浅谈工程档案管理

ｙｅｓ　Ｓｃｉｅｎｃｅ　ｓｔｕ蛳　

在城市规划、建设及管理活动过程中，产生两种活动成果，　

一种是城市建筑物本身。另一种就是基建项目档案。基建项目档　

案是城市建设的潜在生产力，它不仅记载、储备着人类的工程思　

想、技术与经济，是人类开展建筑使用、规划、改扩建的依据，也　

是查证项目责任的法律依据。现阶段，工程的建设进程呈现出迅　猛发展的趋势，与之俱来的越来越多的基建项目档案日益受到　社会各有关方面的重视，做好基建项目档案的管理已成当务之　急。下面，我结合实践和理论，就如何抓好单位基建项目档案管　

理工作，谈下自己的体会。　

一、统一领导、分级管理，建立健全相互联系、相互沟通的基　建档案管理网络　

档案是单位建设和发展中一个不可缺少的重要组成部分。　我单位档案工作一直得到党委行政领导的高度重视，将其工作　

列入领导议事日程和目标责任制中，坚持对文书、基建、会计等　

各门类档案实行集中统一管理，设置专职档案管理人员．负责档　案管理和档案指导工作，并建立了以档案机构为中心，各部门人　

员组成的档案管理工作网络。近年来，随着中央扩内需促增长政　策，单位的建设任务更加繁重，投资规模不断加大，基建项目文　

件开始激增，因此做好基建项目档案的管理成为我单位档案管　

理的重头戏。档案管理部门加强了对基建部门的业务指导，确定　了基建兼职项目资料员，基建部门兼职项目资料员一般由负责　

每个工程项目的项目负责人担任，明确其职责，负责建设方的资　

料收集整理，以及定期对各施工方、监理方的资料收集整理情况　

的检查，把好整个工程项目资料整理关。同时，要求每一项目的　施工方与监理方均要设有兼职项目资料员，做好ｈｉ常资料收集，　并随时向工程项目负责人进行咨询，按照我方要求进行项目资　

料的整理，不论施工方与监理方资料皆必须有监理总监审核签　

字。由此形成了一个相互联系、相互沟通的基建档案管理网络．　确保档案资料齐全、完整、规范。　二、档案人员与项目资料员的业务素质是做好项目档案管　理工作的根本保证　

档案管理是一门综合性学科，涉及各个学科领域，档案人员　必须有很强的责任心与业务素质，对于档案的管理不仅仅是　“管”，不是把看到的接收到的项目资料单纯地进行保管就完事　

了，更重要的是“理”。科学分类、排列、编制检索工具、快速提供　利用，加速档案的有效利用是档案人员的更高要求。在管理项目　

档案过程中，我们常发现资料员普遍缺乏对档案的收集范围、分　

类、立卷、编目、排列、鉴定、保管、利用等全面的知识和实践经　

验，随着现代化建筑工艺的日新月异，无论是档案人员还是工程　资料员除必须要求持证上岗外，还必须定期对工程管理方面的　专业理论知识加以培训，加强对相关文件、标准的讲解、培训，这　是提高基建项目档案管理业务理论与实际操作水平的保障。　

２６《大江周刊．论坛》２０１ｏ年２月　三、实行超前控制手段，将项目档案管理要求写进项目｛　

与职责　近年来，基建管理体制发生了重大变革．“项目法人制”、　

标投标制”、“招标代理制”、“工程合同制”和“工程监理制”　度无疑成为有效的超前控制手段，促进了基建项目管理的　化。工程管理的规范同时对项目资料的管理也提出了更高自　

求。上级单位与我单位签订的建设工程目标责任制中对档　整理提出了更高的要求，我单位在档案人员及资料员的岗　任制中，对其各自的责任和义务也都进行了明确，并使其伟　

化，文件管理的好坏直接与资料员切身利益挂钩，列入考　

围，每月绩效考评后兑现月奖金，年终兑现目标责任奖。　同时，鉴于每个项目的施工方来自全国的四面八方。各／１　

业与地区对项目档案的要求各不相同，我档案室根据上级音　关于基建项目档案整理的要求，并结合自身实际。拟写了基建　目档案整理规范作为项目档案管理的行动指南，规范中明　

工程资料归档范围，文件编制要求和标题拟写要求，备考表访　等，制定了统一表格格式，具有很强的操作性，印发给基建　资料员，由其发给每个施工方资料员，按照规范要求进行立。　

同时，基建部门对施工方也采取了经济制约手段，可以有效划　制项目档案的初步收集与整理。　四、落实基建项目“四同步”。加强项目档案的过程控制　

近年来，我们一直与基建部门建立良好的工作联系制度　

时掌握工程建设动态，因此，在每个工程项目启动时，我们蒯　即向基建部门项目负责人提出工程项目档案资料管理和文僻　

档要求，建立文件登记制度，遵循基建程序各阶段文件材料能　然形成规律，保持文件问的有机联系，对来往文件一一登记。　

们并根据基建文件的特点，主动指导项目资料员进行初步分　

组卷。随着工程进程，我们和项目资料员经常与监理工程师　

通，交流情况，统一看法，明确要求，避免由于理解的不一致而　相推诿的现象。遇有争议，立即反馈给基建负责人，由基建负　

人与监理总　协商解决。同时，鉴于工程文件来回调阅频繁．　建项目资料员建立了借阅制度，对借阅文件实行借阅登记，保　

对工程资料动向的控制，使施工过程中产生的文件随时可用．　而不乱，确保项目文件的齐全与完整性。　五、把好项目文件验收控制关　

验收前，我基建部门要求施］＿、设计、监理等有关单位进　文件资料的自查，对工程概况、文件资料归档情况等加以专项　

明，形成工程资料样本，档案人员与资料员现场指导，实地操　

进一步说明我单位的归档要求，同时根据工程档案监理制的　定，我单位要求监理方必须对施工方提交的竣工文件的系统　

准确性、完整性进行审核，最后由监理总监在备考表上签字　核。我档案室严格照章办事，根据“谁形成，谁负责”的原则，

履　项目档案整理的业务指导职能，定期对　项目资料员登记的文件进行指导、监　

督、检查，做好跟踪服务，对项目档案在　立卷中随时发现问题随时提出整改意　

见。　

在基建处将我单位招投标、设计、　

施工、监理、审计等各方项目文件立卷　汇总之后，我档案人员根据上级基建项　目档案管理要求，按照“全、细、好”的标　

准，把好竣工档案验收前的核对关。　“全”就是全面，系统。档案人员要求接　收的项目文件要齐全，不缺项。一方面　

是通过工程档案监理制．从工程专业人　

员的角度控制项目文件要全面，另一方　面档案人员通过工程管理文件查对有　无缺项：“细”就是根据各方移交的目录　

逐一核对是否一致，有无丢失、漏登现　

象：“好”就是核对各卷档案是否完好，　从题名、字迹、签字印章、页码等立卷要　

求方面把关。　六、配合基建工程的使用，快速提　

供利用　目前，基建工作是我单位的重点工　作。我单位档案人员编制了工程档案介　

绍印发给基建部门负责人，以备随时查　阅了解老工程状况，还根据基建部门的　

需要编制了“十五”基建工程介绍、长江　航运改革ｊ十年基建项目统计等资料，　让利用者从众多、分散的老档案查阅中　

解脱出来，有效提高了职能部门的工作　效率。在曰常上作中，档案人员经常会　代替项目资料员进入工程现场以及帮　

助基建部门查找工程文件等等，一方面　

是要体现部门之间要相互支持．另一方　面，档案人员的深入现场可以帮助档案　人员对工程内容有进一步了解。　

基建项目档案作为一种潜在的生　

产力，只有科学管理与利用，才能转化　为直接的生产力，推动城市的建设发　

展，从而为社会创造更多的财富。没有　

基建项目档案．城市建设势必一片混　乱，带来的是更多的浪费与损失。实践　

证明，合理、充分地利用基建项目档案，　才能对城市建设进行合理开发、合理设　

计与施工，也才能充分发挥工程投资效　益。质量精湛的工程肯定会产生大量的　

工：程资料，耶么工程档案的管理质量同　

时也能印证与再现一座高质量的工程　

项目，因此，做好基建项目档案管理工　作任重而道远，虽然普普通通，却是一　

块坚定的基石。　ｉｎｆｏｒｍａｔｉｏｎ　ａｎｄ　Ｓｏｃｉａｌ　Ｒｅｓｅａｒｃｈ　

【摘要】ＳＱＬ注入攻击已经成为对动态网站的主要信息攻击方式之一，本文提出ＳＱＬ　

注入攻击的防范策略：安全的用户管理与验证、数据写入的视图控制和数据提交的合法　性检测以及新的系统结构设计。　【关键词】ＳＱＬ注入攻击；攻击防范　

一、引言　目前，，攻击者通过对后端的数据注入，不仅可以篡改、加载信息，恶意传播不良内容　

（如黄色、淫秽内容，法轮功等反动宣传资料），还可以种植后门程序，严重影响网站的正　常运行甚至导致网站崩溃。因此，研究注入攻击的应对策略对保障动态网站的信息安全　具有重要意义。本文结合数据库系统的安全管理方案和写入控制探讨一种具有普遍意义　

的ＳＱＬ注入攻击的防范策略。　二、ＳＱＬ注入攻击　

ＳＱＬ注入攻击是指攻击者在客户端精心编写一些语法结构合法的ＳＱＬ语句并在这　些ＳＱＬ语句之中加载攻击代码，利用网站的漏洞，成功绕过或骗取网站的用户验证，直接　进入后端的网站数据库系统执行未经授权的数据读写。风险丰要来自前端设计不严密的　

ｆｏｒｍｓ的各类表单域和不经验证即进入系统的ＧＥＴ参数，攻击者通过在各类表单域或页　面请求的查询字符串构造ＳＱＥ条件，欺骗服务器执行恶意的ＳＱＬ命令并取得和提升对　数据库服务器的权限，最终控制系统。　三、ＳＱＬ注入攻击防范策略　

１、用户验证和管理　目前的动态网站用户身份验证的方法一般是：用关系表存储所有用户，当需要用户　

验证时．以前端表单或查询字符串提供的用户名和口令从关系表里提取数据，若获得的　数据集非空，则通过验证，否则拒绝用户登录。这种用户验证管理很容易成为注入攻击的　人口．尽管前述各类方案对此提出了各种防范措施，但还足为注入攻击留下隐患，一个显　

而易见的风险是当用户登录网站成功而忘记安全退出时，攻击者在同一会话里不需要验　

证登录便可轻易实施对数据库的注入攻击。本文将网站的用户和数据库用户统一起来，　当为系统添加一个新用户时，为其生成一个登录名，并将该登录授权为业务数据库的用　

户．以ＳＱＬ　Ｓｅｒｖｅｒ为例，可由系统管理员或安全管理员用如下系统存储过程完成：　ｓｐ—ａｄｄｌｏｇｉｎ＜用户名＞，＜用户口令＞　

ｓｐ—ｇｒａｎｔｄｂａｃｃｅｓｓ＜用户名＞，＜用户名＞　在网站程序设计中，登录界面简化为只是接收用户名和口令的输入，不作额外验证，　当有读写行为时，用户的验证代之以数据库链接字符串：　

Ｐｒｏｖｉｄｅｒ＝ＳＱＬＯＬＥＤＢ．１：ＤａｔａＳｏｕｒｃｅ＝＜服务器名＞；Ｉｎｉｔｉａｌ　Ｃａｔａｌｏｇ＝＜数据库名＞；　

ＵＩＤ＝＜用户名＞：ＰｗＤ：＜用户口令＞　２、数据写入的视图控制　考察如下几组对应关系及其规则：　

ｕ卜Ｄｉ：某个用户有其特定的数据域。　Ｐｉ—Ｕｉ：某个用户可被授予有限的权限。　

Ｖｉ—Ｄｉ；对某个数据域的读写可通过特定的虚拟表（视图）完成，而不使用实际的数　

《大江周刊．｛／ｅ￣｝２０１０年２月

２７