1、1 / 53 電子商務平臺系統 技 術 建 議 書 xxxxxxxxxx科技有限公司 2012-12-03 目 錄 第一章、項目需求分析和電子交易運營模式建議 . 3 1.1電子交易全面解決方案 . 4 1.2電子交易系統總體業務流程 . 6 1.3掛牌交易子系統 . 9 1.4團購交易子系統 . 9 1.5競價交易總體子系統 . 10 1.6專場和商鋪交易子系統 . 11 1.7財務管理子系統 . 12 2 / 53 1.7.1多途徑支付功能 . 13 1.7.2實現跨區跨行支付 . 14 1.7.3方便會員提現 . 14 1.8風險控制子系統 . 14 1.9交易平臺接口說明 . 15 1

2、.9.1數據轉換 . 15 1.9.2交易系統與銀行支付網關的接口 . 17 1.9.3交易系統與短信系統接口 . 19 1.9.4 交易系統與ERP管理系統接口 . 19 1.9.5交易系統與倉儲配送系統接口 . 20 1.10系統界面說明 . 21 第二章、電子交易系統技術架構(略) . 23 2.1技術方案整體性 . 23 第三章、電子交易系統安全標準和特點 . 24 3.1電子交易系統的安全需求 . 24 3.2技術安全 . 25 3.2.1.安全交易標準 . 25 3.2.2數字時間 . 26 3.2.3數字憑證 . 27 3.2.4身份認證 . 28 3.2.5 CA認證方案 .

3、29 第四章、規范高效的本地化項目實施和培訓 . 31 4.1 項目進度計劃 . 31 4.2項目成功保障 . 32 4.2.1先進的技術 . 32 4.2.2項目管理原則 . 35 4.2.3培訓任務和目標 . 38 第五章、售后服務方案 . 43 5.1 維護服務內容 . 43 5.1.1 項目進行中的承諾 . 43 5.1.2 維護承諾 . 43 5.2 項目驗收完成后技術支持計劃 . 45 5.2.1 定期的交易中心內部交流 . 45 5.2.2 定期的合作雙方交流 . 45 5.2.3 長期的同行業交流 . 45 5.3 后繼服務體系 . 46 5.3.1 精良優質的產品 . 46

4、5.3.2 系統維護 . 46 第六章、軟件系統實施服務報價和主要硬件推薦 . 48 6.1 網絡和硬件配置 . 48 6.2 數據服務器選型 . 49 6.3 防火墻選型 . 50 6.4 寬帶通訊選型 . 51 6.5 數據同步策略和備份機制 . 51 第七章 交易系統和輔助系統報價 . 53 3 / 53 第一章、項目需求分析和電子交易運營模式建議 近年來隨著農業產業化的發展，優質農產品需要尋求更廣闊的市場。傳統的農產品銷售方式難以在消費者心中建立起安全信譽，也難以確保生態農業基地生產的優質農產品的價值，很多特色農產品局限在產地，無法進入大市場、大流通，致使生產與銷售脫節，消費引導生產的

5、功能不能實現，農業結構調整、農民增收困難重重。 基于此現狀，及時搭建農產品電子商務交易平臺，不僅引領了我國傳統農業向“信息化”、“標準化”、“品牌化”的現代農業轉變，并且還將促進特色農產品走向“高端”發展路線。 平臺特點： 1、平臺實現統一為客戶提供信息、質檢、交易、結算、運輸等全程電子商務服務； 2、支持網上掛牌、網上洽談、競價等交易模式，涵蓋交易系統、交收系統、倉儲物流系統和物資銀行系統等； 3、融合物流配送服務、物流交易服務、信息服務、融資擔保類金融服務等于一體。平臺系統將實現基礎業務、運營業務、平臺管理和運營支持等四個層面的業務功能； 4、實現各層級會員管理、供應商商品發布、承銷商在線

6、下單交易、訂單結算、交易管理、擔保授信等全程電子商務管理。為了支持平臺業務向農產品產業鏈兩端延伸，滿足開展訂單農業、跨國電子交易及跨國貿易融資等業務的發展需求，平臺支持多種交易管理流程共存，支持標準及可靈活拓展商品，具備交易規則靈活性、結算多樣性4 / 53 及管理復雜性的特點。 5、在配送和銷售過程中，通過制定和實施符合現代物流要求的技術標準，對農產品在流通過程中的包裝、搬運、庫存等質量進行控制。形成“從田頭到餐桌”的完整產業鏈，由市場有效需求帶動農業產業化，提高農業生產區域化、專業化、規模化水平 6、將遠程視頻監控技術集成到農產品質量安全追溯體系的建設中,能夠對數據采集過程進行有效監督,保

7、證追溯數據的準確性和真實性,提高追溯系統的信息質量。 7、共性技術的整合 1) 交易系統涉及到的身份識別技術如CA認證技術或服務器身份識別軟證書技術的整合； 2) 交易合同的提貨單加密技術、配送委托單的加密技術； 3) 支持B2B銀行支付網關接口、B2C銀行支付網關接口、“快錢”和“支付寶C2C接口； 4) 倉儲管理中物資的無線PDA電腦終端和條碼技術應用，會大大提高倉儲管理水平，提高物資識別率，提高配送效率。 8、采用技術路線建議 1) 交易系統技術架構采用Java和JBOSS中間件技術路線，項目運營前期為降低硬件投入，采用微機服務器和應用系統負載均衡技術，等到電子交易在線會員和交易并發突破

8、一定程度，系統可以順利低成本而且快速升級到小型機平臺；這是Java技術路線的優勢，微軟的.Net技術路線無法實現向小型機快速升級的目標； 2) 數據庫可采用Sybase/Oracle/MS-sql，建議采用Oracle； 3) 服務器系統平臺可以任選UNIX或LINUX。 1.1電子交易全面解決方案 本方案中我們將通過電子交易主系統框架和前后臺以及支付系5 / 53 統的功能描述、輔助系統如貿易企業ERP管理系統、倉儲管理系統、質押融資管理、運輸配送系統、統計查詢分析系統（BI）、CRM管理系統等，給出電子交易全面解決方案，供某集團交易中心參考，具體實施方案要進一步探討后才能決定，下述 是電子

9、交易系統框架和功能的簡要介紹： 1、電子交易系統模塊框架 6 / 53 1.2電子交易系統總體業務流程 電子交易系統業務流程 7 / 53 交易后臺管理功能圖 掛牌交易功能圖 8 / 53 竟價交易功能圖 資金管理功能圖 9 / 53 1.3掛牌交易子系統 根據資源屬性不同，掛牌交易分監管資源掛牌交易和非監管資源掛牌交易兩種，其流程的差異在于貨物交收過程中略有不同，下面就根據兩種流程做介紹。交易品種以機電產品為主。 1.4團購交易子系統 團購、代理采購在掛牌交易中要實現貨權與掛牌權結合與分立，團購、代理采購涉及平臺融資服務的貨權屬于出資方，掛牌權屬于團購成員。在掛牌交易的團購資源在團購成員內實

10、現按團購比例分配，掛牌權屬于分配后的各個團購成員。團購、代理采購不涉及平臺融資服務的貨權、掛牌權屬于分配后的各個團購成員。 10 / 53 1.5競價交易總體子系統 競價交易是會員活躍度比較高的一種現貨交易模式，對于廢次品、處理的價格發現功能特別具有優勢，價交易包括向下競價與向上競價兩種形式,下面就結合競價交易流程介紹競價交易的模式： 11 / 53 1.6專場和商鋪交易子系統 專場交易一方面可分為品種和地區專場，如熱軋卷板掛牌專場或廢次材競價專場；另一方面可以擴充到網上企業商鋪，每個商鋪可以設置自己的二級企業門戶和陳列物資現貨資源，進行網上品牌宣傳和網上銷售，下面就商鋪模式展開流程敘述。 1

11、2 / 53 1.7財務管理子系統 交易中心為每位注冊會員均會開始一個二級賬戶，二級賬戶中分為可用資金、鎖定資金和賬戶余額，他們的關系是：可用資金+鎖定資金=賬戶余額，在任何狀態下，這個等式恒久成立。 二級賬戶體系中，還包括了銀行賬戶管理的功能，使交易中心總賬戶余額與交易中心在銀行的總余額相同，他們的關系是：交易中心在各個開戶行的總資金結余=交易系統中各個銀行的資金結余總額=會員二級賬戶的資金結余總額，在任何狀態下，這個等式恒久成立。 13 / 53 二級資金賬戶體系功能圖 財務系統包括憑證錄入、檢查、審核，市場與銀行對帳，對歷史財務數據的查詢，各類賬目的統計分析查詢，憑證和賬簿打印等主要財務

12、功能。系統還可以對基礎數據進行維護管理，如科目維護，操作員權限維護等。平臺提供了安全支付工具“交易支付寶”，用于網上交易會員企業間支付結算，它具有如下三大特點： 1.7.1多途徑支付功能 “交易支付寶”作為支付職能，承擔交易的一方支付貨款給另一方的中介服務，買賣雙方都可以在“交易支付寶”中開立帳戶，買方可以通過“交易支付寶”帳戶把貨款支付到賣方“交易支付寶”帳戶；買方也可以直接利用交易平臺的B2B網銀把貨款支付到賣方“交易支付寶”帳戶14 / 53 1.7.2實現跨區跨行支付 “交易支付寶”可以對跨區域交易和結算提供支付服務，類似于銀行的通存通兌功能，同時提供不同銀行的支付接口，實現買家資金從

13、一個銀行轉到賣家的另一個銀行帳戶。 1.7.3方便會員提現 會員希望從“交易支付寶”帳戶中提取資金，只要向交易中心提交出金申請，經過交易中心審核，就可以通過網銀把資金劃轉到會員的銀行結算帳戶。 多達15家銀行的支付接口管理 目前“交易支付寶”與15家銀行或第三方支付平臺做好接口，每家銀行的接口方式包含B2B、B2C和信用寶等三種方式 1.8風險控制子系統 1.物資掛牌銷售時，對掛牌物資要支付一定的保證金，以確保掛牌物資的 真實有效，避免掛空情況出現； 2.對于會員要求從二級帳戶提取資金時，有提取審批流程，從提取申請，到提取批準，交易中心要對此進行審核。如果帳戶金額很充15 / 53 足，但可用

14、資金不足，仍無法提款。針對交易過程所產生的鎖定資金是不可動用的，被交易平臺鎖定； 3.履約擔保金：按照規定，對需要履約擔保金的交易每一筆收取成交金額的一定比例的資金作為擔保金。擔保金可以根據情況進行調整、提醒報警功能； 4.資金控制：實時控制交易商的資金，對于擔保金、結算資金不足的交易商將不允許繼續交易； 5.整個交易對于資金的控制有嚴格的限制，貫穿于整個交易過程； 6.對交易合同產生的提貨單進行驗證，提單驗證可以通過遠程防偽提單認證系統或提貨單進行校驗碼驗證兩種解決方案，保證交易合同順利交收，從而控制貨物的時時狀態。 1.9交易平臺接口說明 1.9.1數據轉換 數據轉換系統是物流信息平臺系統

15、的一個組成部分，主要功能是實現平臺與各個異構系統之間、平臺內部各功能模塊之間所必須的協議轉換與數據交換。從而保證平臺各項設計功能的實現。數據轉換系統主要包括如下功能： 1、異構數據轉換 平臺與需要聯網的其它異構系統，通過平臺接口系統實現網絡互聯后，要將異構平臺上上送來的信息，轉換成平臺可以識別的格式，然后才能完成后續的處理。相反方向的傳輸同樣需要進行協議轉換。該轉換將在業主提供異構數據格式的基礎上開發。 2、同構數據轉換 平臺與同構平臺之間，平臺的不同功能模塊之間，由于工作方式16 / 53 與對象的不同，也常常需要進行數據交換與數據格式轉換。系統通過數據規范化定義，支持各類不同格式和系統之間

16、數據的轉換與傳輸，實現各常見數據庫、Web數據、文本、圖像等多種格式之間的自定義相互轉換。該轉換將在業主提供相應數據格式的基礎上開發。 3、數據轉換管理 為管理和監控數據轉換的結果提供圖形化界面。 17 / 53 1.9.2交易系統與銀行支付網關的接口 電子商務運作模型和業務流程中四個環節：信息流、資金流、物流、商流是促進電子商務發展的關鍵。作為中間環節的資金流，是電子商務流程中交易雙方最為關心的關鍵環節。根據交易平臺有關要求，要求實現在線支付和資金實時監管，與第三銀行進行接口互聯。 需求說明： 1) 用戶需要通過銀行B2B接口在線充值或者貨款支付時，首先，交易系統需要 2) 按照銀行指定的格

17、式填寫數據（各家銀行的接口不相同） 18 / 53 3) 數據填寫完畢后，并經證書CA簽名后，由用戶通過瀏覽器將數據提交到銀 4) 行的系統中 5) 銀行收到數據后，首先對收到的數據進行CA驗簽，以確定數據是否是指定商戶發出 6) 銀行數據校驗通過后，銀行網銀會要求用戶出事證書（通常是USBKey的CA 7) 證書，由銀行頒發給用戶），用戶通過證書進入網銀后，需要對數據進行錄入、審核操作（不同的操作員完成） 8) 當支付記錄審核完成后，款項就進入交易中心在該銀行開始的結算賬戶中，此時，銀行會通過服務器反饋消息給交易系統，通知交易系統，相關的款項已經到賬。 9) 交易系統收到銀行反饋的通知后，會

18、使用銀行事先提供的證書公鑰，對數據進行驗簽，若驗簽通過，則表示數據是銀行發的，然后再校驗支付是否成功，若成功，則開始做入金操作。 10) 可以多家銀行進行接口，支持各類銀行賬號（卡）。 11) 支付安全可靠，與第三方CA集成，數據傳輸加密，采用多種方式保障支付安全可信。 12) 對于電子合同管理，實行網上電子簽章。 19 / 53 1.9.3交易系統與短信系統接口 需求說明： 1) 要使用短信接口，必須與相關的短信供應商簽訂相關協議，并確定短信接口 2) 當交易環節需要發送短信提示用戶時，交易服務器會調用短信服務器的短信發送服務，向用戶發送短信。 3) 當短信接口服務器收到短信發送要求后，他會

19、把數據拋向短信供應商指定的短信接口服務上，實際發生到用戶手機上的工作，則由短信供應商及移動、聯通等短信運營商的接口完成。 1.9.4 交易系統與ERP管理系統接口 1) 電子商務和ERP系統一體化無縫接口 (1) ERP現貨可供資源數據直接掛牌到交易系統 (2) 交易系統產生的合同提單收付款單實時下載到ERP中 20 / 53 (3) 基礎數據一致性 2) 電子商務和ERP系統都可獨立運行,兩套系統數據物理隔離，保證兩套系統數據完整性 3) 在提供與貨物加工代理機構業務系統開發接口的基礎上電子商務、物流系統應交易商的要求，可在指定倉庫內對不同細類的原材料、商品貨物進行調配，以及在指定倉庫內對指

20、定貨物進行加工，代理貨物加工的結果進行電子化管理，并可以提供接口對貨物加工的過程進行電子化管理。 1.9.5交易系統與倉儲配送系統接口 交易系統要求為協議倉儲管理系統提供接口，提供相應的數據引入與數據采集機制，為交易平臺提供更大的管理支持。 (1)倉儲系統中的監管理倉庫信息和交易系統相比對 ?電子商務和倉儲系統監管倉庫對接 (1)倉儲系統中的監管理倉庫信息和交易系統相比對 21 / 53 (2)交易系統中針對監管交易出入庫信息下發到倉儲系統 (3)基礎數據一致性 ?電子商務和倉儲系統協議倉庫對接。 1.10系統界面說明 系統用戶界面的設計方面應基于標準窗口系統，具有統一界面風格。具備完善的功能

21、和友好的圖形界面，能使用戶集中精力于業務本身，并能對每一個操作的反應做出預測。界面還應靈活地安排各種對話方式，充分滿足用戶的各種選擇。要合理、高效利用屏幕，從可讀性的角度合理安排屏幕上的多個窗口及信息負載。 輸入界面是用戶輸入指令、傳遞信息的界面。除上述設計外，界面設計一致性，用固定格式構造菜單選項、命令輸入、數據顯示等，減少操作中必須記憶的信息量，提供必要的上下文幫助，盡量減少用戶的輸入動作，允許用戶定制輸入，為輸入動作提供實時幫助機制等。對重要交易操作需要提供明確的信息提示和確認過程。 輸出界面允許大多數操作的方便退出和恢復，只顯示與當前上下文有關的信息，信息負載量應該適中，使用一致的界面

22、風格，如顏色；保持顯示內容的上下相關性，提供有意義的出錯信息；合理利用屏幕的可用空間，避免凌亂的窗口堆砌，保持信息顯示與數據輸入的一致性，具備自動數據校驗和檢查功能（組合檢查、范圍檢查、完整性檢查）。 軟件基本功能設計應滿足交易商及操作權限管理，信息檢索查詢，現貨交易，資金及實貨賬戶管理，數據統計與技術分析，數據存儲和備份，綜合信息輸出打印等的充分需求。 22 / 53 （1）交易員界面是專供會員通過Internet網進行交易活動的服務系統。全中文界面，多窗口顯示，采用菜單將各種交易活動（掛牌、撤牌）及查詢功能完整地組織在一起。所有的內部處理（包括委托指令買賣對盤）和交易結果及行情數值均在交易

23、主機中，而交易員界面只提供訪問交易主機的手段。 （2）交易員必須通過他的用戶工作站向交易系統登錄。功能權限和在用戶工作站上顯示的市場行情，取決于此時通過此臺用戶工作站登錄的交易員用戶標識。 （3）交易員界面為交易員完成以下四大類基本功能： a) 交易功能：包括輸入掛牌指令、撤牌指令、交易恰談能及輸入、撤消、執行預備指令。 b) 交易查詢：可以查詢成交結果，未成交情況，買賣數量，訂貨情況及當日成交數量。 c) 結算報表查詢和提取 d) 其它功能：包括更改口令，查詢交易商信息，查詢商品信息等。 e) 資金管理 23 / 53 第二章、電子交易系統技術架構(略) 2.1技術方案整體性 24 / 53

24、 第三章、電子交易系統安全標準和特點 3.1電子交易系統的安全需求 1對賣方業務員而言，安全威脅主要有： 1) 中央系統安全性被破壞：入侵者假冒成合法用戶來改變用戶數據(如商品送達地方)、解除用戶訂單或生成虛假訂單。 2) 競爭者檢索商品遞送狀況：惡意競爭者以他人的名義來訂購商品，從而了解有關商品的遞送狀況及貨物和庫存情況。 3) 客戶資料被競爭者獲悉。 4) 被他人假冒而損害公司的信譽：不誠實的人建立與銷售者服務器名字相同的另一個WWW服務器來假冒銷售者。 5) 消費者提交訂單后不付款。 6) 虛假訂單。 7) 獲取他人的機密數據：比如，某人想要了解另一人在銷售商處的信譽時，他以另一人的名字

25、向銷售商訂購昂貴的商品，然后觀察銷售商的行動。假如銷售商認可該定單，則說明被觀察的信譽高，否則，則說明被觀察者的信譽不高。 2對買方業務員，安全威脅主要有： 1) 虛假訂單：一個假冒者可能會以客戶的名字來訂購商品，而且有可能收到商品，而此時客戶卻被要求付款或返還商品。 2) 付款后不能收到商品：在要求客戶付款后，銷售商中的內部人員不將定單和錢轉發給執行部門，因而使客戶不能收到商品。 3) 機密性喪失：客戶可能將秘密的個人數據或自己的身份數據(如PIN、口令等)發送給冒充銷售商的機構，這些信息也可能會在傳遞過程中被竊聽。 25 / 53 4) 拒絕服務：攻擊者可能向銷售商的服務器發送大量的虛假定

26、單來窮竭它的資源，從而使合法用戶不能得到正常的服務。 3.對于銀行有可能出現融資的質押物清單被惡意修改，導致質押物監管失效。 4.對于交易中心，可能出現交易會員的二級資金帳戶的資金余額和出入金以及交易明細被惡意修改。 5.對于監管交易的協議倉儲，可能出現資源的貨權和提貨憑證被惡意修改，提貨明細紊亂。 6以上等等都會對交易中心的日常運行和會員合法權益造成損害，甚至還會造成交易中心主機系統當機等惡性事件，給交易中心造成不可估量的損失。 3.2技術安全 技術安全管理包括身份認證、授權、審計、加密和數字簽名等服務以及網絡環境的安全管理。 3.2.1.安全交易標準 (1)安全超文本傳輸協議（S-HTTP

27、）：依靠密鑰對的加密，保障Web站點間的交易信息傳輸的安全性。 (2)安全套接層協議（SSL協議：SecureSocketLayer)是由網景（Netscape）公司推出的一種安全通信協議，是對計算機之間整個會話進行加密的協議，提供了加密、認證服務和報文完整性。它能夠對信用卡和個人信息提供較強的保護。SSL被用于NetscapeCommunicator和MicrosoftIE瀏覽器，用以完成需要的安全交易操作。在SSL中，采用了公開密鑰和私有密鑰兩種加密方法。 26 / 53 ?認證用戶和服務器,使得它們能夠確信數據將被發送到確的客戶機和服務器上； ?加密數據以隱藏被傳送的數據； ?維護數據的

28、完整性,確保數據在傳輸過程中不被改變。 3.2.2數字時間 交易文件中，時間是十分重要的信息。在書面合同中，文件簽署的日期和簽名一樣均是十分重要的防止文件被偽造和篡改的關鍵性內容。 在電子交易中，同樣需對交易文件的日期和時間信息采取安全措施，而數字時間戳服務(DTS：digitaltime-stampservice)就能提供電子文件發表時間的安全保護。 數字時間戳服務（DTS）是網上安全服務項目，由專門的機構提供。時間戳（time-stamp）是一個經加密后形成的憑證文檔，它包括三個部分： 1）需加時間戳的文件的摘要(digest)， 2）DTS收到文件的日期和時間， 3）DTS的數字簽名。

29、時間戳產生的過程為：用戶首先將需要加時間戳的文件用HASH編碼加密形成摘要，然后將該摘要發送到DTS，DTS在加入了收到文件摘要的日期和時間信息后再對該文件加密（數字簽名），然后送回用戶。由Bellcore創造的DTS采用如下的過程：加密時將摘要信息歸并到二叉樹的數據結構；再將二叉樹的根值發表在報紙上，這樣更有27 / 53 效地為文件發表時間提供了佐證。 3.2.3數字憑證 數字憑證又稱為數字證書，是用電子手段來證實一個用戶的身份和對網絡資源的訪問的權限。在網上的電子交易中，如雙方出示了各自的數字憑證，并用它來進行交易操作，那么雙方都可不必為對方身份的真偽擔心。數字憑證可用于電子郵件、電子商

30、務、群件、電子基金轉移等各種用途。 數字憑證的內部格式是由CCITTX.509國際標準所規定的，它包含了以下幾點： (1)憑證擁有者的姓(2)憑證擁有者的公共密(3)公共密鑰的有效(4)頒發數字憑證的單位， (5)數字憑證的序列號（Serialnumber(6)頒發數字憑證單位的數字簽名。 數字憑證有兩種類型： (1)個人憑證(PersonalDigitalID)：它僅僅為某一個用戶提供憑證，以幫助其個人在網上進行安全交易操作。個人身份的數字憑證通常是安裝在客戶端的瀏覽器內的。并通過安全的電子郵件（S/MIME）來進行交易操作。 (2)企業（服務器）憑證（ServerID）：它通常為網上的某個

31、Web服務器提供憑證，擁有Web服務器的企業就可以用具有憑證的萬維網站點(WebSite)來進行安全電子交易。有憑證的Web服務器會自動地將其與客戶端Web瀏覽器通信的信息加密。 28 / 53 3.2.4身份認證 身份認證體系是平臺安全保障體系中的重要一環。它通過對用戶的鑒別，確定了用戶訪問網絡資源和信息資源的訪問控制級別與訪問控制方式。 傳統的身份認證多采用靜態的用戶名/口令身份認證機制，客戶端發起認證請求，由服務器端進行認證并響應認證結果。用戶名/口令這種身份認證機制的優點是使用簡單方便，但是由于沒有全面的安全性方面的考慮，所以這種機制存在諸多的安全隱患。 絕大多數的用戶名/口令認證機制

32、在身份認證協議中交換的認證消息為明文方式，未進行數據加密算法或者散列算法的處理，這樣導致的直接結果是用戶名和口令這些敏感數據容易被截獲和泄露。 一些身份認證系統已經對這種安全性弱點做出了改進，它們在交換的認證消息中，使用用戶名/口令的散列運算結果來代替原來的用戶名/口令明文，由于散列算法的單向性特點，攻擊者即使截獲了口令的散列運算結果，也無法從中恢復出口令的明文內容，從而在一定程度上保護了口令的安全性。 即使對口令進行散列處理，也無法避免一種被稱為“重播攻擊”的惡意攻擊方式。重播攻擊是指攻擊者并不試圖從截獲的數據中恢復出有價值的信息，而是直接將截獲的數據重發，以達到非法的目的。例如，由于口令是

33、靜態的，除非用戶修改口令，不然口令是維持不變的，這樣進行散列運算處理后得到的結果也是不變的，攻擊者截獲了用戶名和口令的散列結果后，直接使用這些數據發起身份認證請求，認證服務器通常會認為這是一個合法的認證請求，并且由于用戶名和29 / 53 口令的散列結果都是合法的，攻擊者就能成功地通過身份認證，從而非法地獲得系統的訪問權限。針對靜態口令存在的各種安全漏洞，我們為平臺設計了動態口令解決方案，依據動態口令機制實現動態身份認證系統，徹底解決了網絡環境中的用戶身份認證問題。 3.2.5 CA認證方案 除了上節中推薦的動態密碼身份鑒定方案以外，本方案中還使用了PKI/PMI的安全體系，通過PKI架構提供

34、全網統一的信任服務體系，提供用戶身份認證功能。 利用PKI技術，系統通過對客戶端與服務器進行雙重身份認證，確保系統的登錄者是合法用戶、用戶所登錄的系統是合法系統。 （網站安全認證結構圖） 上圖中通過利用CA認證系統，實現了以下功能： a) 通過為Portal的WEB服務器配置服務器證書，為網站提供安全、可靠的身份驗證，用戶通過驗證網站的服務器證書來判斷網站的真實性； b) 通過配置服務器證書將在客戶端和服務器之間建立SSL安全通道，確保客戶端和服務器之間數據傳輸的安全； c) 通過服務器啟用雙向驗證的連接，要求客戶端提供用戶證書，來判斷用戶的真實身份。 30 / 53 d) 在案件處理或公文流

35、轉過程中，通過使用數字簽名，保證信息傳輸的機密性、完整性和抗抵賴性。 31 / 53 第四章、規范高效的本地化項目實施和培訓 我公司承諾成立專門項目組，負責系統開發、實施和培訓。 實施模式采用項目經理負責制，由專業的技術實施顧問團隊組成，并要求客戶方成立相應項目團隊，共同組成項目實施組，以保證項目順利進行。同時幫助企業培養內部咨詢、技術維護隊伍、以實現管理的持續改進。項目管理模式依托ISO9001：2000和CMMIML3項目管理規范，嚴格項目實施過程和控制管理。 實施過程分為：管理咨詢、需求規劃、系統設計、系統編制、系統部署、系統切換、運營跟蹤、持續支持等八個階段。實施過程控制包括項目實施計

36、劃控制、進度跟蹤、溝通機制、需求變更控制機制和項目實施檔案管理，保證項目實施質量和風險控制。 4.1 項目進度計劃 工作日歷日 工作內容 項目組工作 客戶項目組工作 交易系統系統需求調研 成熟演典型案例分總結業務模式和流程 提出系統要求和業務模式 需求報告和確認 整理報告，提供需求報告 確認業務需求 系統分析 系統分析和設計成員，提供系統分析 確認系統分析報 告，準備銀行、CA 等外系統接口工作 的聯系工作 系統編碼和測開發組軟件開發； 進行服務器和網絡 32 / 53銀行C系統接口開和調硬件環境建設工系統驗開發組提供軟件系統和統測試報并安裝測版軟件系統；對系統驗成事進行系統整體培訓及時修改系

37、統錯誤和系功驗證軟件功能和軟件系統質量發現問題及時向項目組報告達及時糾錯的目系統正式部安裝正式軟件系檢查軟件和網指導進行系統數據設置系統初始數據設置權限分系統培對系統驗證成員進行進步系統功能整體培訓；供系統操作手冊和系統常維護手冊進一步學習系統操作和系統護技提供持續護工向用戶提供系統紹、推廣和模擬系統保駕護保證系統維積累模擬運行經驗準備大規推廣工 注：本公司本項目構成人員合理安排時間，保證在項目承諾日歷日內完成項目。 4.2項目成功保障 4.2.1先進的技術 跨平臺、多數據庫支持、后臺數據庫支持Oracle、Sybase、SQLServer等各類大型數據庫。采用J2EE體系結構，支持C/S模式

38、和B/S三層結構。采用類庫、中間件組件、插件技術，增加了程序的可重用、穩定性和可擴展性。充分利用數據庫分布式計算技術，大大提33 / 53 高了系統運行效率。采用適用于網絡技術的編程語言（XML），是供需鏈管理系統得以與電子商務的無縫集成。 34 / 53 全面的解決方案 在金屬貿易、塑料、緊固件等電子交易、倉儲、加工、運輸及生產資料制造行業深入研究，總結優秀的經營和管理特色，探索行業市場發展趨勢和將來格局預測，幫助企業規避風險，洞悉商業先機，如今在生產資料金屬行業整個產業鏈的信息化當中都有了極其成熟的生產資料板塊十大產品系列，實現了較為全面的信息化解決方案： 1)、現貨電子交易

39、管理系2)、生產資料物流企業ERP管理系3)、生產資料倉儲企業管理系4)、運輸配送企業管理系5)、生產資料制造企業管理系6)、CRM客戶關7)、BI商務智能決策系統。 豐富的實施經驗 擁有交易市場、生產資料現貨電子交易、進出口、代理、分銷、倉儲、配送等行業主要企業用戶，由此積累了豐富的實施經驗。 強大的研發隊伍 企業重視人才的引進、培養，公司擁有一支以博士、碩士為骨干的高素質專業人才隊伍，公司研發力量雄厚。 35 / 53 開放的協同系統 同Microsoft、SAP等國際軟件供應商一直保持良好的合作關系，是Microsoft公司在中國的生產資料物流行

40、業戰略合作伙伴；產品擁有同倉庫數碼掃描器、地磅電子稱等系統的EDI接口，并不斷地保持系統協同升級；產品擁有同中國生產資料業界的著名網站的無縫銜接程序，并不斷地保持系統協同升級；擁有眾多生產資料行業客戶，客戶之間構筑了強大的生產資料物流商務協同平臺，我們不斷余此深入工作，給客戶提供更多更新的協同運營思路和手段。 4.2.2項目管理原則 一套健全有效的組織和領導機構是貫徹項目意圖和順利進行工程實施的重要條件和保證。在項目組織機構中，需要明確項目組成人員、每一個成員的職責，以及各相關機構之間的接口關系，保證在項目實施過程中，人在其位、各施其責，確保項目有序地執行。 36 / 53 建立工作環境及制度 ?工作環境 ?項目組在客戶現場工作的?項目組在客戶現場生活的?工作制度 ?項目組在客戶現場工作的?項目組在客戶現場生活的?受控文件 ?項目組工作、生活環境及制度（*） 人員組織結構及配備計劃 ?明確雙方參與人負責人/聯?建立合理的項目組織 ?項目領導?項目實施?項目應用?明確各成員的職責 ?明確各成員的職責和工作?確定項目?確定報告?受控文件 37 / 53 角色和職責 1、項目督導主要職責： ?審核項