网站技术方案全解

XXXXXXX有X限公司网站系统技术方案目录第一章网站系统分析1.1系统现状与问题1.2需求说明与分析第二章网站系统项目建设目标第三章项目内容与范围第四章网站技术方案设计报告4.1设计原则与标准4.2系统结构4.2.1网络拓扑结构

4.2.2系统体系架构4.2.3系统技术及应用软件架构4.3各功能模块设计4.3.1首页4.3.2关于我们4.3.3新闻中心4.3.4产品中心4.3.5客户服务4.3.6人才中心4.3.7联系我们4.3.8中英文切换4.3.9企业邮箱登录...1在线交谈信息发布管理兰目管理权限管理用户管理统计管理日志管理1.3.1在线交谈信息发布管理兰目管理权限管理用户管理统计管理日志管理4.4系统安全解决方案可能的安全问题分析系统防护解决方案完善的事件处理4.4.4其他安全防护4.5技术方案总结报告第五章项目建设配套要求5.1运行环境硬件环境第六章项目清单及系统资产6.1.2软硬件设备主要内容清单及系统资产软件6.2.1开发网站功能清单项目实施及培训第一章网站系统分析1・1网站系统现状与问题目前我公司还没有自己的对外网站系统，公司信息资源传播较为滞后，没有得到有效的共享，且缺乏与客户间的交流互动。主要问题如下：1、 公司信息资源没有得到有效的共享，未能及时的面向客户及用户公开，不利于客户及用户及时了解我司产品的最新动态。2、 缺乏与客户和使用者沟通交流，不方便公司了解产品在使用过程中所出现的问题。3、 没有一个网络的平台，展示公司形象以及向社会推广新开发的产品。1.2需求说明与分析公司网站系统对于宣传公司形象、新产品推广的开展起到了重要的作用，为了能够更好的提高服务质量，畅通交流渠道，这就迫切的需要一个技术先进、内容全面、功能合理的平台来收集、综合、管理、发布公司各类信息。现结合现状，对公司网站系统的应用提出以下方面的需求：1、 性能可靠、可扩展性好、运行安全稳定、高效便捷、易于维护。2、 网站栏目内容具备灵活性和可配置性，可单个或批量增删改信息，支持多种发布方式，如纯文本、文本+图片、文本+附件、Office文档，视频、投3、 具备出色的安全性，可过滤敏感内容，限制文件上传类型，可防止SQL注入、防跨站脚本攻击。4、 具备强大的内容编辑功能，类似word，支持可视化编辑、预览等。平台操作、维护简单实用，信息页面展示多样、灵活，分类明确。5、 网站风格要求简明、淡雅、沉稳、实用。第二章网站系统项目建设目标通过本网站的建设，建立功能强大'信息丰富'管理先进'界面美观'使用方便的网站系统，系统应具有强大的内容管理功能，实现对网站内容进行全生命周期的工作流管理。以内容管理为核心，建设全文检索、站群管理等应用系统，提供一个高性能的专业底层支撑系统。网站技术平台需采用业界一流的成熟软件。第三章项目内容与范围本网站系统采用（B/S）模式，部署在XXXXXXXX有限公司网站服务器上，面向互联网用户，为用户提供公司各类公告、产品信息，同时提供在线咨询、投诉等服务，提高网站与用户的互动。本网站功能划分为前台展现与后台管理两个部分，前台可划分为七个大板块，包括：首页、关于我们、新闻中心、产品中心、客户服务、人才中心、联系我们；后台部分功能包括信息发布管理、权限管理、用户管理、栏目管理、统计管理、日志管理。同时优化网站的性能，增强安全防范措施，保证网站的安全稳定运行。第四章网站技术方案设计报告4.1设计原则与标准公司网站系统需遵循先进性、开放性、可靠性、可扩展维护性、经济性原则。先进性：建设起点要高，采用成熟、先进、高效的技术平台。应做到软件技术与硬件技术相匹配、开发工具与平台环境相匹配，从而发挥各自的最大效能。开放性：由于国际计算机技术和网络技术不断发展，所以功能建设要遵循开放性的原则，开放性主要体现在：系统支持多种硬件平台，如PCSERVE、R台式PC等；在系统建设中，将以TCP/IP为主要协议，以实现整个系统的开放性。可靠性：功能具有高度的可靠性。提高可靠性的方法很多，一般有如下做法：采用高可靠性的网络设备，出现故障时能够迅速恢复并有适当的应急措施。关键设备采取冗余设计，以防单点故障。采用网络管理，严格的系统运行控制等系统监控。扩展维护性：提高功能的可扩充性和可维护性是提高其性能的必备手段，系统采用结构和模块化构造，每个模块间保持相对的独立性和灵活性，系统配置、设置参数化。经济性：充分考虑网络系统当前与未来的实际需求，功能增减方便，技术既要尽可能选用国际上最成熟的技术，又要功能机构合理，同时满足技术开发和用户使用的需求，保护用户已有的投资和今后的再投资。4.2系统结构4.2.1网络拓扑结构系统的总体应用架构如下图所示:系统的总体应用架构如下图所示:从应用框架上可以看出，整个系统采用了分层的框架进行设计，数据存储在由关系数据库和全文数据库构成的数据层，充分利用了关系数据库的业务处理能力和全文数据库的海量存储和高性能检索能力。在表现层支持各种用户访问，各级管理员、编辑、公众都可以通过浏览器的接入方式访问网站，享受各种资讯服务。上述的系统的框架具有良好的扩展性，每一层可以通过集群、双击热备或负载均衡技术来部署，在未来负载增加和并发访问压力增大的情况下，可以方便扩展和升级，提升系统的处理能力。4.2.2系统体系架构网站系统分成前台展现与后台管理两个部分，前台可划分为七个大板块，包括：首页、关于我们、新闻中心、产品中心、客户服务、人才中心、联系我们；后台功能包括信息发布管理、栏目管理、权限管理、用户管理、统计管理、日志管理。主要应用到的技术包括、信息安全防范、ajax等，数据资源层可存储文本、附件、多媒体、文档等各类资源。4.2.3系统技术及应用软件架构用户界面NETWebForms用户界面NETWebFormsAJAX面后骨代四Ukh，Interfar«Processirip,PKI身份认证网站采用B/S（浏览器/服务器）模式，使用C#.NET开发技术进行项目的开发，技术框架采用三层体系架构（3-tierapplication），分别为展现应用层、业务逻辑层以及数据持久层。三层体系架构实现了分散关注、松散耦合、逻辑复用、标准定义。展现、应用层：位于最外层（最上层），离用户最近。用于显示数据和接收用户输入的数据，为用户提供一种交互式操作的界面。该层中采用MVC（Model-View-Controller，即模型-视图-控制器）模式，将用户界面与后置代码区分开，利于代码的重用性。而用户界面中，引入AJAX技术，全面提高用户使用体验。业务逻辑层：是系统架构中体现核心价值的部分，它的关注点主要集中在业务规则的制定、业务流程的实现等与业务需求有关的系统设计。在这一层中，引入应用服务器，实现网站业务功能。业务逻辑层在体系架构中的位置很关键，它处于数据访问层（持久层）与表示层中间，起到了数据交换中承上启下的作用。数据持久层：有时候也称为是数据访问层，其功能主要是负责数据库的访问，可以访问数据库系统、二进制文件、文本文档或是XML文档。简单的说法就是实现对数据表的Select，Insert，Update，Delete的操作。如果要加入ORM的元素，那么就会包括对象和数据表之间的mapping，以及对象实体的持久化。4.3各功能模块设计4.3.1首页首页不设子栏目，为网站整体展示。滚动大图展示公司形象，首页底部设置小的滚动图片，展示公司产品信息，用户可直接点击进入相关产品页面。4-3-2关于我们该栏目位于首页导航栏第一位，下设四个子栏目，分别为：公司简介、企业文化、企业荣誉和企业资质；4-3-3新闻中心该栏目位于首页导航栏第二位，下设两个子栏目，分别为：行业动态和公司新闻；可向客户展示行业的最新动态和公司的相关新闻动态。4-3-4产品中心该栏目位于首页导航栏第三位，设四个子栏目，分别为：输液器系列、注射器系列、输注泵系列和配药器系列；向用户呈现公司的产品信息和产品的技术参数。4.3.5客户服务该栏目位于首页导航栏第四位，下设三个子栏目，分别为：技术支持、下载中心和客户留言，其中“技术支持”下再设两个二级子栏目，分别为常见问题和代理条件；为客户解答常见的技术问题及处理方法。也可方便用户下载我公司的相关资质证件。4-3-6人才中，心该栏目位于首页导航栏第五位，下设两个子栏目，分别为：人才策略和招聘信息；呈现我公司的用人策略及招聘信息。4-3-7联系我们该栏目位于首页导航栏第六位，下设两个子栏目，分别为：销售网络和联系方式。4.3.8中英文切换该栏目位于首页右上角，方便用户随时切换中英文浏览网页。4.3.9企业邮箱登录该栏目位于首页右上角，方便我公司内部员工快速登录我公司企业邮箱。4-3-1°在线交谈该栏目位于首页右下角，方便用户随时与我公司专业人员联系，通过QQ工具连接可快速建立供需双方的联系。4.3.11信息发布管理支持管理公司信息的发布、修改、删除、审核、转移、转载等操作，支持批量操作，支持多类型信息的发布，如纯文本、图文'office'附件'多媒体信息等。可配置信息的浏览'评论权。4・3・12栏目管理公司信息以栏目的形式进行分类存储，栏目的建设采用层级模式，以树状结构展示，管理员可以通过选择不同的节点栏目对其进行增删改操作，支持拖放排序。可配置栏目属性，实现各种功能的开启、关闭和权限分配。如配置信息的浏览权、发布权、完全控制权、审核权、签收权，开启或关闭在线评论、访问IP段限制等。4.3.13权限管理主要权限包括：浏览'发布'审核'签收'评论'置顶'转移转载'完全控制等。权限可指定到具体栏目，拥有权限的用户可进行相应的操作。4.3.14用户管理可对用户'组织机构进行管理，包括增删改查操作，用户权限分配，自定义用户角色等。为保证用户帐户的安全性，系统对用户密码进行MD5加密处理，防止其他非法用户进入系统进行数据处理。4.3.15统计管理可统计平台各类数据，如访问量、在线人数、信息发布数量、点击次数等。可按时间段、栏目、用户、自定义角色进行统计，可生成和导出统计报表。4.3.16日志管理实现对系统日志和操作日志进行记录和管理，协助系统管理员完成系统安全与数据查错的工作。系统级日志主要记录：用户登录情况、在线情况、程序出错信息等；数据级日志主要记录：各类数据读写修改、删除等操作的动作。4.4系统安全解决方案4.4.1可能的安全问题分析页面被篡改门户网站一旦被篡改（加入一些敏感的显性内容），常常会引发较大的影响，严重时甚至会造成政治事件。另外一种篡改方式是网页挂马：网页内容表面上没有任何异常，却可能被偷偷的挂上了木马程序。网页挂马虽然未必会给网站带来直接损害，但却会给浏览网站的用户带来损失。在线业务被攻击对企业和个人用户提供在线服务，已经成为门户网站的重要功能。这些服务一旦受到拒绝服务攻击而瘫痪、终止，对业务的正常运转必然造成极大的影响，可能会造成经济损失，严重时甚至会影响社会稳定。机密数据外泄在线业务系统中，总是需要保存一些企业、公众的相关资料，这些资料往往涉及到企业秘密和个人隐私，一旦泄露，会造成企业或个人的利益受损，可能会给单位带来严重的法律纠纷。4.4.2系统防护解决方案WEB安全需求对Web应用的安全防护主要包括如下需求：部署简便，管理集中，操作简洁，性能影响甚微。包括：◊对现有网络拓扑结构无影响。◊方便管理，无需进行复杂的配置。◊对现有WEB服务器的访问速率不能造成太大的影响。◊对正常业务访问不能进行错误的拦截阻断。◊在需要保护的WEB门户服务器前端透明直连部署一台WEB应用防火墙，对网站实行7X24小时的实时监控，保护WEB站点数据不被攻击，避免网页篡改给网站带来的形象损害，避免信息内容不合规等；WEB安全评估网站安全保障是一项系统工程。网站的安全保障当前最为薄弱的环节就在于缺少对WEB防护层面的整体考虑。针对网站的安全评估，需要使用安全扫描、渗透测试、安全监测三个方面的技术手段进行实施评估工作。安全扫描安全扫描采用模拟入侵者的手法，对网站进行模拟攻击。可迅速发现大多数常见的网站安全漏洞，如常见的SQL注入、跨站脚本、目录浏览、应用错误等漏洞。便于指导后期的安全分析和加固工作。安全扫描器技术先进的同时也存在一些无法解决的问题，如网页内容中的恶意代码难识别、程序中的逻辑漏洞等需要人工判断的内容无法实现自动化。安全监测建立网站安全监测平台实现对网站内容的安全监测，主要用于对网页木马监测、网站可用性、关键字监测。通过该平台，可以实现网页木马监测，因为网页木马不同于常规的网站漏洞，具有一定的潜伏性和隐蔽性，常规模拟入侵者的攻击无法发现木马，而需要模拟成一个有漏洞的操作系统去访问这些网页，监测有漏洞的操作系统是否会被网站植入木马。渗透测试渗透测试借助安全专家多年安全测试的经验，使用大量安全工具、安全方法和安全理论相结合，从攻击、防御多个角度出发去识别网站存在的安全风险。相比于工具型扫描渗透测试更多侧重于逻辑类型的安全问题识别叭需要人工辅助类型的安全问题检测，从而可以将网站的安全水平提升到一个新的高度。例如检测出网站存某处敏感信息泄露，可能报告的是低危险级别的安全事件。然后辅助人工则可利用这个敏感信息可能进一步获取网站的管理员账户和密码信息，最终实现完全控制网站的目的。WEB安全防御安全防御是实践安全预警、分析、防御、加固的系统措施的过程，而非部署某一款安全产品这样简单。建议营销管理平台网站安全的防御应至少做到如下三个方面。安全分析安全分析是安全防御的基础，安全分析的重心是安全评估的报告和安全设备的日志汇总信息。通过安全分析可以清晰的认识到当前存在的主要问题以及所面临的安全威胁。安全分析是一个跨部门协调的工作，通常由用户职能部门牵头安全服务商负责整体安全分析的内容纲要，由安全服务商、软件开发商、系统运维人员、业务使用代表等共同参与以最终确定安全防御的目标。安全防护当网站检测出有特定安全问题时将提出相应的安全应对措施。除通用的防护策略之外还提供相关的安全加固对象，满足安全加固策略的实施。安全加固网站安全加固是一个不断改进的过程，随着业务的变更、安全研究的深入等均会促进安全加固工作的展开。安全加固建议：采用硬件WEB应用防火墙加固的同时硬件厂商为用户方提供详细的安全加固建议，便于程序开发商修复存在的安全缺陷。WEB安全建议定期进行专业的安全评估，包括黑盒测试-远程深度安全评估以及白盒测试-本地代码安全评估。针对安全评估结果进行专业安全整改和加固。建立和完善一套有效的安全管理制度，对长虹集团的日常维护和使用进行规范。建立起一套完善有效的应急响应预案和流程，并定期进行应急演练，一旦发现发生任何异常状况可及时进行处理和恢复，有效避免网站业务中断带来损失。定期对相关管理人员和技术人员进行安全培训，提高安全技术能力和实际操作能力。4.4.3完善的事件处理防护体系结构图事前检查针对营销管理平台各WEB应用系统及部分未上线的应用系统，采用WEB应用扫描器进行一次WEB系统全面的OWASPTOP1检0测，可以帮助用户充分了解WEB应用存在的安全隐患，建立安全可靠的WEB应用服务，改善并提升应用系统抗各类WEB应用攻击的能力。-io事中告警针对各类攻击行为及异常访问行为，实时告警并通过各类方式通知给安全管理员，便于快速处理安全事件。事后分析通过系统内部告警日志，实现对攻击源的定位分析，同时提供各类统计分析，方便掌握整个应用系统的动态安全状况及运行状态。4.4.4其他安全防护系统其他安全防护措施包括：◊制定服务器管理的配套制度，编写可行的应急方案，并定期演练。◊设置专门的系统管理员，定期安排专人进行服务器巡检，杜绝安全隐患。◊定期审查服务器巡检记录。◊防止SQL注入。◊防止跨站脚本攻击。◊严格控制系统更新发布，执行工作票管理制度，对于系统程序版本和配置变更进行严格'规范的管理。4.5技木方案心结报告通过上述技术方案，以先进的计算机技术手段建立系统，完全依据现行相关国家及行业标准规程，利用现代系统工程技术'网络信息数据库服务技术'通信技术，为XXXXXXXX有限公司提供了一套完善的'高效的网站系统平台，满足我公司网站的建设与管理的目标。通过主流的分享平台，让用户继续将文章实时时讯'最新产品信息分享出去，让文章能被更广泛的流传，增加我公司网站的访问流量，扩大我公司网站影响力。第五章项目建设配套要求5.1运行环境服务器操作系统:Web服务器软件：数据库存储软客户端：Windows.NET平台：服务器操作系统:Web服务器软件：数据库存储软客户端：Windows.NET平台：2.0版本以上5.2硬件环境应用数据库服务器:IISSQLServer2008数据库16GB物理内存或者更多，500g硬盘存储或以上，高速双网卡;第六章项目清单和系统资产6.1软硬件设备6.1.1主要内容按照第五章项目配套要求，本项目需要采购服务器、windowserver2008操作系统、SQLServer2008数据库。另外，该系统有手机短信功能，需要与移动签订相关短信接口协议。6.1.2清单及项目资产序号采购项规格说明数量单位报价单价报价总价1网站服务器DellR910，E4830CPU4个/32G内存/600G硬盘3个/双冗余电源/3年原厂服务1台2操作系统windowserver2008企业版64位1套3数据库SQLServer2008标准版 1套4天清汉马USG-FW-3610D防火墙线U上架设备，双电源，提供大于10个千兆Combo接口，内存不小于2G，吞吐量不小于6G，若购买VPN授权无用户数限制，设备面板支