IIS 元数据库 GetObject 调用返回错误 424 需要对象错误

Question

我们有一个在 Windows Server 2003 和 IIS6 上运行的 ASP Classic 网站，该网站会引发间歇性运行时错误 424 object required。我们已经追踪到初始化对元数据库的对象引用的行，如下所示（第二行）：

MetaBasePath="IIS://" & ComputerName & "/" & StorageKey & "/" & DataAccessKey
Set ConfigKey=GetObject(MetaBasePath)
DataSource=ConfigKey.Get("ODBCDataSource")
UserName=ConfigKey.Get("ODBCUserName")
Password=ConfigKey.Get("ODBCPassword")

我已经在 stackoverflow（以及整个网络）中搜索了其他人遇到此问题的任何迹象，但绘制了一个空白的。有谁知道可能导致此问题的原因吗？是否有任何与性能相关的设置来控制访问元数据库的频率？我们可以采用哪些最佳实践措施来提高元数据库访问的效率？我们通过在元数据库中隐藏数据库访问详细信息来假设我们正在做正确的事情是否正确，或者这在安全性方面是否过度？

此问题影响了大约 1% 的页面点击率。

我们正在考虑一系列操作，包括检查服务器软件组件的补丁级别，并可能在上述代码周围添加一个循环，以继续尝试，直到元数据库对象正确初始化，但在我看来，这充其量只是一个短期修复。

非常欢迎建议！ 谢谢， 克雷格.

附加信息：刚刚发现启用了 IIS5.0 隔离模式。我试图找出启用此功能的原因，但这是否相关？

Answer 1

IIS 元数据库并不是为了安全，而只是为了方便。

它只是由多个虚拟服务器（IIS/ASP 应用程序）共享的数据的中央存储库。因此，如果您只是出于安全目的使用它，那么根本不需要元数据库。

因为：

• 您向谁“隐藏我们的数据库访问详细信息”？程序员？但他已经可以访问它了。将 ConfigKey.Get("ODBCPassword") 分配给密码后，任何 response.write 都会显示它。即使这是在 global.asa 中完成的，您也必须在某个地方将其转换为连接字符串（或将其存储在 Application 变量中），因此 .asp页面可以创建数据库连接对象。在元数据库和对象创建之间的某个时刻，他将有权访问连接属性。

• 甚至不要考虑通过在 global.asa 创建连接对象并将对象本身存储在 Application 变量中来防止这种情况发生。 （从而隐藏程序员可访问的文件的创建）。这不仅会杀死连接池，还会对性能造成巨大负面影响。

如果您担心 ASP 页面的数据库安全性，我建议使用以下一些方法：

• 创建一个不同的数据库用户来访问网站，权限非常有限。含义仅限于 SELECT、INSERT、UPDATE、DELETE 和 EXECUTE（存储过程）。没有 DROP、CREATE、ALTER 等。这样，任何“密码泄露”或“程序员误用”都不会严重危害数据库。具有完全权限的“admin”用户密码永远无法在网站的任何位置访问（或使用）。

• 创建一个 ActiveX（或 COM、DCOM）DLL 来包装连接设置。它可以用 C#、VB.NET 甚至经典的 VB6 编写。它将从另一个（安全且无法通过 Web 访问）服务器文件读取登录名和密码，创建连接对象，并将其直接传递给 ASP。

因此，不要使用：

set objConn = Server.CreateObject("ADODB.Connection")

ASP 页面将使用：

set objConn = Server.CreateObject("MYCLASS.Connection")

配置文件本身甚至可以加密，因为解密算法将存储在编译后的代码中，而不是存储在纯文本 ASP 文件中。

也就是说，我并不是说元数据库毫无用处。它仍然是一个存储数据的好、方便的地方，因为：

• 可以在不更改任何代码行的情况下更改数据

• 多个网站可以共享数据，甚至当每个网站都有自己独立的应用程序时，

• ，集中数据总是比保留配置和包含分散在文件系统中的文件更容易维护。

• 用户/NTFS 权限可以设置为只有授权人员才能更改数据，但网站用户（和 ASP 开发人员）可以只能读取

也就是说，“受限数据库用户”+“ COM 类连接包装器”是我工作过的大多数公司所使用的方法。当然，那些关心安全的人。其他人只是使用“在 global.asa 中硬编码的连接字符串，然后存储在应用程序变量中”。