ASP網頁該如何改寫，才能強化安全性？

本報內容由 iThome online 提供　每週二∼六出刊.2007.10.20

iThome產品技術報 下載PChome免費撥接 免費電子報 有料電子報 個人電子報 ASP網頁該如何改寫， ... iThome飛越六周年 本期目錄     •選對書，讀懂書     •張家生新任北市府資訊處長，效法紐約打造單一服務窗口     •ASP網頁該如何改寫，才能強化安全性？     •新品情報－Canon PIXMA iP4500內建光碟片列印功能     •怎麼樣才能解除網頁上鎖右鍵的限制？   • 丟掉落落長的網址！部落格用專屬域名+轉址最酷   • 別再龜速上網！So-net ADSL價錢省又飛快！   • A上網費！So-net ADSL 2M只要236元！拼經濟變的更easy   電子報最新消息 • ☆★高潮全蒐錄☆★   女人必修！體驗高潮的6大原則！ • 創業先從加盟開始！   自己當老闆賺錢卡實在，先從加盟事業開始∼ • 大前研一：英語即戰力   高門檻英語時代來臨，你準備好了嗎？ •IT工具箱－跨平臺的注音輸入法「新酷音」 •部落格精選－表相的價值？ 專欄     選對書，讀懂書 不斷地學習是IT人的宿命，曾翻譯與撰寫過數十本資訊相關書籍的賴榮樞，從買書、讀書的過程中學會如何省時、省力、省錢地選到一本好書。 從第一份工作開始，就註定和閱讀及寫作密不可分的資訊作家賴榮樞，對於如何挑選一本適合自己的IT書，他找到一些方法。終日埋首書堆的工作型態，也讓他從多次買錯書的經驗中，學會如何省時、省力、省錢地選到一本好書。 網路閱讀彈性高，花費低廉 賴榮樞建議，若有固定閱讀原文書的IT人，可以試著改變習慣，轉而購買電子書來取得資訊。他以自己的經驗為例表示，多年來他都在Safari及Manning網站上購買及下載電子書，相較於紙本書籍，可以省下約60％的花費，而除了以「本」計價外，這些書商也提供繳交年費，購買線上閱讀點數的計費方式，以及退書、換書等售後服務。 記、摘、版、文四大法 讀者之所以要買書，大部分都是因為他對書中的內容雖然有一些概念，但是大部分都不懂。在不了解內容的情況下，賴榮樞提供了挑書的四大步驟：「記、摘、版、文」。 全文>> ▲TOP 專題報導     張家生新任北市府資訊處長，效法紐約打造單一服務窗口 臺北市政府資訊處升格為一級單位，首任資訊處長張家生就任後，先針對區公所提供單一窗口的便民服務，未來將陸續擴充1999臺北市專線功能。 作為首任臺北市資訊處處長，張家生積極從提供單一窗口的便民服務，打造可以量化的IT績效。 臺北市政府9月11日完成小規模的組織調整，將4個原本是二級單位的部門，提升為一級單位。其中，臺北市政府資訊中心則從二級單位，升級為一級單位：臺北市政府資訊處，也是目前第一個將資訊部門提升為一級單位的地方政府。 首任資訊處處長一職由前國泰金控資訊長張家生接任。張家生對於投身市府工作有很高的期許，為了提供更便民的服務，將從單一窗口下手，陸續整合相關系統以及市政專線的服務。 以單一窗口提供便民服務 常跑公部門辦公的民眾，最常遇到的情況，除了必須往來很多次外，往往是一個窗口辦完，再趕赴另外一個窗口辦接下來的手續。為什麼不能在單一窗口辦完所有事情，是所有市民心中最大的疑慮。 觀察到民眾對政府提供服務的需求，張家生上任後的第一件事情便是，藉由資源整合，將所有後端的服務、系統以及法規限制，全部克服，讓民眾可以在單一窗口完成所有向公部門申辦的事情。 效法紐約311，擴充北市1999專線功能 如何發揮服務最大的功效，北市府有一個效法對象，那便是紐約市政府。紐約市政府在911事件過後，成立了一個311專線，是一個整合所有的包括電話、網路系統的多管道客服中心，市民所有的疑問，都可以透過該專線獲得解決。張家生表示，臺北市政府原本就有一個市民專線1999，看到紐約市的整合性客服服務，臺北市也將朝這樣的目標邁進。 全文>> ▲TOP 專欄     ASP網頁該如何改寫，才能強化安全性？ 企業現有的網頁如果是ASP的架構，該如何重新檢視、改寫，以強化安全？我們在此想提供一些網頁開發的安全建議，已使用ASP或將採用的企業可以根據這些原則，重新檢視本身的ASP網頁是否需要修改。 對許多中小企業而言，ASP網頁加上微軟Access資料庫的組合，仍舊是容易上手、快速開發的網頁技術，對使用者不多，效能需求不高的小型專案或資料庫網頁應用的開發，綽綽有餘。但也正因為是簡單小型應用，往往也最容易忽略安全，成為資料洩漏的死角。 我們在此想提供一些網頁開發的安全建議。已使用ASP或將採用的企業可以根據這些原則，重新檢視本身的ASP網頁是否需要修改，並且了解調整的方向。 一、不要相信使用者輸入的資料 使用者不一定會輸入適當內容，永遠都需要檢查使用者輸入的資料。可用Server HTMLEncode方法、Server URLEncode方法等方式，來處理使用者輸入的內容。編碼之後，當要顯示使用者輸入的資料，就不會被瀏覽器視為HTML標籤或程式碼，破壞原來網頁內容。網頁標頭（headers）也可能被竄改，取用時同樣需編碼。 二、避免直接將使用者輸入資料，放到資料庫連線字串中 這會讓使用者有機會放入某些對資料庫系統有特殊意義的符號或命令，就是所謂的資料隱碼（SQL Injection）問題。資料隱碼漏洞會讓使用者能新增、更動或刪除資料，造成資料錯誤或遺漏，若資料庫使用權限是系統管理者時，還可能造成更嚴重的破壞。 全文>> ▲TOP 產品評測     新品情報－Canon PIXMA iP4500內建光碟片列印功能 PIXMA iP4500彩色噴墨印表機，使用五色分離式墨水匣可提高色彩層次，內建自動雙面列印器、光碟片列印，以及數位相機直接列印等高階功能。 噴墨印表機－Canon PIXMA iP4500 內建雙面器與光碟片列印功能 Canon 0809-022-888 www.canon.com.tw 建議售價：4,490元 PIXMA iP4500彩色噴墨印表機，彩色、黑白列印速度達每分鐘31頁與24頁，採用鋼琴鏡面外殼，具有9600dpi高列印解析度與，與1p超細微墨點的專業列印品質，並使用五色分離式墨水匣可提高色彩層次，並內建自動雙面列印器、雙可調式進紙匣、光碟片列印，以及數位相機直接列印等高階功能，性價比相當優異。 全文>> ▲TOP 專欄     怎麼樣才能解除網頁上鎖右鍵的限制？ 有些網站會限制使用者利用右鍵來存取圖片，有辦法可以解開這樣的限制嗎？對於FireFox瀏覽器而言，鎖右鍵只是虛招，它的預設功能中，就有突破鎖右鍵的方法。 在瀏覽網頁過程中，有時看到一些有用的圖片，我們就會隨手利用右鍵叫出功能選單「另存新檔」，不過有些網站會利用鎖右鍵的功能，讓人只能望圖興嘆。 網站鎖右鍵的手法，通常是利用JavaScript程式改寫瀏覽器預設的右鍵功能，達到限制的目的，表面看起來管用，可讓使用者無法使用右鍵的「另存圖片」，而讓圖片不外流。然而網站如果將防守圖片的工作只靠JavaScript，幾乎可說沒有效用，例如在本機電腦中尋找網站的暫存檔，往往就能看到這些的圖片。 從另一個角度來看，使用者甚至不用去翻找暫存檔，有許多破解的方法，都能輕易繞過鎖右鍵帶來的不便。 FireFox內建解除右鍵封鎖功能 對於FireFox瀏覽器而言，鎖右鍵只是虛招，它的預設功能中，就有突破鎖右鍵的方法。 打開工具列上的「工具」，進入「選項」，點選「內容」這個標籤，會看到當中有個「啟用JavaScript」選項，這便是對付鎖右鍵的功能所在。 全文>> ▲TOP 產品評測     IT工具箱－跨平臺的注音輸入法「新酷音」 「新酷音輸入法」是從Linux平臺的「酷音輸入法」改良而來，和「微軟新注音」相較之下，擁有較高的選字正確率，新版本為0.3.4.5增加「簡易符號輸入」及「打繁出簡」等功能。 輸入法軟體 跨平臺的注音輸入法──「新酷音」 網址：chewing.csie.net 「新酷音輸入法」是從Linux平臺的「酷音輸入法」改良而來，使用方式與「微軟新注音」類似，但具有較高的選字正確率，同時也改進「微軟新注音」會將常用字放在選字欄最後的問題。 目前「新酷音輸入法」的最新版本為0.3.4.5，新增包含「簡易符號輸入」及「打繁出簡」等功能，使用者利用「Shift＋英文字母」或「Ctrl＋英文字母」組合鍵，即可快速輸入各種常用符號。此外也支援自建詞庫，使用者可依照使用習慣，將人名或地名等專有名詞加入詞庫中，以增加自動選字的正確率。 全文>> ▲TOP 專欄     部落格精選－表相的價值？ 任何一個進到前面名次的部落格，必然有其理由，這理由若是合理的話，當然不成問題，就怕是刻意操作。 Fillano's Learning Notes 簡單的SQL Builder類別 昨天檢視了一下以前寫的程式，想要改良一下程式的效率，並且讓程式清晰易懂。這個時候發現一個問題，就是依照條件建構SQL的過程太複雜，需要許多if/else判斷，使得程式容易不小心出錯。 仔細觀察了一下，問題發生的主要原因在於兩個地方： 1. SQL子句有固定的順序，但是程式邏輯不一定符合這個順序 2. 查詢的條件必須集中在Where子句中，但是形成這些條件的過程不一定是集中的 結果為了依照SQL的規則來產生SQL語句，就會讓程式流程變得很複雜… 工程師級的顧問 /【食夢黑貘】 表相的價值？ 第一篇捷運日記是在 1999 年開始寫作，當時是因為 921 造成的大停電，我須要一個不用吃電的環境寫作，所以就買了個 PDA 鍵盤開始寫起，一寫就超過七八年了，但還不到十年。 這些年下來，說不定寫了上千篇，加上每篇可以說常常破千字，因此極有可能超過 10 萬字以上了，或許也是因為這樣的關係，就沒有人跑來我這邊說原來這是排行前 30 名的部落格。 不考慮內容好壞 (事實上我認為我文筆很糟) ，若是只管原創性，這 10 萬字也是洋洋灑灑，但說真的，在去年 9 月時，若不是因為部落格觀察的話，我認為這個部落格排名應該會是落在 1000~3000 名之間，不要說是前 30 名好了，前 300 名跟本是錯的。 但的確，先不要說排名跟點閱數，跟文章內容沒關係，雖然這也是事實，只是任何一個進到前面名次的部落格，必然有其理由，這理由若是合理的話，當然不成問題，就怕是刻意操作… 全文>> ▲TOP 前期文章 全部歷史文章 出刊日期 出刊主題 2007-10-19 光纖網路實體安全仍為漏洞 2007-10-18 9成網站都有商業邏輯漏洞 2007-10-17 將Skype延伸到桌上電話機 2007-10-16 黃金證照助你年薪翻十倍 2007-10-13 光纖通道與乙太網路融合的新標準FCoE 感謝你訂閱這份電子報，下列電子報或許你會喜歡，請勾選    Mobile01科技新知 ...    iThome產品技術報    網路遊戲密技吱吱 ...    iThome IT管理報    遊戲新幹線玩家快 ...    數位時代    數位遊戲王    數位之牆 我要訂閱這份報紙» 我要取消這份報紙» 訂報說明 ．本電子報內容由 iThome online 提供 ．關於內容有任何疑問，或欲轉載請聯絡 PChome ePaper 電子報版權所有，關於電子報發送有任何疑問，請聯絡 客服 台北市敦化南路二段105號11樓 ，TEL：(02)2708-8038，FAX：(02)27094848。

． 刊登廣告． 個人連結． 企業合作． 隱私權聲明． 關於PChome． 徵人 網路家庭版權所有 Copyright PChome Online 版權所有，轉載必究