asp.net-mvc - 保护 ASP.Net MVC 站点

Question

作为 web 和 MVC 的相对新手，我正在寻找我应该实现的安全最佳实践的一个很好的总结。

该网站将公开面对“中度敏感数据”(这意味着我们不会被起诉，但如果数据泄露，可能不会交到很多 friend !)并将采取以下安全措施:
a:表格/成员(member)身份验证和授权
b:参数化查询，防止sql注入(inject)。
c: 自动超时，x 分钟不活动
c:用于客户端到服务器加密的 SSL

你还有什么推荐的？

*保护 IIS 和网络不属于我的领域，所以我对我需要对软件做的事情更感兴趣。

Answer 1

如果您使用 cookie 来识别用户，请务必使用任意 token (例如 GUID)存储在客户端以进行识别。我见过太多的网站将我的电子邮件地址或用户名存储在我的 cookie 中......只需将其更改为另一个!

编写您的软件，使其可以在 medium trust 下运行.