主页 / server / 问题 / 14655
Accepted
Matias Nino
Asked: 2009-05-30 06:52:42 +0800 CST

ASP/ASP.NET 处理写权限的最佳方式？

  • 772

假设您在 IIS 上有一个公共 ASP.NET（或经典 ASP）应用程序，其脚本/页面需要在位于 Web 发布文件夹树中的特定文件夹中写入或更新文件。

1）设置它的正确方法是什么？

我主要关心的是我想让 ASP/ASP.NET 应用程序写入一个文件夹，但我不希望普通的 http 用户能够将文件放入其中。

permissions iis asp.net asp

4 个回答

  1. Best Answer

    首先让我说，我非常相信几乎总有比将内容写入磁盘更好的解决方案。无论是将数据写入数据库还是提供 Web 服务，写入磁盘应该是最后的选择。
    话虽如此，有一些正当的理由，但这有点棘手，并且取决于应用程序需要写出文件的原因。

    将数据写入代码运行位置之外是绝对要求。出于显而易见的原因，允许最终用户写入 ASPX/asp 引擎可以解释/执行代码的路径是不好的。

    影响这一点的其他一些事情是：

    1. 无论您是在域帐户下还是在标准网络服务下运行工作进程。重要的是要认识到，当您授予 IIS_WPG 组对文件夹的写访问权限时，在服务器上默认帐户下运行的任何 ASP.NET 应用程序都可以将文件写入该文件夹。在运行多个应用程序的服务器上，这是一个不太理想的配置，尤其是当应用程序不受信任和/或在 ISP/共享托管环境中运行时。
    2. 生成的文件是否需要在网络上可用。如果您的应用程序只是写出一些非 Web 可查看的文件，只需创建目录、授予权限并将应用程序配置为读/写到正确的位置即可。如果应用程序需要写出 Web 可查看文件（这在内容管理场景中很常见），您需要创建一个映射到您的可写目录的虚拟目录（没有执行代码/脚本权限）。
    3. 无论您是否在负载平衡/网络场环境中工作。如果您的应用程序在农场环境中运行并且出于某种原因需要将文件写入磁盘，那么您将面临一个全新的问题。您如何使 webserver1 上的用户生成文件与 webserver2 上生成的文件保持同步？通过一些复杂的同步脚本来做这件事充其量是痛苦的，并且充斥着种族/同步问题。实现这一点的最佳方法是在第三台服务器（理想情况下是具有一些冗余的集群）上创建一个共享并将数据存储在那里。如果您在域帐户下运行工作进程（安全最佳实践），您甚至可以映射到应用程序中的共享，而无需在代码或 web.config 中的任何位置使用用户/通行证（让审计/安全人员满意）。
    • 5

  2. App_Data 文件夹

    为了提高 ASP.NET 应用程序使用的数据的安全性，为 ASP.NET 应用程序添加了一个名为 App_Data 的新子文件夹。存储在 App_Data 文件夹中的文件不会响应直接 HTTP 请求而返回，这使得 App_Data 文件夹成为与应用程序一起存储的数据的推荐位置，包括 .mdf（SQL Server Express Edition）、.mdb（Microsoft Access）或 XML文件。请注意，当使用 App_Data 文件夹存储您的应用程序数据时，您的应用程序的身份对 App_Data 文件夹具有读写权限。

    ASP.NET 数据访问中的新增功能

    • 2

  3. 可能打赌看看stackoverflow.com ...

    最佳做法是将该文件夹放在文档根目录之外，并让您的应用程序从文件系统中读取。否则，将文件夹设置为只读，除 ASP[.NET] 用户外，并使用应用程序的内部授权控制写入权限。

    • 1

  4. 默认情况下，App_Data 可写但不可读。服务器似乎抵制任何改变这一点的尝试。因此，最好创建一个全新的文件夹并将其权限更改为 NOT EXECUTABLE 和 READABLE 和 WRITABLE。

    • 1

相关问题