使用MS Anti XSS库清理HTML

Question

为了防止XSS攻击,我正在更新一个页面,在该页面中我们有一个接受HTML的文本框,将其存储在数据库中并在以后检索和呈现它.

我的理解是我可以使用AntiXSS.GetSafeHtmlFragment()方法清理HTML .只要我在将HTML存储到数据库之前执行此操作,我是否可以使用？当HTML在网页上输出时,我是否需要做任何事情？

此外,似乎白名单是一种黑盒子.有没有办法根据我们的要求更新这个？

Answer 1

你应该已经设置好了。尽管显然这不会保护您免受数据库中已有任何内容的影响。

您可以AntiXSS.GetSafeHtmlFragment()在输出页面时使用，而不是在保存时使用。但边存钱边做可能更安全。不过，您不想在渲染和保存时同时执行此操作。

白名单不可编辑。