customErrors也经常在开发部署中看到<customErrors mode="Off" />，设置这样可以在页面上看到详细的错误信息。但也为黑客提供了攻击的线索。
customErrors该节点有三种可选的设置项
On：服务器开发的最安全选项，因为它总是隐藏错误提示信息。
RemoteOnly：向大多数用户展示一般的错误信息，但向拥有服务器访问权限的用户展示完整的错误提示信息。换句话说，仅向远程客户端端显示自定义错误，并向本地主机显示 ASP.NET 错误。默认值。
Off：最容易受到攻击的选项，它向访问网站的每个用户展示详细的错误提示消息。
详细的错误信息可能会暴露应用程序的内部结构，比如如果写的sql语句中报错，可能会暴露数据表，以及sql语句，这是非常不安全的。在Off设置下的网站，黑客会不断的尝试，传递不同的参数，使你的网站出错，然后暴露你的应用程序的内部结构。
mode=Off比如：
<system.web> <authentication mode="None" /> <compilation debug="true" targetFramework="4.5" /> <httpRuntime targetFramework="4.5" /> <customErrors mode="Off" defaultRedirect="error"> </customErrors> </system.web>