XXXXXXXX有限公司网站系统技术方案目录第一章网站系统分析1.1系统现状与问题1.2需求说明与分析第二章网站系统项目建设目标第三章项目内容与范围第四章 网站技术方案设计报告4.1设计原则与标准4.2系统结构4.2.1网络拓扑结构4.2.2系统体系架构4.2.3系统技术及应用软件架构4.3各功能模块设计4.3.1首页4.3.2关于我们4.3.3新闻中心4.3.4产品中心4.3.5客户服务4.3.6人才中心4.3.7联系我们4.3.8中英文切换4.3.9企业邮箱登录4.3.10交谈4.3.11信息发布管理4.3.12栏目管理4.3.13权限管理4.3.14用户管理4.3.15 统计管理4.3.16日志管理4.4系统安全解决方案4.4.1可能的安全问题分析4.4.2系统防护解决方案4.4.3完善的事件处理4.4.4其他安全防护4.5技术方案总结报告第五章项目建设配套要求5.1运行环境5.2硬件环境第六章项目清单及系统资产6.1软硬件设备6.1.1主要内容6.1.2清单及系统资产6.2软件开发6.2.1网站功能清单6.3项目实施及培训第一章网站系统分析1.1网站系统现状与问题目前我公司还没有自己的对外网站系统，公司信息资源传播较为滞后，没有得到有效的共享，且缺乏与客户间的交流互动。
主要问题如下：1、 公司信息资源没有得到有效的共享，未能及时的面向客户及用户公开，不利于客户及用户及时了解我司产品的最新动态2、 缺乏与客户和使用者沟通交流，不方便公司了解产品在使用过程中所出 现的问题3、 没有一个网络的平台，展示公司形象以及向社会推广新开发的产品1.2需求说明与分析公司网站系统对于宣传公司形象、新产品推广的开展起到了重要的作用， 为了能够更好的提高服务质量，畅通交流渠道，这就迫切的需要一个技术先 进、内容全面、功能合理的平台来收集、综合、管理、发布公司各类信息现结合现状，对公司网站系统的应用提出以下方面的需求：1、 性能可靠、可扩展性好、运行安全稳定、高效便捷、易于维护2、 网站栏目内容具备灵活性和可配置性，可单个或批量增删改信息，支持 多种发布方式，如纯文本、文本+图片、文本+附件、Office文档，视频、投 示寺3、 具备出色的安全性，可过滤敏感内容，限制文件上传类型，可防止SQL 注入、防跨站脚本攻击4、 具备强大的内容编辑功能，类似word，支持可视化编辑、预览等平台 操作、维护简单实用，信息页面展示多样、灵活，分类明确5、 网站风格要求简明、淡雅、沉稳、实用。
第二章网站系统项目建设目标通过本网站的建设，建立功能强大、信息丰富、管理先进、界面美观、使用 方便的网站系统，系统应具有强大的内容管理功能，实现对网站内容进行全 生命周期的工作流管理以内容管理为核心，建设全文检索、站群管理等应 用系统，提供一个高性能的专业底层支撑系统网站技术平台需采用业界一 流的成熟软件第三章项目内容与范围本网站系统采用（B/S）模式，部署在XXXXXXXX有限公司网站服务器上，面 向互联网用户，为用户提供公司各类公告、产品信息，同时提供咨询、 投诉等服务，提高网站与用户的互动本网站功能划分为前台展现与后台管理两个部分，前台可划分为七个大板块，包括： 首页、关于我们、新闻中心、产品中心、客户服务、人才中心、联系我们；后台部分 功能包括信息发布管理、权限管理、用户管理、栏目管理、统计管理、日志管理同 时优化网站的性能，增强安全防范措施，保证网站的安全稳定运行第四章网站技术方案设计报告4.1设计原则与标准公司网站系统需遵循先进性、开放性、可靠性、可扩展维护性、经济性原则1. 先进性：建设起点要高，采用成熟、先进、高效的技术平台应做到软 件技术与硬件技术相匹配、开发工具与平台环境相匹配，从而发挥各自的 最大效能。
2. 开放性：由于国际计算机技术和网络技术不断发展，所以功能建设要遵 循开放性的原则，开放性主要体现在：系统支持多种硬件平台，如PC SERVER、 台式PC等；在系统建设中，将以TCP/IP为主要协议，以实现整个系统的开 放性3. 可靠性：功能具有高度的可靠性提高可靠性的方法很多，一般有如下 做法：采用高可靠性的网络设备，出现故障时能够迅速恢复并有适当的应急 措施关键设备采取冗余设计，以防单点故障采用网络管理，严格的系统 运行控制等系统监控4. 扩展维护性：提高功能的可扩充性和可维护性是提高其性能的必备手段， 系统采用结构和模块化构造，每个模块间保持相对的独立性和灵活性，系统 配置、设置参数化5. 经济性：充分考虑网络系统当前与未来的实际需求，功能增减方便，技术既要尽可 能选用国际上最成熟的技术，又要功能机构合理，同时满足技术开发和用户使用的需求， 保护用户已有的投资和今后的再投资4.2系统结构4.2.1网络拓扑结构参神堇询垮果 排序系统的总体应用架构如下图所示：莒坦 忌牒券 att岫式统-数裾宜向挂「:应用中间件关暗原 产——k. J "生火黑放削 侦口 ,顷皿 飞广 数据网关 飞厂 药麻L半结的化-非纱枸化迎荆由?-得份从应用框架上可以看出，整个系统采用了分层的框架进行设计，数据存储在 由关系数据库和全文数据库构成的数据层，充分利用了关系数据库的业务处 理能力和全文数据库的海量存储和高性能检索能力。
在表现层支持各种用户访问，各级管理员、编辑、公众都可以通过浏览器的 接入方式访问网站，享受各种资讯服务上述的系统的框架具有良好的扩展性，每一层可以通过集群、双击热备或负载均衡技术 来部署，在未来负载增加和并发访问压力增大的情况下，可以方便扩展和升级，提升系 统的处理能力4.2.2系统体系架构网站系统分成前台展现与后台管理两个部分，前台可划分为七个大板块，包 括：首页、关于我们、新闻中心、产品中心、客户服务、人才中心、联系我们； 后台功能包括信息发布管理、栏目管理、权限管理、用户管理、统计管理、日志 管理主要应用到的技术包括、信息安全防范、ajax等，数据资源层可存 储文本、附件、多媒体、文档等各类资源散据持久层展现、应用层应用程哼服务器Entsrpri se Services通信f FKI身份认证数据模型Data M&SLH i ber ne"t«持久的敬据对善及其集舍Persi st^nt Objects属性配置Hibernate propertiesXML配置XML Mapp ing-SQL Server 2CCS 数据库网站采用B/S （浏览器/服务器）模式，使用C#.NET开发技术进行项目 的开发，技术框架采用三层体系架构（3-tier application），分别为展现应 用层、业务逻辑层以及数据持久层。
三层体系架构实现了分散关注、松散耦 合、逻辑复用、标准定义展现、应用层：位于最外层（最上层），离用户最近用于显示数据和 接收用户输入的数据，为用户提供一种交互式操作的界面该层中采用MVC （Model-View-Controller，即模型-视图-控制器）模式，将用户界面与后 置代码区分开，利于代码的重用性而用户界面中，引入AJAX技术，全面 提高用户使用体验业务逻辑层：是系统架构中体现核心价值的部分，它的关注点主要集中 在业务规则的制定、业务流程的实现等与业务需求有关的系统设计在这一 层中，引入应用服务器，实现网站业务功能业务逻辑层在体系架构中的位 置很关键，它处于数据访问层（持久层）与表示层中间，起到了数据交换中承 上启下的作用数据持久层：有时候也称为是数据访问层，其功能主要是负责数据库的 访问，可以访问数据库系统、二进制文件、文本文档或是XML文档简单的 说法就是实现对数据表的Select， Insert，Update，Delete的操作如果 要加入ORM的元素，那么就会包括对象和数据表之间的mapping，以及对象实体的持久化4.3各功能模块设计4.3.1首页首页不设子栏目，为网站整体展示。
滚动大图展示公司形象，首页底部设置 小的滚动图片，展示公司产品信息，用户可直接点击进入相关产品页面4.3.2关于我们该栏目位于首页导航栏第一位，下设四个子栏目，分别为：公司简介、企业 文化、企业荣誉和企业资质；4.3.3新闻中心该栏目位于首页导航栏第二位，下设两个子栏目，分别为：行业动态和公 司新闻；可向客户展示行业的最新动态和公司的相关新闻动态4.3.4产品中心该栏目位于首页导航栏第三位，设四个子栏目，分别为：输液器系列、注 射器系列、输注泵系列和配药器系列；向用户呈现公司的产品信息和产品 的技术参数4.3.5客户服务该栏目位于首页导航栏第四位，下设三个子栏目，分别为：技术支持、下 载中心和客户留言，其中“技术支持”下再设两个二级子栏目，分别为常 见问题和代理条件；为客户解答常见的技术问题及处理方法也可方便用 户下载我公司的相关资质证件4.3.6人才中心该栏目位于首页导航栏第五位，下设两个子栏目，分别为：人才策略和招 聘信息；呈现我公司的用人策略及招聘信息4.3.7联系我们该栏目位于首页导航栏第六位，下设两个子栏目，分别为：销售网络和联 系方式4.3.8中英文切换该栏目位于首页右上角，方便用户随时切换中英文浏览网页。
4.3.9企业邮箱登录该栏目位于首页右上角，方便我公司内部员工快速登录我公司企业邮箱4.3.10交谈该栏目位于首页右下角，方便用户随时与我公司专业人员联系，通过 工具连接可快速建立供需双方的联系支持管理公司信息的发布、修改、删除、审核、转移、转载等操作，支持 批量操作，支持多类型信息的发布，如纯文本、图文、office、附件、多 媒体信息等可配置信息的浏览、评论权4.3.12栏目管理公司信息以栏目的形式进行分类存储，栏目的建设采用层级模式，以树状 结构展示，管理员可以通过选择不同的节点栏目对其进行增删改操作，支 持拖放排序可配置栏目属性，实现各种功能的开启、关闭和权限分配如配置信息的 浏览权、发布权、完全控制权、审核权、签收权，开启或关闭评论、 访问IP段限制等4.3.13权限管理主要权限包括：浏览、发布、审核、签收、评论、置顶、转移转载、完全 控制等权限可指定到具体栏目，拥有权限的用户可进行相应的操作4.3.14用户管理可对用户、组织机构进行管理，包括增删改查操作，用户权限分配，自定 义用户角色等为保证用户帐户的安全性，系统对用户密码进行MD5加密 处理，防止其他非法用户进入系统进行数据处理。
4.3.15统计管理可统计平台各类数据，如访问量、人数、信息发布数量、点击次数等 可按时间段、栏目、用户、自定义角色进行统计，可生成和导出统计报表4.3.16日志管理实现对系统日志和操作日志进行记录和管理，协助系统管理员完成系统安全 与数据查错的工作系统级日志主要记录：用户登录情况、情况、程序 出错信息等；数据级日志主要记录：各类数据读写修改、删除等操作的动作4.4. 1可能的安全问题分析1. 页面被篡改门户网站一旦被篡改（加入一些敏感的显性内容），常常会引发较大的影 响，严重时甚至会造成政治事件另外一种篡改方式是网页挂马：网页内容表面上没有任何异常，却可能被 偷偷的挂上了木马程序网页挂马虽然未必会给网站带来直接损害，但却 会给浏览网站的用户带来损失2. 业务被攻击对企业和个人用户提供服务，已经成为门户网站的重要功能这些服 务一旦受到拒绝服务攻击而瘫痪、终止，对业务的正常运转必然造成极大 的影响，可能会造成经济损失，严重时甚至会影响社会稳定3. 机密数据外泄业务系统中，总是需要保存一些企业、公众的相关资料，这些资料往 往涉及到企业秘密和个人隐私，一旦泄露，会造成企业或个人的利益受损， 可能会给单位带来严重的法律纠纷。
4.4.2系统防护解决方案1. WEB安全需求对Web应用的安全防护主要包括如下需求：部署简便，管理集中，操作简 洁，性能影响甚微包括：◊对现有网络拓扑结构无影响◊方便管理，无需进行复杂的配置◊对现有WEB服务器的访问速率不能造成太大的影响◊对正常业务访问不能进行错误的拦截阻断◊在需要保护的WEB门户服务器前端透明直连部署一台WEB应用防火墙，对网站实行7X24小时的实时监控，保护WEB站点数据不被攻击，避免 网页篡改给网站带来的形象损害，避免信息内容不合规等；2. WEB安全评估网站安全保障是一项系统工程网站的安全保障当前最为薄弱的环节就在 于缺少对WEB防护层面的整体考虑针对网站的安全评估，需要使用安 全扫描、渗透测试、安全监测三个方面的技术手段进行实施评估工作3. 安全扫描安全扫描采用模拟入侵者的手法，对网站进行模拟攻击可迅速发现大多 数常见的网站安全漏洞，如常见的SQL注入、跨站脚本、目录浏览、应 用错误等漏洞便于指导后期的安全分析和加固工作安全扫描器技术先进的同时也存在一些无法解决的问题，如网页内容中的 恶意代码难识别、程序中的逻辑漏洞等需要人工判断的内容无法实现自动 化4. 安全监测建立网站安全监测平台实现对网站内容的安全监测，主要用于对网页木马 监测、网站可用性、关键字监测。
通过该平台，可以实现网页木马监测，因为网页木马不同于常规的网站漏 洞，具有一定的潜伏性和隐蔽性，常规模拟入侵者的攻击无法发现木马， 而需要模拟成一个有漏洞的操作系统去访问这些网页，监测有漏洞的操作 系统是否会被网站植入木马5. 渗透测试渗透测试借助安全专家多年安全测试的经验，使用大量安全工具、安全方 法和安全理论相结合，从攻击、防御多个角度出发去识别 网站存在的安 全风险相比于工具型扫描渗透测试更多侧重于逻辑类型的安全问题识 别、需要人工辅助类型的安全问题检测，从而可以将网站的安全水平提升 到一个新的高度例如检测出网站存某处敏感信息泄露，可能报告的是低危险级别的安全事 件然后辅助人工则可利用这个敏感信息可能进一步获取网站的管理员账 户和密码信息，最终实现完全控制网站的目的6. WEB安全防御安全防御是实践安全预警、分析、防御、加固的系统措施的过程，而非部 署某一款安全产品这样简单建议营销管理平台网站安全的防御应至少做 到如下三个方面7. 安全分析安全分析是安全防御的基础，安全分析的重心是安全评估的报告和安全设 备的日志汇总信息通过安全分析可以清晰的认识到当前存在的主要问题 以及所面临的安全威胁。
安全分析是一个跨部门协调的工作，通常由用户职能部门牵头安全服务商 负责整体安全分析的内容纲要，由安全服务商、软件开发商、系统运维人 员、业务使用代表等共同参与以最终确定安全防御的目标8. 安全防护当网站检测出有特定安全问题时将提出相应的安全应对措施除通用的防 护策略之外还提供相关的安全加固对象，满足安全加固策略的实施9. 安全加固网站安全加固是一个不断改进的过程，随着业务的变更、安全研究的深入 等均会促进安全加固工作的展开安全加固建议：采用硬件WEB应用防火墙加固的同时硬件厂商为用户方提 供详细的安全加固建议，便于程序开发商修复存在的安全缺陷10. WEB安全建议定期进行专业的安全评估，包括黑盒测试-远程深度安全评估以及白盒测 试-本地代码安全评估针对安全评估结果进行专业安全整改和加固建立和完善一套有效的安全管理制度，对长虹集团的日常维护和使用进行 规范建立起一套完善有效的应急响应预案和流程，并定期进行应急演练，一旦 发现发生任何异常状况可及时进行处理和恢复，有效避免网站业务中断带 来损失定期对相关管理人员和技术人员进行安全培训，提高安全技术能力和实际 操作能力主动防御监控审计防护体系结构图1. 事前检查针对营销管理平台各WEB应用系统及部分未上线的应用系统，采用WEB 应用扫描器进行一次WEB系统全面的OWASP TOP 10检测，可以帮助用户 充分了解WEB应用存在的安全隐患，建立安全可靠的WEB应用服务，改善 并提升应用系统抗各类WEB应用攻击的能力。
35分E-M如地址飞 产据宅勇蓦心任何域H T M L页面通信 噌辑?芒飞既衷单隐藏域-..魅敢敏感的HTML侑息亳L "A内网IP- 踽站脚本PHPTNFC•测试文件 知-上优序寸口W成应用程序错误-网站1沁』，届2. 事中告警针对各类攻击行为及异常访问行为，实时告警并通过各类方式通知给安全 管理员，便于快速处理安全事件3. 事后分析通过系统内部告警日志，实现对攻击源的定位分析，同时提供各类统计分析，方便 掌握整个应用系统的动态安全状况及运行状态4.4.4其他安全防护系统其他安全防护措施包括：◊制定服务器管理的配套制度，编写可行的应急方案，并定期演练◊设置专门的系统管理员，定期安排专人进行服务器巡检，杜绝安全隐患◊定期审查服务器巡检记录◊防止，◊防止跨站脚本攻击◊严格控制系统更新发布，执行工作票管理制度，对于系统程序版本和配置 变更进行严格、规范的管理4.5技术方案总结报告通过上述技术方案，以先进的计算机技术手段建立系统，完全依据现行相关国家及行业 标准规程，利用现代系统工程技术、网络信息数据库服务技术、通信技术，为XXXXXXXX 有限公司提供了一套完善的、高效的网站系统平台，满足我公司网站的建设与管理的目 标。
通过主流的分享平台，让用户继续将文章实时时讯、最新产品信息分享出去，让文 章能被更广泛的流传，增加我公司网站的访问流量，扩大我公司网站影响力第五章项目建设配套要求5.1运行环境服务器操作系统：Windows 2008 Server企业版64位Web服务器软件：IIS数据库存储软件：SQL Server 2008数据库客户端：Windows.NET平台：2.0版本以上5.2硬件环境应用'数据库服务器：16GB物理内存或者更多，500g硬盘存储或以上，高速双网卡；第六章 项目清单和系统资产6.1软硬件设备6.1.1主要内容按照第五章项目配套要求，本项目需要采购服务器、window server 2008操 作系统'SQLServer 2008数据库另外，该系统有短信功能，需要与移 动签订相关短信接口协议6.1.2清单及项目资产序号采购项规格说明数量单位报价单价报价总价1网站服务器Dell R910, E4830CPU 4 个/32G内存/600G硬 盘3个/双冗余电源/3年 原厂服务1台2操作系统window server 2008 企业版64位1套3数据库SQL Server 2008 标准版1套4天清汉马USG-FW-3610D防火墙2U上架设备，双电源， 提供大于10个千兆Combo接口，内存不小 于2G，吞吐量不小于 6G，若购买VPN授权无 用户数限制，设备面板 支持液晶屏显示简单状 态，采用MIPS64专用多 核硬件平台，非X86架 构，并提供国家版权局 颁发的多核并行操作系 统《计算机软件著作权 登记证书》。
1台5天清Web应用网关WAG10202U上架设备，双电源， 提供大于10个千兆Combo接口，并发连接 数不小于39万，吞吐量 不小于1.8G，支持XML DoS攻击防护、爬虫防 护、CSRF(Cross-SiteRequest Forgery)攻 击防 护支持请求信息自学 习、URL流量控制、网 页挂马防护、Webshell1套挂马防护，支持捕获原 始报文6PKI/CA身份认证系统设备证书签发系统：吉大正 元UCA（内嵌目录服务 系统）安全认证网关:G2000USB Key: SZD 341套7移动短信接口1套8合计6.2软件开发6.2.1网站功能清单序号采购项规格说明数量单位单价（元）金额（元）1首页公司概况功能开发2人天2关于我们公司信息展示3人天3新闻中心新闻公告功能开发1人天4产品中心产品信息开发2人天5客户服务留言和技术支持2人天6人才中心用人策略和招聘信息开 发2人天7联系我们联系2人天8中英切换英语功能开发2人天9邮箱系统登录系统2人天10交谈联系功能开发1人天11信息发布管 理信息发布管理功能开发2人天12栏目管理栏目管理功能开发2人天13权限管理权限管理功能开发2人天6.3项目实施、培训项目建设完成后，由承建方网络公司提供技术支持并组织人员培训序号项目规格说明数量单价金额1软件实施费包括基础数据整理、公共信息录入、权 限分配、系统实施后需求变更管理等。
12培训费用集中分3次对用户进行使用操作培训、 对管理员进行系统管理、权限管理等培 训33技术服务费系统鉴定费、验收评审费等14系统集成费包括服务器安装上架、数据库软件、网 站平台安装等1合计。