出口木制品備案、檢驗(yàn)監(jiān)管管理信息系統(tǒng)的研究與開發(fā)

范成林 郭曙超 李海龍 喬龍 顏世國(guó)

(1.濱州出入境檢驗(yàn)檢疫局 山東濱州 256600;2.山東出入境檢驗(yàn)檢疫局)

1 前言

出口木制品是檢驗(yàn)監(jiān)管模式轉(zhuǎn)變后檢驗(yàn)檢疫部門重點(diǎn)加強(qiáng)監(jiān)管的商品,但目前的檢驗(yàn)管理手段相對(duì)比較落后。首先是申報(bào)繁瑣,效率低下。備案是出口木制品檢驗(yàn)首要環(huán)節(jié),目前做法是出口企業(yè)先準(zhǔn)備資料,然后到分支局備案,分支局審查資料、組織考核,考核通過后報(bào)直屬局審查發(fā)證。這個(gè)過程一般需對(duì)資料反復(fù)修改,企業(yè)負(fù)擔(dān)重,直屬局和分支局也要多次重復(fù)“審單”,效率低,勞動(dòng)強(qiáng)度大。其次統(tǒng)計(jì)匯總和查閱繁瑣,全靠手工實(shí)現(xiàn),特別一些備案書、注冊(cè)證書等大量單證都靠人工制作,工作量非常大。本研究利用先進(jìn)的網(wǎng)絡(luò)技術(shù)手段,研發(fā)了出口木制品備案檢驗(yàn)監(jiān)管備案管理信息系統(tǒng)。本系統(tǒng)可實(shí)現(xiàn)網(wǎng)上申報(bào),建立企業(yè)數(shù)據(jù)庫,在檢驗(yàn)監(jiān)管時(shí)實(shí)行動(dòng)態(tài)管理,快速反應(yīng),信息預(yù)警,定期公布檢驗(yàn)情況,互相交流,從而全面提高檢驗(yàn)檢疫人員和企業(yè)的技術(shù)水平。

2 系統(tǒng)組成和功能

2.1 組成

本系統(tǒng)分為兩個(gè)子系統(tǒng):一是出口木制品備案網(wǎng)上申報(bào)系統(tǒng),面向企業(yè)開放;二是出口木制品備案、檢驗(yàn)監(jiān)管信息管理系統(tǒng),面向承擔(dān)審核和檢驗(yàn)監(jiān)管任務(wù)的分支局和直屬局開放,主要分為網(wǎng)上申報(bào)、備案審核、檢驗(yàn)信息、監(jiān)管信息、系統(tǒng)維護(hù)、檢驗(yàn)論壇 6個(gè)模塊,具備增加 /刪除、查詢、統(tǒng)計(jì)等功能。

2.2 功能

2.2.1 網(wǎng)上申報(bào)與審單

企業(yè)可在網(wǎng)上填寫表格等申請(qǐng)資料,然后直接發(fā)送到分支局,正確無誤后,系統(tǒng)自動(dòng)發(fā)送回執(zhí);現(xiàn)場(chǎng)考核通過后分支局在網(wǎng)上填寫備案所需資料,發(fā)送到直屬局;如果符合條件備案,直屬局審核無誤后,根據(jù)情況打印備案書。

2.2.2 檢驗(yàn)監(jiān)管信息

通過輸入分支局日常監(jiān)管信息及抽檢記錄、符合性驗(yàn)證記錄、國(guó)外警示通報(bào)信息等,一方面使檢驗(yàn)人員了解企業(yè)的整體情況,另一方面實(shí)現(xiàn)信息共享。如果某個(gè)油漆、膠、密度板等原材料生產(chǎn)廠的產(chǎn)品檢測(cè)不合格,其他木制品生產(chǎn)企業(yè)和檢驗(yàn)檢疫人員都可以看到,對(duì)其“慎用”和加嚴(yán)檢測(cè),甚至列入“黑名單”。

2.2.3 查詢統(tǒng)計(jì)

提供證書進(jìn)度流程查詢,使企業(yè)能夠了解證書的辦理進(jìn)度,在初次出口時(shí)能夠合理安排進(jìn)度。基于數(shù)據(jù)庫建立一個(gè)證書綜合查詢頁面,對(duì)每個(gè)企業(yè)未獲得的證書、已獲得的證書、已超期的證書、失效的證書、因某種原因被吊銷的證書等相關(guān)信息可以很快查詢,避免因證書有效期等因素影響正常出口。還可以查詢統(tǒng)計(jì)某一時(shí)間段、某個(gè)區(qū)域、某個(gè)種類的出口木制品通過備案的情況、快速反應(yīng)信息與預(yù)警信息等。

2.2.4 系統(tǒng)維護(hù)

分為企業(yè)信息、分支機(jī)構(gòu)信息、檢驗(yàn)員、備案人員等有關(guān)系統(tǒng)使用人員權(quán)限維護(hù)、數(shù)據(jù)導(dǎo)入導(dǎo)出等。

2.2.5 檢驗(yàn)論壇

建立交流平臺(tái),定期公布檢驗(yàn)情況?？梢詫z驗(yàn)出的問題在網(wǎng)上公布,遇到問題也可以提出,就疑難問題交流,實(shí)現(xiàn)“專家會(huì)診”。

3 硬件系統(tǒng)設(shè)計(jì)

硬件系統(tǒng)組成見圖 1[1]。

圖 1 硬件系統(tǒng)組成

本硬件系統(tǒng)采用基于 J2EE的三層 B/S結(jié)構(gòu),改變了以往 C/S框架下各客戶端都必須安裝數(shù)據(jù)庫軟件和應(yīng)用軟件的現(xiàn)象。用戶只需安裝瀏覽器,并與網(wǎng)絡(luò)相連就可以使用本系統(tǒng),實(shí)現(xiàn)各企業(yè)及檢驗(yàn)檢疫部門以及與各上級(jí)部門之間的數(shù)據(jù)一致,信息共享,有效地解決了異地?cái)?shù)據(jù)傳輸?shù)睦щy。HTTP服務(wù)器負(fù)責(zé) HT ML的處理,接受用戶請(qǐng)求并返回給用戶靜態(tài)的頁面。

HTTP服務(wù)器將信息組織成分布式的超文本,通過超文本標(biāo)記語言 (HT ML)和超文本傳輸協(xié)議(HTTP)來描述和組織信息,簡(jiǎn)單而實(shí)用地實(shí)現(xiàn)了以整個(gè)網(wǎng)絡(luò)空間為操作背景的超文本/超數(shù)據(jù)的數(shù)據(jù)存取[2]。

應(yīng)用服務(wù)器負(fù)責(zé)應(yīng)用的處理,包括應(yīng)用邏輯、開發(fā)、維護(hù)等幾乎所有的工作并通過數(shù)據(jù)接口動(dòng)態(tài)地訪問數(shù)據(jù)庫。如果用戶請(qǐng)求的是靜態(tài)頁面,則由HTTP服務(wù)器處理返回;如果用戶請(qǐng)求的是信息查詢等動(dòng)態(tài)頁面,就由應(yīng)用服務(wù)器處理,將處理結(jié)果返回 HTTP服務(wù)器,由 HTTP服務(wù)器將處理好的頁面返回給用戶。

數(shù)據(jù)庫服務(wù)器負(fù)責(zé)綜合信息平臺(tái)數(shù)據(jù)的存儲(chǔ)和管理;數(shù)據(jù)庫服務(wù)器軟件根據(jù)應(yīng)用服務(wù)器的請(qǐng)求進(jìn)行數(shù)據(jù)操作,并將操作結(jié)果傳送給應(yīng)用服務(wù)器[3]。

4 軟件系統(tǒng)設(shè)計(jì)

本系統(tǒng)軟件部分主要包括數(shù)據(jù)庫服務(wù)器、HTTP服務(wù)器、數(shù)據(jù)管理系統(tǒng)和客戶端瀏覽器軟件,應(yīng)用系統(tǒng)分為網(wǎng)上申報(bào)系統(tǒng)和信息管理系統(tǒng) (如 2.1所述)。軟件系統(tǒng)層次見圖 2。

圖 2 軟件系統(tǒng)層次

4.1 系統(tǒng)軟件

操作系統(tǒng)采用 Windows 2000 Server,它允許組織利用最新的網(wǎng)絡(luò)技術(shù),提供全面的 Web及 Internet服務(wù)。

數(shù)據(jù)庫軟件采用的是Microsoft公司出品的 SQL Server 2000數(shù)據(jù)庫,它是一個(gè)具備完全Web支持的數(shù)據(jù)庫產(chǎn)品,提供了對(duì)可擴(kuò)展標(biāo)記語言 (XML)的核心支持以及在 Internet上和防火墻外進(jìn)行查詢的能力。無論以應(yīng)用程序開發(fā)速度還是以事務(wù)處理運(yùn)行速度來衡量,SQL Server 2000都堪稱非?？旖莸臄?shù)據(jù)庫系統(tǒng)[4]。

4.2 應(yīng)用系統(tǒng)

4.2.1 出口木制品備案網(wǎng)上申報(bào)系統(tǒng)

出口木制品備案網(wǎng)上申報(bào)系統(tǒng)是專門為企業(yè)設(shè)計(jì)的功能模塊。企業(yè)通過自己聯(lián)入公網(wǎng)的計(jì)算機(jī)使用 IE瀏覽器即可進(jìn)入系統(tǒng),根據(jù)導(dǎo)引進(jìn)入系統(tǒng)后填報(bào)一系列表格,并將要求的文檔如《營(yíng)業(yè)執(zhí)照》等影印件上傳,全部提交完成后,等待有關(guān)部門審核。具體工作流程見圖 3。

圖 3 企業(yè)網(wǎng)上申報(bào)系統(tǒng)工作流程

4.2.2 出口木制品備案、檢驗(yàn)監(jiān)管信息管理系統(tǒng)

出口木制品備案、檢驗(yàn)監(jiān)管信息管理系統(tǒng)是專門為檢驗(yàn)檢疫各級(jí)部門設(shè)計(jì)的應(yīng)用系統(tǒng)。部門通過自己聯(lián)入公網(wǎng)的計(jì)算機(jī),使用通用的 IE瀏覽器即可進(jìn)入系統(tǒng),根據(jù)導(dǎo)引輸入用戶名密碼進(jìn)入系統(tǒng)后,即可進(jìn)行相應(yīng)的操作。系統(tǒng)的功能組成見圖 4。

圖 4 出口木制品備案、檢驗(yàn)監(jiān)管信息管理系統(tǒng)組成

4.2.3 系統(tǒng)界面

系統(tǒng)界面如圖 5所示。

圖 5 系統(tǒng)界面

5 系統(tǒng)安全

SQL Server、Internet信息服務(wù)器都提供了堅(jiān)實(shí)可靠的安全模型,為了保證用戶數(shù)據(jù)和應(yīng)用程序的安全,Microsoft為每項(xiàng)服務(wù)的默認(rèn)設(shè)置設(shè)置了相當(dāng)?shù)偷闹怠Ｈ绾问褂?SQL Server、IIS在應(yīng)用程序和數(shù)據(jù)之間設(shè)置適當(dāng)?shù)男湃渭?jí)別,而不會(huì)留下可被別人輕易攻入的安全漏洞涉及到檢驗(yàn)檢疫重要數(shù)據(jù)安全問題,為保險(xiǎn)起見,該系統(tǒng)采用兩級(jí)驗(yàn)證的辦法,第一關(guān)在服務(wù)器端利用 IIS提供的工具實(shí)現(xiàn),第二關(guān)主要是防范 SQL注入式攻擊[5]。

(1)保證 Web應(yīng)用程序安全性的最安全的方法是定義一個(gè)權(quán)限有限的自定義用戶,然后對(duì) IIS進(jìn)行配置,使之能夠在執(zhí)行您的 Web應(yīng)用程序時(shí)能作為自定義用戶運(yùn)行。在安裝了 IIS的服務(wù)器端啟動(dòng)“Internet安全服務(wù)管理員”,選取我們系統(tǒng)的存放目錄,選取“編輯屬性”,選取“目錄安全安全設(shè)置”選項(xiàng),點(diǎn)擊“匿名存取及驗(yàn)證控制”按鈕,將“允許匿名”取消,選取“基本”。當(dāng)上網(wǎng)用戶登陸該系統(tǒng)時(shí),瀏覽器就會(huì)提示用戶輸入帳號(hào)和口令,該帳號(hào)和口令已預(yù)先在W indow2000 Server中設(shè)置好。

(2)第二關(guān)的帳號(hào)和口令放在數(shù)據(jù)庫中,其驗(yàn)證通過應(yīng)用程序?qū)崿F(xiàn)。傳統(tǒng)做法是在數(shù)據(jù)庫中查詢用戶輸入的帳號(hào)和口令,如果該帳號(hào)和口令存在,證明是合法用戶,允許進(jìn)入該系統(tǒng),否則,禁止進(jìn)入。實(shí)際上該方法存在安全隱患,這就是 SQL注入式攻擊的問題。攻擊者把 SQL命令插入到Web表單的輸入域或頁面請(qǐng)求的查詢字符串,欺騙服務(wù)器執(zhí)行惡意的 SQL命令。在某些表單中,用戶輸入的內(nèi)容直接用來構(gòu)造 (或者影響)動(dòng)態(tài) SQL命令,或作為存儲(chǔ)過程的輸入?yún)?shù),這類表單特別容易受到SQL注入式攻擊,只要懂得 SQL語法,就可以利用“’"等特殊符號(hào)符號(hào)進(jìn)入系統(tǒng),而不必知道正確的帳號(hào)和口令。如用戶輸入“123’or’A’= ’A’”或類似的帳號(hào)和密碼,查詢語句就變?yōu)椤癝elect＊ From數(shù)據(jù)庫Where帳號(hào) =′123′or′A′=′A′and口令 =′123′or′A′=A′”,實(shí)際上等同于“select＊ from數(shù)據(jù)庫 ”語句,查詢結(jié)果就回返回全部的紀(jì)錄。

對(duì)此我們采取對(duì)表單輸入的內(nèi)容在構(gòu)造 SQL命令之前,把所有輸入內(nèi)容進(jìn)行過濾的辦法,過濾輸入內(nèi)容按以下方案進(jìn)行:

①對(duì)于動(dòng)態(tài)構(gòu)造 SQL查詢的場(chǎng)合,替換單引號(hào)即把所有單獨(dú)出現(xiàn)的單引號(hào)改成兩個(gè)單引號(hào),防止攻擊者修改 SQL命令的含義;刪除用戶輸入內(nèi)容中的所有連字符,防止攻擊者構(gòu)造出類似上述 SQL查詢語句辦法;此外對(duì)于用來執(zhí)行查詢的數(shù)據(jù)庫帳戶,限制其權(quán)限,隔離了不同帳戶可執(zhí)行的操作。

②盡可能用存儲(chǔ)過程來執(zhí)行查詢。SQL參數(shù)的傳遞方式將防止攻擊者利用單引號(hào)和連字符實(shí)施攻擊。此外,它還使得數(shù)據(jù)庫權(quán)限可以限制到只允許特定的存儲(chǔ)過程執(zhí)行。

③限制表單或查詢字符串輸入的長(zhǎng)度、檢查用戶輸入的合法性,數(shù)據(jù)檢查在客戶端和服務(wù)器端都執(zhí)行——執(zhí)行服務(wù)器端驗(yàn)證,是為了彌補(bǔ)客戶端驗(yàn)證機(jī)制脆弱的安全性。

6 結(jié)束語

出口木制品備案、檢驗(yàn)監(jiān)管信息管理系統(tǒng)采用先進(jìn)計(jì)算機(jī)及網(wǎng)絡(luò)技術(shù),克服了檢驗(yàn)檢疫部門目前對(duì)出口木制品備案、檢驗(yàn)、監(jiān)管、檢索手工操作所帶來的效率低下、工作量大、企業(yè)負(fù)擔(dān)重的缺點(diǎn),實(shí)現(xiàn)了管理的自動(dòng)化,能產(chǎn)生很好的社會(huì)效益和經(jīng)濟(jì)效益,應(yīng)用前景非常廣闊。

[1] 古玲,苑志勇.基于 B/S結(jié)構(gòu)的檔案管理信息系統(tǒng)研究[J].華中科技大學(xué)學(xué)報(bào) (自然科學(xué)版),2005,33(1):50～51.

[2] 柯宏力等.Intranet信息網(wǎng)絡(luò)技術(shù)與企業(yè)信息化[M].北京:北京郵電大學(xué)出版社,2000.11.

[3] 彭江平等.Internet/Intranet的開發(fā)與應(yīng)用[M].成都:成都電子科技大學(xué)出版社,1999.01.

[4] 劉松海,朱志堅(jiān),等.Intranet設(shè)計(jì)及實(shí)現(xiàn)[M].北京:國(guó)防工業(yè)出版社,1999.01.

[5] Tom Myers.Java XML編程指南[M].王輝,張曉暉等譯.北京:電子工業(yè)出版社,2001.4.