资源介绍
视频数量：65个
总时长：4小时21分
课程介绍：
ASP.NET Core 10安全编码实战
想象一下，你花了三个月开发的应用刚上线，第二天就被曝出用户密码泄露，整个项目推倒重来。这种事在现实中并不少见——多数安全漏洞并非源自高超的黑客技术，而是开发者在编码时忽略了一些看似无关紧要的细节。
这门课面向的是使用ASP.NET Core 10进行开发的工程师，内容覆盖一个Web应用从用户登录到数据存储、从文件上传到依赖管理几乎所有环节的安全风险。
一、安全编码基础：
开篇不直接堆代码，先讲清楚几个基本概念：机密性、完整性、可用性各自指什么，为什么纵深防御比"一道墙"更可靠，最小权限原则在实际项目中怎么落地。同时介绍OWASP这个安全组织——它维护的Top 10漏洞列表几乎是每个安全工程师的必读资料，课程里会带你理解各类漏洞的成因和查阅方法。
二、身份认证与访问控制：
登录功能谁都会写，但写"安全"的登录就不一定了。这一章演示ASP.NET Core Identity的完整集成流程——用户存储的配置、密码哈希策略的设置、外部登录的对接方式。授权部分则演示基于角色的访问控制（RBAC），以及更细粒度的基于策略和Claim的授权实现。
三、会话管理：
会话相关的安全问题最容易被忽视。课程演示Session Cookie的保护策略、Bearer Token的使用方法、多因素认证（MFA）和阶梯式认证的实现（当用户执行敏感操作时要求二次验证）。CSRF（跨站请求伪造）是经典攻击，专门用一节演示AntiForgery Token的正确用法。还有看似简单实则容易出错的"安全登出"——简单的Session.Abandon并不够彻底。
四、数据处理：
攻击面最大的一章。输入验证不是简单检查"非空"，而是要建立白名单思维。输出编码是防御XSS（跨站脚本）的关键，课程展示如何在代码中调用各种编码器。SQL注入部分对比Entity Framework Core和ADO.NET两种场景下的防护策略。命令注入、XML外部实体攻击（XXE）、不安全的反序列化，这些听起来很专业的攻击类型都有对应的演示。
五、敏感数据保护：
密码学三件套——哈希、对称加密、非对称加密，各自解决什么问题、适合什么场景，这一章讲得明明白白。课程演示如何用ASP.NET Core的数据保护API加密和解密敏感数据，如何做数据签名，如何管理密钥（而不是把密钥硬编码在代码里），以及如何在内存中保护密钥不被泄漏。
六、安全传输与数据隐私：
数据在浏览器和服务器之间传输时怎么保护？课程演示如何把敏感数据放在HTTP请求体中传输、如何防止浏览器缓存敏感内容、如何强制HTTPS、如何验证出站TLS连接。同时讲到Mass Assignment（批量赋值）这种容易被忽略的漏洞的防御方式，以及个人数据的访问、导出、删除和匿名化处理等隐私合规内容。
七、错误处理与日志记录：
日志是安全审计的基础，也是泄密的温床。课程讲如何过滤敏感字段后再写入日志，记录哪些安全事件（如登录失败、权限拒绝），以及如何防止错误页面把堆栈信息直接暴露给用户。
八、依赖管理：
你项目里那几十个NuGet包，谁知道哪个有已知漏洞？课程演示如何验证包签名、如何用工具扫描项目中的过时和有漏洞的依赖、如何生成和使用SBOM（软件物料清单）。对于前端JavaScript依赖，还演示了SRI（子资源完整性）哈希的生成方法。
九、业务逻辑保护：
这类漏洞不像SQL注入那么"标准"，但危害更大。比如电商网站的支付流程能不能被绕过？限时优惠活动是不是能被反复领取？课程演示如何保护业务流程的完整性、如何防止竞态条件、如何对请求做限流。
十、文件处理：
用户上传的文件是攻击者的常用入口。课程演示如何限制上传文件大小、如何校验文件的真实类型（而不是只看扩展名）、如何扫描病毒和恶意软件、如何安全存储文件，以及如何防止SSRF（服务端请求伪造）攻击。
十一、配置加固：
上线前的最后一道防线。课程演示如何关闭调试功能、隐藏系统组件信息、校验HTTP请求头、设置CSP、HSTS、X-Frame-Options等安全响应头，以及如何正确配置CORS策略。
适合人群：
如果你是ASP.NET Core的初中级开发者，想系统补上安全这一课；或者你是技术负责人，希望团队成员建立统一的安全编码规范；又或者你正在准备面试，想把安全知识从"听说过"变成"能动手"——这门课都比较合适。前提是你需要有基本的C#和ASP.NET Core使用经验，不需要预先了解安全知识。
学完整个课程之后，你能够独立完成一个Web应用的安全审计，能识别代码中的常见漏洞并修复，能在团队中推动基本的安全开发流程。课程里65个视频、四个多小时的内容，每个演示都配有完整的代码示例，可以跟着一步步操作。从基础概念出发，到具体攻击类型，再到防御实践，最后以配置加固收尾，形成一个完整的闭环。