基于ＡＳＰ．ＮＥＴ的Ｗｅｂ網絡應用程序開發的安全策略實踐

楊曉明　雷光輝　何青建

摘要：Web網絡應用開發中，安全性是要考慮的關鍵問題，本文通過開發系統實踐，從系統規劃階段、設計開發階段、發布運行階段三個方面詳細闡述安全策略的實現，總結出如何充分利用ASP.NET的安全機制、數據庫安全控制、增強管理員網絡安全防范意識，構建一個性能安全的Web應用程序。

關鍵詞：Web應用程序；web.config；認證和授權；視圖；存儲過程

1 前言

微軟公司推出的ASP.NET，可以非常方便和高效地規劃、設計、開發和發布Web網絡應用程序。筆者利用ASP.NET為新疆職工培訓中心開發了運行在校園網上的網絡辦公管理系統。該系統分為管理部門和教學部門兩個角色，實現了數據存儲、瀏覽查詢和教學分析統計功能，提高了培訓中心的信息化管理和校園網的利用價值。在整個系統的開發過程中，考慮最多的就是安全問題，相信這也是所有開發人員開發Web網絡應用程序所必須面對的問題。因此本文針對基于ASP.NET的Web網絡應用程序開發的安全問題，以我們開發的系統為例，從3個方面來闡述實際解決策略：

（1）系統規劃階段的安全策略；

（2）設計開發階段的安全策略；

（3）發布運行階段的安全策略。

希望我們的實踐能對利用ASP.NET開發Web網絡應用程序的相關技術人員提供參考和借鑒。

2 安全策略實踐

2.1系統規劃階段

Web網絡應用程序，就是運行在Web應用服務器上的一個虛擬目錄及其子目錄下的所有文件、網頁、模塊以及可執行代碼的總和。根據系統需求分析，用戶分為管理部和教學部（對數據的操作權限有區分），因此建立兩個目錄分別存放相應的網頁文件。另外，還有數據庫文件夾、樣式文件夾、網頁模版文件夾等。而對數據庫表的操作文件放在特殊的文件夾bin下，因為該目錄是禁止任何瀏覽器訪問的，從而避免了遠程客戶下載代碼的可能性。應用程序根目錄下除了上述目錄外，還有兩個重要的應用程序級文件:global.asax 和web.config（下文詳細分析）。總之，文件目錄的規劃是按類別存放文件，重要文件存在bin目錄下。

2.2設計開發階段

主要從后臺的數據庫設計、配置文件web.config及前臺界面設計三個內容，著重闡述對安全問題的解決策略。

2.2.1數據庫設計

為了提高訪問數據的效率和安全性，能在后臺做的事情，就在后臺完成，能分開獨立做的事情，就分開獨立實現。

（1）充分利用后臺數據庫系統的視圖和存儲過程，如：創建帶參數的視圖，實現不同角色身份的用戶對各自權限范圍內的數據訪問。

（2）報表設計及實現：Web應用程序實現動態報表，開始考慮用ASP.NET的數據控件Repeater，可以自由定義靈活的顯示方式，但通常比較麻煩，而且在代碼中字段名要出現，即：使用數據容器Container.DataItem("字段名")方式來顯示數據內容，降低了數據安全性。我們的做法是利用Bussiness Object 公司開發的專業報表軟件CrystalReports10設計報表，通過ODBC數據源與數據庫連接，生成報表文件（*.rpt）后，在前臺利用報表控件CrystalReprotViewer，將報表文件加載到頁面實現各種報表。這種把數據源、報表文件、和頁面顯示文件分開獨立實現，不僅豐富了報表顯示樣式和提高了網絡報表生成效率，而且極大地提高了訪問數據的安全性。

（3）用戶口令存儲問題：不要將實際的口令存儲在數據庫表中，因為口令直接放在數據庫或文件中存在安全隱患，因此要存儲加密后的口令。使用時，例如當用戶登錄時，對口令加密，然后與數據庫中存放的加密口令進行比較。實現步驟如下：

首先，導入命名空間：<%@ Import Namespace="System.Web.Security" %>

其次，編寫加密函數EncrytPwd：

Function EncrytPwd(Pwd as String,PwdFormat as String)

If PwdFormat="MD5" then

'下面一行得到用MD5算法加密后的字符串

EncrytPwd=FormsAuthentication.HashPasswordForStoringInConfigFile(Pwd,"MD5")

'下面一行得到用SHA1算法加密后的字符串

Else if PwdFormat="SHA1"then

EncrytPwd=FormsAuthentication.HashPasswordForStoringInConfigFile(Pwd,"SHA1")

End if

End Function

2.2.2 配置文件web.config 的安全設置

web.config文件是一個簡單的XML文件，專門用于為應用程序配置系統設定、安全性設定、應用程序設定和會話設定。下面分5個內容介紹安全實踐策略。

(1) 數據庫連接字符串常量：Web應用程序網頁要大量用到數據庫連接，為了提高程序安全性、通用性和可移植性，在配置文件中設置數據庫連接字符串常量是很好的方法，在應用程序的web.config文件中添加如下語句：

<ａｐｐＳｅｔｔｉｎｇｓ>

<ａｄｄｋｅｙ＝＂ｓｑｌｃｏｎｎｔｉｏｎ＂ｖａｌｕｅ＝＂ｓｅｒｖｅｒ＝ｌｏｃａｌｈｏｓｔ；ｕｉｄ＝ｓａ；ｐｗｄ＝ｓａ；ｄａｔａｂａｓｅ＝ｙｙ；＂／>

<／ａｐｐＳｅｔｔｉｎｇｓ>

網頁文件使用時，用下列代碼實現數據庫連接：

Dim strConn As String

strConn=ConfigurationSettings.AppSettings("sqlconntion ")'獲取數據庫連接字符串

(2) 認證和授權：HTML表單驗證（Forms Authentication），是向開發人員提供確認客戶憑證并控制訪問權限的技術。在應用程序的web.config文件中添加如下語句：

<ｓｙｓｔｅｍ．ｗｅｂ>

<ａｕｔｈｅｎｔｉｃａｔｉｏｎｍｏｄｅ＝＂Ｆｏｒｍｓ＂>

<ｆｏｒｍｓｎａｍｅ＝＂ａｄｍｉｎ＿ａｄ＂ｌｏｇｉｎＵｒｌ＝＂ｐｘｂ＿ｌｏｇｉｎ．ａｓｐｘ＂ｐｒｏｔｅｃｔｉｏｎ＝＂Ａｌｌ＂／>

<／ａｕｔｈｅｎｔｉｃａｔｉｏｎ>

<／ｓｙｓｔｅｍ．ｗｅｂ>

授權：就是讓用戶擁有有效憑證，允許或拒絕訪問Ｗｅｂ應用程序。在ｗｅｂ．ｃｏｎｆｉｇ中添加如下語句：

<ａｕｔｈｏｒｉｚａｔｉｏｎ>

<ｄｅｎｙｕｓｅｒｓ＝＂＊＂／>

<ａｌｌｏｗｕｓｅｒｓ＝＂用戶列表＂／>

<／ａｕｔｈｏｒｉｚａｔｉｏｎ>

（３）虛擬路徑的設置：不同用戶對不同目錄訪問權限不同，可以設定虛擬目錄來實現。

<ｌｏｃａｔｉｏｎｐａｔｈ＝＂ｌｏｇ＂>

<ｓｙｓｔｅｍ．ｗｅｂ>

<ａｕｔｈｏｒｉｚａｔｉｏｎ>

<ａｌｌｏｗｕｓｅｒｓ＝＂＊＂／>

<ａｕｔｈｏｒｉｚａｔｉｏｎ>

<ｓｙｓｔｅｍ．ｗｅｂ>

<／ｌｏｃａｔｉｏｎ>

（４）設置調試模式提高安全策略：默認情況下，錯誤信息保存在棧中。如果開啟調試模式，ＡＳＰ．ＮＥＴ在運行中發生錯誤時，會顯示錯誤行號，方便調試。可以在頁面或ｗｅｂ．ｃｏｎｆｉｇ文件中開啟調試模式。例如：

<％＠ｐａｇｅｄｅｂｕｇ＝”ｔｒｕｅ”％>＇開啟頁面級調試模式

<ｃｏｍｐｉｌａｔｉｏｎｄｅｆａｕｌｔＬａｎｇｕａｇｅ＝＂ＶＢ＂ｄｅｂｕｇ＝＂ｔｒｕｅ＂／>

＇開啟應用程序級調試模式

但發布程序時，要禁用調試模式，否則出錯時，有泄露后臺代碼的隱患。

（５）頁面出錯處理策略：出錯時轉向統一的出錯頁面，而不必在每個網頁中寫代碼，控制轉向出錯頁面，避免了程序運行期間任何未處理的意外發生時，錯誤頁面代碼泄露或使用戶不知所云的尷尬發生。頁面出錯處理可以應用下列策略實現：

（Ａ）定制出錯網頁

<ｃｕｓｔｏｍＥｒｒｏｒｓｄｅｆａｕｌｔ－Ｒｅｄｉｒｅｃｔ＝＂ｅｒｒｏｒ．ｈｔｍ＂ｍｏｄｅ＝＂ｒｅｍｏｔｅｏｎｌｙ＂／>

這個設置可以保證當錯誤出現時，本地用戶訪問默認出錯頁，遠程用戶訪問自定義的ｅｒｒｏｒ．ｈｔｍ網頁。

（Ｂ）處理特別的ＨＴＴＰ請求

對于ＨＴＴＰ錯誤狀態代碼，例如：４０３禁止，４０４無法找到，５００服務器錯誤等，可以自定義各自的出錯處理頁面。如下所示：

<ｅｒｒｏｒｓｔａｔｕｓｃｏｄｅ＝”４０３”ｒｅｄｉｒｅｃｔ＝”／ｅｒｒｏｒ／ｅｒｒ＿ｓｕｐｐｏｒｔ．ｈｔｍ”／>

<ｅｒｒｏｒｓｔａｔｕｓｃｏｄｅ＝”４０４”ｒｅｄｉｒｅｃｔ＝”／ｅｒｒｏｒ／ｅｒｒ＿ｎｏｆｏｕｎｄ．ｈｔｍ”／>

<ｅｒｒｏｒｓｔａｔｕｓｃｏｄｅ＝”４０３”ｒｅｄｉｒｅｃｔ＝”／ｅｒｒｏｒ／ｅｒｒ＿ｎｏａｃｃｅｓｓ．ｈｔｍ”／>

２．２．３界面設計：代碼分離和自定義控件

（１）代碼分離：將程序代碼和ＨＴＭＬ內容分離，不僅能增強頁面的條理性、易讀性和團隊開發的容易程度，更重要提高網頁安全性。如：

前臺ａｓｐｘ網頁：ｐｅｉｘｕｎ＿ｂａｓｅ＿

ｘｉａｎｇｍｕ．ａｓｐｘ．ａｓｐｘ

<％＠ＲｅｇｉｓｔｅｒＴａｇＰｒｅｆｉｘ＝＂ｉｅｗｃ＂Ｎａｍｅｓｐａｃｅ＝＂Ｍｉｃｒｏｓｏｆｔ．Ｗｅｂ．ＵＩ．ＷｅｂＣｏｎｔｒｏｌｓ＂

Ａｓｓｅｍｂｌｙ＝＂ｍｉｃｒｏｓｏｆｔ．ｗｅｂ．ｕｉ．ｗｅｂｃｏｎｔｒｏｌｓ＂％>

<％＠ＰａｇｅＬａｎｇｕａｇｅ＝＂ｖｂ＂ＡｕｔｏＥｖｅｎｔＷｉｒｅｕｐ＝＂ｆａｌｓｅ＂Ｃｏｄｅｂｅｈｉｎｄ＝

＂ｐｅｉｘｕｎ＿ｂａｓｅ＿ｘｉａｎｇｍｕ．ａｓｐｘ．ｖｂ＂Ｉｎｈｅｒｉｔｓ＝＂ｐｘｂ．ＭＵＴＩ＂％>

而后臺的ｐｅｉｘｕｎ＿ｂａｓｅ＿ｘｉａｎｇｍｕ．ａｓｐｘ．ｖｂ文件，專門編寫代碼，實現代碼和ＨＴＭＬ內容分離。

（２）自定義控件：可以根據需要編寫自定義控件，更好地提供可重用的封裝邏輯，在使用自定義控件前，需要將定義它們的類文件編譯成動態庫，即：

ｖｂｃ／ｔ：ｌｉｂｒａｒｙ／ｒ：ｓｙｓｔｅｍ．ｄｌｌ／ｒ：ｓｙｓｔｅｍ．ｗｅｂ．ｄｌｌ／ｏｕｔ：ｐｘｂｃｏｎｔｒｏｌｓ．ｄｌｌｃｏｎｔｒｏｌ．ｖｂ

將編寫好的類文件（．ｖｂ）編譯成動態庫（．ｄｌｌ），可以供以后多次使用，由于封裝了邏輯，且生成庫，所以安全性得到保障。

除上述外，必須要重視記錄日志。日志文件分系統日志和用戶自定義日志。系統日志，如建立數據庫日志文件；自定義日志文件：可以利用ｇｌｏｂａｌ．ａｓａｘ文件的ｓｅｓｓｉｏｎ＿ｏｎＳｔａｒｔ（）事件與ｓｅｓｓｉｏｎ＿ｏｎＥｎｄ（）事件實現自定義日志文件維護，例如：記錄訪問用戶的登錄名，訪問時間，ＩＰ地址等信息，在應用程序根目錄的ｇｌｏｂａｌ．ａｓａｘ文件內添加如下代碼：

<％＠ＩｍｐｏｒｔＮａｍｅｓｐａｃｅ＝＂Ｓｙｓｔｅｍ．ＩＯ＂％>

ＳｕｂＳｅｓｓｉｏｎ＿ｏｎＳｔａｒｔ（ＳｅｎｄｅｒＡｓＯｂｊｅｃｔ，ＥＡｓＥｖｅｎｔＡｒｇｓ）

＇每一位客戶登錄時觸發該事件

ｓｗ＝ＮｅｗＳｔｒｅａｍＷｒｉｔｅｒ（ｓｅｒｖｅｒ．ｍａｐｐａｔｈ（＂ｌｏｇ／ｌｏｇ．ｔｘｔ＂），Ｔｒｕｅ，Ｅｎｃｏｄｉｎｇ．Ｄｅｆａｕｌｔ）

＇將客戶ＩＰ保存到Ｓｅｓｓｉｏｎ中

Ｓｅｓｓｉｏｎ（＂ＩＰ＂）＝Ｒｅｑｕｅｓｔ．ＳｅｒｖｅｒＶａｒｉａｂｌｅｓ（＂ＲＥＭＯＴＥ＿ＡＤＤＲ＂） ｓｗ．Ｗｒｉｔｅｌｉｎｅ（Ｎｏｗ（）＆＂－用戶＂＆Ｓｅｓｓｉｏｎ（＂ＩＰ＂）＆＂進入＂）

ｓｗ．Ｃｌｏｓｅ

ＥｎｄＳｕｂ

ＳｕｂＳｅｓｓｉｏｎ＿ＯｎＥｎｄ（ＳｅｎｄｅｒＡｓＯｂｊｅｃｔ，ＥＡｓＥｖｅｎｔＡｒｇｓ）

＇當每一位客戶超過會話時間沒有和服務器交互，或關閉瀏覽器后觸發該事件

ｓｗ＝ＮｅｗＳｔｒｅａｍＷｒｉｔｅｒ（ｓｅｒｖｅｒ．ｍａｐｐａｔｈ（＂ｌｏｇ／ｌｏｇ．ｔｘｔ＂），Ｔｒｕｅ，Ｅｎｃｏｄｉｎｇ．Ｄｅｆａｕｌｔ）

ｓｗ．Ｗｒｉｔｅｌｉｎｅ（Ｎｏｗ（）＆＂－用戶＂＆Ｓｅｓｓｉｏｎ（＂ＩＰ＂）＆＂退出＂）

ｓｗ．Ｃｌｏｓｅ

ＥｎｄＳｕｂ

2.3 發布運行階段：主要考慮如下方面

(1) 關閉調試模式；

(2) 備份轉儲數據庫文件和日志文件；

(3) 密碼要不斷更新；

(4) 及時打補丁程序。

3總結

綜上所述，基于ASP.NET的Web網絡應用程序開發，在充分利用ASP.NET的安全機制、數據庫安全控制、管理員網絡安全防范意識的基礎上，可以極大提高Web應用程序的安全性能。

參考文獻

[1] [美]Steven A.Smith等.用實例學ASP.NET.馬燕,閆立軍等,譯.北京:電子工業出版社,2002.

[2] [美]Macro Bellinaso Kevin Hoffman.ASP.NET Web站點高級編程.康博,譯.北京:清華大學出版社,2002.

[3] [美]John Kauffman 等. ASP.NET數據庫入門經典. 康博,譯.北京:清華大學出版社,2002.

[4] 章立民. 用實例學 Crystal Report for Visual Studio.NET.北京:電子工業出版社,2004.