Eliminare l'injezione SQL...

Posted on Saturday, July 10, 2004 \8:06

Seguite. Il blog di Stefan Demetz circa un milione di dollari. un movimento che fa pressione su Microsoft. per cambiare il modo in cui le caselle di testo permettono di passare i dati. Guardate qui. per il commento. Mi dispiace ma penso che questa sia una semplice idea terribile e ricorda molto l'orribile RequestValidationNonsenso introdotto in .NET 1.1. Sono a favore di un semplice metodo di criptazione e validazione dell'input QueryString, come ad esempio. Presentato qui. (a parte il fatto che ha usato 3DES - DO NOT DO THIS! ♫3DES è molto più lento e non altrettanto sicuro di AESM SK5 Quindi cos'è il mio problema con il cambiamento del comportamento predefinito dei controlli di input?

1. Se succede, questo sarà probabilmente implementato in modo da rompere le app che esistano (lo è successo anche con 1.1 e come risultato ci sono ancora alcune app che funzionano.
2. Se lo si facesse, avrebbe dovuto essere completamente resistente alle forze armate, altrimenti ogni applicazione dipenderebbe da un singolo meccanismo di sicurezza - che non è una buona ideaM SK2
3. L'abdicazione della responsabilità da parte dei sviluppatori, se questo fosse fatto, sarebbe dovuto essere esplicitamente attivato sia sul web.config o a livello di paginaM SK2 sarei molto più felice . In poche parole preferisco che i sviluppatori sappiano cosa succede nel loro codice e quindi sono più propensi ad essere consapevoli di qualsiasi problema che li circondaMSC5

Oh, e Microsoft , se lo fate, nonM SK3non lo fate come Viewstate dove codificate MSC4DES criptazione senza modo di sostituire la vostra implementazioneMST5 almeno fatene un ProviderMst6