2025年计算机技术与软件专业技术资格（水平）考试高级系统分析师真题及答案解析

2025年计算机技术与软件专业技术资格（水平）考试高级系统分析师真题及答案解析一、综合知识（单项选择题，每题1分，共75分）1.若指令流水线将一条指令的执行分为取指、分析和执行3个阶段，各阶段耗时均为1个时钟周期，不考虑相关性和转移，连续执行100条指令大约需要多少个时钟周期？A.100B.102C.103D.300答案：B解析：第一条指令需3个周期，之后每个周期完成一条指令，总周期数=32.某32位地址、按字节编址的主存，配有一个2路组相联映射的Cache，块大小为64B，Cache容量为64KB，则主存地址划分中组索引占多少位？A.6B.7C.8D.9答案：D解析：Cache共有64KB/643.采用海明码进行差错控制，若数据位为8位，则校验位至少需要多少位？A.3B.4C.5D.6答案：B解析：需满足2r≥8+r4.8位补码表示的十进制数−100A.10011100B.11100100C.10011011D.01100100答案：A解析：+1005.关于RISC与CISC，下列叙述正确的是：A.RISC指令格式规整固定，以硬布线控制为主B.RISC指令功能复杂，指令长度不固定C.CISC寻址方式较少，指令周期统一D.CISC强调流水线优化，指令种类少答案：A6.在操作系统中，进程从运行状态转变为就绪状态的典型原因是：A.时间片用完B.等待的I/O操作完成C.进程被创建D.进程运行结束答案：A解析：等待I/O完成使进程从阻塞态变为就绪态；时间片用完则是从运行态变为就绪态。7.3个并发进程共享一台打印机，用信号量S实现互斥，则S的初值及取值范围是：A.0，可取0、1、2、3B.1，可取-3到1C.1，可取-2到1D.3，可取0到3答案：C解析：互斥信号量初值为1，3个进程最多有2个进程处于等待状态，故S最小为1−8.下列各项中，不属于产生死锁的必要条件的是：A.互斥条件B.占有且等待条件C.不可剥夺条件D.资源有序分配答案：D解析：死锁四必要条件为互斥、占有且等待、不可剥夺、循环等待；资源有序分配是死锁预防手段。9.某页式虚拟存储系统为进程分配3个页框，进程按页号序列1、2、3、4、1、2、5、1、2、3、4、5依次访问，采用LRU置换算法，产生的缺页次数是：A.8B.9C.10D.12答案：C解析：LRU淘汰最近最久未使用的页，12次访问中仅第8、9次命中，缺页10次。10.关于UNIX文件系统的索引结点（inode），下列叙述错误的是：A.inode中保存文件的属性信息和数据块索引B.文件名存放在目录项中，目录项与inode号对应C.多个目录项可以指向同一个inodeD.inode中保存文件名答案：D解析：文件名保存在目录项中，inode不保存文件名。11.数据库三级模式结构中，描述数据库全体数据的逻辑结构和特征的是：A.外模式B.模式C.内模式D.物理模式答案：B12.关系模式R(A,B,C,D)，函数依赖集F=A.AB.BC.ABD.AD答案：A解析：由传递依赖知A可决定全部属性且无冗余属性；因B、C、D对主键存在传递依赖，R最高满足2NF。13.事务的原子性是指：A.事务中的操作要么全部成功提交，要么全部不执行B.事务执行前后数据库的完整性约束不被破坏C.并发执行的事务之间互不干扰D.事务一旦提交，其对数据库的改变是永久的答案：A解析：B是一致性，C是隔离性，D是持久性。14.事务T1、T2并发执行，某调度为：T1读A、T2读A、T1写A、T2写A，则该调度：A.是可串行化的，等价于T1先于T2B.是可串行化的，等价于T2先于T1C.是不可串行化的D.不存在冲突操作答案：C解析：T2读A与T1写A构成冲突，但调度中的顺序无法与任一串行调度等价，且存在丢失更新问题。15.关于NoSQL的CAP理论，下列叙述正确的是：A.分布式系统中一致性、可用性、分区容错性三者最多同时满足两个B.网络正常时也必须牺牲一致性C.CAP分别指成本、可用性、性能D.关系数据库不受CAP理论约束答案：A16.在OSI参考模型中，提供端到端可靠传输并进行差错控制与流量控制的层次是：A.网络层B.传输层C.会话层D.数据链路层答案：B17.TCP采用慢启动算法进行拥塞控制，拥塞窗口cwnd从1个MSS出发，不考虑丢包和超时且未达到慢启动阈值，经过4个RTT后cwnd约为：A.4个MSSB.8个MSSC.16个MSSD.32个MSS答案：C解析：慢启动每个RTT窗口翻倍，第4个RTT结束时2418.某单位获得B类地址，需划分30个子网，则子网掩码应为：A.B.C.D.答案：B解析：需要2519.用户在浏览器中输入域名www.abc并回车，DNS解析过程中首先查询的服务器是：A.根域名服务器B.顶级域名服务器C.本地域名服务器D.权威域名服务器答案：C解析：DNS解析由本地域名服务器发起递归查询。20.与HTTP相比，HTTPS增加的安全性主要依赖于：A.TCP的可靠传输B.传输层SSL/TLS加密C.IP层的安全封装D.应用层数字签名答案：B21.下列算法中，属于非对称加密算法的是：A.AESB.DESC.RSAD.MD5答案：C解析：AES、DES为对称加密，MD5为散列算法，RSA为非对称加密。22.数字签名的主要作用是：A.对数据加密以保证机密性B.防止数据在传输中被窃听C.保证数据的完整性、真实性和不可抵赖性D.提高数据传输速率答案：C解析：发送方用私钥对消息摘要加密形成签名，接收方用公钥验证，从而保证完整性与不可抵赖。23.SQL注入攻击是指：A.向数据库中插入大量垃圾数据以占满存储空间B.在输入中拼接恶意SQL代码，使数据库执行非预期的查询或操作C.窃取数据库服务器操作系统口令D.对数据库服务器实施拒绝服务攻击答案：B24.依据我国信息安全等级保护制度，信息系统安全保护等级共分为：A.3级B.4级C.5级D.6级答案：C25.下列措施中，最适用于检测网络中的入侵行为并及时告警的是：A.部署防火墙B.部署入侵检测系统（IDS）C.部署VPN网关D.部署负载均衡器答案：B26.下列软件过程模型中，特别强调风险分析的是：A.瀑布模型B.增量模型C.螺旋模型D.喷泉模型答案：C解析：螺旋模型在每一迭代周期都进行风险分析，属于风险驱动的过程模型。27."系统在1秒内能处理的最大并发事务数不少于500"这一描述属于：A.功能需求B.性能需求C.数据约束D.接口需求答案：B28.依据ISO/IEC25010质量模型，下列属于"安全性"质量特性子特性的一组是：A.保密性、完整性、抗抵赖性、可问责性、真实性B.可用性、易学性、易操作性C.时间行为、资源利用率、容量D.适应性、安装性、替换性答案：A29.白盒测试中，要求程序中每个判定的"真"分支和"假"分支至少各执行一次的覆盖标准是：A.语句覆盖B.判定覆盖C.条件覆盖D.路径覆盖答案：B30.软件交付后，为适应操作系统升级、数据库版本变化等外部环境而进行的修改属于：A.正确性维护B.适应性维护C.完善性维护D.预防性维护答案：B31.在UML中，从用户角度描述系统功能需求、表达系统与外部参与者交互关系的图是：A.类图B.用例图C.状态图D.部署图答案：B32.在UML类图中，表示"整体与部分共存亡"关系的是：A.关联B.聚合C.组合D.依赖答案：C解析：组合关系中部分类不能独立于整体类存在，整体消亡则部分一并消亡；聚合关系中部分可独立存在。33.用于描述多个对象间在某一时间段内的交互过程、强调消息时间顺序的UML图是：A.用例图B.时序图C.部署图D.构件图答案：B34.对单个对象生命周期内的状态变迁（如订单从"待支付"到"已支付"）进行建模，最适合使用：A.活动图B.状态图C.序列图D.通信图答案：B35.关于数据流图（DFD）的分层设计原则，下列叙述错误的是：A.父图与子图的输入/输出数据流必须保持平衡B.子图中加工的编号应与父图中对应加工的编号一致C.任何一个加工都必须既有输入数据流又有输出数据流D.上层数据流图应尽量详细地画出所有底层处理细节答案：D解析：分层DFD的核心是抽象与逐层细化，父图只体现概要处理，细节在子图中展开。36.在管道-过滤器（Pipe-Filter）架构风格中，各过滤器之间的连接件通常是：A.数据流管道B.共享数据仓库C.同步过程调用D.消息总线答案：A37.在GoF设计模式中，观察者（Observer）模式属于：A.创建型模式B.结构型模式C.行为型模式D.并发型模式答案：C38.下列中间件中，主要解决分布式应用间异步、可靠消息传递问题的是：A.数据库中间件B.消息中间件C.远程过程调用中间件D.事务中间件答案：B39.关于面向服务架构（SOA），下列说法错误的是：A.服务之间是松耦合的B.服务通过标准接口进行描述与调用C.所有服务必须部署在同一台服务器上D.服务可以被跨平台复用与组合答案：C40.微服务架构与单体架构相比，最主要优势是：A.各服务可独立开发、部署和扩展B.数据库访问速度更快C.网络通信开销更小D.系统测试工作量更小答案：A解析：微服务通过服务拆分实现独立开发部署与弹性伸缩，但分布式带来网络开销、数据一致性等新问题。41.项目活动网络图（AOE网）中，关键路径是指：A.图中最长的路径，其长度决定项目总工期B.图中人员投入最多的路径C.图中成本最高的路径D.图中最短的路径答案：A42.某项目计划完成10个模块，每个模块预算2万元。目前实际完成4个模块，实际花费12万元，则成本绩效指数CPI为：A.0.5B.0.67C.1.5D.2答案：B解析：EV=4×2=843.在项目管理中，工作分解结构（WBS）的主要作用是：A.对项目交付物及全部工作进行分层分解B.制定项目详细进度计划C.计算项目精确成本预算D.识别项目潜在风险答案：A44.配置管理中，将一组配置项在特定时刻"冻结"，作为后续开发与变更基准的概念是：A.配置项B.基线C.配置库D.配置审计答案：B45.下列风险应对策略中，属于"风险转移"的是：A.为项目购买保险B.采用成熟技术以规避风险C.增加测试人员降低质量风险D.成立应急小组应对突发情况答案：A解析：购买保险将风险后果转移给第三方；规避、减轻、接受是其他常见策略。46.使用企业系统规划法（BSP）进行信息系统规划时，其核心工作是：A.识别企业过程并建立过程与数据类之间的U/C矩阵B.编制企业财务报表C.设计数据库物理结构D.编写系统测试计划答案：A47.ERP系统的核心管理思想是：A.对企业整个供应链资源进行计划、协同与优化管理B.仅管理企业财务账目C.仅优化单台设备的加工效率D.以手工报表替代信息系统答案：A48.业务流程重组（BPR）与业务流程改进（BPI）相比，其主要特征是：A.对流程进行根本性的、彻底性的重新设计B.小步快跑的渐进式优化C.只改进局部作业环节D.不涉及组织架构调整答案：A49.诺兰模型将信息系统发展分为6个阶段，其中实现数据资源统一规划与管理的阶段是：A.初始阶段B.蔓延阶段C.数据管理阶段D.成熟阶段答案：C50.决策支持系统（DSS）的核心组成部分包括：A.数据库、模型库、方法库和友好的人机交互界面B.路由器、交换机与服务器C.传感器、控制器与执行器D.编译器、链接器与调试器答案：A51.我国著作权法规定，自然人对其软件享有的著作财产权的保护期限为：A.作者终生及其死亡后50年B.首次发表后25年C.软件登记后50年D.不受期限限制答案：A52.甲公司委托乙公司开发一套软件，合同未约定著作权归属，则该软件著作权属于：A.甲公司B.乙公司C.甲、乙双方共有D.国家著作权行政管理部门答案：B解析：委托开发软件，合同未约定或约定不明时，著作权属于受托人（乙公司）。53.我国发明专利权的保护期限为：A.10年B.15年C.20年D.50年答案：C解析：发明专利保护期20年，实用新型与外观设计专利保护期10年，均自申请日起计算。54.下列标准中，由国际标准化组织（ISO）制定的是：A.GB/T22239B.IEEE802.3C.ISO/IEC25010D.ANSIX3.159答案：C55.依据我国相关法律，商业秘密的构成要件不包括：A.秘密性B.价值性C.权利人采取了保密措施D.已经申请专利答案：D解析：已申请专利的技术方案须公开，不再属于商业秘密。56.在云计算服务模型中，向用户提供可直接使用的应用软件服务的是：A.IaaSB.PaaSC.SaaSD.DaaS答案：C57.Hadoop生态系统中，用于分布式文件存储的组件是：A.HDFSB.MapReduceC.YARND.ZooKeeper答案：A58.区块链中各节点对新区块的有效性达成一致所依赖的机制是：A.共识机制B.数据分片机制C.缓存机制D.索引机制答案：A59.下列应用中，属于机器学习中监督学习典型场景的是：A.利用已标注邮件样本训练分类模型以识别垃圾邮件B.利用聚类算法对客户进行分群C.利用深度优先搜索求解迷宫路径D.利用专家系统规则进行疾病诊断答案：A60.物联网体系架构中，负责感知、采集物理世界信息的层次是：A.感知层B.网络层C.应用层D.平台层答案：A61."一个类应该只有一个引起它变化的原因"体现的面向对象设计原则是：A.开闭原则B.单一职责原则C.里氏替换原则D.依赖倒置原则答案：B62.在结构化分析与设计中，数据字典中不包括下列哪类条目：A.数据项B.数据流C.数据存储D.程序代码答案：D63.在用例描述中，下列哪一项通常不作为用例描述的内容：A.前置条件B.基本事件流C.备选事件流D.数据库表结构答案：D解析：用例描述聚焦于系统与参与者的交互行为，不包含数据库内部表结构细节。64.模块A将控制开关标志通过参数传递给模块B，B根据该标志选择不同的执行路径，这种模块耦合属于：A.数据耦合B.标记耦合C.控制耦合D.公共耦合答案：C解析：传递控制信息并影响接收方内部逻辑的耦合为控制耦合，应尽量将其转换为数据耦合。65.强制访问控制（MAC）与自主访问控制（DAC）相比，主要特点是：A.由系统依据安全标签统一控制主体对客体的访问，用户不能随意转让权限B.由资源所有者自主决定访问权限C.所有用户均无法登录系统D.不需要任何安全策略答案：A66.Amdahl定律表明，对系统中某功能进行加速后，系统整体加速比主要受限于：A.该功能在系统总执行时间中所占的比例B.CPU主频C.内存容量D.网络带宽答案：A解析：整体加速比S=1/[(67.某系统的平均无故障时间MTBF为900小时，平均故障修复时间MTTR为100小时，则该系统的可用性为：A.0.8B.0.9C.0.95D.0.99答案：B解析：可用性A=68.在Web服务体系中，用于描述服务接口（服务名、消息、操作、绑定地址等）的标准语言是：A.WSDLB.SOAPC.RESTD.UDDI答案：A69.数据仓库与操作型数据库（OLTP系统）相比，其主要特征为：A.面向主题、集成、非易失、随时间变化B.面向应用、以实时事务处理为主C.数据频繁更新、注重当前值D.只保存最新一条记录答案：A70.在数据库设计中，将ER图转换为关系模式属于下列哪个阶段的任务：A.需求分析阶段B.概念结构设计阶段C.逻辑结构设计阶段D.物理结构设计阶段答案：C阅读下列英文短文，从每题所给的A、B、C、D四个选项中选出最佳选项（71-75）。Service-OrientedArchitecture(SOA)isasoftwaredesignstyleinwhichapplicationsareorganizedasacollectionof71services.Theseservicesexposetheirfunctionsthroughstandard72protocols,suchasSOAPandREST.Oneofthemajor73ofSOAisthatservicesarelooselycoupled,whichmeansthattheyarerelatively74ofoneanother.Asaresult,organizationscanrapidly75newbusinessprocessesbyreusingexistingservices.A.tightlycoupledB.looselycoupledC.separatelycompiledD.freelydistributed答案：BA.communicationB.encryptionC.routingD.addressing答案：AA.costsB.limitationsC.advantagesD.risks答案：CA.independentB.dependentC.supportiveD.inclusive答案：AA.removeB.assembleC.destroyD.simplify答案：B二、案例分析（5题选做3题，每题25分，共75分）1.某高校图书馆拟开发"图书借还管理系统"，主要功能如下：读者查询图书（系统根据馆藏图书数据库返回图书状态）；读者借书（系统校验读者身份与借阅权限，通过后登记借阅记录并修改馆藏数量）；读者还书（系统登记归还信息，若超期则计算罚款并生成罚款通知）；图书管理员维护图书信息（新增、修改、删除）。问题1（8分）：画出该系统的顶层数据流图（顶层图），标明外部实体、加工和数据流。问题2（9分）：将系统分解为底层加工，画出1层数据流图（可仅列出加工名称、数据存储及数据流方向）。问题3（8分）：判断下列关于数据流图设计原则的叙述是否正确，并说明理由：（1）一个加工可以有多条输入数据流和多条输出数据流；（2）两个加工之间可以直接相连，无需通过数据流；（3）父图中加工的输入/输出数据流必须与子图的输入/输出数据流保持一致。答案：问题1（8分）：顶层图包含两个外部实体：读者、图书管理员；一个加工：图书借还管理系统；数据存储：图书信息库、读者信息库、借阅记录库。主要数据流为：读者向系统发送查询条件、借书请求、还书请求；系统向读者返回图书信息、借阅结果、罚款通知；管理员向系统提交图书维护信息；系统向管理员返回维护结果。问题2（9分）：1层图可分解为5个加工：1图书查询（读取图书信息库，返回可借状态）；2借书处理（校验读者身份与权限，登记借阅记录，修改馆藏数量）；3还书处理（登记归还信息，判断超期，生成罚款通知）；4图书信息维护（对图书信息库进行增删改）；5借阅统计（统计借阅数据，生成统计报表）。上述加工分别与图书信息库、读者信息库、借阅记录库交互，数据流向与功能描述对应。问题3（8分）：（1）正确。一个加工可以有多个输入和多个输出数据流，但应保证数据守恒，即输入与输出应合理对应。（2）错误。加工之间不能直接相连，必须通过数据流传递数据，否则无法表达信息的流动。（3）正确。这是DFD分层的平衡原则，父图某加工的I/O数据流必须与其子图的I/O数据流一致。2.某在线考试系统的数据库涉及以下实体：考生（考生号、姓名、身份证号、所属单位）；试卷（试卷号、试卷名称、总分、考试时长）；试题（试题号、题干、题型、参考答案）。已知：一份试卷包含多道试题，一道试题可出现在多份试卷中，且同一道试题在不同试卷中的分值可以不同；一个考生可参加多份试卷的考试，每次考试有开始时间、结束时间和得分。问题1（6分）：画出该系统的ER图（实体、属性、联系及联系属性）。问题2（8分）：将ER图转换为关系模式，指出每个关系模式的主键和外键。问题3（6分）：若关系模式"考生"中存在函数依赖考生号→身份证号、身份证号→所属单位，则该模式最高满足第几范式？若需规范化为3NF，请给出分解结果。问题4（5分）：写出查询"参加《2025年系统分析师模拟卷》考试的考生姓名及得分"的SQL语句。答案：问题1（6分）：ER图中包含三个实体：考生（考生号、姓名、身份证号、所属单位），试卷（试卷号、试卷名称、总分、考试时长），试题（试题号、题干、题型、参考答案）。试卷与试题之间存在M:N联系"包含"，属性为"本题分值"；考生与试卷之间存在M:N联系"参加"，属性为"开始时间、结束时间、得分"。问题2（8分）：转换后的关系模式如下：（1）考生（考生号，姓名，身份证号，所属单位），主键为考生号；（2）试卷（试卷号，试卷名称，总分，考试时长），主键为试卷号；（3）试题（试题号，题干，题型，参考答案），主键为试题号；（4）试卷-试题（试卷号，试题号，本题分值），主键为（试卷号，试题号），外键为试卷号、试题号；（5）考试记录（考生号，试卷号，开始时间，结束时间，得分），主键为（考生号，试卷号），外键为考生号、试卷号。问题3（6分）：存在传递依赖考生号→所属单位（考生号→身份证号，身份证号→所属单位），因此该模式最高满足2NF，不满足3NF。分解为3NF：考生（考生号，姓名，身份证号），主键为考生号；人员身份（身份证号，所属单位），主键为身份证号。问题4（5分）：SELECT考生.姓名,考试记录.得分

FROM考生,考试记录,试卷

WHERE试卷.试卷名称='2025年系统分析师模拟卷'

AND考试记录.试卷号=试卷.试卷号

AND考生.考生号=考试记录.考生号;（使用JOIN连接写法亦可。）3.某大型电商平台拟对核心系统进行架构升级，要求：支持高并发访问，系统7×24小时可用，业务功能可独立部署与扩展，商品浏览、下单支付等核心链路实时性要求高。技术团队在单体架构、SOA和微服务架构之间进行选型。问题1（6分）：从可用性、可扩展性、可维护性三个方面，比较微服务架构与单体架构的优劣。问题2（7分）：为满足高并发与高可用要求，请从架构层面提出至少4项技术措施。问题3（6分）：在微服务架构中，服务发现有哪两种主要方式？说明二者的区别。问题4（6分）：微服务架构下网络分区可能导致数据不一致，请解释BASE理论，并列举实现最终一致性的常见手段。答案：问题1（6分）：（1）可用性：单体架构部署简单，但单点故障会影响整个系统；微服务可进行故障隔离和多副本部署，局部故障不影响全局，可用性更高，但运维复杂度增加。（2）可扩展性：单体架构只能整体伸缩，易造成资源浪费；微服务可按热点服务独立伸缩，扩展粒度更细、能力更强。（3）可维护性：单体代码耦合度高，修改与回归影响范围大；微服务服务边界清晰，可独立开发、测试与部署，维护效率更高，但分布式调试、数据一致性维护成本上升。问题2（7分）：任选4项以上：（1）采用负载均衡（Nginx、F5等）分发请求，消除单点瓶颈；（2）引入分布式缓存（如Redis），降低数据库访问压力；（3）使用消息队列（如Kafka、RocketMQ）削峰填谷，实现异步解耦；（4）数据库读写分离与分库分表，提升数据层吞吐能力；（5）服务多实例集群部署，结合健康检查与自动故障转移；（6）应用无状态化设计，配合容器编排平台（如Kubernetes）实现弹性伸缩；（7）建设全链路监控体系与多活容灾机房。问题3（6分）：两种方式为客户端发现和服务端发现。客户端发现：客户端直接向注册中心获取服务实例列表，并自行完成负载均衡（如SpringCloud配合Ribbon），实现简单，但客户端与服务注册中心耦合。服务端发现：客户端请求先到达路由网关或负载均衡器，由网关查询注册中心并转发到具体实例（如Nginx、Zuul配合注册中心），对客户端透明、管理集中，但网关本身需要高可用设计。问题4（6分）：BASE理论指基本可用（BasicallyAvailable）、软状态（SoftState）和最终一致（EventuallyConsistent），即在分布式系统中不强求强一致性，允许系统在某个时刻处于中间状态，通过异步补偿机制最终达到数据一致。常见实现手段包括：本地消息表+消息队列的可靠消息最终一致性方案、事务性消息（如RocketMQ半消息机制）、Saga补偿事务、Seata等分布式事务框架的AT/TCC模式，以及定时对账与补偿任务。4.某企业网上银行系统对外提供转账、余额查询和在线支付功能，该系统面临的典型威胁包括SQL注入、跨站脚本（XSS）、口令暴力破解、中间人攻击和DDoS攻击。问题1（6分）：针对SQL注入攻击，请给出至少3种防护措施。问题2（6分）：简述HTTPS建立安全连接的主要过程要点。问题3（6分）：针对DDoS攻击，请提出至少4种缓解措施。问题4（7分）：安全审计发现系统使用MD5直接存储用户口令。请说明该做法的风险，并提出改进方案。答案：问题1（6分）：（1）使用参数化查询或预编译语句，严禁拼接SQL字符串；（2）对用户输入进行严格校验与过滤，采用白名单机制限制特殊字符；（3）数据库账户遵循最小权限原则，应用连接账号不授予管理员权限；（4）部署Web应用防火墙（WAF）进行实时检测与拦截；（5）屏蔽并向用户隐藏数据库错误信息，防止攻击者利用报错信息探测结构。问题2（6分）：（1）服务器配置由CA签发的数字证书，证书中包含服务器公钥与身份信息；（2）客户端验证证书的合法性（有效期、CA信任链、域名匹配）；（3）TLS握手阶段协商加密套件，通过非对称加密算法（如RSA、ECDHE）安全交换会话密钥；（4）双方由预主密钥派生对称会话密钥，此后应用数据使用对称加密（如AES）传输，并附带消息认证码保证完整性。问题3（6分）：任选4项以上：（1）部署云端高防DDoS清洗服务，对攻击流量进行牵引与清洗；（2）利用负载均衡与弹性扩容提升系统容量，消耗攻击流量；（3）配置速率限制（限流）与访问控制策略，辅以验证码机制；（4）采用CDN分散源站流量，隐藏真实服务器IP；（5）在网络层实施黑洞路由或近源清洗，与运营商协同封堵攻击源；（6）建立全流量监控与告警机制，及时发现并处置异常流量。问题4（7分）：风险：MD5属于快速散列算法，抗碰撞能力弱，且不加盐的MD5值可被彩虹表快速反查；一旦口令散列值泄露，攻击者可批量还原口令，进而实施撞库攻击。改进方案：（1）采用加随机盐（salt）的慢速散列算法，如bcrypt、scrypt、PBKDF2或Argon2；（2）对存量MD5口令，通过"随机盐重哈希"实现平滑迁移，或强制用户在下次登录时重置口令；（3）增加登录失败次数限制、双因素认证、异常登录告警，并实施口令复杂度与定期更换策略。5.某系统集成项目计划总工期60天，总预算600万元。项目进行到第30天时，项目经理统计得到：计划价值PV为300万元，挣值EV为240万元，实际成本AC为360万元。项目活动网络图的关键路径为A→B→C→D→E，各活动历时依次为10天、15天、10天、15天、10天。问题1（6分）：计算第30天时项目的进度偏差SV、成本偏差CV、进度绩效指数SPI和成本绩效指数CPI，并说明项目当前的进度与成本状态。问题2（6分）：若认为当前成本偏差属于典型偏差（按当前CPI继续执行），请计算完工估算EAC。问题3（6分）：求该项目的关键路径及总工期。问题4（7分）：活动D最多可压缩5天，每压缩1天增加成本15万元；活动E每压缩1天增加成本20万元。若客户要求总工期缩短5天，应优先压缩哪些活动？最少增加多少成本？答案：问题1（6分）：SVCVSPCP两个绩效指数均小于1，表明项目当前进度滞后且成本超支。问题2（6分）：典型偏差下，EA也可按下式计算：EA问题3（6分）：A→B→C→D→E即为关键路径，总工期=10问题4（7分）：压缩工期必须沿关键路径进行，并优先选择单位赶工成本最低的关键活动。活动D的赶工成本为15万元/天，低于活动E的20万元/天，且D最多可压缩5天，刚好满足缩短5天的要求。因此应优先压缩活动D共5天，最少增加成本5×三、论文（4题选做1题，共75分）1.论软件需求工程中的需求获取与分析方法请围绕"需求获取与分析方法"这一主题，结合你参与过的信息系统项目，从需求获取、需求分析、需求规格说明与验证、需求管理等方面进行论述。摘要控制在300～400字，正文不少于2500字。答案：写作要点提示：（1）摘要部分应概括论文所选项目背景、采用的需求工程方法及主要结论，做到独立可读。（2）引言：介绍项目规模、业务复杂度和需求工程面临的挑战，说明需求质量对项目成败的影响。（3）主体一（需求获取）：结合项目说明所采用的获取方法，如用户访谈、问卷调查、原型法、头脑风暴、现场观察等，并说明不同方法的适用场景与组合策略。（4）主体二（需求分析）：阐述采用的结构化分析方法（DFD、数据字典）或面向对象分析方法（用例建模、领域类图），说明如何对需求进行分类（功能性、非功能性）与建模。（5）主体三（规格说明与验证）：说明需求规格说明书的组织方式，以及通过需求评审、原型确认、可跟踪性检查等手段验证需求的正确性与完整性。（6）主体四（需求管理）：结合项目实际论述需求变更控制流程、需求跟踪矩阵、版本管理及沟通机制，给出应对需求频繁变更的具体措施。（7）总结：归纳需求工程实践的效果与体会，提出改进方向。解析：论文评分重点关注：是否结合真实项目而非泛泛而谈；需求获取、分析、验证、管理各环节是否完整；方法运用是否得当；论文结构是否清晰、理论与实践结合是否紧密。空谈理论、缺乏项目实例的论文难以获得高分。2.论软件体系结构风格及其在系统设计中的应用请围绕"软件体系结构风格"这一主题，结合你参与开发的实际系统，论述架构风格的选择依据、架构设计过程及架构评估方法。摘要控制在300～400字，正文不少于2500字。答案：写作要点提示：（1）摘要：概述项目背景、所选架构风格、设计方法与最终效果。