什麼是基本的ASP.NET窗體安全實踐？

Question

假設我有一個禁用了某些複選框的表單，因爲登錄的用戶應該無法檢查它們。我應該在哪裏添加一些衛生安全措施以確保它們不會破解複選框並導致回發？

在頁面中？ 數據庫層？ 在數據庫中？

我意識到這很可能是一個相當廣泛的問題。

感謝， 馬克

Answer 1

ASP.NET事件驗證機制需要的照顧。從2.0開始，我認爲它就在那裏。

Answer 2

如果您確實需要確保安全，請在所有層上執行檢查。至少從數據庫和數據訪問層開始。

Answer 3

我更喜歡在可能的情況下讓用戶無法完全看不到的東西。你不能破解你看不到的東西（我並不意味着隱藏在頁面上，我的意思是服務器不會生成用戶不能看到的東西的代碼）。

也就是說，假設您需要讓控件可見但禁用，我會在前端和後端添加代碼來執行檢查。前端驗證代碼容易受到黑客攻擊，但對於正在使用該系統的用戶提供快速驗證反饋非常好 - 但是，後端應該是您真正的故障安全場所，以確保所有內容都符合預期並在進行更改之前進行最終檢查。

不幸的是，有時候意味着你需要重複努力，但對於非常重要的東西，這是值得的。