asp.net-mvc - ASP.NET MVC 中的 HTML 清理程序可过滤危险标记，但允许其余标记

Question

我知道 SO 中出现了很多关于 HTML 清理器的问题，但我不知道它们是否达到了我想要的效果，我有点困惑，因为一些推荐的方法已经有 4 年多了。

我有一个包含 TinyMCE 编辑器的页面。当然，这个编辑器将 HTML 发送到服务器，并期望 HTML，所以我创建了一个带有 String 的实体。属性(property)装饰有[AllowHtml]属性。效果很好。

现在，我想确保没有人尝试发送 <script>标签，或 <img onerror=""> ，或者任何执行JS的方式，或者添加指向外部url的CSS。

目前最好的解决方案是什么？

WPL有 HtmlSanitizationLibrary，但我如何知道哪些标签被视为“安全”？

WPL 从去年 4 月起就没有发布任何内容，而且它还是测试版。所以我想知道这个项目是否活跃？

干杯。

Answer 1

AntiXss/WPL 现已“停产”。在a reply中找到了这个库其他地方:

HtmlSanitizer，一个 .NET 库，用于清除可能导致 XSS 攻击的结构中的 HTML 片段。

项目网址:https://github.com/mganss/HtmlSanitizer