写给ASP.NET程序员：网站中的安全问题
做项目也有一段时间了，在程序中也遇到很多安全方面的问题。也该总结一下了。这个项目是一个 CMS 系统。系统是用 ASP.NET 做的。开发的时候发现微软做了很多安全措施，只是有些新手程序员不知道怎么开启。下面我通过几个方面简单介绍：
1：SQL 注入
2：XSS
3：CSRF
4：文件上传
SQL 注入
引起原因：其实现在很多网站中都存在这种问题。就是程序中直接进行 SQL 语句拼接。可能有些读者不太明白。下面通过一个登录时对用户验证来说明：
验证时的 SQL 语句：
登录验证 SQL 语句(原始)
SELECT * from WHERE user = '" + txtUsername.Text + "' AND pwd = '" + txtPwd.Text + "'
这是一段从数据库中查询用户，对用户名，密码验证。
看上去好象没有什么问题，但是实际这里面浅藏着问题，用户名：admin 密码：admin
登录验证 SQL 语句(真实)
SELECT * from WHERE user = 'admin' AND pwd = 'admin'
如果用户和密码正确就可通验证。如果我用户名：asdf' OR 1 = 1 -- 密码：随意输入.
我们再来看语句：
登录验证 SQL 语句(注入)
SELECT * from WHERE user = 'asdf' OR 1 = 1 -- and pwd=''
执行后看到什么？是不是所有记录，如果程序只是简单判断返回的条数，这种方法就可以通验证。
如果执行语句是 SA 用户，再通过 xp_cmdshell 添加系统管理员，那么这个服务器就被拿下了。
解决方法：
a. 这个问题主要是由于传入特殊字符引起的我们可以在对输入的用户名密码进入过滤特殊字符处理。
b. 使用存储过程通过传入参数的方法可解决此类问题（注意：在存储过程中不可使用拼接实现，不然和没用存储过和是一样的）。
XSS（跨站脚本攻击）
引起原因：这个也有时被人们称作 HTML 注入，和 SQL 注入原理相似，也是没有特殊字符进行处理。是用户可以提交 HTML 标签对网站进行重新的构造。其实在默认的情况下在 ASP.NET 网页中是开启 validateRequest 属性的，所有 HTML 标签后会.NET都会验证：
但这样直接把异常抛给用户，多少用户体验就不好。
解决方法：
a. 通过在 Page 指令或 配置节中设置 validateReque
相关文档：
1、直接在前台调用 javascript 函数
很简单,在 head 元素之间加入 script 元素,将 type 元素设置为 " text/javascript "
如:
<head runat="server">
<script type="text/javascript" >
function ShowName(str)
{
alert("您的名字为:("+str+")");
}
</script>
<title> ......
如果你已经有较多的面向对象开发经验，跳过以下这两步：
第一步 掌握一门.NET面向对象语言，C#或VB.NET 我强烈反对在没系统学过一门面向对象(OO)语言的前提下去学ASP.NET。 ASP.NET是一个全面向对象的技术，不懂OO，那绝对学不下去!
第二步 对.NET Framework类库有一定的了解 可以通过开发Windows Fo ......
如果你已经有较多的面向对象开发经验，跳过以下这两步：
第一步 掌握一门。NET面向对象语言，C#或VB.NET 我强烈反对在没系统学过一门面向对象（OO）语言的前提下去学ASP.NET。 ASP.NET是一个全面向对象的技术，不懂OO，那绝对学不下去！
第二步 对。NET Framework类库有一定的了解 可以通过开发Windows Form应用程序来� ......
这段时间一直在做一个的项目，先前build项目时，一直是正常的，没有任何问题。昨天，在将完成的部分文件签入服务器后，重新生成解决方案
时，build失败，总是提示不允许循环文件引用，和用户控件相关的一些错误--未知服务器标记。接着再生成解决方案，还是失败，但是多生几次之后，尽然
又生成成功了，问题很是怪异。由于 ......
经过对asp.net的学，我觉得越来越力不从心啊！说实话我现在都不敢说自己已经入门了！有时候真想，我到底适合不适合学这个，我并不是遇到困难就想逃避，只是我找不到合适的方法来解决自己遇到的问题。都说千年磨一剑，现在才真正认识到，想要得到点儿东西，没有点付出和牺牲是可能的事！
&n ......
