浅谈ASP.net安全编程

在Web编程过程中，存在着很多安全隐患。比如在以前的ASP版本中，Cookie为访问者和编程者都提供了方便，并没有提供加密的功能。打开IE浏览器，选择“工具”菜单里的“Internet选项”，然后在弹出的对话框里单击“设置”按钮，选择“查看文件”按钮，在弹出的窗口中，就会显示硬盘里的缓存数据，其中就有大量的Cookie文件。如图1所示。问题是，这样安全吗?
 
于是，我们会想到很多安全措施，比如使用SSL、建立网上银行一样的强认证方式等，但是，对于大部分网站而言，可能这些方法具有一定的困难性，因为要实现这些比较强的安全措施，最起码需要一台服务器，在经济上显然不是小数目。那么，有没有比较经济的方法来解决这类问题呢？答案是肯定的，现在.NET构架在System.Security.Cryptography命名空间里提供了许多加密类可以利用，包括安全的数据编码和解码以及散列法、随机数字生成和消息身份验证。下面，我们来看看几个比较典型的例子，以供参考。
实现ASP.net表单的安全提交
使用ASP.NET环境下的电子邮件功能，我们可以容易的实现发送电子邮件。可能我们会说，不用ASP.NET，直接使用HTML，也可以实现以上功能。其实，这是完全不一样的：使用HTML，用户提交信息的时候，是调用客户端的邮件收发软件，使用用户的邮箱发送表单信息，如果用户没有邮箱或者用户没有邮件收发软件，就不能提交信息；而采用ASP.NET，可以使用服务器端（程序设计者）提供的邮箱和SMTP服务器，也不需要客户安装邮件收软件，一切都直接在服务端完成，显然更加适合我们的要求。现在，我们就来看以上功能的代码实现。首先，我们来看网页界面实现的关键代码：
<Form id="form1" runat="server">
姓名: <asp:TextBox id="txtFname" runat="server" />
地址: <asp:TextBox id="txtAddr" runat="server" />
内容: <asp:TextBox id="txtContent" runat="server" />
<asp:Button id="btnEmail" Text="提交" onclick="doEmail" runat="server" />
</Form>
以上只是很简单的几个提交项，在实际中，我们可以根据需要增加。还是根据上述例子，因为需要用到电子邮件功能，所以，我们需要引入Email名字空间：<%@ Import Namespace="System.Web.Mail" %>；然后，我们来实现按钮btnEmail的点击事件：
Sub doEmail(Source as Object, E as EventArgs)
Dim sMsg as String
sMsg+="提交信息：