标签: web-applications

有些东西我不明白，我的一个网络应用程序有一个小表单，允许您输入姓名和电子邮件地址以“订阅”我维护的站点的用户列表。该网站的流量非常低，只对居住在一个非常小的城镇中的极少数人有用......其他任何人都不会感兴趣。

然而，每天，有时一天多次，有人（或机器人）在表单中输入虚构的名称和可能是虚假的电子邮件地址。

这个表单在我的网站上甚至不再活跃，它只是碰巧仍然作为一个孤立页面存在于我的 IIS 目录中（这告诉我有人正在通过谷歌搜索这些类型的表单，因为没有这个表单的路径，如果你是通过默认页面进入的。

这对我来说不是什么大麻烦，我可以用验证码解决问题，但我不明白有人为了什么目的设置一个机器人来重复填写表格？我想一定是有原因的，但对于我的生活，不知道为什么？

我错过了什么？

我正在寻找故障单系统，以便我可以跟踪各种客户的问题。我以前在我以前的雇主那里用过一个，但没什么大不了的。我想知道您会推荐哪些功能以及我可能想要查看哪些其他功能以使我的工作更轻松。它必须具备以下条件。

1. 基于网络
2. 处理多个客户端（可能都支持这个）
3. 资产管理

问题说明了一切。我们正在设计一个安全性非常重要的系统。有人的想法之一是强制用户每 3 个月更改一次密码。我的看法是，虽然它更安全，因为密码经常更改，但它也迫使我们的用户记住不断更改的密码，并使他们更有可能将其写在某处以帮助记住。

同样的想法是强制用户使用超级难猜的密码真的很好。强制他们使用 ?%&% 和大写小写字母。我知道发明这样一个密码然后记住它很麻烦。

再说一次，我们不希望任何人使用 12345。

所以。有没有关于这个主题的白皮书？好习惯？

我说的是用 PHP 创建的网站。如果有任何改变，则在灯环境中使用 MySQL。

现在我们每个站点/网络服务只有一个后端服务器。我很想听听人们对各种负载均衡器应用程序（在 Linux 上运行的应用程序）的体验。

你会推荐什么？

随着时间的推移，IIS/Web 应用程序一直是我工作过的商店中的一个棘手问题。

一方面，IIS 是内置于服务器中的服务（大体上），通常由服务器管理员负责维护和配置。当出现问题时，他们知道需要发生什么，或者至少可以诊断到他们说“网络应用程序有问题”的程度，并让开发人员调试他们的代码。

然而，服务器上的每个 Web 应用程序都是独一无二的，并且有很多细微差别，根据手头的问题，这些细微差别可能会变得复杂。

另一方面，每个 Web 应用程序在许多方面都是独一无二的，并且都有需要处理的特定问题，而开发人员是最了解应用程序的人。如果需要修改 web.config 文件以进行调试，或者 IIS 开始为 Web 应用程序带来麻烦，则开发人员应该知道问题所在并相应地修复它，无论是由于 IIS 还是应用程序本身。

但是，允许开发人员自行进入并调整 IIS 成为一个严重的问题，因为某些设置/优化会严重影响服务器的性能和稳定性。

那么平衡点在哪里呢？服务器管理员应该是 IIS 专家并处理所有这些问题，而我只是通过部署发送站点文件，还是开发人员应该承担服务器和 IIS 问题的责任并相应地处理它们？

我想在家中运行 Web 服务器，以便我的家人和客户可以看到我在做什么。它不会运行大负载，一次最多 2 或 3 个用户。

我想知道如何在运行 IIS 的 Windows 机器上执行此操作。

我的有线电视公司有一个路由器，它通过无线路由器连接到我想成为网络服务器的机器。

将 Web 应用程序 (.net) 部署到生产环境时，使用集成安全性更好还是更重要？

在我看来，如果黑客破坏了 Web 服务器，这并不重要，因为他们可以轻松地冒充机器。

想法？

我们有一个在我们公司开发的电子商务应用程序。它是一个相当标准的 LAMP 应用程序，我们已经断断续续地开发了大约 3 年。我们在测试域上开发应用程序，在这里我们添加新功能并修复错误等。我们的错误跟踪和功能开发都在托管的颠覆解决方案 (unfuddle.com) 中进行管理。在报告错误时，我们会在测试域上进行这些修复，然后在我们对错误已修复感到满意时将更改提交到 svn。我们遵循相同的程序添加新功能。

值得指出的是，我们的系统和应用程序在我们的服务器上的总体架构。每次开发新功能时，我们都会将此更新推广到使用我们的应用程序（始终是我们控制的服务器）的所有站点。使用我们系统的每个站点在 95% 的代码库中基本上都使用完全相同的文件。我们在每个站点中有几个文件夹，其中包含为该站点定制的文件 - css 文件/图像等。除此之外，每个站点之间的差异由每个站点数据库中的各种配置设置定义。

这将进入实际部署本身。当我们准备好推出某种更新时，我们在测试站点所在的服务器上运行一个命令。这将执行复制命令 (cp -fru /testsite/ /othersite/) 并通过每个虚拟主机强制根据修改日期更新文件。我们托管的每个附加服务器都有一个虚拟主机，我们将生产代码库同步到该虚拟主机，然后我们在该服务器上的所有站点上重复复制过程。在此过程中，我们移出我们不想被覆盖的文件，并在复制完成后将它们移回。我们的 rollout 脚本执行许多其他功能，例如应用 SQL 命令来更改每个数据库、添加字段/新表等。

我们越来越担心我们的流程不够稳定，不具备容错能力，也有点暴力方法。我们也意识到我们没有充分利用 subversion，因为我们有一个立场，即开发新功能会阻止我们推出重要的错误修复，因为我们没有使用分支或标签。我们在我们的服务器上有如此多的文件复制似乎也是错误的。我们也无法轻松地对我们刚刚推出的内容执行回滚。我们确实在每次推出之前执行差异，以便我们可以获得将要更改的文件列表，以便我们知道之后更改了什么，但回滚过程仍然存在问题。就数据库而言，我已经开始将 dbdeploy 作为一种潜在的解决方案。不过，我们真正想要的是关于如何改进文件管理和部署的一般指导。理想情况下，我们希望文件管理与我们的存储库更紧密地联系在一起，因此推出/回滚将更多地与 svn 相关联。类似于使用 export 命令来确保站点文件与 repo 文件相同。如果解决方案也可以停止我们服务器周围的文件复制，那也很好。

忽略我们目前的方法，听听其他人如何解决同样的问题会非常好。

总结...

• 使跨多个服务器的文件与 svn 保持同步的最佳方法是什么？
• 我们应该如何防止文件复制？符号链接/其他东西？
• 我们应该如何构建我们的 repo 以便我们可以开发新功能并修复旧功能？
• 我们应该如何触发推出/回滚？

提前致谢

编辑：

我最近阅读了很多关于使用Phing和Capistrano执行此类任务的好文章。任何人都可以提供更多关于他们的信息以及他们对这种任务的表现如何？

对于编写的 Web 应用程序中的以下内容，八进制格式的完美最小权限是什么？

1. 用户上传的静态文件（images/swf/js 文件）所在的目录
2. 管理员上传静态文件（images/swf/js 文件）所在的目录
3. 应用程序中使用的库所在的目录
4. 可执行/可浏览的服务器端脚本所在的目录
5. 已存在的文件（txt 或 xml）将在服务器端由代码编辑的目录

以下是我的建议和理由

1. 555，人人可以读写，没有人可以执行
2. 544，一个人可以写，其他人只能读，没有人可以执行
3. 000，没有人需要读、写和执行，只会被web服务器使用吗？
4. 661，owner可以读，可以写，其他人只能执行
5. 600，拥有者可以读、写（可能不需要），其他人无能为力

现在我对两件事感兴趣：

1. 有没有我在第一个列表中遗漏的基于 Web 的应用程序中常用的东西？
2. 在第二个列表中您是否有任何不同意的地方，您的替代方案是什么，为什么它更好？

情况

我们有一个托管在 Amazon EC2 上的 Web 应用程序。它仅供公司中的少数用户使用。

我们如何处理这个问题

• 我们与用户共享实例的（弹性）IP 地址。
• 我们根据需要将每个用户的 IP 地址添加到实例的安全组中。

当我说需要时，我指的是用户抱怨门户网站显示错误页面的电子邮件。他们忘记了将 IP 包含在安全组中这一步骤是必需的（我不怪他们；他们是最终用户）。

为了回答这个问题，我们假设一家公司总共有 5 位用户需要此访问权限。User-1和User-2的IP地址已添加到安全组中。

问题

1. User-3 直接访问该 IP 地址，但无法访问该 IP 地址，因为该用户的 IP 地址尚未添加到安全组。
2. 如果 User-1 或 User-2 重新启动互联网，他们的 IP 地址可能会发生变化（ISP 提供的动态 IP），并且新的 IP 地址必须添加到安全组中（并且旧的 IP 地址必须被撤销才能生效）。避免他人访问）。

我正在考虑的其他选择

1. 仅提供对其办公室 VPN 的访问，并要求所有用户通过它进行连接。
2. （对于用户来说非常麻烦）要求用户登录AWS管理控制台，进入EC2服务，进入安全组部分并手动添加他们的IP地址（用户已经拥有AWS IAM用户和适当的权限来执行此操作） 。
3. 创建一个将用户当前 IP 添加到安全组的脚本（使用 AWS CLI / SDK） - 听起来非常危险且不合适，因为我们必须在脚本中包含某人的 API 凭证。