asp.net-web-api - Xss 支持 - ASP.Net web api

Question

是否有任何内置支持来验证 Web API 中的恶意输入，类似于使用 MVC 的表单？

如果没有，任何人都可以建议一个“全局”过滤器/消息检查器/任何东西来验证恶意输入吗？我试图避免单独验证我的所有模型/参数......

Answer 1

不，我不相信有这样的支持。这就是为什么。 Web Forms/MVC 的输入验证支持是一种权宜之计。但是编码输出是更好的 XSS 修复；验证输入不能完美地工作，因为什么输入是“坏的”取决于你将如何输出它(作为 HTML 元素源的一部分，作为 JS 源的一部分，在 HTML 属性值中，作为 SQL 查询的一部分， ETC。)。

因此，我建议不要将通用的全局输入验证作为 XSS 问题的解决方案。相反，请确保在输出之前始终正确编码输入(或将其传递到另一层，例如 SQL DB)。对于输出，如果您使用普通的 Web API 机制来返回数据(具有内容协商/格式化程序的模型类)，格式化程序应该为您处理特定于内容类型的编码。