asp.net-mvc-3 - Microsoft AntiXSS 替代方案

Question

微软的 AntiXSS 库已经被破坏了 6 个月，看起来已经被废弃了（官方可能是这样，也可能不是这样）。由于以前版本的安全问题，回滚到早期版本是不安全的。在使用 Microsoft（特别是 MVC）堆栈时，是否有任何积极开发的用于 AntiXSS 和 Web 安全的良好替代方案？

Answer 1

2012 年 6 月发布的 ajax 控制工具包附带了一个新的 xss sanitizer。该工具包最初也是使用微软的反 xss 库，所以他们遇到了同样的问题。新的消毒剂基于 HtmlAgilityPack

请参阅http://stephenwalther.com/archive/2012/06/25/announcing-the-june-2012-release-of-the-ajax-control-toolkit.aspx

Answer 2

我有同样的问题，我一直在寻找解决方案，但没有找到其他任何东西。

基本上，我认为前进的唯一选择是使用某种 WMD 风格（就像他们在 Stackoverflow 上所做的那样）......将其作为 WMD 标记发送回服务器，然后将其作为 HTML 保存在数据库中，然后将其转换为 html在服务器上的页面上吐出它。

这可能是一个好的开始：http ://code.google.com/p/pagedown/

Answer 3

有一个名为AntiXSS.NetStandard的 WPL 非官方端口支持.NET Standard 2.0（.NET Core 2.0+、.NET Framework 4.6.1）中的AntiXSS。