asp.net-mvc - 如何在 Web 应用程序中安全地显示 HTML 电子邮件？

Question

在 C#/ASP.NET MVC Web 应用程序中，我想显示从不受信任的来源收到的 HTML 电子邮件。有谁知道是否有已知的最佳实践(甚至工具)以“安全”的方式进行。据我所知，大多数网络邮件执行广泛的预处理(禁用图像链接，删除脚本等)。

有什么比仅将电子邮件显示为文本更简单的事情吗？

Answer 1

乔安妮斯，

最简单的方法是使用 Web 保护库的白名单服务来过滤掉潜在的恶意 HTML:http://wpl.codeplex.com/

至于实现更复杂的客户端行为，例如除非用户授权，否则阻止来自未知来源的图像，您可能想要尝试实现以下内容:

不通过满<img src="{URI}" />标签返回客户端 - 而是推送具有唯一 ID 属性的图像，并将其 src 改为默认的“无法显示图像”图标。

添加一个按钮或其他一些 UI 控件，用户可以在其中明确同意显示此方法的图像。

在您的电子邮件查看 Controller 上构建一个操作方法，该方法返回一个 JsonResult 和一个字典，其中包含图像的 ID 及其 src 值。

编写一个 JavaScript 方法，该方法将调用 action 方法，并在从 action 方法接收到 JsonResult 时将适当的 src 值交换回原位。

希望这可以帮助!