网站规划建设与安全管理 教学课件 作者 尹强飞 第6章.ppt

《网站规划建设与安全管理 教学课件 作者 尹强飞 第6章.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第6章网站的安全与发布网站安全技术6.1Windows身份验证6.2网站安全技术的案例分析6.3网站编译方案6.4网站发布方案5.5在网络上经常听到“黑客”一词，主要就是指利用计算机软件技术对网络上的某些WEB应用程序进行攻击，从而达到破坏、盗取、篡改系统的数据的用户。因此，我们在使用ASP.NET开发网站或企业项目系统时，系统安全性已经成为了首要考虑的关键问题。不仅需要保护应用程序的敏感信息，还要防止非法用户的恶意攻击，而且要防止竞争对手窃取信息或知识产权。在选择应用程序设计安全模式时，需要从业务角度了解应用程序安全性的要求，从而选择合理的安全模式。6.1网站安全技术网站安全技术通

2、常情况下，大多数网站都允许匿名访问，因此Internet上的任何用户都可以进入网站并且查看网站中的信息。如果想创建一个网站，只对已注册的用户开发，可以通过设置Web安全性来限制用户的访问权限。身份验证技术任何成功的应用程序安全策略的基础都是稳固的身份验证和授权手段，及提供机密数据的保密性和完整性的安全通讯。身份验证（Authentication）是一个标识应用程序客户端的过程，这里的客户端可能包括终端用户、服务、进程或计算机，通过了身份验证的客户端称为主体（Principal）。身份验证可以跨越应用程序的多个层发生。终端用户起初由Web应用程序进行身份验证，通常根据用户名和密码进行，

3、随后终端用户的请求由中间层应用程序服务器和数据库服务器进行处理，在这个过程中也将进行身份验证以便验证并处理这些请求。ASP.NET身份验证模式包括Windows、Forms（窗体）、Passport(护照)和None(无)4种。1．Windows身份验证使用这种身份验证模式时，ASP.NET依赖于IIS对用户进行验证，并创建一个Windows访问令牌来表示已通过验证的标识。IIS提够以下几种身份验证机制：★基本身份验证。★简要身份验证。★集成Windows身份验证。★证书身份验证。★匿名身份验证。2．Passport护照身份验证使用这种身份验证模式时，ASP.NET使用Microso

4、ftPassport的集中式身份验证服务，ASP.NET为MicrosoftPassport软件开发包（SDK）所提供的功能提供了一个方便的包装（Wrapper）。此SDK必须安装在Web服务器上。3．Forms窗体身份验证这种验证方式使用客户端重定向功能，将未通过身份验证的用户转发到特定的登录窗体，要求用户输入凭据信息（通常是用户名和密码）。这些凭据信息被验证后，系统生成一个身份验证票证（ticket）并将其返回客户端。身份验证票证可在用户的会话期间维护用户的身份标识信息，以及用户所属的角色列表（可选）。4．None使用这种身份验证模式，表示不希望对用户进行验证，或是采用自定义的身

5、份验证协议。Web.Config加密与解密技术ASP.NET2.0里提供了对配置直接加密的功能。在配置文件里几处配置可能包含敏感信息，例如节，它可能包含连接数据库的用户名和密码。节可能包含runtime使用模拟账户的用户名和密码，甚至可能在配置文件的appSettings里或在自定义节里包含共享WebService使用的密码。不管哪种情况，都不希望密码以明文的方式存放在配置文件里。在ASP.NET中可通过以下两种方式来加密配置节。其一，使用ASP.ENTIIS注册工具（Aspnet_regiis.exe）加密或解密Web配置文

6、件的节。其二，使用System.Configuration命名空间中的受保护配置类，来加密或解密Web配置文件里各节、可执行文件（.exe）的配置文件的各节或计算机级和应用程序级配置文件的各节。主要使用SectionInformation类的ProtectSection方法和UnprotectSection方法来加密解密配置节的信息。在.net2.0中使用ConfigurationManager和WebConfigurationManager类可以很好的管理配置文件，ConfigurationManager类在System.Configuration中，WebConfiguratio

7、nManager在System.Web.Configuration中。可以使用WEBConfigurationManager所提供的方法来访问配置文件的特定节。这些方法将返回一个Configuration对象，而该对象又提供处理基础配置文件所需的方法和属性。可以按如下所示访问这些文件以进行读取或写入。1．读取操作使用GetSection或GetSectionGroup读取配置信息。在进行读取操作的用户或进程必须具有配置层次结构级别下对配置文件的读取权限及对