windows和Linux平台下的Dotnet技术
获取与控件的属性不对应的任意特性（只用于呈现）的集合。
Attributes 集合包含在 Web 服务器控件的开始标记中声明的所有属性的集合。这使您得以以编程方式控制与 Web 服务器控件关联的属性。您可以将属性添加到此集合或从此集合中移除属性。
注意 此属性用控件开始标记中集合中的所有属性来呈现，与浏览器设置无关。并非所有的浏览器都支持呈现的每个属性。不受支持的属性通常被浏览器忽略.
示例
下面的示例阐释当 TextBox 控件失去焦点时，可以如何使用 WebControl 的 Attributes 属性运行 Javascript 命令。
[C#]
<%@ Page Language="C#" AutoEventWireup="True" %>
一、什么是SQL注入式攻击？
所谓SQL注入式攻击，就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串，欺骗服务器执行恶意的SQL命令。在某些表单中，用户输入的内容直接用来构造（或者影响）动态SQL命令，或作为存储过程的输入参数，这类表单特别容易受到SQL注入式攻击。常见的SQL注入式攻击过程类如：
⑴ 某个ASP.NET Web应用有一个登录页面，这个登录页面控制着用户是否有权访问应用，它要求用户输入一个名称和密码。
⑵ 登录页面中输入的内容将直接用来构造动态的SQL命令，或者直接用作存储过程的参数。下面是ASP.NET应用构造查询的一个例子：
System.Text.StringBuilder query = new System.Text.StringBuilder(
”SELECT * from Users WHERE login = ‘”)
.Append(txtLogin.Text).Append(“‘ AND password=’”)
.Append(txtPassword.Text).Append(“‘”);
⑶ 攻击者在用户名字和密码输入框中输入”‘或’1′=’1″之类的内容。
⑷ 用户输入的内容提交给服务器之后，服务器运行上面的ASP.NET代码构造出查询用户的SQL命令，但由于攻击者输入的内容非常特殊，所以最后得到的SQL命令变成：SELECT * from Users WHERE login = ” or ‘1′=’1′ AND password = ” or ‘1′=’1′。
⑸ 服务器执行查询或存储过程，将用户输入的身份信息和服务器中保存的身份信息进行对比。
⑹ 由于SQL命令实际上已被注入式攻击修改，已经不能真正验证用户身份，所以系统会错误地授权给攻击者。
如果攻击者知道应用会将表单中输入的内容直接用于验证身份的查询，他就会尝试输入某些特殊的SQL字符串篡改查询改变其原来的功能，欺骗系统授予访问权限。
系统环境不同，攻击者可能造成的损害也不同，这主要由应用访问数据库的安全权限决定。如果用户的帐户具有管理员或其他比较高级的权限，攻击者就可能对数据库的表执行各种他想要做的操作，包括添加、删除或更新数据，甚至可能直接删除表。
二、如何防范？
好在要防止ASP.NET应用被SQL注入式攻击闯入并不是一件特别困难的事情，只要在利用表单输入的内容构造SQL命令之前，把所有输入内容过滤一番就可以了。过滤输入内容可以按多种方式进行。
⑴ 对于动态构造SQL查询的场合，可以使用下面的技术：
第一：替换单引号，即把所有单独出现的单引号改成两个单引号，防止攻击者修改SQL命令的含义。再来看前面的例子，“SELECT * from Users WHERE login = ”’ or ”1”=”1′ AND password = ”’ or ”1”=”1′”显然会得到与“SELECT * from Users WHERE login = ” or ‘1′=’1′ AND password = ” or ‘1′=’1′”不同的结果。
第二：删除用户输入内容中的所有连字符，防止攻击者构造出类如“SELECT * from Users WHERE login = ‘mas’ — AND password =””之类的查询，因为这类查询的后半部分已经被注释掉，不再有效，攻击者只要知道一个合法的用户登录名称，根本不需要知道用户的密码就可以顺利获得访问权限。
第三：对于用来执行查询的数据库帐户，限制其权限。用不同的用户帐户执行查询、插入、更新、删除操作。由于隔离了不同帐户可执行的操作，因而也就防止了原本用于执行SELECT命令的地方却被用于执行INSERT、UPDATE或DELETE命令。
⑵ 用存储过程来执行所有的查询。SQL参数的传递方式将防止攻击者利用单引号和连字符实施攻击。此外，它还使得数据库权限可以限制到只允许特定的存储过程执行，所有的用户输入必须遵从被调用的存储过程的安全上下文，这样就很难再发生注入式攻击了。
⑶ 限制表单或查询字符串输入的长度。如果用户的登录名字最多只有10个字符，那么不要认可表单中输入的10个以上的字符，这将大大增加攻击者在SQL命令中插入有害代码的难度。
⑷ 检查用户输入的合法性，确信输入的内容只包含合法的数据。数据检查应当在客户端和服务器端都执行——之所以要执行服务器端验证，是为了弥补客户端验证机制脆弱的安全性。
在客户端，攻击者完全有可能获得网页的源代码，修改验证合法性的脚本（或者直接删除脚本），然后将非法内容通过修改后的表单提交给服务器。因此，要保证验证操作确实已经执行，唯一的办法就是在服务器端也执行验证。你可以使用许多内建的验证对象，例如RegularExpressionValidator，它们能够自动生成验证用的客户端脚本，当然你也可以插入服务器端的方法调用。如果找不到现成的验证对象，你可以通过CustomValidator自己创建一个。
⑸ 将用户登录名称、密码等数据加密保存。加密用户输入的数据，然后再将它与数据库中保存的数据比较，这相当于对用户输入的数据进行了“消毒”处理，用户输入的数据不再对数据库有任何特殊的意义，从而也就防止了攻击者注入SQL命令。System.Web.Security.FormsAuthentication类有一个HashPasswordForStoringInConfigFile，非常适合于对输入数据进行消毒处理。
⑹ 检查提取数据的查询所返回的记录数量。如果程序只要求返回一个记录，但实际返回的记录却超过一行，那就当作出错处理。
经常在网络上四处载东西，有时碰到直接拷贝一个类似http://193.100.100.56/TestWebSolution/WebApplication1/test.rar地址准备下载test.rar文件时，却被告知没有登录或者直接跳转到其他页面的情况，然后等登录后直接下载该文件。要实现上面情况，在.NET世界里是比较容易的。
1、 首先创建一个类库项目ClassLibrary1，实现如下(点这里查看)：
using System; using System.Web; // 引用System.Web组件 namespace ClassLibrary1 { public class MyHandler : IHttpHandler { public MyHandler() { } #region IHttpHandler 成员 public void ProcessRequest(HttpContext context) { // 跳转到WebForm1.aspx，由WebForm1.aspx输出rar文件 HttpResponse response = context.Response; response.Redirect(“http://193.100.100.56/TestWebSolution/WebApplication1/WebForm1.aspx”); } public bool IsReusable { get { // TODO: 添加 MyHandler.IsReusable getter 实现 return true; } } #endregion } } |
2、 创建测试用的Web项目WebApplication1。在配置文件Web.config文件
<httpHandlers>
<add verb=”*” path=”*.rar” type=”ClassLibrary1.MyHandler, ClassLibrary1″ />
httpHandlers>
3、 在WebForm1.aspx里增加一个文本为“下载”的Button，其Click事件如下(点这里查看)：
FileInfo file = new System.IO.FileInfo(@”G:\WebCenter\TestWebSolution\WebApplication1\test.rar”); // FileInfo 类在 System.IO 命名空间里 Response.Clear(); Response.AddHeader(“Content-Disposition”, “filename=” + file.Name); Response.AddHeader(“Content-Length”, file.Length.ToString()); string fileExtension = file.Extension; // 根据文件后缀指定文件的Mime类型 switch (fileExtension) { case “.mp3″: Response.ContentType = “audio/mpeg3″; break; case “mpeg”: Response.ContentType = “video/mpeg”; break; case “jpg”: Response.ContentType = “image/jpeg”; break; case “……..等等“: Response.ContentType = “….”; break; default: Response.ContentType = “application/octet-stream”; break; } Response.WriteFile(file.FullName); Response.End(); |
4、 最后一步就是在IIS里增加一个应用程序扩展。在“默认网站”->“属性”->“主目录”->“配置”。在弹出的“应用程序配置”窗口里按“添加”，在弹出的“添加/编辑应用程序扩展名映射”窗口里“可执行文件”选择C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\aspnet_isapi.dll，在扩展名里输入“.rar”，然后确定即可。
5、 在IE里输入http://193.100.100.56/TestWebSolution/WebApplication1/test.rar，会立即跳转到http://193.100.100.56/TestWebSolution/WebApplication1/WebForm1.aspx，然后按WebForm1.aspx的“下载”按钮就可以下载test.rar了。
6、 当然，这里只按例子给个思路，完全可以再根据自身情况扩展。下面有几个参考的资源文章：
l http://www.9seek.com/news/show.aspx?id=745&cid=12
l http://www.9seek.com/news/show.aspx?id=521&cid=12
l http://www.9seek.com/news/show.aspx?id=520&cid=12
设计模式方面的好书http://www.ah365.com/community/function/uestc95/Docs/ESPV2.0.pdf
南开大学数学学院FTP服务器 ftp.math.nankai.edu.cn上有非常好的软件资源
广州下雨足足有2周了，洗的衣服也不干，真是烦死了。今天早上还是太阳高照，不知什么时候又下起了雨。
明天是周末了，但愿有一个好天气。
曾经我在网上发布了一次下面的话，结果惹了三分一的称赞和三分二的嘲笑，现在想想当时确实是太兴奋了的缘故。
?
用过PB的人都知道，datawindow那强大的功能，程序员只需要在form放置datawindow，就很容易地对数据库进行添加、删除、修改等方面的操作（不需要复杂的sql语句，因为在用户操作的时候已经自动产生相应的sql语句）。
.net中的window?application下的datagrid也有datawindow同样的效果，但功能要差些。
然而，web?application下的datagrid,?datalist,?repeater却没有提供多行编辑下这样的功能，很多windows程序员转到bs编程后觉得非常不方便。虽然datagrid提供单行数据修改的?itemcommand，对多条数据更新，如果需要自己做sql语句确实就是很麻烦。
HTC等技术虽然可以在不刷新屏幕的情况下解决部分直接对服务器的操作，但缺少自动产生sql语句的功能。
这也许是需要解决的一个关键技术，因为毕竟我们编程很多跟服务器端数据存取有关，
现在，终于搞定它了，呵呵。
当你修改datagrid中任何一行任何一列记录，这个对象可以是任何控件的数据，textbox,?dropdownlist,?还是…..?它的任何值都可以反映到数据库端（可以选择值改变时即修改数据库和修改完后最后统一保存），期间你的页面不会刷新，我将datagrid对象的viewstate完全不要了，传输速度本身就快了很多，而数据修改的时候，更只是仅仅传递被修改的信息……
Sybase的PowerBuilder工具软件，一直以来都是MIS系统的主要生产工具，但由于Powerbuilder的设计局限，不能在界面和网络功能等方面发挥，慢慢被其他软件赶上，2004年春节期间，不负众望推出Datawindow.Net，支持在功能强大的.Net平台，编程习惯和PbScript几乎一样。
下面介绍一下Datawindow.Net的如何在VS2003中使用。
首先需要用Datawindow Builder 工具创建 Datawindow，这是DatawindowBuilder 工具。它的作用主要是创建数据窗口对象库，为应用程序提供带格式的数据窗口。
首先要为这个工具建立一个数据库的连接，如图所示：
建立好数据源的连接后，就可以创建Datawindow并且设置Datawindow?的表现形式了。
保存好Datawindow到PBL后，就完成了制作数据窗口库了，可以随时向库中添加删除或修改Datawindow对象。
下面再打开VS2003 ，新建一个WindowApplication的工程，在Form中拖入一个DatawindowControl和一个Transaction对象，并且分别设置这2个对象的属性，这2部是较关键的，一个是建立数据控制对象，一个是数据连接的相关信息。
这里设置DatawindowControl的对象，这里关键的是正确设置DbParameter的属性。连接SqlServer一般设置为PROVIDER=’SQLOLEDB’,DATASOURCE=’计算机名称’,CommitOnDisconnect=’No’,PROVIDERSTRING=’database=数据库名称’”
DatawindowControl的对象属性主要有个重要的对方，一是LibaryList库的地址和文件名，另一个是DatawindowObject属性值，即控制的库中的哪一个Datawindow对象。
在Form中放置2个按钮，一个浏览数据，一个新增一行，其代码是非常简单，若要保存该数据，只需要在要保存的时候增加这条语句
dw_1.Update();
对数据的访问和控制就这么简单，比原来DataGrid至少减少80％的代码量。运行后结果如图：
因为Datawindow.NET刚刚推出，请在下面发表你的看法。
今天在“博客堂”看了“淳朴的狗熊”发的一篇关于“Borland Together for Visual Studio .NET”的Blog。顿时被Together的强大和与Visual Sutdio .NET 2003的紧密集成所吸引。
一直以来，我都比较抱怨Visual Studio.NET作为一款最佳的.NET集成开发环境，竟然没有集成UML建模工具，虽然有Visio的搭配使用，但总觉得好像比较牵强。不是么？Visio在被微软公司收购之前一直是一款绘图工具，和建模基本上是风马牛不相及的关系。以前在使用Visual Studio.NET 2002的时候，IBM出了一款能够和VS.NET IDE集成起来的工具——XDE for Visual Studio.NET，XDE其实也不尽完美，mmkk这样评论XDE：“XDE双向转换实在太慢…”，但作为UML创始人领导出来的建模软件，我们还是要高看的啦。可惜的是，随着VS.NET升级到2003版本后，IBM没有及时的跟进推出新版本的XDE，现在虽然有了，但我始终没有找到试用版，毕竟IBM的首要任务是让Rational支持自己的WebSphere平台。
说到这里又想起了今天在“博客堂”里看到东方蜘蛛第一个Post出来微软关于征求意见以完善Visual Studio.net新功能的信件。
|
|
|
http://www.borland.com/products/downloads/download_together.html 想必做过mysql都应该知道EMSMysqlManayger吧，最近发现非常好用的mssql管理软件EMS MSSQL Manager，太棒了
http://www.y63.com/soft/class.asp?classid=6&Nclassid=55
