某采购招标网解决方案 |
| 随着网络技术的发展以及网络应用的普及，越来越多的传统工作被移植到互联网上进行，过去的信件邮递渐渐被电子邮件所取代，越来越多的电子商务、电子政务系统的建设将人们的日常工作和生活与互联网紧密地结合起来。网络以、凭借其方便快捷、运行成本低的优势，逐渐渗透到社会生活的各个领域，使信息化、电子化成为整个社会的广泛共识。 招投标是一个复杂的过程，传统的招投标方式要耗费大量的人力和物力，而且由于地域上的限制，使得招投标的信息传播范围狭窄，限制了招标方的选择空间，也制约了投标方业务发展。互联网的开放性和覆盖面的广泛性可以弥补传统的招投标方式的不足。采购招标网正是在这种环境下应运而生的。它以ASP的模式为招标方和投标方提供招投标的信息平台，使招投标过程在互联网上实现，凭借互联网的运行成本低、覆盖面广的优势，将传统的招投标过程转变为一个简单方便快捷 的过程，并通过无处不在的网络将招投标信息传送到各行各业，力争为招标方和投标方带来最大的利益。 网络在带来便利的同时，也带来了不安全因素。网络的开放性，使人们可以自由自在地与网络的另一端进行交流，可是另一端是否是自己真正想交流的对象成为一种新的担忧。信息电子化、无纸办公使将文职人员从繁重的文案抄写工作中解放出来，也彻底转变了“汗牛充栋”式的信息存储模式，但是网络上的电子信息是否安全直接影响到企业、国家乃至整个社会的利益。世界上每年由于网络的安全问题造成的损失是一个非常巨大的数字，因此，信息系统的安全与网络安全日益被人们所重视，特别是在证券、银行等领域，安全问题已经成为业务系统所必须考虑的部分，各行各业在网络安全上的投入也在逐年增加，由此可见网络安全的重视程度。 采购招标网在设计之初就将安全提高到与业务相同的高度来对待，因为在网上电子商务中，如果不解决身份认证和信息加密等安全问题，就不可能使电子商务真正的发展。 |
| 需求分析 |
| 网上招标投标系统是一个以应用服务供应商（ASP）模式，提供招标投标服务的电子商务平台。该平台以处理招标投标业务为核心，亦融合了商务运作、信息交流和业务宣传推广等多元化的综合电子商务功能。该平台的建立和实施，将为全国乃至全球的专业化企业，提供关于招标投标全业务流程处理、信息发布和咨询等B2B电子商务服务，亦将为全国的招标投标主管单位和机构，提供完善和优质的管理平台服务。 |
| 功能需求 |
网上招投标系统所要具有的功能如下： 招标系统管理功能 招标代理机构业务管理员 招标代理机构操作员 供应商 评标专家 几个网上实现的重要环节 |
| 系统需求 |
| 网上招投标系统要达到20,000的用户容量，系统的稳定性和效率必须有保证。重要数据必须采取容错措施。系统平台必须具有友好的用户界面，用户的操作必须简单方便。平台运行过程中不需要实地技术支持（即用户的操作都在ASP平台上完成，用户不需要安装任何客户端软件）。 |
| 业务需求 |
| 网上招投标系统首先要实现传统招投标的所有过程，包括招投标信息的发布、各种表格的填写与提交、各级领导的审批、招投标文件的上载和下载、专家评标以及网上支付等功能，要使传统的招投标过程有一个清晰流畅的网络流程。 考虑到不同公司的招投标过程和步骤有所不同，招投标业务平台应该允许各招标公司或招标代理公司根据自身需要灵活定制招标流程和步骤。招投标流程和步骤的执行状态必须有记录和提示。 招投标的各个环节必须能很好的衔接，所需要执行的流程必须及时通知相应的人员。 |
| 安全需求 |
| ·招投标业务的执行过程必须在安全的环境中进行，敏感数据的传输必须经过加密。 ·用户在登陆业务系统时必须通过有效的身份认证，身份认证手段必须是可靠的和不易攻击的。 ·业务系统要能根据用户的身份进行访问权限控制，防止信息泄露和非授权用户执行非法操作。 ·系统要有很好的安全策略来进行人员的管理，可以安全方便地实现人员的增加、删除等管理功能。 ·系统要有较高的可靠性，有保证数据完整性、可靠性的有效措施。 |
| 系统平台解决方案 |
在系统方面，采用简便易用的三层结构方式（即浏览器、Web服务器、后台数据库），用户操作完全使用浏览器的Web方式，操作系统选用SUN公司solaris8，Web系统平台采用Apache+SSL与Weblogic相结合的方式，Web应用的开发采用JSP。用户数据以及业务数据的存储采用Oracle数据库。
|
| 1．角色划分 |
| 在招投标的业务系统中，将各种用户分为多种角色，不同角色赋予不同的权限和功能，整个招投标过程就是各种角色填写各种表格，执行相关流程的过程。整个系统中的角色及职能如下： ASP平台管理员 ·审核和添加招标代理机构的注册信息/审核和添加评标专家的注册信息 ·定制各招标代理的总体流程模板 招标代理综合管理员 专家 投标方 作为投标方，可以参加该项目的投标过程，成为投标方同时也要指定投标方的负责人，该负责人也可以增加其他的负责人共同完成投标工作。 |
| 2．流程制定和执行 |
| 在网上招投标系统中，招投标业务的处理就是各种角色对招投标流程的执行。每个招投标流程都是一个个表格填写、提交和审批过程，在某些流程中还包括文件的上载与下载。 招标流程是在建立招标项目时由招标代理方的综合管理员或者指定的项目经理制定的。在制定流程时，综合管理员或项目经理需要规划整个招标过程中需要哪些步骤，每一步骤需要填写哪些表格，每个表格的内容有哪些，这些表格需要由谁审批。在数据库中会记录每个招标项目的执行情况，并将流程的执行过程记录下来，以备将来的检查与回顾。 在招标流程确定下来之后，将由指定的项目经理负责项目的执行。业务系统在项目经理登陆时，到数据库中搜索由该项目经理负责的项目，并将项目的当前状态显示出来，项目经理可按照流程顺序执行招标过程的每一步。在招标项目执行过程中，项目经理按照事先制定的流程，填写各种表格，如果表格需要某些审核人员批准，则系统会向审核人员发送邮件并将该任务加入到该审核人员“目前需做的工作”中去，当审核人员登陆系统时，系统会将这一任务显示给审核人员。 业务系统主要包括下列流程。 ⑴ 定制平台基本流程 ⑵ 会员管理流程 ⑶ 代理机构平台会员管理流程 ⑷ 自定义招标流程 ⑸ 招投标基本流程 ⑹ 招投标各阶段详细流程，又包括以下： ·发布招标预告（部分招投标流程没有该步骤） ·发布资格预审公告（部分招投标流程没有该步骤） ·资格预审（部分招投标流程没有该步骤） ·发布招标公告 ·标前会议流程 ·普通收费会员购买标书( 参与投标的会员在资格预审后已发放下载标书证书) ·在线投标 ( 有截止日期 ) ·现场开标 ·在线评标 ·中标公告 ·其他流程 ·我关注的项目 |
| 3．数据存储 |
| 在网上招投标系统中，所有数据都存储在Oracle数据库中。用户提交请求后，由Web服务器调用JDBC标准数据库接口与数据库通信，进行相应操作。 业务系统与EverLink CA共用用户数据库。 |
| 4．网上支付 |
| 在招投标过程中，系统提供网上支付功能，投标公司通过网上支付进行标书购买、保证金交纳等操作。采购招标网的网上支付通过与建设银行的相关接口加以实现。 |
| 数字证书方案 |
| 在招投标系统中，彻底抛弃了用户名+密码的身份验证方式，引入数字证书概念利用PKI技术实现身份认证和传输加密，进而实现了数据完整性的要求。数字证书解决了数据传输的私密性、完整性、不可抵赖性问题。 数字证书的特性为电子商务、网上炒股等应用提供了很多便利。数字证书+SSL协议可以很好地实现信息传输的加密，同时SSL协议本身的MAC校验机制在一定程度上保证了数据的完整性。如果利用数字证书进行数字签名，那么数字证书的持有者在网络上的操作具有不可抵赖性，而且保证了这种操作的完整性和不可假冒性，这种便利不仅保证了操作的可靠性，而且为事后追踪、明确责任和解决纠纷提供了依据。世界上已经有很多国家制定了数字签名法，为数字签名的有效性提供了法律依据。 为配合网上招投标系统的部署和实施，利用北京安软科技有限公司的EverLink CA产品建立了自己的CA中心，为每一个用户签发一张个人数字证书，用于对用户进行身份认证。EverLink CA系统与业务系统共用一个用户数据库，数字证书中包含了用户姓名、所属公司以及用户职位等信息，这些信息将作为用户登陆系统后身份验证和权限控制的依据。 当用户采用HTTPS协议访问招投标系统时，安全Web服务器会要求用户所使用的浏览器提供自身证书，安全Web服务器在验证完证书合法性之后将把证书中的有效信息传递给JSP程序，每个JSP程序都调用一个身份验证模块，该模块从Web服务器处取得用户身份信息，JSP程序取得用户信息后，根据用户的姓名、所属公司以及职位信息，赋予该用户相应的权限，允许其从事相应的操作。 |
| 安全Web系统解决方案 |
| 安全Web系统是一种使用HTTPS协议的Web系统。HTTPS协议是SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议。网上招投标系统中的Web服务器采用安全Web系统，可以在不增加系统开发工作量的情况下利用数字证书实现用户的身份认证和信息传输的加密。 使用了安全Web系统之后，Web应用被HTTPS协议有效地保护起来，解决了用户与业务平台之间的身份认证和加密传输问题。 首先，HTTPS协议将Web应用与非授权的访问隔离开来。HTTPS协议要求访问者必须有特定CA签发的证书才能访问Web应用，这就将开放的网络上的那些没有数字证书的未授权的访问请求屏蔽掉，在很大程度上提高了Web应用的安全性。 其次，HTTPS协议可以建立基于数字证书验证的网上身份验证机制。HTTPS协议的基础是SSL协议，因此它继承了SSL可通过数字证书验证身份的特性。这弥补了传统的用户名+口令的身份验证方式的不足，将系统身份验证的安全级别提升到一个新的档次。 第三，HTTPS协议实现了用户与业务系统之间信息传输的加密和完整性校验。当用户通过HTTPS协议访问业务系统时，数据的传输是通过SSL协议来进行的，因此在网络所传递的信息都是经过加密的，防止了网络窃听，杜绝了数据在传输过程中的泄露。SSL本身有数据传输的完整性校验，每次发送数据不仅发送加密的数据，也发送校验码MAC，有效防止了数据在传递过程中被篡改。 网上招投标系统中的采用Apache+SSL作为前端Web接入服务器。Apache是一种应用广泛的免费的Web系统，它支持HTTPS协议。将Apache服务器配置成以HTTPS协议访问而且需要浏览器提供证书鉴别身份的方式，Web服务器只信任某一CA签发的证书。用户利用浏览器通过HTTPS协议访问Web服务器，在SSL握手过程中，Web服务器会要求浏览器提交用户证书，用户选择要使用的数字证书发送给Web服务器，Web服务器收到用户证书后对证书进行验证，判断该证书是否可信任，从而决定用户是否是授权用户，如果是授权用户，才允许访问Web服务器。这样不仅将没有数字证书的非交易用户的访问过滤掉，而且保证了用户的浏览器到Web服务器之间的数据传输是加密的。 为了将从数字证书中得到的用户信息传递给Weblogic，开发了Apache的安全插件，负责将用户信息加入到HTTP协议的Header中，WebLogic可以从HTTP请求的Header中取得这些信息用于身份验证和权限控制。 考虑到采用HTTPS协议会降低系统的性能，因此为Apache安装了SSL加速卡，使系统性能有了很大的提高。 |
