范振钧，丛云飞

(通化师范学院 计算机科学系，吉林 通化 134002)

1 引言

ASP.Net是未来Web应用开发的趋势，安全性是ASP.Net Web应用程序中一个非常重要的方面.基于ASP.Net Web应用程序的安全性分为以下两个层次的内容：①在.Net平台级安全性架构的设计，主要探讨在.Net平台的支持下，采用何种安全策略对用户进行身份验证和授权.②应用程序级的安全性设计，主要研究如何减少常见的安全威胁，防止黑客入侵的措施.

2 在.Net平台级安全性架构的设计

2.1 ASP.Net安全性实现基础

ASP.Net与Microsoft Internet信息服务(IIS)协同工作[1]，它们一起为Web应用程序安全提供了一个基础结构，ASP.Net安全结构图如图1所示.

图1 ASP.Net安全结构图

Web客户端通过Microsoft Internet信息服务(IIS)与ASP.Net应用程序通信.IIS根据需要对请求进行身份验证，然后找到请求的资源.如果客户端已被授权，则资源可用..Net安全架构提供了3个关键的安全过程：身份验证、授权、模拟，是Web应用程序安全性实现的基础[2].

(1)身份验证(Authentication).身份验证过程接受用户凭据，并根据指定的颁发机构来验证凭据.客户端必须提供凭据，以便服务器验证访问者的标识.确认标识后，应用程序就能授权访问者访问系统资源.

(2)授权(Authorization).授权过程确定已证实的标识是否可以访问某一特定资源.有两种基本方式来授予对给定资源的访问权限：文件授权和URL授权.文件授权是根据访问控制列表(ACL)或资源权限进行检查，以确认已经过验证的用户能否访问资源.URL授权是根据URL来进行授权，对Web空间上的标识来授权.

(3)模拟(Impersonation).模拟机制允许服务器……