> Det er ikke et desideret spørgsmål - nærmere ønsket info:
> Hvordan laver man en login så den fungere optimalt? Jeg tænker alle kan
> finde ud af at lave noget ASP der kontakter en database men er der nogle
> sikkerhedsforanstaltninger der kan gøre det sværer fx at downloade
databasen
> eller noget andet som vil give adgang uden brugernavn og password...evt
> nogle ASP-scripts som er uundværelige af hensyn til sikkerhed mm.
Nu kan jeg jo kun sige, hvad jeg sådan cirka selv gør:
1. Databasen ligger udenfor områder med web-adgang på serveren, typisk sådan
at den ligger et niveau under mappen wwwroot. Dermed kan den kun adresseres
af serveren selv og ikke hentes af gæster. En del webhoteller kører derfor
med denne struktur:
T:\domæne\database
T:\domæne\wwwroot
hvor det kun er filer i mappen wwwroot, der er tilgængelige via http.
2. Ved login tjekkes op mod databasen og godkendes brugeren sættes en
sessions-variabel, der så kan tjekkes på de beskyttede sider. Det kan laves
med true/false eller med niveauer, hvis man har flere kategorier af
beskyttede sider. En par tidligere tråd behandler dette.
3. En del sider, der fx ændrer i en database med oplysninger, kan beskyttes
yderligere ved at man tjekker, at data kommer fra den rette side - hvis de
ikke gør det, er det tegn på snyd. Samtidig kan man sikre sig mod at en side
kaldes to gange med browserens 'tilbage-knap' imellem. Altså noget i stil
med:
Kildeside:
session.contents("kilde") = "retminadresse"
Destinationsside:
if not(session.contents("kilde") = "") then
response.redirect "/default.asp"
else
session.contents("kilde") = ""
end if
4. Kræver siderne et højt sikkerhedsniveau må man overveje at kryptere
adgangskoderne, så de ikke kan læses direkte i databasen - bare for det
tilfælde, at én med adgang til serveren skulle have skumle hensigter.
Kim
