32、应用程序安全保障全解析

应用程序安全保障全解析

1. 访问权限验证

在应用程序中，仅仅通过隐藏或禁用打开视图的按钮来阻止用户访问视图是不够的。用户可以直接在浏览器地址栏输入打开视图的 URI 来绕过界面上的安全措施。因此，当用户导航到某个视图时，必须检查其是否有访问权限，若没有则将其重定向到其他视图。

2. 本地数据存储安全

本地隔离存储中的数据并不安全。虽然其他 Silverlight 应用程序无法访问该应用的隔离存储，但数据以文件形式存储在磁盘上，可像其他文件一样被读取，通常存储在 %AppData%\LocalLow\Microsoft\Silverlight\is 文件夹中。所以，在未加密的情况下，不建议在隔离存储中存储敏感数据和密码等信息。

3. 服务器与客户端间数据加密

常见的“破解”技术是嗅探网络传输的数据，捕获流量并提取敏感数据。默认情况下，RIA 服务在网络传输数据时使用二进制编码，但使用 Fiddler 插件仍相对容易读取，因此不能视为加密流量。

为保护敏感数据传输，建议使用 SSL 通过 HTTPS 进行通信来加密流量。这需要从认证机构购买服务器证书并安装在 IIS 服务器上，也可使用自签名证书进行开发和测试。以下是使用自签名证书在 IIS 7.0 上启用 SSL 的相关博客链接： http://webl