消除用戶輸入的最佳方式

Question

使用白名單字符清理asp.net應用程序中輸入的最佳方式是什麼？

Answer 1

的一個起點/好習慣：

的HTMLEncode將負責將所有的HTML標記爲無害的值，如：<

始終使用而不是字符串連接SQL參數，以避免SQL注入。 （實體框架或LINQ爲你做這件事）

我總是被教導：不要試圖用基本原理重新發明輪子（例如構建你自己的衛生消毒解決方案），而是站在巨人的肩膀上。比我更聰明的人開發了用於輸入消毒，密碼學，隨機生成器的工具箱。自己寫一個很容易出錯。