阅读下列说明和图，回答问题1至问题3，将解答填入答题纸的对应栏内。【说明】某大型匹萨加工和销售商为了有效管理生产和销售情况，欲开发一匹萨信息系统，其主要功能如下：(1)销售。处理客户的订单信息，生成销售订单，并将其记录在销售订单表中。销售订单记录了订购者、所订购的匹萨、期望的交付日期等信息。(2)生产控制。根据销售订单以及库存的匹萨数量，制定匹萨生产计划（包括生产哪些匹萨、生产顺序和生产量等），并将其保存在生产计划表中。(3)生产。根据生产计划和配方表中的匹萨配方，向库存发出原材料申领单，将制作好的匹萨的

正确答案：
参考答案：【问题1】：防御XSS攻击方法：验证所有输入数据，有效检测攻击；对所有输出数据进行适当的编码，以防止任何已成功注入的脚本在浏览器端运行。防御规则：1.不要在允许位置插入不可信数据2.在向HTML元素内容插入不可信数据前对HTML解码3.在向HTML常见属性插入不可信数据前进行属性解码4.在向HTMLJavaScript.DATAValues插入不可信数据前，进行JavaScript解码5.在像HTML样式属性插入不可信数据前，进行CSS解码6.在向HTMLURL属性插入不可信数据前，进行URL解码【问题2】：图形测试主要检查点：颜色饱和度和对比度是否合适需要突出的链接的颜色是否容易识别是否正确加载所有的图像【问题3】：页面的一致性如何在每个页面上是否设计友好的用户界面和直观的导航系统是否考虑多种浏览器的需要是否建立了页面文件的命名体系是否充分考虑了合适的页面布局技术，如层叠样式表、表格和帧结构等【问题4】：能防止SQL注入Pstmt.setString（'1'or'1'='1'，status）Pstmt.setString（'2'or'1'='1'，orderID）试题分析：【问题1】XSS攻击：跨站脚本攻击(CrossSiteScripting)是一种经常出现在web应用中的计算机安全漏洞，它允许恶意web用户将代码植入到提供给其它用户使用的页面中。比如这些代码包括HTML代码和客户端脚本。防御XSS攻击方法：验证所有输入数据，有效检测攻击；对所有输出数据进行适当的编码，以防止任何已成功注入的脚本在浏览器端运行。防御规则：不要在允许位置插入不可信数据在向HTML元素内容插入不可信数据前对HTML解码在向HTML常见属性插入不可信数据前进行属性解码在向HTMLJavaScript.DATAValues插入不可信数据前，进行JavaScript解码在像HTML样式属性插入不可信数据前，进行CSS解码在向HTMLURL属性插入不可信数据前，进行URL解码【问题2】图形测试，主要检查点如下：颜色饱和度和对比度是否合适需要突出的链接颜色是否容易识别是否正确加载所有的图形【问题3】页面是信息的载体，直接体现WEB沾点的设计水平，一个好的页面因信息层次清晰而让用户一目了然；因涉及巧妙、精致美观而让用户流连忘返；因恰当使用各种元素能完成许多功能而不显拥挤。对页面设计的测试可以从以下几个方面进行：页面的一致性如何在每个页面上是否设计友好的用户界面和直观的导航系统是否考虑多种浏览器的需要是否建立了页面文件的命名体系是否充分考虑了合适的页面布局技术，如层叠样式表、表格和帧结构等【问题4】SQL注入是黑客攻击数据库的一种常用方法，其实就是通过把SQL命令插入到Web表单或页面请求的查询字符串中提交，最终达到欺骗服务器执行恶意的SQL命令，来达到攻击的目的。本题中给出的SQL语句不能防止SQL注入，设置的这个测试用例只要包含SQL功能符号，然后使得SQL语句不符合原设计意图即可。例如，包含了“--”或“’”等，那么整个语句为：将intClientSubmitScore为85DELETEFROMscore--；strStudentID为1000这样SQL语句执行就变成：UPDATEStudentScoreSETscore=85DELETEFROMscore--WHEREStuent_ID=1000防止SQL注入的有些方法主要有：拼接SQL之前先对特殊符合进行转义，使其不作为SQL的功能符合即可。对于本题由于将SQL语句中的输入值，使用参数方式传送，而且SQL语句进行预编译，这样由于防止注入式攻击，测试用例设计可参考：

答案：

解析：

答案：

解析：

答案：

解析：

答案：

解析：

答案：

解析：

正确答案：
试题一（共15分）
【问题1】（3分，各1分）
E1：客户E2：财务部门E3： 仓库
【问题2】（3分，各1分）
D1：客户文件D2：商品文件D3：订单文件
【问题3】（9分）
（1）加工名称（各1分），数据流（各1分）。
P1: 产生配货单 P2: 准备发货单

答案：B,C,D

解析：

答案：

解析：

答案：

解析：

答案：

解析：

答案：

解析：