SQL Injection, XSS, CSRF — как предотвращать в ASP.NET Core?

var sql = $"SELECT * FROM users WHERE email = '{email}' AND password_hash = '{hash}'";
var user = await db.Users.FromSqlRaw(sql).FirstOrDefaultAsync();               // интерполяция ДО FromSqlRaw — строка уже склеена
using var cmd = new NpgsqlCommand("SELECT * FROM orders WHERE id = " + id, conn);

// EF Core LINQ — всегда параметризован
var user = await db.Users.FirstOrDefaultAsync(u => u.Email == email);

// Raw SQL с интерполяцией FormattableString — значения становятся параметрами
var orders = await db.Orders.FromSql($"SELECT * FROM orders WHERE customer_id = {customerId}").ToListAsync();

// ADO.NET / Dapper
using var cmd = new NpgsqlCommand("SELECT * FROM orders WHERE id = @id", conn);
cmd.Parameters.AddWithValue("id", id);
var list = await conn.QueryAsync<Order>("SELECT * FROM orders WHERE status = @status", new { status });

// Динамическая сортировка — белый список, параметризовать имена столбцов нельзя
var column = sortBy switch { "date" => "created_at", "total" => "total", _ => "id" };

<p>@review.Text</p>                       @* <script> → &lt;script&gt; — безопасно *@
<p>@Html.Raw(review.Text)</p>             @* ОПАСНО: вывод без экранирования *@

var sanitizer = new HtmlSanitizer();                     // пакет HtmlSanitizer (Ganss.Xss)
sanitizer.AllowedTags.Clear();
foreach (var tag in new[] { "p", "b", "i", "ul", "ol", "li", "a", "br" }) sanitizer.AllowedTags.Add(tag);
var safeHtml = sanitizer.Sanitize(userHtml);             // удаляет <script>, onerror=, javascript:-ссылки

app.Use(async (ctx, next) =>
{
    ctx.Response.Headers.ContentSecurityPolicy =
        "default-src 'self'; script-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'none'";
    await next();
});

<form method="post" asp-action="Transfer">
    @* <input name="__RequestVerificationToken" type="hidden" value="..."> генерируется tag helper-ом *@
    <input asp-for="Amount" />
    <button>Перевести</button>
</form>

builder.Services.AddControllersWithViews(o => o.Filters.Add(new AutoValidateAntiforgeryTokenAttribute()));   // все POST/PUT/DELETE

// Minimal API (.NET 8+): формы проверяются автоматически при UseAntiforgery
builder.Services.AddAntiforgery();
app.UseAntiforgery();
app.MapPost("/transfer", ([FromForm] TransferForm form) => Results.Ok());

// SPA с cookie-аутентификацией: отдать токен в cookie, фронтенд возвращает его заголовком
builder.Services.AddAntiforgery(o => o.HeaderName = "X-XSRF-TOKEN");