维基百科上海社群信息系统

維基百科上海社群信息系統是即將服務於維基百科上海社群的自動化工作平台，運行環境為新浪雲應用引擎（SAE），一期設計用於社群聚會管理。

開發初衷

上海社群經常舉辦各類聚會，每次聚會都可以接獲大量的報名。通過人工方法審核效率低下，而且在審核過程中發現聚會報名過程中存在惡意擾亂，部分帳戶為報名近期註冊。每次聚會實際出席率僅約1/3至2/3。為了避免擾亂，社群曾採用限制一個IP只能報名同一聚會一人次，然而對於擾亂的收效甚微。在第28次雙周聚會遭到永久封禁用戶破壞導致聚會場地IP被自動封禁的尷尬事件後，上海社群開始探索高效的審核機制。企業級OA是一個選擇，但是與社群的情況不太符合，故User:Eland Zhou決定自行開發信息系統供社群使用。

系統功能

安全措施

https連接

註冊、登陸

維基百科上海社群信息系統在登陸與註冊過程中全部使用https連接

全程https連接

由於SAE平台對於https連接流量費用是http連接流量費用的兩倍，系統默認不允許用戶全程使用https連接。但是對於下列人員系統會自動調整安全策略

• 社群系統管理員（全程強制https連接）
• 社群活動管理員（可選http，https連接）
• 在中文維基百科具有管理員（sysop）權限的用戶（全程強制https連接）

另外如果有特殊需求的用戶可以向社群系統管理員申請調整安全策略。

對中文維基百科管理員的保護

由於中國大陸曾發生官方對管理員施壓的事件，在中國大陸運行的系統拒絕存儲任何中文維基百科管理員的信息，在中國大陸運行的社群系統亦阻止中文維基百科管理員的註冊。中文維基百科管理員可以選擇社群在香港運行的服務（即將上線），同時系統不記錄任何維基百科管理員在社群系統內活動的日誌（包括登陸、報名活動等所有日誌條目以免潛在的威脅產生）。當一個原有用戶被檢測到在中文維基百科成為管理員時其帳戶的數據將被加密同步至位於香港運行的服務，同時其位於中國大陸社群系統內的所有數據、日誌將立即被刪除。

異常情況通知

對於異常登錄、帳戶暴力破解，系統會通過郵件、用戶討論頁、手機簡訊等途徑告知異常情況。

敏感數據管理

敏感數據不可逆加密

對用戶密碼進行MD5加密，每個用戶的加密鹽值不同，確保即使用戶間密碼相同也不會產生相同的密碼字符串。

敏感數據置於非關係型資料庫存放

將用戶的敏感數據置於非關係型資料庫存放，防止SQL注入造成不可逆加密字符串洩漏。

用戶輸入的過濾

對於所有用戶輸入進行檢測，如有潛在SQL注入風險自動阻斷頁面處理。

用戶權限驗證

通過在註冊時以及註冊後的定時狀態檢測，社群信息系統拒絕所有在中文維基百科處於封禁期間的用戶註冊、登陸。

為了避免用戶冒名頂替的問題，系統在用戶註冊時對用戶帳戶所有權進行驗證，要求用戶編輯一次指定頁面供系統檢測。