如何處理需要編輯的編碼輸入？

Question

使用微軟的AntiXssLibrary，你如何處理稍後需要編輯的輸入？

例如：

用戶輸入： <i>title</i>

保存到數據庫爲： <i>title</i>

在編輯頁面，在文本框中會顯示類似： <i>title</i>因爲我在顯示在文本框中之前對它進行了編碼。

用戶不喜歡那樣。

寫入輸入控件時可以不編碼嗎？

更新：

我還在試圖弄清楚這一點。下面的答案似乎是說在顯示之前解碼字符串，但不會允許XSS攻擊？

一個用戶說，解碼輸入字段值中的字符串是好的是downvoted。

Answer 1

看起來你不止一次對它進行編碼。在ASP.NET，使用微軟的AntiXss庫可以使用HtmlAttributeEncode方法來編碼不可信的輸入：

<input type="text" value="<%= AntiXss.HtmlAttributeEncode("<i>title</i>") %>" />

這導致

<input type="text" value="&#60;i&#62;title&#60;&#47;i&#62;" />

在渲染頁面的標記，並正確地顯示在輸入框中 <i>title</i>。

Answer 2

是的，輸入框內的代碼對於腳本攻擊是安全的，不需要編碼。

Answer 3

您可以調用HTTPUtility.HTMLDecode（MyString）將文本返回到未編碼的表單。

Answer 4

你的問題似乎是雙重編碼; HTML需要被轉義一次（所以它可以插入到頁面上的HTML中而沒有問題），但是兩次導致編碼版本從字面上出現。

Answer 5

如果您允許用戶輸入將在網站上呈現的HTML，則需要做的不僅僅是對其進行編碼和解碼。

使用AntiXss可以通過將腳本和標記轉換爲文本來防止攻擊。它不會對直接呈現的「清理」標記做任何事情。您將不得不手動刪除用戶輸入中的腳本標籤等，以便在該場景中得到充分保護。

您需要刪除腳本標記以及法律元素上的JavaScript屬性。例如，攻擊者可能會將惡意代碼注入onclick或onmouseover屬性。