消除用户输入的最佳方式

Question

使用白名单字符清理asp.net应用程序中输入的最佳方式是什么？

Answer 1

的一个起点/好习惯：

的HTMLEncode将负责将所有的HTML标记为无害的值，如：<

始终使用而不是字符串连接SQL参数，以避免SQL注入。 （实体框架或LINQ为你做这件事）

我总是被教导：不要试图用基本原理重新发明轮子（例如构建你自己的卫生消毒解决方案），而是站在巨人的肩膀上。比我更聪明的人开发了用于输入消毒，密码学，随机生成器的工具箱。自己写一个很容易出错。