c# - AntiXSS 不会清理未关闭的 html 标签

Question

为什么未使用 Microsoft AntiXSS 清理未关闭的 html 标记？

string untrustedHtml = "<img src=x onmouseover=confirm(foo) y=";
string trustedHtml = AntiXSS.Sanitizer.GetSafeHtmlFragment(untrustedHtml); // returns "<img src=x onmouseover=confirm(foo) y="

关闭标签已清理:

string untrustedHtml = "<img src=x onmouseover=confirm(foo) y=a>";
string trustedHtml = AntiXSS.Sanitizer.GetSafeHtmlFragment(untrustedHtml); // returns ""

Answer 1

建议尽可能使用 HTML 编码而不是 HTML 清理。仅当您确实需要使用一些 HTML 但想删除任何不安全的代码时才应使用清理。在 99% 的情况下，您不需要用户插入任何 HTML，应该通过编码来消除这种情况。

话虽如此，如果您仍想执行清理，AntiXSS 并不是最好的解决方案 - 因为上面的示例，以及它还会删除完全安全的 HTML 并错误地将其识别为不安全的事实，从而导致 AntiXSS 清理程序无效。Ajax 控制工具包有一个更好的内部清理器，您可以使用它，但请注意它的安全性较低，因为它们部分使用黑名单(搜索危险代码而不是只允许安全代码)。

如果您仍想使用 AntiXSS 清理，您可以在发送到清理器之前检查插入的 HTML 是否有效。例如，您可以使用某种 XML 文档类来做到这一点，因为任何有效的 HTML 也是有效的 XML。

希望这对您有所帮助。