Visual Basic .NET 和 Visual C# .NET 程序員需要解決的安全問(wèn)題
Robin Reynolds-Haertle
Visual Studio Team
Microsoft Corporation
2002 年 1 月

摘要：本文著重討論了 Visual Basic .NET 和 Visual C# .NET 開發(fā)人員在開始使用 .NET 框架時(shí)需要解決的主要安全問(wèn)題。此概述討論了 Windows 應(yīng)用程序和 Web 應(yīng)用程序，以及開發(fā)過(guò)程的實(shí)現(xiàn)、調(diào)試和部署階段。
本文適用于 Visual Studio .NET 和 .NET 框架的最終版本。如果您使用的是預(yù)發(fā)布版本，則其中應(yīng)用程序的運(yùn)行可能與本文所討論的略有不同。

目錄

• 簡(jiǎn)介
• 代碼訪問(wèn)安全性
  • 完全信任
  • 部分信任
  • 部分信任環(huán)境的開發(fā)
  • 測(cè)試
  • 其他資源
• Web 應(yīng)用程序
  • 動(dòng)態(tài)發(fā)現(xiàn)
  • 身份驗(yàn)證、模擬和委托
  • ASPNET 進(jìn)程標(biāo)識(shí)
  • 在 ASPNET 標(biāo)識(shí)下運(yùn)行時(shí)保護(hù)文件資源的安全
  • 使用 ASPNET 標(biāo)識(shí)進(jìn)行調(diào)試
• Visual Studio .NET 開發(fā)環(huán)境中的安全機(jī)制
• 總結(jié)

簡(jiǎn)介

• 運(yùn)行您的應(yīng)用程序的用戶可能拒絕該應(yīng)用程序的權(quán)限，因?yàn)閼?yīng)用程序所運(yùn)行的位置已被指定為拒絕該用戶訪問(wèn)某些系統(tǒng)資源。例如，用戶可以通過(guò)配置公共語(yǔ)言運(yùn)行時(shí)來(lái)拒絕存儲(chǔ)在網(wǎng)絡(luò)驅(qū)動(dòng)器上的所有應(yīng)用程序的文件權(quán)限。您在編寫代碼時(shí)應(yīng)注意此問(wèn)題，并且應(yīng)編寫代碼對(duì)這種拒絕作出恰當(dāng)?shù)幕貞?yīng)。
• 需要防止從您的 Web 服務(wù)器訪問(wèn) Web 應(yīng)用程序的用戶在服務(wù)器上運(yùn)行惡意代碼或破壞數(shù)據(jù)。
• Visual Studio 的設(shè)置方式將或多或少地使服務(wù)器面臨受到惡意代碼攻擊的危險(xiǎn)。

代碼訪問(wèn)安全性

• 我的電腦 - 用戶計(jì)算機(jī)上的應(yīng)用程序。
• 本地 Intranet - 用戶的 Intranet 上的應(yīng)用程序。
• Internet - 來(lái)自 Internet 的應(yīng)用程序。
• 可信站點(diǎn) - 來(lái)自由 Internet Explorer 定義為“可信”站點(diǎn)的應(yīng)用程序。
• 不可信站點(diǎn) - 來(lái)自由 Internet Explorer 定義為“受限”站點(diǎn)的應(yīng)用程序。

完全信任

部分信任

• 運(yùn)行從 Internet 下載的代碼。
• 運(yùn)行駐留在網(wǎng)絡(luò)共享位置 (Intranet) 的代碼。

• 文件 I/O，包括文件的讀取、寫入、創(chuàng)建、刪除或打印。
• 系統(tǒng)組件，如注冊(cè)表值和環(huán)境變量。
• 服務(wù)器組件，包括目錄服務(wù)、注冊(cè)表、事件日志、性能計(jì)數(shù)器和消息隊(duì)列。

部分信任環(huán)境的開發(fā)

' Visual BasicPublic Sub MakeABitmap() Dim b As Bitmap = New Bitmap(100, 100) ' 此處的代碼將以位圖格式繪制一張漂亮的圖片 b.Save("c:\PrettyPicture.bmp")End Sub// C#public void MakeABitmap(){ Bitmap b = new Bitmap(100, 100); // 此處的代碼將以位圖格式繪制一張漂亮的圖片 b.Save("c:\\PrettyPicture.bmp");}

• 警告用戶應(yīng)用程序無(wú)法完成所有需要完成的任務(wù)。
• 清除所有現(xiàn)有對(duì)象，以便 catch 塊后面的代碼能夠成功運(yùn)行。

' Visual BasicPublic Sub MakeABitmap() Dim b As Bitmap Tryb = New Bitmap(100, 100)b.Save("c:\PrettyPicture.bmp") Catch ex As System.Security.SecurityException' 告知用戶保存失敗。 MessageBox.Show("拒絕授予保存該文件的權(quán)限，" & _ "未保存此位圖。") Catch ex As System.Exception' 此處對(duì)其他異常作出反應(yīng)。MessageBox.Show(ex.Message) End TryEnd Sub// C#public void MakeABitmap(){ Bitmap b = null; try{b = new Bitmap(100, 100);b.Save("c:\\PrettyPicture.bmp"); }catch (System.Security.SecurityException ex){// 告知用戶保存失敗。 MessageBox.Show("拒絕授予保存該文件的權(quán)限，" +"未保存此位圖。"); }catch (System.Exception ex){// 此處對(duì)其他異常作出反應(yīng)。MessageBox.Show(ex.Message); }}

' Visual Basic<Assembly: System.Security.Permissions.FileIOPermissionAttribute( _SecurityAction.RequestMinimum, Write:="c:\PrettyPicture.bmp")> // C#[assembly: System.Security.Permissions.FileIOPermissionAttribute(SecurityAction.RequestMinimum, Write="c:\\PrettyPicture.bmp")]

' Visual BasicPublic Sub MakeABitmap() Dim filename As String = "c:\PrettyPicture.bmp" Dim permission As FileIOPermission = _ New FileIOPermission(FileIOPermissionAccess.Write, _ filename) Dim b As Bitmap = Nothing Tryb = New Bitmap(100, 100)permission.Demand()b.Save(filename) Catch ex As System.Security.SecurityException' 告知用戶保存失敗。 MessageBox.Show("拒絕授予保存該文件的權(quán)限，" & _ "未保存此位圖。") Catch ex As System.Exception' 此處對(duì)其他異常作出反應(yīng)。MessageBox.Show(ex.Message) End TryEnd Sub// C#using System.Security.Permissions;public void MakeABitmap(){ string filename = "c:\\PrettyPicture.bmp"; FileIOPermission permission = new FileIOPermission(FileIOPermissionAccess.Write, filename); Bitmap b = null; try{b = new Bitmap(100, 100);permission.Demand();b.Save(filename); }catch (System.Security.SecurityException ex){// 告知用戶保存失敗。 MessageBox.Show("拒絕授予保存該文件的權(quán)限，" +"未保存此位圖。"); }catch (System.Exception ex){// 此處對(duì)其他異常作出反應(yīng)。MessageBox.Show(ex.Message); }}

測(cè)試