管理 WebDAV 安全性

此主题提供了远程发布时建议采取的安全措施的简要概述。它简要介绍了如何通过验证服务器上的客户端连接以及控制对服务器上的内容的访问，来保护服务器和内容。本主题包括对以下内容的描述：

• 验证客户端
• 控制访问

注意 出于安全原因和为了启用 DAV 自定义属性，请确保您的发布目录位于 NTFS 分区上。要了解有关 NTFS 分区的详细信息，请参阅 Windows Server 2003 家族帮助。

验证客户端

配置 WebDAV 目录的最佳方法取决于要进行的发布类型。当通过 IIS 来创建虚拟目录时，匿名和集成 Windows 身份验证都是打开的。虽然这种默认配置对于将客户端连接到服务器、读取网页中的内容以及运行脚本来说可以工作得很好，但要将客户端发布到目录以及操作该目录上的文件时就会无法胜任。

IIS 提供了以下身份验证方法：

• Kerberos 是域内主要的安全验证协议。Kerberos 是用于 WebDAV 客户端身份验证和文件安全性的最佳选项。
• 匿名身份验证允许任何人访问该目录。必须关闭对 WebDAV 目录的匿名访问。如果不控制访问的用户，您的目录可能会受到某些未知客户端的攻击。
• 基本身份验证以明文形式通过连接发送密码。可以截取和解读明文密码。只有在通过安全套接字层加密密码时，才打开基本身份验证。
• 摘要式身份验证是将信息发布到通过 Internet 和防火墙访问的服务器上的极佳选择，因为密码在网络上是以 MD5 哈希值的形式来发送的。然而，密码以明文形式保存在 Active Directory® 中。
• 高级摘要式身份验证是摘要式身份验证的改进形式，因为除了以 MD5 哈希值形式通过网络发送密码外，密码还以 MD5 哈希值的形式（而不是明文形式）保存在 Active Directory 中。这使得高级摘要式身份验证成为将信息发布到通过 Internet 和防火墙访问的服务器的最佳选择。
• 集成 Windows 身份验证在 Intranet 上设置 WebDAV 目录时，最为有效。
• .NET Passport 身份验证使用 Cookie 来验证用户凭据。

控制访问

本节描述了如何通过协调 IIS 和 Windows Server 2003 权限来控制对 WebDAV 目录的访问，以及如何保护脚本文件。

配置 Web 权限

以下是根据发布的材料的用途来配置 Web 权限的各种方法：

• 启用读取、写入和目录浏览：启用这些权限允许客户端查看资源列表并进行修改（除非对这些资源没有写入权限）、发布自己的资源以及处理文件。
• 启用写入；并禁用读取和目录浏览：如果只想让客户端在目录中发布私人信息，而不希望别人查看所发布的内容，可以设置写入权限，但不设置读取和目录浏览权限。该配置在客户端提交选票或性能检查时非常有用。
• 启用读取和写入；并禁用目录浏览：如果希望通过隐藏文件名来提高安全性，可设置该配置。然而，请注意，通过隐藏文件名来设置安全性是一种低级的安全防范措施，因为一个故意破坏者可通过试探和错误信息来猜测出文件名。
• 启用索引资源：如果打算让客户端搜索目录资源，请确保启用了索引服务。

使用 DACL 控制访问

在 NTFS 文件系统驱动器上设置 WebDAV 发布目录时，请确保“Everyone”组只有读取权限。然后授予特定的个人或组写入权限。

保护脚本代码

如果在发布目录中有一些不想让客户端看到的脚本文件，您可以通过不授予“脚本资源访问”权限来拒绝访问。可执行文件将作为静态 HTML 文件处理，除非为该目录启用了“脚本和可执行文件”。

要阻止 .exe 文件下载并作为 HTML 文件来查看，但允许其运行，可在发布目录的“虚拟目录”属性页中，将执行权限更改为“脚本和可执行文件”。

这一权限级别使所有可执行文件受“脚本资源访问”设置的影响。换句话说，如果选中了“脚本资源访问”，有读取权限的客户端可以看到所有的可执行文件；有写入权限的客户端既可运行它们，也可以编辑它们。

使用下面的权限，客户端可以在未出现在应用程序映射中的可执行文件中写入信息：

• 已授予写入权限。
• 执行权限设置为“纯脚本”。

使用下面的权限，客户端可以向任何可执行文件中写入信息，不论它们是否出现在应用程序映射中：

• 已授予“脚本资源访问”权限。
• 执行权限设置为“脚本和可执行文件”。

© 1997-2003 Microsoft Corporation。保留所有权利。