每当用户的Web浏览器返回一个 SessionID coo kie时，服务器取出SessionID和被赋予的数字，接着检查是否与存储在服务器上的生成号码 一致。若两个号码一致，将允许用户访问会话变量。这一技术的有效性在于被赋予的数字的 长度（64 位），此长度使计算机黑客猜中SessionID从而窃取用户的活动会话的可能性几乎 为0。
　　5.2 加密重要的SessionID Cookie
　　截获了用户sessionID cookie的计算机黑客可以使用此cookie假冒该用户。如果ASP应用程 序包含私人信息，信用卡或银行帐户号码，拥有窃取的cookie的计算机黑客就可以在应用程 序中开始一个活动会话并获取这些信息。您可以通过对您的Web服务器和用户的浏览器间的 通讯链路加密来防止SessionID cookie被截获。有关加密的详细信息，请参阅安全性。
　　
　　6 使用身份验证机制保护被限制的ASP内容
　　您可以要求每个试图访问被限制的ASP内容的用户必须要有有效的Windows NT帐号的用户名 和密码。每当用户试图访问被限制的内容时，Web服务器将进行身份验证，即确认用户身份 ，以检查用户是否拥有有效的Windows NT帐号。Web服务器支持以下几种身份验证方式：
　　6.1 基本身份验证 提示用户输入用户名和密码
　　Windows NT请求/响应式身份验证 从用户的Web浏览器通过加密方式获取用户身份信息。 然 而，Web服务器仅当禁止匿名访问或Windows NT文件系统的权限限制匿名访问时才验证用户 身份。
　　6.2 保护元数据库
　　访问元数据库的ASP脚本需要Web服务器所运行的计算机的管理员权限。在从远程计算机上运 行这些脚本时，须经已通过身份验证的连接，如使用 Windows NT 请求/响应验证方式进行 连接。应该为管理级 asp文件创建一个服务器或目录并将其目录安全验证方式设置为 Wind ows NT 请求/响应式身份验证。目前，仅 Microsoft Internet Explorer version 20 或 更高版本支持Windows NT请求/响应式身份验证。
　　
　　7 使用SSL维护应用程序的安全
　　SSL 协议作为Web服务器安全特性，提供了一种安全的虚拟透明方式来建立与用户的加密通 讯连接。SSL保证了Web内容的验证，并能可靠地确认访问被限制的Web站点的用户的身份。
　　7.1 通过SSL可以被限制的程序
　　(1)通过SSL，您可以要求试图访问被限制的ASP应用程序的用户与您的服务器建立一个加密 连接；以防用户与应用程序间交换的重要信息被截取。
　　7.2 维护包含文件的安全
　　如果您从位于没有保护的虚拟根目录中的 asp文件中包含了位于启用了SSL的目录中的文件 ，则SSL将不被应用于被包含文件。因此，为了保证应用SSL，应确保包含及被包含的文件都 位于启用了SSL的目录中。
　　7.3 客户资格认证
　　控制对您的ASP应用程序访问的一种十分安全的方法是要求用户使用客户资格登录。客户资 格是包含用户身份信息的数字身份证。用户通常从委托的第三方组织获得客户资格，第三方 组织在发放资格证之前确认用户的身份信息。 　　    每当用户试图登录到需要资格验证的应用程序时，用户的Web浏览器会自动向服务器发送用 户资格。如果Web服务器的SSL资格映射特性配置正确，那么服务器就可以在许可用户对ASP 应用程序访问之前对其身份进行确认。
　　
　　8 创建事务性脚本
　　应用程序常常需要具有在事务内部运行脚本和组件的能力。事务是一种服务器操作，即使该 操作包括很多步骤，也只能整体返回操作是成功还是失败。用户可以创建在事务内部运行的 ASP脚本，如果脚本的任何一部分失败，整个事务都将会终止。