SaaS及与SaaS相关的几个概念

　　由于SaaS（Software as a Service软件作为服务、软件即服务）的出现，软件行业正在经历一场深刻的变革。SaaS在西方国家已经流行并进入了普及阶段。在中国，虽然近年买球增长迅速，但大多数企业对SaaS这种新的交付模式还缺乏认识. SaaS的安全技术日新月异, 越来越多的企业开始认可SaaS安全性和可靠性。

　　SaaS的安全从机房开始。机房的安全性包括气体灭火、恒温恒湿、联网电子锁防盗、24小时专人和录像监控、网络设备带宽冗余、口令进入机房等。服务器和防火墙的负载平衡、数据库集群和网络存贮备份在近几年也成为标准安全性技术。主流SaaS运营商多采用双数据中心运营，其中一个机房数据中心为冗余备份。多城市多机房的模式可提高访问速度，但因大大增加安全管理隐患和维护成本，很少被成熟的SAAS企业采用。

　　开发SaaS 软件系统和开发传统企业应用系统之间有重要区别，标准SaaS 系统是多重租赁的（Multi-tenant），也就是一套软件和数据库平台，经过软件和数据库的隔离及保密技术，多个企业同时使用。虽然不是多重租赁的SaaS产品不一定是“假SaaS”产品，多重租赁大大提高了运营效率、稳定性，降低运营商的维护和升级成本，变相的说最终消费者得到了价格上的实惠。其他重要的SaaS 需求，如自定义、SOA集成接口、离线客户端等，也都会影响 SaaS 应用程序的体系结构。

　　SaaS运营商普遍采用大型商用关系型数据库和集群技术。在数据库的设计上，多重租赁的软件会有三种设计，每个客户公司独享一个数据库instance，或独享一个数据库instance中的一个schema, 或多客户公司以隔离和保密技术原理共享一个数据库instance的一个shema. 几乎所有SaaS软件开发商选择后两种方案，也就是说，所有公司共享一个数据库license,从而降低了成本。

　　应用程序的安全围绕Web服务器展开，比如Apache、IIS等。基于这些Web服务器，主流厂商多采用J2EE或.NET开发技术并会采用特殊的Web服务器或服务器配置以优化安全性并优化访问速度和可靠性。而有些厂商会采用PHP、Ruby等开发技术，相比之下，J2EE和.NET集成了更多更成熟的安全技术。同样，Oracle、SQL Server和DB2在数据库层面相比MySQL等数据库也更加成熟。

　　身份验证和授权服务是系统安全性的起点，J2EE和.NET自带全面的安全服务。J2EE提供Servlet Presentation Framework, .NET 提供.NET Framework，并持续升级，因多重租赁带来的整体升级效应使所有使用者共同受益并不需要支付额外的升级费用。应用程序通过调用安全服务的编程接口 (API)，来对用户进行授权和上下文继承。

　　SaaS平台是近年来的商业模式热点。一种模式是单一厂商基于SaaS应用程序平台提供多种SaaS应用，并通过Web Service接口提供与其他厂商产品集成。 另一种模式是SaaS运营平台，平台厂商提供用户认证，其他软件厂商提供SaaS应用程序。在安全性上，SaaS应用程序平台有着先天的优势。SaaS运营平台的出现，为应用程序的开发带来了新的挑战，产品的安全由平台上SaaS软件厂商链条中最弱的一个决定，也就是短板效应。

　　ACL和密码保护策略也是SaaS软件成熟度的标志。客户可在自己系统中修改相关策略。有些厂商还推出了浏览器插件来保护客户登录安全。而在最近半年，国外厂商频繁地开始让用户登录后回答自己预设的秘密保护问题和答案，也是一种为了安全的保护策略，因中国人对这种密码保护策略没有使用习惯，所以在国内还没有广泛的推广开来。