.NET Framework 以托管程式碼與公共語言執行平台 (CLR) 為核心，提供記憶體安全、型別安全、程式碼存取安全性 (CAS) 等內建防護，並建立「使用者安全性」與「程式碼安全性」雙軌授權模型，構建企業級應用的安全基石。

托管程式碼四大內建安全優勢

機制	防護目標	運作方式
PE 檔案格式與中繼資料驗證	惡意二進位檔案、緩衝區溢位	CLR 載入時驗證 PE 結構完整性、位址邊界、中繼資料一致性
MSIL 型別安全驗證	指標操作濫用、型別混淆、陣列越界	JIT 編譯前驗證 IL 指令流，消除托管碼緩衝區溢位可能 (非托管互操作除外)
強名稱完整性驗證	組件竄改、偽造	數位簽章驗證組件自建置後未被修改，攻擊者無法直接修改 IL 指令
程式碼存取安全性 (CAS)	惡意碼濫用系統資源	依據程式碼證據 (強名稱、發行者、區域) 授予權限集合，限制檔案/登錄/網路/反射/非托管呼叫等特權操作

雙軌授權模型

使用者安全性 (角色基礎安全性)

核心問題：「使用者是誰？能做什麼操作？」

• Windows 整合驗證 → 角色 = Windows 群組。
• 表單/自訂驗證 → 角色 = 應用程式定義 (儲存於 SQL Server/AD)。
• Principal 對象：附加於目前 HTTP 要求 (HttpContext.Current.User)，實作 IPrincipal，包含 Identity (姓名、驗證類型、IsAuthenticated) 與角色清單。
• 授權決策點：Web 頁面、商務邏輯元件、資料存取層，透過 PrincipalPermission 屬性或命令式檢查。

程式碼安全性 (CAS)

核心問題：「程式碼從哪來？誰寫的？能做什麼特權操作？」

• 與使用者身分無關，針對程式碼組件本身授權。
• 證據：強名稱 (公開金鑰簽章)、Authenticode 發行者憑證、網站/區域 (MyComputer、Intranet、Internet、Untrusted)、應用程式目錄。
• 權限集合：FullTrust、LocalIntranet、Internet、Execution、Nothing 等預設集合，或自訂權限集合。
• 原則層級：企業、機器、使用者、應用程式域四層疊加取交集。
• 防禦價值：即使攻擊者控制 Web 應用程式進程或注入程式碼，CAS 限制仍能約束其可存取資源與特權操作範圍。

角色基礎安全性實作細節

聲明式安全 (屬性)

[PrincipalPermission(SecurityAction.Demand, Role = @"DOMAIN\Managers")]
public sealed class OnlyManagersCanCallMe { }

[PrincipalPermission(SecurityAction.Demand, Role = @"BUILTIN\Administrators")]
public void SomeMethod() { }

• 類別層級屬性自動套用至所有成員，成員層級可覆寫。
• 適用於類別、方法、屬性、事件、建構函式、結構、委派。

命令式安全 (程式碼)

new PrincipalPermission(null, @"DOMAIN\WindowsGroup").Demand();

• 細粒度控制：條件式檢查、動態角色判斷、自訂例外處理。
• 適用於方法內部特定程式碼區塊保護。

Windows 內建群組識別碼

• BUILTIN\Administrators、BUILTIN\Users、BUILTIN\Power Users 等。
• 網域群組格式：DOMAIN\GroupName。

企業應用安全架構建議

1. 採用 Windows 整合驗證 + Kerberos 委派：單一登入、雙向驗證、憑證不落地。
2. 建立角色對應業務職能：財務/人資/營運等角色，巢狀授權反映管理階層。
3. 關鍵業務邏輯套用 PrincipalPermission：聲明式優先，命令式輔助。
4. 配置 CAS 原則限制非信任組件：外掛模組、動態載入組件、第三方元件限制於 Internet/LocalIntranet 權限集合。
5. 非托管互操作嚴格審查：P/Invoke、COM Interop 為緩衝區溢位高風險區，需程式碼審查與模糊測試。
6. 強名稱簽署所有生產組件：啟用強名稱驗證略過清單 (允許延遲簽署) 僅限開發環境。

.NET 安全架構將作業系統級防護 (DEP、ASLR、CFG) 與執行階段級防護 (型別安全、CAS、角色授權) 深度整合，配合安全開發生命週期 (SDL) 實踐，是建構高韌性企業應用的堅實基石。