ASP.NET应用程序的安全方案（二）—授权

摘要：本文ASP.NET应用程序授权的概念，介绍了各种授权模式并进行了比较，阐述了选择授权模式的机制。

关键字：授权 authorization ASP.NET WEB应用

1.1. 授权概念

    任何成功的应用程序安全策略的基础都是稳固的身份验证和授权手段，以及提供机密数据的保密性和完整性的安全通讯。
    授权（authorization）过程负责控制通过了身份验证的客户端可以访问哪些资源，以及可以执行哪些操作。可访问的资源既包括文件、数据库等，还包括系统级的资源，如注册表，配置数据等。
    许多WEB程序不是直接授权客户访问底层的资源，而是通过方法（method）来授权客户端所能够执行的操作。这样做的主要原因是考虑到应用系统的可伸缩性和可管理性。     图1列出了各种安全技术以及每种技术所提供的主要授权方式。

2. 2. 授权方式

    如图1所示，Windows 2000上的.NET框架上提供了以下几种授权方式：

• ASP.NET授权
• Enterprise Services授权
• SQL Server授权

2.1 ASP.NET授权

2.1.1 URL授权

    这是一种通过计算机的设置和应用程序配置文件来配置的授权机制。URL授权允许限制用户访问位于应用程序URI命名空间中的特定文件和文件夹。

2.1.2 文件授权

    可以使用此方法来限制对某个WEB服务器上指定文件的访问。访问权限由与文件相关的Windows ACL所确定。