Web应用安全：输入验证与防注入实战指南

1. 为什么输入验证与防注入是Web应用的生死线

去年我接手一个濒临崩溃的电商系统，上线三个月遭遇了17次SQL注入攻击。最严重的一次，攻击者通过商品搜索框注入恶意脚本，直接拖走了整个用户数据库。当我打开日志看到那些熟悉的1=1和UNION SELECT时，才真正理解为什么说"所有输入都是恶意的"。

现代Web应用平均每个表单字段存在3-4种潜在攻击向量。以最简单的登录框为例：

• 用户名输入框：SQL注入、XSS、命令注入
• 密码输入框：暴力破解、正则DoS
• 记住我选项：Cookie篡改

在C#生态中，虽然ASP.NET Core提供了基础防护机制，但很多开发者过度依赖框架默认配置。实测显示，仅使用[Required]这类数据注解的应用，对预编译SQL注入的拦截率不足40%。真正的防护需要从数据流入口开始构建纵深防御体系。

2. 构建四层防御架构

2.1 客户端验证：第一道防线

不要相信任何来自客户端的验证！但这不意味着可以忽略它。合理的客户端验证能拦截80%的无效请求，大幅减轻服务器压力。

csharp复制// 错误的做法：仅依赖HTML5验证
<input type="text" required maxlength="20">

// 正确的C#实现：配合JS验证
document.getElementById("username").addEventListener("blur", () => {
    const regex = /^[a-zA-Z0-9_]{4,20}$/;
    if(!regex.test(this.value)) {
        showError("仅允许字母数字下划线，长度4-20");
    }
});

关键点：客户端验证必须与服务器端规则完全一致。我曾见过因正则表达式不一致导致防御绕过的案例。

2.2 模型绑定验证：ASP.NET Core的核心机制

模型绑定是拦截恶意输入的最佳切入点。来看一个用户注册案例：

csharp复制public class UserRegisterDto
{
    [Required(ErrorMessage = "用户名必填")]
    [StringLength(20, MinimumLen