经费预算系统网络安全设计.docVIP

经费预算系统网络安全设计 　　摘要：介绍了基于B/S架构、ASP.NET平台的经费预算系统的网络安全设计，分析了经费预算系统的安全机制，给出了经费预算系统安全性的技术要点。 　　关键词：B/S架构；ASP.NET；身份验证；授权 　　中图分类号：TP309.1 文献标识码：A文章编号：1007-9599 (2012) 01-0000-02 　　Network Security Design in the Budget System 　　Xiao Zu,Zhao Lun 　　(Zhaotong Teachers College,Zhaotong657000,China) 　　Abstract:This paper describes the network security design based on B/S architecture,ASP.NET platform funding budget system,budget system security mechanisms,given the budget system security techniques. 　　Keywords:B/S architecture;ASP.NET;Authentication;Authorization 　　Internet技术的发展，促使了软件架构的推陈出新，新兴的B/S架构正在取代传统的C/S架构，成为当前应用系统的主流结构。B/S架构的经费预算系统以网络传输协议HTTP为基础，不进行客户端软件的开发，客户端通过浏览器访问业务逻辑服务器获取服务，数据库服务器独立于业务处理的一个应用系统。B/S架构降低了开发和维护成本，扩展性也更加良好。因此，B/S架构的应用系统对网络环境的安全性设计提出了更严格的要求。本文以经费预算系统的开发为例，阐述了基于ASP.NET平台开发的B/S架构的经费预算系统的安全设计，从系统架构、身份验证、授权、数据库访问等方面分析了如何保障数据和系统的安全。 　　一、经费预算系统的系统架构安全性 　　经费预算系统基于B/S架构，B/S架构由表示层、业务逻辑层、数据访问层组成三层体系结构。表示层也就是展现给用户的用户界面，这一层主要是由网页浏览器组成；业务逻辑层由业务处理单元构成，完成用户的业务处理请求；数据访问层直接操作数据库，对数据进行管理；各层之间不能跨层访问。在这种结构中层与层之间的相互独立，通过专门的接口联系，用户不直接操纵数据库，而是通过业务逻辑层提供的接口使用数据，业务逻辑层经过数据访问层实现对数据库的操纵。这样显示、业务逻辑、数据就进行了分离，减少了各功能模块的耦合度。降低了因客户端存在的隐患对数据库带来损失的风险，从软件架构上保证了系统的安全。 　　二、ASP.NET安全技术在经费预算系统中的应用 　　ASP.NET是Microsoft公司开发出来的能与Web集成的Web应用程序开发工具，它将Web的两大技术（HTML和HTTP），与成熟的面向对象方法结合在一起，为开发者提供了一整套框架，让开发者能够很容易的架构、开发和部署基于Web的应用程序。安全作为Web应用程序的重要组成部分，需要在应用程序的开发伊始纳入规划，为了满足相关的安全需求，ASP.NET用内置的安全功能来满足这一需求。ASP.NET安全模型提供了用户验证、授权、禁止访问敏感资源、保护服务器上的存储的数据和保护网络上传输的数据几种方式来实现Web应用程序中的安全机制。经费预算系统运行在网络环境下，对每一个使用系统的用户必须进行验证，以确保知道是谁在使用系统。用户验证之后，必须进行相关的授权操作，以决定该用户能够进行什么样的操作，可以访问什么样的资源。因为系统所涉及的数据属于敏感数据，还应考虑相关数据的机密性和完整性。 　　（一）身份验证。身份验证是发现登录用户的身份并保证此身份真实性的过程。在ASP.NET应用程序中，可以通过四种方式来实现身份验证：Windows身份验证、表单验证、Passport验证和自定义验证流程。由于经费预算系统的用户复杂，权限级别不同，登录地点不固定。因此，在系统中我们采用了四种验证方式中最为灵活的表单验证。在这种方式下，系统自定义了一个登录界面，该页面验证系统用户数据库中的用户名和密码，如果验证成功，则ASP.NET运行库会自动设置验证Cookie并转到用户请求的页面。常规下，系统的表单验证服务使用Cookie机制来验证用户，当用户登录系统以后将得到一个包含用户基本信息的身份证明，这些信息被存放在加密过的Cookie中，Cookie和响应绑定，当用户提交后续请求时，每一次都会自动提交到服务器，直到用户退出系统。 　　（二）授权。授权是验证一个身份合法的用户是否拥有足够权限来