c# - 使用 markdown 防止脚本注入(inject)

Question

我想在用户输入以下内容时保护我的页面:

<script type="text/javascript">
    alert("hi");
</script>

我正在使用 ShowDown:

jQuery.fn.markDown = function() 
{
    return this.each(function() {
        var caller = this;
        var converter = new Showdown.converter();

        var text = $(caller).text();
        var html = converter.makeHtml(text);

        $(caller).html(html);
    });
}

Answer 1

如果您想清理 .NET 服务器端代码上的 html，我建议您使用 Microsoft web protection library ，在将标记转换为 html 之后，在将其呈现到页面之前。例如以下片段:

x = @"<div>safe</div>
       <script type='text/javascript'>
         alert('hi');
       </script>";
return Microsoft.Security.Application.Sanitizer.GetSafeHtmlFragment(x);

返回 <div>safe</div>

http://wpl.codeplex.com/