引论：我们为您整理了13篇数据库安全性论文范文，供您借鉴以丰富您的创作。它们是您写作时的宝贵资源，期望它们能够激发您的创作灵感，让您的文章更具深度。
篇1
1.1系统安全性策略
1.1.1管理数据库用户
按照数据库系统的大小和管理数据库用户所需的工作量，数据库安全性管理者可能只是拥有create,alter、或delete权限的数据库的一个特殊用户，或者是拥有这此权限的一组用户。应注意的是，只有那些值得信任的用户才应该具有管理数据库用户的权限。
1.1.2用户身份确认
数据库用户可以通过操作系统、网络服务以及数据库系统进行身份确认，通过主机操作系统进行用户身份认证。
1.1.3操作系统安全性
数据库管理员必须有create和delete文件的操作系统权限;一般数据库用户不应该有create或delete与数据库相关文件的操作系统权限;如果操作系统能为数据库用户分配角色，那么必须具有修改操作系统账户安全性区域的权限。
1.2用户安全性策略
一般用户通过密码和权限管理实现系统的安全性保障；必须针对终端用户制定安全性策略。例如，对于一个有很多用户的人规模数据库，管理员可以决定用户组分类，您可以使用“角色”对终端用户进行权限管理。
1.3管理员安全性策略
保护作为服务器和用户的连接;保护管理者与数据库的连接;使用角色对管理者权限进行管理。
1.4应用程序开发者的安全性策略
明确应用程序开发者和他们的权限；指定应用程序开发者的环境；授权free和controlled应用程序开发。
2网络数据库安全技术分析
本文以比较常用的Access、数据库为例进行分析，其他数据库可以作为参考。
2.1Access数据库地址、路径过于简单
Access数据库被下载，主要是存放数据库的路径和数据库名称，容易被获知，例如:用户建立的xuesheng.mdb(学生信息库)放在虚拟目录/student下，如果没有事先对xuesheng.mdb进行安全加密处理，那么在浏览器的地址栏键入“http//用户网站主IP地址/student/xuesheng.mdb”,xuesheng.mdb整个文件就会被轻易下载，文件中所有的重要数据信息就会被别人轻易窃取。操作流程如图1所示。即使对Access.mdb的文件夹作了变动，文件路径也会暴露无疑。
获知源代码获得路径窃取文件名下载文件
图1网络环境下数据库下载流程
2.2使用下载ASP文件所导致的数据安全问题
各单位的网络服务器一般都存有大量的应用系统账号及密码，如电子邮件、聊天室、BBS、留言簿、新闻系统等。由于网络管理员没有足够的时间与精力开发这些应用程序，所以多是采用直接从网上下载的方法来满足急用。这此程序的源代码是公开的，所使用的数据库名，存放路径没有任何秘密，如果安全措施不力，会给AccessDB的安全带来非常大的危险。如从网上下载了一个ASP应用程序，且Access.mdb的连接文件是conn.inc，在ASP程序中，Access.mdb连接的代码是:2.3服务器操作系统的安全隐患
现在使用WindowsNT/2000Sever作为服务器操作系统的用户非常主流，由于Win2000Sever目录权限的默认设置安全性较差，很多网管只知适让Web服务器运行起来，很少对NTFS进行权限设置。有的服务器甚至未禁止对文件目录的访问控制。因此，必然会带来很大的安全漏洞。
篇2
一、数据库安全的主要内容
（一）用户组和安全性
在操作系统下建立用户组是保证数据库安全性的一种有效方法。Oracle程序为了安全性目的一般分为两类：一类是所有的用户都可执行，另一类只有DBA可执行。在Unix环境下组设置的配置文件是/etc/group，关于这个文件如何配置，可以参阅Unix的有关手册，以下是保证Oracle数据库安全性的两种方法：
1．在安装Oracle Server前，创建数据库管理员组(DBA)而且分配root和Oracle软件拥有者的用户ID给这个组。DBA能执行的程序只有710权限。在安装过程中SQL*DBA系统权限命令被自动分配给DBA组。
2．允许一部分Unix用户有限制地访问Oracle服务器系统，增加一个由授权用户组成的Oracle组，确保给Oracle服务器实用例程Oracle组ID，公用的可执行程序，比如SQL*Plus、SQL*Forms等，应该可被这组执行，然后这个实用例程的权限为710，它将允许同组的用户执行，而其他用户不能。
（二）数据库文件的安全性
Oracle软件的拥有者应该设置这些数据库文件($ORACLE_HOME/dbs/*.
dbf)的使用权限为0600，即文件的拥有者可读可写，同组的和其他组的用户没有写的权限。
Oracle软件的拥有者应该拥有包含数据库文件的目录，为了增加安全性，建议收回同组和其他组用户对这些文件的可读权限。
（三）网络安全性
当处理网络安全性时，以下是额外要考虑的几个问题：一是在网络上使用密码，在网上的远端用户可以通过加密或不加密方式键入密码，当使用不加密方式键入密码时，密码很有可能被非法用户截获，破坏了系统的安全性。二是网络上的DBA权限控制，可以通过下列两种方式对网络上的DBA权限进行控制：一是设置成拒绝远程DBA访问;二是通过orapwd给DBA设置特殊的密码。
二、制定完整的数据库监控方案，维护数据库安全
一般来说，一个Oracle数据库管理员应该做的Oracle数据库系统监控方案是这样的。一是每天对Oracle数据库的运行状态、日志文件、备份情况、数据库的空间使用情况、系统资源的使用情况进行检查，发现并解决问题。二是每周对数据库对象的空间扩展情况、数据的增长情况进行监控，对数据库做健康检查，对数据库对象的状态做检查。三是每月对表和索引等进行Analyze，检查表空间碎片，寻找数据库性能调整的机会，进行数据库性能调整，提出下一步空间管理计划。对Oracle数据库状态进行一次全面检查。
制定监控方案的具体步骤如下：
在本地建立一个数据库sid，然后使用Net Configuration Assistant
工具配置参数，实现与远程数据库的连接。
（一）计算Oracle数据库的会话连接数其算法描述如下
Count();While not eof(v$Sesslon)If(Username="compiere")/*use
Rname(用户名)为compiere*/{if(machine="yinglong")/*machine(机器名)为yinglong*/
{If(Schemaname="compiere")/*schem-aname(模式名)为Compiere*/
Count++;/*统计连接数*/ endif}endif}endif}
访问系统的用户数量和数据库的会话连接情况明确为监控对象。
（二）计算Oracle数据库的会话死连接数
If(username='complere'){If(machine='yinlong'){If(status='inactive'){/*连接状态为死*/If(scnemaname='compiere'){Count++;}}}}
（三）计算Oracle数据库的会话活连接数
If(username='comptere'){
If(machine='yinglong'){
If(status='active')/*连接状态*/{
if(Schemaname='compiere')Count++;}}}
（四）系统当前访问用户数量
If(t：on_line=1){/*表示用户在线;*/If(t.log_time
在线时间*/If(t.log_lp="){/*用户ip不为空*/Count++}}}
三、启用备份保证数据安全
对于数据库数据的安全问题，数据库管理员可以参考有关系统双机热备份功能以及数据库的备份和恢复的资料。
当我们使用一个数据库时，总希望数据库的内容是可靠的、正确的，但由于计算机系统的故障（包括机器故障、介质故障、误操作等），数据库有时也可能遭到破坏，这时如何尽快恢复数据就成为当务之急。如果平时对数据库做了备份，那么此时恢复数据就显得很容易。由此可见，做好数据库的备份是多么的重要，下面笔者就以ORACLE7为例，来讲述一下数据库的备份和恢复。ORACLE 数据库有三种标准的备份方法，它们分别为导出/导入（EXPORT/IMPORT）、冷备份、热备份。导出备份是一种逻辑备份，冷备份和热备份是物理备份。
随着网络的普及，基于网络的应用也越来越多。网络数据库就是其中之一。通过一台或几台服务器可以为很多客户提供服务，这种方式给人们带来了很多方便，但也给不法分子造成了可乘之机。数据库安全就显得十分重要。数据库安全是数据库的生命，作为数据库安全性管理者，应该特别地为每个应用程序首先要保证数据库的安全。
参考文献
[1]杨勇，数据库服务模型及其加密方法的研究与实现[D].四川大学，2005.
篇3
1、网络数据库简介
所谓网络数据库是指在普通后台建立起来的数据库基础之上，利用浏览器等各种软件实现数据存储、查询等操作。其主要特征是能够作为储存大量数据信息的载体，同时可以保障数据的完整性和一致性。此外，浏览器/服务器（B/C）和客户机/服务器模式是当前网络数据库部署情况下最常见的两种形式，简单方便。
2、网络数据库安全威胁
由于Internet是一个高度自治、自由开放、复杂多样的网络环境，因此网络数据库不可避免地会存在数据丢失、数据库非法入侵、数据被篡改等安全性问题。此外，网络数据库具有多用户、高可靠性、频繁地更新和大文件存储等基本特性，同时还存放有大量重要的敏感数据资源信息。因而，在如此安全性存在极大威胁的背景下，如何采取措施保障网络数据库免受安全威胁变得非常重要。
网络上的非法用户通常都是直接通过网络系统来实现入侵网络数据库，以此来达到攻击网络数据库的目的，所以网络数据库的安全性基本决定于网络系统的安全情况。一般情况下，我们将网络数据库面临的安全威胁归纳为以下几个方面：（1）因用户操作不当而导致的网络数据库数据错误；（2）非法访问非权限范围内的数据信息：（3）攻击数据库的正常访问；（4）非法窃取或篡改连接中数据库内的数据资源信息。
3、网络数据库安全技术方案探讨
在开放的网络环境中，网络数据库是非常容易遭受到各种安全威胁的，所以我们必须要采取实际有效的技术方案来不断提高网络数据库自身的安全性，以保证数据的完整性和一致性。一般来说，网络数据库的安全问题可归结为保证数据库中各种对象存取权的合法性和数据库内容本身的安全两个方面，具体安全技术方案有如下几方面：
3.1 用户身份认证
由于计算机网络环境是一个面向多用户的开放式环境，所以对每一个网络数据库访问用户都必须要进行统一的身份认证，这也是防止网络数据库被用户非法访问的一个最有效的手段。因而，用户身份认证功能在当前网络数据库都是必须具备的功能，是通过采用系统登录、数据库连接和数据库对象使用三级机制来实现身份认证功能。其中，系统登录是验证访问用户输入的用户名和密码正确与否；而数据库连接是要求数据库管理系统验证用户身份；数据库对象是采用分配不同的权限机制来为不同使用用户设置相应的数据库对象权限来保障数据库内数据的安全性。
3.2 数据库加密
数据库加密是指通过对数据库的加密设置来保证数据库内数据的安全性。所谓加密是以某种特殊的算法改变原有的数据信息，使得未授权的用户即使获得了已加密的信息，但因不知解密的方法，则仍然无法了解获取的信息数据的原始内容。因此，数据库加密系统是加密和解密两个过程的统一，包括可辨数据信息转换成非可变信息、算法、利用密钥解密读取数据等三方面内容。
3.3 数据备份与恢复
数据备份与恢复是网络数据库保障数据完整性和一致性的一种有效机制，也是最常见的一种技术方案。在此机制下，一旦网络数据库系统发生故障，管理人员可以根据先前的数据备份文件，在最短的时间内实现恢复数据，进而让网络数据库回到故障发生之前的数据状态。目前，网络数据库中的数据备份机制有静态备份、动态备份和逻辑备份等几种技术方案，而数据恢复技术有磁盘镜像、备份文件，以及在线日志等几种方式。
3.4 审计追踪和攻击检测
审计追踪是指当用户在操作网络数据库时，可以自动跟踪用户做的所有操作，并将其操作的内容都记录在相应的审计日志文件中，以供管理员查阅并提供相关参考依据。根据审计日志文件，管理员可以非常清楚地重现网络数据库中出现的任何状况，一旦出现安全问题，管理员可以十分快速地找出存在非法存取数据的操作人员，进而追查相关人的责任。此外，通过利用审计追踪和攻击检测技术对发现网络数据库安全方面的弱点和漏洞也有十分明显的效果。
4、结语
综上所述，如何构建有效地网络数据库安全技术方案是保障计算机网络健康发展的核心内容，同时随着安全威胁因素日益增多且越来越复杂，网络数据库安全技术也要不断更新、改进。以应对不断出现的新情况、新问题，只有这样才能在最大程度上保障网络数据库的完整性和一致性。
参考文献
[1]陈黎.我国网络数据库发展现状[J].中国信息导报，2004.
[2]周世忠.浅谈网络数据库安全研究与应用[J].电脑知识与技术.2010（05）.
[3]汪新建，罗绯，李明.网络数据库的应用与安全认识[J].西南军医.2009（01）.
篇4
[2]孙钟安.大型数据库ORACLE数据库的优化设计思考[J].电脑知识与技术，2014，10（20）：4644-4645.
[3]于淑云，马继军.ORACLE数据库安全问题探析与应对策略[J].软件导刊，2010（12）：147-149.
[4]肖飞，黄正东，王光华，郭雪清.JAVA存储过程在Oracle数据库中的应用研究[J].中国数字医学，2014，9（03）：18.
[5]魏亚楠，宋义秋.Oracle数据库应用系统的性能优化[J].制造业自动化，2010，32（8）：204-206、222.
[6]曹新志，沈君姝，郭辉，等.Oracle数据库在PACS/RIS系统中的应用[J].中国医疗设备，2013（07）：35-37.
[7]彭小斌，张文峰，林根深.ORACLE数据库并发访问控制机制及访问冲突的解决方法[J].中国医疗设备，2013，28（01）：44-45、14.
[8]付强，王春平.基于半实物仿真的半自动跟踪技术开发平台[J]四川兵工学报，2012，33（08）：69-70、80.
[9]孔银昌，夏跃伟，刘兰兰，等.Oracle数据库安全策略和方法[J].煤炭技术，2012，31（03）：190-192.
[10]梁树杰，黄旭彬.Oracle数据库维护中自动跟踪技术的应用分析[J].电子科技，2014，27（10）：61-63.
[11]刘哲.基于Oracle数据库系统的优化与性能调整研究[J].绿色科技，2015，05：283-284+287.
[12]胡铁峰.浅议如何调整优化Oracle9i数据库的性能[J].黑龙江科技信息，2014，22：86.
oracle论文参考文献：
[1]段桂芹.基于DBA岗位需求的高职Oracle数据库课程教学改革[J].计算机教育，2014（2）.
[2]李秀芳.应用型人才培养模式Oracle数据库课程教学研究[J].中国电力教育，2013（35）.
[3]周溢辉.项目导向任务驱动的数据库应用课程改革探讨[J].软件，2012（4）.
[4]任淑美.《大型数据库系统Oracle应用开发》课程实训教学的研究[J].计算机光盘软件与应用，2013（2）.
[5]龚晓君.基于行动导向的Oracle课程教学实践[J].计算机时代，2011（6）.
oracle论文参考文献：
[1]魏永丰，刘立月.异构数据库系统中的Oracle与SQLServer数据共享技术[J].华东交通大学学报，2005，22（1）：92？94.
[2]郭东恩，沈燕.Oracle透明网关技术实现异构数据库互连[J].电脑开发与应用，2008，21（9）：58？59.
[3]蓝永健.利用Oracle透明网关技术进行系统整合的研究[J].广东第二师范学院学报，2008，28（5）：92？96.
[4]OracleCorporation.Oracle11gdatabasedocumentation：gatewayforSQLserveruser’sguide，11grelease2[R].California，USA：OracleCorporation，2009.
[5]OracleCorporation.Oracle11gdatabasedocumentation：textapplicationdeveloper’sguide11gRelease2[R].California，USA：OracleCorporation，2009.
[6]OracleCorporation.Oracle11gadocumentation：textreference[R].California，USA：OracleCorporation，2009.
[7]熊志辉，王德鑫，王炜，等.基于Oracle的多权限多格式文档组织与检索系统[J].计算机应用，2008，28（9）：2407？2409.
[8]朱松岩，叶华平，李生林，等.基于多层授权体制的档案全文检索系统设计与实现[J].后勤工程学院学报，2005，21（1）：57？60.
[9]李瑞丽，钱皓，黄以凯.基于Oracle大数据的全文检索技术研究与实现[J].微型电脑应用，2013，29（1）：18？21.
[10]李尚初.Oracle的全文检索技术[J].哈尔滨师范大学自然科学学报，2009，25（4）：92？95.
篇5
一、计算机数据库安全管理方面存在的问题
1、计算机操作系统方面的问题
一般来说，操作系统方面的问题主要就是病毒、后门以及数据库系统和操作系统的关联性引起的。
病毒方面：在操作系统中很可能有特洛伊木马程序的存在，这对操作系统来说是一个极大的威胁，这种木马程序可以将入驻的程序的密码加以修改，一旦密码更新，入侵者就会获得信息的密码，使信息内容被窃取、破坏等。
后门方面：虽然数据库系统的特征参数让数据库的管理员操作起来更加方便，可是与此同时，这些参数也为数据库服务器的主机操作系统留下了后门，所以后门也成了访问数据库的通道。
数据库系统和操作系统的关联性方面：数据库和操作系统之间的关联性非常强，操作系统中文件管理这个功能可以通过存取控制对各种文件进行续写和执行等操作，所以数据库文件也存在这方面的威胁；同时，操作系统中的监控程序也能够对数据库中的用户登录和口令鉴别进行控制。所以，数据库的安全与操作系统和硬件设备所组成的环境有很大的关系。
2、管理方面的问题
很多用户都没有真正意义上认识到网络信息安全的重要性，重视程度不够就使得实施的管理措施强度不够，就使得数据库的安全事件经常发生。因为限制数据库服务器的访问权可以减少数据库遭到攻击，所以很多用户都懒得进行补丁的修复，这就在数据库的管理上造成了严重的失误。想要数据库绝对的安全，就必须进行补丁的修复，因为经常修复补丁可以不因为很久以前没有经过修复的漏洞而遭到攻击。这类问题的主要原因就是存在没有进行修补的系统安全漏洞和所设的登录密码太过简单或者没有进行修改，所以，用户应该建立一个测试环境，进行补丁修复，然后确认补丁修复，再修复生产环境的补丁，提高网络信息安全的防范意识，加强管理措施。
3、数据库系统本身存在的问题
关系数据库这个系统已经使用了很多年了，拥有自身强大的特性，产品也非常成熟，但是在实际的应用中，其应该具有的某些特征，在操作系统和数据库系统中并没有被提供，特别是一些比较关键的安全特征。所以，很多关系数据库系统都不是很成熟，还有待改进。
二、强化计算机数据库安全管理技术的有效措施
计算机数据库的安全性是数据库发展的根本，所以，做好数据库的安全管理工作是数据库发展的需要。强化计算机数据库安全管理不仅要提高用户的网络信息安全意识，也要从管理技术方面出发，以下介绍几种常见的数据库安全管理技术：
1、安全模型
给数据库建立安全模型的主要作用就是提高对成功实现关键安全需求的理解层次，安全模型有两种：多级安全模型和多边安全模型。
⑴多级安全模型：此模型最早是用以支持军用系统以及数据库的安全保密的。一般来说密级从高到低可以分为绝密级、机密级和秘密级，这样分级的意义在于使各级的秘密只能让各级的有权限的人知道，这样可以防止高级的信息流入低级，信息所传递的范围始终在控制之内。
⑵多边安全模型：这也是保护数据库安全的重要措施之一，其主要作用是防止信息的横向泄露，尽可能的确保数据库信息的安全。
2、访问控制
访问控制主要是在计算机系统的处理功能的方面对数据库加以保护，其访问控制的对象主要是数据库内部已经进入系统的用户，对数据的安全保护形成一个自订屏障。计算机系统进行活动的对象主要就是主体进程、用户以及客体（资源和数据），而确保主体对客体的访问的合法性就是计算机安全的关键问题，通过管理数据的读出、写入以及修改、删除和执行来保证主体访问客体是被允许的，没有被允许的访问将被拒绝，这样可以确保信息的机密性以及完整和可用性。
访问控制又主要分为两种：自由访问控制和强制访问控制。
⑴自由访问控制：这种控制方法又叫做任选访问控制，被广泛得到应用。运用这种控制方式，资源的拥有者就是创建者，有权利选择可以访问其资源的用户，所以这样就使得用户和用户进程之间可以有选择的与其他的用户进行资源共享。这是对单个的用户所执行的访问控制的过程及措施，而每个用户的权限则是根据系统来确定的。
⑵强制访问控制：在这种控制方式中，系统分配给了主体和客体不一样的安全属性，而用户是不能对自身或其他的客体的安全属性进行更改的，就是不允许单个客户来确定访问权限，用户与用户组的访问权限只能是通过系统管理员来确定，系统是通过对主客体的安全属性进行比较来确定主体能否对客体进行访问。数据管理员应该提前将数据进行备份处理，在发生故障数据遭到破坏或丢失时就可以使用备份的数据使其恢复到以前的状态，这样就保证了数据的完整性与一致性。
3、安全审计
安全设计功能就是监控和记录指定用户在数据库中的操作行为，其实就是对安全方案中的功能提供持续的评估。在安全审计过程中，管理员应该掌握一组可以进行分析的数据，用来发现合适何处出现的违反安全方案的一些操作行为。通过分析安全审计的结果，及时对安全政策进行调整，修补出现的漏洞。所以，安全审计可以记录关键事件、提供容易操作的软件工具和可进行集中处理审计日志的数据形式、发现威胁时进行安全报警等多方面的功能。
三、结束语
当今社会，数据库已经是社会中各企业所发展的重要的组成部分，很大程度上促进了企业的发展，给社会带了了非常可观的价值利益，所以其安全问题应该引起高度的重视，在强化数据库安全管理技术措施的同时，企业的各方面都应该积极配合，这样才能真正意义上提高数据库的安全性。
参考文献：
[1] 马涛,秦轶翠,吴宝珠等.试论计算机数据库安全管理[J].计算机光盘软件与应用,2011,(14):153-153.
篇6
何少林，李佐唐，姚子文.2006.甘肃省地震应急基础数据库管理服务软件系统研制[J].西北地震学报，28（2）：149-153.
吉雍慧.2008.数字图书馆中的检索结果聚类和关联推荐研究[J].情报分析与研究， （2）：69-75.
雷秋霞，陈维锋，黄丁发等.2011.地震现场搜救力量部署辅助决策系统研究[J].地震研究，34（3）：385-388.
李东平，姚远，2009.浙江省地震应急基础数据库建设研究[J].科学技术与工程，9（9）：2474-2479.
刘红桂，王建宇，徐桂明.2005.基于GIS的江苏省地震应急基础数据库与震害快速评估技术[C]// 江苏省测绘协会.2005数字江苏论坛――电子政务与地理信息技术论文专辑.江苏：《现代测绘》编辑部，10-12.
聂高众，陈建英，李志强等.2002.地震应急基础数据库建设[J].地震，22（3）：105-112.
王东明.2008.地震灾场模拟及救援虚拟仿真训练系统研究[D].哈尔滨：中国地震局工程力学研究所.
篇7
1 数据库安全的重要性
数据库系统也属于一种系统软件，实际使用中它和其他软件一样也需要保护。数据库的安全之所以重要，主要是原因下面一些原因。首先，在数据库中存放大量的数据，在重要程度及保密级别上可以分为几类，这些数据为许多用户所共享，而各用户的访问权限是不同。因此，数据库系统必须根据不同客户的职责和权限，使各用户得到的只是他们所必需的、与他们的权限相对应的部分数据，并不是每个用户都可以访问全部数据。这样对用户进行分类限制，严格控制用户修改数据库数据的权限，可以最大限度的避免因一个用户在未经许可的情况下修改了数据，而对其他用户的工作造成不良的影响。
其次，在数据库中，由于数据冗余度小，一旦数据库的数据被修改了，原来的数据就不存在了。因此，必须有一套数据库恢复技术，保证在系统或程序出现故障后，帮助迅速恢复数据库。最后，由于数据库是联机工作的，一般允许多用户同时进行存取操作，因此必须采取有效措施防止由此引起的破坏数据库完整性的问题。数据库涉及其他应用软件，因而数据库的安全还涉及应用软件的安全与数据的安全，因此，有必要把数据库的安全问题和相关的应用软件安全问题进行综合考虑，制定有效的全面的安全防范措施。
总之，数据库系统在给人们带来好处的同时，也对用户提出了更高的安全方面的要求。所以说，数据库的安全问题是非常重要的，必须引起最够的重视。
2 数据库的安全威胁与安全策略
数据库运行于操作系统之上，依赖于计算机硬件，所以数据库的安全依赖于操作系统安全和计算机硬件的安全。同时数据库操作人员的非法操作和不法分子的蓄意攻击也对数据库的安全构成重大威胁。综合以上两方面，可以看到数据库受到的安全威胁主要有：1）硬件故障引起的信息破坏或丢失。如存储设备的损坏、系统掉电等造成信息的丢失或破坏；2）软件保护失效造成的信息泄露。如操作系统漏洞、缺少存储控制机制或破坏了存储控制机制，造成信息泄露；3）应用程序设计出现漏洞。如被黑客利用安装了木马；4）病毒入侵系统，造成信息丢失、泄露或破坏；5）计算机放置在不安全的地方被窃听；6）授权者制定了不正确或不安全的防护策略。7）数据错误输入或处理错误。如，准备输入的数据在输入前被修改，机密数据在输入前泄密；8）非授权用户的非法存取，或授权用户的越权存取，或授权用户的越权存取。数据库受到各方面的安全威胁，要保证数据库的安全，必须制订合适的安全策略，采取一定的安全技术措施，才能保证数据库信息的不泄露，不破坏和不被删除和修改。
数据库的安全策略是指导数据库操作人员合理地设置数据库的指导思想。它包括以下几方面。
1) 最小特权策略
最小特权策略是让用户可以合法的存取或修改数据库的前提下，分配最小的特权，使得这些信息恰好能够完成用户的工作，其余的权利一律不给。因为对用户的权限进行适当的控制，可以减少泄密的机会和破坏数据库完整性的可能性。
2) 最大共享策略
最大共享策略就是在保证数据库的完整性、保密性和可用性的前提下，最大程度地共享数据库中的信息。
3) 粒度适当策略
在数据库中，将数据库中不同的项分成不同的颗粒，颗粒越小，安全级别越高。通常要根据实际决定粒度的大小。 转贴于 4) 按内容存取控制策略
根据数据库的内容，不同权限的用户访问数据库的不同的部分。
5) 开系统和闭系统策略
数据库在开放的系统中采取的策略为开系统策略。开系统策略即除了明确禁止的项目，数据库的其他的项均可被用户访问。数据库在封闭系统中采取的策略称闭系统策略。闭系统策略即在封闭的系统中，除了明确授权的内容可以访问，其余均不可以访问。
6) 按上下文存取控制策略
这种策略包括两方面：一方面限制用户在其一次请求中或特定的一组相邻的请求中不能对不同属性的数据进行存取；另一方面可以规定用户对某些不同属性的数据必须一组存取。这种策略是根据上下文的内容严格控制用户的存取区域。
7) 根据历史的存取控制策略
有些数据本身不会泄密，但当和其他的数据或以前的数据联系在一起时可能会泄露保密的信息。为防止这种推理的攻击，必须记录主数据库用户过去的存取历史。根据其以往执行的操作，来控制其现在提出的请求。
数据库的安全本身很复杂，并不是简单的哪一种策略就可以涵盖的，所以制订数据库的安全策略时应根据实际情况，遵循一种或几种安全策略才可以更好的保护数据库的安全。
3 数据库安全技术
1) 数据库的完整性与可靠性
数据库的完整性是关系到客户/服务器应用系统正常工作的关键。维护数据库的完整性即需要数据库设计人员的周密设计，也需要客户端开发人员的积极配合。数据库完整性约束是用于维护数据库完整性的一种机制，这种约束是一系列预先定义好的数据完整性规划和业务规则，这些数据规则存放于数据库中，防止用户输入错误的数据，以保证数据库中所有的数据是合法的、完整的。
2) 存取控制
访问控制是信息安全保障机制的核心内容，它是实现数据保密性和完整性机制的主要手段。访问控制是为了限制访问主体对访问客体的访问权限，从而使计算机系统在合法范围内使用；访问控制机制决定用户及代表一定用户利益的程序能做什么，能做到什么程度。访问控制，作为提供信息安全保障的主要手段，被广泛用于防火墙、文件访问、VPN及物理安全等多个方面。访问控制也是数据库系统的基本安全需求之一。为了使用访问控制来保证数据库安全，必须使用相应的安全策略和安全机制保证其实施。
在数据库中，记录、字段、元素是相互联系的，用户可能通过读取其他元素来得到某一元素，这种现象称为“推理”，要想防止推理的发生，必须采取与历史相关的控制，它不仅要求考虑请求当时的上下文，还要考虑过去请求的上下文，来限制存取。简单的来说，存取控制是用来保护电脑的信息或资源免于被非法者故意删除、破坏或更改的一项重要措施。此外，基于角色的存取控制机制可以为用户提供强大而灵活的安全机制，使管理员能以接近部门组织的自然形式来进行用户权限划分。
3) 数据库加密
在实际使用数据库的过程中，并不是允许所有人都能够对数据库进行信息浏览和查询的。因此，为了保证数据库中的数据能够不被非法用户所访问，就要对其进行安全保护。对数据库进行加密就是一个很好的安全保护方法。在给数据库设置密码或取消密码之前，必须确定数据库是以独占方式打开的。
在数据库安全和加密技术的研究方面，现在只是作了一些尝试性的工作，许多细节有待于进一步深入。随着数据库系统的进一步发展，对数据库安全与加密这个方面将变得更加重要和迫切。
参考文献
篇8
一、引言
随着数据库的广泛运用，数据库中数据的安全性至关重要。如果数据被破坏，损失将数以万计。数据如此的重要，如何避免窃取和破坏数据自然就成为我们研究的热点。数据库安全涉及的层次和范围较广，本文只选取数据库管理系统SQL Server本身的安全来进行研究，以求最大程度的保证SQL Server数据库自身的安全。
二、正文
（一）SQL Server基本安全配置
SQL Server是一个数据安全措施相当完善的关系数据库管理系统，它使用服务器-数据库-数据库三层对象来进行安全管理。也就是说从用户的角度看，要访问数据库，首先要能连接上服务器。连接上服务器后并不代表用户能访问数据库了，必须赋予用户访问某个数据库的权限。能访问某个数据库了，并不代表能访问数据库中的数据了，必须赋予用户访问表或列的权限才能访问表或列……具体的管理通过安全身份认证(服务器)和访问许可两个机制实现。
1.安全身份认证
SQL Server有两种身份验证模式可用来连接服务器：Windows验证模式和混合模式。混合认证模式指的是windows认证和SQL Server认证两种都支持。两者相比，Windows身份验证更好一些。因为SQL Server验证的登录在一个多服务器的环境中管理比较困难，而Windows安全模式能够与Windows安全系统集成在一起，从而能够提供更多的功能，例如安全验证和密码加密、审核、密码过期等。
另外，无论采用哪一种认证方式，都应使用安全的密码策略，并对系统管理者(sa)帐号进行最强的保护。SA在默认条件下，它可对服务器进行任何的操作，但一般情况下不能将SA从服务器删除或移走，所以一定要记得给此用户指定密码。当然，我们也是有办法可巧妙去除sa的，操作方法如下：在菜单栏中的“工具”选项卡中选择”SQL server配置属性”，选择“服务器设置”，对“允许对系统目录直接进行修改”打勾。一定要在master数据库中有db_owner（数据库所有者）的权限。可使用的命令如下：
update sysxlogins
set name='你要改成的名字'
where sid=0x01
update sysxlogins
set sid=0xE765555BD44F054F89CD0076A06EA823
where name='你要改成的名字'
最后，删除修改后的用户名。
2.访问控制
使用登录账号连接上服务器后，到底能进行哪些操作，主要决定于登录账号的权限。SQL Server中的访问权限分为服务器本身的操作权限和数据库的访问权限。两种访问权限对应两种角色：服务器角色和数据库角色。
不同的登录用户访问服务器的权限不同，是因为赋予它们的服务器角色不同。服务器角色负责整个服务器的访问权限，将某服务器角色添加至用户，则用户就拥有了服务器角色所对应的权限。对某数据库进行访问时，有时希望不同的数据库用户访问的权限有所不同，故创建数据库用户时应当赋予不同的数据库角色。
下面举例说明如何进行访问控制。例: 给丽丽分配一个登录用户名，保证不仅可创建和修改数据库，还可修改student数据库中的系别表和课程表。对应的命令如下：
EXEC sp_addlogin 'lili','123'
EXEC sp_addsrvrolemember 'lili','dbcreator'
Use student
EXEC sp_grantdbaccess 'lili'
Exec sp_addrole 'pin'
grant update
on系别表 to pin
grant update
on课程 to pin
Exec sp_addrolemember 'pin', 'lili'
（二）备份与恢复
数据库备份有四大类型：数据库完全备份、差异备份、事务日志备份、文件和文件组备份。管理大型数据库时，为了让数据库恢复所用的时间消耗最少，也为了最大可能的降低数据的损失，我们常综合运用多种备份。常见的备份方案有：
1.有规律进行数据库完全备份，比如每天一次，下班前备份。
2.以较小的时间间隔进行差异备份，比如二至三个小时备份一次。
3.在相临的两次差异备份之间进行事务日志备份，每二十或三十分钟一次。
篇9
笔者从事电子商务网站建设课程教学工作多年，一直选用ASP＋Access方案构建方案。但ASP＋Access方案最大的安全隐患在于Access数据库可以被攻击者非法下载，而现在互联网上提供的很多ASP空间都是只支持Access数据库。这样一来，防止Access数据库被非法下载就显得非常重要了。本文笔者通过分析研究将告诉大家如何打造mdb数据库文件的安全防范对策。
一、危机起因
（一）Access数据库的安全问题
1.Access数据库的存储隐患
在ASP＋Access应用系统中，如果获得或者猜测到Access数据库的存储路径和数据库名，则该数据库就可以被下载到本地。
2.Access数据库的解密隐患
由于Access数据库的加密机制非常简单，所以即使数据库设置了密码，解密也很容易。该数据库系统通过将用户输入的密码与某一固定密钥进行异或来形成一个加密串，并将其存储在＊.mdb文件中从地址“＆H42”开始的区域内。由于异或操作的特点是“经过两次异或就恢复原值”，因此，用这一密钥与＊.mdb文件中的加密串进行第二次异或操作，就可以轻松地得到Access数据库的密码。基于这种原理，很容易编制出解密程序或者在互联网上下载到破解工具，数据库文件的内容，企业的资料、隐私和员工的密码从此不在安全。由此可见，无论是否设置了数据库密码，只要数据库被下载，其信息就没有任何安全性可言了。
（二）ASP带来的安全问题
1.ASP程序源代码的隐患
由于ASP程序采用的是非编译性语言，这大大降低了程序源代码的安全性。任何人只要进入站点，就可以获得源代码，从而造成ASP应用程序源代码的泄露。
2.程序设计中的安全隐患
ASP代码利用表单（form）实现与用户交互的功能，而相应的内容会反映在浏览器的地址栏中，如果不采用适当的安全措施，只要记下这些内容，就可以绕过验证直接进入某一页面。例如在浏览器中敲入“page.asp?x=1”，即可不经过表单页面直接进入满足“x=1”条件的页面。因此，在设计验证或注册页面时，必须采取特殊措施来避免此类问题的发生。
二、防范对策
我们可以采用迷惑法、隐藏法、加密法、ODBC数据源法和注册验证法等技术手段防止数据库文件被非法下载。
（一）非常规命名法
1.把数据库的主文件名进行修改，并且放到很深的目录下面
防止数据库被找到的简便方法是为Access数据库文件起一个复杂的非常规名字，并把它存放在多层目录下。例如，对于网上花店的数据库文件，不要简单地命名为“flower.mdb”或“bloom.mdb”，而是要起个非常规的名字，例如：halower123.mdb，再把它放在如/wh123/wd123d/hoo9/dh123/abc之类的深层目录下。这样攻击者想简单地猜测数据库的位置就很困难了。
2.把mdb扩展名修改为ASP或ASA等不影响数据查询的名字
但是有时候修改为ASP或者ASA以后仍然可以被下载，如将mdb修改为ASP以后，直接在IE的地址栏里输入网络地址，虽然没有提示下载但是却在浏览器里出现了一大片乱码。如果使用FlashGet等专业的下载工具就可以直接把数据库文件下载下来，因此需要找到一种FlashGet无法下载的方法。根据网站在处理包含unicode码的链接的时候将会不予处理的原理。可以利用unicode编码（比如可以利用“%3C”代替“<”等），来达到目的。而FlashGet在处理包含unicode码的链接的时候却“自作聪明”地把unicode编码做了对应的处理，比如自动把“%29”的unicode编码字符转化成“（”。即是说如向FlashGet提交一个22.0.1.2/dat/%29amitx.mdb的下载链接，它却解释成了22.0.1.2/dat/（amitx.mdb，当单击“确定”按钮进行下载的时候，FlashGet就去寻找一个名为“（amitx.mdb”的文件，当然找不到。
（二）使用ODBC数据源
在ASP程序设计中，应尽量使用ODBC数据源，不要把数据库名直接写在程序中。例如：直接语句
DBPath=ServerMapPath(“/wh123/wd123d/hoo9/dh123/abc/halower123.mdb”)
ODBC数据源语句
ConnOpen“driver={MicrosoftAccessDriver(＊.mdb)};dbq=”＆DBPath
可见，即使数据库名字起得再怪异，隐藏的目录再深，ASP源代码失密后，数据库也很容易被下载下来。如果使用ODBC数据源，就不会存在这样的问题了。
（三）加密ASP页面
可以使用微软公司的免费软件ScriptEncoder对ASP页面进行加密。它可以对当前目录中的所有的ASP文件进行加密，并把加密后的文件统一输出到相应的目录中。由于ScriptEncoder只加密在HTML页面中嵌入的ASP代码，其他部分仍保持不变，这就使得我们仍然可以使用FrontPage等常用网页编辑工具对HTML部分进行修改、完善，操作起来简单方便、效果良好。（四）利用Session对象进行注册验证
篇10
2用户需求分析
由于本系统是直接面向网上办公的，必须适应所服务环境的各类操作人员，主要包括学校科研处、各院系（或部门）、普通教师个人（或其他浏览者）。
2.1普通教师个人（或其他浏览者）
普通教师个人（或其他浏览者）只能按姓名来浏览个人的科研信息、进行统计打印，个人的科研信息（论文、著作、项目成果等）必须提交本部门审核入录。
2.2各院系（或部门）
各院系（或部门）主要职责是对本部门员工的论文、著作、项目、成果、奖励等信息进行审核后输入到本系统数据库中，查询本部门在某时间内的科研信息、统计科研情况、打印相关资料等，同时对本部门的错误录入信息进行修改和维护。
2.3科研处
主要管理本校的员工信息、论文、著作、各级各类科研项目和成果、科研奖励等常规工作，同时，管理校级课题的申报、审批、合同、检查、结题等管理，同时，监控系统运行和各部门的情况。
3数据库设计及关键技术实现
3.1数据库表创建
根据系统需求分析，将系统的实现直接定位在更好的适合各层次人员的需求和操作，系统的所有初始化数据均采用界面录入的方法，由各类人员分工完成。根据我校的实际情况，笔者将科研人员基本信息、论文信息、科研项目信息、成果信息、获奖情况信息等作为系统的初始化数据，为个人和院系查询、统计、打印，科研处操作、加工、管理、集成等工作提供基本的数据平台。主要数据表格设计如下:
科研人员信息表(职工号，姓名，性别，职称，出生日期，所学专业，现从事专业，学历，学位，工作时间，所在部门，备注)。
论文信息表(序号，论文名称，刊物名称，刊物类别，刊物级别，主办单位，作者，职工号，发表时间，刊号，备注)。
论著信息表(序号，著作名称，图书编号，著作类别，出版社，学科类别，作者，职工号，出版时间，版次，备注)。
科研项目表(序号，项目编号，项目名称，项目来源，项目类别，完成单位，负责人，课题组成员，立项时间，拟定期限，经费金额，是否鉴定，鉴定时间，鉴定单位，备注)。
科研成果表(序号，成果名称，成果类别，成果经费，完成时间，负责人，完成单位，是否投入生产，经济效益，备注)。
科研奖励表(序号，获奖人员，项目名称，奖励名称，授予单位，时间，备注)。
校级项目管理表（项目编号，项目名称，课题名称，负责人，所在部门，职务或职称，联系电话，申报表，申报时间，申报经费，是否批准，批准日期，批准经费，合同时间，合同内容，是否结题，结题时间，鉴定技术负责人，项目成果效益，备注）。
校级鉴定专家表（序号，姓名，性别，出生日期，工作单位，学历，学位，所学专业，现从事专业，职称职务，备注）。
在上述表格中，加下划线字段代表主键，加双划线字段代表外键。其中科研人员信息表之所以选择(职工号，姓名)作为主键，考虑到姓名经常作为查询、操作条件，并在相关表中作为科技人员的重要描述和限制；为了避免数据录入的无序状况，数据库表之间建立了严格的参照完整性，并且对所有表都分配了操作权限，并将错误信息及时反馈给操作人员，科研人员信息表、论文信息表、论著信息表通过“职工号”建立参照完整性关系，在录入论文、论著时，作者必须是本单位职工，如果科研人员信息表不存在该员工，便给出错误提示，提示检查是否是合法职工，如果是，便可以在科研人员信息表中添加该员工信息后录入论文、论著信息，否则，拒绝录入，“职工号”又为组合查询提供了连接条件支持；同时将科研项目表、科研成果表、校级项目管理表中“负责人”和科研人员信息表中的“姓名”建立主键、外键参照完整性关系，校级课题的申报负责人也必须是本单位某部门的职工；获奖人员，必须是科研人员信息表中某一职工；将校级鉴定专家表和校级项目管理表通过“鉴定技术负责人”、“姓名”建立参照完整性管理，限定了鉴定技术负责人必须是本校专家表中的专业人员；所有表的主键设置都加上“姓名”字段，目的是为了符合人们的常规习惯，常以某个专业人员姓名作为操作、查询条件，科研人员信息表与其他相关表格建立参照完整性为了限制科研、论文、论著、成果、奖励等信息的科学合法性，同时有利于统计和查询；只有完善的参照完整性，才能使得数据库中数据具有一致性和互操作性。
3.2存储过程的设计
存储过程是Transact-SQL语句的集合，它是实现事务或业务规则的极好途径，是在数据库服务器上存储与执行的。使用它，可以大大减少网络传输流量，提高应用程序性能和安全性，而且由于它只在第一次执行时被优化、编译。因此，使用存储过程不仅可以极大地降低应用程序的实现难度，而且还可以极大地提高系统的运行速度、效率。存储过程的设计一定要符合逻辑业务规则和要求，根据实际，对一些常规、频繁使用的查询、插入数据操作使用存储过程来完成。以下操作可以考虑使用存储过程来完成：
①对系统的初始化数据时录入各种基本信息操作。
②查询个人、部门科研信息时的查询操作。
③科研处的其他常规操作。
下面以查询部门科研信息为例介绍存储过程使用方法，在此查询某一部门的论文、论著信息。描述代码：
CREATEPROCEDURE论文论著
@achar(20)
as
select姓名，论文名称，刊物名称，刊物类别，刊物级别，发表时间，备注
from科研人员信息表，论文信息表
where科研人员信息表。职工号=论文信息表。职工号and所在部门=@a
select姓名，著作名称，出版社，出版时间，版次，备注
from科研人员信息表，论著信息表
where科研人员信息表。职工号=论著信息表。职工号and所在部门=@a
其它操作不再做列述。从提高执行效率、提高安全性、共享性方面考虑，尽可能多的使用存储过程来提高数据库的整体性能。
3.3触发器的使用
使用触发器来实现表间的数据自动操作，提高系统效率，校级鉴定专家表中的信息主要来源于科研人员信息表中具有副高职称以上的人员，在输入或修改科研人员信息时，只要是具有副高级职称以上的人员，就可以自动添加到校级鉴定专家表中，该操作可以使用触发器来实现，代码描述如下：
CreateTriggerptz
On科研人员信息表
Forinsert，update
As
Insertinto校级鉴定专家表(姓名，性别，出生日期，工作单位，学历，学位，所学专业，现从事专业，职称职务，备注)Select（姓名，性别，出生日期，所在部门，学历，学位，所学专业，现从事专业，职称职务，备注）。
From科研人员信息表，其中，校级鉴定专家表中的序号是自动生成的标识列。
同时，可以用触发器来检验校级项目负责人是否在科研人员信息表中，其中，用事务以验证合法性以控制该项操作是否完成。
代码描述如下：
CreateTriggercheck1
On校级项目管理表
Forinsert
As
begintran
declare@achar(12)
select@a=负责人fromInserted
If(selectcount(*)from科研人员信息表where姓名=@a)=0
begin
Print''''负责人不合法''''
rollbacktran
end
committran
其它类似操作不做描述。
在设计中，坚持使用触发器实现尽可能多的实现前台操作，不仅提高了操作效率、更提高了代码的安全性和共享性。
3.4数据库安全设计
网络的安全非常重要，从数据库级、服务器级和应用程序级综合考虑，在科研管理系统中要根据不同用户，设置不同的权限、不同的初始化菜单。在本系统中，数据库的安全主要通过数据库的存取控制机制实现的。首先定义各类管理人员的操作权限即角色，其次定义数据库登录，最后依据用户权限表将登录分配为相应的角色。由于人员的复杂性，角色分为三个层次：科研处级别、二级部门级别、普通教师级别。用户属于某一角色，即使用户职务调动时，对用户增删，不影响其他用户的操作，只是角色中用户数量的变化。建立专门的系统使用权限表来记录用户和权限，同时也兼容部门设置信息，对不同部门分配相应的权限和账号，科研处是最高管理级别部门。
篇11
企业自身不断谋求向现代企业迈进，也更应该对会计信息系统进行主动性革命，包括对系统的构建深入理解，这些都要通过构建信息时代的会计信息系统来解决。针对不同类型和不同层次的企业，本文重点讨论的是一批在国内外有影响的大企业。
一、会计信息系统技术构架
企业会计信息系统的构建，在技术构架上，数据库服务、应用服务及客户端服务三方面，采用三层架构设计，可以提高效率与安全性、降低硬件投资成本。
通过三层结构服务器方案，保证的数据的安全，达到数据集中控制的目的。三层体系结构既减轻数据库服务器的连接开销，又将业务规则从客户端移到应用服务器达到安全高效的目的。
1、数据库服务
数据库服务是三层模式中的最底层，用来定义、维护、访问和更新数据并管理和满足应用服务对数据的请求。由一个或者多个数据库系统组成，其中可能包括由存储过程组成的和数据存取相关的逻辑模块。
数据库也是会计信息系统设计必不可少的，没有数据库的会计信息系统程序是不完整的程序。因为只有数据库才能大量、快速地处理各类信息，实现各种功能系统采用SQLServer做后台数据库。它是由微软Microsoft出品，基于关系型数据库的大型数据库系统。它具有独立于硬件平台、对称的多处理器结构、抢占式多任务管理、完善的安全系统和容错功能，并具有易于维护的特点。
2、应用服务
应用服务位于客户端和数据库服务之间，专门为实现企业的业务逻辑提供了一个明确的层次，在这个层次封装了与系统关联的应用模型，并把用户指令和数据库代码分开。这个层次提供客户应用程序和数据服务之间的联系。主要功能是执行应用策略和封装应用模式．并将封装的模式呈现给客户应用程序。在三层B/S体系结构，它是在数据库服务器与客户端之间增加应用服务器。
Microsoft的分布式COM(DCOM)技术是将组建对象模型技术COM大大进行了扩展。是对在局域网、广域网甚至是Internet上计算机对象之间的通信提供了完全的支持。通过使用DCOM用户的应用程序就可以在任何网络位置上达到真正的分布性，从而满足客户应用的需要。
3、WEB客户端
客户端是为客户提供应用服务的图形界面，有助于用户理解和高效的定位应用服务。远程客户端和本地客户端通过浏览器提交用户请求，显示处理结果，通过显示界面进行数据的输出等操作
4、总体优势
总体上看，数据库服务器负责数据存储，客户端只管用户界面、递交服务请求，应用服务器负责业务处理，这种结构能更好地应用资源，减轻了客户端的负担，从而弥补了两层结构的不足。
二、会计信息系统数据库及安全
企业会计信息系统的构建需要强大的数据库后台服务和完善的数据安全性，我们从以下四个方面来加强系统的数据库安全性。
1、完善的网络安全体系使用访问服务器对远程电算工作站进行加密身份验证、对数据采用密文传输方式可以为会计电算化数据提供全面的安全保障；内部局域网电算工作站对电算服务器的访问通过严格的身份验证体系加以管理。上述措施使得来自因特网和内部局域网的非法操作或入侵被访问服务器拒绝，从而无法连接电算服务器，并记录相关信息备查。这样可以完全隔离内部和外来的非法入侵并记录其入侵主机的IP地址、入侵时间、入侵频率等信息，同时系统在切断非法入侵通道时提供实时告警，提醒管理员及时采取措施。
2、全面的会计电算化信息系统档案管理
会计电算化信息系统处理业务时所产生的各种账簿、报表凭证均由专人管理，并有相应的管理制度；所有财务档案均做好防火、防潮、防尘、防盗等，特别是磁性存储介质要做好防磁。
3、安全的会计电算化信息系统输入控制
审核人员对会计电算化信息系统每笔业务进行合法性和准确性审核，从源头上防止错误和舞弊行为的发生。避免因错误舞弊导致连环性、重复性错误。采用编码制度，会计科目统一编码，不仅提高了录入的速度和准确性，而且规范了行业管理。设置逻辑控制、平衡校验控制、错误更正控制来完善会计电算化信息系统查错、改错的功能。
4、稳固的计算机病毒预防措施
为了防止计算机病毒的侵袭，本系统使用正版软件，拒绝各类盗版或来历不明的软件；对外来的移动硬盘、光盘、优盘首先进行病毒检测；在服务器和工作站中装入了防病毒软件，开机时进行时控制，对硬盘进行病毒检测。及时发现并杀死计算机病毒定时对计算机防病毒软件进行升级，保证会计电算化信息系统服务器和工作站中病毒特征库是最新的。
篇12
信息时代的到来让网络与信息技术成为当下服务于各行业最为普遍、前沿的现代技术之一，在不断提高劳动生产率、减轻大量人工劳动强度的同时，让经济效益和社会效益出现了前所未有、几何级增长的态势。然而，当人类享受着计算机、信息技术等高科技带来的各种便捷与利益的同时，也面临着日渐增加的网络与电脑遭受恶意攻击、出现难以预料的安全性问题的烦扰。网络与计算机技术便利和问题的并存充分证明了“科技是一柄‘双刃剑’”的说法，也让越来越多业内外人士认识到了加强数据库系统安全性测试的重要性。
1 引发数据库系统安全性问题的原因
当前引发数据库系统安全性问题的主要原因概括起来主要有权限与帐户管理不当的问题，身份认证管理不当的问题，数据库日志审计方面的问题。
权限与帐户管理不当产生的安全性问题主要是对高级权限或帐户管理上的不当。尤其是对系统管理员的监督管理缺乏应有的强度与频率。由于系统管理员掌握着所有权限与帐户的特殊性，其不仅有通过后门进入数据库开展日常管理工作的现实性，也同时具有利用职务之便监守自盗的风险性。
当前众多数据库都具有用户身份认证的管理机制，只有用户提供正确的帐号与密码才能进入目标数据库系统进行相应的操作。但这一机制却对通过不法渠道获取的帐号与密码缺乏防范手段。
许多数据库系统内置了日志审计功能，也就是每出现一次系统数据变更（修改）或权限应用时，就会自动生成一条日志内容被系统捕捉并记录下来。然而当前这样的日志记录却没有对出现安全性问题进行实时监控与即时报警的功能。也就是说，虽然数据库系统能够自行记录下任何一条安全性问题，但若管理员没有及时查阅，则同样不能针对安全性问题采取措施进行处理或规避。
2 数据库系统安全性测试范畴
数据库系统安全性测试一般涉及到测试对象、潜在风险、方案设置等。所谓测试对象就是数据与系统功能。即那些需要得到安全保护的数据与系统功能都需要被陈列出来并衡量其对于合法用户与非法用户都有怎样不同的价值，此外还应寻找非法利用测试对象的各类手段。
潜在风险是指潜藏的可能造成数据损毁、丢失或损害系统功能的事件，需要找到这些潜在风险并且将其分为自然风险、意外风险、人为风险三类。同时，需要对这些潜在风险的出现进行概率预计，并就这些风险一旦转化为事实会造成的后果进行评估，再对其中程度最为严重的一部分进行重点关注。
方案设置是指对上面提到的潜在性风险进行的安全性方案的预设。特别是对其中人为风险进行重点安全性方案预设。与此同时，方案设置还包括对数据库系统安全性进行策略性测试。此环节包括正向与反向两大类。正向策略性测试是指从需要出发，将系统中设计、编码过程中可能存在的安全隐患一一找寻出来并进行针对性测试；而反向策略测试则是从当前系统中已经存在的漏洞与缺陷等出发，继续找寻其他潜在的漏洞与缺陷。在根据既有和后续发展的漏洞与缺陷建立相应的问题模型并由模型推演找寻发现可能遭受恶意攻击的端口或节点，继而对这些端口或节点进行安全性扫描。
3 数据库系统安全性测试中几个核心技术的应用
3.1 扫描
数据库系统安全性测试扫描技术主要针对的是数据库系统安全性强度问题的核心技术。特点是便捷、迅速、较容易操作，对数据库系统安全性测试具有一定的目标性，尤其是在认证用户身份、系统权限设置、安全缺陷与系统完整性等方面进行扫描测试。其过程是事先设置一定的安全性测试方案，再根据既定方案对预期中的潜在系统缺陷进行逐一测试，根据测试结果描述漏洞或缺陷的详情，再据此制定相应的解决措施。由此形成数据库系统安全性测试报告，实现对数据库安全的持续完善。这一核心技术具体内容包括对数据的安全性扫描、对用户权限设置的安全强度的扫描及对用户身份认证安全强度的扫描等。
3.2 渗透
这一技术简而言之类似于模拟外部入侵的试错技术。也就是最大限度模仿“黑客”等非法入侵数据库的对手的系统缺陷找寻手段与策略，通过主动对已方系统进行安全性测试发现其中潜藏的漏洞与问题所在。在信息与网络的实践应用中，数据库具有多层使用的特性。因此在同一个网络系统中，出于不同测试目的比如对象或阶段的差异等，使用渗透进行安全性测试的具体内容也不尽相同。比如既有对网络或端口进行扫描的渗透测试技术；也有通过对密码进行解密的破解渗透测试技术；还有“SQL”技术，也就是入侵者用自己设计的脚本渗透入目标数据库系统所在服务器的CGI脚本中，由此实现对入侵指令的实施或者是取得目标数据的目的。此外缓冲溢出也是渗透技术中较常见的一种。是指利用远程控制技术，在目标系统的缓冲区填充超过其预设容量的内容引发数据溢出，导致系统放弃该指令而执行入侵者的指令。
3.3 Fuzzing
此技术又称为模糊处理技术，也叫“黑箱”测试技术。该技术主要特点是测试者对目标数据库系统没有任何事先了解，仅通过对目标系统注入错误数据的手法开展测试，通过系统对此注入行为的反应发现其中潜藏的缺陷或漏洞。该技术主要针对的是互联网上最常用的协议如HTTP、FTP、SMTP、POP3等。而利用此技术能够发现的缺陷漏洞可以涵盖SQL、缓冲溢出、脚本攻击、字符串格式化漏洞与泄露在内的各类安全性缺陷问题。
4 结束语
数据库系统安全性测试技术是随着互联网与计算机应用的普及和深入而伴随出现并不断提升的前沿技术。这一技术不仅在于维护数据与信息安全及使用人的切身利益，更有助于促进整个网络与信息技术的不断完善与进步。数据库系统安全性测试技术的应用需要区分目标与对象的性质差异，选择最具针对性的内容与形式开展测试，并在不断提高技术适应性的基础上实现系统安全性的进一步完善。
参考文献
[1]白雪.试论Web应用系统的安全性测试技术[J].网络安全技术与应用，2013（04）.
[2]张勇.基于规格说明的组件安全性测试技术研究和实现（硕士学位论文）[D].信息工程大学，2012（07）.
作者介
篇13
1.引言
在我国，虽然企业管理已经蓬勃地发展起来了，但是目前仍有部分中小型企业采用纸张录入的传统方式，有的只是应用计算机做一些报表系统进行电算化处理，随着物资种类的不断增加及仓库管理要求的不断提高，企业员工的工作将会越来越大，管理成本高、效率低，易出错B/S结构，管理水平低。还有部分企业采用传统的C/S模式的系统， 基于该模式的系统在开放性、信息的与交流的便捷性、可管理性等诸方面存在较大的局限，在一定程度上影响并制约着物流仓储管理信息化进程。可以说，以上几种仓库管理方式已经不能再适应现代企业的需求。而目前国内大型企业使用的仓储管理信息系统都是从国外购买的企业管理软件[1]，但价格较高。很多中小型企业迫切需要一个符合自己的仓储管理系统，以减轻企业员工的工作负担及提高工作效率，与此同时也方便了企业对物资的管理，从而使仓库管理更处于安全、方便、快捷、经济、更加激发企业员工的管理热情。因此，开发出适合国情的中小型企业的仓储管理系统具有重要的意义。
B/S 模式以其可伸缩性、易管理性、安全性等方面的优势，为仓储信息系统的开发提供了新的技术手段。本文针对企业仓储业务的特点，给出了基于B/S 模式的仓储管理系统的开发途径和实现方法。
2.系统框架设计
从系统的安全性、使用的方便性、开发维护简便性、以及系统扩展性考虑[2], 仓储管理系统采用B/S结构模式, 分客户端、业务层和数据层三层实现。数据层采用SQL Server 2008 Enterprise 作为数据库服务器；业务层基于WindowsServer 2003 Enterprise Edition 和Microsoft.Net 3.5 运行环境，利用vs2008(C#)设计页面，实现设计的业务功能；客户层采用任何安装MicrosoftInternetExplorer 6.0 以上版本或者是与之兼容的版本浏览器的操作系统。计算机网络采用企业内联网为主、并接入互联网。B/S 结构模式具有分布式计算、集中式管理的特性，程序和数据库都集中在服务器上，客户端只需配置操作系统及浏览器即可实现对服务器的访问使用[3]论文下载。B/S结构的用户将不用安装客户端软件, 在各地通过使用Internet Explorer 或者其他浏览器登陆到企业的Web服务器，通过安全验证后就可以查询用户所需企业业务信息，这样大大提高了工作效率。系统的体系结构图如图1所示：
图1系统体系结构图
仓储管理系统的基本功能是向企业提供货物库存及各种报表的动态查询B/S结构，根据仓储企业的特点和需求，系统分为六大模块，系统的功能结构图如图2所示：
图2系统功能结构图
1)出入库管理：该模块针对入库和出库信息进行添加、修改和删除等操作。在入库的同时自动指定物品存放位置。
2)盘点管理
该模块显示品名、规格、批号、前期库存、本期入库、本期退库、本期退货、现库存等信息。并提供多种盘点方式，如:按仓库盘点、按批次盘点、按存货类别盘点、对保质期临近多少天的存货进行盘点等，还可以对各仓库或批次中的全部或部分存货进行盘点，盘盈、盘亏的结果自动生成其它出入库单[4]。
3)基本信息管理
该模块记录仓库中的所有物品信息包括曾经存放过的和现在存放在仓库中的物品信息。系统对包括物品名称、物品编码、规格、生产厂商、产品批号、生产日期、有效期、出入库时间、物品数量、操作员等基本信息进行设置，而且对所有物品进行编码并存储在系统的数据库中，使系统能有效追踪物品所处位置，也便于操作员根据货位号迅速定位到目标货位在仓库中的物理位置，便于对仓库的目前状态和历史状态随时跟踪。
为了查询数据的方便，该模块可以查询所有物品信息，本模块支持按物品名称查询、物品编码、生产厂商名称查询，数据动态实时更新。
4)报表统计
根据需求, 系统自动生成出入库情况的日报表、月报表和年报表。并可通过查询生成报表，包括对物品的进货、退货、物品库存情况、物品销售情况(包括物品销售比重、销售总额、利润、利润比重、销售排行)等信息进行汇总查询，并可打印输出查询结果。
5)数据挖掘与市场预测
系统可以对数据进行检索与再利用、数据挖掘分析与统计管理。比如可以根据物品的销售数量、销售比重、销售利润等，预测市场流行趋势为高层管理者提供决策依据。
6)系统设置：包括添加用户、修改用户密码、重新登录及帮助。
3.系统实现
3.1开发环境
该系统采用三层B/S 网络架构，后台数据库服务器采用SQL Server 2008B/S结构，Web 服务器采用Microsoft 公司的InternetInformation Server 6.0（IIS 6.0），使用Microsoft Visual C# .NET 2008、Visio2007等相关工具，在Windows 2003 Server环境下进行开发实现。
3.2数据库设计
根据系统的功能分析，数据库由物品的基本信息表、生产厂商表、用户人员管理表、用户密码表、仓库信息表、入库表、出库表、盘存信息表、销售信息表、收货单位表等数据表构成。
3.2.1数据库表格设计
其中物品的基本信息表包括：物品的编号、名称、生产厂商、种类、规格、产品批号、生产日期、有效期、物品所属的客户，其中物品的编号为主键。
仓库信息表中包括存放地点（相当于库位的标号）、仓库号、区域、货架号、层、行、列、是否为空几个属性，其中存放地点为主键。
入库表中应该记录物品的编码、入库的时间、经手人和存放地点，其中以物品编码和入库时间联合作为主键；出库表中应该记录物品的编码、出库时间和经手人，其中以物品编码和出库时间联合作为主键。其他表的属性设计略。
3.2.2数据库访问技术
ADO.NET 为.NET 框架提供一套统一的数据访问技术,在应用程序和数据源之间起到桥梁作用。ADO.NET能够从数据源中返回查询结果、对数据源执行命令、将 DataSet 中的更改传播给数据源。
ADO.NET 是一组向 .NET 程序员公开数据访问服务的类。ADO.NET 为创建分布式数据共享应用程序提供了一组丰富的组件[5]。它提供了对关系数据、XML 和应用程序数据的访问，因此是 .NET Framework 中不可缺少的一部分。ADO.NET 支持多种开发需求，包括创建由应用程序、工具、语言或 Internet 浏览器使用的前端数据库客户端和中间层业务对象访问SQL Server的连接方法图如下图3所示论文下载。
图3 访问SQLServer数据库的连接方法
ADO.Net 提供了多种数据提供程序：SQL Server .NET 数据提供程序、ODBC .NET 数据提供程序、Oracle 的 .NET 数据提供程序、自定义 .NET 数据提供程序、SQLXML 托管类等等， 可以根据不同的数据源选择适合的数据提供程序。
3.3安全性实现
系统的安全与数据安全，关系到系统数据的私密性和完整性，是仓储管理系统的关键。它的实现与数据库系统、管理系统等方面的安全性是密不可分的，因而，应分别给予考虑[6]。
数据库系统安全性：数据库系统安全性涉及到数据库设计、数据库安全及数据存储等方面的安全性。本设计采用SQLServer2008作为数据库管理平台，提供了严格的权限认证控制，访问数据库的用户必须拥有数据库帐号和密码B/S结构，对所有操作者进行自动跟踪、日志登记等。
系统安全性：系统中对各个模块提供统一的权限用户控制机制，以控制对系统的访问及对数据的使用。对不同的用户设置不同的访问权限级别,由系统管理员授权，分为用户系统和权限系统来保证系统的安全性。用户系统提供基于角色用户的安全管理，角色是系统中的一个权限集合，用户是一个可以登录到系统；系统提供多种权限控制机制，以保证系统的数据安全和满足系统不同用户群体访问不同数据的控制。
4.结束语
本文针对物中小型企业的现状和特点，给出了基于B/S模式的仓储管理系统的开发方案。基于该模式的仓储管理系统具有的使用简单、信息共享性高、易于维护、可扩展性好等特点。仓储企业可利用该系统对仓储商品进行有效的管理，系统投入运行后可以使仓储管理实现实时化、网络化、系统化、规模化、专业化、集成化、智能化[7]等，增强了工作人员仓库管理能里，提高了工作效率。并为企业决策层进行仓储决策提供可靠准确的数据分析和依据，提升仓储企业对灵活多变市场的反应能力，提高企业经济效益和竞争力。该系统采用的关键技术和有效的实施方案可以在各中小型企业中进行推广，其发展前景必将十分光明。
参考文献：
[1]李建义，张红亮.基于B/S方式的企业仓储物流信息系统的实现[J]. 华北水利水电学院学报,2003(3)：66-68.
[2]张伟，吴超华.基于Web的仓储物流管理系统的设计与实现[J].机电工程技术，2006(1):59-60.
[3]宋恩华.青岛卷烟厂的仓储管理信息系统[J]. 中外物流,2008(3)：55-56.
[4]刘超，彭长春.仓储管理信息系统的设计及实施[J]. 小氮肥,2009(8)：18-19.
[5]彭慧然，高志民.基于Web 服装企业仓储管理系统研究与实现[J]. 微计算机信息,2006(6)：137-139.
[6]王小建.基于B/S模式物流仓储管理系统开发[J]. 网络与信息化,2009(3)：139-141.
