網絡教學平臺中的核心頁面技術

張興武

（同濟大學 軟件工程學院，中國 上海201804）

0 引言

所設計的網絡教學平臺是面向Internet 或局域網的， 這種應用尤其是對遠程數據庫的訪問采用的基本都是C/S 結構 （Client/Server，客戶端/服務器端）的應用模式。 要想實現這樣一個網絡應用，必須編寫一個服務器端web 應用程序； 選擇一個發布程序的web server ，如apache 、IIS 等；架設一個數據庫服務器。其中，需要采用的核心頁面技術有如下幾個方面：

1 用戶的標識和身份驗證

由于現在多數用戶通過多級代理服務器或寬帶方式來訪問局域網或Internet，這為唯一標識用戶身份增加了難度，需要設計合理的用戶身份驗證機制來保證每個用戶操作數據的合理性和有效性。

1.1 標識問題

本平臺主要通過將用戶的IP 地址與帳號(學生學號或教師編號)相結合，組合成一個復合標識字段，并通過密碼和姓名驗證的方法來唯一標識每個終端用戶。 (如果可能的話,在今后的發展中可以增加IP地址與MAC 地址相互綁定的辦法來解決校園內部局域網的標識問題,這個需要學生每人具有一臺PC 機).

1.2 一次性口令身份驗證

一次性口令身份驗證(OTP )平臺的開發和對具有這種特征的應用軟件的使用，己經使得網絡安全技術發生了很大的變化。 實現了OTP之后，對于入侵者來說，要通過口令安全平臺來發起攻擊實際上是不可能的。

根據目前關于MD4 和MDS 加密方法的Internet Drags 和RFC 文檔，OTP 保護安全的平臺對于高度安全的應用程序來說被認為是安全的，實現OTP 是一個很明智的實踐。

1.2.1 迭代、種子和通行證短語

使用OTP 初始化用戶ID 進行身份驗證包括幾個部分: 迭代(iteration)值、種子(seed )值和一個只有用戶知道的秘密通行證短語(secret pass phrase)。 迭代值是一個計數器，每次用戶向給定的服務器進行身份驗證就減少一次，這就是在每次注冊嘗試時使用不同口令的原因。 種子是一個由服務器提供的短語，每次進行身份驗證嘗試時都向用戶提供種子。 通行證短語是一條用戶必須知道的信息。 迭代值和種子是由平臺提供的，使用這些值和正確的通行證短語，用戶就可以使用計算器產生正確的挑戰口令/答復。

1.2.2 OTP 保護的平臺交互過程

OTP 的工作方式是將公共可用的信息“挑戰”與只有用戶才知道的 “秘密通行證短語” 結合起來產生正確的答復， 即Something You Know (SYK)，其操作包括兩個方面:客戶機和主機。 在客戶機方面，必須產生適當的一次性口令。在主機方面，服務器必須驗證一次性口令，允許用戶秘密通行證短語的安全改變。 OTP 保護的平臺交互步驟如下：

1）用戶機向服務器發出登陸請求。

2）服務器首先向用戶提示一個“挑戰”( challenge )，挑戰由種子值和迭代值組成， 挑戰的答復是使用用戶工作站中一個特殊的程序calculator 來產生的。

3）客戶端使用種子和迭代值，并與用戶的秘密通行證短語組合在一起，通過OTP calculator 中的一個散列算法，計算出單用口令，從而產生對挑戰的答復。用戶的秘密通行證短語從來也不會在任何時間通過網絡，包括注冊時和執行要求身份驗證的其它命令。 即使兩個用戶使用相同的迭代和種子值，如果他們選擇不同的通行證短語，那產生的口令也不會是相同的。 從而，保證了OTP 不易遭受偷聽、口令重用、偷竊或口令文件攻擊。

4）挑戰的答復由客戶端通過網絡傳回服務器。

5）服務器驗證;用戶對挑戰的答復，決定是否成功登錄。

1.2.3 在平臺中具體實現OTP

根據OTP 平臺的運行機理， 用戶進行身份驗證包括二個部分:迭代值、種子值和秘密通行證短語。因此在平臺用月戶初始化時，必須提供上述信息，并允許用戶在使用中動態改變。在平臺中，采用以下規則來定義用戶身份驗證信息:

以學生學號或教師編號作為種子值。

迭代值在用戶信息初始化時由平臺確定，一般根據學制及課程情況，學生定為100，教師為l80 左右。

秘密通行證短語在初始化時暫定為學生學號或教師編號，在第一次成功登錄后由用戶自行修改。

學生信息在新生入學時， 根據招生辦信息數據庫自動進行初始化;教師信自、依據人事部門檔案信息進行初始化。 并保證學生或教師在校期間內唯一、安全、有效。

當用戶登錄平臺時，服務器將以由用戶帳號和迭代值組成的挑戰提示用戶;然后用戶根據挑戰值和秘密通行證短語，通過安裝在客戶機端的密碼計算器軟件，例如Winkey.exe，計算出挑戰答復并將該答復傳到服務器端，由服務器進行口令驗證以決定是否成功登錄。 具體源碼如下：

2 數據庫訪問與管理

建立數據庫連接的語句, 由于ASP 系統以Visual Basic 的基本思想作為指導, 因此ASP 程序也是一種面向對象的程序.建立數據庫連接使用的是服務器對象ADODB 中的子對象——數據庫對象Connection.代碼如下:

3 文件上傳的技術

由于ASP 本身沒有提供文件上傳的功能,而采用FTP 實現文件上傳又不利于作業文件的統一管理和存檔.為此,對于文件上傳,采用如下的技術:

3.1 以VB 開發了一個文件上傳的組件fileup, 并且把這個組件安裝到服務器上.之所以沒有使用公用的同類共享組件,是覺得自己編寫的組件不會有木馬,使用的也較少,遭受黑客攻擊的可能性就比較小。

3.2 瀏覽器端用戶通過表單選擇文件后發出上傳指令,由服務器端的fileup 組件負責把文件內容寫到服務器的指定位置, 并同時在課程輔導數據庫的文件管理表中登記文件名稱、上傳日期、文件大小等信息,以便于師生進行文件管理。

3.3 學生可以把各類文件上傳的服務器上.當學生認為某個文件已經不需要再修改時,則可以把這個文件提交為某個作業,請教師批閱。

4 結束語

本文給出的相關頁面核心技術，相信對構建各種網絡環境下的各種應用平臺具有一定的參考意義。 基于網絡技術的分布與協同，融入人工智能思想，研究完善校園網境下多媒體教學平臺的完整、開放、先進、 經濟的的綜合解決方案是今后進一步加強校園網信息資源建設，推動網絡教育邁上更高層次的重要任務。

［1］向海昀,蒲和平,劉彬.搭建Moodle 平臺整合高校教學資源探析[J].現代商貿工業,2011(15).

［2］張小虎.關于現代網絡教學的思考[J].中國農業銀行武漢培訓學院學報,2006(03).

［3］劉霞.網絡教學的評價[J].中小企業管理與科技:下旬刊,2009(04).

［4］徐軍.充分利用網絡教學平臺 提高學生自主學習能力[J].內蒙古財經學院學報:綜合版,2009(03).

［5］王玉國.基于SOA 的印刷管理系統體系結構研究[J].中國市場,2008(48).

［6］陳曉紀,任永昌.基于Web Service 的企業資源管理平臺的研究與應用[J].中國管理信息化,2008(10).

［7］李選潮.探析網絡輔助教學的設計[J].大眾商務,2010(16).

［8］張美俊,胡玉清.基于綜合功能的網絡教學平臺設計與實現[J].科技創新導報,2010(36).

［9］郭燕萍.電子商務專業課程網絡化教學模式探討[J].電子商務,2010(03).

［10］戴艷紅,陳宇.基于Web 的網絡教學系統的研究[J].河北企業,2010(02).