戴香木

摘 要：基于B/S架構(gòu)模式的應(yīng)用管理系統(tǒng)給人們的工作帶來了方便，改變了傳統(tǒng)的工作方式，但由于本架構(gòu)模式技術(shù)實現(xiàn)方面存在的缺陷，致使安全性問題成為這類系統(tǒng)的研究熱點，文章從源代碼、后臺數(shù)據(jù)庫的安全性在高校黨務(wù)信息管理系統(tǒng)的設(shè)計開發(fā)進(jìn)行應(yīng)用研究，提出了相應(yīng)的處理策略。

關(guān)鍵詞：系統(tǒng)安全；加密；用戶權(quán)限

黨務(wù)管理工作是我黨目前常抓不懈的中心工作之一，為了提高高校黨務(wù)管理工作的效率和水平，提高黨務(wù)信息公開化程度，設(shè)計開發(fā)與使用黨務(wù)信息管理系統(tǒng)十分必要。

1 黨務(wù)信息管理系統(tǒng)現(xiàn)狀分析

目前，一些高校的黨務(wù)信息管理仍處于半手工、半信息化狀態(tài)，黨組織、黨員之間的信息傳遞與溝通采用報送紙質(zhì)文件、電話、傳真或發(fā)送Email等方式，降低了傳遞信息的時效性，黨務(wù)信息公開也不能徹底落實；前幾年有些高校已經(jīng)采用了單機(jī)版的黨務(wù)信息管理系統(tǒng)，只不過是手工黨務(wù)管理工作的電子文檔化，反而使黨務(wù)管理工作顯得更加繁瑣，增加了黨務(wù)管理工作人員的勞動強(qiáng)度，因此，近幾年來有一些高校開發(fā)使用了基于B/S架構(gòu)的黨務(wù)信息管理系統(tǒng)，這在一定程度上提高了黨務(wù)管理工作的效率，提高了黨務(wù)信息傳遞的時效性，也大大提高了黨務(wù)信息公開的程度與渠道，但基于B/S架構(gòu)的系統(tǒng)數(shù)據(jù)安全性較差，用戶可以在瀏覽器端多次償試進(jìn)入系統(tǒng)后臺，進(jìn)行黨務(wù)機(jī)密數(shù)據(jù)的窺探，因此B/S架構(gòu)的系統(tǒng)的便捷性、易操作性較好，是目前黨務(wù)管理信息系統(tǒng)開發(fā)的主流，但是其安全性是目前需要考慮的主要問題。

2 黨務(wù)信息管理系統(tǒng)安全需求分析

由于基于B/S架構(gòu)模式系統(tǒng)自身開發(fā)技術(shù)存在的問題，因此在開發(fā)黨務(wù)信息管理系統(tǒng)時需要考慮以下幾個方面的安全問題。

2.1 考慮源代碼的加密問題

由于在瀏覽器端可以通過頁面文字查看到一些源程序代碼，而通過這些源代碼程序就可以查看到一些黨務(wù)數(shù)據(jù)信息，這樣對于機(jī)密的黨務(wù)信息來說就沒有安全性而言，可能造成機(jī)密數(shù)據(jù)的泄漏，因此設(shè)計與實現(xiàn)系統(tǒng)時一定要考慮到源代碼的保密性、安全性問題。

2.2 系統(tǒng)后臺數(shù)據(jù)的保密問題

對于基于B/S架構(gòu)的信息管理系統(tǒng)的后臺數(shù)據(jù)安全問題，是開發(fā)這種架構(gòu)模式的系統(tǒng)時必須考慮的，后臺數(shù)據(jù)庫不是每一個瀏覽用戶都能看到的，應(yīng)該用用戶權(quán)限進(jìn)行一些限制，對于普通瀏覽用戶可以瀏覽一些普通黨務(wù)公開信息，對于擁有某些功能模塊查看權(quán)限的用戶可以瀏覽相關(guān)功能模塊涉及到的后臺數(shù)據(jù)，但不能進(jìn)行修改；擁有某些功能編輯權(quán)限的用戶可以進(jìn)入相應(yīng)功能進(jìn)行后臺數(shù)據(jù)的編輯操作，總之，要利用用戶權(quán)限進(jìn)行控制管理，從而保證系統(tǒng)后臺數(shù)據(jù)的安全性。

3 系統(tǒng)安全性解決策略研究與應(yīng)用

3.1 源代碼安全處理策略

為了保證源代碼對后臺數(shù)據(jù)操作的安全性，在黨務(wù)信息管理系統(tǒng)設(shè)計實現(xiàn)過程中采用了以下處理策略。

3.1.1 注意使用腳本語言的安全性

考慮到B/S架構(gòu)系統(tǒng)中服務(wù)器端腳本語言的安全性，選擇使用安全性高的腳本語言，從而避免在瀏覽器端通過頁面文字獲取后臺數(shù)據(jù)信息。

在目前開發(fā)Web頁面的腳本語言中，.NET開發(fā)語言環(huán)境相對來說安全性較高，因此在開發(fā)黨務(wù)管理信息系統(tǒng)時采用C#和JavaScript來進(jìn)行，避免在瀏覽器端看到源程序代碼，因為這些源程序代碼是在服務(wù)端解釋的，增強(qiáng)了數(shù)據(jù)的安全性。

3.1.2 利用中間頁面技術(shù)保證數(shù)據(jù)庫數(shù)據(jù)的安全性

在B/S架構(gòu)系統(tǒng)的前端和后臺程序設(shè)計時，增加中間頁面，用于接收前端輸入的驗證數(shù)據(jù)信息，同時由中間頁面對后臺數(shù)據(jù)庫進(jìn)行操作，使操作的結(jié)果不在前端顯示，保證了數(shù)據(jù)操作的安全性。

3.1.3 前端頁面進(jìn)行用戶驗證設(shè)置

在前端頁面設(shè)計時，每一頁面都利用Session等對象驗證是否是登錄用戶訪問，若不是則禁止訪問該頁面，這樣就保證了訪問每一頁面的瀏覽者都具有合法用戶登錄身份。

3.1.4 設(shè)置系統(tǒng)日志管理功能

設(shè)置系統(tǒng)日志，用于管理登錄、訪問系統(tǒng)的有關(guān)信息，這是B/S架構(gòu)應(yīng)用系統(tǒng)安全性的有力保證，系統(tǒng)管理員可利用系統(tǒng)日志掌握系統(tǒng)的有關(guān)訪問操作性質(zhì)，從而協(xié)助系統(tǒng)維護(hù)人員做好系統(tǒng)防范、抵御措施。

設(shè)置系統(tǒng)日志管理功能的方法有多種，但實現(xiàn)方法簡單、實用的方法是將登錄、訪問系統(tǒng)的信息存入一個記事本文件，這種方法消耗的系統(tǒng)資源最少。具體實現(xiàn)操作如下。

在應(yīng)用系統(tǒng)一級文件夾下建立Global.asax文件，然后利用該文件的Session_OnStart（）函數(shù)與Session_OnEnd（）函數(shù)將登錄訪問系統(tǒng)的用戶名、登錄日期與時間、登錄系統(tǒng)的IP地址、訪問操作的功能模塊等信息進(jìn)行管理，記錄到系統(tǒng)日志文件中，以實現(xiàn)系統(tǒng)日志的維護(hù)，另外，在Global.asax文件中編寫以下語句：

<%@ import namespace= "system.io" %>

sub session_onstart（sender as object， e as eventargs） //用戶登錄時觸發(fā)的事件

sw=new streamwriter（server.mappath（"log.txt"），true，encoding.default） //記錄用戶IP地址

session（"IP"）= request.servervariables（"REMOTE_ADDR"） sw.writeline（now（） & "User" & session（"IP"） & "Enter"）

sw.close

end sub

sub session_onend（sender as object，e as eventargs） //超時或close browse時觸發(fā)的事件

sw=new streamwriter（server.mappath（"log.txt "），true，encoding.default）

sw.writeline（now（） & " User " &Session（"IP"） & "exit"）

sw.close

end sub

3.2 系統(tǒng)后臺數(shù)據(jù)的保密處理策略

為保證后臺數(shù)據(jù)不被非法用戶訪問，采用用戶權(quán)限管理策略進(jìn)行管理，使用角色訪問控制機(jī)制，注意用戶、角色、權(quán)限、功能模塊之間的對應(yīng)設(shè)置問題，它們之間的關(guān)系如圖所示。

通過用戶權(quán)限設(shè)置，使具有相應(yīng)權(quán)限的用戶才能訪問相應(yīng)的功能模塊，這樣就有效地控制了用戶對后臺數(shù)據(jù)的操作，不具備權(quán)限的用戶看不到后臺數(shù)據(jù)，數(shù)據(jù)的安全性得到保證。

4 結(jié)束語

總之，通過上述安全策略處理后，在保證系統(tǒng)功能順暢使用的同時，B/S架構(gòu)系統(tǒng)的安全機(jī)制明顯得到提升。

參考文獻(xiàn)

[1]黃曉藝.黨員信息管理系統(tǒng)的設(shè)計與實現(xiàn)[J].濟(jì)南：科技信息，2011（20）：243-245.

[2]黃小花.黨務(wù)管理系統(tǒng)的設(shè)計與實現(xiàn)[J].武漢：軟件導(dǎo)刊，2010（10）：119-120.