Web.config详解

System, Version=1.0.3300.0, Culture=neutral, PublicKeyToken=b77a5c561934e089"/>

<>

......

访问文件 你可以通过使用tings 静态字符串集合来

访问 文件示例：获取上面例子中建立的连接字符串。例如：

protected static string Isdebug = tings["debug"]

二、 中的session配置详解

打开某个应用程序的配置文件后，我们会发现以下这段：

< sessionState

mode="InProc"

stateConnectionString="tcpip=127.0.0.1:42424"

sqlConnectionString="data source=127.0.0.1;Trusted_Connection=yes"

cookieless="false"

timeout="20"

/>

这一段就是配置应用程序是如何存储 Session信息的了。我们以下的各种操作主要是针

对这一段配置展开。让我们先看看这一段配置中所包含的内容的意思。sessionState节点的

语 法是这样的：

< sessionState mode="Off|InProc|StateServer|SQLServer"

cookieless="true|false"

timeout="number of minutes"

stateConnectionString="tcpip=server:port"

sqlConnectionString="sql connection string"

stateNetworkTimeout="number of seconds"

/>

必须有的属性是 属性 选项 描述

mode 设置将Session信息存储到哪里

Ø Off 设置为不使用Session功能，

Ø InProc 设置为将Session存储在进程内，就是ASP中的存储方式，这是默认值，

Ø StateServer 设置为将Session存储在独立的状态服务中，

Ø SQLServer 设置将Session存储在SQL Server中。

可选的属性是： 属性 选项 描述

Ø cookieless 设置客户端的Session信息存储到哪里，

Ø ture 使用Cookieless模式，

Ø false 使用Cookie模式，这是默认值，

Ø timeout 设置经过多少分钟后服务器自动放弃Session信息，默认为20分钟。

stateConnectionString 设置将Session信息存储在状态服务中时使用的服务器名称和端口号，

例如："tcpip=127.0.0.1:42424”。当mode的值是 StateServer是，这个属性是必需的。

sqlConnectionString 设置与SQL Server连接时的连接字符串。例如"data source=

localhost;Integrated Security=SSPI;Initial Catalog=northwind"。当mode的值是 SQLServer时，

这个属性是必需的。

stateNetworkTimeout 设置当使用StateServer模式存储Session状态时，经过多少秒空闲后，

断开Web服务器与存储状态信息的服务器的TCP/IP连接的。默认 值是10秒钟。

ASP.NET中客户端Session状态的存储

在我们上面的 Session模型简介中，大家可以发现Session状态应该存储在两个地方，

分别是客户端和服务器端。客户端只负责保存相应网站的 SessionID，而其他的Session信息

则保存在服务器端。在ASP中，客户端的SessionID实际是以Cookie的形式存储的。如果用

户 在浏览器的设置中选择了禁用Cookie，那末他也就无法享受Session的便利之处了，甚至

造成不能访问某些网站。为了解决以上问题，在 ASP.NET中客户端的Session信息存储方式

分为：Cookie和Cookieless两种。

ASP.NET中，默认状态下，在客户 端还是使用Cookie存储Session信息的。如果我们想

在客户端使用Cookieless的方式存储Session信息的方法如下：

找 到当前Web应用程序的根目录，打开文件，找到如下段落：

< sessionState

mode="InProc"

stateConnectionString="tcpip=127.0.0.1:42424"

sqlConnectionString="data source=127.0.0.1;Trusted_Connection=yes"

cookieless="false"

timeout="20"

/>

这段话中的 cookieless="false"改为：cookieless="true"，这样，客户端的Session信息就

不再使用 Cookie存储了，而是将其通过URL存储。关闭当前的IE，打开一个新IE，重新访

问刚才的Web应用程序，就会看到类似下面的样子：

其中，localhost/MyTestApplication/(ulqsek45heu3ic2a5zgdl245) /中黑体标出

的就是客户端的Session ID。注意，这段信息是由IIS自动加上的，不会影响以前正常的连接。

ASP.NET中服务器端Session状态的存储 准备工作：

为了您能更好的体验到实验现象，您可以建立一个叫做 的页面，然后

把以下这些代码添加到< body>< /body>中。

< scriptrunat="server">

Sub Session_Add(sender As Object, e As EventArgs)

Session("MySession") =

tml = "Session data updated! < P>Your session contains: < font color=red>" &

Session("MySession"). ToString() & "< /font>"

End Sub

Sub CheckSession(sender As Object, eAs EventArgs)

If (Session("MySession")Is Nothing) Then

tml = "NOTHING, SESSION DATA LOST!"

Else

tml = "Your session contains: < font color= red>" &

Session("MySession").ToString() & "< /font>"

End If

End Sub

< /script>

< formrunat="server"id="Form2">

< inputid="text1"type="text"runat="server"name="text1">

< inputtype="submit"runat="server"OnServerClick="Session_Add"

value="Add to Session State " id="Submit1"name="Submit1">

< inputtype="submit"runat="server"OnServerClick="CheckSession"

value=" View Session State " id="Submit2"name="Submit2">

< /form>

< hrsize="1">

< fontsize="6">< spanid="span1"runat="server" />< /font>

这个 的页面可以用来测试在当前的服务器上是否丢失了Session信息。

将 服务器Session信息存储在进程中

让我们来回到文件的刚才那段段落中：

< sessionState

mode="InProc"

stateConnectionString="tcpip=127.0.0.1:42424"

sqlConnectionString="data source=127.0.0.1;Trusted_Connection=yes"

cookieless="false"

timeout="20"

/>

当mode的值是InProc时，说明服务 器正在使用这种模式。

这种方式和以前ASP中的模式一样，就是服务器将Session信息存储在IIS进程中。当IIS

关闭、重起后，这些信 息都会丢失。但是这种模式也有自己最大好处，就是性能最高。应

为所有的Session信息都存储在了IIS的进程中，所以IIS能够很快的访问到这些信 息，这种

模式的性能比进程外存储Session信息或是在SQL Server中存储Session信息都要快上很多。

这种模式也是ASP.NET的默认方式。

好了，现在让我们做个试验。打开刚才的 页面，随便输入一些字符，

使其存储在Session中。然后，让我们让IIS重起。注意，并不是使当前的站点停止再开 始，

而是在IIS中本机的机器名的节点上点击鼠标右键，选择重新启动IIS。(想当初使用NT4时，

重新启动IIS必须要重新启动计算机才行，微软真是 @#$%^&)返回到页面

中，检查刚才的Session信息，发现信息已经丢失了。

将 服务器Session信息存储在进程外

首先，让我们来打开管理工具->服务，找到名为：ASP.NET State Service的服务，启动它。

实际上，这个服务就是启动一个要保存Session信息的进程。启动这个服务后，你可以从

Windows任务管理器 ->进程中看到一个名为 aspnet_的进程，这个就是我们保存

Session信息的进程。

然后，回到 文件中上述的段落中，将mode的值改为StateServer。保存文

件后的重新打开一个IE，打开 页面，保存一些信息到Session中。这时，

让我们重起IIS，再回到页面中查 看刚才的Session信息，发现没有丢失。

实际上，这种将Session信息存储在进程外的方式不光指可以将信息存储在本机的进程

外，还可 以将Session信息存储在其他的服务器的进程中。这时，不光需要将mode的值改

为StateServer，还需要在 stateConnectionString中配置相应的参数。例如你的计算你是

192.168.0.1，你想把Session存储在IP为 192.168.0.2的计算机的进程中，就需要设置成这

样： stateConnectionString="tcpip=192.168.0.2:42424"。当然，不要忘记在192.168.0.2的计

算机中 装上.NET Framework，并且启动ASP.NET State Services服务。

将服务器 Session信息存储在SQL Server中

首先，还是让我们来做一些准备工作。启动SQL Server和SQL Server代理服务。在SQL

Server中执行一个叫做 的脚本文件。这个脚本文件将在SQL Server中创建

一个用来专门存储Session信息的数据库，及一个维护Session信息数据库的SQL Server代理

作业。我们可以在以下路径中找到那个文件：

[system drive]mework[version]

然后打开查询分析器，连接到SQL Server服务器，打开刚才的那个文件并且执行。稍等

片刻，数据库及作业就建立好了。这时，你可以打开企业管理器，看到新增了一个叫ASPState

的 数据库。但是这个数据库中只是些存储过程，没有用户表。实际上Session信息是存储在

了tempdb 数据库的ASPStateTempSessions表中的，另外一个ASPStateTempApplications表存

储了ASP中 Application对象信息。这两个表也是刚才的那个脚本建立的。另外查看管理->SQL

Server代理->作业，发现也多了一个叫做ASPState_Job_DeleteExpiredSessions的作业，这个

作业实际上就是 每分钟去ASPStateTempSessions 表中删除过期的Session信息的。

接着，我们返回到文件，修改 mode的值改为SQLServer。注意，还要同时

修改sqlConnectionString的值，格式为：

sqlConnectionString="data source=localhost; Integrated Security=SSPI;"

其中data source是指SQL Server服务器的IP地址，如果SQL Server与IIS是一台机子，

写127.0.0.1 就行了。Integrated Security=SSPI的意思是使用Windows集成身份验证，这样，

访问数据库将以ASP.NET的身份进行，通过如此配置，能够获得比使用 userid=sa;password=

口令的SQL Server验证方式更好的安全性。当然，如果SQL Server运行于另一台计算机上，

你可能会需要通过Active Directory域的方式来维护两边验证的一致性。

同样，让我们做个试 验。向中添加Session信息，这时发现Session

信息已经存在 SQL Server中了，即使你重起计算机，刚才的Session信息也不会丢失。现在，

你已经完全看见了Session信息到底是什么样子的了，而且又是存储 在SQL Server中的，能

干什么就看你的发挥了。

总结

通过这篇文章，你可以看到在Session的管理和维护 上，ASP.NET比ASP有了很大的进

步，我们可以更加随意的挑选适合的方法了。对于企业级的应用来说，这无疑对于服务器的

同步、服务器的稳定性、可靠 性都是有利的。相信在强大的微软支持下，新一代的电子商

务平台将会搭建的更好！

同时，大家也会发现，在这个整个技术中包括了操作 系统、Web服务及数据库多种技

术的整合。我相信，也许Windows没有Unix稳定， IIS没有Apache稳定，SQL Server也没

有Oracle强大，但是，谁可以将他们如此完美的联动到一起呢？所以说，虽然微软每一方

面都不是太强，但是如果把微软的东西都整合到一 起，谁敢说他不强大呢？微软就是微软！

三、 关于form认证的一般设置

关于form认证的一般设置：

1: 在中，加入form认证；

2: 如果有注册页面时还应该允许匿名用户调用注册页面进行注册;

以下代码应该 在<>之间,而不应该包含 到

<>..之间;

----------------表示允许 匿名用户对 页面进行访问.

<>

3 在登录成功后要创建身份验证票, 表明已经通过认证的合法用户;

if(登陆成功)

hCookie(用 户名称, false);

四、访问文件

你可以通过使用 tings 静态字符串集合来访问

文件示例：获取上面例子中建立的连接字符串。例如：

protected static string Isdebug = tings["scon"]