ASP.NET中等安全模式的一些经验分享

非通用型的Web程序或产品,通常不会和ASP.NET中等安全模式打交道,因为面对的用户群体会比较固定,或者部署环境是可以由程序提供者决定的。
但在做通用型的Web产品的时候,你就要和各种人打交道了,有的站长用的是国外空间,比如GoDaddy,外国的空间商通常会把ASP.NET代码执行权限控制在中等安全模式。
而在中等安全模式下,很多我们习以为常的事情都是做不了的。

中等安全模式是什么?
可能很多人都没接触过中等安全模式,我在参与bbsmax项目之前,我也不知道有中等安全模式这么个东西。
简单来说,ASP.NET提供了一个简单设置代码执行权限的方案,叫做“信任级别”。
它默认提供5种信任级别,分别是:FullTrust、High、Medium、Low、Minimal。
每个信任级别的设置,分别对应于一组代码权限设置。
这个方案,让网站部署者可以通过web.config快速设置网站的托管代码执行权限。
通过对web.config的<system.web>/<trust>节点的level属性值进行设置,就可以将ASP.NET程序设置到不同的信任级别。
ASP.NET安装完,所有网站默认都是FullTrust信任级别,也是最高信任级别。
本文说的“中等安全模式”就是对应于Medium信任级别。
因为托管代码执行权限模型不是本文讨论的重点,所以我这里只做简单的说明,不深入讨论ASP.NET安全级别设置的实现原理,实现原理可以参考本文最后给出的几个连接。

中等安全模式会有哪些影响?
以下是我和我的同事在ASP.NET中等安全模式下曾经遇到过的一些问题:
1. 基于VirtualPathProvider的模板机制不能用,因为VirtualPathProvider至少需要运行在High模式。
2. BuildProvider不能用,意味着你想自己添加自己的语言实现也不能用了,不过大部分项目不会用到这么高级的东西。
3. CodeDom、Emit不能用了,这下惨了,什么Ioc、AOP,动态注入的高科技玩意儿,全都废了,这些不是基于CodeDom的就是基于Emit的。
4. 通过aspx页面接管文件下载也不行了,Response写文件流到客户端需要更高的代码执行权限。
5. 大文件上传也别想了,因为大文件上传万变不离HttpWorkRequst,获取HttpWorkRequst的代码需要FullTrust模式。
6. SQLite不能用了,因为中等安全模式下没有非托管代码调用权限,所以除了SQLite外,涉及到非托管代码调用的,也都废掉了。
7. Access数据不能用OleDb连接了,因为中等安全模式下,OleDbClient是不能用的,你只能用ODBC数据源。
所以,如果要考虑允许让用户把程序部署到中等安全模式下,那就越早做中等安全模式的兼容性测试越好。
因为很多不能用的东西,都是涉及到基础结构的。
比如,SQLite和Access不能用,你的程序如果正巧就只做这两个数据库的版本,咋办?
比如,文件下载不能通过Response写文件流的方式,你的程序正巧又是这么做防盗链,咋办?

中等安全模式要求那么苛刻,怎么对付?
只能绕道走了,要不然怎么办?方法还是有的,得不断尝试。
VirtualPathProvider不能用,BuildProvider也不能用,但是又需要有自己的一套模板语法。那只好在页面访问前生成aspx页面,再做URL重写了。
说起来很简单,就一句话。但是这中间我不知道写了多少代码,做了多少次试验,才找到最佳方案。
所以,你的方法还是得你自己找。
以下是判断程序是否运行在中等安全模式的代码:


代码如下:

if (SecurityManager.IsGranted(new AspNetHostingPermission(AspNetHostingPermissionLevel.Medium)))
{
}

如果有遇到不是必须执行的逻辑,比如获取程序内存占用率或者大文件上传,那就可以先判断下,再决定是否调用。
根据资料显示,把程序集部署到GAC中,可以获得FullTrust级别的权限,不过我没有实际试过。

附录A

参考链接:

MSDN 《trust 元素(ASP.NET 设置架构)》

MSDN 《How To: Use Medium Trust in ASP.NET 2.0》

《Check Code Access Security Permissions Granted to your asp.net web application》

附录B


辰 提供的文件下载方案:


代码如下:

protected override void OnInit(EventArgs e)
{
Response.ContentType = "application/octet-stream";
using (FileStream stream = File.Open(Server.MapPath("~/test.txt"), FileMode.Open))
{
BinaryWriter writer = new BinaryWriter(Response.OutputStream);
byte[] buffer = new byte[1024];
int l = 0;
while ((l = stream.Read(buffer, 0, buffer.Length)) > 0)
{
writer.Write(buffer, 0, l);
}
}
}

时间: 2010-01-16

巧妙解决Oracle NClob读写问题(经验分享)

最近一个新项目中,尝试在 Oracle 数据库中使用 NCLOB 来保存大的 xml 字符串. 在代码自动生成工具(通过 JDBC 驱动程序,读数据库表结构,自动生成对应的 java 代码,包含增加.删除.修改.分页查询.根据主键查找等前台 html/js.后台代码 java),将 NCLOB 字段映射到 String 类型. 运行代码,无报错.使用 SQuirreL SQL 客户端查看数据,觉察数据未保存成功. 网上搜一通,有提到用 SetBigStringTryClob  的数据库连接额外属

Asp.Net类型转换类(通用类)代码分享

废话不多说了,直接给大家贴代码了,具体代码如下所述: /// <summary> /// 类型转换类 /// 处理数据库获取字段为空的情况 /// </summary> public static class DBConvert { #region------------------ToInt32类型转换------------------ /// <summary> /// 读取数据库中字符串并转换成Int32 /// 为空时返回0 /// </summary&

使用bootstrap validator的remote验证代码经验分享(推荐)

这里需要说一下,bootstrapvalidator的帮助文档写的比较简单,对于remote验证器的说明更是如此,在经历多方测试之后才明白如何使用这个验证器. 一个典型的ajax验证代码如下: 服务端验证代码(使用spring mvc)如下: /* * 返回String类型的结果 * 检查用户名的合法性,如果用户已经存在,返回false,否则返回true(返回json数据,格式为{"valid",true}) */ @RequestMapping(value = "/chec

手动挡汽车如何开省油的经验分享

怎样开车最省油 一.新车磨合 新车在最初的3000公里行驶里程之内一定要磨合.新车磨合要注意时速控制在每小时80公里以内:尽量减少急加速.急减速. 二.合理保养汽车--定期保养 要知道车况良好的汽车可省油15%到20%. 1.空气滤清器.汽油滤清器.机油滤清器:每行驶5000公里以上配件都需要更换,因为空滤堵塞会引起气量减少,导致汽油燃烧不充分,降低燃油效率,而汽油滤清器的阻塞也会使发动机工作异常. 2.机油:加机油需要适量,注意机油标尺所标示的刻度.机油太多将曲轴淹没,增大阻力:机油太少则无法

MYSQL跨服务器同步数据经验分享

项目需要,自己找了些资料和亲手配置过后:得出的经验分享. (1)主服务器 修改配置文件/etc/my.cnf(my.ini) [mysqld] # mysql-bin是log文件的前缀,也可以使用其它的名字,比如服务器名 # 如果不带路径,会把log文件写到`/var/lib/mysql`下 log-bin=mysql-bin # serverid在一个同步体系中必须是唯一的,大于等于1且小于2^32-1的整数 server-id=1 binlog-do-db = 数据库名 (你要备份的数据库)

Java异常区分和处理的一些经验分享

异常处理的一些经验总结 这篇文章主要是对Java异常选择和使用中的一些误区的总结和归纳,希望各位读者能够熟练掌握异常处理的一些注意点和原则.只有处理好了异常,才能提升开发人员的基本素养,提高系统的健壮性,提升用户体验,提高产品的价值.废话少说,直接看: 误区一.异常的选择 这张图描述了异常的结构,其实我们都知道异常分检测异常和非检测异常,但是在实际中又混淆了这两种异常的应用.由于非检测异常使用方便,很多开发人员就认为检测异常没什么用处.其实异常的应用情景可以概括为以下: 1.调用代码不能继续执行

ASP动态网页制作技术经验分享

学好一门编程语言有两个条件是必不可少的,一是理论与实践结合.在实际例程去验证书本上的理论能加深你对理论的理解:二是学会总结,把学习.运用中的心得体会记下来,当成一种经验或者教训加以提炼并在日后的应用中加以改进,一定能提高你对这门编程语言的认识.以下是笔者在学习与运用ASP编程中的两点经验,希望能对大家有所帮助. ASP页面内VBScript和JScript的交互 ASP具备管理不同语言脚本程序的能力,能够自动调用合适的脚本引擎以解释脚本代码和执行内置函数.ASP开发环境提供了两种脚本引擎,即VB

ASP与ASP.NET互通COOKIES的一点经验

在微软推出.NET并进行了大规模的推广普及之后,ASP.NET逐渐进入了信息化系统开发的主流.但与此同时,而用ASP开发的旧系统面则临被整合,这时,面临一个问题:ASP与ASP.NET互相整合时,其中文COOKIES信息无法被互通共享,当使用ASP.NET写入中文COOKIES信息后,使用ASP进行读取,读出来的却是乱码,而非中文.    后来通过查找资料,不停地实践,终于找到了问题的根源,中文COOKIES信息在ASP中无法被正确读取得原因为其中文编码格式不同.    开发项目Web.conf

JS前端框架关于重构的失败经验分享

好了开始吧 重构这个其实也不是什么大动作,主要要实现的功能嘛,就是把现有的JS代码重新划分一下,解耦现有模块.然后我打算把现有的程序划分一下模块然后重新打包做一个命名空间实现use或者类似于java的Package的东西.那么我只要加载一个use的js文件调用这个文件的use函数,通过设置某些参数,我可以动态地加载所需要的模块.这个是最完美的想法(那时我很傻很天真).好的,噩梦开始了. 前提,我低估了3个月前的自己.//好吧,下面可能会出现un文明用语~~ 首先,计划的第一天,我的打算是分离这个