自從網站上了 net4.0 之後，網站會有為數不少的 "潛在危險" 的 exception
大都來自不友善的攻擊，想要測試網站的漏洞
網站做這層防護是好事，只是這個東西太敏感了，連簡單的冒號 & 符號都會跳 exception
更慘的是 Google Analytics 會在一些 user cookies 寫入xml文字 ( __utmz=... )
導致正常的 User 都不能正常瀏覽我們網站

解法有兩種:
1. 直接在 web.config 直接設定 不檢查

<system.web>

    <httpRuntime requestValidationMode="2.0" />

    <pages validateRequest="false" />

</system.web>

2. 自訂 RequestValidate (4.0以上才可以用)
請參考此文章 http://msdn.microsoft.com/en-us/library/system.web.util.requestvalidator(v=vs.100).aspx

後者比較算是正解 基本上處理掉 <script 我想 XSS 就解決一大半
 

今天設計反應新增電子報時發生問題
 
 解決方式
1. 先確認 aspx  => ValidateRequest="false
2. 上面如果設定對 

在Web.config中<system.web>中加入

這段 <httpRuntime requestValidationMode="2.0" />就ok了!!!

造成的原因
是.NET 4.0跟2.0版本在請求驗證的定義不同：

ASP.NET Request Validation 請求驗證是ASP.NET提供來保護XSS攻擊的一項功能

在2.0 僅針對.aspx及class進行驗證…

但到了4.0，請求驗認範圍擴大到所有的請求…

而不是只有.aspx，還包含WebService呼叫以及自訂的http Handlers，都會去驗證http請求的內容…

 

今天在觀察 Chrome 怎麼處理網頁中的 <script type="text/javascript" src="/scripts/unt.14.04.10.19.05.42.js"></script>  時，終於明白何時才會 200 (From Cache) (unt.14.04.10.19.05.42.js 是假的，實際會被重導到 scripts.aspx 來處理。)

1. 在網址列，同網址再按一下  Enter 載入時，Chrome 會對相同的網址再次送出 request。

2. 若是點選頁面中的連結或是在網址列輸入其它網址，才有可能看到 200 (From Cache)

在情況 1 時，若是有使用 Response.Cache.SetLastModified(Now) 則會看到 304 ，否則會把 Script 重新載入一次。

所以在 Server 最佳的(我覺得)寫法是:

Response.Cache.SetCacheability(HttpCacheability.Private)

Response.Cache.SetExpires(Now.AddYears(1))  '一年後才會到期，沒有這個就不會有 200 (From Cache)

Response.Cache.SetLastModified(Now)  '若是 Browser 送出了一個新的 Request, 有可能會回 304

不過有趣的是，在 scripts.aspx 收到帶有 ​If-Modified-Since 的 Request 時，是怎麼判斷要回應 304 的，我在 .vb 裡面沒有加上這個處理吔。

假如你現在在ASP.NET 4.0 的環境下的話，就算進行上述的設定，可能仍會出現驗證失敗的訊息(潛在危險Request.QueryString的錯誤訊息)
因為ASP.NET4.0與2.0版本在請求驗證的定義上已經有所不同：

這時為了避免這樣的問題，一樣在Web.Config中 <system.web>下加入下列語句
<httpRuntime requestValidationMode="2.0" />

http://www.dotblogs.com.tw/pin0513/archive/2010/10/22/18522.aspx

D:\thelifeCSR.txt此檔案即為 CSR [憑證要求檔案]
 

製作 Global 網站時，由於User來自世界各地
而各地對於時間格式以及貨幣，數字顯示方式都有所不同
這時就需要 .NET Globalization -> CultureInfo 來處理這個問題
CultureInfo 是基於 Language Code 來的
而 user 的 Language Code 基本上瀏覽器會放在 Request Header 送到Server
(ex. Accept-Language: zh-TW,zh;q=0.8,en-US;q=0.6,en;q=0.4)

        Dim d As Date = Now

        Dim n As Decimal = 86400.99

        Dim Cultures() As String = {"zh-TW", "pt-BR", "pt-PT", "en-US", "en-GB", "fr-FR", "de-DE", "es-ES", "ja-JP", "zh-CN", "ko-KR", "en-IN"}

        For i As Integer = 0 To Cultures.GetUpperBound(0)

            Dim c As New Globalization.CultureInfo(Cultures(i))

            Response.Write(Cultures(i) & "<br/>" & d.ToString("D", c) & " <br/>" & d.ToString("d", c) & "<br/>" & n.ToString("C", c))

            Response.Write("<hr/>")

        Next

結果如下:

zh-TW

2013年12月25日

2013/12/25

NT$86,400.99



pt-BR

quarta-feira, 25 de dezembro de 2013

25/12/2013

R$ 86.400,99



pt-PT

quarta-feira, 25 de Dezembro de 2013

25-12-2013

86.400,99 €



en-US

Wednesday, December 25, 2013

12/25/2013

$86,400.99



en-GB

25 December 2013

25/12/2013

£86,400.99



fr-FR

mercredi 25 décembre 2013

25/12/2013

86 400,99 €



de-DE

Mittwoch, 25. Dezember 2013

25.12.2013

86.400,99 €



es-ES

miércoles, 25 de diciembre de 2013

25/12/2013

86.400,99 €



ja-JP

2013年12月25日

2013/12/25

¥86,401



zh-CN

2013年12月25日

2013/12/25

￥86,400.99



ko-KR

2013년 12월 25일 수요일

2013-12-25

₩86,401



en-IN

25 December 2013

25-12-2013

₹ 86,400.99

ASP.NET程式開發時，有時候會寫資料到cookies
這時我們會用 Response.Cookies.Add 寫入
但是大家都會忽略到一種情況，如果後面程式也會使用到該cookies時
Request.Cookies 會抓不到剛設定的cookies
這時就要 Request.Cookies.Set 來設定 Request 值

錯誤示範:
Page_Load --> Response.Cookies.Add a Cookie named "test"
Page_PreRender --> Request.Cookies("test") --> Nothing 

正確示範(同時寫兩行):
Page_Load --> Response.Cookies.Add a Cookie named "test"
              Request.Cookies.Set a Cookie named "test" 
Page_PreRender --> Request.Cookies("test") --> Got it!

 

由於遇到信用卡 return 的 Form 中文是用 big5 encode 狀況
而我們網站都是UTF-8， 因此 Request.Form 的中文內容會變成亂碼
因此必須設定網頁的 RequestEncoding 為 big5 
可惜 .NET 2.0 的 @Page 屬性無法設定 RequestEncoding， 只能由 web.config 下手
幸好 web.config 可以設定 locaion 為特定網頁或目錄設定屬性
設定如下(append 在根目錄 configuration 下即可):

  <location path="tch/Shopping/NCCReturn.aspx">

    <system.web>

      <globalization fileEncoding="utf-8" requestEncoding="big5" responseEncoding="utf-8" culture="zh-TW"/>

    </system.web>

  </location>

昨天Peter提到同一個 Session 只能一次 Request一個 Page
發現這篇文章有描述 http://blog.darkthread.net/post-2011-08-27-aspx-session-lock.aspx
主要是為了保持Session Data一致性 所以要 Lock Session

所以網頁綁 SessionState 是會影像效能的，尤其使用 StateServer 或 SqlServer 方式影響更大
一般.aspx 預設是有的，所以 aspx 有個 EnableSessionState 可以處理是否綁 SessionState
True: 可 Read, Write
ReadOnly: 可 Read
False: 完全不綁定 Session
如果網頁完全用不到 Session，可以考慮把她關閉，效能會好一點，但要注意相關程式碼、元件是否有用到，不然會有Exception

另外 web handler (.ashx) 預設是不綁 Session 的，對於單純的程式處理(例如 Ajax),建議用.ashx
但是在某些狀況下，.ashx 可能需要用到 Session
這時就要import( or using) Web.SessionState， 然後 Class 實作 IRequiresSessionState Interface
就OK啦

今天去亞卡讀書會剛好有提到跨站的 ajax
除了JSONP之外，其實W3C也有訂標準
http://www.w3.org/TR/cors/
https://developer.mozilla.org/zh-TW/docs/HTTP/Access_control_CORS
基本精神就是
A網站呼叫B網站
A網站的Request Header要加上 Origin: (這個瀏覽器會自動加上)
B網站Response Header要加上一些 Access-Control-Allow-Origin:
這樣就可以通了 不過Request並不會帶上B網站的cookies
若是希望 Request 時也要送上 cookies 資訊，則http物件要加上 .withCredentials = true
不過 IE7以下確定是不支援這的機制，IE8以上則還要測看看