Json.encode 特殊符号 \u003c MVC3

Question

我有 JavaScript 应用程序，在其中使用客户端模板（underscore.js、Backbone.js）。

初始页面加载的数据像这样绑定到页面中（.cshtml Razor 文件）：

<div id="model">@Json.Encode(Model)</div>

Razor 引擎执行转义，因此，如果 Model 是

new { Title = "<script>alert('XSS');</script>" }

，在输出中我们有：

<div id="model">{&quot;Title&quot;:&quot;\u003cscript\u003ealert(\u0027XSS\u0027)\u003c/script\u003e&quot;}</div>

在“解析”操作之后：

var data = JSON.parse($("#model").html());

我们的对象数据的 "Title" 字段与 ""！

当它转到下划线模板时，它会发出警报。

不知何故，类似 \u003c- 的符号被视为正确的“<”符号。

如何从数据库中将“<”符号转义为 < 和 >（如果它们以某种方式到达那里）？

也许我可以调整 Json.Encode 序列化来转义这些符号？ 也许我可以设置我正在使用的实体框架，以便在从数据库获取数据时始终自动转义这些符号？

Answer 1

\u003c 和类似的代码对于 JS 来说是完全有效的。如果您愿意，您可以使用此语法混淆整个 JS 文件。本质上，您看到的是转义字符 \、u 表示 unicode，然后是与符号相关的 4 个字符的十六进制代码。

http://javascript.about.com/library/blunicode.htm

\u003c - 作为您已经注意到，是 <特点。

在 MVC 端“修复”此问题的一种方法是编写一个 RegEx 来查找模式 \u - 然后捕获接下来的 4 个字符。然后，您可以将它们取消编码为实际的 unicode 字符 - 并通过 XSS 预防算法运行生成的文本。

正如您在问题中所指出的 - 只需寻找“<”没有帮助。您也不能只查找“\u003cscript” - 因为这假设潜在的黑客并没有简单地对整个“script”标签词进行 unicode 编码。更安全的方法是取消转义所有这些类型的代码，然后以纯文本形式清理 HTML。

顺便说一句，注意到这是 XSS 预防中常见的（迄今为止尚未解决的）问题之一，可能会让您感觉更好。因此，您并不是唯一一个想要更好的解决方案的人...

您可以查看以下库来帮助实际的 html 清理：

http://wpl.codeplex.com/（微软尝试解决方案 - 尽管用户反馈非常糟糕）
https://www.owasp.org/index.php/Category:OWASP_AntiSamy_Project_.NET （一个私人项目，旨在做很多此类预防工作。我发现它很难使用，并且在 .NET 中实现得很差）

不过，两者都是很好的参考。

Answer 2

在将字符串提供给 Underscore 之前，您需要将其编码为 HTML。

"Underscore.js 模板中的 HTML 转义" 解释了如何进行来做到这一点。

Answer 3

如果您想编写未编码的内容，则需要使用 Html.Raw() helper：

@Html.Raw(Json.Encode(Model))

编辑：

我想，也许我不明白你的问题是什么。例如，在测试控制器中，我

ViewBag.Test = new { Title = "<script>alert('XSS');</script>" };

在相关视图中具有以下内容：

   <script type="text/javascript">
        var test = @Html.Raw(Json.Encode(ViewBag.Test));
        console.log(test.Title);
        document.write(test.Title);
    </script>

依次输出到控制台：

<script>alert('XSS');</script>

并打开警报。