有几种方法可以用来访问网络资源： ·使用ASP.NET进程身份 ·使用匿名用户帐户 ·使用LogonUser API ·使用服务性的组件（企业服务） 使用ASP.NET进程身份似乎有很明显的缺陷。缺省情况下，当应用程序试着访问资源时，ASP.NET进程身份提供一个身份（ASPNET）。最简单的解决方案是创建一个具有与远程计算机上相匹配的用户名和密码的本地帐户。大多数企业都会有庞大的内联网，因此这一方法是不切实际的。另外，知道是谁在访问资源也是非常重要的。尽管该方法足以访问网络资源，但效率不够高；第二个方法是使用匿名帐户，例如IUSR_MACHINE。与上面的原因相同，这种方法的效率显然也不高；第三种方法是使用LogonUser API，这种方法要求通过调用Win32 LogonUser API模仿一个特定的身份，还可以通过配置ASP.NET项目web.config文件中的＜identity＞元素进行模仿。据MSDN上的一篇文章称，不建议用户使用以上这些方法，应当避免在Windows 2000服务器上使用它们，因为它们要求向ASP.NET帐户进程授予“作为操作系统一部分运行”的权限，从而极大地降低了web应用程序的安全性。因此，该方法也不理想。最后，也是最可行的解决该问题的方法是使用配置为作为用于访问网络资源固定身份运行的服务性组件。这种方法听起来令人胆怯，但它是目前最好的解决方案，它的架构如下图所示：
（图2）
梅耶在http://msdn.microsoft.com/library/default.asp?url=/library/en-us/dnnetsec/html/SecNetch08.asp上发表的一一篇有关安全的文章中表示，在企业服务服务器应用程序中使用服务性组件有以下好处： ·在使用的身份方面的灵活性，不必只依赖于ASP.NET身份。 ·受信任或权限较高的代码能够与主web应用程序隔离。 ·增加的进程跃距提高了攻击难度，它使得黑客更难跨越进程的边界，使用具有较高权限的进程。 ·如果需要手动处理LogonUser API调用的模仿，我们可以在一个与主Web应用程序隔离的进程中完成这一工作。
Copyright ＠ 2007-2012 敏韬网(敏而好学，文韬武略--MinTao.Net)（学习笔记） Inc All Rights Reserved. 闵涛 E_mail:admin@mintao.net(欢迎提供学习资源)
鄂公网安备 42011102001154号
站长：MinTao ICP备案号：鄂ICP备11006601号-18
注：本站部分文章源于互联网，版权归原作者所有！如有侵权，请原作者与本站联系，本站将立即删除！ 本站文章除特别注明外均可转载，但需注明出处！ [MinTao学以致用网] 
