【主题讨论】:ASP大型项目的安全机制是否全部采用 SESSION 来保存状态(包括客户信息等)【散分】

[rolinson]

最近需要做大型项目, 考虑到最安全的实现, 标识一个客户已经成功登录, 一般都用 SESSION 来保存其信息, 我觉得不是最安全的方法, 不知道你们做的大型项目是如何考虑的, 本贴讨论项目开发的安全问题, 欢迎大家发表高见! 顺便散分 :-)

[超级大笨狼]

项目大小关键看架构。ASP一样可以做的快做得安全。

[nittystone]

呵呵 大型项目？
msdn算什么项目？

[阿泰]

同意nittystone(没有想法),ASP.NET出来之前MSDN还不是用ASP的
各位做的项目再大,能大过微软的庞大网站群吗?

没有绝对的安全,即使大家都以为很安全.
其实一般的网站Cookie+Session用好了也够了.
Cookie虽然可以被Hack,但是可以利用其跨域的特性.


nbchp(生命过客) 的方法算是比较流行可靠的一种做法吧,不过是牺牲了一部分性能

Rolinson(ASP Dot NET) 说 Session安全性不高,有什么实际的根据吗?

[musictom]

呵呵，接分！
用session不错啊！

[poron9]

ASP下SESSION最安全了。

[wangyingdong]

即然搞大型的用PHP或JSP还用ASP.NET比较好,但是ASP如果做好了,也还可以了.
用SESSION.COOKIES两都结合,用户退出时,清除COOKIES和SESSION.

[grell]

Cookies+Session结合使用吧
没有绝对的安全

如果担心这个组合可信赖程度
看看Microsoft的网站啊 :P

[Estyle]

似乎第一次在论坛上碰到qunluo(最爱白菜)，结果就看到他发彪，唉……
我也不想多说，搂主也不是新手了，发这个帖子也主要是散分而已，并没有打算学个什么。
……

[soyan]

刚学十天
不发表

[jinqinghai]

大型项目要考虑速度，安全性。。。

单凭速度，asp就远不及jsp和asp.net理想。。

至于安全性。。

asp最多就是com+asp.....

没有人说asp不能开发大型项目，而是不适合开发而已。。。。。

[starpalace]

为什么ASP的Session不安全,大家能否举个它不安全的例子?
我并不是反对,只是好奇.
把破解ASP Session或利用Session攻破站点或偷读数据的问题实例摆出来让大家欣赏一下,
是不是更好呢?

[zidane10]

学习

[applezhao]

application
做成私用

[oklhj]

我要接分了。

[phoubes]

都是自己的感觉在做怪,用asp除了session,application,cookie也就没别的了,其他的语言也是差不多了,只要是web编程就是这样,babyt(阿泰)说得对,microsoft也这样做,我们能怎么样呢?怕不安全自己加上一些加密算法.

[nittystone]

单凭速度，asp就远不及jsp和asp.net理想。。

大型项目做出来后就知道了，这三种技术的大型项目偶有幸都使用过，选择的技术平台
和最终产品的速度性能之间的影响是微乎其微的。

至于安全性。。
asp最多就是com+asp.....
赫赫，为什么总是有人把安全性归结为用什么技术，而不看你是怎么实现的？

[hanbin7965]

看的好累。中国移动说过一句话“心有多大，舞台就有多大”。不要讨论项目的大小，给我的感觉就像在讨论要学习什么语言是最有用的语言一样。

[leopard_47]

session问题是不是只是占资源而已,

信息截取,消息篡改是怎么做的???

顶一下.

[nittystone]

这个帖子最大得收获应该是：

把安全和能否承受大型项目发归结于采用什么技术，是初级得认识！

再一个问题是
“session会消耗服务器资源的”

会消耗多少？ 再记住一句话 “当你对一个事物不能量化时，就是你对他根本不了解”，

所以不要下轻易得结论。

[goaler]

不要用session记录密码之类的重要信息，一般通过记录用户名来取得相关信息就可以了，在用户执行重要操作的时候加上验证功能