安全代码评论

Question

有没有人有一个很好的清单来执行安全代码审查时使用？大部分的重点将放在C＃代码上，同时还会检查一些TSQL sprocs。

Answer 1

微软在此具有.NET安全代码审查清单：Improving Web Application Security: Threats and Countermeasures : Code Review

内容列表如下：

• 执行文本搜索
• 跨站点脚本（XSS）
• SQL注入
• 缓冲区溢出
• 托管代码
次​​
• 代码访问安全
• 非托管代码
• ASP.NET页面和控件
• Web服务
• 服务组件
• Remoting的
• 数据访问代码

这似乎是一个体面的开始。 8-）

Answer 2

的OWASP top ten是一个好的开始开发一个安全清单*：

• Cross Site Scripting (XSS)
• Injection Flaws
• Malicious File Execution
• Insecure Direct Object Reference
• Cross Site Request Forgery (CSRF)
• Information Leakage and Improper Error Handling
• Broken Authentication and Session Management
• Insecure Cryptographic Storage
• Insecure Communications
• Failure to Restrict URL Access

_{* Web应用程序的}