写给那些ASP.NET程序员：网站中的安全问题
在网络经常看到网站被挂马、主页被修改的新闻，其实这些问题可能是多方面的，服务器，网站程序等等。。。但是现在溢出已经被人们重视和服务器的不断完善，服务器系统漏洞也不是那么容易发掘，当然也要保证第三方的软件安全。
做项目也有一段时间了。在程序中也遇到很多安全方面的问题。也该总结一下了。这个项目是一个CMS系统。系统是用ASP.NET做的。开发的时候发现微软做了很多安全措施，只是有些新手程序员不知道怎么开启。下面我通过几个方面简单介绍：
１：SQL 注入
２：XSS
３：CSRF
４：文件上传
１：SQL 注入
引起原因：
其实现在很多网站中都存在这种问题。就是程序中直接进行SQL语句拼接。可能有些读者不太明白。下面通过一个登录时对用户验证来说明：
code:
验证时的sql语句: select * from where user='"+txtUsername.Text+"' and pwd='"+txtPwd.Text+"'
这是一段从数据库中查询用户，对用户名，密码验证。
看上去好象没有什么问题，但是实际这里面浅藏着问题，用户名：admin 密码： admin，
select * from where user='admin' and pwd='admin'
如果用户和密码正确就可通验证。如果我用户名：asdf' or 1=1 -- 密码：随意输入.
我们再来看语句：
select * from where user=‘asdf' or 1=1 -- and pwd=''
执行后看到什么？是不是所有记录，如果程序只是简单判断返回的条数，这种方法就可以通验证。
如果执行语句是SA用户，再通过xp_cmdshell添加系统管理员，那么这个服务器就被拿下了。
解决方法：
（１）：这个问题主要是由于传入特殊字符引起的我们可以在对输入的用户名密码进入过滤特殊字符处理。
（２）：使用存储过程通过传入参数的方法可解决此类问题（注意：在存储过程中不可使用拼接实现，不然和没用存储过和是一样的）。
２：XSS（跨站脚本攻击）
引起原因：
这个也有时被人们称作HTML注入，和sql注入原理相似，也是没有特殊字符进行处理。是用户可以提交HTML标签对网站进行重新的构造。其实在默认的情况下在asp.net网页中是开启validateRequest属性的，所有HTML标签后会.NET都会验证：
但这样直接把异常抛给用户，多少用户体验就不好。
解决方法：
（１）：通过在 Page 指令或 配置节中设置 validateRequest=false 禁用请求验证，然后我们对用户提交的数据进行HtmlEncode,编码后的就不会出现这种问题了（ASP.NET 中编码方法：Server.HtmlEncode(string)）。
（２）：�
相关文档：
Asp.net网站发布到IIS上，操作文件的时候发生‘System.UnauthorizedAccessException:对路径“***”的访问被拒绝’。
说明没有授予Asp.net对文件的写访问权，网上找了一下:
若要授予 ASP.NET 对文件的写访问权，请在资源管理器中右击该文件，选择“属性”，然后选择“安全”选项� ......
Windows 身份验证提供程序 提供有关如何将 Windows 身份验证与 Microsoft Internet 信息服务 (IIS) 身份验证结合使用来确保 ASP.NET 应用程序安全的信息。 Forms 身份验证提供程序 提供有关如何使用您自己的代码创建应用程序特定的登录窗体并执行身份验证的信息。使用 Forms 身份验证的一种简便方法是使用 ASP.NET 成员资格 ......
using System;
using System.Data;
using System.Configuration;
using System.Web;
using System.Web.Security;
using System.Web.UI;
using System.Web.UI.WebControls;
using System.Web.UI.WebControls.WebParts;
using System.Web.UI.HtmlControls;
using Microsoft.Office.Inter ......
1. Get(即使用QueryString显式传递)
方式：在url后面跟参数。
特点：简单、方便。
缺点：字符串长度最长为255个字符；数据泄漏在url中。
适用数据：简单、少量、关键的数据。
适用范� ......
公司交给我个项目，已经完成了一部分，需要做中英文双语言，以前听别人说程序多语言什么的，都不知道从哪下手得。项目架构已经搭好了，大概看了一下，知道是使用资源文件来实现的，不说了，赶紧自己试试吧。试了才会记住，才是自己的O(∩_∩)O~
1. 新建Asp.net Web应用程序ChangeLanuage，新建aspx页面Defau ......
