前几天实现了在 nginx 中使用 lua 实现远程鉴权，今天想试试在 IIS 中能不能实现相同的功能。查询资料发现需要使用 URL 重写和 HTTP 请求模块，没有深究。干脆使用 ASP.NET 中间件来实现吧。
在 StratUp.cs 的 Configure 方法中，或 Program.cs 文件中添加以下代码：
// 远程鉴权
app.Use(async (context, next) =>
{
var ip = context.Connection.RemoteIpAddress!.ToString();
var ua = context.Request.Headers.UserAgent.ToString();
var host = context.Request.Host.Host;
var uri = new Uri(context.Request.GetDisplayUrl()).PathAndQuery;
var client = new HttpClient();
client.Timeout = TimeSpan.FromSeconds(1); // 设置超时时间
try
{
var requestUrl = "https://鉴权地址/";
var requestMessage = new HttpRequestMessage(HttpMethod.Get, requestUrl);
requestMessage.Headers.Add("X-Real-IP", ip);
requestMessage.Headers.Add("User-Agent", ua);
requestMessage.Headers.Add("X-Forwarded-Host", host);
requestMessage.Headers.Add("X-Forwarded-Uri", uri);
// 发送请求
var response = await client.SendAsync(requestMessage);
// 检查响应状态码
if (response.StatusCode == HttpStatusCode.Forbidden)
{
// 如果返回403，则拒绝访问
context.Response.StatusCode = (int)HttpStatusCode.Forbidden;
await context.Response.WriteAsync("Access Denied");
}
else
{
// 如果返回其他状态码，则继续执行管道中的下一个中间件
await next();
}
}
catch (TaskCanceledException ex) when (ex.CancellationToken.IsCancellationRequested)
{
// 如果请求超时（任务被取消），则继续执行管道中的下一个中间件
await next();
}
catch
{
// 如果遇到错误，则继续执行管道中的下一个中间件
await next();
}
});代码很简单，使用 HttpClient 发送请求，若返回 403 则拒绝访问，其它情况继续执行业务逻辑，超时或报错的情况按需修改即可。
若鉴权接口在私网中，建议将鉴权接口域名和私网 IP 添加到 hosts 文件中。
【阿里云】尊敬的@aliyun.com：为了保障服务器的稳定运行，您的IP: 实例名称： 已启动限流保护措施。阈值与产品规格相关，您可以登录云盾控制台调整清洗阈值，若超出调整范围请提交售后工单反馈或电话95187-1进行咨询。
【阿里云】尊敬的@aliyun.com：您的IP: 受到攻击流量已超过云盾DDoS基础防护的带宽峰值，服务器的所有访问已被屏蔽，如果300分钟后攻击停止将自动解除否则会延期解除。详情请登录【云盾控制台】-【DDoS基础防护】查看或致电95187-1进行咨询。
恭喜，你的 ECS 服务器受到 DDoS 攻击了。这个时候，工单客服和电话客服都会极力推销高防 IP 这个产品（DDoS高防（新BGP）），为了抵挡一年才会遇到几分钟的攻击，咱们还是选择更为经济的方式来解决攻击这个问题吧。
ECS 等产品都会自带流量清洗这个功能，在阈值范围内的攻击流量会免费处理掉，超过阈值就把 ECS 拉入黑洞，以防止同机房的其它服务受到影响。一般攻击才持续 5~20 分钟，关小黑屋就等 5 个小时，谁比较善良。
既然受攻击的是 ECS 公网 IP，那么我们可以借用负载均衡（SLB）使用 ECS 的私网 IP 来请求业务。
初期可以创建一个按量付费的 SLB，熟悉费用后可再次调整。选择“私网”（文末解释为什么不选择“公网”）
服务地址绑定到 ECS，按业务需求添加监听端口：
此时，SLB 已经和 ECS 打通了，但是这个私网 SLB 并没有公网 IP，所以继续购买一个叫弹性公网 IP （EIP）的产品，用于打通公网与私网。同样初期选择按量付费。
将 SLB 与 EIP 绑定（各自的管理界面都有相关操作入口）。
最后，将域名解析到 EIP 即可，顺便将 TTL 改为最小值。
解析生效后，外部的请求通过 EIP 到 SLB 再到 ECS 的私网 IP 访问成功，但 ECS 主动的出流量仍然通过其公网 IP 流出，在黑洞期间相关的操作仍然会失败（如上传文件到外部图床），这个等后续遇到再补充解决方案。
一旦 DDoS 改为攻击 EIP，那么只要重新创建一个新的 EIP，将 SLB 绑定到该新的 EIP，并解析域名即可。
既然本例的 SLB 是私网到私网的，是不是可以省去 SLB，由 EIP 直接到 ECS？
经实践证明，EIP 绑定 ECS 会提示 ECS 已存在公网 IP，无法绑定。而且，带宽计费方式为按固定带宽的包年包月实例，不支持将公网 IP 转换为弹性公网 IP。
SLB 为什么不选择“公网”？
本方案仅为临时防止 DDoS 攻击，所以一旦再次受到攻击需要立即做出反应，而 SLB 的配置相对于 EIP 会更为复杂，所以我们选择新建 EIP 的方式来代替新建公网 SLB。费用方面，私网 SLB 没有流量费用，EIP 的流量费用与公网 SLB 相同，所以两种方案的费用是相差不大的。
最后，推荐使用阿里云 SDK 通过 API 接口来实现一键部署/更换 EIP 功能。
进阶功能：使用接口 DescribeEipAddresses 判断 EIP 的 LockReason 状态是否为 security，若是则自动切换 EIP，实现无人值守全自动防 DDoS。
* 本文凡使用变量 httpContextAccessor 或 _httpContextAccessor 的地方都需要需要注入 Microsoft.AspNetCore.Http.IHttpContextAccessor
* 在视图（view）中应以 ViewContext 类引出
获取当前页面网址：
using Microsoft.AspNetCore.Http.Extensions;
string url = Request.GetDisplayUrl();获取当前访问的域名和端口：
获取来源：
Request.GetTypedHeaders().Referer
判断 Scheme 是否为 https：
Request.IsHttps获取客户端IP和端口、服务器IP和端口：
获取浏览器用户代理（UserAgent）：
httpContextAccessor.HttpContext.Request.Headers[HeaderNames.UserAgent];获取当前请求的唯一标识：
httpContextAccessor.HttpContext.TraceIdentifier返回结果：80000564-0002-f700-b63f-84710c7967bb
用途：可作为生成随机数的种子。
获取客户端IP地址：
httpContextAccessor.HttpContext.Connection.RemoteIpAddress获取当前项目根目录磁盘路径：
AppContext.BaseDirectory // 以“\”结尾注意：此路径到项目根目录，而非网站根目录，网站根目录请自行追加，默认为 wwwroot\
编码/解码：（参数和返回值均为 string?）
using System.Net;
WebUtility.HtmlEncode(myString)
WebUtility.HtmlDecode(myString)
WebUtility.UrlEncode(myString)
WebUtility.UrlDecode(myString)更多：https://xoyozo.net/Blog/Index/Core
代码一：
#if DEBUG
// Debug 模式
#else
// Release 模式
#endif作用：判断 调试模式 / 发布模式
条件：须在项目属性的生成页中勾选“定义 DEBUG 常量”
适用：记录 EF 生成的 SQL 语句、控制定时器只在生产环境执行等
注意：调试和发布时应选择正确的模式
代码二：
if(Request.IsLocal) { }作用：判断 本地 / 远程
条件：在会话中
适用：显示错误详情、记录 EF 生成的 SQL 语句
注意：不能用于定时器、Application_Start、异步操作等非会话中
代码三：
if (System.Net.IPAddress.IsLoopback(HttpContext.Connection.RemoteIpAddress)) { }说明：ASP.NET Core 中的写法，用于检测 IP 地址是否为本地回环地址（IPv4 为 127.0.0.1，IPv6 为 ::1）
若在视图中使用，HttpContext 改为 ViewContext.HttpContext 或 Context
作用/条件/适用/注意：参“代码二”
代码四：
if(HttpRuntime.AppDomainAppPath == "X:\xxx\") { }作用：判断当前网站根目录路径
条件：开发环境和生产环境的根目录路径不同
适用：判断根目录路径作相应的处理，适用于以上各种情况
注意：路径有变须要修改相应程序代码
数据库设计规范是个技术含量相对低的话题，只需要对标准和规范的坚持即可做到。当系统越来越庞大，严格控制数据库的设计人员，并且有一份规范书供执行参考。在程序框架中，也有一份强制性的约定，当不遵守规范时报错误。
以下20个条款是我从一个超过1000个数据库表的大型ERP系统中提炼出来的设计约定，供参考。
1 所有的表的第一个字段是记录编号Recnum，用于数据维护
[Recnum] [decimal] (8, 0) NOT NULL IDENTITY(1, 1)
在进行数据维护的时候，我们可以直接这样写：
UPDATE Company SET Code='FLEX' WHERE Recnum=23
2 每个表增加4个必备字段，用于记录该笔数据的创建时间，创建人，最后修改人，最后修改时间
[CreatedDate] [datetime] NULL, [CreatedBy] [nvarchar] (10) COLLATE SQL_Latin1_General_CP1_CI_AS NULL, [RevisedDate] [datetime] NULL, [RevisedBy] [nvarchar] (10) COLLATE SQL_Latin1_General_CP1_CI_AS NULL
框架程序中会强制读取这几个字段，默认写入值。
3 主从表的主外键设计
主表用参考编号RefNo作为主键，从表用RefNo,EntryNo作为主键。RefNo是字符串类型，可用于单据编码功能中自动填写单据流水号，从表的EntryNo是行号，LineNo是SQL Server 的关键字，所以用EntryNo作为行号。
如果是三层表，则第三层表的主键依次是RefNo,EntryNo,DetailEntryNo，第三个主键用于自动增长行号。
4 设计单据状态字段
| 字段 | 含义 |
| Posted | 过帐，已确认 |
| Closed | 已完成 |
| Cancelled | 已取消 |
| Approved | 已批核 |
| Issued | 已发料 |
| Finished | 已完成 |
| Suspended | 已取消 |
5 字段含义相近，把相同的单词调成前缀。
比如工作单中的成本核算，人工成本，机器成本，能源成本，用英文表示为LaborCost,MachineCost,EnergyCost
但是为了方便规组，我们把Cost调到字段的前面，于是上面三个字段命名为CostLabor,CostMachine,CostEnergy。
可读性后者要比前者好一点，Visual Studio或SQL Prompt智能感知也可帮助提高字段输入的准确率。
6 单据引用键命名 SourceRefNo SourceEntryNo
销售送货Shipment会引用到是送哪张销售单据的，可以添加如下引用键SourceRefNo,SourceEntryNo，表示送货单引用的销售单的参考编号和行号。Source开头的字段一般用于单据引用关联。
7 数据字典键设计
比如员工主档界面的员工性别Gender，我的方法是在源代码中用枚举定义。性别枚举定义如下：
public enum Gender
{
[StringValue("M")]
[DisplayText("Male")]
Male,
[StringValue("F")]
[DisplayText("Female")]
Female
}
在代码中调用枚举的通用方法，读取枚举的StringValue写入到数据库中，读取枚举的DisplayText显示在界面中。
经过这一层设计，数据库中有关字典方面的设计就规范起来了，避免了数据字典的项的增减给系统带来的问题。
8 数值类型字段长度设计
Price/Qty 数量/单价 6个小数位 nnnnnnnnnn.nnnnnn 格式 （10.6）
Amount 金额 2个小数位 nnnnnnnnnnnn.nn 格式（12.2）
Total Amt 总金额 2个小数位 nnnnnnnnnnnnnn.nn 格式（14.2）
参考编号默认16个字符长度，不够用的情况下增加到30个字符，再不够用增加到60个字符。这样可以保证每张单据的第一个参考编号输入控件看起来都是一样长度。
除非特别需求，一般而言，界面中控件的长度取自映射的数据库中字段的定义长度。
9 每个单据表头和明细各增加10个自定义字段，基础资料表增加20个自定义字段
参考供应商主档的自定义字段，自定义字段的名称统一用UserDefinedField。
ALTER TABLE Vendor ADD COLUMN [USER_DEFINED_FIELD_1] nvarchar(100) COLLATE SQL_Latin1_General_CP1_CI_AS NULL ALTER TABLE Vendor ADD COLUMN [USER_DEFINED_FIELD_2] nvarchar(100) COLLATE SQL_Latin1_General_CP1_CI_AS NULL ALTER TABLE Vendor ADD COLUMN [USER_DEFINED_FIELD_3] nvarchar(100) COLLATE SQL_Latin1_General_CP1_CI_AS NULL ALTER TABLE Vendor ADD COLUMN [USER_DEFINED_FIELD_4] nvarchar(100) COLLATE SQL_Latin1_General_CP1_CI_AS NULL ALTER TABLE Vendor ADD COLUMN [USER_DEFINED_FIELD_5] nvarchar(100) COLLATE SQL_Latin1_General_CP1_CI_AS NULL ALTER TABLE Vendor ADD COLUMN [USER_DEFINED_FIELD_6] nvarchar(100) COLLATE SQL_Latin1_General_CP1_CI_AS NULL ALTER TABLE Vendor ADD COLUMN [USER_DEFINED_FIELD_7] nvarchar(100) COLLATE SQL_Latin1_General_CP1_CI_AS NULL ALTER TABLE Vendor ADD COLUMN [USER_DEFINED_FIELD_8] nvarchar(100) COLLATE SQL_Latin1_General_CP1_CI_AS NULL ALTER TABLE Vendor ADD COLUMN [USER_DEFINED_FIELD_9] nvarchar(100) COLLATE SQL_Latin1_General_CP1_CI_AS NULL ALTER TABLE Vendor ADD COLUMN [USER_DEFINED_FIELD_10] nvarchar(100) COLLATE SQL_Latin1_General_CP1_CI_AS NULL ALTER TABLE Vendor ADD COLUMN [USER_DEFINED_FIELD_11] nvarchar(100) COLLATE SQL_Latin1_General_CP1_CI_AS NULL ALTER TABLE Vendor ADD COLUMN [USER_DEFINED_FIELD_12] nvarchar(100) COLLATE SQL_Latin1_General_CP1_CI_AS NULL ALTER TABLE Vendor ADD COLUMN [USER_DEFINED_FIELD_13] nvarchar(100) COLLATE SQL_Latin1_General_CP1_CI_AS NULL ALTER TABLE Vendor ADD COLUMN [USER_DEFINED_FIELD_14] nvarchar(100) COLLATE SQL_Latin1_General_CP1_CI_AS NULL ALTER TABLE Vendor ADD COLUMN [USER_DEFINED_FIELD_15] nvarchar(100) COLLATE SQL_Latin1_General_CP1_CI_AS NULL ALTER TABLE Vendor ADD COLUMN [USER_DEFINED_FIELD_16] nvarchar(100) COLLATE SQL_Latin1_General_CP1_CI_AS NULL ALTER TABLE Vendor ADD COLUMN [USER_DEFINED_FIELD_17] nvarchar(100) COLLATE SQL_Latin1_General_CP1_CI_AS NULL ALTER TABLE Vendor ADD COLUMN [USER_DEFINED_FIELD_18] nvarchar(100) COLLATE SQL_Latin1_General_CP1_CI_AS NULL ALTER TABLE Vendor ADD COLUMN [USER_DEFINED_FIELD_19] nvarchar(100) COLLATE SQL_Latin1_General_CP1_CI_AS NULL ALTER TABLE Vendor ADD COLUMN [USER_DEFINED_FIELD_20] nvarchar(100) COLLATE SQL_Latin1_General_CP1_CI_AS NULL
10 多货币(本位币)转换字段的设计
金额或单价默认是以日记帐中的货币为记录，当默认货币与本位币不同时需要同时记录下本位币的值。
销售单销售金额 SalesAmount或SalesAmt,本位币字段定义为SalesAmountLocal或SalesAmtLocal
通常是在原来的字段后面加Local表示本位币的值。
11 各种日期字段的设计
| 字段名称 | 含义 |
| TranDate | 日期帐日期 Tran是Transaction的简写 |
| PostedDate | 过帐日期 |
| ClosedDate | 完成日期 |
| InvoiceDate | 开发票日期 |
| DueDate | 截止日期 |
| ScheduleDate | 计划日期，这个字段用在不同的单据含义不同。比如销售单是指送货日期，采购单是指收货日期。 |
| OrderDate | 订单日期 |
| PayDate | 付款日期 |
| CreatedDate | 创建日期 |
| RevisedDate | 修改日期 |
| SettleDate | 付款日期 |
| IssueDate | 发出日期 |
| ReceiptDate | 收货日期 |
| ExpireDate | 过期时间 |
12 财务有关的单据包含三个标准字段
FiscalYear 财年，PeriodNo 会计期间，Period 前面二个的组合。以国外的财年为例子，FiscalYear是2015，PeriodNo是4，Period是2015/04。
欧美会计期间是从每年的4月份开始，需要注意的是会计期间与时间没有必然的联系，看到会计期间是2015/04，不一定是表示2015的4月份，它只是说这是2015财年的第四期，具体在哪个时间段需要看会计期间定义。
13 单据自动生成 DirectEntry
有些单据是由其它单据生成过来的，逻辑上应该不支持编辑。比如销售送货Shipment单会产生出仓单，出仓单应该不支持编辑，只能做过帐扣减库存操作。这时需要DirectEntry标准字段来表示。当手工创建一张出仓单时，将DirectEntry设为true,表示可编辑单据中的字段值，当由其它单据传递产生过来产生的出仓单，将DirectEntry设为false，表示不能编辑此单据。这种情况还发生在业务单据产生记帐凭证(Voucher)的功能中，如果可以修改由原始单据传递过来的数量金额等字段，则会导致与源单不匹配，给系统对帐产生困扰。
14 百分比值字段的设计
Percentage百分比值，用于折扣率，损耗率等相关比率设定的地方。推荐用数值类型表示，用脚本表示是
[ScrapRate] [decimal] (5, 2) NULL
预留两位小数，整数部分支持1-999三位数。常常是整数部分2位就可以，用3位也是为了支持一些特殊行业(物料损耗率超过100）的要求。
15 日志表记录编号LogNo字段设计
LogNo字段的设计有些巧妙，以出仓单为例子，一张出仓单有5行物料明细，每一行物料出仓都会扣减库存，再写物料进出日记帐，因为这五行物料出仓来自同一个出仓单，于是将这五行物料的日记帐中的LogNo都设为同一个值。于在查询数据时，以这个字段分组即可看到哪些物料是在同一个时间点上出仓的，对快速查询有很重要的作用。
16 基础资料表增加名称，名称长写，代用名称三个字段
比如供应商Vendor表，给它加以下三个字段：
Description 供应商名称，比如微软公司。
ExtDescription 供应商名称长写，比如电气行业的南网的全名是南方国家电网有限公司。
AltDescription 供应商名称替代名称，用在报表或是其它单据引用中。比如采购单中的供应商是用微软，还是用代用名称Microsoft，由参数(是否用代用名称)控制。
17 文件类表增加MD5 Hash字段
比如产品数据管理系统要读取图纸，单据功能中增加的附件文件，这类涉及文件读写引用的地方，考虑存放文件的MD5哈希值。文件的MD5相当于文件的唯一识别身份，在网上下载文件时，网站常常会放出文件的MD5值，以方便对比核对。当下载到本机的文件的MD5值与网站上给出的值不一致时，有可能这个文件被第三方程序修改过，不可信任。
18 数据表的主键用字符串而不是数字
比如销售单中的货币字段，是存放货币表的货币字符串值RMB/HKD/USD，还是存放货币表的数字键，1/2/3。
存放前者对于报表制作相对容易，但是修改起来相对麻烦。存放后者对修改数据容易，但对报表类或查询类操作都需要增加一个左右连接来看数字代表的货币。金蝶使用的是后者，它的BOS系统也不允许数据表之间有直接的关联，而是间接通过Id值来关联表。
在我看到的系统中，只有一个会计期间功能(财年Fiscal Year)用到数字值作主键，其余的单据全部是字符串做主键。
19 使用约定俗成的简写
模块Module 简写
| 简写 | 全名 |
| SL | Sales 销售 |
| PU | Purchasing 采购 |
| IC | Inventory 仓库 |
| AR | Account Receivable 应收 |
| AP | Account Payable 应付 |
| GL | General Ledger 总帐 |
| PR | Production 生产 |
名称Name 简写
| 简写 | 全名 |
| Uom | Unit of Measure 单位 |
| Ccy | Currency 货币 |
| Amt | Amount 金额 |
| Qty | Quantity 数量 |
| Qty Per | Quantity Per 用量 |
| Std Output | Standard Output 标准产量 |
| ETA | Estimated Time of Arrival 预定到达时间 |
| ETD | Estimated Time of Departure 预定出发时间 |
| COD | Cash On Delivery 货到付款 |
| SO | Sales Order 销售单 |
| PO | Purchase Order 采购单 |
20 库存单据数量状态
Qty On Hand 在手量
Qty Available 可用量
Qty On Inspect 在验数量
Qty On Commited 提交数量
Qty Reserved 预留数量
以上每个字段都有标准和行业约定的含义，不可随意修改取数方法。