ASP-переменные сеанса ASP.NET

Question

У нас есть веб-сайт в классическом asp, который мы медленно переносим на ASP.NET по мере необходимости.

Проблема, конечно, в том, как классические asp и ASP.NET обрабатывают сеансы. Проведя последние несколько часов, исследуя Интернет, я нашел много статей, но не тот, который выделялся среди других.

Есть ли наилучшая практика для переноса переменных сеанса из и в классические asp и asp.net? Безопасность является обязательным, и любое объяснение с примерами очень ценится.

Answer 1

Простой мост передать одну переменную сеанса от классического жереха к .net ServerSide (скрывая ваш sessionvalue от клиента), будет таким:

• На конце ASP: Сотрудница осина страницы для вывода ваш сеанс, назовите его, например, asp2netbridge.asp

  <% 
  'Make sure it can be only called from local server ' 
  if (request.servervariables("LOCAL_ADDR") = request.servervariables("REMOTE_ADDR")) then 
      if (Request.QueryString("sessVar") <> "") then 
       response.write Session(Request.QueryString("sessVar")) 
      end if 
  end if 
  %> 
  

• В конце .net, удаленный вызов к этой осины странице.:

  private static string GetAspSession(string sessionValue) 
  { 
      HttpWebRequest _myRequest = (HttpWebRequest)WebRequest.Create(new Uri("http://yourdomain.com/asp2netbridge.asp?sessVar=" + sessionValue)); 
      _myRequest.ContentType = "text/html"; 
      _myRequest.Credentials = CredentialCache.DefaultCredentials; 
      if (_myRequest.CookieContainer == null) 
       _myRequest.CookieContainer = new CookieContainer(); 
      foreach (string cookieKey in HttpContext.Current.Request.Cookies.Keys) 
      { 
       ' it is absolutely necessary to pass the ASPSESSIONID cookie or you will start a new session ! ' 
       if (cookieKey.StartsWith("ASPSESSIONID")) { 
        HttpCookie cookie = HttpContext.Current.Request.Cookies[cookieKey.ToString()]; 
        _myRequest.CookieContainer.Add(new Cookie(cookie.Name, cookie.Value, cookie.Path, string.IsNullOrEmpty(cookie.Domain) 
         ? HttpContext.Current.Request.Url.Host 
         : cookie.Domain)); 
       } 
      } 
      try 
      { 
       HttpWebResponse _myWebResponse = (HttpWebResponse)_myRequest.GetResponse(); 
  
       StreamReader sr = new StreamReader(_myWebResponse.GetResponseStream()); 
       return sr.ReadToEnd(); 
      } 
      catch (WebException we) 
      { 
       return we.Message; 
      } 
  } 
  

Answer 2

Они используют разные сеансы, поэтому вам нужно будет придумать способ передачи самих варсов. Вы можете включить их в файлы cookie или отправить их через HTTP POST (т. Е. Форму со скрытыми полями) на сторону asp.net.

В качестве альтернативы вы можете отказаться от использования хранилища сеансов и вставить все в базу данных для каждого пользователя/сеанса, а затем просто передать ключ сеанса от классического ASP к ASP.NET с помощью одного из вышеуказанных предложений. Я знаю, это звучит так, будто вы изобретаете колесо, но это может быть один из тех случаев, когда вы просто не можете обойти его.

Answer 3

Я использовал мост ajax (не хочу лучшего термина), в частности, классическую страницу asp, которая читает все сессии vars в базе данных с помощью guid, затем перенаправляет на .net-страницу, передавая guid в querystring, страница asp.net читает из sql для данного guid и создала эти vars как сеансы.

Например, в классическом осины (псевдокод код - просто чтобы дать вам представление о том, использовать параметризованные запросы в вашем и т.д.):

'#### Create GUID 
Dim GUID 'as string 
GUID = CreateWindowsGUID() '#### Lots of methods on http://support.microsoft.com/kb/320375 

'#### Save session to sql 
For Each SessionVar In Session.Contents 
    db.execute("INSERT INTO SessionBridge (GUID, Key, Value) VALUES ('" & GUID & "', '" & SessionVar & "', '" & session(SessionVar) & "')") 
Next 

Затем на странице .net:

'#### Fetch GUID 
Dim GUID as string = Request.QueryString("GUID") 
session.clear 

'#### Fetch from SQL 
db.execute(RS, "SELECT * FROM SessionBridge WHERE GUID = '" & GUID & "'") 
For Each db_row as datarow in RS.rows 
    Session(db_row("Key")) = db_row("Value") 
Next 

Как я уже сказал, это очень грубый псевдокод, но вы можете вызвать asp с помощью простой функции фона ajax, а затем вызвать страницу .net для данного GUID.

Это имеет то преимущество, что вы не подвергаете клиенту все ваши ценности и ценности (как это делают почтовые методы и т. Д.).

Answer 4

У меня есть сайт, который делает это точное действие. Секрет заключается в том, чтобы использовать промежуточную страницу с функцией осины Response.Redirect

<% 
client_id = session("client_id") 
response.redirect "aspx_page.aspx?client_id=" & client_id 
%> 

Это пример тянуть классическую осины сеанса переменной client_id и передать его на страницу ASPX. Ваша страница aspx должна будет обработать ее оттуда.

Это должно быть в верхней части классической страницы asp, без HTML любого типа, указанного выше. IIS будет обрабатывать это на сервере и перенаправлять на страницу aspx с прилагаемой строкой запроса, не отправляя данные на клиентскую машину. Это очень быстро.

Answer 5

В случае, если кто-то спотыкается сюда в поисках какой-то помощи, другой возможный вариант заключается в использовании куки. Преимущество куки-файла заключается в том, что вы можете хранить разумные объемы данных и затем сохранять эти данные в своем .Net-приложении (или другом веб-приложении). Существуют угрозы безопасности при публикации cookie, поскольку эти данные можно легко манипулировать или подделывать. Я бы не отправлял конфиденциальные данные в файл cookie. Здесь cookie хранит только уникальный идентификатор, который может использоваться для извлечения данных из таблицы.

подход:

1. захватить данные сеанса вам нужно от классической страницы осины. Храните эти данные в таблице вместе с уникальным хешем и временной меткой.
2. Сохраните значение хэша в недолговечном файле cookie.
3. Перенаправление на любую страницу, в которой вы должны пойти, и прочитать хэш в файле cookie.
4. Убедитесь, что хэш в файле cookie не истек в базе данных. Если это действительно так, отправьте обратно данные, необходимые для вашей страницы, а затем истечь хэш, чтобы он не мог быть повторно использован.

Я использовал хэш SHA 256, который был комбинацией уникального идентификатора пользователя, идентификатора сеанса и текущей метки времени. Хэш действителен всего несколько минут и истек при чтении. Идея состоит в том, чтобы ограничить окно для злоумышленника, которому нужно было бы угадать действительный хеш до истечения срока его действия.