asp.net-mvc – 有关在ASP.NET MVC中放置AntiXSS调用的建议

发布时间：2020-12-16 03:18:46 所属栏目：asp.Net 来源：网络整理

导读：我试图在我的ASP.NET MVC应用程序中找到防止跨站点脚本的最佳方法.我计划使用Microsoft的AntiXSS库并基本上保护两个级别：1)保护常规文本框(即那些只应包含纯文本的文本框和2)保护可生成 HTML的富文本框.图书馆本身非常简单,但我很难决定在何处进行验证.我使

我试图在我的ASP.NET MVC应用程序中找到防止跨站点脚本的最佳方法.我计划使用Microsoft的AntiXSS库并基本上保护两个级别：1)保护常规文本框(即那些只应包含纯文本的文本框和2)保护可生成 HTML的富文本框.图书馆本身非常简单,但我很难决定在何处进行验证.我使用强类型HTML帮助程序并直接绑定我的模型/视图模型,并希望避免在每个操作方法中单独应用AntiXSS.另外,绝对不想在我的帖子操作上关闭validateinput,如果我在我的模型/ viewmodel的某个属性中传递HTML,这是一个要求.

是否可以在ASP.NET MVC中注入AntiXSS,以便在渲染视图(解码)之前和进入动作过滤器(编码)之前应用它？

提前致谢

解决方法

您可以覆盖System.Web.Mvc.Controller的OnActionExecuting方法,并使用OnActionExecuting的ActionExecutingContext参数上的ActionDescriptor属性来确定当前正在运行的操作.然后你可以(我认为)修改ActionExecutingContext上的ActionParameters来进行编码.

您是否只计划使用它来检查顽皮内容(AntiXss.GetSafeHtml),还是您还计划编码(AntiXss.HtmlEncode)？如果是后者,我会考虑它,因为它只将输出格式限制为HTML,这可能现在可以,但如果要在其他任何地方使用此数据,可能会有限制.

（编辑：李大同）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!