對于有人認(rèn)為采用Web開發(fā)采用協(xié)議會(huì)導(dǎo)致安全問題的論述，我認(rèn)為這個(gè)會(huì)誤導(dǎo)大家。因?yàn)?，NAMED協(xié)議對和之間需要級(jí)的安全認(rèn)證，照上面的說法，豈不是也存在安全隱患?
問題不是出在協(xié)議本身，而是開發(fā)者的開發(fā)方法。正如作者所說的程序員會(huì)把數(shù)據(jù)庫連接的信息寫在一個(gè)INC文件，而這個(gè)INC文件所在的Web目錄往往又設(shè)置成了可讀寫。這些問題，都是開發(fā)者自身的問題，而不是采用了什么協(xié)議的問題。
因此，我總結(jié)在Web開發(fā)的時(shí)候，應(yīng)該注意：
1 體系架構(gòu)設(shè)計(jì)應(yīng)該注意， 數(shù)據(jù)庫服務(wù)器和Web服務(wù)器不要位于同一臺(tái)物理服務(wù)器，Web服務(wù)器應(yīng)該配置兩塊網(wǎng)卡，目的只有一個(gè)，就是要把數(shù)據(jù)庫服務(wù)器放置在內(nèi)網(wǎng)，而不是暴露在INTERNET上。
2 Web服務(wù)器前應(yīng)該配置，提高Web服務(wù)器的抗侵襲能力
3 數(shù)據(jù)庫登陸賬號(hào)的安全問題，Web程序不應(yīng)該通過具有系統(tǒng)管理員權(quán)限的賬號(hào)訪問系統(tǒng)。數(shù)據(jù)庫員應(yīng)很好地規(guī)劃數(shù)據(jù)庫訪問權(quán)限地控制。
4 Web端程序，要避免把數(shù)據(jù)庫連接的信息直接寫在jsp或asp中，方法很多：
a) 可以考慮ODBC，程序中只需要一個(gè)dsn就可以，賬號(hào)和密碼設(shè)置在odbc管理器中。
b) 把連接串信息加密，程序自己解密
c) 把數(shù)據(jù)庫操作部分做成一個(gè)組件。