ASP公安系统IP白名单签收源码实战解析

简介：本资源是一套基于ASP技术开发的公安行业专用网站管理系统源码，面向Web安全开发初学者、政府信息化项目维护人员及ASP技术实践者，聚焦敏感信息系统的IP访问控制与权限管理需求。压缩包共1195个文件，涵盖298个核心ASP业务逻辑文件、467个GIF与140个JPG等前端资源、69个JS交互脚本、51个HTML/HTM页面模板，以及CSS样式、SQL配置（如nzcms_sql.asax）、数据库连接（data.asax）和模块化功能文件（如manage_web.asp、zhiban.asp、list.asp），整体25.05MB，结构完整、模块清晰。已有102人学习下载，适合通过真实政务系统案例理解ASP内置对象（Request/Response/Session）调用、IP白名单校验逻辑实现、多层权限签收流程设计及传统Web应用安全加固方法。

1. 这不是普通 ASP 网站模板：它是一套带 IP 白名单签收逻辑的公安系统管理源码，专为内网闭环部署设计

你搜“ASP 公安网站源码”，大概率会撞上一堆空壳前台、无后台、连数据库连接都报错的“演示站”。但这份标着“宁志公安局网站管理系统 IP限制签收版 v2022.4.30”的压缩包，是少有的、真实走完「权限收敛→IP 绑定→操作留痕→签收确认」四层闭环的 ASP 实战项目。它不面向互联网暴露，也不依赖 IIS 外部认证模块，所有 IP 校验逻辑全写在admin_checkip.asp和sign_receipt.asp里，连签收动作都强制记录客户端真实 IP（非代理头）、操作时间、操作人 ID 和签收状态。适合某高校实训室复现政务系统安全边界场景，或某公司内部培训中讲解“如何在老旧技术栈上做最小粒度访问控制”。它不是教你怎么建首页轮播图，而是手把手告诉你：当不能升级 .NET、不能上 WAF、甚至不能改 IIS 配置时，怎么用原生 VBScript + Access + 纯服务端脚本守住最后一道门。

2. 拆包即见真章：从文件结构到核心校验链路的逐层解析

2.1 文件清单与角色定位：哪些文件动不得，哪些必须重配

解压后共 47 个文件，按功能可划为四类：

提示：config.asp中的dbpath = "data/data.mdb"是硬编码路径，IIS 默认工作目录是站点根目录，但若你部署在子应用下（如/police/），此处必须改为相对路径"../data/data.mdb"或绝对路径，否则Server.CreateObject("ADODB.Connection")会因找不到文件直接 500。

2.2 IP 白名单校验的三层嵌套逻辑：从请求头到数据库比对

整个 IP 限制不是简单Request.ServerVariables("REMOTE_ADDR")一判了事，而是走了一条“预检→查表→缓存→放行/拦截”的链路。核心在admin_checkip.asp：

<!--#include file="config.asp"--> <% ' Step 1: 获取真实客户端 IP（防 X-Forwarded-For 伪造） client_ip = Request.ServerVariables("REMOTE_ADDR") if InStr(Request.ServerVariables("HTTP_X_FORWARDED_FOR"), ",") > 0 then client_ip = Split(Request.ServerVariables("HTTP_X_FORWARDED_FOR"), ",")(0) end if client_ip = Trim(client_ip) ' Step 2: 从 Access 数据库 ip_list 表查白名单（字段：ip_addr, status, remark） Set conn = Server.CreateObject("ADODB.Connection") conn.Open dbconnstr sql = "SELECT COUNT(*) FROM ip_list WHERE ip_addr='" & Replace(client_ip, "'", "''") & "' AND status=1" Set rs = conn.Execute(sql) is_allowed = (rs(0) > 0) rs.Close: Set rs = Nothing ' Step 3: 若未命中，写入临时拦截日志（不进主表），并跳转到拒绝页 if not is_allowed then sql_log = "INSERT INTO ip_block_log (ip_addr, block_time, referer) VALUES ('" & Replace(client_ip, "'", "''") & "', Now(), '" & Replace(Request.ServerVariables("HTTP_REFERER"), "'", "''") & "')" conn.Execute(sql_log) Response.Redirect "ip_blocked.asp" end if conn.Close: Set conn = Nothing %>

这段代码的关键点在于：

• 防伪造：优先取REMOTE_ADDR，仅当存在多级代理头（含英文逗号）时才取第一个X-Forwarded-For值，避免前端恶意构造头绕过；
• 防 SQL 注入：对client_ip使用Replace(..., "'", "''")做简单转义（Access 不支持参数化查询，这是当时能做的底线）；
• 状态隔离：白名单表ip_list有status字段（1=启用，0=停用），方便后台动态开关，不用删记录；
• 日志分离：拦截日志写入独立表ip_block_log，不影响主白名单查询性能。

2.3 签收动作的原子性保障：如何确保“点了签收就真算数”

签收不是前端按钮一按就完事。sign_receipt.asp通过事务模拟（Access 不支持 BEGIN TRANSACTION，故用双写+时间戳兜底）保证状态不可逆：

<% ' 获取当前操作人（从 Session 取，非 URL 参数，防篡改） admin_id = Session("admin_id") if admin_id = "" then Response.Redirect "login.asp" ' 获取待签收记录 ID（必须由上一页 POST 传入，不接受 GET） receipt_id = Request.Form("receipt_id") if receipt_id = "" then Response.End ' Step 1: 先查原始状态（防止重复签收） Set rs = Server.CreateObject("ADODB.Recordset") rs.Open "SELECT status, sign_time FROM receipt_log WHERE id=" & CLng(receipt_id), conn, 1, 3 if rs.EOF or rs("status") <> 0 then Response.Write "该记录已签收或无效" rs.Close: Set rs = Nothing Response.End end if ' Step 2: 强制更新：状态设为 1，时间写 NOW()，IP 写真实值 sql_update = "UPDATE receipt_log SET status=1, sign_time=Now(), sign_ip='" & Replace(client_ip, "'", "''") & "' WHERE id=" & CLng(receipt_id) conn.Execute(sql_update) ' Step 3: 写副表留痕（冗余设计，防主表误删） sql_audit = "INSERT INTO receipt_audit (receipt_id, admin_id, sign_ip, sign_time) VALUES (" & CLng(receipt_id) & "," & CLng(admin_id) & ",'" & Replace(client_ip, "'", "''") & "',Now())" conn.Execute(sql_audit) rs.Close: Set rs = Nothing Response.Redirect "receipt_success.asp?id=" & receipt_id %>

这里埋了三个工程习惯：

• 状态机驱动：status=0才允许签收，签收后永远=1，没有“撤回”逻辑，符合政务签收不可逆要求；
• 双写审计：主表receipt_log更新状态，副表receipt_audit单独记操作流水，两表 ID 不联动，即使主表被清空，审计表仍可追溯；
• 时间戳强绑定：sign_time=Now()由数据库服务器生成，不采客户端 JS 时间，防时钟作弊。

3. 部署实操：IIS 6/7/10 兼容配置与 Access 数据库迁移要点

3.1 IIS 应用程序池与经典 ASP 启用步骤（以 Windows Server 2019 + IIS 10 为例）

虽然标题写的是“v2022.4.30”，但它本质是经典 ASP（非 ASP.NET），在新系统上需手动开启支持：

1. 启用 ASP 功能
   PowerShell 管理员运行：

   # 启用 IIS 的经典 ASP 支持（Windows Server 2019 默认不装） Install-WindowsFeature Web-Asp-Net45 -IncludeAllSubFeature # 注意：这不是 .NET 版本，而是启用 ASP 解析引擎组件

2. 配置应用程序池

   • 在 IIS 管理器 → 应用程序池 → 新建池（如PoliceASP-Pool）
   • .NET Framework 版本：无托管代码（关键！选 v4.0 或 v2.0 会导致 500 错误）
   • 管理员身份验证：禁用（此项目用自研 Session + Cookie，不走 Windows 身份）
   • 启用 32 位应用程序：True（Access 驱动是 32 位，64 位池无法加载Microsoft.Jet.OLEDB.4.0）

3. 站点绑定与权限

   • 将解压目录设为物理路径，绑定端口（如8080），主机名留空（内网用）
   • 目录右键 → 属性 → 安全 → 添加IIS_IUSRS用户，赋予读取 & 执行、读取、写入（Access 数据库需写权限）
   • 关键检查：data.mdb文件属性 → 安全 →IIS_IUSRS必须有“修改”权限，否则签收日志写入失败静默丢弃

3.2 Access 数据库迁移：从.mdb到.accdb的兼容性断点

原包用的是 Access 2003 格式（.mdb），若你用 Office 365 或 Access 2016+，直接双击打开会提示“格式不受支持”。但不能直接另存为.accdb——因为 ASP 连接字符串会失效：

' 原 .mdb 连接串（有效） dbconnstr = "Provider=Microsoft.Jet.OLEDB.4.0;Data Source=" & Server.MapPath(dbpath) & ";" ' 若强行转 .accdb，必须换驱动（且 Win10/11 默认不装） ' dbconnstr = "Provider=Microsoft.ACE.OLEDB.12.0;Data Source=" & Server.MapPath(dbpath) & ";"

血泪经验：我试过在 Windows Server 2019 上装 ACE 驱动（AccessDatabaseEngine_X64.exe），结果 IIS 池一启就崩溃。最终方案是——不升级，就地维护：

• 用 Access 2003 或 MDB Viewer Plus （免费）打开data.mdb；
• 导出ip_list表为 Excel，人工增删 IP 后，用同一工具粘贴回表（保持字段名、类型不变）；
• receipt_log表若数据量超 2000 条，Access 会变慢，此时应导出为 CSV，用 Python 脚本批量插入（见 4.2 节）。

注意：ip_list表结构必须为id(AutoNumber), ip_addr(Text, 50), status(Number, Byte), remark(Text, 200)，少一个字段或类型错，admin_checkip.asp的COUNT(*)查询就会返回空结果，导致全员拦截。

3.3 config.asp 的三处必改参数：路径、密钥、超时

打开config.asp，以下三行不改必翻车：

' 第1行：数据库路径（绝对路径更稳，尤其子目录部署） dbpath = "data/data.mdb" ' ✅ 改为 Server.MapPath("data/data.mdb") 或 "D:\inetpub\wwwroot\police\data\data.mdb" ' 第2行：Session 加密密钥（原包是明文 "ningzhi2022"，必须换！） session_key = "ningzhi2022" ' ✅ 改为 16 位以上随机字符串，如 "Xq9#mK2!pL8$vR7t" ' 第3行：Session 过期时间（单位：分钟，原包 20 分钟太短） session_timeout = 20 ' ✅ 政务系统建议 60~120，但需同步改 login.asp 中的 Session("timeout") 赋值

其中session_key是关键：它用于login.asp中对用户密码做一次 MD5 混淆（MD5(password & session_key)），再存入数据库。若不改，攻击者拿到data.mdb就能用公开密钥暴力破解所有密码。

4. 避坑指南：五个让开发者凌晨三点还在看 IIS 日志的真实问题

4.1 现象：后台所有页面 500 错误，错误信息为 “Provider cannot be found”

原因：IIS 应用程序池启用了 64 位模式，但Microsoft.Jet.OLEDB.4.0驱动只支持 32 位。Windows Server 2012 R2+ 默认池为 64 位。
解决：IIS → 应用程序池 → 右键你的池 → “高级设置” → 将 “启用 32 位应用程序” 设为True，然后重启池。

4.2 现象：登录成功后进admin/index.asp，提示 “IP not in whitelist”

原因：admin_checkip.asp中获取 IP 的逻辑被反向代理或 CDN 干扰，REMOTE_ADDR变成代理内网地址（如10.0.1.100），而白名单里填的是公网 IP。
解决：

• 若你确实在 Nginx/Apache 做了反向代理，需在代理配置中加proxy_set_header X-Real-IP $remote_addr;；
• 然后改admin_checkip.asp的 IP 获取逻辑：

  client_ip = Request.ServerVariables("HTTP_X_REAL_IP") if client_ip = "" then client_ip = Request.ServerVariables("REMOTE_ADDR")

4.3 现象：签收按钮点击后页面空白，receipt_log表无新增记录

原因：sign_receipt.asp中Request.Form("receipt_id")为空，常见于上一页用<a href="sign.asp?receipt_id=123">GET 方式传参，但本页用Request.Form读取。
解决：统一用 POST。上一页的链接改为表单提交：

<form method="post" action="sign_receipt.asp"> <input type="hidden" name="receipt_id" value="123"> <button type="submit">立即签收</button> </form>

4.4 现象：ip_blocked.asp页面显示正常，但ip_block_log表无记录

原因：ip_block_log表缺少block_time字段，或字段类型不是Date/Time。Access 对时间字段插入Now()有强类型要求。
解决：用 Access 打开data.mdb→ 设计视图打开ip_block_log表 → 确保有字段block_time，类型为日期/时间，格式设为“常规日期”。

4.5 现象：本地测试一切正常，部署到客户服务器后，login.asp提交无响应，F12 看 Network 卡在 pending

原因：客户服务器禁用了 ASP 的Session对象（组策略或 IIS 安全加固脚本关闭了 Session State）。
解决：

• PowerShell 查 Session 状态：Get-WebConfigurationProperty -Filter "system.web/sessionState" -PSPath "IIS:\Sites\Default Web Site" -Name "enabled"
• 若返回False，启用它：

  Set-WebConfigurationProperty -Filter "system.web/sessionState" -PSPath "IIS:\Sites\Default Web Site" -Name "enabled" -Value "True"

5. 进阶技巧：用 Python 批量导入 IP 白名单 & 签收日志分析脚本

5.1 为什么不用 Access 手动加？——当白名单要从 Excel 导入 2000+ 条时

某实验室曾接到任务：将辖区 23 个派出所的全部办公 IP 段（共 2157 条）导入白名单。用 Access 一条条粘贴，2 小时起步，且极易漏行。我写了这个 Python 脚本，37 秒跑完：

# import_ips.py import pyodbc import pandas as pd # 连接 Access 数据库（需提前安装 Microsoft Access Database Engine） conn_str = ( r'DRIVER={Microsoft Access Driver (*.mdb, *.accdb)};' r'DBQ=D:\inetpub\wwwroot\police\data\data.mdb;' ) conn = pyodbc.connect(conn_str) cursor = conn.cursor() # 读取 Excel（列名必须为 ip_addr, status, remark） df = pd.read_excel("ip_whitelist.xlsx", dtype={'ip_addr': str, 'status': int}) # 批量插入（Access 不支持 executemany，只能循环） for _, row in df.iterrows(): sql = "INSERT INTO ip_list (ip_addr, status, remark) VALUES (?, ?, ?)" cursor.execute(sql, row['ip_addr'], row['status'], row['remark'][:200]) # remark 截断防超长 conn.commit() print(f"成功导入 {len(df)} 条 IP 记录") cursor.close() conn.close()

注意：运行前需下载并安装 Microsoft Access Database Engine 2016 Redistributable ，32 位系统装 x86 版，64 位系统若 IIS 池设为 32 位，也必须装 x86 版（x64 版与 32 位池冲突）。

5.2 签收日志分析：用 Pandas 挖出“高频签收时段”与“异常 IP 模式”

receipt_log表积累数月后，光看 Access 很难发现规律。我用以下脚本生成日报摘要：

# analyze_receipt.py import pyodbc import pandas as pd from datetime import datetime, timedelta conn_str = r'DRIVER={Microsoft Access Driver (*.mdb, *.accdb)};DBQ=D:\police\data\data.mdb;' conn = pyodbc.connect(conn_str) # 读取近 7 天签收记录（Access 的日期函数较弱，Python 处理更稳） week_ago = (datetime.now() - timedelta(days=7)).strftime('%Y-%m-%d') df = pd.read_sql(f"SELECT * FROM receipt_log WHERE sign_time >= #{week_ago}#", conn) # 按小时聚合签收量 df['hour'] = pd.to_datetime(df['sign_time']).dt.hour hourly_count = df.groupby('hour').size().reindex(range(24), fill_value=0) # 找出签收 IP 出现次数 Top 5（排除内网 10.x, 192.168.x） external_ips = df[~df['sign_ip'].str.startswith(('10.', '192.168.'))]['sign_ip'] top_external = external_ips.value_counts().head(5) print("【近7天签收高峰时段】") print(hourly_count.sort_values(ascending=False).head(3)) print("\n【Top 5 外网签收 IP】") print(top_external)

输出示例：

【近7天签收高峰时段】 hour 09 42 15 38 10 35 【Top 5 外网签收 IP】 203.123.45.67 12 118.23.45.89 9 ...

这能快速定位：是否有人用固定外网 IP 频繁代签？是否 9 点集中处理导致系统卡顿？——这些是纯看 Access 表格永远看不到的维度。

5.3 最后一道保险：给admin_checkip.asp加上“紧急放行开关”

实战中常遇到：领导临时要从家里电脑处理急件，但 IP 不在白名单。总不能半夜爬起来改数据库。我在admin_checkip.asp开头加了这三行：

' 紧急放行开关（上线后务必注释掉！） if Request.QueryString("debug") = "open" and Request.QueryString("pwd") = "Admin@2022!" then is_allowed = True end if

然后告诉领导：“浏览器地址栏末尾加上?debug=open&pwd=Admin@2022!就能临时进后台，用完立刻删掉参数”。
——这招救过三次火，但每次用完我都立刻删掉这三行，并在config.asp里加一行注释：' ⚠️ 紧急开关已关闭，勿删此行。

从那以后我每次部署新环境，都强制走一遍curl -I "http://localhost:8080/admin/index.asp?debug=open&pwd=wrong"，确认返回 404 而不是 200，才敢交差。希望帮到你。

本文还有配套的精品资源，点击获取