孔杰 刘钢

【摘要】随着网络的广泛应用，网络安全的重要性日益凸显。ASP.NET web应用程序面对着各种威胁和攻击，有效的抵御这些攻击才能建立安全牢固的 web应用程序服务。本文通过对ASP.NET 安全机制的分析和研究总结了设计安全的ASP.NET web应用程序的关键问题和技术方法，为软件开发人员分析和设计安全的ASP.NET web应用程序提供参考。

【关键词】web应用程序 安全性 用户管理 验证和授权 会话管理

一、前言

ASP.NET 作为Microsoft公司推出的.NET技术的网络应用平台，已经被广大程序人员采用，用户能够控制信息的传送方式、时间和内容，从而得到更多的服务。随着ASP.NET的广泛应用，ASP.NET web应用程序安全的重要性也日益凸显。对于web应用程序来说，若安全措施脆弱，或存在潜在的安全漏洞都对web应用程序有着重要的影响，抵御网络攻击的根本途径是堵塞各种安全漏洞，构筑坚固的web应用程序。

二、管理用户和密码

用户安全性首先在于用户名和密码的选择，为了向用户说明安全的重要性，可由用户或站点选择用户名和密码，密码是应用程序安全的中心机制，必须确保用户具有强密码。

在应用程序设计中，最普遍的安全漏洞之一是选择易于猜测的密码。如果在程序设计中自动为用户创建密码，本文建议在第一次登录中强制要求改變默认密码，确保使用随机的强密码算法，这样就不会产生可预测的密码。不建议明文存储实际密码，其主要原因是：如果这样做，组织内成员就不可能访问用户密码。……