如何在textarea中正确处理html标签

Question

我有一个带有textarea元素的asp.net表单（成员配置文件的一部分 - Objectives字段）。我不介意用户在那里输入html标签，但是出于安全原因（），asp.net不允许在文本框中提交html标签，这很好。所以，我看到两个选项 - 在表单提交之前完全从textarea的值中删除html标记，或者转义textarea的值，在提交到<和>之前将<和>替换为{{1}}和{{1}}服务器。

换句话说，如果有人在textarea中输入了以下内容：

我希望以某种方式将其保存在服务器上并向用户显示，就像他们下次在该页面上键入时一样。

通常如何处理这样的问题？

更新：默认情况下，Asp.net不允许您在输入/ textarea元素中提交标记。如果我禁用该检查，我将开启XSS漏洞的潜力。我想要的只是找到一种正确的方法来逃避输入（并分配回元素），然后能够在表单加载后取消它

Answer 1

通常的方法是客户端和服务器端验证：

• Anti-Cross Site Scripting Library for ASP.net
• Making HTML safer: details for toStaticHTML
• Differences Between AntiXss.HtmlEncode and HttpUtility.HtmlEncode Methods
• JavaScript Attack/Defend
• Microsoft Web Protection Library