2012-1225

ASP.NET MVC网站安全开发注意事项

作者: momy 分类: 编程开发 0 Comment »
摘要:ASP.NET MVC网站安全开发注意事项
一、XSS攻击
  默认情况下,从@表达式生成的所有文本都是HTML编码过的,但由于某些情况下要显示HTML文本时,必须对于进行白名单过滤。
  使用微软的 HtmlSanitizationLibrary.Dll库进行白名单过滤
  Sanitizer.GetSafeHtmlFragment(InputHtml);

二、SQL注入
  对所有的SQL语句及参数进行全面的过滤

三、防止CSRF(跨网站请求伪造),只针对POST请求
  Action前加入[ValidateAntiForgeryToken(Salt ="密钥")]
  在Form表单中加入@Html.AntiForgeryToken("密钥");

四、Cookie窃取
  对用户输入进行过滤,避免被截持Cookie,避免被绕过过滤

五、其他细节
  1.CustomErrors Mode=“on",发布网站时必须为On,避免错误暴露
  2.[nonaction]锁定不开放的Action
  3.[AcceptVerbs(HttpVerbs.Post)]限定页面的访问形式
标签: ASP.NET mvc 安全 阅读: 12393
上一篇: 通过委托、事件在子窗口和父窗口间传值 - 10753次
下一篇: 春节给程序员/黑客/极客推荐几部电影 - 12087次

向右滑动解锁留言