时间：2022-12-23 01:04:36
绪论：在寻找写作灵感吗？爱发表网为您精选了8篇网站安全论文，愿这些内容能够启迪您的思维，激发您的创作热情，欢迎您的阅读与分享！
网站安全是指对网站进行管理和控制，并采取一定的技术措施，从而确保在一个网站环境里信息数据的机密化、完整性及可使用性受到有效的保护。网站安全的主要目标就是要稳妥地确保经由网站传达的信息总能够在到达目的地时没有任何增加、改变、丢失或被他人非法读取。要做到这一点，必须保证网站系统软件、数据库系统其有一定的安全保护功能，并保证网站部件如终端、数据链路等的功能不变而且仅仅是那些被授权的人们可以访问。
网站安全目前已发展成为一个跨学科的综合性学科，它包括通信技术、网站技术、计算机软件、硬件设计技术、密码学、网站安全与计算机安全技术等，网站安全是在攻击与防范这一对矛盾相互作用的过程中发展起来的。新的攻击导致必须研究新的防护措施，新的防护措施又招致攻击者新的攻击，如此循环反复，网站安全技术也就在双方的争斗中逐步完善发展起来。
二、网络与网站安全隐患概述
目前影响网站安全的问题主要来自于网络的不安全性，所以在这个意义上讲，网站的安全漏洞其实也就是网络的安全漏洞，其漏洞主要来自以下几个方面：
1.自然因素：
1.1软件漏洞
任何的系统软件和应用软件都不能是百分之百的无缺陷和无漏洞的，而这些缺陷和漏洞恰恰是非法用户、黑客进行窃取机密信息和破坏信息的首选途径。针对固有的安全漏洞进行攻击，主要在以下几个方面：
1.1.1、协议漏洞。例如，IMAP和POP3协议一定要在Unix根目录下运行，攻击者利用这一漏洞攻击IMAP破坏系统的根目录，从而获得超级用户的特权。
1.1.2、缓冲区溢出。很多系统在不检查程序与缓冲区之间变化的情况下，就接受任何长度的数据输入，把溢出部分放在堆栈内，系统仍照常执行命令。攻击者就利用这一漏洞发送超出缓冲区所能处理的长度的指令，来造成系统不稳定状态。
1.1.3、口令攻击。例如，Unix系统软件通常把加密的口令保存在一个文件中，而该文件可通过拷贝或口令破译方法受到入侵。因此，任何不及时更新的系统，都是容易被攻击的。
1.2病毒攻击
计算机病毒一般分为四类：①文件型病毒（FileViruses）;②引导型病毒（SystemorBootSectorVirus）;③链式病毒（SYSTEMorCLUSTERVirus）;④宏病毒（MacroVirus）。计算机病毒的主要危害有：对计算机数据信息的直接破坏作用，给用户造成重大损失:占用系统资源并影响运行速度:产生其他不可预见的危害:给用户造成严重的心理压力。
计算机病毒疫情呈现出多元化的发展趋势，以网络为主要传播途径。呈现以下显著特点:①网络病毒占据主要地位；②病毒向多元化、混合化发展；③利用漏洞的病毒越来越多。
2、人为因素：
2.1操作失误
操作员安全配置不当造成的安全漏洞，用户安全意识不强.用户口令选择不慎.用户将自己的帐号随意转借他人或与别人共享等都会对网络安全带来威胁。这种情况在企业计算机网络使用初期较常见，随着网络管理制度的建立和对使用人员的培训，此种情况逐渐减少.对网络安全己不构成主要威胁。
2.2恶意攻击
这是计算机网络所面临的最大威胁，敌手的攻击和计算机犯罪就属于这一类。此类攻击又可以分为以下两种：一种是主动攻击，它以各种方式有选择地破坏信息的有效性和完整性；另一类是被动攻击，它是在不影响网络正常工作的情况下，进行截获、窃取、破译以获得重要机密信急。
当然作为本文最讨论的网站安全，它也有它自身的安全隐患存在，主要体现在以下几点：
3.用户输入验证不全面
在网站编程中，对于用户和用户的输入，都必须抱怀疑态度，不能完全信任。所以，对于用户的输入，不能简单的直接采用，而必须经过严格验证，确定用户的输入是否符合输入规则才可以录入数据库。用户输入验证应该包括以下几个方面：
（1）输入信息长度验证。程序员往往认为一般用户不会故意将输入过分拉长，不进行输入验证可能没有危害。但如果用户输入的信息达到几个兆，而程序又没有验证长度的话，可以使程序验证出错或变量占用大量内存，出现内存溢出，致使服务器服务停止甚至关机。在线
（2）输入信息敏感字符检查。在设计程序的时候，程序员可能都会关注javascript的一些敏感字符，如在设计留言版的时候，会将“<”等符号的信息过滤，以免用户留下页面炸弹。但还有以下几个方面需要特别注意，一是留言版内容信息的过滤。二是用户名信息的过滤。程序设计中，对用户名的验证往往只是验证长度，没有验证javascript或者HTML的标记，这样就容易形成漏洞。三是Email信息的验证，Email信息往往也只验证是否含有“@”符号，其他没有限制，这容易形成两个漏洞：输入信息过长的内存溢出漏洞；含有javascript等字符信息，造成显示用户Email的时候形成页面炸弹等。四是搜索信息的验证。尽管搜索信息不会直接保存到网站服务器，但是，搜索信息却与数据库或者服务器所有文件密切相关，如果搜索信息有问题，很容易就会暴露一些本来不应该暴露的数据库信息或者文件信息。如果用户对程序比较了解，可设计一些很特别的搜索信息，检索他不应该检索的数据库表，例如用户账号密码表等。因此，一般要验证一些常见的用于数据库操作的语句，例如搜索信息是否含有“Select”等，这样来限制用户输入，避免信息的泄露。
4.页面行为方式缺乏逻辑
在网站中注册新用户的时候，一般会首先要求用户输入自己需要注册的账号信息，验证该账号是否已经存在，确保用户的单一性。如果用户的注册信息通过了“存在该账号”的检测，在编程的时候就认为这个账号一定不存在，可以注册，在注册页面中直接使用“nsertInto”语句将注册信息插入用户数据库。上述的问题是：将注册信息插入数据库之前，并没有再一次检查这个用户是否存在，而是信任前一个检测页面传来的账号信息。由于可以阅读和保存HTML文件的源代码，如果用户将注册通过的页面保存并且将上面的账号信息修改为一个已经存在的账号，由于程序认为该账号已经通过检测，直接将该账号插入数据库，原来拥有该账号的用户信息就被修改，造成用户信息流失、出错等情况的发生。如果这个账号刚好是一个管理员账号，结果将是很难预料的。
使用以上错误方式编程的程序员很多，随便在网上找就可以找到很多这种方式编程的源代码和已经采用的程序。在电子商务初期，一些电子商务网站的程序中，存在着用户可以随意定义自己购买商品的价格这样的漏洞，也就是由页面行为方式缺乏逻辑造成的。
当然，网站安全还包括比如服务器攻击、病毒攻击等方面，但这些方面基本都属于上文中介绍过的网络安全问题，另外由于篇幅问题许多细节问题也不在此累赘了。
三、网站安全管理策略探讨
1.网络安全的管理
1.1使用防火墙
防火墙作为使用最多，效率最高的网络安全产品自然有它自身的优势，所以防火墙在整个网络安全中的地位将是无可替代的。
1.2与因特网接入处增设网络入侵检测系统
入侵检测系统(IDS即IntrusionDetectSystem)是实时网络违规自动识别和响应系统，它位于有敏感数据需要保护的网络上或网络上任何有风险存在的地方，通过实时截获网络数据流，能够识别、记录入侵或破坏性代码流，寻找网络违规模式和未授权的网络访问，一经发现入侵检测系统根据系统安全策略做出反应，包括实时报警、自动阻断通信连接或执行用户自定义安全策略等。
1.3病毒防御
选购杀毒软件，必须考虑产品的采购成本、应用(管理、维护)成本，以及将来企业或网络规模变化后，软件能否实现平滑过渡等问题。只有明确需求，重视产品的应用和管理，把网络防病毒纳入到信息安全防范体系之中进行综合防范，才能有效提升企业的信息安全水平。单纯防病毒，并不是企业的最终目标。
当然，对于网络安全的防御目前比较成熟的技术相当多，我们只有认准适合自己的技术，并采用多种技术相互结合才能达到相应的目的，由于篇幅有限对于其他诸如身份认证、数字签名等技术的介绍就不在此累赘了。在线
2.网站自身的安全管理
2.1网站服务器的安全管理
网站服务器的日常管理、维护工作包‘括网站服务器的内容更新、日志文件的审计、安装一些新的工具和软件、更改服务器配置、对服务器进行安全检查等。主要注意以下几点:
①从网络结构设计上解决安全问题
安装一个功能强大的防火墙可以有效防御外界对Web服务器的攻击，还可通过安装非法人侵监测系统，提升防火墙的性能，达到监控网络、执行立即拦截动作以及分析过滤封包和内容的动作，当有入侵者攻击时可以立刻有效终止服务。同时应限制非法用户对网络的访问，规定具有特定IP地址的客户机对本地网络服务器的访问权限，以防止从外界对网络服务器配置的非法修改。
②定期对网站服务器进行安全检查
由于网站服务器是对外开放的，容易受到病毒的攻击，所以应为服务器建立例行安全审核机制，利用漏洞扫描工具和IDS工具，加大对服务器的安全管理和检查。另外，随着新漏洞的出现，我们要及时为服务器安装各类新漏洞的补丁程序，从而避免服务器受到攻击和出现其他异常情况。
③定期进行必要的数据备份
对服务器上的数据定期进行备份是很重要的。网站的核心是数据，数据一旦遭到破坏，后果不堪设想。除了设置相应权限外，应建立一个正式的备份方案，而且随着网站的更新，备份方案也需要不断地调整。
2.2数据库安全管理
数据库的安全性是指保护数据库以防止不合法的使用所造成的数据泄密和破坏。为了保证业务应用系统后台数据库的安全性，采用基于Client/Server模式访问后台数据库，为不同的应用建立不同的服务进程和进程用户标识，后台数据库系统以服务器进程的用户标识作为访问主体的标识，以确定其访问权限。我们通过如下方法和技术来实现后台数据库的访问
控制。
①访问矩阵
访问矩阵就是以矩阵的方式来规定不同主体(用户或用户进程)对于不同数据对象所允许执行的操作权限，并且控制各主体只能存取自己有权存取的数据。它以主体标行，访问对象标列，访问类型为矩阵元素的矩阵。Informix提供了二级权限：数据库权限和表权限，并且能为表中的特定字段授予Select和Update权限。因此，我们在访问矩阵中定义了精细到字段级的数据访问控制。
②视图的使用
通过视图可以指定用户使用数据的范围，将用户限定在表中的特定字段或表中的特定记录，并且视图和基础表一样也可以作为授权的单位。针对不同用户的视图，在授权给一用户的视图中不包括那些不允许访问的机密数据，从而提高了系统的安全性。
③数据验证码DAC
对后台数据库中的一些关键性数据表，在表中设置数据验证码DAC字段，它是由银行密钥和有关的关键性字段值生成。不同记录的DAC字段值也不相同。如果用户非法修改了数据库中的数据，则DAC效验将出错，从而提高了数据的安全性。
2.3编码中的安全管理
防止恶意代码注入
①验证输入，使攻击者无法注入脚本代码或使缓冲区溢出
②对所有包含输入的输出进行编码。这可防止客户端浏将潜在的恶意脚本标记作为代码进行转换。
③使用接受参数的存储过程，防止数据库将恶意SQL输为可执行语句进行处理。同时使用特权最低的进程帐户和模拟帐户。在攻击者企图应用程序的安全上下文执行代码时，可缓解风险并减少损害。
防止会话劫持：
①分隔个性化cookie和身份验证cookie。
②仅通过HTTPS连接传递身份验证cookie。
③不传递在查询字符串中代表已通过身份验证的用户标识符。
最为一名网络或者网站管理员，有责任同时也有义务做好网站的维护与管理，这就需要我们管理人员时刻保持虚心学习的心态，时刻关注新的管理技术与安全防御技术。对于已经出现的安全问题应该用最快、最有效的方法加以解决，对于目前还未出现的安全问题要有预见性，这才是一名优秀的网络管理员。
参考文献：
[1]沈文智.MicrosoftBS网页技术[M].北京:人民邮电出版社.1998.
[2]沈昌样.网络安全与信息战.网络安全技术与应用.2001.
[3]骆耀祖，龚洵禹．动态网页设计教程［M］．广州：中山大学出版社，2002．
[4]骆耀祖，刘永初等．计算机网络技术及应用［M］北京：清华大学、北方交大出版社，2003．
摘要：
本文首先介绍了网络与网站安全的隐患，其中包括常见的网络安全隐患和网站自身经常出现的安全隐患，之后作者从简要介绍了网络安全的防御问题，并详细介绍了网站自身的安全防御。
关键字：网站安全性管理
Abstract
Thisarticlefirstintroducedthenetworkandthewebsitesecurityhiddendanger,thesecurityhiddendangerwhichappearsfrequentlyincludingthecommonnetworksecurityhiddendangerandwebsiteitself,afterwardstheauthorbrieflyintroducedthenetworksecuritydefense,andintroducedwebsiteownsafedefenseindetail.
一、前言
随着计算机信息技术的高速发展，人们的生活、工作越来越依赖互联网上的信息和信息获取，但是人们却时刻被信息网络的安全隐患所困扰，越来越多的人也开始了关于网络、网站的安全性管理研究。
网站安全是指对网站进行管理和控制，并采取一定的技术措施，从而确保在一个网站环境里信息数据的机密化、完整性及可使用性受到有效的保护。网站安全的主要目标就是要稳妥地确保经由网站传达的信息总能够在到达目的地时没有任何增加、改变、丢失或被他人非法读取。要做到这一点，必须保证网站系统软件、数据库系统其有一定的安全保护功能，并保证网站部件如终端、数据链路等的功能不变而且仅仅是那些被授权的人们可以访问。
网站安全目前已发展成为一个跨学科的综合性学科，它包括通信技术、网站技术、计算机软件、硬件设计技术、密码学、网站安全与计算机安全技术等，网站安全是在攻击与防范这一对矛盾相互作用的过程中发展起来的。新的攻击导致必须研究新的防护措施，新的防护措施又招致攻击者新的攻击，如此循环反复，网站安全技术也就在双方的争斗中逐步完善发展起来。
二、网络与网站安全隐患概述
目前影响网站安全的问题主要来自于网络的不安全性，所以在这个意义上讲，网站的安全漏洞其实也就是网络的安全漏洞，其漏洞主要来自以下几个方面：
1.自然因素：
1.1软件漏洞
任何的系统软件和应用软件都不能是百分之百的无缺陷和无漏洞的，而这些缺陷和漏洞恰恰是非法用户、黑客进行窃取机密信息和破坏信息的首选途径。针对固有的安全漏洞进行攻击，主要在以下几个方面：
1.1.1、协议漏洞。例如，IMAP和POP3协议一定要在Unix根目录下运行，攻击者利用这一漏洞攻击IMAP破坏系统的根目录，从而获得超级用户的特权。
1.1.2、缓冲区溢出。很多系统在不检查程序与缓冲区之间变化的情况下，就接受任何长度的数据输入，把溢出部分放在堆栈内，系统仍照常执行命令。攻击者就利用这一漏洞发送超出缓冲区所能处理的长度的指令，来造成系统不稳定状态。
1.1.3、口令攻击。例如，Unix系统软件通常把加密的口令保存在一个文件中，而该文件可通过拷贝或口令破译方法受到入侵。因此，任何不及时更新的系统，都是容易被攻击的。
1.2病毒攻击
计算机病毒一般分为四类：①文件型病毒（FileViruses）;②引导型病毒（SystemorBootSectorVirus）;③链式病毒（SYSTEMorCLUSTERVirus）;④宏病毒（MacroVirus）。计算机病毒的主要危害有：对计算机数据信息的直接破坏作用，给用户造成重大损失:占用系统资源并影响运行速度:产生其他不可预见的危害:给用户造成严重的心理压力。
计算机病毒疫情呈现出多元化的发展趋势，以网络为主要传播途径。呈现以下显著特点:①网络病毒占据主要地位；②病毒向多元化、混合化发展；③利用漏洞的病毒越来越多。
2、人为因素：
2.1操作失误
操作员安全配置不当造成的安全漏洞，用户安全意识不强.用户口令选择不慎.用户将自己的帐号随意转借他人或与别人共享等都会对网络安全带来威胁。这种情况在企业计算机网络使用初期较常见，随着网络管理制度的建立和对使用人员的培训，此种情况逐渐减少.对网络安全己不构成主要威胁。
2.2恶意攻击
这是计算机网络所面临的最大威胁，敌手的攻击和计算机犯罪就属于这一类。此类攻击又可以分为以下两种：一种是主动攻击，它以各种方式有选择地破坏信息的有效性和完整性；另一类是被动攻击，它是在不影响网络正常工作的情况下，进行截获、窃取、破译以获得重要机密信急。
当然作为本文最讨论的网站安全，它也有它自身的安全隐患存在，主要体现在以下几点：
3.用户输入验证不全面
在网站编程中，对于用户和用户的输入，都必须抱怀疑态度，不能完全信任。所以，对于用户的输入，不能简单的直接采用，而必须经过严格验证，确定用户的输入是否符合输入规则才可以录入数据库。用户输入验证应该包括以下几个方面：
（1）输入信息长度验证。程序员往往认为一般用户不会故意将输入过分拉长，不进行输入验证可能没有危害。但如果用户输入的信息达到几个兆，而程序又没有验证长度的话，可以使程序验证出错或变量占用大量内存，出现内存溢出，致使服务器服务停止甚至关机。
（2）输入信息敏感字符检查。在设计程序的时候，程序员可能都会关注javascript的一些敏感字符，如在设计留言版的时候，会将“<”等符号的信息过滤，以免用户留下页面炸弹。但还有以下几个方面需要特别注意，一是留言版内容信息的过滤。二是用户名信息的过滤。程序设计中，对用户名的验证往往只是验证长度，没有验证javascript或者HTML的标记，这样就容易形成漏洞。三是Email信息的验证，Email信息往往也只验证是否含有“@”符号，其他没有限制，这容易形成两个漏洞：输入信息过长的内存溢出漏洞；含有javascript等字符信息，造成显示用户Email的时候形成页面炸弹等。四是搜索信息的验证。尽管搜索信息不会直接保存到网站服务器，但是，搜索信息却与数据库或者服务器所有文件密切相关，如果搜索信息有问题，很容易就会暴露一些本来不应该暴露的数据库信息或者文件信息。如果用户对程序比较了解，可设计一些很特别的搜索信息，检索他不应该检索的数据库表，例如用户账号密码表等。因此，一般要验证一些常见的用于数据库操作的语句，例如搜索信息是否含有“Select”等，这样来限制用户输入，避免信息的泄露。
4.页面行为方式缺乏逻辑
在网站中注册新用户的时候，一般会首先要求用户输入自己需要注册的账号信息，验证该账号是否已经存在，确保用户的单一性。如果用户的注册信息通过了“存在该账号”的检测，在编程的时候就认为这个账号一定不存在，可以注册，在注册页面中直接使用“nsertInto”语句将注册信息插入用户数据库。上述的问题是：将注册信息插入数据库之前，并没有再一次检查这个用户是否存在，而是信任前一个检测页面传来的账号信息。由于可以阅读和保存HTML文件的源代码，如果用户将注册通过的页面保存并且将上面的账号信息修改为一个已经存在的账号，由于程序认为该账号已经通过检测，直接将该账号插入数据库，原来拥有该账号的用户信息就被修改，造成用户信息流失、出错等情况的发生。如果这个账号刚好是一个管理员账号，结果将是很难预料的。
使用以上错误方式编程的程序员很多，随便在网上找就可以找到很多这种方式编程的源代码和已经采用的程序。在电子商务初期，一些电子商务网站的程序中，存在着用户可以随意定义自己购买商品的价格这样的漏洞，也就是由页面行为方式缺乏逻辑造成的。
当然，网站安全还包括比如服务器攻击、病毒攻击等方面，但这些方面基本都属于上文中介绍过的网络安全问题，另外由于篇幅问题许多细节问题也不在此累赘了。
三、网站安全管理策略探讨
1.网络安全的管理
1.1使用防火墙
防火墙作为使用最多，效率最高的网络安全产品自然有它自身的优势，所以防火墙在整个网络安全中的地位将是无可替代的。
1.2与因特网接入处增设网络入侵检测系统
入侵检测系统(IDS即IntrusionDetectSystem)是实时网络违规自动识别和响应系统，它位于有敏感数据需要保护的网络上或网络上任何有风险存在的地方，通过实时截获网络数据流，能够识别、记录入侵或破坏性代码流，寻找网络违规模式和未授权的网络访问，一经发现入侵检测系统根据系统安全策略做出反应，包括实时报警、自动阻断通信连接或执行用户自定义安全策略等。
1.3病毒防御
选购杀毒软件，必须考虑产品的采购成本、应用(管理、维护)成本，以及将来企业或网络规模变化后，软件能否实现平滑过渡等问题。只有明确需求，重视产品的应用和管理，把网络防病毒纳入到信息安全防范体系之中进行综合防范，才能有效提升企业的信息安全水平。单纯防病毒，并不是企业的最终目标。
当然，对于网络安全的防御目前比较成熟的技术相当多，我们只有认准适合自己的技术，并采用多种技术相互结合才能达到相应的目的，由于篇幅有限对于其他诸如身份认证、数字签名等技术的介绍就不在此累赘了。
2.网站自身的安全管理
2.1网站服务器的安全管理
网站服务器的日常管理、维护工作包‘括网站服务器的内容更新、日志文件的审计、安装一些新的工具和软件、更改服务器配置、对服务器进行安全检查等。主要注意以下几点:
①从网络结构设计上解决安全问题
安装一个功能强大的防火墙可以有效防御外界对Web服务器的攻击，还可通过安装非法人侵监测系统，提升防火墙的性能，达到监控网络、执行立即拦截动作以及分析过滤封包和内容的动作，当有入侵者攻击时可以立刻有效终止服务。同时应限制非法用户对网络的访问，规定具有特定IP地址的客户机对本地网络服务器的访问权限，以防止从外界对网络服务器配置的非法修改。
②定期对网站服务器进行安全检查
由于网站服务器是对外开放的，容易受到病毒的攻击，所以应为服务器建立例行安全审核机制，利用漏洞扫描工具和IDS工具，加大对服务器的安全管理和检查。另外，随着新漏洞的出现，我们要及时为服务器安装各类新漏洞的补丁程序，从而避免服务器受到攻击和出现其他异常情况。
③定期进行必要的数据备份
对服务器上的数据定期进行备份是很重要的。网站的核心是数据，数据一旦遭到破坏，后果不堪设想。除了设置相应权限外，应建立一个正式的备份方案，而且随着网站的更新，备份方案也需要不断地调整。
2.2数据库安全管理
数据库的安全性是指保护数据库以防止不合法的使用所造成的数据泄密和破坏。为了保证业务应用系统后台数据库的安全性，采用基于Client/Server模式访问后台数据库，为不同的应用建立不同的服务进程和进程用户标识，后台数据库系统以服务器进程的用户标识作为访问主体的标识，以确定其访问权限。我们通过如下方法和技术来实现后台数据库的访问
控制。
①访问矩阵
访问矩阵就是以矩阵的方式来规定不同主体(用户或用户进程)对于不同数据对象所允许执行的操作权限，并且控制各主体只能存取自己有权存取的数据。它以主体标行，访问对象标列，访问类型为矩阵元素的矩阵。Informix提供了二级权限：数据库权限和表权限，并且能为表中的特定字段授予Select和Update权限。因此，我们在访问矩阵中定义了精细到字段级的数据访问控制。
②视图的使用
通过视图可以指定用户使用数据的范围，将用户限定在表中的特定字段或表中的特定记录，并且视图和基础表一样也可以作为授权的单位。针对不同用户的视图，在授权给一用户的视图中不包括那些不允许访问的机密数据，从而提高了系统的安全性。
③数据验证码DAC
对后台数据库中的一些关键性数据表，在表中设置数据验证码DAC字段，它是由银行密钥和有关的关键性字段值生成。不同记录的DAC字段值也不相同。如果用户非法修改了数据库中的数据，则DAC效验将出错，从而提高了数据的安全性。
2.3编码中的安全管理
防止恶意代码注入
①验证输入，使攻击者无法注入脚本代码或使缓冲区溢出
②对所有包含输入的输出进行编码。这可防止客户端浏将潜在的恶意脚本标记作为代码进行转换。
③使用接受参数的存储过程，防止数据库将恶意SQL输为可执行语句进行处理。同时使用特权最低的进程帐户和模拟帐户。在攻击者企图应用程序的安全上下文执行代码时，可缓解风险并减少损害。
防止会话劫持：
①分隔个性化cookie和身份验证cookie。
②仅通过HTTPS连接传递身份验证cookie。
③不传递在查询字符串中代表已通过身份验证的用户标识符。
最为一名网络或者网站管理员，有责任同时也有义务做好网站的维护与管理，这就需要我们管理人员时刻保持虚心学习的心态，时刻关注新的管理技术与安全防御技术。对于已经出现的安全问题应该用最快、最有效的方法加以解决，对于目前还未出现的安全问题要有预见性，这才是一名优秀的网络管理员。
参考文献：
[1]沈文智.MicrosoftBS网页技术[M].北京:人民邮电出版社.1998.
[2]沈昌样.网络安全与信息战.网络安全技术与应用.2001.
[关键词]电子商务反向网站资源安全DNS
一、引言
电子商务是利用先进的电子技术进行商务活动的总称。它通过网络、使用先进的信息处理工具，利用计算机这种载体，将买卖双方的商务信息、产品信息、销售信息、服务信息，以及电子支付等活动，用相互认同的交易标准来实现。进行电子商务活动的最基础平台是电子商务网站，电子商务网站在企业的电子商务体系中有着重要的作用，其安全直接关系企业实施电子商务能否成功。
目前，对电子商务网站的保护，采用最多的方法是使用防火墙技术，只允许用户访问网站的WEB服务，过滤掉对网站服务器其他服务的访问。这种方法有一个问题：网站的WEB服务对外来说是完全暴露的，用户可以直接和网站服务器通信。
二、反向技术
通常的一般称为正向，只用于内部网络对外部网络的连接请求，不支持外部网络对内部网络的访问请求（因为内部网络对外部网络来说是不可见的）。当一个服务器能够外部网络上的主机访问内部网络时，这种的方式称为反向。
反向就是通常所说的WEB服务器加速，它是一种通过在繁忙的WEB服务器和外部网络之间增加一个高速的WEB缓冲服务器来降低实际的WEB服务器的负载的一种技术。反向是针对WEB服务器提供加速功能的，作为缓存，它并不是针对浏览器用户，而针对一台或多台特定WEB服务器，它可以外部网络对内部网络的访问请求。
反向服务器会强制将外部网络对要的服务器的访问经过它，这样反向服务器负责接收客户端的请求，然后到源服务器上获取内容，把内容返回给用户并把内容保存到本地，以便日后再收到同样的信息请求时，它会把本地缓存里的内容直接发给用户，以减少后端WEB服务器的压力，提高响应速度，的服务器对外部网络来说是不可见的。
反向服务器的工作流程归纳如下：
1.用户通过域名发出访问WEB服务器的请求，该域名被DNS服务器解析为反向服务器的IP地址，因此用户的请求被重定向到反向服务器。
2.反向服务器接受用户的请求。
3.反向服务器在本地缓存中查找请求的内容，找到后直接把内容发送给用户。
4.如果本地缓存里没有用户所请求的信息内容，反向服务器会代替用户向源WEB服务器请求同样的信息内容，并把信息内容转发给用户，如果信息内容是可缓存的还会把它保存到缓存中。
实施反向，只要将反向服务器放置在要的WEB服务器前端并在DNS系统中将要的服务器域名解析为反向服务器IP地址（达到强制将外部网络对要服务器的访问经过反向服务器的目的）即可，如图1所示：
在企业的电子商务网站建设中采用反向技术后，解决了网站服务器对外可见的问题，还有如下几个突出优点：
1.节约了有限的IP地址资源。企业内所有的网站共享一个在Internet中注册的IP地址，这些服务器分配私有地址，采用虚拟主机的方式对外提供服务。
2.保护了真实的WEB服务器。企业内所有网站服务器对外都不可见，外网只能看到反向服务器，而反向服务器上并没有存放实际的资源，因此，可以保证真实WEB服务器上资源的安全。
3.加快了对网站的访问速度，减轻WEB服务器的负担。反向服务器具有缓存网页的功能，如果用户需要的内容在缓存中，则可以直接从服务器中取得，减轻了WEB服务器的负荷，同时也加快了用户的访问速度。
三、反向服务器的部署
目前，能够实现反向的软件有很多，但用的最多还是由美国政府大力助的Squid开源免费软件，该软件可运行在任何平台上，本文选择Linux操作系统来部署Squid，因为Linux系统也是开源免费的。
1.Squid软件的获取。可以从squid-网站下载squid软件的最新版本，本文下载的是squid-2.6.STABLE13.tar.gz。2.Squid软件的安装。
(1)将获取的文件squid-2.6.STABLE13.tar.gz拷贝到/tmp目录；
(2)解压该文件，运行tarxvzfsquid-2.6.STABLE13.tar.gz命令，在/tmp目录中生成名为squid-2.6.STABLE13的目录；
(3)进入该目录，执行./configure，系统缺省将软件安装在/usr/local/Squid目录，用户也可以用--prefix=目录，指定安装目录；
(4)运行make；
(5)运行makeinstall；
(6)如没有错误，安装结束，Squid的可执行文件在安装目录的bin子目录下，配置文件在ctc子目录下。
3.Squid软件的配置。通过squid配置反向主要就是配置“squid.conf”这个配置文件，Squid2.6中和反向配置相关的主要包含以下三项（详细配置可参考squid-）：
(1)http_port配置反向服务器的IP地址（和外网相连地址）和监听端口http_port202.115.144.30:80vhostvport。
(2)cache_peer配置内部的WEB服务资源，该资源可以是真实WEB服务器的IP地址，也可以是的域名（内部可见的域名），一般都采用IP地址,需要反向几个WEB服务器就要有几个对应。的配置cache_peer192.168.1.254parent800no-queryoriginserver
(3)cache_peer_domain指定对外部的资源（外网可见的域名）与真实资源的对应关系，同样，需要反向几个WEB服务器就要有几个对应的配置。
4.DNS系统的配置。在DNS服务器中将所有需要的真实WEB服务器的域名对应于反向服务器的IP地址INA202.115.144.30，经过这样对Squid配置和DNS的修改后，对的访问都会由反向服务器202.115.144.30定向到192.168.1.254这台真实的WEB服务器。
四、反向服务器的安全
Squid本身不具有认证程序，但是可以通过外部认证程序来实现用户认证，最常用的是采用NCSA认证，因为NCSA认证是Squid源代码包自带的一个外部认证程序。操作方法如下：
1.cd/tmp/squid-2.6.STABLE13/auth-modules/NCSA。
2.make；makeinstall。
3.编译成功后，会生成ncsa-auth的可执行文件，拷贝生成的执行文件ncsa-auth到/usr/local/squid/bin目录cpncsa_auth/usr/local/squid/bin。
4.修改squid．conf中的相关选项如下所示：
Authenticate_program/usr/local/squid/bin/ncsa_auth/usr/local/squid/etc/passwd。
5.定义相关的用户类aclauth_userproxy_authREQUIRED。
注意，REQUIRED关键字指明了接收所有合法用户的访问。
6.设置http_access。
http_accessallowauth_user。
7.利用apache携带的工具软件htpasswd在/usr/local/squid/etc下生成密码文件并添加相应的用户信息，该密码文件每行包含一个用户的用户信息，即用户名和密码；htpasswd-c/usr/local/squid/etc/passwdtesttest。这样就在密码文件passwd中添加用户和密码都是test的用户。然后重新启动Squid，密码认证就生效了，访问服务器就需要输入账号和密码。
五、结束语
反向方式不单是一种WEB服务器加速器，而且使也一种对外提供WEB时使用的有效的防火墙技术，使用它不但能节约紧缺的IP地址资源，加速WEB服务器的访问速度，而且能够保护WEB服务器，因此能够适应多种应用场合,特别是应用在电子商务这种对安全要求特别高的场合。
参考文献:
论文关键词： 找
目前仍然是毕业季节，论文服务市场生意依旧火爆，许多人都会通过各种途径去寻找适合自己的服务，这种方法给许多人毕业带来了便捷。目前论文写作服务市场缺乏管理所以比较混乱，毕竟属于国家法律法规的灰色地带，所以不能大张旗鼓的宣传，那么就需要我们在选择其服务时能够做出正确的选择。
一、淘宝，众所周知，淘宝是我们最大的网络购物平台，淘宝的商品琳琅满目，所以，想要寻找服务淘宝自然是不二的选择，淘宝搜索“毕业论文”会出现许多商家，他们是都可以提供此类服务的。只要提前于商家沟通商榷论文写作要求，['']论文质量是有很大保证的，另外淘宝还有许多商家提供论文改重服务。
论文参考文献的引用当中，作者要在论文引用的地方准确的标注出来，然后在论文的末尾用数字加方括号依次列出参考文献。关注学术参考网查看更多优秀的论文参考文献，下面是小编整理的网站开发论文参考文献来和大家一起分享。
网站开发论文参考文献：
[1]黄宝玉，项国雄.国家精品课程建设现状分析及思考[J].中国高教研究，2007(9)：72-75.
[2]史金昌.浅析基于ASP.NET的Web网络应用程序的安全开发[J].科技创新导报，2008(23)：37.
[3]李志勇，魏红.高校精品课程数字化资源建设与推广应用研究[J].电脑知识与技术，20l0(2)：485-486.
[4]张书梅，符蕴芳，刘智国.网站安全管理的方法与具体实现[J].石家庄学院学报，2005，7(6)：54-56.
[5]阳卫文，王建斯，基于P2P流媒体系统模型的研究进展[J].现代电子技术，2008(2)：159-161.
[6]万荣泽.基于ASP.NET技术的统一后台网站群的设计[J].微计算机信息，2007，23(8)：260-262.
[7]王红雨，蔡成闻.基于ASP.NET的课程平台设计与实现[J].聊城大学学报：自然科学版，2007，20(1)：78-82.
[8]顾正刚，毕海峰.网站规划与建设[M].北京：机械工业出版社，2007：4-8.
网站开发论文参考文献：
[1]孔祥鑫.基于PHP技术的校园网站的设计与实现[D].天津：天津师范大学，2012.
[2]李良.基于PHP的商业站点设计与实现[D].南昌：南昌大学，2010.
[3]杜闯.PHP在动态网站开发中的优势[J].电脑知识与技术，2010（13）.
[4]贾素来.使用PHP和MySQL开发动态网站[J].大众科技，2011（3）.
[5]李晶.PHP技术应用于中小企业网站开发探讨[J].软件开发设计，2014（10）.
[6]杜闯.PHP在动态网站开发中的优势[J].电脑知识与技术，2010（13）.
[7]贾素来.使用PHP和MySQL开发动态网站[J].大众科技，2011（3）.
网站开发论文参考文献：
[1]靳莹.基于缓存技术的内容管理系统研究[D].吉林大学，2014.
[2]黄菊.分布式缓存技术及其在车辆监控系统中的应用[D].北京邮电大学，2015.
[3]崔解宾.分布式内存缓存技术在数据处理平台中的研究与应用[D].北京邮电大学，2015.
[4]李光瑞.Map/Reduce型海量数据处理平台中的内存级数据缓存技术研究[D].北京工业大学，2013.
[5]易会战，王锋，左克，杨灿群，杜云飞，马亚青.基于内存缓存的异步检查点容错技术[J].计算机研究与发展，2014（06）：1229-1239.
[6]韩陵宜.网页制作课程教学及考核方式的研究与探索[J].计算机教学与教育信息，2008（03）.
关键词：学位论文 Open API开发 应用
中图分类号： G306 文献标识码： A 文章编号： 1003-6938（2013）04-0069-05
目前，国内大学图书馆学位论文数据库建设都已初具规模，以华东师范大学图书馆（以下简称：华东师大馆）学位论文数据库为例，目前已经收录了所在院校恢复高考以来的全部博硕士学位论文。其明显的持续性特点，已经成为大学图书馆特色资源的重要组成部分。然而，目前国内大学图书馆的学位论文数据库仅仅作为学术资源提供本校读者检索和全文下载服务，其主要原因在于学位论文管理系统平台服务模式简单、系统封闭且只注重检索功能所致。探索学位论文拓展服务的新途径，对推进图书馆利用学术资源开展深层次服务、提升大学学术资源全方位服务能力，使其在服务社会、支持教学科研过程以及促进产学研合作中发挥积极作用，具有非常重要的现实意义。
针对当前大学图书馆特色资源服务模式简单、系统封闭、单一学术型功能等特点，华东师大馆以学位论文数据库为例，在探索其深层次拓展服务模式方面做了一些尝试。通过开发基于数据库平台的元数据Open API，实现了学位论文的拓展应用。并结合当前较为主流的通用门户网站开发环境，开发了标准的应用端Open API调用程序框架，为学位论文元数据嵌入社会网络环境及用户门户网站的数据融合提供参考和借鉴方法。
1 学位论文元数据Open API开发应用需求分析
1.1 国内外应用现状
当前，国内的学位论文主要由数据库商、国家法定学位论文收藏机构、公益性学位论文共建单位以及各高等学校和科研院所等提供相对集中的检索和分级分布联合保障相结合的信息共享服务。但在利用学位论文元数据拓展其服务范围、开展增值服务等方面还有进一步拓展的空间。华东师大馆在学位论文数据库回溯建库工作中，对如何利用学位论文元数据开展深层服务进行了有针对性的国内外应用调研。美国普渡（Purdue）大学在开展学位论文为社会服务方面，推出了一个Web服务[1]，其涵盖全州所有大学研究者目录以及一个可以在搜索结果页面显示每一位研究者指导的学位论文信息，为研究者和商业人士提供了一个获取学者以及其指导学位论文元数据的检索平台，在推进研究成果商业化方面进行了有益的尝试。平台后端的元数据信息，即通过全州各大学学位论文数据库系统元数据Open API自动获取，这种数据获取方式较好地解决了自动获取多来源异构或同构数据以及数据同步更新一致性问题。在国内，中国科学院国家科学图书馆建立了基于馆藏特色资源元数据Open API的集成服务支撑平台[2-3]，用以支持面向用户环境的嵌入式服务。上述国内外利用学术资源开展的拓展服务为探索学位论文元数据Open API开发与应用提供了可借鉴的实例。
1.2 需求分析
随着越来越多学术资源/内容的出现，基于学术资源支持教学科研的属性，图书馆一直以来都在致力于基于学术资源元数据进行分类整合和发现工具的研究，以提高在浩瀚的学术资源中为读者快速提供所需资源的能力，而学术资源元数据的其它属性往往被忽略。以学位论文为例，它作为大学的特有学术资源，除了拥有支持学术研究之外，因其特有的原创、研究生培养以及与教学关系紧密等属性，在社会服务、教学水平评估以及辅助决策支持等方面可以发挥其独特的作用。
在开发学位论文元数据Open API的应用调研过程中，重点调研了与学位论文有关的研究生院、学校信息化办公室、有硕博士授权的部分院系以及相关管理部门。主要的需求表现在以下几方面：
（1）研究生院的需求。在为社会考生提供招生信息方面，研究生院的老师们在多年的招生实践中体会到，社会考生在报考研究生时，首选各大学研究生院门户网站作为信息源，考生希望从中获得大学招生人数和招生专业信息的同时，更希望找到符合自己研究兴趣的指导教师详细信息，每年的招生季都会有很多类似的咨询。因此，研究生院希望通过将学位论文元数据嵌入到招生信息的相关查询中，社会考生可以在查询博硕士招生信息的同时，获得教师历年培养研究生学位论文信息。
（2）信息化办公室的需求。华东师范大学门户网站由学校信息化办公室负责建设。大学门户网站及院系所门户网站作为宣传大学教学科研成果的社会网络窗口，一般都设有类似“教师名录”或“教师简介”等栏目，栏目主要用于展示教师的教学、科研以及社会兼职等个人信息，通常这些信息需要教师个人维护。往往由于各种原因，类似栏目的动态信息更新不及时，甚至空白，没有起到栏目设计之初的作用。因此，信息化办公室及院系的老师都希望动态将教师指导研究生的学位论文信息嵌入到“教师名录”或“教师简介”页面中涉及教学成果信息栏目。
（3）学校职能部门的需求。职能部门的需求表现在利用学位论文元数据信息辅助教学水平评估及反映学科发展变化方面。希望利用学位论文特有的原创、研究生培养以及与教学关系紧密等属性，为学科发展、评估教师教学能力和学位论文质量等方面提供科学的统计数据。
1.3 技术思路
Web Service、SOA等技术架构为解决异构环境中的数据传递、应用互操作提供了充分的支持。针对学位论文数据库系统本身的特点，采用WCF平台进行面向应用的Open API的开发，提供学位论文信息服务Web Service，让不同系统的第三方应用根据需要调用学位论文元数据Open API，实现同构或异构平台之间的数据共享和互操作。同时采用轻量级的Web Widget技术，将小巧的客户端学位论文信息服务调用代码嵌入到用户浏览的网页中，实现学位论文信息的直接推送。通过面向服务端与面向客户端这两种互补的技术方式，来满足学位论文信息服务多样化的需求。
利用Open API拓展学位论文的服务范围和应用领域，其核心技术之一是数据通过网络进行传输。因此，提高数据在传输和应用过程的安全、稳定性非常重要。同时，Open API的应用推广有其特殊性，它与一般的Web应用不同。因此，在学术资源Open API开发过程中，还需要关注以下问题：
（1）明确应用基础上的针对性开发原则。Open API与Web服务不同，它本身并不能实现任何一个完整的服务，需要Open API提供者和应用平台两方面协作完成。因此，有明确的需求是快速实现Open API应用的必要前提。
（2）遵从调用方式简单的开发原则。Open API开发的最终目的是为应用服务，要完成一个Open API的应用部署，应用平台需要辅之以必要的编码才能实现Open API的嵌入。因此，Open API的调用方式方便与否决定应用部署的成败。
（3）注重数据传输过程的安全控制原则。与互联网资源Open API不同，学术资源Open API是针对学术资源而开发的，其后台数据的安全性要求较高。因此，防止非法应用恶意调用的控制机制是保证数据源安全的重要环节。WCF安全控制框架下的X509证书以及在系统部署中兼顾防火墙和入侵防御系统等技术在Open API开发和调用过程中非常重要。
2 技术实现
在基于上述学位论文元数据Open API开发应用的需求分析基础上，在程序开发过程中采用通用框架，以屏蔽学位论文数据库与应用端平台的异构性、开发语言的多样性等问题。同时，最大化降低所开发Open API的调用复杂度，以利于Open API的推广使用。基于这样的开发理念，开发了两种不同方式的API——Web Service API和Widget API，并提供相应API调用说明和调用应用案例。应用端可根据调用说明，套用案例快速实现学位论文Open API的调用，达到应用的快速推广。
2.1 Web Service API开发
Web Service、WCF平台等技术为解决异构环境中的应用相互操作提供了充分的支持。Web Service技术实现了不同的系统之间用“软件-软件对话”的方式相互调用，软件应用之间可以基于Web无缝集成。WCF作为基于面向服务体系结构标准的分布式应用程序开发模型，具有很好的互操作、安全可信赖性以及通用性，并可以以一系列协议的定义、实现、为流程和框架，通过服务实现与服务内容的分离，轻松为学位论文数据库构建松耦合的分布式Web Service API。针对学位论文数据库系统平台特点，在.NET环境下，以WCF为技术支撑，采用WSDL描述语言及SOAP协议，以面向服务的方式来创建学位论文Web Service API：
（1）以将为应用端开放的服务为依据进行服务协定定义，如以“专业代码”为参数，返回元数据集：
DataSet GetDataByMajor（string majorCode）；
（2）实现服务协定
public DataSet GetDataByMajor（string majorCode）
{…// 详细实现，将结果保存在数组中返回}
（3）搭建宿主，服务
公开WCF服务，以IIS+.NET Frameword 4.0环境为例，以IIS作为宿主承载服务。
WCF的学位论文 Web Service API的通信机制是基于SOAP的Web服务，因此所开发的API可以与运行在不同环境中的应用进行通信。开发的Web Service API将学位论文获取服务封装成一个URL后，用所开发的Web Service取代用户对学位论文数据库的直接读取服务。应用端从服务器端获取数据时处于一个相对透明的状态，只需要根据API调用说明文档了解API对外提供的函数及参数说明，在其Web服务中引用所的URL后，系统会生成访问数据库的类和对象，并将其实例化，即可像使用本地的函数一样来实现调用Web Services API提供的数据资源，无需关心数据库系统内部结构，从而实现异构平台之间的数据传递和互操作 （见图1） 。
由于学位论文的特殊性，在接口开发时需要考虑推送数据的安全性，以确保所开发的Web Service API被授权的第三方调用。在安全控制机制上，采用X509证书机制，经过X509证书加密后的输入及获取到的输出内容，均为被加密的密文，即使是在公网中，也无法看到明文，确保了数据的传输安全；应用端和服务器端证书对匹配，又确保了接口的调用安全。
2.2 Widget API开发
借鉴Web Widget的开发模式，通过开发学位论文Widget API，将学位论文平台和第三方应用平台通过所开发的API联系起来，打破了网站间的屏蔽，使网站不再只是通过超链接的简单连接，便可以实现在第三方网站中混搭学位论文信息。在软件部署上兼顾Web应用防火墙和入侵防御系统等方式来增强数据的安全控制，确保数据传输的可靠性、安全性。学位论文Widget API主要分服务端、视图层、应用端三个框架。其中，服务端基于实现从学位论文数据库中获取信息；视图层定义学位论文展示形式，即相应的.js和.css文件；应用端传递相关参数并发起学位论文Widget API的调用命令。采用jQuery开发技术，将应用端的用户查询内容以Get的方法发送到学位论文数据库服务器端，学位论文数据库服务器以JSON格式返回查询结果到应用端，应用端通过嵌入视图层的相关代码，实现返回的学位论文信息在本地网页中的重现和融合（见图2）。
应用端调用Widget API时，只需要在其门户网站相应检索位置嵌入一段JavaScript脚本语言代码，并参考API调用文档中提供的查询参数说明，便可以实现从服务层获取数据并按照视图层预先设计好的结构在本地网站展示，完成调用此类型的Open API功能。
//通过jQuery技术将应用端查询返回到服务器端，调用服务器端Widget.aps程序查询相关学位论文信息，Widget.aps会将查询结果以数组返回。
$.getJSON（"http：//IP地址/Widget.asp？callback=？&type="+type+ " &keyword="+keyword+"&page="+page，function（data）{disp（page， data）；}）；}
disp（page， data）{…//对获取到的学位论文信息进行重组及重现}；
视图层的数据重现方式可以是应用端自主开发，华东师大馆为了学位论文API的应用推广，还为应用端提供了视图层的数据重现方式参考案例，应用端可以直接将相关代码嵌入到自己网站中，若应用端需要特定的展示方式，则需要应用端做简单的本地化修改便可以使用。
3 华东师范大学图书馆的实践
3.1 研究生院门户网站应用
在华东师范大学研究生院的研究生门户网站，将学位论文元数据嵌入到博硕士招生信息查询栏目，社会考生可以通过 “专业名称”等途径查询历年研究生学位论文元数据（以“专业名称”为“逻辑学”的查询结果见图3）。
长期以来，学位论文只是作为学术资源提供本校读者的检索和下载服务，其学术资源以外的属性没有得到充分发挥。通过学位论文元数据Open API嵌入研究生院门户网站的应用，社会考生可以通过多途径了解学校研究生培养方向以及教师指导学位论文的数量、选题、研究方向、摘要等信息，对社会考生报考学校和选择符合自己研究兴趣的指导教师提供参考。同时发挥了学位论文作为学术资源的社会服务功能，使学术资源在社会层面得到共享。这一应用得到了研究生院的充分肯定，每年有专项经费作为应用的支持。
3.2 学校门户网站应用
学位论文元数据Open API在学校教师主页的嵌入式应用，拓展了学位论文数据库服务范围，实现教师指导学位论文信息的动态。以软件学院某教师为例，其个人简介界面嵌入“指导学位论文信息”链接，点击即可获取其历年指导研究生学位论文信息（见图4）。
这一实践较好地实现了利用第三方平台——学校门户网站展示本校教师教学学术成果，实现学位论文元数据的针对性开放。并通过多途径、多渠道扩大教师学术影响力和社会知名度，同时，院系门户网站可以通过教师工号及姓名调用学校“教师名录”栏目信息，在院系门户网站展示本院系教师指导学位论文的相关信息，从学科或专业角度展示学校教学研究成果，增强行业竞争力。这一应用对扩大教师学术影响力、促进教学研究成果转化生产力以及产学研结合起到积极的促进作用。
3.3 学校职能部门应用
（1）通过Open API获取各学科或子学科的批量数据，加之年限分面限制，从历年学位论文数量变化角度反映各学科领域研究趋势。通过结合Google图形接口，从Open API返回查询结果的XML格式数据直接提交到Google API，即可产生图形化分析结果。反映了“电子科学与技术”和“数学”专业学位论文数量的变化关系图（见图5）。
（2）通过Open API获取各院系的批量数据，辅以学院、专业以及年代参数限制获取相关学位论文元数据，并通过中国优秀硕士学位论文全文数据库（CMFD），运用屏幕抓取技术，可以直接获取学位论文被引数据，从中产生学位论文被引分析报告。通过教师指导学位论文被引数量这一侧面，为学校从学位论文被引角度评价教师指导学位论文质量提供了准确的参考数据（以教育科学学院2010年毕业生高被引学位论文为例的被引分析见表1。其中，学生、教师名字以编码表示；统计时间：2013-4-29）。
（3）通过Open API获取学位论文元数据，结合指导教师和学生的关联关系，从教师出发，可以得到学生以及学生的学生等关联关系，形成上有教师下有学生，学生下面还有学生的学者关系网，从中可以分析从一个教师出发所形成的教学科研人员关系网（见图6）。
学位论文作为学校教学科研成果的重要内容之一，从某一方面可以反映学校的教学科研水平。根据职能部门的需求，通过学位论文元数据Open API获取特定需求数据，为学校职能部门提供第一手教师以及研究生的人员管理和统计分析数据，充分发挥了学位论文在支持管理决策方面的积极作用，应用得到了学校人事处、师资办、学科办以及研究生院的充分肯定。
4 结语
学位论文是我国拥有自主知识产权的重要信息资源和知识宝藏。其有效的开发和合理利用，不仅是大学和科研机构高层次人才培养的需要，还关系到学位论文原创性成果的社会化利用和论文创新成果的转移，是知识经济时代国家创新发展的需要[4-5]。华东师大馆在利用学位论文元数据Open API开展拓展服务方面做了一些有益的尝试和探索，希望借鉴国内外成熟的混搭应用实例，把具有稳定、合法、可靠的学位论文数据库作为数据源，在原有学位论文仅仅作为学术资源提供检索服务基础上，推进学位论文深层次服务的开展，以改变学位论文数据库仅仅作为学术资源的单一属性。充分挖掘学术资源的多重属性，有效提高了学术资源的服务能力。
学位论文Open API的开发与应用不仅为大学图书馆探索利用学术资源开展深层次服务提供了参考模式。同时，图书馆作为数据库建设方，随着应用的不断拓展，带来更多校内外用户的持续关注，也促进了学位论文数据库的不断优化，提高了数据库的完整性和数据的准确性。
参考文献：
[1]Nicole C.Engard. Librayr Mashups：Exploring New Ways to Deliver Library Data[M].Information Today，Inc.，2009：285-287.
[2]李峰等.跨界数据融汇模型研究[J].现代图书情报技术，2010，（11）：24-28.
[3]李春旺.图书馆集成融汇服务研究[J].现代图书情报技术，2009，（12）：1-6.
[4]贺德方等.中国学位论文收集与服务系统的构建[J].情报学报，2009，（8）：634-640.
关键词： 广东高校； 人文社会科学期刊； 网站建设； 现状; 调查分析
中图分类号： g237.5 文献标识码： a 文章编号： 1009-055x(2012)04-0120-04
计算机和网络技术的飞速发展， 使期刊的组稿、投稿、审稿、编辑、出版传播及阅读方式与途径经历了重大的变革， 期刊数字化、网络化成为纸质期刊生存发展的必然趋势。建立独立网站， 通过大型期刊全文数据库(如中国知网、万方数字化期刊群、维普资讯网等)和中国科技论文在线实现全文上网， 可以使纸质期刊通过互联网传播得更快、更远、更广， 影响力更大， 宣传效果更好。
据统计， 广东高校现有20家人文社会科学期刊。为了解这些期刊的网站建设现状， 笔者对这20家期刊的网站进行调查, 重点考察网站建设的总体状况， 网站提供有关期刊信息、稿件在线处理功能、期刊内容等方面的特点， 并就建设和管理期刊网站提出了改进建议， 以期为期刊的数字化、网络化建设提供参考。
一、 调查对象与调查方法
调查时段为2012年4月期间。所调查的20家人文社会科学期刊为： 《中山大学学报(社会科学版)》、《华南理工大学学报(社会科学版)》、《华南师范大学学报(社会科学版)》、《华南农业大学学报(社会科学版)》、《暨南学报(哲学社会科学版)》、《华文教学与研究》、《深圳大学学报(人文社会科学版)》、《现代外语》、《国际经贸探索》、《广东外语外贸大学学报》、《广东商学院学报》、《广东金融学院学报》、《政法学刊》、《广东工业大学学报(社会科学版)》、《广州大学学报(社会科学版)》、《广州体育学院学报》、《美术学报》、《汕头大学学报(社会科学版)》、《佛山科学技术学院学报(社会科学版)》、《五邑大学学报(社会科学版)》， 使用搜狐、百度、谷歌网络搜索引擎在互联网上按照刊名或主办单位进行搜索， 访问期刊网站， 记录期刊网站的基本情况并进行统计分析。
二、 调查结果与分析
（一）网站建设的总体状况
在调查的20家人文社会科学期刊中， 有14家期刊建立了独立网站(不包括在中国知网、万方数字化期刊群、维普资讯网等大型期刊全文数据库上网)。其中有2家期刊可以在线处理稿件(在线投稿、查稿、审稿等)， 但网站的大部分栏目内容还没有添加； 有8家期刊网站提供的信息量较大， 信息、稿件在线处理系统、网刊、综合服务的功能较为齐全， 网站的质量较高， 编辑部能够根据期刊自身的特色和要求进行栏目设置， 但这类网站需要编辑部投入一定的资金和人力进行定期维护、更新。
没有独立网站的6家期刊中， 有1家期刊使用了中国知网的新版期刊门户网站； 有4家期刊在主办单位网站上开通了一个用于介绍刊物基本信息的网页， 但这些网页所刊登的信息量很有限(仅有期刊简介、主管单位、主办单位、编委会、编辑部联系方式等)， 而且网页信息几乎没有更新或很少更新过， 有2家期刊还提供了一些过刊目录， 如《华文教学与研究》； 有1家期刊既没有独立网站也没有使用中国知网的期刊门户网站。因此， 从总体上来说， 这些期刊普遍重视独立网站的建设， 70%的期刊建立了自己的网站。
（二）有关期刊信息的情况
在14家期刊的独立网站上有关期刊信息的统计结果(见表1)表明， 期刊独立网站能够比纸质期刊提供给读者更多的有关期刊信息， 因而起到了更好地宣传期刊、为作者和读者服务的目的。
（三）使用稿件在线处理系统的情况
稿件在线处理系统具有作者在线投稿/查稿、专家在线审稿、编辑在线办公等功能， 使作者能够以在线方式更加方便快捷地投稿和了解稿件的状态， 使审稿专家能够以在线的形式迅速地接收和处理稿件， 在规范稿件处理流程和提高每个稿件处理流程的运行效率的同时， 加强了各流程之间的衔接与配合， 提高了编辑出版效率， 缩短稿件的处理周期
出版周期［1］。
在14家期刊的独立网站上， 有12家期刊网站能同时实现作者在线投稿/查稿、专家在线审稿、编辑在线办公等功能， 有9家期刊网站使用的稿件在线处理系统还具有期刊组版管理、费用管理、数据库(作者库、专家库等)管理等功能。可见， 使用稿件在线处理系统的期刊占调查期刊的60%， 这些期刊比较重视期刊的数字化、网络化建设， 可以实现编辑出版流程的数字化和网络化。
（四）期刊内容的情况
统计结果显示， 在14家期刊的独立网站上， 有11家了期刊目次(占78.6%)， 其中还论文摘要的有9家(占64.3%)， 期刊全文的有4家(占28.6%)， 有1家期刊提供了从1998年至今的过刊全文， 其它3家期刊主要提供最近两三年的过刊全文。可见， 大多数期刊网站都提供了过刊（或当期）目录、摘要， 有些网站还免费提供全文， 读者可以自由下载或在线阅读， 这些功能方便了读者对论文的使用， 有助于提高期刊传播科学信息的时效性， 扩大期刊的影响力。有些编辑部可能担心在独立网站上提供全文会影响纸质期刊的发行量和在大型期刊全文数据库中的点击下载量， 因而在独立网站上没有提供全文或者提供的全文要滞后于印刷版。
在独立网站上最新录用稿件或下期稿件的目录、摘要， 可有利于避免一稿多登现象， 同时读者还可以了解期刊研究内容的最新动态［2］。调查中发现， 只有《华南理工大学学报(社会科学版)》了最新录用稿件， 还没有哪家期刊网站提供了下期稿件的目录、摘要或全文。 务功能
为读者和作者提供服务是许多期刊建设网站的重要目的。14家期刊的独立网站上提供的服务统计结果(见表2)显示： 绝大部分期刊独立网站都提供了友情链接和过刊检索服务， 有一半的期刊独立网站提供了在线留言板， 可以进行稿件审理和录用情况、作者及读者咨询等信息的交流， 从而加强了作者、读者、审者与编辑部之间的交流， 提高读者对网站的关注程度。
（六）网站版权信息标注和英文版网站情况
在网站首页下标注网站版权归属信息， 用于提醒浏览者所观看的内容是受到版权法的保护。有独立网站的14家期刊中， 有12家在网站首页下标注了版权信息， 表明大部分期刊编辑部有一定的知识产权保护意识， 注意了期刊的品牌保护； 有7家提供了英文版网站， 但英文版网站上只有英文栏目名称， 没有相应的英文内容， 只有《中山大学学报(社会科学版)》提供了每期的英文目次和英文摘要。显然， 所调查的大部分期刊没有重视英文版网站的建设。
（七）网页链接的有效性和网站更新速度
无效的网页链接包括打不开的链接、显示错误信息的链接、打开了网页但无内容显示的链接。网站启用后， 编辑部还应不断地对网页信息进行更新和完善。网站信息的更新包括关于期刊信息的更新和期刊内容的更新。文中将网站信息的更新速度分为滞后（超过半年没有更新）、一般（2～6个月内有更新）、较快（1个月内更新）3种。统计表明： 有独立网站的14家期刊中， 所有网页链接均有效的有5家(占35.7%)， 有1个或2个网页链接无效的有4家(占28.6%)， 3个以上网页链接无效的有5家(占35.7%)； 网站更新速度较快的有1家(占7.1%)， 两三个月进行1次信息更新的有9家(占64.3%)， 这与大部分期刊是双月刊有关， 半年以上都没有更新的有3家(占21.4%)。
三、 对期刊独立网站建设的思考与建议
（一）重视期刊独立网站的建设
互联网的传播速度快， 传播范围广， 检索功能强， 具有纸质期刊不可替代、无法比拟的天然优势。纸质期刊要生存和不断发展壮大， 期刊主要负责人必须改变传统的办刊方式， 更新观念， 强化网络意识， 重视期刊网站的建设。将期刊网站作为纸质期刊的延伸、发展和补充， 可以加快纸质期刊的传播速度， 让广大作者、读者通过期刊网站对期刊有更全面、更深入的了解， 同时突破时间和空间的制约， 实现网络环境下的资源集中和共享， 进一步密切和加强编辑部与作者、读者、审者之间的沟通与联系［3］。因此， 编辑部应努力从以下几方面着手建立一个实用的、信息完备的期刊网站。
第一， 设置好期刊网站栏目。根据期刊网站的功能需求， 一般应设置有如下栏目： (1)关于本刊， 提供期刊简介、栏目介绍、编委会、办刊宗旨、获奖情况、数据库收录情况、编辑团队、编辑部联
系等信息； (2)投稿须知或指南， 提供征稿简则、稿件处理流程、参考文献著录规则等信息； (3)读者服务， 提供最新录用、当期目录、下期目录、过刊浏览、论文检索等服务； (4)期刊订阅， 提供电子版订阅和印刷版订阅服务； (5)编辑部公告， 提供期刊最新出版信息、出版业新闻、最新法律和法规、论文被转载等信息； (6)相关下载或下载中心， 提供论文模板、版权转让协议书等常用文档的下载； (7)留言板或交流园地， 为作者、读者、编辑和审者提供一个动态的交流平台； (8)友情链接， 提供同行网站的链接服务； (9)英语版， 提供英文版网站的链接。同时， 在中、英文版网站首页上应分别标注“版权所有”、“copyright”字样。
第二， 使用稿件在线处理系统。稿件在线处理系统是期刊数字化、网络化进程的必然选择， 近年来已在我国期刊的管理与编辑出版工作中得到了广泛的使用， 并彰显了诸多优势。如果经济条件许可， 编辑部应考虑使用商业化的稿件在线处理系统， 在现有独立网站中添加作者在线投稿/查稿、专家在线审稿、主编在线终审、编辑在线办公等模块， 从而为作者、审者、编者在线处理稿件提供平台。
第三， 建立英文版网站。为了提高期刊的国际传播能力， 加快期刊的国际化进程， 打造期刊品牌， 扩大读者群和吸引国外作者投稿， 进一步促进国际学术交流， 期刊编辑部应该重视英文版网站的建设， 除了提供论文的英文题目、英文摘要和英文关键词外， 还应提供期刊的英文简介、作者投稿和专家审稿操作的英文说明等内容， 制作突出学术内容、期刊特色和品牌标志的高质量英文网页， 以适应期刊国际化的需要。
第四， 在独立网站上实现优先数字出版。优先数字出版是以数字出版方式(如通过互联网、手机、光盘等)提前出版纸质期刊录用的稿件， 在期刊独立网站上常称为“在线预(或优先)出版”。优先数字出版是提高学术期刊出版速度的一种新模式［4］。将最新录用稿件或下期稿件的目录、摘要、全文在独立网站上优先出版， 既可以防止论文重复发表， 又可以为优秀稿件抢国际首发权开通了一条绿色特快通道， 扩大期刊读者群， 进而提高期刊的被引频次、即年指标等期刊评价指标。近年来， 国际上一些著名学术期刊(如《science》、《nature》)和出版商(如elsevier、springer)均采用了优先数字出版模式： 选择部分定稿和采用的论文在纸质版出版之前在自建网站上优先出版， 供读者阅读或下载。在国内， 《浙江大学学报(人文社会科学版)》通过其独立网站在线优先出版审定通过且达到正式出版水平的论文［5］， 有效地缩短了论文的出版时滞， 促进了最新成果的快速交流。
（二）加强网站的管理与数据维护
期刊网站的管理与维护是一个长期、持续和动态的过程。网站启用前， 应设置好各栏目内容， 确保各网页链接的有效性， 尽量避免出现死链接； 网站启用后， 编辑部还应及时发现和修正网站错误， 并不断地对网页信息进行更新和完善。由于编辑对期刊数字化出版的认识不足、资金和人才资源短缺等原因， 有些期刊网站存在信息更新滞后的现象， 提供的过刊目次还停留于几个月前甚至几年前的过刊， 这种没有更新的静态闲置的网站毫无意义。因此， 编辑部要及时更新、丰富期刊网站内容， 实现期刊全文内容同步上网， 免费提供过刊全文浏览， 为作者、读者和审者提供更为方便的服务， 从而吸引更多的读者， 进而提升期刊的影响力和竞争力。稿件在线处理系统运行的数据基础和稿件处理流程所围绕的核心， 是网站系统功能实现的关键。因此， 网站管理员要使用数据库系统定期自动完成数据的本地备份， 定期手工进行数据库的异地备份， 使数据库备份做到及时安全， 同时也要做好服务器的安全性维护工作(如及时升级杀毒软件和系统补丁、经常全盘杀毒等)， 以免系统出现故障时影响网站的正常运行。对于高校期刊而言， 可以考虑使用学校分配的二级域名， 这样编辑部不用专门申请域名； 一个学校的多家期刊可以考虑共用一个专用的服务器， 将服务器交由学校网络中心托管， 这样既节省开支， 也给网站管理和维护带来方便。
（三）重视数字化人才的培养和编辑素质的提高
在数字化、网络化的大环境下， 期刊编辑部应注意培养期刊数字出版各个环节所需的专门人才或复合型人才， 以适应期刊数字化、网络化出版的发展， 提升
其传播力和影响力。随着计算机和网络技术在期刊中的应用不断加强， 期刊编辑应通过继续教育学习掌握现代编辑手段， 提高为作者和读者服务的质量， 促进网络环境下期刊编辑工作的发展。
参考文献：
［1］ 许花桃,刘淑华,傅晓琴.缩短稿件处理周期的实践 ［j］.编辑学报,2010,22(1):64-65.
［2］ 刘颖,唐永林,曾媛.我国物理类核心期刊网站建设研究 ［j］.科技情报开发与经济,2009,19(2):11-13.
［3］ 刘飚,邢飞,徐威.国外科技期刊网站的调查与思考 ［j］.中国科技期刊研究,2009,20(3):479-483.
［4］ 汪新红.优先数字出版是提高学术期刊出版速度的一种新模式 ［j］.中国科技期刊研究,2011,22(1):90-92.
［5］ 《浙江大学学报(人文社会科学版)》编辑部.最新录用 ［eb/ol］.［2012-05-01］.http:∥journals.zju.edu.cn/soc/cn/article/downloadarticlefile.do?attachtype=pdf&id=10508.
current status investigation and analysis on website construction of
humanities and social science journals of guangdong universities
xu hua-tao
(editorial department of journal, south china university of technology, guangzhou 510640, guangdong, china)
1、可以去中国知网、维普、万方这三个文献资料专业网站上去查找。毕业论文的文献资料，你可以去中国知网、维普、万方这三个文献资料专业网站上去下载，但是这三个网站是付费的，如果你在学校内下应该是免费的，一般学校都会购买这几个网站的文献，在校内网络下是免费的。当然，网上资料也不会完全，还得去图书馆找些东西。
2、可以在万维、知网上进行论文。虽然市面上出现了很多第三方机构，但在选择的时候首先一定要注意他们的安全机制，即是否能够保障你的论文安全，不被泄露；其次就是看他们的算法是否科学合理，数据库是否涵盖广、是否及时更新，因为只有算法科学，数据库范围广且及时更新，它的结果才会更准确。
（来源：文章屋网 ）
购物车(0)
