针对软件测试开发技术 .NET 框架的安全编码指南

备用的 NTFS 流名称；例如，filename::$DATA。

文件名的缩写版本；例如，longfilename 和 longfi~1。

Eval(userdata) 可以执行任何操作。

对包含某些用户数据的名称的晚期绑定。

如果要处理 Web 数据，您必须考虑许可的各种形式的转义，包括：

十六进制转义 (%nn)。

Unicode 转义 (%nnn)。

超长的 UTF-8 转义 (%nn%nn)。

双重转义（%nn 变成 %mmnn，其中，%mm 是“%”的转义）。

警惕可能具有多个规范格式的用户名。例如在 Microsoft Windows 2000 中，通常可以使用 REDMOND\用户名 格式或用户名@redmond.microsoft.com 格式。

远程处理允许您在应用程序域、进程或机器之间设置透明的调用。但是，代码访问安全性堆栈审核无法跨越进程或机器边界（它只能应用在同一进程的应用程序域之间）。

可远程处理的任何类（从 MarshalByRefObject 类派生的）都需要为安全性负责。要么只在呼叫代码可以被隐式信任的安全封闭环境中使用代码，要么对远程调用进行设计，以便它们不会将受保护的代码公开给可以被恶意使用的外部入口。

通常，您不应公开由声明性的 LinkDemand 和 InheritanceDemand 安全检查所保护的方法、属性或事件。若使用远程处理，则不会执行这些检查。其他安全检查（例如 Demand、Assert 等）在进程内的应用程序域之间工作，但不能跨进程或跨机器工作。

文章来源于领测软件测试网 https://www.ltesting.net/