自從網站上了 net4.0 之後，網站會有為數不少的 "潛在危險" 的 exception
大都來自不友善的攻擊，想要測試網站的漏洞
網站做這層防護是好事，只是這個東西太敏感了，連簡單的冒號 & 符號都會跳 exception
更慘的是 Google Analytics 會在一些 user cookies 寫入xml文字 ( __utmz=... )
導致正常的 User 都不能正常瀏覽我們網站

解法有兩種:
1. 直接在 web.config 直接設定 不檢查

<system.web>

    <httpRuntime requestValidationMode="2.0" />

    <pages validateRequest="false" />

</system.web>

2. 自訂 RequestValidate (4.0以上才可以用)
請參考此文章 http://msdn.microsoft.com/en-us/library/system.web.util.requestvalidator(v=vs.100).aspx

後者比較算是正解 基本上處理掉 <script 我想 XSS 就解決一大半
 

今天設計反應新增電子報時發生問題
 
 解決方式
1. 先確認 aspx  => ValidateRequest="false
2. 上面如果設定對 

在Web.config中<system.web>中加入

這段 <httpRuntime requestValidationMode="2.0" />就ok了!!!

造成的原因
是.NET 4.0跟2.0版本在請求驗證的定義不同：

ASP.NET Request Validation 請求驗證是ASP.NET提供來保護XSS攻擊的一項功能

在2.0 僅針對.aspx及class進行驗證…

但到了4.0，請求驗認範圍擴大到所有的請求…

而不是只有.aspx，還包含WebService呼叫以及自訂的http Handlers，都會去驗證http請求的內容…

 

之前作的 MaskQueen專案 以及現在 UNT的TR獨立專案
都牽涉到後台使用者及前台User看訂單時間錯誤問題
因為系統時間是TW的時間而操作者是外國的使用者 這就需要有個方便模組來轉換系統時間以及user的時間顯示

這部分我以 Extension Method 方式來處理
in VB

Imports System.Runtime.CompilerServices
Imports Microsoft.VisualBasic
 
Public Module DateTimeExtension
 
    ''' <summary>
    ''' 將系統時間轉為當地的時間並轉為字串
    ''' </summary>
    ''' <param name="dtSystem"></param>
    ''' <returns></returns>
    ''' <remarks></remarks>
    <Extension()> _
    Public Function ToCountryDateTimeString(ByVal dtSystem As DateTime) As String
 
        If dtSystem = DateTime.MinValue Then
            Return "n/a"
        End If
        Dim cstTime As DateTime = dtSystem.ToCountryDateTime()
        ' tr-TR -> dd.MM.yyyy HH:mm:ss
        Dim langCode As String = SHOPUNT.DB.SysConfig.GetSysConfig("DefaultLangCode")
        Dim culture As New System.Globalization.CultureInfo(langCode)
        If cstTime.AddMonths(6) < Now Then
            Return cstTime.ToString("dd.MM.yyyy HH:mm", culture)
        Else
            Return cstTime.ToString("dd.MMM HH:mm", culture)
        End If
 
    End Function
 
    ''' <summary>
    ''' 將系統時間轉為當地的時間
    ''' </summary>
    ''' <param name="dtSystem"></param>
    ''' <returns></returns>
    ''' <remarks></remarks>
    <Extension()> _
    Public Function ToCountryDateTime(ByVal dtSystem As DateTime) As DateTime
        Dim cstZone As TimeZoneInfo = TimeZoneInfo.FindSystemTimeZoneById(SHOPUNT.DB.SysConfig.GetSysConfig("DefaultTimeZone"))
        Dim localZone As TimeZoneInfo = TimeZoneInfo.Local
        Dim cstTime As DateTime = TimeZoneInfo.ConvertTime(dtSystem, localZone, cstZone)
        Return cstTime
    End Function
 
    ''' <summary>
    ''' 將使用者輸入的時間轉為系統時間
    ''' </summary>
    ''' <param name="dtCountry"></param>
    ''' <returns></returns>
    ''' <remarks></remarks>
    <Extension()> _
    Public Function ToSystemDateTime(ByVal dtCountry As DateTime) As DateTime
        Dim cstZone As TimeZoneInfo = TimeZoneInfo.FindSystemTimeZoneById(SHOPUNT.DB.SysConfig.GetSysConfig("DefaultTimeZone"))
        Dim localZone As TimeZoneInfo = TimeZoneInfo.Local
        Dim sysTime As DateTime = TimeZoneInfo.ConvertTime(dtCountry, cstZone, localZone)
        Return sysTime
    End Function
 
End Module

使用上 只要
DateTime.Now.ToCountryDateTime() 就可以把系統時間轉換成user時間
相反的也有把 user時間轉換成系統時間的功能 ToSystemDateTime()

英國的TimeZone: GMT Stanard Time
Turkey的TimeZone: Turkey Stanard Time
以上的值可以用 TimeZoneInfo.GetSystemTimeZones() 找出來

VB.NET 時間類別因為沿襲自 VB，所以可以用 Date 型別宣告時間變數
實際上在 .NET 他等於 System.DateTime (C# 沒有 Date型別, 只有System.DateTime)
VB.NET 的 Date 可以設定常數，例如 #12/30/2014# (注意!格式是 MM/dd/yyyy, 用 #包起來)，這是C#沒有的 
VB.NET 的 Date 也可以等於 Nothing (Nothing = #12:00:00 AM#)
C# 的 DateTime 可以指定為 default(DateTime) 但是不能 = null

由於 optional 參數必須指定預設值，因此當使用 Date 當作 optional 參數時就要設定以上說的值

Public Sub AddNewCustomer(customer As Customer, Optional dateAdded As Date = Nothing)

     If dateAdded = Nothing Then dateAdded = Now

// C# 4.0 以後的 function 已經可以使用 optional 參數

public void AddNewCustomer(Customer customer, DateTime dateAdded = default(DateTime))

     {

         if (dateAdded == default(DateTime)) dateAdded = DateTime.Now;

         ......

Public Sub AddNewCustomer(customer As Customer, Optional dateAdded As Date = #12/30/1899#)

 

假如你現在在ASP.NET 4.0 的環境下的話，就算進行上述的設定，可能仍會出現驗證失敗的訊息(潛在危險Request.QueryString的錯誤訊息)
因為ASP.NET4.0與2.0版本在請求驗證的定義上已經有所不同：

這時為了避免這樣的問題，一樣在Web.Config中 <system.web>下加入下列語句
<httpRuntime requestValidationMode="2.0" />

http://www.dotblogs.com.tw/pin0513/archive/2010/10/22/18522.aspx

因為 SHOPUNT 的線上產品有兩千多筆，然後網站有非常頻繁的查詢
例如檢查產品是否停賣

原本的寫法是用以下方法尋找

DT.Select("Id=" & ProductId) 

後來改寫 DataTable 加上 PrimaryKey

'寫入Cache前先設定好

DT.PrimaryKey = New DataColumn() {obj.Columns("Id")} 

Dim row As DataRow = DT.Rows.Find(ProductId)

共1085筆 找出其中一筆 
Select方法  - 00:00:00.0000559
Rows.Find -   00:00:00.0000064

兩者速度差了約10倍
 

下面的圖片可以注意 GetStopSellProducts.aspx 的執行位置。

原來的做法，在 window.load 時就執行一段 longcode，window.load 的時間約在 736 ms: 

$(window).load(function () {

    UpdateQty();

});

用 setTimeout 去呼叫 UpdateQty 大概可以省下 200 ms，只要 507 ms 就可以完成 window.load，如下圖。

$(window).load(function () {

    window.setTimeout("UpdateQty();", 100);    

});

 
 

有點白癡的問題，弄了半個小時。

           $(window).load(function () {
               window.setTimeout("FloatingBag.getFloatingBag();", 20);
           });

//           $(document).load(function () {
//               
//           })

USE [master]

GO

/****** Object: StoredProcedure [dbo].[sp_who3]    Script Date: 06/26/2008 09:40:54 ******/

SET ANSI_NULLS ON

GO

SET QUOTED_IDENTIFIER ON

GO

CREATE PROCEDURE [dbo].[sp_who3]    

(    

@filter tinyint = 1,    

@filterspid int = NULL    

)    

AS    

SET NOCOUNT ON;    

    

DECLARE @processes TABLE    

(    

spid int,    

blocked int,    

databasename varchar(256),    

hostname varchar(256),    

program_name varchar(256),    

loginame varchar(256),    

status varchar(60),    

cmd varchar(128),    

cpu int,    

physical_io int,    

[memusage] int,    

login_time datetime,    

last_batch datetime,    

current_statement_parent xml,

current_statement_sub xml)



INSERT INTO @processes    

SELECT sub.*

FROM

(

SELECT sp.spid,    

sp.blocked,    

sd.name,    

RTRIM(sp.hostname) AS hostname,

RTRIM(sp.[program_name]) AS [program_name],    

RTRIM(sp.loginame) AS loginame,    

RTRIM(sp.status) AS status,    

sp.cmd,    

sp.cpu,    

sp.physical_io,    

sp.memusage,    

sp.login_time,    

sp.last_batch,

(

    SELECT

LTRIM(st.text) AS [text()]

    FOR XML PATH(''), TYPE

) AS parent_text,

(

    SELECT

LTRIM(CASE

WHEN LEN(COALESCE(st.text, '')) = 0 THEN NULL

ELSE SUBSTRING(st.text, (er.statement_start_offset/2)+1,

((CASE er.statement_end_offset

WHEN -1 THEN DATALENGTH(st.text)

ELSE er.statement_end_offset

END - er.statement_start_offset)/2) + 1)

END) AS [text()]

FROM sys.dm_exec_requests er CROSS APPLY sys.dm_exec_sql_text(er.sql_handle) AS st

WHERE er.session_id = sp.spid

    FOR XML PATH(''), TYPE

) AS child_text

FROM sys.sysprocesses sp WITH (NOLOCK) LEFT JOIN sys.sysdatabases sd WITH (NOLOCK) ON sp.dbid = sd.dbid

CROSS APPLY sys.dm_exec_sql_text(sp.sql_handle) AS st

) sub INNER JOIN sys.sysprocesses sp2 ON sub.spid = sp2.spid

ORDER BY

sub.spid



-- if specific spid required    

IF @filterspid IS NOT NULL    

DELETE @processes    

WHERE spid <> @filterspid    

    

-- remove system processes    

IF @filter = 1 OR @filter = 2    

DELETE @processes    

WHERE spid < 51

OR spid = @@SPID

    

-- remove inactive processes    

IF @filter = 2    

DELETE @processes    

WHERE status = 'sleeping'    

AND cmd IN ('AWAITING COMMAND')    

AND blocked = 0    



SELECT spid,    

blocked,    

databasename,    

hostname,    

loginame,    

status,    

current_statement_parent,

current_statement_sub,

cmd,    

cpu,    

physical_io,    

program_name,    

login_time,    

last_batch    

FROM @processes    

ORDER BY spid



RETURN 0; 

查詢過濾sp_who3

DECLARE @Table TABLE(

        spid int,    

        blocked int,    

        databasename varchar(256),    

        hostname varchar(256),    

        loginame varchar(256),    

        status varchar(60),    

        current_statement_parent xml,

        current_statement_sub xml,

        cmd varchar(128),    

        cpu int,    

        physical_io int,    

        program_name varchar(256),    

        login_time datetime,    

        last_batch datetime

)



INSERT INTO @Table EXEC sp_who3



SELECT *

FROM    @Table

WHERE databasename= 'Leon' and cmd = 'AWAITING COMMAND'

and CAST(current_statement_parent AS nvarchar(max)) not LIKE '%AspNet_SqlCachePollingStoredProcedure%'

order by CAST(current_statement_parent AS nvarchar(max))

這是一篇加密文章，需輸入密碼才可閱讀