ASP.NET应用程序结构及安全规划

逻辑体系结构

从逻辑上讲，您需要规划解决方案以标识数据存储、数据访问、业务规则、用户界面等之间的“边界”。通常，Web 开发人员会选择一个两阶段模型，并用 Web 窗体存储用于访问现有数据存储系统（例如 Microsoft SQL Server）的所有代码。一个更有效的方法是创建一个位于 Web 窗体用户界面与 SQL Server 数据存储系统之间的中间层组件库。这种三层方法（Web 窗体、组件、数据库）通常是大多数应用程序所需的。但是，在某些情况下，可能需要一个其他层来处理服务器之间传输的数据。这个传输层可以使用独立于平台的协议（例如 XML-SOAP）来实现。但是，如果您从头到尾都使用 Microsoft .NET 技术，则可以使用 .NET 远程协议的二进制版来完成这一任务，而且速度比使用 XML-SOAP 要快得多。

对于我们的示例，我们将定义三个逻辑边界：用户界面（Web 窗体）、中间层（一个 .NET 组件程序集）和数据层（SQL Server 数据库）。图 1 显示了如何表示这一内容。

图 1：三层图

现在我们有一个简单的逻辑模型。它是如何起作用的？它有助于我们考虑各个逻辑组之间的边界。每个逻辑层应尽量与其他层独立。理想的情况是，图层中的更改应该对整体产生最小的影响。例如，如果将数据存储从 SQL Server 更改到 XML 数据文件，唯一受到影响的图层应是中间层图层。用户界面应该根本无需考虑更改。这会使您进行思考：如何实现解决方案的实际编码以实现此原则。

另外，逻辑层有助于我们考虑安全问题。各个图层之间的边界都存在潜在的安全漏洞。而且，各个图层可能有自己特定的安全措施（SQL Server 权限、.NET 运行时权限、ASP.NET 安全等）。同样，我们稍后会在本节中详细讨论这个问题。

物理体系结构

确定逻辑层后，考虑物理层也很重要。例如，您可以在同时安装有 SQL Server、Internet Information Server、ASP.NET 和 .NET 运行时的单个实际计算机上实现这个应用程序。这将是一个物理层。但更可靠且可扩展的方法是：在由三个 Web 服务器组成的簇上部署 Web 窗体，在两个应用服务器上部署 .NET 组件程序集，在两个故障恢复模式的 SQL Server 上部署数据库。这样产生的物理体系结构将七个 Windows 服务器包含在三个主要组中：Web 簇、组件簇和数据库簇。如果您了解系统的不同逻辑部件可以位于不同的计算机上，您可能会实现不同的代码。

对于我们的示例，我们采用一个有效且强大的两层模型：Web 服务器托管用户界面和组件，数据库服务器托管 SQL Server 数据存储。如果通信量非常大，这个模型使我们可以灵活地在簇中添加更多的服务器，并使其保持足够的简洁以便于处理。下面的图像显示了此物理体系结构与前面定义的逻辑体系结构之间的映射关系。

图 2：物理体系结构与三层体系结构之间的映射关系

正如您看到的那样，逻辑体系结构和物理体系结构不必相同。在规划阶段还要考虑一项内容：安全。

安全规划

Microsoft 有一个关于安全性与软件这一主题的歌诀：“Secure by design, secure by default, and secure by deployment（设计安全，默认安全和部署安全）”。即，在安全中设计，期待系统在默认情况下是安全的，以及创建可以在安全环境中成功部署的解决方案。安全始终是重要的。既然越来越多的软件要在公用的 Internet 上“生存”，编写安全的软件就更加关键。对于我们而言，幸运的是，.NET 运行时和 Windows 操作系统提供广泛的安全选项和功能，我们可以轻松地将其包含在我们的应用程序中。无需过分注重标识和消除联机解决方案中安全漏洞的细节，我们可以指出其中一些最常见的漏洞并指出我们的应用程序规划如何进行处理。

缓冲区溢出

这可能是已编译应用程序中最常见的安全漏洞。由于我们将使用 .NET 运行时，而它是设计用来在内存中安全运行的，因此不太可能发生缓冲区溢出。此外，我们使用 Microsoft Visual Basic® .NET 对解决方案进行编码，而 Microsoft Visual Basic® .NET 不像 C 或 C++ 那样容易受到缓冲区溢出问题的影响。但是，即使我们打算用 C++ 创建组件，我们还可以使用编译程序的特殊功能，GS 转换，来保护我们免受大多数缓冲区溢出的攻击。

数据库攻击

另一种常见的安全漏洞可能会使恶意用户获得访问存储在数据库中的原始数据的权限。为了防止黑客获得数据的控制权，我们仅使用 SQL Server 存储过程，而不使用“内联查询”。这样可以大大减少试图在输入流中插入其他 SQL 命令的攻击。我们还在程序中多个位置处使用输入验证，以确保所有输入仅包含有效的字符。

交叉站点脚本攻击

对 Web 应用程序进行的常见攻击还有一种，它涉及到用户在输入流中添加客户方脚本，这类攻击将执行附加的对话并诱骗用户将个人数据发送到黑客自己的 Web 站点。要解决这个问题，我们使用 ASP.NET 1.1 的一个新功能，过滤出这种恶意代码的所有输入，防止将它置入系统中。显示屏幕上还包含附加代码，它将自动禁用任何脚本或显示可能会插入到数据存储中的标记。

至此，我们已获得了应用程序的逻辑模型和物理模型，以及确保实现方案包含的安全功能清单。拥有了这些以及目标声明和用户方案，我们可以开始这次“编码前”探险的最后一部分了。