博客园_Ants' Blog

javascript 获取 URL 的 queryString

2011-08-23T04:18:00Z

function GetQueryString(name) {
           var reg = new RegExp("(^|&)" + name + "=([^&]*)(&|$)");
           var r = window.location.search.substr(1).match(reg);
           if (r != null) return unescape(r[2]); return null;
       }

本文链接

C#取汉字首字母

2011-07-06T07:51:00Z

#region 取中文首字母
        public static string GetFirstLetter(string paramChinese)
        {
            string strTemp = "";
            int iLen = paramChinese.Length;
            int i = 0;

            for (i = 0; i <= iLen - 1; i++)
            {
                strTemp += GetCharSpellCode(paramChinese.Substring(i, 1));
            }

            return strTemp;

        }

        /// <summary> 
        /// 得到一个汉字的拼音第一个字母，如果是一个英文字母则直接返回大写字母 
        /// </summary> 
        /// <param name="CnChar">单个汉字</param> 
        /// <returns>单个大写字母</returns> 
        private static string GetCharSpellCode(string paramChar)
        {
            long iCnChar;

            byte[] ZW = System.Text.Encoding.Default.GetBytes(paramChar);

            //如果是字母，则直接返回 
            if (ZW.Length == 1)
            {
                return paramChar.ToUpper();
            }
            else
            {
                // get the array of byte from the single char 
                int i1 = (short)(ZW[0]);
                int i2 = (short)(ZW[1]);
                iCnChar = i1 * 256 + i2;
            }

            //expresstion 
            //table of the constant list 
            // 'A'; //45217..45252 
            // 'B'; //45253..45760 
            // 'C'; //45761..46317 
            // 'D'; //46318..46825 
            // 'E'; //46826..47009 
            // 'F'; //47010..47296 
            // 'G'; //47297..47613 

            // 'H'; //47614..48118 
            // 'J'; //48119..49061 
            // 'K'; //49062..49323 
            // 'L'; //49324..49895 
            // 'M'; //49896..50370 
            // 'N'; //50371..50613 
            // 'O'; //50614..50621 
            // 'P'; //50622..50905 
            // 'Q'; //50906..51386 

            // 'R'; //51387..51445 
            // 'S'; //51446..52217 
            // 'T'; //52218..52697 
            //没有U,V 
            // 'W'; //52698..52979 
            // 'X'; //52980..53640 
            // 'Y'; //53689..54480 
            // 'Z'; //54481..55289 

            // iCnChar match the constant 
            if ((iCnChar >= 45217) && (iCnChar <= 45252))
            {
                return "A";
            }
            else if ((iCnChar >= 45253) && (iCnChar <= 45760))
            {
                return "B";
            }
            else if ((iCnChar >= 45761) && (iCnChar <= 46317))
            {
                return "C";
            }
            else if ((iCnChar >= 46318) && (iCnChar <= 46825))
            {
                return "D";
            }
            else if ((iCnChar >= 46826) && (iCnChar <= 47009))
            {
                return "E";
            }
            else if ((iCnChar >= 47010) && (iCnChar <= 47296))
            {
                return "F";
            }
            else if ((iCnChar >= 47297) && (iCnChar <= 47613))
            {
                return "G";
            }
            else if ((iCnChar >= 47614) && (iCnChar <= 48118))
            {
                return "H";
            }
            else if ((iCnChar >= 48119) && (iCnChar <= 49061))
            {
                return "J";
            }
            else if ((iCnChar >= 49062) && (iCnChar <= 49323))
            {
                return "K";
            }
            else if ((iCnChar >= 49324) && (iCnChar <= 49895))
            {
                return "L";
            }
            else if ((iCnChar >= 49896) && (iCnChar <= 50370))
            {
                return "M";
            }

            else if ((iCnChar >= 50371) && (iCnChar <= 50613))
            {
                return "N";
            }
            else if ((iCnChar >= 50614) && (iCnChar <= 50621))
            {
                return "O";
            }
            else if ((iCnChar >= 50622) && (iCnChar <= 50905))
            {
                return "P";
            }
            else if ((iCnChar >= 50906) && (iCnChar <= 51386))
            {
                return "Q";
            }
            else if ((iCnChar >= 51387) && (iCnChar <= 51445))
            {
                return "R";
            }
            else if ((iCnChar >= 51446) && (iCnChar <= 52217))
            {
                return "S";
            }
            else if ((iCnChar >= 52218) && (iCnChar <= 52697))
            {
                return "T";
            }
            else if ((iCnChar >= 52698) && (iCnChar <= 52979))
            {
                return "W";
            }
            else if ((iCnChar >= 52980) && (iCnChar <= 53688))
            {
                return "X";
            }
            else if ((iCnChar >= 53689) && (iCnChar <= 54480))
            {
                return "Y";
            }
            else if ((iCnChar >= 54481) && (iCnChar <= 55289))
            {
                return "Z";
            }
            else return ("?");
        }

        #endregion

本文链接

解决“找不到请求的 .Net Framework 数据提供程序。可能没有安装”的问题

2011-03-24T04:05:00Z

在使用subsonic 3时，如果不完整安装SQLite的SDK包，直接在项目中使用System.Data.SQLite将引发上述错误。

原因是：是 DBproviderfacotories 没有导致

解决的办法是手动在配制文件中指定，代码如下：

1 <system.data>
2     <DbProviderFactories>
3       <remove invariant="System.Data.SQLite"/>
4       <add name="SQLite Data Provider" invariant="System.Data.SQLite" description=".Net Framework Data Provider for SQLite" type="System.Data.SQLite.SQLiteFactory, System.Data.SQLite" />
5     </DbProviderFactories>
6   </system.data>

本文链接

IIS Express的安装与设置讲解

2011-02-25T08:31:00Z

最近在做一些Web方面调研的时候我基本上都不用 IIS了，IIS Express 实在是很方便，由于目前还是 BETA版本，有些功能界面上还看不见，网上资料也很少，所以我把我之前的一点经验写出来。
关注 IIS Express 的最初原因是希望将我们的一个产品部署到 Windows XP Professional上，要知道 2003 Server的价格和 Pro差距还是很大的，对于大批量部署的产品来说，这对产品利润影响相当大。由于我们在开发时使用了 MVC，这个在 XP Pro自带的 IIS5.1上部署，一方面程序要做相应的处理，还需要部署 URL Rewriter之类的东西，相当麻烦，解决了服务器费用，只怕又会带来开发人员出差的费用。
有了 IIS Express，问题基本可全部解决，主要关注的是下面的几个问题：
1. 允许远程访问
2. 要可以支持创建虚拟目录
3. 可以支持运行多个 Web Application
4. 我们的产品是在学校的局域网部署，性能上应满足至少几十人并发要求
1. 安装部署
下载地址：http://www.microsoft.com/web/webmatrix/ , IIS Express 是随 Web Matrix 一起发布的，安装Microsoft Web Platform Installer 后，就可以选择安装 IIS Express（英文版中有 IIS Express可以选择，中文版中直接选 Web Matrix）。
介绍可参考Scott博客：http://weblogs.asp.net/scottgu/archive/2010/06/28/introducing-iis-express.aspx
IIS Express overview：http://learn.iis.net/page.aspx/868/iis-developer-express-overview/
从开始菜单运行 Web Matrix 后默认会自动启动一个Web 站点，管理界面比较简单，可以直接将某个目录创建为Web站点。
实际我在使用的时候，基本都是以命令行方式运行的，一般我只用到下面几个参数：
iisexpress [/config:config-file] [/site:site-name] [/systray:boolean]
配置文件可直接基于默认的配置文件修改，默认使用的配置文件是在 [我的文档]\IISExpress8\config\applicationhost.config
我现在的用法是直接将 Web Matrix所在目录打包放到光盘上，配置文件随应用程序发布，然后分别创建两个批处理文件，用以启动和停止IIS Express服务，非常方便，批处理内容大概就像这样：
启动：start F:\Projects\MicrosoftWebMatrix\iisexpress /config:F:\Projects\XXX\applicationhost.config /systray:true /site:MTLOralDemo
停止：TASKKILL /F /IM iisexpress.exe /T
其他机器根本不需要再安装Web Matrix,，只要装了.Net Framework直接运行就可以了。
2. 远程访问设置
找到配置文件中 sites\site\bindings 默认是绑定到 localhost 80端口，如果需要其他机器可以访问，绑定到指定IP地址就可以了。
<binding protocol="http" bindingInformation="*:8080:192.168.79.166" />
3. 虚拟目录设置
类似于下面这样：
<site name="AppService" id="1280170558">
    <application path="/" applicationPool="Clr2IntegratedAppPool">
        <virtualDirectory path="/" physicalPath="C:\IISExpress\DemoApp\empty" />
    </application>
    <application path="/AppService" applicationPool="Clr2IntegratedAppPool">
        <virtualDirectory path="/" physicalPath="C:\IISExpress\DemoApp\AppService" />
    </application>
    <bindings>
        <binding protocol="http" bindingInformation="*:8088:192.168.79.166" />
    </bindings>
</site>
我尝试过多个virtualDirectory节点，但发现Web Application不能正常工作，而且多个虚拟目录也不是使用独立的 Web.config，后来通过配置application 解决。
如果站点有Spring之类的东西，运行时会出现错误，请将 applicationPool 配置成 Clr2ClassicAppPool。
4. 配置多个站点
多个站点只要配置多个 site 节点就可以了，具体配置都差不多，但多个站点需要使用不同的端口。
如果需要同时运行多个站点，在批处理中再增加几条修改相应的参数就行了，相当于同时运行多个 iis express 实例。
5. 性能测试结果
分别做了以下测试，测试结果性能满足要求：
1. 写了个简单测试页面，使用Load Runner 进行200路并发压力测试，进行了2小时。
2. 正式产品部署，我们的产品总共运行了9个 iis express进程，分别侦听在8080~8089端口，我们整个部门几十个人同时模拟用户访问站点并实际使用。

本文链接

控制‘控制台应用程序’的关闭操作

2011-01-14T07:59:00Z

控制台程序足够简洁，但是，经常会点错而误关闭。而且，如果系统关闭，或者用户注销，这时候任务还没完成的话，前面的运算电费就白出了。
有没有办法和WinForm一样，对控制台的退出事件进行控制呢？有的！
引入下面的函数

public delegate bool HandlerRoutine(int dwCtrlType);

[DllImport("kernel32.dll", CharSet = CharSet.Auto)]
public static extern bool SetConsoleCtrlHandler(HandlerRoutine HandlerRoutine, bool add);

委托HandlerRoutine，就是把函数的指针传递给系统API函数SetConsoleCtrlHandler。这是个典型的回调函数。
然后在Main方法中调用

Program p = new Program();
if (!SetConsoleCtrlHandler(p.HandlerRoutineMethod, true))
{
    Console.WriteLine("Unable to install event handler!\n");
}

const int CTRL_C_EVENT = 0;
    const int CTRL_BREAK_EVENT = 1;
    const int CTRL_CLOSE_EVENT = 2;
    const int CTRL_LOGOFF_EVENT = 5;
    const int CTRL_SHUTDOWN_EVENT = 6;

    public bool HandlerRoutineMethod(int dwCtrlType)
    {
        Console.WriteLine(dwCtrlType.ToString());
        switch (dwCtrlType)
        {
            case CTRL_C_EVENT:
                return true;
            case CTRL_BREAK_EVENT:
                return false;
            case CTRL_CLOSE_EVENT:
                Console.WriteLine("确实要退出程序么？如果需要退出，请输入'exit'。");
                return true;
            case CTRL_LOGOFF_EVENT:
                //用户退出
                return false;
            case CTRL_SHUTDOWN_EVENT:
                //系统关闭
                return false;
        }
        return true;
    }

HandlerRoutineMethod函数，就是系统的真实回调。如果返回的结果为false,则程序关闭，否则，不会关闭。
这里只在CTRL_BREAK_EVENT(按下Ctrl+Break)，CTRL_LOGOFF_EVENT用户退出，和系统关闭 CTRL_SHUTDOWN_EVENT，事件时，调用了return false,也就是说，这个时候会关闭。但是在关闭之前我们可以做一些操作。
试想这样的情况，这个任务可能需要运行很长时间，要能在程序关闭的时候有个保存当前进度的方法，那么就可以采用以上操作了。
来看个完整的代码

class Program
{
    static void Main(string[] args)
    {
        Program p = new Program();
        if (!SetConsoleCtrlHandler(p.HandlerRoutineMethod, true))
        {
            Console.WriteLine("无法注册系统事件!\n");
        }

        while (true)
        {
            string s = Console.ReadLine();
            if (s == "exit")
                GenerateConsoleCtrlEvent(p.CTRL_BREAK_EVENT, 0);
        }
    }

    const int CTRL_C_EVENT = 0;
    const int CTRL_BREAK_EVENT = 1;
    const int CTRL_CLOSE_EVENT = 2;
    const int CTRL_LOGOFF_EVENT = 5;
    const int CTRL_SHUTDOWN_EVENT = 6;

    public bool HandlerRoutineMethod(int dwCtrlType)
    {
        Console.WriteLine(dwCtrlType.ToString());
        switch (dwCtrlType)
        {
            case CTRL_C_EVENT:
                return true;
            case CTRL_BREAK_EVENT:
                Save();
                return false;
            case CTRL_CLOSE_EVENT:
                Console.WriteLine("确实要退出程序么？如果需要退出，请输入'exit'。");
                return true;
            case CTRL_LOGOFF_EVENT:
                //用户退出
                Save();
                return false;
            case CTRL_SHUTDOWN_EVENT:
                //系统关闭
                Save();
                return false;
        }
        return true;
    }

    void Save()
    {
        //保存当前进度
    }

    public delegate bool HandlerRoutine(int dwCtrlType);

    [DllImport("kernel32.dll", CharSet = CharSet.Auto)]
    public static extern bool SetConsoleCtrlHandler(HandlerRoutine HandlerRoutine, bool add);

    [DllImport("kernel32.dll", CharSet = CharSet.Auto)]
    public static extern bool GenerateConsoleCtrlEvent(int code, int value);
}

先是用SetConsoleCtrlHandler方法，设置了HandlerRoutineMethod为他的回调函数。那么当有事件过来的时候，会先调用这个方法。这个方法return false，则窗体关闭，true，则窗体不关闭。
GenerateConsoleCtrlEvent方法是通知系统事件的。我们这里假设，只有用户输入exit,或者按Ctrl+Break的时候程序退出。对于用户退出和系统关闭，只是保存当前进度。
在while 循环中，如果用户输入exit命令，则通知系统调用回调函数HandlerRoutineMethod，调用的事件是Ctrl+Break。
现在控制台是不是比以前好用了很多呢？:)

本文链接

使用Nginx的proxy_cache缓存功能取代Squid

2010-12-31T04:03:00Z

[原文链接：http://blog.s135.com/nginx_cache/]
　　Nginx从0.7.48版本开始，支持了类似Squid的缓存功能。这个缓存是把URL及相关组合当作Key，用md5编码哈希后保存在硬盘上，所以它可以支持任意URL链接，同时也支持404/301/302这样的非200状态码。虽然目前官方的Nginx Web缓存服务只能为指定URL或状态码设置过期时间，不支持类似Squid的PURGE指令，手动清除指定缓存页面，但是，通过一个第三方的Nginx模块，可以清除指定URL的缓存。
　　Nginx的Web缓存服务主要由proxy_cache相关指令集和fastcgi_cache相关指令集构成，前者用于反向代理时，对后端内容源服务器进行缓存，后者主要用于对FastCGI的动态程序进行缓存。两者的功能基本上一样。
　　最新的Nginx 0.8.32版本，proxy_cache和fastcgi_cache已经比较完善，加上第三方的ngx_cache_purge模块（用于清除指定URL的缓存），已经可以完全取代Squid。我们已经在生产环境使用了 Nginx 的 proxy_cache 缓存功能超过两个月，十分稳定，速度不逊于 Squid。
　　在功能上，Nginx已经具备Squid所拥有的Web缓存加速功能、清除指定URL缓存的功能。而在性能上，Nginx对多核CPU的利用，胜过Squid不少。另外，在反向代理、负载均衡、健康检查、后端服务器故障转移、Rewrite重写、易用性上，Nginx也比Squid强大得多。这使得一台Nginx可以同时作为“负载均衡服务器”与“Web缓存服务器”来使用。

　　1、Nginx 负载均衡与缓存服务器在 Linux 下的编译安装：

ulimit -SHn 65535
wget ftp://ftp.csx.cam.ac.uk/pub/software/programming/pcre/pcre-8.00.tar.gz
tar zxvf pcre-8.00.tar.gz
cd pcre-8.00/
./configure
make && make install
cd ../
wget http://labs.frickle.com/files/ngx_cache_purge-1.0.tar.gz
tar zxvf ngx_cache_purge-1.0.tar.gz
wget http://nginx.org/download/nginx-0.8.32.tar.gz
tar zxvf nginx-0.8.32.tar.gz
cd nginx-0.8.32/
./configure --user=www --group=www --add-module=../ngx_cache_purge-1.0 --prefix=/usr/local/webserver/nginx --with-http_stub_status_module --with-http_ssl_module
make && make install
cd ../

　　2、/usr/local/webserver/nginx/conf/nginx.conf 配置文件内容如下：

user www www;
worker_processes 8;
error_log /usr/local/webserver/nginx/logs/nginx_error.log crit;
pid        /usr/local/webserver/nginx/nginx.pid;
#Specifies the value for maximum file descriptors that can be opened by this process.
worker_rlimit_nofile 65535;
events
{
use epoll;
worker_connections 65535;
}
http
{
include       mime.types;
default_type application/octet-stream;
charset utf-8;
server_names_hash_bucket_size 128;
client_header_buffer_size 32k;
large_client_header_buffers 4 32k;
client_max_body_size 300m;
sendfile on;
tcp_nopush     on;
keepalive_timeout 60;
tcp_nodelay on;
client_body_buffer_size 512k;
proxy_connect_timeout    5;
proxy_read_timeout       60;
proxy_send_timeout       5;
proxy_buffer_size        16k;
proxy_buffers            4 64k;
proxy_busy_buffers_size 128k;
proxy_temp_file_write_size 128k;
gzip on;
gzip_min_length 1k;
gzip_buffers     4 16k;
gzip_http_version 1.1;
gzip_comp_level 2;
gzip_types       text/plain application/x-javascript text/css application/xml;
gzip_vary on;
#注：proxy_temp_path和proxy_cache_path指定的路径必须在同一分区
proxy_temp_path   /data0/proxy_temp_dir;
#设置Web缓存区名称为cache_one，内存缓存空间大小为200MB，1天没有被访问的内容自动清除，硬盘缓存空间大小为30GB。
proxy_cache_path /data0/proxy_cache_dir levels=1:2   keys_zone=cache_one:200m inactive=1d max_size=30g;
upstream backend_server {
    server   192.168.8.43:80 weight=1 max_fails=2 fail_timeout=30s;
    server   192.168.8.44:80 weight=1 max_fails=2 fail_timeout=30s;
    server   192.168.8.45:80 weight=1 max_fails=2 fail_timeout=30s;
}
server
{
    listen       80;
    server_name www.yourdomain.com 192.168.8.42;
    index index.html index.htm;
    root /data0/htdocs/www;
    location /
    {
         #如果后端的服务器返回502、504、执行超时等错误，自动将请求转发到upstream负载均衡池中的另一台服务器，实现故障转移。
         proxy_next_upstream http_502 http_504 error timeout invalid_header;
         proxy_cache cache_one;
         #对不同的HTTP状态码设置不同的缓存时间
         proxy_cache_valid 200 304 12h;
         #以域名、URI、参数组合成Web缓存的Key值，Nginx根据Key值哈希，存储缓存内容到二级缓存目录内
         proxy_cache_key $host$uri$is_args$args;
         proxy_set_header Host $host;
         proxy_set_header X-Forwarded-For $remote_addr;
         proxy_pass http://backend_server;
         expires      1d;
    }
    #用于清除缓存，假设一个URL为http://192.168.8.42/test.txt，通过访问http://192.168.8.42/purge/test.txt就可以清除该URL的缓存。
    location ~ /purge(/.*)
    {
     #设置只允许指定的IP或IP段才可以清除URL缓存。
     allow            127.0.0.1;
     allow            192.168.0.0/16;
     deny            all;
     proxy_cache_purge    cache_one   $host$1$is_args$args;
    }
    #扩展名以.php、.jsp、.cgi结尾的动态应用程序不缓存。
    location ~ .*\.(php|jsp|cgi)?$
    {
         proxy_set_header Host $host;
         proxy_set_header X-Forwarded-For $remote_addr;
         proxy_pass http://backend_server;
    }
    access_log off;
}
}

　　3、启动 Nginx：

/usr/local/webserver/nginx/sbin/nginx

　　4、清除指定的URL缓存示例：

本文链接

Nginx：一个反向代理的设置

2010-12-30T07:25:00Z

有这么一个情况，

有个运行Asp的应用，比较土，还是用本地 *.mdb 的数据库。这么一来，就不可能通过 Apache ::: asp 这样的插件令其运行在Linux的环境中。而且是相当烂的一个 asp 程序，连html模板都没单独目录存放，直接跟 *.asp 混在一块。

幸好这个世界有 Nginx，是对待这种破东西最好的优化。

如果直接靠 IIS 既处理 asp 又处理静态文件的话，流量一大性能是不堪想象了。
(在ab压力测试中, 就100线程请求一个 gif 的静态文件做测试, 已经令IIS的CPU相当不安)

2台服务器，运行架构计划为最简单的 Nginx –> IIS

就通过 Nginx Proxy 到IIS 的80端口上。

但测试的时候发现，虽然速度瞬间得到体现，但每次请求，Nginx 都会往IIS上拉文件，特别是静态文件。
大，而且会让IIS的cpu不安分。

原本试用在 Linux 下 mount 一个 smb 的盘，然后让Nginx直接往里头通过 smb 请求 IIS 应用服务器上的静态文件。从而绕开 IIS 避免压力。但出了怪问题….况且跟本文无关,就暂略不说了。

最后用上了 Nginx proxy_store ，Nginx 直接把静态文件在本地硬盘创建并读取，

效果相当好，而且某程度上对待这么烂的应用要装个Squid 确实有点大题小作。

但 Proxy_store 跟 Squid 是有区别的!! 最明显的一点在于其不具有expires，无法通过程序控制cache什么时间过期。往后要写个脚本定期删除缓存目录中的内容，不过这也正合我意。

以下是配置方式：

如果需要将文件缓存到本地，则需要增加如下几个子参数：
proxy_store on;
proxy_store_access user:rw group:rw all:rw;
proxy_temp_path 缓存目录;

其中，
proxy_store on 启用缓存到本地的功能，
proxy_temp_path 指定缓存在哪个目录下，如：proxy_temp_path /var/nginx_cache;

在经过上一步配置之后，虽然文件被缓存到了本地磁盘上，但每次请求仍会向远端拉取文件，为了避免去远端拉取文件，还必须增加：

if ( !-e $request_filename) {
proxy_pass http://192.168.10.10;
}

即改成有条件地去执行proxy_pass，这个条件就是当请求的文件在本地的proxy_temp_path指定的目录下不存在时，再向后端拉取。

整体配置例子：

location ~ .*\.(gif|jpg|jpeg|png|bmp|swf|js|html|htm|css)$ { #指定缓存文件类型
expires 7d; #设置浏览器过期时间
root /data1/nginx_cache/iis; #静态文件根目录目录(必须对应proxy_temp_path)
proxy_store on; #开启缓存机制
proxy_store_access user:rw group:rw all:rw; #缓存读写规则
proxy_temp_path /data1/nginx_cache/iis; #存放静态文件的缓存目录
include proxy.conf; # 外联proxy理的详细配置如proxy_set_header， client_max_body_size ….
if ( !-e $request_filename) { #正则表达式，匹配缓存目录中的文件与源文件是否存在)
proxy_pass http://192.168.10.10 # IIS 应用的服务器地址
}
}

本文链接

【MVC整理】4.Asp.net MVC 如何防止CSRF攻击

2010-12-30T03:55:00Z

什么是CSRF攻击？

CSRF（Cross-site request forgery跨站请求伪造，也被称成为“one click attack”或者session riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。尽管听起来像跨站脚本（XSS），但它与XSS非常不同，并且攻击方式几乎相左。XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与XSS攻击相比，CSRF攻击往往不大流行（因此对其进行防范的资源也相当稀少）和难以防范，所以被认为比XSS更具危险性。

详细说明：http://baike.baidu.com/view/1609487.htm

CSRF攻击发生的场景：

CSRF攻击依赖下面的假定：
攻击者了解受害者所在的站点
攻击者的目标站点具有持久化授权cookie或者受害者具有当前会话cookie
目标站点没有对用户在网站行为的第二授权

Asp.net MVC 内置了对CSRF进行防御的方法如下：

1.在View的Form表间中使用

<%=Html.AntiForgeryToken() %>

例如：

<% using (Html.BeginForm("Login", "Admin", FormMethod.Post))
       { %>
        <%=Html.AntiForgeryToken() %>
        <%= Html.ValidationSummary(true, "登录不成功。请更正错误并重试。") %>
    <div>
        <fieldset>
            <legend>帐户信息</legend>            
            <div >
                <%= Html.LabelFor(m => m.UserName) %>
            </div>
            <div >
                <%= Html.TextBoxFor(m => m.UserName)%>
                <%= Html.ValidationMessageFor(m => m.UserName)%>
                <label id="UserNameTip"></label>
            </div>
            <div >
                <%= Html.LabelFor(m => m.Password) %>
            </div>
            <div >
                <%= Html.PasswordFor(m => m.Password) %>
                <%= Html.ValidationMessageFor(m => m.Password) %>
            </div>
            <p>
                <input type="submit" value="登录" />
            </p>
        </fieldset>
    </div>
    <% } %>

2.d在对应的Action中用[ValidateAntiForgeryToken]进行标识：如下

[HttpPost]
        [ValidateAntiForgeryToken]
        public ActionResult Login(Usr usr)
        {
            if (ModelState.IsValid)
            {
                var model = DB.Context.Single<Usr>(p => p.SystemUser == true && p.UserName == usr.UserName && p.Password == usr.Password);
                if (model != null)
                {
                    authenticate.Login(usr.UserName, usr.Role);
                    return RedirectToAction("UserList", "Admin");
                }
                else
                {
                    ModelState.AddModelError("", "提供的用户名或密码不正确。");
                }
            }
            return View(usr);
        }

其实我们发现Asp.net MVC 帮我们做了很多。

本文链接

Subsonic： Code-First开发模式

2010-12-28T04:08:00Z

一直以来都在使用数据驱动的开发模式：PD设计数据库模型，然后生成数据库脚本，再然后建立数据库（可能还要写段SQL脚本初始化一点数据），再然后用上个ORM框架，最后开始狂写代码。

实在太枯燥，太麻烦啦。

最近EF更新好像开始支持Code-First模式，看了几篇帖子觉得这才是我想要的开发模式：先写POCO类，然后自动生成数据库（如果是测试，可能这一步都可以暂时不做，然后开始写代码。简单的POCO类比那些充血的实体实在是优雅了好多。别的优点那就更不用说啦，在mvc中直接拿做models层。我实在是太需要这些啦。

不过C在.net中code-First模式不是EF的专有。现在我将用我最喜爱的Subsonic来实现这个功能。Subsonic是一个轻量级的ORM方案，官网上也有很多教程。大家一起来学习下。

首先我胶需要下载Subsonic 3以上的版本，3以下的版本不支持code-first。另外Subsonic 3提供的LinqProvider可以让我们应用Linq进行数据库操作。

首先我们设计一个类：记得引入 Subsonic

public class Usr
    {
        [SubSonicPrimaryKey]        
        public int Id { get; set; }

        [SubSonicStringLength(50)] 
        public string UserName { get; set; }

        [SubSonicStringLength(50)]
        [SubSonicNullString]       
        public string Role { get; set; }
       
        public bool SystemUser { get; set; }

        [SubSonicStringLength(50)]        
        public string Password { get; set; }
        
        public DateTime Expire { get; set; }
        
        public bool Active { get; set; }        
    }

注意类属性上的attribution ，它将指定我们在生成数据库时使用何种数据类型及长度等相关信息。

有了这个类，我们怎样让它生成数据库呢,太简单啦，看代码：记得引入 Subsonic

using System;
using SubSonic.Repository;

namespace BuildDBApplication
{
    class Program
    {
        static void Main(string[] args)
        {
            Console.WriteLine("正在为您生成数据库...");
            _001_Init build = new _001_Init();
            build.init();
            Console.WriteLine("生成成功...");
            Console.WriteLine("初始化数据...");
            //查询和增加数据时可批定SimpleRepositoryOptions.None，意为不更改数据库结构。

var repo = new SimpleRepository("UCerterDB", SimpleRepositoryOptions.None);
            UCenter.Entitys.Usr model = new UCenter.Entitys.Usr();
            model.UserName = "Ants";
            model.Password = "123456";
            model.Active = true;
            model.Expire =DateTime.Now;
            model.SystemUser = true;
            repo.Add(model);
            Console.WriteLine("完成，请关闭窗口！");
            Console.Read();
        }
    }
    internal class _001_Init
    {
        public void init()
        {
            //一定要指定SimpleRepositoryOptions.RunMigrations，意为可以更改数据库结构

var repo = new SimpleRepository("UCerterDB", SimpleRepositoryOptions.RunMigrations);

            //生成表，查询不到这个表时，它会自动生成表。很简单吧！
            var Usr = repo.Single<UCenter.Entitys.Usr>(x => x.Id == 0);
           var ticket = repo.Single<UCenter.Entitys.Ticket>(x => x.Id == 0);
        }
    }
}

code-first其实并不神秘。我相信很多人和我一样喜欢这种模式。更多介绍请请看官网。

本文链接

【MVC整理】3. Asp.Net MVC 2 模型验证

2010-12-22T06:49:00Z

原文链接：http://msdn.microsoft.com/zh-cn/downloads/ff393634.aspx

ASP.NET MVC 2 验证

对用户输入的验证以及强制业务规则/逻辑是大多数web应用的核心需求。ASP.NET MVC 2包含了一堆新的特性，显著地简化了对用户输入的验证以及在模型/视图模型中对验证逻辑的强行实施。这些特性是这样设计的，验证逻辑总是在服务器上执行的，也可以选择在客户端通过JavaScript来执行。ASP.NET MVC 2中的验证设施和特性这般设计，以便：

1) 开发人员可以轻易地利用内置于.NET框架中的DataAnnotation验证支持。DataAnnotation提供了一个非常简便的方式，使用最少的代码在对象和属性上用声明的方式添加验证规则。

2) 开发人员可以集成他们自己的验证引擎，或者利用现有的验证框架，象Castle验证器或EntLib验证库。ASP.NET MVC 2的验证特性是设计来在利用新的 ASP.NET MVC 2的验证设施（包括客户端验证，模型绑定验证等等）的同时，简化任何类型的验证架构的插入的。

这意味着，在常见的应用场景中启用验证是极其容易的，同时对更高级的场景则还能保持极好的灵活性。

使用ASP.NET MVC 2 和 DataAnnotation来启用验证

让我们在ASP.NET MVC 2中来全程示范一个简单的CRUD场景，利用新的内置DataAnnotation验证支持。具体来说，让我们来实现一个“Create”表单来允许用户输入朋友的数据：

我们想要确保在保存到数据库之前，输入的信息是合法的，如果不合法，就显示合适的错误消息：

我们想要使得这个验证同时在服务器端和客户端（通过 JavaScript）发生。我们还想要确保我们的代码遵守DRY原则（Don't Repeat Yourself,不重复自己），意味着我们应该只在一处实施验证规则，然后使得我们的控制器，action方法和视图来兑现这个承诺。

在下面，我将使用VS 2010，用ASP.NET MVC 2来实现上面的场景。你也可以使用VS 2008及ASP.NET MVC 2来实现完全一样的场景。

第一步: 实现FriendsController (一开始没有验证)

我们首先在一个新的ASP.NET MVC 2项目中加一个简单的“Person”类，象下面这样：

它有四个属性（是用C#的自动属性支持实现的, 在VS 2010中VB也支持自动属性了，哎!）。

然后在项目中加一个 “FriendsController” 控制器类，呈示2个 “Create” action方法。第一个action方法是在对/Friends/Create URL的HTTP-GET请求进来时调用的，它会显示一个空白的表单，用来输入个人数据。第二个action方法是在对/Friends/Create URL的HTTP-POST请求进来时调用的。它会将提交的表单输入映射到一个Person对象，核实没有绑定错误发生，如果是合法的，最终会将数据保存到数据库中去（在本教程的后面我们会实现相关的数据库工作）。如果提交的表单输入是不合法的，该action方法会重新显示带有错误的表单：

在实现了控制器之后，可以在Visual Studio中在其中一个action方法中右击，选择 “添加视图”命令，这会调出 “添加视图” 对话框。选择自动生成传入对象为Person的“Create”视图：

然后Visual Studio会在我们项目的\Views\Friends\目录中，生成一个含有框架代码(scaffolded)的Create.aspx视图文件。注意下面，它利用了ASP.NET MVC 2中新的强类型HTML辅助方法（促成了更好的intellisense和编译时检查支持）：

现在，当我们运行该应用，访问 /Friends/Create URL时，我们将得到一张可以输入数据的空白表单：

但，因为我们还没有在应用中实现任何验证，谁也无法阻止我们在表单中键入假的输入，将其提交到服务器去。

第二步: 使用DataAnnotation来启用验证

现在，让我们来更新应用，执行一些基本的输入验证规则。我们将在我们的Person模型对象上实现这些规则，而不是在控制器或视图中实现。在Person对象上实现这些规则的好处是，这将确保这些验证在应用中任何使用Person对象的场景中都会被执行（例如，如果后来添加了编辑场景的话）。这将帮助确保我们将代码保持DRY，避免在多处重复这些规则。

ASP.NET MVC 2 允许开发人员轻松地在模型或视图模型类上添加声明式验证特性，然后ASP.NET MVC在应用中实施模型绑定操作时，这些验证规则就会被自动执行。为看其例子，让我们更新Person类，在其中加几个验证特性。这么做，在文件的顶部加一个对“System.ComponentModel.DataAnnotations”命名空间的 “using” 语句，然后在Person的属性上饰于[Required], [StringLength], [Range], 和 [RegularExpression] 验证特性（这几个特性都是在那个命名空间中实现的）：

注：在上面我们明式指定了错误信息字符串，你也可以在资源文件中定义它们，或者按进来的用户的语言/文化做本地化，你可以在这里了解如何本地化验证错误消息。

既然我们加了验证特性到Person类上，让我们来重新运行我们的应用，看在键入假的数值，将其提交回服务器时会发生什么：

注意上面我们的应用现在有一个蛮好的出错体验了。带不合法输入的文本元素以红色高亮显示，我们指定的验证错误消息也显示给了用户。表单还保留用户原先输入的数据，这样他们不用重新填写什么。但，你也许会问，怎么会是这样？

要理解这个行为，让我们看一下处理我们表单的POST场景的Create action方法：

在我们的HTML表单被提交回服务器时，上面的方法就会被调用。因为该action方法接受一个“Person” 对象为参数，ASP.NET MVC会创建一个Person对象，自动地将进来的表单输入数值映射到该对象上。作为该过程的一部分，ASP.NET MVC还会检查该Person对象上的DataAnnotation验证特性是否合法。如果一切都合法，那么我们代码中的ModelState.IsValid检查就会返回真值，在这种情形下，我们（最终）将把该Person对象保存到数据库中，然后重新定向回到主页上去。

但如果Person对象上有任何验证错误的话，我们的action方法就会以该不合法Person对象的数据重新显示表单，这是通过上面代码片段中最后一行代码实现的。

然后，错误消息就会显示在我们的视图中，因为我们的Create表单在每一个<%= Html.TextBoxFor() %>辅助方法的调用旁边都有一个<%= Html.ValidationMessageFor() %>辅助方法调用。Html.ValidationMessageFor() 辅助方法会针对传入视图的任何不合法的模型属性输出合适的错误消息：

这个模式/方式有一个好处，就是非常容易配置，它还允许我们轻松地添加或改变我们Person类上的验证规则，而不必改变控制器或视图中的任何代码。这个在一个地方指定验证规则，然后在所有的地方都会被承诺和遵守的能力，允许我们以最少的努力快速地发展我们的应用和规则，并且将代码保持在非常DRY的程度。

第三步: 启用客户端验证

目前我们的应用只能做服务器端的验证，这意味着我们的终端用户需要将表单提交到服务器才能看到任何验证错误消息。

ASP.NET MVC 2的验证架构中一样非常酷的东西是，它同时支持服务器端和客户端验证。为启用这个功能，我们要做的就是在视图中添加2个 JavaScript引用，编写一行代码：

在我们添加了这三行后，ASP.NET MVC 2 就会使用我们加到Person类上的验证元数据，为我们连接好客户端JavaScript验证逻辑。这意味着，当用户使用tab键跳出一个不合法的输入元素时，就会得到瞬时的验证错误。

要在我们的朋友应用中看客户端JavaScript支持的实战例子的话，让我们重新运行应用，在前三个文本框中填入合法的数值，然后尝试点击“Create（创建）”。注意，我们不必访问服务器就会得到遗漏值的瞬时错误消息：

如果我们输入一些不是合法的email的字符话，错误消息就会瞬时从“Email Required （Email是个必需值）” 变为 “Not a valid email （email不合法）”（这是我们将规则加到Person类上时指定的错误消息）：

在输入一个合法的email时，错误消息就是瞬时消失，文本框背景色也会恢复到正常的状态：

好事是，我们不必编写自己的任何定制JavaScript就能启用上面的验证逻辑。我们的验证代码还是那么DRY，我们可以在一个地方指定规则，然后在整个应用中得到执行，同时在客户端和服务器端。

注意，为安全的原因，服务器端验证规则总是执行的，即时你启用了客户端支持。这避免黑客尝试绕过客户端规则，哄骗攻击（spoof）你的服务器。

ASP.NET MVC 2中的客户端JavaScript验证支持可与你在ASP.NET MVC应用中使用的任何验证框架/引擎协作，它并不要求你使用 DataAnnotation 验证方式，所有的基础设施是独立于 DataAnnotation的，可以与Castle验证器, EntLib验证应用块，或你选择使用的任何定制验证方案协作使用。

如果你不想使用我们的客户端JavaScript文件，你也可以将其替换成jQuery验证插件，而使用那个库。 ASP.NET MVC Futures下载还包括针对ASP.NET MVC 2服务器端验证框架启用jQuery验证的支持。

第四步: 创建自定义的[Email]验证特性

.NET框架中的System.ComponentModel.DataAnnotations命名空间包括了众多可为你所用的内置验证特性。我们在上面的例子中使用了其中的四个：[Required], [StringLength], [Range], 和 [RegularExpression]。

你也可以定义自己的定制验证特性，然后应用它们。你可以通过继承自System.ComponentModel.DataAnnotations命名空间中的ValidationAttribute基类，定义完全定制的特性。或者，你也可以选择继承自任何现有的验证特性，如果你只想要扩展它们的基本功能的话。

例如，为帮助清理我们Person类中的代码，我们也许想要创建一个新的[Email]验证特性，将检查合法email的正则表达式封装起来。要这么做的话，我们只要象这样继承自RegularExpressionAttribute基类，然后用合适的email正则表达式调用RegularExpressionAttribute基类的构造器：

然后将Person类更新成使用我们新的[Email]验证属性，换掉我们先前使用的正则表达式，这使得我们的代码更干净，封装也更好：

在创建定制的验证特性时，你还可以指定在服务器端以及在客户端通过JavaScript执行的验证逻辑。

除了创建可施用于对象上个别属性的验证特性外，你还可以将验证特性施用于类的层次，这允许你对一个对象中的多个属性实施验证逻辑。要看实战例子的话，你可以参阅包含在默认ASP.NET MVC 2应用项目模板中AccountModels.cs/vb文件中的“PropertiesMustMatchAttribute” 定制特性（在VS 2010中做文件->新ASP.NET MVC 2 Web项目，然后查询该类）。

第五步: 持久化到数据库中

现在让我们来实现将朋友数据保存到数据库所需的逻辑。

至此，我们只用了平白的（plain-old）C#类（有时称为“POCO” 类，即 “plain old CLR (or C#) object”）。我们可以使用的一个方案是，编写一些单独的持久代码，将这我们已经编写好的现有类映射到数据库去。目前象NHibernate这样的对象关系映射（Object relational mapping - ORM）方案非常地好支持这样的POCO/PI风格的映射。随.NET 4发布的ADO.NET实体框架（Entity Framework - EF)也支持POCO / PI映射，而且就象NHibernate，EF也能启用以“只用代码（code only）”的方式（没有映射文件，也不需要设计器）定义持久性映射的能力。

如果我们的Person对象以这种方式映射到数据库的话，我们不用对Person类做任何改动，也不用改动任何验证规则，它还会继续完好地工作。

但假如我们要使用图形工具来做ORM映射的话，怎么办？

今天使用Visual Studio的许多开发人员并不编写他们自己的ORM映射/持久逻辑，而是使用Visual Studio中内置的设计器来帮助管理这样的映射逻辑。

使用DataAnnotation（或者任何其他形式的基于特性的验证）时一个经常问起的问题是，“如果你手头的模型对象是由GUI设计器创建/维护的话，你该如何施用这些特性？”。例如，假如与类似我们至此为止一直在使用的POCO风格的Person类不同，我们而是在Visual Studio中通过象LINQ to SQL 或 ADO.NET EF设计器这样的GUI映射工具定义/维护我们的Person类的话，该怎么办呢：

上面是一张屏幕截图，展示了在VS 2010中使用ADO.NET EF设计器定义的一个Person类。上方的窗口定义了Person类，下方的窗口展示了该类的属性是如何映射到数据库中的“People”表的映射编辑器。当你在设计器上点击保存时，它会自动为你在项目中生成一个Person类。这很棒，但每次你做了改动，点击保存时，它就会重新生成 Person 类，这会导致你在对象上面声明的任何验证特性的丢失。

将额外的基于特性的元数据（象验证特性）施加到由VS设计器自动生成/维护的类的一个方法是，采用一个我们称之为“伙伴类（buddy classes）”的技术。基本上来说，你创建另外一个类，包含你的验证特性和元数据，然后通过将 “MetadataType”特性施加到一个与工具生成的类一起编译的partial类上，将其与由设计器生成的类连接起来。例如，如果我们想要将我们前面用到的验证规则施加到由LINQ to SQL 或 ADO.NET EF设计器维护的Person类上，我们可以更新我们的验证代码，使其存在于一个单独的“Person_Validation”类上，使用象下面这样的代码将其连接到由VS创建的“Person”类上：

上面的做法没有纯粹的POCO方法那么优雅，但其好处是，可以用于Visual Studio中任何工具或设计器生成的代码。

最后一步 – 将Friend保存到数据库中

最后一步，不管是否采用了POCO或工具生成的Person类，是将合法的朋友数据保存到数据库中去。

这只要求我们用三行代码将FriendsControlle类中的 “Todo”占位语句替换掉，这三行代码将新朋友保存到数据库。下面是整个FriendsController类的完整代码（使用了ADO.NET EF做数据库持久化）：

现在，当我们访问 /Friends/Create URL时，我们可以轻松地添加新人到我们的朋友数据库中去：

对所有数据的验证都是同时在客户端和服务器端执行的。我们可以轻易地在一个地方添加/修改/删除验证规则，而由整个应用中的所有的控制器和视图来执行这些规则。

结语

ASP.NET MVC 2极大地简化了web应用的验证集成。它倡议一种基于模型的验证方式，允许你将你的应用保持DRY，帮助确保验证规则在整个应用中保持一致。ASP.NET MVC 2中内置的DataAnnotation支持，原本就使得对常见的验证场景的支持非常容易。而且，ASP.NET MVC 2验证设施中的扩展性支持允许你支持更大范围的更高级的验证场景，可以插入任何现有的或者定制的验证框架/引擎。

本文链接