ISAPI（Internet Server Application Programming Interface）作为一种可用来替代CGI的方法，是由微软和Process软件公司联合提出的Web服务器上的API标准。ISAPI与Web服务器结合紧密，功能强大，能够获得大量的信息，因此利用ISAPI可以开发出灵活高效的Web服务器增强程序。由于ISAPI程序与Web服务器的关系，使得ISAPI接口在安全方面有一定的研究价值。本文主要讨论ISAPI在IIS和VC++ 6.0中的实现。
一、ISAPI接口和CGI接口的不同。
ISAPI程序和CGI程序完成类似的功能，但是实现方法不同。
1、ISAPI程序以DLL形式被Web服务器加载到自己的进程空间中，因此和服务器共用同一个地址空间，且在没有客户请求时可以将其从内存中卸载；而对客户端发来的每个对CGI程序的请求则需要服务器为它单独启动一个进程，这需要耗费大量的时间和内存。当并发的请求数目很大时，使用CGI在效率上不如ISAPI。
2、CGI程序通过环境块和标准输入输出与Web服务器进行通信，而ISAPI程序与服务器结合得更为紧密，与服务器共享同一个进程上下文，主要通过一个参数块与服务器进行交互，可以从服务器那里获得关于当前HTTP连接的大量信息。
ISAPI主要分为ISA和ISAPI Filter两部分。ISA方法相对而言要传统一些，利用一些特殊的链接，指向服务器的作业，供程序开发人员设计一些扩展功能；而ISAPI过滤器则倾向于构造服务器直接调用的模块，提供一种无缝链接部件用于监测直接来自于服务器的HTTP请求。
二、ISAISA（Internet Server Application）也可称为ISAPI DLL，其功能和CGI程序的功能直接相对应，使用方法和CGI也类似，由客户端在URL中指定其名称而激活。例如下面的请求将调用服务器的虚拟可执行目录Scripts下的function.dll（ISAPI DLL必须放在服务器的虚拟可执行目录下）：
http://www.abc.com/Scripts/function.dll?ISA和服务器之间的接口主要有两个：GetExtentionVersion( )和HttpExtentionProc( )。任何ISA都必须在其PE文件头的引出表中定义这两个引出函数，以供Web服务器在适当的时候调用。
1、当服务器刚加载ISA时，它会调用ISA提供的GetExtentionVersion( )来获得该ISA所需要的服务器版本，并与自己的版本相比较，以保证版本兼容。函数原型如下：
BOOL WINAPI GetExtentionVersion(HSE_VERSION_INFO * version)； 2 typedef struct _HSE_VERSION_INFO 3 
{ 4
DWORD dwExtensionVersion; //版本号 5CHAR lpszExtensionDesc[HSE_MAX_EXT_DLL_NAME_LEN]; //关于ISA的描述字符串 6
} HSE_VERSION_INFO, * LPHSE_VERSION_INFO; 2、ISA的真正入口是HttpExtentionProc( )，它相当于普通C程序的main( )函数，在这个函数中根据不同的客户请求作不同的处理。服务器和HttpExtentionProc( )之间是通过扩展控制块（Extention Control Block）来进行通信的，即ECB中存放入口参数和出口参数，包括服务器提供的几个回调函数的入口地址。函数原型如下：
DWORD HttpExtensionProc( EXTENSION_CONTROL_BLOCK * pECB ); typedef struct _EXTENSION_CONTROL_BLOCK 2 { 3DWORD cbSize; //IN，本结构的大小，只读 4DWORD dwVersion //IN，版本号，高16位为主版本号，低16位为次版本号 5HCONN ConnID; //IN，连接句柄，由服务器分配，ISA只能读取该值 6DWORD dwHttpStatusCode; //OUT，当前完成的事务状态 7CHAR lpszLogData[HSE_LOG_BUFFER_LEN]; //OUT，需要写入到日志文件中的内容 8LPSTR lpszMethod; //IN，等价于CGI的环境变量REQUEST_METHOD 9LPSTR lpszQueryString; //IN，等价于环境变量QUERY_STRING 10LPSTR lpszPathInfo; //IN，等价于环境变量PATH_INFO 11LPSTR lpszPathTranslated; //IN，等价于环境变量PATH_TRANSLATED 12DWORD cbTotalBytes; //IN，等价于环境变量CONTENT_LENGTH 13DWORD cbAvailable; //IN，缓冲区中的可用字节数 14LPBYTE lpbData; //IN，缓冲区指针，指向客户端发来的数据 15LPSTR lpszContentType; //IN，等价于环境变量CONTENT_TYPE 1617//回调函数，用于返回服务器的连接信息或特定的服务器详细情况 18BOOL ( WINAPI * GetServerVariable ) 19( HCONN hConn, 20LPSTR lpszVariableName, 21LPVOID lpvBuffer, 22LPDWORD lpdwSize ); 2324BOOL ( WINAPI * WriteClient ) //回调函数，从客户端的HTTP请求中读取数据 25( HCONN ConnID, 26LPVOID Buffer, 27LPDWORD lpdwBytes, 28DWORD dwReserved ); 2930BOOL ( WINAPI * ReadClient ) //回调函数，向客户端发送数据 31( HCONN ConnID, 32LPVOID lpvBuffer, 33LPDWORD lpdwSize ); 3435BOOL ( WINAPI * ServerSupportFunction ) //回调函数，访问服务器的一般和特定功能 36( HCONN hConn, 37DWORD dwHSERRequest, 38LPVOID lpvBuffer, 39LPDWORD lpdwSize, 40LPDWORD lpdwDataType ); 4142} EXTENSION_CONTROL_BLOCK, * LPEXTENSION_CONTROL_BLOCK; 三、ISAPI Filter
ISAPI Filter位于服务器和客户端之间，能够对服务器和客户端之间的通信进行预处理和后处理，比如对通信进行加密/解密、提供对客户进行身份验证的新方法、提供自定义的日志记录等，在CGI中没有与ISAPI Filter直接相对应的部分。
ISAPI Filter与服务器之间的接口有两个：GetFilterVersion( )和HttpFilterProc( )。任何
ISAPI Filter都必须引出这两个函数以供服务器调用。1、在注册表的如下键值中存放着所有ISAPI Filter的文件名，IIS服务器启动时从该键值中获得
Filter的文件名并加载它们。 HKEY_LOCAL_MACHINE / SYSTEM / CurrentControlSet / Services / W3SVC / Parameters / FilterDLL BOOL WINAPI GetFilterVersion( 2 DWORD dwServerFilterVersion; // IN，服务器使用的版本规范 3 DWORD dwFilterVersion; // OUT，过滤器使用的版本规范 4 CHAR lpszFilterDesc[SF_MAX_FILTER_DESC_LEN + 1 ]; // OUT，对该过滤器的描述字符串 5 DWORD dwFlags // OUT，事件和优先级标志 6 )； 3、HttpFilterProc( )是ISAPI Filter主要的入口函数，它根据当前的事件的不同作出不同的处理。服务器通过如下的参数块和Filter进行交互，这个参数块的作用和ISA中的ECB类似。
typedef struct _HTTP_FILTER_CONTEXT 2 { 3 4DWORD cbSize; //IN，本参数块的大小 5DWORD Revision; //IN 6PVOID ServerContext; //IN，由server使用本参数 7DWORD ulReserved; //IN，由server使用本参数 8BOOL fIsSecurePort; //IN，事件是否发生在安全端口上 9PVOID pFilterContext; //IN/OUT，与本次请求相关的上下文 1011//回调函数，取得关于服务器和本次连接的信息 12BOOL (WINAPI * GetServerVariable) ( 13struct _HTTP_FILTER_CONTEXT * pfc, 14LPSTR lpszVariableName, 15LPVOID lpvBuffer, 16LPDWORD lpdwSize 17); 1819BOOL (WINAPI * AddResponseHeaders) ( //回调函数，给HTTP响应添加一个标头 20struct _HTTP_FILTER_CONTEXT * pfc, 21LPSTR lpszHeaders, 22DWORD dwReserved 23); 2425BOOL (WINAPI * WriteClient) ( //回调函数，将原始数据发送给客户端 26struct _HTTP_FILTER_CONTEXT * pfc, 27LPVOID Buffer, 28LPDWORD lpdwBytes, 29DWORD dwReserved 30); 3132VOID * (WINAPI * AllocMem) ( //回调函数，分配内存。 33struct _HTTP_FILTER_CONTEXT * pfc, 34DWORD cbSize, 35DWORD dwReserved 36); 3738BOOL (WINAPI * ServerSupportFunction) ( //回调函数，访问服务器的一般和特定功能 39struct _HTTP_FILTER_CONTEXT * pfc, 40enum SF_REQ_TYPE sfReq, 41PVOID pData, 42DWORD ul1, 43DWORD ul2 44); 4546} HTTP_FILTER_CONTEXT, * PHTTP_FILTER_CONTEXT; VC++ 6.0中定义了5个相关的类以简化ISAPI的编程工作：CHttpServer、CHttpServerContext、CHttpFilter、CHttpFilterContext、CHtmlStream，这5个类都没有父类。其中CHttpServer和CHttpServerContext主要用来编写ISA，CHttpFilter和CHttpFilterContext则用来编写ISAPI Filter，而CHtmlStream则用来操作内存中的HTML文件，为其它的4个类提供服务。CHttpServer在每个ISA中只能有一个实例，一个CHttpServer可以对应多个CHttpServerContext实例，每个
CHttpServerContext处理一个客户请求，这样可以处理并发的HTTP请求；CttpFilter和CHttpFilterContext之间的关系与此类似，在每个ISAPI Filter中只能有一个CHttpFilter实例，但是可以有多个CHttpFilterContext来处理并发的事件。CHttpServer和CHttpFilter是独立的类，它们可以共存于一个DLL中，也可以分别在不同的DLL中。一个ISA可以提供多个命令，每个命令对应于CHttpServer（或其子类）的一个成员函数，客户端可以在URL中指定命令名及其参数。在VC++ 6.0中是通过parse map来实现这种对应的。
Parse map类似MFC中的Windows消息分发机制，通过使用VC提供的DECLARE_PARSE_MAP、BEGIN_PARSE_MAP、ON_PARSE_COMMAND、ON_PARSE_COMMAND_PARAMS、DEFAULT_PARSE_COMMAND、END_PARSE_MAP等宏，可以实现对不同的命令的处理。每个CHttpServer中只能建立一个parse map，当客户端给ISA发来命令的时候，parse map可以分析HTTP请求中的命令名及其参数，将该命令与相应的成员函数关联起来，即由该成员函数处理该命令。以MSDN中的例子程序pinball为例，该例中有下面这样一个表单：
< form method =get action ="pinball.dll?" > 2 < input type ="hidden" name ="MfcISAPICommand" VALUE ="GetImage" > 3 < input type ="radio" name ="Favorite" value ="1" checked > Attack from Mars < br > 4 < input type ="radio" name ="Favorite" value ="2" > Twilight Zone < br > 5 < input type ="radio" name ="Favorite" value ="3" > The Addams Family < br > 6 < input type ="radio" name ="Favorite" value ="4" > Cirqus Voltaire < br > 7 < input type ="radio" name ="Favorite" value ="0" > I don't see it here < br > 8 < br > 9 < input type ="submit" value ="Show Me!" > 10 </ form > http://www.abc.com/pinball.dll?MfcISAPICommand=GetImage &Favorite =1 void CPinballExtension::GetImage(CHttpServerContext * pCtxt, long dwChoice)； // CPinballExtension从CHttpServer派生而来 2 BEGIN_PARSE_MAP(CPinballExtension, CHttpServer) 3 4 // GetImage是CPinballExtension的成员函数，且有一个long型的参数即dwChoice 5 ON_PARSE_COMMAND(GetImage, CPinballExtension, ITS_I4) 6 7 // 该参数在URL中的名字为Favorite 8 ON_PARSE_COMMAND_PARAMS( " Favorite " ) 9 10 END_PARSE_MAP(CPinballExtension) OnPreprocHeaders 2 OnAuthentication 3 OnUrlMap 4 OnSendRawData 5 OnReadRawData 6 OnLog 7 OnEndOfNetSession MSDN提供了4个关于ISAPI的编程实例：counter、MFCUCASE、pinball、wwwquote，有兴趣的可看看，本文主要不是介绍编程，所以不再赘述。
参考资料：
1、MSDN
2、《精通CGI编程》，丁一强等，清华大学出版社