1 引言

Web應(yīng)用程序是當(dāng)今多數(shù)企業(yè)應(yīng)用的前沿陣地。Web應(yīng)用程序在一個(gè)復(fù)雜的混合性架構(gòu)中可以發(fā)揮多種不同的功能。其涉及范圍極廣，從在最新的云技術(shù)上運(yùn)行的面向服務(wù)的方案，到較老的多層Web應(yīng)用程序，再到準(zhǔn)許客戶訪問(wèn)大型主機(jī)上老應(yīng)用程序的Web入口，都有其應(yīng)用。管理與這些復(fù)雜的Web應(yīng)用程序相關(guān)的風(fēng)險(xiǎn)是公司的必然要求，而且運(yùn)行這些Web應(yīng)用程序的底層代碼的安全性直接影響到公司應(yīng)用程序可用數(shù)據(jù)的風(fēng)險(xiǎn)態(tài)勢(shì)。不幸的是，開發(fā)可重復(fù)的高效Web應(yīng)用程序的安全實(shí)踐并非一項(xiàng)簡(jiǎn)單任務(wù)。許多單位試圖運(yùn)用后生產(chǎn)（poST-production）解決方案來(lái)提供安全控制，如Web應(yīng)用防火墻和入侵防御系統(tǒng)等。

2 口令驗(yàn)證

Web安全處理的第一步便是驗(yàn)證，即對(duì)于請(qǐng)求信息的用戶驗(yàn)證其身份。用戶使用證件表明其身份。最常用的就是用戶名和密碼。在驗(yàn)證用戶身份時(shí)，若系統(tǒng)不能根據(jù)用戶的證件確定其身份，則身份驗(yàn)證失敗，用戶將被拒絕訪問(wèn)；若證件有效，則允許用戶進(jìn)入系統(tǒng)，并被賦予一個(gè)合法的已知身份。

口令驗(yàn)證是根據(jù)用戶知道什么進(jìn)行驗(yàn)證的一個(gè)例子，是目前最廣泛的身份驗(yàn)證方法，雖然其安全性比其他幾種方法差，但簡(jiǎn)單易行，如果使用恰當(dāng)，可以提供一定程度的安全保證。防止口令泄漏是這一方法中的關(guān)鍵問(wèn)題。

口令一般是由字母、數(shù)字和特殊字符等組成的字符串，其選擇原則：①用戶容易記憶；②難于被別人猜中或發(fā)現(xiàn)；③抗分析能力強(qiáng)；④限制使用期限，可經(jīng)常更換。

目前主要有2種口令生成方法：①由用戶自己選擇口令。②由系統(tǒng)自動(dòng)生成隨機(jī)的口令。前者優(yōu)點(diǎn)是用戶很容易記住它，一般不會(huì)忘記。因?yàn)樗x的口令往往與用戶的某些特征有關(guān)，如生日、配偶名、電話號(hào)碼等，正因?yàn)檫@樣，口令很容易被猜出來(lái)，泄漏的機(jī)會(huì)較大。較好的方法是設(shè)計(jì)一個(gè)口令生成器，隨機(jī)地為用戶生成口令。這種方法帶來(lái)的困難是用戶記憶非常困難，即使這個(gè)字符串不長(zhǎng)，要讓一個(gè)人記住它也不是一件容易的事。口令的管理很麻煩，用戶的口令要嚴(yán)格保密，不能被其他用戶得到。口令更不能以明文的形式存放在系統(tǒng)中，這樣口令很容易泄漏。因此，必須使用數(shù)據(jù)加密的方法將口令以密文的形式存放在系統(tǒng)中。

ASP.NET 的事件模型是由以及數(shù)個(gè) Hidden Field 組合而成，基于 HTTP 模型的限制，所有的網(wǎng)頁(yè)程序在運(yùn)行結(jié)果輸出到用戶端后，程序就會(huì)退出運(yùn)行，為了維護(hù)在 ASP.NET 網(wǎng)頁(yè)與控件的狀態(tài)數(shù)據(jù)，因此在輸出 ASP.NET 控件時(shí)，ASP.NET 會(huì)將部份狀態(tài)數(shù)據(jù)儲(chǔ)存到網(wǎng)頁(yè)的 Hidden Field 中，這類型的狀態(tài)數(shù)據(jù)稱為 ViewState（ID 為 __VIEWSTATE），在服務(wù)器端即會(huì)被解譯出狀態(tài)與事件數(shù)據(jù)。3種驗(yàn)證模式分別為Windows、Forms和Passport.Windows驗(yàn)證是通過(guò)I2S實(shí)現(xiàn)：Forms驗(yàn)證是在開發(fā)人員自己的服務(wù)器上實(shí)現(xiàn)：而Passport驗(yàn)證則是通過(guò)微軟公司的訂閱服務(wù)實(shí)現(xiàn)。

2.1 Windows驗(yàn)證

ASP是一項(xiàng)微軟公司的技術(shù)，是一種使嵌入網(wǎng)頁(yè)中的腳本可由因特網(wǎng)服務(wù)器執(zhí)行的服務(wù)器端腳本技術(shù)。指ActiveServerPages（動(dòng)態(tài)服務(wù)器頁(yè)面），運(yùn)行于IIS之中的程序。ASP.net構(gòu)架是可以用Microsoft（R）公司最新的產(chǎn)品VisualStudio.net開發(fā)環(huán)境進(jìn)行開發(fā)，WYSIWYG（WhatYouSeeIsWhatYouGet所見(jiàn)即為所得）的編輯。這些僅是ASP.net強(qiáng)大化軟件支持的一小部分。

當(dāng)用戶請(qǐng)求ASP.NET頁(yè)面時(shí)，請(qǐng)求信息首先遇到的是Web服務(wù)中的Internet信息服務(wù)。Internet信息服務(wù)首先驗(yàn)證用戶身份，或者將驗(yàn)證工作交給ASP.NET應(yīng)用程序。這種Windows身份驗(yàn)證過(guò)程如圖l所示。

2.1. l 基本身份驗(yàn)證

除了根本不進(jìn)行驗(yàn)證外，基本身份驗(yàn)證是一種最簡(jiǎn)單的驗(yàn)證方式，也是一種收集用戶證件的行業(yè)標(biāo)準(zhǔn)方法。

基本身份驗(yàn)證的步驟：①客戶向服務(wù)器請(qǐng)求被限制的資源；②Web服務(wù)器以"401 unauthoried"進(jìn)行響應(yīng)；③客戶端瀏覽器接收到這條信息后，要求用戶輸入用戶名和密碼來(lái)進(jìn)行驗(yàn)證；④如果驗(yàn)證失敗，用戶證件無(wú)效，則會(huì)返回"2",重新以"401 Unauthoried"響應(yīng)；⑤如果驗(yàn)證成功，客戶瀏覽器便通過(guò)身份驗(yàn)證，可以訪問(wèn)請(qǐng)求資源。

2.1.2 Windows域服務(wù)器的摘要式驗(yàn)證

域名服務(wù)器的全稱是Domain Name Server,一種程序，它保存了一張域名（domain name）和與之相對(duì)應(yīng)的IP地址 （IP address）的表，以解析消息的域名。 域名是Internet上某一臺(tái)計(jì)算機(jī)或計(jì)算機(jī)組的名稱，用于在數(shù)據(jù)傳輸時(shí)標(biāo)識(shí)計(jì)算機(jī)的電子方位（有時(shí)也指地理位置）。域名是由一串用點(diǎn)分隔的名字組成的，通常包含組織名，而且始終包括兩到三個(gè)字母的后綴，以指明組織的類型或該域所在的國(guó)家或地區(qū)。

摘要式身份驗(yàn)證，提供了與基本身份驗(yàn)證同一樣的功能，在通過(guò)網(wǎng)絡(luò)往服務(wù)器傳送用戶證件信息時(shí)提高了安全性。摘要式驗(yàn)證會(huì)使用MD5哈希算法加密來(lái)處理用戶證件資料。由于此項(xiàng)處理是單向，就算有人從網(wǎng)絡(luò)上將它們截取下來(lái)，也無(wú)法解譯成原來(lái)的用戶名與密碼，從而保證服務(wù)器資源的安全性。

2.1.3 集成Windows身份驗(yàn)證

Windows標(biāo)志windows中文是窗戶的意思。另外還有微軟公司推出的視窗電腦操作系統(tǒng)名為windows.隨著電腦硬件和軟件系統(tǒng)的不斷升級(jí)，微軟的windows操作系統(tǒng)也在不斷升級(jí)，從16位、32位到64位操作系統(tǒng)。從最初的windows1.0到大家熟知的windows95、NT、97、98、2000、Me、XP、Server、Vista,Windows 7各種版本的持續(xù)更新，微軟一直在盡力于Windows操作的開發(fā)和完善。

集成Windows身份驗(yàn)證時(shí)，將不會(huì)要求用戶輸入證件。相反，當(dāng)瀏覽器連接到服務(wù)器后，即將加密后的、用戶登錄計(jì)算機(jī)時(shí)使用的信息發(fā)送給服務(wù)器。服務(wù)器檢查這些信息，以確定用戶是否有權(quán)訪問(wèn)。

2.2 窗體驗(yàn)證

窗體驗(yàn)證，即驗(yàn)證用戶證件資料。在ASP.NET中，可以選擇由ASP.NET應(yīng)用程序通過(guò)窗體驗(yàn)證進(jìn)行身份驗(yàn)證，而不是通過(guò)I2S.窗體驗(yàn)證是ASP.NET驗(yàn)證服務(wù)，它能夠讓應(yīng)用程序擁有自己的登錄界面。當(dāng)用戶試圖訪問(wèn)被限制的資源時(shí)，便會(huì)被重定向至登錄界面，而不是彈出登錄對(duì)話框。在登錄頁(yè)面中，可以自行編寫代碼驗(yàn)證用戶的證件資料。

安全處理流程如圖2所示。

在登錄界面中提交按鈕的Click事件處理程序中，可檢查用戶輸入的證件資料，從而判斷證書資料是否正確，也就是身份驗(yàn)證的過(guò)程。根據(jù)證件資料不同的存放位置，可以將驗(yàn)證方式劃分為以下3種。

（1）在代碼中直接驗(yàn)證設(shè)計(jì)人員可以直接在代碼中將用戶輸入的證件資料一一對(duì)比，從而判斷用戶證件資料是否正確。

（2）利用數(shù)據(jù)庫(kù)實(shí)現(xiàn)驗(yàn)證在代碼中直接對(duì)比用戶的證件資料，不僅麻煩而且代碼也難以維護(hù)。當(dāng)用戶很多時(shí)，驗(yàn)證會(huì)顯得十分麻煩。這時(shí)，可將用戶列表信息先存儲(chǔ)在數(shù)據(jù)庫(kù)里，然后在login_btn_Click（）方法中編寫代碼從數(shù)據(jù)庫(kù)取出用戶資料，再逐一對(duì)比，如果有相符者，則通過(guò)驗(yàn)證。

（3）利用配置文件實(shí)現(xiàn)驗(yàn)證在配置文件中，使用子元素的項(xiàng)定義用戶名和密碼，即將正確的用戶證件資料存儲(chǔ)在配置文件中。當(dāng)用戶登錄時(shí)單擊"登錄"按鈕，可以在其Click事件處理程序中調(diào)用FormsAuthentication,Authenticate（）方法，系統(tǒng)便會(huì)自動(dòng)地將用戶所輸入的信息與項(xiàng)中的用戶名與密碼相比較，如果相符，則可通過(guò)驗(yàn)證。

2.3 Passoort驗(yàn)證

Passport驗(yàn)證是微軟公司提供的一種驗(yàn)證服務(wù)，其工作原理與窗體驗(yàn)證類似，只是無(wú)需創(chuàng)建任何自定義的功能。這兩種方法都是在客戶端創(chuàng)建Cookie,用于授權(quán)。使用Passport驗(yàn)證時(shí)，用戶將被重定向至Passport登錄網(wǎng)頁(yè)，該頁(yè)面提供了一個(gè)非常簡(jiǎn)單的窗體讓用戶填寫用戶驗(yàn)證資料，窗體將通過(guò)Passport服務(wù)來(lái)檢查用戶的證件，以確定用戶的身份是否有效。如果用戶證件通過(guò)了驗(yàn)證，則為它在客戶端計(jì)算機(jī)上建立一個(gè)驗(yàn)證Cookie.

建立Passport驗(yàn)證的關(guān)鍵一步是正確地設(shè)置Web.config文件，使用代碼如下所示：

3 授權(quán)

用戶通過(guò)驗(yàn)證，并且取得自己的身份后，就必須檢查其是否擁有訪問(wèn)所請(qǐng)求資源的權(quán)限，此過(guò)程便稱為"授權(quán)".例如，在機(jī)密的政府機(jī)構(gòu)中，如果有人想進(jìn)入某些房間，則首先必須檢查其是否擁有進(jìn)入該房間的權(quán)限。

在Windows系統(tǒng)中，大部分的文件都會(huì)擁有一個(gè)訪問(wèn)控制列表。不僅會(huì)列出有哪些用戶或者用戶組訪問(wèn)該資源，而且詳細(xì)地指出了每個(gè)用戶或者用戶組所能夠運(yùn)行的訪問(wèn)類型一能否讀取、寫入、修改和刪除等。

在ASP.NET中，授權(quán)方式主要有2種，它可以依賴Windows指出通過(guò)驗(yàn)證的用戶可訪問(wèn)哪些資源，稱之為文件授權(quán)；也可依賴被請(qǐng)求資源的URL,被稱為URL授權(quán)。下面的這段代碼可實(shí)現(xiàn)對(duì)多個(gè)目錄的權(quán)限控制：

URL授權(quán)由UrlAuthorizationModule HTTP模塊控制，該模塊的行為由存儲(chǔ)于web.config文件的中的設(shè)置驅(qū)動(dòng)。在URL授權(quán)的最后階段，需要指出的是，只有ASP.NET資源受到監(jiān)控。通常，基于URL的授權(quán)很少與Windows身份驗(yàn)證一起使用，URL授權(quán)對(duì)于Forms身份驗(yàn)證則更有效。

4 模擬

ASP.NET的另一項(xiàng)重要安全功能便是用戶賬戶模擬。默認(rèn)狀態(tài)下，ASP.NET不啟用模擬，而是執(zhí)行所有的代碼，應(yīng)用程序可訪問(wèn)所有的文件與文件夾，這時(shí)必須采用其他的安全措施控制訪問(wèn)權(quán)限。

圖3詳細(xì)說(shuō)明了用戶為獲得安全資源的訪問(wèn)權(quán)限需要經(jīng)歷的過(guò)程。

使用模擬功能，ASP.NET能夠以訪問(wèn)應(yīng)用程序的用戶身份來(lái)執(zhí)行頁(yè)面。即若用戶以"Winters"身份來(lái)訪問(wèn)資源，則ASP.NET將把自己模擬成"Winters"來(lái)使用服務(wù)器上的各項(xiàng)資源，并根據(jù)該用戶的權(quán)限限制或者允許ASP.NET訪問(wèn)某些資源，從而實(shí)現(xiàn)數(shù)據(jù)的安全性。模擬用戶的流程圖如圖4所示。

ASP.NET應(yīng)用程序是系統(tǒng)資源的用戶，需要訪問(wèn)文件、內(nèi)存等，因此在默認(rèn)狀態(tài)下，ASP.NET應(yīng)用程序進(jìn)程有非常大的權(quán)限，幾乎可訪問(wèn)系統(tǒng)提供的任何資源。但有時(shí)可能根據(jù)需要通過(guò)使用ASP.NET應(yīng)用程序的用戶身份來(lái)限制對(duì)資源的使用，這便要運(yùn)用模擬功能，讓ASP.NET模擬用戶身份運(yùn)行程序。

5 結(jié)語(yǔ)

綜上所述，是通過(guò)開發(fā)《圖片管理系統(tǒng)》中對(duì)ASP.NET安全性的探討。文章中的例子包括程序代碼段都是在開發(fā)過(guò)程中應(yīng)用的、經(jīng)過(guò)驗(yàn)證的、也是運(yùn)行通過(guò)的。有關(guān)于ASP.NET安全性問(wèn)題有待于繼續(xù)探討。