環境說明:

AD Server: dc1 (192.168.101.109)
PC: pc110 (192.168.101.110)
PC: pc111 (192.168.101.111)

第一步，把 PC 加入 AD, 這個算是基本操作，網路上說明很多, 就不再截圖了。不過在這裡還是遇到了第一個問題，解決過程請參考另一份文件: https://blog.uwinfo.com.tw/Article.aspx?Id=486

第二步，在 Visual Studio 的測試環境中測試:
一開始是使用 .Net 6.0 來實作，沒想到找到的文件都是 .Net Core 3.1 的，所以先用 .Net Core 3.1 實做了一次，後來改用 .Net 6.0 實作才成功。使用 .Net 6.0 實作的過程如下:

1. 建立一個 MVC 的標準專案: 
 
為了避免憑証問題，所以拿掉了 HTTPS 的設定


2. 改寫 launchSettings.json:
iisSettings 中的 windowsAuthentication 改為 True, anonymousAuthentication 改為 false。如下圖:
 
3. 修改 Program.cs, 加入以下四行指令:
builder.Services.AddAuthentication(IISDefaults.AuthenticationScheme);
builder.Services.AddAuthorization();
app.UseAuthentication();
app.UseAuthorization();
(注意: UseAuthentication 要加在 UseAuthentication 之後, VS 2022 應該會提示要新增 using Microsoft.AspNetCore.Server.IISIntegration;)
 
4. 在 HomeController 增加一個 Action, 以讀取驗証資料:

        [Route("GetAuthenticatedUser")]
        [HttpGet("[action]")]
        public IdentityUser GetUser()
        {
            return new IdentityUser()
            {
                Username = User.Identity?.Name,
                IsAuthenticated = User.Identity != null ? User.Identity.IsAuthenticated : false,
                AuthenticationType = User.Identity?.AuthenticationType
            };
        }

        public class IdentityUser
        {
            public string Username { get; set; }
            public bool IsAuthenticated { get; set; }
            public string AuthenticationType { get; set; }
        }
 
5. 啟動時記得要改用 IIS Express (感覺早上花了兩三個小時在為了這個問題打轉):


6. 執行結果:

第三步，在 IIS 中安裝網站：
1. 在安裝 IIS 時，記得要勾選 windows 驗證


2. 安裝 .Net 6.0 的 Hosting Bundle
https://dotnet.microsoft.com/en-us/download/dotnet/6.0
 
3. 新增網站:
主機名稱留空白 (AD 驗証在網域內好像不會使用指定的主機名稱，這個有待後續再做確認)


如果沒有刪除預設網站，會遇到警告，直接確認即可.


要把 Default Web Site 關閉，再啟動測試站
 
要啟動 windows 驗証: 
在 web.config 中增加 

      <security>

        <authentication>

          <anonymousAuthentication enabled="false" />

          <windowsAuthentication enabled="true" />

        </authentication>

      </security>

修改 applicationHost.config:

檔案位置: %windir%\system32\inetsrv\config\applicationHost.config
這兩地方的 Deny 改為 Allow

<section name="anonymousAuthentication" overrideModeDefault="Deny" />

<section name="windowsAuthentication" overrideModeDefault="Deny" />

 
參考文件: https://docs.microsoft.com/zh-tw/iis/get-started/planning-for-security/how-to-use-locking-in-iis-configuration

3. 可以取得登入資訊如下:

4. 從 Domain 中另一台主機來存取，不用登入，自動取得目前登入者的資訊。
 
5. 從非網域主機連線: 會要求認証
 

目前遇到問題: 在網域中的電腦只能用主機名稱登入，非網域的電腦，才能夠使用網址登入。

測試專案下載: https://github.com/bikehsu/AD60
 

由於 CDN 模式下，網站在判別 client ip 是透過 X-Forwarded-For 來判別來源IP
但因為 X-Forwarded-For 是可以偽裝的 header value，所以 hacker 會在裡面帶入特殊的IP，例如 127.0.0.1

這在正常 CDN 模式下，基本上應該沒有問題，因為程式上抓到的 X-Forwarded-For 會是最後一組IP
但萬一 client 端 不走CDN直連主機，開發者抓 client IP 是先抓 X-Forwarded-For，而不判斷網站是不是在 CDN 模式下
就會誤判來源IP。

解決方式可分為兩方面
1. 抓 X-Forworded-For 的 function 要判別內網IP (包括127.0.0.1)，剔除掉
2. 網站程式判別白名單時，要用 Reuest.UserHostAddress 來判別內部IP
    使用 ClientIP_After_CDN 只能用來判別外部IP 
    * 如果允許IP清單寫在系統參數或資料庫，但內容是 (內網IP + 外網IP)混用，最好是分開來

另外有一個防火牆的設定有關，也是建置網站很重要的設定
也就是設定 policy 時 wan -> virtual ip ，要記得把 NAT 關掉，
不然網站抓到的 UserHostAddress 都會是 190.168.x.254 之類的IP，這樣問題就大了。

    
    
 

今天小三的網站發生怪異的情況，造成網站莫名其妙跑出天天簽到的彈跳視窗

var oEM = new EverydayMain();

oEM.EndDate__StartOrEqual = DateTime.Now.Date; //只要限結束日期就好. (以日為單位)

oEM.Type = EN.Type.彈出式;



oEM.QuerySql();

// 卻產出SQL Select * from [Everyday_Main] With(NoLock)

// 但應該產出 Select * from [Everyday_Main] With(NoLock)    Where [EndDate] >= Convert(datetime, '2021-07-15T00:00:00') and [EN_Type] = 200

使用 set 條件，但產出的SQL卻是沒有 where 字串，這情況我是第一次遇到
是不是產出SQL時這中間用到 static 物件，可能要查一下
-----------------------------

        private static Hashtable _htTypeDefines;

        public static Hashtable htTypeDefines

        {

            get

            {

                if (_htTypeDefines == null)

                {

                    _htTypeDefines = new Hashtable();

                    _htTypeDefines.Add("Id", "int");

看樣子是網站第一次使用DB物件時，兩個 thread 同時在跑會造成這樣的現象
這裡應該要 lock 
 

https://docs.microsoft.com/zh-tw/aspnet/core/host-and-deploy/iis/hosting-bundle?view=aspnetcore-5.0

1. 參考這裡設定第一個網站:
https://blog.johnwu.cc/article/centos-asp-net-core-neginx.html
注意, 文章中有一個錯誤:
/etc/nginx/conf.d/my-website.conf 的第 27 行, 應該是 include /etc/nginx/conf.d/default_proxy_settings;

2.  因為要避開 5000 port, 所以修改第二個網站的 appsettings.json, 讓第二個網站開在 5002 port, 如下.

{

"Logging": {

    "LogLevel": {

     "Default": "Information",

     "Microsoft": "Warning",

     "Microsoft.Hosting.Lifetime": "Information"

    }

},

"Kestrel": {

        "EndPoints": {

                "Http": {

                        "Url": "http://localhost:5002"

                }

        }

},

"AllowedHosts": "*"

}

3. 新增 /etc/nginx/conf.d/my-website2.conf, 要注意
    A. portal2
    B. server localhost:5002
    C. server_name coretest2.bike.idv.tw
    當然 SSL 憑証的檔名也要記得改.

upstream portal2 {

    # localhost:5000 改成 ASP.NET Core 所監聽的 Port

    server localhost:5002;

}



server {

    # 只要是透過這些 Domain 連 HTTP 80 Port，都會轉送封包到 ASP.NET Core

    listen 80;

    # 可透過空白區分，綁定多個 Domain

    server_name coretest2.bike.idv.tw;

    location / {

        proxy_pass http://portal2/;

        include /etc/nginx/conf.d/default_proxy_settings;

    }

}



# 用 HTTPS 必須要有 SSL 憑證，如果沒有要綁定 SSL 可以把下面整段移除

server {

    # 只要是透過這些 Domain 連 HTTPS 443 Port，都會轉送封包到 ASP.NET Core

    listen 443 ssl;

    server_name coretest2.bike.idv.tw;

    ssl_certificate /etc/nginx/ssl/coretest2.bike.idv.tw.crt;

    ssl_certificate_key /etc/nginx/ssl/coretest2.bike.idv.tw.key;



    location / {

        proxy_pass http://portal2/;

        include /etc/nginx/conf.d/default_proxy_settings;

    }

}

改完後就可以用了.

以下是 https://blog.johnwu.cc/article/centos-asp-net-core-neginx.html 抄過來的一些檔案, 作為備份:

setup-aspnet-core.sh

#!/bin/bash



main() {

    sudo yum -y install epel-release

    sudo yum -y update



    install_nginx

    install_dotnet



    sudo firewall-cmd --add-service=http --permanent

    sudo firewall-cmd --add-service=https --permanent

    sudo firewall-cmd --reload

}



install_nginx() {

    echo "###################################"

    echo "########## Install Nginx ##########"

    echo "###################################"

    sudo yum -y install httpd-tools nginx

    sudo setsebool -P httpd_can_network_connect on

    sudo sed -i 's/^SELINUX=.*/SELINUX=disabled/' /etc/selinux/config

    sudo setenforce 0

    sudo systemctl enable nginx

    sudo systemctl restart nginx

}



install_dotnet() {

    echo "###########################################"

    echo "########## Install .NET Core 2.2 ##########"

    echo "###########################################"

    sudo rpm -Uvh https://packages.microsoft.com/config/rhel/7/packages-microsoft-prod.rpm

    sudo yum -y install aspnetcore-runtime-2.2

}



main "$@"

用以下指令執行:

sudo sh setup-aspnet-core.sh

/etc/systemd/system/my-website.service, (/bin/dotnet 有可能是 /usr/bin/dotnet)

[Unit]

# Description=<此服務的摘要說明>

Description=MyWebsite



[Service]

# WorkingDirectory=<ASP.NET Core 專案目錄>

WorkingDirectory=/usr/share/my-website



# ExecStart=/bin/dotnet <ASP.NET Core 起始 dll>

ExecStart=/bin/dotnet MyWebsite.dll



# 啟動若失敗，就重啟到成功為止

Restart=always

# 重啟的間隔秒數

RestartSec=10



# 設定環境變數，注入給 ASP.NET Core 用

Environment=ASPNETCORE_ENVIRONMENT=Production

Environment=DOTNET_PRINT_TELEMETRY_MESSAGE=false



[Install]

WantedBy=multi-user.target

服務相關指令：

# 開啟，開機自動啟動服務

systemctl enable my-website.service



# 關閉，開機自動啟動服務

systemctl disable my-website.service



# 啟動服務

systemctl start my-website.service



# 重啟服務

systemctl restart my-website.service



# 停止服務

systemctl stop my-website.service



# 查看服務狀態

systemctl status my-website.service

/etc/nginx/conf.d/default_proxy_settings

proxy_http_version 1.1;

proxy_set_header Upgrade $http_upgrade;

proxy_set_header Connection $http_connection;

proxy_set_header Host $host;

proxy_set_header X-Real-IP $remote_addr;

proxy_set_header X-Forwarded-Host $remote_addr;

proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

proxy_set_header X-Forwarded-Proto $scheme;

proxy_cache_bypass $http_upgrade;

/etc/nginx/conf.d/my-website.conf

upstream portal {

    # localhost:5000 改成 ASP.NET Core 所監聽的 Port

    server localhost:5000;

}



server {

    # 只要是透過這些 Domain 連 HTTP 80 Port，都會轉送封包到 ASP.NET Core

    listen 80;

    # 可透過空白區分，綁定多個 Domain

    server_name demo.johnwu.cc example.johnwu.cc;

    location / {

        proxy_pass http://portal/;

        include /etc/nginx/conf.d/default_proxy_settings;

    }

}



# 用 HTTPS 必須要有 SSL 憑證，如果沒有要綁定 SSL 可以把下面整段移除

server {

    # 只要是透過這些 Domain 連 HTTPS 443 Port，都會轉送封包到 ASP.NET Core

    listen 443 ssl;

    server_name demo.johnwu.cc;

    ssl_certificate /etc/nginx/ssl/demo.johnwu.cc_bundle.crt;

    ssl_certificate_key /etc/nginx/ssl/demo.johnwu.cc.key;



    location / {

        proxy_pass http://portal/;

        include /etc/nginx/conf.d/default_proxy_settings;

    }

}

Nginx 重新啟動:

# 檢查 Nginx 的設定是否有誤

nginx -t



# 若沒有錯誤，即可套用

nginx -s reload

我單純對這個網站感到好奇，路過打個招呼

for VS2017: 在 sln 檔的目錄下, 找 .vs\config\applicationhost.config

例如: 
D:\ASP.NET Project\S3_WEB4_NET\.vs\config\applicationhost.config


For VS2019: $(solutionDir)\.vs\{slnName}\config\applicationhost.config
例如:
D:\ASP.NET Project\S3_WEB4_NET\.vs\S3\config\applicationhost.config

過去都是使用 jquery lazy load js 來實作延遲載圖，
其運作原理是偵測scroll事件以及img物件的相對位置來決定要不要load圖片

現在有更簡單的方式，就是用 IntersectionObserver API 這個 Web標準
來偵測 img 物件是不是進入可視 webview 範圍
https://developers.google.com/web/updates/2016/04/intersectionobserver

document.addEventListener("DOMContentLoaded", function() {

var lazyImages = [].slice.call(document.querySelectorAll("img.lazy"));;



if ("IntersectionObserver" in window && "IntersectionObserverEntry" in window && "intersectionRatio" in window.IntersectionObserverEntry.prototype) {

    let lazyImageObserver = new IntersectionObserver(function(entries, observer) {

     entries.forEach(function(entry) {

        if (entry.isIntersecting) {

         let lazyImage = entry.target;

         lazyImage.src = lazyImage.dataset.src;

         lazyImage.srcset = lazyImage.dataset.srcset;

         lazyImage.classList.remove("lazy");

         lazyImageObserver.unobserve(lazyImage);

        }

     });

    });



    lazyImages.forEach(function(lazyImage) {

     lazyImageObserver.observe(lazyImage);

    });

}

//這裡可以加上else處理萬一瀏覽器不支援的狀況

});

網頁裡面只要用  <img data-src='圖片網址' class='lazy' />  就可以啦

IntersectionObserver API
目前 Can I Use 網站顯示大部分 browser 都支援，iOS safari 要 12.2 版才支援
應該可以放心使用


 

使用Android手機透過facebook開啟網頁
發現圖片無法出現的問題 如下圖：



使用IOS手機開啟卻是正常的

可能是因為開啟的網站為SSL加密的關係
圖片連結若為http的話會被Facebook擋掉
將圖片連結改為https後就正常了

注意事項 (為避免產出結果和預期有重大差異, 請詳讀以下內容):

1. 若後台有使用 HTML 編輯器, 以 CKEditor 現有功能為準. 編輯器所見內容和前台實際內容可能有差異, 此為無法避免之情況, 請僅慎使用, 建議以文字模式編輯, 以避免跑版.
2. 驗收以 Chrome, IE, Safari, Firefox 結案時間的最新兩個版本為準(IE 目前為 IE Edge 及 IE 11). 手機以前 10 大廠牌兩年內出版的手機為準.
3. Android 手機僅測試 Chrome, IOS 手機僅測試 Safari. 其它手機預設瀏覽器或 APP 內建流覽器不包括在驗收範圍之內.
4. 若需要文件, 除報價有說明外, 應另外計費, 若合約中包括程式檔案說明, 僅限我方建立之程式檔案, 引用之公開套件不另做文件說明.
5. 若客戶要求資安弱點掃瞄, 或通過特別認証, 應另外計費.
6. 本公司盡力維護程式品質, 但無法保証無 Bug, 上線前請完整測試. 若上線後才發現之 Bug, 本公司僅負責修復, 無法提供額外賠償.
7. 主機代管限制
    圖檔以經 Cloudfalre 為準. 若需更高品質可代為申請 amazon 的 CDN 服務.
    Email 不保証送達, 若需更高品質可代為申請 amazon 的 SES 服務.
    每月 1000 張訂單為限, 超過後要另外計算費用.
8. 網站代管, 資料備份以一天一次為準, 如需增加頻率, 另外協議後計價.
9. 搜尋建議使用 Google 的 site search(但偶爾會有廣告, 出現機率很小), 若要自行客製, 合約未明確規定時, 以各單元分開搜尋為準, 例如產品及新聞的搜尋結果會分成兩個搜尋結果頁面, 排序為依等定欄位排序, 比對方式為所輸入的文字明確比對.