Eliminación de la inyección SQL...

Publicado el Sábado, 10 de Julio de 2004 a las 20:06

Seguir leyendo El blog de Stefan Demetz alrededor de una movimiento en marcha para presionar a Microsoft para cambiar cómo los cuadros de texto permiten pasar los datos. Mira aquí. por el comentario. Lo siento pero creo que esta es una idea horrible y es muy reminiscente de la horrible RequestValidationsin sentido introducido en .NET 1.1. Estoy a favor de un método simple de cifrar y validar la entrada de QueryString como Presentado aquí (aparte del hecho de que usó 3DES - NO HACER ESTO! 3DES es MUCHO más lento y no tan seguro como AES). Entonces, ¿cuál es mi problema con cambiar el comportamiento predeterminado de los controles de entrada? Simple, tres cosas:

1. Si sucede, esto probablemente se implementará de tal manera que rompa las aplicaciones existentes (esto también sucedió con 1.1 y como resultado todavía hay algunas aplicaciones que funcionan 1.0 por ahí).
2. Si se hace tendría que ser totalmente a prueba de balas, de lo contrario cada aplicación se basaría en un único mecanismo de seguridad - que no es tan buena idea!
3. Abdicación de la responsabilidad por los desarrolladores, si esto se hizo así que tenía que ser explícitamente habilitado ya sea en web.config o a nivel de página, Yo sería mucho más feliz. En pocas palabras, prefiero que los desarrolladores saben lo que está sucediendo en su código y por lo tanto son más propensos a ser conscientes de cualquier problema que lo rodea.

¡Oh, y Microsoft, si haces esto, no lo hagas como Viewstate donde codificas 3DES sin ninguna forma de reemplazar tu implementación, al menos hazlo un Proveedor!