Microsoft AntiXSS wpl在asp.net mvc3应用程序中使用

Question

据我所知，asp.net mvc3非常安全，但有哪些地方我可以使用Microsoft AntiXSS库来获得更高的安全性？ http://wpl.codeplex.com/

如何在我的应用程序中找到我可以使用的地方？可能有些人可能会发现在asp.net mvc3中使用这个库的任何东西？

Answer 1

好吧，作为AntiXSS的拥有者，我显然会说是的。但是我有偏见：）

AntiXSS为您提供

• 更多编码选项 - 包括CSS，JavaScript和LDAP的编码（如果您要从代码中查询AD）
• 安全列表，而不是不安全列表。这本质上更安全，但速度更慢。虽然默认的.NET黑名单足够好，但它确实取决于系统如何处理输入。

现在，使用AntiXSS 4.1，您可以轻松地将AntiXSS插入MVC并用作默认编码器。现在这是一个测试版，代码可供下载以及有关如何更换编码器的有限说明。你应该在11月之前看到发布。

Answer 2

这取决于用户输入您尝试收集的数据的方式以及您是否已告知应用程序允许HTML。

就个人而言，我会使用AntiXss库，输入允许输入HTML，然后在网站上重新显示，否则，如果你没有告诉它允许输入HTML，MVC3会很好地阻止HTML