爲什麼MS防xss庫（v4）刪除html 5數據屬性

Question

AntiXss庫似乎刪除html 5數據屬性，有誰知道爲什麼嗎？

我需要保留此輸入：

<label class='ui-templatefield' data-field-name='P_Address3' data-field-type='special' contenteditable='false'>[P_Address3]</label> 

使用防XSS庫（V4.0）的主要原因是爲了確保無法識別的樣式屬性不被解析，這甚至可能？

代碼：

var result = Sanitizer.GetSafeHtml(html); 

編輯：

下面的輸入將導致整個樣式屬性除去

輸入：

var input = "<p style=\"width:50px;height:10px;alert('evilman')\"/> Not sure why is is null for some wierd reason!<br><p></p>"; 

輸出：

var input = "<p style=\"\"/> Not sure why is is null for some wierd reason!<br><p></p>"; 

這很好，如果有人在客戶端使用我的代碼，但我還需要數據屬性標籤工作！

Answer 1

我假設你是指殺菌劑，而不是編碼器。它正在做它應該做的 - 它只是不理解HTML5或識別屬性，所以它將它們剝離。有通過樣式XSS的方法。

我無法自定義安全列表，恐怕，代碼庫根本不允許這樣做 - 我知道很多人都想要這些，但需要完全重寫才能支持它。