零门槛搭建企业级数字档案制度建设技术实操手册

上述SQL创建了两个核心表，并预留了file_hash字段用于后续的完整性校验，这是技术落地中防止数据篡改的关键一环。

三、自动化归档服务开发与部署

为了实现“零门槛”操作，我们需要编写一个自动化脚本，监听/data/archive/incoming目录。一旦有新文件进入，自动计算哈希、移动文件至正式库，并写入数据库。

创建脚本文件/usr/local/bin/auto_archive.sh：

!/bin/bash
WATCH_DIR="/data/archive/incoming"
ARCHIVE_BASE="/data/archive/archive"
DB_USER="archive_admin"
DB_PASS="SecurePass123!"
DB_NAME="archive_db"
LOG_FILE="/var/log/archive_service.log"
监听创建和移动事件
inotifywait -m -r -e create -e moved_to --format '%w%f' "$WATCH_DIR" | while read FILEPATH
do
if [ -f "$FILEPATH" ]; then
FILENAME=$(basename "$FILEPATH")
FILE_SIZE=$(date -r "$FILEPATH" +%s)
计算MD5
MD5_HASH=$(md5sum "$FILEPATH" | awk '{print $1}')
简单逻辑：默认归档到当前年度的文书档案-永久目录
CURRENT_YEAR=$(date +%Y)
TARGET_DIR="${ARCHIVE_BASE}/${CURRENT_YEAR}/文书档案/永久"
移动文件
mv "$FILEPATH" "${TARGET_DIR}/${FILENAME}"
NEW_PATH="${TARGET_DIR}/${FILENAME}"
写入数据库
PGPASSWORD="$DB_PASS" psql -U "$DB_USER" -d "$DB_NAME" -c \
"INSERT INTO archives (file_name, file_path, file_hash, file_size, category, retention_period, uploader) \
VALUES ('${FILENAME}', '${NEW_PATH}', '${MD5_HASH}', ${FILE_SIZE}, '文书档案', '永久', 'system_auto');"
echo "$(date '+%Y-%m-%d %H:%M:%S') - Archived: $FILENAME to $NEW_PATH" >> "$LOG_FILE"
fi
done

赋予脚本执行权限并配置Systemd服务以实现开机自启和后台运行：

sudo chmod +x /usr/local/bin/auto_archive.sh

创建Systemd服务文件/etc/systemd/system/archive-monitor.service：

[Unit]
Description=Archive Auto-Monitor Service
After=network.target postgresql.service
[Service]
Type=simple
User=root
ExecStart=/usr/local/bin/auto_archive.sh
Restart=on-failure
RestartSec=5s
[Install]
WantedBy=multi-user.target

启动服务的命令如下，这是让自动化规则生效的最后一步：

sudo systemctl daemon-reload
sudo systemctl enable archive-monitor
sudo systemctl start archive-monitor
sudo systemctl status archive-monitor

四、细粒度访问控制（ACL）配置

制度建设要求不同角色对档案拥有不同权限。Linux传统的UGO权限模型无法满足复杂需求，必须使用ACL（Access Control Lists）。假设我们需要设置一个用户zhangsan，他只能读取“文书档案”，不能写入。

sudo adduser zhangsan
sudo usermod -a -G archive_group zhangsan

 设置默认ACL，确保新创建的文件继承权限
sudo setfacl -R -d -m g:archive_group:r-x /data/archive/archive
sudo setfacl -R -m g:archive_group:r-x /data/archive/archive
针对特定用户的精细化控制
sudo setfacl -R -m u:zhangsan:r-x /data/archive/archive/2024/文书档案

getfacl /data/archive/archive/2024/文书档案

sudo apt-get install -y python3-pip
pip3 install psycopg2-binary

import psycopg2
import hashlib
import os
def verify_archives():
conn = psycopg2.connect(
dbname="archive_db",
user="archive_admin",
password="SecurePass123!",
host="localhost"
)
cur = conn.cursor()
获取所有active状态的档案
cur.execute("SELECT id, file_path, file_hash FROM archives WHERE status='active'")
rows = cur.fetchall()
for row in rows:
arch_id, file_path, db_hash = row
if not os.path.exists(file_path):
print(f"[ERROR] ID {arch_id}: File missing at {file_path}")
continue
计算当前文件哈希
with open(file_path, 'rb') as f:
current_hash = hashlib.md5(f.read()).hexdigest()
if current_hash != db_hash:
print(f"[ALERT] ID {arch_id}: Hash mismatch! DB:{db_hash} vs File:{current_hash}")
else:
print(f"[OK] ID {arch_id}: Integrity verified.")
cur.close()
conn.close()
if __name__ == "__main__":
verify_archives()

python3 /usr/local/bin/verify_integrity.py