医院信息科运维知识库系统架构设计与实现

weixin_30234721

405人浏览 · 2026-03-26 22:00:54

weixin_30234721 · 2026-03-26 22:00:54 发布

医院信息科运维知识库系统架构设计与实现

一、引言

1.1 项目背景

在医院信息化建设中，信息科承担着重要的技术支持职能。日常工作中，信息科工程师需要处理大量来自临床、护理、药房、检验等各部门的信息系统问题，积累丰富的故障排除经验和解决方案。这些宝贵的一线经验往往分散在个人工作笔记、即时通讯记录或纸质文档中，难以形成系统化的知识沉淀。

本文基于某医院信息科知识库系统的实际开发案例，深入剖析如何利用ASP.NET Core MVC技术栈构建一套完整的知识库管理平台。该系统实现了知识库内容的创建、编辑、审核、发布全生命周期管理，并提供了便捷的检索和浏览功能，有效提升了信息科的运维效率和服务质量。

1.2 技术栈概览

层级	技术选型	说明
框架	ASP.NET Core MVC	Web应用框架
前端	LayUI 2.9.7	轻量级前端UI框架
数据库	MySQL	关系型数据库
ORM	Dapper	轻量级ORM框架
会话管理	ASP.NET Core Session	服务器端会话管理
验证	自定义动态链接授权	基于ActionFilter的授权控制

二、系统架构设计

2.1 整体架构

系统采用经典的三层架构设计，包括表现层（Presentation Layer）、业务逻辑层（Business Logic Layer）和数据访问层（Data Access Layer）。各层职责明确，耦合度低，便于维护和扩展。

┌─────────────────────────────────────────────────────────────┐
│                      客户端浏览器                           │
└─────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────┐
│                     LayUI 前端框架                          │
│  ┌─────────────┐  ┌─────────────┐  ┌─────────────┐          │
│  │  数据表格   │  │   表单组件  │  │  弹层组件   │          │
│  └─────────────┘  └─────────────┘  └─────────────┘          │
└─────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────┐
│                  ASP.NET Core MVC 控制器层                  │
│  ┌─────────────┐  ┌─────────────┐  ┌─────────────┐          │
│  │LoginController │FAQController│  FAQManagerCtrl│          │
│  └─────────────┘  └─────────────┘  └─────────────┘          │
│  ┌──────────────────────────────────────────────────────┐   │
│  │              DDRobotsController                      │   │
│  │  ┌─────────────┐  ┌─────────────┐  ┌─────────────┐   │   │
│  │  │  钉钉机器人 │  │  智能检索   │  │  消息推送   │   │   │
│  │  └─────────────┘  └─────────────┘  └─────────────┘   │   │
│  └──────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────┐
│                       服务层                                │
│  ┌─────────────┐  ┌─────────────┐  ┌─────────────┐          │
│  │IMysqlService│   IDmsqlService│  HttpRequest   │          │
│  └─────────────┘  └─────────────┘  └─────────────┘          │
│  ┌─────────────┐  ┌─────────────────────────────────────┐   │
│  │Jieba分词    │  │      DynamicLinkAuthorizeHelper     │   │
│  └─────────────┘  └─────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────┐
│                     MySQL 数据库                            │
│  ┌─────────────┐  ┌─────────────┐                           │
│  │    faq      │  │faq_attachment                           │
│  └─────────────┘  └─────────────┘                           │
└─────────────────────────────────────────────────────────────┘

2.2 模块划分

系统根据功能职责划分为四大核心模块：

1. 用户认证模块（Authentication Module）

手机号验证码登录
Session会话管理
多系统统一认证入口

2. 知识库管理模块（FAQ Management Module）

知识库CRUD操作
富文本编辑与图片上传
附件管理（上传、下载、删除）

3. 知识库浏览模块（FAQ Browsing Module）

知识库详情展示
访问统计与计数
附件下载功能

4. 系统管理模块（System Module）

无效链接处理
错误页面统一管理

5. 智能问答模块（Intelligent QA Module）

钉钉机器人集成（信息科小助手）
基于中文分词的模糊检索
动态链接安全授权
Markdown格式消息推送

三、核心数据模型设计

3.1 知识库主表结构

public class FAQModel
{
    public string REPAIRPROBLEM_ID { get; set; }  // 知识库唯一ID（16位GUID）
    public string DESCRIPTION { get; set; }        // 知识库描述/标题
    public string METHOD { get; set; }              // 解决方法（富文本内容）
    public string CREATE_MAN { get; set; }          // 创建人
    public DateTime CREATE_DATE { get; set; }       // 创建时间
    public string EDIT_MAN_NAME { get; set; }       // 编辑人
    public DateTime EDIT_DATE { get; set; }         // 编辑时间
    public int VISIT_COUNT { get; set; }            // 访问次数
    public List<faq_attachment> attachments { get; set; }  // 关联附件
}

3.2 附件表结构

public class faq_attachment
{
    public int id { get; set; }                    // 附件ID（自增主键）
    public string guid { get; set; }                // 关联知识库ID
    public string fileName { get; set; }           // 文件名
    public string fileExt { get; set; }             // 文件扩展名
    public string fileSize { get; set; }            // 文件大小
    public string filePath { get; set; }            // 存储路径
    public string uploader { get; set; }            // 上传人
    public DateTime uploadTime { get; set; }        // 上传时间
}

3.3 数据库表创建语句

-- 知识库主表
CREATE TABLE `faq` (
  `REPAIRPROBLEM_ID` VARCHAR(32) PRIMARY KEY COMMENT '知识库唯一ID',
  `DESCRIPTION` TEXT COMMENT '知识库描述',
  `METHOD` LONGTEXT COMMENT '解决方法（富文本）',
  `CREATE_MAN` VARCHAR(50) COMMENT '创建人',
  `CREATE_DATE` DATETIME COMMENT '创建时间',
  `EDIT_MAN_NAME` VARCHAR(50) COMMENT '编辑人',
  `EDIT_DATE` DATETIME COMMENT '编辑时间',
  `VISIT_COUNT` INT DEFAULT 0 COMMENT '访问次数',
  INDEX `idx_create_date` (`CREATE_DATE`),
  INDEX `idx_description` (`DESCRIPTION`(255))
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4;

-- 附件表
CREATE TABLE `faq_attachment` (
  `id` INT AUTO_INCREMENT PRIMARY KEY,
  `guid` VARCHAR(32) NOT NULL COMMENT '关联知识库ID',
  `fileName` VARCHAR(255) NOT NULL COMMENT '文件名',
  `fileExt` VARCHAR(20) NOT NULL COMMENT '文件扩展名',
  `fileSize` VARCHAR(50) COMMENT '文件大小',
  `filePath` VARCHAR(500) NOT NULL COMMENT '存储路径',
  `uploader` VARCHAR(50) COMMENT '上传人',
  `uploadTime` DATETIME COMMENT '上传时间',
  INDEX `idx_guid` (`guid`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4;

四、关键功能模块实现

4.1 用户认证与会话管理

4.1.1 登录控制器设计

系统采用手机验证码登录方式，这种方式特别适合医院内部网络环境，既保证了安全性，又避免了复杂的密码管理问题。

public class LoginController : Controller
{
    private readonly string _qasystem;
    private readonly IMysqlService _mysqlService;

    public LoginController(ILogger<LoginController> logger, 
                          IConfiguration configuration, 
                          IMysqlService mysqlService)
    {
        _qasystem = configuration.GetConnectionString("qasystem");
        _mysqlService = mysqlService;
    }

    [HttpPost]
    public JsonResult FAQLogin(VerCodeLoginModel model)
    {
        MsgModel msgObj;
        try
        {
            // 验证验证码有效性
            if (!string.IsNullOrEmpty(HttpContext.Session.GetString("VerCode")))
            {
                VerCodeModel verCode = JsonConvert.DeserializeObject<VerCodeModel>(
                    HttpContext.Session.GetString("VerCode"));

                // 计算时间差（分钟）
                int Minutes = DateTime.Now.Subtract(verCode.SendCodeTime).Minutes;

                if (Minutes < 1)  // 1分钟内有效
                {
                    if (verCode.VerCode == model.vercode && 
                        verCode.PhoneNumber == model.cellphone)
                    {
                        // 查询员工信息（限定信息科部门 deptId='9'）
                        string sql = @"SELECT * FROM `qasystem`.`employee` 
                                      WHERE `deptId` = '9' AND `useflag` = '1' 
                                      AND phoneNumber=?phoneNumber";

                        List<UserModel> LoginUsers = _mysqlService.DBQuery<UserModel>(
                            _qasystem, sql, 
                            new UserModel { phoneNumber = model.cellphone });

                        UserModel LoginUser = LoginUsers[0];
                        HttpContext.Session.SetString("LoginUser", 
                            JsonConvert.SerializeObject(LoginUser));

                        msgObj = new MsgModel { 
                            code = 0, 
                            data = "1", 
                            msg = $"{LoginUser.empName},登录中..." 
                        };
                    }
                    else
                    {
                        msgObj = new MsgModel { code = 0, data = "0", msg = "输入验证码有误" };
                    }
                }
                else
                {
                    HttpContext.Session.SetString("VerCode", string.Empty);
                    msgObj = new MsgModel { code = 0, data = "0", msg = "验证码已过期" };
                }
            }
        }
        catch (Exception ex)
        {
            msgObj = new MsgModel { code = 1, msg = ex.Message };
        }
        return Json(msgObj);
    }
}

关键设计点分析：

验证码时效性控制：验证码有效期设置为1分钟，通过计算当前时间与发送时间的差值来判断有效性。这种短时效设计有效防止验证码泄露后的长期冒用风险。
部门权限限定：SQL查询中限定deptId = '9'且useflag = '1'，确保只有信息科在职员工才能访问知识库系统。排除empId <> '667000'用于排除测试账号。
会话存储安全：将登录用户信息序列化为JSON后存储在Session中，服务端管理避免客户端伪造。

4.1.2 短信验证码发送

public JsonResult SendSmsCode1(string phone)
{
    MsgModel MsgObj;
    try
    {
        // 1、判断手机号码是否已注册
        if (IsRegisterPhone1(phone))
        {
            // 2、生成6位随机验证码
            string VerCode = RandomNumber.GetVerCode();
            VerCodeModel verCodeModel = new VerCodeModel
            {
                PhoneNumber = phone,
                VerCode = VerCode,
                SendCodeTime = DateTime.Now
            };
            HttpContext.Session.SetString("VerCode", 
                JsonConvert.SerializeObject(verCodeModel));

            // 3、发送短信
            string sendMsgStr = $"\n知识库管理系统登入\n" +
                $"验证码:{VerCode}\n1分钟内有效!";
            SmsMsgModel smsMsg = SendSms(sendMsgStr, phone);

            if (smsMsg.success == "true")
            {
                MsgObj = new MsgModel { code = 0, data = "1", 
                    msg = "验证码已发送至你的手机，请注意查收" };
            }
            else
            {
                MsgObj = new MsgModel { code = 0, data = "0", 
                    msg = smsMsg.rspcod };
            }
        }
        else
        {
            MsgObj = new MsgModel { code = 0, data = "0", 
                msg = "手机号码未注册" };
        }
    }
    catch (Exception ex)
    {
        MsgObj = new MsgModel { code = 0, data = "0", msg = ex.Message };
    }
    return Json(MsgObj);
}

4.2 知识库管理功能

4.2.1 知识库列表查询

知识库管理模块采用分页查询模式，支持按描述关键词搜索。以下是核心查询逻辑：

public IActionResult FAQList(FAQSearchModel model)
{
    int offset = (model.page - 1) * model.limit;
    int rows = model.limit;

    List<string> whereList = new List<string>();
    var countPm = new DynamicParameters();
    var pagePm = new DynamicParameters();

    try
    {
        string sql = "SELECT * FROM `faq`";
        string sqlOrder = " ORDER BY CREATE_DATE DESC";

        // 动态构建查询条件
        if (!string.IsNullOrEmpty(model.DESCRIPTION))
        {
            whereList.Add("DESCRIPTION like ?DESCRIPTION");
            countPm.Add("?DESCRIPTION", "%" + model.DESCRIPTION + "%");
            pagePm.Add("?DESCRIPTION", "%" + model.DESCRIPTION + "%");
        }

        string wheresql = string.Join(" and ", whereList);

        string sqlPage = "";
        string sqlCount = "";

        if (whereList.Count > 0)
        {
            sqlPage = sql + " where " + wheresql + sqlOrder 
                     + $" LIMIT {offset} , {rows}";
            sqlCount = sql1 + " where " + wheresql;
        }
        else
        {
            sqlPage = sql + sqlOrder + $" LIMIT {offset} , {rows}";
            sqlCount = sql1;
        }

        FAQInfos = _mysqlService.DBQuery<FAQModel>(_qasystem, sqlPage, pagePm);
        FAQCount = _mysqlService.DBQuery<FAQModel>(_qasystem, sqlCount, countPm);

        dataTableModel = new DataTableModel<FAQModel> { 
            code = 0, 
            count = FAQCount.Count, 
            msg = "", 
            data = FAQInfos 
        };
    }
    catch (Exception ex)
    {
        dataTableModel = new DataTableModel<FAQModel> { 
            code = 1, 
            count = 0, 
            msg = ex.Message, 
            data = FAQInfos 
        };
    }
    return Content(JsonConvert.SerializeObject(dataTableModel));
}

分页查询优化要点：

使用偏移量分页：采用LIMIT offset, rows语法进行分页，MySQL在偏移量较大时性能会下降，实际生产环境中可考虑基于ID的游标分页。
动态参数化查询：使用Dapper的DynamicParameters实现参数化查询，防止SQL注入攻击。
分别查询总数和数据：需要执行两次查询分别获取符合条件的总记录数和数据列表，可使用SQL_CALC_FOUND_ROWS优化。

4.2.2 知识库创建与编辑

知识库创建时，系统生成16位唯一GUID作为主键，并将创建人信息从Session中获取：

public IActionResult AddFAQ()
{
    // 1、生成知识库内容唯一码（16位）guid
    string guid = RandomNumber.Guid();
    ViewData["guid"] = guid;
    return View();
}

[HttpPost]
public JsonResult AddFAQ(FAQModel model)
{
    // 获取Session中的登录用户信息
    UserModel LoginUser = JsonConvert.DeserializeObject<UserModel>(
        HttpContext.Session.GetString("LoginUser"));

    MsgModel MsgObj = null;
    try
    {
        model.CREATE_DATE = DateTime.Now;
        model.CREATE_MAN = LoginUser.empName;

        string sql = @"INSERT INTO `faq`  
            (REPAIRPROBLEM_ID, DESCRIPTION, CREATE_MAN, CREATE_DATE, METHOD) 
            VALUES (?REPAIRPROBLEM_ID, ?DESCRIPTION, ?CREATE_MAN, ?CREATE_DATE, ?METHOD)";

        _mysqlService.DBExecute(_qasystem, sql, model);
        MsgObj = new MsgModel { code = 0, msg = "添加成功" };
    }
    catch (Exception ex)
    {
        MsgObj = new MsgModel { code = 1, msg = ex.Message };
    }
    return Json(MsgObj);
}

编辑操作类似，但需要记录编辑人和编辑时间：

[HttpPost]
public JsonResult EditFAQ(FAQModel model)
{
    UserModel LoginUser = JsonConvert.DeserializeObject<UserModel>(
        HttpContext.Session.GetString("LoginUser"));

    MsgObj = null;
    try
    {
        model.EDIT_DATE = DateTime.Now;
        model.EDIT_MAN_NAME = LoginUser.empName;

        string sql = @"UPDATE `faq`  
            SET DESCRIPTION=?DESCRIPTION, METHOD=?METHOD, 
                EDIT_DATE=?EDIT_DATE, EDIT_MAN_NAME=?EDIT_MAN_NAME 
            WHERE REPAIRPROBLEM_ID=?REPAIRPROBLEM_ID";

        _mysqlService.DBExecute(_qasystem, sql, model);
        MsgObj = new MsgModel { code = 0, msg = "修改成功" };
    }
    catch (Exception ex)
    {
        MsgObj = new MsgModel { code = 1, msg = ex.Message };
    }
    return Json(MsgObj);
}

4.3 附件管理功能

4.3.1 文件上传实现

系统支持多种格式附件上传，按日期分类存储：

[HttpPost]
public JsonResult uploadFile(string guid)
{
    MsgModel MsgObj = null;
    try
    {
        if (String.IsNullOrEmpty(HttpContext.Session.GetString("LoginUser")))
        {
            MsgObj = new MsgModel { code = 2, msg = "用户未登录，请登陆后重试！" };
        }
        else
        {
            UserModel LoginUser = JsonConvert.DeserializeObject<UserModel>(
                HttpContext.Session.GetString("LoginUser"));
            string empName = LoginUser.empName;

            var files = Request.Form.Files;
            foreach (var file in files)
            {
                string fileExt = System.IO.Path.GetExtension(file.FileName)
                    .Replace(".", "");
                string fileName = System.IO.Path.GetFileNameWithoutExtension(file.FileName);
                string fileSize = file.Length.GetFileSize();

                // 按日期创建存储目录
                string filePath = $"upload/file/{DateTime.Now.ToString("yyyyMMdd")}";
                string BasePath = Path.Combine(AppContext.BaseDirectory, filePath);

                if (!Directory.Exists(BasePath))
                {
                    Directory.CreateDirectory(BasePath);
                }

                // 生成唯一文件名
                string newFileName = RandomNumber.GetRandomNumber("file_") + "." + fileExt;
                string newfilePath = Path.Combine(BasePath, newFileName);

                using (var stream = new FileStream(newfilePath, FileMode.Create))
                {
                    file.CopyTo(stream);
                }

                // 附件信息写入数据库
                string sql = @"INSERT INTO `faq_attachment` 
                    (guid, fileName, fileExt, fileSize, filePath, uploader, uploadTime) 
                    VALUES (?guid,?fileName,?fileExt,?fileSize,?filePath,?uploader,?uploadTime)";

                _mysqlService.DBExecute(_qasystem, sql, new faq_attachment { 
                    guid = guid, 
                    fileName = fileName, 
                    fileExt = fileExt, 
                    fileSize = fileSize, 
                    filePath = $"/{filePath}/{newFileName}", 
                    uploader = empName, 
                    uploadTime = DateTime.Now 
                });
            }
            MsgObj = new MsgModel { code = 0, msg = "附件上传成功！" };
        }
    }
    catch (Exception ex)
    {
        MsgObj = new MsgModel { code = 1, msg = ex.Message };
    }
    return Json(MsgObj);
}

文件上传安全策略：

文件类型验证：通过扩展名白名单控制可上传的文件类型
文件大小限制：通过配置限制单文件大小
存储路径隔离：文件存储在应用目录外的独立存储区域
唯一文件名：使用随机数生成新文件名，防止文件名冲突和猜测

使用FileExtensionContentTypeProvider自动根据扩展名映射MIME类型，确保浏览器正确识别文件格式。

4.4 知识库浏览功能

[DynamicLinkAuthorizeAttribute]
public IActionResult Index(string REPAIRPROBLEM_ID)
{
    string sql = @"SELECT * FROM `qasystem`.`faq` 
                  WHERE `REPAIRPROBLEM_ID` = ?REPAIRPROBLEM_ID ";
    FAQModel FAQ = _mysqlService.DBFind<FAQModel>(_qasystem, sql, 
        new FAQModel { REPAIRPROBLEM_ID = REPAIRPROBLEM_ID });

    // 获取附件内容
    string fsql = @"select * from `qasystem`.`faq_attachment` 
                   where guid=?guid";
    List<faq_attachment> attachments = _mysqlService.DBQuery<faq_attachment>(
        _qasystem, fsql, new faq_attachment { guid = REPAIRPROBLEM_ID });
    FAQ.attachments = attachments;

    // 新增浏览次数（原子操作）
    string usql = @"UPDATE `qasystem`.`faq` 
                   SET VISIT_COUNT=VISIT_COUNT+1 
                   WHERE REPAIRPROBLEM_ID=?REPAIRPROBLEM_ID";
    _mysqlService.DBExecute(_qasystem, usql, 
        new FAQModel { REPAIRPROBLEM_ID = REPAIRPROBLEM_ID });

    ViewData["FAQ"] = FAQ;
    return View();
}

访问统计实现：使用VISIT_COUNT=VISIT_COUNT+1的原子递增操作，避免并发访问时的计数不准确问题。

4.5 前端视图实现

4.5.1 LayUI数据表格配置

layui.use(['index', 'useradmin', 'table', 'tree', 'laydate', 'transfer'], 
    function () {
        var $ = layui.$
            , transfer = layui.transfer
            , form = layui.form
            , table = layui.table;

        table.render({
            elem: '#FAQTable'
            , id: 'FAQTable'
            , url: '/FAQManager/FAQList'
            , toolbar: '#toolbar'
            , defaultToolbar: [
                'filter', 
                { title: '批量导出Excel', layEvent: 'eventExportExcel', 
                  icon: 'layui layui-daochu' },
                { title: '修改时间节点', layEvent: 'EditTimeNodes', 
                  icon: 'layui-icon layui-icon-edit' }
            ]
            , cols: [[
                { type: 'checkbox', fixed: 'left' }
                , { field: 'REPAIRPROBLEM_ID', width: 120, hide: true, 
                    title: '知识库ID' }
                , { field: 'DESCRIPTION', width: 545, title: '知识库描述'}
                , { field: 'CREATE_MAN', width: 100, title: '创建人' }
                , { field: 'CREATE_DATE', width: 170, title: '创建时间', 
                    templet: '#CREATE_DATE' }
                , { field: 'EDIT_MAN_NAME', width: 100, title: '编辑人'}
                , { field: 'EDIT_DATE', width: 170, title: '编辑时间', 
                    templet: '#EDIT_DATE' }
                , { field: 'VISIT_COUNT', width: 100, title: '点击数' }
                , { field: 'operation', width: 300, fixed: 'right', 
                    title: '操作', toolbar: '#table-file-manager' }
            ]]
            , page: true
            , limits: [20, 100, 200, 300, 400, 500, 600, 700, 5000]
            , limit: 20
            , height: 'full-160'
        });
    });

4.5.2 行工具栏事件处理

table.on('tool(FAQTable)', function (obj) {
    var field = obj.data;
    if (obj.event === 'viewEvent') {
        var url = '/FAQManager/ShowFAQ?REPAIRPROBLEM_ID=' + field.REPAIRPROBLEM_ID;
        window.open(url);
    } else if (obj.event === 'editEvent') {
        var url = '/FAQManager/EditFAQ?REPAIRPROBLEM_ID=' + field.REPAIRPROBLEM_ID;
        layer.open({
            title: "编辑知识库",
            type: 2,
            shadeClose: false,
            shade: 0.5,
            content: url,
            area: ['100%', '100%'],
            end: function () {
                table.reload('FAQTable');
            }
        });
    } else if (obj.event === 'deleteEvent') {
        layer.confirm('确定删除吗？', function (index) {
            $.post("/FAQManager/DeleteFAQ", field, function (data) {
                layer.msg(data.msg);
                table.reload('FAQTable');
            });
            layer.close(index);
        });
    }
});

五、安全机制构建

5.1 动态链接授权过滤器

系统实现了自定义ActionFilter用于动态链接授权验证：

[AttributeUsage(AttributeTargets.Class | AttributeTargets.Method)]
public class DynamicLinkAuthorizeAttribute : ActionFilterAttribute
{
    public override void OnActionExecuting(ActionExecutingContext context)
    {
        // 获取请求参数中的REPAIRPROBLEM_ID
        var repairProblemId = context.HttpContext.Request.Query["REPAIRPROBLEM_ID"];

        if (string.IsNullOrEmpty(repairProblemId))
        {
            // 从RouteData中获取
            repairProblemId = context.RouteData.Values["REPAIRPROBLEM_ID"]?.ToString();
        }

        if (!string.IsNullOrEmpty(repairProblemId))
        {
            // 验证链接有效性
            var mysqlService = context.HttpContext.RequestServices
                .GetService<IMysqlService>();

            string sql = @"SELECT COUNT(1) FROM `qasystem`.`faq` 
                          WHERE REPAIRPROBLEM_ID=?REPAIRPROBLEM_ID";

            // 执行验证逻辑...
        }

        base.OnActionExecuting(context);
    }
}

5.2 Session安全验证

所有需要登录才能访问的操作都进行Session验证：

// 检查用户是否登录
if (String.IsNullOrEmpty(HttpContext.Session.GetString("LoginUser")))
{
    MsgObj = new MsgModel { code = 2, msg = "用户未登录，请登陆后重试！" };
    return Json(MsgObj);
}

5.3 SQL注入防护

系统全面采用Dapper的参数化查询：

// 正确示例：参数化查询
string sql = "SELECT * FROM `faq` WHERE REPAIRPROBLEM_ID = ?REPAIRPROBLEM_ID";
FAQ = _mysqlService.DBFind<FAQModel>(_qasystem, sql, 
    new FAQModel { REPAIRPROBLEM_ID = REPAIRPROBLEM_ID });

// 错误示例：字符串拼接（易受SQL注入攻击）
// string sql = $"SELECT * FROM faq WHERE REPAIRPROBLEM_ID = '{REPAIRPROBLEM_ID}'";

5.4 文件上传安全

扩展名白名单验证
文件大小限制
存储路径与Web根目录分离
随机文件名防止目录遍历

六、性能优化策略

6.1 数据库层面优化

1. 合理使用索引

-- 针对常见查询模式创建索引
INDEX idx_create_date (CREATE_DATE)           -- 按时间排序查询
INDEX idx_description (DESCRIPTION(255))      -- 按关键词搜索
INDEX idx_guid (guid)                          -- 附件关联查询

2. 分页查询优化

当数据量较大时，偏移量分页会产生性能问题：

// 优化方案：使用游标分页替代偏移量分页
// 基于上一页最后一条记录的ID进行查询
string sql = @"SELECT * FROM `faq` 
              WHERE CREATE_DATE < {lastDate} 
              ORDER BY CREATE_DATE DESC 
              LIMIT 20";