Obscure Role zprostředkovatele ASP.NET je




Plz odkazují na [tento](https://stackoverflow.com/questions/1333508/asp-net-usertype-wise-page-access) předchozí příspěvek dolu.


Studoval jsem poskytovatele členství ASP.NET je.


Teď jsem třeba studovat, jak používat role zprostředkovatele zařízení ASP.NET v kombinaci s ověřováním formulářů.


Já jsem studovat téma Provider Role MSDN. Bylo to užitečné pro začátečníky, jako obvykle.


Také jsem hledal Google. To bylo také porucha.


Může někdo plz mi poskytnout s libovolného webového odkazu, který vysvětlil poskytovatele role s jasným, kompletní a připraven ke spuštění ASP.NET (C #) například?
Můžete si přečíst více informací o celé ověřování formulářů, členství ans rolí v [ASP .NET Zabezpečení](http://www.asp.net/learn/security/)
tipnul bych si taky na problém s právy u zvoleného účtu NT AUTHORITY\Network Servicezkuste je překontrolovat: [https://msdn.microsoft.com/en-us/library/ms143504.aspx](https://msdn.microsoft.com/en-us/library/ms143504.aspx#Serv_Perm) Často toto je provedeno pomocí [„Data Driven odběry“](https://msdn.microsoft.com/en-us/library/ms169673.aspx) , ale tato funkce je k dispozici pouze v některých SQL vydáních: Enterprise a Business Intelligence, ale ne v normě.


Takže existuje celá řada kreativních řešení. Ale nemám rád žádné z nich, a všechny vyžadují spravedlivý trochu práce mimo SSRS.


Mezi řešení, které jsem viděl, patří: Vytvoření odběr a potom zakázání nebo povolení SQL úlohu, kterou odešle předplatné (identifikovatelné podle GUID).


Vytvořte si .NET obálky exe zvládnout odeslání e-mailu. Je možné spustit dotaz nejprve zjistit, kolik se vrací řádky, a pak v případě potřeby generovat zprávu a zahrnout do e-mailu. <p>myslím, že otázka je:</p><blockquote> <p>"jak mohu získat přesně to, co chci od svých uživatelů tím, že jim vstup nesmyslně usnadní?"</p> </blockquote><p>jedinou instancí, kde vidím uživatele, kteří skutečně potřebují používat html přímo v nějaké formě vstupu, je, když/pokud formátují tabulková data. v takovém případě je však mnohem snazší dát jim formu, která dokáže udělat totéž, nebo jakoukoli z populárních sítí dostupných v různých knihovnách.</p><p>myslím, že zlatým pravidlem je, alespoň pro mě, použití systému značkování, které není html, které mohou vaši zpracovatelé formulářů použít k vytvoření krásného, ​​standardu vyhovujícího a sémanticky správného html.</p><p>skenery třetích stran mohou (obvykle) detekovat většinu problémů s nahranými soubory. osobně se mi líbí clamav - který je k dispozici pro * nix i windows.</p><p>to řeší problém zajistit, že je vše uspořádáno pěkně, správně naformátováno a návštěvníkům nejsou podávány žádné nežádoucí věci, nebo je to tak?</p><p>druhou věcí, kterou musíte udělat, je zkontrolovat jakýkoli obsah, který předloží, člověk musí mít na tom nějakou roli, nebo bude něco chybět. je tento obrázek vhodný? vede tento odkaz k malwaru nebo k něčemu jinému, na co byste raději nechtěli odkazovat? atd.</p><p>poskytnutí mechanismu označování pomáhá, ale není vždy účinné. pokud například na stackoverflow.com odpovíte na dvouletou otázku, otázka se okamžitě přesune na titulní stránku, kde komunita určitě zkontroluje, co bylo právě přidáno. ne všechny systémy jsou navrženy s ohledem na tento druh ochrany.</p><p>pokud uděláte značné množství svazku, pokud jde o obsah příspěvků od uživatelů, pravděpodobně stojí za to prozkoumat pomocí dodavatelů, kteří jednoduše zkontrolují podání a ujistí se, že nevhodná média/odkazy jsou rychle vyřazeny. nebo si možná můžete vyhledat pomoc od své komunity uživatelů (pokud existuje), aby udělali totéž, výměnou za nějaký druh zvláštních privilegií nebo výhod, které běžní uživatelé nemají rádi.</p> <p>vyvinul jsem skutečné aplikace s oběma rails a asp.net mvc), ale tato odpověď přichází se značnou výzvou: naučil jsem se a vyvíjel se s předběžnou verzí 2 rails, takže je zcela možné, že jsem jsem nesmírně zastaralý díky mým znalostem rails).</p><p>jak už bylo řečeno, nemyslím si, že existuje <em> cokoli </em>, které lze s jedním, ale ne s druhým. vzhledem k jakémukoli souboru požadavků na webovou aplikaci byste měli být schopni sestavit tuto aplikaci - pravděpodobně stejně efektivně - pomocí rails nebo asp.net mvc).</p><p>existuje několik úhledných věcí, které - podle mého nejlepšího vědomí - jsou k dispozici v asp.net mvc hlavně kvůli aspektům c # /. net. například: když mám stránku, která obsahuje odeslaný formulář, mám akci, která zkontroluje, zda se jedná o get, nebo post), abych rozhodla, co dělat:</p><pre><code>def edit @item = item.find(params[:id]) if request.post? @item.update\_attributes(params[:item]) redirect\_to :action =&gt; 'edit', :id =&gt; @item.id end end </code></pre><p>toto je triviální příklad, ale <code>if request.post?</code> vzor je v rails velmi běžný. v netriviálních případech může být kód akce velký a chaotický a často bych si přál, abych ho mohl čistě promítnout do samostatných metod. v asp.net mvc to mohu udělat:</p><pre><code>public actionresult edit() { // render my page that has the edit form ... } [httppost] public actionresult edit(foothing foo) { // save my foothing data ... } </code></pre><p>myslím, že schopnost čistě oddělit vyřizování žádostí get a post žádostí) je elegantní. váš počet najetých kilometrů se může lišit.</p><p>další věc, kterou asp.net mvc dělá, že je super v pohodě (opět podle mého názoru), souvisí také s manipulací s posts. v rails musím dotazovat <code>params</code> hash pro všechny mé proměnné formuláře. řekněme, že mám formulář s poli „status“, „gonkulated“, „invert“ a „dispozice“:</p><pre><code>def edit @item = item.find(params[:id]) if params[:status] == "new" ... else ... end if params[:gonkulated] == "true" ... else ... end if params[:invert] == "true" ... else ... end # rest ommited for brevity end </code></pre><p>ale asp.net mvc úhledně mi umožňuje získat všechny hodnoty formuláře jako parametry mé metody akce:</p><pre><code>[httppost] public actionresult edit(int id, string status, bool gonkulated, bool invert, int disposition) { ... } </code></pre><p>to jsou dvě věci, které se mi na asp.net mvc nebo rails opravdu líbily. <strong><em> nestačí, aby si nějaký rozumný nebo kompetentní vývojář vybral jeden rámec nad druhým. </em></strong></p> pouzivas proxy, ktera je otevrena k pouziti pro vsechny v internetu, muze to byt treba anonymizer. V současné době jsou v kurzu SQL dartabáze. Takže pokud se chceš uplatnit, tak MS-SQL, Interbase, ORACLE, popř. nějaké ty internetové jako např. MySQL, PostgreeSQL apod. Každá databáze má vlastní programovací jazyk pro uložené procedury, vlastní datové typy apod.Program, ve kterém budeš vyvíjet soft je opět něco jiného. Ten většinou je univerzální a umí přistupovat k jakékoliv databázi.V současné době, pokud bych začínal, tak bych se orientoval směrem .NET a C#. <p>použil jsem to poprvé na projektu a opravdu se mi líbí axure. je zde prostor pro zlepšení, ale dovolte mi začít s profesionály:</p><ul> <li>jednoduché nástroje, které vám pomohou při vytváření drátových modelů a vývojových diagramů</li> <li>přizpůsobitelné poznámky na stránce. změnil jsem a přidal k různým typům poznámek na stránce. mám (poznámky k návrhu, poznámky k vizuálnímu designu, technické poznámky, poznámky k obsahu, moje poznámky). toto jsou poznámky, které doprovázejí každý drátový model.</li> <li>přizpůsobitelné specifikace doc. mohu publikovat verzi pro svého grafického návrháře ... např. v nastavení specifikace zapnu „poznámky k vizuálnímu designu“ a vypnu ostatní, které se na grafického návrháře nevztahují.</li> <li>vytvořte si vlastní knihovny ... pro widgety, které často používáte</li> <li>anotace prvků drátového modelu jsou snadné a přizpůsobitelné</li> <li>interakce prvků (pro prototypování a komunikaci s programátory)</li> <li>můžete vytvořit hlavní prvky, které jsou na stránkách běžné (například postranní panel)</li> <li>pro projekt drátového modelu můžete použít svn (kontrola verze), takže na sadě drátových modelů může pracovat více lidí. (pro mě to bylo velké plus)</li> <li>zákaznický servis je skvělý. obvykle se ke mně vrátí během několika hodin. když jsem ji poprvé začal používat, měl jsem několik otázek, které nebyly v tutoriálech zřejmé, takže jsem poslal e-mailem jejich zákaznický servis.</li> </ul><p>líbí se mi, že axure usnadňuje nudné věci při vytváření drátových modelů, takže se můžete soustředit na wireframing a přemýšlet o uživatelském rozhraní.</p><p>nevýhody:</p><ul> <li>vaše specifikace je dokument aplikace word. v minulosti jsme naše návrhové dokumenty upravili hezčí, než to, co vám word umožňuje, ale pak je kompromis, že trávíte spoustu času pokusem o formátování dokumentu. (to je pro mě menší podvod)</li> <li>právě teď nemůžete otočit prvky na obrazovce. (můžete měnit měřítko a pohybovat)</li> <li>někdy považuji výběr objektů na různých z-indexech za frustrující</li> <li>nemají vrstvy ... může být užitečné</li> </ul> <p>to záleží na tom, zda máte obavy z odsouzení, nebo vyřizování pravděpodobné příčiny (v usa).</p><p>předpokládejme, že jste doma. spustíte vpn a připojíte se k poskytovateli vpn mimo lokalitu. pokud sleduji odchozí provoz (z vašeho domu), vím, že jste se právě připojili k určité ip adrese a že ip adresa je poskytovatel vpn. všechno uvnitř užitečného zatížení paketu je šifrováno.</p><p>poté se rozhodnete, když budete doma, zkontrolovat svůj e-mail. stává se, že sleduji odchozí provoz od poskytovatele vpn (který není šifrovaný). zaznamenávám to vše pomocí odfrknutí a spustím wireshark proti výstupu. vidím spojení s vaší e-mailovou adresou a napsaný e-mail. to může být chráněno ssl, pokud je to webmail. pokud se jedná o běžný e-mail, je to pravděpodobně prostý text. pokud to není prostý text, mohu se pokusit zachytit ho v přijímači. e-mail nemá žádný právní význam (tj. nepoužíváte jej k plánování něčeho nezákonného). všiml jsem si však skutečnosti, že zaměňujete použití jejich, tam a tam jsou. všimnu si také několika idiomů, které chcete použít.</p><p>během sledování odchozího provozu vidím, že váš účet psal několik e-mailů. zaznamenávám vzory překlepů a další postavy řeči. sbírám je po dobu jednoho měsíce nebo dvou.</p><p>potom jsem vložil položky, které si všimnu, do wireshark. přidávám několik věcí, o kterých je vám známo. pokaždé, když dojde k překlepu nebo použití idiomu (který používáte) najdete v obsahu jakéhokoli paketu, který vychází z vpn služby, kterou používáte, vidím to.</p><p>za další měsíc nebo dva mám spoustu datových bodů. některé jsou weby, na které jste šli, jiné ne. první věc, kterou udělám, je odstranění všech datových bodů, které opustily poskytovatele služeb vpn, když jste nebyli online (tj. neviděl jsem vás online z domova, nezapomeňte, že jsem začal sledováním tohoto připojení).</p><p>pak se podívám na zbývající provoz a uvidím, jestli mám nějaké body clusteru. spousta opakujících se témat. stejný předmět přes over. porovnávám to s vaším nešifrovaným provozem a vaším e-mailem.</p><p>neaplikoval jsem dostatek filtrů, abych tě izoloval od hluku (lidé, kteří používají stejné idiomy/pravopisné chyby jako ty), ale měl bych dobrý důvod pro pravděpodobnou příčinu. pokud mám dostatek referenčních bodů, je to jako otisk prstu.</p><p>v podstatě aplikuji bayesovskou analýzu na korpus práce, abych uvedl něco o pravděpodobnosti, že věřím, že příkladem bude člen souboru vytvořeného mým podezřelým. sbírka děl, která bych srovnávala, pochází z jakékoli práce, za kterou podezřelý veřejně uznal, že za ni odpovídá. tato analýza je dobře známa (a existuje i celá statistika stackexchange webu).</p><p>nechám tě odpovědět, s čím bych v tuto chvíli přišel?</p> <p>„zástupný certifikát“ je certifikát, který obsahuje jako možný název serveru název obsahující „<code>*</code> "znak. podrobnosti jsou v <a href="http://tools.ietf.org/html/rfc2818#section-3.1">rfc 2818, oddíl 3.1</a> . sečteno a podtrženo: když certifikát serveru obsahuje <code>*.example.com</code>, bude přijato <strong>klienty</strong> jako platný certifikát pro jakýkoli server, jehož <em> zjevné jméno </em> odpovídá tomuto jménu.</p><p>v oblasti certifikace webových stránek existují čtyři hlavní aktéři:</p><ul> <li>samotný server ssl.</li> <li>prodejce webového prohlížeče, který bude klient používat.</li> <li>lidský uživatel, který do určité míry řídí, co bude klientský prohlížeč dělat.</li> <li>ca, který vydal certifikát serveru.</li> </ul><p>zástupné certifikáty nenaznačují další zranitelnosti serveru ssl; ssl server opravdu nemá zájem na pohledu na svůj vlastní certifikát. tento certifikát je ve prospěch klientů, aby je přesvědčil, že veřejný klíč obsažený v certifikátu je skutečně veřejným klíčem pravého serveru ssl. server ssl <em> zná </em> vlastní pár veřejných/soukromých klíčů a nemusí o tom být přesvědčen.</p><p>lidský uživatel netuší, co je veřejný klíč. co vidí, je ikona visacího zámku a co je důležitější, <strong>zamýšlený název server</strong>: to je jméno napravo od "<code>https://</code> "a před další" <code>/</code> ". webový prohlížeč <em> předpokládá </em> zpracování technických údajů o ověření správnosti názvu, tj. ověření certifikátu serveru a ověření, zda se název shoduje s názvem, který je zapíše-li se do uvedeného certifikátu. pokud prohlížeč tuto úlohu neprovede, bude považován za nedbalý a nepřevezme svou roli, což může mít vážné obchodní důsledky, možná i legální. obdobně je ca smluvně vázán dodržováním stanovených postupů pro identifikaci vlastníků ssl serverů, aby bylo pro útočníky obtížné získat falešné certifikáty (smlouva je mezi ca a jeho über-ca, rekurzivně, až na kořenovou ca, která je sama vázána paktem s os nebo prodejcem prohlížeče, který přijato za účelem zahrnutí kořenového klíče ca do os nebo prohlížeče za definovaných podmínek).</p><p>to znamená, že prohlížeč <em> </em> a <em> [~ # ~] ca [~ # ~] </em> musí v praxi , rozmazlovat uživatele procesem ověření. jsou více či méně povinni (ze zákona nebo, ještě přísněji, z obchodních důvodů), aby zabránili podvodníkovi uživatele pomocí falešných stránek, které vypadají oprávněně. hranice mezi úlohou uživatele a úlohou prohlížeče/ca není jasně definována a historicky se posunula. v days of yore, myslím asi před deseti lety, prohlížeče vytiskly pouze nezpracovanou url a bylo na lidském uživateli, aby v něm našel název serveru. to vedlo kované operátory webů (tj. „phishingové weby“) k použití url, které jsou technicky platné, ale zavádějící, jako je tato:</p><pre><code>https://www.paypal.com:payment-interface-login-session@xcvhjvb.com/confirm.html </code></pre><p>vzhledem k tomu, že lidští uživatelé jsou <em> lidé </em> a většina z nich čte zleva doprava (nejbohatší a naivní podvodné cíle jsou stále v západních zemích), začnou na vlevo, viz <code>www.paypal.com</code>, zastavte se u dvojtečky („příliš technické“) a buďte scammed.</p><p>v reakci na to dodavatelé prohlížečů uznali, že schopnosti lidských uživatelů analyzovat url nejsou tak dobré, jak se původně předpokládalo, a proto poslední prohlížeče zvýrazňují část domény. ve výše uvedeném případě by to bylo <code>xcvhjvb.com</code> a rozhodně ne nic s <code>paypal.com</code> v tom. nyní přichází část, kde <strong>zástupné certifikáty</strong> vstoupit do hry. pokud majitel <code>xcvhjvb.com</code> koupí zástupný certifikát obsahující "<code>*.xcvhjvb.com</code> ", pak může nastavit phishingový web s názvem:</p><pre><code>https://paypal-payment-interface-login-session.xcvhjvb.com/confirm.html </code></pre><p>který bude prohlížečem přijat (odpovídá názvu zástupného znaku) a bude stále pravděpodobně zachycovat nežádoucí uživatele (a je jich mnoho ...). toto jméno <em> mohl útočník koupit </em>, aniž by se uchýlil k zástupným znakům, ale pak by zaměstnanci ca viděli jméno se zjevným podvodným pokusem (dobrý ca <em> do </em> ověření platnosti každé žádosti o osvědčení člověkem nebo alespoň upozorňování na jména, která jsou velmi dlouhá a/nebo obsahují v nich známé názvy bank).</p><p>proto <strong>zástupné certifikáty snižují účinnost opatření proti podvodům na straně ca</strong>. je to jako prázdný podpis od ca. pokud budou pokusy o phishing na základě zástupných znaků běžnější, lze očekávat, že bude existovat jedno nebo několik z následujících opatření:</p><ul> <li>prohlížeče zvýrazňují pouze části názvu domény, které se shodují s <em> prvky, které nejsou v zástupném znaku </em> v certifikátu.</li> <li>ca vyžadují těžší papírování a smlouvy pro zástupné certifikáty (a ty budou dražší).</li> <li>prohlížeče zcela deaktivují podporu pro zástupné certifikáty.</li> </ul><p>ve skutečnosti očekávám, že všechna tři opatření budou použita v příštích letech. mohl bych se o tom úplně mýlit (to je problém s předpovídáním budoucnosti), ale tohle je pořád můj pocit střeva.</p><hr><p>můžeme také zdůraznit, že zástupné certifikáty jsou užitečné pro sdílení stejného páru klíčů mezi různými názvy serverů <em> </em>, což zvyšuje pravděpodobnost, že soukromý klíč bude sdílen mezi různými servery. <em> stroje </em>. cestování soukromými klíči je samo o sobě bezpečnostním rizikem; čím více soukromý klíč putuje, tím méně „soukromý“ zůstává.</p> Hľadaj na internete online stránky pod pojmom "speech to text"... napríklad [http://www.cnet.com/how-to/how-to-use-chromes...](http://www.cnet.com/how-to/how-to-use-chromes-speech-to-text/)