AntiXss.HtmlEncode vs AntiXss.GetSafeHtmlFragment

Question

谁能告诉我这两者之间的区别？ AntiXss.HtmlEncode()VSAntiXss.GetSafeHtmlFragment()

Answer 1

HtmlEcode实际上编码标签:

AntiXss.HtmlEncode("<b>hello</b><script>");
//Output: &lt;b&gt;hello&lt;/b&gt;&lt;script&gt;

GetSafeHtmlFragment(AntiXss v4.0)返回标记完整的HTML片段:

Sanitizer.GetSafeHtmlFragment("<b>hello2</b><script>")
//Output: <b>hello2</b>

更新

许多人认为最新版本的微软AntiXSS库已被破坏.我已经开始使用HTML Sanitizer作为一个不错的替代品.

Answer 2

还应该提到的是,它也会antixss.GetSafeHtmlFragment对字符进行编码.双引号更改为".加号变成+等.

Answer 3

我还可以添加样式名称前的x_来GetSafeHtmlFragment弄乱CSS ，并删除HTML实体编码。这不是一件美丽的事情。

赫克