Entrée malveillante dans ASP.NET MVC

Question

J'ai l'application ASP.NET MVC 1.0 et Entity Framework v1.

Par défaut, le contenu soumis par l'utilisateur est validé pour une entrée malveillante. (Voir here). Le codage HTML des données soumises par l'utilisateur empêche les attaques par injection JavaScript. Entity Framework utilise en interne un SQL paramétré qui arrête l'injection SQL.

Est-ce suffisant? Que peut-on faire d'autre pour détecter et arrêter les entrées malveillantes (injection javascript/sql)?

Veuillez nous aviser.

Merci.

Answer 1

Utilisez Bind (Inclure ... attribut pour éviter les problèmes Over-affichage

Pour plus d'informations consultez ce lien:.. http://bradwilson.typepad.com/blog/2010/01/input-validation-vs-model-validation-in-aspnet-mvc.html

Hope this helps

Answer 2

Vous devez utiliser ViewModels à la présentation Récupérer les données des vues, puis les valider.Voici la validation des entrées

Transmettez ensuite les données de ViewModels à vos DomainModels (EF), puis validez vos modèles de domaine pour éviter les doma dans les règles.

Answer 3

Suite à ce que @ ali62 a posté;

[AcceptVerbs(HttpVerbs.Post)] 
public ActionResult MyAction([Bind(Exclude="id")] User user) 
{ 
    return View(); 
} 

et

[AcceptVerbs(HttpVerbs.Post)] 
public ActionResult MyAction([Bind(Include="name, email")] User user) 
{ 
    return View(); 
}