c# - 如何避免在我的应用程序的 url 中注入脚本？

Question

我是一名新的 ASP.NET 开发人员，我的导师强迫我开发一个安全的网站/基于 Web 的应用程序。在提交我的第一个应用程序后，他告诉我该应用程序容易受到跨站点脚本的攻击，他通过要求我将应用程序的 URL 从以下位置更改为证明了这一点：

http://localhost/testapp/default.aspx

至

http://localhost/testapp/default.aspx?--></script><script>alert(30999)</script>

我得到一个显示 30999 的弹出窗口。

那么如何防范这种漏洞呢？

我在网上搜索，发现 ASP.NET 中的 RequestValidate 功能应该可以防止这种攻击，但是为什么它在我的情况下不起作用。

Answer 1

这种问题被 ASP.NET 中的 RequestValidate 功能阻止，http: //weblogs.asp.net/jgalloway/archive/2011/04/28/preventing-javascript-encoding-xss-attacks-in-asp-net- mvc.aspx这将为您提供详细的帮助。我看到它没有停止的原因之一是，而不是在开始