ASP.NET中認證安全特征評述摘要:討論了服務應用時支持安全的ASP.NET認證特征,微軟的互聯(lián)網(wǎng)信息服務(IIS)和ASP.NET提供了安全模式,使Web開發(fā)者恰當?shù)卣J證其使用者,并在應用過程中獲得正確的安全之本.三個層次的認證是基于表單的,身份證書和視窗認證.綜述文獻僅限于上述三個領域.關鍵詞:表單;身份證書;視窗認證中圖分類號:TP393108文獻標識碼:A文章編號:1000-1646(2021)03-0250-05安全是開發(fā)人員和應用程序架構師首要關注的問題。由于不同類型的網(wǎng)站有不同的安全需要，開發(fā)人員需要知道需要什么程度的安全運行，并為他們的程序選擇適當?shù)陌踩Ｊ?。有些網(wǎng)站發(fā)布的信息不來自用戶，而是通過搜索引擎等廣泛渠道來收集。另外一些網(wǎng)站，可能要收集用戶的敏感信息，比如信用卡號碼，這些網(wǎng)站需要非常嚴格的安全措施，以避免來自外部的惡意攻擊。1安全的基本操作在ASP.NET應用程序的環(huán)境中安全的基本操作涉及三步即驗證，授權和模擬。驗證的過程中認證用戶身份,允許或拒絕請求。這涉及到接受用戶憑據(jù)（如用戶名和密碼）和憑證核對。經(jīng)過身份驗證，合法用戶對資源的請求將得到滿足。接下來一段時間，用戶請求資源無需再進行身份驗證，直到用戶退出這個WEB應用程序。授權是給予用戶訪問特定資源的資格。模擬的過程，是使應用程序確認用戶的身份，從而獲得要求的其他資源?；谀M的身份，請求資源將被授予或者拒絕。2ASP.NET的驗證驗證是Web應用程序的安全一個重要的特征。在ASP.NET中，驗證表現(xiàn)在兩個層次上，[2]首先，Internet信息服務（IIS）將執(zhí)行必要的驗證，然后把用戶請求發(fā)送到ASP.NET中，如圖1所描述的。ASP.NET應用程序的Web服務器基本是IIS。因此，每個ASP.NET應用程序可以繼續(xù)利用IIS所提供的的安全性選項。當用戶請求特定資源時，這一要求將發(fā)送到IIS。IIS驗證用戶的請求，然后把認證用戶發(fā)送給ASP.NET工作進程。ASP.NET工作進程將決定是否模擬驗證IIS所提供的用戶。如果Web.config文件中的模仿配置是啟用的，ASP.NET工作進程將模擬驗證使用者。否則，ASP.NET將自行驗證用戶身份。畢竟，ASP.NET決定用戶是否有權訪問這些資源。如果他們被允許，ASP. NET提供請求的服務;否者他將一個“拒絕登入”的錯誤訊息傳回給用戶。圖1IIS和ASP.NET的安全流程ASP.NET通過幾種認證機制提供了內(nèi)置的用戶身份驗證，[1.4]它們是基于表單的身份驗證，應用程序使用自定義身份驗證模式的Cookie支持來確保安全；身份證書，應用程序使用微軟的身份證書來身份驗證，身份證書是微軟開發(fā)的一個Web單點登錄技術，還有視窗驗證，Web應用程序使用從集成視窗身份驗證中獲得的用戶名單來驗證用戶。也有些應用程序不使用身份驗證，或自行開發(fā)驗證機制。在這種情況下，可以把ASP.NET中身份驗證模式設置為關閉。本文將簡要地涉及基于表單的,身份證書和視窗認證。2.1基于表單的認證基于表單的認證驗證是用定制邏輯執(zhí)行來驗證用戶，運用了Cookie而無需擔心Session管理。這使開發(fā)人員獲得更多的權限去指定哪些文件在網(wǎng)站上可獲取和由何人獲取，并可以識別的登錄頁。[3]這一機制將自動重定向未驗證用戶到登錄頁，并請他們提供適當?shù)膽{據(jù)（例如，用戶名/密碼組合）。如果登錄成功，ASP.NET分配cookie給用戶，并重定向到他們原先請求的特定資源。此Cookie允許用戶反復訪問特定資源，而不必重新執(zhí)行登錄機制。顯示如下：

圖2表單認證流程在上圖中，首先用戶請求資源。這一請求將先到達IIS，由IIS進行用戶身份驗證的。如果IIS啟用匿名訪問，或者用戶已成功通過驗證，IIS會將把請求轉到ASP.NET應用程序。ASP.NET中查看是否有有效的身份驗證cookie附加請求中。如果有，它意味著用戶先前已通過驗證。ASP.NET將執(zhí)行授權檢查。如果用戶有訪問這些資源的權限，將被允許訪問。否則返回登入失敗的信息。如果提出的請求沒有附帶任何Cookie，ASP.NET將重定向用戶登錄頁面，并要求用戶進行身份驗證。應用程序代碼檢查身份證書。如果身份驗證通過，ASP.NET將以附加驗證的形式返回Cookie。如果失敗了，用戶可以被重定向到登錄頁并告訴用戶，該用戶名/密碼無效。建立基于表單的認證一般來說，建立基于表單的認證涉及4個步驟[2]：（一）啟用匿名訪問IIS（二）配置Web.config文件中的<authentication>（三）設定Web.config文件中的<authorization>（四）創(chuàng)建登錄頁。（一）啟用匿名訪問IIS：這有許多工作要做，因為大多數(shù)的用戶被認定為非視窗用戶，所以他們通過IIS進入ASP.NET，ASP.NET將始終允許匿名訪問登入頁面。（二）配置Web.config文件中的<authentication>Web.config文件包含了一個Web應用程序的等級和身份驗證服務的類型等相關信息。該表單驗證通過設置Web應用程序的身份驗證模式屬性為表單來激活[3]:<authenticationmode=″<authenticationmode=″Forms″><formsname=″Login″loginURL=″Login.aspx″protection=″All″timeout=″10″path=″/″/></authentication>正如上面的代碼，name屬性為HTTPcookie的名稱。loginURL屬性設置為登錄頁面。如需，這是該網(wǎng)頁所使用的身份驗證的用戶憑據(jù)。如果用戶沒有通過驗證，請求將重定向到特定網(wǎng)址loginURL。保護屬性的有效值分為所有，無，加密和驗證。Cookie保護設置為所有，這導致ASP.NET運行時不僅加密Cookie的內(nèi)容，而且驗證Cookie的內(nèi)容。[8]如果設置為無，它不使用任何加密或驗證。指定加密將使用DES或DES加密算法加密Cookie；cookie中的數(shù)據(jù)驗證不這樣做，指定驗證cookie的數(shù)據(jù)未作改動的，而不是加密Cookie的內(nèi)容。超時設置為10，這意味著在10分鐘后身份驗證Cookie將過期。這樣做的目的是減少通過驗證Cookie偷竊別人的機會。通過減少時鐘，cookie將被經(jīng)常地再生。路徑屬性是指cookie被發(fā)送到用戶端的路徑。它被設置為“/”這意味著在Cookie路徑是根目錄。（三）配置Web.config文件中的<authorization>為ASP.NETWeb應用程序添加授權服務。要做到這一點，添加Web.config文件中的<authorization>：<configuration><configuration><system.web><authorization><allowusers=″Narcis″/><denyusers=″3″/></authorization></system.web></configuration>如上面所解釋，在用戶提供了有效的證書后，用戶將被重定向到特定的網(wǎng)頁。然而，授權在此代碼中將拒絕除“Narcis”外所有用戶的訪問。（四）創(chuàng)建登錄頁這是重定向未經(jīng)驗證用戶的最后一步，這樣他們就可以提供其身份證書，通常是某種形式的用戶名和密碼，登錄到受保護的資源的授權。在登錄頁，必須通過對比數(shù)據(jù)庫來驗證遞交的身份證書。有效的用戶名和密碼可以存儲在web.config的憑據(jù)(credentials)節(jié)：<credentialspasswordFormat=″<credentialspasswordFormat=″Clear″><username=″Narcis″password=″nar″><username=″Marion″password=″mar″><username=″Lauren″password=″lau″></credentials>然而，以明文形式存儲密碼是很不安全的。此外，在Web.config文件中存儲數(shù)千個用戶名和密碼也是不現(xiàn)實的。[2.7]為解決這個問題，用戶名和密碼都存儲在數(shù)據(jù)庫中，這個辦法使Web.config文件不再有<credentials>一節(jié)。同時Login.Aspx頁面也因為身份證書需比對用戶名和密碼存儲在數(shù)據(jù)庫中而發(fā)生一些改變。2.2身份證書如前所述，這個驗證機制提供了一個集中的認證服務，可為會員提供特有的訪問權。在下列情況下使用身份認證：[2]（一）用戶名/密碼數(shù)據(jù)庫或登入頁不易維護;（二）希望提供個性化的內(nèi)容;（三）該網(wǎng)站將與其他認證網(wǎng)站結合;（四）希望給用戶特有的訪問權。創(chuàng)建身份證書為了實施這一身份認證模式，必須在服務器上安裝身份證書SDK（軟件開發(fā)套件）和注冊微軟身份證書。[1,2]下面的代碼設置Web.config文件的身份認證模式(authentication)設置為身份證書：<authenticationmode=<authenticationmode=″Passport″><passportredirectURL=″internal″/></authentication>該身份證書的重導向地址（RedirectURL）屬性設置為內(nèi)部（internal），這意味著未經(jīng)驗證的請求能夠得到相同的錯誤信息。redirectURL的屬性還可以是除internal外的其他字符串，一般是URL，用來重定位未經(jīng)驗證的請求。2.3視窗認證這種類型的身份認證可能是最簡單的一種。視窗認證可與IIS提供的除匿名身份驗證外的幾乎所有的驗證方法結合（如基本，摘要式，NTLM或Kerberos身份驗證），[2,4]這里無需寫任何代碼來驗證用戶的IIS已經(jīng)驗證自己的Windows憑據(jù)?；旧希暣罢J證使用IIS的身份驗證功能。IIS將先完成它的驗證功能，然后由ASP.NET決定是否給予授權或拒絕服務。這種機制通常是在用戶是Windows域和通過身份驗證的用戶時使用，代碼執(zhí)行在安全性與用戶的Windows帳戶相同的環(huán)境中。[4]當用戶請求具體的資源，這一要求將前往IIS。IIS中對用戶進行身份驗證和發(fā)放安全令牌給它。然后，將通過認證的要求和安全令牌轉發(fā)給ASP.NET中。如果模擬啟用，ASP.NET模擬用戶使用安全令牌重視，并在Web.config文件的“授權<authorization>”一節(jié)中的查看使用者是否被授權訪問的資源。如果獲得批準，ASP.NET將通過IIS發(fā)送用戶所要求的資源，否則，它發(fā)出的錯誤訊息給使用者。設置視窗認證視窗認證的唯一的步驟是在Web.config文件中設置身份驗證模式為Windows和拒絕存取匿名用戶，如下所示：<authenticationmode=<authenticationmode=″Windows″>??</authentication><authorization><denyusers=″?″/></authorization>模擬只有在代碼是在相同的安全環(huán)境中的用戶帳戶才能啟用。同樣，這也要在做配置文件中完成。2.4結束語ASP.NET安全認證是Web應用程序安全的最主要特征之一。它分為三個不同的內(nèi)置服務：基于表單的，身份認證和視窗認證?；诒韱蔚恼J證和身份認證不要求用戶為Windows用戶。在視窗認證是為Windows域用戶設計的?；诒韱蔚恼J證提供了未經(jīng)認證的用戶登錄頁面，要求他們提供憑據(jù)，并將對這些證書進行驗證。如果用戶無權訪問特定的資源，它將把拒絕存取信息返回到用戶。在身份認證中，身份的SDK只是在服務器上安裝和注冊微軟身份證書，提供了一個由Microsoft提供登入憑證的訪問會員網(wǎng)站的簡單的機制。視窗是最方便使用的，因為它不需要寫任何代碼進行驗證。參考文獻:[1]Bell,J.,etal,2021,ASP.NETProgrammer’sReference,WroxPressLtd.,USA.[2]Chilakala,V.,2021,MicrosoftASP.NETSecurity,MicrosoftSupportWebCasts.[3]Gonzales,J.,2021,15Seconds:UsingFormsAuthenticationinASP.NETPart1[4]Kercher,J.,2021,AuthenticationinASP.NET:.NET,SecurityGuidance,MSDNMagazineAugust2021.[5]Lassan,R.,Smith,E.,2021,ASP.NETBible,Hungry,MindsInc.,USA.[6]Leinecker,R.,2021,UsingASP.NET,QueCorporation,Indiana.[7]NETFrameworkDeveloper’sGuide:ASP.NETWeb.ApplicationSecurity,Link.[8]Kieley,J.,2021,MigratingtoASP.NET:KeyConsid2eration,MSDNMagazineNovember2021.

公司印章管理制度一、目的公司印章是公司對內(nèi)對外行使權力的標志，也是公司名稱的法律體現(xiàn)，因此，必須對印章進行規(guī)范化、合理化的嚴格管理，以保證公司各項業(yè)務的正常運作，由公司指定專人負責管理。二、印章的種類公章，是按照政府規(guī)定，由主管部門批準刻制的代表公司權力的印章。專用章，為方便工作專門刻制的用于某種特定用途的印章，如：合同專用章、財務專用章、業(yè)務專用章、倉庫簽收章等。3、手章(簽名章)，是以公司法人代表名字刻制的用于公務的印章。三、印章的管理規(guī)定印章指定