我应该将 Glimpse 部署到生产站点吗？

Question

我最近将 Glimpse Debugger 包添加到我的项目中。这添加了对Glimpse dll的引用，并修改了一些Web.Config。

我尽可能喜欢我的项目在我的开发和生产环境中的表现。

那么，将 Glimpse 部署到我的生产站点是否节省/明智，或者我应该创建一个不同的项目（或从我的 csproj 文件创建分支）以仅将其保留在本地？

我担心的事情包括：

• 性能
• 安全漏洞

Answer 1

我相信如果没有找到 Glimpse 的 cookie，它就不会加载或执行任何操作，因此性能应该可以忽略不计。安全方面，您只需在 web.config 中为预览路径的位置设置用户限制即可。

<location path="Glimpse.axd" >
    <system.web>
        <authorization>
            <allow users="Administrator" />
            <deny users="*" />
        </authorization>
    </system.web>
</location>

或者，如果有管理员角色，您可以按角色而不是用户名来执行此操作。

如果您不想仅依赖 cookie 的存在，也可以将其关闭。这可以通过 web.config 转换轻松实现，我还没有测试标记，但类似的东西应该可以工作。

<glimpse enabled="false" xdt:Transform="SetAttributes">
</glimpse>

---

更新：Glimpse 最近看到了一些变化（我相信是从 1.0 开始？）转换现在如下所示。尝试设置 enabled 属性会在最新版本的 Glimpse 中出现配置错误。

<glimpse defaultRuntimePolicy="Off" xdt:Transform="SetAttributes">
</glimpse>

正如文档所说...

Glimpse 永远不会被允许对 Http 响应做更多的事情
在 DefaultRuntimePolicy 中指定。

应该注意的是，此转换的唯一目的是如果您想要删除在部署过程中使用 Glimpse 的功能。如果您想根据其他条件（例如远程请求或授权检查）有条件地禁用它，最好通过策略来完成。 Glimpse 现在根据一系列策略运行（全部基于IRuntimePolicy），旨在帮助确定何时允许glimpse 执行其操作。事实上，一旦安装了 Glimpse，如果您导航到该页面底部的glimpse.axd，您将看到当前启用的策略列表。例如防止远程请求访问的LocalPolicy（可配置的是，可以通过web.config忽略任何策略以允许远程请求）http://getglimpse.com/Help/Configuration。他们还有一个名为 GlimpseSecurityPolicy 的示例类，当您使用 Nuget 安装 Glimpse 时会包含该类，您可以使用它来添加授权限制。

public class GlimpseSecurityPolicy:IRuntimePolicy
{
    public RuntimePolicy Execute(IRuntimePolicyContext policyContext)
    {
        // You can perform a check like the one below to control Glimpse's permissions within your application.
        // More information about RuntimePolicies can be found at http://getglimpse.com/Help/Custom-Runtime-Policy
        var httpContext = policyContext.GetHttpContext();
        if (httpContext.User != null && !httpContext.User.IsInRole("Glimpse")) //Once glimpse is turned on, you have to be a member of this Role to see the Glimpse Panel.
        {
            return RuntimePolicy.Off;
        }

        return RuntimePolicy.On;
    }

    public RuntimeEvent ExecuteOn
    {
        get { return RuntimeEvent.EndRequest; }
    }
}

现在，这些策略用于确定 glimpse 何时运行，但它们不会阻止用户打开 glimpse.axd 页面。据我所知，仍然可以启用 cookie，但是如果尽管存在 cookie，但一瞥仍拒绝运行，那么 cookie 就毫无意义了。话虽这么说，但仍然建议使用 web.config 中的位置标记将一闪一闪的页面包装在授权检查中。请注意，这是对上面的 GlimpseSecurityPolicy 的补充。

<location path="glimpse.axd">
  <system.web>
    <authorization>
      <allow roles="Glimpse" />
      <deny users="*" />
    </authorization>
  </system.web>
</location>

Answer 2

Yarx 几乎在所有方面都是正确的。

从安全角度来看，您可以使用所描述的方法锁定路径。唯一的问题是，glimpse 使用了更多的 URL 端点，因此规则需要类似于 *Glimpse/* （其中 * 表示任何内容都可以在它之前，任何内容都可以在它之后） ）。一旦到位，一瞥就应该被锁定。

另外，如果在配置中，您使用了 Yarx 提供的转换，即使您打开了 cookie，glimpse 也永远不会加载。

Answer 3

从 Glimpse 1.7 开始，有一种更通用的方法来保护 ~/glimpse.axd ，其额外好处是您可以对所有人使用相同的策略。您只需要确保您的自定义策略也被资源调用：

 public RuntimeEvent ExecuteOn
 {
     // The bit flag that signals to Glimpse that it should run on either event
     get { return RuntimeEvent.Endrequest | RuntimeEvent.ExecuteResource; }
 }

注意 | RuntimeEvent.ExecuteResource。请参阅底部：保护 Glimpse .axd 前进的方向。