ASP.NET 代码访问安全 (Code Access Security)

-

前两天我写了一篇关于ASP.NET程序权限的随笔，今天继续和大家讨论下代码访问安全。

代码访问安全(Code Access Security)，顾名思义，是用来限制代码的。它能限制代码能否被执行，进而来限制ASP.NET程序能执行什么样的操作。比如CAS限制你不允许使用FileIOPermission，那么ASP.NET程序便不能进行IO操作。同样，如果限制你使用SqlClientPermission，ASP.NET程序便不能进行SQL Server的操作。

CAS默认定义了5个不同的level，它们是Full，High，Medium，Low 以及Minimal。从Full到Minimal，权限越来越低。基本上在Full level的时候什么都能做，Minimal level的时候只能执行最基本的mangered code。在我们的ASP.NET程序中，trust level是在根目录下的web.config中配置的，如：<trust level="Full"/>，如果你没有配置的话，默认为Full level。今天以一个host admin的角色讲讲怎样通过CAS来保护server。大概有如下几个步骤：

1) 明确server上ASP.NET程序需要进行什么样的操作。
2) 从预定义好的5个级别中选择一个最适合的级别。
3) 如果没有合适的，自己定义一个级别。
4) 定义级别不允许被覆盖。
5) 测试效果。

 

第一步：明确server上ASP.NET程序需要进行什么样的操作。这是要根据host admin的来定的，在这方面我也没太多经验，这里不过多讨论。P.S. 如果你想知道你的ASP.NET程序需要什么样的权限，你可以通过一个.NET Framework自带的工具来查看。这个工具叫Permissions Calculator Tool，我们可以通过.NET Framework的命令窗口来调用它：

输入：percalc -show D:\MyProjects\Job\bin\Job.dll  回车

结果：工具会自动分析assembly里面每个type中的任一method所需要的权限，并把这个结果输出到同目录下的xml文件中。如：

 

第二步：从预定义好的5个级别中选择一个最适合的级别。根据需要，可以选择一个最适合的级别，如High，Medium等等。

第三步：如果没有合适的，自己定义一个级别。如果High级别比需要的权限要大，Medium又比需要的权限要小(e.g. RegistryPermission)怎么办？此时，我们可以考虑自定义一个级别。为了简单化，我们可以copy整个Medium policy，然后在其中添加上RegistryPermission，这样就成了我们自己的自定义level，还是很简单明了吧 :)

所有不同级别的配置文件都可以在 C:\Windows\Microsoft.NET\Framework\v2.0.50727\CONFIG 目录下找到。为了自定义一个machine-level的配置，我们可以在此目录创建一个新的xml文件，命名为custom.config，然后将web_mediumtrust文件内容都copy进去。这样我们的自定义级别就有了和Medium相同的权限。为了有更高的权限，我们需要将RegistryPermission手动添加进去。这个过程分为三个步骤：

1) 在<SecurityClass> section添加这段代码：

<SecurityClass Name="RegistryPermission"
 Description="System.Security.Permissions.RegistryPermission, 
mscorlib, Version=2.0.0.0, Culture=neutral, 
PublicKeyToken=b77a5c561934e089"/>

2) 在如下section中添加这段代码：

<PermissionSet
    class="NamedPermissionSet"
    version="1"
    Name="ASP.Net">
  
     <IPermission
         class="RegistryPermission"
         version="1"
         Unrestricted="true" />
  
</PermissionSet>

3) 将自定义级别定义到machine-level的web.config中：

<location allowOverride="true">
    <system.web>
      <securityPolicy>
       <trustLevel name="Full" policyFile="internal" />
       <trustLevel name="High" policyFile="web_hightrust.config" />
       <trustLevel name="Medium" policyFile="web_mediumtrust.config" />
       <trustLevel name="Low" policyFile="web_lowtrust.config" />
       <trustLevel name="Minimal" policyFile="web_minimaltrust.config" />
       <trustLevel name="Custom" policyFile="Custom.config" />
      </securityPolicy>
      <trust level="Full" originUrl="" />
     </system.web>
   </location>

 

第四步：定义级别不允许被覆盖。我们只需要将刚才的 allowOverride 设置为 false 即可。

第五步：测试效果。可以在本机新建一个ASP.NET程序，然后部署到本机的IIS中。然后可以测试下只有Full level或High level下可以访问的代码现在能否访问。以及除了Medium level的代码，RegistryPermission能否访问。

P.S. 这里有一篇非常好的MSDN文章就详细讲解了CAS，本文也参考了这篇文章。

Have a nice day!