在线用户    站点地图 技术论坛 文档中心 站点导航 资源下载 语言参考 教程专题 站点统计 业务项目 使用帮助
您的位置
MSDN参考新加了CSS2参考,全中文,制作精良。245k下载。           新加了sxf_sxf推荐的"动态网页专家指导" 下载!          新加了lsg2002lsg推荐的"ASP.NET高级编程(PDF)" 下载!          新加了DHTML代码预览!!,功能强大哦!欢迎试用          新加了网友lincong为大家提供的SQL Server 2000 程序员指南,有点大,但同时也就说明内容全咯!           新加了网友ibra为大家提供的北大的JAVA课件,很适合初学者入门           新加了一个java的连接缓冲池代码示例           新加了人月神话电子版下载!软件工程巨著哦~~           更新了评分标准,引入了“专家分”概念,相信可以更好的激励大家的学习!详情请看“使用帮助”           新加了由网友GGG提供的“IIS超级管理手册”,值得一看哦!(虽然我没看过 :P )           新加了“英雄榜”,欢迎测试!           “无组件上传·从原理剖析到实践”已经全部完成,源码全部开放,有兴趣的朋友请到文档中心一探究竟。  您的位置  首页>文档中心>ASP>文档A0000283 在同一窗口中打开页面中的链接 在新窗口中打开页面中的链接 将ASPCHINA设为首页 将ASPCHINA加入书签    
 LOGIN HERE
用户:
密码: 忘记密码
记住密码 用户注册 游客进入
相关文章
没有相关文章
发表文章
include文件的利弊及其安全性

原作者:不详     提交人:sxf_sxf     发布时间:03-06-12     文章类型:转贴     浏览量:2091
参考链结:http://    
关键字:
[本文档没有附件]
字体:    视力保护色: 杏仁黄  秋叶褐  胭脂红  芥末绿  天蓝  雪青  灰  银河白(默认色) [A0000283]

Include的利弊何在?
你知道Include 可以包含文件自身吗?是的。你甚至可以包含几次。唯一的限制是:你不能让A包含B,而B又包含A。这样的循环包含是不允许的。

另一个问题是,那些文件可以包含其他文件呢?实际上,通过设置IIS,你可以允许任何文件类型使用SSI。缺省地, .shtm,.shtml,.asp,.stm是可以使用Include的。

我们来看看如何使某种文件类型使用Include。在Internet管理器中,调出站点的属性对话框,选择MIME类型下的文件类型按钮,执行“新建类型”,假设新建类型为:.dark。下面只需要把.dark文件类型和SSInc.dll关联就可以了。关联的意义在于:每次客户访问.dark文件类型时,先执行服务器端的Include指令。

关联的方法是:在站点的属性对话框中,选择“主目录”,选择“应用程序映射”,然后增加一个映射:.dark和SSInc.dll

要注意的是,使用了Include的文件必须允许“执行脚本”或者“执行”权限。而如果你不需要在某种类型的文件里面使用包含,那么,简单地删除相应的应用程序映射就可以了。

关于使用Include的好处,我们在“什么是Include”一文里已经讲了。如果你赞成下面的观点,那么,Include的好处是显而易见的:

第一:代码量越大,bug越多!大的代码量意味着开发周期长,意味着投入增加。
第二:某段代码被重用的次数越多,bug越少!那些你现在还在使用的老的代码往往是Bug Free的。

使用Include恰恰允许我们写尽量少的代码,尽量重用代码。所以,Include是值得的。

关于Include文件的命名
微软推荐我们给每一个Include文件带一个.Inc后缀,以便于区别正常的ASP和HTML文件。但是,很多专家建议不要给Include文件一个.Inc,因为这可能带来安全性问题。当黑客知道了或者猜测到你的Include文件的名称,它可以从你的站点Download到你的源程序!有时候,这个问题很严重,特别是Include文件里面包含数据库的用户名和密码,或者数据库的连接字符串时候!

所以,最好你还是给包含文件一个看起来很正常的名称,比如.ASP。当黑客取这个文件时,就看不到源程序了。如果你确实要区分正常的文件和包含文件,你可以把包含文件放进一个不同的路径。

Include存在哪些安全性问题?
网上有很多讨论Include安全性的文章。本文分析Include为什么会带来安全性问题,怎样预防。

你可能类似于下面的代码存储在一个叫Db.inc的文件中:
<%
  Dim objConn
  Set objConn = Server.CreateObject("ADODB.Conection")
 
  objConn.ConnectionString = "DRIVER={Microsoft Access (*.mdb)};" & _
                "DBQ=" & Server.MapPath("/MyDatabase.mdb")
  objConn.Open
%>

你可以试试从浏览器上去拖这个文件:http://localhost/db.inc
你会很惊讶:源程序已经显示在浏览器上。如果显示不出来,你也可以通过查看浏览器的源代码看到!也许你会说:我这个Include文件名称很特别,别人是猜测不出来的。呵呵,真的么?如果你的某个页面有错误,比如下面的错误信息出现了:
Microsoft VBScript runtime error '800a004'

Invalid Class String

/db.inc, line 3

或者这样的错误:
Microsoft VBScript runtime error '800a004c' 路径没有找到.
/db.inc, line 94

你的Include文件名称就暴露无疑!(你可以在Internet管理器中设置一下,不要把详细的错误信息显示到浏览器上)。

解决办法:
1、 Include文件的后缀取成:.asp
2、 所有Include文件放进同一个目录,并禁止这个目录的“读“权限。


关于这篇文章的评论 [注意:这里仅仅是给大家提供了一个发表对文章本身看法的地方,如果有疑问,请到论坛提出] 我要提问!
标题
内容
发言
*您尚未以注册用户身份登录,不能发表评论。这里登录
您的位置
  (c)2000-2019 Yup Studio, all rights reserved.  
58.59375