详解Asp.net web.config customErrors 如何设置
摘要 customErrors也经常在开发部署中看到<customErrors mode="Off" />,设置这样可以在页面上看到详细的错误信息。但也为黑客提供了攻击的线索。 customErrors 该节点有三种可选的设置项
详细的错误信息可能会暴露应用程序的内部结构,比如如果写的sql语句中报错,可能会暴露数据表,以及sql语句,这是非常不安全的。在Off设置下的网站,黑客会不断的尝试,传递不同的参数,使你的网站出错,然后暴露你的应用程序的内部结构。 mode=Off 比如: <system.web> <authentication mode="None" /> <compilation debug="true" targetFramework="4.5" /> <httpRuntime targetFramework="4.5" /> <customErrors mode="Off" defaultRedirect="error"> </customErrors> </system.web> 在TestAction中直接抛出一个异常,那么我们可以看到与下面类似的黄页 在黄页上面可以看到,页面对应逻辑的堆栈信息,进而暴露项目结构信息。非常的不安全。 那么如果是mode=Off,并且在事件Application_Error中记录并清除错误,会看到什么结果? protected void Application_Error(object sender,EventArgs e) { var context = HttpContext.Current; if (context != null) { Exception objErr = context.Server.GetLastError(); if (objErr != null) { string err = "Error Caught in Application_Error event/n" + "Error in:" + Request.Url.ToString() + "/nError Message:" + objErr.Message.ToString() + "/nStack Trace:" + objErr.StackTrace.ToString(); 、、、、、日志逻辑 Server.ClearError(); } } } <customErrors mode="Off" defaultRedirect="Error"> </customErrors> defaultRedirect 指定发生错误时浏览器指向的默认 URL。如果没有指定 defaultRedirect,则会显示一般性错误。URL 既可以是绝对的(例如 http://www.***.com/ErrorPage.htm),也可以是相对的。相对 URL(如 /ErrorPage.htm)是相对于指定 defaultRedirect 的 Web.config 文件而言的,而不是针对产生错误的网页。以波形符 (~) 开头的 URL(如 ~/ErrorPage.htm)表示所指定的 URL 是相对于应用程序根路径而言的。 通过上面的操作,如果设置Off,并且在Application_Error事件中捕获异常,并 Server.ClearError(),那么如果报错,在前端页面就会看到空白的页面。 通过这个也可以说明,如果应用程序出错,先触发的Application_Error事件,ClearError之后,那么在页面上就看不到结果了。 mode=On 在设置On模式情况下,如果应用程序发生错误,会跳转到自定义的错误页,这里使用了defaultRedirect属性,并没有配置 <error statusCode="500" redirect="error"/> mode=RemoteOnly 通过字面意思,仅仅远程,仅仅远程什么呢?可以看下例子。目前所在编码环境,通过vs调试状态,相对远程要访问的用户,可以将本机当做服务器。那么这就是本地,远程访问的浏览器就是Remote。 可以看到,在服务器端,访问仍然能看到黄页,也就是上面所说的ASP.NET错误。那么我们将站点部署在服务器,然后在本地访问会出现什么情况呢? 通过客户端访问服务器的url,则会跳转到默认的自定义错误页面。那么在服务器端又是什么情况呢? 说明: 仅向远程客户端端显示自定义错误,并向本地主机显示 ASP.NET 错误 总结 所以,不要在生产环境中将customErrors关闭。 推荐开启RemoteOnly或者On并定义自定义的错误页面。 以上就是本文的全部内容,希望对大家的学习有所帮助,也希望大家多多支持编程小技巧。 您可能感兴趣的文章:
(编辑:李大同) 【声明】本站内容均来自网络,其相关言论仅代表作者个人观点,不代表本站立场。若无意侵犯到您的权利,请及时与联系站长删除相关内容! |
- asp.net – 在UpdatePanel asyncpostback后丢失的页面
- ASP.NET 5 MVC(Visual Studio 2015):一个名为Inject的关键
- asp.net-mvc – 在Asp.Net MVC应用程序中使用Structuremap将
- asp.net – HttpClient:通常只允许使用每个套接字地址(协议
- asp.net – 异步操作方法和IO完成端口
- 当我与Fiddler核实时,为什么我的asp.net mvc应用程序现在要
- asp.net-mvc – Razor中的条件链接
- 我在哪里可以报告ASP.NET浏览器文件的问题?
- asp.net – ELMAH日志的独立查看器应用程序
- asp.net-mvc – ASP.NET MVC是否使用常规工具箱控件?
- ASP.NET 5 / MVC 6数据库优先 – 在应用程序配置
- asp.net-mvc – Umbraco 7自定义cookie
- asp.net-mvc – 在ASP.NET MVC中调用Session_End
- ASP.NET MVC 2 – 如何使用IgnoreRoute忽略整个目
- 使用asp.net标识更新用户角色
- asp.net成员资格 – 在Application_Authenticati
- .NET Core技术研究-通过Roslyn代码分析技术规范提
- 如何在ASP.NET应用程序中创建类的实例
- asp.net-mvc – F#支持最新的asp.net 5和MVC6
- asp.net-core – aspnet核心应用程序中的Autofac