微调你的web站点以适应windows xp service pack 2
原作：microsoft corporation 2004年7月译者：amom 2004年8月
原文链接：http://msdn.microsoft.com/security/productinfo/xpsp2/default.aspx?pull=/library/en-us/dnwxp/html/xpsp2web.asp
- 应用于：
- microsoft activex控件
microsoft ie浏览器
microsfot outlook
microsoft windows xp sp2
摘要：确保你的站点在windows xp service pack 2的新安全特性下运行良好，这些特性将影响到activex控件，文件下载，弹出窗口等很多方面。
包含的主题：
你的web站点使用微软activex控件吗？在windows xp service pack 2中，通过使用信息栏(information bar)可以从一开始就将activex控件的模态安装提示拦截。当你升级已安装的activex控件时，倘若遇到下列情况之一，系统将生成一个异常：
- activex控件必须通过信任代码技术的验证才能在计算机上注册。(它引用于hkey_classes_root\clsid\{control_clsid}\inprocserver32，在这里control_clsid是用object标签表示的clsid)
- 新控件上数字签名的发布者名称必须匹配已存在控件上数字签名的发布者名称。
- 如果activex控件是用cab文件打包，那么它必须通过验证。dll或ocx也必须验证来保证以后的升级中不再被信息栏拦截。
如果信息栏拦截了一个activex控件，ie浏览器将显示一个内嵌图标和替代控件安装指示信息的文字。用户可以点击这个区域或信息栏去安装这个activex控件。
activex控件是用cab文件分发的吗？
如果是，注意以后升级控件时安装提示同样会被信息栏拦截，除非你通过签名dll或ocx注册了activex控件。
当一个activex控件是否被安装时你的web站点是否有不同的处理？(例如，自动转向或者在刷新时特殊处理)
一些web网页在用户选择不安装activex控件时自动转向或者刷新页面后采取不同的处理。在某些情形下，通过这种方式你的站点可以使用户不安装控件，避免了一次糟糕的用户体验。
当你碰到网页不能够区别是用户拒绝安装还是控件被信息栏拦截时，推荐的做法是在一个独立页面中创建一个新的控件实例来解释安装此控件的用途。同样，请在<object>标签里用一个<span>模块动态显示帮助文本给安装失败的用户。
你的web站点有信任代码提示图像吗？
为了避免用户混淆，你可以更新这些图像去反映新信任代码的用户界面(ui)。你可以使用user agent字符串去测定浏览器版本。(检测sp2的更多信息参见一般提示。)
activex安装对话阻止了控件的安装吗？
如果对话在安装时没有提供一个选项，文件将不会正确地通过验证。确保你有验证文件及签名有效。当签名失效时，sp2默认地会隐藏控件的安装。
关于activex的最佳措施
- 不要使用弹出窗口或模态对话框来安装控件。
- 不要建议用户在安装activex控件时降低他们系统的安全设置。
- 在一个独立的页面中创建一个控件实例描述控件用途和对用户的最终影响。
在sp2中，信息栏将拦截自动载入的文件下载提示。
相对于sp1，在sp2中，文件下载提示，邮件附件，shell和程序安装都已被修改的更加稳固和清晰。当你下载一些能够被标记、对计算机有潜在威胁的文件时，sp2将显示该文件的发布者信息。(通常被标记对用户计算机有潜在威胁的文件类型是.exe，.dll，.ocx，.msi)
你的web站点自动载入下载提示吗？
如果web站点尝试去链接一个下载资源而显示文件下载对话框并导致用户无法通过鼠标和键盘来控制计算机行为时，信息栏将拦截这个文件下载提示。
如果不希望下载被拦截，请确保让用户直接控制下载。
你的web站点包含文件扩展名不匹配内容类型的文件吗？
如果mime-handlers处理了你的站点服务器文件，那么这些文件的扩展名应该和mime-handlers有一致的progid。如果一个文件的内容类型的progid不匹配它的扩展progid，sp2下的ie浏览器将采取下列两个措施：1)用户被提示下载文件； 2)当执行mime-handler失败时，它的扩展handler将不被执行。
你可以通过改变内容类型以匹配扩展类型来纠正这些错配，前提是确保这些措施对你的web站点有利。例外情况：在某些情况下这种改变将是无用的。这些情况是在"content-disposition=attachment"头部信息发送的时候，文件名或扩展名将由服务器来最终决定而不是通过mime。
你的web站点有使用下载模态对话框图像，或是在用户点击安装控件的地方显示图像或文字吗？
如果顾客使用了sp2，请确保更新指向下载提示来反映新下载会话的图像。在ie中，你可以使用user agent字符串来确定显示信息的图像版本。(检测sp2的更多信息参见一般提示。)
你的web站点有需要数字验证的下载吗？
现在，sp2可以检测那些需要数字验证文件的数字签名。最常见的例子是包括以下扩展名的文件：.exe，.dll，.ocx，.msi。如果你发布过需要信任代码技术验证的文件，那么顾客现在能够去验证你创建的文件。这种应用包含ie浏览器和outlook express。
你的web站点使用弹出窗口吗？现在sp2下的ie浏览器包含一个默认打开的弹出窗口拦截器。这个拦截器可以干扰那些通过脚本自动弹出窗口的站点。它还包括一个信任列表来列入那些用户允许弹出新窗口的站点。默认情况下，弹出窗口拦截器不会尝试去拦截来自企业内部网和信任站点区域的弹出窗口。
ie浏览器
