ASP.NET Server Side & Client Side資料加密處理

來自 亞特蘭提斯 著
對於ASPX網頁上暫存資料方面，ServerSide最常用多數都是用Session，ClientSide應該都是ViewState吧，前者應該沒有太多保安問題，但後者的ViewState其實要Decode根本不難，所以加密功夫其實很重要的。近期工作上經常要使用 jQuery + Web Service處理資料，有些敏感資料會經JSON傳回Browser，又或者經Hidden Field傳回Server，有些情況是很難避免的 (特別是上司要求…)，我看過有些懶人只用Base64轉碼就當是加密其實真的很危險。

.NET Framework其實本身在System.Security.Cryptography NameSpace下已經提供了大量加密方式，在MSDN看過後，取了幾種針對String加密的，做了少少資料搜集有關 3DES / DES / RSA 和 AES (Rijndael) 的比較，其實4種方法同樣都需要一項Key才可以進行正常解密，所以即使知道你網頁中加密後的字串，而不知道你所設定的Key都不可能正常解密的。

論安全性，粗略評估後的排行應該是 AES (Rijndael) > AES > 3DES > RSA / DES。

至於使用方面，Client-Side可以使用以下的Javascript 解密AES:
http://www.movable-type.co.uk/scripts/aes.html

Server-Side方面，其實MSDN上已有很清晰的Sample，以下就是使用AES (Rijndael)方式對String進行encrypt和decrypt的例子。

using System;
using System.Security.Cryptography;
using System.Text;
using System.IO;

class RijndaelSample
{

static void Main()
{
try
{
// Create a new Rijndael object to generate a key
// and initialization vector (IV).
Rijndael RijndaelAlg = Rijndael.Create();

// Create a string to encrypt.
string sData = "Here is some data to encrypt.";
string FileName = "CText.txt";

// Encrypt text to a file using the file name, key, and IV.
EncryptTextToFile(sData, FileName, RijndaelAlg.Key, RijndaelAlg.IV);

// Decrypt the text from a file using the file name, key, and IV.
string Final = DecryptTextFromFile(FileName, RijndaelAlg.Key, RijndaelAlg.IV);

// Display the decrypted string to the console.
Console.WriteLine(Final);
}
catch (Exception e)
{
Console.WriteLine(e.Message);
}

Console.ReadLine();
}

public static void EncryptTextToFile(String Data, String FileName, byte[] Key, byte[] IV)
{
try
{
// Create or open the specified file.
FileStream fStream = File.Open(FileName, FileMode.OpenOrCreate);

// Create a new Rijndael object.
Rijndael RijndaelAlg = Rijndael.Create();

// Create a CryptoStream using the FileStream
// and the passed key and initialization vector (IV).
CryptoStream cStream = new CryptoStream(fStream, RijndaelAlg.CreateEncryptor(Key, IV), CryptoStreamMode.Write);

// Create a StreamWriter using the CryptoStream.
StreamWriter sWriter = new StreamWriter(cStream);

try
{
// Write the data to the stream
// to encrypt it.
sWriter.WriteLine(Data);
}
catch (Exception e)
{
Console.WriteLine("An error occurred: {0}", e.Message);
}
finally
{
// Close the streams and
// close the file.
sWriter.Close();
cStream.Close();
fStream.Close();
}
}
catch (CryptographicException e)
{
Console.WriteLine("A Cryptographic error occurred: {0}", e.Message);
}
catch (UnauthorizedAccessException e)
{
Console.WriteLine("A file error occurred: {0}", e.Message);
}

}

public static string DecryptTextFromFile(String FileName, byte[] Key, byte[] IV)
{
try
{
// Create or open the specified file.
FileStream fStream = File.Open(FileName, FileMode.OpenOrCreate);

// Create a new Rijndael object.
Rijndael RijndaelAlg = Rijndael.Create();

// Create a CryptoStream using the FileStream
// and the passed key and initialization vector (IV).
CryptoStream cStream = new CryptoStream(fStream, RijndaelAlg.CreateDecryptor(Key, IV), CryptoStreamMode.Read);

// Create a StreamReader using the CryptoStream.
StreamReader sReader = new StreamReader(cStream);

string val = null;

try
{
// Read the data from the stream
// to decrypt it.
val = sReader.ReadLine();

}
catch (Exception e)
{
Console.WriteLine("An error occurred: {0}", e.Message);
}
finally
{
// Close the streams and
// close the file.
sReader.Close();
cStream.Close();
fStream.Close();
}

// Return the string.
return val;
}
catch (CryptographicException e)
{
Console.WriteLine("A Cryptographic error occurred: {0}", e.Message);
return null;
}
catch (UnauthorizedAccessException e)
{
Console.WriteLine("A file error occurred: {0}", e.Message);
return null;
}
}
}

Project Manager 唔識 Program (轉載)

起香港做電腦行業，要上位做到Manager級，
大概可以分三類，1.高相關學歷 2.真材實料 3.靠吹水 。
第1.和第2. 是無可厚非的，至於第3.認唔認同就因人而異，個人就唔太認同。

在Google上輸入Keyword : Project Manager 唔識 Program ，已經可以找到相關討論:
香港討論區 » 各行各業 » 資訊科技界 I.T. »
唔識寫code的manager有X用咩
Coding 係 IT行業吾係想像中重要
唔識寫code就咪學人做manager啦
唔識寫code的manager/官員, 就係禍港之根本

PM需唔需要識Programming? 我覺得絕對要識，但需唔需要超強？咁又未必。當然如果Coding 都強的話當然就更加好喇，我諗任何人都唔想有事時，PM十問九唔知，話知但又唔肯定的。

Project Manager – 職責就是Project Management : Resource Control / Documentation / Source Control 等等之外，就連Database Design都要。
以近期我做的Project Database做例，就說明現實中PM要不要懂Programming。



這個Table有幾點都有問題 :
1. ParentMenuCode和Code，實際data是INT，但DataType卻有理冇理Set Nvarchar….
2. ParentMenuCode是FK Reference Code，實質就是主Menu和副Menu的關係，但理應分開兩個Table，現在放在一起，就會出現recursive的情況，到需要第三層目錄時就麻煩，再者Code是not null, ParentMenuCode是allow null , 是不是很奇怪…
3. ImageURL和RedirectURL 長度不一，一個是100，另一個是200。雖然好像太吹毛求瑕，但實際寫program時，要set input的max lenght就查一查長度都幾煩。

還有一些不方便公開ScreenShot的，例如Table名有空格，Primary Key / Constraints / Default value，應有則冇等等問題。
出現這些問題，原因就是設計的人沒有由Programming角度出發。
例如Table有空格，沒錯，看起來更清楚，但每次條Query都要用 [ ] (MSSQL) 或 ` ` (MySQL) Quote起來。
明明是應該Default是空白的卻可以Null，令到每次新增一條Record時都可能要特地Insert一個空白入去，或者相反用IsDBNull之類的Function是檢查，首當其衝當然是我這個寫Code的人。

所以現在你問我PM要不要識寫Program，我會答你至少都要”懂”。