２０１３年第１期 文章编号：１０ｏ９—２５５２（２０１３）０１—００６６—０２ 中图分类号：ＴＩＢｌｌ 文献标识码：Ａ 公费定向师范生信息管理系统的设计与实现 姚海涛，贺 朗 （湖南第一师范学院信息科学与工程系，长沙４１０２０５） 摘要：文中系统设计的目的是方便学生及其家长、定向对口招生的县区教育局、省教育厅和 学院领导及时了解学生在校情况，实现家校联系、学生自我监督、用人单位对其委托培养学生 的实时监控、领导及时掌握学生动态等管理工作的信息化，充分体现人性化管理理念。由于该 系统存储了学生的个人信息，其安全性是设计的关键之一。 关键词：ＡＳＰ．ＮＥＴ；Ｂ／Ｓ；公费定向师范生；安全性 Ｄｅｓｉｇｎ ａｎｄ ｉｍｐｌｅｍｅｎｔａｔｉｏｎ ｏｆ ｄｉｒｅｃｔｅｄ ａｔ ｐｕｂｌｉｃ ｅｘｐｅｎｓｅ ｎｏｒｍａｌ ｓｔｕｄｅｎｔｓ ｉｎｆｏｒｍａｔｉｏｎ ｍａｎａｇｅｍｅｎｔ ｓｙｓｔｅｍ ＹＡＯ Ｈａｉ．ｔａｏ．ＨＥ Ｌａｎｇ （Ｄｅｐａｒｔｍｅｎｔ ｏｆＩｎｆｏｒｍａｔｉｏｎ Ｓｃｉｅｎｃｅ ａｎｄ Ｅｎｇｉｎｅｅｒｉｎｇ，Ｈｕｎａｎ Ｆｉｒｓｔ Ｎｏｒｍａｌ Ｕｎｉｖｅｒｓｉｔｙ，Ｃｈａｎｇｓｈａ４１０２０５，ｃｈｉｎａ） Ａｂｓｔｒａｃｔ：Ｔｈｅ‘ｐｕｒｐｏｓｅ ｏｆ ｔｈｉｓ ｓｙｓｔｅｍ ｄｅｓｉｇｎ ｉｓ ｔｏ ｆａｃｉｌｉｔａｔｅ ｓｔｕｄｅｎｔｓ ａｎｄ ｔｈｅｉｒ ｐａｒｅｎｔｓ，ｔｈｅ ｄｉｒｅｃｔｅｄ ｅｎｒｏｌｌｍｅｎｔ ｗｉｈｔ ｔｈｅ Ｃｏｕｎｔｙ Ｄｅｐａｒｔｍｅｎｔ ｏｆ Ｅｄｕｃａｔｉｏｎ，Ｐｒｏｖｉｎｃｉａｌ Ｄｅｐａｒｔｍｅｎｔ ｏｆ Ｅｄｕｃａｔｉｏｎ ａｎｄ ｓｃｈｏｏｌ ｌｅａｄｅｒｓ ｔｏ ｋｅｅｐ ａｂｒｅａｓｔ ｏｆ ｈｔｅ ｓｉｔｕａｔｉｏｎ ｏｆ ｓｔｕｄｅｎｔｓ ｉｎ ｔｈｅ ｓｃｈｏｏｌ，Ｔｏ ａｃｈｉｅｖｅ ｈｏｍｅ—ｓｃｈｏｏｌ ｌｉｎｋｓ，ｓｔｕｄｅｎｔ ｓｅｌｆ－ｍｏｎｉｔｏｒｉｎｇ，ｔｈｅ ｅｍｐｌｏｙｅｒ ｃｏｍｍｉｓｓｉｏｎｅｄ ｔｏ ｄｅｖｅｌｏｐ ｓｔｕｄｅｎｔｓ’ｒｅａｌ—ｔｉｍｅ ｍｏｎｉｔｏｒｉｎｇ，ｌｅａｄｉｎｇ ｔｏ ｇｒａｓｐ ｓｔｕｄｅｎｔｓ’ｄｙｎａｍｉｃ ｍａｎａｇｅｍｅｎｔ ｏｆ ｉｎｆｏｒｍａｔｉｏｎ ｔｅｃｈｎｏｌｏｇｙ，ｆｕｌｌｙ ｅｍｂｏｄｉｅｓ ｔｈｅ ｃｏｎｃｅｐｔ ｏｆ ｈｕｍａｎｅ ｍａｎａｇｅｍｅｎｔ．Ｂｅｃａｕｓｅ ｔｈｅ ｓｙｓｔｅｍ ｓｔｏｒｅｓ ｈｔｅ ｐｅｒｓｏｎａｌ ｉｎｆｏｒｍａｔｉｏｎ ｏｆ ｓｔｕｄｅｎｔｓ，ｔｈｅｉｒ ｓａｆｅｔｙ ｉｓ ｏｎｅ ｏｆ ｈｔｅ ｋｅｙ ｔｏ ｔｈｅ ｄｅｓｉｇｎ． Ｋｅｙ ｗｏｒｄｓ：ＡＳＰ．ＮＥＴ；Ｂ／Ｓ；ｄｉｒｅｃｔｅｄ ａｔ ｐｕｂｌｉｃ ｅｘｐｅｎｓｅ ｎｏｒｍａｌ ｓｔｕｄｅｎｔｓ；ｓａｆｅｔｙ ０ 引言 证。用户分为三类：班主任＼总管理员、地区教育局、 公费定向师范生是一个特殊的学生群体，受到 学生。班主任＼总管理员用户名为其姓名拼音的首 社会各界的广泛关注，尤其是委托县市领导、相关教 字母、地区教育局用户名为该地区拼音的首字母、学 育行政管理部门领导。为了让关心我院公费师范学 生用户名为其学号，三类用户的密码都默认为用户 生的领导和有关人士及时了解有关学生信息，本文 名（登录后可更改）。 特设计开发了一个公费定向师范生管理系统。我院 不同用户应该授予不同的权限，如：各班主任只 公费定向师范生来自于湖南省各个县市，该系统将 能查、插、删、改本班学生的信息；地区教育局只能查 为家长、县市教育局、省教育厅、所在系部管理员提 本地区学生的信息；学生只能查看自己的信息。总 供一个了解管理学生信息的平台，同时也为学生提 管理员拥有所有权限，并且负责三类用户的权限 供一个自我展示平台。 分配。 １ 系统分析与设计 收稿日期：２０１２—０８—０７ １．１系统功能描述 基金项目：湖南省大学生研究性学习和创新性实验计划项目 １．１．１用户登录和管理 （２０１２４７２） 作者简介：姚海涛（１９９１一），男，本科在读，研究方向为教育信 登录本系统，需要用户名、密码、验证码三项验 息化。 一６６一 １．１．２学生信息的录入与更新 学生通过自己的用户名和密码，可以自行、及时 地录入基本信息、获奖情况、校园活动、作品展示等， 并且内容可以是文字、图片、音视频、附件等形式。 １．１．３信息的查询 有三种筛选条件可供选择：按班级、按定向地 区、按个人，可以满足不同用户的需求。 意输入，则拼接形成的ＳＱＬ语句： ｓｅｌｅｃｔ，Ｉｃ ｆｒｏｍ ｔｕｓｅｒ ｗｈｅｒｅ ｕｓｅｍａｍｅ＝’ａｄｍｉｎ’ ＿ｏｒ １＝１一一ａｎｄ ｐａｓｓｗｏｒｄ＝” 这样ｗｈｅｒｅ条件返回的总是真值，这样就等价 于：ｓｅｌｅｃｔ ｆｒｏｍ ｔ＿ｕｓｅｒ，这样就将数据库中的所有用 户信息暴露给了攻击者，这就是所谓的数据库“曝 库”。更糟糕的是，如果用户使用的是Ｓｑｌｓｅｒｖｅｒ数 １．１．４高级管理 对于拥有权限的管理员用户，可以实现程序文 据库，并且恰好使用的是ｓａ用户，黑客如果运用ｘｐ— ｃｍｄｓｈｅｌｌ给自己添加系统管理员权限，那么整个系 统都被黑客掌握了。 件管理、数据库备份、还原数据库、执行ＳＱＬ语句等 管理权限。 １．２系统设计 １．２．１系统功能模块 本系统由用户管理、信息管理、在线答疑、高级 管理等四个模块组成。 １．２．２系统的开发模式 本系统采用Ｂ／Ｓ模式，后台数据库采用Ｏｒａｃｌｅ， 结合ＨＴＭＬ，Ｃ＃，ＪａｖａＳｃｒｉｐｔ，ＡＳＰ．ＮＥＴ，ＡＤＯ．ＮＥＴ等 技术开发。 １．２．３数据库设计 由于学生的成绩包含在教务管理系统中，故本 系统可以不予考虑。为了存放学生的附加信息，本 系统单独建立了一个数据库。该数据库的基本表 有：学生表（学号、姓名、籍贯），用户表（用户名、密 码、所属组），学生一用户联系表（学号、用户名、角 色）等。 ２ 系统安全性的实现 系统安全性主要有以下几个具体问题：ＳＱＬ语 句注入攻击、跨站点请求伪造（ＣＳＲＦ）、跨站脚本攻 击（ＸＳＳ）等，解决方案如下： ２．１ ＳＱＬ语句注入攻击 在很多网站中都存在生成数据库操作脚本时直 接进行字符串拼接的问题。下面通过一个例子来说 明，在用户登录时，用得最多的ＳＱＬ语句是： ｓｅｌｅｃｔ ｆｒｏｍ ｔｕｓｅｒ ｗｈｅｒｅ ｕｓｅｒｎａｍｅ：’’’＋ｔｘ— —ｔｕｓｅｒｎａｍｅ．Ｔｅｘｔ＋’“ａｎｄ ｐａｓｓｗｏｒｄ＝’’’＋ｔｘｔｐａｓｓｗｏｒｄ． Ｔｅｘｔ＋’’’ 如果从数据库中能返回数据则说明登录成功。 表面上没有什么问题，但是这其中隐藏着玄机：如果 某个用户名为：ｄｙｓｆｘｇｘ，密码：８８８８８８，那么此时通过 拼接形成的ＳＱＬ语句为： ｓｅｌｅｃｔ女ｆｒｏｍ ｔｕｓｅｒ ｗｈｅｒｅ ｕｓｅｍａｍｅ：’ｄｙｓｆｘｇｘ’ａｎｄ ＿ｐａｓｓｗｏｒｄ＝’８８８８８８’ 这条语句确实满足我们的要求。但是如果某人 输入这样的用户名：’ａｄｍｉｎ ｏｒ １＝１一一，密码：任 解决方法： （１）在牵涉到ＳＱＬ语句拼接的文本框中，我们 对用户输入的字符串进行特殊字符的过滤处理。 （２）在生成ＳＱＬ语句时不要使用拼接的方法， 可以通过传递参数的方法，并注意存储过程中也要 注意同样的问题。 ２．２跨站点请求伪造（ＣＳＲＦ） 随着Ｂ／Ｓ应用程序的日益普遍，用户对网站的 体验要求越来越高，一个新的名词越来越盛行—— ＡＪＡｘ。伴随着ＡＪＡＸ的逐渐流行，ＣＳＲＦ问题也慢 慢凸显出来。由于ＡＪＡＸ的回传机制，ＣＳＲＦ可以在 你不知情的情况下通过用户验证进行非法操作，这 就是所谓的浏览器劫持。由于网站是通过ｃｏｏｋｉｅ来 识别用户，当用户成功地完成身份验证后浏览器就 会生成一个唯一标识其身份的ｃｏｏｋｉｅ，它保存在计 算机中，用户可以自己管理ｃｏｏｋｉｅ，以后访问同样的 网站就会从这个ｃｏｏｋｉｅ中读取信息。如果用户的浏 览器被别人劫持，并且向这个网站发送了请求，就有 可能完成一些非法的操作。由于这个请求并不是用 户自己发出的，这就是请求伪造。 解决方法：每次操作时都随机生成复杂的验证 码或添加Ｓｅｓｓｉｏｎ令牌，用页面属性ＶｉｅｗＳｔａｔｅＵｓｅｒ－ Ｋｅｙ在Ｐａｇｅ—Ｉｎｉｔ方法中设置其值：ｔｈｉｓ．Ｖｉｅｗ— ＳｔａｔｅＵｓｅｒＫｅｙ Ｓｅｓｓｉｏｎ．ＳｅｓｓｉｏｎＩＤ。 ２．３跨站脚本攻击（ＸＳＳ） 跨站脚本攻击是一种类似于ＳＱＬ攻击的ＨＴＭＬ 注人攻击，用户在文本输入框中输入ＨＴＭＬ标签， 如果网站未做ＸＳＳ防范，那么用户提交的ＨＴＭＬ标 签将会对网站的页面进行重绘。在微软的ＡＳＰ．ＮＥＴ 中默认情况下开启了ｖａｌｉｄａｔｅＲｅｑｕｅｓｔ属性，则会显 示：“请求验证过程检测到有潜在危险的客户端输 入值，对请求的处理中断。该值可能指示危机应用 程序安全的尝试，如跨站脚本攻击”。由于用户事 先不知道会出现这样的问题，当出现这样的问题后 直接将报错页面留给用户， （下转第７６页） 一６７— 表１ 不等高五峰测试函数的相关测试数据 经过上表的比较可知，本算法对于不等高五峰 函数在运行效率上有所提高，且能够快速地找到函 数的极值点。说明本算法相对来说更优。 ３ 结束语 本文提出的改进的小生境遗传算法在计算多峰 函数的优化问题时运行时间有所缩短，效率有一定 图５不均匀五蜂函数的图像 的提高。今后还需要对算法进行进一步的研究与改 进，以期望通过改进使得算法性能能够更优。 参考文献： ［１］Ｋｗｏｎｇ－Ｓａｋ，Ｌｅｕｎｇ，ＹｏｎｇＬｉａｎｇ．Ｇｅｎｅｔｉｃ ａｎｄ Ｅｖｏｌｕｔｉｏｎａｒｙ Ｃｏｍｐｕ— ｒａｔｉｏｎ［Ｚ］．２００３． ［２］张爱华，曹晓刚，钟守楠．求多峰函数全部最优解的改进遗传算 法［Ｊ］．数学杂志，２００９，２９（１）：５６－６２． ［３］Ｉｍ ＣＨ．ＫｉｍＨＫ，ＪｕｎｇＨＫ．Ａ ｎｏｖｅｌ ａｌｇｏ￣ｔｈｍｆｏｒｍｕｌｔｉｍｏｄａ］ｆｕｎｃ－ ｔｉｏｎ ｏｐｔｉｍｉｚａｉｔｏｎ ｂａｓｅｄ ｏｎ ｅｖｏｌｕｔｉｏｎ ｓｔｒａｔｅｇｙ［ｃ］／／ＩＥＥＥ Ｔｒａｎｓａｃ－ ｔｉｏｎｓ ｏｎ Ｍａｇｎｅｔｉｃｓ，２００４。４０（２）：１２２４—１２２７． ［４］Ｗｅｉ Ｌ，Ｚｈａｏ Ｍ．Ａ ｎｉｃｈｅ ｈｙｂ￣ｄ ｇｅｎｅｉｔｃ ａｌｇｏ￣ｔｈｍ ｆｏｒ ｇｌｏｂａｌ ｏｐｔｉｍｉ－ ｚａｔｉｏｎ ｏｆ ｃｏｎｔｉｎｕｏｕｓ ｍｕｌｉｆｍｏｄａｌ ｆｕｎｃｔｉｏｎ［Ｊ］．Ａｐｐｌｉｅｄ Ｍａｔｈｅｍａｉｔｃｓ ａｎｄ Ｃｏｍｐｕｔａｔｉｏｎ，２００５，１６ｏ（３）：６４９－６６１． ［５］于飞，吕冬梅，刘喜梅．基于小生境遗传算的足球机器人路径规 划［Ｊ］．电子技术应用，２００６，８：３２—３４． ［６］王俊年，申群太，等．基于种群小生境微粒群算法的前向神经网 图６用改进的小生境遁传算法的求解结果 络设计［Ｊ］．控制与决策，２００５，２５（９）：９８１—９８．５． ［７］林焰，郝聚民，纪卓尚，等．隔离小生境遗传算法研究［Ｊ］．系统 用动态小生境过程，另外，算法２在竞争机制中采用 工程学报，２ＯＯＯ，１５（１）：８６—９１． 的是（２＋２）竞争机制，鉴于其计算复杂性较高，其运 ［８］Ｍｅｎｎｏｎ Ａ，Ｍｅｈｒｏｔｒａ Ｋ，Ｍｏｈａｎ ｃ Ｋ。ｅｔ ａ１．Ｃｈａｒａｃｔｅｒｉｚａｔｉｏｎ ｏｆ ａ 行时间会稍微长点。此外在对这两个函数的试验中， ｃｌａｓｓ ｏｆ ｓｉｇｍｏｉｄ ｆｕｎｃｔｉｏｎｓ ｗｉｔｈ ａｐｐｌｉｃａｔｉｏｎｓ ｔｏ ｎｅｕｒａｌ ｎｅｔｗｏｒｋｓ［Ｊ］． 在进化代数在第６代时种群就接近收敛，且包含所有 Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋｓ．１９９６：９：８１９—８３５． 的极值点。在相同的参数下运行时间如表１所示。 ［９］谢凯．排挤小生境遗传算法的研究与应用［Ｄ］．安徽：安徽理工 大学。２００５． 责任编辑：肖滨 （上接第６７页） 的强大功能和优点，结合Ｏｒａｃｌｅ数据库，成功设计 会给用户一个不自然的感受。 并实现了一个可运行于Ｉｎｔｅｒａｃｔ浏览器的安全的公 解决方法： 费定向师范生信息管理系统。本系统在保证信息安 （１）特殊字符过滤。但是这种方法也存在一定 全方面上下了一定的功夫，对于可能存在的漏洞都 的问题，例如用户想输入Ｘ＞Ｙ，但大于号会被当成 做了一定的防范，确保学生信息不会被篡改。做为 特殊字符过滤掉。 数字化校园建设的一部分，在公费定向师范生信息 （２）如果用户确实要输人ＨＴＭＬ标签文本，可 管理方面，发挥了重要作用。 以再配置文件或Ｐａｇｅ指令中设置ＶａｌｉｄａｔｅＲｅｑｕｅｓｔ 参考文献： 的属性为ｆａｌｓｅ，这样就禁用了验证。然后我们必须 ［１］杨永．基于ＡＳＰ．ＮＥＴ和Ｂ／Ｓ模式的试题库管理系统的研究与开 对用户提交的数据进行编码（ＨｍｆｌＥｎｅｏｄｅ），这样就 发［Ｊ］．微计算机运用，２００８（１０）：１２—１６． 不会造成ＸＳＳ攻击了，本文建议使用此种方式。 ［２］水兰素、张杰、李耀刚．８／Ｓ信息管理系统中的安全性问题的解 ３ 结束语 决［Ｊ］．机电工程技术，２００５（９）：２９—３０。 责任编辑：张禹 本系统采用Ｂ／Ｓ模式，充分利用了ＡＳＰ．ＮＥＴ 一７６一