活动防止sql注入

项目需求一、项目概况1.
1建设目标举办各类活动、学术会议是高校教学、科研以及学习生活的重要组成部分.
各种活动活跃了学习氛围、丰富了校园文化生活,促进了校际交流,为师生创造了一个积极、向上、学习氛围浓郁且良性竞争的校园环境.
组织、举办和管理包括讲座、培训、文体比赛、竞赛、会议、演出、夏令营、暑期学校等等在内的各类活动是各级管理部门、院系、学生组织的重要工作之一.
学术会议是高校科研工作者进行学术交流、国际交流的主要途径,是进行科研、教学交流学习的重要平台,学术会议为学校营造了浓郁的学术氛围,提升了学校在科研领域的影响力和号召力.
各类会议活动从筹备、发布、报名、组织、现场管理、到资料的整理及留存、会议活动的总结统计等等一系列工作都比较繁杂琐碎,建设哈尔滨工业大学统一活动会议服务平台,为院系、部门以及学生组织、科研机构提供全流程的、专业化的活动会议支持服务,满足各类活动会议的快捷组织与管理的迫切需求,从根本上提升组织会议活动的效率和水平,降低组织的成本,方便师生全面了解校内的各类活动会议的举办情况,促进校园科学文化的深入交流,同时统一活动会议服务平台可以保留活动会议的文档资料、视频资料以及各类数据,为各级管理部门的决策分析提供大数据支持.

1.
2预期的建设效果统一活动会议服务平台是一个专业的一站式管理平台,提供信息发布、活动会议推广、报名、签到、在线交费、论文提交、论文评审、资料管理、数据管理与统计等的功能,包括PC端、移动端、H5页面、微信小程序等.
预期的建设效果如下:构建跨终端、专业化的活动会议服务门户网站,为活动会议主办方及参加人员提供统一的活动会议服务入口.
拖拽式建站功能,所见即所得的设置界面,支持一键生成专题站,提供定制功能,支持用户自定义模板.
创建的专题站为移动端自适应,支持各类设备及浏览器的访问.
功能模块化,根据用户需求灵活配置使用各功能模块,支持嵌入整合,提供开放接口,允许主办方的其他网站方便地调用活动会议服务功能.
如报名功能嵌入主办方的网站中,微信邀请函直接支持报名功能.

用户体验良好的基于用户身份的管理功能.
接入学校统一身份认证系统,提供便捷的活动发布与审核功能.
基于院系、部门管理活动用户,实现用户权限的灵活分配.
多平台支持、跨终端的报名及管理功能.
提供网页端、移动端的报名、问卷调查、用户管理、活动审核、签到等功能,为参会者提供便捷的使用体验,提供最简单的操作.
多种在线缴费方式,支持银联、支付宝、微信等,同时实现外币支付功能,满足用户的多种需求.
多渠道宣传:多种方式的用户信息推送,如短信、微信、邮件等;多种会议活动推广渠道,如邮件,短信、微信邀请函等;支持社交分享,如微信朋友圈、微博、QQ空间等.
支持各种现场签到方式及互动.
手机或移动设备扫描签到,现场签到,添加参加人员等.
通过公众号现场互动、投票、红包、参与话题等等.
活动及签到现场统计数据实时更新.
灵活易用的数据管理与统计功能,提供各类数据的导出,各类统计分析数据自动生成饼状、柱状、Excel等直观的表现形式,为主办方的总结及日后活动会议的推广提供了大数据支持.
专业的在线投稿、在线评审、专家管理功能,建立论文作品数据库,提供数据导出,并自动生成大会论文集或作品集.
二、项目需求描述2.
1平台门户功能全面展示会议、活动综合信息的门户网站,为会议、活动的主办方及参加人员提供统一的服务入口.
门户是跨终端的,包括PC端、移动端、微信端等,提供各类会议活动的信息预告、信息发布、资料下载等功能.
该门户要与学校统一信息门户(PC端、移动端、微信端)进行有效融合.

门户页面同时提供会议及活动的申请发布入口,由用户自由选择使用会议还是活动的功能.
会议及活动在门户页面分类展示,提供置顶推荐功能,隐藏显示功能等.
平台的管理员可以对会议活动进行包括分类、置顶在内的各种全局性管理,可以方便地配置门户网站.
提供数据统计功能,对平台上的会议活动进行各种分类统计,如注册人数、支付方式、参加次数等等.
2.
2平台管理功能2.
2.
1活动及会议网站管理用户在门户网站根据需求选择不同入口申请发布会议或者活动,系统管理员根据用户申请分配用户权限,配置功能模块,为用户提供建站服务或者由用户自行选择模板生成宣传页面.
会议活动网站需支持各种设备及浏览器访问,自适应,跨终端.

2.
2.
1.
1网站创建功能系统提供创建、配置网站功能.
支持拖拽式建站,所见即所得的设置界面,支持一键生成专题站,提供定制功能,支持用户自定义模板.
创建的专题站为移动端自适应,支持各类设备及浏览器的访问.
会议及活动在网站表现形式上有区别,可以根据需求选择系统提供的模板一键生成网站,或者自定义符合系统规则的模板上传.
栏目管理:提供会议专题网站的标准栏目包括:首页栏目、新闻管理、会议介绍、会议日程、演讲嘉宾、会议地点、赞助商、联系我们等,会议管理员按实际需要配置选择栏目.
活动的标准栏目包括:活动主题、嘉宾、报名、活动地点(地图定位)等,活动管理员按实际需求选择或自定义栏目.
支持自定义栏目,管理员可以自行定制栏目标题及栏目内容类型等信息.
可以添加多个子栏目,可以隐藏或显示栏目内容.
模板管理:综合型会议至少提供五种模板,活动如报告会、论坛、培训、竞赛、暑期学校等类型各提供两种模板,每种模板能够支持单页和多栏目多页面的形式.
管理员可选择上传自定义模板.
系统提供增加、修改模板功能,系统管理员(或会议管理员)按照约定的规则可定制网站及栏目模板、扩展网站栏目的样式及显示风格.

内容管理:授权账号可在网站后台管理维护内容,可进行图文排版编辑.
中英文网站切换:系统需支持中英文网站的建设、切换.
2.
2.
1.
2活动发布与审核功能接入统一身份认证系统,提供便捷的活动发布与审核功能.
基于院系、部门分配用户权限,进行活动审批.
支持移动端的活动发布及审核功能.
活动审核功能分院系审核及校级审核.
对活动进行审核,提交审核结果(通过、未通过)和审核建议意见等信息,活动审批通过后用户可以登陆后台进行活动管理,活动发布.
用户申请创建发布活动,通过审批后,活动的发起者可以自定义活动的页面风格或者选择固定模板定制活动宣传网站,配置活动的基本信息,对活动进行综合管理.
用户可以申请创建私密活动并发布,通过邮件,微信等方式发送链接给限定人员.
2.
2.
1.
3推广功能可以通过发送邮件、短信、微信等方式开展会议活动的推广、分享,提供制作微信邀请函,自定义微信分享等功能.
支持移动端的应用推广管理.
邮件提供创建邮件功能;支持自定义邮件模板样式;支持加入动态代码;提供智能管理邮件任务,定时发送功能,提供实时追踪统计,获取并分析邮件的发送、点击、打开、查看、弹出率与拒绝率等详细数据功能.

短信接入统一通讯平台,提供短信群发功能.
微信微信邀请函应能提供多种模板供用户选择,并允许用户上传自定义模板.
支持在线转发与分享.
自动生成二维码,扫描即可浏览微信邀请函,可以对接企业微信公众号.
支持微信邀请函嵌入报名功能,直接报名.

2.
2.
2报名管理在报名管理功能上针对活动及会议分别提供报名管理模块,在主办方选择活动或会议功能时自动绑定报名模块,系统管理员也可以根据主办方的需求灵活配置,绑定功能模块.
支持移动端的报名管理功能,活动及会议管理员可以在移动端对报名进行管理(报名表设置、用户管理、审核、邀请函、报名统计等等).
用户可以在移动端实现搜索、定位、报名等,支持用户信息维护(用户绑定、资料修改,头像设置等).

活动报名管理功能模块:包括设置门票种类数量、报名方式、自定义报名表单、报名审核、团队优惠、报名信息管理、名单导入导出、信息检索、报名通知等功能会议报名管理功能模块:包括配置报名注册信息,自定义报名表单,报名信息管理、名单导入导出,信息检索、报名通知等功能.
报名类型管理:系统支持定向邀请、公开报名、预报名(审核)等方式,活动管理员根据活动的性质选择不同的报名方式.
会议主办方可选择会议注册的方式.
定向邀请是指对指定加人员通过邮件等方式邀请参会,管理员在后台管理名单,并可授权不同会议使用.
提供个人报名、同一单位多人报名、团体报名等方式.
针对活动性质,提供抢票、限定时间内同类活动只能参加一次等功能;提供会议活动现场的注册报名和交费.
报名表单设置:系统提供默认的字段(姓名、单位、邮箱、手机号),并提供自定义字段(文本框、图像文件上传、下拉选择、单项选择、多项选择、等常见类型).
主办方可以自定义注册报名表单项、字数及范围限制.
注册表单页面可嵌入到其它网站,可在微信、微博等分享,便于宣传和推广会议.
预设Email、姓名、职位、公司/组织、地址、省份、城市、手机以及自定义等多种字段,可根据需要自主添加;对所选择的字段设置"显示"或"隐藏",报名前端可同步更新;可设置必填项,让报名人员填写必要的信息;每一项字段皆可采用高级设置的方式对字段内容进行限定;自由添加和移动所需模块,智能创建更合适的表单内容.
统一身份认证对接系统后,教师和学生在报名时无需填写姓名、单位、邮箱及手机号码等信息,自动调用统一身份认证的数据,可以修改手机号及邮箱.
搜索及统计:主办方可以在后台按姓名、手机号、邮箱、单位、缴费信息、方式等字段进行查询及统计.
报名人员管理:主办方可以导入嘉宾、普通参会者等不同类型参会人员信息,提供导入模板,其他注册渠道或线下报名信息的导入.
主办方按注册类型、注册时间、交费状态等条件,导出人员信息.
系统自动生成签到码,管理员通过邮件或短信、微信等随同注册信息一并发送.
参会者签到时提供签到码实现快速签到.

添加报名人员信息,随时导入/导出报名数据;为预报名人员批量审核;修改或批量删除参会人员信息;向所有人员发送通知和邀请;实现对参会人员信息的统计和整理.
微信设置:系统管理员可设置基于聊天互动软件的推广方式(微信、QQ等)在系统上设置H5推广页面,Web端手机网页.
嵌入整合:支持报名入口嵌入到外部网站进行报名.
利用主办方已有的网站(比如活动专题网站),在网页中嵌入报名与支付的功能,从而实现会议活动的整合营销.
2.
2.
3支付功能可通过接口对接常用支付平台.
比如支付宝、微信、银联等.
系统管理员可以配置支付方式.
支持移动端管理(订单查询、管理、统计等).
收费应该有不同分类,如会员、教师、学生等,论文投稿一篇及多篇会有不同的缴费方式,同一会员的缴费应给出分项明细,并且一笔支付.
活动的报名人员根据报名时选择的不同门票直接支付.
订单信息查询与管理:主办方可以按照姓名、单位、邮箱、电话、订单号等查询参会者注册及交费状态;参会者可以查看会议注册及交费状态.
对于线下转账支付方式,会议管理员在后台进行交费状态确认.
对账数据管理:.
主办方可按照不同交费渠道、交费时间等检索条件,检索本次会议活动的交费数据,并能够导出检索结果;财务人员(对账)可按照时间段、交费渠道汇总所有会议的交费数据,并能够导出.
2.
2.
4签到管理电子签到功能完全不受现场网络环境影响(支持在线与离线),快速完成现场签到过程,实现活动会议现场的高效、快捷、安全管理.
支持移动端(签到、统计与查询).
主办方能够实时统计签到情况,能够创建不同权限的签到场地,进行权限设置.
提供多种签到方式(部分功能需要硬件支持).
会议签到管理人员(或志愿者)通过签到设备快速识别参会者,并能够联动打印胸卡;参会者也可自助扫码签到、打印胸卡;签到管理人员手动检索参会者办理签到手续.
查询与统计:会务管理员(或签到管理人员)能够按姓名、电话、邮箱、签到码等条件查询参会人员签到状态;主办方能够实时统计签到情况,灵活配置查询条件,统计各类签到数据.
2.
2.
5论文、作品的提交及评审功能投稿设置:设置征文的专业领域、方向;投稿开始时间、截止时间、投稿表单;评审表单,评审开始时间、截止时间;评审结果查询时间等参数设置.
主办方可以灵活配置使用摘要和正文投稿及评审功能,如包含摘要正文两个阶段,分别投稿和评审;只投稿需要专家评审;或者只配置投稿无专家评审等等.
投稿功能可以作为单独模块嵌入到主办方其他网站使用.
专家管理:管理评审专家账号.
可以手动添加,自己注册或者批量导入专家信息.
论文评审:分配评审任务,系统发送邮件、微信等邀请专家评审论文;评审专家通过系统下载、查看论文,在规定的评审时间内提交评审意见.
会议管理者汇总专家评审意见,给出论文最终评审意见.
结果查询:投稿作者在评审结果开放时查询评审结果及意见.
数据导出:对提交的论文、评审数据及结果等各类数据提供导出功能.
论文统计功能:对投稿的论文进行各种统计,生成图表,统计数据提供导出功能.
系统支持自动生成论文集.
2.
2.
6酒店管理会议管理员根据会议情况选择酒店预订的管理模式,可以设置收费也可以不收费.
按照酒店名称、预定时间、入住时间、房间类型等进行汇总、统计,并可导出数据.
支持移动端(发布酒店信息、查询统计预订信息、用户预订等等).

发布酒店房间及相关信息,由参会者自行选择预定;接受预定,可以设置是否收费,在限定时间内,可以选择取消预订.
酒店预订可以与缴费功能绑定,如缴费后才能预订酒店,是否绑定由主办方配置.
2.
2.
7日程管理功能系统提供日程管理功能,管理人员在已创建会议的基础上汇总日程,可增加、编辑各论坛及会议活动.
系统自动生成会议活动日程,在网站上显示.
会议管理员能够将数据导出,用于大会手册活动日程的编辑制作.

2.
2.
8统计分析对报名情况、签到情况进行统计分析,参加人员情况分析,缴费数据分析,以及其他数据进行统计分析,灵活配置统计条件,生成报表,提供导入导出功能,对活动及会议的各类数据进行统计.
签到统计:参会注册人员签到人数统计,按注册类型、人员身份等条件进行统计.
签到时间段统计(最大流量时间段统计).
注册渠道统计:在网站、微信等嵌入会议注册页面,系统对参会报名来源进行统计.
交费统计:系统提供交费合计,按支付方式、注册类型等条件进行交费统计.
参会统计:会议管理者,可统计指定用户(姓名、手机号、email等)在指定时间段内参加会议的名称、次数,统计该用户参加系列会的次数情况,也可批量统计用户参会情况,导出统计结果.
活动统计:系统管理员或院系部门管理员可以对管理的活动进行综合统计,如活动类型、人数、参加次数等,也可以对某个学生或老师进行统计,如参加的活动,次数等.
所有统计数据都会在系统自动生成饼状、柱状、Excel等直观的表现形式,主办方管理人员只需要视情况选择想要查看的字段内容即可,所有统计工作全部利用系统帮助实现.
2.
2.
9系统及权限管理系统授权的会议管理员可创建会议,根据会议实际需要配置收费、论文投稿、评审、酒店管理、调查问卷等模块的使用,并进行会议状态管理(草稿、发布、删除、停止),并设置本次会议的各类角色及用户账号.
支持移动端.

系统支持多角色、多用户权限管理.
系统管理员负责系统级别的配置和管理;活动审核人员按权限分级审核活动申请(含支付功能申请).
会议活动管理员负责管理本账号所创建的会议,并可授权其他账号协助管理本次会议活动的指定功能.
系统管理员可以根据用户申请及需求,分别配置各功能模块给活动或会议使用,并随时可以调整功能配置.
三、项目技术要求3.
1总体要求原则标准化原则在符合国家教育部和行业标准的体系指导下,建设本校的会议活动数据标准,以统一活动会议平台为框架,无缝集成学校已建和新建的业务应用系统,促进数据利用的最大化.
适应性原则可以在任何时间,任何地点在符合软件设置要求,硬件配置,以及网络接入可能的情况下,进入本系统进行业务的处理.
.
先进性原则系统设计采用先进的设计理念、先进技术和先进的系统工程方法.
建设一个可持续发展的、具有先进性、开放性的统一活动会议服务平台.
扩展性原则系统架构设计合理,考虑对于未来的发展,设计充分考虑今后扩展的要求.
安全性原则在系统设计与建设中,充分考虑系统的安全,包括数据安全、网络安全,传输安全,管理安全等.
3.
2关键技术指标(1)在浏览器兼容性方面,必须全面支持主流浏览器,(例如:Firefox、Chrome、Safari、IE11、360浏览器等).
(2)多终端适应性:使用者在PC端、手机端(含微信)能够正常浏览页面、便捷操作功能;针对不同终端优化页面样式及操作体验.
(3)支持iOS、Android等主流操作系统.
客户端可根据手机不同屏幕、分辨率自动调整页面及UI大小,满足良好的客户体验效果.
(4)无访问用户数量限制,并支持不小于每秒1000人的并发访问.
(5)支持校园统一身份认证平台对接,实现权限按需控制.
(6)支持完备的日志管理功能,包括系统安全日志、系统操作日志和系统运行日志,支持日志查询,支持日志文件导出.
(7)系统能够自行备份业务数据,在出现意外时能迅速恢复.
3.
3项目技术架构3.
3.
1服务器平台要求操作系统:WindowsServer2008(64bite)以上服务器:Tomcat数据库系统:Oracle11g服务器架构方式:B/S架构3.
3.
2技术架构(1)系统需采用符合行业发展方向的先进技术架构.
(2)系统服务器端能支持Windows、Linux等主流操作系统.
(3)系统采用多层B/S应用结构体系.
平台开发采用MVC模式.
3.
4项目验收及质保期合同签订后6个月内交付所有功能并接受验收.
项目验收应达到如下要求:(1)具有完整的项目实施方案和用户操作手册;(2)具有试运行测试文档;(3)完成操作人员培训.
项目质保期从项目验收之日开始计算,免费质保周期为2年.
3.
5付款方法和条件(1)签订正式合同后,支付中标额的30%;(2)项目验收完成后7个工作日内,支付中标额的60%;(3)项目验收后6个月内,支付合同剩余款项.
3.
6售后维护要求(1)对项目使用培训的要求1)投标方需根据用户需求不断改进系统性能,并提供有效的二次开发培训.
2)应针对本项目的最终用户和系统运行维护用户提供分层次培训.
需提供灵活多样的培训方式,包括最终用户的操作培训、对运行维护人员的技术培训等.
3)应制定详细的人员培训方案,培训方案应包括培训目的、培训时间安排、人员层次、人数、次数、培训课程(包括课程介绍)主要内容(列出培训基本内容)培训组织方式等.
4)对于提供的所有培训,必须保证师资力量,主要培训教员应是产品的主要设计和开发者.
5)培训的内容及方案应由双方协商制定.
供应商前来进行技术培训的人员的费用包括在合同总价中.
(2)对项目售后服务的要求1)自本项目验收合格之日起,提供两年的免费服务.
2)在维护期内,通过现场服务、电话服务、远程服务等方式提供快速、高效的维护服务.
3)服务期内须提供所供软件系统的系统BUG修复、系统性能优化等服务.
对产品运行环境(包括操作系统、数据库、中间件以及其它相关软件)及时进行打补丁、查病毒服务.
4)提供系统数据备份服务,并定期检验数据备份的有效性.
5)投标人在投标时须提出软件系统及运行环境的定期维护计划,对采购人要求的不定期维护提出响应措施.
实施系统维护或修改设计后,应在1周内更新有关技术文档并提交采购人6)技术支持方面,提供7*24小时的技术咨询服务,每年提供至少2次对系统运行状况的评估服务,提供每月1次巡视服务,检测软件系统及运行环境的运行情况,检查系统运行的历史记录及错误记录,优化系统环境,运行诊断程序测试各部分子系统是否正常,预防性维护回顾及相应的技术指导和建议.

7)故障响应方面,提供7*24小时的故障服务受理;对重大故障提供7*24小时的现场支援,一般故障提供5*8小时支援;故障服务的响应时间小于1小时;中断时间不能超过3小时.
四、项目与学校信息化总体框架兼容的要求4.
1系统对接要求(1)统身份认证接入要求统身份认证服务通过统管理用户的认证过程和认证信息,使登录后的用户在应用之间可以不需次登录,为用户带来"单点登录,多点漫游"的便利.
统一身份认证是校园用户提供与校园其他系统数据/功能对接的唯一标识,因此需与校园统身份认证服务进行对接.
(2)共享数据中心数据对接要求按学校相关的数据标准,以只读视图的方式授权和开放系统数据,这些数据将会被同步至共享数据中心,供其他业务系统使用.
面向其他应用系统需提供数据访问接的服务,根据数据访问的要求对元数据进行封装,以WebService接口的形式对外发布.
(3)统一通信服务对接要求基于校园各类应用系统信息统一收发要求,除系统内通知消息外,所有业务系统通过短信、微信、邮件等通道发送的消息均须对接校园统一通信服务,由统一通信服务负责发送,包括回执消息的接收.
(4)校园门户集成要求支持校园门户对统一活动会议服务平台实现快捷的调用,提供标准的调用接口与开发包.
应用或服务与门户的对接可能涉及到直接跳转、数据集成、界面集成等多种方式,每个应用或服务具体的对接策略由双方视具体情况共同商议决定.

(5)校园移动应用集成要求包括移动数字校园APP与校园微信公众服务号/企业号.
应用及活动会议平台管理端可以集成到学校移动端门户、微信公众服务号企业号中,用户可以通过其他门户通道进行访问和使用.
(6)第三方应用集成要求活动会议平台上所有的基础服务均封装成标准的接口,入参及返回数据格式满足JSON、XML等格式,可以在PC端与移动端的应用中被调用.
第三方应用需要使用平台的接口时,可以在平台上获取接口使用权限进行调用.
平台需要使用其他第三方应用数据,也通过标准接口调用.
如集成统一问卷平台等.

校园一卡通系统集成要求如果系统存在与一卡通系统相关业务,系统应具备与校园一卡通系统对接集成的能力:1)能根据一卡通系统提供的标准化接口实现与一卡通系统的集成开发.
2)能提供标准化开放式接口,用于一卡通系统获取相关数据.
具体的技术方案可由双方技术人员进行详细对接.
GIS系统集成要求支持与GIS系统集成,调用三维虚拟校园地图,实现会议及活动地址定位功能、导航功能.
4.
2对系统扩展性的要求具备良好的应用集成能力,需提供标准的数据接口,支持二次开发.
扩展能力是由系统的技术架构和技术的先进性所决定的.
系统的扩展性是系统的生命力之所在,良好的扩展性和二次开发能力,能确保系统具有适应性,降低系统的实施和开发成本.
系统须具备良好的扩展性,具有较长的生命周期,在后期的应用过程中能够基于平台进行业务扩展.
4.
3对系统安全性的要求(1)总体要求1)信息系统开发者对于因为程序代码、框架技术以及使用的中间件而产生的应用系统漏洞或bug等程序错误终身负责维护升级;2)系统上线前须经学校的安全准入检测,不合格的系统不能上线并验收.
(2)系统配置要求1)系统必须保证为正常上线系统,须更新为最新.
禁止采用失去技术升级的系统(如:windows2003等);禁止采用含有已知漏洞的组件、应用程序、框架(如:Struts2.
5-Struts2.
5.
10)、应用程序服务器、web服务器、数据库服务器和平台定义,以上系统必须执行安全配置,禁止默认安装.
所有的软件应该保持及时更新;2)保证系统服务正常与上线系统一致,无各种调试、报错信息(如:断点,printf等调试信息)及注释信息,系统需删除系统默认安装的各种例程、文档及管理程序;3)系统中禁止暴露配置信息(如数据库连接信息),源码备份文件,.
git,.
svn仓库等.
(3)服务要求1)从本机关闭不需要的端口,设置本机防火墙等策略;2)须按照标准端口配置服务,严禁自行设置非标服务端口.
(4)数据库配置要求1)数据库和应用系统如在同一台服务器,须采用本机回路进行访问,如前端及数据库分为不同服务器,须设置本机防火墙访问规则,禁止非前端服务器访问数据库网络端口;2)使用最低权限的数据库用户作为web应用所需,禁止具有不必要的额外权限.
(5)开发要求1)对用户输入进行严格有效过滤防止SQL注入,XSS跨站脚本,命令执行,crsf跨站请求伪造等,建议采用白名单过滤策略;2)禁止在HTTP请求中以明文或可逆编码(如base64、URL编码等)的形式传递SQL语句到后端程序代入执行,禁止由Web前端直接生成和传递SQL语句到数据库进行执行,数据库查询必须采用预编译和参数结构化查询.
如果程序确实需要将SQL语句作为内容(非可执行代码的形式,如学生毕业设计、代码样例等)到后台,请在项目上线交付前书面说明相应的功能代码及位置;3)控制上传点,对于上传文件类型进行严格控制(禁止用js进行控制),同时上传目录不能有执行权限,原则上不允许有未经登陆验证的上传点;4)设置有效的身份认证、会话管理及访问控制机制,防止越权、平行权限及提权等(禁止利用js进行控制及验证).
(6)数据保护要求对于身份信息、单位职务、财务信息、健康信息、通讯信息等敏感信息禁止在数据库中明文存放.
4.
4对系统部署方式的要求平台部署应充分考虑到哈尔滨工业大学现有的IT环境以及对未来发展的适应性,要求系统部署支持单机部署、双机部署、集群部署以及云平台部署.
支持集群及负载均衡技术.
对提出的系统资源配置需求,需提供相应的申请内容,包括但不限于业务平台拓扑、计算资源需求、网络资源需求、存储资源需求(要求提供针对我校实际需求的计算依据,如最大并发、用户增长、网络带宽、CPU、内存、存储需求量测算及具体对外提供服务端口等).

4.
5对相关文档和交付物的要求乙方在项目验收通过后向甲方提供该项目形成的成果和相关文档.
乙方向甲方提供的成果和文档资料不得人为设置技术障碍影响甲方的维护和二次开发.
本项目交付成果(参见项目建设内容).
提供的文档资料包括:(1)《项目实施计划》(2)《项目实施计划变更协议》(如果有变更)(3)《需求说明书》(4)《需求变更协议》(如果有变更)(5)《上线试运行确认单》(6)《系统技术文档》(7)《系统管理员手册》(8)《用户手册》乙方按哈尔滨工业大学档案馆归档要求,完成项目归档工作.
五、技术情报和资料的保密要求采购甲乙双方均对对方提供的技术情报和资料承担保密义务,如需公开或向第三方提供,需经对方同意.
乙方在工作中获取的甲方提供的信息、资料、数字均应予以严格保密,乙方负责本项目的人员不得向任何单位和个人泄密.
如因泄密造成后果的,乙方应承担全部法律的责任.
乙方对甲方提供的信息资料等在完成合作后返还甲方.