基于ＡＳＰ．ＮＥＴ的Ｗｅｂ網(wǎng)絡(luò)應(yīng)用程序開發(fā)的安全策略實(shí)踐

楊曉明　雷光輝　何青建

摘要：Web網(wǎng)絡(luò)應(yīng)用開發(fā)中，安全性是要考慮的關(guān)鍵問題，本文通過開發(fā)系統(tǒng)實(shí)踐，從系統(tǒng)規(guī)劃階段、設(shè)計(jì)開發(fā)階段、發(fā)布運(yùn)行階段三個(gè)方面詳細(xì)闡述安全策略的實(shí)現(xiàn)，總結(jié)出如何充分利用ASP.NET的安全機(jī)制、數(shù)據(jù)庫安全控制、增強(qiáng)管理員網(wǎng)絡(luò)安全防范意識(shí)，構(gòu)建一個(gè)性能安全的Web應(yīng)用程序。

關(guān)鍵詞：Web應(yīng)用程序；web.config；認(rèn)證和授權(quán)；視圖；存儲(chǔ)過程

1 前言

微軟公司推出的ASP.NET，可以非常方便和高效地規(guī)劃、設(shè)計(jì)、開發(fā)和發(fā)布Web網(wǎng)絡(luò)應(yīng)用程序。筆者利用ASP.NET為新疆職工培訓(xùn)中心開發(fā)了運(yùn)行在校園網(wǎng)上的網(wǎng)絡(luò)辦公管理系統(tǒng)。該系統(tǒng)分為管理部門和教學(xué)部門兩個(gè)角色，實(shí)現(xiàn)了數(shù)據(jù)存儲(chǔ)、瀏覽查詢和教學(xué)分析統(tǒng)計(jì)功能，提高了培訓(xùn)中心的信息化管理和校園網(wǎng)的利用價(jià)值。在整個(gè)系統(tǒng)的開發(fā)過程中，考慮最多的就是安全問題，相信這也是所有開發(fā)人員開發(fā)Web網(wǎng)絡(luò)應(yīng)用程序所必須面對(duì)的問題。因此本文針對(duì)基于ASP.NET的Web網(wǎng)絡(luò)應(yīng)用程序開發(fā)的安全問題，以我們開發(fā)的系統(tǒng)為例，從3個(gè)方面來闡述實(shí)際解決策略：

（1）系統(tǒng)規(guī)劃階段的安全策略；

（2）設(shè)計(jì)開發(fā)階段的安全策略；

（3）發(fā)布運(yùn)行階段的安全策略。

希望我們的實(shí)踐能對(duì)利用ASP.NET開發(fā)Web網(wǎng)絡(luò)應(yīng)用程序的相關(guān)技術(shù)人員提供參考和借鑒。

2 安全策略實(shí)踐

2.1系統(tǒng)規(guī)劃階段

Web網(wǎng)絡(luò)應(yīng)用程序，就是運(yùn)行在Web應(yīng)用服務(wù)器上的一個(gè)虛擬目錄及其子目錄下的所有文件、網(wǎng)頁、模塊以及可執(zhí)行代碼的總和。根據(jù)系統(tǒng)需求分析，用戶分為管理部和教學(xué)部（對(duì)數(shù)據(jù)的操作權(quán)限有區(qū)分），因此建立兩個(gè)目錄分別存放相應(yīng)的網(wǎng)頁文件。另外，還有數(shù)據(jù)庫文件夾、樣式文件夾、網(wǎng)頁模版文件夾等。而對(duì)數(shù)據(jù)庫表的操作文件放在特殊的文件夾bin下，因?yàn)樵撃夸浭墙谷魏螢g覽器訪問的，從而避免了遠(yuǎn)程客戶下載代碼的可能性。應(yīng)用程序根目錄下除了上述目錄外，還有兩個(gè)重要的應(yīng)用程序級(jí)文件:global.asax 和web.config（下文詳細(xì)分析）?？傊募夸浀囊?guī)劃是按類別存放文件，重要文件存在bin目錄下。

2.2設(shè)計(jì)開發(fā)階段

主要從后臺(tái)的數(shù)據(jù)庫設(shè)計(jì)、配置文件web.config及前臺(tái)界面設(shè)計(jì)三個(gè)內(nèi)容，著重闡述對(duì)安全問題的解決策略。

2.2.1數(shù)據(jù)庫設(shè)計(jì)

為了提高訪問數(shù)據(jù)的效率和安全性，能在后臺(tái)做的事情，就在后臺(tái)完成，能分開獨(dú)立做的事情，就分開獨(dú)立實(shí)現(xiàn)。

（1）充分利用后臺(tái)數(shù)據(jù)庫系統(tǒng)的視圖和存儲(chǔ)過程，如：創(chuàng)建帶參數(shù)的視圖，實(shí)現(xiàn)不同角色身份的用戶對(duì)各自權(quán)限范圍內(nèi)的數(shù)據(jù)訪問。

（2）報(bào)表設(shè)計(jì)及實(shí)現(xiàn)：Web應(yīng)用程序?qū)崿F(xiàn)動(dòng)態(tài)報(bào)表，開始考慮用ASP.NET的數(shù)據(jù)控件Repeater，可以自由定義靈活的顯示方式，但通常比較麻煩，而且在代碼中字段名要出現(xiàn)，即：使用數(shù)據(jù)容器Container.DataItem("字段名")方式來顯示數(shù)據(jù)內(nèi)容，降低了數(shù)據(jù)安全性。我們的做法是利用Bussiness Object 公司開發(fā)的專業(yè)報(bào)表軟件CrystalReports10設(shè)計(jì)報(bào)表，通過ODBC數(shù)據(jù)源與數(shù)據(jù)庫連接，生成報(bào)表文件（*.rpt）后，在前臺(tái)利用報(bào)表控件CrystalReprotViewer，將報(bào)表文件加載到頁面實(shí)現(xiàn)各種報(bào)表。這種把數(shù)據(jù)源、報(bào)表文件、和頁面顯示文件分開獨(dú)立實(shí)現(xiàn)，不僅豐富了報(bào)表顯示樣式和提高了網(wǎng)絡(luò)報(bào)表生成效率，而且極大地提高了訪問數(shù)據(jù)的安全性。

（3）用戶口令存儲(chǔ)問題：不要將實(shí)際的口令存儲(chǔ)在數(shù)據(jù)庫表中，因?yàn)榭诹钪苯臃旁跀?shù)據(jù)庫或文件中存在安全隱患，因此要存儲(chǔ)加密后的口令。使用時(shí)，例如當(dāng)用戶登錄時(shí)，對(duì)口令加密，然后與數(shù)據(jù)庫中存放的加密口令進(jìn)行比較。實(shí)現(xiàn)步驟如下：

首先，導(dǎo)入命名空間：<%@ Import Namespace="System.Web.Security" %>

其次，編寫加密函數(shù)EncrytPwd：

Function EncrytPwd(Pwd as String,PwdFormat as String)

If PwdFormat="MD5" then

'下面一行得到用MD5算法加密后的字符串

EncrytPwd=FormsAuthentication.HashPasswordForStoringInConfigFile(Pwd,"MD5")

'下面一行得到用SHA1算法加密后的字符串

Else if PwdFormat="SHA1"then

EncrytPwd=FormsAuthentication.HashPasswordForStoringInConfigFile(Pwd,"SHA1")

End if

End Function

2.2.2 配置文件web.config 的安全設(shè)置

web.config文件是一個(gè)簡單的XML文件，專門用于為應(yīng)用程序配置系統(tǒng)設(shè)定、安全性設(shè)定、應(yīng)用程序設(shè)定和會(huì)話設(shè)定。下面分5個(gè)內(nèi)容介紹安全實(shí)踐策略。

(1) 數(shù)據(jù)庫連接字符串常量：Web應(yīng)用程序網(wǎng)頁要大量用到數(shù)據(jù)庫連接，為了提高程序安全性、通用性和可移植性，在配置文件中設(shè)置數(shù)據(jù)庫連接字符串常量是很好的方法，在應(yīng)用程序的web.config文件中添加如下語句：

<ａｐｐＳｅｔｔｉｎｇｓ>

<ａｄｄｋｅｙ＝＂ｓｑｌｃｏｎｎｔｉｏｎ＂ｖａｌｕｅ＝＂ｓｅｒｖｅｒ＝ｌｏｃａｌｈｏｓｔ；ｕｉｄ＝ｓａ；ｐｗｄ＝ｓａ；ｄａｔａｂａｓｅ＝ｙｙ；＂／>

<／ａｐｐＳｅｔｔｉｎｇｓ>

網(wǎng)頁文件使用時(shí)，用下列代碼實(shí)現(xiàn)數(shù)據(jù)庫連接：

Dim strConn As String

strConn=ConfigurationSettings.AppSettings("sqlconntion ")'獲取數(shù)據(jù)庫連接字符串

(2) 認(rèn)證和授權(quán)：HTML表單驗(yàn)證（Forms Authentication），是向開發(fā)人員提供確認(rèn)客戶憑證并控制訪問權(quán)限的技術(shù)。在應(yīng)用程序的web.config文件中添加如下語句：

<ｓｙｓｔｅｍ．ｗｅｂ>

<ａｕｔｈｅｎｔｉｃａｔｉｏｎｍｏｄｅ＝＂Ｆｏｒｍｓ＂>

<ｆｏｒｍｓｎａｍｅ＝＂ａｄｍｉｎ＿ａｄ＂ｌｏｇｉｎＵｒｌ＝＂ｐｘｂ＿ｌｏｇｉｎ．ａｓｐｘ＂ｐｒｏｔｅｃｔｉｏｎ＝＂Ａｌｌ＂／>

<／ａｕｔｈｅｎｔｉｃａｔｉｏｎ>

<／ｓｙｓｔｅｍ．ｗｅｂ>

授權(quán)：就是讓用戶擁有有效憑證，允許或拒絕訪問Ｗｅｂ應(yīng)用程序。在ｗｅｂ．ｃｏｎｆｉｇ中添加如下語句：

<ａｕｔｈｏｒｉｚａｔｉｏｎ>

<ｄｅｎｙｕｓｅｒｓ＝＂＊＂／>

<ａｌｌｏｗｕｓｅｒｓ＝＂用戶列表＂／>

<／ａｕｔｈｏｒｉｚａｔｉｏｎ>

（３）虛擬路徑的設(shè)置：不同用戶對(duì)不同目錄訪問權(quán)限不同，可以設(shè)定虛擬目錄來實(shí)現(xiàn)。

<ｌｏｃａｔｉｏｎｐａｔｈ＝＂ｌｏｇ＂>

<ｓｙｓｔｅｍ．ｗｅｂ>

<ａｕｔｈｏｒｉｚａｔｉｏｎ>

<ａｌｌｏｗｕｓｅｒｓ＝＂＊＂／>

<ａｕｔｈｏｒｉｚａｔｉｏｎ>

<ｓｙｓｔｅｍ．ｗｅｂ>

<／ｌｏｃａｔｉｏｎ>

（４）設(shè)置調(diào)試模式提高安全策略：默認(rèn)情況下，錯(cuò)誤信息保存在棧中。如果開啟調(diào)試模式，ＡＳＰ．ＮＥＴ在運(yùn)行中發(fā)生錯(cuò)誤時(shí)，會(huì)顯示錯(cuò)誤行號(hào)，方便調(diào)試?？梢栽陧撁婊颍鳎澹猓悖铮睿妫椋缥募虚_啟調(diào)試模式。例如：

<％＠ｐａｇｅｄｅｂｕｇ＝”ｔｒｕｅ”％>＇開啟頁面級(jí)調(diào)試模式

<ｃｏｍｐｉｌａｔｉｏｎｄｅｆａｕｌｔＬａｎｇｕａｇｅ＝＂ＶＢ＂ｄｅｂｕｇ＝＂ｔｒｕｅ＂／>

＇開啟應(yīng)用程序級(jí)調(diào)試模式

但發(fā)布程序時(shí)，要禁用調(diào)試模式，否則出錯(cuò)時(shí)，有泄露后臺(tái)代碼的隱患。

（５）頁面出錯(cuò)處理策略：出錯(cuò)時(shí)轉(zhuǎn)向統(tǒng)一的出錯(cuò)頁面，而不必在每個(gè)網(wǎng)頁中寫代碼，控制轉(zhuǎn)向出錯(cuò)頁面，避免了程序運(yùn)行期間任何未處理的意外發(fā)生時(shí)，錯(cuò)誤頁面代碼泄露或使用戶不知所云的尷尬發(fā)生。頁面出錯(cuò)處理可以應(yīng)用下列策略實(shí)現(xiàn)：

（Ａ）定制出錯(cuò)網(wǎng)頁

<ｃｕｓｔｏｍＥｒｒｏｒｓｄｅｆａｕｌｔ－Ｒｅｄｉｒｅｃｔ＝＂ｅｒｒｏｒ．ｈｔｍ＂ｍｏｄｅ＝＂ｒｅｍｏｔｅｏｎｌｙ＂／>

這個(gè)設(shè)置可以保證當(dāng)錯(cuò)誤出現(xiàn)時(shí)，本地用戶訪問默認(rèn)出錯(cuò)頁，遠(yuǎn)程用戶訪問自定義的ｅｒｒｏｒ．ｈｔｍ網(wǎng)頁。

（Ｂ）處理特別的ＨＴＴＰ請(qǐng)求

對(duì)于ＨＴＴＰ錯(cuò)誤狀態(tài)代碼，例如：４０３禁止，４０４無法找到，５００服務(wù)器錯(cuò)誤等，可以自定義各自的出錯(cuò)處理頁面。如下所示：

<ｅｒｒｏｒｓｔａｔｕｓｃｏｄｅ＝”４０３”ｒｅｄｉｒｅｃｔ＝”／ｅｒｒｏｒ／ｅｒｒ＿ｓｕｐｐｏｒｔ．ｈｔｍ”／>

<ｅｒｒｏｒｓｔａｔｕｓｃｏｄｅ＝”４０４”ｒｅｄｉｒｅｃｔ＝”／ｅｒｒｏｒ／ｅｒｒ＿ｎｏｆｏｕｎｄ．ｈｔｍ”／>

<ｅｒｒｏｒｓｔａｔｕｓｃｏｄｅ＝”４０３”ｒｅｄｉｒｅｃｔ＝”／ｅｒｒｏｒ／ｅｒｒ＿ｎｏａｃｃｅｓｓ．ｈｔｍ”／>

２．２．３界面設(shè)計(jì)：代碼分離和自定義控件

（１）代碼分離：將程序代碼和ＨＴＭＬ內(nèi)容分離，不僅能增強(qiáng)頁面的條理性、易讀性和團(tuán)隊(duì)開發(fā)的容易程度，更重要提高網(wǎng)頁安全性。如：

前臺(tái)ａｓｐｘ網(wǎng)頁：ｐｅｉｘｕｎ＿ｂａｓｅ＿

ｘｉａｎｇｍｕ．ａｓｐｘ．ａｓｐｘ

<％＠ＲｅｇｉｓｔｅｒＴａｇＰｒｅｆｉｘ＝＂ｉｅｗｃ＂Ｎａｍｅｓｐａｃｅ＝＂Ｍｉｃｒｏｓｏｆｔ．Ｗｅｂ．ＵＩ．ＷｅｂＣｏｎｔｒｏｌｓ＂

Ａｓｓｅｍｂｌｙ＝＂ｍｉｃｒｏｓｏｆｔ．ｗｅｂ．ｕｉ．ｗｅｂｃｏｎｔｒｏｌｓ＂％>

<％＠ＰａｇｅＬａｎｇｕａｇｅ＝＂ｖｂ＂ＡｕｔｏＥｖｅｎｔＷｉｒｅｕｐ＝＂ｆａｌｓｅ＂Ｃｏｄｅｂｅｈｉｎｄ＝

＂ｐｅｉｘｕｎ＿ｂａｓｅ＿ｘｉａｎｇｍｕ．ａｓｐｘ．ｖｂ＂Ｉｎｈｅｒｉｔｓ＝＂ｐｘｂ．ＭＵＴＩ＂％>

而后臺(tái)的ｐｅｉｘｕｎ＿ｂａｓｅ＿ｘｉａｎｇｍｕ．ａｓｐｘ．ｖｂ文件，專門編寫代碼，實(shí)現(xiàn)代碼和ＨＴＭＬ內(nèi)容分離。

（２）自定義控件：可以根據(jù)需要編寫自定義控件，更好地提供可重用的封裝邏輯，在使用自定義控件前，需要將定義它們的類文件編譯成動(dòng)態(tài)庫，即：

ｖｂｃ／ｔ：ｌｉｂｒａｒｙ／ｒ：ｓｙｓｔｅｍ．ｄｌｌ／ｒ：ｓｙｓｔｅｍ．ｗｅｂ．ｄｌｌ／ｏｕｔ：ｐｘｂｃｏｎｔｒｏｌｓ．ｄｌｌｃｏｎｔｒｏｌ．ｖｂ

將編寫好的類文件（．ｖｂ）編譯成動(dòng)態(tài)庫（．ｄｌｌ），可以供以后多次使用，由于封裝了邏輯，且生成庫，所以安全性得到保障。

除上述外，必須要重視記錄日志。日志文件分系統(tǒng)日志和用戶自定義日志。系統(tǒng)日志，如建立數(shù)據(jù)庫日志文件；自定義日志文件：可以利用ｇｌｏｂａｌ．ａｓａｘ文件的ｓｅｓｓｉｏｎ＿ｏｎＳｔａｒｔ（）事件與ｓｅｓｓｉｏｎ＿ｏｎＥｎｄ（）事件實(shí)現(xiàn)自定義日志文件維護(hù)，例如：記錄訪問用戶的登錄名，訪問時(shí)間，ＩＰ地址等信息，在應(yīng)用程序根目錄的ｇｌｏｂａｌ．ａｓａｘ文件內(nèi)添加如下代碼：

<％＠ＩｍｐｏｒｔＮａｍｅｓｐａｃｅ＝＂Ｓｙｓｔｅｍ．ＩＯ＂％>

ＳｕｂＳｅｓｓｉｏｎ＿ｏｎＳｔａｒｔ（ＳｅｎｄｅｒＡｓＯｂｊｅｃｔ，ＥＡｓＥｖｅｎｔＡｒｇｓ）

＇每一位客戶登錄時(shí)觸發(fā)該事件

ｓｗ＝ＮｅｗＳｔｒｅａｍＷｒｉｔｅｒ（ｓｅｒｖｅｒ．ｍａｐｐａｔｈ（＂ｌｏｇ／ｌｏｇ．ｔｘｔ＂），Ｔｒｕｅ，Ｅｎｃｏｄｉｎｇ．Ｄｅｆａｕｌｔ）

＇將客戶ＩＰ保存到Ｓｅｓｓｉｏｎ中

Ｓｅｓｓｉｏｎ（＂ＩＰ＂）＝Ｒｅｑｕｅｓｔ．ＳｅｒｖｅｒＶａｒｉａｂｌｅｓ（＂ＲＥＭＯＴＥ＿ＡＤＤＲ＂） ｓｗ．Ｗｒｉｔｅｌｉｎｅ（Ｎｏｗ（）＆＂－用戶＂＆Ｓｅｓｓｉｏｎ（＂ＩＰ＂）＆＂進(jìn)入＂）

ｓｗ．Ｃｌｏｓｅ

ＥｎｄＳｕｂ

ＳｕｂＳｅｓｓｉｏｎ＿ＯｎＥｎｄ（ＳｅｎｄｅｒＡｓＯｂｊｅｃｔ，ＥＡｓＥｖｅｎｔＡｒｇｓ）

＇當(dāng)每一位客戶超過會(huì)話時(shí)間沒有和服務(wù)器交互，或關(guān)閉瀏覽器后觸發(fā)該事件

ｓｗ＝ＮｅｗＳｔｒｅａｍＷｒｉｔｅｒ（ｓｅｒｖｅｒ．ｍａｐｐａｔｈ（＂ｌｏｇ／ｌｏｇ．ｔｘｔ＂），Ｔｒｕｅ，Ｅｎｃｏｄｉｎｇ．Ｄｅｆａｕｌｔ）

ｓｗ．Ｗｒｉｔｅｌｉｎｅ（Ｎｏｗ（）＆＂－用戶＂＆Ｓｅｓｓｉｏｎ（＂ＩＰ＂）＆＂退出＂）

ｓｗ．Ｃｌｏｓｅ

ＥｎｄＳｕｂ

2.3 發(fā)布運(yùn)行階段：主要考慮如下方面

(1) 關(guān)閉調(diào)試模式；

(2) 備份轉(zhuǎn)儲(chǔ)數(shù)據(jù)庫文件和日志文件；

(3) 密碼要不斷更新；

(4) 及時(shí)打補(bǔ)丁程序。

3總結(jié)

綜上所述，基于ASP.NET的Web網(wǎng)絡(luò)應(yīng)用程序開發(fā)，在充分利用ASP.NET的安全機(jī)制、數(shù)據(jù)庫安全控制、管理員網(wǎng)絡(luò)安全防范意識(shí)的基礎(chǔ)上，可以極大提高Web應(yīng)用程序的安全性能。

參考文獻(xiàn)

[1] [美]Steven A.Smith等.用實(shí)例學(xué)ASP.NET.馬燕,閆立軍等,譯.北京:電子工業(yè)出版社,2002.

[2] [美]Macro Bellinaso Kevin Hoffman.ASP.NET Web站點(diǎn)高級(jí)編程.康博,譯.北京:清華大學(xué)出版社,2002.

[3] [美]John Kauffman 等. ASP.NET數(shù)據(jù)庫入門經(jīng)典. 康博,譯.北京:清華大學(xué)出版社,2002.

[4] 章立民. 用實(shí)例學(xué) Crystal Report for Visual Studio.NET.北京:電子工業(yè)出版社,2004.