ASP.NET 架構與安全機制深度解析系列：HTTP 請求處理管線全景圖

系列緒言

本文為系列首篇，旨在自底向上建立 ASP.NET 請求處理管線完整認知：從 IIS 接收請求、ISAPI 擴展、ASP.NET ISAPI (aspnet_isapi.dll)、HttpRuntime、HttpApplicationFactory、HttpApplication、HttpModule、HttpHandler、Page/Handler 執行，到回應輸出。理解管線每個階段的職責、攔截點、擴展性，是掌握安全機制（驗證/授權/Provider 模型）的基石。

IIS 與 ISAPI 架構基礎

靜態 vs 動態資源處理

• 靜態資源（.html、.css、.js、.jpg）：IIS 直接從檔案系統讀取，以位元組流透過 HTTP 回應，不經 ASP.NET 管線。
• 動態資源（.aspx、.asmx、.ashx、.axd、.asax、.ascx）：IIS 依據副檔名對應表，將請求轉交給對應的 ISAPI 擴展處理。

ISAPI 擴展對應表 (IIS 5/6 經典模式)

aspnet_isapi.dll 關鍵職責

1. 將原生 ISAPI `EXTENSION_CONTROL_BLOCK` 封裝為 Managed `HttpWorkerRequest`。
2. 呼叫 `HttpRuntime.ProcessRequest` 進入 Managed 管線。
3. 管理應用程式域（AppDomain）載入/卸載、啟動 `HttpRuntime` 單例。
4. 處理野字元對應、檔案變更監視、編譯錯誤回報。

ASP.NET Managed 管線核心類別

HttpRuntime (單例)
    │
    ├── HttpApplicationFactory: 管理 HttpApplication 池
    │       │
    │       └── HttpApplication (每請求一個實例，池化複用)
    │               │
    │               ├── HttpContext: 封裝 Request/Response/Session/Cache/User/Items
    │               ├── HttpRequest: 輸入資料 (QueryString, Form, Files, Headers, Cookies, Url)
    │               ├── HttpResponse: 輸出控制 (Write, Redirect, Headers, Cookies, Filter, Cache)
    │               ├── HttpModule 集合: 管線事件攔截 (Auth, Session, Cache, Error, OutputCache...)
    │               └── HttpHandler: 終端處理器 (Page, WebService, Generic Handler, MVC Controller)

請求處理 22 個管線事件 (HttpApplication Events)

整合模式 管線差異

• IIS 7+ 整合模式：Managed 管線與 IIS 原生管線融合，所有模組（Managed/Native）共用同一事件序列。
• system.webServer/modules 取代 system.web/httpModules，runAllManagedModulesForAllRequests 控制靜態檔案是否經 Managed 模組。
• 模組註冊：`[assembly: PreApplicationStartMethod]`、`WebActivator`、或 `IHttpModule` 介面配合 `DynamicModuleUtility.RegisterModule`。

Global.asax 應用程式層級事件

public class Global : HttpApplication {
    void Application_Start() { /* 初始化 DI 容器、快取、排程、靜態資料 */ }
    void Application_End() { /* 釋放資源、關閉連線、停止排程 */ }
    void Application_Error() { /* 全域例外記錄、友善錯誤頁、通知 */ }
    void Session_Start() { /* 初始化 Session 資料、線上人數計數 */ }
    void Session_End() { /* 清理 Session 資源、離線處理 */ }
    // 以上 22 個管線事件皆可在這裡以 Application_EventName 形式覆寫
}

下一篇預告

下一篇將深入剖析 Forms Authentication 機制：Ticket 加密/解密、Cookie 管理、滑動過期、機器金鑰、跨應用程式單一登入 (SSO)、自訂 `MembershipProvider`/`RoleProvider` 實作與 Provider 模型設計精髓。