主题：【讨论】回应对12306.cn网站的技术质疑 -- 忘情
从使用上，与铁道部新买大量的服务器放在北京或分散到多个城市没有区别。
从售票上，只要保证某次车本身数据的一致性，甚至只需要保证分配给某个车站的某次车数据的一致性就足够了，不同车次的数据并不需要关联。
08年以前南京车站也曾实行过网络售票，与现在不同的只是不在网上付款，是订好票后给个流水号，在第二天二十四小时内到任一售票处去付款取票。只能订分配给南京站的票，这说明了网络售票并不需要把全国所有票一致在一起。
分散的所有权、管理权，必然需要分散的技术支持和运维。而不同路局的技术实力相差很大，运维能力相差也很大，硬件配置差别也不小。看起来是省了一些钱，实际情况估计会华更多的钱和时间。
难道你的意思是，各个路局各自建设、维护自己的网站，再把数据统一到另外一个集中的站点，用户是在各个路局的网站上买票，而不是在统一的12306上买？如果真的是这样的话，你提出了一个异常复杂的技术问题和各路局之间的政治问题。票的分配、剩票的再分配，无论从技术、实时性（用户满意度的关键），还是路局之间的抢票、扯皮，那都是需要神来解决的。当然，这样的话，就可以多几个承包商来做了，有钱大家分了。至于效果，我觉得不会好于现在的情况。
票的分配，路局之间是由铁道部统一分，路局只能管分到自己局的这部分。某次车途经各站可以售的票是预先分配好的，每个车站只能卖分配给自已的票，不存在卖票时各站的抢票问题。
举个例子（具体数字只是打个比方），比如南京到北京的T66，满员一千人，南京站可以卖其中五百张到北京的，蚌埠徐州各两百张，德州100张，同时南京站可以卖200张到蚌埠的，蚌埠到徐州、德州的短程票另分。已经分到其他站的票是抢不来的，对没卖完的票，前面站发车后还没卖出的座号，才可能通知下站卖，没卖出的卧铺由车上卖给已上车的旅客。
同时各车站卖票所得钱款并不是谁卖谁得，都得上交到铁道部结算中心按一定的规则分配，谁卖的票谁提成多，所以车站不会有票不卖的。
即使已经分配到站的票，放哪卖也是预先分好的，留票多少，网上、电话、窗口各卖多少都是分好的，网络、电话没卖完的到最后几天才会放在窗口卖，留票可能放到最后一天上窗口。也不存互相抢的问题。
上面这清楚了，分散服务器的问题也就清楚了。也举T66的例子：所有T66的数据放在上海局（南京归上海局管）的服务器上，12306只管查询和转链接。在于2306上查好车次，选择要买的车次时自动转到上海局后服务器上，以后的操作都在此进行。
不管各局技术能力相差多大，局里的服务器是不能停的。不管路局间怎么扯皮，分票的事是上网前已经扯完了，不存在到卖票时再扯的问题。
这一句话就能说明上面那几万字白写了。
按天统计可能有点不科学，一天的访问量如果全集中在几分钟时间内，可能这些网站都要出点问题哦。非专业人士，纯属猜测，勿拍
先说票的分配，凭什么分给某个路局这么多票，如果这个路局的票没有卖完是否可以转给其他路局卖，怎么转，什么时候转，是开卖几天之后转，还是开车前几小时确认还有剩票再转？这些是不是都是问题？并且，这样分配的结果，其实还是老的思路，从票务资源的统一、整合，更有效的利用这个角度，是又退了回去。
至于技术方面的运维能力，那可真不是一般的差别，对于某个路局很轻松的问题，对于别的路局可能就是天大问题。如果只是为了利用他们的硬件，完全可以买下来集中管理和运维。
至于技术问题对哪个路局也不是问题，照理说西部技术能力比较差吧，08年在新疆就可以在区内任一售票点买到全区内任一车站任一车次的车票。
但是春节的时候就头大了，不过这也确实不影响网上售票
每秒钟发一次订票请求，对活人也是不可能的任务。
是铁路自己运行的CA和证书，他首页有根证书导入链接的。不过对大多数普通用户都是，就算有证书，也根本不会理会警告，点确定的主。
我就知道有人会说这个,自己的证书很容易伪造的,我也可以弄一个很像的网站运行我自己的CA和证书,名字跟他那个一样,这样做给骗子留下了很大的空间.
不明白这个，就算是12306用了VeriSign签发的证书又如何？对于假网站还不是简单的accept&&continue？而且相当多的用户缺乏基本的安全意识，直接从baidu搜“网上买火车票”之类的关键词找12306，能不中招么？
就是信任的问题，比如B是一个网站不知道真假，但B有A颁发的证书，A是被大家信任的发证机构，而B在获得证书之前已经给A提交了必要的证明文件来证明自己的身份。所以大家可以信任B的身份。
如果B不去申请A发的证书而是自己给自己发一个证，那么谁都可以来模仿B,而用户根本没有办法来辨识。
举个例子，你的护照是公安局或外交部发的，那么不认识你的人因为公安局和外交部的公信力而相信你具有护照上表明的身份。但你自己给自己做一本护照，发证机关是你自己，那么别人根本不知道你是不是具有这个身份，而且骗子很容易伪造你的身份，因为你的证是自己发的。
详细的可以参考这个帖子
一句话，花了几亿的一个项目连根证书都没有，实在是不专业，完全没有安全意识，而且实在是说不过去。
除了技术方面，用户的安全意识也很重要，甚至更重要。单纯从技术上来讲，12306自发的证书和VeriSign发的证书没有区别，只是VeriSign的根证书被预制在Windows里罢了，在现今的网络环境里，用户如果对PKI/CA系统如何起作用完全不理解，给什么证书甚至不用证书都点确认的话，那用VeriSign的证书或自签发的证书没有任何区别，很不幸，大多数用户都是这样的人，碰到证书错误提示只会点确定，更别提还有很多人的操作系统都是用来源值得怀疑的“萝卜”、“沐雨淋风”之类的“美化版”安装的。因此12306即使去买VeriSign签发的证书也只能保护少数知道证书错误提示真正含义的用户。当然我并不认为12306自己做证书的行为是正确的，我猜正是假以安全之名，他们才被要求做“自主”的证书。至于链接引文里的CRL问题，是他的PKI体系建设问题。