ASP.NET w/IIS 7 - URLEncoding所有QueryString值是否存在合法的安全原因？

Question

URLEncoding所有QueryString值是否存在有效的安全原因，還是僅僅是防蟲保護？

我明白它是如何減少錯誤的，但我很好奇它是否再次成爲安全措施。

This article表明這是一個問題，但我不太確定。

對此事的任何幫助表示讚賞。

Answer 1

IMO，查詢字符串值的URL編碼不會提高安全性。關於保護Web應用程序的主要觀點是，任何輸入數據（或外部數據）都將被視爲不可信任（不管是來自http請求的GET/POST數據還是通過某個文件或通過Web服務接收的數據）和需求進行驗證。另外，在將數據推入數據存儲區（例如sql注入）或通過嵌入到html（XSS）中時，您需要小心。 URL編碼將確保客戶端和服務器之間的數據正確通過。

如果您閱讀了看到的文章，它暗示相同（最後需要建議段落） - 它實質上是指出URL編碼實際上不是一種安全機制，而是使用各種其他實踐來保護應用程序。