【dotnet】安全编码规范

本文将从代码安全、数据安全、身份安全、通信安全四个维度，总结15个关键设计原则，并附典型场景的解决方案与代码示例，助你规避90%的安全风险：

一、代码安全：构建安全防线

1. 输入验证：第一道屏障

漏洞场景：未过滤用户输入导致SQL注入、XSS攻击。

防御方案：

// 使用白名单验证（正则表达式）
if (!Regex.IsMatch(input, @"^[a-zA-Z0-9_\-@.]+$")) throw new ArgumentException("非法字符");// ASP.NET Core模型验证
public class UserModel
{[Required][StringLength(50, MinimumLength = 3)][RegularExpression(@"^[a-z0-9_]+$")] // 只允许小写字母、数字、下划线public string Username { get; set; }
}

2. 安全使用第三方库

风险点：过期的NuGet包包含已知漏洞（如Newtonsoft.Json旧版本反序列化漏洞）。

工具链：

使用dotnet list package --vulnerable扫描项目。

配置NuGet.config强制使用HTTPS源：

<configuration><packageSources><add key="nuget.org" value="https://api.nuget.org/v3/index.json" /></packageSources>
</configuration>

3. 安全异常处理

反模式：暴露堆栈信息给用户。

优化方案：

try { /* 业务代码 */ }
catch (Exception ex)
{// 记录完整错误_logger.LogError(ex, "操作失败");// 返回友好提示return BadRequest("请求处理失败，请联系管理员");
}

二、数据安全：保护敏感信息

4. 数据库安全连接

错误示例：硬编码数据库连接字符串。

安全实践：

// appsettings.json中加密存储
"ConnectionStrings": {"Default": "Server=.;Database=MyDB;User Id=sa;Password=***;"
}
// 使用ASP.NET Core数据保护API加密
services.AddDataProtection();
services.Configure<ConnectionStrings>(options =>options.Default = _protector.Unprotect(Configuration["ConnectionStrings:Default"]));

5. 密码存储规范

致命错误：明文存储或使用MD5/SHA1哈希。

正确方案：

// ASP.NET Core Identity密码哈希
var user = new IdentityUser { UserName = "test" };
var hashedPassword = _userManager.PasswordHasher.HashPassword(user, "P@ssw0rd");// 验证密码
var result = _userManager.PasswordHasher.VerifyHashedPassword(user, hashedPassword, inputPassword);

6. 加密敏感数据

场景：存储用户身份证号、银行卡号。

方案：

// 使用AES-GCM加密（.NET 6+）
byte[] key = ...; // 从安全存储获取
var data = Encoding.UTF8.GetBytes("敏感信息");
byte[] nonce = RandomNumberGenerator.GetBytes(12);var ciphertext = new byte[data.Length];
var tag = new byte[16];
using var aes = new AesGcm(key);
aes.Encrypt(nonce, data, ciphertext, tag);// 存储 ciphertext + nonce + tag

三、身份安全：认证与授权

7. JWT安全实践

配置要点：

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme).AddJwtBearer(options =>{options.TokenValidationParameters = new TokenValidationParameters{ValidateIssuer = true,ValidIssuer = "myapp.com",ValidateAudience = true,ValidAudience = "myapp-users",ValidateLifetime = true,ClockSkew = TimeSpan.Zero, // 禁止时间偏移容忍IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(secretKey))};});

8. 防范CSRF攻击

ASP.NET Core方案：

services.AddAntiforgery(options => 
{options.HeaderName = "X-CSRF-TOKEN"; // 自定义Header名称options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
});// 在视图中注入Token
<form method="post">@Html.AntiForgeryToken()<!-- 表单内容 -->
</form>

9. 权限最小化原则

RBAC模型示例：

[Authorize(Roles = "Admin")]
public class AdminController : Controller { /* 管理功能 */ }// 细粒度策略授权
services.AddAuthorization(options =>
{options.AddPolicy("DeletePolicy", policy => policy.RequireAssertion(context =>context.User.IsInRole("Admin") && context.User.HasClaim(c => c.Type == "CanDelete")));
});

四、通信安全：通道与协议

10. 强制HTTPS

Startup配置：

services.AddHttpsRedirection(options =>
{options.RedirectStatusCode = StatusCodes.Status307TemporaryRedirect;options.HttpsPort = 443;
});// Kestrel强制HTTPS
webBuilder.ConfigureKestrel(serverOptions =>
{serverOptions.ConfigureHttpsDefaults(listenOptions =>{listenOptions.SslProtocols = SslProtocols.Tls12 | SslProtocols.Tls13;});
});

11. API速率限制

ASP.NET Core 7+方案：

// 每个客户端每分钟100次请求
builder.Services.AddRateLimiter(options =>
{options.GlobalLimiter = PartitionedRateLimiter.Create<HttpContext, string>(context =>RateLimitPartition.GetFixedWindowLimiter(context.Connection.RemoteIpAddress?.ToString(),factory => new FixedWindowRateLimiterOptions{AutoReplenishment = true,PermitLimit = 100,Window = TimeSpan.FromMinutes(1)}));
});

12. 安全Headers配置

中间件示例：

app.Use(async (context, next) =>
{context.Response.Headers.Add("Content-Security-Policy", "default-src 'self'; script-src 'self' 'unsafe-inline'");context.Response.Headers.Add("X-Content-Type-Options", "nosniff");context.Response.Headers.Add("Referrer-Policy", "strict-origin-when-cross-origin");await next();
});

五、高级防御技巧

13. 安全日志审计

结构化日志示例：

_logger.LogInformation("用户 {UserId} 从 {IP} 登录成功", user.Id, HttpContext.Connection.RemoteIpAddress);

14. 防范DDoS攻击

云原生方案：
- 启用Azure/AWS的WAF（Web应用防火墙）。
- 使用Cloudflare速率限制规则。
- 配置健康检查自动缩放实例。

15. 依赖安全扫描

CI/CD集成：

# GitHub Actions示例
- name: 安全扫描uses: ossf/scorecard-action@v2with:results_file: results.sarifresults_format: sarif

工具链推荐

静态分析：SonarQube、Roslyn Analyzers
动态测试：OWASP ZAP、Burp Suite
密钥管理：Azure Key Vault、HashiCorp Vault
监控告警：Application Insights、Sentry

总结

安全设计需贯穿开发全生命周期，核心原则是最小权限、纵深防御、不信任任何输入。建议：

使用Security Code Scan等工具集成到CI流程
定期进行渗透测试与漏洞扫描
建立安全编码规范与应急响应机制