程序员易犯的20条错误

程序员易犯的20条错误

 

1.不要将没有过滤的用户输入发送给客户端.
如:Response.Write "You have entered " & Request("UserInput")
2.不要信任客户端和SESSION变量.
3.不要忘记指定字符集.
<META http-equiv="Content-Type" content="text/html; charset=GB2312">
4.不要在没处理文件路径的情况下让用户访问文件.
如:这样的表达式是不正常的.
http://www.example.net/article.asp?file=new.htm
这将导致以下情况的发生:
http://www.example.net/article.asp?file=/global.asa
http://www.example.net/article.asp?file=/../../../boot.ini
http://www.example.net/article.asp?file=LPT1
http://www.example.net/article.asp?file=/%2e%2e/global.asa
可用以下方法来正确处理该情况:
<%
Set fso = CreateObject("Scripting.FileSystemObject")
On Error Resume Next
Set f = fso.GetFile(request("file"))
If err then
 Response.Write "Error"
Else
 Response.Write f.Path
End If
%>

5.在没有过滤用户输入的情况下,不要进行SQL查询.
6.如果你的数据库内容来自用户的输入,不要相信它.
7.不要将密码或者其它敏感的数据保存在ASP页面中.
8.不要依赖弱安全检查的内容.
如:HTTP重定向,HTML中的TEXT字段的最大长度限制等等.
9.不要将注释留在HTML页面中,特别是一些敏感信息.
10.不要给出太多不必要的信息给客户端.
如在一个登录页面,登录失败的信息就不能太多,如果将:密码是四位,用户不存在等过多的信息给客户端,将会给那些不怀好意的家伙有机可乘!
11.不要在当前路径下写文件,数据库操作.要将文件,数据库文件单独放在一个分区或在WEB根目录这外的目录下.
12.不要在URL中带敏感信息.
13.不要使用INC文件.
因为IIS默认情况下是不处理INC文件的,最好用.INC.ASP扩展名.
14.不要在没有验证用户输入的情况下发送邮件.
15.不要在FORM的HIDDEN字段中保存敏感数据.
16.不要让IIS来处理错误,因为会发送太多的信息给客户端.
最好将IIS的脚本调试改为只发送文本信息.
17.好好的控制你的代码.
将那些不用的,临时的代码都删除,如.test.asp,index.asp.bak
18.在没有测试的情况下不要发布你的代码.
19.不要将不必要的敏感数据存在数据库中,这样万一你的数据库被攻破,也不要造成更大的损失.
20.不要以为这样就够了,还有更多的情况要在实际中被考虑到.

二、Adodb.Stream 的使用说明

组件："Adodb.Stream"
有下列方法：
Cancel 方法
     使用方法如下
     Object.Cancel
     说明：取消执行挂起的异步 Execute 或 Open 方法的调用。
Close  方法
     使用方法如下
     Object.Close
     ：关闭对像
CopyTo 方法
     使用方法如下
     Object.CopyTo(destStream,[CharNumber])
     说明：将对像的数据复制，destStream指向要复制的对像，CharNumber为可选参数，指要复制的字节数，不选为全部复制。
Flush  方法
     使用方法如下
     Object.Flush
     说明：
LoadFromFile 方法
     使用方法如下
     Object.LoadFromFile(FileName)
     说明:将FileName指定的文件装入对像中,参数FileName为指定的用户名。
Open  方法
      使用方法如下
      Object.Open(Source,[Mode],[Options],[UserName],[Password])
      说明：打开对像，
      参数说明：Sourece 对像源，可不指定
  Mode 指定打开模式，可不指定，可选参数如下：
    adModeRead  =1
    adModeReadWrite =3
    adModeRecursive =4194304
    adModeShareDenyNone =16
    adModeShareDenyRead =4
    adModeShareDenyWrite =8
    adModeShareExclusive =12
    adModeUnknown  =0
    adModeWrite  =2
  Options 指定打开的选项，可不指定，可选参数如下：
    adOpenStreamAsync =1
    adOpenStreamFromRecord =4
    adOpenStreamUnspecified=-1
  UserName 指定用户名，可不指定。
  Password 指定用户名的密码
Read  方法
 使用方法如下：
 Object.Read(Numbytes)
 说明：读取指定长度的二进制内容。
 参数说明：Numbytes指定的要读取的找度，不指定则读取全部。

ReadText  方法
 使用方法如下：
 Object.ReadText(NumChars)
 说明：读取指定长度的文本
 参数说明：NumChars指定的要读取的找度，不指定则读取全部。

SaveToFile  方法
 使用方法如下：
 Object.SaveToFile(FileName,[Options])
 说明：将对像的内容写到FileName指定的文件中
 参数说明：FileName指定的文件
    Options 存取的选项，可不指定，可选参数如下：
      adSaveCreateNotExist  =1
      adSaveCreateOverWrite =2

SetEOS  方法
 使用方法如下：
 Object.setEOS()
 说明：
SkipLine  方法
 使用方法如下：
 Object.SkipLine()
 说明：
Write  方法
 使用方法如下：
 Object.Write(Buffer)
 说明：将指定的数据装入对像中。
 参数说明：Buffer 为指定的要写入的内容。
WriteText  方法
 使用方法如下：
 Object.Write(Data,[Options])
 说明：将指定的文本数据装入对像中。
 参数说明：Data 为指定的要写入的内容。
           Options 写入的选项，可不指定，可选参数如下：
    adWriteChar  =0
    adWriteLine  =1

 

有下列属性：
 Charset
 EOS 返回对像内数据是否为空。

 LineSeparator 指定换行格式，可选参数有
  adCR   =13
  adCRLF   =-1
  adLF   =10
 
 Mode 指定或返加模式。
 
 Position 指定或返加对像内数据的当前指针。
 
 Size 返回对像内数据的大小。
 
 State 返加对像状态是否打开。
 
 Type 指定或返回的数据类型，可选参数为：
  adTypeBinary  =1
  adTypeText  =2

三、根据需要动态include不同的文件（需要FSO支持）

受<! #include file="filename.asp" --> 宏限制
必须存在该文件并且会预先编译（不管前面是否加以条件）

经常有这样的要求，根据不同的需求要求include不同的文件
如各个人的不同设置，所以要求能动态include文件。

代码如下：

Function include(filename)
 Dim re,content,fso,f,aspStart,aspEnd
 
 set fso=CreateObject("Scripting.FileSystemObject")
 set f=fso.OpenTextFile(server.mappath(filename))
 content=f.ReadAll
 f.close
 set f=nothing
 set fso=nothing
 
 set re=new RegExp
 re.pattern="^/s*="
 aspEnd=1
 aspStart=inStr(aspEnd,content,"<%")+2
 do while aspStart>aspEnd+1
  Response.write Mid(content,aspEnd,aspStart-aspEnd-2)
  aspEnd=inStr(aspStart,content,"%/>")+2
  Execute(re.replace(Mid(content,aspStart,aspEnd-aspStart-2),"Response.Write "))
  aspStart=inStr(aspEnd,content,"<%")+2
 loop
 Response.write Mid(content,aspEnd)
 set re=nothing
End Function

使用范例：

include("youinc.asp")