.NET库来净化输入?

Microsoft AntiXSS library

对于SQL注入,我总是使用参数。同样,它们易于使用,我不喜欢试图逃避特殊角色。如果你问我,这是灾难的根源。

SQL注入和跨站脚本(也称为XSS或脚本注入)是不同的问题。

1) SQL注入非常简单,始终使用参数化查询(SQLParameter),并努力避免在T-SQL存储过程中执行sp_exec@query。 .网络参数化查询将无法防止这种二阶注入。

this table 找出默认编码的属性。在分配任何不编码的属性之前,请使用反XSS。

parameterised commands ,而不是试图对字符串进行消毒,以防止SQL注入。

AntiXSS 可用于防止XSS攻击。

如果你正在使用ASP。NET 4.5,您现在可以使用 AntiXSS features that ship in the framework .

这些是外部AntiXSS库中已合并到ASP中的部分。净值4.5:

• HtmlEncode , HtmlFormUrlEncode HtmlAttributeEncode
• XmlAttributeEncode 和 XmlEncode
• UrlEncode 和 UrlPathEncode 新
• CssEncode