asp.net-mvc – ASP.NET MVC安全建议

发布时间：2020-12-16 06:41:29 所属栏目：asp.Net 来源：网络整理

导读：我最近创建了一个使用ASP.NET MVC的个人项目(撰写本文时为RC1).我的背景是传统的ASP.NET WebForms开发. 我的知识ASP.NET MVC是有限的,所以我想了解如何最好地进行身份验证,输入验证和防止常见攻击(XSS,XSRF等)的输入. 我将首先列出一些文章Stephen Walther p

我最近创建了一个使用ASP.NET MVC的个人项目(撰写本文时为RC1).我的背景是传统的ASP.NET WebForms开发.

我的知识ASP.NET MVC是有限的,所以我想了解如何最好地进行身份验证,输入验证和防止常见攻击(XSS,XSRF等)的输入.

我将首先列出一些文章Stephen Walther posted on his blog：

> Tip #7 – Prevent JavaScript Injection Attacks with Html.Encode
> Tip #10 – Prevent URL Manipulation Attacks
> Tip #46 – Don’t use Delete Links because they create Security Holes

验证：

> xVal Validation Framework

谢谢,
阿尼

解决方法

脱离我的头顶(并且远未完成)……

>在所有表单上使用AntiForgeryToken以防止XSRF.使用单元测试确保接受POSTS的所有控制器操作都使用ValidateAntiForgeryToken属性进行修饰.>尽可能利用HtmlHelper扩展来利用自动HTML编码.>对所有数据库访问使用带参数化查询的ORM – 不是MVC独有的,但仍然相关.>在您接受的最低要求的HTTP动词中具有限制性.使用DELETE(vi AJAX)或POST进行删除操作.>使用AuthorizeAttribute或从其派生的属性来保护非公共操作.>不要在可能被缓存的URL中公开用户ID /密码(即,通过表单POST而不是GET URL登录).与往常一样,使用SSL传递敏感数据.

（编辑：李大同）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!