1.使用Authorize特性登陆
对于我们开发程序而言，基本上都是要求角色成员使用Authorize特性，比如，对于管理员而言角色是Admin,对于登陆注册登陆用户而言是User那么我们在用户登陆的时候添加

1 ///角色验证2 FormsAuthentication.SignOut();  ///清空角色3 FormsAuthentication.SetAuthCookie("User", false);

这样就添加了一个User角色，然后，我们再控制器上添加角色验证，如下：

1 [Authorize(Users = "User")]2 public ActionResult Index()3 {4 return view();5 }

这样一来，Index页面就只能是有User角色的人才能访问，

如果用户没有User角色，但是强制访问会怎么呢？下面我们再web.config配置文件中添加一个跳转页面，没有通过角色验证的用户会跳转到指定的页面，下面是跳转到登录页面Login

1     <authentication mode="Forms">2       <forms loginUrl="~/Login" timeout="2880" />3     </authentication>

好了，这就有搞定了，简单吧。

2.防止XSS攻击

   1.对所有的内容进行HTML编码， 使用@Html.Encode 或者 @Html.AttributeEncode

   2.对Url进行编码，使用@Url.Encode

   3.对javascript编码，使用@Html.JavaScriptEncode

3.令牌验证

    在form表单中添加  @Html.AntiForgeryToken(),然后在控制器中添加  [ValidateAntiforgeryToken]

4.使用HttpOnly阻止Cookie盗窃

   在webconfig中添加 <httpCookies domain="" httpOnlyCookies="true" requireSSL="false" />

   或者  Response.Cookies["MyCookie"].HttpOnly=true;

5.使用Bind特性只接收表单中有的属性

   如：[bind(Include="UserName,PassWord")]

   这里我是有个疑问， 为什么这个能防御重复提交攻击，本人认为这应该是不能达到的。而是避免提交攻击性的数据，比如视图提交表单之外的其他数据。

以上都是项目中经常会用到的，当然，也许你有更好的办法。

本群提供ASP.NET MVC,EF,LINQ,WEB API技术支持，不在乎人多，在乎人精。
ASP.NET MVC群 171560784  
诚邀各路高手、初学者加入。