доречі, є ж моно девелоп і версії екліпсу, але з студією їх не порівняти :)

Есть еще Consulo — habrahabr.ru/post/235107 и habrahabr.ru/post/221669 на основе IDEA Community Edition. Чувак сам его делает, и пока у него получается весьма неплохо. Хотя до вполне адекватной конкуренции со студией ему еще очень долго, да и одного его в комманде будет мало :)

Over the next several weeks and months we will continue to transfer source (including the Core CLR which is not there right now but in the process of being moved) into the repository and likewise make it open for contributions.

Глянем конечно насколько это затянется, но тенденция хорошая.

Еще хороший плюс то что все это выходит под весьма свободной MIT лицензией

в Херсон тоже недавно свезли за единую страну людей из Луцка

Я вроде как живу в Херсоне, каждый день хожу мимо площади в центре города, и нигде этих мифических «людей из Луцка», кроме как в СМИ — не видел. Но СМИ конечно нужно верить, они всегда говорят правду.

Если человек, вместо изобретения велосипеда полезет в гугл — это замечательно.

Если человек полезет и скопипастит из гугла код, совершенно не понимая как он работает, и он его оставит, так как оно как-то все же работает, то потом когда начнут вылазить следствия копипаста — может быть печально.

имхо, оценки в Brainbench, и подобных системах очень зависят от кол-ва качества самих вопросов. И очень часто это рейтинги совершенно не несут смысла.

Весьма просто ведь сделать фейковый аккаунт, пройти этот тест раз 15-25, выучить все вопросы, и потом пройти его уже официально выбирая нужные ответа.

при MITM можно скопировать сертификат основываясь на сертификате нужного https сайта, но да, public\private ключи и сигнатуры будут отличаться, и браузер выдаст предупреждение о невалидном сертификате. Тут есть два способа:
1. добавить фейковый сертификат на машину жертвы, что проблемно
2. сделать редирект на http. То есть:
a. Жертва отсылает запрос на https сайт
b. с помощью MITM мы ловим его, и отсылаем назад http 301 на тот же адрес, но уже по http протоколу.
c. Жертва пересылает запрос опять но уже по http. Мы его ловим, устанавливаем соеденение с реальным https сайтом, и пересылаем запрос, получаем ответ, отсылаем пользователю.
d. Ну и дальше продолжаем быть проксёй. так как на C шаге кука уже в руках.

Второй способ очень сильно зависит от наблюдательности пользователя, заметит ли он переход с https на http, есть ли вообще http версия, и плюс от Secure параметра куки, который ставят весьма не часто.

Мысль собственно в том, привязка куки к айпи добавляет еще один уровень безопасности, и что это хорошая практика.

https на весь сайт в принципе это решение, но не везде его используют к сожалению. и не всегда его достаточно.

если есть доступ к компу жертвы, можно просто взять сохранённые локально куки и использовать у себя.

Простой типичный пример: открытая WiFi сеть без пароля\либо wifi с WEP шифрованием. В наше время все еще встречается. Достаточно попасть с ту же сеть что и жертва, перехватить её пакеты, и логиниться под жертвой на сайте. в случае с http все очень просто и быстро. в случае с https сложнее — MITM атака плюс ARP spoofing, чтоб направить весь трафик жерты себе. И плюс прийдется помучаться с сертификатом.

Аутентификация

 — да, все её используют, даже не задумываясь что она подверженна Session hijacking, так как привязки в IP там нету. А в куке хранится зашифрованный userName. Если потом вдруг утекает machineKey, с помощью которого она шифруется, то кука элементарно дешифруется, пишется любое имя пользователя, шифруется назад, и вот ты залогинен уже под другим пользователем.

авторизация

это вы о web.config-е и разграничении прав на его основе? её полезность очень быстро теряется при динамических страницах, аля CRM

сохранение состояния перегружаемой страницы

, это вы о ViewState? вообще спорная штука, особенно когда она занимает 30-70% от всей страницы при неграмотном её использовании.

гриды с автоматической привязкой данных

 — ага, шаг влево\вправо, и идёт postback на сервер. на клиенте грид толком ничего не умеет, всё идет на сервер.

Ajax

, это вы о UpdatePanel-и? еще одно странное наследие. к сожалению многие не парятся деталями её работы, и просто кидают её на форму, и набивают контролами. Никто не думает что она постоянно получает большие куски html на каждый чих пользователя, вместо использования темплейтов для биндинга на клиенте и ajax-а для его заполнения. Что у неё есть Conditional mode. Что она тянет за собой большой пак javascript-а.

Кроме того, архитектура классического ASP.NET является компонентно-ориентированной

Вы многое пробовали переопределять\заменять? да, некоторые вещи можно подменить своими, со своей реализацией, но очень многое скрыто за internal кодом, без права наследования\переиспользования. Простейщий пример получение mime типа по extension-у файлу. в Asp.net есть статик клас со списком самых популярных mime type-ов. Но само собой он internal, и его использовать нельзя.
Membership provider — еще один ужас. Большой костыль, и чтобы заставить его работать нужно переопределить пачки методов, некоторые из которых могут быть даже не нужны. И все ради того чтобы использовать LoginControl и пару других контролов. Причем стандартный SqlMembershiprProvider дико ограничен, и расширению не поддаётся в принципе.
Session state — отлично, хорошая вещь, только многие даже незнаёт что обработка одной страницы лочит сессию, и в один момент времени для пользователя обрабатывается только одна страница из-за этого лока. А о SessionStateBehavior-е многие вообще незнают.
Начальные версии asp.net web forms а обрабатывали запросы только на сервере, и о клиентском коде совершенно не парились

Вся идея WebForms как по мне это плохое наследие десктопа. MS пошла лёгким путём, есть WinForms с дизайнером форм, событийной моделью, и они целиком и полностью перенесли её в веб, чтобы было проще тем кто приходит с WinForms разработки. Тот же дизайнер, те же события, близкий worfklow. Но ведь это веб, а не десктоп. и не всегда такая модель подходит сюда.

Asp.net mvc фреймворк в этом плане более удобен, он позволяет управлять рендернигом, он расширяем изнутри засчет IoC-а, у него нету наследий прошлого от десктопа.

Не поймите меня не правильно, asp.net неплохая вещь, при её умелом использовании. она из коробки даёт много всего, но многие используют это все даже не задумываясь как оно работает, и потом на такие приложение монстрячие приложения страшно смотреть.

ASP.NET не боится нагрузок, эта технология смотрит на нагрузку как Перельман на миллион

- честно говоря смешно. конкретная нагрузка зависит от конкретного приложения и того как оно написано, что оно использует, какая база, ORM, caching layer, etc. сам фреймворк для этой обеспечения нагрузки особо ничего не делает