c# - 为什么标签 x = txtName.Text;受到 XSS 攻击，这里的预防措施是什么？

Question

我有以下代码:

label x = txtName.Text; 

当安全团队分析 dll 时，他们表示可以对上述代码执行 XSS 攻击。我知道文本框 Text 属性不能防止 XSS 攻击，那么我现在应该做什么？

以下修改是否可以解决问题？

label x = Server.HtmlEncode(txtName.Text); 

Answer 1

我假设您正在谈论 WebForms Label - 从问题中不清楚(发布真实代码!)

这是 ASP.NET WebForms 设计的问题。许多元素都有一个名为 Text 的属性, 但该属性根据元素执行不同的操作。

您希望设置 Text在控件上将设置其纯文本内容。这种安全操作正如其名称所暗示的那样。这些控件就是这种情况:

• 文本框
• 按钮
• 图片按钮
• 列表项

不幸的是，在许多其他控件上，同名属性实际上在元素中设置了 HTML 标记。因此，如果您有一个带有 <b> 的文本字符串在其中，您会得到一些粗体文本而不是字母 b在一些尖括号中。如果文本中有类似 <script> 的字符串其中，代码将在浏览器上执行，从而导致安全问题。

其中一些不幸的不安全控件是:

• 标签
• 超链接
• 链接按钮
• 单选按钮
• 复选框
• 表格单元格

为了安全地使用这些，您必须对您写入 Text 的所有内容进行 HTML 编码属性(property)。

最后有一个双向摆动的控件:

• 文字

默认情况下这会设置 HTML 标记(糟糕!)，但如果您设置 Mode="Encode"属性，它设置文本。

当然，这一切都非常令人困惑，无法设计 Web 框架，但这就是我们必须处理的问题。