Thực tiễn tốt nhất về bảo mật ASP.NET là gì?Thực tiễn tốt nhất về bảo mật ASP.NET
Cho đến nay đã xác định được liệt kê ở đây:
Luôn luôn tạo ra các khóa mã hóa mới và mật khẩu quản trị viên bất cứ khi nào bạn đang di chuyển một ứng dụng vào sản xuất.
Không bao giờ lưu trữ mật khẩu trực tiếp hoặc dưới dạng được mã hóa. Luôn luôn được lưu trữ một cách băm mật khẩu.
Luôn lưu các chuỗi kết nối trong thẻ Web.config và mã hóa nó trong phần cấu hình bằng cách sử dụng nhà cung cấp cấu hình được bảo vệ (RSA hoặc DPAPI). Xem example here
Sử dụng ID người dùng có đặc quyền ít nhất để kết nối với máy chủ SQL hoặc cơ sở dữ liệu bạn đang sử dụng. Ví dụ: nếu bạn chỉ thực hiện các thủ tục được lưu trữ từ một mô-đun ứng dụng nhất định thì bạn phải tạo một ID người dùng có quyền chỉ thực thi.
Sử dụng PrincipalPermission nếu bạn muốn sử dụng bảo mật dựa trên vai trò trên các trang.
[PrincipalPermission(SecurityAction.Demand, Role="Admin")] public class AdminOnlyPage : BasePageClass { // ... }Luôn sử dụng tham số để ngăn SQL Injection trong truy vấn SQL.
- Xem xét cài đặt URLScan trên máy chủ IIS của bạn để bảo vệ chống lại SQL Injection. Ngoài ra, để bảo vệ chống lại các cuộc tấn công XSS. Bạn có thể sử dụng thư viện AntiXSS của MSFT thay vì được xây dựng để mã hóa đầu ra thay vì được xây dựng trong HtmlEncode tìm thấy trong HttpServerUtility.
Luôn giữ trên customErrors trong cấu hình web để làm cho bạn lỗi/trường hợp ngoại lệ riêng
< customErrors mode = "On" defaultRedirect = "MyErrorPage.htm"/>
Trong các ứng dụng web, luôn xác thực đầu vào của người dùng cho các thẻ html hoặc bất kỳ tập lệnh nào.
Không bao giờ lưu trữ thông tin nhạy cảm, như mật khẩu trong cookie.
- Không hiển thị thông báo lỗi hệ thống, ngăn xếp dấu vết vv, trong trường hợp ngoại lệ.
Đây phải là một wiki. – NotMe
có một cái nhìn tại http://gosecure.github.io/security-cheat-sheet/ – SPoint