WMD编辑器消毒

Question

我正试图找到消毒WMD编辑器输入的方法.

具体来说,我试图使HTML标签仅在<code>WMD生成的标签中可用.那可能吗

我的问题是,以下代码呈现为HTML,可以抵御潜在的XSS攻击.

例如, <a onmouseover="alert(1)" href="#">read this!</a>

上述代码通常在预览模式下和保存到数据库时呈现.

我注意到Stack Overflow似乎没有这个问题.相同的代码只是呈现为文本.

我注意到Stack Overflow团队已经在http://refactormycode.com/codes/333-sanitize-html中共享了他们的代码.我是否真的必须使用C#来消毒WMD才能做到这一点？

Answer 1

我最终为此使用了HTML Purifier 。