开发安全可靠的ASP.NET 3.5应用程序

第1章 IIS7.0介绍

1.1 IIS7.0概述

1.1.1 模块化架构

1.1.2 部署和配置管理

1.1.3 改进的管理方式

1.1.4 ASP.NET集成

1.1.5 安全性改进

1.1.6 对故障排除的改进

1.2 应用程序池

1.2.1 Integrated模式

1.2.2 Classic模式

1.3 IIS7.0组件

1.3.1 协议侦听器

1.3.2 万维网发布服务

1.3.3 Windows进程激活服务

1.4 IIS7.0模块

1.4.1 非托管模块

1.4.2 托管模块

1.5 本章小结

第2章 IIS7.0和ASP.NET的Integrated模式

2.1 IIS7.0和ASENE／的Integrated模式的优点

2.2 IIS7.0新增的Integrated模式的架构

2.2.1 system.webServer配置节组

2.2.2 将ASP.NET应用程序迁移到Integrated模式

2.2.3 使用托管处理程序和托管模块扩展IIS7.0

2.3 本章小结

第3章 IIS7.0的Integrated模式中的HTTP请求处理

3.1 内置的IUSR帐户和IISIUSRS组

3.2 在Integrated模式中针对每个请求的安全控制

3.2.1 请求的安全标识的保存位置

3.2.2 建立操作系统线程标识

3.3 统一的处理管道

3.3.1 线程标识和异步管道事件

3.3.2 Authenticate Request

3.3.3 Default Authentication和Thread Current Principal

3.3.4 PostAuthenticateRequest

3.3.5 AuthorizeRequest

3.3.6 通过Pre Request Handler Execute执行的Post Authorize Request

3.3.7 在IIS一级阻塞请求

3.3.8 异步页面执行过程中的标识

3.3.9 EndRequest

3.4 本章小结

第4章 信任问题

4.1 ASP.NET信任级别的含义

4.1.1 配置信任级别

4.1.2 信任级别分析

4.1.3 从实用的角度再看信任级别

4.1.4 创建自定义信任级别

4.1.5 其他信任级别定制

4.1.6 在中等信任级别或部分信任ASP.NE了应用程序中使用LINQ

4.1.7 ASP.NET定义的默认安全权限

4.1.8 有关部分信任的高级主题

4.2 本章小结

第5章 配置系统的安全

5.1 使用元素

5.1.1 Path属性

5.1.2 allowOverride属性

5.2 使用10ckAttnbutes

5.2.1 锁定配置属性

5.2.2 锁定元素

5.2.3 锁定提供程序的定义

5.3 管理IIS7.0配置与管理ASP.NET配置

5.4 使用托管模块和托管处理程序扩展IIS7.0

5.5 管理本机配置系统与管理托管配置系统

5.6 IIS7.0功能委托

5.7 读写配置

5.7.1 读取本地配置所需的权限

5.7.2 写入本地配置所需的权限

5.7.3 进行远程编辑所需的权限

5.8 部分信任级别的配置

5.8.1 requirePermission属性

5.8.2 利用配置类要求权限

5.8.3 FilelOPermission和设计时API

5.9 受保护配置

5.9.1 保护范围

5.9.2 选择受保护的配置提供程序

5.9.3 定义受保护配置提供程序

5.9.4 Dpapi Protected Configuration Provider，

5.9.5 Rsa Protected Configuration Provider

5.9.6 aspnetregiis选项

5.9.7 在部分信任应用程序中使用受保护配置提供程序

5.9.8 使用自定义提供程序对配置进行重定向

5.10 本章小结

第6章 表单身份验证

6.1 快速回顾表单身份验证

6.2 了解持久性票证

6.3 动态地保证票证的安全

6.3.1 签名票证的安全程度

6.3.2 ASP.NET2.0和ASP.NET3.5 提供的加密选项

6.4 设置特定于Cookie的安全选项

6.4.1 requireSSI

6.4.2 Http Only Cookies

6.4.3 slidingExpiration

6.5 使用无Cookie的表单身份验证

6.5.1 无Cookie选项

6.5.2 使用无Cookie票证进行重播攻击

6.5.3 页面中的无Cookie票证和其他URL

6.5.4 使用无Cookie票证情况下的负载的规模

6.5.5 预期外的重定向行为

6.6 在IIS7.0中配置表单身份验证

6.7 在AsPNET1.12.0和3.5 之间共享票证

6.8 针对不同的内容类型使用表单身份验证

6.9 利用UserData属性

6.10 在应用程序之间传递票证

6.10.1 Cooke域

6.10.2 跨应用程序共享票证

6.11 强制性的单一登录和退出

6.11.1 强制性的单一登录

6.11.2 强制性退出

6.12 本章小结

第7章 将ASP.NET安全与ClassicASP进行集成

7.1 IIS5ISAPI扩展的行为

7.2 IIS7.0通配符映射

7.2.1 配置通配符映射

7.2.2 资源类型设置

7.3 Default Http Handler

7.4 使用Default Http Handler

7.5 在IIS7.0Integrated模式中为Classic.ASP提供服务

7.6 使用ASP.NET.对ClassicASP进行身份验证

7.6.1 了解无Cookie的表单身份验证是否能够正常工作

7.6.2 将数据从ASP.NET传递给ASP

7.6.3 将用户名传递给ASP

7.7 使用IIS7.0的Integrated模式对ClassicASP进行身份验证

7.8 使用ASENET对ClassicASP进行授权

7.8.1 将用户角色传递给ClassicASF

7.8.2 将敏感数据安全地传递给ClassicASF

7.8.3 散列Helper类的完整代码列表

7.9 使用IIS7.0Integrated模式对ClassicASP进行授权

7.10 本章小结

第8章 会话状态

8.1 比较会话状态与登录会话

8.2 会话数据划分

8.3 基于Cookie的会话

8.3.1 在不同应用程序之间共享Cookie

8.3.2 保护会话Cookie

8.3.3 会话ID重用

8.4 无Cookie会话

8.5 在IIS.7.0内部配置会话

8.6 在IIS7.0Integrated模式下运行的应用程序的会话状态

8.7 会话ID重用和过期的会话

8.8 会话ID拒绝服务攻击

8.9 信任级别和会话状态

8.10 SQL会话状态数据库的安全

8.11 OOP状态服务器的安全选项

8.12 本章小结

第9章 页面安全和编译安全

9.1 请求验证和视图状态保护

9.1.1 请求验证

9.1.2 保护视图状态的安全

9.2 页面编译

9.3 欺骗性的回发

9.4 站点导航的安全性

9.5 本章小结

第10章 提供程序模型

10.1 使用提供程序的原因

10.2 提供程序模型使用的模式

10.2.1 策略模式

10.2.2 工厂方法

10.2.3 单件模式

10.2.4 外观模式

10.3 核心提供程序类

……

第11章 成员资格

第12章 Sql Membership Provider

第13章 Active Directory Membership Provider

第14章 角色管理器

第15章 SqlRoleProvider

第16章 Authorization Store Role Provider

第17章 ASP．NETAJAX3．5中的成员资格和角色管理

第18章 保证ASP．NETWeb应用程序安全的最佳实践

　　本书全面介绍ASP．NET 2．0和ASP．NET 3．5安全主题。它首先介绍信任级别、表单身份验证、会话状态、网页安全和配置系统安全等概念，然后讨论成员资格和角色管理器以及集成AJAX 3．5和ASP．NET 3．5安全的方法，并在最后陈述ASP．N．ET开发人员应该遵循的最佳开发实践。
　　为了编写无懈可击的ASP．NET应用程序，开发人员必须深入了解Web安全、部分信任环境中的开发、表单身份验证、确保配置安全以及其他许多必需的ASP．NET安全概念。这本面向ASP．NET开发人员的精品书籍详细描述Web应用程序开发过程中涉及的每个重要安全领域，介绍普通ASP．NET安全知识，还讨论了ASP．NET 3．5的新增功能和改进功能。
　　《开发安全可靠的ASP．NET 3．5应用程序——涵盖C#和VB．NET》浓墨重彩地介绍IIS 7．0的重要安全功能和新功能，详细讨论请求生命周期，透彻解释AJAX身份验证和授权，深入分析ASP．NET会话状态、成员资格及角色管理，为您使用C#或VB语言开发安全可靠的ASP．NET 3．5网站奠定坚实基础。
　　主要内容
　　◆开发安全ASP．NET应用程序(包括防范AJAX威胁)的最佳实践
　　◆如何安全读写ASP．NET配置文件
　　◆集成ASP．NET和经典ASP安全的技术
　　◆开发阶段和托管阶段的各种ASP．NET信任级别
　　◆各种ASENET模块处理请求时的相关安全上下文
　　◆表单身份验证和会话状态的安全功能
　　◆如何结合使用ActiveDirectory与成员资格和角色管理器功能
　　读者对象
　　本书主要面向使用C#或VB语言开发ASP．NET Web应用程序的有经验的ASP．NET开发人员。