【发布时间】：2012-03-06 15:18:45
【问题描述】：
代码访问安全应该保护 ASP.NET 应用程序免受什么样的恶意攻击？假设一个非异国情调的场景，一个在它自己的盒子上运行的 ASP.NET 应用程序，您可以完全控制应用程序和服务器。
【问题讨论】：
标签： asp.net code-access-security
【发布时间】：2012-03-06 15:18:45
【问题描述】：
ASP.NET 服务器上的 CAS 有两个主要用途：
- 保护服务器上的其他资源（例如其他 ASP.NET 应用程序）免受任何给定 ASP.NET 应用程序中包含的潜在恶意服务器端代码的影响。
- 针对任何给定 ASP.NET 应用程序的用户的潜在攻击提供纵深防御。
如果您是托管在您自己的服务器上的唯一应用程序的作者，那么场景 #1 可能对您来说不是特别有趣。但是，纵深防御方面可能更引人注目。例如，在中等信任下运行可以帮助阻止尝试读取或写入目标应用程序目录之外的文件系统位置的漏洞利用，即使您独自在自己的服务器上，这也应该很有趣。
【讨论】：
-
谢谢，我已经运行了三个共享一些程序集的 Web 应用程序。一个是高级用户的管理站点，另一个是内部用户的站点，第三个是公共站点——所有这些都在我的控制之下。我认为 CAS 可能对增加额外的安全级别非常有帮助，但我所看到的一切都缺乏真实世界的使用示例，而是直接潜入了位于共享驱动器上的一些假设桌面应用程序的实现。