一、配置文件入门
.Net提供了一种保存项目配置信息的办法，就是利用配置文件，配置文件的后缀一般是.config。在WinForm程序中配置文件一般是App.config。在Asp.net中一般默认是web.config。
一个.config配置文件都是基于XML的文本文件，并且可以保存到Web应用程序中的任何目录中。在发布Web应用程序时web.config文件并不编译进dll文件中。将来如果客户端发生了变化，仅仅需要使用记事本打开Web.config文本编辑相关的设置就可以重新正常使用，而无需重新编译程序。
1.配置文件的查找
我们先从配置文件的查找方式来了解配置文件。
.net提供了一个针对当前机器的配置文件，这个文件是machine.config，它位于%windir%Microsoft.NETFrameworkv2.0.50727CONFIG文件下。
(%windir%是系统分区下的系统目录，在命令行模式下输入%windir%然后回车就能查看当前机器的系统目录，在Windows 2003以及Window XP中%windir%是系统分区下的windows目录，在Windows 2000中%windir%是系统分区下的WinNT目录)。这个文件里面定义了针对当前及其的WinForm程序和Asp.net应用程序的配置。
machine.config在我的电脑的路径是：C:\Windows\Microsoft.NET\Framework\v2.0.50727\CONFIG\machine.config 由于里面的内容比较多，而且看不懂，所以贴出来也没有什么用了。
在同样的文件夹下还有一个web.config文件，这个文件包含了Asp.net网站的常用配置。Asp.net网站IIS启动的时候会加载配置文件中的配置信息，然后缓存这些信息，这样就不必每次去读取配置信息。在运行过程中asp.net应用程序会监视配置文件的变化情况，一旦编辑了这些配置信息，就会重新读取这些配置信息并缓存。
当我们要读取某个节点或者节点组信息时，是按照以下方式搜索的：
(1)、如果在当前页面所在的目录下存在web.config文件，查看是否存在所要查找的节点名称，如果存在返回结果并停止查找。
(2)、如果当前页面所在目录下不存在web.config文件或者web.config文件中不存在该节点名，则查找它的上级目录，直到网站的根目录。
(3)、如果网站根目录下不存在web.config文件或者web.config文件中不存在该节点名则在 C:\Windows\Microsoft.NET\Framework\v2.0.50727\CONFIG\webconfig.config文件中查找。
(4)如果在C:\Windows\Microsoft.NET\Framework\v2.0.50727\CONFIG\webconfig.config文件中不存在响应的节点则在 C:\Windows\Microsoft.NET\Framework\v2.0.50727\CONFIG\machine.config中查找。
(5)如果仍然没有找到则返回null。
当前页面所在目录的web.config -> 上级目录直至根目录的web.config -> C:\Windows\Microsoft.NET\Framework\v2.0.50727\CONFIG\webconfig.config -> C:\Windows\Microsoft.NET\Framework\v2.0.50727\CONFIG\machine.config
所以如果我们对某个网站或者某个文件夹有特定要求的配置，可以在相应的文件夹下创建一个web.config文件，覆盖掉上级文件夹中的web.config文件中的同名配置即可。这些配置信息的寻找只查找一次，所以便缓存起来供后来的调用。在asp.net应用程序运行过程中，如果web.config文件发生更改就会导致相应的应用程序重新启动，这时存储在服务器内存中的用户会话信息就会丢失(如存储在内存中的Session)。一些软件(杀毒软件)每次完成对web.config的访问时就会修改web.config的访问时间属性，也会导致asp.net应用程序的重启。
2、常见的配置节点及读取
web.config文件是一个XML文件，它的根节点是
<appSettings> <add key="ImageType" value=".jpg;.bmp;.gif;.png;.jpeg"> <add key="FileType" value=".jpg;.bmp;.gif;.png;.jpeg;.pdf;.zip;.rar;.xls;.doc"/> appSettings>
<connectionStrings> <add name="DBConnection" connectionString="Data Source=(local);Initial Catalog=AspNetStudy;User ID=sa;Password=123"/> connectionStrings>
设置asp.net身份验证模式，有四种身份验证模式，取值如下：
Mode 说明
Windows 使用Windows身份验证，适用于域用户或者局域网用户。
Forms 使用表单验证，依靠网站开发人员进行身份验证。
Passport 使用微软提供的身份验证服务进行身份验证。
Node 不进行任何身份验证
Mode 说明
On 表示在本地和远程用户都会看到自定义错误信息。
Off 禁用自定义错误信息，本地和远程用户都会看到详细的错误信息。
RemoteOnly 表示本地用户将看到详细错误信息，而远程用户将会看到自定义错误信息。
有必要说明一下本地用户和远程用户的概念。当我们访问Asp.net应用程序时所使用的机器和发布asp.net应用程序所使用的机器为同一台机器时为本地用户，否则就算为远程用户。在开发调试阶段为了查找错误。Mode属性建议设置为Off，而在部署阶段应将Mode属性设置为On或者RemoteOnly，以避免这些详细的错误信息暴露了程序代码细节从而引来黑客的入侵。
2013-04-16
今天同事在部署程序的时候，程序在本地测试正常，传上服务器就出错，但是不知道相信错误信息在哪里被屏蔽了，当时就是设置这个地方传上服务器后，相应的详细错误信息就显示了。
<customErrors mode="Off">customErrors>
在
<customErrorsmode="On"defaultRedirect="GenericErrorPage.htm"> <errorstatusCode="403"redirect="403.htm"/> <errorstatusCode="404"redirect="404.htm"/> customErrors>
在上面的配置中如果用户访问的页面不存在就会跳转到404.htm页面，如果用户没有权限访问请求的页面则会跳转到403.htm页面，403.htm和404.htm都是我们自己添加的页面，我们可以再页面中给出友好的错误提示。
下面是与machine.config文件同一目录下的web.config文件中的
<httpHandlers> <addpath="*.rules"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.xoml"verb="*"type="System.ServiceModel.Activation.HttpHandler,System.ServiceModel,Version=3.0.0.0,Culture=neutral,PublicKeyToken=b77a5c561934e089"validate="false"/> <addpath="trace.axd"verb="*"type="System.Web.Handlers.TraceHandler"validate="true"/> <addpath="WebResource.axd"verb="GET"type="System.Web.Handlers.AssemblyResourceLoader"validate="true"/> <addpath="*.axd"verb="*"type="System.Web.HttpNotFoundHandler"validate="true"/> <addpath="*.aspx"verb="*"type="System.Web.UI.PageHandlerFactory"validate="true"/> <addpath="*.ashx"verb="*"type="System.Web.UI.SimpleHandlerFactory"validate="true"/> <addpath="*.asmx"verb="*"type="System.Web.Services.Protocols.WebServiceHandlerFactory,System.Web.Services,Version=2.0.0.0,Culture=neutral,PublicKeyToken=b03f5f7f11d50a3a"validate="false"/> <addpath="*.rem"verb="*"type="System.Runtime.Remoting.Channels.Http.HttpRemotingHandlerFactory,System.Runtime.Remoting,Version=2.0.0.0,Culture=neutral,PublicKeyToken=b77a5c561934e089"validate="false"/> <addpath="*.soap"verb="*"type="System.Runtime.Remoting.Channels.Http.HttpRemotingHandlerFactory,System.Runtime.Remoting,Version=2.0.0.0,Culture=neutral,PublicKeyToken=b77a5c561934e089"validate="false"/> <addpath="*.asax"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.ascx"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.master"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.skin"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.browser"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.sitemap"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.dll.config"verb="GET,HEAD"type="System.Web.StaticFileHandler"validate="true"/> <addpath="*.exe.config"verb="GET,HEAD"type="System.Web.StaticFileHandler"validate="true"/> <addpath="*.config"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.cs"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.csproj"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.vb"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.vbproj"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.webinfo"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.licx"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.resx"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.resources"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.mdb"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.vjsproj"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.java"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.jsl"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.ldb"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.ad"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.dd"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.ldd"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.sd"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.cd"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.adprototype"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.lddprototype"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.sdm"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.sdmDocument"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.mdf"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.ldf"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.exclude"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.refresh"verb="*"type="System.Web.HttpForbiddenHandler"validate="true"/> <addpath="*.svc"verb="*"type="System.ServiceModel.Activation.HttpHandler,System.ServiceModel,Version=3.0.0.0,Culture=neutral,PublicKeyToken=b77a5c561934e089"validate="false"/> <addpath="*"verb="GET,HEAD,POST"type="System.Web.DefaultHttpHandler"validate="true"/> <addpath="*"verb="*"type="System.Web.HttpMethodNotAllowedHandler"validate="true"/> httpHandlers>
从上面的配置中可以看出，针对*.mdf、*.ldf文件的Get或者Post请求都会交给System.Web.HttpForbiddenHandler来处理，处理的结果就是用户不能查看或者下载相关的文件。如果我们某个文件夹下的文件或者某个类型的文件不允许用户下载，可以在节点中增加相应的子节点。
例如下面的配置控制用户最大能上传的文件为40M(40*1024k)，最大超时时间为60秒，最大并发请求为100个。
<httpRuntime maxRequestLength="40960" executionTimeout="60" appRequestQueueLimie="100"/>
属性名 说明
buffer 是否启用了HTTP响应缓冲。
enableViewStateMac 是否应该对页的视图状态运行计算机身份验证检查(MAC)
validateRequest 是否验证用户输入中有跨站点脚本攻击和SQL注入式漏洞攻击，默认为true，如果出现匹配情况就会发生HttpRequestValidationException异常。对 于包含在线文本编辑器页面一半自行验证用户输入而将此属性视为false。
<pagesbuffer="true"enableViewStateMac="true"validateRequest="false"/>
<sessionStatecookieless="false"mode="InProc"timeout="30"/>
上面的节点配置是设置在asp.net应用程序中启用Cookie，并且指定会话状态模式为在进程中保存会话状态，同时还指定了会话超时为30分钟。
属性值 说明
Custom 使用自定义数据来存储会话状态数据。
InProc 默认值。由asp.net辅助进程来存储会话状态数据。
Off 禁用会话状态。
SQLServer 使用进程外SQL Server数据库保存会话状态数据。
StateServer 使用进程外 ASP.NET 状态服务存储状态信息。
一般默认情况下使用InProc模式来存储会话状态数据，这种模式的好处是存取速度快，缺点是比较占用内存，所以不宜在这种模式下存储大型的用户会话数据。
用于配置应用程序的全球化设置。此节点有几个比较重要的属性，分别如下：
属性名 说明
fileEncoding 可选属性。设置.aspx、.asmx 和 .asax 文件的存储编码。
requestEncoding 可选属性。设置客户端请求的编码，默认为UTF-8.
responseEncoding 可选属性。设置服务器端响应的编码，默认为UTF-8.
以下就是asp.net应用程序中的默认配置：
<globalizationfileEncoding="utf-8"requestEncoding="utf-8"responseEncoding="utf-8"/>