正确处理用户输入
因此，我正在设置表单验证、输入、错误消息等......然后意识到我正在收集的许多信息需要在某个时候再次输出。
所以我将我的输入包含在：
Server.HtmlEncode(txtbox.text);
我还应该做什么来确保避免 XSS 类型的攻击？当我将数据写入页面时我也应该做一些事情吗？
So I'm setting up my form validation, inputs, error messages etc... and then realized a lot of the info that I'm collecting will need to be output again at some point.
So I wrapped my inputs in:
Server.HtmlEncode(txtbox.text);
What else should I be doing to ensure that i avoid XSS types of attacks? Should I be be doing something when I write the data to the page as well?
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（2）
从安全角度来看，我们的 Web 表单是赤裸裸的，并且 100% 容易受到攻击。我们需要查看数据传递给它们的所有方式并进行适当的测试：
MSDN 安全 Web 应用程序设计指南：
http://msdn.microsoft.com/en-us/library/aa302420。 aspx
微软反跨站脚本库：
http://msdn.microsoft.com/en-us/security/aa973814。 aspx
代码分析工具（CAT.NET）：
http://www.microsoft.com/downloads/details.aspx microsoft.com/downloads/details.aspx?FamilyId=0178e2ef-9da8-445e-9348-c93f24cc9f9d&displaylang=en
ASP.NET 数据输入验证：
http://www.codersbarn.com/ post/2008/11/01/ASPNET-Data-Input-Validation.aspx：
编辑：
即将推出的新 Web 保护库 CTP：
http: //blogs.msdn.com/securitytools/archive/2009/10/17/web-protection-library-ctp-release-coming-soon.aspx
From a security point of view, our Web forms are naked and 100% vulnerable. We need to look at all the ways data is passed to them and test as appropriate:
MSDN Design Guidelines for Secure Web Applications:
http://msdn.microsoft.com/en-us/library/aa302420.aspx
Microsoft Anti-Cross Site Scripting Library:
http://msdn.microsoft.com/en-us/security/aa973814.aspx
The Code Analysis Tool (CAT.NET):
http://www.microsoft.com/downloads/details.aspx?FamilyId=0178e2ef-9da8-445e-9348-c93f24cc9f9d&displaylang=en
ASP.NET Data Input Validation:
http://www.codersbarn.com/post/2008/11/01/ASPNET-Data-Input-Validation.aspx:
EDIT:
Coming soon, the new Web Protection Library CTP:
http://blogs.msdn.com/securitytools/archive/2009/10/17/web-protection-library-ctp-release-coming-soon.aspx
我建议在将数据输出到页面时进行 HtmlEncode，而不是在收集数据时进行 HtmlEncode。来自 Stack Overflow 播客 #58：
链接
I suggest to HtmlEncode when you output data to the page, not when you collect it. From Stack Overflow podcast #58:
Links