asp.net - ASP.NET 诊断页面的安全性

Question

我正在考虑为 ASP.NET 应用程序创建一个诊断页面，该页面主要供管理员使用，以获取有关诊断问题的应用程序的更多信息。

页面可能包含的信息示例:

System.Environment.MachineName(可能在网络农场场景中有用)

系统.环境.版本

环境.用户名

数据库名称

当前用户的 session ID

从安全角度来看，此页面上的某些信息可能是敏感的。
如果你以前做过这种页面，你在访问这个页面时设置了什么样的安全措施？ .

编辑:

我应该补充一下——有时以特定(即真实)最终用户身份登录时查看此页面可能会很有用。例如说问题只能在以特定用户身份登录时重现。能够查看该用户的诊断页面可能很有用。例如知道当前 session ID 可能有助于调试。

编辑 2:

我开始认为这个诊断页面实际上应该是两个不同的页面。一个显示对所有用户都相同的内容(例如数据库名称、CLR 版本)，另一个显示可能因 session 而异的内容(例如浏览器信息、 session ID)。
然后您可以为第一页锁定更多安全性。

Answer 1

是的，我之前已经添加过这种页面(并且发现它很有用)。安全性非常简单:该页面包含一个密码表单。服务器端代码根据配置值检查此密码，如果正确，则显示真实内容并在用户 session 中设置一个值，表示他们已通过开发人员身份验证，因此下次不会再次提示他们时间。

我想由于页面的 URL 没有在任何地方发布，所以默默无闻也有一点安全性。

我也很小心，不要在页面上透露任何真正敏感的内容。例如，它允许查看我们的应用程序配置值，但屏蔽了其中带有“密码”的任何内容 - 嘿，如果我们真的想查看密码，我们可以打开与服务器的远程桌面 session 。