如何处理文本框中的HTML输入

总是总是对来自用户的输入进行编码,然后只保存在数据库中。你可以很容易地做到这一点

Server.HtmlEncode(userinput) 

现在,当需要向用户显示内容时,解码用户输入并将其显示在屏幕上:

Server.HtmlDecode(userinput)

在将所有输入输出回用户之前,需要对其进行编码,并且可以考虑对允许用户提交的HTML类型实施基于白名单的方法。

我建议使用白名单方法,因为编写允许P、BR、EM、STRONG、A(例如)的规则要容易得多,而不是尝试识别各种恶意输入并将其列入黑名单。

可能考虑使用诸如markdown(在stackoverflow中使用)之类的东西,而不允许使用纯HTML?

在生成HTML时需要转义一些字符: '<' -> &lt; , '>' -> > , '&' -> & .这样可以准确地显示用户输入的内容,否则HTML解析器可能会识别HTML标记并执行它们。

你试过用吗 HTMLEncode 你所有的投入?我个人使用 Telerik RadEditor 在提交字符之前会先转义这些字符…这样系统就不会在异常情况下死记硬背。

这里有一个 SO question 沿着同一条线。

你应该看看 HTML tags 您不想支持,因为您所描述的漏洞,例如

• 脚本

• IMG

• iframe名称

• 小应用程序

• 对象

• 嵌入

• 窗体、按钮、输入

并将前导“<”替换为“&lt;”。

同时替换</body>和</html>

HTML编辑器(如ckeditor)允许您需要格式良好的XHTML,以及 define tags 从输入中排除。