在ASP.NET中使用QueryString时,我一直在寻找一些最佳实践指导,并没有真正找到任何内容.
我找到了一个有用的优化文章：http://dotnetperls.com/querystring
但我更有兴趣回答以下问题：
>案例规则全部小写？帕斯卡案骆驼香烟盒？
>我个人喜好都是小写,但一致性是最重要的.
>避免在参数名称中使用特殊字符？
>为了安全起见,应该对参数和值进行模糊处理吗？
等等…
任何更多的准则将不胜感激！
解决方法
您的查询字符串中的任何内容都可以由最终用户查看和更改.这意味着他们有可能更改它来查看或访问不应该访问的数据,或者影响您的站点/应用程序的行为.所以不用说你对查询字符串信任什么,在使用它之前检查一切.当你检查它,不要检查它是错误的东西(这可能是一个无限列表),而不是检查正确的事情.如果您的一个检查失败,则应丢弃查询字符串数据,或将其视为可疑.如果您在查询字符串上加密或编码了数据,那么即使用户的更改由于编码而变得无意义,如果用户混淆并且您盲目信任,它仍然可能会产生意想不到的副作用.
我在查询字符串中存储敏感数据时采取的一种方法是不做;相反,我将存储敏感数据服务器端(在会话,缓存或数据库中的表),然后我将在查询字符串中具有随机生成的密钥(通常是GUID)来标识它,因此URL将会显示喜欢这个：
http://myurl.com/myPage.aspx?secretKey=73FA4A5A85A44C75ABB5E323569628D3
很难强制一个GUID,GUID碰撞的机会是非常小的,所以如果最终用户混淆查询字符串,那么他们最终没有得到任何东西.
当我需要存储很多东西并且查询字符串开始变得太长时,这种方法也可以很好地运行 – 需要跟踪的数据可以保存在一个对象中,然后存储在Session或Cache中,并且再次使用GUID作为它的关键.
