯一性。

3.3 綜合應(yīng)用模塊

綜合應(yīng)用模塊是整個(gè)系統(tǒng)中用途最多、擴(kuò)展性最大的模塊。根據(jù)當(dāng)前的工作需求，設(shè)計(jì)開發(fā)了11個(gè)子模塊，每個(gè)子模塊對(duì)應(yīng)一項(xiàng)數(shù)據(jù)查詢。綜合應(yīng)用中的數(shù)據(jù)查詢主要有三大類：

（1）基本信息查詢主要包括干部基本信息查詢、干部現(xiàn)狀查詢、歷史信息查詢等。針對(duì)這種查詢，系統(tǒng)提供了多種查詢條件的選擇組合，滿足了干部管理中各種數(shù)據(jù)的查詢要求。

（2）對(duì)比分析查詢主要是干部對(duì)比分析，系統(tǒng)實(shí)現(xiàn)了2個(gè)時(shí)間點(diǎn)內(nèi)、不同級(jí)別的干部（處級(jí)、副處級(jí)）在年齡結(jié)構(gòu)、文化程度、職稱結(jié)構(gòu)等方面的人數(shù)變化，以幫助干部管理人員分析干部結(jié)構(gòu)變化趨勢(shì)。

（3）匯總統(tǒng)計(jì)查詢主要包括干部調(diào)整匯總、干部審批匯總等，匯總統(tǒng)計(jì)某個(gè)時(shí)間段內(nèi)的干部調(diào)整信息及審批信息。

4 系統(tǒng)安全的設(shè)置與分析

基于B/S的干部管理信息系統(tǒng)主要采用Web技術(shù)。Web技術(shù)具有良好的開放性，資源共享，協(xié)議通用，互聯(lián)方便，但同時(shí)帶來(lái)了安全性問(wèn)題，這是系統(tǒng)設(shè)計(jì)中要著重考慮的問(wèn)題。一個(gè)應(yīng)用系統(tǒng)的安全性應(yīng)包括操作系統(tǒng)安全性、Web服務(wù)器安全性、數(shù)據(jù)安全性和應(yīng)用程序安全性這4個(gè)層次。

4.1 操作系統(tǒng)安全性設(shè)置

操作系統(tǒng)采用Windows 2003 SP2，其本身具有較高的安全性。除此之外，還針對(duì)具體干部管理系統(tǒng)的實(shí)際情況進(jìn)行了相關(guān)設(shè)置：

（1）由于干部管理系統(tǒng)使用的客戶端有限，因此設(shè)置服務(wù)器防火墻只允許相關(guān)的客戶端IP才能訪問(wèn)服務(wù)器的80端口。關(guān)閉無(wú)關(guān)服務(wù)和端口，比如關(guān)閉遠(yuǎn)程用戶修改注冊(cè)表設(shè)置的服務(wù)；只開放80端口提供Web服務(wù)。

（2）禁用無(wú)關(guān)的用戶，只保留與Web服務(wù)運(yùn)行相關(guān)的用戶，并加強(qiáng)管理員密碼復(fù)雜性。

（3）關(guān)閉默認(rèn)共享。

4.2 Web服務(wù)器安全性設(shè)置

Web服務(wù)器采用IIS服務(wù)，為了保證IIS服務(wù)的安全，主要采用以下方法：

（1）限制網(wǎng)站的目錄權(quán)限，目錄不允許有執(zhí)行權(quán)限，除了上傳目錄外，其他目錄不允許有寫入權(quán)限。

（2）關(guān)閉網(wǎng)站的ASP腳本解釋功能。

（3）登錄頁(yè)面采用SSL訪問(wèn)，加強(qiáng)用戶和密碼在網(wǎng)絡(luò)傳輸中的安全性。

4.3 數(shù)據(jù)安全性保障

數(shù)據(jù)全部保存在SQL Server 2005數(shù)據(jù)庫(kù)中，數(shù)據(jù)庫(kù)本身就具有較高的安全性。由于本系統(tǒng)數(shù)據(jù)庫(kù)和應(yīng)用程序裝在同一臺(tái)服務(wù)器上，因此數(shù)據(jù)庫(kù)訪問(wèn)采用集成操作系統(tǒng)訪問(wèn)，禁止SQL用戶訪問(wèn)，利用操作系統(tǒng)的安全性來(lái)保證數(shù)據(jù)庫(kù)自身的安全。同時(shí)對(duì)敏感數(shù)據(jù)比如用戶密碼等進(jìn)行不可逆加密后再存入數(shù)據(jù)庫(kù)，保證敏感數(shù)據(jù)安全性。

4.4 應(yīng)用程序安全性保障

應(yīng)用程序直接暴露在用戶面前，最容易受到攻擊。當(dāng)前Web攻擊最常見(jiàn)的2種方式就是SQL注入和跨站腳本攻擊，應(yīng)用系統(tǒng)在這兩方面做了重點(diǎn)加強(qiáng)，主要包括：

（1）SQL注入：SQL注入是很常見(jiàn)的攻擊方式，由于采用ASP.NET技術(shù)，利用它提供ADO.NET中的sqlparamter屬性，基本杜絕了sql注入的可能性。本系統(tǒng)所有的數(shù)據(jù)庫(kù)操作均采用該技術(shù)，所以保證了系統(tǒng)在這方面的安全性。

（2）跨站腳本攻擊：在ASP.NET頁(yè)面中有1個(gè)validateRequest屬性默認(rèn)是true，該屬性值為true時(shí)，基本杜絕了頁(yè)面上腳本注入的可能性。同時(shí)加強(qiáng)控制上傳文檔，針對(duì)本系統(tǒng)中的照片上傳功能，加強(qiáng)上傳目錄權(quán)限控制，禁止該目錄的腳本執(zhí)行功能；另一方面，利用System.Drawing.Image類的RawFormat屬性值是否為ImageFormat.BMP，ImageFormat.JPEG，ImageFormat.PNG，ImageFormat.GIF這4種值中的一種，如不是則判斷是偽裝成圖片的惡意代碼文件，予以刪除。

5 結(jié)論與展望

本系統(tǒng)充分利用電力企業(yè)局域網(wǎng)的現(xiàn)有條件，對(duì)基于B/S的干部管理信息系統(tǒng)進(jìn)行設(shè)計(jì)，并針對(duì)系統(tǒng)安全問(wèn)題提出了相應(yīng)的解決方法和策略，實(shí)現(xiàn)了干部管理信息化。與其他干部管理系統(tǒng)相比，本系統(tǒng)有3個(gè)方面的特點(diǎn)：

（1）建立了便捷、直觀、閉環(huán)的干部數(shù)據(jù)維護(hù)模式，數(shù)據(jù)維護(hù)唯一，能產(chǎn)生良好的累計(jì)效應(yīng)，提高了干部數(shù)據(jù)的準(zhǔn)確性。

（2）建立了干部管理流程化、規(guī)范化的工作模式，提高了工作效率，能實(shí)時(shí)掌控干部調(diào)整、審批等工作的進(jìn)度。

（3）干部數(shù)據(jù)分析準(zhǔn)確，統(tǒng)計(jì)實(shí)時(shí)，查詢方便，與上下級(jí)單位的數(shù)據(jù)接口安全便捷。

目前，該系統(tǒng)的應(yīng)用效果良好，減少了干部管理人員的重復(fù)勞動(dòng)，對(duì)進(jìn)一步提高干部管理的自動(dòng)化、網(wǎng)絡(luò)化程度具有重要的現(xiàn)實(shí)意義?？梢灶A(yù)見(jiàn)，今后干部管理系統(tǒng)將朝著數(shù)據(jù)顆粒度更細(xì)、分析功能更加強(qiáng)大、操作維護(hù)更加便捷的方向進(jìn)一步發(fā)展。

[1]鄭人杰，殷人民，陶永雷.實(shí)用軟件工程[M].北京：清華大學(xué)出版社，2002.

[2]王喜媛，張平平.用C/S和B/S模型構(gòu)建高?？蒲泄芾硇畔⑾到y(tǒng)的網(wǎng)絡(luò)平臺(tái)[J].技術(shù)創(chuàng)新管理，2004（2）∶28-32.

[3]李勁，謝兆陽(yáng).SQL Server 2000數(shù)據(jù)庫(kù)設(shè)計(jì)與系統(tǒng)管理[M].北京：清華大學(xué)出版社，2003.