c#第14章 web应用程序的安全性

《c#第14章 web应用程序的安全性》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第14章Web应用程序的安全性在Web应用程序开发中，经常会涉及与用户交互的过程。不同用户的权限是不同的，要实现不同用户的权限分配，就要涉及用户、角色管理、用户登录等。这样的操作能加强应用程序的安全性。另外，对程序进行优化也可以增加安全性。在本章中，将介绍Web应用程序安全性的相关内容。14.1应用程序的安全控制随着互联网经济和文化的不断兴起，保证Web应用程序的安全性，显得越来越重要。在Web开发中，保证安全性对于一些特定的行业来说占据了举足轻重的地位。例如网上银行、在线办公、电子邮件、管理私密文件的信息系统等。14.1.1为什么要保障应用程序的安全性应用程序的安全越

2、来越影响人类的生活。假如当在网上购物的时候，电子银行口令被人盗取，然后取走存款，这就是对于一个人的经济损失。但是，如果是一个银行、国家机密、企业客户资源等遭受这种损失，那么后果是无法估量的。特别是当今入侵技术更加成熟和多样化的今天，保障应用程序的安全性更是重中之重的工作。14.1.2保障应用程序的安全都有哪些措施保障应用程序的安全性，有着相当重要的意义。对于日常管理Web应用程的过程中，已有一些公义的标准措施，可以实现应用层级别上的安全保障。下面列出了适用于所有Web应用程序应当遵循的最低安全性准则。14.2配置Web应用程序的身份验证类型通过配置Web.config文

3、件，应用程序可以实现身份类型验证。在Web应用程序中，IIS提供了5种身份验证机制：基本身份验证、简要身份验证、集成Windows身份验证、证书身份验证和匿名身份验证。本节主要介绍常用的两种：集成Windows身份验证和Forms身份验证。14.2.1使用集成Windows身份验证所谓集成Windows身份验证，就是在访问某一网络或本地主机时，Windows的用户名和密码如果与被查看的主机所需要的用户名和密码相同，就可以直接访问。否则，需要手工输入用户名和密码后才能访问。14.2.2使用Forms身份验证所谓Forms身份验证，其实就是使用客户端重定向功能，将不能通过身

4、份验证的用户重定向到特定的登录窗体中。这个过程有点类似于错误处理功能，它是在Web.config文件中配置的。同样，Forms身份验证也可以在Web.config文件中配置。14.3配置Web应用程序中的权限对Web应用程序进行权限配置，对于系统安全来说非常重要。在ASP.NET中，有一整套相当成熟的规则，可以直接在Web.config文件中进行配置，然后就可以对应用程序的访问权限进行配置了。本节将介绍allow授权和deny拒绝授权。它们是两种常见的授权方式。14.3.1应用allow授权配置关于allow授权，读者们可以从字面意义上都看得出，它就是允许做某事，允许的

5、对象就是应用程序中的用户了。allow元素用于向存储在authorization元素中的授权规则中，添加一条允许对资源访问的授权规则。可以使用users或/和roles属性。14.3.2应用deny拒绝授权配置deny元素和allow一样，也是向存储在authorization元素中的授权添加规则，添加一条拒绝对资源访问的授权规则，以控制对URL资源的访问权限。同样，它也是两个属性：users和roles属性。它们在这里也是用户和角色的意思。14.4详解用户管理对象在一个Web应用程中存在不同的用户。应用程序要能对这些用户进行区别和管理，如哪些是合法的，哪些是非法的等，

6、就要求应用程序有管理用户对象的功能。本节介绍两种主要管理方式：Membership用户管理和MembershipUser用户管理。14.4.1什么是用户管理对应用程序中的用户进行添加、更新、查找、验证等操作就是简单的用户管理。用户管理是一个极为重要的工作。在一个程序中，特别是多用户系统中，不同的用户拥有不同的角色。对这些用户进行区别也是用户管理的一项内容。14.4.2什么是Membership用户管理类Membership类用于验证用户凭据并管理用户设置。Membership类可以独自使用，或者与FormsAuthentication一起使用，以创建一个完整的Web应用

7、程序或网站的用户身份验证系统。Login控件封装了Membership类，从而提供一种便捷的用户验证机制。14.4.3什么是MembershipUser用户类MembershipUser对象主要用于表示成员资格。该对象公开有关成员资格用户的信息，例如电子邮件地址等，并且可以为有成员资格的用户提供相关功能，例如更改或重新设置密码的功能等。14.4.4用户管理的关键配置——成员资格提供程序ASP.NET成员资格可以验证和管理Web应用程序的用户信息。它提供验证用户凭据、创建和修改成员资格用户及管理用户设置，例如密码和电子邮件地址等功能。ASP