问题标签 [antixsslibrary]

由于我的导师要求我在我的高级项目开发中使用 AntiXss 库，由于网络上缺乏资源，我在使用这个库时遇到了很多困难。我项目的一部分我有一个上传文件功能，用户可以上传文件，上传文件后，他将被重定向到同一页面以查看其他信息。一切正常，但是当我添加 AntiXss 库并仅将其与以下行一起使用时，出现此错误

（HTTP 400 错误 - 错误请求）

我不知道为什么。谁能告诉我为什么我会收到这个错误？以及如何解决？

C#代码：

我正在开发一个简单的 ASP.NET 应用程序来证明 AntiXss 库的使用。该库非常强大，除了在 aspx 页面中使用 Eval() 之外，它对我来说工作得很好。例如，如果我有一个如下标签控件：

我将如何使用 AntiXss？

我按照这里提到的这个示例进行操作，并通过执行以下操作将库添加到标签控件：

我的教练仍然告诉我它很脆弱​​，我不知道为什么。然后，AntiXss.HtmlEconde()我没有使用 ，而是Encoder.HtmlEncode()在上一行中使用

编辑：

根据我的导师使用的扫描工具，他仍然告诉我它很脆弱​​。那么通常如何将此库与 Eval 或 Data Binding 一起使用？

使用Antixss 库，我对文本进行了编码并存储在 DB 中。我的问题是当我从 DB 获取数据以在 TextArea 中显示时，它显示为编码文本。ASP.Net-MVC4 中的这个问题。我如何解码数据并在 textarea 中显示。任何人都可以帮助这个。如何使用 antixss 库解码文本。或任何其他方式来解码文本。

我从 ASP.NET Web 服务接收 JSON 数据，该服务已使用 Microsoft 的 AntiXSS 库 ( Encoder.HtmlEncode()) 进行了 HtmlEncoded，然后通过 jQuery Ajax 调用以 JSON 形式返回。

我正在使用这些数据填充编辑表单输入，如下所示：$('descriptionTextBox').val(object.Description);

其他时候，我可能只是将它作为 Html 附加到按预期显示数据的页面：$('descriptionSpan').html(object.Description);

显然，如果字符串最初包含 Html 或编码的字符，这会导致表单输入显示编码数据。要解码数据以在输入中显示，我使用以下内容：

像这样$('descriptionTextBox').val(decodeHtml(object.Description));

这是应该使用 JavaScript 在表单/输入上设置编码数据的正确方法吗？

I'm trying to make sure my webforms ASP.NET application is as secure as possible, it receives and stores user input data to a SQL database (the usual stuff) only for users with a login, so not available to the general public.

By disabling ValidateRequest for input pages, I appreciate there's a risk of XSS attacks - All the SQL queries are parameterised, so are safe from SQL Injection (correct?).

Rather than using the Anti-XSS libary, can I just use HTMLencode on the input text? Do I then store the HTMLencoded string?

Or am I looking at it the wrong way? Should I store the users input verbatim, and then HTMLencode or XSS-HTMLencode anytime it is output to a browser?

ASP.NET 4.5 和 Visual Studio 2012 中的新增功能显示了内置的 AntiXSS 库，

很强大，你懂的

对于任何潜在的危险检测，

但

如果我想要这种或保护，但还允许一些 HTML 内容用于所见即所得的 html 编辑器，我该怎么办？（例如论坛帖子）

我在我的网站中使用 GetSafeHtmlFragment，我发现除了<p>和之外的所有标签都<a>被删除了。

我研究了一下，发现微软没有解决它。

是否有任何替代或有任何解决方案？

谢谢。

在 ASP.NET 4.5 中有一个新的命名空间System.Web.Security.AntiXss，其中包括来自 AntiXssLibrary 4.0 版的编码例程 ( http://www.asp.net/aspnet/overview/aspnet-45/whats-new#_Toc318097382 )。

AntiXssLibrary 的最新版本是 4.2.1。

我很困惑在我的新项目中应该使用什么类型来编码输出 HTML：内置System.Web.Security.AntiXss.AntiXssEncoder或Microsoft.Security.Application.AntiXssEncoder来自 AntiXssLibrary。谁能告诉我首选使用哪种类型以及为什么？

所以我现在正在转换到内置的 AntiXssEncoder，但我遇到了一个障碍。我的一个应用程序使用了旧版 Microsoft 库的 HtmlAttributeEncode() 和 JavaScriptEncode() 方法。这些似乎没有暴露在内置的...那我应该怎么做才能替换它？

我可以不使用 Javascript，但属性 encode 用于多个地方。

我试图避免在我的应用程序中使用横向脚本，但我的要求是我必须将包括脚本在内的数据保存到我的数据库中，但是当显示相同的数据时，它应该作为文本而不是脚本可见，例如：

第1步：我在一个网站中有一个文本框，我试图通过下面的代码注入

测试数据警报（'恶意代码'）；

第 2 步：我将文本的确切内容保存在我的数据库中（注意 validateRequest 设置为 false）。

第3步：然后我在网页中显示脚本不应该执行的内容。

注意：我已经通过 AntiXss 和 Sanitizer 对其进行了限制，但是当我使用 Sanitizer 时，脚本会被 Sanitizer 忽略，谁能给我一个解决方案，将脚本显示为文本（也应该避免执行脚本.)