通过本文主要向大家介绍了程序开发中的几个请不要相信等相关知识,希望对您有所帮助,也希望大家支持linkedu.com www.linkedu.com
链接中的例子是一些脚本攻击相关的内容，有时间的朋友可以点开看看。
1.不要相信Request.QueryString:
相信在asp时代，这个问题比较严重，不信，随便到网络上找几个asp的企业站，找到这种url"view.asp?id=xxx",改成"view.asp?id=xxx or 1=1",相信你会看到不一样的东西，到了.net，应该很少了，不过上次看到有人说CSDN爆过哦，简单的解决方法是在取得数据时做数据类型验证或转换。比如:
int ViewID = 0;
if(int.TryParse(Request.QueryString["ID"], out ViewID)){
//...
}
2.不要相信maxlength:
有时候我们想客户端输入的某个值不超过一定的长度，这个时候可能就会用到input的maxlength，但maxlength能100%保证这个值的长度不超过maxlength吗？
忽略Maxlength
正常情况下你只能在上面的输入框中输入４个字符，但用户post给我们的数据是不是一定就<=4个字符呢？把下面的代码复制到地址栏Enter一下看；
[Ctrl+A 全选 注:如需引入外部Js需刷新才能执行]</div>
显然，maxlength是不可信的，简单的解决办法是后台代码验证数据长度：
string UserName = Request.QueryString["UserName"];
if(!string.IsNullOrEmpty(UserName)&&UserName.length > x){
//...提示错误或截断数据
}
3.不要相信Hidden:
有时候我们想把些信息保存到前台页面，然后再发送回来，但是我们又不想让客户看到这个信息，于是，我们把数据放到了hidden里面，那客户提交数据时，hidden里的内容真的是我们放的内容吗？
改变Hidden的值
用户名:
请先点击"查看Hidden"查看原来的值.正常情况,客户端提交给你的Type的值应该是"Robot!",但是你把下面的代码复制到地址栏然后Enter一下,再点查看Hidden看看;
[Ctrl+A 全选 注:如需引入外部Js需刷新才能执行]</div>
这个我一时也没想到好的验证方法，暂时也没有特殊的需求说必须验证。
4.不要相信客户端验证:
比如2和3中的问题，可能有的朋友觉得，我客户端再加个验证不就OK了吗？可是，往往，客户端验证也是不安全的，首先，如果客户端禁用脚本，那客户端验证是完全失效的，另外，在脚本有效的情况下，脚本验证也是可以被篡改的。
覆盖Submit验证
正常情况,点提交按钮会验证用户名不能为空,并弹出提示,但是你把下面的代码复制到地址栏然后Enter一下,再点提交看看;
[Ctrl+A 全选 注:如需引入外部Js需刷新才能执行]</div>
以前QQ空间里可以通过这个方法免费使用黄钻模板，不知道现在还有没有。这个就没有什么好的解决办法，只能后台再验证一次。
5.不要相信编辑器:
有的时候，可能项目中要用到一些简单的编辑器，于是，我们就找到了一些编辑器，把不需要的功能(比如：编辑源码、插入图片等)剔除掉，就成了个简单的编辑器，那这样的编辑器还会有什么问题吗？
无标题文档
真正的编辑器应该会有些加粗、倾斜什么的功能，我就不弄了，以最原始的iframe为例。
这个简单的编辑器没有查看源码的功能，那客户是不是真的就改变不了里面的内容了？
请将下面的代码复制到地址栏然后Enter；
[Ctrl+A 全选 注:如需引入外部Js需刷新才能执行]</div>
暂时也没有什么好的解决办法，以前找到过过滤script标签的代码，但似乎不太完美。
6.不要相信Cookie:
网站中不可避免的会使用到Cookie,但如果一不注意，小心你的Cookie成了别人的"Cookie"，
1.不要相信Request.QueryString:
相信在asp时代，这个问题比较严重，不信，随便到网络上找几个asp的企业站，找到这种url"view.asp?id=xxx",改成"view.asp?id=xxx or 1=1",相信你会看到不一样的东西，到了.net，应该很少了，不过上次看到有人说CSDN爆过哦，简单的解决方法是在取得数据时做数据类型验证或转换。比如:
int ViewID = 0;
if(int.TryParse(Request.QueryString["ID"], out ViewID)){
//...
}
2.不要相信maxlength:
有时候我们想客户端输入的某个值不超过一定的长度，这个时候可能就会用到input的maxlength，但maxlength能100%保证这个值的长度不超过maxlength吗？
[Ctrl+A 全选 注:如需引入外部Js需刷新才能执行]</div>
显然，maxlength是不可信的，简单的解决办法是后台代码验证数据长度：
string UserName = Request.QueryString["UserName"];
if(!string.IsNullOrEmpty(UserName)&&UserName.length > x){
//...提示错误或截断数据
}
3.不要相信Hidden:
有时候我们想把些信息保存到前台页面，然后再发送回来，但是我们又不想让客户看到这个信息，于是，我们把数据放到了hidden里面，那客户提交数据时，hidden里的内容真的是我们放的内容吗？
[Ctrl+A 全选 注:如需引入外部Js需刷新才能执行]</div>
这个我一时也没想到好的验证方法，暂时也没有特殊的需求说必须验证。
4.不要相信客户端验证:
比如2和3中的问题，可能有的朋友觉得，我客户端再加个验证不就OK了吗？可是，往往，客户端验证也是不安全的，首先，如果客户端禁用脚本，那客户端验证是完全失效的，另外，在脚本有效的情况下，脚本验证也是可以被篡改的。
[Ctrl+A 全选 注:如需引入外部Js需刷新才能执行]</div>
以前QQ空间里可以通过这个方法免费使用黄钻模板，不知道现在还有没有。这个就没有什么好的解决办法，只能后台再验证一次。
5.不要相信编辑器:
有的时候，可能项目中要用到一些简单的编辑器，于是，我们就找到了一些编辑器，把不需要的功能(比如：编辑源码、插入图片等)剔除掉，就成了个简单的编辑器，那这样的编辑器还会有什么问题吗？
[Ctrl+A 全选 注:如需引入外部Js需刷新才能执行]</div>
暂时也没有什么好的解决办法，以前找到过过滤script标签的代码，但似乎不太完美。
6.不要相信Cookie:
网站中不可避免的会使用到Cookie,但如果一不注意，小心你的Cookie成了别人的"Cookie"，