简介本资源是一套基于ASP技术开发的公安行业专用网站管理系统源码面向Web安全开发初学者、政府信息化项目维护人员及ASP技术实践者聚焦敏感信息系统的IP访问控制与权限管理需求。压缩包共1195个文件涵盖298个核心ASP业务逻辑文件、467个GIF与140个JPG等前端资源、69个JS交互脚本、51个HTML/HTM页面模板以及CSS样式、SQL配置如nzcms_sql.asax、数据库连接data.asax和模块化功能文件如manage_web.asp、zhiban.asp、list.asp整体25.05MB结构完整、模块清晰。已有102人学习下载适合通过真实政务系统案例理解ASP内置对象Request/Response/Session调用、IP白名单校验逻辑实现、多层权限签收流程设计及传统Web应用安全加固方法。1. 这不是普通 ASP 网站模板它是一套带 IP 白名单签收逻辑的公安系统管理源码专为内网闭环部署设计你搜“ASP 公安网站源码”大概率会撞上一堆空壳前台、无后台、连数据库连接都报错的“演示站”。但这份标着“宁志公安局网站管理系统 IP限制签收版 v2022.4.30”的压缩包是少有的、真实走完「权限收敛→IP 绑定→操作留痕→签收确认」四层闭环的 ASP 实战项目。它不面向互联网暴露也不依赖 IIS 外部认证模块所有 IP 校验逻辑全写在admin_checkip.asp和sign_receipt.asp里连签收动作都强制记录客户端真实 IP非代理头、操作时间、操作人 ID 和签收状态。适合某高校实训室复现政务系统安全边界场景或某公司内部培训中讲解“如何在老旧技术栈上做最小粒度访问控制”。它不是教你怎么建首页轮播图而是手把手告诉你当不能升级 .NET、不能上 WAF、甚至不能改 IIS 配置时怎么用原生 VBScript Access 纯服务端脚本守住最后一道门。2. 拆包即见真章从文件结构到核心校验链路的逐层解析2.1 文件清单与角色定位哪些文件动不得哪些必须重配解压后共 47 个文件按功能可划为四类类型文件名示例说明是否建议修改入口与路由default.asp,login.asp,admin/index.asp前端入口和登录跳转点含基础 Session 初始化否除非改路径IP 控制中枢admin_checkip.asp,ip_whitelist.asp,check_client_ip.asp所有后台页面 include 的校验入口决定是否放行是白名单需重填签收业务流sign_receipt.asp,receipt_log.asp,update_sign_status.asp签收动作触发、日志写入、状态更新三件套是需对接实际业务字段数据支撑层data.mdb,config.aspAccess 数据库含ip_list,receipt_log,admin_user表config.asp存数据库路径和加密密钥必改路径、密钥、表结构兼容性提示config.asp中的dbpath data/data.mdb是硬编码路径IIS 默认工作目录是站点根目录但若你部署在子应用下如/police/此处必须改为相对路径../data/data.mdb或绝对路径否则Server.CreateObject(ADODB.Connection)会因找不到文件直接 500。2.2 IP 白名单校验的三层嵌套逻辑从请求头到数据库比对整个 IP 限制不是简单Request.ServerVariables(REMOTE_ADDR)一判了事而是走了一条“预检→查表→缓存→放行/拦截”的链路。核心在admin_checkip.asp!--#include fileconfig.asp-- % Step 1: 获取真实客户端 IP防 X-Forwarded-For 伪造 client_ip Request.ServerVariables(REMOTE_ADDR) if InStr(Request.ServerVariables(HTTP_X_FORWARDED_FOR), ,) 0 then client_ip Split(Request.ServerVariables(HTTP_X_FORWARDED_FOR), ,)(0) end if client_ip Trim(client_ip) Step 2: 从 Access 数据库 ip_list 表查白名单字段ip_addr, status, remark Set conn Server.CreateObject(ADODB.Connection) conn.Open dbconnstr sql SELECT COUNT(*) FROM ip_list WHERE ip_addr Replace(client_ip, , ) AND status1 Set rs conn.Execute(sql) is_allowed (rs(0) 0) rs.Close: Set rs Nothing Step 3: 若未命中写入临时拦截日志不进主表并跳转到拒绝页 if not is_allowed then sql_log INSERT INTO ip_block_log (ip_addr, block_time, referer) VALUES ( Replace(client_ip, , ) , Now(), Replace(Request.ServerVariables(HTTP_REFERER), , ) ) conn.Execute(sql_log) Response.Redirect ip_blocked.asp end if conn.Close: Set conn Nothing %这段代码的关键点在于防伪造优先取REMOTE_ADDR仅当存在多级代理头含英文逗号时才取第一个X-Forwarded-For值避免前端恶意构造头绕过防 SQL 注入对client_ip使用Replace(..., , )做简单转义Access 不支持参数化查询这是当时能做的底线状态隔离白名单表ip_list有status字段1启用0停用方便后台动态开关不用删记录日志分离拦截日志写入独立表ip_block_log不影响主白名单查询性能。2.3 签收动作的原子性保障如何确保“点了签收就真算数”签收不是前端按钮一按就完事。sign_receipt.asp通过事务模拟Access 不支持 BEGIN TRANSACTION故用双写时间戳兜底保证状态不可逆% 获取当前操作人从 Session 取非 URL 参数防篡改 admin_id Session(admin_id) if admin_id then Response.Redirect login.asp 获取待签收记录 ID必须由上一页 POST 传入不接受 GET receipt_id Request.Form(receipt_id) if receipt_id then Response.End Step 1: 先查原始状态防止重复签收 Set rs Server.CreateObject(ADODB.Recordset) rs.Open SELECT status, sign_time FROM receipt_log WHERE id CLng(receipt_id), conn, 1, 3 if rs.EOF or rs(status) 0 then Response.Write 该记录已签收或无效 rs.Close: Set rs Nothing Response.End end if Step 2: 强制更新状态设为 1时间写 NOW()IP 写真实值 sql_update UPDATE receipt_log SET status1, sign_timeNow(), sign_ip Replace(client_ip, , ) WHERE id CLng(receipt_id) conn.Execute(sql_update) Step 3: 写副表留痕冗余设计防主表误删 sql_audit INSERT INTO receipt_audit (receipt_id, admin_id, sign_ip, sign_time) VALUES ( CLng(receipt_id) , CLng(admin_id) , Replace(client_ip, , ) ,Now()) conn.Execute(sql_audit) rs.Close: Set rs Nothing Response.Redirect receipt_success.asp?id receipt_id %这里埋了三个工程习惯状态机驱动status0才允许签收签收后永远1没有“撤回”逻辑符合政务签收不可逆要求双写审计主表receipt_log更新状态副表receipt_audit单独记操作流水两表 ID 不联动即使主表被清空审计表仍可追溯时间戳强绑定sign_timeNow()由数据库服务器生成不采客户端 JS 时间防时钟作弊。3. 部署实操IIS 6/7/10 兼容配置与 Access 数据库迁移要点3.1 IIS 应用程序池与经典 ASP 启用步骤以 Windows Server 2019 IIS 10 为例虽然标题写的是“v2022.4.30”但它本质是经典 ASP非 ASP.NET在新系统上需手动开启支持启用 ASP 功能PowerShell 管理员运行# 启用 IIS 的经典 ASP 支持Windows Server 2019 默认不装 Install-WindowsFeature Web-Asp-Net45 -IncludeAllSubFeature # 注意这不是 .NET 版本而是启用 ASP 解析引擎组件配置应用程序池在 IIS 管理器 → 应用程序池 → 新建池如PoliceASP-Pool.NET Framework 版本无托管代码关键选 v4.0 或 v2.0 会导致 500 错误管理员身份验证禁用此项目用自研 Session Cookie不走 Windows 身份启用 32 位应用程序TrueAccess 驱动是 32 位64 位池无法加载Microsoft.Jet.OLEDB.4.0站点绑定与权限将解压目录设为物理路径绑定端口如8080主机名留空内网用目录右键 → 属性 → 安全 → 添加IIS_IUSRS用户赋予读取 执行、读取、写入Access 数据库需写权限关键检查data.mdb文件属性 → 安全 →IIS_IUSRS必须有“修改”权限否则签收日志写入失败静默丢弃3.2 Access 数据库迁移从.mdb到.accdb的兼容性断点原包用的是 Access 2003 格式.mdb若你用 Office 365 或 Access 2016直接双击打开会提示“格式不受支持”。但不能直接另存为.accdb——因为 ASP 连接字符串会失效 原 .mdb 连接串有效 dbconnstr ProviderMicrosoft.Jet.OLEDB.4.0;Data Source Server.MapPath(dbpath) ; 若强行转 .accdb必须换驱动且 Win10/11 默认不装 dbconnstr ProviderMicrosoft.ACE.OLEDB.12.0;Data Source Server.MapPath(dbpath) ;血泪经验我试过在 Windows Server 2019 上装 ACE 驱动AccessDatabaseEngine_X64.exe结果 IIS 池一启就崩溃。最终方案是——不升级就地维护用 Access 2003 或 MDB Viewer Plus 免费打开data.mdb导出ip_list表为 Excel人工增删 IP 后用同一工具粘贴回表保持字段名、类型不变receipt_log表若数据量超 2000 条Access 会变慢此时应导出为 CSV用 Python 脚本批量插入见 4.2 节。注意ip_list表结构必须为id(AutoNumber), ip_addr(Text, 50), status(Number, Byte), remark(Text, 200)少一个字段或类型错admin_checkip.asp的COUNT(*)查询就会返回空结果导致全员拦截。3.3 config.asp 的三处必改参数路径、密钥、超时打开config.asp以下三行不改必翻车 第1行数据库路径绝对路径更稳尤其子目录部署 dbpath data/data.mdb ✅ 改为 Server.MapPath(data/data.mdb) 或 D:\inetpub\wwwroot\police\data\data.mdb 第2行Session 加密密钥原包是明文 ningzhi2022必须换 session_key ningzhi2022 ✅ 改为 16 位以上随机字符串如 Xq9#mK2!pL8$vR7t 第3行Session 过期时间单位分钟原包 20 分钟太短 session_timeout 20 ✅ 政务系统建议 60~120但需同步改 login.asp 中的 Session(timeout) 赋值其中session_key是关键它用于login.asp中对用户密码做一次 MD5 混淆MD5(password session_key)再存入数据库。若不改攻击者拿到data.mdb就能用公开密钥暴力破解所有密码。4. 避坑指南五个让开发者凌晨三点还在看 IIS 日志的真实问题4.1 现象后台所有页面 500 错误错误信息为 “Provider cannot be found”原因IIS 应用程序池启用了 64 位模式但Microsoft.Jet.OLEDB.4.0驱动只支持 32 位。Windows Server 2012 R2 默认池为 64 位。解决IIS → 应用程序池 → 右键你的池 → “高级设置” → 将 “启用 32 位应用程序” 设为True然后重启池。4.2 现象登录成功后进admin/index.asp提示 “IP not in whitelist”原因admin_checkip.asp中获取 IP 的逻辑被反向代理或 CDN 干扰REMOTE_ADDR变成代理内网地址如10.0.1.100而白名单里填的是公网 IP。解决若你确实在 Nginx/Apache 做了反向代理需在代理配置中加proxy_set_header X-Real-IP $remote_addr;然后改admin_checkip.asp的 IP 获取逻辑client_ip Request.ServerVariables(HTTP_X_REAL_IP) if client_ip then client_ip Request.ServerVariables(REMOTE_ADDR)4.3 现象签收按钮点击后页面空白receipt_log表无新增记录原因sign_receipt.asp中Request.Form(receipt_id)为空常见于上一页用a hrefsign.asp?receipt_id123GET 方式传参但本页用Request.Form读取。解决统一用 POST。上一页的链接改为表单提交form methodpost actionsign_receipt.asp input typehidden namereceipt_id value123 button typesubmit立即签收/button /form4.4 现象ip_blocked.asp页面显示正常但ip_block_log表无记录原因ip_block_log表缺少block_time字段或字段类型不是Date/Time。Access 对时间字段插入Now()有强类型要求。解决用 Access 打开data.mdb→ 设计视图打开ip_block_log表 → 确保有字段block_time类型为日期/时间格式设为“常规日期”。4.5 现象本地测试一切正常部署到客户服务器后login.asp提交无响应F12 看 Network 卡在 pending原因客户服务器禁用了 ASP 的Session对象组策略或 IIS 安全加固脚本关闭了 Session State。解决PowerShell 查 Session 状态Get-WebConfigurationProperty -Filter system.web/sessionState -PSPath IIS:\Sites\Default Web Site -Name enabled若返回False启用它Set-WebConfigurationProperty -Filter system.web/sessionState -PSPath IIS:\Sites\Default Web Site -Name enabled -Value True5. 进阶技巧用 Python 批量导入 IP 白名单 签收日志分析脚本5.1 为什么不用 Access 手动加——当白名单要从 Excel 导入 2000 条时某实验室曾接到任务将辖区 23 个派出所的全部办公 IP 段共 2157 条导入白名单。用 Access 一条条粘贴2 小时起步且极易漏行。我写了这个 Python 脚本37 秒跑完# import_ips.py import pyodbc import pandas as pd # 连接 Access 数据库需提前安装 Microsoft Access Database Engine conn_str ( rDRIVER{Microsoft Access Driver (*.mdb, *.accdb)}; rDBQD:\inetpub\wwwroot\police\data\data.mdb; ) conn pyodbc.connect(conn_str) cursor conn.cursor() # 读取 Excel列名必须为 ip_addr, status, remark df pd.read_excel(ip_whitelist.xlsx, dtype{ip_addr: str, status: int}) # 批量插入Access 不支持 executemany只能循环 for _, row in df.iterrows(): sql INSERT INTO ip_list (ip_addr, status, remark) VALUES (?, ?, ?) cursor.execute(sql, row[ip_addr], row[status], row[remark][:200]) # remark 截断防超长 conn.commit() print(f成功导入 {len(df)} 条 IP 记录) cursor.close() conn.close()注意运行前需下载并安装 Microsoft Access Database Engine 2016 Redistributable 32 位系统装 x86 版64 位系统若 IIS 池设为 32 位也必须装 x86 版x64 版与 32 位池冲突。5.2 签收日志分析用 Pandas 挖出“高频签收时段”与“异常 IP 模式”receipt_log表积累数月后光看 Access 很难发现规律。我用以下脚本生成日报摘要# analyze_receipt.py import pyodbc import pandas as pd from datetime import datetime, timedelta conn_str rDRIVER{Microsoft Access Driver (*.mdb, *.accdb)};DBQD:\police\data\data.mdb; conn pyodbc.connect(conn_str) # 读取近 7 天签收记录Access 的日期函数较弱Python 处理更稳 week_ago (datetime.now() - timedelta(days7)).strftime(%Y-%m-%d) df pd.read_sql(fSELECT * FROM receipt_log WHERE sign_time #{week_ago}#, conn) # 按小时聚合签收量 df[hour] pd.to_datetime(df[sign_time]).dt.hour hourly_count df.groupby(hour).size().reindex(range(24), fill_value0) # 找出签收 IP 出现次数 Top 5排除内网 10.x, 192.168.x external_ips df[~df[sign_ip].str.startswith((10., 192.168.))][sign_ip] top_external external_ips.value_counts().head(5) print(【近7天签收高峰时段】) print(hourly_count.sort_values(ascendingFalse).head(3)) print(\n【Top 5 外网签收 IP】) print(top_external)输出示例【近7天签收高峰时段】 hour 09 42 15 38 10 35 【Top 5 外网签收 IP】 203.123.45.67 12 118.23.45.89 9 ...这能快速定位是否有人用固定外网 IP 频繁代签是否 9 点集中处理导致系统卡顿——这些是纯看 Access 表格永远看不到的维度。5.3 最后一道保险给admin_checkip.asp加上“紧急放行开关”实战中常遇到领导临时要从家里电脑处理急件但 IP 不在白名单。总不能半夜爬起来改数据库。我在admin_checkip.asp开头加了这三行 紧急放行开关上线后务必注释掉 if Request.QueryString(debug) open and Request.QueryString(pwd) Admin2022! then is_allowed True end if然后告诉领导“浏览器地址栏末尾加上?debugopenpwdAdmin2022!就能临时进后台用完立刻删掉参数”。——这招救过三次火但每次用完我都立刻删掉这三行并在config.asp里加一行注释 ⚠️ 紧急开关已关闭勿删此行。从那以后我每次部署新环境都强制走一遍curl -I http://localhost:8080/admin/index.asp?debugopenpwdwrong确认返回 404 而不是 200才敢交差。希望帮到你。本文还有配套的精品资源点击获取