将 asp.net 应用程序移植到单声道时的安全注意事项答案

【问题标题】：Security considerations when porting asp.net application to mono将 asp.net 应用程序移植到单声道时的安全注意事项
【发布时间】：2013-06-21 11:31:41
【问题描述】：

我在 ubuntu 12.04 lts 上设置了单声道 2.10。我还安装了 mono-apache-server4 和 mod-mono。我在 Visual Studio 中创建了一个简单的“hello world”mvc3 项目，然后将编译后的项目复制到 ubuntu。应用程序运行没有问题，但是当我尝试下载 http://mysite/app/bin/helloworld.dll 时，我很惊讶它成功了。

我显然可以调整 apache 设置以禁止访问 bin 文件夹，但我想知道：还有什么我应该保护单声道本身（与 apache 相比）内部是否有任何设施可以做那个？

如果没有标准方法，是否可以编写一个 MVC 路由来阻止访问不需要访问的文件？

【问题讨论】：

标签： asp.net asp.net-mvc-3 security mono

【解决方案1】：

你需要配置一个.htaccess来禁止访问敏感文件，你可以找到basic instructions for setting it up on the mono homepage

【讨论】：

是的，这有帮助，虽然我搜索了 mono 网站，但没有找到这个页面。谢谢你指出来。

【解决方案2】：

最初的防止从 bin 目录或任何其他特殊目录下载 dll 的保护是在 ASP.NET 注册期间放置在 IIS 上的。所以正如@miracledev 指出的那样，当您迁移到 Linux/Apache 时，您将不得不以新的方式（又名 Apache 方式）手动执行相同的保护，因为 Apache 的用途非常广泛，以至于它不知道这样的 ASP.NET具体要求。

如果您使用 ASP.NET 特定的 Web 服务器解决方案，例如 Jexus Web Server，则默认情况下会提供此类保护。

【讨论】：

我没有办法将中文闭源混淆网络服务器放在我的盒子上！不过谢谢你的建议。
IIS 也正是你所说的闭源混淆 Web 服务器，所以我认为在评估服务器产品时这不是一个重要的问题。无论如何，我只是将 Jexus 列为示例，我并不是说您必须使用它。