【dotnet】安全编码规范

本文将从代码安全、数据安全、身份安全、通信安全四个维度，总结15个关键设计原则，并附典型场景的解决方案与代码示例，助你规避90%的安全风险：

一、代码安全：构建安全防线

1. 输入验证：第一道屏障

• 漏洞场景：未过滤用户输入导致SQL注入、XSS攻击。
• 防御方案：

  // 使用白名单验证（正则表达式）
  if (!Regex.IsMatch(input, @"^[a-zA-Z0-9_\-@.]+$")) 
      throw new ArgumentException("非法字符");
  
  // ASP.NET Core模型验证
  public class UserModel
  {
      [Required]
      [StringLength(50, MinimumLength = 3)]
      [RegularExpression(@"^[a-z0-9_]+$")] // 只允许小写字母、数字、下划线
      public string Username { get; set; }
  }
  

2. 安全使用第三方库

• 风险点：过期的NuGet包包含已知漏洞（如Newtonsoft.Json旧版本反序列化漏洞）。
• 工具链：
  • 使用dotnet list package --vulnerable扫描项目。
  • 配置NuGet.config强制使用HTTPS源：

    <configuration>
      <packageSources>
        <add key="nuget.org" value="https://api.nuget.org/v3/index.json" />
      </packageSources>
    </configuration>
    

3. 安全异常处理

• 反模式：暴露堆栈信息给用户。
• 优化方案：

  try { /* 业务代码 */ }
  catch (Exception ex)
  {
      // 记录完整错误
      _logger.LogError(ex, "操作失败");
      // 返回友好提示
      return BadRequest("请求处理失败，请联系管理员");
  }
  

二、数据安全：保护敏感信息

4. 数据库安全连接

• 错误示例：硬编码数据库连接字符串。
• 安全实践：

  // appsettings.json中加密存储
  "ConnectionStrings": {
      "Default": "Server=.;Database=MyDB;User Id=sa;Password=***;"
  }
  // 使用ASP.NET Core数据保护API加密
  services.AddDataProtection();
  services.Configure<ConnectionStrings>(options =>
      options.Default = _protector.Unprotect(Configuration["ConnectionStrings:Default"]));
  

5. 密码存储规范

• 致命错误：明文存储或使用MD5/SHA1哈希。
• 正确方案：

  // ASP.NET Core Identity密码哈希
  var user = new IdentityUser { UserName = "test" };
  var hashedPassword = _userManager.PasswordHasher.HashPassword(user, "P@ssw0rd");
  
  // 验证密码
  var result = _userManager.PasswordHasher.VerifyHashedPassword(user, hashedPassword, inputPassword);
  

6. 加密敏感数据

• 场景：存储用户身份证号、银行卡号。
• 方案：

  // 使用AES-GCM加密（.NET 6+）
  byte[] key = ...; // 从安全存储获取
  var data = Encoding.UTF8.GetBytes("敏感信息");
  byte[] nonce = RandomNumberGenerator.GetBytes(12);
  
  var ciphertext = new byte[data.Length];
  var tag = new byte[16];
  using var aes = new AesGcm(key);
  aes.Encrypt(nonce, data, ciphertext, tag);
  
  // 存储 ciphertext + nonce + tag
  

三、身份安全：认证与授权

7. JWT安全实践

• 配置要点：

  services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
      .AddJwtBearer(options =>
      {
          options.TokenValidationParameters = new TokenValidationParameters
          {
              ValidateIssuer = true,
              ValidIssuer = "myapp.com",
              ValidateAudience = true,
              ValidAudience = "myapp-users",
              ValidateLifetime = true,
              ClockSkew = TimeSpan.Zero, // 禁止时间偏移容忍
              IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(secretKey))
          };
      });
  

8. 防范CSRF攻击

• ASP.NET Core方案：

  services.AddAntiforgery(options => 
  {
      options.HeaderName = "X-CSRF-TOKEN"; // 自定义Header名称
      options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
  });
  
  // 在视图中注入Token
  <form method="post">
      @Html.AntiForgeryToken()
      <!-- 表单内容 -->
  </form>
  

9. 权限最小化原则

• RBAC模型示例：

  [Authorize(Roles = "Admin")]
  public class AdminController : Controller { /* 管理功能 */ }
  
  // 细粒度策略授权
  services.AddAuthorization(options =>
  {
      options.AddPolicy("DeletePolicy", policy => 
          policy.RequireAssertion(context =>
              context.User.IsInRole("Admin") && 
              context.User.HasClaim(c => c.Type == "CanDelete")));
  });
  

四、通信安全：通道与协议

10. 强制HTTPS

• Startup配置：

  services.AddHttpsRedirection(options =>
  {
      options.RedirectStatusCode = StatusCodes.Status307TemporaryRedirect;
      options.HttpsPort = 443;
  });
  
  // Kestrel强制HTTPS
  webBuilder.ConfigureKestrel(serverOptions =>
  {
      serverOptions.ConfigureHttpsDefaults(listenOptions =>
      {
          listenOptions.SslProtocols = SslProtocols.Tls12 | SslProtocols.Tls13;
      });
  });
  

11. API速率限制

• ASP.NET Core 7+方案：

  // 每个客户端每分钟100次请求
  builder.Services.AddRateLimiter(options =>
  {
      options.GlobalLimiter = PartitionedRateLimiter.Create<HttpContext, string>(context =>
          RateLimitPartition.GetFixedWindowLimiter(
              context.Connection.RemoteIpAddress?.ToString(),
              factory => new FixedWindowRateLimiterOptions
              {
                  AutoReplenishment = true,
                  PermitLimit = 100,
                  Window = TimeSpan.FromMinutes(1)
              }));
  });
  

12. 安全Headers配置

• 中间件示例：

  app.Use(async (context, next) =>
  {
      context.Response.Headers.Add("Content-Security-Policy", 
          "default-src 'self'; script-src 'self' 'unsafe-inline'");
      context.Response.Headers.Add("X-Content-Type-Options", "nosniff");
      context.Response.Headers.Add("Referrer-Policy", "strict-origin-when-cross-origin");
      await next();
  });
  

五、高级防御技巧

13. 安全日志审计

• 结构化日志示例：

  _logger.LogInformation("用户 {UserId} 从 {IP} 登录成功", 
      user.Id, 
      HttpContext.Connection.RemoteIpAddress);
  

14. 防范DDoS攻击

• 云原生方案：
  • 启用Azure/AWS的WAF（Web应用防火墙）。
  • 使用Cloudflare速率限制规则。
  • 配置健康检查自动缩放实例。

15. 依赖安全扫描

• CI/CD集成：

  # GitHub Actions示例
  - name: 安全扫描
    uses: ossf/scorecard-action@v2
    with:
      results_file: results.sarif
      results_format: sarif
  

工具链推荐

1. 静态分析：SonarQube、Roslyn Analyzers
2. 动态测试：OWASP ZAP、Burp Suite
3. 密钥管理：Azure Key Vault、HashiCorp Vault
4. 监控告警：Application Insights、Sentry

总结

安全设计需贯穿开发全生命周期，核心原则是最小权限、纵深防御、不信任任何输入。建议：

• 使用Security Code Scan等工具集成到CI流程
• 定期进行渗透测试与漏洞扫描
• 建立安全编码规范与应急响应机制