asp.net-mvc - 我应该在 ASP.NET MVC 中使用 Anti-XSS 安全运行时引擎吗？

Question

我一直在阅读 Anti-XSS 安全运行时引擎，它看起来是一个很好的 Web 表单解决方案，因为它通过反射检查控件并在适当的情况下自动编码数据。然而，由于我并没有真正在 ASP.NET MVC 中使用服务器端控件，因此它似乎不是 ASP.NET MVC 的可行解决方案。这是正确的还是我遗漏了什么？

Answer 1

Anti-XSS 安全运行时引擎是一个 HTTP 模块，主要围绕更新旧版 ASP.NET 应用程序而设计。如果您已经使用内置的 HTML 帮助程序(即 Html.Encode())编写了具有适当数据清理功能的 ASP.NET MVC 应用程序，那么反 XSS 引擎不会添加任何新内容，并且需要额外的配置(用于必要的白-列表)和错误检查。

总而言之，您不应依赖反 XSS 引擎，尤其是当您依赖于对输入何时呈现为 HTML 或不呈现为 HTML 的显式控制时。