实战 .Net 数据访问层 - 19
2024-07-10 13:03:19
供稿：网友
6. aspect
aop（aspect oriented programming）可能是最近几年被挖掘出
来的最具震撼力的技术之一，作者并不打算在此花什么篇幅介绍它（网上资料已多如牛毛），只是希望借用其aspect概念来说明几个设计data access layer时必须考虑的问题（也是在进行系统架构设计前不得不考虑的几个重要因素！）：
（1） security
把它排在aspect首位相信大家没什么疑义吧！
虽然，business logic已为我们搞定了太多的security issues，但那个长久挥之不去的“connectionstring阴影”还是会成为不少开发人员心中永远的“不爽”！
有位同事告诉我，微软曾有一个号称8万人难以攻破的asp.net应用程序，它的connectionstring居然就是存在了registry中（别忘了禁用remote registry服务）！这样的双重保护（另一重是对connectionstring进行加密处理）是多么简单却实用啊！
在很多时候，as simple as possible才是我们应该真正追求的目标。
另一个需要注意的问题就是如何应对sql injection（sql注入）攻击！
一个经典的例子如下所示：
string strsql = "select * from user where" +
" username = '" + strusername +
"' and password = '" + strpassword;
在这里，采用dynamic sql本身并无调用上的逻辑问题，但却给了cracker以可乘之机：如果系统没有针对strpassword做过任何数据校验，当用户试着输入“abc”作为username，“123’ or 1 = 1”作为password时，那就不得不遗憾的告诉您：该系统已被成功攻破，请迅速发布新的补丁程序！
虽然这个例子很简单，但已提醒我们：小小的sql语句也会成为系统漏洞的“重要来源”！
在这种情况下，避免产生危机的方法也很简单：使用stored procedure或者parameter collection（你不会告诉我准备把这个责任推给毫无sql经验的business logic人员吧j）。如果系统架构时没有准备采用stored procedure或者开发人员很不习惯使用parameter collection（坦率地讲，我也不喜欢这个东东），那也有个稍微麻烦点的solution（当然不推荐采用）：
i. 仅使用username拼装dynamic sql；
ii. 判断返回纪录数是否为1（假定username为unique column）；
iii. 如果记录数为1，取出password数据；
iv. 判断用户输入之password是否与查询返回之password匹配。
限于篇幅，这里只讨论了两个比较常见的问题，当然是远远不能覆盖security的全部精髓，只是为了表明一个观点：security实在是非常非常重要，切勿等闲视之！
（2） transaction
这是个避无可避的东东，要发现它的问题有一定难度，且不易于测试！作者不准备就此展开，大家只有通过实战积累经验了。
另外，到底是用system.enterpriseservices还是connection.begintransaction + try-catch，依然会使很多.net开发人员产生困惑，作为系统架构设计的一部分，这也是个必须充分考虑的问题！
（3） logging
日志不是个要不要的问题，而是怎么做的问题。
log4net已经很不错了，不会还想亲自动手做一个吧！
（4） exception
这是个“无底洞”，看你怎么设计了。
就作者经历的项目，主要采用这么两种方式：
i. one throw，one catch，no re-throw
这个最简单了，不需要太复杂的exception inheritance hierarchy，处理起来也比较轻松；
ii. one throw，multi-catch，multi-re-throw
复杂应用可能采用这种模式更多些，需要一大堆的exception classes和令人望眼欲穿的try-catch，但可能在扩展性和容错处理方面会表现得更为出色（可苦了咱们开发人员l）！
暂时就想到这些，如有什么遗漏，欢迎大家补充。
下一段：http://www.csdn.net/develop/read_article.asp?id=27564
网站运营seo文章大全提供全面的站长运营经验及seo技术!
