ASP是位於伺服器端的指令碼執行環境，通過這種環境，使用者可以建立和執行動態的互動式Web 伺服器應用程式。ASP使用的ActiveX技術基於開放設計環境，使用者可以自己定義和製作元件 加入其中，使自己的動態網頁幾乎具有無限的擴充能力。ASP還可利用ADO方便快捷地訪問數 據庫,從而使得開發基於WWW的應用系統成為可能。但是，千萬不要輕視正確配置安全設定的 重要性。如果不正確配置安全設定，不但會使您的ASP應用程式遭受不必要的篡改，而且會 妨礙正當使用者訪問您的asp檔案。Web伺服器提供了各種方法，保護您的ASP應用程式不被 未授權的使用者訪問和篡改。
1 NTFS 許可權
您可以通過單獨的檔案和目錄應用NTFS訪問許可權來保護ASP應用程式檔案。NTFS 許可權是We b伺服器安全性的基礎，它定義了一個或一組使用者訪問檔案和目錄的不同級別。當擁有Windo ws NT 有效帳號的使用者試圖訪問一個有許可權限制的檔案時，計算機將檢查檔案的訪問控制表 。該表定義了不同使用者和使用者組所被賦予的許可權。如果使用者的帳號具有開啟檔案的許可權，計 算機則允許該使用者訪問檔案。
2 維護Global asa的安全
為了充分保護 ASP 應用程式，一定要在應用程式的Global asa檔案上為適當的使用者或使用者 組設定NTFS檔案許可權。如果Global asa包含向瀏覽器返回資訊的命令而您沒有保護 Global asa檔案，則資訊將被返回給瀏覽器，即便應用程式的其他檔案被保護。而且，一定 要對應用程式的檔案應用統一的NTFS許可權。
3 Web 伺服器許可權
可以通過配置的Web伺服器的許可權來限制所有使用者檢視、執行和操作的ASP頁的方式。不同於 NTFS許可權提供的控制特定使用者對應用程式檔案和目錄的訪問方式，Web伺服器許可權應用於所 有使用者，並且不區分使用者帳號的型別。對於要執行您的ASP應用程式的使用者，在設定Web服務 器許可權時，必須遵循下列原則：
對包含 asp檔案的虛擬目錄允許“讀”或“指令碼”許可權；對 asp檔案和其他包含指令碼的文 件所在的虛目錄允許“讀”或“指令碼”許可權；對包含 asp檔案和其他需要“執行”許可權才 能執行的檔案的虛目錄允許“讀”和“執行”許可權。
4 指令碼對映檔案
應用程式的指令碼對映保證了Web伺服器不會意外地下載 asp檔案的原始碼。例如，即使您為 包含了某個 asp檔案的目錄設定了“讀”許可權，只要該 asp檔案隸屬於某個指令碼對映應用 程式，那麼您的Web伺服器就不會將該檔案的原始碼返回給使用者。
5 Cookie 安全性
ASP 使用SessionID cookie跟蹤應用程式訪問或會話期間特定的Web瀏覽器的資訊。這就是 說，帶有相應的 cookie 的 HTTP 請求被認為是來自同一Web瀏覽器。Web伺服器可以使用Se ssionID cookies 配置帶有使用者特定會話資訊的ASP應用程式。
5.1 SessionID能否被黑客猜中
為了防止計算機黑客猜中SessionID cookie並獲得對合法使用者的會話變數的訪問，Web 服務 器為每個SessionID指派一個隨機生成號碼。
每當使用者的Web瀏覽器返回一個 SessionID coo kie時，伺服器取出SessionID和被賦予的數字，接著檢查是否與儲存在伺服器上的生成號碼 一致。若兩個號碼一致，將允許使用者訪問會話變數。這一技術的有效性在於被賦予的數字的 長度（64 位），此長度使計算機黑客猜中SessionID從而竊取使用者的活動會話的可能性幾乎 為0。
5.2 加密重要的SessionID Cookie
截獲了使用者sessionID cookie的計算機黑客可以使用此cookie假冒該使用者。如果ASP應用程 序包含私人資訊，信用卡或銀行帳戶號碼，擁有竊取的cookie的計算機黑客就可以在應用程 序中開始一個活動會話並獲取這些資訊。您可以通過對您的Web伺服器和使用者的瀏覽器間的 通訊鏈路加密來防止SessionID cookie被截獲。
6 使用身份驗證機制保護被限制的ASP內容
您可以要求每個試圖訪問被限制的ASP內容的使用者必須要有有效的Windows NT帳號的使用者名稱 和密碼。每當使用者試圖訪問被限制的內容時，Web伺服器將進行身份驗證，即確認使用者身份 ，以檢查使用者是否擁有有效的Windows NT帳號。Web伺服器支援以下幾種身份驗證方式：
6.1 基本身份驗證 提示使用者輸入使用者名稱和密碼
Windows NT請求/響應式身份驗證 從使用者的Web瀏覽器通過加密方式獲取使用者身份資訊。 然 而，Web伺服器僅當禁止匿名訪問或Windows NT檔案系統的許可權限制匿名訪問時才驗證使用者 身份。
6.2 保護元資料庫
訪問元資料庫的ASP指令碼需要Web伺服器所執行的.計算機的管理員許可權。在從遠端計算機上運 行這些指令碼時，須經已通過身份驗證的連線，如使用 Windows NT 請求/響應驗證方式進行 連線。應該為管理級 asp檔案建立一個伺服器或目錄並將其目錄安全驗證方式設定為 Wind ows NT 請求/響應式身份驗證。目前，僅 Microsoft Internet Explorer version 20 或 更高版本支援Windows NT請求/響應式身份驗證。
7 使用SSL維護應用程式的安全
SSL 協議作為Web伺服器安全特性，提供了一種安全的虛擬透明方式來建立與使用者的加密通 訊連線。SSL保證了Web內容的驗證，並能可靠地確認訪問被限制的Web站點的使用者的身份。
7.1 通過SSL可以被限制的程式
(1)通過SSL，您可以要求試圖訪問被限制的ASP應用程式的使用者與您的伺服器建立一個加密 連線；以防使用者與應用程式間交換的重要資訊被擷取。
7.2 維護包含檔案的安全
如果您從位於沒有保護的虛擬根目錄中的 asp檔案中包含了位於啟用了SSL的目錄中的檔案 ，則SSL將不被應用於被包含檔案。因此，為了保證應用SSL，應確保包含及被包含的檔案都 位於啟用了SSL的目錄中。
7.3 客戶資格認證
控制對您的ASP應用程式訪問的一種十分安全的方法是要求使用者使用客戶資格登入。客戶資 格是包含使用者身份資訊的數字身份證。使用者通常從委託的第三方組織獲得客戶資格，第三方 組織在發放資格證之前確認使用者的身份資訊。 每當使用者試圖登入
到需要資格驗證的應用程式時，使用者的Web瀏覽器會自動向伺服器傳送用 戶資格。如果Web伺服器的SSL資格對映特性配置正確，那麼伺服器就可以在許可使用者對ASP 應用程式訪問之前對其身份進行確認。
8 建立事務性指令碼
應用程式常常需要具有在事務內部執行指令碼和元件的能力。事務是一種伺服器操作，即使該 操作包括很多步驟，也只能整體返回操作是成功還是失敗。使用者可以建立在事務內部執行的 ASP指令碼，如果指令碼的任何一部分失敗，整個事務都將會終止。
