搭建IIS服务器并且运行项目

搭建测试环境
  1、安装Web服务器：IIS
     控制面板 - 程序和功能 - 打开或关闭Windows功能 - IIS（全选）
  2、打开服务器
     控制面板 - 管理工具 - IIS
  3、部署
     1.新建一个空白的目录（不能桌面、不能中文），将源代码拷贝进来
     2.IIS： 
        默认Web站点 - 新建一个虚拟目录（别名）

  4、访问：
     http://IP地址/别名/路径/文件名.asp
     http://localhost/hhh/index.asp
     http://10.11.109.204/hhh/index.asp

     用户名/密码：admin/admin

  5、配置服务器
      DefaultWebSite - ASP：启用父路径，应用
      默认应用程序池 - 高级：启用32位兼容

  6、放开数据权限
      data目录 - 属性 - 安全 - 编辑 - 添加：everyone：完全控制

  7、C:\Windows\temp：everyone：完全控制

  8、C:\Windows\ServiceProfiles\LocalService\AppData（隐藏）\Local\Temp：everyone：完全控制

  路径
      绝对路径：D:\ttt\images\aaa.jpg
      相对路径；.   当前路径
                ..  上一级路径

  12.17
    1.校验：
        前端：JS（只在浏览器生效）
        后端：绕开浏览器，抓包-改包-发包。目的：看后端校验是否生效

    2.前端代码：
        JS：必须要经过压缩（格式化处理）。目的：减少网络传输的数据流量 - 性能
            格式化：去除所以多余的空格、回车；名称进行缩减

    3.缓存（cache）：
        浏览的历史：页面（HTML）、JS、CSS、媒体资源（图片）、cookie
        测试：文件是否正确（进销存：多下载了一个缓存文件，原因：s->S）
              测试是否被格式化处理
        cookie:存储用户数据
               用途：广告   浏览的商品信息保存到cookie
                            广告位：针对你浏览的商品打广告
               Windows：回车键 CR LF
               Linux:   回车键 LF（cookie的格式）
               用途：购物车  记录购物商品信息
               测试：禁用与否

安全测试
  1.密码：加密（强度）
  2.抓包：敏感数据是否加密， 发包：验证服务器端是否有正确的校验
  3.XSS：跨站脚本攻击  <input ...>
  4.SQL注入：用户名：' or 1=1 or '=     密码：随意
  5.登录提示：用户名或密码错误
  6.绕过登陆直接访问里面的页面   cookie+session/token/JWT/OAuth2...

如何分辨登录的用户：
cookie
   缓存的cookie：存在浏览器端的硬盘（临时目录）中，存储：个人浏览的历史信息
   临时cookie：存在浏览器端的内存中（关机消失），存储：SessionID
session

“鉴权”过程：
  1. 浏览器向服务器发送第一个请求
  2. 服务器在自己内存中分配一块区间（Session 会话），同时为这个空间分配一个编号（SessionID）
     服务器将SessionID通过响应返回给浏览器
  3. 浏览器将SessionID存储在自己的临时cookie中（内存）
  4. 后续所有请求，浏览器均将此临时cookie一并再次传输给服务器
  5. 登录：如果登录成功，服务器将用户名信息（用户名/ID）存在该SessionID对应的Sesseion空间中
  6. 访问：当有一个请求访问服务器：
           1）.服务器从请求中取出SessionID
       2）.检查该ID对应的空间中，是否保存有用户信息
           保存：可以分辨该用户的身份
           没有：说明该用户没有经过登录，不允许访问
  7. 退出：清空session里面的内容（不是删除）
  8. 补充：session 会话（一段时间） 浏览器第一次请求开始 - 关闭浏览器结束
  9. 测试： 登录
           绕过登录，访问内部页面（内部页面判断session是否为空）
       退出，再次点击“后退”，是否可以再次进入系统（判断退出时是否请空session中的内容）
           非注册或登录页面：关闭Session（如网易首页）
           session 必须有过期时间