asp.net-mvc - 保护 ASP.NET MVC 应用程序 list

Question

我正在寻找一组指导方针或 list ，您可以查看它们以保护公共(public) ASP.NET MVC 网站。我只是想确保在部署网站时不会出现任何明显和众所周知的问题。

谢谢。

Answer 1

一如既往，确保你正确
编码输出 - 注意我是
这里说编码而不是
Html 编码。如果你要输出
内容输出到 HTML 然后你想要
使用 Html.Encode - 但是如果你是
输出到 JavaScript 然后你
想要使用 JavaScript 编码
功能。 - 这将帮助您对抗跨站脚本 (XSS)

在需要的地方(或者可能只是在任何地方)使用帮助抵御 CSRF 攻击的助手

根据您访问数据存储的方式，如果它是 SQL 数据库，请记住保护自己免受 SQL 注入(inject)，无论是通过参数化查询、存储过程、LINQ 还是您所拥有的。

当你测试时 - 确保你的测试数据包含不可靠的输出(调用 Html.Encode 失败的东西很容易暴露出来，可能通过 <script type="text/javascript">alert("XSS attack!");</script>XSS here! ，注入(inject) JavaScript 的东西也是如此，会出现错误!)

当模型绑定(bind)对属性使用白名单方法时，用户无法使绑定(bind)器绑定(bind)不打算绑定(bind)的属性!