连接SQL SERVER 和 SQL SERVER EXPRESS：了解SQL SERVER 中的安全性

SQL Server的安装有两个关于安全模式的选项。它们之间的差别在于由哪一个软件执行认证过程。认证是一个确认将要连接SQL Server的用户身份的过程。一旦执行了认证，SQL Server就能验证这个用户是否具有许可来连接一个被请求的资源，例如一个数据库。如果用户具有连接数据库的许可，那么SQL Server将允许连接请求成功，否则，连接失败。这个验证用户许可的过程还被称为授权。
● Windows Authentication(还被称为Trusted Authentication或者Integrated Security)使用进行连接请求过程的Windows用户身份来执行对数据库的授权。在这种情况下，连接字符串不必提供显式的用户名和密码。ASP.NET以一个名为"ASPNET"的本地用户来运行(或者在IIS 6.0当中使用用户名"Network Service")，所以当使用Windows Authentication时，SQL将会检查这个用户是否拥有使用数据库的许可。此时，所有的ASP.NET应用程序都用这个相同的用户运行，所以该安全模式对这些应用程序一视同仁。虽然可以在单独的ASP.NET进程中运行每一个应用程序(单独的用户运行每个程序)，或者可以模拟进行连接请求的浏览器客户的Windows用户身份，但是这些内容都超出了本书所要讲述的范围。不过，客户模拟的情况在Web应用程序中是Windows Authentication最常见的使用方式。
● SQL Authentication针对在SQL Server内配置的用户来检查显式提供的用户名和密码(无需涉及操作系统)。在这种情况下，在ASP.NET进程中运行的每个应用程序都能以单独的证书来连接数据库，这样就把应用程序合理地隔离开了(应用程序A如果没有B的用户名和密码就不能连接至B的数据库)。这是用于部署的Web应用程序的最常见认证模式，特别是在共享宿主的情况下。它的一个小缺点就是需要应用程序保留用于连接的用户账户的密码，并且如果该密码被恶意用户获取，那么将危及数据库的安全。但是，在本书后面将会看到，ASP.NET提供了一个安全的方式，将SQL Authentication密码以加密的格式保存在Web.config文件中，这样就降低了密码被获取的风险。
● Mixed Mode是SQL Server的配置，它既允许Windows Authentication，也允许SQL Authentication。
在安装SQL Server或者SSE时，要选择一种认证模式。在SQL Server中，有向导会在安全步骤中帮助选择，而在SSE中，默认选择是Windows Authenti cation。如果要安装SQL Authentication，就必须显式地配置。本文使用的是Windows Authentication。
如果已经安装了SQL Server或者SSE，就能通过打开RegEdit来查看所指定的认证模式(当然需要先备份)，找到HKey_Local_Machine/Software/Microsoft/Microsoft SQL Server并搜索LoginMode。值为1的注册子键表示Windows Auth entication，而值2表示Mixed Authentication模式。
表3-1总结了这些模式之间的区别。
表3-1
 Windwos Authentication SQL Authentication(用于本书)
可替换名称 Trusted AuthenticationIntegrated Security 没有，但是Mixed Mode Authen tication允许使用Windows或者SQL Authentication
典型环境 内部网 因特网
用户和认证过程列表的位置 Windows SQL Server
SSE安装 默认安装 需要指定安装
连接字符串 Trusted_connection=true或者Integrated Security=true user=username;password=password
ASP.NET Web应用程序的用户 ASP.NET进程、ASPNET(IIS 5.x)或者Network Service(IIS 6)  SQL用户
优势 较好的安全性；可以对用户在SQL事件和Windows事件中的活动进行跟踪 无需创建新账户即可在宿主机上部署；独立于操作系统宿主的内部网站点只需一般技术为应用程序提供更加灵活的方式以不同的证书来连接每个数据库