【正文】 archar50記錄教師所任課程號Class idVarchar50記錄教師所教班級號Course yearChar5記錄年度學(xué)期 數(shù)據(jù)庫安全設(shè)計馬場中學(xué)校園網(wǎng)站的設(shè)計與實現(xiàn)數(shù)據(jù)庫系統(tǒng)安全，包含兩層含義：第一層是指系統(tǒng)運行安全，它包括法律、政策的保護(hù)，如用戶是否有合法權(quán)利，政策是否允許等：第二層是指系統(tǒng)信息安全，它包括：用戶口令字鑒別；用戶存取權(quán)限控制；數(shù)據(jù)存取權(quán)限、方式控制；審計跟蹤數(shù)據(jù)加密。在這里主要討論系統(tǒng)信息安全的問題[5]。對于當(dāng)前網(wǎng)絡(luò)數(shù)據(jù)庫系統(tǒng)，一般操作系統(tǒng)須先獲取有效服務(wù)器域名用戶和數(shù)據(jù)庫管理系統(tǒng)分配的用戶，進(jìn)行身份驗證[11]，本系統(tǒng)也采用了這種方式。本系統(tǒng)共分成四級用戶：系統(tǒng)管理員、教務(wù)管理員、教師、學(xué)生，每級用戶均有自己的密碼、有自己的權(quán)限，其具體如下：(1)系統(tǒng)管理員對整個系統(tǒng)的管理，可以任免教務(wù)管理員，制定教務(wù)管理員權(quán)限，進(jìn)行在線監(jiān)控，管理用戶密碼。包括以下四個方面的內(nèi)容：權(quán)限管理、密碼管理在線監(jiān)控、日志管理。(2)教學(xué)管理員主要進(jìn)行日常的教務(wù)管理，分為校級教務(wù)管理員和院系級教務(wù)管理員，其權(quán)限由系統(tǒng)管理員指定。其功能主要由日常管理和信息維護(hù)組成。日常管理是對日常進(jìn)行的教務(wù)工作進(jìn)行管理，校級教務(wù)管理員可以對全校的師生進(jìn)行教務(wù)管理，而院系級教務(wù)管理員只能瀏覽或局部更改其院系的師生信息，其功能包括系統(tǒng)設(shè)置、學(xué)籍管理、注冊管理、收費管理、課程管理、教學(xué)計劃管理、選課管理、考試管理、成績管理、畢業(yè)管理、教學(xué)設(shè)施管理、教師管理、教師教學(xué)評價等。信息服務(wù)的功能包括教務(wù)公告管理、管理文件、院系介紹、教改教研管理、校歷安排等。(3)教師可以通過這套系統(tǒng)實現(xiàn)教務(wù)公告的查看、教學(xué)任務(wù)查詢、全校課程查詢、查看選課結(jié)果與編寫教學(xué)紀(jì)錄、下發(fā)課程通知、考試安排查看、進(jìn)行成績管理、查看教師教學(xué)評價等。教師還有一些其他工具如備忘錄、通信錄、個人信息維護(hù)、個人主頁維護(hù)等。(4)學(xué)生部分包括教務(wù)公告查看、課程通知查看、管理文件查看、教學(xué)計劃查詢、學(xué)生手冊、個人信息查詢(學(xué)籍查詢)、課程查詢、教師查詢、考試信息查詢、教室借用情況、選課、課程教學(xué)記錄查看、本學(xué)期成績、教師教學(xué)評價等。為了防止有人竊取密碼而惡意更改數(shù)據(jù)，在本設(shè)計中還可加入追蹤程序，可以記錄到所有登錄用戶一切對數(shù)據(jù)庫更改的操作，這樣當(dāng)數(shù)據(jù)被破壞時，可以根據(jù)這些記錄恢復(fù)被更改的數(shù)據(jù)。另外本教務(wù)管理系統(tǒng)的安全策略上，還可加入第五章 系統(tǒng)的詳細(xì)設(shè)計IP地址分配，這樣有效地保證了數(shù)據(jù)庫的安全，特別是將教務(wù)管理系統(tǒng)放到Internet上時，沒有獲許就無法瀏覽網(wǎng)頁并進(jìn)行相關(guān)的操作。數(shù)據(jù)庫系統(tǒng)中對付人為攻擊最為有效的措施就是進(jìn)行用戶身份驗證和訪問控制。身份驗證是指用戶登錄進(jìn)入數(shù)據(jù)庫系統(tǒng)時，首先要提供自己的用戶標(biāo)記、口令或密鑰等。以向系統(tǒng)證明自己的真實合法身份[17]。本系統(tǒng)中的WEB數(shù)據(jù)庫訪問，就是通過進(jìn)行用戶身份驗證和訪問控制來實現(xiàn)安全保護(hù)的。系統(tǒng)中設(shè)計了兩張表，login和users。Users包括用戶的一些信息。login包括用戶名、登錄和退出時間、用戶登錄所用的IP地址等字段。用戶身份驗證和訪問控制是由程序login．a(chǎn)sp來實現(xiàn)的。當(dāng)用戶登錄，就激活了login．a(chǎn)sp，該程序首先與網(wǎng)絡(luò)建立連接，在表users中搜索登錄用戶信息，如果該用戶具有某種訪問權(quán)限，則顯示該權(quán)限，允許用戶進(jìn)行相應(yīng)的訪問，否則告訴用戶無權(quán)訪問。同時在用戶登錄時獲得用戶的用戶名、IP地址、登錄時間和退出時間。校園網(wǎng)絡(luò)與網(wǎng)絡(luò)教務(wù)管理系統(tǒng)投入使用后，許多用戶都可以以Web的形式通過網(wǎng)絡(luò)訪問我校的教務(wù)管理系統(tǒng)，校園網(wǎng)與系統(tǒng)的安全管理是網(wǎng)絡(luò)管理中的重要內(nèi)容，只有重視安全性管理，采取一系列的管理措施，才能保證本系統(tǒng)的正常運行。 本章小結(jié)這章介紹了系統(tǒng)的管理員登錄模塊、后臺管理模塊，一般用戶的登錄模塊、新用戶注冊模塊、留言版管理及網(wǎng)站的文件結(jié)構(gòu)的設(shè)計，最后給出了系統(tǒng)的數(shù)據(jù)庫設(shè)計。馬場中學(xué)校園網(wǎng)站的設(shè)計與實現(xiàn)第六章 系統(tǒng)的實現(xiàn)系統(tǒng)采用Browser/Server體系結(jié)構(gòu)，服務(wù)器端采用運行最低配置要求(全部為中文環(huán)境) 操作系統(tǒng) Windows 2000 Server，腳本解釋器 ，安裝Microsoft Internet ： Web服務(wù)器 IIS ，Windows XP自帶。數(shù)據(jù)引擎 Microsoft Access 權(quán)限要求 對Access數(shù)據(jù)庫具有建表、備份的權(quán)限空間大小 初次安裝至少10M可用空間硬件要求 PIII500 CPU 256M內(nèi)存或更高帶寬要求 10M共享或更高?？蛻舳塑浖?，包括操作系統(tǒng)和瀏覽器軟件，分別選用Windows XP和Internet Explorer。數(shù)據(jù)庫系統(tǒng)采用Microsoft Access有利于方便操作。目前，常用的數(shù)據(jù)庫軟件包括，主要應(yīng)用于大型數(shù)據(jù)庫管理的Oracle和Sybase以及主要應(yīng)用于中小型數(shù)據(jù)庫管理的Fox Base，F(xiàn)oxpro，dbase和Access。首先考慮到本網(wǎng)站數(shù)據(jù)規(guī)模，本文認(rèn)為使用小型數(shù)據(jù)庫即可；再經(jīng)過實際情況調(diào)查，學(xué)校相關(guān)工作目前采用的是Access，因此，本網(wǎng)站數(shù)據(jù)庫選擇Microsoft Access 2003以保持一致性。前端開發(fā)工具為可視化的工具DreamweaverCS3。DreamweaverCS3可用來快速創(chuàng)建數(shù)據(jù)驅(qū)動Web應(yīng)用程序的基于團(tuán)隊的開發(fā)環(huán)境，支持ASP，以O(shè)DBC連接數(shù)據(jù)庫，腳本語言為簡單易學(xué)的VBScript。在主頁面增加了以下定義，使頁面有特殊的顯示效果?！捌斩h馬場中學(xué)”主頁中CSS樣式表使用的部分代碼：.topbg{第六章 系統(tǒng)的實現(xiàn) background:url(Images/)。 color: FFFFFF。 }.bgcolor { backgroundcolor: E1F4EE。 }在上面的樣式表中定義了網(wǎng)頁頭部的背景圖片和顏色，以避免因網(wǎng)頁瀏覽器的設(shè)置改變而引起的網(wǎng)頁頭部的背景圖片和顏色變化,影響頁面瀏覽者的信息瀏覽。.topbg這部分是對網(wǎng)頁背景顏色和背景圖片的設(shè)置。圖61 網(wǎng)站主界面，顯示效果如圖62所示。圖62 留言界面馬場中學(xué)校園網(wǎng)站的設(shè)計與實現(xiàn)顯示IP地址和顯示留言信息的代碼如下：%call showip( )call Guestbook( )%下述代碼實現(xiàn)在線留言搜索。% call GuestBook_Search( ) %由于留言系統(tǒng)嵌入了UBB功能，用戶在編輯留言時就有了自己想要的格式和效果。數(shù)據(jù)只有用數(shù)據(jù)庫來管理才能有自動化管理的可能。數(shù)據(jù)的結(jié)構(gòu)將影響整個管理機制的應(yīng)用，而且一旦建立以后要修改常會出現(xiàn)麻煩。所以一開始就要仔細(xì)慎重地搭建一個完整而合理的結(jié)構(gòu)。Microsoft Access數(shù)據(jù)庫相對其它的數(shù)據(jù)庫來說要簡單容易操作些，本網(wǎng)站信息發(fā)布系統(tǒng)中的數(shù)據(jù)庫文件就是Access類型的數(shù)據(jù)庫，數(shù)據(jù)庫中共有20張表[10]。：%dim conndim connstrdim dbdb=database/ ‘?dāng)?shù)據(jù)庫文件的位置’Set conn = ()connstr=Provider=。DataSource=amp。(db) connstrsub CloseConn( ) set conn=nothingend sub %第六章 系統(tǒng)的實現(xiàn)，各頁面都能夠訪問數(shù)據(jù)庫，這是實現(xiàn)交互性的前提。當(dāng)管理員登錄系統(tǒng)時，首先要進(jìn)行身份驗證，本系統(tǒng)使用的是驗證碼技術(shù)。具體實現(xiàn)過程如下：首先調(diào)用已設(shè)計好的數(shù)據(jù)庫連接文件，調(diào)用代碼：!include file=inc/ 。由于登錄頁面主要是HTML代碼，因此在進(jìn)行身份驗證時，需要讀取驗證碼信息，以下是從緩存中讀取頁面所產(chǎn)生的驗證碼信息的代碼：%option explicit = True = 1 = Now() – 1 = 0 = nocache %本章主要介紹了系統(tǒng)的開發(fā)環(huán)境，主界面、留言系統(tǒng)和數(shù)據(jù)庫訪問的實現(xiàn)。馬場中學(xué)校園網(wǎng)站的設(shè)計與實現(xiàn)第七章 系統(tǒng)測試域名就是企業(yè)、政府、非政府組織等機構(gòu)或者個人在互聯(lián)網(wǎng)上注冊的名稱，是互聯(lián)網(wǎng)上企業(yè)或機構(gòu)相互聯(lián)絡(luò)地址。一個企業(yè)如果要在網(wǎng)絡(luò)建立自己的主頁，就必須取得一個域名。域名可分為：頂級域名、二級域名等不同級別。頂級域名又分為兩類：一類是國家頂級域名，例如中國的“.”，美國是“.us”等。另一類是國際頂級域名，例如表示工商企業(yè)的“.”，表示網(wǎng)絡(luò)提供商的“.net”等。二級域名以下本章不作介紹，因為本網(wǎng)站所選域名以工商企業(yè)的“.”為主。域名申請步驟如下：在網(wǎng)絡(luò)中找到域名申請網(wǎng)站，進(jìn)入網(wǎng)站可以看到“域名查詢”，域名和空間根據(jù)自己需要，選擇注冊免費或者收費的域名與空間。在文本框中輸入域名，根據(jù)實際情況選擇域名級別，如“.”。單擊“查詢”按鈕，查詢域名是否可用。出現(xiàn)“域名查詢結(jié)果”，顯示的查詢的域名可用。單擊域名出現(xiàn)“域名注冊表”頁面。根據(jù)實際情況添寫注冊資料。完成注冊信息的填寫，單擊“確定”按鈕提交信息。出現(xiàn)“注冊成功頁面”，顯示“您的域名”、“備用域名”與“網(wǎng)站名稱”等信息。主頁空間的申請方法與域名的申請方法一樣，可以注冊收費空間也有免費空間，要根據(jù)實情情況選擇空間大小[3]。申請了域名與空間暫不能發(fā)布網(wǎng)站，還需要檢測網(wǎng)站是否會出現(xiàn)問題，測試站點是否有的鏈接。網(wǎng)站在發(fā)布后可能會因瀏覽器的兼容性差，出現(xiàn)錯誤等問題。本節(jié)主要講解基于Web的系統(tǒng)測試方法，主要從網(wǎng)站的功能、性能、可用性、瀏覽器兼容性、安全性等方面進(jìn)行測試。第七章 系統(tǒng)測試 功能測試（1）鏈接測試鏈接是Web應(yīng)用系統(tǒng)的一個主要特征，它是在頁面之間切換和指導(dǎo)用戶去一些不知道地址的頁面的主要手段。鏈接測試可分為三個方面：1）測試所有鏈接是否按指示的那樣確實鏈接到了該鏈接的頁面。2）測試所鏈接的頁面是否存在。3）保證Web應(yīng)用系統(tǒng)上沒有孤立的頁面，所謂孤立頁面是指沒有鏈接指向該頁面，只有知道正確的URL地址才能訪問。鏈接測試可以自動進(jìn)行，現(xiàn)在已經(jīng)有許多工具可以采用。鏈接測試必須在集成測試階段完成，也就是說，在整個Web應(yīng)用系統(tǒng)的所有頁面開發(fā)完成之后進(jìn)行鏈接測試。（2）表單測試當(dāng)用戶給Web應(yīng)用系統(tǒng)管理員提交信息時，就需要使用表單操作，例如，用戶注冊、登陸、信息提交等。在這種情況下，我們必須測試提交操作的完整性，以校驗提交給服務(wù)器的信息的正確性。例如，用戶填寫的姓名與班級是否恰當(dāng)?shù)取Ｈ绻褂昧四J(rèn)值，還要檢驗?zāi)J(rèn)值的正確性。如果表單只能接受指定的某些值，則也要進(jìn)行測試。例如：只能接受某些字符，測試時可以跳過這些字符，看系統(tǒng)是否會報錯。要測試這些程序，需要驗證服務(wù)器能正確保存這些數(shù)據(jù)，而且后臺運行的程序能正確解釋和使用這些信息。（3）設(shè)計語言測試Web設(shè)計語言版本的差異可以引起客戶端或服務(wù)器端嚴(yán)重的問題，例如使用哪種版本的HTML等。當(dāng)在分布式環(huán)境中開發(fā)時，開發(fā)人員都不在一起，這個問題就顯得尤為重要。除了HTML的版本問題外，不同的腳本語言，例如Java、JavaScript、 ActiveX、VBScript或Perl等也要進(jìn)行驗證。（4）數(shù)據(jù)庫測試在Web應(yīng)用技術(shù)中，數(shù)據(jù)庫起著重要的作用，數(shù)據(jù)庫為Web應(yīng)用系統(tǒng)的管理、運行、查詢和實現(xiàn)用戶對數(shù)據(jù)存儲的請求等提供空間。在Web應(yīng)用中，最常用的數(shù)據(jù)庫類型是關(guān)系型數(shù)據(jù)庫，可以使用SQL對信息進(jìn)行處理。馬場中學(xué)校園網(wǎng)站的設(shè)計與實現(xiàn)在使用了數(shù)據(jù)庫的Web應(yīng)用系統(tǒng)中，一般情況下，可能發(fā)生兩種錯誤，分別是數(shù)據(jù)一致性錯誤和輸出錯誤。數(shù)據(jù)一致性錯誤主要是由于用戶提交的表單信息不正確而造成的，而輸出錯誤主要是由于網(wǎng)絡(luò)速度或程序設(shè)計問題等引起的，針對這兩種情況，可分別進(jìn)行測試。 性能測試網(wǎng)站的性能測試對于網(wǎng)站的運行而言異常重要，但是目前對于網(wǎng)站的性能測試做的不夠，我們在進(jìn)行系統(tǒng)設(shè)計時也沒有一個很好的基準(zhǔn)可以參考，因而建立網(wǎng)站的性能測試的一整套的測試方案將是至關(guān)重要的。網(wǎng)站的性能測試主要從三個方面進(jìn)行：連接速度測試、負(fù)荷測試(Load)和壓力測試(Stress)。連接速度測試指的是打開網(wǎng)頁的響應(yīng)速度測試。負(fù)荷測試指的是進(jìn)行一些邊界數(shù)據(jù)的測試，壓力測試更像是惡意測試，壓力測試傾向應(yīng)該是致使整個系統(tǒng)崩潰[26]。（1）連接速度測試用戶連接到Web應(yīng)用系統(tǒng)的速度根據(jù)上網(wǎng)方式的變化而變化。常見的上網(wǎng)方式有電話撥號和寬帶。當(dāng)下載一個程序時，用戶可以等較長的時間，但如果僅僅訪問一個頁面就不會這樣。如果Web系統(tǒng)響應(yīng)時間太長（例如超過5秒鐘），用戶就會因沒有耐心等待而離開。另外，有些頁面有超時的限制，如果響應(yīng)速度太慢，用戶可能還沒來得及瀏覽內(nèi)容，就需要重新登陸了。而且，連接速度太慢，還可能引起數(shù)據(jù)丟失，使用戶得不到真實的頁面。（2）負(fù)載測試負(fù)載測試是為了測量Web系統(tǒng)在某一負(fù)載級別上的性能，以保證Web系統(tǒng)在需求范圍內(nèi)能正常工作。負(fù)載級別可以是某個時刻同時訪問Web系統(tǒng)的用戶數(shù)量，也可以是在線數(shù)據(jù)處理的數(shù)量。例如：Web應(yīng)用系統(tǒng)能允許多少個用戶同時在線？如果超過了這個數(shù)量，會出現(xiàn)什么現(xiàn)象？Web應(yīng)用系統(tǒng)能否處理大量用戶對同一個頁面的請求？第七章 系統(tǒng)測試（3）壓力測試負(fù)載測試應(yīng)該安排在Web系統(tǒng)發(fā)布以后，在實際的網(wǎng)絡(luò)環(huán)境中進(jìn)行測試。因為一個企業(yè)內(nèi)部員工，特別是項目組人員總是有限的，而一個Web系統(tǒng)能同時處理的請求數(shù)量通常會遠(yuǎn)遠(yuǎn)超出這個限度，所以，只有放在Internet上，接受負(fù)載測試，其結(jié)果才有可能正確可信。進(jìn)行壓力測試是指實際破壞一個Web應(yīng)用系統(tǒng)，測試系統(tǒng)的反映。壓力測試是測試系統(tǒng)的限制和故障恢復(fù)能力，也就是測試Web應(yīng)用系統(tǒng)會不會崩潰，在什么情況下會崩潰。黑客常常提供錯誤的數(shù)據(jù)負(fù)載，直到Web應(yīng)用系統(tǒng)崩潰，接著當(dāng)系統(tǒng)重新啟動時獲得存取權(quán)。壓力測試的區(qū)域包括注冊、登陸和其他信息