構建高校圖書館遠程訪問系統（一）

文/凌征強

構建高校圖書館遠程訪問系統（一）

文/凌征強

編者按：本文從國際主流技術、節約成本、數據安全以及訪問性能的角度考慮，采用URL重寫及跨域名Cookie技術，結合SSL安全協議、多種身份認證、單點登錄、負載均衡等技術研究和構建適合國內高校圖書館實際工作需要的數字資源遠程訪問系統，共分為兩期刊載，本期刊載第一個部分，主要介紹系統的設計和系統的行為建模。

遠程訪問是指突破IP地址的物理限制，可以在任何能上網的地方使用圖書館電子資源[1]。國外對于遠程訪問圖書館電子資源的研究，在上世紀中期就已開始，國內也在近幾年對該項技術開始研究探求。

本文從國際主流技術、節約成本、數據安全以及訪問性能的角度考慮，采用URL重寫及跨域名Cookie技術，結合SSL安全協議、多種身份認證、單點登錄、負載均衡等技術研究和構建適合國內高校圖書館實際工作需要的數字資源遠程訪問系統。

系統設計

我們采用URL重寫為主要技術構建高校圖書館遠程訪問系統，結合單點登錄和身份認證等多種技術，運用UML建模語言，展開系統行為建模、結構建模以及系統主要功能的詳細設計。技術運用

系統應向用戶提供多種網絡接入方式。為此，系統要提供路由管理模塊來確定多宿主主機對某個目標主機或者目標網絡的具體路由，來提高系統性能和降低路由成本。

基于Web發布的電子資源，系統采用URL重寫技術、跨域名Cookie技術以及單點登錄技術，來實現用戶端綠色透明的訪問，用戶可以不用安裝任何插件和修改任何設置，即可隨時隨地訪問授權的電子資源。

對于非HTTP的C/S資源，系統采用IRAS插件的方式來實現。當IE或者第三方閱讀器（如超星閱讀器）要創建TCP（第4層，傳輸層）連接的時候，插件會截取該網絡請求，并檢查目標IP地址是否在系統授權服務器插件模式定義的IP范圍內。如果在范圍內，將目標主機的IP修改為授權訪問服務器的IP，端口修改為授權訪問服務器的端口；并創建一個協議棧（4.5層，介于TCP和應用層之間），從而保證第5層（應用層）協議都是通過代理隧道進行。

應用于高校圖書館遠程訪問系統的技術

實現技術

適用于高校圖書館遠程訪問系統的實現技術主要有代理服務器技術、VPN技術、URL重寫技術等，其中URL重寫技術是通過URL重寫規則來自動完成訪問目標與代理服務器間的“映射”關系，無縫、透明地將用戶請求轉向實際的代理服務器請求，實現用戶對相關資源的訪問。URL重寫技術和跨域名Cookie技術結合，可以很好地實現數字資源遠程訪問，也是當前國際上主流實現技術。

安全技術

與高校圖書館遠程訪問系統相關的安全技術包括SSL安全協議、多種身份認證、單點登錄等。SSL安全協議是一種在應用層協議和TCP/IP協議之間，為TCP/IP連接提供數據加密、服務器認證、消息完整性以及可選的客戶端認證；目前流行的幾種身份認證方式包括口令認證、USB Key認證、IC卡認證、生物特征認證、數字證書認證等；單點登錄技術是一種認證和授權機制，它允許用戶只登錄到系統一次，對所有被授權的網絡資源進行無縫的訪問，無需再進行登錄。

負載均衡技術

負載均衡技術是集群系統的核心技術之一，其主要思想是根據某種算法將網絡的負載用相應的權值表示服務器的處理能力，將用戶的請求分配到不同的服務器和網絡設備上，以減輕單臺服務器和網絡設備的負載，從而提高整個系統的效率。

在要求更高安全性的場合，IRAS插件將用戶數據封包后，通過SSL管道傳輸。

對服務器負載的在線監控，系統采用負載均衡技術實現，可以隨時查看每臺授權訪問均衡主機的負載情況和用戶在線情況，并根據流量報告，采取措施將訪問對象（數字資源）從一個均衡主機“推向”另一臺主機；該操作一鍵完成，方便快捷；各個授權訪問負載均衡主機之間，以及它們和系統的認證主機（管理者主機）之間的通訊均采用通用接口技術來實現，增加系統的可擴展性與開放性。

應用結構

系統應用結構主要由兩個部分組成：身份認證服務器（AuthServer）和訪問對象代理服務器集群（AuthClient）。AuthServer運行在一臺獨立的服務器上，主要提供用戶身份驗證及權限管理、流量控制及日志記錄等功能。AuthClient可以安裝在每臺電子訪問對象服務器上。一個AuthClient可以運行多個訪問對象代理（Agent），每一個Agent和某個特定的Web訪問對象綁定。AuthClient可以和AuthServer安裝在一臺機器上，這樣可以不需要改動其他電子訪問對象的服務器設置，但為了避免用戶過多時的瓶頸問題，最好可以把Agent代理分散到多個服務器上。系統應用結構設計如圖1所示。

安全認證

本系統安全認證采用如下方式：

1.普通認證

本認證是系統默認的用戶名密碼的靜態口令認證方式，系統提供用戶管理功能，建立用戶ID、用戶名、密碼等相關項，用戶可以在授權服務端利用通用瀏覽器直接登錄本系統授權訪問服務。

系統可以采取IP用戶和普通用戶兩種方案。IP用戶方案是系統自動把某一范圍的IP地址影射到某個用戶賬號下，這段IP范圍內的用戶登錄遠程訪問系統的時候，不需要輸入用戶名和口令，直接可以使用。普通用戶是采用傳統的用戶名和密碼機制。

2.USB Key認證

系統將采用最新技術和安全標準，提供USB Key用戶管理和USB Key生成器，并提供穩定可靠的USB Key硬件，可以實現按照需求進行設置與定制，并可以提供多種USB Key寫入和認證方式，如USB固定Key、USB不同Key等。

3.基于SSL的HTTPS認證

系統提供基于SSL的HTTPS認證，不需要用戶端配置如USB Key等的硬件設備，通過SSL安全傳輸管道將用戶名和密碼傳輸給認證服務器，SSL認證采用非對稱密鑰技術保證數據的隱私，認證數據除了發送者和接受者，其他任何節點即使截獲了數據，也無法解碼數據。

4.統一認證

系統可以和基于SAML標準與應用系統的統一認證服務無縫集成。在認證過程中，所有用戶信息的網絡傳輸都是安全可靠的；采用開放架構，兼容主流技術，保證系統具有很高的整合能力；提供系統平臺的配置和開發能力，降低實施難度，保護用戶投資。

圖1 系統應用結構設計

圖2 系統用例間關系、用戶與用例之間的關系

系統行為建模

系統用例分析

要設計實現圖書館遠程訪問系統，首先要對系統的需求進行分析，要做的工作是深入描述目標系統的功能和性能，確定系統設計的限制和同其他系統之間的接口細節，定義系統的其他有效性需求。本文運用UML捕捉系統的功能需求、分析、提取所開發系統領域的類以及描述它們之間合作概況，在完成系統的OOA（Object-Oriented Analysis：面向對象分析）基礎上，對系統進行OOD（Object-Oriented Design：面向對象設計）[2]。

采用用例圖描述的圖書館遠程訪問系統包括兩類用戶：讀者和系統管理員，其中讀者和系統管理員允許多個。系統用例間關系、用戶與用例之間的關系如圖2所示。

對于系統，讀者可以通過高校的入口網站，比如圖書館門戶網站，注冊使用圖書館遠程訪問系統（如果系統管理員已協助添加了對應用戶或者其他系統實現認證接口則不需要注冊，直接使用對應的用戶名和密碼可以登錄）。由于必須考慮安全問題，防止非本校允許注冊的人員隨意注冊，因此必須有注冊信息庫，屬于注冊信息庫中允許的人員才能注冊，注冊時提供的身份ID和移動電話必須與注冊信息庫中的一致，注冊的同時還需要提供短信驗證碼。注冊成功后可以通過用戶名和密碼登錄系統，選擇授權可用的重寫URL服務（數字資源），系統可自動切換到對應的數字資源訪問系統，不用再輸入該數字資源的授權賬號和密碼，進行相關數字資源的檢索、查閱，使讀者用一個用戶名密碼就能實現所有授權數字資源的訪問，從而實現單點登錄、統一用戶認證、透明訪問圖書館數字資源。

而系統管理員主要負責系統運行的配置以及日常的管理和監控，操作的動作都是屬于系統的核心組件，主要包括四部分的操作：

1.系統管理

系統管理包括管理員維護、系統參數配置和認證接口管理。管理員維護允許添加刪除以及修改管理員信息，可以針對每個管理員設置允許進入的模組及對應這個模組的增加/刪除編輯等權限，并且可以區分只是屬于系統監控還是允許修改系統參數，這種允許多個系統管理員的設計便于系統管理的分工，并且能夠更細粒度的區分系統權限；系統參數配置用于配置系統運行所需參數，比如用戶會話的超時時間，用戶使用系統的一個會話超過這個時間就會要求用戶重新登錄；認證接口管理是用來配置系統認證接口程序，當用戶登錄的認證需要整合其他系統時，則可以在這里配置實現，比如高校已有圖書館文獻集成管理系統，包含有用戶庫和用戶認證功能，那么實現接口程序，然后在接口管理中配置，可以直接使用圖書館管理系統的認證功能，不再需要系統另外維護用戶庫作為用戶認證。

2.用戶管理

用戶管理首先是維護用戶組，針對不同的用戶類型進行分組，便于針對群組進行管理；然后維護用戶賬號，包括新增刪除用戶或者修改用戶的信息，設置用戶所屬的群組，同時為了方便大批量作業，允許管理員直接按照約定格式從Excel導入用戶；維護注冊用戶庫，是為了維護用戶注冊時的憑證，用戶注冊系統時提供的憑證比如身份ID、移動電話等，必須在用戶庫存在的對應的信息憑證才能夠允許注冊；維護IP黑名單，當發現某些IP存在惡意訪問系統時可以暫停或者禁止該IP的訪問；而IP用戶管理相當于白名單，只要訪問系統的IP屬于這里定義的IP時，就自動映射為IP用戶管理中配置的對應用戶，節省用戶輸入用戶名和密碼登錄的過程。

3.重寫URL服務管理

重寫URL服務管理包括訪問對象組管理、訪問對象管理、存取權限管理、IP權限管理、網絡接口管理、端口重定向管理和二級代理設置。定義訪問對象組主要是針對訪問對象即數字資源進行集中式管理，根據訪問對象的分類進行分門別類的管理，比如電子資源類、應用系統類等，分組管理不但方便管理訪問對象，而且更具有結構性；訪問對象管理用于定義系統訪問對象，這些對象指能提供某種Internet服務的一個或者一組主機地址以及該服務的訪問入口地址和其他相關信息的集合體，Internet服務形式多樣，可以是Web網站，或者一個基于Web網站的數字資源，或者非HTTP協議的其他服務，比如購買了中國學術期刊全文數據庫，就可以配置這個資源的入口網址，讓讀者通過圖書館遠程訪問系統再代理到這個數字資源的入口網站，就可以像在校內一樣訪問；存取權限管理是用于配置哪些用戶組能夠訪問哪些對象組，分組的重要原因之一也是因為這里配置授權，根據群組進行配置，那么新加用戶或者數字資源的時候劃分到對應的組時對應的授權也就自然擁有了，而不必是單個用戶或者單個資源分別配置；IP權限管理是用于配置哪些網段的讀者可以訪問哪些對象組，這是結合IP用戶管理使用的，省去用戶登錄的步驟，對不重要的數字資源可以采用這種簡化的管理；網絡接口管理是用于配置系統發布的Web服務器IP地址和端口，允許配置多個提供給外部系統的連接，比如考慮網速問題，可以分別建立教育網訪問速度快的服務器和公眾網訪問速度快的服務器，那么讀者通過高校入口網站登錄圖書館遠程訪問系統時就可以選擇合適自己的服務器，這樣有助于更快地訪問數字資源；端口重定向管理的目的是解決個別數字資源不能正常使用HTTP訪問，而需要進行端口轉換或者協議轉換才能正常訪問的情況；二級代理配置是因為個別數字資源必須通過二級代理服務器才能進行訪問，那么需要在這里配置對應二級代理服務器信息。

圖3 系統的活動流程

4.統計分析

統計分析主要是方便系統管理員日常監控系統運行狀況，比如用戶在線監控可以實時監控當前的在線用戶，當發現有異常的狀況，比如流量不正常，可以針對這個用戶進行暫時封鎖或者永久禁止使用系統；即時流量監控可以實時地監控當前的系統信息流量，以便管理整個網絡系統，并進行資源分配和調度；流量統計、訪問日志等則是輔助用于日常管理，比如系統出現問題時可查閱相關日志和流量狀況，便于查明問題原因并解決。

系統功能設計

考察了系統用例和用例之間的關系之后，可以用UML的動態模型進行形象化描述。下面以讀者登錄訪問系統并選擇重寫URL服務（數字資源）進行查閱的活動圖為例，在上面的面向對象分析與設計、并對系統靜態結構的把握后，建立起系統動態數據的邏輯視圖，如圖3所示，以此為點，可以建立起整個系統的流程分析。

在圖3中，關鍵部分流程為讀者“選取某數字資源”，并“進入數字資源訪問系統進行查閱”，這是系統設計實現的目的，屬于系統核心功能，其他功能包括配置和監控，均是為這一功能服務。（未完待續）

（作者單位為廣東外語藝術職業學院圖書館）

擴展閱讀

[1]Denise TC. The need to improve remote access to online library resources: filling the gap between commercial vendor and academic user practice. Libraries and the Academy, 2003, 3(4):577-599.

[2]Boggs.W, Boggs.M. UML與Rational Rose 2002從入門到精通. 邱仲潘等譯. 北京: 電子工業出版社, 2002: 77-278.