.NET 2014安全编码规范：控制与转换实践

".NET安全代码规范2014"是一份针对.NET开发者的最佳实践指南，强调了在编写安全代码时应遵循的一系列规则和建议。该规范于2014年发布，旨在提高代码的稳定性和安全性，防止常见的攻击手段，如跨站脚本(XSS)和SQL注入等。 1. **基类迁移**: 根据规范，所有页面类从默认的`System.Web.UI.Page`替换为自定义的`BasePage`基类（详细代码见附录1）。这样做的目的是为了统一代码结构，提供更强大的安全控制。`BasePage`可能包含了对输入验证、输出编码等功能的增强。 2. **输出编码与控件属性**: 规范要求开发者在页面回写数据时，将所有控件设置`runat="server"`，确保它们在服务器端处理。推荐在`.cs`文件中对控件进行赋值，而非在HTML标记内使用服务器端表达式。这防止了直接动态拼接HTML，减少了XSS攻击的风险。 - 正确做法：在服务器端进行赋值，如`<input type="text" id="txtTest" runat="server" />`，然后在`.cs`中写入`this.txtTest.Value = this.strTest;` - 错误做法：避免使用 `<%= this.strTest %>`这样的动态HTML拼接，因为这可能导致恶意用户注入脚本。 3. **非富文本控件的安全转换**: 对于非富文本控件（如`asp:Label`），必须使用`BasePage`提供的`ConvertString`方法进行输出转换。这个方法确保字符串在被插入到HTML中之前经过适当的编码，防止恶意内容的注入。 4. **动态HTML拼接**: 当在服务器端动态构建HTML时，必须谨慎处理动态数据。对于那些可能受到外部输入影响的字符串，如来自`Request`、数据库或会话存储的数据，务必使用`ConvertString`进行安全转换。例如，使用`StringBuilder`构建HTML时，如果包含动态部分，如`<span><%= this.ConvertString(Request["ID"].ToString(), ScriptType.HTML) %></span>`。 通过遵循这些规范，开发者可以显著降低代码中潜在的安全漏洞，提升网站和应用的健壮性。附录1和附录2提供了关于`BasePage`类的实现细节和非富文本控件类型的解释，帮助开发者更好地理解和应用这些最佳实践。