Asp Net网站安全
1：SQL 注入：
解决方案：
a. 这个问题主要是由于传入特殊字符引起的我们可以在对输入的用户名密码进入过滤特殊字符处理。
b. 使用存储过程通过传入参数的方法可解决此类问题（注意：在存储过程中不可使用拼接实现，不然和没用存储过和是一样的）。
2. XSS（跨站脚本攻击）：
解决方案：
a. 通过在 Page 指令或 配置节中设置 validateRequest="false" 禁用请求验证，然后我们对用户提交的数据进行 HtmlEncode，编码后的就不会出现这种问题了（ASP.NET 中编码方法：Server.HtmlEncode(string)）。
b. 第二种是过滤特殊字符，这种方法就不太提倡了，如果用户想输入小于号（<）也会被过滤掉
3.CSRF（跨站点请求伪造）：
解决方案：
修改信息时添加验证码或添加 Session 令牌（ASP.NET中已经提供一个自动防范的方法，就是用页面属性 ViewStateUserKey。在Page_Init方法中设置其值：this.ViewStateUserKey = Session.SessionID）。
4. 文件上传：
解决方案：
在用户登录时加入是否可上传文件的 Session 标志。其实 Fckeditor 已经写好了。直接把验证函数 CheckAuthentication() 中的注释段中CheckAuthentication()
return ( Session[ "IsAuthorized" ] != null && (bool)Session[ "IsAuthorized" ] == true );
注释去掉。在登录成功加入登录成功 JS 代码
Session[“IsAuthorized”] = true;
１：SQL 注入
引起原因：
其实现在很多网站中都存在这种问题。就是程序中直接进行SQL语句拼接。可能有些读者不太明白。下面通过一个登录时对用户验证来说明：
code:
验证时的sql语句: select * from where user='"+txtUsername.Text+"' and pwd='"+txtPwd.Text+"'
这是一段从数据库中查询用户，对用户名，密码验证。
看上去好象没有什么问题，但是实际这里面浅藏着问题，用户名：admin 密码： admin，
select * from where user='admin' and pwd='admin'
如果用户和密码正确就可通验证。如果我用户名：asdf' or 1=1 -- 密码：随意输入.
我们再来看语句：
select * from where user=‘asdf' or 1=1 -- and pwd=''
执行后看到什么？是不是所有记录，如果程序只是简单判断返回的条数，这种方法就可以通验证。
相关文档：
什么是UrlRewrite?
UrlRewrite 是 将静态页面转换为动态页面的一种技术. 例如.您网站页面是 http://www.yourdomain.com/news/docread.aspx?id=123 使用UrlRewrite转换后 可以 以 http://www.yourdomain.com/news/123.html 来访问.
UrlRewrite的用处: 满足搜索引擎的要求,Google可以抓取动态页面，但是google对动态页面 ......
使用变量和常量
变量是计算机内存中已命名的存储位置，其中包含了数字或字符串等数据。变量包含的信息被称为变量的值。变量使用用户便于理解脚本操作的名称为用户提供了一种存储、检索和操作数据的途径。
声明和命名变量
命名和声明变量应遵循脚本语言的规则及指导。即使在使用变量前不需要去声明变量，也应� ......
Active Server Pages 提供内建对象，这些对象使用户更容易收集通过浏览器请求发送的信息、响应浏览器以及存储用户信息（如用户首选项）。本文简要说明每一个对象。
Application 对象
可以使用 Application 对象使给定应用程序的所有用户共享信息。
Request 对象
可以使用 Request 对象访问任何用 HTTP 请求 ......
把FCKeditor嵌入到ASP当中用来存取数据和上传文件时出现了乱码问题，网上查了下才知道自己做ASP是gb2312的编码，而fckeditor默认的编码是utf-8,因此出现了乱码问题。
网上找了一些一些解决办法，最终有用的拿来吧。在FCKeditor/editor/filemanager/connector/asp目录下有两个 ......
变量申明，命名规则与运算符
1，用三种语句来声明变量：dim ，public 与 private ，比较常用的还是 dim 。
如：<% dim a %> ；<% dim a , b , c %>
2，命名规则：
<1> 变量的第一个字符必须是字母，数字和符号都不行。
<2> 不能嵌入句点。
<3> 长度不能超过255个字符。
<4> ......
