[转]写给ASP.NET程序员：网站中的安全问题

　　做项目也有一段时间了，在程序中也遇到很多安全方面的问题。也该总结一下了。这个项目是一个 CMS 系统。系统是用 ASP.NET 做的。开发的时候发现微软做了很多安全措施，只是有些新手程序员不知道怎么开启。下面我通过几个方面简单介绍：

　　1：SQL 注入

　　2：XSS

　　3：CSRF

　　4：文件上传

SQL 注入

　　引起原因：其实现在很多网站中都存在这种问题。就是程序中直接进行 SQL 语句拼接。可能有些读者不太明白。下面通过一个登录时对用户验证来说明：

　　验证时的 SQL 语句：

[align=left]return ( Session[ "IsAuthorized" ] != null && (bool)Session[ "IsAuthorized" ] == true );[/align]

　　注释去掉。在登录成功加入

[align=left]Session[“IsAuthorized”] = true;[/align]

　　就可以了。

　　如果网站没有用到上传到服务器的文件浏览的话把 fckeditor—editor—filemanager 中的 browser 目录也删除。