与ASP不同的是，ASP.NET在一个来自IIS的独立进程中运行。在ASP中得代码行为错误时——比如在一个COM对象中我们忘记释放内存，这样的漏洞可能降低服务器性能，甚至可能使其中有ASP在运行的进程崩溃。在某些情况下，这会使IIS进程崩溃，而且如果IIS进程不可用，应用程序就不为请求提供服务。
而另一方面，网站建设中ASP.NET的设计特别重视系统中可能或者将要出现的错误。ASP.NET并不是与IIS一起运行在进程中，而是运行在一个独立的工作进程aspnet_wp.exe中。ASP.NET知识使用IIS来接受请求和发送响应（就好像一个请求/响应经纪人）。IIS不执行任何ASP.NET代码。随便ASP.NET进程如何运行，都不会以任何方式影响到IIS的稳定性。在提出了一个队ASP.NET资源的请求之后，我们才可以通过windows task manager来查看ASP.NET进程，因为只有在ASP.NET应用程序被使用时，进程才开始。
网站建设时当开始考虑保护应用程序安全性时，必须首先考虑我们试图达到的实际目标。例如，应用程序是否包含高度敏感的信息，或者允许用户实施绝对禁止误用的任务——例如银行给客户提供了在线账户访问。或者说，有些信息不太敏感但仍然有用，例如想让访问者付费订阅后再访问的内容。
最后，所有这些都归结到量化出所涉及的风险和安全漏洞的后果。提高应用程序的安全性远不是允许每个人都能访问那样简单，还涉及到使用防火墙等设备构建复杂的多层系统，以及非军事和各种其他高度安全的功能。然而，上述方法通常只有当系统需要最高安全级别时才用到，例如当需要保护整个网络免受外界入侵时才用到。
HTML本身没有直接在其输出中包含来自其他文件的数据的方式。这很不幸，因为大量的HTML标记对一个典型的web站点中大量的页面都是通用的——公司标志、版权声明、导航、链接和其他特性。除了文本和图像为静态资源，也需要包含动态内容。JSP提供合并这些数据的两种方式：
1、<%@ include%>伪指令，用于在JSP源码被转换成JAVA servlet源码和被编译前将静态文本复制到其中。典型情况下，文本为HTML代码，但它可以是在JSP页面内显示的任意内容。被包含的文件必须是相对的URL文档，即它只包含路径信息，没有协议或服务器信息。因此，只有当前servlet上下文中的资源可以用这种方式被包含。如果文件以”/”开始，它被认为是相对servlet上下文根的绝对路径。否则，文件名被认为是相对于当前JSP页面的。
一个标签的行为在称为标签处理器的JAVA类中实现。JSP容器创建和保存标签处理器实例，这些类中的预定义方法从JSP页面生成的servlet直接调用。在实例标签中，需要取得web服务器的名字（例如Apache、IIS、Netscape Enterprise等）。Servlet API并不提供取得此信息的明显方式。请求对象对web客户端内容比较了解，servlet上下文则知道servlet引擎的内容，但这些对象都不知道正在侦听端口80的软件产品。然而，此信息可由web服务器本身当其向web客户端发回HTTP响应时提供。这里采取的方案是在标签处理器中进行一个伪HTTP请求，然后从返回的HTTP头标中抽取服务器信息。
大部分程序员可以编写一般的HTML，大部分web设计者会编写简单的JSP页面，但具有导航、浏览器检测、图形处理和窗体交互的一个好的HTML需要的是一个只是丰富的作者——一个专家。同时，访问数据库、处理交互和使用套接字通信的JAVA编程已经超出了一个HTML作者的知识范畴。定制标签为在两种专家之间进行交流提供了一种方式。JAVA程序员可以把应用功能打成包，而web设计者可使用它作为构建模块。JAVABean也可用来封装代码，作为属性库它们是非常有用的。循环、嵌套或交互行为的概念很难用bean表达。定制标签向JSP开发提供了一种高层应用特有的方法。
大部分应用需要用户在web环境某一点上进行输入。此输入通常来源于HTML窗体，像其文件副本一样，HTML窗体由一系列标签和以逻辑顺序排列的输入域组成。当用户填写了一个窗体，点击确认按钮后，输入域名字和取值被传入到相关处理web服务器的程序中。
HTML提供一个基本的元素或输入控制集，用于容纳大量的数据输入需求。文本输入元素可以单行或多行输入的矩形框。下拉式列表框中显示的选项列表。它可以有一个显示在屏幕上的外部窗体和与选择条目相关的内容部编码值。模拟控制面板上一个按钮的矩形控件。经常用于初始化一个命令，如确认窗体或清楚输入域。检查框是为检查或未检查，开或关的小方块。检查框可指定取值为是或否。类似检查框，单选按钮表明是或否，但它们通常用于互斥组，选择其中一个表明其他均为选择。
为了从专有数据库协议角度说明程序，JDBC使用了由DriverManager类和一个或多个JDBC驱动器组成的中间层。一个driver是一个Java类，通常由实现java.sql.Driver接口的数据库厂家提供。驱动器的基本功能是连接到一个数据库并返回java.sql.Connection对象。应用程序不直接调用驱动器，而是使用DriverManager注册，DriverManager判定一个特定连接请求的相应驱动器并通过它进行连接。存在成百个驱动器，覆盖了所有数据库管理系统。
JDBC规范依据驱动器结构将驱动器划分为四种类型，分别是：1、JDBC-ODBC桥。此类型驱动器通过一个中间ODBC驱动器连接到数据库。这种方法有几个缺点，因此sun只将之作为在没有其他驱动器可利用时的实验性和适当的选择。2、本地API，部分Java类。似于一个JDBC-ODBC桥，类型2驱动器使用本地方法调用厂家指定的API函数。这些驱动器也面对着与JDBC-ODBC桥同样的限制，因为它们需要在客户端系统上安装本地库文件。客户端为使用它们必需加以配置。3、纯Java到数据库中间件。类型3驱动器使用至中间件服务器的网络协议进行通信。此中间件服务器反过来与一个或多个数据库管理系统通信。4、纯Java直接到数据库。此类驱动器直接调用数据库管理系统使用的本地协议。
URL可以在后面附加参数，和服务器的请求一起发送。这些参数为名字/取值对，JSP页面检索请求时，读取参数值。动态生成的web页面可以利用此功能在作为超级链接写入页面的URL中保存会话数据。此功能允许客户端提醒保存所有必要值的服务器应用置入所需状态。
URL重写的过程是：当用户只使用基本URL第一次请求页面时，参数不存在，因此整数变量设置为0。页面的底部是再次调用同样JSP页面的一个超级链接。每次页面再被调用，技术被修改，同时显示信息发生变化。
此技术可确保所有浏览器化境和安全设置中有效，这是它唯一的优点。如果保存大量的数据，此技术会降低性能。URL可能变得很大，有可能会超出web服务器所接受的长度。另外，这样的URL是不安全的，在浏览器地址窗口和web服务器注册中均可看到。需要页面上每个URL被重写必然会产生大量的冗长乏味的代码，很容易在过程中漏掉一个URL。不过，对于简单应用，URL重写是可信赖的，也很容易实现。注意，通常不会手工向超级链接URL中附加参数。更常见的是使用HTTP会话API执行URL重写。这样的话，只需附加一个会话ID。
持续性客户端数据存储最常用的技术包括HTTP cookie。一个cookie是一个小的、已命名的数据元素。服务器使用set-cookie头标将之作为HTTP响应的一部分传送到客户端。客户端被要求保存cookie，在对同一服务器的后续请求使用一个cookie头标将之返回到服务器。连同名字和取值，cookie还包括：1、终止日期，该时间后，客户端不在要求保留此cookie。如果未指定日期，一旦浏览器会话结束，则cookie终止。2、域名，如servername.com，它限制了设置cookie有效的URL的子集。如果未指定，则返回所有请求初始web服务器的cookie。3、更深一步限制URL子集的路径名。4、secure属性，如果给出，表明连接使用了一个安全隧道，如SSL，则只返回cookie。
在以前我们已经知道两种通用的方法，它们都要求客户端记住状态：1、要求客户端保存所有会话数据并将其返回到每一请求的服务器。2、要求客户端保存会话标识而让服务器处理工作。第一种方法很容易实现，第二种方法通常提供了更多的功能和可扩展性，可以看出隐藏域、URL重写和cookie在某种程度上都可以用来支持两种方法。但大多数需要使用会话的JSP页面和servlet可以利用一种更高层的方法：HTTPSession API。
Javax.servlet.http包中三个类组成了会话API。HttpSession像一个map或HashTable一样的接口，能够根据名字存储和检索对象。可以通过调用函数创建一个会话，并保留它直至其超时或被参与一个会话的servlet关闭。携带会话标识的传入HTTP请求自动与会话相关。HttpSessionBindingListener允许一个对象知道其合适被存储在一个会话中或从删除的接口。此接口有两个回馈方法，对象必须实现它们以几首捆绑的标志信息。HttpSessionBindingEvent传递到valueBound()方法的一个事件对象。该事件具有返回会话的方法和侦听者捆绑到会话的名字。
