大型票务系统自身特点所引入的安全性问题

讨论请移步至：http://www.zhiliaotech.com/ideajam/idea/detail/317

相关文章：

《今天你买到票了吗？——从铁道部12306.cn网站漫谈电子商务网站的“海量事务高速处理”系统》

不能简单套用“实物电商系统”对“大型票务系统”做需求分析

“大型票务系统”和“实物电商系统”在不能提供商品（服务）时给消费者带来的影响有巨大差异

“大型票务系统”和“实物电商系统”的系统边界之间的区别与联系

“大型票务系统”和“实物电商系统”按系统边界分析各种业务形式

“大型票务系统”和“实物电商系统”在支付方面的区别和联系

“大型票务系统”和“实物电商系统”在恶意订单方面的区别与联系

大型票务系统中用户名和密码的安全性问题

“大型票务系统”和“实物电商系统”在“库存”计算方面的巨大差异

“大型票务系统”和“实物电商系统”在接入管理方面的差异

“大型票务系统”和“实物电商系统”在和企业其他部门关系的联系和误区

“大型票务系统”和“实物电商系统”和企业其他部门的依赖关系对项目管理的影响

“大型票务系统”和“实物电商系统”的数据库选型

“大型票务系统”中对机器恶意访问的处理——验证码

“大型票务系统”中地恶意访问的处理——“接入管理”部分

一，大型票务系统中没有UGC（用户创造内容），因此这方面的安全性算不上重点，但是应分离票务系统和其他的UGC功能，例如旅客留言功能。

二，大型票务系统不会是WEB服务器直接访问数据库，而是WEB服务器访问应用服务器，应用服务器再访问数据库，因此SQL注入的风险不大。但是应用服务器应对WEB服务器的请示进行充分的较验，避免通过WEB服务器攻击应用服务器。

三，大型票务系统中不同角色的权限控制不仅在应用中控制，同时在部署上也进行控制，例如代售点的电脑访问票务系统，不仅要用户名和密码验证，进一步应该在设备上加以控制，也就是只有这台电脑能访问。

四，大型票务系统中分成票务管理和票务销售之后，要有相应的审计机制。比如说卖了一张票后，还要进一步较验票务销售中的票价是否符合票务管理中的票价，避免票务销售部分出现缺陷或者被攻击导致票价和支付不一致。

联系作者：QQ 443089607 微信：huzhenghui
产品经理请加QQ群 189763636 群07期Axure7PM交互