数字档案馆系统政府版：从零搭建到安全上线的全流程指南

一、系统架构设计与技术选型

一个稳定、安全的数字档案馆系统，其基础是合理的架构。政府版系统对安全性、可靠性和长期保存有更高要求，建议采用以下分层解耦架构。

1.1 核心架构组件

系统由四个主要层次构成：

• 表现层：提供Web管理界面和对外API接口，供档案管理员和经授权的第三方系统调用。
• 应用层：包含档案采集、整理、保管、利用等所有业务逻辑服务。
• 数据层：分为结构化数据（档案元数据、用户权限）和非结构化数据（电子档案原文、音视频）两部分存储。
• 基础设施层：提供计算、网络、安全等底层支撑。

1.2 具体技术栈选型

基于开源、可控、成熟的原则，推荐以下技术组合：

• 后端框架：Spring Boot 2.7.x (Java 17)，提供完善的生态和政府项目经验。
• 数据库：PostgreSQL 14，用于存储所有结构化数据，支持JSON类型存储半结构化元数据。
• 文件存储：MinIO对象存储，用于保存电子档案原文，支持分布式部署和WORM（一次写入多次读取）模式。
• 全文检索：Elasticsearch 7.17，为海量档案提供毫秒级检索能力。
• 缓存：Redis 6.2，缓存热点数据和会话信息。
• 前端：Vue 3 + Element Plus，构建响应式管理后台。

1.3 服务器资源规划

针对中小型档案馆，最低配置要求如下：

• 应用服务器：4核CPU / 8GB内存 / 100GB SSD 2台（主备）
• 数据库服务器：4核CPU / 16GB内存 / 500GB SSD 1台
• 文件存储服务器：8核CPU / 32GB内存 / 10TB HDD（按需扩展） 3节点
• 所有服务器操作系统统一为CentOS Stream 8或Ubuntu Server 20.04 LTS。

二、基础环境与依赖安装

以下操作在所有服务器上以root用户执行，或在命令前加sudo。

2.1 系统基础环境配置

首先更新系统并安装必要工具：

``` yum update -y && yum install -y wget curl vim net-tools git 如果是Ubuntu系统，使用： apt update && apt upgrade -y && apt install -y wget curl vim net-tools git ```

关闭防火墙或配置放行规则（生产环境建议后者）：

``` systemctl stop firewalld && systemctl disable firewalld 或配置放行端口，例如放行8080端口： firewall-cmd --zone=public --add-port=8080/tcp --permanent firewall-cmd --reload ```

配置服务器时间同步，确保档案时间戳准确：

``` yum install -y chrony systemctl start chronyd && systemctl enable chronyd chronyc sources -v ```

2.2 Java运行环境安装

在应用服务器上安装OpenJDK 17：

``` wget https://download.java.net/java/GA/jdk17.0.2/dfd4a8d0985749f896bed50d7138ee7f/8/GPL/openjdk-17.0.2_linux-x64_bin.tar.gz tar -xzf openjdk-17.0.2_linux-x64_bin.tar.gz -C /usr/local/ echo 'export JAVA_HOME=/usr/local/jdk-17.0.2' >> /etc/profile echo 'export PATH=$JAVA_HOME/bin:$PATH' >> /etc/profile source /etc/profile java -version ```

2.3 数据库安装与初始化

在数据库服务器上安装PostgreSQL 14：

``` CentOS 8 dnf install -y https://download.postgresql.org/pub/repos/yum/reporpms/EL-8-x86_64/pgdg-redhat-repo-latest.noarch.rpm dnf -qy module disable postgresql dnf install -y postgresql14-server /usr/pgsql-14/bin/postgresql-14-setup initdb systemctl enable postgresql-14 systemctl start postgresql-14 ```

配置数据库远程访问和创建档案库：

``` 修改pg_hba.conf，添加一行允许所有IP访问（生产环境应限制IP） echo "host all all 0.0.0.0/0 md5" >> /var/lib/pgsql/14/data/pg_hba.conf 修改postgresql.conf，监听所有地址 sed -i "s/listen_addresses = 'localhost'/listen_addresses = ''/g" /var/lib/pgsql/14/data/postgresql.conf systemctl restart postgresql-14 切换到postgres用户创建数据库和用户 su - postgres psql -c "CREATE USER archive_admin WITH PASSWORD 'YourStrongPassword123!';" psql -c "CREATE DATABASE digital_archive OWNER archive_admin;" psql -d digital_archive -c "CREATE SCHEMA archive_schema AUTHORIZATION archive_admin;" exit ```

三、核心服务部署与配置

3.1 MinIO对象存储部署

在文件存储服务器上部署MinIO集群（以3节点为例，IP分别为192.168.1.101-103）：

在每个节点上执行：

``` wget https://dl.min.io/server/minio/release/linux-amd64/minio chmod +x minio mkdir -p /data/minio ```

创建启动脚本/etc/systemd/system/minio.service，内容如下：

``` [Unit] Description=MinIO Documentation=https://docs.min.io Wants=network-online.target After=network-online.target AssertFileIsExecutable=/usr/local/bin/minio [Service] WorkingDirectory=/usr/local/ User=root Group=root EnvironmentFile=-/etc/default/minio ExecStart=/usr/local/bin/minio server http://192.168.1.101/data/minio http://192.168.1.102/data/minio http://192.168.1.103/data/minio Restart=always LimitNOFILE=65536 [Install] WantedBy=multi-user.target ```

启动服务：

``` cp minio /usr/local/bin/ systemctl daemon-reload systemctl enable minio systemctl start minio systemctl status minio ```

访问任一节点的9000端口，使用默认账号密码（minioadmin/minioadmin）登录，立即修改默认密码，并创建名为archive-bucket的存储桶。

3.2 后端应用部署

在应用服务器上，获取并配置应用：

``` git clone https://github.com/example/digital-archive-backend.git cd digital-archive-backend ```

编辑src/main/resources/application-prod.yml配置文件：

``` server: port: 8080 spring: datasource: url: jdbc:postgresql://你的数据库IP:5432/digital_archive?currentSchema=archive_schema username: archive_admin password: YourStrongPassword123! driver-class-name: org.postgresql.Driver data: redis: host: 你的RedisIP port: 6379 password: your-redis-password minio: endpoint: http://你的MinIO节点IP:9000 accessKey: 你的MinIO访问密钥 secretKey: 你的MinIO私有密钥 bucketName: archive-bucket elasticsearch: host: 你的ESIP port: 9200 ```

使用Maven打包并启动：

``` ./mvnw clean package -DskipTests nohup java -jar target/digital-archive-1.0.0.jar --spring.profiles.active=prod > archive.log 2>&1 & ```

验证应用是否启动：curl http://localhost:8080/api/health，应返回{"status":"UP"}。

3.3 前端管理界面部署

在另一台应用服务器或同一台服务器上部署前端：

``` git clone https://github.com/example/digital-archive-frontend.git cd digital-archive-frontend npm install ```

编辑.env.production文件，配置后端API地址：

``` VUE_APP_API_BASE_URL=http://你的后端应用IP:8080/api ```

构建生产版本：

``` npm run build ```

安装Nginx并配置静态服务：

``` yum install -y nginx cp -r dist/ /usr/share/nginx/html/ ```

编辑Nginx配置/etc/nginx/nginx.conf，在http块内添加：

``` server { listen 80; server_name 你的服务器IP或域名; location / { root /usr/share/nginx/html; index index.html index.htm; try_files $uri $uri/ /index.html; } 代理API请求到后端 location /api/ { proxy_pass http://你的后端应用IP:8080/api/; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; } } ```

启动Nginx：systemctl start nginx && systemctl enable nginx。

四、系统初始化与安全加固

4.1 系统管理员初始化

通过前端界面或API初始化系统。首次访问http://你的前端IP，会跳转到初始化页面。需要填写：

• 超级管理员账号：建议使用admin
• 密码：必须包含大小写字母、数字和特殊字符，长度至少12位
• 档案馆名称、机构代码等元数据

初始化完成后，使用该账号登录系统。

4.2 核心安全配置

1. 数据库安全：修改PostgreSQL默认端口（可选），并限制访问IP。

2. 应用层安全：在后端应用配置中启用HTTPS和JWT令牌过期时间。

编辑application-prod.yml，添加：

``` server: ssl: enabled: true key-store: classpath:keystore.p12 key-store-password: your-keystore-password key-store-type: PKCS12 key-alias: tomcat jwt: expiration: 7200000 令牌2小时后过期 secret: YourJWTSecretKeyShouldBeVeryLongAndRandom! ```

3. 文件存储安全：在MinIO控制台，为archive-bucket设置WORM（合规性）模式，防止文件被篡改或删除。

4.3 备份策略配置

创建每日自动备份脚本/root/backup_archive.sh：

``` !/bin/bash BACKUP_DIR="/backup/archive/$(date +%Y%m%d)" mkdir -p $BACKUP_DIR 备份数据库 pg_dump -h 数据库IP -U archive_admin -d digital_archive -F c -b -v -f "$BACKUP_DIR/archive_db.backup" 备份MinIO元数据（通过mc工具） /usr/local/bin/mc mirror --overwrite local/archive-bucket $BACKUP_DIR/minio-data/ 保留最近7天备份 find /backup/archive -type d -mtime +7 -exec rm -rf {} \; ```

添加定时任务：crontab -e，添加一行0 2 /bin/bash /root/backup_archive.sh（每天凌晨2点执行）。

五、档案录入与利用实操

5.1 档案门类与元数据方案定义

登录系统后，进入“系统设置”-“元数据管理”。

1. 点击“新增门类”，例如“文书档案”。
2. 为该门类添加元数据字段：点击门类后的“字段管理”，添加“题名”、“文号”、“责任者”、“成文日期”、“页数”、“保管期限”、“密级”等字段，并设置字段类型（文本、日期、下拉框等）。
3. 为“保管期限”字段设置下拉选项：“永久”、“30年”、“10年”。

5.2 单件/批量档案录入

单件录入：

1. 进入“档案管理”-“档案录入”。
2. 选择门类“文书档案”。
3. 逐项填写元数据表单。
4. 在“原文上传”区域，点击“选择文件”，上传PDF或OFD版式文件。系统将自动计算文件哈希值（MD5），作为电子档案的唯一指纹。
5. 点击提交，档案进入“待整理”状态。

批量录入：

1. 点击“批量导入”，下载模板Excel文件。
2. 在Excel中填写多件档案的元数据。
3. 将对应的电子原文文件放入指定文件夹，并在Excel“文件路径”列填写相对路径。
4. 选择填写好的Excel文件和原文文件夹，点击上传。系统将自动解析并逐件入库。

5.3 档案检索与利用

普通检索：在首页检索框输入关键词，系统将在全档案库的题名、责任者、文号等字段中进行全文检索。

高级检索：点击“高级检索”，可组合多个条件进行精确查询，如“保管期限=永久 AND 成文日期在2020-01-01至2022-12-31之间”。

档案利用：

1. 检索到目标档案后，点击“查看详情”。
2. 如需借阅，点击“申请借阅”，填写利用目的和期限。
3. 具有审批权限的管理员在“利用管理”-“借阅审批”中处理申请。
4. 申请通过后，用户可在“我的借阅”中在线预览档案原文（系统采用水印、防下载等技术保护）。

5.4 统计与报表

系统提供预置报表：

• 进入“统计报表”-“档案统计”，可查看按年度、门类、保管期限、密级等维度的数量统计图表。
• 进入“利用统计”，可查看档案借阅次数、热门档案排行等数据。
• 所有报表均支持导出为Excel。