微軟反跨站點腳本庫

Question

我評估微軟反跨站點腳本庫（AntiXSS V3）

我必須說，在我看來，除了提供可接受的字符更全面的白名單，它並沒有真正帶來任何派對，任何編碼所有用戶/代理可修改輸出的勤奮程序員都不會做任何事情。

我錯過了一個招數？

Answer 1

我不認爲你錯過了任何東西，除了知道正確的安全編碼的程序員數量非常少，並且能夠正確執行的程序員數量還很少。

編寫這些庫是爲了讓普通開發人員更容易，並且我會假設任何由Microsoft編寫的用於增強安全性的明確目的的庫都將由編碼器（或編碼器小組）完成這個領域的專家，而不是那些專注於公司需求的日常開發人員。 （我認爲他們會很重視做這件事，考慮微軟產品總是被描繪成被MS-haters描述爲「不安全」）。

作爲一個平行的思考加密。勤奮的編碼員可以想出一個安全的加密算法。然而，OWASP指導方針告訴你不要拿出自己的算法，而是使用由專家開發的經過測試的算法並經過充分測試。

如果我們有一個由專家來完成工作的工具，那麼我們爲什麼會嘗試獨自完成這項工作？如果它能像廣告中那樣工作，那麼我會說只有這樣才能使用Microsoft Anti-Cross站點腳本庫。