基于互联网网站的安全开发规范.doc

基于互联网网站的安全开发规范基于互联网网站的安全开发规范 主主 要要 内内 容容 1前言7 1.1 目的7 1.2 主要参考文档7 2常见 WEB 安全威胁介绍7 2.1 跨站脚本漏洞（XSS） 9 2.1.1漏洞说明9 2.1.2漏洞危害10 2.1.3处理说明10 2.1.4示例11 2.2 注入漏洞12 2.2.1漏洞说明12 2.2.2漏洞危害12 2.2.3处理说明12 2.2.4示例12 2.3 HTTP 消息头注入 13 2.3.1漏洞说明13 2.3.2漏洞危害13 2.3.3处理说明13 2.3.4示例13 2.4 重定向漏洞14 2.4.1漏洞说明14 2.4.2漏洞危害15 2.4.3处理说明15 2.4.4示例15 2.5 请求伪造(OSRF/CSRF) 15 2.5.1漏洞说明15 2.5.2漏洞危害16 2.5.3处理说明16 2.5.4示例17 2.6 文件上传漏洞17 2.6.1漏洞说明17 2.6.2漏洞危害17 2.6.3处理说明17 2.6.4示例18 2.7 不安全的直接对象引用18 2.7.1漏洞说明18 2.7.2漏洞危害18 2.7.3处理说明18 2.7.4示例18 2.8 信息泄漏及不正确的错误操作19 2.8.1漏洞说明19 2.8.2漏洞危害19 2.8.3处理说明19 2.8.4示例19 2.9 失效证证及会话管理20 2.9.1漏洞说明20 2.9.2漏洞危害20 2.9.3处理说明20 2.9.4示例21 2.10不安全的信息存储及通信21 2.10.1漏洞说明21 2.10.2漏洞危害21 2.10.3处理说明21 2.10.4示例21 2.11限制 URL 访问失效22 2.11.1漏洞说明22 2.11.2漏洞危害22 2.11.3处理说明22 2.11.4示例22 2.12特殊字符的 HTML 转换 22 2.12.1漏洞说明22 2.12.2漏洞危害22 2.12.3处理说明23 2.12.4示例23 2.13缓冲区溢出23 2.13.1漏洞说明23 2.13.2漏洞危害23 2.13.3处理说明23 2.13.4示例23 3安全开发规范23 3.1 用户登录处理24 3.2 会话安全24 3.3 用户输入检查及过滤25 3.4 界面输出27 3.5 页面重定向27 3.6 错误信息处理27 3.7 对象访问权限28 3.8 上传内容检查28 3.9 敏感信息处理28 3.10密码储存及使用28 3.11数据库执行脚本29 3.12系统调用29 3.13WEB 服务器配置29 前言 目的 本文档通过介绍目前 Web 应用中的常见漏洞及危害，并收集相关的漏洞防范手段，旨在让 部门开发人员提高 WEB 应用安全意识，并通过安全规范，明确开发人员编码的基本安全要 求，提高 WEB 应用系统的安全性。另外，现在的网络攻击技术新、变化快，本规范需要部 门全体人员不断的补充、完善。 同时，安全开发规范中涉及的要求，也作为测试的一个内容及依据。 主要参考文档 黑客攻防技术宝典黑客攻防技术宝典webweb 实战篇实战篇 常见 WEB 安全威胁介绍 常见的对于 WEB 应用的威胁有以下几种： Web 应用安全 威胁种类 威胁实施途径导致结果 Code Scanning (Server/Client) 源代码扫描（服务端 /客户端） Browsing source code 浏览源代码 Learn Vulnerabilities 收集信息，了解目标弱 点 Cookie Poisoning Cookie 中毒 Changing cookie content 改变 cookie 内容 User Impersonation 扮演成为其他用户身份 Hidden Manipulation 隐藏域值篡改 Changing hidden HTML fields value 改变 HTML 隐藏域值 eShoplifting 电子商品偷窃 Forceful Site Browsing 强行浏览 Use URL address line 使用 URL 地址行 Access sensitive data 访问敏感数据 Third Party Misconfigurations Default or improper software configuration Access OS or data 访问 OS 或者数据 第三方误配置缺省或者不正确的软件配 置 Identified(Known) Vulnerabilities 已知漏洞 Published vendor bugs 已公布的厂商软件漏洞 Access OS, Crash server/app/DB, access sensitive data 访问 OS 或者敏感数据， 甚至捣毁服务器/应用程 序/数据库 Buffer Overflow 缓冲区溢出 Overflow field input 溢出输入域 Access sensitive data, Or crash site/application 访问敏感数据或者捣毁 站点/应用程序 Debug Options 如果有,直接过滤掉或转到错误页面 2) 在 require 如果是 post 方式传送参数的,在获得数据后如果要根据 require 的参数重组 一个 url 进行跳转个面时先要将字符串用 URLEncoder.encode()进行编码。 示例 这种漏洞最常见于 Location 与 Set-Cookie 消息头中，但也会出现在其他 HTTP 消息头中。 应用程序提取用户提交的输入，并将它插入到响应码为 3xx 的 Location 消息头中。同样， 一些应用程序提取用户提交的输入，把它插入一个 cookie 值中。在上述任何一种情况下， 攻击者都可以使用回车符（0x0d）或换行符（0x0a）构造一个专门设计的请求，在他们控 制的消息头中注入一个换行符，从而在下面的行中注入其他数据。 例： URL：/fjgroup/new_frame/brand/group/check.jsp 参数：staff_id, verify_code, password_code 测试值： Foobar%3f%0d%0aAppScanHeader:%20AppScanValue%2f1%2e2%2d3%0d%0aSecondAppScanHead er:%20whatever 以下更改已应用到原始请求： 重定向漏洞 漏洞说明 应用程序提取用户可控制的输入，并使用这个数据执行一个重定向，指示用户的浏览器访 问一个不同于用户要求的 URL，那么就会造成重定向漏洞。 漏洞危害 攻击者主要利用重定向漏洞实施钓鱼攻击，诱使受害者访问一个欺骗性 Web 站点并输入敏 感信息。 处理说明 绝不将用户提交的数据合并到重定向目标中是避免重定向漏洞的最有效方法； 从应用程序中删除重定向页面，用直接指向相关目标 URL 的链接替代指向重定向页面的链 接； 建立一个包含所有有效重定向 URL 的列表。不以参数的形式向重定向页面传送目标 URL， 相反，传送这个列表的一个索引。重定向页面应在它的列表中查询这个索引，并返回一个 指向相关 URL 的重定向。 应用程序应在所有重定向中使用相对 URL，重定向页面应严格确认它收到的 URL 是一个相 对 URL。它应当确认：用户提交的 URL 或者以单独一个斜线字符、后接一个字母开头，或 者以一个字母开头，并且在第一个斜线前没有冒号。应拒绝而不是净化任何其他输入。 示例 一个常见的示例是，应用程序强制会话已经终止的用户返回登录页面，然后在用户重新成 功通过验证后将他们重定向到最初的 URL。如果遇到这种行为，就表明应用程序可能易于 受到重定向攻击，因此，应当对这种行为进行深入分析，以确定它是否可被攻击者利用。 请求伪造(OSRF/CSRF) 漏洞说明 这种类型的攻击也称为会话叠置与会话劫持攻击密切相关，在攻击过程中，攻击者截 获一名用户的会话令牌，因而能够“作为“该用户使用应用程序。但是，通过请求伪造，攻 击者根本不需要知道受害者的会话令牌而是利用 Web 浏览器的正常行为劫持一名用户的令 牌，通过它提出用户并不想提出的请求。 请求伪造漏洞分为两种类型：本站点请求伪造与跨站点请求伪造。 本站点请求伪造（on-site request forgery，OSRF）是一种利用保存型 XSS 漏洞的常见攻 击有效载荷。例如，在 MySpace 蠕虫中，Samy 在自己的用户资料中插入了一段脚本，致使 任何查看它的用户在不知情的情况下执行各种操作。另外，即使在 XSS 漏洞并不存在的地 方，保存型 OSRF 漏洞仍有可能存在，这一点常被人们忽视。 CSRF 是 Cross Site Request Forgery 的缩写（也缩写为 XSRF） ，即跨站请求伪造，目前流 行的 CSRF 攻击主要是由攻击者在网页中植入恶意代码或连接，当受害人的浏览器执行恶 意代码或者受害人点击连接后，攻击者就可以访问那些被害人身份验证后的网络应用。如 果被害人采用多窗口浏览器，攻击者就可以以被害人身份控制浏览器中任何一个窗口中的 Web 应用。 漏洞危害 HTTP 会话劫持，攻击者强制受害者的浏览器执行一个对攻击者有利的恶意行为。 一般网站是通过 cookie 来识别用户的，当用户成功进行身份验证之后浏览器就会得到一个 标识其身份的 cookie，只要不关闭浏览器或者退出登录，以后访问这个网站会带上这个 cookie。如果这期间浏览器被人控制着请求了这个网站的 url，可能就会执行一些用户不 想做的功能（比如修改个人资料） 。 处理说明 不要完全依赖于 cookie 传送会话令牌，就可以防止 XSRF 攻击，如：电子银行这些最为注 意安全的应用程序常常使用 HTML 表单中的隐藏字段传送会话令牌。当每次提交请求时，应 用程序除确认会话 cookie 外，还核实表单是否传送了正确的令牌； 通过要求用户完成几个步骤、以执行相关的敏感操作阻止 XSRF 攻击的防御措施，应用程 序必须在多步骤处理过程中使用某种令牌且保证这个令牌的安全。如：在第一个阶段，应 用程序在一个隐藏表单字段中放入一个令牌；在第二个阶段，它确认这个令牌是否被提交。 由于 XSRF 攻击是单向性的，因此实施攻击的 Web 站点无法从第一个阶段获得令牌，然后在 第二个阶段提交。 示例 如： 比如要攻击一个存在问题的 blog，那就先去目标 blog 留言，留下一个网址，诱其主人点 击过来，然后构造个 HTML 表单提交些数据过去。这时对于多窗口浏览器（firefox、遨游、 MyIE）便捷的同时也带来了一些问题，因为多窗口浏览器新开的窗口是具有当前所有 会话的。即我用 IE 登陆了我的 Blog，然后我想看新闻了，又运行一个 IE 进程，这个时候 两个 IE 窗口的会话是彼此独立的，从看新闻的 IE 发送请求到 Blog 不会有我登录的 cookie；但是多窗口浏览器永远都只有一个进程，各窗口的会话是通用的，即看新闻的窗 口发请求到 Blog 是会带上我在 blog 登录的 cookie。想一想，当我们用鼠标在 Blog/BBS/WebMail 点击别人留下的链接的时候，说不定一场精心准备的 CSRF 攻击正等着 我们。 文件上传漏洞 漏洞说明 利用当前 WEB 系统已有的上传功能，比如文件上传、图像上传等的漏洞来上传任意文件或 者 webshell。 漏洞危害 直接上传 webshell 到服务器，甚至获取服务器的 root 权限。 处理说明 后缀检查不严引起的上传任意文件，主要为 jsp 和 war 后缀文件，需要进行限制； 采用白名单严格限制上传类型。 示例 无 不安全的直接对象引用 漏洞说明 当开发人员把一个引用暴露给内部执行对象时，如一个文件、目录、数据库记录或键值、 URL 或格式参数，可能发生直接对象引用。攻击者可以操纵这些引用访问其它未经认证的 对象，即指一个已经授权的用户，通过更改访问时的一个参数，从而访问到了原本其并没 有得到授权的对象。 Web 应用往往在生成 Web 页面时会用它的真实名字，且并不会对所有的目标对象访问时来 检查用户权限，所以这就造成了不安全的对象直接引用的漏洞。 漏洞危害 攻击者可以操纵这些引用访问其它未经认证的对象。 可能造成目录遍历漏洞。 处理说明 控制应用程序的访问权限； 使用非直接的对象引用这防止了攻击者直接访问其并未授权的对象，通过一种 mapping 或是其他的方法让攻击者无法直接访问。 检查访问对每一个来自于不信任的源的直接对象引用都必须包含访问控制检查，从而 确信该用户对该对象拥有访问权。 示例 如由于网站没有对 URL 地址栏中输入的内容进行有效的限制，攻击者可以在 URL 地址后加 入特殊的字符，如“/” ，来对 WEB 站点中的实际对象，如文件、目录等进行查看，甚至 可以对它们进行修改和删除。 信息泄漏及不正确的错误操作 漏洞说明 WEB 应用程序可能通过各类应用程序问题无意中泄漏其配置、内部动作情况或侵害机密数 据的信息。WEB 应用程序还会通过不正当的错误信息处理，将站点内部组成结构及服务器、 数据库类型泄漏给攻击者。如果 WEB 站点开发人员不对这些方面进行通用信息处理，就有 可能存在这个漏洞。 漏洞危害 攻击者利用这个弱点偷窃敏感数据或传入更多严重的攻击。 可能造成目录遍历漏洞。 处理说明 url 地址参数使用 get 方式传送时，有时我们一般会使用一些有意义，显而易见的参数值； 可能导致非法用户通过参数值猜想我们系统有效数据。尽量使用数值或者无意义的参数作 为 url 地址使用 get 方式传送参数； 物理路径泄漏：避免 Web 服务器的某些显示环境变量的程序错误的输出了 Web 服务器的物 理路径；避免 Web 服务器处理用户请求出错导致的物理信息泄漏。等等。 示例 如通过提交一个超长的请求，或者是某个精心构造的特殊请求，或是请求一个 Web 服务器 上不存在的文件。 失效证证及会话管理 漏洞说明 如果 WEB 站点没有对用户账户、会话令牌进行严格的认证及保护，以及对用户与站点之 间的会话进行安全连接，或者没有妥善处理它们之间会话的生命周期，那么就有可能存在 用户被劫持和会话内容泄漏或被利用的风险。此漏洞也是所有 WEB 应用框架都存在的安全 漏洞。 漏洞危害 攻击者使用密码、密钥或认证令牌伪装其它用户的身份。 处理说明 建立一个无法预测的安全令牌后，就必须在这个令牌生成到废止的整个生命周期中保障它 的安全，确保不会将其泄露给除令牌用户以外的其他任何人。 会话生命周期管理：（1）会话创建的严格验证；(2)会话退出：应总是执行退出功能，通 过它删除服务器上的所有会话资源并终止会话令牌；(3)会话有效性：处于非活动状态一段 时间（如 10 分钟）后，应执行会话终止；（4）应防止并行登录，每次一名用户登录，都 应发布一个新会话令牌，同时废止任何属于该用户的现有会话； 应采取特殊措施保护会话管理机制的安全，防止应用程序用户成为各种攻击的目标。如： 不能以明文形式传送的令牌；绝不能在 URL 中传送会话令牌，因为这样做易于受到会话固 定攻击，并可能使令牌出现在各种日志机制中 最好是对所有导航使用 POST 请求实现这一目的，并将令牌保存在 HTML 表单隐藏字段中。 不完全依赖 HTTP cookie 传送会话令牌可防御跨站点请求伪造攻击。 应用程序不得接受它认为不是自己发布的任意会话令牌。应立即在浏览器中取消该令牌， 并将用户返回到应用程序的起始页面。 任何时候，只要一名用户与应用程序的交互状态由匿名转变为确认，应用程序就应该发布 一个新的会话令牌。这不仅适用于用户成功登录的情况，而且适用于匿名用户首次提交个 人或其他敏感信息时。 示例 略 不安全的信息存储及通信 漏洞说明 大多数 WEB 应用程序都使用加密技术来保护敏感数据的安全。但是，还有一些 WEB 站点却 使用简单的不合理的加密技术来保护敏感数据，有的甚至根本没有使用任何加密技术，这 些方式都有可能造成机密的数据被查看、修改、复制或删除。 另外，当用户与 WEB 站点进行通信时，如果不对在网络中传输的数据包时行加密传输，就 有可能被攻击通过以网络嗅探的方式截获，从而引起严重的安全事件。现在一种普遍的 WEB 内容加密通信方式就是使用 SSL(也就是安全套接字)。 漏洞危害 攻击者通过缺乏有效保护的数据来窃取身份及其它犯罪行为。 处理说明 对敏感数据需要进行保护，如：加密； 对关键的数据传输采用加密传输。 示例 无 限制 URL 访问失效 漏洞说明 通常，一个没有授权并且没有通过验证的用户是不可能打开一个受保护的网页的。但是， 如果 WEB 站点使用了错误的 RRL 访问控制规则，那么，一个有明确动机且技术高超的攻击 者就有可能利用这个漏洞打开这些网页，并且有可能引用其中的某些功能和查看机密数据。 漏洞危害 攻击者就有可能利用这个漏洞打开这些网页，并且有可能引用其中的某些功能和查看机密 数据。 处理说明 正确配置 WEB 站点的访问控制策略，以便将所有可能的非法访问者在打开网页全部拒之门 外。 示例 无 特殊字符的 HTML 转换 漏洞说明 数据库读取一些标签或特殊字符(如单引号等)在页面直接展示； 漏洞危害 使直接页面输出值时页面样式走样。 处理说明 尽量先把特殊字符做 HTML 字符转换 示例 无 缓冲区溢出 漏洞说明 缓冲区溢出漏洞想必大家都很熟悉，无非是 Web 服务器没有对用户提交的超长请求没有进 行合适的处理，这种请求可能包括超长 URL，超长 HTTP Header 域，或者是其它超长的数 据。 漏洞危害 可能造成程序崩溃或者执行攻击者的命令。 处理说明 1、及时打上 WEB 软件、操作系统补丁； 2、对用户提交的数据进行长度判断。 示例 无 安全开发规范 结合常见 WEB 安全漏洞，对部门日常基于互联网网站的代码开发，提出以下规范要求。 用户登录处理 登录程序需要对用户输入的用户名及口令仔细进行有效性校验； 对用户提交一些登录数据进行合法性验证，过滤掉一些特殊字符，主要有%（尖括号） 12 ()（括号） 13 +（加号） 14 CR（回车符，ASCII 0x0d） 15 LF（换行，ASCII 0x0a） 16 ,（逗号） 17 （反斜杠） 还有：* ! # : 如：HTML 的输入标识符中去除所有输入的尖括号； 仔细检查输入语句，一般情况拒绝如下命令： rm f mail delete /etc/passwd 或其它对系统有威胁的操作。 对数值型变量，首先要判断其内容是不是真的数值型，如果不是，就进行出错处理。 界面输出 对所有输出数据进行适当的编码，以防止任何已成功注入的脚本在浏览器端运行。 页面重定向 尽量不将用户提交的数据合并到重定向目标中； 从应用程序中删除重定向页面，用直接指向相关目标 URL 的链接替代指向重定向页面的链 接； 建立一个包含所有有效重定向 URL 的列表。不以参数的形式向重定向页面传送目标 URL， 相反，传送这个列表的一个索引。重定向页面应在它的列表中查询这个索引，并返回一个 指向相关 URL 的重定向。 应用程序应在所有重定向中使用相对 URL，重定向页面应严格确认它收到的 URL 是一个相 对 URL。它应当确认：用户提交的 URL 或者以单独一个斜线字符、后接一个字母开头，或 者以一个字母开头，并且在第一个斜线前没有冒号。应拒绝而不是净化任何其他输入。 对于确需要根据用户输入数据进行重组生成一个 url 进行，进行页面重定向的，跳转个面 时先要将字符串用 URLEncoder.encode()进行编码。 错误信息处理 有许多程序开发人员对于错误处理不够细心，导致脚本语法或数据库发生错误时，直接让 错误码呈现在浏览器，错误信息对一般的使用者没什么意义，但往往会给黑客带来许多参 考价值。 在开发过程中，往往设定输出一些出错信息，或者借助系统的出错信息对程序进行调试。 在提交测试后，要求注意替换这些出错误提示信息，以免泄露一些重要的信息给恶意攻击 者。特别时在程序测试阶段，一定要注意用户输入错误数据后程序的运行结果及报错信息 等。 为了不让教多了十分小心地正在做登录时的错误信息弄错什么了。面向用户的错误信息不 应该给的太足，以免用户由此推断出程序的内部结构的相关信息。 对 WEB 站点所返回的错误信息应当以最通用的方式表示，尽量不显露出服务器物理路径、 操作系统版本和数据库等信息。 对象访问权限 控制应用程序的访问权限，如针对每个业务界面都判断权限，没有权限的直接跳转到错误 提示界面； 使用非直接的对象引用这防止了攻击者直接访问其并未授权的对象，通过一种 mapping 或是其他的方法让攻击者无法直接访问，比如用户号码不在 URL 中直接传递，而 是通过调用父窗口中的某个方法取得，避免攻击者直接修改 URL 串的信息，意外得到其他 用户的信息； 检查访问对每一个来自于不信任的源的直接对象引用都必须包含访问控制检查，从而 确信该用户对该对象拥有访问权，比如判断当前传入的用户号码和已经登录的用户号码是 否一致，如果不一致，则认为是漏洞攻击。 上传内容检查 严格检查上传文件的类型，对 jsp 和 war 后缀文件，需要进行限制； 采用白名单严格限制上传类型。 敏感信息处理 关键的重要的数据参数发送时不要出现在 URL 中； hidden 字段的数据不能修改传递（hidden 的值不能被显示，但是会被传递并且在 html 源 文件中可以查看值，防止其值被修改并传递）不要用 hidden 去取数据，建议可以利用 session 来保存 hidden 数据； 有些档案该删就删，例如一些应用程序的安装脚本不要留在系统上，账号等相关的敏感数 据一定要设在防止搜寻引擎索引、快取的数据夹，或设定相关的防索引语法。 密码储存及使用 密码不要采用明码的方式储进数据库，透过像是 md5 的方式进行编码，让敏感信息可以受 到更好的保障； 对关键的数据（如密码）传输采用加密传输，如使用 SSL 安全套接字； 密码使用删除密码：如果在应用运行中有将密码保存到内存或应用运行生命周期内的， 应在使用后进行清空。 数据库执行脚本 对于 java 语言代码，在所有可能的情况下，应该使用 preparedstatement 和动态 sql，即 用?符号代表参数，通过 preparedstatement 的 setxxx(如 setint, setstring 等)方法设 置参数，然后执行 sql 语句，不要养成在每次语句执行前根据参数拼 sql 语句的习惯。 系统调用 尽量减少 system()、popen()之类的系统调用，特别是这些调用如果要激活一个系统 shell 时，更应该仔细检查其安全性，以免被黑客利用。 如果不是特别需要，不要使用 system()或者 popen()这样的系统调用，特别是以用户输入 的数据作为这些调用的参数的时候。如果没有对用户输入数据进行分析处理，可能会被用 来执行系统命令。如果必须使用这些调用，应当过滤掉用户输入数据中存在的危险字符: ; & 等等。 WEB 服务器配置 正确配置 WEB 站点的访问控制策略，以便将所有可能的非法访问者在打开网页全部拒之门 外，比如可以配置过滤器，对所有页面进行登录验证码的校验，无效的验证码将不允许访 问这些页面，而是直接跳转到登录界面。 参考：参考： 毕 业 论 文 论文题目 学 院 专 业 年 级 姓 名 指导教师 职 称 （200 年 月） 教务处制 毕业设计说明书与毕业论文撰写的规范化要求 一篇完整的毕业设计说明书或毕业论文有题目、摘要及关键词、目录、 引言（前言）、正文、结论、谢辞、参考文献、附录等几部分构成。要求 理工科专业不少于 4000 字，文科专业不少于 6000 字。 一、毕业设计说明书撰写的主要内容与基本要求 一份完整的毕业设计说明书应包括如下主要内容： 1题目 设计课题名称，要求简洁、确切、鲜明。 2中外文摘要及关键词 应扼要叙述本设计的主要内容、特点，文字要简练。中文摘要约 300 字左右；外文摘要约 250 个实词左右。关键词 35 个。 3目录 主要内容的目录。 4前言 应说明本设计的目的、意义、范围及应达到的技术要求；简述本课题 在国内（外）的发展概况及存在的问题；本设计的指导思想；阐述本设 计应解决的主要问题。 5正文 （1）设计方案论证：应说明设计原理并进行方案选择。应说明为什么要 选择这个方案（包括各种方案的分析、比较）；还应阐述所采用方案的 特点（如采用了何种新技术、新措施、提高了什么性能等）。 （2）设计及计算部分：这是设计说明书的重要组成部分，应详细写明设 计结果及计算结果。 （3）样机或试件的各种实验及测试情况：包括实验方法、线路及数据处 理等。 （4）方案的校验：说明所设计的系统是否满足各项性能指标的要求，能 否达到预期效果。校验的方法可以是理论分析（即反推算），包括系统 分析；也可以是实验测试及计算机的上机运算等。 6结论 概括说明本设计的情况和价值 ，分析其优点、特色，有何创新，性能 达到何水平，并指出其中存在的问题和今后的改进方向。 7谢辞 简述自己通过本设计的体会，并对指导老师和协助完成设计的有关人 员表示谢意。 8参考文献 应列出主要参考文献。 9附录 将各种篇幅较大的图纸、数据表格、计算机程序等作为附录附于说明 书之后。 二、毕业论文撰写的主要内容与基本要求 1题目 题目应该简短、明确，要有概括性，让人看后能大致了解文章的确切 内容、专业的特点和学科的范畴。题目的字数要适当，一般不宜超过 20 字。字体为 2中外文摘要及关键词 摘要也称内容提要，应当以浓缩的形式概括研究课题的主要内容、方 法和观点，以及取得的主要成果和结论，应反映整个论文的精华。中 文摘要约 300 字左右为宜，同时要求写出 250 个实词左右的外文摘要。 关键词 3-5 个。摘要应写得扼要、准确，一般在毕业论文全文完成后 再写摘要。在写作中要注意以下几点： （1）用精练、概括的语言表达，每项内容均不宜展开论证。 （2）要客观陈述，不宜加主观评价。 （3）成果和结论性意见是摘要的重点内容，在文字上用量较多，以加 深读者的印象。 （4）要独立成文，选词用语要避免与全文尤其是前言和结论雷同。 （5）既要写得简短扼要，又要行文活泼，在词语润色、表达方法和章法 结构上要尽可能写得有文采，以唤起读者对全文的阅读的兴趣。 3目录（必要时） 论文编写完成后，为了醒目和便于读者阅读，可为论文编写一个目录。 目录可分章节，每一章节之后应编写页码。 4前言 前言是全篇论文的开场白，它包括： （1）选题的缘由。 （2）对本课题已有研究情况的评述。 （3）说明所要解决的问题和采用的手段、方法。 （4）概括成果及意义。 作为摘要和前言，虽然所定的内容大体相同，但仍有很大的区别。区 别主要在于：摘要一般要写得高度概括、简略，前言则可以稍微具体 些；摘要的某些内容，如结论意见，可以作为笼统的表达，而前言中所 有的内容则必须明确表达；摘要不写选题的缘由，前言则明确反映；在 文字量上前言一般多于摘要。 5正文 正文是作者对自己研究工作的详细表述。它占全文的较多篇幅。主要 内容包括研究工作的基本前提、假设和条件；模型的建立，实验方案 的拟定；基本概念和理论基础；设计计算的主要方法和内容；实验方法、 内容及其结果和意义的阐明；理论论证，理论在实际中的应用等等。 根据课题的性质，论文正文允许包括上述部分内容。正文的写作要求： （1）理论分析部分应写明所作的假设及其合理性，所用的分析方法、 计算方法、实验方法等哪些是别人用过的，哪些是自己改进的，哪些 是自己创造的，以便指导教师审查和纠正。这部分所占篇幅不宜过多， 应以简练、明了的文字概略表达。 （2）课题研究的方法与手段分别用以下几种方法说明： a用实验方法研究课题，应具体说明实验用的装置、仪器、原材料的 性能是否标准，并应对所有装置、仪器、原材料做出检验和标定。对实 验的过程或操作方法，力求叙述得简明扼要，对人所共知的或细节性 的内容不必详述。 b用理论推导的手段和方法达到研究目的的，这方面内容一定要精 心组织，做到概念准确，判断推理符合客观事物的发展规律，符合人 们对客观事物的认识习惯与程序。换言之，要做到言之有序，言之有 理，以论点为中枢，组织成完整而严谨的内容整体。 c用调查研究的方法达到研究目的的，调查目标、对象、范围、时间、 地点、调查的过程和方法等，这些内容与研究的最终结果有关系，但 不是结果本身，所以，一定要简述。但对调查所提供的样本、数据、新 的发现等则应详细说明，这是结论产生的依据。若写得抽象、简单、结 论就立之不牢，分析就难以置信，写作中应特别予以重视。 （3）结果与讨论是全文的心脏，一般要占较多篇幅，在写作时，应对研 究成果精心筛选，把那些必要而充分的数据、现象、样品、认识等挑选 出来，写进去，作为分析的依据，应尽量避免事无巨细，把所得的结果 和盘托出。在对结果作定性和定量分析时，应说明数据的处理方法以 及误差分析，说明现象出现的条件及其可观性，交代理论推导中认识 的由来和发展，以便别人以此为依据进行核实验证，对结果进行分析 后所得的结论和推论，也应说明其使用的条件与范围。恰当运用表和 图作结果与分析，是科技论文通用的一种表达方式。 6结论 结论包括对整个研究工作进行归纳和综合而得出的总结；所得结果与 已有结果的比较以及在本课题的研究中尚存在的问题；对进一步开展 研究的见解与建议。它集中反映作者的研究成果，表达作者对所研究 课题的见解和主张，是全文的思想精髓，是文章价值的体现。一般写 得概括、篇幅较短。撰写时应注意下列事项： （1）结果要简单、明确。在措辞上应严密，容易被人领会。 （2）结果应反映个人的研究工作，属于前人和他人已有过的结论可不 提。 （3）要实事求是地介绍自己研究的成果，切忌言过其实，在无充分把 握时，应留有余地。因为对科学问题的探索是永无止境的。 7注释 如有引用他人成果的，一定要有注释。不管在论文的哪一部分，采用 到前人的观点、方法、结论、成果时，都必须注明其来源。如不这样做， 就有抄袭、剽窃、侵权之嫌。 8参考文献与附录 参考文献与附录是毕业论文不可缺少的组成部分。它反映毕业论文的 取材来源、材料的广博程度及可靠程度。一份完整的参考文献也是向 读者提供的一份有价值的信息资料。引用参考文献时，必须注意写法 的规范性。 此外，有些不宜放在正文中，但有参考价值的内容，可编入论文的附 录中，如公式的推演、编写的算法语言程序等。 如果论文中引用的符号较多，为了节省论文的篇幅，并且便于读者查 对，可以编写一个符号说明，注名符号所代表的意义。 9谢辞 谢辞是在论文的结尾处，以简短文字，对课题研究与写作过程中曾给 予支持的人员，如指导老师及其他的人员，表示自己的谢意。这不仅 是一种礼貌，也是对他人劳动的尊重，是治学者应有的思想作风。 三、毕业设计（论文）格式要求： 1、内容：标题、署名、中英文摘要、正文。其中署名必须注明学院、专 业、学生姓名、指导教师姓名。 大学毕业设计（论文）任务书 大学大学 毕业设计（论文）任务书毕业设计（论文）任务书 题 目： 学 院： 教研室： 专 业： 班 级： 学 号： 姓 名： 起止日期： 指导教师： 职称： 教研室主任： 审核日期： 说说 明明 毕业设计（论文）任务书由指导教师填写，并经教研室审定，下达 到学生。 进度表分前、中、后三期由学生填写，每期填写后交指导教师签署 审查意见，并作为毕