Web环境中的SQL Server验证

　　下文对Web环境中的SQL Server验证相关的问题进行了说明，供您参考  。SQL Server的安全管理策略一直是我们最关心的话题，希望下文能给您有所启示  。

　　即使最好的安全策略也常常在一种情形前屈服，这种情形就是在Web应用中使用SQL Server的数据  。在这种情形下，进行SQL Server验证的典型方法是把一组SQL Server登录名称和密码嵌入到Web服务器上运行的程序，比如ASP页面或者CGI脚本；然后，由Web服务器负责验证用户，应用程序则使用它自己的登录帐户（或者是系统管理员sa帐户，或者为了方便起见，使用Sysadmin服务器角色中的登录帐户）为用户访问数据  。

　　这种安排有几个缺点，其中最重要的包括：它不具备对用户在服务器上的活动进行审核的能力，完全依赖于Web应用程序实现用户验证，当SQL Server需要限定用户权限时不同的用户之间不易区别  。如果你使用的是IIS 5.0或者IIS 4.0，你可以用四种方法验证用户  。第一种方法是为每一个网站和每一个虚拟目录创建一个匿名用户的NT帐户  。此后，所有应用程序登录SQL Server时都使用该安全环境  。我们可以通过授予NT匿名帐户合适的权限，改进审核和验证功能  。

　　第二种方法是让所有网站使用Basic验证  。此时，只有当用户在对话框中输入了合法的帐户和密码，IIS才会允许他们访问页面  。IIS依靠一个NT安全数据库实现登录身份验证，NT安全数据库既可以在本地服务器上，也可以在域控制器上  。当用户运行一个访问SQL Server数据库的程序或者脚本时，IIS把用户为了浏览页面而提供的身份信息发送给服务器  。如果你使用这种方法，应该记住：在通常情况下，浏览器与服务器之间的密码传送一般是不加密的，对于那些使用Basic验证而安全又很重要的网站，你必须实现SSL（Secure Sockets Layer，安全套接字层）  。

　　在客户端只使用IE 5.0、IE 4.0、IE 3.0浏览器的情况下，你可以使用第三种SQL Server验证方法  。你可以在Web网站上和虚拟目录上都启用NT验证  。IE会把用户登录计算机的身份信息发送给IIS，当该用户试图登录SQL Server时IIS就使用这些登录信息  。使用这种简化的方法时，我们可以在一个远程网站的域上对用户身份进行验证（该远程网站登录到一个与运行着Web服务器的域有着信任关系的域）  。

　　最后，如果用户都有个人数字证书，你可以把那些证书映射到本地域的NT帐户上  。个人数字证书与服务器数字证书以同样的技术为基础，它证明用户身份标识的合法性，所以可以取代NT的Challenge/Response（质询/回应）验证算法  。Netscape和IE都自动在每一个页面请求中把证书信息发送给IIS  。IIS提供了一个让管理员把证书映射到NT帐户的工具  。因此，我们可以用数字证书取代通常的提供帐户名字和密码的登录过程  。

　　由此可见，通过NT帐户验证用户时我们可以使用多种实现方法  。即使当用户通过IIS跨越Internet连接SQL Server时，选择仍旧存在  。因此，你应该把NT验证作为首选的用户身份验证办法  。