ASP.NET应用系统网络架构的安全机制研究.doc

《ASP.NET应用系统网络架构的安全机制研究.doc》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、ASP.NET应用系统网络架构的安全机制研究摘要介绍了基于ASP.NET平台B/S架构的应用系统网络安全的设计，分析了B/S三层网络架构的安全机制，给出了通过身份验证、权限控制、数据加密、存储过程访问数据库等手段实现系统的安全性的技术要点。关键词ASP.NET；B/S架构；身份验证；存储过程1引言随着Internet技术的发展和基于Web开发平台的推出，B/S结构逐渐取代了传统的C/S结构，成为了主流结构。B/S结构是一种以HTTP为传输协议，客户端通过浏览器访问Web服务器以及与之相连的后台数据库的体系结构。B/S

2、构架具有良好的跨平台性、可扩展性和易更新升级等优点，正是B/S架构的这种开放性的特点，也对网络系统的安全体系的设计和实现提出了新的要求。本文以应用系统的开发为例，阐述了ASP.NET平台下开发B/S结构的应用系统的安全设计，从系统架构、角色及用户权限控制、数据库访问等方面分析了如何保障数据和系统的安全。2基于ASP.NET的三层网络架构的安全性系统基于Windows2000Server操作系统，采用ASP.NET实现Web服务器与数据库的连接，后台数据库为SQLServer2000系统，以VisualStudio.n

3、et为系统开发平台，采用B/S的三层架构。三层是由显示层、中间层、数据层组成。显示层是利用浏览器为客户提供应用服务的图形界面，负责直接跟用户进行交互；中间层位于显示层和数据层之间，由应用服务器和Web服务器实现系统的业务逻辑功能；数据层是三层中的最底层，负责数据的存储和访问。每层的功能非常清晰，层与层之间不能跨越，客户端不直接与数据库进行交互，而是通过COM/DCOM通讯与中间层建立连接，中间层经过ADO.NET实现对数据层的数据进行访问，实现了显示、数据、逻辑的分开，减少了耦合度。ASP.NET在网页中使用基于事件

4、的处理，显示层的页面代码和后台的代码分离，系统采用C#作为后台代码的语言。.NET中可以方便地实现组件的装配，后台代码通过命名控件可以方便地使用自己定义的组件。显示层放在ASP页面中，数据库操作和业务逻辑用组件来实现，方便地实现了三层架构，减少入口点，防止客户端被破坏而给数据库带来损失的风险，保证系统的安全。3ASP.NET应用的安全性系统利用ASP.Net与MicrosoftInternet信息服务联合起来协同工作提供了优秀的安全控制，包括身份验证和权限控制两部分。身份验证是对发送请求信息的用户进行身份识别，一旦验

5、证通过，权限控制程序就会决定用户是否有权限访问所调用的资源。3ASP.NET支持三种类型的身份验证，分别是Windows身份验证、表单身份验证、Passport身份验证。基于表单的验证，是三种验证方式中最灵活的一种。基于表单的验证服务使用Cookies来验证用户，Cookie是一小段文本信息，伴随着用户请求和页面在Web服务器和浏览器之间传递，用户每次访问站点时，Web应用程序都可以读取Cookie包含的信息。在登录页面中，用户输入用户名和密码，提交该页面送回服务器，应用程序根据存储在数据库中的数据来验证请求，用户通

6、过验证后，ASP.NET发出一个Cookie，里面包括了为此用户产生的一个有效的身份票据，该身份票据是用户进行系统访问的“通行证”。在随后发出的请求页面的请求报头里包含此Cookie，如果没有通过验证则用户被重新定位到登录页面。身份票据的确定可以根据应用需求而设计。一般系统中身份票据由用户名和用户标识号构成。系统的权限控制采用基于角色的访问控制，权限赋予角色，角色分配给用户。一个用户可拥有多个角色，一个角色可授权给多个用户。用户不直接与权限相连，而是通过所属的角色享有权限，实现了用户与访问权限的逻辑分离，极大地方便了

7、权限管理。一般来讲角色数要少于用户数，这样可以通过更改角色的权限实现对大批量用户权限的更新，不必一个一个地设定用户的权限，从而降低了管理的成本。系统有多个功能模块，可以根据需要设定多个角色，定制角色的权限就是设定每个角色针对不同功能的权限，对每个功能都包括五种权限：浏览权限、查询权限、添加权限、修改权限、删除权限。分别代表可以对此功能页面下的数据执行浏览、查询、添加、修改、删除操作。角色的权限设定后只需给用户分配角色即可，同一个用户可属于多种角色，不过他对某一功能的操作权限是取此用户所属几个角色中对此功能最高的权限。

8、系统可以根据情况添加、删除、修改角色，定制角色的权限，通过这种角色的权限定义可以实现各种复杂的安全策略。通过权限控制，保障了合法用户顺利实现系统功能，禁止了非授权用户对系统的入侵。在显示页面的时候，根据用户所属角色的不同，显示不同的页面。在登录页面中，用户输入凭证用户名和密码，系统验证通过后，根据输入的用户名得到所属的角色，根据角色和功能权限的