0 引言

一般而言 Web系統(tǒng)的性能主要涵蓋四個方面指標：即響應時間、并發(fā)用戶數、吞吐量、TPS。響應時間指從客戶請求到請求結果數據完全展示的時間。由此可見響應時間實際上是指客戶端呈現數據時間、網絡傳輸時間及系統(tǒng)響應時間的和。并發(fā)用戶數指用戶會話同時處于活動狀態(tài)并向服務器發(fā)送類似的請求的用戶的數量。吞吐量指每個服務器實例單位時間可以處理的請求量，TPS指系統(tǒng)每秒能夠處理的事物的數量。并發(fā)用戶數、吞吐量、TPS三者概念有一定交叉，同時對系統(tǒng)設計而言，提高這三者的性能和降低響應時間之間常常需要權衡。即根據實際業(yè)務的需要考慮在合理用戶響應時間的基礎上盡量提高并發(fā)性能還是保證合理并發(fā)數的情況下盡量降低響應時間。

1 web系統(tǒng)前臺的優(yōu)化

隨著RIA的web應用越來越廣泛，前臺的性能開始越來越重要。國內與國外相比還有一些特殊情況，就是在國內IE市場占有率要比國外要高，大多數舊版的 IE瀏覽器腳本性能要比谷歌或者搜狐的瀏覽器要差很多這一點在設計階段就要充分考慮這一點。在循環(huán)中要盡量減少字符串的拼接。同時可能的情況下DOM節(jié)點創(chuàng)建盡量使用innerHTML代替createElement。一般來說使用開源的業(yè)務框架要注意不要在頁面上加載用不到的代碼，以EXTJS為例，其window窗口關閉以后是不會主動釋放資源的，如果前臺業(yè)務復雜可以考慮使用窗口池。

2 應用服務器優(yōu)化

2.1 IIS

ASP.NET提供了HttpRuntime.Cache對象來緩存數據，也提供了OutputCache指令來緩存整個頁面輸出。在網站優(yōu)化階段可以使用 Fiddler之類的工具分析網站的頁面，找到內容幾乎不變的頁面，給這些頁面添加OutputCache指令。像腳本庫之類資源文件是長期不變的，可以在IIS中啟用內容過期，如果需要更新可以給資源文件添加帶版本號的不同文件名。由于現在絕大多數瀏覽器都支持HTTP壓縮，沒有特殊情況的話建議啟用。除此之外可以在Windows系統(tǒng)中關閉不必要的服務，在IIS關閉不需要的HttpModule。

2.2 Apache Http

Apache2.X版支持插入多路處理模塊，即MPM，MPM分為Work MPM和Perfork MPM其中Work MPM使用多個子進程，每個子進程中又支持多個線程而Perfork MPM使用多個子進程，但是每個子進程名不包含多線程。一般來說Work MPM性能要好一些，相同并發(fā)下占有內存也小，在JSP程序中Apache只應用在各個應用服務器之間的負載均衡可以考慮使用Work MPM。Perfork是UNIX平臺上默認的MPM，穩(wěn)定性要好一些建議在不支持線程安全的第三方模塊上使用，如PHP3/4/5。

2.3 Apache Tomcat

Tomcat一般默認使用的堆內存為128M，在較大的應用中是不夠用的，需要在catalina.bat中調大。同時線程數一般情況下配置在200到300之間，這個數字可以根據壓力測試結果進行調節(jié)，一般Windows系統(tǒng)支持的上限是2000，Linux系統(tǒng)支持的上限是1000。負載比較大的情況下可以考慮和 Apache Http配合使用Tomcat集群基本上可以達到接近Jboss或Weblogic的性能。單獨的Tomcat調優(yōu)還可以考慮為Tomcat加載APR同時在配置中啟用 NIO在大多數情況下可以提高 Tomcat并發(fā)處理能力和如果Web應用中不需要記錄客戶端的IP可以考慮禁用Tomcat DNS查詢。

2.4 Jboss調優(yōu)

Jboss本身是免費的，同時性能在大多數情況下可以媲美商用中間件。JVM堆大小一般設置在峰值內存占用的125%～140%。新生代和年老代之間的正確比例范圍在1/3 和1/2之間。如果應用容許可以考慮GC使用G1收集器（JDK7以后的版本中），G1提供比CMS更好的性能。

2.5 Weblogic調優(yōu)

盡量開啟NIO。JAVA堆內存的設置可以參考JBOSS。在生產機的話可以考慮關閉JSP和Servle的動態(tài)編譯。

3 數據庫的優(yōu)化

對于Web應用而言大多數性能問題都出現在SQL語句的優(yōu)化上面。下面只是羅列出一些筆者的經驗。

如果數據庫 Mysql的情況下注意數據庫引擎的選擇，MyISAM傾向于查詢，InnoDB傾向于插入和事物處理對于數據量特別大的表要拆表，分區(qū)或者分庫。

如果數據量大并且對數據的操作單一，可以選擇相應的NoSQL數據庫，一般最少也能獲得一個數量級以上的提升。

對于多表關聯(lián)查詢的 SQL出現性能問題，首先是否數據量最大的表走了索引，其次考慮表結構是否合理，如果表結構無法變更，盡量使用連接操作代替in和exist語句。

如果不了解具體機制，慎用某些系統(tǒng)自帶函數，如MYSQL中的ORDER BY RAND（）。

如果需要在收尾重復字符比較多的列上建索引（例如網址），可以考慮在插入數據的時候就對數據進行Hash映射，單獨建立索引列（例如對網址取CRC32，在CRC值上建立索引），不要直接在這種列上建索引。

很多 Web應用中需要進行對數據排序同時限制數據返回條數，例如取某個表的最后500條數據。由于在絕大多數數據庫中會先限制返回條數，再排序，一般得不到正確的結果。這種情況下需要套兩層 select，內層排序，外層限制返回條數。但是這樣做會影響性能。以Oracle為例，正確的做法是這樣的，使用三層Select，最內層排序，并且只查詢rowid（注意保證排序列為主鍵或者唯一鍵索引，其他類型的索引會失效），中間的一層in語句通過rowid取需要的列，最外層限制條數。經過如此處理的SQL一般開銷都能降到可接受的范圍內。

4 WEB網站安全優(yōu)化

根據網站存在的安全威脅因素，要做好WEB網站的安全優(yōu)化，首先從硬件上加以防范，作好物理環(huán)境、系統(tǒng)硬件的安全控制。另外運用下一代防火墻，審計系統(tǒng)等技術手段加以部署，以確保WEB網站安全性。

4.1 硬件系統(tǒng)安全措施

主要方法是在構建物理機房時，按照標準做好物理機房的防火防水防盜工程，保障強弱電系統(tǒng)穩(wěn)定，在購買計算機及網絡硬件時，選擇知名品牌，做好設備冗余，加強設備的管理工作。

4.2 下一代防火墻

近年來，市場上出現了一種全新的防火墻，叫做“下一代防火墻”，該防火墻是面向應用層設計，能夠精確識別用戶、應用和內容，具備完整安全防火能力，能夠全面替代傳統(tǒng)防火墻，并具有強進應用層處理能力的全新網絡安全設備。解決了傳統(tǒng)安全設備在應用管理、應用可視化、應用內容防護等方面的不足，同時開啟所有功能后性能不會大幅下降。

4.3 運維審計系統(tǒng)

網站系統(tǒng)內眾多的網絡系統(tǒng)運維人員、第三方系統(tǒng)運維人員以及設備廠商維護人員卻缺乏有效的管理與監(jiān)控，眾所周知系統(tǒng)網絡運維人員他們享有系統(tǒng)的“最高權限”，一旦出現惡意操作或誤操作，將會對整個系統(tǒng)造成不可估量的嚴重后果。，針對該問題，目前流行使用一種設備進行監(jiān)管，名為“運維審計系統(tǒng)”。

該系統(tǒng)具體功能包括單點登錄、賬號管理、身份認證、資源授權、訪問控制和操作審計六個方面。通過該系統(tǒng)可以有效的避免一些越權操作，還可以追溯每一個操作過程，可以做到事前預防、事后追查。

5 總結

一般來說對于 Web應用而言，在應用服務器端大多數性能問題主要考慮線程池和數據庫連接池配置，在數據庫端主要考慮SQL語句的優(yōu)化，在網站安全建設方面介紹了兩種目前比較流行的安全技術。當然系統(tǒng)的安全和性能的優(yōu)化是一個復雜的問題，跟實際情況高度相關，本文僅對實際應用中常見的問題提出一個思路，具體情況還需要具體分析。