asp.net - 我如何防止 AntiXSS Sanitizer 从 AjaxControlToolkit HtmlEditorExtender 生成的 html 中删除 html5 标记

Question

我已经在我的 asp.net Web 应用程序中添加了一个 Htmleditorextender ajax 控件，并在其中放入了 XSS sanitizer 以实现 XSS 安全，但是现在当我从 Htmleditorextender 检索文本时，sanitizer 会从中删除 HTML5
并且所有输入都来自在一个单一的。我在互联网上搜索，发现发生这种情况是因为 XSS sanitizer 将 HTML5 标签识别为未知的不安全标签，这就是为什么所有 HTML5 标签都从 htmleditorextender 的格式化 HTML 中删除的原因，现在我通过设置 EnableSanitization="false"来使用 htmleditorextender
Should我从我的项目中删除了 XSS sanitizer ，否则我应该选择

1. TinyMCE 或
2. CKEditor

但这两个都没有配置为图像上传，用户可以添加自己的第三方图像 uploader 。
请告诉我如何防止我的网站受到 XSS 攻击而不丢失 htmleditorextender 中格式化的 html 标签。

Answer 1

您是否知道出于这个原因，最新的 HtmlEditorExtender 提供了替代 sanitizer ？它称为 HtmlAgilityPackSanitizerProvider。如果您使用 Nuget 下载，不确定是否包含该文件，但如果您从 CodePlex 下载 zip，它会包含一个名为“SanitizerProviders”的文件夹，其中包含备用 sanitizer 所需的 dll。然后，您可以在配置文件中指定备用清理程序(包含在下载中)。

这里是 Stephen Walther 博客的链接，他在其中解释了这一点: http://stephenwalther.com/archive/2012/06/25/announcing-the-june-2012-release-of-the-ajax-control-toolkit.aspx

我不确定这是否能解决您的问题，或者是否可以选择更新到最新的工具包，但您没有提到尝试一下，所以听起来值得一试。