关于ＡＳＰ．ＮＥＴ的性能优化及其安全性的探
发布时间：2015-07-06 10:50
[论文关键词] 性能优化 安全性
[论文摘要] 本文主要从在网站开发中的性能及其安全性入手，介绍了如何将web应用程序运行得越来越快，并且能够得到扩展以处理更多的并发用户,以及如何利用的安全系统来实现最高性能的安全代码。
我们用开发网站，无论我们写的应用程序有多么好，无论在web站点中添加了多少很酷的新特性，如果我们的站点在处理用户请求时哪怕只是让用户等待了几秒钟，用户也不会对我们的站点留下好印象。事实上，如果用户等得太久，他们就会放弃而去访问另一个站点。那么，如何才能提高站点的响应速度，这就要考虑到我们在开发过程中如何优化的性能。
一、性能开发及其优化
性能表示系统执行任务的速度和效率。就web站点的性能而言，它对整个站点的点击率起着不可忽视的作用。如果一个性能很差的网站长期没有改进，你就会发现潜在的用户全都跑光了。
1.利用jit编译器提高程序执行速度
高性能代码旨在能少做工作就少做工作，这是不言而明的。
在编译任何的应用程序时，编译器把源代码转换为microsoft中间语言（msil）。要在一个具体环境中执行应用程序，一个jit编译器先接受msil输出并把指令转换为主机处理的本机指令，再以即时方式编译代码，以便应用程序开始执行。但是，jit编译器不是把程序集中所有的msil都在开始执行前转换为本机代码，只是一次编译一个方法。编译器采用的这种方法有两个性能上的优势。第一个优势：这项技术把编译的成本分摊在一个较长的时间内，由于执行会比jit编译器把所有的msil都进行编译看起来要快，这样感觉到应用程序的性能提高了。如果把长时间的暂停或等待时间分成小块，把它们分散开，你的用户就不会注意到它们，用户对你的应用程序的性能也会比较满意。第二个优势：jit编译器不编译在执行期间用不到的方法。因此不会做没有必要的工作，无论什么时候省去不必要的处理工作，你就会发现可以获得真正的性能增益。
2.减少运行时的工作
在底层，基础结构为了让我们工作轻松，做了大量的基础工作。虽然把这个体系结构用做一个黑盒很不错，但有时了解使一切如此无缝的运行的实现细节也是很有益的。掌握了这些额外的信息，我们经常可以更有效地在运行程序时获得速度上的优势。其实现主要有以下三种方法:
(1)视图状态的优化
视图状态是性能的无声杀手。自动视图状态管理是服务器控件的功能, 该功能使服务器控件可以在往返过程上重新填充它们的属性值(不需要编写任何代码)。但是, 因为服务器控件的视图状态在隐藏的窗体字段中往返于服务器, 所以该功能确实会对性能产生影响。因此, 开发人员应该知道在哪些情况下视图状态会有所帮助, 在哪些情况下它影响配器的性能。例如, 如果将服务器控件绑定到每个往返过程的数据上, 则将用数据绑定操作获得的新值替换保存的视图状态。在这种情况下, 禁用视图状态可以节省处理时间。默认情况下, 为所有服务器控件启用视图状态。若要禁用视图状态,将控件的enableviewstate 属性设置为false。
从某种意义上说, 视图状态是有史以来最伟大的事情。毕竟, 视图状态使页面和控件能够在回发之间保持状态。因此, 不必像在传统的asp中那样编写代码, 以防止在单击按钮时文本框中的文本消失, 或在回发后重新查询数据库和重新绑定datagrid。但是, 视图状态也有缺点: 当它增长得过大时, 某些控件(例如文本框) 会根据视图状态做出相应判断; 其他控件(特别是datagrid 和gridview) 则根据显示的信息量确定视图状态。一个糟糕的gridview 容易将浏览器和web 服务器之间连接的有效带宽减少50%以上。 2.0能够提供比 1.x 更简单的方法将视图状态保留在会话状态中。
(2)尽量减少服务器控件的使用
服务器端的控件不仅能生成视图状态，它们也需要额外的运行时间处理绑定到成员变量。由于它们会使用服务器资源，即使它们非常易于使用, 但是服务器控件并不总是完成任务的最佳选择, 在许多情况下, 一个简单的呈现或数据绑定代入就可以完成任务。所以，web页面上服务器端的控件应该保持在最低的数量上。
(3)把异常减到最少
不要依赖代码中的异常。因为异常大大地降低性能, 所以不应该将它们用作控制正常程序流程的方式。
异常是通知程序执行期间发生的错误的一个非常有用的设备。程序不能忽视异常——它们将会改变程序的执行流。在运行时的托管环境中，用try和catch设置异常处理代码只对性能有可以忽略不计的影响，但程序抛出异常时却有性能的损失。如果将try…catch语句使用为if语句，将抛出更少的异常，运行得更快。
3.有效使用内存和缓存
只要可能, 就缓存数据和页面输出。使用 缓存机制有两点需要注意。首先, 不要缓存太多项，缓存每个项均有开销, 特别是在内存使用方面。不要缓存容易重新计算和很少使用的项。其次, 给缓存的项分配的有效期不要太短。很快到期的项会导致缓存中不必要的周转, 并且经常导致更多的代码清除和垃圾回收工作。高周转率可能说明存在问题, 特别是当项在到期前被移除时。
不要给每个请求分配过多内存, 因为这样垃圾回收器将必须更频繁地进行更多工作。另外, 不要让不必要的指针指向对象, 因为它们将使对象保持活动状态, 并且应尽量避免含finalize 方法的对象, 因为它们在后面会导致更多的工作。特别是在finalize调用中永远不要释放资源, 因为资源在被垃圾回收器回收之前可能一直消耗着内存。最后这个问题经常会对web 服务器环境的性能造成毁灭性的打击, 因为在等待finalize 运行时, 很容易耗尽某个特定的资源。
二、安全性
提供了一个很健壮的安全系统，我们可以轻松地利用这个安全系统消除在asp中为web应用程序提供用户级别的安全性而编写的大量代码。这就意味着你需要编写较少的代码可以实现标准化的安全。
的配置体系和安全体系
net 框架提供了一个丰富又灵活的配置系统, 使得应用程序开发及管理人员能够在整个应用程序、站点和计算机中定义和使用可扩展的配置数据。其中 为整个web 服务器提供配置设置, 每一个 web 应用程序根目录以及各级子文件夹都可以有自己的名称为web. config 的配置文件。配置文件都是基于xml 格式的文本文件, 通常用来保存一些常量或者安全设置、sql 连接字符串和其他常规的配置数据等。每一个web. config 文件只在该文件夹和其子文件夹下起作用, 每个子文件夹的配置继承父文件夹的的配置, 并覆盖相同的选项。对于在web. config 中没有进行设置的属性, 其取值将继承machine. config 中属性的设置。如果配置文件被更改, 将检测到新的配置并自动使它起作用, 无需重新启动服务器。另外, 通过配置iis 来保护各级web. config 配置文件, 拒绝浏览器直接url 访问。
身份验证和授权策略
当iis收到用户请求时，它首先查看资源是如何受到保护的。资源可以用匿名访问保护（大多数web站点都是如此），或者用标准的本地或活动目录证书保护。接下来，iis通过标准的访问控制列表（acl）查看用户对请求的资源是否有访问权限。如果任一项检查失败，iis甚至在请求到达之前就拒绝它。
在上述过程中发生了两件事。用户身份验证，然后被授权。如果一个资源被请求，iis对请求进行了身份验证并授权，下一步是由提供它自己的身份验证和授权。这为开发人员自定义的身份验证提供了基础结构，不必从头开发一个安全基础结构。
在应用程序中为验证用户身份提供了三种方法:
(1)windows身份验证
windows身份验证提供了与传统的windows账号（或者是活动目录账号或者是本地账号）相似的集成。该模式的工作方式和正常的iis身份验证相同。在这种模式下，要禁用对你站点的匿名访问，以保护你的站点不被未授权用户侵入。然后要更新web. config文件，指定身份验证模式为windows身份验证，并指定应该使用用户被iis质询时输入的证书作为该应用程序的证书。
windows身份验证是最快的身份验证模式，因为它依赖于iis模式，因为你不能控制登录页面模式的证书来源——并且该模式要求通过网络访问windows证书来源，这就意味着它不十分适合于公共的web应用程序，因为你不能控制客户端或网络访问。
(2)forms身份验证
forms身份验证允许开发人员生成他们自己的标准登录页面，并根据文件中的条目进行身份验证，或者使用他们自己的身份验证文件。forms身份验证是可自定义性最强的身份验证方法。因为你能够控制身份验证文件和方法。
和windows身份验证不同的是forms身份验证要求单独访问证书来源（即使证书存储在中）。应尽量简化身份验证例程，并去除总想包括在内的外部元素（像检索个性化设置、用户图片等）。这些工作只能放在其他时间来作，它们只会延缓登录进程。
(3)passport身份验证
passport身份验证允许你把你的应用程序和microsoft passport服务集成在一起。该模式的基本工作方式是当检测一个未进行身份验证的请求时，把登录证书从一个passport登录窗口（在web服务器上安装passport服务时也安装该登录窗口）发送到passport服务。
passport身份验证是最慢的身份验证方法，因为为了验证证书，它要求通过internet进行web服务类型的通信。passport方法也是有前途的，因为用户只要记住一套证书就能登录到受passport保护的web站点中。
三、结束语
对网站来说, 性能和安全性十分重要。 提供了若干新的策略和编程方式，在信息产业高速发展的今天，只有将这些新的策略和编程方式合理应用到站点的开发中，以此来提高站点的性能和安全性，我们的站点才会受到更多的用户的亲睐。
参考文献：
[1 ]scott worle著王文龙刘湘宁译:asp. net技术内幕[m]. 人民邮电出版社,2002
[2 ] allenjames avery著侯译:asp. net性能高级编程[m].清华大学出版社,2003
[3 ]patrick . asp. net 2.0 revealed[m].wrox press ,2004
[4]尚俊杰秦卫中: 程序设计案例教程[m].北京：清华大学出版社，2005
[论文摘要] 本文主要从在网站开发中的性能及其安全性入手，介绍了如何将web应用程序运行得越来越快，并且能够得到扩展以处理更多的并发用户,以及如何利用的安全系统来实现最高性能的安全代码。
我们用开发网站，无论我们写的应用程序有多么好，无论在web站点中添加了多少很酷的新特性，如果我们的站点在处理用户请求时哪怕只是让用户等待了几秒钟，用户也不会对我们的站点留下好印象。事实上，如果用户等得太久，他们就会放弃而去访问另一个站点。那么，如何才能提高站点的响应速度，这就要考虑到我们在开发过程中如何优化的性能。
一、性能开发及其优化
性能表示系统执行任务的速度和效率。就web站点的性能而言，它对整个站点的点击率起着不可忽视的作用。如果一个性能很差的网站长期没有改进，你就会发现潜在的用户全都跑光了。
1.利用jit编译器提高程序执行速度
高性能代码旨在能少做工作就少做工作，这是不言而明的。
在编译任何的应用程序时，编译器把源代码转换为microsoft中间语言（msil）。要在一个具体环境中执行应用程序，一个jit编译器先接受msil输出并把指令转换为主机处理的本机指令，再以即时方式编译代码，以便应用程序开始执行。但是，jit编译器不是把程序集中所有的msil都在开始执行前转换为本机代码，只是一次编译一个方法。编译器采用的这种方法有两个性能上的优势。第一个优势：这项技术把编译的成本分摊在一个较长的时间内，由于执行会比jit编译器把所有的msil都进行编译看起来要快，这样感觉到应用程序的性能提高了。如果把长时间的暂停或等待时间分成小块，把它们分散开，你的用户就不会注意到它们，用户对你的应用程序的性能也会比较满意。第二个优势：jit编译器不编译在执行期间用不到的方法。因此不会做没有必要的工作，无论什么时候省去不必要的处理工作，你就会发现可以获得真正的性能增益。
2.减少运行时的工作
在底层，基础结构为了让我们工作轻松，做了大量的基础工作。虽然把这个体系结构用做一个黑盒很不错，但有时了解使一切如此无缝的运行的实现细节也是很有益的。掌握了这些额外的信息，我们经常可以更有效地在运行程序时获得速度上的优势。其实现主要有以下三种方法:
(1)视图状态的优化
视图状态是性能的无声杀手。自动视图状态管理是服务器控件的功能, 该功能使服务器控件可以在往返过程上重新填充它们的属性值(不需要编写任何代码)。但是, 因为服务器控件的视图状态在隐藏的窗体字段中往返于服务器, 所以该功能确实会对性能产生影响。因此, 开发人员应该知道在哪些情况下视图状态会有所帮助, 在哪些情况下它影响配器的性能。例如, 如果将服务器控件绑定到每个往返过程的数据上, 则将用数据绑定操作获得的新值替换保存的视图状态。在这种情况下, 禁用视图状态可以节省处理时间。默认情况下, 为所有服务器控件启用视图状态。若要禁用视图状态,将控件的enableviewstate 属性设置为false。
从某种意义上说, 视图状态是有史以来最伟大的事情。毕竟, 视图状态使页面和控件能够在回发之间保持状态。因此, 不必像在传统的asp中那样编写代码, 以防止在单击按钮时文本框中的文本消失, 或在回发后重新查询数据库和重新绑定datagrid。但是, 视图状态也有缺点: 当它增长得过大时, 某些控件(例如文本框) 会根据视图状态做出相应判断; 其他控件(特别是datagrid 和gridview) 则根据显示的信息量确定视图状态。一个糟糕的gridview 容易将浏览器和web 服务器之间连接的有效带宽减少50%以上。 2.0能够提供比 1.x 更简单的方法将视图状态保留在会话状态中。
(2)尽量减少服务器控件的使用
服务器端的控件不仅能生成视图状态，它们也需要额外的运行时间处理绑定到成员变量。由于它们会使用服务器资源，即使它们非常易于使用, 但是服务器控件并不总是完成任务的最佳选择, 在许多情况下, 一个简单的呈现或数据绑定代入就可以完成任务。所以，web页面上服务器端的控件应该保持在最低的数量上。
(3)把异常减到最少
不要依赖代码中的异常。因为异常大大地降低性能, 所以不应该将它们用作控制正常程序流程的方式。
异常是通知程序执行期间发生的错误的一个非常有用的设备。程序不能忽视异常——它们将会改变程序的执行流。在运行时的托管环境中，用try和catch设置异常处理代码只对性能有可以忽略不计的影响，但程序抛出异常时却有性能的损失。如果将try…catch语句使用为if语句，将抛出更少的异常，运行得更快。
3.有效使用内存和缓存
只要可能, 就缓存数据和页面输出。使用 缓存机制有两点需要注意。首先, 不要缓存太多项，缓存每个项均有开销, 特别是在内存使用方面。不要缓存容易重新计算和很少使用的项。其次, 给缓存的项分配的有效期不要太短。很快到期的项会导致缓存中不必要的周转, 并且经常导致更多的代码清除和垃圾回收工作。高周转率可能说明存在问题, 特别是当项在到期前被移除时。
不要给每个请求分配过多内存, 因为这样垃圾回收器将必须更频繁地进行更多工作。另外, 不要让不必要的指针指向对象, 因为它们将使对象保持活动状态, 并且应尽量避免含finalize 方法的对象, 因为它们在后面会导致更多的工作。特别是在finalize调用中永远不要释放资源, 因为资源在被垃圾回收器回收之前可能一直消耗着内存。最后这个问题经常会对web 服务器环境的性能造成毁灭性的打击, 因为在等待finalize 运行时, 很容易耗尽某个特定的资源。
二、安全性
提供了一个很健壮的安全系统，我们可以轻松地利用这个安全系统消除在asp中为web应用程序提供用户级别的安全性而编写的大量代码。这就意味着你需要编写较少的代码可以实现标准化的安全。
的配置体系和安全体系
net 框架提供了一个丰富又灵活的配置系统, 使得应用程序开发及管理人员能够在整个应用程序、站点和计算机中定义和使用可扩展的配置数据。其中 为整个web 服务器提供配置设置, 每一个 web 应用程序根目录以及各级子文件夹都可以有自己的名称为web. config 的配置文件。配置文件都是基于xml 格式的文本文件, 通常用来保存一些常量或者安全设置、sql 连接字符串和其他常规的配置数据等。每一个web. config 文件只在该文件夹和其子文件夹下起作用, 每个子文件夹的配置继承父文件夹的的配置, 并覆盖相同的选项。对于在web. config 中没有进行设置的属性, 其取值将继承machine. config 中属性的设置。如果配置文件被更改, 将检测到新的配置并自动使它起作用, 无需重新启动服务器。另外, 通过配置iis 来保护各级web. config 配置文件, 拒绝浏览器直接url 访问。
身份验证和授权策略
当iis收到用户请求时，它首先查看资源是如何受到保护的。资源可以用匿名访问保护（大多数web站点都是如此），或者用标准的本地或活动目录证书保护。接下来，iis通过标准的访问控制列表（acl）查看用户对请求的资源是否有访问权限。如果任一项检查失败，iis甚至在请求到达之前就拒绝它。
在上述过程中发生了两件事。用户身份验证，然后被授权。如果一个资源被请求，iis对请求进行了身份验证并授权，下一步是由提供它自己的身份验证和授权。这为开发人员自定义的身份验证提供了基础结构，不必从头开发一个安全基础结构。
在应用程序中为验证用户身份提供了三种方法:
(1)windows身份验证
windows身份验证提供了与传统的windows账号（或者是活动目录账号或者是本地账号）相似的集成。该模式的工作方式和正常的iis身份验证相同。在这种模式下，要禁用对你站点的匿名访问，以保护你的站点不被未授权用户侵入。然后要更新web. config文件，指定身份验证模式为windows身份验证，并指定应该使用用户被iis质询时输入的证书作为该应用程序的证书。
windows身份验证是最快的身份验证模式，因为它依赖于iis模式，因为你不能控制登录页面模式的证书来源——并且该模式要求通过网络访问windows证书来源，这就意味着它不十分适合于公共的web应用程序，因为你不能控制客户端或网络访问。
(2)forms身份验证
forms身份验证允许开发人员生成他们自己的标准登录页面，并根据文件中的条目进行身份验证，或者使用他们自己的身份验证文件。forms身份验证是可自定义性最强的身份验证方法。因为你能够控制身份验证文件和方法。
和windows身份验证不同的是forms身份验证要求单独访问证书来源（即使证书存储在中）。应尽量简化身份验证例程，并去除总想包括在内的外部元素（像检索个性化设置、用户图片等）。这些工作只能放在其他时间来作，它们只会延缓登录进程。
(3)passport身份验证
passport身份验证允许你把你的应用程序和microsoft passport服务集成在一起。该模式的基本工作方式是当检测一个未进行身份验证的请求时，把登录证书从一个passport登录窗口（在web服务器上安装passport服务时也安装该登录窗口）发送到passport服务。
passport身份验证是最慢的身份验证方法，因为为了验证证书，它要求通过internet进行web服务类型的通信。passport方法也是有前途的，因为用户只要记住一套证书就能登录到受passport保护的web站点中。
三、结束语
对网站来说, 性能和安全性十分重要。 提供了若干新的策略和编程方式，在信息产业高速发展的今天，只有将这些新的策略和编程方式合理应用到站点的开发中，以此来提高站点的性能和安全性，我们的站点才会受到更多的用户的亲睐。
参考文献：
[1 ]scott worle著王文龙刘湘宁译:asp. net技术内幕[m]. 人民邮电出版社,2002
[2 ] allenjames avery著侯译:asp. net性能高级编程[m].清华大学出版社,2003
[3 ]patrick . asp. net 2.0 revealed[m].wrox press ,2004
[4]尚俊杰秦卫中: 程序设计案例教程[m].北京：清华大学出版社，2005
下一篇：学校网络安全事故救助机制初探