# 为何我不喜欢验证请求?

<datetime class="hidden">2004-07-04T00:00</datetime>

<!-- category -- mostlylucidcouk, Imported -->
и笵硂琌 [相当有争议的观点](http://weblogs.asp.net/ShankuN/archive/2004/03/02/82534.aspx)@,}我的工作就是以其他方式破解网站, 并打破MSSK5Web网站上最糟糕的,后门@.+# 因此,随着时间的推移,我开始更实际地写入应用程序而不是破解这些应用程序 I'}一直意识到应用安全系统不应该具有内在信任性 ,}而不像某些adMSKO3*Hoc comproduction_,}这样缺陷可能更为严重,因为几乎可以肯定在很短的时间范围内被广泛了解和利用
@,@ it's useful_,}它能阻截任何来信的“'#html%'Q}(比如请求提供资讯) @MS K8, 因此会堵塞许多可能相当严重的 XSS “(+Cross site Scripting” @MSSK10}攻击事件。 [在此已发现缺陷](http://weblogs.asp.net/gad/archive/2003/11/12/37219.aspx) 此补丁并不明显 @/@ 容易找到 @MS K1 @ has you heard of it before @ ?) @ @ @ I-}所以不要有#'%s 这将影响所有 ASPQK5NET @1.1}基于此功能来保护他们免遭XSS攻击的ASPK5}{MSK6}站点 [SQL 注射攻击](http://www.developer.com/db/article.php/2243461), [过量袭击](http://nts.jhu.edu/alerts/alert.detail.cfm?aid=218) 包括简单的后门等宝石@,} [Cookie 劫车](http://www.experts-exchange.com/Security/Q_20851738.html) 和相似的).

我的观点是: , 在我看来,应用安全的责任应该由开发商来承担。 他们应该理解并计划他们在应用程序设计中所作选择的后果。 [迈克尔·霍华德·霍华多·'](http://www.amazon.co.uk/exec/obidos/ASIN/0735617228/mostlylucid-21) [[美 美国](http://www.amazon.com/exec/obidos/ASIN/0735617228/mostlylucid-21)了解申请中的弱点所在,并补偿这些弱点。
简而言之 ,d't依赖验证请求作为你唯一的防御线@- 使用它可以阻止很多事情的发生 [它实际上做了什么](http://weblogs.asp.net/vga/archive/2003/05/02/6329.aspx) 和它做什么 它做'T.

例如“, ” 当您只想要某些标签通过而不是其它标记时, 您需要查看什么? @ ? [像这样的东西](/uploads/HtmlTagRemover.zip)@(_I写了这段话,

Anynology, @% views总是欢迎@-}你应该给框架提供多少应用程序安全性?

如果您仍然在 IMS @5.0}请务必检查是否退出 [IISLSlock down](http://www.microsoft.com/windows2000/downloads/recommended/iislockdown/default.asp) - 您必须安装此安裝@, 它會幫助您避免大量安全漏洞 @, 已知的@MS K3 未来 @... 如果你已經有 IIS {6.0 @ @ MS K6 it'}但確定已存在 [检查这个](http://weblogs.asp.net/lbarbieri/archive/2003/10/06/30678.aspx) 避免任何发展问题