医学检验专业教学资源库安全防御机制解析*

吴力挽，杨 翀，晏 嵩

（广州卫生职业技术学院，广东 广州 510450）

医学检验专业教学资源库是保障线上教学的重要工具。线上教学需要对资源库开放外网出口，使资源库的访问不受时间和地点限制，更加方便师生开展网络教学。在线网络访问同时使得资源库暴露在外网，具有遭受多种网络攻击的风险。本文针对目前对医学检验专业教学资源库网络攻击的常见手段，采用用户验证、管理会话、数据加密、过滤用户输入、数据访问等网络安全防御技术，保障了医学检验专业教学资源库网络访问安全，进一步增强系统的安全性和可靠性。

1 用户验证

系统登陆需要验证用户的身份，一旦证明身份有效，则授权用户访问资源库系统中不同的功能模块。用户验证主要包括构建登录表单和使用表单验证。建议采用web 表单方法或Http Post 方法，不要使用Http Get 方法。表单验证允许在web.config 文件中配置用户名和密码，这些密码没有经过MD5 或SHA-1 进行加密，一旦服务器被提权，配置文件即可被下载。

1.1 构建登录表单

在登录表单上，使用Http Post 方法来传送用户证书，必须对用户表单输入进行验证，以防止SQL 注入和跨站脚本的攻击。不依赖隐藏的表单字段来传送敏感数据。针对失败的用户名或失败的密码，使用相同的错误消息，不要在错误消息中显示其他任何服务器信息。

1.2 使用表单验证

不在资源库系统部署上使用passwordFormat=“Clear”，正确使用web.config 配置文件，不在配置文件中传输明文数据，要用MD5 进行加密处理。……