ASP開(kāi)發(fā)網(wǎng)頁(yè)牢記注意事項(xiàng)

2024-05-04 10:58:15

字體：大中小

供稿：網(wǎng)友

ASP開(kāi)發(fā)網(wǎng)頁(yè)牢記注意事項(xiàng)     選擇自 RAINMAN_NET 的 Blog
關(guān)鍵字   ASP開(kāi)發(fā)網(wǎng)頁(yè)牢記注意事項(xiàng)
出處

永遠(yuǎn)不要相信用戶輸入的內(nèi)容具有適當(dāng)?shù)拇笮』蛘甙m當(dāng)?shù)淖址Ｔ谑褂闷渥龀鰶Q策之前應(yīng)該始終對(duì)用戶輸入進(jìn)行驗(yàn)證。最佳的選擇是創(chuàng)建一個(gè) COM+ 組件，這樣您可以從 ASP 頁(yè)面中調(diào)用該組件來(lái)驗(yàn)證用戶的輸入內(nèi)容。您也可以使用 Server.HTMLEncode 方法、Server.URLEncode 方法，或者本頁(yè)底部代碼示例中的某一個(gè)。
不要通過(guò)連接用戶輸入的字符串來(lái)創(chuàng)建 ASP 頁(yè)中的數(shù)據(jù)庫(kù)連接字符串。惡意用戶可以通過(guò)在他們的輸入內(nèi)容中插入代碼來(lái)獲取數(shù)據(jù)庫(kù)的訪問(wèn)權(quán)限。如果您使用的是 SQL 數(shù)據(jù)庫(kù)，那么請(qǐng)使用存儲(chǔ)過(guò)程創(chuàng)建數(shù)據(jù)庫(kù)連接字符串。
不要使用默認(rèn)的 SQL 管理員帳戶名 sa。每個(gè)使用 SQL 的用戶都知道存在 sa 帳戶。創(chuàng)建具有安全可靠密碼的其他 SQL 管理帳戶，并刪除 sa 帳戶。
在您存儲(chǔ)客戶端用戶密碼之前，請(qǐng)對(duì)這些密碼使用哈希算法、進(jìn)行 base64 編碼，或者使用 Server.HTMLEncode 或者 Server.URLEncode 進(jìn)行編碼。您還可以使用本頁(yè)底部的某個(gè)代碼示例驗(yàn)證客戶端密碼中的字符。
不要把管理帳戶名或密碼放置在管理腳本或 ASP 頁(yè)中。
不要根據(jù)請(qǐng)求標(biāo)題在代碼中做出決策，因?yàn)闃?biāo)題數(shù)據(jù)可以被惡意用戶偽造。在使用請(qǐng)求數(shù)據(jù)前，始終要對(duì)其進(jìn)行編碼或者使用下面的代碼示例驗(yàn)證其所包含的字符。
不要將安全數(shù)據(jù)存儲(chǔ)在 Cookie 中或者將輸入字段隱藏在網(wǎng)頁(yè)中。
始終將安全套接字層 (SSL) 用于基于會(huì)話的應(yīng)用程序，以避免未對(duì)會(huì)話 Cookie 進(jìn)行加密就發(fā)送它們所帶來(lái)的風(fēng)險(xiǎn)。如果會(huì)話 Cookie 沒(méi)有經(jīng)過(guò)加密，則惡意用戶可以使用一個(gè)應(yīng)用程序中的會(huì)話 Cookie 進(jìn)入到與之在同一進(jìn)程中的另一個(gè)應(yīng)用程序。
當(dāng)編寫(xiě) ISAPI 應(yīng)用程序、篩選器或者 COM+ 對(duì)象時(shí)，請(qǐng)注意由于變量和數(shù)據(jù)的大小而造成的緩沖區(qū)溢出。還要注意可能由于解釋造成的規(guī)范化問(wèn)題，例如將絕對(duì)路徑名解釋成相對(duì)路徑名或 URL。
當(dāng)在單線程單元 (STA) 內(nèi)運(yùn)行的 ASP 應(yīng)用程序切換到多線程單元 (MTA) 內(nèi)時(shí)，模擬令牌將過(guò)時(shí)。這可能導(dǎo)致應(yīng)用程序在無(wú)模擬的情況下運(yùn)行，讓其用可能允許訪問(wèn)其他資源的進(jìn)程的標(biāo)識(shí)有效地運(yùn)行。如果您必須切換線程模型，請(qǐng)?jiān)谶M(jìn)行更改之前，先禁用該應(yīng)用程序并將其卸載。

上一篇：一段在asp中加密與解密對(duì)應(yīng)的函數(shù)

下一篇：Microsoft JET Database Engine 錯(cuò)誤 '80004005' 未指定的錯(cuò)誤的完美解決方