验证查询字串的值

验证查询字串的长度,范围,格式和类型.通常,你使用一个合并的正则表达式来完成以下任务:

约束输入值

设置明确的范围检查条件
指定输入的类型并将它转换成ASP.NET平台下的类型,处理任何由类型转换引发的异常下面的代码示例演示了使用Regex类验证由查询字串传递过来的名字字符串

void Page_Load(object sender, EventArgs e)
{
if (!System.Text.RegularExpressions.Regex.IsMatch(
Request.QueryString["Name"], @"^[a-zA-Z'.\s]{1,40}"))
Response.Write("Invalid name parameter");
else
Response.Write("Name is " + Request.QueryString["Name"]);
}

验证Cookie值

象查询字串这样被保存在Cookie里面的值很容易被用户修改.同样地验证这些值的长度,范围,格式和类型.

验证文件和URL地址

如果你的程序允许输入文件名,文件地址或者文件存放路径,你需要验证它们的格式是否正确并且根据你的程序实际情况它指向一个有效的位置.如果此步验证失败,你的程序可能会被错误地要求访问文件.

验证文件路径

为了避免你的程序被用户利用来访问文件,防止接受用户编写代码输入的文件或者文件路径.例如 :

如果你接受输入文件名,使用System.IO.Path.GetFileName方法来取得文件的全称
如果你不得不接受输入文件路径,使用System.IO.Path.GetFullPath来取得完整的文件路径
使用MapPath方法防止跨应用程序的映射

如果你使用MapPath方法在服务器上映射一个提供的虚拟目录到一个物理目录,使用Request.MapPath方法的一个带bool参数的重载版本来防止跨应用程序的映射.下面是此项技术的示例代码 :

try
{
string mappedPath = Request.MapPath( inputPath.Text,
Request.ApplicationPath, false);
}
catch (HttpException)
{
// Cross-application mapping attempted
}

最终的false参数将会防止跨应用程序的映射.这意味着用户不允许使用＂．．＂这样的语法提供一个不在你所指定的虚拟目录里面的非法路径．

如果你使用服务器控件，你可以使用Control.MapPathSecure方法获取虚拟目录对应的实际目录地址．
Control.MapPathSecure方法在访问一个非授权的文件时抛出一个HttpException的异常．需要更多信息，请参看.NET Framework文档中的Control.MapPathSecure方法介绍．

使用代码访问安全机制限制文件输入输出

管理员可以通过设置程序使它的可信度为＂中＂来限制程序向它所在的虚拟目录读写文件的能力．.NET代码安全机制可以保证程序在它所在的虚拟目录之外没有任何的文件访问权利.

要设置一个应用程序的信任度为"中",可以在Web.config或者Machine.config文件中加入:

验证URL

你可以用象下面的这样的正则表达式来对URL进行特征匹配.

^(?:http|https|ftp)://[a-zA-Z0-9\.\-]+(?:\:\d{1,5})?(?:[A-Za-z0-9\.\;\:\@\&\=\+\\,\?/]|%u[0-9A-Fa-f]{4}|%[0-9A-Fa-f]{2})*

这只是约束输入的格式,不验证它是否在应用程序可接受的范围内.你应该验证它是否在你的程序的上下文中有效.例如,您的应用程序是否跟你指定的服务器进行通讯?

第三步.对不安全代码进行编码

如果您输入文本输入到一个网页,使用HttpUtility.HtmlEncode方法对它进行编码.如果这些文来自于用户输入,数据库或者一个本地文件,请确保总是这样做.

同样地,如果您书写的URL里面包含不安全的字符因为他们来自于用户输入内容,数据库等,使用HttpUtility.UrlEncode方法进行编码.

为了防止存储数据前编码可能会使存储的数据受到破坏,请确保在将它们显示出来时尽可能后面的步骤将它们编码.

使用HtmlEncode对不安全的输出编码

HtmlEncode对HTML标记置换成特殊含文的字符串来表示这些符号而又让浏览器不把它们当作HTML标记来解释处理.比如."<"被置换成&lt; " (冒号) 被替换成&quot; 这些标记被显示成无害的文本.

<%@ Page Language="C#" ValidateRequest="false" %>