春节之前就收到了这本MVP图书计划的书籍，由于春节前后项目工作非常繁忙，累了个够呛，所以书评一直没有跟上，实在感觉对不住老大，今天赶紧补上。这是一本纯英文的硬皮MCTS考试自学用书。由于该书籍面向读者的专向性，所以跟普通的技术书籍有些不太一样。内容是以课为单位编写的，且配有随书CD和VS2008专业版的90天试用版本（含MSDN库）。

    这本书既然是考试自学用书，那么它的细致就自不在话下了。几乎WCF的各个细节都有浅入深的进行介绍，有详尽的代码实例（VB和C#都有），还穿插着各种注意事项、知识点以及扩展内容。给人很贴心的感觉，因为很多东西是初学者所不能想到和接触到的，在书中给与提示和说明我认为是一件很好的手段。模拟考试软件的答案解释也是不错的，再次赞一下:D

    我对书中内容的序列化控制、WCF跟踪扩展与监控、数据安全以及用户认证等部分比较感兴趣。改天要再好好学习一下。

    这本书似乎目前尚未有中文版本（大概考试用书都这样子），但是依然建议大家自学阅读一下。照着实例代码多练习调试尽可能搞明白更多的细节，不要看答案对了就对了。尽可能把每个提醒提示的文字也都阅读一下，会受益匪浅的哦。

asp.net 2.0中引入的Membership机制给我们做web开发带来很多便利，使得我们在做很多项目开发时处理用户和角色及权限问题时减少了相当的工作量。不过我们开发中可能会碰到一个小小的问题如下：

我们知道MembershipUser中有如下重载的方法

• MembershipUser.ResetPassword () ：将用户密码重置为一个自动生成的新密码。
• MembershipUser.ResetPassword (String passwordAnswer) ：将用户密码重置为一个自动生成的新密码。

msdn中有如下描述：

ResetPassword 调用 ProviderName 属性所引用的成员资格提供程序的 MembershipProvider.ResetPassword 方法，以将成员资格用户的密码重置为自动生成的新密码。然后将该新密码返回到调用方。

如果 EnablePasswordReset 为 false，则成员资格提供程序将返回一个异常。

如果 RequiresQuestionAndAnswer 为 true，则必须使用以密码提示问题答案作为参数的 ResetPassword 重载方法，并提供成员资格用户的密码。如果需要密码答案并提供了不正确的密码答案，成员资格提供程序将引发 MembershipPasswordException。

而另外一个方法MembershipUser.ChangePassword(String oldPassword, String newPassword) 又必须提供原始密码，那么这里就产生了一个矛盾：我们希望用户能够通过安全问题和答案来作为找回密码，又希望管理员可以重置某用户的密码怎么办？上述方法均无法直接使用，要么使用MembershipUser.ResetPassword ()而无安全问题和答案验证，要么必须知道问题答案或者原始密码，我们知道这些安全相关的东西我们都是加密的，而且往往采用单向编码的方式，也是说我们不可能轻易的通过读取数据库数据知道用户的答案和旧密码！那么好，如何解决这个问题呢？下面我来提供一个小的解决方案：

Membership的数据库中包含有一个设置用户密码的存储过程：

          CREATE
          PROCEDURE aspnet_Membership_SetPassword
( @ApplicationName nvarchar(256), @UserName nvarchar(256), @NewPassword nvarchar(128),
@PasswordSalt nvarchar(128), @CurrentTimeUtc datetime, @PasswordFormat int =
0 ) 

返回值：成功返回 0；
用户不存在，返回 1；

那么ok,我们开始解决我们的需求吧！思路很简单我们先设置用户一个默认的密码，然后以该密码为旧密码使用MembershipUser.ChangePassword(String oldPassword, String newPassword) 修改用户的密码。下面的代码是在以DataAccess.RunProcedure方法是已经实现的执行存储过程的方法为前提编写的：

            
              public
              class MembershipSafe
{ publicstaticstring ResetPassword(string username)
{ //将用户密码修改为8位且包含一个特殊符号的随机密码return ResetPassword(username,
Membership.GeneratePassword(8,1)); } publicstaticstring ResetPassword(string username, string newpassword)
{ //先将用户密码修改为123123 SqlParameter[]
_sp = { new SqlParameter("@ApplicationName",Membership.ApplicationName)
,new SqlParameter("@UserName",username)
,new SqlParameter("@NewPassword","1M4h3eZLAKW1WbVTTwYJiJZa33w=")
,new SqlParameter("@PasswordSalt","rcVy3pCccZ9tXW7NHp1Maw==")
,new SqlParameter("@CurrentTimeUtc",DateTime.Now)
,new SqlParameter("@PasswordFormat",1)
}; bool op = DataAccess.RunProcedure("aspnet_Membership_SetPassword",
_sp) == 0; //以123123为原始密码，修改为新密码 Membership.GetUser(username).ChangePassword("123123",
newpassword); return newpassword;
} } 
          

注：以上代码仅做参考，不一定是符合您具体项目的需求，比如有人可能会继续问修改了密码怎么告诉用户啊，答案是发邮件或者电话通知啊，哈哈～～

推荐浏览：

• Windman写的 ＂揪出ASP.NET 2.0四大“插件”的总后台 -- ASPNETDB ＂

最近不少Web技术圈内的朋友在讨论协议方面的事情，有的说web开发者应该熟悉web相关的协议，有的则说不用很了解。个人认为这要分层次来看待这个问题，对于一个新手或者刚入门的web开发人员而言，研究协议方面的东西可能会使得web开发失去趣味性、抹煞学习积极性，这类人应该更多的了解基本的Web技术使用。而对于在该行业工作多年的老鸟来说，协议相关的内容、标准相关内容应该尽量多些的了解，因为只有这样才能使得经手的web系统更加优秀（安全、漂亮、快速、兼容性好、体验好……）。本文我们来说一下MIME 协议的一个扩展Content-disposition。

我们在开发web系统时有时会有以下需求：

• 希望某类或者某已知MIME 类型的文件（比如：*.gif;*.txt;*.htm）能够在访问时弹出“文件下载”对话框
• 希望以原始文件名（上传时的文件名,例如：山东省政府1024号文件.doc）提供下载，但服务器上保存的地址却是其他文件名（如：12519810948091234_asdf.doc)
• 希望某文件直接在浏览器上显示而不是弹出文件下载对话框
• ……………………

要解决上述需求就可以使用Content-disposition来解决。第一个需求的解决办法是

            Response.AddHeader "content-disposition","attachment;
filename=fname.ext"
          

            
              public
              static
              void ToDownload(string serverfilpath,string filename)
{ FileStream fileStream =new FileStream(serverfilpath,
FileMode.Open); long fileSize = fileStream.Length;
HttpContext.Current.Response.ContentType ="application/octet-stream";
HttpContext.Current.Response.AddHeader("Content-Disposition", "attachment;
filename=\""+ UTF_FileName(filename) +"\";"); ////attachment
--- 作为附件下载////inline
--- 在线打开 HttpContext.Current.Response.AddHeader("Content-Length",
fileSize.ToString()); byte[]
fileBuffer =newbyte[fileSize];
fileStream.Read(fileBuffer, 0, (int)fileSize);
HttpContext.Current.Response.BinaryWrite(fileBuffer); fileStream.Close(); HttpContext.Current.Response.End();
} publicstaticvoid ToOpen(string serverfilpath, string filename)
{ FileStream fileStream =new FileStream(serverfilpath,
FileMode.Open); long fileSize = fileStream.Length;
HttpContext.Current.Response.ContentType ="application/octet-stream";
HttpContext.Current.Response.AddHeader("Content-Disposition", "inline;
filename=\""+ UTF_FileName(filename) +"\";");
HttpContext.Current.Response.AddHeader("Content-Length",
fileSize.ToString()); byte[]
fileBuffer =newbyte[fileSize];
fileStream.Read(fileBuffer, 0, (int)fileSize);
HttpContext.Current.Response.BinaryWrite(fileBuffer); fileStream.Close(); HttpContext.Current.Response.End();
} privatestaticstring UTF_FileName(string filename)
{ return HttpUtility.UrlEncode(filename,
System.Text.Encoding.UTF8); }
          

简单的对上述代码做一下解析，ToDownload方法为将一个服务器上的文件（serverfilpath为服务器上的物理地址），以某文件名(filename)在浏览器上弹出“文件下载”对话框，而ToOpen是将服务器上的某文件以某文件名在浏览器中显示/打开的。注意其中我使用了UTF_FileName方法，该方法很简单，主要为了解决包含非英文/数字名称的问题，比如说文件名为“衣明志.doc”，使用该方法客户端就不会出现乱码了。

需要注意以下几个问题：

1. Content-disposition是MIME协议的扩展，由于多方面的安全性考虑没有被标准化，所以可能某些浏览器不支持，比如说IE4.01
2. 我们可以使用程序来使用它，也可以在web服务器（比如IIS）上使用它，只需要在http header上做相应的设置即可

可参看以下几篇文档：

• 如何为已知的 MIME 类型激活“文件下载”对话框
• Communicating Presentation Information in Internet Messages: The Content-Disposition Header Field
• Hypertext Transfer Protocol -- HTTP/1.1

好友前一阵子在他的博客上发表了一篇文章《安全设置 IIS 中的权限》，在这里转载一下，希望对大家有所帮助。

虽然 Apache 的名声可能比 IIS 好，但我相信用 IIS 来做 Web 服务器的人一定也不少。说实话，我觉得 IIS 还是不错的，尤其是 Windows 2003 的 IIS 6（马上 Longhorn Server 的 IIS 7 也就要来了，相信会更好），性能和稳定性都相当不错。但是我发现许多用 IIS 的人不太会设置 Web 服务器的权限，因此，出现漏洞被人黑掉也就不足为奇了。但我们不应该把这归咎于 IIS 的不安全。如果对站点的每个目录都配以正确的权限，出现漏洞被人黑掉的机会还是很小的（Web 应用程序本身有问题和通过其它方式入侵黑掉服务器的除外）。下面是我在配置过程中总结的一些经验，希望对大家有所帮助。

IIS Web 服务器的权限设置有两个地方，一个是 NTFS 文件系统本身的权限设置，另一个是 IIS 下网站->站点->属性->主目录（或站点下目录->属性->目录）面板上。这两个地方是密切相关的。下面我会以实例的方式来讲解如何设置权限。

IIS 下网站->站点->属性->主目录（或站点下目录->属性->目录）面板上有：

• 脚本资源访问
• 读取
• 写入
• 浏览
• 记录访问
• 索引资源

6 个选项。这 6 个选项中，“记录访问”和“索引资源”跟安全性关系不大，一般都设置。但是如果前面四个权限都没有设置的话，这两个权限也没有必要设置。在设置权限时，记住这个规则即可，后面的例子中不再特别说明这两个权限的设置。

另外在这 6 个选项下面的执行权限下拉列表中还有：

• 无
• 纯脚本
• 纯脚本和可执行程序

3 个选项。

而网站目录如果在 NTFS 分区（推荐用这种）的话，还需要对 NTFS 分区上的这个目录设置相应权限，许多地方都介绍设置 everyone 的权限，实际上这是不好的，其实只要设置好 Internet 来宾帐号（IUSR_xxxxxxx）或 IIS_WPG 组的帐号权限就可以了。如果是设置 ASP、PHP 程序的目录权限，那么设置 Internet 来宾帐号的权限，而对于 ASP.NET 程序，则需要设置 IIS_WPG 组的帐号权限。在后面提到 NTFS 权限设置时会明确指出，没有明确指出的都是指设置 IIS 属性面板上的权限。

例1 —— ASP、PHP、ASP.NET 程序所在目录的权限设置：

如果这些程序是要执行的，那么需要设置“读取”权限，并且设置执行权限为“纯脚本”。不要设置“写入”和“脚本资源访问”，更不要设置执行权限为“纯脚本和可执行程序”。NTFS 权限中不要给 IIS_WPG 用户组和 Internet 来宾帐号设置写和修改权限。如果有一些特殊的配置文件（而且配置文件本身也是 ASP、PHP 程序），则需要给这些特定的文件配置 NTFS 权限中的 Internet 来宾帐号（ASP.NET 程序是 IIS_WPG 组）的写权限，而不要配置 IIS 属性面板中的“写入”权限。

IIS 面板中的“写入”权限实际上是对 HTTP PUT 指令的处理，对于普通网站，一般情况下这个权限是不打开的。

IIS 面板中的“脚本资源访问”不是指可以执行脚本的权限，而是指可以访问源代码的权限，如果同时又打开“写入”权限的话，那么就非常危险了。

执行权限中“纯脚本和可执行程序”权限可以执行任意程序，包括 exe 可执行程序，如果目录同时有“写入”权限的话，那么就很容易被人上传并执行木马程序了。

对于 ASP.NET 程序的目录，许多人喜欢在文件系统中设置成 Web 共享，实际上这是没有必要的。只需要在 IIS 中保证该目录为一个应用程序即可。如果所在目录在 IIS 中不是一个应用程序目录，只需要在其属性->目录面板中应用程序设置部分点创建就可以了。Web 共享会给其更多权限，可能会造成不安全因素。

例2 —— 上传目录的权限设置：

用户的网站上可能会设置一个或几个目录允许上传文件，上传的方式一般是通过 ASP、PHP、ASP.NET 等程序来完成。这时需要注意，一定要将上传目录的执行权限设为“无”，这样即使上传了 ASP、PHP 等脚本程序或者 exe 程序，也不会在用户浏览器里就触发执行。

同样，如果不需要用户用 PUT 指令上传，那么不要打开该上传目录的“写入”权限。而应该设置 NTFS 权限中的 Internet 来宾帐号（ASP.NET 程序的上传目录是 IIS_WPG 组）的写权限。

如果下载时，是通过程序读取文件内容然后再转发给用户的话，那么连“读取”权限也不要设置。这样可以保证用户上传的文件只能被程序中已授权的用户所下载。而不是知道文件存放目录的用户所下载。“浏览”权限也不要打开，除非你就是希望用户可以浏览你的上传目录，并可以选择自己想要下载的东西。

例3 —— Access 数据库所在目录的权限设置：

许多 IIS 用户常常采用将 Access 数据库改名（改为 asp 或者 aspx 后缀等）或者放在发布目录之外的方法来避免浏览者下载它们的 Access 数据库。而实际上，这是不必要的。其实只需要将 Access 所在目录（或者该文件）的“读取”、“写入”权限都去掉就可以防止被人下载或篡改了。你不必担心这样你的程序会无法读取和写入你的 Access 数据库。你的程序需要的是 NTFS 上 Internet 来宾帐号或 IIS_WPG 组帐号的权限，你只要将这些用户的权限设置为可读可写就完全可以保证你的程序能够正确运行了。

例4 —— 其它目录的权限设置：

你的网站下可能还有纯图片目录、纯 html 模版目录、纯客户端 js 文件目录或者样式表目录等，这些目录只需要设置“读取”权限即可，执行权限设成“无”即可。其它权限一概不需要设置。

好了，我想上面的几个例子已经包含了大部分情况下的权限设置，其它情况根据这些例子，我想你一定可以想到该如何设置了吧。

今天试用了一下MSN Search的Webservice,使用MSN搜索引擎做自己的搜索项目,还是蛮有趣的;-)

具体的SDK可以从http://search.msn.com/developer/default.aspx?FORM=PDDD2下载.

注意使用前需要先申请个AppID,SDK里包含了Sample,可以读一下,推荐之~.

在中文MSDN上有一篇《使用MSN Search Web Service开发搜索应用》：http://www.microsoft.com/china/MSDN/library/WebServices/WebServices/msnsearch.mspx

    在博客园管理员dudu以及博客堂开心就好、宝玉的支持和帮助下,烟台.NET 俱乐部也成立啦.
    希望烟台、威海及其周边地区.NET爱好者能积极的加入.
    希望加入此团队的博客园成员可以在本文的评论中回复或EmailTo : qihangnet(AT)hotmail.com。
    请说明你的Blog帐号和所在城市，特长/兴趣(最好详细点)。

    继北京,上海，广州，杭州，郑州，济南等城市成立后。我们烟台也要努力了。
    Let's Do Our Best!

烟台.Net俱乐部博客园团队Blog：http://www.cnblogs.com/team/dotsail.html
烟台.NET俱乐部官方网站：http://qihang.net
烟台.NET俱乐部QQ群：6718824
烟台.NET俱乐部博客园聊天室：http://chat.cnblogs.com/CuteSoft_Client/CuteChat/CH_MainForm.Aspx?ChannelId=45f4536b-39fc-44d5-af07-1715e7b2097e