务器将进行身份验证，即确认用户身份，以检查用户是否拥有有效的 Windows NT 帐号。
11 保护元数据库
访问元数据库的 ASP 脚本需要 Web 服务器所运行的计算机的管理员权限。在从远程计算机上运行这些脚本时，须经已通过身份验证的连接，如使用 Windows NT 请求/响应验证方式进行连接。应该为管理级 .asp 文件创建一个服务器或目录并将其目录安全验证方式设置为 Windows NT 请求/响应式身份验证。目前，仅 Microsoft Internet Explorer version 2.0 或更高版本支持 Windows NT 请求响应式身份验证。
12 使用 SSL 维护应用程序的安全
SSL3.0 协议作为 Web 服务器安全特性，提供了一种安全的虚拟透明方式来建立与用户的加密通讯连接。SSL 保证了 Web 内容的验证，并能可靠地确认访问被限制的 Web 站点的用户的身份。
通过 SSL，您可以要求试图访问被限制的 ASP 应用程序的用户与您的服务器建立一个加密连接；以防用户与应用程序间交换的重要信息被截取。比如好多基于WEB的ASP论坛都会提供注册用户互相发送信息的服务，这种信息是明文传送的，如果在网吧就很容易给人监听到。如果加了一层SSL认证，就会防止发送信息被监听的可能。
13 客户资格认证
控制对您的 ASP 应用程序访问的一种十分安全的方法是要求用户使用 客户资格登录。客户资格是包含用户身份信息的数字身份证，它的作用与传统的诸如护照或驾驶执照等身份证明相同。用户通常从委托的第三方组织获得客户资格，第三方组织在发放资格证之前确认用户的身份信息。每当用户试图登录到需要资格验证的应用程序时，用户的 Web 浏览器会自动向服务器发送用户资格。如果 Web 服务器的 Secure Sockets Layer (SSL) 资格映射特性配置正确，那么服务器就可以在许可用户对 ASP 应用程序访问之前对其身份进行确认。
作为 ASP 应用程序开发人员，您可以编写脚本来检查资格是否存在并读取资格字段。
14 ASP的加密
由于ASP脚本是采用明文（plain text）方式来编写的，所以应用开发商辛苦开发出来的ASP应用程序，一旦发布到运行环境中去后，就很难确保这些“源代码”不会被流传出去。这样就产生了如何有效地保护开发出来的ASP脚本源代码的需求。
官方加密程序：从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。
运行screnc – l vbscript source.asp destination.asp生成包含密文ASP脚本的新文件destination.asp用记事本打开看凡是“<%和%>"之内的，不管是否注解，都变成不可阅读的密文了，但无法加密中文。
几种ASP源代码保护方法：
1，“脚本最小化”即ASP文件中只编写尽可能少的源代码，实现商业逻辑的脚本部分被封装到一个COM/DCOM组件，并在ASP脚 本中创建该组件，进而调用相应的方法（methed）即可。
2，“脚本加密”即ASP脚本仍直接按源代码方式进行开发，但在发布到运行环境之前将脚本进行加密处理，只要把加密后的密文脚本发布出去。即在ASP.DLL读取脚本这个环节加入密文还原的处理。
15 SQL SERVER的安全性
目前用ASP编写的WEB应用中，后台数据库大部分SQL SERVER。SQL SERVER相对来说比较安全。但是也要小心地配置SQL Server.
1.安装远程数据库管理有风险
SQL Server支持从远程进行数据库的维护。在安装时你可以选择不安装，安装完成以后，你还可以通过“SQL Server Network Utility”来删除远程管理。如果你要使用远程管理，请使用TCP/IP，并将缺省的端口1433改变为其他的数值。使用远程对你可能比较方便，便是请注意一个hacker只要知道你的SQL server密码，就可以进入你的数据库。
2.改变sa的密码。
缺省安装时，SQL SERVER的sa账号的密码为空，建议你在Enterprise SERVER中，改变sa的密码。
3.数据库登录账号不要写入ASP页面中。
