【正文】 ? 安全功能 ? 常見情形 ? 驗(yàn)證（ Authentication） ? 授權(quán)（ Authorization） ? 模擬（ Impersonation） ? 代碼訪問安全 模擬（ Impersonation） Web 站點(diǎn)的身份 (Identity) ? NT AUTHORITY\SYSTEM ? IUSR_MACHINENAME ? 基于 文件固定的身份 identity impersonate=―true‖ userName=―Administrator‖ password=―password‖/ ? 用戶的身份 Windows 驗(yàn)證和模擬 演示 2 日程 ? .NET 安全體系結(jié)構(gòu) ? 代碼訪問安全 ? 角色安全檢查 ? 安全功能 ? 常見情形 ? 驗(yàn)證（ Authentication） ? 授權(quán)（ Authorization） ? 模擬（ Impersonation） ? 代碼訪問安全 代碼訪問安全 信任級(jí)別 ? 單個(gè) web 應(yīng)用程序能夠被分配不同程度的信任級(jí)別 ? 信任級(jí)別決定訪問權(quán)限 ? 例如 ? Full trust: 應(yīng)用程序能夠使用所有資源 (僅受限于操作系統(tǒng) ) ? Low trust: 有限的資源訪問 , 應(yīng)用程序目錄中的只讀文件訪問 , 有限的網(wǎng)絡(luò)連接 , 等等 代碼訪問安全 信任級(jí)別 ? 4 預(yù)定義設(shè)置 ? Full: 無代碼安全限制 ? High: 不允許 native 代碼 , 可讀 /寫應(yīng)用程序 目錄 , 可連接 SQL Server? ? Low: 可讀應(yīng)用程序目錄 , DNS ? None: 可執(zhí)行代碼 , IsolatedStorage ? 信任級(jí)別能夠被自定義或擴(kuò)展 代碼訪問安全 單一的安全機(jī)制 ? 相同的存取控制被用在整個(gè) .NET 體系中 ? 沙箱 ? 網(wǎng)站 ? 下載代碼 ? 用戶 ? 可執(zhí)行文件 代碼訪問安全 演示 3 總結(jié) ? .NET 基本安全機(jī)制 ? 多種用戶驗(yàn)證機(jī)制 ? 基于角色的授權(quán) ? 模擬 (默認(rèn) , 靜態(tài) , 動(dòng)態(tài) ) ? 用戶和管理員決定代碼能夠做什么 ? 不再需問 ―我真的信任你嗎 ?‖ ? Sandbox 網(wǎng)站 , 下載代碼 , 可執(zhí)行文件 , 或者用戶 .NET 架構(gòu)不能做的 ? 取代應(yīng)用軟件設(shè)計(jì)的安全考慮 ? 處理非正常的權(quán)限用法 ? 防止所有可能發(fā)生的攻擊 ? 網(wǎng)絡(luò)不安全 ? 很弱的用戶帳號(hào)原則 ? 不及時(shí)更新軟件 ? 有攻擊漏洞的服務(wù) ? … ? 安全處理非管理代碼 更多信息可在下列地方找到 : ? MSDN 網(wǎng)站 ? ? Microsoft174。 } } } 角色安全檢查 ? 靜態(tài)安全檢查 [ PrincipalPermissionAttribute( , Name = ―MyUser‖, Role = ―User‖ ) ] public static void PrivateInfo() { // 打印保密數(shù)據(jù) ( ―\n\nYou have access to the private data!‖ )。 } } 代碼訪問安全 安全權(quán)限 ? IStackWalk interface namespace { public interface IStackWalk { void Assert()。 SecurityElement ToXml()。 } String Name {