.NET 技术FAQ(七)-----代码访问安全性

7. 代码访问安全性
7.1 什么是代码访问安全性 (CAS)?
CAS 是 .NET 安全性模型的一部分，它确定一段代码是否允许被运行，以及当它运行是可以使用什么资源。例如，CAS 可以防止一个 .NET 的 Web applet 将你的硬盘格式化。

7.2 CAS 如何起作用？
CAS 安全策略设计两个关键概念—代码组和权限。每个 .NET 元件是特定 代码组的成员，并且每个代码组被授予由有名权限集所指定的权限。
例如，使用默认的安全策略时，一个从 Web 站点下载的控件属于“Zone - Internet”代码组，它保持由有名权限集“Internet”所定义的权限。(自然，有名权限集“Internet”表示一组受到严格限制的权限。)

7.3 谁定义 CAS 代码组？
Microsoft 定义了一些默认代码组，但你可以改变这些甚至创建你自己的代码组。要想看到你的系统中定义的代码组，可以从命令横行运行“caspol -lg”命令。再我的系统里它看起来像这些：
Level = Machine

Code Groups:
1. All code: Nothing
1.1. Zone - MyComputer: FullTrust
1.1.1. Honor SkipVerification requests: SkipVerification
1.2. Zone - Intranet: LocalIntranet
1.3. Zone - Internet: Internet
1.4. Zone - Untrusted: Nothing
1.5. Zone - Trusted: Internet
1.6. StrongName - 0024000004800000940000000602000000240000525341310004000003
000000CFCB3291AA715FE99D40D49040336F9056D7886FED46775BC7BB5430BA4444FEF8348EBD06
F962F39776AE4DC3B7B04A7FE6F49F25F740423EBF2C0B89698D8D08AC48D69CED0FC8F83B465E08
07AC11EC1DCC7D054E807A43336DDE408A5393A48556123272CEEEE72F1660B71927D38561AABF5C
AC1DF1734633C602F8F2D5: Everything
注意代码组的层次—顶层 ('All code') 是最通用的，它随后分为几个组，每个还可以再分。同时注意，和一般的想象不同，子组可以被赋予比它的上级更宽的权限集。

7.4 如何定义自己的代码组？
使用 caspol。例如，假定你信任来自 www.mydomain.com 的代码，并且希望它对你的系统拥有完全的访问权，但是希望对其它 Internet 站点保持默认的限制。要实现这些，你可以在“Zone - Internet”组中增加一个子组，就像下面那样：
caspol -ag 1.3 -site www.mydomain.com FullTrust
现在如果你运行 caspol -lg 就可以看到新的代码组被增加为 1.3.1 组：
...
1.3. Zone - Internet: Internet
1.3.1. Site - www.mydomain.com: FullTrust
...
注意数字标号 (1.3.1) 只是 caspol 编出来以便能从命令行方便地操纵代码组的。底层的运行库永远看不到它。

7.5 如何改变代码组的权限集？
使用 caspol。如果你是机器的管理员，你能在 'machine' 层次上操作—这不仅意味着你所做的改变将成为机器的默认设置，而且用户不能把权限改得更宽。如果你是一个普通用户 (不是管理员) 你仍然可以修改权限，但只能使它们变得更严格。例如，为使 intranet 代码能做它们想做的事，你可能需要这样：
caspol -cg 1.2 FullTrust
注意，因为 (在标准的系统里) 这比默认的安全策略权限更大，你应该在 machine 层次上做这些—在 user 层次上这样做不起作用。

7.6 能否创建自己的权限集？
是的。使用 caspol -ap，指定一个包含权限集中所有的权限的 XML 文件。这里 是一个指定 'Everything' 权限集的示例文件—修改它以适应你的需要，这样可以节省一些时间。修改完成后，用以下方法将它添加到可用的权限集中：
caspol -ap samplepermset.xml
然后，用以下方法将此权限集施加到一个代码组上：
caspol -cg 1.3 SamplePermSet
(默认情况下，1.3 是 'Internet' 代码组)

7.7 CAS 有问题时，如何诊断自己的程序？
caspol 有一组可能有用的选项。首先，使用 caspol -rsg，你能让 caspol 告诉你一个元件属于哪一个代码组。类似地，使用 caspol -rsp，你能询问在特定元件上施加了什么权限。

7.8 我受不了 CAS 带来的麻烦，能否关掉它？
是的，只要你是系统管理员。只要运行：
caspol -s off