asp.net - 保护我自己免受跨站点脚本的影响

Question

我已经实现了 Request.QueryString["somestr"].ToString();
我通过执行 HttpUtility.HtmlEncode(Request.QueryString["somestr"].ToString(); 来抑制跨站点脚本

我仍然遇到用户可以执行以下操作的问题:

myfriendlydomain.com/?somestr=';alert(WOO XSS SucceedED);test='

我怎样才能防止这种情况发生？

按照要求:

//Code Behind
if(request.querystring["somestr"] != null)
{
  AffiliatesEmail = HttpUtility.HtmlEncode(Request.QueryString["somestr"].ToString();    
}

//Front End
<script type="text/javascript">
  //<![CDATA[
    /*** Do not change ***/
    var SomeVAR = {};
    SomeVAR.Tracking.Sale.orderRef = '<%= AffiliatesEmail %>';
  //]]>
</script>

<script src="https://www.somethirdparty.com/somejscript.js" type="text/javascript" defer="defer"> </script>

这是我们的实现。之后我不相信的任何事情都是相关的。

Answer 1

您可以使用 JavaScriptStringEncode() Method擦洗字符串并对其进行编码以防止这种情况发生。

另一种方法是使用 AntiXSS图书馆。