免费智能真题库 > 历年试卷 > 软件设计师 > 2020年下半年 软件设计师 下午试卷 案例
  第3题      
  知识点：   功能描述   面向对象方法   身份验证   系统管理   信息管理   信息管理系统

 
某房产公司，欲开发一个房产信息管理系统，其主要功能描述如下:
1.公司销售的房产，分为住宅和公寓两类。针对房产，系统存储房产证明，地址，建造年份，建造面积，销售报价，房产照片以及销售状态(在售，售出，停售)等信息。对于公寓，还需存储是否有等信息。
2. 公司雇佣了多名房产经纪，负责销售房产，系统中需要存储房产经纪的基本信息，包括：姓名，家庭住址，联系电话，房产的起止时间等等。一套房产同一时间仅由一名房产经纪负责销售，系统中记录房产经纪负责房产的起始时间和终止时间。
3.系统用户包括房产经纪和系统管理员，用户需经过系统身份验证之后，才能登录系统。房产经纪登录系统之后，可以录入负责销售的房产信息。但需要经过系统管理员的审批授权。
4.系统管理员可以从系统中导出所有房产的信息列表，系统管理员定期将信息和销售的房产，进行归纳，若公司确定不再销售某套房产，系统管理员将房产信息从系统中删除。
现采用面向对象方法开发该系统得到如图3-1所示的图例和3- 2所示的图。

 
问题：3.1   （1）根据证明中描述，分别给图3-1中A1到A2所对应的名称以及U1到U3所对应的用例名称。
（2）根据证明中描述，分别给图3-1中(a)和(b)用例之间的关系。
 
问题：3.2   根据证明中描述，分别给图3-2中C1~C6所对应的类名称。
 
问题：3.3   图3-2中的类AgentList是一个关联类，用来进一步表达类C1和C6之间的关系。根据说明中的描述，给出类AgentList 的主要属性。
 
 
 

   知识点讲解    
   · 功能描述    · 面向对象方法    · 身份验证    · 系统管理    · 信息管理    · 信息管理系统
 
       功能描述
        与PC端一样，移动端登录是商务活动不可或缺的功能。用户应用社交、电商、金融等App必须进行注册登录，如微信、QQ、支付宝、淘宝、美团等。移动端用户账号登录注册主要有几种形式：第三方账号、手机号、邮箱。
        （1）第三方账号（QQ、微信、微博等）。使用第三方账号优势是用户操作简单，方便用户快速的体验产品；其缺点是通过第三方平台获取到的用户信息太少，手机没有安装对应App时，通过网页进行登录认证需要输入账号密码，复杂度很高。移动端第三方登录模块的基本功能如下图所示。
        
        移动第三方登录模块基本流程图
        （2）手机号注册登录。通过手机获取验证码（短信），验证后设置密码进行注册；登录时使用手机号和密码登录。获取验证码的优点是可以很大程度上防止恶意注册，可以导入通讯录关系而且用户不需要记忆成本；其缺点是短信验证码需要成本，用户隐私可能泄露，手机号丢失后找回复杂。移动端手机号注册登录模块的基本功能如下图所示。
        
        移动手机号注册登录模块基本流程图
        （3）邮箱登录注册。邮箱登录验证成本低，对用户来说隐私性更好，但是移动端邮箱输入复杂，验证不方便，普及率不高普及率高。
 
       面向对象方法
        面向对象方法是当前的主流开发方法，拥有大量不同的方法，主要包括OMT（Object Model Technology，对象建模技术）方法、Coad/Yourdon方法、OOSE（Object-Oriented Software Engineering，面向对象的软件工程）及Booch方法等，而OMT、OOSE及Booch最后统一成为UML（United Model Language，统一建模语言）。
               Coad/Yourdon方法
               Coad/Yourdon方法主要由面向对象的分析（Object-Oriented Analysis, OOA）和面向对象的设计（Object-Oriented Design, OOD）构成，特别强调OOA和OOD采用完全一致的概念和表示法，使分析和设计之间不需要表示法的转换。该方法的特点是表示简炼、易学，对于对象、结构、服务的认定较系统和完整，可操作性强。
               在Coda/Yourdon方法中，OOA的任务主要是建立问题域的分析模型。分析过程和构造OOA概念模型的顺序由5个层次组成，分别是类与对象层、属性层、服务层、结构层和主题层，它们表示分析的不同侧面。OOA需要经过5个步骤来完成整个分析工作，即标识对象类、标识结构与关联（包括继承、聚合、组合及实例化等）、划分主题、定义属性和定义服务。
               OOD中将继续贯穿OOA中的5个层次和5个活动，它由4个部分组成，分别是人机交互部件、问题域部件、任务管理部件和数据管理部件，其主要的活动就是这4个部件的设计工作。
               Booch方法
               Booch认为软件开发是一个螺旋上升的过程，每个周期包括4个步骤，分别是标识类和对象、确定类和对象的含义、标识关系、说明每个类的接口和实现。Booch方法的开发模型包括静态模型和动态模型，静态模型分为逻辑模型（类图、对象图）和物理模型（模块图、进程图），描述了系统的构成和结构。动态模型包括状态图和顺序图。该方法对每一步都做了详细的描述，描述手段丰富而灵活。
               Booch不仅建立了开发方法，还提出了设计人员的技术要求，以及不同开发阶段的人力资源配置。Booch方法的基本模型包括类图与对象图，主张在分析和设计中既使用类图，也使用对象图。
               OMT方法
               OMT作为一种软件工程方法学，支持整个软件生存周期，覆盖了问题构成分析、设计和实现等阶段。OMT方法使用了建模的思想，讨论如何建立一个实际的应用模型。从3个不同而又相关的角度建立了3类模型，分别是对象模型、动态模型和函数模型，OMT为每一个模型提供了图形表示。
               （1）对象模型。描述系统中对象的静态结构、对象之间的关系、属性和操作。它表示静态的、结构上的、系统的“数据”特征。主要用对象图来实现对象模型。
               （2）动态模型。描述与时间和操作顺序有关的系统特征，如激发事件、事件序列、确定事件先后关系的状态。它表示瞬时、行为上的和系统的“控制”特征。主要用状态图来实现动态模型。
               （3）函数模型。描述与值的变换有关的系统特征，包括功能、映射、约束和函数依赖。主要用数据流图来实现功能模型。
               在进行OMT建模时，通常包括4个活动，分别是分析、系统设计、对象设计和实现。
               （1）分析：建立可理解的现实世界模型。通常从问题陈述入手，通过与客户的不断交互及对现实世界背景知识的了解，对能够反映系统的3个本质特征（对象类及它们之间的关系，动态的控制流，受约束的数据的函数变换）进行分析，构造出现实世界的模型。
               （2）系统设计：确定整个系统的体系结构，形成求解问题和建立解答的高层策略。
               （3）对象设计：在分析的基础上，建立基于分析模型的设计模型，并考虑实现细节。其焦点是实现每个类的数据结构及所需的算法。
               （4）实现：将对象设计阶段开发的对象类及其关系转换为程序设计语言、数据库或硬件的实现。
               OOSE
               OOSE在OMT的基础上，对功能模型进行了补充，提出了用例（use case）的概念，最终取代了数据流图来进行需求分析和建立功能模型。
               OOSE方法采用5类模型来建立目标系统。
               （1）需求模型：获取用户的需求，识别对象，主要的描述手段有用例图、问题域对象模型及用户界面。
               （2）分析模型：定义系统的基本结构。将分析模型中的对象分别识别到分析模型中的实体对象、界面对象和控制对象三类对象中。每类对象都有自己的任务、目标并模拟系统的某个方面。实体对象模拟那些在系统中需要长期保存并加以处理的信息。实体对象由使用事件确定，通常与现实生活中的一些概念相符合。界面对象的任务是提供用户与系统之间的双向通信，在使用事件中所指定的所有功能都直接依赖于系统环境，它们都放在界面对象中。控制对象的典型作用是将另外一些对象组合形成一个事件。
               （3）设计模型：分析模型只注重系统的逻辑构造，而设计模型需要考虑具体的运行环境，即将分析模型中的对象定义为模块。
               （4）实现模型：用面向对象的语言来实现。
               （5）测试模型：测试的重要依据是需求模型和分析模型，测试的方法与9.8节所介绍的方法类似，而底层是对类（对象）的测试。测试模型实际上是一个测试报告。
               OOSE的开发活动主要分为3类，分别是分析、构造和测试。其中分析过程分为需求分析和健壮性分析两个子过程，分析活动分别产生需求模型和分析模型。构造活动包括设计和实现两个子过程，分别产生设计模型和实现模型。测试过程包括单元测试、集成测试和系统测试三个过程，共同产生测试模型。
               用例是OOSE中的重要概念，在开发各种模型时，它是贯穿OOSE活动的核心，描述了系统的需求及功能。用例实际上是描述系统用户（使用者、执行者）对于系统的使用情况，是从使用者的角度来确定系统的功能。因此，首先必须分析确定系统的使用者，然后进一步考虑使用者的主要任务、使用的方式、识别所使用的事件，即用例。
 
       身份验证
        检查应用程序验证调用者身份的方法，在何处使用身份验证，如何确保凭据在存储中或通过网络传递的安全。身份验证中的漏洞可能导致应用程序易受哄骗攻击、词典攻击、会话劫持等。下表重点列出了常见的身份验证漏洞。
        
        常见的身份验证漏洞
        测试中需要考虑下列问题，确定在应用程序进行身份验证的方法中的潜在漏洞。
        . 是否区分公共访问和受限访问。
        如果应用程序既有不要求身份验证的公共区域，也有要求身份验证的受限区域，检查站点设计区分二者的方法。必须为受限的页和资源使用单独的子文件夹，然后在IIS中将它们配置为要求SSL来确保安全。这种方法允许只在需要的地方使用SSL来确保敏感数据和身法验证cookie的安全性，从而避免了因在整个站点中使用SSL而造成的附加性能负担。
        . 是否明确服务账户要求。
        设计应明确连接不同资源（包括数据库、目录服务和其他类型的网络资源）的服务账户范围。设计中不能使用单个的、有高度特权的账户（有足够的权限连接多种不同类型的资源）。
        ①设计是否要求特权最少的账户。
        检查设计并准确标识各账户执行特定功能所需的特权，然后在任何情况下都使用特权最少的账户。
        ②应用程序是否要维护服务账户凭据。
        如果是，确保加密这些凭据，然后保存在受限的位置中。例如，保存在有受限访问控制列表（ACL）的注册表项。
        . 如何验证调用者身份。
        测试时考虑与调用者身份验证相关的下列事项。具体事项由设计中使用的身份验证类型决定。
        ①是否在网络中传递明文凭据。如果使用表单或基本身份验证（或使用Web服务并在SOAP头中传递凭据），确保使用SSL来保护传输中的凭据。
        ②是否实现自己的用户存储。如果是，检查用户凭据的存储位置和存储方式。一种常见错误是将明文或加密密码保存在用户存储中。实际上，必须保存密码的哈希值来进行身份验证。
        如果根据SQL Server用户存储验证凭据，密切注意用户名和密码的输入。检查是否存在恶意注入的SQL字符。
        ③是否使用表单身份验证。如果是，除使用SSL保护凭据外，还应使用SSL来保护身份验证cookie。此外，还要检查设计是否使用受限的会话生存期来抵御cookie重播攻击，并确保加密cookie。
        . 如何验证数据库的身份。
        如果应用程序要连接数据库，检查使用的身份验证机制、打算使用的账户（一个或多个），以及如何在数据库中授权应用程序。
        明确下列问题有助于对数据库身份验证进行评价。
        ①是否使用SQL身份验证。
        在理想情况下，设计使用Windows身份验证来连接SQL Server，因为这种方法本身更加安全。如果使用SQL身份验证，检查在网络中和数据库连接字符串中确保凭据安全的方法。
        如果网络基础结构不提供IPSec加密通道，确保在数据库中安装服务器证书来提供自动SQL凭据加密。此外，还要检验确保数据库连接字符串安全的方法，因为这些字符串中包含SQL账户的用户名和密码。
        ②是否使用进程账户。
        如果使用应用程序的进程账户并使用Windows身份验证连接SQL服务器，应在设计中使用特权最少的账户。本地ASP.NET账户便是为此提供的，尽管对于本地账户来说，用户需要在数据库服务器上创建一个相同的账户。
        如果打算使用域账户，首先确保它是特权最少的账户，然后打开相关的端口来确保所有相关防火墙都支持Windows身份验证。
        ③是否使用服务账户。
        如果设计要求使用多个身份来支持数据库中的高粒度授权，则需要检查保存账户凭据（在理想情况下，这些凭据使用数据保护API（DPAPI）加密并保存在安全注册表项中）的方法，以及使用服务身份的方法。
        此外，还要检查使用哪些进程通过该服务账户创建模拟的安全上下文。该操作不应由Microsoft Windows 2000中的ASP.NET应用程序进程来完成，因为它将强制提升进程账户的特权，并授予“作为操作系统的一部分”特权。这种情况必须尽量避免，它将大大增加风险。
        ④是否考虑使用匿名Internet用户身份。
        对于使用表单或Passport身份验证的应用程序而言，可为各个程序配置单独的匿名用户账户。然后，启用模拟并使用匿名身份来访问数据库。该方法适于对同一服务器的不同应用程序进行单独的授权和身份跟踪。
        ⑤是否使用原始用户身份。
        如果设计要求模拟原始调用者，必须考虑该方法是否能提供足够的伸缩性，因为连接池是无效的。另一种备选方法是，通过受信的查询参数在应用程序级流动原始调用者身份。
        ⑥如何保存数据库连接字符串。
        如果数据库连接字符串硬编码，或以明文形式保存在配置文件或COM+目录中，则很容易受到攻击。实际上，应加密它们，然后限制对加密数据的访问。
        . 是否强制使用强账户管理措施。
        如果应用程序使用Windows身份验证，Windows安全策略将强制使用强密码、受限登录和其他最佳账户管理策略。其他情况，则由应用程序层负责这些措施。测试要考虑与应用程序账户管理相关的下列问题。
        ①应用程序是否强制使用强密码。
        例如，ASP.NET Web页是否使用正则表达式来验证密码复杂性规则。
        ②是否限制失败登录的次数。
        这样做有助于对抗词典攻击。
        ③是否在故障发生后公开过多的信息。
        确保不显示类似“不正确的密码”这样的消息，因为它将告诉恶意用户：用户名是正确的。结果，恶意用户便可集中精力破解密码。
        ④是否强制定期更改密码。
        如果不强制定期更改密码，用户极有可能不更改自己的密码，结果风险更高。
        ⑤是否能在泄露发生时迅速禁用账户。
        如果账户泄露，是否能方便地禁用账户来防止攻击者继续使用账户。
        ⑥应用程序是否记录登录企图。
        记录失败的登录企图是检测攻击者试图侵入的有效方法。
 
       系统管理
        系统管理过程规定安全性和系统管理如何协同工作，以保护机构的系统。系统管理的过程是：软件升级；薄弱点扫描；策略检查；日志检查；定期监视。
        要及时安装操作系统和服务器软件的最新版本和修补程序。因为不断会有一些系统的漏洞被发现，通常软件厂商会发布新的版本或补丁程序以修补安全漏洞，保持使用的版本是最新的可以使安全的威胁最小。要进行必要的安全配置，应在系统配置中关闭存在安全隐患的、不需要的服务，比如：FTP、Telnet、finger、login、shell、BOOTP、TFTP等，这些协议都存在安全隐患，所以要尽量做到只开放必须使用的服务，关闭不经常用的协议及协议端口号。要加强登录过程的身份认证，设置复杂的、不易猜测的登录密码，严密保护账号密码并经常变更，防止非法用户轻易猜出密码，确保用户使用的合法性，限制未授权的用户对主机的访问。严格限制系统中关键文件的使用许可权限，加强用户登录身份认证，严格控制登录访问者的操作权限，将其完成的操作限制在最小的范围内。充分利用系统本身的日志功能，对用户的所有访问做记录，定期检查系统安全日志和系统状态，以便及早发现系统中可能出现的非法入侵行为，为管理员的安全决策提供依据，为事后审查提供依据。还要利用相应的扫描软件对操作系统进行安全性扫描评估、检测其存在的安全漏洞，分析系统的安全性，提出补救措施。
 
       信息管理
        管理信息系统是由人、计算机和管理规则等组成，以采集、加工、维护和使用信息为主要功能的人－机系统。例如金融、财会、经营、管理、教育、科研、医疗、人事、档案、物资等各方面都有大量的信息需要及时分析和处理，以便为决策提供依据。虽然在这方面应用中计算公式并不复杂，但数据量极大，在当今信息爆炸的时代，人工已难以胜任这一重任，计算机则成为信息管理的重要工具。该系统一般以数据库管理系统为核心，以其他软件和网络系统为支撑环境，而用户则通过专门的人机交互界面，进行数据的查询、修改等操作，并实现统计分析、规划、决策等功能。在信息管理方面，我们正经历着从单项事务的电子数据处理，向以数据库为基础的管理信息系统，及以数据库、模型库和方法库为基础的决策支持系统发展的过程，并且呈现出系统集成化、结构分布化、信息多元化、功能智能化等趋势。
 
       信息管理系统
        用来管理和分发项目信息的工具有很多，包括：
        .纸质文件管理，如信件、备忘录、报告和新闻稿。
        .电子通信管理，如电子邮件、传真、语音信箱、电话、视频和网络会议、网站。
        .项目管理电子工具，如基于网页界面的进度管理工具和项目管理软件，会议和虚拟办公支持软件，门户网站和协同工作管理工具。
   题号导航      2020年下半年 软件设计师 下午试卷 案例   本试卷我的完整做题情况  
1 /
2 /
3 /
4 /
 
第3题    在手机中做本题