基于信息安全的旅游管理系統防惡意注入設計與實現

孫浩然 張鵬云 宋 凱

（河北經貿大學信息技術學院 河北 050061）

0 引言

隨著計算機、通信、互聯網和電子商務的不斷發展，旅游業迎來了新的機遇和挑戰，傳統的手工管理方式已不能滿足旅游景點管理者和游客的需求。為了改變傳統旅游業的經營理念、提高管理水平和服務水準，需要建立健全、高效、有序的現代化旅游信息系統，充分發揮信息技術的引導作用。

河北省在《旅游業發展“十二五”規劃綱要》里邊明確提出了加快搭建京津冀一體化旅游信息平臺，提高旅游服務效率，全面推動智能化、信息化與旅游業結合。本文針對旅游景區導游、游客、旅游景點等內容開發了管理系統并增強了系統的安全性，希望為景區的數字智能化建設增磚加瓦。

1 系統分析

良好的系統結構能夠提高開發效率，增強代碼的可讀性、可維護性和可重用性。本系統采用高內聚低耦合的思想，設計了基于B/S的多層架構模型。該模型分為：用戶層、應用層以及數據持久層，如圖1所示。采用這種設計模式的優點在于使得系統各個功能模塊分層清晰，各司其職，便于系統開發調試，使得系統可以方便地擴展功能。

在本系統中，當用戶瀏覽器產生一個HTTP請求或者ajax請求時，服務器應用層的Action將會獲得請求參數并實例化對應的model類，之后將model交給Service處理，然后Service將調用封裝了Hibernate的數據持久層來對數據庫進行增刪改查，最后Struts將Service處理的數據通過JSP頁面、XML、json格式的數據返回用戶的瀏覽器。這樣就實現了一次用戶請求。

圖1 系統結構

2 系統設計

2.1 系統功能設計

根據對西柏坡旅游管理系統進行的詳細需求分析，該系統分為以下六個模塊：工作人員管理模塊、游客信息管理模塊、訂單管理模塊、旅游資源管理模塊、景區文化管理模塊和文檔管理模塊。

工作人員管理模塊主要對景區的工作人員信息的管理，包括導游、環衛工人、服務員、安保人員、維修工人的統一管理，比如人員的出勤情況、績效考核、人員調度等。方便管理者高效管理人員。

游客信息管理模塊主要收集游客信息，并且進行統計分析，產生報表，為景區決策提供數據支持。游客信息主要包括姓名、性別、身份、年齡、旅游時間、旅游軌跡等等。

訂單管理模塊對用戶的訂單進行統一管理，方便管理員操作，并且能大大降低出錯率。提高工作人員效率。管理者能夠通過系統的訂單統計功能了解景區業績。

旅游資源管理模塊主要是對景區的硬件資源進行一個有效的整合，包括整個景區的所有展館信息，革命舊址信息。景區內的各種設備的管理也是非常必要的，包括攝像頭、觀光游覽車，路燈，展示屏，公告牌，景區介紹牌，文物標注等基礎設施的管理。實現硬件資源的數字化管理。

文檔管理模塊主要負責管理一些西柏坡相關的電子文檔，尤其是針對那些跟革命歷史相關的文檔、紅色新聞、美文欣賞、革命精神學習文件以及紅色文化資源的整合管理。該模塊的功能包括電子文檔的查詢、上傳、刪除和修改。

其它管理模塊主要是管理景區新聞、系統日志和用戶日志、公告通知或者站內信等內容。這些數據和景區門戶網站上所顯示的內容一致。

2.2 數據庫設計

數據庫的設計往往決定項目實現的難易程度。本系統數據庫嚴格按照關系型數據庫的第三范式來設計，消除了函數傳遞依賴，減少了大量的冗余數據。

按照需求分析的結果，本系統設計了13張數據庫表，滿足了管理系統功能所需的所有數據。其中 ER圖主要部分如圖 2所示：

圖2 ER圖主要部分

3 關鍵技術

3.1 防SQL注入、腳本注入技術

傳統的查詢是采用拼接字符串的方式組裝SQL語句，有可能造成SQL注入攻擊，本項目采用了預編譯的SQL語句，使得用戶參數不會和SQL語句發生匹配關系，不論參數是什么，都能夠保證系統安全的查詢。

Javascript腳本注入雖然不能對服務器造成影響，但是會對用戶瀏覽器造成惡意破壞，竊取用戶瀏覽器的cookie信息，所以腳本安全也是非常必要的。本項目采用 struts中的過濾器將數據進行了編碼和轉義，確保惡意代碼在瀏覽器中只是以字符形式顯示，不能被瀏覽器執行，這樣就保證了安全性。

3.2 響應式CSS框架

本項目采用 Bootstrap 響應式前端框架的柵格系統作為網頁的框架，用其中的CSS樣式定義了界面的風格，提高了項目的開發速度、解決了瀏覽器兼容性問題、使得網頁大方美觀，系統能自適應各個終端設備的屏幕，使得網頁能用最佳的分辨率和尺寸顯示，給用戶更好的瀏覽體驗。

3.3 AJAX

本項目采用AJAX技術實現了異步的數據加載，降低了網絡傳輸的數據量，提升了用戶體驗。系統大量應用 AJAX，實現了無縫刷新，使得網頁像桌面程序一樣運行。ajax請求得到服務器響應時的關鍵代碼如下：

4 結語

本課題為提高西柏坡旅游信息化服務水平，提出了基于B/S架構的西柏坡旅游管理系統，運用當今先進的系統設計思想，充分發揮了J2EE技術的Web開發能力，提高了開發效率的同時使得系統運行高效、穩定、安全可靠。系統操作界面簡單易用，提高了景區的管理水平，減輕工作人員的負擔。

[1]河北省旅游業發展“十二五”規劃綱要.[EB/OL]http：//www.hebeitour.gov.cn/article.php?action=one&ai=1236.

[2]史金磊，朱海榮.基于B/S的中小型酒店預訂房間系統的設計與實現[J].河北工業科技.2009.

[3]貝巖.響應式Web設計實現方法研究[J].渤海大學學報（自然科學版）.2014.

[4]熊文，熊淑華，孫旭，張朝陽.Ajax技術在Web2.0網站設計中的應用研究[J].計算機技術與發展.2012.