Fortify - 信任边界违规 - ASP.Net Web表单 - 文本框表单字段

Question

我的项目有113个Trust Boundary Violations。 每次违规都是针对存储到会话值的任何值。 存储在会话中的值实际上是具有多个属性的对象。 因此，每次将值分配给违规的属性。 我可以将数字值视为可信，因为它们被强类型化为数字。 但是，来自文本框表单字段的字符串让我很困惑。 我确实启用了ASP.Net请求验证。

Fortify的建议说：“不受信任的数据应该构建在一个不受信任的数据结构中，经过验证，然后移动到受信任的位置。”

是否需要对从文本框表单字段设置的字符串采取进一步操作，以便对这些值进行“验证”？ 或者，ASP.Net请求验证是否足够？

Answer 1

我认为ASP.Net请求验证就足够了。 当您将其标记为误报时，AI引擎将学习它。

同时，我认为在会话值上存储多个属性并不是一个好习惯。