OWASP Top 10 — какие актуальны для .NET приложений?

[Authorize]
[HttpGet("orders/{id}")]
public async Task<IActionResult> Get(Guid id) => Ok(await db.Orders.FindAsync(id));

[Authorize]
[HttpGet("orders/{id}")]
public async Task<IActionResult> Get(Guid id, CancellationToken ct)
{
    var userId = User.GetUserId();
    var order = await db.Orders.AsNoTracking().FirstOrDefaultAsync(o => o.Id == id && o.CustomerId == userId, ct);
    return order is null ? NotFound() : Ok(order.ToDto());      // 404, а не 403 — не раскрываем существование
}

// Защитный дефолт: всё закрыто, если явно не открыто
builder.Services.AddAuthorizationBuilder()
    .SetFallbackPolicy(new AuthorizationPolicyBuilder().RequireAuthenticatedUser().Build());

// SQL-инъекция
var users = db.Users.FromSqlRaw($"SELECT * FROM users WHERE name = '{name}'");       // УЯЗВИМО
var users2 = db.Users.FromSql($"SELECT * FROM users WHERE name = {name}");           // параметризовано

// Командная инъекция
Process.Start("bash", $"-c \"convert {fileName} out.png\"");                          // УЯЗВИМО: fileName = "x; rm -rf /"
Process.Start(new ProcessStartInfo("convert") { ArgumentList = { fileName, "out.png" } });   // аргументы без shell

if (app.Environment.IsDevelopment())
{
    app.UseDeveloperExceptionPage();
    app.MapOpenApi();                                    // Swagger/OpenAPI — только в dev или за авторизацией
}
else
{
    app.UseExceptionHandler();                           // ProblemDetails без стека
    app.UseHsts();
}
app.UseHttpsRedirection();

builder.WebHost.ConfigureKestrel(o => o.AddServerHeader = false);   // не раскрывать "Server: Kestrel"

app.Use(async (ctx, next) =>                             // заголовки безопасности
{
    ctx.Response.Headers["X-Content-Type-Options"] = "nosniff";
    ctx.Response.Headers["X-Frame-Options"] = "DENY";
    ctx.Response.Headers["Referrer-Policy"] = "strict-origin-when-cross-origin";
    ctx.Response.Headers["Content-Security-Policy"] = "default-src 'self'; frame-ancestors 'none'";
    await next();
});

dotnet list package --vulnerable --include-transitive
# + Dependabot / Renovate, NuGetAudit при restore (.NET 8+), сканирование образов (Trivy)

// Опасно: десериализация с информацией о типе из входных данных → выполнение произвольного кода
var settings = new JsonSerializerSettings { TypeNameHandling = TypeNameHandling.All };   // Newtonsoft — уязвимо
var obj = JsonConvert.DeserializeObject(untrustedJson, settings);

// BinaryFormatter — удалён/отключён в .NET 9 из-за небезопасности
// Безопасно: System.Text.Json с конкретными типами, полиморфизм только через [JsonDerivedType] (белый список)

app.MapPost("/avatar/import", async (string url, HttpClient http) => await http.GetByteArrayAsync(url));
// url = http://169.254.169.254/latest/meta-data/iam/security-credentials/  → ключи облака
// url = http://orders-api.internal/admin/...                                → внутренние сервисы

static async Task<bool> IsSafeAsync(Uri uri)
{
    if (uri.Scheme != Uri.UriSchemeHttps) return false;
    if (!AllowedHosts.Contains(uri.Host)) return false;                 // белый список доменов — лучший вариант
    foreach (var ip in await Dns.GetHostAddressesAsync(uri.Host))       // запрет приватных и link-local адресов
        if (IPAddress.IsLoopback(ip) || ip.IsIPv6LinkLocal || IsPrivate(ip) || ip.ToString().StartsWith("169.254.")) return false;
    return true;
}
// + отключить редиректы (AllowAutoRedirect = false) или проверять каждый, отдельный egress-прокси, NetworkPolicy