Microsoft Anti XSS 库编码 & 符号？
我目前正在使用 Microsoft AntiXSS 库 并使用 GetSafeHtmlFragment 方法，如下所示：
public static string SanitizeHtml(this string s)
{
return Sanitizer.GetSafeHtmlFragment(s);
}
但是，如果我传入这样的字符串：
黑色&白色
...它正在对＆符号进行编码，因此它变成：
黑色&白色
这是该库的正常行为吗？有没有办法阻止它对这个字符进行编码？
I am currently using the Microsoft AntiXSS library and using the GetSafeHtmlFragment method as follows:
public static string SanitizeHtml(this string s)
{
return Sanitizer.GetSafeHtmlFragment(s);
}
However, if I pass in a string like this:
black & white
... it is encoding the ampersand so it becomes:
black & white
Is this normal behaviour for this library? Is there a way of preventing it from encoding this character?
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（2）
我认为这不是最好的解决方案。如果您使用 HTML.Raw()，那么您很容易受到 XSS 攻击，除非您可以绝对确定该字符串对于 HTML.Raw() 的所有使用始终都是安全的。
I don't think this is the best solution. If you use HTML.Raw() then you are leaving yourself vulnerable to XSS attacks unless you can be absolutely sure that the string is safe all the time and for all uses of HTML.Raw().
是的，它修复了您的 HTML，因为您正在使用
GetSafeHtmlFragment。否则，您将得到无效的 HTML 片段。在 HTML 中，&字符具有特殊含义。我不认为这种行为可以改变。Yes, it fixes your HTML since you are using
GetSafeHtmlFragment. Otherwise you would have ended up with invalid HTML fragment. In HTML the&character has special meaning. I don't think this behavior could be modified.