一、项目概述
1.1 项目背景
本项目旨在建设一套全域智能认证与统一门户平台，解决企业内部多套业务系统独立认证、登录体验割裂、待办信息分散、移动端入口不统一等问题。通过 CAS 统一身份认证为核心，集成门户聚合、移动端 App、AI 智能应用，构建"一次认证、全域通行、一屏聚合、智能辅助"的企业级数字化统一入口。
1.2 项目目标
- 统一身份：以员工工号为全系统唯一身份标识，实现全域统一认证
- 统一门户：聚合待办、消息、新闻公告、业务数据到统一入口
- 统一移动：提供 Android + 鸿蒙 App，支持 H5 自适应访问
- AI 赋能：集成企业知识库、智能合同审核、物资价格查询等 AI 能力
- 全面集成：完成 13 套业务系统 + 3 套待建设系统的对接
- 安全合规：满足安可（安全可靠）要求，全栈国产化适配
1.3 项目范围
项目建设范围涵盖以下四大核心领域：
- 身份认证平台：多因子认证、CAS/OAuth2.0/SAML 协议支持、跨终端自适应登录
- 门户平台：PC + 移动端门户展示、待办/消息集成、权限管理、AI 应用嵌入
- 移动端 App：Android/鸿蒙原生 App、零信任集成、设备绑定、离线推送
- 用户与安全体系：组织架构管理、权限分配、审计日志、安全策略、系统监控
1.4 约束条件
| 维度 | 约束 | 说明 |
|---|---|---|
| 工期 | 合同签订后 5 个月 | 含开发、对接、测试、部署、验收全流程 |
| 安可要求 | 全栈国产化 | 麒麟操作系统 + 达梦数据库 + 国产中间件 |
| 性能 | 并发用户 10000+ | 不限制注册用户数和在线人数 |
| 可用性 | 全年在线 99% | 7×24 小时运维保障 |
| 运维 | 1 年免费运维 | 验收后起算，含驻场支持 |
| 对接费用 | 乙方自行承担 | 第三方系统改造、适配费用全部由乙方承担 |
二、总体架构
2.1 系统架构全景
┌─────────────────────────────────────────────────────────────────────┐
│ 访问层 (Access Layer) │
│ ┌──────────────┐ ┌──────────────┐ ┌────────────────────────────┐ │
│ │ PC 浏览器 │ │ 移动端 App │ │ 第三方系统 / API 调用方 │ │
│ │ (B/S 架构) │ │ (Android/鸿蒙) │ │ (ESB / 直连 API) │ │
│ └──────┬───────┘ └──────┬───────┘ └──────────────┬─────────────┘ │
│ │ │ │ │
├─────────┼──────────────────┼──────────────────────────┼──────────────┤
│ 认证网关层 (Auth Gateway) │ │
│ ┌────────────────────────────────────────────────────────────────┐ │
│ │ 统一认证中心 │ 多因子鉴权 │ CAS/OAuth2.0/SAML │ 零信任集成 │ │
│ └────────────────────────────────────────────────────────────────┘ │
│ │ │
├─────────┼──────────────────────────────────────────────────────────┤
│ 业务服务层 (Business Layer) │
│ ┌─────────────┐ ┌──────────────┐ ┌───────────┐ ┌───────────────┐ │
│ │ 门户服务 │ │ 待办/消息 │ │ 用户管理 │ │ AI 服务 │ │
│ │ (拖拽模块) │ │ (聚合推送) │ │ (组织架构) │ │ (知识库/分析) │ │
│ └─────────────┘ └──────────────┘ └───────────┘ └───────────────┘ │
│ │ │
├─────────┼──────────────────────────────────────────────────────────┤
│ 数据集成层 (Integration Layer) │
│ ┌─────────────────────────────────────────────────────────────┐ │
│ │ ESB 总线 │ 数据同步 │ 接口适配 │ 协议转换 │ 消息队列 │ │
│ └─────────────────────────────────────────────────────────────┘ │
│ │ │
├─────────┼──────────────────────────────────────────────────────────┤
│ 外部系统层 (External Systems) │
│ 安全生产 │ 承包商 │ 设备完整性 │ EAM │ 实时数据库 │ 生产调度 │
│ OA办公 │ 华锦邮箱 │ 档案管理 │ 综合管理平台 │ 深信服零信任 │
└─────────┴──────────────────────────────────────────────────────────┘
2.2 技术栈要求
| 层级 | 技术组件 | 要求 |
|---|---|---|
| 操作系统 | 麒麟（最新版本） | 安可要求，国产 OS |
| 数据库 | 达梦数据库 | 安可要求，业务/日志分库 |
| 中间件 | 国产中间件 | 由乙方提供，满足系统要求 |
| 服务器 | 国产超融合服务器 | 由甲方提供 |
| 认证协议 | CAS / OAuth2.0 / SAML / OpenID / REST / Digest | 主流协议全支持 |
| 移动端 | Android SDK + 鸿蒙 SDK | 原生 App + H5 自适应 |
| 推送服务 | 极光推送（或同等） | App 离线消息推送 |
| 零信任 | 深信服零信任 | App 集成，内外网无感判断 |
三、关键需求指标
13+
需对接业务系统
10000+
并发用户支撑
99%
全年在线可用率
5 个月
项目施工期限
7×24
全天候技术支持
8+
鉴权方式支持
四、身份认证模块
4.1 鉴权方式矩阵
系统需支持多元化身份认证，平台管理员可根据用户工作方式分别配置 PC 端与移动端的默认鉴权方式。
| 鉴权方式 | 适用终端 | 说明 |
|---|---|---|
| 账号密码验证 | PC + 移动 | 基础认证方式，支持自定义密码规则 |
| 短信验证码 | 移动为主 | 支持密码忘记时短信重置 |
| APP 扫码 | PC | 移动端 App 扫码登录 PC 端 |
| IP 认证 | PC | 基于 Remote Address Authentication，内网信任 |
| 指纹识别 | 移动 | 移动端生物识别 |
| 人脸识别 | 移动 | 移动端生物识别 |
| USBKey 证书 | PC | 硬件证书认证，高安全场景 |
| 零信任认证 | 移动（外网） | 深信服零信任集成，外网强制校验 |
4.2 认证配置能力
- 终端自适应：统一登录入口，PC/移动端自动适配展示，无需安装插件
- 排他登录：可配置是否启用单点登录排他（同账号异地登录时自动踢出）
- 强制手机绑定：可配置是否强制绑定手机号码
- 第三方接入 SDK：提供 Android SDK、iOS SDK，以及 JSP、JAVA、ASP、PHP、C、C#、VB 等多语言接入支持
- 标准化 API 文档：对外提供规范、完整的认证接入指南
4.3 协议兼容性
系统需兼容以下主流认证协议：
CAS OAuth 2.0 SAML OpenID REST Protocol Digest Authentication Remote Address Authentication
同时支持 B/S 和 C/S 系统认证，覆盖 PC 端和移动端全终端。
4.4 CAS 对接要求
- 需完成 7 套业务系统的 CAS 统一身份认证对接
- OA办公系统、华锦邮箱、档案管理系统待建设，建成后乙方免费负责指导接入
- 需要包括非 CAS 认证的老旧系统，以密码代填方式接入平台
- 涉及第三方系统改造、适配等费用，均由乙方自行承担
- 以员工工号作为全系统唯一身份标识
接入标准
乙方需协助甲方制定完整、规范的身份认证接入标准和待办接入标准，提供技术支持和测试环境。后续新增系统接入时，乙方需无偿提供技术支持与对接服务。
五、门户平台
5.1 门户展示与集成模块
门户作为统一信息聚合入口，需集成以下模块：
基础模块
- 个人中心、待办事项、统一搜索
- 新闻、公告、文档中心、导航
- 工具资源下载
业务数据模块（从外部系统获取）
- 考勤数据、参保信息、绩效考核
- 生产指标、作业票据、设备运行情况
- 企业经营指标
综合管理平台子功能接入
- 投资管理、采购业务、合同审批
- 员工安全一体化、制度建设、合理化建议
- 处理待办时需无感跳转到相应子功能内处理
5.2 门户交互能力
- 模块位置支持自由拖拽调整
- 模块内信息可按时间、内容、类别等条件进行检索与排序
- 支持接入身份认证系统无感切换
- 支持角标提醒（待办或消息数量）
5.3 权限管理
- 多维度角色体系：集团级、部门级、岗位级等多维度角色，支持新增/编辑/删除
- 差异化展示：基于角色实现门户页面、模块内容的差异化展示
- 一键停用：支持一键停用接入的子系统功能（含待办等相关功能）
5.4 待办/消息接入标准
- 点击待办或消息时，直接跳转并弹出流程处理页面，免登录、免查找、一键直达
- 待办任务办结后，自动从门户待办模块中移除
- 消息阅读后，状态变更为已阅
- 支持后台按系统设置开关，分系统设置推送信息至 App
六、移动端
6.1 应用形态
- 提供 Android 和鸿蒙系统的 App 安装包
- 提供 Pad、手机端 H5 自适应页面访问地址
6.2 零信任集成
- 集成深信服零信任，实现用户无感登录
- 智能判断内外网逻辑：内网无需调用零信任认证，外网必须通过零信任认证
6.3 App 内唤醒第三方
支持在本 App 内唤醒第三方业务 App，包括但不限于：
- OA 系统 App
- 承包商系统 App
- 作业票系统 App
6.4 设备与账号管理
- 首次登录成功自动绑定设备，可设置绑定设备数量
- 用户可自行解绑设备，管理员可在后台强制解绑
- PC 端也进行设备绑定，同账号在线时别处登录则当前账户自动登出
- 对登录终端数量进行限制
6.5 消息推送
- 消息推送、待办提醒等实时提醒
- 支持 App离线提醒（采用极光或其他工具推送）
- 消息推送接口封装为公共接口，方便其他系统调用
- 用户可自定义是否接收消息，管理员支持后台批量设置
6.6 用户体验
- 支持 App 内字体大小调节，适配不同使用场景
七、AI 应用
7.1 企业知识库与内部知识助手
- 搭建企业专业知识库和内部知识助手
- 通过平台快速访问各类专业知识资源
- 支持用户快速查询企业制度、业务流程、技术文档等内容，实现高效检索
7.2 智能化合同审核
- 实现合同执行情况 AI 分析
- 通过流程可视化方式，清晰展现合同全流程执行进度、节点完成情况及异常提醒
7.3 智能查询
- 支持物资价格查询、合同查询、库存查询
- 结合 AI 技术提升查询效率与精准度
八、用户体系
8.1 组织架构与用户管理
- 创建、修改、删除、批量导入/导出用户及组织机构信息
- 修改用户状态、解除锁定用户密码、重置用户密码、修改账号有效期
- 临时用户可定义使用时长，到期后自动停用
- 支持单独和批量调整用户信息、部门信息
- 支持定义用户组（按省份、界别等维度划分）
8.2 开放 API
用户体系对外至少提供以下 API：
- 获取部门列表
- 获取部门详细信息
- 获取用户列表
- 获取用户详细信息
- 获取用户组
8.3 数据同步
- 未接入主数据前，通过 ESB 总线实时从《综合管理平台》获取组织架构信息
- 预留人员与组织架构的主数据接口，方便后期与主数据平台同步
- 完成业务系统的用户信息同步：新建、变更、注销等信息变化时同步
- 人员离职时在认证系统中增加触发机制，用户无法登录（各业务系统人员状态增加标识）
九、安全管理
9.1 登录安全
- 支持图形验证码和滑块验证码，可任意切换
- 支持配置密码错误上限和冻结时间
- 多次登录密码错误，账户自动锁定（次数由管理员配置）
- 同一 IP 多次错误登录，IP 自动锁定（次数由管理员配置）
- 密码忘记支持短信验证码重置
9.2 密码规则
支持灵活的密码策略配置，包括但不限于：
- 首次登录修改密码
- 限制连续字母、连续数字
- 密码有效期设置
- 特殊字符要求
- 不包含账号信息
- 支持自定义正则表达式
9.3 日志与审计
- Web 监控统计：认证任务监控、数据历史统计、仪表盘
- 审计日志：记录登录登出操作，以及登录后的所有增/删/改操作，支持按用户名称过滤
- 系统日志：记录常规信息、错误信息、忽略信息，支持查看/检索/导出/清空
- 登录日志多维度统计分析
- 接口调用审计：记录调用用户、地址、时间、调用行为和结果，支持多条件过滤
9.4 数据安全
- 支持业务数据与日志数据分库分表，分别部署和备份
- 支持系统告警：针对特定事件或异常情况发送 Email 通知给预设人员
- 已知程序漏洞及时修补
十、系统对接清单
关键约束
乙方需主动与对接清单中各系统厂商沟通对接事宜。若涉及系统改造、适配等费用，均由乙方自行承担。
10.1 已建系统对接（7 套）
| 序号 | 系统名称 | 版本 | 对接内容 | 优先级 |
|---|---|---|---|---|
| 1 | 安全生产综合管控平台 | V1.0 | CAS认证、移动端唤醒App、获取待办、获取消息、同步用户/组织架构 | 高 |
| 2 | 承包商系统 | V1.0 | CAS认证、移动端唤醒App、获取待办、获取消息、同步用户/组织架构 | 高 |
| 3 | 设备完整性系统 | V1.0 | CAS认证、获取待办、获取消息（若有）、同步用户/组织架构 | 中 |
| 4 | EAM设备管理系统 | Maximo 7.6 | CAS认证、获取待办、获取消息、同步用户/组织架构 | 中 |
| 5 | 实时数据库系统 | iSYS 5.3 | CAS认证、获取待办（若有）、获取消息（若有）、同步用户/组织架构 | 中 |
| 6 | 生产调度指挥系统 | messUIT 4.1 | CAS认证、获取待办（若有）、获取消息（若有）、同步用户/组织架构 | 中 |
| 10 | 综合管理平台 | V3.5.1 | CAS认证、获取待办、获取消息（若有）、获取考勤/考核/测评信息、获取用户/组织架构 | 高 |
10.2 待建设系统对接（3 套，建成后免费接入）
| 序号 | 系统名称 | 对接内容 | 状态 |
|---|---|---|---|
| 7 | OA办公系统 | CAS认证、移动端唤醒App、获取待办、获取消息、同步用户/组织架构、同步新闻/公告 | 待建设 |
| 8 | 华锦邮箱 | CAS认证、获取消息、同步用户/组织架构 | 待建设 |
| 9 | 档案管理系统 | CAS认证、获取待办、获取消息（若有）、同步用户/组织架构 | 待建设 |
10.3 基础设施对接（3 项）
| 序号 | 对接项 | 说明 |
|---|---|---|
| 11 | 深信服零信任 | App 需集成零信任接口，实现外网认证 |
| 12 | 短信验证码模块 | 集成短信验证码，用于登录和重置密码 |
| 13 | App 离线推送 | 集成极光信息推送（或同等方案） |
10.4 对接模式分析
从对接内容维度，可归纳为以下 5 类集成模式：
| 集成模式 | 说明 | 涉及系统数 |
|---|---|---|
| CAS 认证对接 | 统一身份认证，单点登录 | 10 套业务系统 |
| 待办数据获取 | 聚合待办信息到门户 | 7 套（含 3 套待建设） |
| 消息数据获取 | 聚合消息到门户和 App | 7 套（含 3 套待建设） |
| 用户/组织架构同步 | 统一用户体系，ESB 实时同步 | 7 套（含 3 套待建设） |
| 移动端 App 唤醒 | App 内唤醒第三方业务 App | 3 套 |
十一、部署架构
11.1 部署模式
系统支持以下多种部署方式：
- 集中式部署：单一机房统一部署
- 分布式部署：跨网络、跨机房复杂环境，支持数据同步与交换，实时监控节点在线/离线状态，可远程登录下级节点管理
- 跨网闸部署：适应内外网隔离的安全架构
- 集群部署：多节点负载均衡，支撑 10000+ 并发
11.2 基础设施要求
| 组件 | 提供方 | 说明 |
|---|---|---|
| 超融合国产服务器 | 甲方 | 基础计算资源 |
| 麒麟操作系统（最新版） | 乙方 | 提供授权并安装 |
| 达梦数据库 | 乙方 | 提供授权并安装 |
| 中间件 | 乙方 | 满足系统要求 |
11.3 数据库分库分表
- 业务数据与日志数据分库分表
- 分别进行部署和备份
11.4 安可合规
乙方提供的所有软件必须符合安可（安全可靠）要求，全栈国产化适配。
十二、服务要求
12.1 施工期限
自合同签订起 5 个月内完成全部项目实施。
12.2 驻场与人员保障
| 阶段 | 驻场人数 | 要求 |
|---|---|---|
| 建设期 | ≥ 2 名中高级开发/运维 | 常驻现场，负责开发、对接、调试 |
| 质保期 | ≥ 1 名中高级开发/运维 | 每月不少于 3 天驻场 |
- 驻场人员需熟悉系统架构、业务流程、数据库结构及接口逻辑
- 人员轮换需提前报备并完成工作交接
- 建立专属服务对接群，配备技术负责人、开发工程师、运维专员
12.3 7×24 小时响应与故障处置
| 问题等级 | 响应时间 | 修复时间 | 说明 |
|---|---|---|---|
| 普通问题 | 2 小时内 | — | 响应对接 |
| 一般故障 | — | 12 小时内 | 完成修复解决 |
| 紧急故障 | 立即响应 | 最短时间恢复 | 宕机/业务中断/数据异常，优先处置 |
12.4 免费优化服务（质保期内）
- 因第三方平台调整、业务流程微调、对接规范变更导致的接口/逻辑/页面变动：免费修改
- 微小功能调整、页面优化、字段新增、权限配置调整：免费定制
- 配合上级对接、数据上报、格式适配改造：免费配合
12.5 培训与文档
- 编制完整售后服务方案（服务范围、流程、分级响应机制、考核标准、服务承诺）
- 为甲方管理人员、业务操作人员提供专项培训
- 同步更新部署文档、操作手册、接口文档、维护手册
十三、风险分析与建议
13.1 技术风险
| 风险 | 影响 | 建议 |
|---|---|---|
| 第三方系统对接复杂度 7 套已建系统 + 多版本（Maximo 7.6、iSYS 5.3、messUIT 4.1 等） |
对接周期可能超出预期，影响整体工期 | 项目启动后第一时间与各系统厂商建立对接通道，提前获取接口文档，制定对接排期 |
| 老旧系统非 CAS 接入 密码代填方式接入 |
安全性降低，可能存在凭据泄露风险 | 采用加密凭据存储 + 令牌代理方式替代明文代填，增加审计日志监控 |
| 国产化适配 麒麟 OS + 达梦数据库 + 国产中间件 |
兼容性问题可能影响性能和稳定性 | 开发早期即在目标环境进行适配测试，避免后期大范围返工 |
| 高并发性能 10000+ 并发用户 |
认证高峰期可能成为瓶颈 | 认证服务无状态化设计，支持水平扩展；引入缓存层减少 DB 压力 |
| AI 能力集成 知识库、合同审核、物资查询 |
AI 效果不确定，可能影响用户体验 | 先期采用规则引擎 + 检索增强（RAG）混合方案，逐步迭代优化 |
13.2 项目风险
| 风险 | 影响 | 建议 |
|---|---|---|
| 工期紧张 5 个月完成开发 + 10+ 系统对接 + 安可适配 |
整体交付可能延期 | 采用分阶段交付策略：先核心认证 + 门户，再分批对接系统 |
| 3 套待建设系统 OA、邮箱、档案管理未开工 |
这些系统的建成时间不确定，可能影响项目验收 | 在合同中明确：这 3 套系统建成后接入时间窗口，不影响主体项目验收 |
| 乙方承担对接费用 第三方系统改造适配费用 |
费用预算可能超支 | 项目启动前完成各系统对接成本评估，纳入项目预算 |
13.3 架构设计建议
- 微服务架构：认证、门户、用户管理、消息推送等模块拆分为独立微服务，便于独立扩展和维护
- API 网关：统一入口管理，实现鉴权、限流、路由、审计
- 消息队列：待办/消息异步推送，解耦业务系统，提高可靠性
- 缓存层：用户信息、权限配置、系统配置等高频读数据引入 Redis 缓存
- 灰度发布：支持新功能灰度上线，降低变更风险
十四、实施路线图建议
基于 5 个月工期约束，建议采用分阶段交付策略：
| 阶段 | 时间 | 核心交付 | 里程碑 |
|---|---|---|---|
| Phase 0: 准备期 | 第 1-2 周 | 需求确认、架构设计、环境搭建、对接通道建立 | 设计评审通过 |
| Phase 1: 核心平台 | 第 3-8 周 | 身份认证核心功能、CAS 基础对接、用户体系、安全管理 | 认证平台可用，≥3 套系统完成 CAS 对接 |
| Phase 2: 门户 + 移动端 | 第 9-14 周 | 门户平台、待办/消息聚合、移动端 App 开发、零信任集成 | 门户上线，App 可用，剩余系统对接完成 |
| Phase 3: AI + 优化 | 第 15-18 周 | AI 知识库、合同审核、物资查询、性能优化、安可适配 | AI 功能上线，全栈安可适配完成 |
| Phase 4: 联调 + 验收 | 第 19-20 周 | 全系统联调、压力测试（10000+ 并发）、安全测试、文档交付 | 验收通过 |
关键路径
第三方系统对接是本项目最大关键路径。建议 Phase 0 即开始与各系统厂商建立对接通道，并行推进认证核心开发与对接适配工作，避免因对接延迟影响整体交付。