如果在 web.config 中 configuration/system.web/authentication/forms 元素的 cacheRolesInCookie 屬性設定為 true，則會在 Cookie 中快取每個使用者的角色。如果此資訊是以純文字方式儲存，那麼任何人只要能夠存取與應用程式互動的機器，都能夠存取儲存在 cookie 中的資訊。更糟糕的是，如果攻擊者可以隨意修改 cookie 中的資料，他們便能夠偽造提供給應用程式的資訊，有可能改變系統的運作方式以對他們有利。

在許多情況下，應用程式可以根據所使用的環境來驗證由 cookie 提供的輸入，但 ASP.NET 的驗證框架提供了一個非常好的方法，來驗證 cookie 沒有遭到非期望的修改。如不使用此方法，想要建立所有輸入都經過驗證的高層級信任是非常困難、甚至是不可能的。

ASP.NET Web 服務透過自動產生描述如何與 Web 服務通訊的文件來促進 Web 服務用戶端的開發。

當收到瀏覽器要求時，已啟用文件通訊協定的 Web 服務會產生 HTML 格式的頁面。

這個 HTML 格式的頁面描述以下資訊：
1.支援的操作
2.每個操作接受的參數
3.應該在這些參數中傳遞的資料類型

文件通訊協定還會產生一個 XML 格式的 Web 服務描述語言 (WSDL) 檔案。此檔案旨在讓應用程式瞭解如何架構對 Web 服務的要求。此資訊對開發人員非常有用，尤其是為公用 Web 服務建立用戶端的開發人員。但是，洩露有關私有 Web 服務功能的詳細資訊會增加 Web 服務被惡意攻擊者濫用的風險。文件通訊協定永遠會描述 Web 服務的所有功能和參數 - 即使只有這些功能的部分是有意設為可公開存取。

應設定 ASP .NET 應用程式使用自訂的錯誤頁面，而不是框架的預設頁面。預設的錯誤頁面會對所發生的錯誤提供詳細資訊，不應在生產的環境中使用。<customErrors> 標籤的 mode 屬性定義要使用自訂錯誤頁面還是預設錯誤頁面。

攻擊者可能利用預設的錯誤頁面所提供的額外資訊，來發動針對架構、資料庫或應用程式所使用的其他資源的攻擊。

依預設，在解密裝載 (例如 ViewState、FormsAuth cookies 和 ScriptResource.axd URL) 之前，ASP.NET 會先從內部驗證密碼編譯簽章，然後將這些值傳遞給應用程式進行進一步的處理。但是，在解密裝載之前，可使用 aspnet:UseLegacyEncryption 設定停用密碼編譯簽章驗證來修改此功能。這可能會允許惡意用戶端解密、偽造或竄改加密的資料。

範例 1：在以下範例中，aspnet:UseLegacyEncryption 設定為 true。

...
  <appSettings>
    <add key="aspnet:UseLegacyEncryption" value="true" />
  </appSettings>
...

ASP.NET 應用程式可在 web.config 檔案中的<credentials> 元素中為 ASP.NET 應用程式儲存使用者名稱和密碼組，其支援純文字、MD5 和 SHA1 密碼格式。

以純文字方式儲存密碼或使用簡單的加密演算法，可讓任何擁有應用程式組態設定檔案存取權的人存取該密碼。這可能包括那些應用程式所寄宿的機器或者存放應用程式的原始碼儲存庫。

範例 1：以下的 web.config 項目錯誤的將其密碼以純文字方式儲存。

<configuration>
  <system.web>
    <authentication>
      <forms protection="All">
	   <credentials passwordFormat="Clear">
   		<user name="user1" password="my_password"/>
		<user name="user2" password="my_password1"/>
        </credentials>
    	 </forms>
    </authentication>
  </system.web>
</configuration>

ASP.NET 支援以 3 種格式儲存的憑證密碼，由 configuration/system.web/authentication/forms/credentials 元素中的 passwordFormat 屬性所定義。此屬性可能的值如下：

Clear - 表示密碼以純文字形式儲存 (安全程度最低)
MD5 - 表示儲存密碼的 MD5 雜湊資料
SHA1 - 表示儲存密碼的 SHA1 雜湊資料 (安全程度最高)

雖然 MD5 hash 儲存的安全性比純文字儲存高，但研究人員已發現了針對 MD5 hash 演算法的暴力攻擊方式。同時，SHA1 hash 仍然提供了防止此類攻擊的有效保護。

在 ASP.NET 應用程式中，未經檢查的輸入資料是弱點產生的根源。未經檢查的輸入資料會導致許多弱點的產生，包括 Cross-Site Scripting、Process Control 和 SQL injection。

為了避免此類攻擊，應在應用程式處理輸入資料之前使用 ASP.NET 驗證框架來檢查所有程式的輸入資料。

驗證框架的範例用法包括進行檢查以確保：

- 電話號碼欄位只包含電話號碼中的有效字元

- Boolean 值只有「T」或「F」

- 未限定格式的字串必須有合理的長度，並且由有效的字元組成

如果在 web.config 中 configuration/system.web/authentication/forms 元素的 cacheRolesInCookie 屬性設定為 true，則會在 Cookie 中快取每個使用者的角色。如果此資訊是以純文字方式儲存，那麼任何人只要能夠存取與應用程式互動的機器，都能夠存取儲存在 cookie 中的資訊。更糟糕的是，如果攻擊者可以隨意修改 cookie 中的資料，他們便能夠偽造提供給應用程式的資訊，有可能改變系統的運作方式以對他們有利。

在許多情況下，應用程式可以根據所使用的環境來驗證由 cookie 提供的輸入，但 ASP.NET 的驗證框架提供了一個非常好的方法，來驗證 cookie 沒有遭到非期望的修改。如不使用此方法，想要建立所有輸入都經過驗證的高層級信任是非常困難、甚至是不可能的。