asp.net - 如何从 HttpRequest 中删除恶意数据，使其不被 HttpResponse 返回？

Question

我必须防止跨站点脚本漏洞从 HttpRequest 标头中的数据在 HttpResponse 中发送，以通过 webapp 评估。

例如，HttpRequest 标头：

GET /%22%20%73%54%79%4c%65%3d%58%3a%65%58%2f%2a%2a%2f%70%52%65%53%73%49%6f%4e%28% 61%6c%65%72%74%28%35%37%31%33%35%29%29%20%22 HTTP/1.1

HttpResponse 位置值：

/" sTyLe=X:eX/**/pReSsIoN(%?3e3ea140

我的站点是一个用 VB.Net 编写的 ASP.Net 网站，运行在带有 IIS 6.0 的 Windows Server 2003 上。我有哪些选择？我必须在 IIS 中使用 ISAPI 过滤器吗？

Answer 1

正确的方法是确保数据库（或您正在使用的任何来源）中的数据是干净的，并确保您正在验证服务器端的所有用户输入。

一旦您确认您的数据是干净的并且所有输入都经过验证，您应该是安全的。

不确定IIS中是否有任何内置方式。