拿论坛举例字：
正常方式：登陆－>点击发贴->填写内容->点击提交，将页面提交到程序处理页写数据库。
假设，有个网站http://www.cnnie.net，发贴页面为up.apsx、程序处理页面为up_do.aspx。
即up.apsx中会有一句这样的话：<form name="form1" action="up_do.aspx">如果这样,登陆－>点击发贴->用IE的另存为将该页面保存->在本地打开html源文件，将提交地址改为URL形式的，即<form name="form1" action="http://www.cnnie.net/up_do.aspx">->填写内容->点击提交。仍然成功！注意第3、4步！
这样虽然在本地提交，并且是直接在本地打开的发贴页面，并未在网站上登陆，却依然可以发贴子！但是，如果IE另存为的是未登陆的发贴页面，上述过程就无效了！
是不是在IE另存为的时候，系统将session关联也保存了？这样是很不安全的，根据这个bug，可以将有js限制的页面下载至本地，去掉js，在将帖子发出去。或者写个js，在本地定时提交表单，淹了坛子！以上现象怎么解释？
正常方式：登陆－>点击发贴->填写内容->点击提交，将页面提交到程序处理页写数据库。
假设，有个网站http://www.cnnie.net，发贴页面为up.apsx、程序处理页面为up_do.aspx。
即up.apsx中会有一句这样的话：<form name="form1" action="up_do.aspx">如果这样,登陆－>点击发贴->用IE的另存为将该页面保存->在本地打开html源文件，将提交地址改为URL形式的，即<form name="form1" action="http://www.cnnie.net/up_do.aspx">->填写内容->点击提交。仍然成功！注意第3、4步！
这样虽然在本地提交，并且是直接在本地打开的发贴页面，并未在网站上登陆，却依然可以发贴子！但是，如果IE另存为的是未登陆的发贴页面，上述过程就无效了！
是不是在IE另存为的时候，系统将session关联也保存了？这样是很不安全的，根据这个bug，可以将有js限制的页面下载至本地，去掉js，在将帖子发出去。或者写个js，在本地定时提交表单，淹了坛子！以上现象怎么解释？
CSDN小助手是一款脱离浏览器也可以访问Csdn论坛的软件
界面：http://blog.csdn.net/Qqwwee_Com/archive/2005/10/16/504620.aspx
下载：http://szlawbook.com/csdnv2/csdnv2.rar为神六喝彩，向所有科技工作者致敬！
拒绝日货。
CSDN小助手是一款脱离浏览器也可以访问Csdn论坛的软件
界面：http://blog.csdn.net/Qqwwee_Com/archive/2005/10/16/504620.aspx
下载：http://szlawbook.com/csdnv2/csdnv2.rar为神六喝彩，向所有科技工作者致敬！
拒绝日货。
如果说论坛bug，那所有论坛都有这个bug吗？除了在up_do.aspx里验证urlrefere的没有这种现象，其他都有！
不信你把CSDN这页保存在提交，微软没这么弱智吧
但是绝大部分的论坛的发帖判断的代码是写在up_do.aspx开头的，不是写在up.apsx，比如5秒发1贴什么的，你把改up.apsx没用，最多去点格式上的限制，但是还是通不过服务器上的检查的，所以，这个不是BUG
我是说为什么下载登陆后的页面，在本地提交URL也可行？难道session信息也一起被下载了？
可是我也是前几个月发现的，虽然以前有理论，但接触到这个还是一时蒙住了～～