ASP.NET用户名/密码安全性 我使用VS2010、C、SQL Server来开发我的ASP.NET Web应用程序，虽然这不是我第一次ASP.NET的经验，但是这次我的项目更容易发生攻击，我应该考虑更好的安全策略。我有一个登录屏幕作为我的第一个页面，用户输入他们的用户名和密码，并显示一个特定于他们的页面。在我的上一个项目中，为了安全起见，我在会话中使用了查询字符串（userid），但这次我只使用了查询字符串，这意味着现在可以输入myaddress.com？userid=1并访问我网站中的页面！！！ 我知道这不好，但我的方法是什么，当然我不是在银行或金融系统工作，但我将有一个标准的安全策略，我应该使用会话？饼干？你能为我推荐一种易于开发同时又安全的实施保护政策的方法吗？有任何示例代码或提示吗

谢谢

ASP.NET实际上提供了所有您需要的设施，以提供一个现成的安全站点，这样您就不必自己担心所有这些事情

---

使用内置的，你会没事的。

ASP.NET实际上提供了提供安全站点所需的所有设施，因此你不必自己担心所有这些问题

---

使用内置的，你会没事的。

如果你传递URL参数，不要传递那样的整数，有人可以很容易地克服这一点。看看URL重写，或者使用一些GUID。请记住，会话对每个新用户都很好，它们是web体验的一部分。URL重写和GUID似乎是很好的方法，有没有简单的方法来实现它们？我不知道您是否正在保护fort knox（应用程序不得被黑客攻击！）或您的购物清单（我们会被黑客攻击所困扰），但您需要使用内存中的，加密cookie，最好由ASP.NET的成员身份功能管理，以跟踪请求之间的身份，以及在请求期间您希望使用线程主体和/或ASP.NET内部用户对象的身份。URL会受到重播攻击，缺乏任何内置的过期机制，可能会被用户无意中或有意地传播给其他用户，等等。因此-1建议在URL上放置ID，除非这是一个杂货店列表。如果您正在传递URL参数，请不要像那样传递整数，有人可以轻松克服这一点。看看URL重写，或者使用一些GUID。请记住，会话对每个新用户都很好，它们是web体验的一部分。URL重写和GUID似乎是很好的方法，有没有简单的方法来实现它们？我不知道您是否正在保护fort knox（应用程序不得被黑客攻击！）或您的购物清单（我们会被黑客攻击所困扰），但您需要使用内存中的，加密cookie，最好由ASP.NET的成员身份功能管理，以跟踪请求之间的身份，以及在请求期间您希望使用线程主体和/或ASP.NET内部用户对象的身份。URL会受到重播攻击，缺乏任何内置的过期机制，可能会被用户意外或有意传播给其他用户，等等。因此-1建议在URL上添加ID，除非这是一个购物清单+1-保持简单，并将精力更多地集中在业务应用程序上，而不是其背后的安全性。良好的起点。+1-保持简单，将精力更多地集中在业务应用程序上，而不是其背后的安全性。良好的起点。