WEB開發原則

?

1.最小權限原則,只允許用戶做****,而不是"不允許用戶做****"
2.瀏覽器查看的是服務端代碼的執行輸出的文本,除非服務器有漏洞,否則瀏覽者無法查看
服務端的ASPX，CS代碼,目標另存為也是保存ASPX的執行結果,而看不到ASPX的源代碼,
JS,HTML是被輸出到瀏覽器上執行的,因此無法禁止瀏覽者查看JS,HTML
3.C#代碼是運行在服務器端的,JS代碼是運行在瀏覽器客戶端的
4.能在瀏覽器端完成的事情,就不要到服務端去做
5.客戶端是不可信的
6.能直接將生成的內容以流的形式輸出給縱覽器,就不要生成臨時文件

原則1:
C#代碼是運行在服務器端的,JS代碼是運行在客戶端
按鈕確認提交的實現（在button中的onclick中寫）
<input type="submit name="delete" value="刪除" οnclick="return confirm('確認刪除?')"" />
代碼是運行在瀏覽器端的,和服務器端沒有關系
在服務器端"彈出消息窗口"
Response.Write("<script type='text/javascript'>alert('刪除成功！')</script>");
并不是真的是在服務器端運行的,只是生成了JAVASCRIPT代碼到瀏覽執行,不推薦用些方法,推薦
用后面講的RegisterClientStartupScript,只是渲染到瀏覽器端

案例1：

在項目中添加對System.Windows.Forms的引用,然后MessageBox.Show("Hello");
經遠程訪問測試,C#代碼是運行在服務器端的,Hello彈出在服務端
127.0.0.1是加環地址(LOOPBACK),localhost就是127.0.0.1的別名,是無法在外部訪問的
0.0.0.0 任意IP,不用寫死綁定的IP,可以用于任何IP都可能訪問網絡程序

案例2：

在ASP.NET中,可以在訪問者磁盤中創建木馬文件
File.WriteAllText("c:/muma.exe","木馬(){QQ木馬();機器狗();灰鴿子();});
有CassiniDev.exe啟動測試,exe生成到了服務器的磁盤中,而不是訪問者的磁盤中,因此C#
代碼是運行在服務器中的,而不是瀏覽器中

案例3：

兩個學生分別訪問點擊自增1的界面,互不影響,因為不同用戶的變量內容是隔離的

原則2：
能在瀏覽器端完成的事情,就不要到服務端去做
按鈕隱藏一個控件就不要寫服務端代碼,在客戶端用JAVASCRIPT,DOM來操作就可以,
比如要操作數據庫,顯然是在瀏覽器端做不到的,這時候就要寫服務端代碼,校驗用戶名,密碼
這樣的操作可以放到瀏覽端(用戶名,密碼是寫死的),技術上可以,但是這樣安全性太差,因此
必須放到服務器端

原則3：
客戶端驗證不能代替服務器端驗證
用客戶端驗證取款金額不能高于100元,如果客戶端把 JAVASCRIPT 禁用了,驗證將不生效
客戶端校驗是為了很好的客戶端體驗,服務器端校驗是最后一次把關,防止惡意請求
后面講的 Validation就是ASP.NET內置的數據校驗技術,會在客戶端和服務器端同時校驗

原則4：
不要把機密信息隱藏在HTML中
只有密碼輸對了才顯示下載地址,如果在客戶端判斷,先將下載地址隱藏,對了對顯示,用戶
可以查看源碼得到,密碼與下載地址
應該在服務端控制密碼不對則 Visible=False,服務端控件的
HyperLink1.Visible = false 是根本不輸出到客戶端的
應該是在機密頁面打開之前做權限校驗,而不是在一個頁面中做校驗,如果正確就導向?

posted on 2017-05-11 20:54 葉祖輝 閱讀(...) 評論(...) 編輯 收藏

轉載于:https://www.cnblogs.com/yezuhui/p/6842713.html

總結

以上是生活随笔為你收集整理的WEB开发原则的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。