客户端验证主要负责验证用户输入的类型、长度、关联关系的验证（此功能由系统扩展控件提供）；
服务器端验证分为两部分：
1) 输入验证
输入验证需要对用户输入文字的HTML特殊字符进行验证，含有特殊字符的要抛出系统错误；数据的长度控制尽量在画面通过控件的允许输入长度进行控制；
2) 数据验证
验证数据类型、长度等；此验证行为在对象上进行。
4. 使用Hash算法保存密码
使用ASP.NET Membership管理用户，用户密码使用Hash算法和Salt加密，安全性高；
对于其它需要保存的密码，系统基础结构将提供Hash加密算法进行不可反向加密，作为验证凭据，或者先取先用不保存在数据存储中。
5. 数据安全性
1) 加密敏感数据：基础结构应提供Hash加密算法支持数据加密。
2) XML数据安全性：防止XML数据攻击。
攻击方法：XPath注入和XXE（扩展XML实体）注入攻击。
威胁指数：8
攻击结果：获得XML文件信息。
预防措施：不在XML中保存敏感信息，所有配置文件中的敏感信息需要加密保存，对于要写入XML的数据应先通过验证。
3) ViewState数据安全性：防止从ViewState获取敏感数据。
攻击方法：通过解码ViewState获得敏感信息。
威胁指数：6
攻击结果：获得ViewState中的敏感信息。
预防措施：禁用ViewState或避免，使用简单控件采用加密方式保存敏感信息。
关联问题：使用JSON字符串时注意敏感数据的处理。
6. 存储安全信息到注册表和配置文件
控制远程用户对配置文件的访问权限，保护配置文件中的敏感数据。
7. 再发布前修正配置文件
为防止错误堆栈信息推测以及通过其它信息查获手段进行攻击，ASP.NET Web应用程序在发布前应对配置文件进行修正。
错误堆栈信息推测攻击
攻击方法：造成系统异常，通过错误页上的堆栈信息推测代码进行下一步攻击。
威胁指数：6
攻击结果：推测系统版本和代码逻辑。
预防措施：捕获系统异常使用统一页面进行处理不表示错误堆栈信息，将自定义错误节点设置为<customErrors mode=”Off” />即可防止错误信息表示给远程用户；同时应关闭调试开关<compilation defaultLanguage=”vb” debug=”false” />防止通过调试信息泄漏源代码或进行代码注入。
同时应该关闭Trace优化性能并防止方法攻击者利用Trace推测代码执行过程和详细内容：<trace enabled=”false” requestLimit=”10” pageOutput=”false” traceMode = ”SortByTime” />
对于Web服务要防止远程用户利用WSDL描述进行推测攻击。
攻击方法：访问Web服务WSDL文件，获得Web服务相关信息。
威胁指数：4
攻击结果：获得Web服务方法描述，推测Web服务参数，进行下一步攻击。
