刪除無用的檢視引擎

預設情況下，ASP.NET MVCE同時支援WebForm和Razor引擎，而我們通常在同一個專案中只用到了一種檢視引擎，如Razor，那麼，我們就可以移除掉沒有使用的檢視引擎，提高View檢視的檢索效率。在沒有刪除WebForm引擎之前，檢索控制器中不存在的檢視時，我們可以從下圖看到，檢索檢視的順序是先Home目錄下面，然後Shared目錄下面的aspx、ascx檔案。

1、在Global.asax中新增如下程式碼：

void RemoveWebFormEngines()
        {
            var viewEngines = ViewEngines.Engines;
            
 
var webFormEngines = viewEngines.OfType<WebFormViewEngine>().FirstOrDefault();
            if (webFormEngines != null)
            {
                viewEngines.Remove(webFormEngines);
            }
        }

 protected void Application_Start()
        {
            RemoveWebFormEngines(); 
 
//移除WebForm檢視引擎
            AreaRegistration.RegisterAllAreas();

            WebApiConfig.Register(GlobalConfiguration.Configuration);
            FilterConfig.RegisterGlobalFilters(GlobalFilters.Filters);
            RouteConfig.RegisterRoutes(RouteTable.Routes);
            BundleConfig.RegisterBundles(BundleTable.Bundles);
            AuthConfig.RegisterAuth();
        }
 

現在再看下

壓縮合並Css和Js

在APS.NET MVC4中，App_Start資料夾下面多了一個BundleConfig.cs類，專門用於壓縮合並檔案的，預設情況下壓縮合並功能是開啟的，當然我們也可以使用 BundleTable.EnableOptimizations = true;來顯示設定開啟。

但是，注意要在Web.config中將 除錯設定為false，壓縮才會生效  <compilation debug="false" targetFramework="4.5" />

 bundles.Add(new ScriptBundle("~/bundles/jquery").Include(
                        "~/Scripts/jquery.min.js", "~/Scripts/jquery.easyui.min.js"));// "~/Scripts/jquery-{version}.js",
 bundles.Add(new StyleBundle("~/Content/css").Include("~/Content/themes/default/easyui.css", "~/Content/themes/icon.css"));//"~/Content/site.css",

我們來看下壓縮合並前和壓縮合並後的對比

壓縮合並前：

壓縮合並後

很明顯，我們看到檔案被合併了，減少了網路請求數，同時，檔案的大小也減小了，說明被壓縮處理了。

注意：我們只能合併同一型別的檔案，也就是說不能把js和css檔案合併到一起，只能單獨合併js檔案和css檔案。

使用防偽造令牌來避免CSRF攻擊

對錶達提交來說，要關注的就是安全問題。ASP.NET MVC提供了探測某種攻擊型別的機制，其中一種措施就是防偽造令牌。這種令牌包含伺服器端和客戶端元件，程式碼會在表單中插入一個隱藏域以儲存使用者特定的令牌 @Html.AntiForgeryToken()

@using (Html.BeginForm(new { ReturnUrl = ViewBag.ReturnUrl })) {
    @Html.AntiForgeryToken()

注意：@Html.AntiForgeryToken()只能新增在Html.BeginForm()形式申明的表單中，純HTML的<form>標籤表單是不行的。

Html.AntiForgeryToken輔助方法會寫入一個加密過的資料到使用者端瀏覽器的Cookie裡，然後在表單內插入一個名為_RequestVerificationToken的隱藏欄位，該隱藏欄位的內容，每次重新整理頁面都會不一樣，每次執行Action動作方法時，都會讓這個隱藏欄位的值與Cookie的加密資料進行驗證比對，符合驗證才允許執行這個Action方法。

而且伺服器端會優先在資料處理之前執行這些令牌驗證程式碼，如下：[ValidateAntiForgeryToken]

        [HttpPost]
        [AllowAnonymous]
        [ValidateAntiForgeryToken]
        public ActionResult Login(LoginModel model, string returnUrl)
        {
            if (ModelState.IsValid && WebSecurity.Login(model.UserName, model.Password, persistCookie: model.RememberMe))
            {
                return RedirectToLocal(returnUrl);
            }

            // 如果我們進行到這一步時某個地方出錯，則重新顯示錶單
            ModelState.AddModelError("", "提供的使用者名稱或密碼不正確。");
            return View(model);
        }

 隱藏ASP.NET MVC版本

預設情況下，ASP.NET MVC網站會把版本號提供給瀏覽器，

在Global.asax中新增   MvcHandler.DisableMvcResponseHeader = true;

        protected void Application_Start()
        {
            MvcHandler.DisableMvcResponseHeader = true;
            AreaRegistration.RegisterAllAreas();

            WebApiConfig.Register(GlobalConfiguration.Configuration);
            FilterConfig.RegisterGlobalFilters(GlobalFilters.Filters);
            RouteConfig.RegisterRoutes(RouteTable.Routes);
            BundleConfig.RegisterBundles(BundleTable.Bundles);
        }

判斷客戶端請求是否為Ajax：Request.IsAjaxRequest