内容简介：
《ASP.NET安全编程入门经典》适合ASP.NET初学者和中级水平的ASP.NET编程人员阅读，本书为保护ASP.NET开发的每个领域提供了逐步的解决方案，而不是从理论上来解决安全问题。作为Microsoft MVP的Barry Dorrans向您说明了日常代码如何被攻击的示例，并描述了防御攻击的几个必要步骤。此外，您还将学习如何使用Microsoft和其他供应商提供的.NET 框架、产业模式、最佳实践、代码库和资源来保护您的应用程序。
作者简介：
Barry Dorrans,“可视化工具——安全”领
域的资深顾问、演讲家和Microsoft MVP，他的
开发和编写风格融合了幽默和狂想，这种风格适
合考虑安全方面的问题。
目录：
目 录
第1章 Web安全的重要性 1
1.1 案例解析 1
1.2 风险与回报 4
1.3 构建安全体系 5
1.3.1 分层防御 6
1.3.2 不存在可信任的输入数据 7
1.3.3 关注错误提醒 7
1.3.4 监视攻击 7
1.3.5 使用最小特权 7
1.3.6 防火墙和加密不能确保安全 8
1.3.7 安全应该是默认状态 8
1.3.8 代码防御 8
1.4 OWASP中的十大安全隐患 9
1.5 进一步学习 10
1.6 本章小结 10
第Ⅰ部分 ASP.NET安全基础
第2章 Web工作原理 13
2.1 深入理解HTTP 13
2.1.1 请求资源 14
2.1.2 请求响应 15
2.1.3 嗅探HTTP请求和响应 17
2.2 理解HTML表单 18
2.3 ASP.NET的工作原理 27
2.3.1 理解ASP.NET事件的工作
原理 27
2.3.2 检查ASP.NET管道 31
2.3.3 编写HTTP模块 31
2.4 本章小结 34
第3章 安全接受用户输入 35
3.1 定义输入 35
3.2 安全处理输入 36
3.2.1 安全应答用户输入 37
3.2.2 缓解XSS攻击 41
3.2.3 Microsoft Anti-XSS库 43
3.2.4 限制输入 45
3.2.5 保护cookie 48
3.3 验证表单输入 49
3.3.1 验证控件 51
3.3.2 标准的ASP.NET验证
控件 52
3.4 本章小结 59
第4章 查询字符串、表单域、事件
和浏览器信息的用法 61
4.1 使用合适的输入类型 61
4.2 查询字符串 62
4.3 表单域 63
4.4 避免请求伪造 64
4.5 保护ASP.NET事件 76
4.6 避免浏览器信息错误 78
4.7 本章小结 80
第5章 控制信息 81
5.1 控制ViewState 81
5.1.1 验证ViewState 83
5.1.2 加密ViewState 85
5.1.3 保护ViewState避免一键
攻击 85
5.1.4 从客户端页面中删除
ViewState 87
5.1.5 禁用浏览器缓存 88
5.2 错误处理和日志记录 88
5.2.1 改善错误处理 90
5.2.2 注意特殊异常 91
5.2.3 记录错误和监视应用程序 91
5.3 限制搜索引擎 104
5.3.1 使用元标记控制机器人 105
5.3.2 使用robots.txt文件控制
机器人 105
5.4 保护配置文件中的密码 106
5.5 本章小结 108
第6章 散列和加密 109
6.1 使用散列保护完整性 110
6.1.1 选择散列算法 110
6.1.2 保护散列密码 112
6.2 加密数据 115
6.2.1 对称加密 116
6.2.2 使用非对称加密来共享
数据 123
6.2.3 使用Windows DPAPI 138
6.3 本章小结 139
第Ⅱ部分 保护常见的ASP.NET任务
第7章 添加用户名和密码 143
7.1 身份验证和授权 144
7.2 发现您自己的身份 144
7.3 添加ASP.NET身份验证 146
7.3.1 表单身份验证 146
7.3.2 Windows身份验证 157
7.4 ASP.NET授权 161
7.4.1 检查<allow>和<deny>
元素 162
7.4.2 基于角色授权 163
7.4.3 限制访问文件或者文件夹
的权限 168
7.4.4 以编程方式检查用户和
角色 171
7.5 本章小结 171
第8章 安全访问数据库 173
8.1 糟糕代码：演示SQL注入
攻击 174
8.2 修补漏洞 179
8.3 更多SQL Server安全措施 182
8.3.1 没有密码的连接 183
8.3.2 SQL权限 184
8.3.3 使用视图 186
8.3.4 SQL Express用户实例 187
8.3.5 内置Web Server的缺点 188
8.3.6 动态SQL存储过程 188
8.3.7 使用SQL加密 189
8.4 本章小结 193
第9章 使用文件系统 195
9.1 安全访问现有的文件 195
9.1.1 静态文件的安全性 201
9.1.2 文件下载和设置文件名 204
9.1.3 更深入的文件访问检查 204
9.1.4 访问远程文件 206
9.2 安全创建文件 206
9.3 处理用户上传文件 209
9.4 本章小结 212
第10章 保护XML 213
10.1 验证XML 213
10.1.1 格式良好的XML 213
10.1.2 有效的XML 214
10.1.3 XML解析器 215
10.2 查询XML 222
10.3 保护XML文档 225
10.3.1 加密XML文档 226
10.3.2 签名XML文档 234
10.4 本章小结 240
第Ⅲ部分 ASP.NET高级内容
第11章 与WCF共享数据 243
11.1 创建和使用WCF服务 243
11.2 WCF的安全和隐秘性 247
11.2.1 传输安全模式 247
11.2.2 消息安全模式 248
11.2.3 混合模式 249
11.2.4 选择安全模式 249
11.2.5 选择客户端凭据 249
11.3 增加Internet服务的
安全性 250
11.4 使用WCF签名消息 261
11.5 WCF的日志和审计功能 265
11.6 使用检查器来验证参数 267
11.7 使用消息检查器 269
11.8 在WCF中抛出错误 273
11.9 本章小结 274
第12章 保护RIA 277
12.1 RIA体系结构 278
12.2 Ajax应用程序的安全性 278
12.2.1 XMLHttpRequest对象 279
12.2.2 Ajax同源策略 280
12.2.3 Microsoft ASP.NET Ajax
架构 281
12.3 Silverlight应用程序的
安全性 289
12.3.1 CoreCLR安全模型 289
12.3.2 使用HTML Bridge 291
12.3.3 访问本地文件系统 295
12.3.4 在Silverlight中使用加密
算法 297
12.3.5 使用Silverlight访问Web
和Web服务 300
12.4 在Ajax和Silverlight中使用
ASP.NET身份验证和授权 301
12.5 本章小结 302
第13章 代码访问安全性 303
13.1 代码访问安全性 303
13.1.1 ASP.NET信任级别 305
13.1.2 .NET 4新特性 314
13.2 本章小结 315
第14章 保护IIS 317
14.1 安装和配置IIS 7 317
14.1.1 IIS角色服务 319
14.1.2 创建和配置应用程序池 322
14.1.3 在IIS中配置信任级别 324
14.2 过滤请求 326
14.2.1 过滤双重编码请求 327
14.2.2 使用非ASCII字符过滤
请求 327
14.2.3 以文件扩展名为基础
过滤请求 327
14.2.4 以请求大小为基础过滤
请求 328
14.2.5 以HTTP动词为基础
过滤请求 328
14.2.6 以URL序列为基础过滤
请求 329
14.2.7 以请求段为基础过滤
请求 329
14.2.8 以请求头文件为基础
过滤请求 329
14.2.9 拒绝请求的状态码 330
14.3 使用Log Parser挖掘IIS
日志文件 330
14.4 使用证书 336
14.4.1 请求SSL证书 337
14.4.2 配置站点以使用
HTTPS 339
14.4.3 建立测试CA 339
14.5 本章小结 341
第15章 第三方身份验证 343
15.1 联合身份简史 343
15.2 使用WIF接收SAML和
Information Card 346
15.2.1 创建一个声明感知Web
站点 347
15.2.2 接受Information Card 349
15.2.3 使用声明身份 357
15.3 在Web站点中使用
OpenID 358
15.4 在Web站点中使用
Windows Live ID 363
15.5 表单身份验证与第三方身份
验证集成策略 366
15.6 本章小结 367
第16章 ASP.NET MVC架构
安全开发 369
16.1 MVC输入和输出 370
16.1.1 避免XSS攻击 370
16.1.2 避免CSRF攻击 371
16.1.3 保护模型绑定 371
16.1.4 模型验证和错误消息 373
16.2 ASP.NET MVC身份验证和
授权 375
16.2.1 授权操作和控制器 376
16.2.2 保护公共控制器方法 377
16.2.3 发现当前用户 377
16.2.4 使用授权过滤器自定义
授权 378
16.3 错误处理 379
16.4 本章小结 381