本列表并未列出所有潜在的安全问题。它强调 C# 开发人员需要知道的一些常见问题。

• 使用 checked 关键字控制整型算术运算和转换的溢出检查上下文。

• 始终对参数使用最严格的数据类型。例如，在将一个值传入描述数据结构大小的方法时，应使用无符号整数而不是整数。

• 不要根据文件名作出决定。文件名可以用多种不同的方式表示，因而检测是否有特定文件时可能会跳过该文件。

• 千万不要将密码或其他敏感信息硬编码到应用程序中。

• 始终验证用于生成 SQL 查询的输入。

• 验证传入方法的所有输入。System.Text.RegularExpressions 命名空间中的正则表达式方法对于确认输入（如电子邮件地址）的格式是否正确很有用。

• 不要显示异常信息：它会给任何潜在的攻击者提供有价值的线索。

• 确保应用程序在最低的可能特权下运行时能够正常工作。少数应用程序要求用户作为管理员登录。

• 不要使用自己的加密算法，应使用 System.Security.Cryptography 类。

• 为程序集指定强名称。

• 不要在 XML 或其他配置文件中存储敏感信息。

• 仔细检查包装本机代码的托管代码。确保本机代码是安全的，尤其是在防止缓冲区溢出方面。

• 在使用从应用程序之外传入的委托时应保持谨慎。

• 对程序集运行 FxCop 以确保符合 Microsoft .NET Framework 设计准则。FxCop 还可以查找 200 多种代码缺陷并针对这些代码缺陷发出警告。

以下 MSDN 主题详细介绍了如何创建安全、可靠的软件。

• Microsoft Security Developer Center（Microsoft 安全开发人员中心）.

• Defend Your Apps and Critical User Info with Defensive Coding Techniques（使用防御性编码技术保护应用程序和关键用户信息）.

• An Overview of Security in the .NET Framework（.NET Framework 安全概述）.

• Defend Your Code with Top Ten Security Tips Every Developer Must Know（使用每个开发人员都必须知道的十大安全技巧来保护代码）.

• Security Brief: Beware of Fully Trusted Code（安全简报：小心完全受信任的代码）.

• Programmatically check for canonicalization issues with ASP.NET（以编程方式检查 ASP.NET 的规范化问题）.

• Windows 窗体中的安全性概述

• 编写安全托管控件

概念