security - Microsoft AntiXSS wpl 在 asp.net mvc3 应用程序中使用

Question

据我所知asp.net mvc3是相当安全的，但有什么地方我可以在那里使用 Microsoft AntiXSS 库来获得更高的安全性？http://wpl.codeplex.com/

如何在我的应用程序中找到可以使用它的任何地方？可能有人可能会发现在 asp.net mvc3 中使用该库的任何地方？

Answer 1

好吧，作为 AntiXSS 的所有者，我显然会说是的。但是我有偏见:)

AntiXSS 给你

• 更多编码选项 - 包括 CSS、JavaScript 和 LDAP 的编码（如果您从代码中查询 AD）
• 安全列表，而不是不安全列表。这本质上更安全，但速度较慢。虽然默认的 .NET 黑名单已经足够好，但它也取决于您的系统如何处理输入。

现在，使用 AntiXSS 4.1，您可以轻松地将 AntiXSS 插入 MVC 并用作默认编码器。现在是测试版，可以下载代码以及如何更换编码器的有限说明。您应该会在 11 月之前看到发布。

Answer 2

这取决于如何使用用户输入的您尝试收集的数据，以及您是否告诉应用程序允许 HTML。

就个人而言，我会使用 AntiXss 库，只要输入允许输入 HTML 并稍后在网站上重新显示，否则，如果您没有告诉 MVC3 允许输入 HTML，MVC3 将很好地阻止 HTML。