ISAPI（Internet Server Application Programming Interface）作为一种可用来替代CGI的方法，是由微软和Process软件公司联合提出的Web服务器上的API标准。ISAPI与Web服务器结合紧密，功能强大，能够获得大量的信息，因此利用ISAPI可以开发出灵活高效的Web服务器增强程序。由于ISAPI程序与Web服务器的关系，使得ISAPI接口在安全方面有一定的研究价值。本文主要讨论ISAPI在IIS和VC++ 6.0中的实现。 

一、ISAPI接口和CGI接口的不同。 

ISAPI程序和CGI程序完成类似的功能，但是实现方法不同。 

1、ISAPI程序以DLL形式被Web服务器加载到自己的进程空间中，因此和服务器共用同一个地址空间，且在没有客户请求时可以将其从内存中卸载；而对客户端发来的每个对CGI程序的请求则需要服务器为它单独启动一个进程，这需要耗费大量的时间和内存。当并发的请求数目很大时，使用CGI在效率上不如ISAPI。 

2、CGI程序通过环境块和标准输入输出与Web服务器进行通信，而ISAPI程序与服务器结合得更为紧密，与服务器共享同一个进程上下文，主要通过一个参数块与服务器进行交互，可以从服务器那里获得关于当前HTTP连接的大量信息。 

ISAPI主要分为ISA和ISAPI Filter两部分。ISA方法相对而言要传统一些，利用一些特殊的链接，指向服务器的作业，供程序开发人员设计一些扩展功能；而ISAPI过滤器则倾向于构造服务器直接调用的模块，提供一种无缝链接部件用于监测直接来自于服务器的HTTP请求。 


二、ISA 

ISA（Internet Server Application）也可称为ISAPI DLL，其功能和CGI程序的功能直接相对应，使用方法和CGI也类似，由客户端在URL中指定其名称而激活。例如下面的请求将调用服务器的虚拟可执行目录Scripts下的function.dll（ISAPI DLL必须放在服务器的虚拟可执行目录下）： 
http://www.abc.com/Scripts/function.dll? 

ISA和服务器之间的接口主要有两个：GetExtentionVersion( )和HttpExtentionProc( )。任何ISA都必须在其PE文件头的引出表中定义这两个引出函数，以供Web服务器在适当的时候调用。 

1、当服务器刚加载ISA时，它会调用ISA提供的GetExtentionVersion( )来获得该ISA所需要的服务器版本，并与自己的版本相比较，以保证版本兼容。函数原型如下： 

BOOL WINAPI GetExtentionVersion(HSE_VERSION_INFO *version)； 
typedef struct _HSE_VERSION_INFO 
{ 
DWORD dwExtensionVersion; //版本号 
CHAR lpszExtensionDesc[HSE_MAX_EXT_DLL_NAME_LEN]; //关于ISA的描述字符串 
} HSE_VERSION_INFO, *LPHSE_VERSION_INFO; 

2、ISA的真正入口是HttpExtentionProc( )，它相当于普通C程序的main( )函数，在这个函数中根据不同的客户请求作不同的处理。服务器和HttpExtentionProc( )之间是通过扩展控制块（Extention Control Block）来进行通信的，即ECB中存放入口参数和出口参数，包括服务器提供的几个回调函数的入口地址。函数原型如下： 

DWORD HttpExtensionProc( EXTENSION_CONTROL_BLOCK *pECB ); 

ECB的结构定义如下（IN表示入口参数，OUT表示出口参数）： 

typedef struct _EXTENSION_CONTROL_BLOCK 
{ 
DWORD cbSize; //IN，本结构的大小，只读 
DWORD dwVersion //IN，版本号，高16位为主版本号，低16位为次版本号 
HCONN ConnID; //IN，连接句柄，由服务器分配，ISA只能读取该值