基于Intraw eb开发安全型医院应用系统研究

2013-09-01白亚兰王定乾

卫生职业教育 2013年12期

白亚兰，王定乾

（甘肃省信息中心，甘肃兰州 730000）

近两年，信息化建设逐步走上了正确轨道，网络建设是信息化建设的物理平台，应用系统开发是信息化建设的应用平台，而应用系统是信息化建设的着陆点。物理平台既要考虑网络畅通问题，也要考虑信息安全问题，网络畅通和信息安全是信息类项目的矛盾统一体，应用平台不能仅考虑软件功能，更要考虑信息安全，因此，研究安全型应用系统开发技术是非常必要的。

目前医疗机构的信息化建设在现代技术的推进下正在积极开展，从社区医院到“三甲”医院，信息技术应用处处可见，而大多数应用为了安全起见都还局限在局域网环境和基于C/S架构进行开发，因此，离开了医院，很多资源就无法利用。造成这种现象的主要原因是应用系统的安全问题，所以，研究安全型医院应用系统非常必要和迫切。

1 基于Standalone研究开发安全型应用系统

目前，B/S应用系统采用“网站”思想开发，每个页面对应1～2个文件，页面之间关系比较松散，缺乏应用系统的调度功能，高级用户很容易通过分析页面文件窃取系统数据，使得系统的安全性无法保证。

采用Standalone模式，用系统的概念开发B/S应用系统，使所有页面被集成到一个独立的可执行文件中，在发布目录下只放置这个EXE文件，即使内部人员将EXE文件复制出去也无法分析数据库的连接方法，从而较好地保证了项目数据的安全性和应用的安全性。

2 数据库连接和程序分离

目前，数据库连接方法有两种，一种是集成在程序中，另一种是混杂在参数配置文件中。前者的特点是安全性好，灵活性差，任何微小变动都必须修改程序，然后重新部署；后者的特点是灵活性较好，安全性差，配置文件（如.net使用的Web.config文件）中包含的参数特别多，很容易造成差错。两种方法都不是非常好。在综合考虑安全性、灵活性后，我们采用了一种新的方法，其核心思路是将数据库连接参数单独分离成一个文件，并将该文件进行加密，只有应用系统能识别配置文件的内容。

（1）在应用目录中建立一个yygl.ini文本文件，内容主要包括数据库服务器的IP地址、数据库名称、用户账号、用户密码，详细格式如下。

（2）在应用系统中添加一个datamodule数据窗口，在窗口中放置一个adoconnection部件。

（3）在DataModule的Oncreate事件中加入以下代码，实现数据库的自动连接。

3 数据库连接参数加密

对数据库服务器IP地址、数据库名称、用户名、密码进行加密，增加系统的安全性。其方法是：将每一位字符的ASCII码加上一个已知数据，使其变成乱码即可。

加密后的参数文件如下所示：

4 系统部署

Intraweb有两种部署方式，一种是直接运行.exe程序的standardalone模式，另一种是基于IIS环境的.dll模式。前者在.exe程序中封装了浏览器，自成体系，但运行速度比较慢，比较适合在开发调试阶段使用；后者需要借助网络操作系统（如Windows Server 2008）的应用服务器（如IIS）来运行，速度比较快，当软件完善成熟后，需要及时部署在这种模式下。两者不是独立的，而是相辅相成的。由于后者部署的难度较大，要求较多，所以在模式开发阶段，就必须做好准备，不然需要改写的地方就会特别多。