劉洪民

（安徽省六安市氣象局 安徽 237011）

0 引言

中小型網(wǎng)站大多采用 Access作為網(wǎng)絡(luò)數(shù)據(jù)庫，網(wǎng)站基于B/S架構(gòu)，利用ODBC連接Access數(shù)據(jù)庫，采用Asp作為網(wǎng)絡(luò)編程語言。Asp服務(wù)器端程序+Access后臺數(shù)據(jù)庫模式適合于數(shù)據(jù)記錄量較小、訪問量較低的中小型網(wǎng)站系統(tǒng)，屬于非服務(wù)器級，由于Access數(shù)據(jù)庫的ODBC驅(qū)動程序支持SQL指令集，且執(zhí)行效率高，因此該模式是一個精練實用的常用模式。

網(wǎng)站主要由網(wǎng)站首頁和后臺管理兩部分組成，而網(wǎng)站設(shè)計的重點工作是后臺管理程序的編寫，通過后臺管理平臺，對整個網(wǎng)站信息、內(nèi)容進(jìn)行添加、刪除、修改等操作，這就涉及到網(wǎng)站的安全性問題，因為管理員帳號密碼等信息都存儲在數(shù)據(jù)庫文件中，所以數(shù)據(jù)庫安全性是網(wǎng)站技術(shù)人員重點考慮和關(guān)注的問題。

1 Access數(shù)據(jù)庫中的表和查詢對象

1.1 表對象

Access文件包括表、查詢、窗體、報表、頁、宏、模塊共七個對象。Web數(shù)據(jù)庫設(shè)計時一般只用到表和查詢兩個對象。表由結(jié)構(gòu)與數(shù)據(jù)記錄兩個部分組成。結(jié)構(gòu)內(nèi)容包括字段名稱、數(shù)據(jù)類型、長度、精確度等屬性組成；表的每一行即為一個數(shù)據(jù)記錄，所有數(shù)據(jù)記錄的集合構(gòu)成一個表。在表存放數(shù)據(jù)記錄之前，必須定出結(jié)構(gòu)，而表的結(jié)構(gòu)定義工作即決定表將擁有哪些字段以及這些字段的規(guī)格，所謂字段的規(guī)格是指字段名稱、數(shù)據(jù)類型、大小、精確度、小數(shù)位數(shù)等屬性。

1.2 查詢對象

Access提供了查詢設(shè)計視圖，Select-SQL命令及各種查詢向?qū)磔o助完成所需的查詢。查詢的基本功能是：選取查詢，查詢不會修改表內(nèi)的數(shù)據(jù)，查詢雖然是一個存儲在數(shù)據(jù)庫中的數(shù)據(jù)庫對象，但所存放的并不是查詢所得的信息，而是如何去取得所需信息的方法與定義（即相關(guān)的SQL命令語句），執(zhí)行查詢時所得信息不會存儲在數(shù)據(jù)庫中，是用SQL命令對表進(jìn)行“篩選”的結(jié)果。

2 Access數(shù)據(jù)庫的連接

瀏覽器是操作系統(tǒng)的核心，用戶通過瀏覽器向網(wǎng)站服務(wù)器發(fā)出請求，服務(wù)器端Asp網(wǎng)絡(luò)程序響應(yīng)執(zhí)行，并將處理結(jié)果返回瀏覽器，供用戶查看。建立Asp與Web數(shù)據(jù)庫的運行平臺，目前普遍使用的PC機均能滿足硬件要求，當(dāng)然，硬件配置越高檔越好；軟件要求，最好是Windows 2003 Servers以上服務(wù)器操作系統(tǒng)。

圖1 瀏覽器打開Asp網(wǎng)頁到存取Access數(shù)據(jù)庫的過程

3 Access數(shù)據(jù)庫在網(wǎng)絡(luò)中的安全性

3.1 密碼文件

后臺管理員的帳號、密碼一般也存放在數(shù)據(jù)庫中，如果網(wǎng)頁瀏覽者知道存儲密碼文件的名稱及目錄，就可以在瀏覽器地址欄輸入相應(yīng)文件路徑下載下來，有些人的做法是對密碼文件取個難猜的名字，讓用戶無法猜出，而比較正規(guī)的做法是對密碼文件進(jìn)行“編碼”及“加密”。假設(shè)存儲密碼的文件為users.mdb，它是一個沒有編碼及加密的數(shù)據(jù)庫。

3.2 對users.mdb編碼和加密

啟動Access，暫不要啟動任何數(shù)據(jù)庫文件。選取菜單“工具→安全→加密/解密數(shù)據(jù)庫”，待出現(xiàn)“數(shù)據(jù)庫加密/解密”窗口時，選取users.mdb數(shù)據(jù)庫，點擊“確定”按鈕，接著又會出現(xiàn)“數(shù)據(jù)庫加密后另存為”窗口，在此窗口的“文件名”字段中輸入users2.mdb，點擊“保存”按鈕，接著users.mdb就會被編碼，并存儲為users2.mdb。以上動作只是對數(shù)據(jù)庫文件進(jìn)行編碼，并不是對數(shù)據(jù)庫設(shè)置密碼。

3.3 數(shù)據(jù)庫文件加密

首先以“獨占模式”啟動users2.mdb，選取菜單“工具→安全→設(shè)置數(shù)據(jù)庫密碼”，接著輸入密碼即可。以上步驟已成功為users2.mdb設(shè)置了密碼，如使用Access啟動這個數(shù)據(jù)庫，則要求輸入密碼，輸入正確密碼后，才能啟動數(shù)據(jù)庫。

3.4 加密數(shù)據(jù)庫的連接程序（Asp程序）

在網(wǎng)絡(luò)程序中，如要啟動含有密碼的.mdb數(shù)據(jù)庫，只需要在“數(shù)據(jù)庫連接”程序上稍做添加，具體程序如下：

3.5 Access數(shù)據(jù)庫文件的加密原理

Access數(shù)據(jù)庫的加密原理是對密碼字符串進(jìn)行異或操作，而在二進(jìn)制串中的異或運算是可逆的（即用設(shè)定的二進(jìn)制串與密碼對應(yīng)二進(jìn)制串異或的結(jié)果與設(shè)定二進(jìn)制串異或可得密碼對應(yīng)的二進(jìn)制串），所以加密數(shù)據(jù)庫可被下載下來輕易破解，從而打開.mbd文件，查看密碼明文。

3.6 常用的加密算法

目前常用的加密算法是 MD5加密算法，MD5的全稱是Message Digest Algorithm 5。Message-Digest泛指字節(jié)串（Message）的Hash變換，就是把一個任意長度的字節(jié)串變換成一定長的大整數(shù)。MD5將任意長度的"字節(jié)串"變換成一個128bit的大整數(shù)，它是一種不可逆的加密算法，即密碼不是以明文出現(xiàn)，而是以經(jīng) MD5算法加密后的編碼出現(xiàn)，連管理員和操作系統(tǒng)都無法讀取密碼明文，此加密算法安全性高，很難破解，是目前比較流行的一種加密算法。

4 防止.mdb數(shù)據(jù)庫被下載的方法

如果瀏覽用戶不把.mdb文件下載下來，就無法進(jìn)行暴力破解，筆者在實際應(yīng)用中常用以下方法防止.mdb數(shù)據(jù)庫被下載：

4.1 為.mdb數(shù)據(jù)庫文件取一個位數(shù)多且難猜的文件名，讓上網(wǎng)用戶難以猜出；

4.2 在數(shù)據(jù)庫文件名中添加“#”，因為“#”屬于特殊字符，瀏覽器只解釋到“#”之前字符串，到“#”字符就結(jié)束解釋；空格號也可以起到“#”作用，但必須是文件名中間出現(xiàn)空格。

4.3 將.mdb改成.asp后綴，如將users.mdb改成users.asp，瀏覽器也無法直接下載。

5 總結(jié)

通過以上設(shè)置，數(shù)據(jù)庫的安全性已經(jīng)基本滿足工作需要，特別適合于中小型網(wǎng)站，其操作靈活、移植備份方便、運行環(huán)境簡單，技術(shù)人員容易掌握，且對硬件、軟件的要求不是很高，可以說是短小精悍，但數(shù)據(jù)記錄量不能太大，科學(xué)研究表明，當(dāng)數(shù)據(jù)記錄量超過十萬條時，其查詢效率會明顯下降，因此只適合于要求不是很高的中小型網(wǎng)站系統(tǒng)。

[1]王國榮.Web數(shù)據(jù)庫[M].北京：人民郵電出版社，1999.3.

[2]章立民.Access 2003高手攻略[M].北京：中國鐵道出版社，2004.7.