cookies及session及asp.net安全

对于cookies及session首先必须谈到web的状态，状态说穿了就是一个变量的作用域问题，例如全局变量，局部变量.

web程序是无状态了,即server与client是断开的，那么sever是怎么来确定变量的作用域的呢，也就是说服务器必须借助一定信息即seesionID来确定是哪一个客户端的访问的域，

即只能让某个客户端的browser（是基于流览器的）来访问服务器中相磁内存中的变量，session可借助三种方式来确定客户端的资料，cookies， url, hidden表单，每个session在server端初始化建立的好像是最少24k(12k)，
而cookies中保存在客户的资料，不增加服务端的负担，cookies是一般要传到服务端来读取，当然现在也可以用Javascript来读取

2.对于第二个安全问题，我也没做过，刚出面试公司后就想到，可以借助webconfig的目录功能来试试，好像webconfig是基于目录的，可以将一部安全内容放入一个目录中，而将不需要转向的放入另一个目录中，然后webconfig设置不同,
webconfig有一个overrider过程，也就是两个webconfig取最近（即最近原则）。 <location 也可解决，但当时还不知道>

 

----------------------------------------------------

另外, 从我们了解到的情况和做的试验表明, 一个相同的内容, 放在一个SESSION中和放在多个SESSION中, 并不多占内存, 但一个SESSION最少占12K内存, 因此, 当一个SESSION中存少于12K的内容时, 显得不合算. 我们的SESSION, 总体来说, 也不是很多,不超过20个. 对于现在的服务器, 应该不是问题. 
实际上, 关于12K的这个问题, MS官方也没有一个说法, 但从我们有的朋友测试来看, 一次生成了1000多个SESSION, 服务器没有更多的内存被占用.