.NET 程式碼存取安全性：代碼組管理完整實戰 - Caspol 與組態工具操作指南

前言

代碼組是 CAS 安全性策略的基本單位：條件表達式 + 權限集。組件滿足條件即授予權限。各策略層級代碼組以樹狀結構組織。本文實戰示範使用 Caspol.exe 與 .NET Framework 組態工具 (mscorcfg.msc) 進行代碼組的查看、建立、修改、刪除全流程操作。

Caspol.exe 命令列查看操作

啟動與說明

# 開啟 Visual Studio 命令提示字元
# 查看完整參數說明
caspol -?

列出各層級代碼組

# 企業層級
caspol -enterprise -listgroups

# 電腦層級 (最常用)
caspol -machine -listgroups

# 使用者層級
caspol -user -listgroups

# 所有層級
caspol -all -listgroups

# 預設層級 (管理員=電腦，一般用戶=使用者)
caspol -listgroups

注意：預設層級取決於執行身分。管理員預設為電腦層級，非管理員為使用者層級。

列出代碼組名稱與描述

caspol -machine -listdescription
caspol -user -listdescription
caspol -enterprise -listdescription
caspol -all -listdescription
caspol -listdescription

輸出範例

Level = User
Code Groups:
1. All_Code: Code group grants all code full trust and forms the root of the code group tree.
Success

.NET Framework 組態工具圖形化操作

啟動工具

# 命令列或執行對話框
mscorcfg.msc

建立代碼組完整步驟

1. 展開「執行階段安全性原則」→ 選取目標層級 (如「電腦」)
2. 展開代碼組樹，檢視現有結構

   

3. 右鍵目標父代碼組 → 「新增子代碼組」

   

4. 輸入名稱與描述 → 下一步
5. 選擇條件類型 (10 種)

   

10 種條件類型完整說明

權限集選擇與建立

• 使用現有權限集：如 FullTrust、LocalIntranet、Internet、Everything、Nothing、Execution、SkipVerification
• 建立新權限集：自訂精確權限組合

  

• 匯入權限集：從 XML 檔案匯入

代碼組樹狀結構關鍵概念

• 根代碼組：通常為 All_Code，FullTrust，所有代碼的祖先
• 父子繼承：子代碼組權限受父代碼組限制 (交集)
• 排序優先權：同層級代碼組按順序評估，後者可覆寫前者 (視屬性而定)
• Exclusive/LevelFinal：特殊屬性改變評估邏輯 (詳見代碼組屬性篇)

管理工具選擇建議

查看本欄目