另外，通过暴露HTTP头，用户可以看见哪些页面被允许在客户端或者是代理端进行缓存。如果要是一个响应没有包含Cache-Control 头，那么他就不会被缓存在客户端。

Fiddler 是微软出品的一款 Web 调试代理软件，它记录您的电脑和 Internet 之间的 HTTP(S) 数据流。Fiddler 允许你查看所有的 HTTP(S) 数据流，并且可以设置断点，改变请求和回应的数据。

Fiddler 是一款免费软件，可以对来自任意浏览器的访问的调试。

下载 Fiddler

您可以在本站的工具中下载 Fiddler2，也可以 www.fiddlertool.com 或 www.fiddler2.com 进行下载。

安装 Fiddler

安装 Fiddler 比较简单，双击即可安装，安装完后可以在“开始”、“程序”中找到 Fiddler。

使用 Fiddler: 目前没有中文版，下面就 Fiddler 的使用作个介绍。

首先对主界面作一个介绍，请点击查看大图。

点击查看大图

性能和数据监测

开启抓取后，我们访问一个网页，在左边列表框中就可以得到相应的会话列表。注意，这里访问网页不能使用回送地址，如：127.0.0.1 或 localhost，但可以利用本机的 IP 访问，如：192.168.0.1 等。

选中一个会话：

• 在 Performance Statistics 中可以看到数据在互联网上经过的路径。
• 在 Session Inspector 中可以看到会话请求（发送）和回应（接收）的数据，可以分各部分查看。

自动响应

这里是使用用户自定义的一个文件来响应用户的请求，举例说明：

• 创建一个文本文件，存放于 C:\foo.txt。
• 在 AutoResponder 中选中 Enable automatic responses。
• 添加一个规则，设定一个 URI，响应一项填写：C:\foo.txt。
• 此时我们在浏览器中访问这个 URI 时，得到的就不是 URI 的内容，而是 C:\foo.txt 的内容。

创建请求

切换到 Request Builder 标签，输入一个网址，在 Request Headers 中输入：

此时我们再打开 Web 日志（IIS 的日志通常位于 C:\WINDOWS\system32\Logfiles，某些情况下日志可能不会立即在文件中表现出来），可以看到：日志中记录的 IE 版本是 8.0，来源（在 ASP 中可以用 Request.ServerVariables("HTTP_REFERER") 获得该值）是 http://www.fiddlertool.com/。

官方网站 http://www.fiddler2.com/

下载Fiddler
--------------------------------------------------------------------------------

HTTP调试工具：Fiddler介绍一（翻译）(原文地址：http://msdn.microsoft.com/library/default.asp?url=/library/en-us/dnwebgen/html/IE_IntroFiddler.asp)

这个工具我已经使用比较长时间了，对我的帮助也挺大，今天我翻译的微软的文章，让更多的朋友都来了解这个不错的工具，也是我第一次翻译文章，不恰当之处请大家大家多多指正。
介绍：

你是不是曾经疑惑过你的web程序和IE是如何交互的？你是不是遇到过一些奇怪的而你又无法解决的性能瓶颈？你是不是对那些发送给服务器端的cookie 和那些你下载下来的被标记为可缓存的内容感到好奇？

Fiddler官方网站及下载地址：http://www.fiddlertool.com/Fiddler/dev/

微软的Fiddler能够帮助你回答以上的问题，不但如此，它还是一个http调试代理，它能 够记录所有的你电脑和互联网之间的http通讯，Fiddler 可以也可以让你检查所有的http通讯，设置断点，以及Fiddle 所有的“进出”的数据（指cookie,html,js,css等文件，这些都可以让你胡乱修改的意思）。 Fiddler 要比其他的网络调试器要更加简单，因为它仅仅暴露http通讯还有提供一个用户友好的格式。
Fiddler 包含一个简单却功能强大的基于JScript .NET 事件脚本子系统，他非常灵活性非常棒，可以支持众多的http调试任务。Fiddler 是用C#写出来的。
。。。。。接下来是一大段废话，关于如何安装的，只要一路next，就可以了。这段话我就跳过，直接切入正题了。

Running Fiddler

当你启动了Fiddler，程序将会把自己作为一个微软互联网服务的系统代理中去。你可以通过检查代理设置对话框来验证Fiddler是被正确地截取了web请求。操作是这样的：点击IE设置，工具，局域网设置，最后点击高级。

作为系统代理，所有的来自微软互联网服务（WinInet）的http请求再到达目标Web服务器的之前都会经过Fiddle，同样的，所有的Http响应都会在返回客户端之前流经Fiddler。这样，就能明白Fiddler很多作用了吧！

当你关闭Fiddler的时候，它就会自动从系统注册表中移出，换句话说，当你关闭了Fiddler后，不会占着茅坑不拉屎。

下面，是一个Fillder的用户界面，大家可以参考参考其功能。

用Fiddler来做性能测试

HTTP统计视图通过显示所有的Http通讯，Fiddler可以轻松的演示哪些用来生成一个页面，通过统计页 面（就是Fiddler左边的那个大框）用户可以很轻松的使用多选，来得到一个WEB页面的“总重量”（页面文件以及相关js,css等）你也可以很轻松 得看到你请求的某个页面，总共请求了多少次，以及多少字节被转化了。

另外，通过暴露HTTP头，用户可以看见哪些页面被允许在客户端或者是代理端进行缓存。如果要是一个响应没有包含Cache-Control 头，那么他就不会被缓存在客户端。

用Fiddler来调试

Fiddler支持断点调试概念，当你在软件的菜单—rules—automatic breakpoints选项选择beforerequest,或者当这些请求或响应属性能够跟目标的标准相匹配，Fiddler就能够暂停Http通讯， 情切允许修改请求和响应。这种功能对于安全测试是非常有用的，当然也可以用来做一般的功能测试，因为所有的代码路径都可以用来演习。

Session检查用户可以在BuilderPage项种来以手工的方式来创建一个HTTP请求（即在 Fiddler右侧的tab的第三个，RequestBUILDER），或者可以使用拖拽操作从Session列表中来移动一个已经存在的请求到 builder page 来再次执行这个请求。。。
Fiddler 扩展Fiddler可以使用 .net framework来对它进行扩展。有2种为Fiddler扩展准备的基本机制：

自定义规则，和规则检查。

使用脚本化的规则来扩展Fiddler
Fiddler支持JScript .NET引擎，它可以允许用户自动地修改Http请求和响应。这个引擎能够在可视化界面修改在FiddlerUI中的Session，可以从列表中提取你感兴趣的错误，也可以移除你不感兴趣的Session。

以下的示例代码演示当cookie被加载的时候把界面变成紫色。

static function OnBeforeRequest(oSession:Fiddler.Session)

{

if (oSession.oRequest.headers.Exists("Cookie")){

oSession["ui-color"] = "purple";

oSession["ui-bold"] = "cookie";

}

}

通过加入Inspectors来扩展Fiddler

用户可以加入一个Inspector插件对象，来使用.net下的任何语言来编写Fiddler扩展。RequestInspectors 和 ResponseInspectors提供一个格式规范的，或者是被指定的（用户自定义）Http请求和响应视图。

默认安装中，Fiddler加入了一下的Inspectors：

Request Inspectors

[RW] Headers—Shows request headers and status.

[RW] TextView—Shows the request body in a text box. （原始的请求body视图）

[RW] HexView—Shows the request body in a hexadecimal view. （body的16进制视图）

[RO] XML—Shows the request body as an XML DOM in a tree view.（以XML方式展示请求）

Response Inspectors

[RW] Transformer—Removes GZip, DEFLATE, and CHUNKED encodings for easier debugging.

[RW] Headers—Shows response headers and status.

[RW] TextView—Shows the response body in a text box.

[RW] HexView—Shows the response body in a hexadecimal view. （16进制视图）

[RO] ImageView—Shows the response body as an Image. Supports all .NET image formats.

[RO] XML—Shows the response body as an XML DOM in a tree view.

[RO] Privacy—Explains the P3P statement in the response headers, if present.（如果在响应头中有关于隐私策略的说明就展示出来）

转自http://hi.baidu.com/zdz8207/blog/item/6542fe1f503c4a0c304e15c4.html

一年过去了，asp.net也熟悉了，知道ajax没事应该用ashx，验证码也用ashx，当然这里要说的WinForm上传也应该是ashx了吧，哈哈，先提供简单思路：

接收文件的asp.net是：Uploader.ashx，相关代码：

<%@ WebHandler Language="C#" Class="Uploader" %>
using System;
using System.IO;
using System.Web;
public class Uploader : IHttpHandler
{
public void ProcessRequest(HttpContext hc)
{
foreach (string fileKey in hc.Request.Files)
{
HttpPostedFile file = hc.Request.Files[fileKey];
file.SaveAs(Path.Combine(hc.Server.MapPath("."), file.FileName));
}
}
public bool IsReusable
{
get { return true; }
}
}

 发送图片或文件的WinForm.cs 相关代码：
 

System.Net.WebClient myWebClient = new System.Net.WebClient();
myWebClient.UploadFile("http://www.yongfa365.com/Uploader.ashx", "POST", "C:\\WINDOWS\\system32\\cmd.exe");

OK,完了，这样操作后，再也不用管是不是在域控内了，只要能上网，就能上传。够方便吧。

如果你要批量上传，还有上传后保存在哪个目录等操作可以参考柳永法(yongfa365)'Blog写的：

接收文件的asp.net是：Uploader.ashx，相关代码：

<%@ WebHandler Language="C#" Class="Uploader" %>
using System;
using System.IO;
using System.Web;
public class Uploader : IHttpHandler
{
public void ProcessRequest(HttpContext hc)
{
string NowPath = Path.Combine(hc.Server.MapPath("."), hc.Request["path"]);
if (!Directory.Exists(NowPath))
{
Directory.CreateDirectory(NowPath);
}
foreach (string fileKey in hc.Request.Files)
{
HttpPostedFile file = hc.Request.Files[fileKey];
string FilePath = Path.Combine(NowPath, file.FileName);
if (File.Exists(FilePath))
{
if (Convert.ToBoolean(hc.Request["overwrite"]))
{
File.Delete(FilePath);
}
else
{
continue;
}
}
file.SaveAs(FilePath);
}
}
public bool IsReusable
{
get { return true; }
}
}

 发送图片或文件的WinForm.cs 相关代码：
 

string url = @"http://www.yongfa365.com/Uploader.ashx?Overwrite=true&PATH=Logs\" + DateTime.Now.ToString("yyyy-MM-dd");
foreach (string file in Directory.GetFiles(item))
{
System.Net.WebClient myWebClient = new System.Net.WebClient();
myWebClient.UploadFile(url, "POST", file);
}

现在好了，Google与Microsoft为jQuery,Prototype,MooTools等类库提供CDN服务，这样一来，不在客户在哪访问网站都是通过CDN访问这些脚本，提高了加载速度，减少了加载延迟并获得更好的缓存。
如：
<script type="text/javascript" src="http://ajax.googleapis.com/ajax/libs/jquery/1/jquery.min.js"></script>
推荐大家使用

相关链接：

Google:http://code.google.com/apis/ajaxlibs/
Microsoft:http://www.asp.net/ajaxlibrary/cdn.ashx

Google提供的API最多，常用的他全有，像flash: swfobject

<?xml version="1.0" encoding="gb2312"?>
<bookstore>
  <book genre="fantasy" ISBN="2-3631-4">
    <title>Oberon's Legacy</title>
    <author>Corets, Eva</author>
    <price>5.95</price>
  </book>
</bookstore>

操作

1、往<bookstore>节点中插入一个<book>节点

XmlDocument xmlDoc = new XmlDocument();   
xmlDoc.Load("bookstore.xml");   
//xmlDoc.LoadXml("<!--l version=\"1.0\" encoding=\"gb2312\--><BOOKSTORE></BOOKSTORE>");   
XmlNode root = xmlDoc.SelectSingleNode("bookstore");//查找<BOOKSTORE></BOOKSTORE>   
XmlElement xe1 = xmlDoc.CreateElement("book");//创建一个<BOOK></BOOK>节点   
xe1.SetAttribute("genre", "李赞红");//设置该节点genre属性   
xe1.SetAttribute("ISBN", "2-3631-4");//设置该节点ISBN属性   
  
XmlElement xesub1 = xmlDoc.CreateElement("title");   
xesub1.InnerText = "CS从入门到精通";//设置文本节点   
xe1.AppendChild(xesub1);//添加到<BOOK></BOOK>节点中   
XmlElement xesub2 = xmlDoc.CreateElement("author");   
xesub2.InnerText = "候捷";   
xe1.AppendChild(xesub2);   
XmlElement xesub3 = xmlDoc.CreateElement("price");   
xesub3.InnerText = "58.3";   
xe1.AppendChild(xesub3);   
  
root.AppendChild(xe1);//添加到<BOOKSTORE></BOOKSTORE>节点中   
xmlDoc.Save("bookstore.xml");

<?xml version="1.0" encoding="gb2312"?>
<bookstore>
  <book genre="fantasy" ISBN="2-3631-4">
    <title>Oberon's Legacy</title>
    <author>Corets, Eva</author>
    <price>5.95</price>
  </book>
  <book genre="李赞红" ISBN="2-3631-4">
    <title>CS从入门到精通</title>
    <author>候捷</author>
    <price>58.3</price>
  </book>
</bookstore>

本连载讲解 SqlDataSource 和 ObjectDataSource 两个数据源控件，讲解 GridView 和 DetailsView 两个呈现控件。

• SqlDataSource 控件将数据库与呈现控件关联起来。
• ObjectDataSource 控件将一个提供数据的类与呈现控件关联起来。
• GridView 控件提供列表显示、编辑、删除记录。
• DetailsView 控件提供对一条记录进行显示、编辑、删除和插入。

先从 SqlDataSource 和 GridView 开始。

第一步

• 建立数据库，我们建立一个新闻数据库，命名为 news。
• 建立表，我们建立一个文档表，命名为 cftea_docs，字段分别为：id（标识）、title、content。
• 在 cftea_docs 中随便加入两条新闻。

第二步

• 打开 Visual Web Developer，新建一个 Web Form。
• 在网页中拖入 SqlDataSource 和 GridView 控件。

你可以在设计视图配置，也可以通过代码视图配置，为了更好地了解及应用这些控件，我们在代码视图配置。将上述源代码改为如下：

• ConnectionString 是字符串连接，根据你的实际情况修改。请参见数据库连接专题。
• 由于使用的是 SQL Server 数据库，所以 ProviderName 可以省略。

按下 Ctrl + F5，得类似如下运行结果：

一个数据源控件可以被多个呈现控件引用

XmlTextReader 的名称空间是：

System.Xml

应用示例

XmlTextReader reader = new XmlTextReader(xmlFragment, XmlNodeType.Element, null);

while (reader.Read())

{

if (reader.NodeType == XmlNodeType.Element)

    {

        if (reader.Name == "state")

{

State = (SendingShipState)Convert.ToInt32(reader.ReadString());

}

else if (reader.Name == "message")

{

MyMessage.AnalyzeXml(reader.ReadInnerXml());

}

else if (reader.Name == "writer")

{

Writer = reader.ReadString();

}

}

}

reader.Close();

XmlTextReader 有多个构造函数，参数可以使用 Url（网址或文件路径）、Stream、TextReader、XML 字符串等，这里使用的是 XML 字符串。

XmlTextReader 是不允许后退的，所以使用 reader.Read() 从前往后读，再判断当前已经读取的节点的类型，注意：Whitespace 也是一种节点。

然后我们再根据 Name 属性值判断标签名称，比如 <root> 的 Name 属性值是 root。

MyMessage.AnalyzeXml(reader.ReadInnerXml()); 这里我们将该节点下面的所有 XML 内容交给另一个对象处理。

取属性值

相关阅读

• LINQ 步步学－LINQ to XML

http://www.cftea.com/c/2009/08/TY1T2HTH7TY3NXGD.asp

看了小竹的《SQL注入天书之ASP注入漏洞全接触》，感觉这篇文章写得非常好，由浅入深，实例详尽，对新手起到教学作用，对老手起到交流探讨作用，目前近40%的ASP网页均存在此漏洞，可以说《SQL注入天书之ASP注入漏洞全接触》也来得非常实用。

我是从其它网站上拷贝到“千一网络”的，我对其中的个别部分进行了修改，我想可能是别人在拷贝这篇文章时把其中的某些部分弄错了，在此向作者说明，其中修改的部分是去掉部分sql语句中的";"号，如：
　　http://www.mytest.com/showdetail.asp?id=49 ;and (select count(*) from sysobjects)>0
　　修改为：
http://www.mytest.com/showdetail.asp?id=49 and (select count(*) from sysobjects)>0

SQL Server注入漏洞可能造成什么损失呢？
　　轻：查看数据库名、SQL Server连接名、得到表的字段与记录等。
　　重：备份数据库、下载数据库、在计算机内添加管理员等。

“查看数据库名、SQL Server连接名、得到表的字段与记录”之类的攻击，对于存在注入漏洞的网页一般都可实现。但若是使用Web管理网站，Web的密码又没加密，这样事态就变严重了。另外对于SELECT语句，如果没有控制好LockType（应设置为adLockReadOnly），也是很严重的。

对于ASP＋SQL Server如何彻底防范注入漏洞：
　　一、对进入sql语句的数字先进行类型转换
　　二、对进入sql语句的字符，将单引号("'")替换为两个单引号("''")或其它

仅此两点即可，也许有人会问，那么文中第8页所说：

对sql = "……where id=" & request.QueryString("id")
　　用**.asp?id=char(50)，char会起到函数的作用

或者where xtype=char(85)（见文中第8页），char也会起到函数的作用。

但对于sql = "……where key='" & request.QueryString("key") & "'"
　　用**.asp?key=char(50)，这里的char(50)是不起作用的，为什么呢？
　　套入sql一看，语句是这样的：
　　sql = "……where key='char(50)'"
　　char(50)位于"'"内，变成了字符（串），所以就起不到函数的作用了。

养成好的习惯，制定统一的规范
　　上面的方法确实解决了注入漏洞问题，但并不表示其它地方可以马虎了，为什么要马虎了，为什么要让自己的网页千疮百孔，让几句代码去独挡一面呢？如果不养成好的习惯，团体之间如果不制定统一的规范，今天这个问题解决了，明天那个问题还会出现。

１、使用RecordSet记录集之前必须判断RecordSet的BOF或EOF属性。
　　２、对于SELECT语句，除了不得已的情况，LockType必须设置为adLockReadOnly。
　　３、放入数据库中的密码应该使用良好的加密算法进行加密，同时也禁止密码以明文的形式存在于页面文件中。
　　４、在Web条件下，在非本机调试的情况下，不得使用sa连接数据库。
　　５、对于需要用户权限的平台，必须将用户名和密码载入session，然后在需要的页面进行判断，不得使用if session("loginOK")<>"" then之类的语句来判断用户是否是合法用户。
　　……
　　必要时，可以禁止IIS返回详细的出错信息，可以禁止public对sysobjects表的SELECT权限。
　　……

安全不是一方面的，仅靠几个规范几个好的习惯并不能保证能造就出安全的空间，1个False与99个True进行“与”运算，结果还是False，从中可以看出，哪怕只有一点错误，都可能导致结果全盘被否定。Web安全，除了注入漏洞，还有FTP设置错误、Web服务设置错误、后台程序漏洞这些最最基本的都可能导致服务器整个被人控制，所以处处都要三思啊。

最近又看到很多关于 SQL 注入的帖子，都是使用替换 select、delete、update 等字符串的方法来防注入的。

再说明一下，这种是错误的防注入方法，原因如下：

1. 可能替换不全，不是所有的关键字都列入其中了的。
2. 本身这种替换就有漏洞，比如 aandnd 本身没有问题，把其中的 and 替换掉后，反而冒出一个 and 出来。
3. 这种替换方式还破坏了文字的原义，我曾经在某个网站上注册了 candy 这个用户名，后来该系统却告诉我没有这个用户，后来才知道 candy 中的 and 被去掉了。

正确的防注入方法是：

• 对数字类型进入 sql 前强制转换为数字。
• 对文本类型进入 sql 前替换单引号为双引号。
• 对日期类型进入 sql 前强制转换成日期，并替换单引号为双引号。

这是从注入的原理来防的。

    要进行C#基于TCP协议的网络通讯，首先必须建立同远程主机的连接，连接地址通常包括两部分——主机名和端口，如www.yesky.com：80中， www.yesky.com就是主机名，80指主机的80端口，当然，主机名也可以用IP地址代替。当连接建立之后，就可以使用这个连接去发送和接收数据包，TCP协议的作用就是保证这些数据包能到达终点并且能按照正确的顺序组装起来。

    在。net framework的类库（Class Library）中，提供了两个用于TCP网络通讯的类，分别是TcpClient和TcpListener.由其英文意义显而易见，TcpClient 类是基于TCP协议的客户端类，而TcpListener是服务器端，监听（Listen）客户端传来的连接请求。TcpClient类通过TCP协议与服务器进行通讯并获取信息，它的内部封装了一个Socket类的实例，这个Socket对象被用来使用TCP协议向服务器请求和获取数据。因为与远程主机的交互是以数据流的形式出现的，所以传输的数据可以使用。net framework中流处理技术读写。在我们下边的例子中，你可以看到使用NetworkStream类操作数据流的方法。

    在下面的例子中，我们将建立一个时间服务器，包括服务器端程序和客户端程序。服务器端监听客户端的连接请求，建立连接以后向客户端发送当前的系统时间。

    先运行服务器端程序，下面截图显示了服务器端程序运行的状况：

    然后运行客户端程序，客户端首先发送连接请求到服务器端，服务器端回应后发送当前时间到客户端，这是客户端程序的截图：

    发送完成后，服务器端继续等待下一次连接：

    通过这个例子我们可以了解TcpClient类的基本用法，要使用这个类，必须使用System.Net.Socket命名空间，本例用到的三个命名空间如下：

    
using System;  
    
using System.Net.Sockets;  
    
using System.Text;  
    
//从字节数组中获取字符串时使用该命名空间中的类  
    
//首先讨论一下客户端程序，开始我们必须初始化一个TcpClient类的实例：  
    
 
    
TcpClient client = new TcpClient(hostName, portNum);  
    
//然后使用TcpClient类的GetStream()方法获取数据流，

    并且用它初始化一个NetworkStream类的实例：  
    
 
    
NetworkStream ns = client.GetStream(); 

    注意，当使用主机名和端口号初始化TcpClient类的实例时，直到跟服务器建立了连接，这个实例才算真正建立，程序才能往下执行。如果因为网络不通，服务器不存在，服务器端口未开放等等原因而不能连接，程序将抛出异常并且中断执行。

    建立数据流之后，我们可以使用NetworkStream类的Read（）方法从流中读取数据，使用Write（）方法向流中写入数据。读取数据时，首先应该建立一个缓冲区，具体的说，就是建立一个byte型的数组用来存放从流中读取的数据。Read（）方法的原型描述如下：

    
public override int Read（in byte[] buffer，int offset，int size） 

    buffer是缓冲数组，offset是数据（字节流）在缓冲数组中存放的开始位置，size是读取的字节数目，返回值是读取的字节数。在本例中，简单地使用该方法来读取服务器反馈的信息：

    
byte[] bytes = new byte[1024];//建立缓冲区  
    
int bytesRead = ns.Read(bytes, 0, bytes.Length);//读取字节流  
    
//　然后显示到屏幕上：  
    
Console.WriteLine(Encoding.ASCII.GetString(bytes,0,bytesRead));  
    
//最后不要忘记关闭连接：  
    
 
    
client.Close(); 

    以上介绍C#基于TCP协议的网络通讯。

    1.ASP.NET IIS映射（IIS->默认网站->属性->主文档->配置->映射->添加）:

    扩展名.do ----> C:"WINNT"Microsoft.NET"Framework"v1.1.4322"aspnet_isapi.dll

    限于:GET,HEAD,POST,DEBUG

    2.修改web.config

    <configuration> <system.web> <httpHandlers> <add verb="*" path="*.mspx" type="System.Web.UI.PageHandlerFactory" /> httpHandlers> system.web> configuration>

    ASP.NET2.0配置稍有不同，详解如下：

    1.ASP.NET IIS映射（IIS->默认网站->属性->主文档->配置->映射->添加）:

    扩展名.do ----> C:"WINDOWS"Microsoft.NET"Framework"v2.0.50727"aspnet_isapi.dll

    限于:GET,HEAD,POST,DEBUG

    2.修改web.config

    <configuration> <system.web> <httpHandlers> <add path="*.do" verb="*" type="System.Web.UI.PageHandlerFactory" /> httpHandlers> <compilation> <buildProviders> <add extension=".do" type="System.Web.Compilation.PageBuildProvider" /> buildProviders> compilation> system.web> <configuration>

    以上介绍ASP.NET IIS映射

　　方法如下：

　　<script language="javascript">

　　var  a  =  new  Date()

　　a  =  <%=System.DateTime.Now.ToString("yyyy-MM-dd HH:mm:ss")%>;

　　Response.Write(a)

　　</script>

　　其实还有一个方法：利用javascript的“runat="server”属性

　　代码

　　<script runat="server" language="javascript">

　　var a = new Date();

　　a =a.getFullYear()+ "-"+(a.getMonth()+1)+"-"+a.getDate()+" "+a.getHours()+":"+a.getMinutes();

　　Response.Write(a);

　　</script>



//可以用同样的方法让JS访问c#代码，如下

　　/*

　　c#(加)　：

　　using System.Web

　　HttpCookie   UserCookie   =   new   HttpCookie("UserName",UserName);

　　Response.Cookies.Add(UserCookie);

　　(注销)

　　Request.Cookies.Clear();

　　//将Cookies["UserName"]置空

　　HttpCookie   customerCookie   =   new   HttpCookie("UserName",   string.Empty);

　　Response.Cookies.Add(customerCookie);

　　JS：

　　function getCookie(objName)

　　{//获取指定名称的cookie的值

　　var arrStr = document.cookie.split("; ");

　　for(var i = 0;i < arrStr.length;i ++)

　　{

　　var temp = arrStr[i].split("=");

　　if(temp[0] == objName) return unescape(temp[1]);

　　}

　　}

　　function delCookie(name)

　　{//为了删除指定名称的cookie，可以将其过期时间设定为一个过去的时间

　　var date = new Date();

　　date.setTime(date.getTime() - 10000);

　　document.cookie = name + "=a; expires=" + date.toGMTString();

　　}

　　*/

　　}

　　}

　　以上两个，是同一个页面的一个是前台一个是后台

　　JS代码：

　　<script language="javascript" type ="text/javascript" >

　　var JSVar = "This is JS Code ";

　　function getcsharpstring() {

　　//去调用c#的函数，请注意带参数的写法

　　var mys = '<%=CSharpString("___________This is JS Code ")%>';

　　//没有参数的可以这样写var mys = "<%=CSharpString()%>";

　　alert(mys)

　　}

　　function getcsharpvar() {

　　var mys = '<%= CSharpVar%>';//调问c#中的变量

　　alert(mys)

　　}

　　//此函数用于C#调用

　　function CSharpCall() {

　　alert("这里设置一个ookie ");

　　//设置一个cookie ,在c#读取这个cookie的值来达到访问JS变量

　　document.cookie = "JSVarToCSharp= " + JSVar;

　　}

　　</script>

　　c#后台代码：

　　public partial class _Default : System.Web.UI.Page

　　{

　　public string CSharpVar = "这是CSharp代码";//C#变量

　　protected void Page_Load(object sender, EventArgs e)

　　{

　　}

　　//被JS调用

　　public string CSharpString(string _string )

　　{

　　return  "这是CSharp代码" + _string 　;

　　}

　　protected void Button3_Click(object sender, EventArgs e)

　　{

　　string jsString = "<script   language=javascript > CSharpCall() </script>";

　　Page.RegisterStartupScript("ggg", jsString);//调用JS方法

　　}

　　protected void Button4_Click(object sender, EventArgs e)

　　{

　　//通过读取cookie 来得到JS的变量

　　HttpCookie cookie = Request.Cookies["JSVarToCSharp"];

　　if (cookie != null)

　　{

　　string jsVar = cookie.Value.ToString();

　　}

　　但在做通用型的Web产品的时候，你就要和各种人打交道了，有的站长用的是国外空间，比如GoDaddy，外国的空间商通常会把ASP.NET代码执行权限控制在中等安全模式。

　　而在中等安全模式下，很多我们习以为常的事情都是做不了的。

　　中等安全模式是什么？

　　可能很多人都没接触过中等安全模式，我在参与bbsmax项目之前，我也不知道有中等安全模式这么个东西。

　　简单来说，ASP.NET提供了一个简单设置代码执行权限的方案，叫做“信任级别”。

　　它默认提供5种信任级别，分别是：FullTrust、High、Medium、Low、Minimal。

　　每个信任级别的设置，分别对应于一组代码权限设置。

　　这个方案，让网站部署者可以通过web.config快速设置网站的托管代码执行权限。

　　通过对web.config的<system.web>/<trust>节点的level属性值进行设置，就可以将ASP.NET程序设置到不同的信任级别。

　　ASP.NET安装完，所有网站默认都是FullTrust信任级别，也是最高信任级别。

　　本文说的“中等安全模式”就是对应于Medium信任级别。

　　因为托管代码执行权限模型不是本文讨论的重点，所以我这里只做简单的说明，不深入讨论ASP.NET安全级别设置的实现原理，实现原理可以参考本文最后给出的几个连接。

　　中等安全模式会有哪些影响？

　　以下是我和我的同事在ASP.NET中等安全模式下曾经遇到过的一些问题：

　　1. 基于VirtualPathProvider的模板机制不能用，因为VirtualPathProvider至少需要运行在High模式。

　　2. BuildProvider不能用，意味着你想自己添加自己的语言实现也不能用了，不过大部分项目不会用到这么高级的东西。

　　3. CodeDom、Emit不能用了，这下惨了，什么Ioc、AOP，动态注入的高科技玩意儿，全都废了，这些不是基于CodeDom的就是基于Emit的。

　　4. 通过aspx页面接管文件下载也不行了，Response写文件流到客户端需要更高的代码执行权限。

　　5. 大文件上传也别想了，因为大文件上传万变不离HttpWorkRequst，获取HttpWorkRequst的代码需要FullTrust模式。

　　6. SQLite不能用了，因为中等安全模式下没有非托管代码调用权限，所以除了SQLite外，涉及到非托管代码调用的，也都废掉了。

　　7. Access数据不能用OleDb连接了，因为中等安全模式下，OleDbClient是不能用的，你只能用ODBC数据源。

　　所以，如果要考虑允许让用户把程序部署到中等安全模式下，那就越早做中等安全模式的兼容性测试越好。

　　因为很多不能用的东西，都是涉及到基础结构的。

　　比如，SQLite和Access不能用，你的程序如果正巧就只做这两个数据库的版本，咋办？

　　比如，文件下载不能通过Response写文件流的方式，你的程序正巧又是这么做防盗链，咋办？

　　中等安全模式要求那么苛刻，怎么对付？

　　只能绕道走了，要不然怎么办？方法还是有的，得不断尝试。

　　VirtualPathProvider不能用，BuildProvider也不能用，但是又需要有自己的一套模板语法。那只好在页面访问前生成aspx页面，再做URL重写了。

　　说起来很简单，就一句话。但是这中间我不知道写了多少代码，做了多少次试验，才找到最佳方案。

　　所以，你的方法还是得你自己找。

　　以下是判断程序是否运行在中等安全模式的代码：

　　if (SecurityManager.IsGranted(new AspNetHostingPermission(AspNetHostingPermissionLevel.Medium)))

　　{

　　}

　　如果有遇到不是必须执行的逻辑，比如获取程序内存占用率或者大文件上传，那就可以先判断下，再决定是否调用。

　　根据资料显示，把程序集部署到GAC中，可以获得FullTrust级别的权限，不过我没有实际试过。

关于HttpModule

这几天在看一个项目,非常有感触.觉得自己知道的还是太少,需要学习的东西也非常之多.其实很多底层的东西应该多去了解,这样对于自己开发一个应用系统以及开发的模式会有很大的帮助,就比如系统权限方面,以前自己写的权限这块看来真的是小儿科,而今看到了利用HttpModule来配合权限的编写,又让我好好的学习了一把,在网上找到对于HttpModule的一些基础解释,先转发过来,供自己和一些路过的朋友参考.


--------------------
来源：赛迪网  作者：孙亚民

ASP.Net中自定义Http处理及应用之HttpModule篇

HttpHandler实现了类似于ISAPI Extention的功能，他处理请求(Request)的信息和发送响应(Response)。HttpHandler功能的实现通过实现IHttpHandler接口来达到。而HttpModule实现了类似于ISAPI Filter的功能。

HttpModule的实现

HttpModules实现了类似于ISAPI Filter的功能，在开发上，通常需要经过以下步骤：

1.编写一个类，实现IhttpModule接口

2.实现Init 方法，并且注册需要的方法

3.实现注册的方法

4.实现Dispose方法，如果需要手工为类做一些清除工作，可以添加Dispose方法的实现，但这不是必需的，通常可以不为Dispose方法添加任何代码。

5.在Web.config文件中，注册您编写的类

下面是一个HttpModules的示例，在这个示例中，只是简单的注册了HttpApplication 的BeginRequest 和 EndRequest事件，并且通过这些事件的实现方法，将相关的信息打印出来。

例1： using System; using System.Web; namespace MyModule { public class MyModule : IHttpModule { public void Init(HttpApplication application) { application.BeginRequest += (new EventHandler(this.Application_BeginRequest)); application.EndRequest += (new EventHandler(this.Application_EndRequest)); } private void Application_BeginRequest(Object source, EventArgs e) { HttpApplication Application = (HttpApplication)source; HttpResponse Response=Application.Context.Response; Response.Write("<h1>Beginning of Request</h1><hr>"); } private void Application_EndRequest(Object source, EventArgs e) { HttpApplication application = (HttpApplication)source; HttpResponse Response=Application.Context.Response; Response.Write("<h1>End of Request</h1><hr>"); } public void Dispose() { } } }

程序的开始引用了如下名称空间：

using System; using System.Web;

因为HttpApplication、HttpContext、HttpResponse等类在System.Web中定义，因此，System.Web名称空间是必须引用的。

MyModule类实现了IhttpModule接口。在Init方法中，指明了实现BeginRequest 和EndRequest 事件的方法。在这两个方法中，只是简单的分别打印了一些信息。

下面，在Web.config文件中注册这个类，就可以使用这个HttpModule了，注册的方法如下：

<configuration> <system.web> <httpModules> <add name=" MyModule " type=" MyModule, MyModule" /> </httpModules> </system.web> </configuration>

现在来看一下效果。编写一个Aspx页面test.aspx，内容如下：

<% Response.Write("<h1>This is the Page</h1><hr>"); %>

运行以后的界面如图所示：



深入研究HttpModule

HttpModule通过对HttpApplication对象的一系列事件的处理来对HTTP处理管道施加影响，这些事件在HttpModule的Init方法中进行注册，包括：

BeginRequest AuthenticateRequest AuthorizeRequest ResolveRequestCache AcquireRequestState PreRequestHandlerExecute PostRequestHandlerExecute ReleaseRequestState UpdateRequestCache EndRequest

其中部分事件同Global.asax中的事件相对应，对应关系如下：

HttpModule	Global.asax
BeginRequest	Application_BeginRequest
AuthenticateRequest	Application_AuthenticateRequest
EndRequest	Application_EndRequest

在例1中，处理了BeginRequest和EndRequest事件，其他事件的处理方式基本上类似。

同HttpHandler对应来看，这些事件，有些在HttpHandler之前发生，有些在HttpHandler处理完后发生。了解事件发生的顺序非常重要，因为，服务器端的对象在不同的时间段有着不同的表现。例子之一是Session的使用。不是所有的事件中都能对Session进行处理，而只能在有限的几个事件中进行处理。详细的过程可以参考下面的HTTP Request处理生命周期图。



使用HttpModule实现权限系统

我们在开发应用系统的时候，应用系统的权限控制是非常重要的一个部分。在ASP中，要实现权限的控制是比较麻烦的事情，因为我们必须在每个需要控制权限的ASP页面中添加权限控制代码，从而控制客户对页面的访问。这样带来的问题，除了编写大量重复代码外，由于权限控制部分同业务处理部分的模块紧密耦合在一起，对权限控制模块的修改，往往又会带来大量的修改工作，甚至造成大量的Bug。

所以，我们现在需要将权限控制和业务处理模块进行解耦，使得两个部分可以独立开发和修改，而不会互相影响，或者，将影响减到最低。在Jsp程序中，这个目的可以通过引入一个前端控制器来实现权限过滤（关于前端控制器模式，可以参见《J2EE核心模式一书》）。在ASP.Net中，我们可以利用HttpModule实现同样的效果。下面来看一下实现的过程。

首先，我们会构建一个权限处理系统，可以检测某个用户对某个模块功能是否有访问权限（具体的结构，我想，读者都应该接触过这个部分的编程，所以不再赘述），其中，暴露给客户端调用的权限校验类的定义如下：

public class RightChecker { public static bool HasRight(User user,Module module) { //进行权限校验， } }

然后，我们利用HttpModule编写一个过滤器：

using System; using System.Web; namespace MyModule { public class MyModule : IHttpModule { public void Init(HttpApplication application) { application. AcquireRequestState += (new EventHandler(this.Application_AcquireRequestState)); } private void Application_AcquireRequestState (Object source, EventArgs e) { HttpApplication Application = (HttpApplication)source; User user=Application.Context.Sesseion["User"] //获取User string url=Application.Context.Request.Path; //获取客户访问的页面 Module module= //根据url得到所在的模块 If(!RightChecker.HasRight(user,module)) Application.Context.Server.Transfer("ErrorPage.aspx"); //如果没有权限，引导到错误处理的页面 } public void Dispose() { } } }

将这个类按照前面介绍的方法，在Web.Config中注册后，我们的应用系统就具备权限管理的功能了。怎么样，比原来的方式好很多吧？

结束语

在.Net中，微软把原来具有较高难度的服务器扩展的编程作了很大的简化，对于我们开发的确带来了很大的方便，值得我们对此技术进行深入的研究。

例1：
            using System;
            using System.Web;
            namespace MyModule
            {
            public class MyModule : IHttpModule
            {
            public void Init(HttpApplication application)
            {
            application.BeginRequest += (new
            EventHandler(this.Application_BeginRequest));
            application.EndRequest += (new
            EventHandler(this.Application_EndRequest));
            }
            private void Application_BeginRequest(Object source, EventArgs e)
            {
            HttpApplication Application = (HttpApplication)source;
            HttpResponse Response=Application.Context.Response;
            Response.Write("<h1>Beginning of Request</h1><hr>");
            }
            private void Application_EndRequest(Object source, EventArgs e)
            {
            HttpApplication application = (HttpApplication)source;
            HttpResponse Response=Application.Context.Response;
            Response.Write("<h1>End of Request</h1><hr>");
            }
            public void Dispose()
            {
            }
            }
            }

using System;
            using System.Web;

<configuration>
            <system.web>
            <httpModules>
            <add name=" MyModule " type=" MyModule, MyModule" />
            </httpModules>
            </system.web>
            </configuration>

<%
            Response.Write("<h1>This is the Page</h1><hr>");
            %>

BeginRequest
            AuthenticateRequest
            AuthorizeRequest
            ResolveRequestCache
            AcquireRequestState
            PreRequestHandlerExecute
            PostRequestHandlerExecute
            ReleaseRequestState
            UpdateRequestCache
            EndRequest

public class RightChecker
            {
            public static bool HasRight(User user,Module module)
            {
            //进行权限校验，
            }
            }

using System;
            using System.Web;
            namespace MyModule
            {
            public class MyModule : IHttpModule
            {
            public void Init(HttpApplication application)
            {
            application. AcquireRequestState += (new
            EventHandler(this.Application_AcquireRequestState));
            }
            private void Application_AcquireRequestState (Object source,
            EventArgs e)
            {
            HttpApplication Application = (HttpApplication)source;
            User user=Application.Context.Sesseion["User"]  //获取User
            string url=Application.Context.Request.Path;
            //获取客户访问的页面
            Module module= //根据url得到所在的模块
            If(!RightChecker.HasRight(user,module))
            Application.Context.Server.Transfer("ErrorPage.aspx");
            //如果没有权限，引导到错误处理的页面
            }
            public void Dispose()
            {
            }
            }
            }

如何继承并实现IHttpModule

如何设置<httpModules> 元素

自定义 HttpModule 示例

如何设置<httpHandlers> 元素

如何创建 HttpHandler