Comment améliorer votre application web

Question

Je veux faire mieux, et je tiens à vous parler de ce que les avantages font quelque chose et le pire pour l'ajouter à une application web.

Je fais beaucoup d'applications ASP.NET, spécialement pour fonctionner dans une application CRM. Quelque chose comme être complètement dans l'utilisateur et nous 'oublions' à ce sujet jusqu'à ce que nous recevons un email :)

Cette question est pour les applications web commerciales et gratuites. Et toutes les idées ci-dessous, Je vais partager librement mon code source.

Actuellement, j'ai juste quelques idées et autres mises en œuvre, comme:

• si vous ajoutez & debug = y à la chaîne de requête j'afficher une fenêtre de débogage avec toutes les requêtes et procédures appelées

alt text http://www.balexandre.com/temp/WebApp_DebugInfo.png

• en utilisant global.asax je montre un agréable message d'erreur à l'utilisateur plutôt que l'erreur ASP.NET originale wi Ndow (ce qui est une version développeur, la version utilisateur ne dispose pas des informations de trace de la pile)

alt text http://www.balexandre.com/temp/WebApp_errorMsg.png

• J'ai créé, en utilisant jQuery et un service Web, un lien simple qui montre la version actuelle de l'application web et si c'est la dernière.

• Hier j'ai lu sur ELMAH de Scotts blog et je vais essayer de le mettre en place afin d'obtenir un e-mail à une adresse spéciale, afin d'améliorer et de corriger les bug qui pourrait se produire ...

Que proposez-vous? ce qui peut être considéré comme un 'standard' sur le déploiement d'applications web ...

Answer 1

J'aime tout ce que vous faites sauf afficher toutes les informations de requête via le paramètre querystring. Je suggère que cette fonctionnalité ne soit disponible en mode debug sur un dev. serveur ou quelque chose de cette nature. Cela pourrait autrement poser un risque de sécurité important.

Je vois aussi dans cette requête que vous avez affichée (troisième ligne du bas) se termine dans

where <some field> = 582 

Ce serait une bonne idée d'utiliser des requêtes paramétrées au lieu de concaténations de chaînes. Il vous laisse ouvert pour une série de problèmes désagréables comme des performances plus lentes et des attaques par injection SQL. Si vous utilisez des requêtes paramétrées, cela disparaîtra. J'espère avoir ajouté de la valeur à votre «standard».

Bonne chance.

Answer 2

« Si vous ajoutez & debug = y à la chaîne de requête j'afficher une fenêtre de débogage avec toutes les requêtes et procédures appelées »

Maintenant, normalement je suis celui à critique sécurité par l'obscurité, mais C'est une très mauvaise idée. Il n'y a aucune raison d'exposer complètement votre implémentation comme ça. Si cette option de débogage est activée sur un serveur de production, vous devez tout au plus vous connecter à un fichier interne.

Il en va de même avec votre message d'erreur «utile». Cette information est restreinte pour une raison.

Même le lien de version peut être considéré comme une vulnérabilité. Voir par exemple this Wordpress artice qui conseille de ne pas publier la version Wordpress que vous utilisez en raison de la multitude de vulnérabilités passées et du fait que les mises à jour sont très lentes.