前言：保護(hù)Web應(yīng)用程序的安全性看起來時間苦差事，這件必須要做的工作并不能帶來太多的樂趣，但是為了回避尷尬的安全漏洞問題，程序的安全性通常還是不得不做的。

1.ASP.NET Web Forms開發(fā)人員

(1)因為ASP.NET MVC不像ASP.NET Web Forms那樣提供了很多自動保護(hù)機制來保護(hù)頁面不受惡意用戶的攻擊，所以閱讀本博客來了解這方面的問題，更明確的說法是：ASP.NET Web Forms致力于使應(yīng)用程序免受攻擊。例如：

1)服務(wù)器組件對顯示的值和特性進(jìn)行HTML編碼，以幫助阻止XSS攻擊。

2)加密和驗證試圖狀態(tài)，從而幫助阻止篡改提交的表單。

3)請求驗證(%@pagevalidaterequest=”true”%)截獲看起來是惡意的數(shù)據(jù)并提出警告(這是MVC框架默認(rèn)開啟的保護(hù))。

4)事件驗證幫助組織注入攻擊和提交無效值。

(2)轉(zhuǎn)向ASP.NET MVC意味著這些問題的處理將落到程序員的肩上—對于某些人來說可能會引起恐慌，而對另一些人來說可能是一件好事。

(3)如果認(rèn)為框架”就應(yīng)該處理這種事情”的話，那么確實有一種框架可以處理這一類事情，而且處理的很好，它就是asp.net web forms。然而，其代價就是失去了對asp.net web froms引入的抽象層次的一些控制。

(4)ASP.NET MVC提供了對標(biāo)記更多的控制，這意味著程序員要承擔(dān)更多的責(zé)任，要明確的是，ASP.NET MVC提供了許多內(nèi)置的保護(hù)機制(例如：默認(rèn)利用HTML的輔助方法和Razor語法進(jìn)行HTML編碼以及請求驗證等功能特性)。

2.ASP.NET MVC開發(fā)人員

(1)對于存在安全風(fēng)險的應(yīng)用程序，主要的借口是開發(fā)人員缺乏足夠的信息或者理解，我們想要改變這一局面，但是我們也意識到人無完人，總會有疏忽的時候。鑒于此，請記住下面的錦囊妙計。

1)永遠(yuǎn)都不要相信用戶提供的任何數(shù)據(jù)

2)每當(dāng)渲染作為用戶輸入而引入的數(shù)據(jù)時，請對其進(jìn)行HTML編碼(如果數(shù)據(jù)作為特性值顯示，就應(yīng)對其進(jìn)行HTML特性編碼)

3)考慮好網(wǎng)站的那些部分允許匿名訪問，那些部分要求認(rèn)證訪問。

4)不要試圖自己凈化用戶的HTML輸入—否則將遭遇失敗。

5)在不需要通過客戶端腳本訪問cookie時，使用HTTP-only cookie。

6)強烈建議使用AntiXss庫(www.codeplex.com/AntiXSS)。

(2)同時，應(yīng)用程序的構(gòu)建基于這樣一個假設(shè)，即只有特定的用戶才能執(zhí)行某些操作，其他用戶則不能執(zhí)行這些操作。

注解：后面將陸續(xù)介紹如何使用ASP.NET MVC中的安全特性來執(zhí)行向授權(quán)這樣的應(yīng)用功能，然后介紹如何處理常見的安全威脅。