c# - 全球跨站脚本操作

Question

在我们的应用程序中，我们有一个称为GlobalPage.cs此页面的类，它继承自Page我们的页面加载覆盖和其他。提醒我们注意，我们需要为包含文本框的页面添加一些安全性（一些是 asp 文本框，另一些是 html 输入）。我们想要做的是能够从一个地方全局检查所有这些字段，而不是在每个页面上单独进行。我们如何才能实现这一点，可能使用GlobalPage.cs?

我将不胜感激任何关于可以做什么的意见或帮助。

Answer 1

已经有一些针对恶意输入的内置保护。确保您没有将其关闭。

<pages validateRequest="true"...>

传入的值本身对 XSS 来说不是问题。渲染非转义值会导致问题。因此，尽管清理输入有些用处，但无法替代正确的输出编码。

考虑阅读 ASP.Net 中有关 XSS 保护的现有信息，例如How To: Protect From Injection Attacks in ASP.NET （2.0，请注意 4.0 - ASP.NET Request Validation中有更改）。