陰國富

(渭南師范學院數(shù)學與信息科學學院，陜西渭南714000)

《國家中長期人才發(fā)展規(guī)劃綱要(2010—2020)》在人才發(fā)展的目標、理念、布局、思路和指標等方面均有重大創(chuàng)新和突破.特別強調(diào)“以用為本”、“高端引領”.以用為本，就是把用好人才、充分發(fā)揮人才作用作為根本任務，創(chuàng)造有利于人才發(fā)展的體制機制.高端引領，就是培養(yǎng)造就高層次人才，并且以他們引領經(jīng)濟社會發(fā)展，引領人才隊伍建設［1］.陜西省人民政府于2012年2月出臺“陜西省‘東大門’建設若干意見”，標志著陜西省“東大門”建設號角的正式吹響［2］.渭南市人民政府又批準進行人才支撐系統(tǒng)項目的研究.陜西省“東大門”人才管理軟件系統(tǒng)是該項目一個具體研究成果，是實施人才強市戰(zhàn)略的重要體現(xiàn).

該系統(tǒng)積極配合目前五類人才信息數(shù)字化、規(guī)范化的要求.在保證數(shù)據(jù)的安全性、軟件運行可靠性的基礎上，實現(xiàn)對當?shù)馗黝惾瞬诺馁Y質(zhì)、信息檔案進行管理，能夠?qū)Ω黝惾瞬判畔⒓皶r、全面地采集、利用與研究，操作簡單，能夠迅速完成使用者的相應業(yè)務處理.并最大限度地簡化了工作流程、提高了工作效率、增強了信息的準確性、及時性［3］，為渭南人才支撐系統(tǒng)安全運行起到了保障作用.

1 系統(tǒng)框架設計

以SQL(Structured Query Language)為數(shù)據(jù)倉庫，采用多循環(huán)加密技術與權限等級劃分策略為渭南市人才管理系統(tǒng)數(shù)據(jù)存放提供安全保障，實現(xiàn)人才信息的采集、查詢、統(tǒng)計、上報、下?lián)艿裙δ?系統(tǒng)能夠?qū)崿F(xiàn)渭南18個二級單位人才上報信息點的接口開設，對數(shù)據(jù)信息可進行72種組合查詢，基于32種條件的9類分類信息統(tǒng)計以及統(tǒng)計視圖的生成，實現(xiàn)各縣數(shù)據(jù)上報組織部、人才個人完整資料輸出與打印、數(shù)據(jù)庫的備份與還原等功能.系統(tǒng)主體框架如圖1所示.系統(tǒng)設計關鍵技術在于信息采集頁面的技術管理、表格結(jié)構(gòu)的設置與優(yōu)化、數(shù)據(jù)調(diào)入與調(diào)出優(yōu)先性的設計、72種條件查詢的設計、數(shù)據(jù)庫保密系統(tǒng)管理、數(shù)據(jù)防拷貝設計、數(shù)據(jù)防后門修改設計、32種條件約束下的9類信息統(tǒng)計及統(tǒng)計視圖的生成.

該系統(tǒng)主要的角色有系統(tǒng)管理員、人才信息錄入員、單位領導和瀏覽用戶四類.本系統(tǒng)的初始角色為系統(tǒng)管理員，擁有系統(tǒng)的全部權限.系統(tǒng)中的所有用戶均可瀏覽首頁公告和下載各種常用工具.

系統(tǒng)管理員：擁有系統(tǒng)的全部權限.主要進行【系統(tǒng)管理】模塊中，“權限維護”功能中的菜單、模塊和功能的維護，“數(shù)據(jù)字典”功能中字典目錄和數(shù)據(jù)字典的維護，系統(tǒng)日志的查詢;【用戶權限】模塊中的用戶的創(chuàng)建與維護，角色的創(chuàng)建與權限的分配;【系統(tǒng)工具】模塊中，公告和常用工具的維護等系統(tǒng)級操作.

人才管理員：主要進行的是【人才管理】模塊中對上報單位、人才類別和人才信息的維護工作，及【數(shù)據(jù)管理】模塊中的對人才信息數(shù)據(jù)的導入導出工作.

中層領導：主要是進行人才信息的查詢、統(tǒng)計和模板定制.所涉及的模塊是【模板管理】、【信息查詢】和【信息統(tǒng)計】.

高層領導：主要是進行人才信息的查詢和統(tǒng)計.

圖1 渭南市人才管理軟件框架圖

2 后臺數(shù)據(jù)庫系統(tǒng)

SQL是結(jié)構(gòu)化查詢語言.SQL語言的主要功能是同各種數(shù)據(jù)庫建立聯(lián)系、進行溝通［4］，是關系型數(shù)據(jù)庫管理系統(tǒng)的標準語言.SQL Server 2000是Microsoft公司推出的SQL Server數(shù)據(jù)庫管理系統(tǒng)，一直被認為是一種客戶機/服務器系統(tǒng).事實上，Sybase DataServer(以此為基礎開發(fā)了原始的SQL Server)正是第一個作為客戶機/服務器系統(tǒng)開發(fā)的商用關系數(shù)據(jù)庫系統(tǒng)［5］.

3 數(shù)據(jù)庫系統(tǒng)安全性設計

通過對數(shù)據(jù)庫漏洞掃描、安全訪問控制模型優(yōu)化、Web SQL注入掃描、網(wǎng)絡監(jiān)控與分析、數(shù)據(jù)庫加密、增強認證、增強權限、數(shù)據(jù)庫應用安全、數(shù)據(jù)庫審計等數(shù)據(jù)庫防護手段進行追蹤和研究，以提升安全性能.近年來，網(wǎng)絡的發(fā)展導致數(shù)據(jù)庫結(jié)構(gòu)越來越復雜，傳統(tǒng)的訪問控制模式已無法保證數(shù)據(jù)庫的安全性，對數(shù)據(jù)訪問權限進行管理變得很復雜和不安全.基于角色的訪問控制模型(Role-Based Access Control，RBAC)成為數(shù)據(jù)庫訪問控制研究中的熱點，它主要用于解決具有大量用戶、數(shù)據(jù)客體和訪問權限的系統(tǒng)中的授權管理的問題.

表1 對原DDL語句的安全增強

在數(shù)據(jù)庫系統(tǒng)中，SQL語句進行DDL(Database Define Language，數(shù)據(jù)庫定義語言)與DML(Data Manipulation Language，數(shù)據(jù)操作語言)處理操作時，需要進行MAC檢查，只有通過檢查的數(shù)據(jù)才能輸出給用戶，否則只能返回報錯信息.表1是對DDL語句的安全性增強以實現(xiàn)強制訪問控制.

DML語言完成對數(shù)據(jù)庫的操作，凡是涉及對象讀寫的語句都需要增加安全審查：以Select語句為例，在其解釋程序中增加安全級審查：(1)取語句執(zhí)行者的安全級;(2)取語句對象的安全級;(3)調(diào)用CompSecLevel(Sec_Sub，Sec_obj)，如果返回值為“支配”或“嚴格支配”，進入查詢部分，否則，報“安全級不夠”的錯誤，退出.

4 系統(tǒng)安全性保障

4.1 非法用戶攔截

系統(tǒng)登錄界面如圖2所示，通過用戶名和密碼進行登錄驗證，以保證對非法用戶入侵的有效攔截.

圖2 系統(tǒng)登錄界面

4.2 數(shù)據(jù)備份與恢復

計算機系統(tǒng)的各種軟硬件故障、用戶誤操作以及人為惡意破壞都將影響到數(shù)據(jù)的正確性、完整性，甚至造成數(shù)據(jù)損失、服務器崩潰等不可預測的后果.數(shù)據(jù)庫恢復機制是數(shù)據(jù)庫管理系統(tǒng)的重要組成部分，經(jīng)常進行數(shù)據(jù)備份可以有效防止信息丟失，使管理員能夠把數(shù)據(jù)庫從錯誤的狀態(tài)恢復到已知的正確狀態(tài).

恢復的基本原理是：數(shù)據(jù)冗余.因為數(shù)據(jù)庫中任何一部分被破壞的或不正確的數(shù)據(jù)均可以根據(jù)數(shù)據(jù)存儲在系統(tǒng)別處的冗余數(shù)據(jù)來重建.建立冗余數(shù)據(jù)最常用的技術是數(shù)據(jù)存儲和登錄日志文件.通常在一個數(shù)據(jù)庫系統(tǒng)中，這兩種方法是有效結(jié)合使用的.SQL Server 2000包括3種恢復模型，不同的恢復模型在SQL Server備份、恢復的方式和性能方面存在差異，而且采用不同的恢復模型對于避免數(shù)據(jù)損失的程度也不相同［7］.第一種是簡單恢復模型，可以將數(shù)據(jù)庫恢復到最新的備份，但無法將數(shù)據(jù)庫還原到故障點或特定的檢查點.第二種是完全恢復模型，是默認的恢復模型，在故障還原中具有最高的優(yōu)先級.該模型使用數(shù)據(jù)庫備份和日志備份，可以將數(shù)據(jù)庫恢復到故障點狀態(tài).第三種是大容量日志記錄恢復模型，與完全恢復模型相似，使用數(shù)據(jù)庫和日志備份來恢復數(shù)據(jù)庫.該模型適用于大規(guī)?；虼笕萘繑?shù)據(jù)操作.

(1)定時備份操作過程：

CREATE PROCEDURE［dbo］.［過程名］AS

declare

@filename nvarchar(100)，－文件名

@NowDay int －設置時間

set@filename=F：JXXdata+cast(Day(GetDate())as varchar(2))+.dat－文件路徑及文件名Set@NowDay=Day(GetDate())if(@NowDay＞=20)or(@NowDay＜=10)－本月20到下月10號進行備份

begin

print@filename BACKUP DATABASE［數(shù)據(jù)庫名()你也可以設參數(shù)］TO DISK=@filename WITH INIT，NOUNLOAD，NAME=NXX數(shù)據(jù)備份，NOSKIP，STATS=10，NOFORMAT

end

(2)進入企業(yè)管理器中→管理→sql server代理→作業(yè)，執(zhí)行新建作業(yè)，作業(yè)名稱選取要見名知意，例如：data備份，所有者選擇sa，當然也可以選擇其他有執(zhí)行作業(yè)權限的用戶;

(3)在步驟中，取名→選中要備份的數(shù)據(jù)庫→在命令中輸入exec(過程名);

(4)在調(diào)度中，選反復出現(xiàn)→更改→選每→時間(自己輸入);

(5)測試完成后→最后導入腳本→進入服務器;

(6)把SQlServer服務管理器設置為啟用SqlServer Agent服務.

表2 備份類型表

5 結(jié)語

渭南市高端人才管理軟件是渭南市實施人才強市戰(zhàn)略，為科學發(fā)展、富民強市提供人才支撐的一項重要舉措，是推動陜西“東大門”建設的有力保障，是渭南智庫園建設的奠基.該軟件以SQL為后臺數(shù)據(jù)庫，采用C#作為開發(fā)平臺，從需求分析到具體設計每個環(huán)節(jié)都充分考慮安全因素，使人才管理系統(tǒng)能真正為渭南市人才高效管理保駕護航.

［1］國務院.國家中長期人才發(fā)展規(guī)劃綱要(2010—2020)［Z］.2010－06－06.

［2］陜西省人民政府.關于支持渭南加快建設陜西東大門的若干意見［Z］.2012－02－21.

［3］徐陋，姚國祥.SQL注入攻擊全面預防辦法及其應用［J］.微計算機信息，2006，3(3)：18－20.

［4］張勇，李力，薛倩.Web環(huán)境下 SQL注入攻擊的檢測與防御［J］.現(xiàn)代電子技術，2004，182(15)：105－107.

［5］趙寶獻，秦小麟.數(shù)據(jù)庫訪問控制研究綜述［J］.計算機科學，2005，32(1)：88 －91.

［6］趙會東，王小科，王軍.C#開發(fā)之道［M］.北京：電子工業(yè)出版社，2011.

［7］吳彥，張冬.SQL Server自動異地備份的研究與應用［J］.電腦知識與技術，2009，(33)：54 －59.