หน้าแรก>บทช่วยสอนการเขียนโปรแกรมเครือข่าย>กวดวิชา ASP

8 หลักการสำคัญสำหรับการเข้ารหัส ASP

ผู้เขียน：Eve Cole เวลาอัปเดต：2025-02-28 09:16:01

บทความนี้แนะนำหลักการแปดประการที่เราควรปฏิบัติตามเมื่อเขียนรหัสโดยใช้ ASP ฉันหวังว่ามันจะเป็นประโยชน์กับคุณมาดูกันเถอะ!

ASP เป็นตัวย่อของหน้าเซิร์ฟเวอร์ที่ใช้งานอยู่ซึ่งหมายถึงหน้าเซิร์ฟเวอร์แบบไดนามิก ASP เป็นแอปพลิเคชันที่พัฒนาโดย Microsoft เพื่อแทนที่โปรแกรมการเขียนสคริปต์ CGI ที่นี่เรามีเพียงการอภิปรายง่ายๆเกี่ยวกับการเพิ่มประสิทธิภาพรหัส

1. ประกาศตัวแปร VBScript

ใน ASP VBScript ได้รับการสนับสนุนที่แข็งแกร่งและสามารถรวมฟังก์ชั่นและวิธีการ VBScript ได้อย่างราบรื่นซึ่งให้ความสะดวกสบายที่ดีสำหรับการขยายฟังก์ชั่นที่มีอยู่ของ ASP เนื่องจากแนวคิดของประเภทตัวแปรได้รับการเบลอใน ASP โปรแกรมเมอร์จำนวนมากจึงคุ้นเคยกับการไม่ประกาศตัวแปร VBScript ระหว่างการโต้ตอบระหว่าง ASP และ VBScript ซึ่งจะเพิ่มภาระการแยกวิเคราะห์ของเซิร์ฟเวอร์และส่งผลกระทบต่อความเร็วการร้องขอการตอบสนองของเซิร์ฟเวอร์

ในมุมมองของสิ่งนี้เราสามารถบังคับให้ผู้ใช้ทำการประกาศตัวแปรใน VBScript เช่นเดียวกับที่เราบังคับให้ผู้ใช้ดำเนินการประกาศตัวแปรใน VB วิธีการใช้งานคือการวาง <% ตัวเลือกที่ชัดเจน%> ที่จุดเริ่มต้นของบรรทัดโปรแกรม ASP

2. เข้ารหัสที่อยู่ URL

เมื่อเราใช้ ASP เพื่อสร้างที่อยู่ URL แบบไดนามิกด้วยพารามิเตอร์และกระโดดมันเป็นเรื่องปกติที่จะแยกวิเคราะห์ใน IE แต่เมื่อเรียกดู NetScrape จะมีข้อผิดพลาดดังนี้:

  1. httperror400
  2. 400Badrequest
  3. DuetomalformedSyntax มีความเข้าใจโดยผู้ทำเช่นนี้
  4. TheClient ควรไม่ได้รับการรับรอง

วิธีแก้ปัญหาคือการใช้วิธี urlencode ของวัตถุเซิร์ฟเวอร์ ASP ในตัวเพื่อเข้ารหัส URL การเข้ารหัสพารามิเตอร์ URL ที่สร้างขึ้น

  1. -
  2. url = xur.asp
  3. var1 = username = & server.urlencode (xur)
  4. var2 = & company = & server.urlencode (xurstudio)
  5. var3 = & phone = & server.urlencode (021-5385436-186)
  6. Response.redirecturl &? & var1 & var2 & var3
  7. -

3. ล้างวัตถุ

หลังจากใช้วัตถุก่อนอื่นให้ใช้วิธีปิดเพื่อเพิ่มทรัพยากรระบบที่ครอบครองโดยวัตถุ; ก่อนหน้านี้ฉันขัดข้อง IIS ของฉันโดยการสร้างชุดบันทึกมากกว่า 100 ชุดบนหน้าเว็บที่ไม่มีวัตถุที่ชัดเจน รหัสต่อไปนี้ใช้เนื้อหาฐานข้อมูลเพื่อสร้างรายการดรอปดาวน์ ตัวอย่างรหัสมีดังนี้:

  1. <%mydsn = dsn = xur; uid = xur; pwd = xur
  2. mysql = select*fromauthorswhereau_id <100
  3. setConntemp = server.createObject (adodb.connection)
  4. conntemp.openmydsn
  5. setREMPP = cONNTEMP.EXECUTE (MYSQL)
  6. ifrestemp.eofthen
  7. response.write ฐานข้อมูลว่างเปล่า
  8. Response.writemysql
  9. conntemp.close
  10. setConntemp = ไม่มีอะไร
  11. Response.end
  12. endif%>
  13. <%dountilremp.eof%>
  14. -
  15. rstemp.movenext
  16. วง
  17. rstemp.close
  18. setRempp = ไม่มีอะไร
  19. conntemp.close
  20. setConntemp = ไม่มีอะไร
  21. -

4. สร้างแบบสอบถาม SQL โดยใช้สตริง

การใช้สตริงเพื่อสร้างแบบสอบถามไม่ได้เพิ่มความเร็วในการแยกวิเคราะห์ของเซิร์ฟเวอร์ แต่ก็ยังแนะนำให้ใช้สตริงแทนคำสั่งแบบสอบถามอย่างง่ายเพื่อสอบถาม ข้อดีของสิ่งนี้คือมันสามารถค้นพบปัญหาของโปรแกรมได้อย่างรวดเร็วดังนั้นจึงช่วยอำนวยความสะดวกและสร้างโปรแกรมได้อย่างมีประสิทธิภาพ ตัวอย่างมีดังนี้:

  1. <%mysql = เลือก*
  2. mysql = mysql & fromempublishers
  3. mysql = mysql & wereestate = 'ny'
  4. Response.writemysql
  5. setREMPP = cONNTEMP.EXECUTE (MYSQL)
  6. rstemp.close
  7. setRempp = ไม่มีอะไร
  8. -

5. ใช้เคสเพื่อเลือกเงื่อนไข

เมื่อทำการเลือกตามเงื่อนไขให้ลองใช้คำสั่งเคสและหลีกเลี่ยงการใช้คำสั่งหาก การใช้คำสั่ง CASE สามารถทำให้โปรแกรมสามารถไหลได้และดำเนินการได้เร็วกว่าคำสั่ง IF ตัวอย่างมีดังนี้:

  1. -
  2. fori = 1to1000
  3. n = i
  4. Response.writeaddsuffix (n) & <br>
  5. ต่อไป
  6. -
  7. -
  8. FunctionAddSuffix (NUM)
  9. numpart = ขวา (num, 1)
  10. Selectcasenumpart
  11. กรณีที่ 1
  12. ifinstr (num, 11) จากนั้น
  13. num = num & th
  14. อื่น
  15. num = num & st
  16. endif
  17. กรณีที่ 2
  18. ifinstr (num, 12) จากนั้น
  19. num = num & th
  20. อื่น
  21. num = num & nd
  22. endif
  23. กรณีที่ 3
  24. ifinstr (num, 13) จากนั้น
  25. num = num & th
  26. อื่น
  27. num = num & rd
  28. endif
  29. กรณีที่ 4
  30. num = num & th
  31. caseelse
  32. num = num & th
  33. endelect
  34. addSuffix = num
  35. endfunction
  36. -

6. ใช้ค่าคงที่ที่กำหนดไว้ในไฟล์ ADOVBS.INC เพื่อเปิดชุดระเบียน

เมื่อเปิดชุดระเบียนคุณสามารถกำหนดประเภทเคอร์เซอร์และประเภทล็อคที่ชุดบันทึกจะเปิดขึ้น

มีค่าคงที่บางอย่างที่กำหนดไว้ในไฟล์ ADOVBS.INC เพื่อกำหนดประเภทเหล่านี้ ไฟล์ ADOVBS.INC ถูกบันทึกไว้ในไดเรกทอรี/IIsamples/iisamples/iisamples ด้านล่างนี้เป็นเคอร์เซอร์ที่ใช้กันทั่วไปและประเภทล็อค

ประเภทเคอร์เซอร์:

เคอร์เซอร์ Adopenfowardonly สามารถก้าวไปข้างหน้าได้เท่านั้น

เคอร์เซอร์ Adopenkeyset สามารถส่งต่อหรือย้อนกลับได้

Cursor Adopendynamic Dynamic และ Random;

ชุดบันทึก Adopenstatic ไม่ได้สะท้อนถึงการแก้ไขบันทึกที่เกิดจากผู้ใช้รายอื่น

ประเภทล็อค:

Adlockreadoney ไม่สามารถแก้ไขบันทึกในชุดบันทึกได้

Adlockpessimistic ล็อคบันทึกเมื่อแก้ไข

บันทึกจะถูกล็อคเฉพาะเมื่อ Adlockoptimstic เรียกใช้วิธีการอัปเดตชุดบันทึก;

Adlockbatchopeimstic Records สามารถอัปเดตได้ในแบทช์เท่านั้น

  1. <!-#includevirtual =/adovbs.inc->
  2. -
  3. ConnectMe = dsn = xur; uid = xur; pwd = xur
  4. sqltemp = select*frommpublisherswherename = 'xur'
  5. setRestMP = server.createObject (ADODB.RecordSet)
  6. rstemp.opensqltemp, ConnectMe, Adopenstatic, Adlockoptimstic
  7. Response.writerstemp.recordcount & Recordsin <br> & sqltemp
  8. rstemp.close
  9. setRempp = ไม่มีอะไร
  10. -

7. หลีกเลี่ยงคำจำกัดความของวัตถุในไฟล์ global.asa

เนื่องจากเนื้อหาในไฟล์ global.asa สามารถอ้างอิงได้โดยไฟล์ทั้งหมดในเว็บไซต์ไม่ต้องสงสัยเลยว่าการกำหนดวัตถุในไฟล์ Global.asa สามารถบันทึกการทำซ้ำได้มาก

ตัวอย่างเช่นในฟังก์ชั่น Application_onstart ใน global.asa คำจำกัดความต่อไปนี้จะทำ:

  1. <%subapplication_onstart
  2. SetApplication (theConn) = server.createObject (adodb.connection)
  3. ENDENTUB%>;

สิ่งนี้ช่วยให้คุณสามารถอ้างอิงที่คล้ายกันในรหัสใด ๆ ในเว็บไซต์:

  1. -
  2. mysql = select*frommpublisherswherestate = 'xur'
  3. setREMPP = แอปพลิเคชัน (theConn) .Execute (MySQL)
  4. -

ในทำนองเดียวกันวัตถุชุดระเบียนสามารถสร้างได้ในฟังก์ชัน session_onstart

  1. <%subsession_onstart
  2. SetSession (RSTEMP) = Server.CreateObject (ADODB.RecordSet)
  3. ENDENDUB%>

จากนั้นคำพูดต่อไปนี้จะทำในเว็บไซต์:

  1. -
  2. mysql = select*frommpublisherswherestate = 'xur'
  3. setSession (rstemp) = conntemp.execute (mysql)
  4. -

อย่างไรก็ตามการทำเช่นนี้ยังมีผลกระทบเชิงลบอย่างมาก ผลงาน. .

สารละลาย:

สร้างหน้า ASP เพื่อกำหนดวัตถุและแนะนำหน้า ASP นี้ในหน้าเว็บที่จำเป็นต้องเรียกวัตถุเหล่านี้ สมมติว่าชื่อหน้า ASP ของวัตถุที่กำหนดถูกกำหนดไว้แล้วหน้าสามารถแนะนำได้โดยการเพิ่มคำสั่งต่อไปนี้ในหน้า ASP ที่เกี่ยวข้อง

เมื่อแนะนำหน้าเว็บจะเป็นการดีที่สุดที่จะไม่รวม <%@language = vbscript%> คำสั่งในไฟล์ ASP ที่จะแนะนำ เนื่องจากในไฟล์ ASP สามารถมีเพียงหนึ่งเดียวที่แยกการวิเคราะห์ภาษาสคริปต์ที่กำหนดโดย @

8. การป้องกันความปลอดภัย

ASP จัดเตรียมกลไกการป้องกันรหัสที่ดีและรหัส ASP ทั้งหมดจะดำเนินการทางฝั่งเซิร์ฟเวอร์และส่งคืนผลลัพธ์ของการดำเนินการรหัสไคลเอนต์เท่านั้น ถึงกระนั้นในเวอร์ชันเก่าของ IIS คุณสามารถดูซอร์สโค้ดของ ASP หลังจากชื่อไฟล์ :: $ data ซึ่งอยู่ในขอบเขตของความปลอดภัยของเว็บเซิร์ฟเวอร์และไม่ได้อยู่ในขอบเขตของบทความนี้ ต่อไปนี้เป็นข้อควรระวังด้านความปลอดภัยง่ายๆสองประการ

แม้ว่าจะแนะนำให้แนะนำไฟล์ด้วย Inc ASP เป็นส่วนขยาย แต่ก็ยังแนะนำให้ใช้ ASP เป็นส่วนขยายเพื่อแนะนำไฟล์ที่นี่ เมื่อรหัสเหล่านี้ทำงานบนเว็บเซิร์ฟเวอร์ที่มีกลไกการรักษาความปลอดภัยที่ไม่ดีคุณสามารถเรียกดูเนื้อหาของไฟล์ที่นำเข้าได้โดยเพียงแค่ป้อนแถบที่อยู่ (Inc เป็นส่วนขยาย) ไม่ได้กำหนดประเภท (เช่น Inc) ไฟล์จะแสดงในซอร์สโค้ด

อย่าใส่ไฟล์ฐานข้อมูลภายในโครงสร้างเว็บไซต์ดังนั้นเมื่อบุคคลที่เป็นอันตรายได้รับพา ธ ฐานข้อมูลเขาสามารถรับฐานข้อมูลได้อย่างง่ายดายแล้วเปลี่ยนเนื้อหาฐานข้อมูลโดยพลการ วิธีที่ดีกว่าคือการสร้าง DSN (ชื่อแหล่งที่มาวันที่) สำหรับฐานข้อมูลและเข้าถึง DSN โดยตรงเมื่อเข้าถึงฐานข้อมูล

ผ่านการแนะนำหลักการแปดประการเกี่ยวกับการเข้ารหัส ASP ในบทความนี้ฉันหวังว่ามันจะช่วยคุณได้

บทความที่เกี่ยวข้อง