使用 javascript 删除 C# 字符串以及客户端中的 html 标签或脚本标签

Question

我需要进行用户输入验证，并且希望在客户端和服务器端都对其进行验证。 我有一个文本框，用户可以在产品上写下他的评论，现在我想做的是验证他的评论是否没有任何像 html 或 javascript 那样的注入。所以我想做的是，在用户点击提交后

1.) 客户端：如果用户输入这种字符串，我将如何执行验证

<a href="">abcd</a> // I will accept only abcd and remove the anchor tag but the abcd should appear as a link
<script type="text/javascript">alert(123);</script> // I will accept only alert(123);as the valid string
<b>abcd</b> // I will display abcd but it must appear bold

2.) 服务器端：与客户端的情况相同，我将删除注入脚本的标签和html标签。 我正在使用 sharepoint 2007，我不确定是否有内置函数可以在 sharepoint api 或 c# 中进行这种验证以进行服务器端验证。

注意：我不想为此软件或任何第三方软件使用 RegEx。我知道这里有很多专家可以帮助我解决这个问题。太感谢了！

Answer 1

虽然 RegEx 可能是您最好的选择，但您可以使用它并根据您的喜好进行修改：

public static string StripHtml(this string source)
{
    string[] removeElements = new string[] { "a", "script" };
    string _newString = source;
    foreach (string removeElement in removeElements)
    {
        while (_newString.ToLower().Contains("<" + removeElement.ToLower()))
        {
            _newString = _newString.Substring(0, _newString.ToLower().IndexOf("<" + removeElement.ToLower())) + _newString.Substring(_newString.ToLower().IndexOf("</" + removeElement.ToLower() + ">") + removeElement.Length + 3);
        }
    }
    return _newString;
}

您将使用 string clean = txtInput.Text.StripHtml();

Answer 2

我不确定是否要为此创建验证。但您可以使用此函数以编程方式删除标签。

使用此函数从用户输入的文本框值中删除 Html 标记

public static string StripHtml(string html, bool allowHarmlessTags)
{
   if (html == null || html == string.Empty)
     return string.Empty; 

   if (allowHarmlessTags)
     return System.Text.RegularExpressions.Regex.Replace(html, "", string.Empty); 

   return System.Text.RegularExpressions.Regex.Replace(html, "<[^>]*>", string.Empty);
}

Answer 3

如果您想防止 JavaScript 注入攻击，只需对用户输入进行编码 Server.HtmlEncode(message)。
但如果您需要清理一些标签，那么 Omar Al Zabir 写了一篇好文章 Convert HTML to XHTML and Clean不必要的标签和属性

// Encode the string input
StringBuilder sb = new StringBuilder(
                        HttpUtility.HtmlEncode(htmlInputTxt.Text));

// Selectively allow <b> and <i>
sb.Replace("<b>", "<b>");
sb.Replace("</b>", "");
sb.Replace("<i>", "<i>");
sb.Replace("</i>", "");
Response.Write(sb.ToString());

我还想建议您检查AntiSamy.NET项目，但我自己没有尝试过。