写给那些ASP.NET程序员：网站中的安全问题
在网络经常看到网站被挂马、主页被修改的新闻，其实这些问题可能是多方面的，服务器，网站程序等等。。。但是现在溢出已经被人们重视和服务器的不断完善，服务器系统漏洞也不是那么容易发掘，当然也要保证第三方的软件安全。
做项目也有一段时间了。在程序中也遇到很多安全方面的问题。也该总结一下了。这个项目是一个CMS系统。系统是用ASP.NET做的。开发的时候发现微软做了很多安全措施，只是有些新手程序员不知道怎么开启。下面我通过几个方面简单介绍：
１：SQL 注入
２：XSS
３：CSRF
４：文件上传
１：SQL 注入
引起原因：
其实现在很多网站中都存在这种问题。就是程序中直接进行SQL语句拼接。可能有些读者不太明白。下面通过一个登录时对用户验证来说明：
code:
验证时的sql语句: select * from where user='"+txtUsername.Text+"' and pwd='"+txtPwd.Text+"'
这是一段从数据库中查询用户，对用户名，密码验证。
看上去好象没有什么问题，但是实际这里面浅藏着问题，用户名：admin 密码： admin，
select * from where user='admin' and pwd='admin'
如果用户和密码正确就可通验证。如果我用户名：asdf' or 1=1 -- 密码：随意输入.
我们再来看语句：
select * from where user=‘asdf' or 1=1 -- and pwd=''
执行后看到什么？是不是所有记录，如果程序只是简单判断返回的条数，这种方法就可以通验证。
如果执行语句是SA用户，再通过xp_cmdshell添加系统管理员，那么这个服务器就被拿下了。
解决方法：
（１）：这个问题主要是由于传入特殊字符引起的我们可以在对输入的用户名密码进入过滤特殊字符处理。
（２）：使用存储过程通过传入参数的方法可解决此类问题（注意：在存储过程中不可使用拼接实现，不然和没用存储过和是一样的）。
２：XSS（跨站脚本攻击）
引起原因：
这个也有时被人们称作HTML注入，和sql注入原理相似，也是没有特殊字符进行处理。是用户可以提交HTML标签对网站进行重新的构造。其实在默认的情况下在asp.net网页中是开启validateRequest属性的，所有HTML标签后会.NET都会验证：
但这样直接把异常抛给用户，多少用户体验就不好。
解决方法：
（１）：通过在 Page 指令或 配置节中设置 validateRequest=false 禁用请求验证，然后我们对用户提交的数据进行HtmlEncode,编码后的就不会出现这种问题了（ASP.NET 中编码方法：Server.HtmlEncode(string)）。
（２）：�
相关文档：
Asp.net控件（包括Web服务器控件和Html服务器控件）都没有双击事件，那么该如何将双击事件付给Asp.Net控件呢？我们以Lable控件为例。
一、首先加入控件，ID为Lable1，然后加入一个Button控件，ID为Button1，代码如下
& ......
写cookie
1 HttpCookie cookie = new HttpCookie("Info");//定义cookie对象以及名为Info的项
2 DateTime dt = DateTime.Now;//定义时间对象
3 TimeSpan ts=new TimeSpan(1,0,0,0);//cookie有效作用时间，具体查msdn
4 cookie.Expires = dt.Add(ts);//添加作用时间
5 cookie.Values.Add("user","cx ......
Paging long articles in ASP.NET using C#
Long articles are better broken into bite-sized chunks over several pages. With static HTML, this is easily achieved by dividing the article into logical separations and creating separate .htm files for each. Here's how to do it using C# for an article that ......
Page 执行中将按照如下顺序激活事件：
Page.PreInit
Page.Init
Page.InitComplite
Page.PreLoad
Page.Load
Page.LoadComplete
Page.PreRender
Page.PreRenderComplete
如果页面从令一个页面继承，如BasePage:System.Web.UI.Page，在BasePage中做了一些扩展，如权限检查，而其他页面从BasePage继承，则BasePage和最 ......
经常用到多字段的模糊查询，上面的函数可以实现，例如strKeyWords值为“脚本之家”时
string strField = "id|className|classAdd";
string strKeyWords = this.tbxKeyWords.Text.Trim();
string strSql = dbexe.searchText("select * from class", strField, strKeyWords);
经常用到多字段的模糊查询，上� ......
